sou · GWB354 · 2008-05-16 00:00:00 — Sådana bestämmel- ser om uppgiftsskyldighet bör skiljas från bestämmelser som bara anger att uppbördsmyndigheten får lämna ut vissa uppgifter eller att sekretess inte hindrar ett utlämnande av vissa uppgifter. Den föreslagna registerlagen innehåller inte någon bestämmelse om uppgiftsskyldighet. De bestämmelser som föreslås t.ex. i fråga om ändamål med behandlingen och om direktåtkomst och annat elektroniskt utlämnande av personuppgifter anger nämligen bara vad som får ske. I annan lag eller i förordning kan det dock förekomma bestäm- melser om uppgiftsskyldighet för uppbördsmyndigheten. Avsikten är att den föreslagna registerlagen ska vara subsidiär i förhållande till sådana bestämmelser om uppgiftsskyldighet. Uppbördsmyn- digheten ska alltså få fullgöra uppgiftsskyldigheten enligt bestäm- melserna oberoende av vad som anges i registerlagen. Man skulle i och för sig kunna tänka sig att ha ett inledande stadgande i registerlagen som klargör detta förhållande. Så har särskilda registerförfattningar dock inte brukat utformas. Jag anser också att regleringen blir tydligast om vad som gäller i fråga om bestämmel- ser om uppgiftsskyldighet anges först vid de bestämmelser i den föreslagna registerlagen där de har relevans. Jag föreslår således, i anslutning till att tillåtna ändamål med behandlingen av personuppgifter i databasen anges, en uttrycklig bestämmelse om att de personuppgifter som behandlas också får lämnas ut till utomstående i den utsträckning uppgiftsskyldighet följer av lag eller förordning, se närmare avsnitt 12X .7.11.X Den bestämmelsen anger alltså enbart att uppgifterna får lämnas ut och inte hur utlämnandet får ske, muntligen, skriftligen på papper eller genom direktåtkomst eller annat elektroniskt utlämnande. 150TP PT SOU 2007:22 Del 1 s. 461 ff. om just utlämnandeformerna direktåtkomst och annat elektroniskt utlämnande föreslår jag av integritetsskyddsskäl en inskränkning som innebär att dessa former av utlämnande är tillåtna utan samtycke bara i den utsträckning som anges i lag eller förordning, se närmare avsnitt 12X .7.15.X Om det i lag eller förordning finns en uppgiftsskyldighet för uppbördsmyndigheten, kan uppbördsmyndigheten således utan hinder av registerlagen fullgöra skyldigheten genom att lämna ut uppgifterna muntligen eller skriftligen på papper eller annat icke elektroniskt medium.TPF151FPT Önskar uppbördsmyndigheten däremot fullgöra skyldigheten genom direktåtkomst eller annat elektroniskt utlämnande, måste uppbördsmyndigheten dock ha särskilt stöd för detta i registerlagen, annan lag eller förordning. Den föreslagna registerlagen innehåller som nämnts inte någon bestämmelse om uppgiftsskyldighet som enligt 14 kap. 1 § sekre- tesslagen skulle kunna bryta igenom sekretess vid utlämnande till myndighet. Avsikten är att den föreslagna lagen inte heller i övrigt ska påverka bestämmelserna om sekretess i sekretesslagen, inklusi- ve tillämpningen av den s.k. generalklausulen i 14 kap. 3 § sekre- tesslagen. Trots att det i den föreslagna registerlagen anges t.ex. att personuppgifter får behandlas i databasen om behandlingen behövs för att handlägga ärenden enligt lagen om arbetslöshetsförsäkrings- avgift, kan en behandling av personuppgifter som i och för sig behövs för att handlägga sådana ärenden men som innebär ett utlämnande av personuppgifter i sekretesslagens mening således hindras av sekretess enligt sekretesslagen. Jag anser att det är så självklart att det inte behöver anges uttryckligen i den föreslagna registerlagen; den föreslagna registerlagen anger på sedvanligt sätt bara vad som får ske om inte annan lagstiftning – eller t.ex. ekonomiska eller tekniska eller andra förhållanden – hindrar det. På motsvarande sätt bör bestämmelserna om sekretess i sekre- tesslagen betraktas; bestämmelserna anger när uppgifter inte får lämnas ut på grund av sekretess, men utsäger inget om när uppgif- ter får lämnas