sou · GUB318 · 2007-01-01 00:00:00 — Generellt är det enligt vår uppfattning lämpligt att arkivansvaret för elektroniska uppgifter och handlingar så långt det är möjligt sammanfaller med personuppgiftsansvaret. I fråga om register och databaser för vilka flera olika myndigheter är personuppgiftsansvariga kan det uppstå problem, eftersom arkivan- svaret bör ligga hos en och samma myndighet eller i vart fall hos de personuppgiftsansvariga myndigheter som för in uppgifter i regis- tren eller databaserna. För torde sådana problem inte uppstå, eftersom myndigheten är ensam personuppgifts- ansvarig för den behandling som utförs i dess register och databaser och därmed rimligen också arkivansvarig myndighet för de allmänna handlingar som behandlas elektroniskt i datorsystemen. 10.2.5Behandling av känsliga personuppgifter Våra förslag: Uppgifter om en person skall inte få behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (känsliga personuppgifter). Om uppgifter behandlas på annan grund får de kompletteras med känsliga personuppgifter, när det är absolut nödvändigt för syftet med behandlingen. Känsliga personuppgifter får dessutom behandlas om de förekommer i en handling som kommit in till i ett ärende. Uppgifter som beskriver en persons utseende skall alltid utformas på ett objektivt sätt med respekt för människovärdet. Vid behandling av personuppgifter intar känsliga personuppgifter en särställning. Enligt 13 § personuppgiftslagen är det i princip förbjudet att behandla känsliga personuppgifter utan enskildas samtycke. Med känsliga personuppgifter avses uppgifter som avslöjar en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse eller medlemskap i fack- Författningsregleringen av behandling av uppgifter förening samt uppgifter som rör hälsa eller sexualliv. Om sådana uppgifter måste behandlas i offentlig verksamhet utan samtycke, behövs det särskilda och avvikande bestämmelser för i vilka fall det får göras. bör enligt vår mening ha samma möjligheter som att registrera och på annat sätt behandla sådana uppgifter i sin verksamhet. Vi föreslår därför att uppgifter om en person inte får behandlas enbart på grund av vad som är känt om en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Det innebär t.ex. att det inte är tillåtet att i underrättelseverksamhet föra register över, eller på annat sätt göra anteckningar om, enskilda personer enbart på den grunden att de tillhör en viss etnisk grupp. Om uppgifter däremot behandlas på annan grund måste de få kompletteras med känsliga personuppgifter när det är absolut nödvändigt för syftet med behandlingen. Som exempel kan nämnas att en person är aktuell i ett ärende, t.ex. en förundersökning. Om det är absolut nödvändigt för handläggningen av ärendet får de övriga uppgifterna i ärendet kompletteras med känsliga personupp- gifter. Känsliga personuppgifter kan även få behandlas i under- rättelseverksamhet och verksamhet med gränskontroll. Om får ett tips från allmänheten om en person som troligen smugglar narkotika, måste naturligtvis anteckningar få göras om sådant som är nödvändigt för att underlätta identifiering vid gränsen, t.ex. fysiska kännetecken och etniskt ursprung m.m. På samma sätt är det i den informationsbearbetning som äger rum i underrättelseverksamheten tillåtet att anteckna känsliga person- uppgifter om personer som på saklig grund är misstänkta för att bedriva brottslig verksamhet, under förutsättning att de känsliga uppgifterna är nödvändiga för att få fram den fullständiga underrättelseinformation som behövs. Bestämmelsen om känsliga personuppgifter bör enligt vår upp- fattning gälla oavsett för vilket ändamål uppgifterna behandlas. Vi föreslår emellertid ett undantag från begränsningen av behandling av känsliga personuppgifter och det gäller behandling av inkomna handlingar. Eftersom inte har möjlighet att påverka innehållet i dessa