sou · GWB354 · 2008-05-16 00:00:00 — Personuppgifter som behandlas i databasen med stöd av samtycke eller de i första stycket angivna ändamålen får enligt bestämmelsen – om sekretess inte hindrar det – lämnas ut till den registrerade själv, och regeringen samt, i den utsträck- ning uppgiftsskyldighet följer av lag eller förordning, till andra. Det är bara personuppgifter om den registrerade själv som får lämnas ut till den registrerade enligt bestämmelsen. Med uppgiftsskyldighet avses detsamma som enligt 14 kap. 1 § sekretesslagen. Uppgiftsskyldigheten kan avse utlämnande till andra myndigheter eller till enskilda. Även de helt generella bestämmelserna om skyldighet att på begäran lämna ut uppgifter till enskilda och myndigheter i 15 kap. 4 och 5 §§ sekretesslagen avses. Bestämmelsen är inte avsedd att påverka uppbördsmyndighe- tens skyldigheter enligt grundlag att lämna ut personuppgifter, t.ex. på begäran av enskild enligt offentlighetsprincipen. I andra stycket finns det i andra meningen en bestämmelse om att personuppgifter som behandlas också får, om sekretess inte hindrar det, lämnas ut när det behövs för att anmäla oegentlighet inom den verksamhet uppbördsmyndigheten bedriver till ett offentligt organ som har att utreda eller beivra oegentligheten. Anmälan ska avse sådant inom uppbördsmyndighetens verksamhet som kan betecknas som en oegentlighet som något offentligt organ har att utreda eller beivra. Det kan gälla t.ex. brottsmisstankar som anmäls till polismyndighet eller . Det kan också gälla sådant som kan föranleda en arbetsrättslig åtgärd, såsom disciplinansvar, åtalsanmälan, uppsägning eller avskedande, som anmäls till någon myndighets personalansvarsnämnd, inklusive personalansvarsnämnden hos uppbördsmyndigheten. Oegentlighe- ten kan ha begåtts av en sökande, som t.ex. lämnat in förfalskade handlingar, eller ha begåtts i verksamheten av andra än en sökande, t.ex. dataintrång av uppbördsmyndighetens personal, personal vid annan instans med direktåtkomst eller någon helt utomstående eller mutbrott och bestickning. I sådana fall där det inte finns någon anmälnings- eller underrättelseskyldighet får uppbördsmyn- digheten själv välja om en anmälan om oegentligheten ska göras till behörig instans eller inte. Myndigheten måste dock i dessa fall först avgöra om sekretess kan hindra anmälan; ofta kan emellertid en anmälan till myndighet göras utan hinder av annars gällande sekretess enligt 14 kap. 2 och 3 §§ sekretesslagen. Av 6 § andra stycket framgår det att även personuppgifter av känslig natur får lämnas ut i enlighet med andra stycket. Frågan om i vilken utsträckning utlämnandet av personuppgifter får ske i elektronisk form regleras i 9–13 §§. I tredje stycket bemyndigas regeringen att meddela föreskrifter om begränsningar av de i första stycket angivna tillåtna ändamålen och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. Bestämmelserna i paragrafen har berörts i avsnitt 12X .7.8.X Enligt paragrafen har den registrerade rätt att när som helst återkalla ett lämnat samtycke som är nödvändigt för att behand- lingen ska vara tillåten enligt lagen, se 4 § första stycket, 6 § första stycket och 9 §. Verkan av återkallelsen är att ytterligare person- uppgifter om den registrerade därefter inte längre får behandlas för det aktuella ändamålet. Bestämmelsen motsvarar och är avsedd att ha motsvarande innebörd som 12 § första stycket personuppgiftslagen, se prop. 1997/98:44 s. 123. Återkallelse kan avges muntligen eller skriftligen till uppbörds- myndigheten eller någon som på laglig grund företräder upp- bördsmyndigheten, t.ex. det personuppgiftsbiträde som för uppbördsmyndighetens räkning kan ha tagit emot samtycket. Det är vid tvist den registrerade som har bevisbördan för att en återkallelse gjorts och tidpunkten för denna. Frågan om ett meddelande från den registrerade är en sådan återkallelse som avses i paragrafen får avgöras enligt sedvanliga regler om tolkning