sou · GVB345 · 2008-01-01 00:00:00 — matiserad behandling används gemensamt i verksamheten för de i 1 kap. 4 och 5 §§ angivna ändamålen (beskattningsdatabasen). I 1 kap. 4 § skattedatabaslagen anges beskattningsdatabasens primära ändamål. Bestämmelsen är så utformad att i stort sett hela verksamhet inom beskattningsområdet omfattas av ändamålsbeskrivningen. Denna omfattar bl.a. information som behövs hos för fastställande av underlag för samt bestämmande, redovisning, betalning och återbetalning av skatter och avgifter (punkten 1) och bestämmande av pensionsgrundande inkomst (punkten 2). I 1 kap. 5 § skattedatabaslagen anges de ändamål för vilka upp- gifter får tillhandahållas för verksamheter utanför . Dessa är mer begränsade än ändamålen enligt 1 kap. 4 §. Enligt 5 § får uppgifter behandlas för tillhandahållande av information som behövs i författningsreglerad verksamhet hos någon annan än bl.a. för att utgöra underlag för beslut och kontroll av bidrag och andra stöd (punkten 3), för pensionsberäkning (punk- ten 4) och för tillsyn och kontroll samt lämplighets- och tillstånds- prövning och annan liknande prövning (punkten 5). 4.3.3Uppgifter som får behandlas och elektroniskt uppgiftsutlämnande Uppgifter som får behandlas Beskattningsdatabasen får enligt 2 kap. 3 § skattedatabaslagen inne- hålla uppgifter om en fysisk persons identitet, medborgarskap, bosättning och familjeförhållanden (punkten 1). Här avses t.ex. person- eller samordningsnummer, folkbokföringsort och hem- adress. Likartade uppgifter som under punkten 1 får registreras avseende juridiska personer (punkten 2). Det kan vara fråga om organisationsnummer, juridisk form, firmatecknare samt adress- uppgifter. Vidare får databasen innehålla uppgifter om registrering för skatter och avgifter och underlag för fastställande av skatter och avgifter (punkterna 3 och 4). Med uppgifter om registrering för skatter eller avgifter avses bl.a. uppgifter om att någon är registrerad för mervärdesskatt eller som arbetsgivare och andra grundläggande uppgifter om skattskyldighet. Med underlag för fastställande av skatter och avgifter avses t.ex. uppgifter som lämnas i deklarationer om inkomst och förmögenheter eller kontrolluppgifter från arbetsgivare. Vidare får databasen innehålla uppgifter om bestämmande av skatter och avgifter (punkten 5). Härmed avses bl.a. uppgifter om inbetald preliminär skatt och socialavgifter, fastställd slutlig skatt för inkomst av tjänst eller kapital. Registret får därutöver bl.a. innehålla yrkanden och grunder i ett ärende, beslut, betalning, redovisning och övriga åtgärder i ett ärende (punkterna 9 och 10). Ytterligare preciseringar av vilka uppgifter som får behandlas enligt 2 kap. 3 § skattedatabaslagen har meddelats genom före- skrifter från dåvarande RSV (RSFS 2002:13). Bestämmelser som reglerar tillgången till uppgifterna i beskatt- ningsdatabasen finns i skattedatabaslagen, skattedatabasförord- ningen och i SekrL. I förarbetena till den lag som föregick skattedatabaslagen, skatte- registerlagen (1980:343), ansåg regeringen (prop. 1979/80:146 s. 26 f.) att utgångspunkten för utbyte av uppgifter mellan skatte- området och annat verksamhetsområde bör vara att de enskilda medborgarna bör kunna utgå från att uppgifter av känslig natur som lämnas för viss verksamhet inte används också för annan verksamhet. Det framhölls att ett uppgiftsutbyte i sådana fall skulle av många kunna upplevas som otillbörligt. Regeringen pekade å andra sidan på att det måste beaktas dels att informationsutbyte mellan myndigheter kan minska den enskildes uppgiftslämnande och statsförvaltningens kostnader, dels att sådant utbyte kan möjliggöra angelägna kontroller. Vid den intresseavvägning som således måste ske bör man, enligt regeringen, inte tillåta upp- giftsutbyte i andra fall än då intresset av utlämnande klart bedöms överväga risken för