ut eller när uppgifter inte får lämnas ut på grund av bestämmelser i annan lagstiftning. I den utsträckning det skulle följa av den föreslagna registerlagen att en personuppgift inte får behandlas genom att lämnas ut, ska det alltså gälla oberoende av om sekretess hindrar utlämnandet eller inte. En annan sak är att sådant 151TP PT Skulle uppgiftsskyldighet vara föreskriven i förhållande till enskilda måste bestämmelser om sekretess iakttas, eftersom bestämmelsen i 14 kap. 1 § sekretesslagen om att uppgifts- skyldighet bryter sekretess bara gäller utlämnande till myndighet. utlämnande av uppgifter som uppbördsmyndigheten är skyldig att göra enligt grundlag, t.ex. enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen, får ske oberoende av vad det står i registerlagen. Mitt förslag: är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför vid förandet av databasen. Enligt definitionen i 3 § personuppgiftslagen är den personupp- giftsansvarig som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Personuppgiftsansvaret innebär bl.a. en skyldighet att se till att de i 9 § personuppgiftslagen angivna grundläggande kraven på behandling av personuppgifter iakttas. Vidare innebär personupp- giftsansvaret en skyldighet att lämna information till den registre- rade (23–27 §§ personuppgiftslagen), att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter som inte behandlats i enlighet med personuppgiftslagen (28 §), att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas (31 §), att – enligt huvudregeln – anmäla all automatiserad behandling av personuppgifter till Datainspektionen (36 §) samt att ersätta den registrerade för den skada en lagstridig behandling av personuppgifter för med sig (48 §). I lag eller förordning kan det bestämmas vem som är person- uppgiftsansvarig. En sådan bestämmelse är tillåten enligt EG- direktivet om personuppgifter (artikel 2 d) och tar över regleringen i personuppgiftslagen (2 § personuppgiftslagen). I särskilda registerförfattningar om behandling av personuppgifter i olika slags verksamheter har det ofta ansetts lämpligt från integritetsskydds- synpunkt att på ett tydligt sätt peka ut vem som är personuppgifts- ansvarig för den behandling av personuppgifter som regleras i de särskilda författningarna. har detta också ansetts nödvändigt med tanke på att ändamålen anges i lagen i stället för att bestämmas av den ifrågavarande myndigheten. I fråga om behandling av personuppgifter i uppbördsmyndighe- tens databas kan inte gärna annan än uppbördsmyndigheten vara personuppgiftsansvarig. Mot bakgrund av att de tillåtna ändamålen med uppbördsmyndighetens behandling anges i den föreslagna registerlagen föreslår jag att det uttryckligen i lagen ska anges att uppbördsmyndigheten är personuppgiftsansvarig för den behand- ling av personuppgifter som myndigheten utför vid förandet av databasen. Personuppgiftsansvaret innebär även ett ansvar för att en behandling av personuppgifter faktiskt utförs när den ska ske, t.ex. att rättelse, blockering eller gallring sker i föreskriven tid och på rätt sätt, liksom ett ansvar för att behandling av personuppgifter inte utförs när det inte får ske. Personuppgiftsansvaret gäller alltså också vid underlåtenhet att utföra en behandling som åligger uppbördsmyndigheten. 12.7.11 När personuppgifter får behandlas Mitt förslag: Personuppgifter får behandlas i databasen förutom med den registrerades samtycke bara om behandlingen behövs för att bedöma skyldighet att betala avgift enligt lagen om arbetslöshetsförsäkringsavgift eller handlägga ärenden enligt den lagen. Regeringen får meddela föreskrifter om begränsningar av ändamålen och om begränsningar av vilka personuppgifter som får behandlas. Personuppgifter som behandlas i databasen får dock, om sek- retess inte hindrar det, lämnas ut till den registrerade själv, och regeringen samt, i den utsträckning uppgiftsskyl- dighet följer av lag eller förordning, till