av ensidiga rättshandlingar. Sedan uppbördsmyndigheten mottagit den registrerades återkal- lelse, får några ytterligare uppgifter om den registrerade inte samlas in eller annars behandlas för det aktuella ändamålet. Behandlingen av redan insamlade uppgifter får trots återkallelsen fortsätta i enlighet med det ursprungligen lämnade samtycket, men uppgif- terna får således inte t.ex. uppdateras eller kompletteras för det aktuella ändamålet. Bestämmelserna i paragrafen har berörts i avsnitt 12X .7.12.X Med känsliga personuppgifter avses enligt 13 § personuppgifts- lagen personuppgifter som rör hälsa eller sexualliv eller som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, eller medlemskap i fackförening. De uppgifter som avses i 21 § personuppgiftslagen är personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövan- den. Sådana personuppgifter som avses får enligt första stycket behandlas i databasen med den registrerades uttryckliga samtycke. Sådana personuppgifter får också behandlas i databasen om uppgifterna har lämnats i ett ärende enligt lagen om arbetslöshets- försäkringsavgift eller behövs för handläggningen av ett sådant ärende. Vidare får sådana uppgifter om sjukersättning och aktivi- tetsersättning behandlas i databasen om det är oundgängligen nödvändigt för att bedöma skyldighet att betala avgift enligt lagen om arbetslöshetsförsäkringsavgift. När det i paragrafen anges att uppgifterna behövs avses det- samma som när det i artikel 7 i EG-direktivet och 10 § personupp- giftslagen anges att behandlingen är nödvändig för olika syften. Med den registrerades uttryckliga samtycke avses detsamma som enligt 3 och 15 §§ personuppgiftslagen. Av andra stycket framgår det att känsliga personuppgifter och personuppgifter om lagöverträdelser m.m. alltid får behandlas för att lämnas ut när det är tillåtet enligt 4 § andra stycket. För att behandlingen av känsliga personuppgifter och person- uppgifter om lagöverträdelser m.m. ska vara tillåten krävs det dessutom att behandlingen över huvud taget är tillåten enligt 4 och 5 §§. För att behandlingen av dessa personuppgifter ska få genom- föras krävs det givetvis också att övriga bestämmelser om behand- lingen följs, t.ex. bestämmelserna i 8 § med restriktioner i fråga om sökbegrepp och i 9–13 §§ om direktåtkomst och annat elektroniskt utlämnande. Bestämmelserna i paragrafen innebär avvikelser från bestämmel- serna i 13–21 §§ personuppgiftslagen och gäller därför i stället för dessa bestämmelser. Bestämmelserna i paragrafen har berörts i avsnitt 12X .7.13.X Med uppgifter som rör hälsa eller sexualliv eller som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, eller medlemskap i fackförening avses samma slags uppgifter som enligt 13 § personuppgiftslagen. Med uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffpro- cessuella tvångsmedel eller administrativa frihetsberövanden avses samma slags uppgifter som enligt 21 § personuppgiftslagen. Sådana uppgifter som nämnts får enligt huvudregeln i paragrafen inte användas som sökbegrepp. Med enligt huvudregeln förbjudna sökbegrepp avses bokstäver, koder eller siffror som avslöjar eller rör sådana uppgifter som sagts och med vars hjälp man tillsammans med en sökmotor eller liknande funktion kan ta fram ett urval lagrade personuppgifter om en eller flera personer ur en samlad informationsmängd eller sortera personuppgifterna i informationsmängden. I paragrafens andra mening anges det ett undantag från huvud- regeln. Undantaget gäller sökning i bara ett visst ärende enligt lagen om arbetslöshetsförsäkringsavgift eller i en viss handling. Den som väl hittat fram till ett visst ärende enligt lagen om arbetslöshetsförsäkringsavgift eller en viss handling kan alltså enligt undantagsregeln fritt söka inom ramen för det ärendet eller den handlingen efter olika uppgifter, inklusive sådana uppgifter som avses i första meningen. Ett exempel är att den som har öppnat ett ordbehandlingsdokument