otillbörligt integritetsintrång. Av betydelse är bl.a. frågan hur pass nära de ifrågavarande verksamhetsområdena ligger varandra, i vilken mån uppgifterna är sekretesskyddade hos den mottagande myndigheten samt om det finns möjlighet att i förväg underrätta de enskilda om uppgiftsutbytet. I motiven till skattedatabaslagen uttalade regeringen bl.a. följan- de när det gäller myndigheters inhämtande av uppgifter från andra myndigheters register (prop. 2000/01:33 s. 111 f.): En utgångspunkt bör vara att myndigheter skall kunna utnyttja automatiserade förfaranden i sin ärendehantering i största möjliga omfattning, dock under förutsättning att behandlingen av person- uppgifter inte medför risk för otillbörligt intrång i enskildas personliga integritet. För myndigheter finns vanligtvis särskilda författningar som reglerar vilka automatiserade register eller andra personuppgifts- samlingar som får föras av myndigheten eller annars på vilket sätt personuppgifter får behandlas. I dessa författningar regleras även ända- målen med behandlingen. En myndighet som tar emot uppgifter från andra myndigheter har vanligen inte rättsligt stöd för att behandla uppgifterna annat än i enlighet med de för myndigheten gällande författningarna. Någon risk för att mottagande myndigheter skall be- handla personuppgifter som hämtas in på medium för automatiserad behandling på ett sätt som inte är avsett torde inte finnas. Under förutsättning att den utlämnande myndigheten har möjlighet att avgöra vilka uppgifter som skall lämnas ut saknas det därför enligt regeringens mening anledning att reglera när uppgifter får lämnas ut på medium för automatiserad behandling. Det finns med andra ord inte några bärande skäl för att i informationsutbytet mellan myndigheter skilja på utlämnande som görs på papper och utlämnande som sker elektroniskt. Om en myndighet får eller skall lämna ut uppgifter till annan myndighet, t.ex. med stöd av sekretesslagen eller andra författningar, bör det således vara upp till myndigheterna att avgöra på vilket sätt det skall göras. Någon reglering av möjligheterna för myndigheterna att lämna ut uppgifter till andra myndigheter på medium för automatiserad behandling behövs inte. Med myndighet avses, förutom statliga myndigheter på såväl central som lokal nivå, också länsstyrelserna, de allmänna försäkringskassorna samt kommunala nämnder av olika slag. De fall där , på medium för automatiserad behandling, lämnar ut uppgifter eller handlingar ur beskattningsdatabasen till en annan myndighet, har det alltså inte – i motsats till vad som gäller för behandlingen inom socialförsäkringens administration (avsnitt 4.2.3 jfr också avsnitt 5.2.1) – ansetts erforderligt att författningsreglera ens i förordning eller myndighetsföreskrifter. När det gäller frågan om vilka myndigheter (inklusive verksamhetsgrenar) som får ha direktåtkomst till beskattnings- databasen har det däremot ansetts krävas en uttömmande uppräk- ning i lag, 2 kap. 7 och 8 §§ skattedatabaslagen. Där anges också vilka uppgifter i 2 kap. 3 § som får göras tillgängliga för respektive myndighet genom direktåtkomst samt regleras närmare vilka per- soner respektive myndighets direktåtkomst får avse. Av uppräk- ningen i 2 kap. 7 och 8 §§ framgår att det, förutom , enbart är KFM och som får ha direktåtkomst till beskattningsdatabasen. I 2 kap. 7 § andra stycket och 8 § tredje stycket skattedatabas- lagen föreskrivs att regeringen meddelar närmare föreskrifter om vilka uppgifter direktåtkomst enligt respektive paragraf får omfatta. Av förarbetena till lagen framgår att det inte är fråga om en delegationsregel utan om en informationsregel (prop. 2000/01:33 s. 208 och s. 350). Regeringen har inte meddelat några sådana före- skrifter. 