handlingar bör myndigheten få behandla känsliga personuppgifter som förekommer i dem (jfr avsnitt 10.2.7 om inhämtande av uppgifter och handlingar). Vidare är det, i enlighet med vad som anges i lagen om (2005:787) om behandling av uppgifter i brottsbe- Författningsregleringen av behandling av uppgifter kämpande verksamhet, vår uppfattning att uppgifter som beskriver en persons utseende alltid skall utformas på ett objektivt sätt med respekt för människovärdet. Syftet är att förhindra att personer beskrivs i förklenande ordalag som kan anses kränkande för individen. Denna bestämmelse får dock inte medföra att omskrivning sker av vad någon uppgivit vid t.ex. ett förhör. Jämför härvid vad som angivits om när rättelse skall vidtas (avsnitt 10.3.2.). Exempel på vedertagna signalementsbeteckningar finns bl.a. i föreskrifter och allmänna råd om fingeravtryck och fotografering (RPSFS 2000:16). Våra förslag: Uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller som rör hälsa eller sexualliv får inte användas som sökbegrepp. Uppgifter som beskriver en persons utseende får dock användas som sökbegrepp. Förutom innehåll i och åtkomst till register och databaser, är frågan om på vilket sätt uppgifter kan sammanställas en av de viktigare från integritetssynpunkt. Ju större möjligheter det finns att i olika konstellationer sammanställa uppgifter om enskilda, desto större blir riskerna för otillbörliga intrång i enskildas integritet. En metod som används för att förhindra att det görs oönskade sammanställningar är begränsningar av sökmöjligheterna. Det är framför allt i ett avseende som det av integritetsskäl finns anledning att ha rättsliga begränsningar för vilka uppgifter som skall få användas vid sökning efter uppgifter. Det gäller känsliga personuppgifter, som enligt vårt lagförslag får behandlas endast om det är absolut nödvändigt för syftet med behandlingen och om andra uppgifter om den aktuella personen redan behandlas på annan grund. Känsliga personuppgifter får alltså behandlas endast som ett komplement till de andra uppgifter som är skälet till att personen i fråga förekommer i databasen. Enligt vår mening bör det inte vara möjligt att använda känsliga personuppgifter som sökbegrepp vid eftersökande av information inom ramen för verksamhet. Denna regel bör gälla generellt i verksamheten, oavsett för vilket ändamål upp- gifterna behandlas, då det är möjligt att genom t.ex. sökfunktioner i Författningsregleringen av behandling av uppgifter ordbehandlingsprogram söka på vissa ord eller begrepp i dokument och andra uppgiftssamlingar. Uppgifter som beskriver en persons utseende bör dock få användas som sökbegrepp. Det gäller signalementsuppgifter om t.ex. kroppsbyggnad, ansiktsform, hår- och hudfärg, klädsel och fysiska kännetecken såsom födelsemärken, saknade lemmar, blindhet eller tatueringar. Som anförts ovan skall dock uppgifter som beskriver en persons utseende alltid utformas på ett objektivt sätt med respekt för människovärdet. Huvudregeln är således att känsliga personuppgifter inte får användas som sökbegrepp. Däremot får uppgifter som beskriver en persons utseende användas som sökbegrepp.17 10.2.7Inhämtande och utlämnande på medium för automatiserad behandling Våra förslag: Till annan än svensk myndighet skall endast enstaka uppgifter eller handlingar få lämnas ut på medium för automatiserad behandling. Regeringen meddelar föreskrifter om att utlämnande på sådant medium får ske även i andra fall. Inhämtande av uppgifter och handlingar Vilka uppgifter som får behandlas automatiserat av en myndighet måste avgöras med ledning av de i lagstiftningen angivna ändamålen med behandlingen, eftersom det i 9 § personuppgiftslagen ställs krav på att uppgifter skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Några särskilda krav på begräns- ningar av på vilket sätt uppgifter får samlas in följer