sou · GWB354 · 2008-05-16 00:00:00 — Frågan om i vilken utsträckning utlämnande av personuppgifter får ske i elektronisk form berörs i avsnitt 12X .7.15.X De bestämmelser om utlämnande av personuppgifter som jag nu redogjort för kan sägas innebära att personuppgifterna i databasen, på det sätt som krävs enligt artikel 6.1 i EG-direktivet om person- uppgifter, samlas in även för att senare eventuellt lämnas ut i de angivna fallen. Det föreslås att den reglering om när personuppgifter får behandlas som angetts tidigare i detta avsnitt 12X .7.11X ska vara uttömmande i den meningen att uppbördsmyndigheten inte i andra fall, eller för andra ändamål, får behandla personuppgifter i databasen. För att en behandling av personuppgifter i databasen ska vara tillåten krävs det alltså att den behövs för de angivna tillåtna ändamålen, behövs för att anmäla oegentlighet inom den verksamhet uppbördsmyndigheten bedriver till ett offentligt organ som har att utreda eller beivra oegentligheten, eller, i andra fall, avser utlämnande enligt en uppgiftsskyldighet i lag eller förordning eller till , regeringen eller den registrerade själv. Det är alltså inte tillåtet att i databasen behandla personuppgifter som samlats in för de tillåtna ändamålen för något annat ändamål även om detta ändamål inte skulle vara oförenligt med de tillåtna ändamålen (jämför finalitetsprincipen i 9 § första stycket d personuppgiftslagen); en sådan senare behandling för ett annat ändamål är tillåten bara med samtycke eller om behandlingen avser utlämnande i de fall som angetts. För att behandlingen ska få genomföras krävs det dock givetvis också att övriga bestämmelser om behandlingen följs, t.ex. de föreslagna särskilda bestämmelserna med restriktioner i fråga om personuppgifter av känslig natur, sökbegrepp och direktåtkomst och annat elektroniskt utlämnande. Den reglering som angetts avses vidare inte innebära avvikel- ser från bestämmelserna i personuppgiftslagen i den meningen att inskränkningarna i personuppgiftslagen i fråga om behandling av personnummer (22 §) och överföring av personuppgifter till tredje land (33 §) inte skulle gälla. Frågan om det bör finnas särskilda bestämmelser i registerlagen om behandling av personnummer och om överföring av personuppgifter till tredje land berörs i avsnitt 12X .7.12X respektive 12X .7.16.X När det gäller inskränkningarna i personuppgiftslagen i fråga om behandling av känsliga personupp- gifter (13 §) och personuppgifter om lagöverträdelser m.m. (21 §) finns det däremot särskilda bestämmelser i registerlagen som tar över bestämmelserna i personuppgiftslagen, se avsnitt 12X .7.12.X 12.7.12 Behandling av personuppgifter av känslig natur Mitt förslag: Sådana känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) och sådana personuppgifter om lagöverträdelser m.m. som avses i 21 § samma lag får förutom med den registrerades uttryckliga samtycke behandlas i databa- sen bara om det behövs enligt de tillåtna ändamålen under förutsättning att uppgifterna har lämnats i ett ärende enligt lagen om arbetslöshetsförsäkringsavgift eller behövs för hand- läggningen av ett sådant ärende. Uppgifter om sjukersättning och aktivitetsersättning får dock behandlas i databasen i enlighet med de tillåtna ändamålen om det behövs för att bedöma skyl- dighet att betala avgift enligt lagen om arbetslöshetsförsäkrings- avgift. Vad som sagts hindrar inte att personuppgifter lämnas ut när det är tillåtet enligt registerlagen. Det är vanligt att det i särskilda registerförfattningar finns be- stämmelser om när känsliga personuppgifter enligt 13 § person- uppgiftslagen (1998:204) och personuppgifter om lagöverträdelser m.m. enligt 21 § samma lag får behandlas. Med känsliga personupp- gifter avses enligt 13 § personuppgiftslagen personuppgifter som rör hälsa eller sexualliv eller som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, eller medlem- skap