sou · GZB340 · 2011-04-20 00:00:00 — Den viktigaste myndigheten på området är men även många andra myndigheter är ansvariga för den officiella statistiken inom sin respektive sektor. Sekretess gäller i sådan verksamhet för uppgift som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde, 24 kap. 8 § OSL. Enligt huvudregeln är sekretessen absolut. Uppgift som behövs för forsknings- eller statistikändamål och uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde, får dock lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. 6.3.10Sekretess i samtliga myndigheters verksamhet Det finns några sekretessbestämmelser som utgör ett minimiskydd för enskildas personliga integritet inom hela den offentliga sektorn. Dessa bestämmelser, som alltså är tillämpliga hos alla myndigheter och andra organ som ska tillämpa offentlighets- och sekretesslagen, har samlats i 21 kap. OSL. Som exempel kan nämnas den i avsnitt 6.3.5 nämnda sekretessen för uppgift om utlänning enligt 21 kap. 5 § OSL. Ett annat exempel är 21 kap. 7 § OSL där det föreskrivs att sekretess gäller för personuppgift, om det kan antas att ett ut- lämnande skulle medföra att uppgiften behandlas i strid med PuL. Även 21 kap. 3 § OSL är exempel på en generellt tillämplig sekretessbestämmelse. Enligt lagrummet gäller sekretess för uppgift om en enskilds bostadsadress eller annan jämförbar uppgift som kan lämna upplysning om var den enskilde bor stadigvarande eller tillfälligt, den enskildes telefonnummer, e-postadress eller annan jämförbar uppgift som kan användas för att komma i kontakt med denne samt för motsvarande uppgifter om den enskildes anhöriga, om det av särskild anledning kan antas att den enskilde eller någon närstående till denne kan komma att utsättas för hot eller våld eller lida annat allvarligt men om uppgiften röjs. Denna sekretessbestämmelse gäller således med ett kvalificerat rakt skaderekvisit vilket innebär att det föreligger en extra stark presumtion för att uppgifterna är offentliga. I vissa fall kan flera sekretessbestämmelser vara tillämpliga på en och samma uppgift. Huvudregeln om konkurrens mellan flera sekretessbestämmelser har tagits in i 7 kap. 3 § OSL. Av denna bestämmelse följer att vid konkurrens har sekretessbestämmelser enligt vilka uppgiften är sekretessbelagd företräde framför sekretessbestämmelser enligt vilka uppgiften ska lämnas ut. Detta gäller oavsett om det är fråga primära eller sekundära sekretess- bestämmelser. Som framgår av avsnitt 6.2.7 finns det några bestämmelser i offentlighets- och sekretesslagen som reglerar konkurrens mellan olika sekretessbestämmelser i vissa specifika situationer och som avviker från 7 kap. 3 § OSL, däribland 11 kap. 8 §. Enligt denna särskilda konkurrensregel ska bl.a. överföringsbestämmelsen i 11 kap. 4 § OSL (se avsnitt 6.2.7) inte tillämpas om det finns en primär sekretessbestämmelse till skydd för samma intresse som är tillämplig på uppgiften hos den mottagande myndigheten. I ett sådant fall är det den primära sekretessbestämmelsen som ska tillämpas och detta gäller oavsett om den primära sekretessbestäm- melsen ger ett starkare eller ett svagare skydd än den sekundära sekretessbestämmelsen. Även undantag från den primära sekretess- bestämmelsens tillämpningsområde har företräde framför den sekundära sekretessen. Som exempel kan nämnas att databassekretess enligt 27 kap. 1 § andra stycket 1 OSL är en pri- mär sekretessbestämmelse hos både och Kronofogde- myndigheten så länge en uppgift i databasen bara är tekniskt tillgänglig för eller bara finns på skärmen hos , men inte har använts i Kronofogde- myndighetens verksamhet. Därutöver är bestämmelserna i 34 kap. 1 och 2 §§ OSL primära sekretessbestämmelser i myndighetens exekutiva verksamhet. Av 11 kap. 8 § OSL följer att i situationer när har direktåtkomst till uppgifter hos , vilka omfattas av primära sekretess- bestämmelser hos , blir bestämmelsen om överföring av sekretess vid direktåtkomst i 11 kap. 4 § OSL inte tillämplig. Hanteringen av personuppgifter regleras i personuppgifts- lagen (1998:204), PuL. Personuppgiftslagen grundar sig på Europa- parlamentets och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, det s.k. dataskyddsdirektivet. Syftet med direktivet är att garantera dels att en hög skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter föreligger, dels att en likvärdig skyddsnivå finns i medlemsländerna. Direktivet är ett full- harmoniseringsdirektiv, vilket innebär att medlemsstaterna varken får föreskriva ett bättre eller sämre skydd för den personliga integriteten än vad direktivet föreskriver. Enligt artikel 6 i