i ett ordbehandlingsprogram använder det programmets funktion för att söka efter ord i det dokumentet. Avsikten är inte att uppbördsmyndigheten ska kunna upprätta en särskild handling eller ett särskilt ärende med uppgifter om många olika personer för att sedan använda enligt första meningen otillåtna sökbegrepp. I tredje meningen finns det ytterligare ett undantag från huvud- regeln som innebär att uppgifter om sjukersättning och aktivitets- ersättning får användas som sökbegrepp. Bestämmelserna i paragrafen har berörts i avsnitt 12X .7.14.X I paragrafens första stycke slås det i första meningen fast att uppbördsmyndigheten ska bestämma villkoren för elektronisk tillgång till personuppgifterna i databasen för den som deltar i uppbördsmyndighetens verksamhet. Av andra meningen framgår det att villkoren ska bestämmas så att sådan tillgång begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter inom uppbördsmyndighetens verksamhet enligt lagen om arbetslöshetsförsäkringsavgift. Den enskilde handlägga- ren hos uppbördsmyndigheten får alltså inte medges elektronisk tillgång till personuppgifter i databasen i större utsträckning än vad som behövs för att handläggaren ska kunna fullgöra sina arbets- uppgifter inom uppbördsmyndighetens verksamhet enligt lagen om arbetslöshetsförsäkringsavgift. Behörigheten till elektronisk tillgång bör framgå av interna regler eller beslut och bör lämpligen kompletteras med tekniska begränsningar som förhindrar att handläggaren elektroniskt kommer åt personuppgifter i databasen som han eller hon enligt de bestämda villkoren inte har behörighet till. De villkor för elektronisk tillgång till personuppgifter i databa- sen som uppbördsmyndigheten bestämmer kan ha betydelse vid tillämpningen av bestämmelsen om straff för dataintrång i 4 kap. 9 c § . Vilken elektronisk tillgång till personuppgifter i databasen som en enskild handläggare behöver för att kunna fullgöra sina arbets- uppgifter inom uppbördsmyndighetens verksamhet enligt lagen om arbetslöshetsförsäkringsavgift är i första hand upp till uppbörds- myndigheten att bedöma. Av andra stycket följer att den faktiska elektroniska tillgången till personuppgifter i databasen ska dokumenteras, t.ex. i en logg (behandlingshistorik). Dokumentationen ska avse alla former av elektronisk tillgång som förekommit till personuppgifterna i databasen oavsett om det är anställda som internt berett sig tillgång eller om utomstående har gjort det t.ex. via direktåtkomst. ska enligt andra stycket vidare genom- föra systematiska och återkommande kontroller av om obehörig åtkomst till personuppgifterna i databasen förekommit. Det räcker alltså inte att loggarna kontrolleras bara när uppbördsmyndigheten på annat sätt fått anledning att misstänka att obehörig åtkomst har Det bör i första hand vara upp till uppbördsmyndig- heten att bedöma hur kontrollerna bör genomföras. Avsikten med bestämmelsen är att åstadkomma en sådan lämplig säkerhetsnivå som avses i 31 § personuppgiftslagen. Det ligger i sakens natur att uppbördsmyndigheten ska vidta nödvändiga åtgärder om det genom kontrollerna eller eljest upptäcks att obehörig åtkomst till personuppgifterna i databasen förekommit. I tredje stycket anges det att regeringen, eller den myndighet som regeringen bestämmer, får meddela närmare föreskrifter om elektronisk tillgång och om dokumentation och kontroll. Bestämmelserna i paragrafen avviker inte från bestämmelserna om säkerheten vid behandling i 30–32 §§ personuppgiftslagen utan utgör preciseringar av dessa bestämmelser. har således att i andra avseende än som särskilt regleras i lagen om databasen hos Myndigheten för arbetslöshetsförsäkringsavgift vidta lämpliga åtgärder enligt vad som följer av personuppgiftslagen för att skydda de personuppgifter som behandlas. Bestämmelserna i paragrafen har berörts i avsnitt 12X .7.15.X Av paragrafen framgår det att direktåtkomst och annat elektro- niskt utlämnande av