i fackförening. De uppgifter som avses i 21 § personuppgifts- lagen är personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrati- va frihetsberövanden. Det är vanligt att sådana personuppgifter som sagts får enligt bestämmelser i de särskilda registerförfatt- ningarna behandlas om de har lämnats i ett ärende eller är nödvän- diga för handläggningen av ett ärende, jämför också den generella bestämmelsen i 8 § personuppgiftsförordningen (1998:1191). Jag anser att sådana bestämmelser, som inte hindrar den nöd- vändiga handläggningen av ärenden, är lämpliga även i fråga om behandling av personuppgifter i databasen. Jag kan vidare inte se någon anledning att förhindra att känsliga personuppgifter och personuppgifter om lagöverträdelser m.m. behandlas med den registrerades uttryckliga samtycke. Jag föreslår därför att sådana känsliga personuppgifter som avses i 13 § personuppgiftslagen och sådana personuppgifter om lagöver- trädelser m.m. som avses i 21 § samma lag får behandlas i databasen bara med den registrerades uttryckliga samtycke eller om uppgif- terna har lämnats i ett ärende enligt lagen om arbetslöshetsförsäk- ringsavgift eller behövs för handläggningen av ett sådant ärende. Med den registrerades uttryckliga samtycke avses detsamma som enligt 15 § personuppgiftslagen. Eftersom personuppgifter om sjukersättning och aktivitetser- sättning kan behövas för att bedöma skyldighet att betala avgift enligt lagen om arbetslöshetsförsäkringsavgift utan att uppgifterna förekommer i ett egentligt ärende (därför att de angivna ersätt- ningarna medför att det inte finns skyldighet att betala avgift), bör det för tydlighets skull även anges att sådana uppgifter får behand- las i databasen om det behövs för att bedöma skyldighet att betala avgift enligt lagen om arbetslöshetsförsäkringsavgift. I de fall där jag föreslagit att personuppgifter får lämnas ut från databasen (se avsnitt 12X .7.11)X kan utlämnandet behöva avse alla slags personuppgifter. Jag föreslår därför att det alltid ska vara tillåtet att lämna ut personuppgifter, även känsliga personuppgifter och personuppgifter om lagöverträdelser m.m., från databasen om det behövs för att anmäla oegentlighet inom den verksamhet uppbörds- myndigheten bedriver till ett offentligt organ som har att utreda eller beivra oegentligheten eller för att lämna ut personuppgifter till den registrerade själv, och regeringen samt, i den utsträckning uppgiftsskyl- dighet följer av lag eller förordning, till andra. För att behandlingen av känsliga personuppgifter och personupp- gifter om lagöverträdelser m.m. ska vara tillåten krävs det dessutom att behandlingen över huvud taget är tillåten enligt de bestämmel- ser som beskrivs i avsnitt 12X .7.11.X För att behandlingen av dessa personuppgifter ska få genomföras krävs det givetvis också att övriga bestämmelser om behandlingen följs, t.ex. de föreslagna särskilda bestämmelserna med restriktioner i fråga om sökbegrepp och direktåtkomst och annat elektroniskt utlämnande. De nu berörda reglerna innebär avvikelser från bestämmelserna i 13–21 §§ personuppgiftslagen och tar över dessa bestämmelser. I personuppgiftslagen finns det också bestämmelser om behand- ling av personnummer som innebär att uppgifter om personnum- mer eller samordningsnummer får utan samtycke behandlas bara när det är klart motiverat med hänsyn till något beaktansvärt skäl, t.ex. ändamålet med behandlingen eller vikten av en säker identifie- ring (22 § personuppgiftslagen). Dessa bestämmelser förefaller ändamålsenliga även när det gäller behandlingen av personuppgifter i databasen. Jag föreslår därför inte någon särreglering av behand- lingen av personnummer och samordningsnummer i registerlagen, varför bestämmelserna i 22 § personuppgiftslagen är tillämpliga när uppbördsmyndigheten behandlar personuppgifter i databasen. En annan sak är att uppbördsmyndigheten för det mesta torde ha