sou · GWB354 · 2008-05-16 00:00:00 — Begreppsbildningen är oklar och inte enhetlig.TPF161FPT Det har betonats att det i praktiken inte behöver vara så stor skillnad mellan direktåtkomst och utlämnande på medium för automatise- rad behandling.TPF162FPT Den grundläggande innebörden av begreppet direktåtkomst torde vara att någon för myndigheten utomstående har rätt att på egen hand söka i myndighetens databaserade informationssamling- ar, dock utan att själv kunna bearbeta eller på annat sätt påverka innehållet. I begreppet direktåtkomst ligger också att den som är ansvarig för informationssamlingen inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst tillfälle tar del av.TPF163FPT I fråga om begreppet utlämnande på medium för automatiserad behandling brukar man fästa avseende vid sådant som att det är avsändaren som, åtminstone i teorin, i det enskilda fallet bestäm- mer vilka uppgifter som ska lämnas ut och som därvid gör en sekretessprövning och att mottagaren efter utlämnandet själv kan bearbeta de mottagna uppgifterna. Att utlämnandet sker på något fysiskt medium, såsom en diskett eller en cd-skiva, har inte alltid krävts utan ibland har även utlämnanden via elektronisk kommuni- kation, såsom e-post, ansetts innefattas i begreppet. Begreppsbildningen i fråga om elektroniskt utlämnande av per- sonuppgifter är som sagt oklar och inte enhetlig. Det är inte bra, men det kan man inte göra så mycket åt när man utformar ytterli- gare en särskild registerförfattning. Vad man kan göra då är att se till att man inte bidrar till ytterligare oklarheter. Att personuppgifter, på ett eller annat vis, lämnas ut i elektro- nisk form innebär som regel att det, i förhållande till utlämnande i annan form, t.ex. muntligt eller på papper eller mikrokort, blir enklare för mottagaren att vidare bearbeta uppgifterna och att sprida dem vidare. Inhämtande av personuppgifter i elektronisk form torde vidare ofta upplevas som enklare och billigare än inhämtande i annan form, varför den elektroniska formen i sig kan antas öka det informationsutbyte som sker. Därför finns det skäl att i särskilda registerförfattningar ha särskilda begränsningar i fråga om just elektroniskt utlämnande av personuppgifter. 161TP PT Se för en genomgång av förarbeten och begreppsbildningen Samsetrapport 2005:1. Se också SOU 2007:45 s. 159 ff. 162TP PT Se t.ex. prop. 2004/05:164 s. 82. 163TP PT SOU 2007:22 Del 1 s. 463 f. Jag anser att sådana begränsningar bör finnas även i fråga om uppbördsmyndighetens databas, som innehåller en stor mängd ömtåliga uppgifter om många människor. Jag har vid utformningen av lagförslaget valt att anknyta till de oklara men ändå vedertagna begreppen direktåtkomst och utlämnande på medium för automati- serad behandling. Därmed bör läsaren av lagen känna igen sig. har jag med något undantag valt att i registerlagen reglera de båda utlämnandeformerna på i princip samma sätt för att därmed minska olägenheterna av att det ibland kan vara oklart vad som utgör den ena respektive den andra formen av utlämnande. Som överordnat begrepp används i den föreslagna registerlagen begreppet elektroniskt utlämnande. Därmed avses alla former av utlämnande av personuppgifter i elektroniskt format, dvs. i binär form, såsom ettor och nollor. Jag föreslår en särskild bestämmelse om att i den utsträckning direktåtkomst är tillåten är också andra former av elektroniskt utlämnande av personuppgifter utan vidare tillåtna. Direktåtkomst för någon är nämligen som regel den mest integritetskänsliga formen för elektroniskt utlämnande av personuppgifter till denne. Det bör betonas att vid allt elektroniskt utlämnande måste naturligtvis kraven på säkerhetsåtgärder i enlighet med personupp- giftslagen upprätthållas. Elektroniskt utlämnande kräver samtycke eller författningsstöd Det finns såsom nämnts inledningsvis skäl att i förhållande till vad som gäller enligt personuppgiftslagen införa särskilda