personuppgifter som behandlas i databasen bara är tillåtet utan den registrerades samtycke i den utsträckning som det anges i lag eller förordning. Med elektroniskt utlämnande avses alla former av utlämnande av personuppgifter i elektroniskt format, dvs. i binär form, såsom ettor och nollor. För sådant utlämnande krävs det alltså författningsstöd eller den registrerades samtycke. Sådant författningsstöd finns bl.a. i 10–13 §§. I lag eller förordning kan det således anges att elektroniskt utlämnande av personuppgifter som behandlas i databasen, t.ex. genom direktåtkomst, är tillåtet i andra fall än de som anges i 10– 13 §§. I 8 och 9 §§ förordningen om arbetslöshetsförsäkringsavgift finns det bestämmelser som tillåter utlämnande av uppgifter till Alfa-kassan på medium för automatiserad behandling. Med samtycke avses detsamma som enligt 3 § personuppgiftsla- gen. Vid elektroniskt utlämnande av personuppgifter som anges i lag eller förordning måste övriga bestämmelser i lagen om behandling- en av personuppgifter följas. En upplysning om detta har tagits in i Bestämmelserna som anger när elektroniskt utlämnan- de av personuppgifter får sker anger således bara när just ett sådant utlämnande får ske, om behandlingen är tillåten enligt övriga bestämmelser om behandlingen av personuppgifter. Bestämmelser- na om när en behandling av personuppgifter över huvud taget är tillåten (se 4 och 5 §§) måste således följas, liksom bestämmelserna om vilka sökbegrepp som inte får användas (se 7 §). Även tillämpli- ga bestämmelser i personuppgiftslagen, t.ex. om säkerheten vid behandling, måste givetvis följas. Bestämmelserna i paragrafen har berörts i avsnitt 12X .7.15.X Paragrafen rör den registrerades direktåtkomst. till uppgifter är enligt paragrafen bara tillåten i den utsträckning uppgifterna får lämnas ut till den registrerade. Sekretess kan alltså hindra direktåtkomst (eller annat avslöjande av uppgifterna) för den registrerade. Sekretessregler hindrar dock normalt inte att den enskilde får ut uppgifter om sig själv, 14 kap. 4 § första stycket sekretesslagen, men undantag kan gälla t.ex. med hänvisning till intresset att förebygga eller beivra brott, 5 kap. 1 § sekretesslagen. Av 11 § följer att personuppgifter under samma förutsättning också får lämnas ut elektroniskt till den registrerade på annat sätt än genom direktåtkomst. Direktåtkomsten får enligt första punkten omfatta uppgifter om den registrerade själv. Punkten ger inte stöd för att ge direktåt- komst till uppgifter om någon annan person än den registrerade själv. Enligt den andra punkten får direktåtkomsten avse alla uppgifter om den registrerade själv eller andra som finns i ett ärende enligt lagen om arbetslöshetsförsäkringsavgift där den registrerade är part. I den tredje punkten finns det bestämmelser som har anknytning till uppbördsmyndighetens skyldighet att se till att elektronisk tillgång till personuppgifter dokumenteras, dvs. registreras i en behandlingshistorik (logg), se 8 § andra stycket. Den registrerade får ha direktåtkomst till uppgifter som avser dokumentation av den elektroniska tillgång som förekommit till hans eller hennes personuppgifter. Bestämmelserna i denna paragraf innebär inte i sig någon upp- giftsskyldighet för uppbördsmyndigheten eller någon skyldighet för uppbördsmyndigheten att faktiskt anordna den direktåtkomst som får förekomma enligt bestämmelserna. kan alltså t.ex. begränsa direktåtkomsten avseende dokumentatio- nen av den elektroniska tillgången till uppgifter som inte direkt pekar ut enskilda handläggare. Bestämmelserna i paragrafen har berörts i avsnitt 12X .7.15.X I paragrafen finns det bestämmelser om när annat elektroniskt utlämnande än direktåtkomst får förekomma. Av första meningen framgår det att i den utsträckning direktåt- komst är tillåten är även andra former av elektroniskt utlämnande av personuppgifter tillåten. Av paragrafens andra mening framgår det att vissa former av elektroniskt