sådana skäl som krävs enligt lagrummet för att behandla uppgifter om personnummer och samordningsnummer. Mitt förslag: Som sökbegrepp får inte användas uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straff- processuella tvångsmedel eller administrativa frihetsberövanden eller uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa eller sexualliv. Vid sökning bara i ett visst ärende enligt lagen om arbetslöshetsförsäkringsavgift eller i en viss handling får dock sådana sökbegrepp användas. Uppgifter om sjukersättning och aktivitetsersättning får använ- das som sökbegrepp. Frågan om på vilket sätt personuppgifter sammanställs anses ofta som en av de viktigare frågorna ur integritetsperspektiv. Ju större möjligheter det finns att i olika konstellationer sammanställa uppgifter om enskilda, desto större blir riskerna för otillbörliga intrång i enskildas integritet.TPF156FPT Vilka rättsliga möjligheter till sammanställningar som finns i en myndighets datoriserade samlingar av uppgifter har betydelse för huruvida en handling är allmän och därmed omfattas av offentlig- hetsprincipen enligt 2 kap. tryckfrihetsförordningen. För att en handling ska vara allmän hos en myndighet krävs det att den är förvarad hos myndigheten, 2 kap. 3 § första stycket andra mening- en tryckfrihetsförordningen. Enligt den s.k. begränsningsregeln i 2 kap. 3 § tredje stycket tryckfrihetsförordningen anses en sam- manställning av uppgifter ur en upptagning för automatiserad 156TP PT SOU 2006:82 s. 210. behandling inte förvarad hos myndigheten – och därmed inte heller en allmän handling – om sammanställningen innehåller personupp- gifter och myndigheten enligt lag eller förordning saknar befogen- het att göra sammanställningen tillgänglig. Syftet med begräns- ningsregeln är att allmänheten inte med stöd av offentlighetsprin- cipen ska kunna ta del av sammanställningar av uppgifter ur upptagningar som myndigheten av hänsyn till skyddet för enskildas integritet är förhindrad att ta fram i sin egen verksamhet.TPF157FPT Det är alltså i fråga om datoriserade samlingar med personuppgifter möjligt att inskränka offentlighetsprincipen genom förordning eller annan lag än sekretesslagen. Genom att i en särskild registerför- fattning ta in föreskrifter om att en myndighet inte får använda vissa s.k. sökbegrepp kan man tillgodose intresset av integritets- skydd hos de personer som är registrerade utan att myndigheten behöver förbjudas att registrera vissa personuppgifter som behövs i verksamheten. Det är vanligt att det i särskilda registerförfattningar finns bestämmelser som innebär inskränkningar av vilka sökbe- grepp som får användas. Med sökbegrepp brukar förstås bokstäver, koder eller siffror med vars hjälp man tillsammans med en sökmotor eller liknande funktion kan ta fram ett urval lagrade personuppgifter om en eller flera personer ur en samlad informationsmängd som man har tillgång till.TPF158FPT Om t.ex. uppgifter om etniskt ursprung får användas som sökbegrepp, skulle det kunna vara möjligt att göra en samman- ställning av vilka personer som har visst etniskt ursprung, förutsatt givetvis att sådana uppgifter finns registrerade. I uppbördsmyndighetens databas behöver det på ett strukture- rat sätt registreras en hel del personuppgifter av ömtålig natur, t.ex. om inkomstförhållanden och arbetslöshet. Med hänsyn till den stora mängden personuppgifter som kom- mer att finnas i databasen och förekomsten av personuppgifter av ömtålig natur anser jag att det finns goda skäl att av integritets- skyddshänsyn i registerlagen införa begränsningar som innebär att vissa särskilt känsliga typer av uppgifter som uppbördsmyndighe- ten inte behöver använda som sökbegrepp för att klara sina arbetsuppgifter inte heller får användas. Därmed inskränks offentlighetsprincipen i motsvarande mån. Även andra myndighe- ters möjligheter att få ut sammanställningar från uppbördsmyndig- heten inskränks. 