däremot inte av vare sig personuppgiftslagen eller EG-rätten. Vi ser inte heller några integritetsskäl mot att enskilda eller myndigheter, som av olika anledningar har att lämna uppgifter, gör detta med hjälp av automatiserad behandling. Om anser det lämp- ligt, bör således t.ex. information under handläggning av ärenden kunna inhämtas via e-post i stället för muntligen via telefon eller skriftligen via fax. Några rättsliga begränsningar bör inte heller ställas upp för att automatiserat hämta in upp- gifter direkt från en annan myndighets register, under förutsättning 17 Jfr prop. 2004/05:164 s. 89 f. Författningsregleringen av behandling av uppgifter att uppgifterna får behandlas av och att den utlämnande myndigheten får lämna ut uppgifterna på det sättet. Det kan däremot finnas andra skäl för att uppgifter skall lämnas på ett visst sätt. Det kan t.ex. vara ett krav att vissa handlingar lämnas skriftligen och egenhändigt undertecknade, vilket kan inne- bära såväl rättsliga gränsdragningsproblem som tekniska svårig- heter vid ett automatiserat förfarande. Med andra ord kan det finnas olika orsaker till att uppgifter inte kan eller får hämtas in automatiserat till . Dessa begränsningar följer då av andra författningar eller av tekniska orsaker. Det finns inte anledning att föreskriva ytterligare begränsningar i den av oss föreslagna lagen. Vi ser således inte några skäl för att i en författning om behand- ling av uppgifter i verksamhet införa begränsningar av på vilket sätt uppgifter får hämtas in eller tas emot, oavsett för vilket ändamål de inhämtade uppgifterna skall behandlas. Tvärtom är det vår uppfattning att i den mån en viss uppgift får hämtas in av och behandlas automatiserat där, bör inhämtandet i princip kunna ske på det sätt som myndigheten och avsändaren anser mest lämpligt. Utlämnande av uppgifter och handlingar Uppgifter kan lämnas ut från i elektronisk form på medium för automatiserad behandling på flera olika sätt. Utlämnande kan t.ex. ske genom användning av e-post, genom utlämnande på diskett eller cd-rom eller genom direkt överföring från ett datorsystem till ett annat via telenätet, där beslutet om överföring i varje enskilt fall fattas av . Utlämn- ande kan också ske genom direktåtkomst till datorsystem, där beslutet om överföring i varje enskilt fall fattas av mottagaren. Av dessa olika varianter är direktåtkomsten den mest känsliga och den behandlas därför särskilt i avsnitt 10.2.8. Utlämnande på medium för automatiserad behandling innebär som regel att informationen lämnas ut i elektronisk form på ett sådant sätt att mottagaren kan bearbeta informationen. Det betyder att elektroniskt tillhandahållande av uppgifter där mottagaren endast kan läsa informationen i myndighetens lokaler och inte bearbeta den, t.ex. genom en allmänhetens terminal, inte kan anses vara ett utlämnande på medium för automatiserad behandling. Författningsregleringen av behandling av uppgifter En av de viktigare bestämmelserna i personuppgiftslagen är 9 § (dataskyddsdirektivets artikel 6), av vilken det bl.a. framgår att uppgifter skall samlas in för särskilda, uttryckliga och berättigade ändamål. behandling får inte ske på ett sätt som är ofören- ligt med de ändamålen. Bestämmelsen innebär att en uppgift som har samlats in för ett visst ändamål inte får lämnas ut, om utlämn- andet är oförenligt med det ursprungligen angivna ändamålet. För författningsreglerad offentlig verksamhet innebär detta att utlämn- ande av personuppgifter som omfattas av personuppgiftslagen inte får vara oförenligt med de olika ändamål som gäller för behandling av personuppgifterna. Oavsett ändamålen gäller dock att uppgifter alltid får lämnas ut till enskilda med stöd av offentlighetsprincipen och, enligt vår uppfattning, till myndigheter med stöd av sekretesslagen eller särskilda bestämmelser om utlämnande i annan författning. Det