sou · GXB396 · 2010-01-01 00:00:00 — En sådan skyldighet kan vara formule- rad på olika sätt; myndigheten ska lämna uppgifter, anmäla något eller avge yttrande i vissa typer av ärenden. Gemensamt för dessa sekretessbrytande bestämmelser är att det rör som en klar skyldighet att lämna uppgifter och att skyldigheten endast gäller i förhållande till annan myndighet. Exempel på en sådan klar skyldighet är bestämmelsen i 20 kap. 9 § lagen (1962:381) om allmän försäkring. Enligt bestämmelsen ska statliga och kommunala myndigheter, arbetsgivare och försäk- ringsinrättningar på begäran lämna uppgift till domstol eller om en namngiven person om förhållanden som har betydelse för lagens tillämpning, det vill säga främst frågor om rätt till ersättning enligt lagen om allmän försäkring. En liknande bestämmelse finns i 8 kap. 7 § lagen (1976:380) om arbetsskadeför- säkring. För den allmänna hälso- och sjukvården medför dessa bestämmelser att hälso- och sjukvårdspersonalen kan vara skyldig att på begäran lämna ut sekretessbelagda uppgifter till Försäkrings- kassan och andra myndigheter. Inom den enskilda hälso- och sjuk- vården finns motsvarande uppgiftsskyldighet reglerad i 2 kap. 11 § LYHS. Huvudregeln i ovan nämnda fall är alltså att uppgiftsskyldig- heten avser andra myndigheter. Inom verksam- het finns dock en bestämmelse i 28 kap. 6 § offentlighets- och sekretesslagen, som innebär att sekretessen inte hindrar att uppgift lämnas till enskild enligt vad som föreskrivs i lagstiftningen om exempelvis allmän försäkring. Detta undantag är kopplat till en bestämmelse i 20 kap. 9 a § AFL, som anger att utan hinder av sekretess får lämna ut uppgifter om sådana ersätt- ningar åt enskilda som betalas ut enligt bland annat lagen om allmän försäkring och lagen om arbetsskadeförsäkring, under förutsättning att en försäkringsinrättning, ett försäkringsbolag eller arbetsgivare behöver uppgiften för samordning med ersättning därifrån. Med stöd av denna bestämmelse kan alltså försäkrings- bolagen använda sig av beslutsunderlag för sina egna utredningar i de fall ersättningarna ska samordnas. 13.2.5Sekretess och tystnadsplikt inom enskild verksamhet Som framkommit inledningsvis i detta kapitel är sekretess främst knutet till reglerna i tryckfrihetsförordningen om allmänna hand- lingars offentlighet. Allmänna handlingar finns i princip endast hos myndigheter. Offentlighets- och sekretesslagen omfattar således enbart den offentliga förvaltningen. Handlingar hos privata företag, exempelvis försäkringsbolag, har allmänheten ingen möjlighet att kräva ut. För den privata sektorn behövs därför inga regler om handlingssekretess. Trots att enskilda personer och företag således inte är skyldiga att lämna ut uppgifter, såvitt det inte finns en regle- rad uppgiftsskyldighet, har det för vissa fall ändå ansetts angeläget att helt hindra ett uppgiftslämnande. Det finns därför i vissa verk- samheter lagregler om tystnadsplikt i enskild verksamhet. En sådan reglerad tystnadsplikt blir också straffsanktionerad enligt 20 kap. 3 § , om inte annat anges. Exempel på lagreglerad tystnadsplikt, som redan nämnts, är inom den enskilda hälso- och sjukvården. Ett annat exempel är inom bankområdet. Enligt 1 kap. 10 § första stycket lagen (2004:297) om bank- och finansieringsrörelse får enskildas förhål- landen till kreditinstitut inte obehörigen röjas. Enligt tredje stycket samma lagrum är dock denna tystnadsplikt inte straffsanktionerad enligt . Inom försäkringsområdet finns det ingen regel om allmän tystnadsplikt om enskildas personliga förhållanden. Däremot fram- går det av 7 kap. 20 a § försäkringsrörelselagen (1982:713) att uppgift om genetisk undersökning eller genetisk information som avser en enskild person, inte obehörigen får röjas. Frågan om allmän tystnadsplikt inom försäkringsområdet har tidigare behandlats i olika sammanhang.8 I propositionen 2005/06:64 Gene- tisk integritet m.m. föreslog regeringen bland annat en generell sekretessbestämmelse som skulle avse hela försäkringsområdet. avslog dock propositionen i den delen med motiver- ingen att konsekvenserna av en sådan generell utformning inte hade belysts tillräckligt i propositionen. förutsatte att reger- ingen skulle återkomma till med ett förslag till reglering av sekretess på försäkringsområdet, i vart fall när det gäller genetisk undersökning och information.9 8Jfr bl.a. förslagen i betänkandena Försäkringsväsendet (SOU 1987:58) och Gene- tik, integritet och etik (SOU 2004:20) samt departementspromemorian Försäkringsbolags till- gång till patientjournal (Ds 2005:13). 