4.3.4Information till den registrerade Enligt 3 kap. 1 § skattedatabaslagen gäller vid tillämpningen av lagen bestämmelserna om information till den registrerade enligt 23 och 25–27 §§ PuL (se avsnitt 4.1.2). Av 3 kap. 2 § följer dock att information som skall lämnas enligt 26 § PuL inte behöver omfatta uppgift i handling som har kommit in i ett ärende eller handling som upprättats i ett ärende, om den enskilde har tagit del av hand- lingens innehåll. 4.4Behandling av personuppgifter inom Migrations- verkets verksamhet enligt utlännings- och medborgarskapslagstiftningen Den centrala databasen inom är den centrala utlänningsdatabasen, . CUD är ett verksamhetsstödjande ärendehanteringssystem som drivs med stöd av PuL och förord- ningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. I CUD finns en mängd personuppgifter om alla utlänningar som har sökt eller söker svenskt medborgarskap eller tillstånd att besöka, bo, arbeta eller studera i . Därutöver finns personuppgifter om bl.a. de utlänningar som har ansökt om uppehålls- eller arbetstillstånd m.m. men som har fått avslag på sina ansökningar. Förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstifningen trädde i kraft och gäller utöver PuL (1 § förordningen). Förordningen gäller endast vid automatiserad behandling av per- sonuppgifter i register. Den omfattar behandling av personupp- gifter som företas av bl.a. , polismyndigheternas och utlandsmyndigheternas verksamhet enligt utlännings- och medborgarskapslagstiftningen. Med sådan verksamhet avses enligt förordningen bl.a. verksamhet som gäller utlänningars vistelse i och avlägsnande från landet, verksamhet som gäller utlänningars rätt att arbeta i landet, mottagande av asylsökande och vissa andra utlän- ningar samt verksamhet som avser förvärv, förlust eller bibe- hållande av svenskt medborgarskap. Enligt förordningen får myndigheterna föra automatiserade verksamhetsregister för ändamålen författningsreglerad handlägg- ning av ärenden och underrättelseskyldighet (3 §). I förordningen specificeras de uppgifter som får behandlas i ett verksamhets- register. Sådana känsliga personuppgifter som anges i 13 § PuL får behandlas endast om uppgifterna är oundgängligen nödvändiga för ändamålen handläggning av ärenden respektive fullgörande av underrättelseskyldighet. De övriga myndigheter som tillämpar förordningen får ha direktåtkomst till verksamhetsregister (6 §). Myndigheternas direktåtkomst skall begränsas till att endast avse personuppgifter som en tjänsteman oundgängligen behöver föra att fullgöra sina arbetsuppgifter i verksamhet enligt utlännings- eller medborgarskapslagstiftningen. Utöver verksamhetsregister följer av den aktuella förordningen att även får föra automatiserade rättsfallsregister, fingeravtrycksregister samt landinformationsregister. Förordningen innehåller inga särskilda bestämmelser om infor- mation till den registrerade, varför PuL:s bestämmelser i detta avseende är tillämpliga. 4.4.2Utlänningsdatautredningens förslag till nya registerförfattningar har i betänkandet Utlänningsdatalag (SOU 2003:40) föreslagit att behandlingen av personuppgifter enligt utlännings- och medborgarskapslagstiftningen författnings- regleras i en lag som är anpassad till PuL och dataskyddsdirektivet. Lagen föreslås få namnet utlänningsdatalagen. Lagen ersätter den ovan redovisade förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Utredningen har även lämnat förslag om en förordning, utlännings- dataförordningen. Utredningens förslag bereds inom . Allmänt om förslaget samt dess tillämpningsområde Enligt förslaget skall lagen tillämpas vid behandling av uppgifter i bl.a. , och utlandsmyndig- heternas verksamhet som gäller exempelvis utlänningars inresa i eller i en stat som ingår i EU eller i en stat som är ansluten till EES, vistelse eller arbete i samt utresa från . Lagen skall vidare tillämpas i sådan verksamhet hos myndigheterna som gäller t.ex. mottagande av asylsökande och andra utlänningar, svenskt medborgarskap, och