utlämnande av enstaka personuppgifter är tillåtna även när direktåtkomst inte är tillåten. Utlämnandet är dock under alla förhållanden tillåtet bara om sekretess inte hindrar det. Vid utlämnandet måste bl.a. kraven på säkerhetsåtgärder i enlighet med personuppgiftslagen upprätthållas. En förutsättning för det elektroniska utlämnandet är att det avser bara enstaka personuppgifter. Ett mer omfattande eller systematiskt elektroniskt uppgiftsutlämnande kan alltså inte ske med stöd av paragrafen. Ett helt register eller delar av ett register får således inte lämnas ut elektroniskt, t.ex. i form av en fil på diskett, med stöd av paragrafen. Däremot kan några enstaka handlingar och uppgifter lämnas ut via e-post som svar på en förfrågan eller på uppbördsmyndighetens eget initiativ. De former av elektroniskt utlämnande som avses är utlämnande på medium för automatiserad behandling och utlämnande via elektronisk kommunikation. Utlämnandet kan alltså ske på någon form av fysiskt medium, såsom diskett, usb-minne, minneskort, cd- eller dvd-skiva, eller via någon form av elektronisk kommuni- kation, såsom e-post, SMS eller skriftlig dialog i realtid via Internet (s.k. chatt). I fråga om utlämnande via elektronisk kommunikation tillåts enligt paragrafen bara sådan kommunikation i enskilda fall. I kravet på att det ska vara fråga om elektronisk kommunikation i enskilda fall ligger att utlämnandet ska ske genom en icke automatiserad process, där någon handläggare hos uppbördsmyndigheten är inblandad i varje utlämnande. Bestämmelserna i paragrafen har berörts i avsnitt 12X .7.15.X Paragrafen tillåter att uppbördsmyndigheten på annat sätt än genom direktåtkomst elektroniskt lämnar ut personuppgifter i databasen i den utsträckning det behövs för att någon annan ska kunna lämna ut uppgifter elektroniskt till uppbördsmyndigheten. får således till annan elektroniskt sända en fråga med personuppgifter, t.ex. personnummer, för att uppbörds- myndigheten ska kunna få uppgifter elektroniskt från denne om de omfrågade personerna. Bestämmelserna i paragrafen har berörts i avsnitt 12X .7.15.X Paragrafen tillåter utlämnande av personuppgifter på medium för automatiserad behandling till . Sådant utlämnan- de är dock tillåtet bara om och i den utsträckning begär det med stöd av 6 § lagen (2002:1022) om revision av statlig verksamhet m.m. Bestämmelserna i paragrafen har berörts i avsnitt 12X .7.17.X Genom paragrafen görs för det första bestämmelserna om rät- telse i 28 § personuppgiftslagen tillämpliga på personuppgifter som inte har behandlats i enlighet med lagen om databasen hos Myn- digheten för arbetslöshetsförsäkringsavgift eller föreskrifter som har meddelats i anslutning till lagen om databasen hos Myndighe- ten för arbetslöshetsförsäkringsavgift. För det andra görs bestäm- melserna om skadestånd i 48 § personuppgiftslagen tillämpliga på skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen om databasen hos Myndigheten för arbetslöshetsförsäkringsavgift eller föreskrifter som har meddelats i anslutning till lagen om databasen hos Myndigheten för arbetslöshetsförsäkringsavgift orsakat. Paragrafen är inte avsedd att innebära någon avvikelse från per- sonuppgiftslagen. En behandling av personuppgifter i strid med bestämmelserna i personuppgiftslagen när dessa är tillämpliga (därför att frågan inte reglerats särskilt i lagen om databasen hos Myndigheten för arbetslöshetsförsäkringsavgift), kan således föranleda rättelse m.m. och skadestånd enligt personuppgiftslagen. Bestämmelserna i paragrafen har berörts i avsnitt 12X .7.19.X Paragrafen reglerar när personuppgifterna i databasen får och I första stycket finns det gallringsföreskrifter. Personuppgifter i ärenden enligt lagen om arbetslöshetsförsäkringsavgift ska enligt andra meningen gallras senast efter utgången av det avgiftsår ärendet avser. Övriga personuppgifter i databasen, dvs. sådana som inte tillförts ett sådant ärende, ska enligt första