finns emellertid inte några uttryckliga bestäm- melser i vare sig personuppgiftslagen eller dataskyddsdirektivet som reglerar om eller under vilka förutsättningar uppgifter får lämnas ut automatiserat. I det avseendet görs med andra ord ingen åtskillnad mellan elektroniskt och manuellt utlämnande. En allmän bestämmelse i svensk lagstiftning som direkt rör myndigheters automatiserade utlämnande av uppgifter är 7 kap. 16 § sekretesslagen (1980:100). Där anges att sekretess gäller för uppgifter om det kan antas att ett utlämnande skulle medföra att uppgifterna behandlas i strid med personuppgiftslagen. Med behandling av personuppgifter avses enligt personuppgiftslagen emellertid varje åtgärd som vidtas med uppgiften. Det torde därför även ur sekretesslagens synvinkel i princip sakna betydelse om utlämnandet av en uppgift görs automatiserat eller manuellt på papper, eftersom utlämnandet under alla förhållanden omfattas av 7 kap. 16 § om uppgiften av mottagaren kan komma att behandlas automatiserat eller i register i strid mot personuppgifts- lagens bestämmelser. På grund av de möjligheter till bearbetning av uppgifter som en datoriserad behandling ger, är däremot risken självfallet större för att uppgifter som lämnas ut elektroniskt kan komma att hanteras av mottagaren på ett sådant sätt att det strider mot personuppgiftslagens bestämmelser. Vi drar härav slutsatsen att det inte finns något rättsligt krav på att författningsreglera utlämnande på medium för automatiserad behandling för att det skall vara tillåtet att lämna ut uppgifter på det sättet. Vi har då att ta ställning till om det finns anledning att på någon annan grund ha särskilda bestämmelser för utlämnande på Författningsregleringen av behandling av uppgifter medium för automatiserad behandling i annan form än direkt- åtkomst. En annan fråga är om det för sådant utlämnande finns anledning att göra olika bedömningar beroende på till vem uppgifterna lämnas ut. Utlämnande till svenska myndigheter För att inte möjligheterna att utnyttja datorteknik vid myndigheter skall inskränkas på ett orimligt sätt, får det enligt vår mening inte sättas upp onödiga hinder mot att e-post utnyttjas som ett sätt att vidarebefordra information som ofta lämnas ut via telefon, telefax eller vanlig brevförsändelse. Det måste vara möjligt för tjänstemän vid att kommunicera med andra myndigheter och utbyta information på elektronisk väg. Som exempel kan nämnas att personal från samarbetar med personal från polis och tull i en särskild projektgrupp. Information som hanteras inom gruppen måste kunna utbytas på det snabbaste och enklaste sättet, vilket i många fall innebär att information skickas via e-post. I detta sammanhang bör markeras att uppgifter inte får lämnas ut vare sig elektroniskt eller på annat sätt utan föregående sekretess- prövning. För myndigheter finns ofta särskilda registerförfattningar som reglerar vilka automatiserade register eller andra personuppgifts- samlingar som får föras av myndigheten och på vilket sätt person- uppgifter får behandlas. I de författningarna regleras även ända- målen för behandlingen. Även i de fall särskilda registerförfatt- ningar saknas, måste det förutsättas att användningen av uppgifter begränsas av personuppgiftslagens allmänna bestämmelser och av att myndigheter bedriver viss bestämd och reglerad verksamhet. Vi bedömer därför att riskerna är små för att en myndighet som får personuppgifter i elektronisk form från , skall behandla uppgifterna på ett otillåtet sätt. En förutsättning är dock att har möjlighet att i varje enskilt fall avgöra vilka uppgifter som skall lämnas ut, vilket inte är fallet när uppgifter lämnas ut genom direktåtkomst. Det finns med andra ord enligt vår bedömning inte några bärande skäl för att i informationsutbytet mellan myndigheter skilja på utlämnande som görs på papper och utlämnande som sker