bosättning av utlänningar. Lagen skall gälla endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är till- gängliga för sökning eller sammanställning enligt särskilda kriterier. Enligt 3 § i förslaget till utlänningsdatalag gäller PuL för behand- lingen om inte annat följer av den föreslagna lagen eller föreskrifter som har meddelats med stöd av denna lag eller annars av 2 § PuL. I 5–8 §§ i förslaget till utlänningsdatalag regleras när behandling av personuppgifter är tillåten. Personuppgifter får, enligt förslaget, samlas in och fortsättningsvis behandlas bara om det är nödvändigt för vissa ändamål. Ändamålen anges konkret i lagen. En person- uppgift presumeras vara insamlad för samtliga dessa ändamål. De föreslagna ändamålen avser bl.a. handläggning av ärenden eller en myndighets biträde i sådana ärenden samt uppgiftsutlämnande som sker med stöd av lag eller förordning (5 § 1 och 4). Uppgifter som får behandlas och elektroniskt uppgiftsutlämnande Enligt 6 § i förslaget till utlänningsdatalag skall känsliga personupp- gifter som anges i 13 § PuL få behandlas om uppgifterna är ound- gängligen nödvändiga för syftet med behandlingen. har gjort den bedömningen att det i lagen inte behövs någon regel som tillåter eller förbjuder att personuppgifter skall få lämnas ut till en svensk myndighet på medium för automatiserad behandling. I lagen föreslås bestämmelser som uttömmande reglerar när personuppgifter får lämnas ut genom direktåtkomst (11 och 12 §§). Enligt förslaget skall , dåvarande , , och polismyndig- heterna samt utlandsmyndigheterna för ändamålet ärendehand- läggning få ha direktåtkomst till personuppgifter som behandlas automatiserat av för samma ändamål. Några av de nämnda myndigheterna skall även få direktåtkomst för ytterligare något ändamål. Annan direktåtkomst än den redovisade skall enligt förslaget inte vara tillåten. har övervägt en direktåtkomst även för CSN på grund av att har en författningsregle- rad skyldighet att lämna vissa uppgifter till CSN. Utlänningsdata- utredningens bedömning var att CSN inte skall medges direkt- åtkomst (se SOU 2003:40 s. 204 f.). Enligt utredningen är det mindre lämpligt att sprida integritetskänsliga uppgifter genom direktåtkomst till en mottagande myndighet som behandlar uppgif- terna för andra ändamål än de för vilka uppgifterna ursprungligen har samlats in. Utredningen pekade även på att CSN:s behandling i huvudsak styrs av PuL:s bestämmelser, eftersom särskild register- lagstiftning saknas för behandlingen av personuppgifter i CSN:s verksamhet. Mot bakgrund av det anförda ansåg utredningen att CSN:s direktåtkomst kan medföra en försämring av de enskildas integritetsskydd jämfört med om uppgifterna lämnas ut på annat sätt. angav att det också bör vägas in att CSN:s behov av uppgifter om utlänningar, som omfattas av nämn- dens handläggning, utan alltför mycket merarbete torde kunna tillgodoses på annat sätt än genom direktåtkomst. skäl mot att tillåta direktåtkomst för CSN pekade utredningen på att de tillgängliga uppgifterna inte får ett lika gott sekretesskydd hos CSN som hos . Ett rakt skaderekvisit gäller nämligen hos CSN för samma uppgifter som hos presumeras vara sekretessbelagda enligt ett omvänt skaderekvisit (jfr 9 kap. 5 § andra stycket och 7 kap. 14 § andra stycket SekrL). påpekade att det förhållandet att CSN inte skall medges direktåtkomst enligt utlänningsdatalagen inte hindrar att lämnar ut personuppgifterna till CSN på medium för automatiserad behandling. Enligt 19 § i förslaget till utlänningsdatalag meddelar regeringen föreskrifter som innebär begränsningar, utöver vad som följer av lagen, av bl.a. vilken direktåtkomst som får förekomma. I 7 och 8 §§ i förslaget till utlänningsdataförordning finns i enlighet med detta kompletterande bestämmelser om vilka personuppgifter som direktåtkomsten avser. Information till den registrerade Enligt förslag skall 23–27 §§ PuL om information till den registrerade gälla även när personuppgifter behandlas i verksamhet enligt utlännings- och medborgarskapslag- stiftningen. Några förslag om ytterligare bestämmelser om sådan information har därför inte lämnats. 