2005/06:SoU16 s. 23, rskr. 2005/06:219. Regeringen föreslog därefter ovan nämnda bestämmelse i försäkringsrörelselagen i propositionen 2006/07:41 Sekretess i försäkringsföretag för uppgift om genetisk undersökning och genetisk information. I samband därmed uttalade regeringen att utformningen av en generell bestämmelse om sekretess, som omfattar hela försäkringsområdet, borde övervägas ytterligare. En sådan översyn kunde enligt regeringen lämpligen ske i samband med en tidigare aviserad översyn av sekretesskyddet i övrig finansi- ell verksamhet.10 I bereds frågor om sekretess och tillgång till uppgifter i försäkringsverksamhet med utgångs- punkt i den remissbehandlade departementspromemorian Försäk- ringsbolags tillgång till patientjournal (DS 2005:13). För att försäkringsbolagen ska kunna fatta försäkringstekniskt korrekta beslut efter en trafikolycka behöver bolagen information om den enskildes hälsotillstånd och inkomstförhållanden. Som tidigare framkommit kan försäkringsbolagen med stöd av 20 kap. 9 a § AFL, använda sig av besluts- underlag för sina egna utredningar i de fall ersättningarna ska samordnas. I övriga fall är bolagen beroende av att den skade- lidande har lämnat samtycke i form av fullmakt, som ger bolagen rätt att exempelvis begära in patientjournaler från hälso- och sjuk- vården och ekonomiskt underlag från , Skatte- verket och arbetsgivaren. När hela det ekonomiska ansvaret för trafikskador flyttas över på trafikförsäkringen kommer bolagens behov av information att öka betydligt. Bolagen kommer inte heller att ha tillgång till beslutsunderlag, om ersättningarna inte längre ska samordnas. Utredningens grundläggande utgångspunkt är att bolagen givetvis måste ha tillgång till behövligt underlag för att kunna bedöma sambandsfrågan och beräkna inkomstförlusten. Begränsad tillgång till sådant underlag kan medföra att ersättningen inte blir korrekt, eller att bolagen bedömer att samband inte före- ligger och därför nekar ersättning. För den enskilde kan konse- kvenserna i sådana fall bli både ett sämre försäkringsskydd och längre handläggningstider. Utredningen har därför övervägt om 2006/07:41 s. 12. sekretessreglerna bör ändras, exempelvis genom att det införs en lagreglerad skyldighet för hälso- och sjukvården och andra myndigheter att lämna uppgifter till trafikförsäkringsbolagen om enskildas hälsotillstånd eller andra personliga förhållanden. En avvägning måste då göras mellan två berättigade intressen, nämli- gen å ena sidan kravet på en smidig handläggning och ett korrekt beslutsunderlag samt å andra sidan kravet på skydd för den enskil- des personliga uppgifter. Såsom framkommit av ovanstående redogörelse syftar sekre- tessbestämmelserna till att skydda vissa särskilt angivna skydds- intressen, bland annat den enskildes personliga eller ekonomiska förhållanden. De undantag som trots allt finns inom exempelvis hälso- och sjukvårdssekretessen har motiverats av hänsynstaganden till olika samhällsintresse. Bestämmelserna om skyldighet för hälso- och sjukvården att lämna uppgifter till annan myndighet används restriktivt och inte ens självständiga verksamhetsgrenar inom samma landsting har utan vidare möjlighet att få del av sekretesskyddade uppgifter om en patient, trots att syftet är att den enskilde ska få bästa möjliga vård och behandling. Finns det inte en klar uppgiftsskyldighet är en sådan självständig verksamhet i regel hänvisad till att begära in uppgifter med stöd av fullmakt från den enskilde. Någon skyldighet för hälso- och sjukvården att lämna uppgifter till andra än myndigheter finns inte, såvitt har framkom- mit. Det krävs mot denna bakgrund mycket starka skäl för att nu avvika från den grundläggande systematiken och de bakomliggande syften inom sekretessområdet och införa en lagstadgad skyldighet för hälso- och sjukvården och andra myndigheter att lämna uppgifter till privaträttsliga organ som trafikförsäkringsbolag. Skälen för en sådan uppgiftsskyldighet är enligt utredningens mening inte tillräckligt starka. Bolagen har dessutom också möjlig- heten att hämta in motsvarande, sekretesskyddade, uppgifter med stöd av en fullmakt från den enskilde. Om den enskilde vägrar att lämna fullmakt kan konsekvensen bli att han eller hon går miste om ersättning med hänvisning till den allmänna skadeståndsrättsliga principen om att den skadade har bevisbördan för sitt anspråk. Enligt uppgifter från trafikförsäkringsbolagen är det inga större problem för bolagen att få in en fullmakt, som ofta är obegränsad, från den trafikskadade. Detta förfaringssätt