begränsning- ar i fråga om elektroniskt utlämnande av personuppgifter som behandlas i databasen. Jag anser att en lämplig grundläggande begränsning är att före- skriva att direktåtkomst till och annat elektroniskt utlämnande av personuppgifter som behandlas i databasen är tillåtet utan den registrerades samtycke bara i den utsträckning som det anges i lag eller förordning och under förutsättning att bestämmelserna om tillåtna ändamål m.m. och sökbegrepp följs. Enligt min mening finns det nämligen för det första inga beak- tansvärda integritetsskyddsskäl som talar emot att tillåta sådant elektroniskt utlämnande som sker med den registrerades samtycke. En annan sak är att direktåtkomst till en databas med uppgifter om många personer knappast kan baseras på frivilliga samtycken från Vid elektroniskt utlämnande i enskilda fall kan dock samtycke vara realistsikt. För det andra är det enligt min mening en lämplig begränsning av elektroniskt utlämnande att kräva en lagstiftningsprocess för att sådant ska kunna tillåtas. Eftersom det är svårt att förutse vilka kommande befogade behov av elektroniskt utlämnande som kan uppkomma och då frågan om elektroniskt utlämnande såsom direktåtkomst ska tillåtas utan de registrerades samtycke i ett visst fall normalt förutsätter sådana detaljregler i det konkreta fallet att bestämmelser om detta som regel inte lämpligen bör tas in i lag, bör det lämnas en öppning i registerlagen för att tillåta sådant utläm- nande genom lag eller förordning. I fråga om direktåtkomst till beskattningsdatabasen har reger- ingen ansett att det – med hänsyn till att direktåtkomst till uppgif- ter hos en annan myndighet ansetts innebära särskilda risker från integritetssynpunkt, eftersom den utlämnande myndigheten inte har möjlighet att i varje enskilt fall ta ställning till om de eftersökta uppgifterna bör lämnas ut – bör ankomma på att ta ställning till i vilka fall direktåtkomst bör medges.TPF164FPT har det emellertid ansetts att direktåtkomst till socialförsäkringsdatabasen, som innehåller personuppgifter som normalt får anses vara av väl så känslig natur än de personuppgifter som behandlas i databasen, bör kunna medges genom förordning (men inte genom myndighetsfö- reskrifter), 17 § lagen (2003:763) om behandling av personupp- gifter inom socialförsäkringens administration.TPF165FPT Jag anser för min del att det i fråga om personuppgifter i databa- sen är tillräckligt att bestämmelser som tillåter elektroniskt utlämnande, inklusive direktåtkomst, tas in i förordning. Därmed kan detaljregler om t.ex. vilka personuppgifter som berörs medde- las i annan lag eller, om det anses lämpligare, i förordning. Genom att det krävs en författningsbestämmelse men räcker med en bestämmelse i förordning utfärdad av regeringen, kan ändringar till följd av uppkommande nya befogade behov av informationsutbyte och justeringar i myndighetsstrukturen komma till stånd på ett förhållandevis smidigt sätt som det finns tillräckliga garantier för att integritetsskyddsintressena uppmärksammas. Vid beredningen i av ett ärende om en bestämmelse som tillåter viss direktåtkomst ska nämligen yttrande från Datain- 164TP PT Prop. 2000/01:33 s. 133. 165TP PT Prop. 2002/03:135 s. 90, jämför dock om tolkningen av bestämmelsen Samsetrapport 2005:1 s. 90. spektionen hämtas in, 7 kap. 2 § regeringsformen. Den skyldighe- ten att höra Datainspektionen följer för övrigt också av EG- direktivet om personuppgifter (artikel 28.2). Vid elektroniskt utlämnande av personuppgifter i enlighet med bestämmelser i lag eller förordning måste givetvis övriga bestäm- melser om behandlingen av personuppgifter följas. Bestämmelserna som anger när elektroniskt utlämnande av personuppgifter får ske anger således bara när just ett sådant utlämnande får ske, om behandlingen är tillåten enligt övriga bestämmelser om behandling- en av personuppgifter. Bestämmelserna i registerlagen om när en behandling