157TP PT Prop. 2001/02:70 s. 23. 158TP PT SOU 2006:82 s. 211. Det finns enligt min bedömning normalt sett inte något behov för uppbördsmyndigheten att som sökbegrepp använda sådana känsliga uppgifter som avses i 13 § personuppgiftslagen eller sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personupp- giftslagen. Det bör därför i registerlagen tas in ett förbud mot att använda sådana uppgifter som sökbegrepp. De uppgifter det är fråga om är sådana uppgifter som rör hälsa eller sexualliv eller som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filoso- fisk övertygelse eller medlemskap i fackförening. Vidare är det fråga om uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administra- tiva frihetsberövanden. har till arbetsuppgift att med ledning av inhämtade uppgifter bl.a. bedöma skyldigheten att betala arbetslös- hetsförsäkringsavgift och att, om det kan antas att det finns sådan skyldighet, fatta vissa beslut. måste därför, såvitt jag kan se, ha möjlighet att som sökbegrepp använda alla personuppgifter som har omedelbar betydelse för skyldigheten att betala avgift enligt lagen om arbetslöshetsförsäkringsavgift. Uppgifter om sjukersättning och aktivitetsersättning har sådan betydelse. Därför bör uppbördsmyndigheten få använda sådana uppgifter som sökbegrepp. Jag har övervägt om det finns någon annan typ av uppgifter än sådana uppgifter som avses i 13 och 21 §§ personuppgiftslagen som kan antas förekomma ofta i databasen och som uppbördsmyndig- heten inte behöver använda som sökbegrepp för att klara sina arbetsuppgifter. Främst på grund av att uppbördsmyndighetens arbetsuppgifter i praktiken går ut på bl.a. att med hjälp av insamla- de uppgifter om många människor om sådant som har betydelse för skyldighet att betala avgift söka fram de personer som har sådan skyldighet har jag dock inte funnit någon ytterligare typ av uppgifter som bör förbjudas som sökbegrepp. Avsikten med att införa begränsningar av vilka sökbegrepp som får användas är i första hand att förhindra att listor med flera personer som har en viss egenskap gemensam tas fram. Att den som väl hittat fram till ett visst ärende enligt lagen om arbetslös- hetsförsäkringsavgift eller en viss befintlig handling söker inom ramen för det ärendet eller den handlingen efter olika uppgifter kan däremot utgöra en naturlig del av och förenkla handläggningen av ärendet. Ett exempel är att den som har öppnat ett ordbehand- lingsdokument i ett ordbehandlingsprogram använder det pro- grammets funktion för att söka efter ord i det dokumentet. En sådan begränsad sökning kan inte heller anses innebära några särskilda integritetsrisker. Jag föreslår därför – av närmast praktiska skäl – att alla slags sökbegrepp får användas vid sökning bara i ett visst ärende enligt lagen om arbetslöshetsförsäkringsavgift eller i en viss handling. 12.7.14 Intern elektronisk tillgång till personuppgifter Mitt förslag: ska bestämma villkoren för elektronisk tillgång till personuppgifter i databasen för den som deltar i myndighetens verksamhet. Sådan tillgång ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter inom myndighetens verksamhet enligt lagen om arbetslöshetsförsäkringsavgift. Uppbördsmyn- digheten ska se till att elektronisk tillgång till personuppgifter dokumenteras och genomföra systematiska och återkommande kontroller av om obehörig åtkomst till uppgifterna förekommit. Regeringen, eller den myndighet som regeringen bestämmer, får meddela närmare föreskrifter om elektronisk tillgång och om dokumentation och kontroll. Av personuppgiftslagen framgår det att de personer som arbetar under uppbördsmyndighetens ledning, dvs. handläggarna och andra anställda, får behandla personuppgifter, t.ex. genom att ta del av dem, bara i enlighet med instruktioner från uppbördsmyndigheten (30 §) och att det åligger uppbördsmyndigheten att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personupp- gifter