andra. Personuppgifter som behandlas i databasen får också, om sekretess inte hindrar det, lämnas ut när det behövs för att anmäla oegentlighet inom den verksamhet uppbördsmyndigheten bedriver till ett offent- ligt organ som har att utreda eller beivra oegentligheten. Enligt artikel 6.1 b i EG-direktivet om personuppgifter och 9 § personuppgiftslagen får personuppgifter samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål. Personupp- gifterna får senare inte behandlas för något ändamål som är oförenligt med de ändamål för vilka uppgifterna samlades in (den s.k. finalitetsprincipen). I särskilda registerförfattningar brukar det regelmässigt anges för vilka ändamål personuppgifter får behandlas. Sådana bestäm- melser anger alltså ramen för den behandling som får förekomma i den verksamhet som regleras i författningen. Jag föreslår att de tillåtna ändamålen med behandling av person- uppgifter i uppbördsmyndighetens databas på sedvanligt sätt anges i registerlagen. behöver för det första behandla person- uppgifter i databasen för att handlägga ärenden enligt lagen om arbetslöshetsförsäkringsavgift, t.ex. med hjälp av ett ärendehanter- ingssystem som innefattar funktioner för att skanna in inkomna pappershandlingar. behöver vidare behandla personuppgif- ter i databasen för att bedöma skyldighet att betala avgift enligt lagen om arbetslöshetsförsäkringsavgift även när det inte kan sägas vara fråga om handläggning av ärenden. Avsikten är ju att upp- bördsmyndigheten ska från få information om inkomstförhållandena för sådana personer som, t.ex. på grund av lämnade kontrolluppgifter, skulle kunna antas vara skyldiga att betala arbetslöshetsförsäkringsavgift. Bedömer uppbörds- myndigheten att avgiftsskyldighet trots allt inte kan antas, torde något ärende i egentlig mening inte initieras. Därför bör det för tydlighets skull uttryckligen anges att behandling får ske i databa- sen även för att bedöma skyldighet att betala avgift enligt lagen om arbetslöshetsförsäkringsavgift. Jag föreslår således en bestämmelse om att personuppgifter får behandlas i databasen om behandlingen behövs för att bedöma skyldighet att betala avgift enligt lagen om arbetslöshetsförsäk- ringsavgift eller handlägga ärenden enligt den lagen. Den bestäm- melsen om tillåtna ändamål innebär en avvikelse från personupp- giftslagen såtillvida att den ersätter 10 § personuppgiftslagen. får således i databasen inte t.ex. behandla personuppgifter efter en intresseavvägning enligt 10 § f personupp- giftslagen. Även behandling av personuppgifter som behövs för planering, uppföljning och utvärdering av verksamheten med ärendehand- läggning och bedömning av skyldighet att betala avgift faller under de angivna tillåtna ändamålen. Sådan behandling är nämligen i enlighet med vad Lagrådet ansettTPF152FPT en integrerad del av själva verksamheten och inte någon från denna fristående aktivitet. Att uppgifter som får användas i verksamheten också får användas för planering m.m., inklusive framställning av statistik, framstår därför som så självklart att det inte behöver sägas uttryckligen. När det i den föreslagna registerlagen anges att behandlingen behövs eller uppgifterna behövs för olika syften avses detsamma som när det i artikel 7 i EG-direktivet och 10 § personuppgiftslagen anges att behandlingen är nödvändig för olika syften. För att en personuppgift ska få (behandlas genom att) samlas in krävs det att behandlingen behövs för åtminstone något av de angivna tillåtna ändamålen. De personuppgifter som för de angivna ändamålen får behandlas i databasen får anses insamlade för samtliga ändamål. Personuppgif- ter som har samlats in för att bedöma skyldighet att betala avgift kan således utan hinder av den s.k. finalitetsprincipen i 9 § första stycket d personuppgiftslagen senare behandlas för att handlägga ett ärende enligt lagen om arbetslöshetsförsäkringsavgift. Däremot får uppbördsmyndigheten inte i databasen (utan samtycke