av personuppgifter över huvud taget är tillåten (se avsnitt 12X .7.11)X måste således följas, liksom bestämmelserna i registerlagen om vilka sökbegrepp som inte får användas (se avsnitt 12X .7.13)X . En upplysning om detta bör tas in i den grundläggande bestämmelsen om att elektroniskt utlämnande av personuppgifter av personuppgifter är tillåten bara i den utsträckning som det anges i lag eller förordning. Även tillämpliga bestämmelser i personupp- giftslagen, t.ex. om säkerheten vid behandling, måste givetvis följas. I fråga om befogade behov av mera ofta förekommande elektro- niskt utlämnande av personuppgifter från databasen som kan förutses bör dock grundläggande bestämmelser tas in i registerlagen. Jag här därför övervägt vilka sådana behov som skulle kunna finnas, men inte kunnat komma på några specifika sådana behov utöver den bestämmelse i förordningen om arbetslöshetsför- säkringsavgift om möjlighet för uppbördsmyndigheten att på medium för automatiserad behandling lämna vissa uppgifter till Alfa-kassan som föreslås i avsnitt 12X .5.1.X Några generella bestämmelser om elektroniskt utlämnande bör dock tas in i registerlagen. Det gäller bestämmelser om elektroniskt utlämnande till den registrerade själv, om det elektroniska uppgifts- lämnande som behövs för att uppbördsmyndigheten ska kunna få nödvändig information från andra instanser och om elektroniskt utlämnande av enstaka personuppgifter. Dessa fall berörs i det följande. Slutligen gäller det ett speciellt fall där en myndighet under () enligt förarbetena till en lagbe- stämmelse om uppgiftsskyldighet för myndigheter förutsätts på begäran få skyldigheten fullgjord genom utlämnande på medium för automatiserad behandling utan att det uttryckligen angetts i bestämmelsen. Även detta fall berörs i det följande. Direktåtkomst för den registrerade Jag anser att det inte finns några integritetsskyddsskäl som talar emot att den registrerade får ha direktåtkomst till sina egna personuppgifter som behandlas i databasen, om sekretess inte hindrar det, eller att uppgifterna på annat sätt lämnas ut elektro- niskt till den registrerade. I stället kan en sådan elektronisk tillgång – vid sidan av befintliga möjligheter och rättigheter att ta del av sina uppgifter – bidra till att det blir enklare för den registrerade att kontrollera sina uppgifter och göra gällande sina rättigheter, t.ex. om det har blivit något fel. En sådan tillgång torde också vara en förutsättning för att användbara s.k. e-tjänster ska kunna erbjudas. Jag föreslår som nämnts en grundläggande bestämmelse om att direktåtkomst till och annat elektroniskt utlämnande av person- uppgifter bara är tillåtet i den utsträckning som det anges i lag eller förordning, om den registrerade inte samtyckt. När den registrera- de bereds direktåtkomst till sina uppgifter torde samtycke alltid finnas eller kunna hämtas in utan olägenhet. Vid annat elektroniskt utlämnande, t.ex. om uppbördsmyndigheten som en service till registrerade utan tillgång till Internet skulle vilja sända de registre- rades uppgifter på något fysiskt datamedium, är det kanske inte lika praktiskt med samtycke på förhand. Jag anser i vart fall att det är bäst att för tydlighets skull i registerlagen ta in uttryckliga be- stämmelser om den registrerades elektroniska tillgång till sina egna personuppgifter. Jag föreslår därför en bestämmelse om att den registrerade, i den utsträckning sekretess inte hindrar det, får ha direktåtkomst till personuppgifter om sig själv som behandlas i databasen. I ett ärende kan det ibland förekomma uppgifter om andra per- soner än den person som är part. För en smidig elektronisk hantering av ärendena, t.ex. via s.k. e-tjänster, för såväl de enskilda som uppbördsmyndigheten är det av stort värde att den registrera- de genom direktåtkomst kan ta del av alla uppgifter i det ärende där han eller hon är part. Jag kan inte se några bärande integritets- skyddsskäl