elektroniskt, dock med undantag för direktåtkomst. Författningsregleringen av behandling av uppgifter får eller skall lämna ut uppgifter till en annan myndighet, t.ex. med stöd av sekretesslagen eller andra författ- ningar, bör det vara upp till de inblandade myndigheterna att avgöra på vilket sätt det skall göras. När det gäller utlämnande till myndigheter anser vi inte heller att det finns några integritetsskäl för att göra någon åtskillnad mellan uppgifter och handlingar. En elektronisk handling i Kustbevak- ningens verksamhet bör därför få lämnas ut på medium för automatiserad behandling, under förutsättning att det inte i sekretesslagen eller andra författningar föreskrivs hinder mot utlämnande av uppgifterna i handlingen. Utlämnande till utländska myndigheter och organisationer samt enskilda I verksamhet ingår ett betydelsefullt internatio- nellt samarbete. Enligt vår uppfattning bör inte möjligheterna att bedriva det internationella arbetet begränsas i onödan genom bestämmelser i en lag om behandling av personuppgifter. kan det finnas starka integritetsskäl för att inte helt förutsätt- ningslöst tillåta att uppgifter behandlas på det sätt som framstår som enklast och effektivast. Ett problem med det internationella arbetet är svårigheterna att förutse vilka skyldigheter Kustbevak- ningen kan få i fråga om t.ex. informationsutbyte. Det är därför i det närmaste omöjligt att i den av oss föreslagna lagen konkret ange under vilka förutsättningar uppgifter och handlingar skall få lämnas ut elektroniskt. Förutom att uppgifter lämnas ut till andra myndigheter kan det bli aktuellt för att lämna ut uppgifter till enskilda, såväl privatpersoner som företag och organisationer. Till skillnad från vad som gäller vid utlämnande till myndigheter, saknas det i dessa fall normalt särskilda bestämmelser om hur personuppgifter får behandlas hos mottagaren. För mottagaren är det därför ofta endast personuppgiftslagens bestämmelser som är tillämpliga på behandlingen av de mottagna uppgifterna. Med hänsyn till de integritetsrisker som kan följa med utlämnande på medium för automatiserad behandling av person- uppgifter från myndigheters register och databaser till utländska myndigheter och organisationer samt enskilda, är den naturliga utgångspunkten att sådant utlämnande endast bör vara tillåtet när Författningsregleringen av behandling av uppgifter det efter särskild prövning anses lämpligt. Enligt vår mening bör, av såväl integritets- som effektivitetsskäl, en sådan bedömning inte helt överlåtas till genom en prövning enligt 7 kap. 16 § sekretesslagen. Det bör i stället åligga regeringen att göra dessa bedömningar på en generell nivå. Vi anser emellertid att utlämnande av enstaka uppgifter och handlingar på medium för automatiserad behandling, t.ex. i ett e- postmeddelande, utan vidare bör kunna få ske när ett utlämnande av uppgifterna över huvud taget är tillåtet enligt den föreslagna lagen, sekretesslagen och annan lagstiftning som kan vara tillämplig. Däremot bör det på motsvarande sätt som i fråga om direktåtkomst vara förbehållet regeringen att meddela föreskrifter om när ett mer omfattande utlämnande av uppgifter på medium för automatiserad behandling är tillåtet. Vi är medvetna om att begreppet enstaka kan innebära en del svåra gränsdragningsproblem när det gäller att avgöra hur omfattande ett utlämnande av uppgifter på medium för automatiserad behandling egentligen får vara. Begreppet har införts i lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet och vi ser inga avgörande skäl för att frångå denna definition av den begränsning som bör gälla för ett utlämnande till annan än svensk myndighet.18 Enligt vår mening bör det vidare, till skillnad mot lagen om behandling av uppgifter i brottsbekämpande verk- samhet, direkt av lagtexten framgå att även enstaka handlingar kan lämnas på medium för automatiserad behandling. Att så är avsikten även vad gäller utlämnande framgår endast av motiven till lagen.19 Det väsentliga i sammanhanget är att utlämnande av elektroniskt lagrade uppgifter och handlingar i verksamhet får förekomma i begränsad omfattning, men att mer omfattande utlämnande får ske endast enligt regeringens närmare föreskrifter. 