från den registrerade, se nedan) behandla personuppgifter för något annat ändamål än vad som framgår ovan. Detta är inte ens tillåtet om ändamålet med denna behandling inte skulle vara oförenligt med det för vilket personuppgifterna ursprungligen samlades in. Vad som gäller i fråga om att lämna ut personuppgifter från databasen för andra ändamål berörs snare. Närmare föreskrifter om ändamålen De tillåtna ändamålen med behandlingen har angetts på ett förhållandevis allmängiltigt sätt, eftersom jag ansett att det inte är lämpligt eller möjligt att ha bestämmelser med större precision i lag. Det kan emellertid inte uteslutas att det i vissa fall kan vara önskvärt att av integritetsskyddsskäl ytterligare precisera bestäm- melserna om ändamål och vilka personuppgifter som får behandlas för ändamålen. Jag föreslår därför att regeringen bemyndigas att meddela före- skrifter om begränsningar av de i registerlagen angivna tillåtna ändamålen och om begränsningar av vilka personuppgifter som får 152TP PT Prop. 2004/05:164 s. 179. Jag har dock inte utformat något förslag till sådana föreskrifter. Det är nämligen svårt att utforma sådana preciserade bestämmelser om t.ex. vilka kategorier av personuppgifter som får registreras innan databasen och informationsflödet har planerats i alla detaljer och helst också provats ett tag. Till dess närmare föreskrifter har hunnit utfärdas har uppbördsmyndigheten att i fråga om vilka personuppgifter som får registreras hålla sig till de allmänna bestämmelserna i 9 § personuppgiftslagen. Dessa be- stämmelser innebär bl.a. att i databasen får behandlas bara de personuppgifter som är adekvata och relevanta i förhållande till ändamålen med behandlingen och att inte fler personuppgifter får behandlas i databasen än som är nödvändigt med hänsyn till ändamålen med behandlingen. Samtycke till annan behandling De redan nämnda ändamålen – handlägga ärenden och bedöma skyldighet att betala avgift – täcker enligt min bedömning all den behandling av personuppgifter i databasen som uppbördsmyndig- heten behöver utföra för att fullgöra sina arbetsuppgifter; till frågan om när personuppgifter ska för andra ändamål få lämnas ut från databasen återkommer jag. Det kan dock inte uteslutas att upp- bördsmyndigheten skulle kunna finna det ändamålsenligt och förenligt med sina arbetsuppgifter att utföra behandling av personuppgifter i databasen även i andra fall, t.ex. för att ge utökad service åt avgiftsskyldiga. Det bör därför övervägas om sådan behandling bör vara tillåten med den registrerades samtycke. Enligt min mening finns det inte några beaktansvärda integri- tetsskyddsskäl som talar emot att tillåta uppbördsmyndigheten att i databasen behandla personuppgifter för vilket ändamål som helst med stöd av frivilligt samtycke från den registrerade.TPF153FPT Jag anser vidare att det inte är nödvändigt med bestämmelser som förbjuder eller gör det möjligt att förbjuda en behandling av personuppgifter i databasen som sker med den registrerades samtycke. Jag föreslår därför en bestämmelse som innebär att personupp- gifter får behandlas i databasen, om den registrerade har samtyckt till behandlingen. 153TP PT Motsvarande bedömning har gjorts av regeringen på hälso- och sjukvårdsområdet, se prop. 2007/08:126 s. 64 ff. Behandlingen av personuppgifter i databasen får med samtycke avse vilket ändamål som helst. Eftersom personuppgifter får samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål och senare inte får behandlas för något ändamål som är oförenligt med de ändamål för vilka uppgifterna samlades in (9 § första stycket c och d personuppgiftslagen), måste uppbördsmyndigheten i detta fall själv ange ändamålet med behandlingen. De personupp- gifter som har samlats in med stöd av den registrerades samtycke får således – till skillnad från vad som gäller för personuppgifter som har samlats in bara med stöd av de angivna tillåtna ändamålen – senare användas för ändamål