mot en sådan direktåtkomst och föreslår därför också en bestämmelse om att den registrerade, i den utsträckning sekretess inte hindrar det, får ha direktåtkomst till personuppgifter som finns i ett ärende enligt lagen om arbetslöshetsförsäkringsav- gift där den registrerade är part. Jag har i avsnitt 12X .7.14X föreslagit en uttrycklig skyldighet för uppbördsmyndigheten att se till att elektronisk tillgång till personuppgifter dokumenteras, dvs. registreras i en behandlings- historik (logg). Att den registrerade på ett enkelt sätt via direktåt- komst kan få del av begriplig dokumentation av den elektroniska tillgång som förekommit till hans eller hennes personuppgifter ger denne en ökad kontroll över vilken användning av uppgifterna som förekommit. Att den registrerade själv kan kontrollera behand- lingshistoriken innebär vidare bättre möjligheter att upptäcka och beivra obehörig åtkomst samt förstärker loggningens avhållande effekter. Jag föreslår därför även en bestämmelse om att den registrerade, i den utsträckning sekretess inte hindrar det, får ha direktåtkomst till uppgifter som avser dokumentation av den elektroniska tillgång som förekommit till hans eller hennes personuppgifter. De föreslagna bestämmelserna innebär inte i sig någon uppgifts- skyldighet för uppbördsmyndigheten eller någon skyldighet för uppbördsmyndigheten att faktiskt anordna den direktåtkomst som får förekomma enligt bestämmelserna. kan alltså t.ex. begränsa direktåtkomsten avseende dokumentationen av den elektroniska tillgången till uppgifter som inte direkt pekar ut enskilda handläggare. Möjligheten till direktåtkomst gäller bara i den utsträckning uppgifterna över huvud taget får lämnas ut till den registrerade. Sekretess kan således hindra direktåtkomsten. Sekretessregler hindrar dock typiskt sett inte att den enskilde får ut uppgifter om sig själv, 14 kap. 4 § första stycket sekretesslagen. Elektroniskt utlämnande för att kunna få information I samband med att uppbördsmyndigheten vill få elektronisk tillgång till personuppgifter från någon annan torde uppbördsmyn- digheten ofta ha att lämna ut personuppgifter elektroniskt. Om uppbördsmyndigheten t.ex. vill elektroniskt få uppgifter om namn, adress och dödsfall avseende de personer som är skyldiga att betala preliminär arbetslöshetsförsäkringsavgift från någon annan, t.ex. Navet, torde det ofta krävas att uppbördsmyn- digheten elektroniskt anger om vilka personer dessa uppgifter önskas. Gör uppbördsmyndigheten inte det, torde det ofta inte i praktiken gå att få elektronisk tillgång till uppgifterna. torde det alltså krävas att uppbördsmyndigheten elektroniskt sänder en fråga med personuppgifter, t.ex. personnummer, för att uppbörds- myndigheten ska kunna få uppgifter elektroniskt från någon annan. Sådant elektroniskt utlämnande av personuppgifter från upp- bördsmyndigheten som behövs för att annan ska kunna lämna ut personuppgifter elektroniskt till uppbördsmyndigheten bör rimligtvis vara tillåtet för att medge uppbördsmyndigheten en effektiv tillgång till personuppgifter i den utsträckning uppbörds- myndigheten har lagliga möjligheter till sådan tillgång. Jag föreslår därför en uttrycklig bestämmelse om att personuppgifter som behandlas i databasen får lämnas ut elektroniskt på annat sätt än genom direktåtkomst i den utsträckning det behövs för att annan ska kunna lämna ut uppgifter elektroniskt till uppbördsmyndighe- ten. Elektroniskt utlämnande av enstaka personuppgifter Det är i första hand ett systematiskt eller återkommande elektro- niskt utlämnande av sammantaget en större mängd personuppgifter som kräver begränsningar av integritetsskyddsskäl. Jag anser därför att det utan vidare bör tillåtas att enstaka personuppgifter lämnas ut på medium för automatiserad behandling eller via elektronisk kommunikation i enskilda fall om sekretess inte hindrar det. Därmed underlättas bl.a. den naturliga och vardagliga kommunikationen