används regelmässigt för att hämta in uppgifter från hälso- och sjukvården, andra myndigheter och arbetsgivaren. Enligt vad utredningen har erfarit är det också vanligt att bolagen använder fullmakt för att hämta in uppgifter från , även i de fall när bola- gen skulle kunna åberopa bestämmelsen i 20 kap. 9 a § AFL. Utredningen bedömer således att det inte blir några försämrade möjligheter för bolagen att få tillgång till behövlig information i det nya systemet, även utan författningsändringar. Förfarandet med fullmakt kan möjligen medföra att skaderegleringen tar i vissa fall, men denna nackdel ska då ställas i relation till den enskil- des skydd för sin personliga integritet. Utredningen anser mot denna bakgrund att trafikförsäkringsbolagen inte bör få tillgång till uppgifter om den enskildes hälsotillstånd eller andra personliga förhållanden genom en lagreglerad uppgiftsskyldighet för hälso- och sjukvården och andra myndigheter. Behövliga uppgifter bör även fortsättningsvis hämtas in av bolagen med stöd av fullmakt från den trafikskadade. När det gäller eventuell lagreglerad tystnadsplikt hos trafikför- säkringsbolagen gör utredningen följande bedömning. Försäk- ringsbolagen hanterar mycket informationskänslig information om enskildas hälsotillstånd, familjeförhållanden och andra förhållanden av personlig natur. Trots detta saknas det en generell lagreglerad tystnadsplikt inom området. Enligt vad utredningen har erfarit iakttar försäkringsbolagen utan direkt stöd av lag en strikt tyst- nadsplikt och behandlar införskaffade uppgifter konfidentiellt. Branschen har också antagit etiska riktlinjer för hur journaluppgif- ter och annan hälsoinformation ska skyddas.11 Även om bolagen utan direkt stöd av lag iakttar en strikt tyst- nadsplikt anser utredningen – i likhet med vad som har framförts i tidigare översyner – att det finns behov av en lagreglerad tystnads- plikt inom området, inte minst för att stilla eventuell oro hos de enskilda. Företrädare för trafikförsäkringen är också positiva till en sådan reglering, men har betonat att den inte får utformas på ett sådant sätt att bolagens möjligheter att bekämpa försäkringsbedrä- gerier begränsas. Behovet av en lagreglerad tystnadsplikt inom försäkringsområdet finns emellertid oberoende av utredningens förslag och ligger inte heller inom ramen för utredningens uppdrag. Frågan bör därför få sin lösning i den översyn som har aviserats av regeringen. 11 Rekommendation om behandling av personuppgifter om hälsa inom försäkringsbranschen, antagen av . 13.3Inhämtande av information och behandling av personuppgifter I det föregående har beskrivits vilken inverkan sekretesslagens bestämmelser har för vilka uppgifter försäkringsbolagen kan få ut om enskilda hos olika myndigheter. En annan i sammanhanget viktig fråga är hur uppgifterna kan erhållas och behandlas. Sättet för utfående av allmänna handlingar regleras i 2 kap. 12 – 13 §§ TF. Där anges bl.a. följande. Allmän handling som får lämnas ut ska på begäran genast eller så snart det är möjligt på stället utan avgift tillhandahållas den, som önskar ta del därav, så att handlingen kan läsas, avlyssnas eller på annat sätt uppfattas. Handling får även skrivas av, avbildas eller tas i anspråk för ljudöverföring. Kan hand- ling inte tillhandahållas utan att sådan del därav som inte får lämnas ut röjs, ska den i övriga delar göras tillgänglig för sökanden i avskrift eller kopia. Den som önskar ta del av en allmän handling har även rätt att mot fastställd avgift få avskrift eller kopia av hand- lingen till den del den får lämnas ut. En myndighet är dock inte skyldig att i större utsträckning än vad som följer av lag lämna ut en upptagning för automatiserad behandling i annan form än utskrift. Syftet med denna sistnämnda bestämmelse är att förhindra att utlämnade uppgifter behandlas automatiserat på ett sätt som kan medföra otillbörligt intrång i enskildas personliga integritet.12 Bestämmelsen innebär inte något förbud för myndigheter att lämna ut allmänna handlingar i elektronisk form. Andra bestämmelser, t.ex. i registerförfattningar, kan dock hindra ett sådant utlämnande. Användningen av datorer har ansetts medföra särskilda problem från integritetssynpunkt på grund av de möjligheter som datortekniken innebär i fråga om att sammanställa, lagra och sprida stora mängder av information om enskilda personer. Denna teknik kom därför tidigt att kringgärdas av en särskild skyddsreglering. I 2 kap. 3 § andra stycket RF anges att varje medborgare ska i den utsträckning som närmare anges i lag skyddas