som inte är oförenliga med det ändamål för vilket de insamlades (9 § första stycket d personupp- giftslagen). Den registrerade kan samtycka till att personuppgifter som redan samlats in för de angivna tillåtna ändamålen senare används för något annat ändamål. Den fortsatta behandlingen för det nya ändamålet är då tillåten med stöd av samtycket. Med samtycke avses detsamma som enligt personuppgiftslagen (3 §), nämligen varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått informa- tion, godtar behandling av personuppgifter som rör honom eller henne. Även frågorna om när den registrerade själv kan lämna ett samtycke och om vem som kan lämna ett samtycke för en registre- rad som inte kan det får bedömas på samma sätt som enligt personuppgiftslagen.TPF154FPT I flera fall kan ett utlämnande av personuppgifter från databasen vara tillåtet därför att det sker för de angivna tillåtna ändamålen, t.ex. för att handlägga ärenden enligt lagen om arbetslöshetsförsäk- ringsavgift. Det gäller t.ex. när uppbördsmyndigheten kommunice- rar med en part i ett ärende eller kontrollerar dennes uppgifter hos någon annan instans. Det kan emellertid förekomma att upp- bördsmyndigheten är skyldig att eller annars behöver lämna ut personuppgifter från databasen trots att det inte behövs för handläggningen av ärenden eller för att bedöma skyldighet att betala avgift. Nedan redogörs för i vilka fall uppbördsmyndigheten 154TP PT Se SOU 1997:39 s. 343 f. och , Personuppgiftslagen – En kommentar, tredje upplagan 2007, s. 90 f. med vidare hänvisningar. bör få utan samtycke lämna ut personuppgifter från databasen för andra ändamål än de angivna tillåtna ändamålen. I den utsträckning uppbördsmyndigheten har en skyldighet enligt lag eller förordning att lämna ut personuppgifter från databasen för annat än de tillåtna ändamålen, bör den skyldigheten få fullgöras oberoende av registerlagen även om den registrerade inte lämnat sitt samtycke till det. Jag föreslår därför en bestämmelse om att uppbördsmyndighe- ten får, om sekretess inte hindrar det, till andra myndigheter och till enskilda lämna ut personuppgifter som behandlas i databasen enligt de angivna tillåtna ändamålen eller med stöd av den registre- rades samtycke i den utsträckning uppgiftsskyldighet följer av lag eller förordning. Med uppgiftsskyldighet avses detsamma som enligt 14 kap. 1 § sekretesslagen. Uppgiftsskyldigheten kan avse utlämnande till andra myndigheter eller till enskilda. Även skyldigheten enligt 4 kap. 11 § riksdagsordningen att på begäran lämna utskott upplysningar och yttranden avses. Som exempel på uppgiftsskyldighet kan nämnas 6 § lagen (2002:1022) om revision av statlig verksamhet m.m. Enligt den bestämmelsen ska upp- bördsmyndigheten på begäran lämna den hjälp och de uppgifter och upplysningar som behöver för sin granskning. Också skyldigheterna enligt 2 kap. tryckfrihetsförord- ningen avses. De föreslagna bestämmelserna om tillåtna ändamål kan därför aldrig vara sådana bestämmelser som avses i 2 kap. 3 § tredje stycket tryckfrihetsförordningen.TPF155FPT Även de helt generella bestämmelserna om skyldighet att på begäran lämna ut uppgifter till enskilda och myndigheter i 15 kap. 4 och 5 §§ sekretesslagen avses. Enligt den förstnämnda bestämmel- sen ska uppbördsmyndigheten på begäran av enskild lämna uppgift ur allmän handling som förvaras hos uppbördsmyndigheten i den mån hinder inte möter på grund av bestämmelse om sekretess eller av hänsyn till arbetets behöriga gång, och enligt den sistnämnda bestämmelsen ska uppbördsmyndigheten på begäran av annan myndighet lämna uppgift som uppbördsmyndigheten förfogar över i den mån hinder inte möter på grund av bestämmelse om sekretess eller av hänsyn till arbetets behöriga gång. Att uppbördsmyndighe- ten enligt dessa bestämmelser på begäran av enskild eller myndig- het lämnar ut personuppgifter hindras alltså inte av registerlagen. 