via e-post. Vid utlämnandet måste naturligtvis kraven på säkerhetsåtgärder i enlighet med personuppgiftslagen upprätthållas. Utlämnandet kan ske på någon form av fysiskt medium, såsom diskett, usb-minne, minneskort, cd- eller dvd-skiva, eller via någon form av elektronisk kommunikation, såsom e-post, SMS eller skriftlig dialog i realtid via Internet (s.k. chatt). Syftet med begränsningen till enstaka personuppgifter är att ett mer omfattande eller systematiskt uppgiftsutlämnande ska kräva särskilt författningsstöd. Ett helt register eller delar av ett register får således inte lämnas ut, t.ex. i form av en fil på diskett, med stöd av den nu berörda bestämmelsen. Däremot kan några enstaka handlingar och uppgifter lämnas ut via e-post som svar på en förfrågan eller på uppbördsmyndighetens eget initiativ. I kravet på att det ska vara fråga om elektronisk kommunikation i enskilda fall ligger att utlämnandet ska ske genom en icke automatiserad process, där någon handläggare hos uppbördsmyn- digheten är inblandad i varje utlämnande. är en myndighet under med uppgift att granska den verksamhet som bedrivs av staten, inklusive den verksamhet som bedrivs av uppbördsmyndigheten såsom statlig myndighet (12 kap. 7 § regeringsformen). ska enligt 6 § lagen (2002:1022) om revision av statlig verksamhet m.m. på begäran lämna den hjälp och de uppgifter och upplysningar som behöver för granskningen. Den bestämmelsen innefattar en uppgiftsskyldighet för uppbörds- myndigheten. Enligt förarbetena till bestämmelsen omfattar uppgiftsskyldigheten uppgiftslämnande på medium för automatise- rad behandling.TPF166FPT Den sekretess som gäller för personuppgifterna hos uppbördsmyndigheten gäller efter ett utlämnande också hos , 13 kap. 1 § sekretesslagen. Jag föreslår som nämnts en grundläggande bestämmelse om att direktåtkomst till och annat elektroniskt utlämnande av person- uppgifter som behandlas i databasen är tillåtet utan den registrera- des samtycke bara i den utsträckning som det anges i lag eller förordning. Den enligt förarbetena avsedda skyldigheten för uppbördsmyndigheten att till lämna ut begärda uppgifter på medium för automatiserad behandling anges emeller- tid inte uttryckligen i bestämmelsen om uppgiftsskyldighet i 6 § lagen (2002:1022) om revision av statlig verksamhet m.m. Jag föreslår därför en uttrycklig bestämmelse i registerlagen om att uppbördsmyndigheten på begäran enligt 6 § lagen (2002:1022) om revision av statlig verksamhet m.m. får lämna ut personuppgif- ter som behandlas i databasen till på medium för automatiserad behandling. 12.7.16 Överföring av personuppgifter till tredje land Min bedömning: Det behövs inte i registerlagen några särskilda bestämmelser om överföring av personuppgifter till tredje land. I personuppgiftslagen finns det särskilda bestämmelser om den form av behandling av personuppgifter som en överföring av dem till ett s.k. tredje land (en stat som varken ingår i Europeiska 166TP PT Prop. 2001/02:190 s. 158. unionen eller är ansluten till Europeiska ekonomiska samarbetsom- rådet) innebär (se avsnitt 12X .7.5)X . I särskilda registerförfattningar förekommer ibland bestämmelser om överföring av personuppgif- ter till tredje land. Såvitt jag kan bedöma torde uppbördsmyndigheten inte regel- mässigt behöva utbyta personuppgifter med myndigheter eller andra i tredje land. De bestämmelser om överföring av personupp- gifter till tredje land som finns i personuppgiftslagen får anses tillräckliga för de överföringar som det eventuellt kan bli aktuellt att utföra. Min bedömning är därför att det inte i registerlagen behövs några särskilda bestämmelser om överföring av personupp- gifter till tredje land. 12.7.17 Rättelse och skadestånd Mitt förslag: Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller vid behandling av personupp- gifter enligt denna lag eller föreskrifter som har meddelats i anslutning till denna lag. Enligt 28 § personuppgiftslagen (1998:204) gäller att den person- uppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med den lagen eller föreskrifter som har utfärdats med stöd av lagen. Den personuppgiftsansvarige ska också underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om mera betydan- de skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte lämnas om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Bestämmelserna i 28 § personuppgiftslagen om rättelse m.m. är således bara tillämpliga när personuppgifterna har behandlats i strid med den lagen eller föreskrifter som utfärdats med stöd av person- uppgiftslagen. Har personuppgifter behandlats på något sätt som bara står i strid med bestämmelser i en registerförfattning, gäller alltså formellt inte bestämmelserna i 28 § personuppgiftslagen om rättelse m.m. Den registrerade bör emellertid vid behandling av personuppgifter i strid med registerlagen eller föreskrifter som kan ha meddelats i anslutning till lagen ha samma möjligheter till rättelse m.m. som enligt 28 § personuppgiftslagen. Det är därför nödvändigt att i registerlagen ta in en särskild bestämmelse om detta som hänvisar till bestämmelserna om rättelse m.m. i person- uppgiftslagen. Enligt 48 § personuppgiftslagen ska den personuppgiftsansvari- ge ersätta en registrerad för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med personuppgiftslagen har orsakat. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas, om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Bestämmelserna i 48 § personuppgiftslagen om skadestånd gäller som framgått bara ersättningsskyldighet vid behandling av personuppgifter i strid med bestämmelserna i den lagen. De är alltså inte tillämpliga vid behandling av personuppgifter i strid med andra författningar. Ett motsvarande skadeståndsansvar som det som gäller enligt 48 § personuppgiftslagen bör dock finnas även vid behandling av personuppgifter som utförs i strid med registerlagen eller föreskrifter som kan ha meddelats i anslutning till lagen. En bestämmelse med denna innebörd bör därför tas in i registerlagen. De föreslagna bestämmelserna är inte avsedda att innebära avvi- kelser från personuppgiftslagen. En behandling av personuppgifter i strid med bestämmelserna i personuppgiftslagen när dessa är tillämpliga (därför att frågan inte reglerats särskilt i registerlagen), kan således föranleda rättelse m.m. och skadestånd enligt person- uppgiftslagen. Min bedömning: Det behövs ingen straffbestämmelse i regis- terlagen. I 49 § personuppgiftslagen finns det bestämmelser om straff för den som genom visst handlande bryter mot vissa bestämmelser i personuppgiftslagen. En behandling av personuppgifter i strid med bestämmelserna i personuppgiftslagen när dessa är tillämpliga därför att frågan inte reglerats särskilt i registerlagen eller annan författning med från personuppgiftslagen avvikande bestämmelser och som är straffbar enligt personuppgiftslagen, kan föranleda straffansvar enligt 49 § personuppgiftslagen. För felaktig behandling av personuppgifter som sker vid myn- dighetsutövning kan tjänstefelsansvar enligt 20 kap. 1 § brottsbal- ken komma i fråga. Det gäller om gärningen inte är belagd med straff enligt någon annan bestämmelse, t.ex. 49 § personuppgiftsla- gen. Även bestämmelsen om straff för dataintrång i 4 kap. 9 c § bör nämnas i sammanhannget. En behandling av personuppgifter i strid med bestämmelserna i registerlagen kan således, om förutsättningarna för det är uppfyllda, föranleda straffansvar för tjänstefel enligt . Mot den bakgrunden anser jag att det inte finns behov av någon särskild bestämmelse om straff vid överträdelser av bestämmelserna i registerlagen. Mitt förslag: Personuppgifter som inte tillförts ett ärende enligt lagen om arbetslöshetsförsäkringsavgift ska gallras så snart de inte längre behövs för att bedöma skyldighet att betala avgift enligt lagen om arbetslöshetsförsäkringsavgift.