mot att hans 12 Se prop. 1973:33 s. 85 och 113. personliga integritet kränks genom att uppgifter om honom regi- streras med hjälp av automatisk databehandling. Den svenska lagstiftningsmodellen har varit att använda sig av en generellt tillämplig reglering, dvs. en som gäller både för myndigheter och för enskilda. Så var fallet med den tidigare datala- gen (1973:289) och så är också den nu gällande personuppgifts- lagen (1998:204) utformad. Uteslutande privat behandling av personuppgifter har traditionellt varit oreglerad. Vidare har man tillämpat den ordningen att i den mån särskilda regler utfärdats, har dessa gällt framför den generella regleringen. På myndighetsområdet har det därför varit möjligt att upprätthålla ett system med särregler i s.k. registerför- fattningar. För särskilt viktiga register eller för register som inne- håller en stor mängd känsliga personuppgifter har sådana författ- ningar utfärdats i form av lag. Riskerna för integriteten i samband med användningen av datorteknik har också ansetts kräva en särskild sekretessregel vid utlämnande av personuppgifter från en myndighet genom en allmän handling eller på annat sätt. I 21 kap. 7 § offentlighets- och sekretesslagen anges sålunda att sekretess gäller för personuppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen. Vissa internationella regler och riktlinjer () generalförsamling antog riktlin- jer om datoriserade register med personuppgifter. Även inom har antagits regler som särskilt rör automatiserad behandling av personuppgifter. antogs en konvention (nr 108) till skydd för enskilda vid automatisk databehandling av personuppgifter, den s.k. dataskyddskonventionen. Samtliga EU- och EES-stater har ratificerat konventionen. Till konventionen har också utarbetats ett tilläggsprotokoll om tillsynsmyndigheter och flödet av personuppgifter över gränserna samt en rad rekommen- dationer. Dataskyddskonventionens syfte är att säkerställa respek- ten för grundläggande fri- och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatisk databehand- ling av personuppgifter. En expertgrupp inom och utveckling () har utarbetat vissa riktlinjer som rör integritetsskydd och flödet av personuppgifter över gränserna antogs och rådets direktiv /46/EG av om skydd för enskilda personer med avse- ende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (härefter dataskyddsdirektivet). Enligt artikel 1 punkt 1 ska medlemsstaterna i enlighet med detta direktiv skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter. Vidare sägs att medlemsstaterna varken får begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna av skäl som har samband med det under punkt 1 föreskrivna skyddet. Syftet med dataskyddsdirektivet är således att skapa en gemensam, hög nivå på integritetsskyddet för att därigenom möjliggöra ett fritt flöde av personuppgifter medlemsländerna emellan. En bakomliggande tanke är också att en harmoniserad lagstiftning på detta område är ägnad att undanröja hinder för den inre marknadens förverkli- gande. Medlemsstaterna får inom den ram som ges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma. Dessa preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. I artikel 3 anges direkti- vets tillämpningsområde. Direktivet är tillämpligt på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom på behandling av personuppgifter som ingår i eller kommer att ingå i ett register (av artikel 2 framgår att med register avses varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier). Vidare sägs att direkti- vet inte gäller för sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten (exempelvis allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område). Det är inte heller tillämpligt på sådan behandling av personuppgift som utförs av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll. Dataskyddsdirektivet har införlivats med svensk lagstiftning genom personuppgiftslagen (1998:204). Personuppgiftslagen följer i huvudsak direktivets text och disposition. Lagen gäller för sådan behandling som är helt eller delvis automatiserad (5 §). Den gäller också för annan behandling av personuppgifter om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av person- uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Till skillnad från dataskyddsdirektivet är personuppgiftslagen inte begränsad till verksamhet som omfattas av EG-rätten, utan den är generellt tillämplig på sådan behandling som lagen tar sikte på. Lagen är subsidiär i förhållande till annan lag eller förordning (2 §). Vid dess införande anfördes att det