2004/05:164 s. 81 f. 2004/05:164 s. 126. Författningsregleringen av behandling av uppgifter Våra förslag: , och polismyndigheterna, och får ha direktåtkomst till uppgifter som Kustbevak- ningen behandlar i sin brottsbekämpande verksamhet för att förhindra eller upptäcka brottslig verksamhet samt för att utreda eller beivra brott. Regeringen meddelar närmare föreskrifter om vilka myndig- heter som får ha direktåtkomst till uppgifter som behandlas för något av de andra i lagen särskilt angivna ändamålen. Åtkomst till uppgifter som lämnas ut genom direktåtkomst skall endast medges den som behöver uppgifterna för att fullgöra sina arbetsuppgifter. I många registerlagar och andra författningar avseende behandling av personuppgifter regleras frågan om utomståendes direktåtkomst till myndigheters register och databaser särskilt. Det finns inte någon legaldefinition av begreppet direktåtkomst, men frågor om sådan åtkomst har diskuterats i ett flertal förarbeten.20 Den grundläggande innebörden av begreppet direktåtkomst är vanligtvis att någon har direkt tillgång till någon annans register eller databaser och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen. I begreppet direktåtkomst ligger också att den som är ansvarig för registret eller databasen inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst tillfälle tar del av. Det innebär att om en enskild har direktåtkomst till samtliga uppgifter i en myndighets register, så kan denne själv välja vilka uppgifter han eller hon vill ta del av vid ett visst tillfälle, utan att myndigheten först fattar ett beslut om att just dessa uppgifter skall lämnas ut. 20 Se t.ex. prop. 2000/01:33 s. 131. Författningsregleringen av behandling av uppgifter Förhållandet mellan direktåtkomst och sekretess Möjligheterna att vid informationsutbyte mellan exempelvis två myndigheter utnyttja direktåtkomst, kan begränsas av sekretess- lagens bestämmelser. En myndighet kan enligt vår mening inte tillåta en annan myndighet att få direktåtkomst till ett register, om uppgifterna i registret omfattas av sekretess som innebär att den mottagande myndigheten vid en prövning enligt sekretesslagen inte med säkerhet skulle ha rätt att ta del av uppgifterna. Eftersom direktåtkomst innebär att den mottagande myndigheten fritt kan avgöra vilka uppgifter den vill ta del av blir uppgifterna att anse som utlämnande i sekretesslagens mening i och med att direkt- åtkomsten finns. Det spelar i det avseendet ingen roll om den mot- tagande myndigheten faktiskt tar del av en viss uppgift eller inte. En förutsättning för direktåtkomst torde därför vara att åtkomsten avser endast offentliga uppgifter för vilka det inte är föreskrivet sekretess eller uppgifter som enligt författning får eller skall lämnas ut till myndighet som har direktåtkomst (jfr t.ex. 14 kap. 1 och 2 §§ sekretesslagen) eller uppgifter som, enligt prövning på förhand, med stöd av generalklausulen i 14 kap. 3 § sekretesslagen får lämnas ut rutinmässigt till den som har direkt- åtkomst. Med hänsyn till att det råder osäkerhet i frågan om eller när bestämmelser om direktåtkomst skall tillmätas sekretessbrytande verkan, föreslår vi att det i lagen om behandling av uppgifter i verksamhet endast anges att någon får ha direktåtkomst till en uppgift. Vår avsikt är att markera att bestäm- melserna om direktåtkomst inte har någon sekretessbrytande verkan i sig själva. För att direktåtkomst skall kunna tillåtas enligt den av oss föreslagna lagen krävs därmed att de aktuella uppgifterna är offentliga, dvs.