4.5Behandling av personuppgifter i verksamhet 4.5.1Allmänt om registerförfattningarna och deras tillämpningsområde KFM:s behandling av personuppgifter i dess databaser, däribland utsöknings- och indrivningsdatabsen, regleras i KFMdbL och KFMdbF. I 1 kap. KFMdbL finns vissa gemensamma bestämmelser som rör behandling av myndighetens databaser. De olika databaserna har där reglerats särskilt i fråga om ändamål, vilka uppgifter som får behandlas samt gallring. Därutöver finns gemensamma bestämmel- ser om bl.a. direktåtkomst och sökbegrepp. Motsvarande bestämmelser som beskrivits i avsnitt 4.3.1 avseen- de behandling av personuppgifter i beskattningsdata- basen finns i KFMdbL. Sistnämnda lag hänvisar på samma sätt som skattedatabaslagen i vissa delar till PuL. Även i detta fall avser hän- visningen bl. 9 § PuL som innehåller krav på att personuppgifter bara får samlas in för särskilda uttryckligt angivna och berättigade ändamål samt att uppgifterna inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Enligt 2 kap. 1 § KFMdbL skall det i verksamhet med utsökning och indrivning finnas en samling uppgifter som med hjälp av auto- matiserad behandling används gemensamt i verksamheten för de i 2 och 3 §§ angivna ändamålen, utsöknings- och indrivningsdatabasen. I 2 kap. 2 § KFMdbL anges för vilka primära ändamål som uppgifter får behandlas i utsöknings- och indrivningsdatasen. Enligt bestämmelsen får uppgifter behandlas för tillhandahållande av information som behövs i och verksamhet för bl.a. verkställighet eller annan åtgärd som särskilt åligger KFM enligt UB eller annan författning. Av 2 kap. 3 § framgår för vilka sekundära ändamål, dvs. för till- handahållande av information som behövs i författningsreglerad verksamhet hos någon annan än och , som uppgifter får behandlas i databasen. I de utökade möjligheter till elektroniska informationsutbyten mellan myndigheter som vi överväger är KFM mottagare av uppgifter från andra myndigheter och det är fråga om uppgifter som behövs i KFM:s verksamhet. Vi går därför inte närmare in på de sekundära ändamålen. 4.5.3Uppgifter som får behandlas och elektroniskt uppgiftsutlämnande I utsöknings- och indrivningsdatabasen får i huvudsak uppgifter behandlas om personer som omfattas av verksamhet som avses med de primära ändamålen (2 kap. 4 § jfr med 2 § 1–5 KFMdbL). Av 2 kap. 5 § första stycket framgår att för de ändamål som anges i 2 § får i databasen uppgifter behandlas om bl.a. en fysisk persons identitet, bosättning och familjeförhållande, en enskilds ekonomiska förhållanden samt om egendom som berörs i ett mål. Enligt 2 kap. 5 § andra stycket meddelar regeringen eller den myndighet som regeringen bestämmer närmare föreskrifter om vilka uppgifter som får behandlas i databasen enligt första stycket. I 2 § KFMdbF föreskrivs vilka uppgifter som får behandlas i utsöknings- och indrivningsdatabasen beträffande personer som avses i 2 kap. 4 § KFMdbL. De uppgifter som får behandlas är bl.a. uppgifter om inkomster och skuldbelopp, uppgifter om förhör eller annan åtgärd som beslutats eller vidtagits för efterforskning av till- gångar samt övriga uppgifter som behövs för den verksamhet vars ändamål anges 2 kap. 2 § KFMdbL. På samma sätt som beskrivits i fråga om beskattningsdatabasen har det i fråga om utlämnande av uppgifter i de databaser som finns inom KFM:s verksamhet, inte ansetts erforderligt med bestäm- melser som reglerar i vilka fall uppgifter får lämnas ut till annan myndighet på medium för automatiserad behandling. Om KFM får eller skall lämna ut uppgifter till annan myndighet, t.ex. med stöd av SekrL eller andra