meningen gallras så snart de inte längre behövs för att bedöma skyldighet att betala avgift enligt lagen om arbetslöshetsförsäkringsavgift. Bestämmelserna i första stycket tillåter gallring utan beslut eller föreskrift av . Bestämmelserna i andra meningen i andra stycket innebär alltså att personuppgifterna i databasen får gallras när som helst, dock senast vid utgången av den angivna gallrings- fristen. Med gallring avses enligt paragrafen att personuppgifterna för- störs så att de inte kan återskapas. Det är alltså inte tillåtet att uppbördsmyndigheten inför gallringen av personuppgifterna i databasen för över dem på annat medium, t.ex. papper, och sedan bevarar informationen på det mediet längre än vad som följer av gallringsbestämmelserna. Något krav på att personuppgifter som uppbördsmyndigheten vid gallringstidpunkten redan avhänt sig till annan, t.ex. genom att sända en utskrift på papper, ska gallras (hos mottagaren) finns inte i paragrafen. Av andra stycket framgår det när undantag från gallringsföre- skrifterna i första stycket kan medges. För det första får regeringen eller den myndighet regeringen bestämmer meddela föreskrifter om att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål eller för Med historiska, statistiska eller vetenskapliga ändamål avses detsamma som enligt artikel 6 i EG-direktivet och 9 § tredje stycket personuppgiftslagen. Med bevarande för redovis- ningsändamål avses sådant bevarande som följer av god redovis- ningssed, jämför 45 § lagen (1996:1059) om statsbudgeten. I 1 § förordningen om databasen hos Myndigheten för arbetslöshetsför- säkringsavgift finns det bemyndiganden för att meddela föreskrifter om bevarande. För det andra får uppbördsmyndigheten i enskilda fall besluta att personuppgifterna i ett ärende enligt lagen om arbetslöshetsför- säkringsavgift ska bevaras på papper eller annat icke elektroniskt medium. Det kan ske t.ex. när personuppgifterna i ett ärende även efter gallringstidpunkten enligt första stycket i undantagsfall har betydelse därför att handläggning avseende ärendet i en eller annan mening kan sägas fortsätta hos uppbördsmyndigheten eller annan myndighet. Det kan exempelvis gälla en granskning avseende ärendet hos någon myndighet eller liknande med tillsynsfunktioner eller motsvarande, t.ex. ombudsmän (), Justitiekans- lern, utskott eller . Det kan också gälla ett beslut i ett ärende som överklagats och där överprövningen inte är klar . Det kan vidare gälla att anspråk på skadestånd framställts med anledning av handläggningen av ett ärende. Även andra undantagsfall där personuppgifterna i ett ärende enligt lagen om arbetslöshetsförsäkringsavgift kan ha betydelse även efter gallringstidpunkten torde kunna tänkas. Begränsningen till enskilda fall innebär att uppbördsmyndighe- ten inte regelmässigt får besluta om bevarande bara därför att personuppgifterna i en viss ärendetyp kanske skulle kunna komma att ha betydelse. Beslut om bevarande ska fattas före den föreskrivna gallrings- tidpunkten. Kravet på att personuppgifterna ska bevaras på ett icke elektro- niskt medium innebär att uppgifterna måste föras över från dator till ett sådant medium, t.ex. papper eller s.k. mikrokort. Med elektroniskt medium avses ett medium där personuppgifterna lagras i elektroniskt format, dvs. binär form, såsom ettor och nollor. På ett icke elektroniskt medium lagras personuppgifterna i stället i ett statiskt format, där det inte är möjligt att på elektronisk väg göra olika sammanställningar av informationen. 16.5Förslaget till lag om ändring i socialtjänstlagen (2001:543) 4 kap. 3 § Paragrafen kompletteras genom att arbetslöshetsförsäkringsavgift läggs till i uppräkningen i första stycket andra punkten. Skäliga kostnader för arbetslöshetsförsäkringsavgift får anses uppgå till avgiftens storlek för den aktuella personen. Ändringen har berörts i avsnitt 9X .5.6.X 16.6Förslaget till lag om ändring i sekretesslagen (1980:100) 7 kap. 10 §