traditionella svenska systemet med särregler i särskilda författningar var att föredra framför gene- rella undantag från den nya lagen (prop. 1997/98:44 s. 41). I detta sammanhang framhölls också att det inte fanns anledning att avvika från det tidigare uttalade målet att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras särskilt i lag. Ett arbete med att se över gällande registerförfattningar inleddes med anledning av att personuppgiftslagen infördes. Detta arbete pågår alltjämt. Inledningsvis bör också nämnas att ändringar i personuppgifts- lagen trädde i kraft som syftade till att under- lätta behandling av personuppgifter i löpande text och annat ostrukturerat material. Vid sådan behandling gäller inte längre flertalet av hanteringsreglerna i lagen. Enligt 6 § gäller lagen inte för sådan behandling av personupp- gifter som en fysisk person utför som ett led i verksamhet av rent privat natur. Vidare föreskrivs i 7 § första stycket att bestämmel- serna i lagen inte tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförord- ningen och yttrandefrihetsgrundlagen. Av 7 § andra stycket fram- går att huvuddelen av lagens bestämmelser inte heller ska tillämpas på sådan behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. Vidare föreskrivs i 8 § andra stycket att bestämmelserna i lagen inte hindrar att en myndighet arkiverar och bevarar allmänna hand- lingar eller att arkivmaterial tas om hand av en arkivmyndighet. Personuppgiftslagen innehåller vissa grundläggande krav på behandlingen av personuppgifter (9 §). Den personuppgiftsansva- rige, vilken oftast är den organisation där personuppgifterna behandlas, ska se till att personuppgifter behandlas bara om det är lagligt och att de alltid behandlas på ett korrekt sätt och i enlighet med god sed. Vidare ska personuppgifter samlas in bara för särskilda, uttryck- ligt angivna och berättigade ändamål. De får inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Det sistnämnda kan bli aktuellt att pröva när person- uppgifter lämnas ut till tredje man. Ett sådant utlämnande får alltså inte vara oförenligt med det ändamål för vilket uppgifterna ursprungligen samlades in. Om personuppgifter lämnas ut i form av allmänna handlingar med stöd av bestämmelserna i 2 kap. TF blir en sådan prövning dock inte aktuell. De personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ända- målen med behandlingen. Inte heller får fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Därutöver ska de uppgifter som behandlas vara riktiga och, om det är nödvändigt, aktuella. Alla rimliga åtgärder ska vidtas för att rätta, blockera eller utplåna sådana personuppgif- ter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Personuppgifter får inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. För behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål gäller vissa särregler. När behandling är tillåten I 10 § anges vilka krav som i allmänhet måste vara uppfyllda för att behandling av personuppgifter ska vara tillåten. Som huvudregel gäller att behandling av personuppgifter är tillåten bara om den registrerade har lämnat sitt samtycke till behandlingen. Har så inte skett får behandling ändå ske om den är nödvändig för att a)ett avtal med den registrerade ska kunna fullgöras eller åtgärder som den registrerade begärt ska kunna vidtas innan ett avtal träffas, b)den personuppgiftsansvarige ska kunna fullgöra en rättslig skyl- dighet, c)vitala intressen för den registrerade ska kunna skyddas, d)en arbetsuppgift av allmänt intresse ska kunna utföras, e)den personuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut ska kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller f)ett ändamål som rör ett berättigat intresse hos den personupp- giftsansvarige eller hos en sådan tredje man till vilken person- uppgifter lämnas ut ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot den personliga integriteten. Enligt 14 § är det generellt sett förbjudet att behandla känsliga personuppgifter. Med känsliga uppgifter avses ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i en fackförening eller uppgifter som rör hälsa eller sexualliv. Från förbudet att behandla känsliga personuppgifter finns vissa undantag. Sålunda är det tillåtet att behandla känsliga personupp- gifter, om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna (15 §). Även om uttryckligt samtycke inte föreligger får enligt 16 § personuppgifter behandlas om behandlingen är nödvändig för att a)den personuppgiftsansvarige ska kunna fullgöra sina skyldighe- ter inom arbetsrätten,