155TP PT Jämför SOU 2004:6 s. 246, prop. 2007/08:126 s. 125 och lagrådsremiss om utökat elektroniskt informationsutbyte s. 67 ff. Inte heller uppbördsmyndighetens skyldigheter enligt grundlag att lämna ut personuppgifter, t.ex. på begäran av enskild enligt offentlighetsprincipen, hindras som nämnts av den föreslagna lagen (se avsnitt 12X .7.9)X . Jag anser vidare att uppbördsmyndigheten utan hinder av regis- terlagen bör få lämna ut personuppgifter som behandlas i databasen enligt de angivna tillåtna ändamålen eller med stöd av den registre- rades samtycke till och regeringen och föreslår en bestämmelse om detta. Sekretess hindrar inte sådant utlämnande, se 14 kap. 1 § sekretesslagen. Jag anser också att det inte finns några integritetsskyddsskäl som talar emot att personuppgifter som behandlas i databasen enligt de angivna tillåtna ändamålen eller med stöd av den registre- rades samtycke lämnas ut till den registrerade själv om sekretess inte hindrar det. Jag föreslår därför en uttrycklig bestämmelse om detta. I uppbördsmyndighetens verksamhet kan det upptäckas oegent- ligheter. Det kan gälla t.ex. en sökande som lämnat in förfalskade handlingar. Det kan också gälla oegentligheter begångna i verksam- heten av andra än en sökande, t.ex. dataintrång av uppbördsmyn- dighetens personal, personal vid annan instans med direktåtkomst eller någon helt utomstående eller mutbrott och bestickning. I vissa fall finns det en skyldighet för myndigheter enligt lag eller förordning att anmäla oegentligheter. Det har t.ex. införts en skyldighet för bl.a. vissa myndigheter att till polismyn- dighet eller anmäla misstänkta brott enligt bidragsbrottslagen (2007:612). träder vidare en särskild lag om underrättelseskyldighet vid felaktiga utbetalningar från välfärdssystemen i kraft som ålägger bl.a. vissa myndigheter en skyldighet att underrätta beslutande instans om det finns anledning att anta att det blivit något fel i fråga om ekonomiska förmåner från det allmänna, se avsnitt 12X .5.3.X En anmälnings- eller underrättelse- skyldighet får anses innebära en sådan uppgiftsskyldighet som genombryter sekretess enligt 14 kap. 1 § sekretesslagen vid utlämnande till myndighet och som ska kunna fullgöras oberoende av bestämmelserna om ändamål i den föreslagna registerlagen. Någon generell skyldighet för myndigheter att anmäla oegent- ligheter inom verksamheten finns dock inte. I sådana fall där det inte finns anmälnings- eller underrättelseskyldighet får myndighe- ten själv välja om en anmälan om oegentligheten ska göras till behörig instans eller inte. Myndigheten måste dock i dessa fall först avgöra om sekretess kan hindra anmälan; ofta kan emellertid en anmälan till myndighet göras utan hinder av annars gällande sekretess enligt 14 kap. 2 och 3 §§ sekretesslagen. Även om det finns vissa risker i integritets- och rättssäkerhets- hänseende med att en myndighet har, inte en skyldighet utan, en viss valmöjlighet i fråga om en för den enskilde klart negativ åtgärd ska vidtas eller inte, anser jag att det är rimligt och proportionerligt att uppbördsmyndigheten även när det inte finns en anmälnings- eller underrättelseskyldighet får lämna ut personuppgifter från databasen för att, om sekretess inte hindrar det, anmäla en oegent- lighet inom den verksamhet uppbördsmyndigheten bedriver till ett offentligt organ som enligt offentligrättsliga regler har att utreda eller beivra oegentligheten. Jag föreslår därför en särskild bestäm- melse om det. Anmälan ska alltså avse sådant inom uppbördsmyndighetens verksamhet som kan betecknas som en oegentlighet som något offentligt organ har att utreda eller beivra. Det kan gälla t.ex. brottsmisstankar som anmäls till polismyndighet eller Åklagar- myndigheten. Det kan också gälla sådant som kan föranleda en arbetsrättslig åtgärd, såsom disciplinansvar, åtalsanmälan, uppsäg- ning eller avskedande, som anmäls till någon myndighets personal- ansvarsnämnd, inklusive personalansvarsnämnden hos uppbörds- myndigheten.