som behandlas (31 §). Med hänsyn till att det i databasen kommer att finnas en stor mängd uppgifter av ömtålig natur om väldigt många människor är det särskilt viktigt att den interna elektroniska tillgången till personuppgifterna – och vad som gäller i fråga om kontroll av den tillgången – regleras på ett tydligt sätt. Jag anser därför att det i registerlagen bör finnas uttryckliga bestämmelser om den interna elektroniska tillgången till personuppgifterna i databasen. I likhet med vad som föreslagits på hälso- och sjukvård- sområdetTPF159FPT föreslår jag att följande bestämmelser ska tas in i 159TP PT Prop. 2007/08:126 s. 148 ff. registerlagen: ska bestämma villkoren för elektronisk tillgång till personuppgifter i databasen för den som deltar i myndighetens verksamhet. Sådan tillgång ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter inom myndighetens verksamhet enligt lagen om arbetslöshetsförsäkringsavgift. ska också se till att elektronisk tillgång till personuppgifter dokumenteras och genomföra systematiska och återkommande kontroller av om obehörig åtkomst till uppgifterna förekommit. Eftersom det inte kan uteslutas att det kan behövas mer precise- rade författningsbestämmelser som inte lämpligen bör meddelas i lag, bör det vidare i registerlagen uttryckligen anges att regeringen, eller den myndighet som regeringen bestämmer, får meddela närmare föreskrifter om elektronisk tillgång och om dokumenta- tion och kontroll. De villkor för elektronisk tillgång till personuppgifter i databa- sen som uppbördsmyndigheten bestämmer kan ha betydelse vid tillämpningen av bestämmelsen om straff för dataintrång i 4 kap. 9 c § . Den enskilde handläggaren hos uppbördsmyndigheten bör alltså inte ha elektronisk tillgång till personuppgifter i databasen i större utsträckning än vad som behövs för att handläggaren ska kunna fullgöra sina arbetsuppgifter inom myndighetens verksamhet enligt lagen om arbetslöshetsförsäkringsavgift. Behörigheten bör framgå av interna regler och bör lämpligen kompletteras med tekniska begränsningar som förhindrar att handläggaren elektroniskt kommer åt personuppgifter i databasen som han eller hon enligt reglerna inte har behörighet till. Det torde dock inte vara praktiskt möjligt att med tekniska begränsningar förhindra all elektronisk tillgång till personuppgifter i databasen som inte behövs för att en handläggare ska kunna fullgöra sina arbetsuppgifter inom upp- bördsmyndighetens verksamhet enligt lagen om arbetslöshetsför- säkringsavgift. För att kunna utreda och beivra obehörig åtkomst som inte förhindras av tekniska begränsningar och försök från anställda och utomstående att kringgå de tekniska begränsningarna (t.ex. genom s.k. hackning) krävs det för det första att den faktiska elektroniska tillgången till personuppgifter i databasen dokumente- ras i en logg (behandlingshistorik). Dokumentationen ska avse alla former av elektronisk tillgång som förekommit till personuppgif- terna i databasen oavsett om det är anställda som internt berett sig tillgång eller om utomstående har gjort det t.ex. via direktåtkomst. För det andra krävs det att det genomförs systematiska och återkommande kontroller av om obehörig åtkomst till personupp- gifterna i databasen förekommit. Det räcker alltså inte att loggarna kontrolleras bara när uppbördsmyndigheten på annat sätt fått anledning att misstänka att obehörig åtkomst har förekommit. Det bör i första hand vara upp till uppbördsmyndigheten att bedöma hur kontrollen bör genomföras. Avsikten är att åstadkomma en sådan lämplig säkerhetsnivå som avses i 31 § personuppgiftslagen. Att loggning sker och att loggarna av uppbördsmyndigheten kontrolleras systematiskt och återkommande innebär inte bara att obehörig åtkomst kan upptäckas och beivras i efterhand utan torde också ha en avhållande effekt. Dessa effekter av loggningen förstärks genom