författningar, är det således upp till KFM att avgöra på vilket sätt det skall göras. När det däremot gäller uppgiftsutlämnande till enskild på medium för automatiserad behandling regleras detta, i likhet med vad som gäller för behandling av uppgifter inom beskattningsverksamheten, särskilt. Således föreskrivs i 2 kap. 25 § KFMdbL att uppgifter i en databas får lämnas ut till en enskild på sådant medium endast om regeringen har meddelat föreskrifter om det. Regeringen har meddelat sådana föreskrifter i 11–17 §§ KFMdbF. Av 2 kap. 26 och 27 §§ KFMdbL framgår att , Tull- verket och Säkerhetspolisen får ha direktåtkomst till uppgifter som avses i 5 § 1–7. Det innebär att dessa myndigheter får ha direkt- åtkomst till vissa uppgifter i utsöknings- och indrivningsdatabasen. Åtkomsten avser dock inte elektroniska handlingar eller de upp- gifter rörande brott som får registreras i utsöknings- och indrivningsdatabasen (prop. 2000/01:33 s. 173 f.). I andra stycket anges att regeringen meddelar närmare föreskrifter om vilka uppgifter direktåtkomsten enligt första stycket får omfatta. Några sådana föreskrifter har inte meddelats. Däremot har bestämmelser om uppgiftsskyldighet i förhållande till , och införts i 7–8 §§ KFMdbF. 4.5.4Information till den registrerade I 3 kap. 1 och 2 §§ KFMdbL finns motsvarande betsämmelser om information till en registrerade som vi har beskrivit i avsnitt 4.3.4 i fråga om . 4.6Behandlingen av personuppgifter i den arbetsmarknadspolitiska verksamheten Inom AMV finns databasen , Informa- tionssystem. Länsarbetsnämnder och AMS har tillgång till systemet. AMS svarar för driften av , dock är det länsarbets- nämnderna och inte AMS som registrerar uppgifter i systemet. 4.6.1Allmänt om registerförfattningarna och deras tillämpningsområde Hanteringen av personuppgifter i AMV:s arbetsmarknadspolitiska verksamhet regleras i lagen (2002:546) om behandling av person- uppgifter i den arbetsmarknadspolitiska verksamheten och i förordningen (2002:623) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten. Enligt 1 § nämnda lag gäller lagen om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Av 2 § framgår att PuL gäller vid behandling av personuppgifter inom den arbetsmarkandspolitiska verksamheten, om inte annat följer av den aktuella lagen om behandling av personuppgifter eller annars av 2 § PuL. I 3 § anges att AMS är personuppgiftsansvarig för den behand- ling av uppgifter som styrelsen utför och att en länsarbetsnämnd är ansvarig för den behandling som nämnden utför. I 4 § lagen om behandling av personuppgifter i den arbetsmark- nadspolitiska verksamheten anges för vilka primära ändamål AMS och länsarbetsnämnderna får behandla personuppgifter inom den Uppgifter får enligt bestämmelsen behandlas om det behövs för bl.a. handläggning av ärenden som rör den arbetsmarknadspolitiska verksamheten. Av 5 § framgår för vilka ändamål AMS och länsarbetsnämnderna får behandla personuppgifter för att tillhandahålla information som behövs inom vissa andra myndigheters verksamhetsområde, sekun- dära ändamål. De andra myndigheter som omfattas av dessa ändamål är , , arbetslöshetskassorna, Skatte- verket och IAF. Av bestämmelsen följer bl.a. att AMS och länsarbetsnämnderna får behandla personuppgifter för tillhanda- hållande av information som behövs inom , CSN:s och arbetslöshetskassornas verksamhet, som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd (5 § 1). Enligt 6 § meddelar regeringen, eller den myndighet regeringen bestämmer, föreskrifter om begränsningar av ändamålen i 4 § samt om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. 4.6.3Uppgifter som får behandlas och elektroniskt uppgiftsutlämnande Av 6 och 7 §§ förordningen om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten framgår vilka person- uppgifter som får behandlas för ändamål som avses i 5 § i den aktuella registerlagen.