mitt förslag om att den registrerade, i den utsträckning uppgifterna får lämnas ut till honom eller henne, får ha direktåtkomst till dokumentation av den elektroniska tillgång som förekommit till hans eller hennes personuppgifter, se avsnitt 12X .7.15.X Loggarna utgör vidare allmänna handlingar som den registrerade kan begära att få ta del av med stöd av offentlighets- principen. Det torde normalt inte gälla sekretess gentemot den registrerade för uppgifterna i loggarna. Jag har vidare övervägt att föreslå en uttrycklig bestämmelse om att uppbördsmyndigheten på begäran ska lämna den registrerade begriplig information om den elektroniska tillgång till hans eller hennes uppgifter som förekommit. En motsvarande bestämmelse har t.ex. föreslagits för hälso- och sjukvårdens del.TPF160FPT Jag har emellertid stannat för att inte lämna något sådant förslag. Det får nämligen förutsättas att uppbördsmyndigheten, såsom statlig förvaltningsmyndighet, på egen hand ser till att det är möjligt för registrerade som begär det att få se sådan dokumentation av den elektroniska tillgången som de kan förstå. De nu berörda bestämmelserna i registerlagen avviker inte från bestämmelserna om säkerheten vid behandling i 30–32 §§ person- uppgiftslagen utan utgör preciseringar av dessa bestämmelser. har således att i andra avseenden än som särskilt regleras i registerlagen vidta lämpliga åtgärder enligt vad som följer av personuppgiftslagen för att skydda de personuppgif- ter som behandlas i databasen. Avsikten är att Datainspektionen ska ha tillsyn över frågorna rörande informationssäkerhet. Det får förutsättas att berörda myndigheter samverkar i dessa frågor. 160TP PT Prop. 2007/08:126 s. 150 f. 12.7.15Direktåtkomst och annat elektroniskt utlämnande av personuppgifter Mitt förslag: Direktåtkomst till och annat elektroniskt utläm- nande av personuppgifter som behandlas i databasen är tillåtet utan den registrerades samtycke bara i den utsträckning som anges i lag eller förordning och under förutsättning att bestäm- melserna om tillåtna ändamål m.m. och sökbegrepp följs. Redan i registerlagen anges det att den registrerade i den utsträckning sekretess inte hindrar det får ha direktåtkomst till personuppgif- ter som behandlas i databasen, om uppgifterna 1.avser honom eller henne själv, 2.finns i ett ärende enligt lagen om arbetslöshetsförsäkrings- avgift där den registrerade är part, eller 3.avser dokumentation av den elektroniska tillgång som fö- rekommit till hans eller hennes personuppgifter. Vidare anges det redan i registerlagen att personuppgifter som behandlas i databasen får 1.på begäran enligt 6 § lagen (2002:1022) om revision av statlig verksamhet m.m. lämnas ut till på medi- um för automatiserad behandling, och 2.lämnas ut elektroniskt på annat sätt än genom direktåt- komst i den utsträckning det behövs för att annan ska kunna lämna ut uppgifter elektroniskt till uppbördsmyndigheten. När personuppgifter får lämnas ut till någon genom direkt- åtkomst, får personuppgifterna också på annat sätt lämnas ut elektroniskt till denne. Enstaka personuppgifter får även i andra fall lämnas ut på medium för automatiserad behandling eller via elektronisk kommunikation i enskilda fall om sekretess inte hindrar det. I personuppgiftslagen regleras det inte särskilt på vilket sätt – elektroniskt eller på annat sätt, t.ex. muntligt eller på papper – personuppgifter får lämnas ut när uppgifterna över huvud taget får lämnas ut. I många särskilda registerförfattningar finns det dock bestäm- melser om utomståendes direktåtkomst till myndigheters register och databaser och om när personuppgifter får lämnas ut på medium för automatiserad behandling. Det finns inte någon legaldefinition av begreppet direktåtkomst eller begreppet utlämnande på medium för automatiserad behandling, men frågor om sådana former av elektroniska utlämnanden har diskuterats i ett flertal förarbeten.