direktivet måste all behandling av person- uppgifter vara laglig och korrekt. Uppgifterna måste vara riktiga och aktuella samt adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de samlas in och senare behandlas. Uppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och en senare behandling av uppgifterna får inte ske på ett sätt som är oförenligt med dessa ändamål. Av artikel 7 i direktivet följer att personuppgifter endast får behandlas i vissa angivna fall. Personuppgifter får bl.a. behandlas om den registrerade otvetydigt har lämnat sitt samtycke, om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige eller är nödvändig för att fullgöra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning. Personuppgifter får också behandlas efter en intresseavvägning när intresset av att den registeransvarige får behandla uppgifterna överväger den enskildes intresse av att de inte Enligt artikel 8 ska medlemsstaterna förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. I direktivet görs dock undantag från denna regel i vissa särskilt angivna situationer, bl.a. om den registrerade har lämnat sitt uttryckliga samtycke till sådan behandling. Artiklarna 10–11 i direktivet föreskriver att den register- ansvarige ska informera den registrerade om att personuppgifter är föremål för behandling och då också redogöra för ändamålet med behandlingen. Om uppgiften inte samlats in från den registrerade själv behöver den registeransvarige inte lämna någon information, om den registrerade redan känner till informationen eller om det i annat fall skulle visa sig vara omöjligt eller innebära en ansträngning som inte står i proportion till nyttan. Detsamma gäller i princip om det finns uttryckliga bestämmelser i författning om registrerandet eller utlämnandet. I sådana fall ska dock medlemsstaterna föreskriva lämpliga skyddsåtgärder. Medlems- staterna får genom lagstiftning vidta åtgärder för att begränsa vissa skyldigheter och rättigheter, bl.a. informationsskyldigheten och rättigheten att på begäran få tillgång till uppgifter. En sådan begränsning måste dock vara en nödvändig åtgärd med hänsyn till vissa allmänna intressen, bl.a. intresset av att undersöka, avslöja och åtala för brott samt skyddet av den registrerades eller andras fri- och rättigheter. Den registrerade har enligt artikel 12 rätt att få bekräftelse på om uppgifter om honom eller henne behandlas eller inte, för vilka ändamål behandlingen sker och vilka kategorier av uppgifter som behandlas. Som nämnts ovan har dataskyddsdirektivet genomförts bl.a. genom personuppgiftslagen. Lagens syfte är enligt 1 § att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Av 5 § framgår att lagen gäller för behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Enligt 2 § är lagen subsidiär i den meningen att avvikande bestämmelser i annan lag eller i förordning gäller i stället för bestämmelserna i . Sådana avvikande bestämmelser finns bl.a. i s.k. registerförfattningar, t.ex. lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet. I personuppgiftslagen erinras vidare om att bestämmelserna i lagen inte ska tillämpas bl.a. i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter (8 § första stycket PuL). I 3 § definieras begrepp som används i lagen. Med behandling av personuppgifter avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Personuppgifter är all slags information som direkt eller indirekt kan hänföras till en fysisk person. Personuppgifts- ansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Den registrerade är den som en personuppgift avser. Av 9 § första stycket c och d framgår att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att de inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (finalitets- principen). En behandling för historiska, statistiska eller vetenskapliga ändamål ska dock inte anses som oförenlig med de ändamål för vilka uppgifterna samlades in. De personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålet med behandlingen och fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till behandlingen. De personuppgifter som behandlas ska vara riktiga och, om det är nödvändigt, aktuella och alla rimliga åtgärder ska vidtas för att rätta, blockera eller utplåna sådana uppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Enligt 13 § PuL är det förbjudet att behandla personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i en fackförening. Det är också förbjudet att behandla sådana uppgifter som rör hälsa eller sexualliv. nämnda uppgifter betecknas i PuL som känsliga Det finns dock ett antal undantag från förbudet i 15–19 §§. Känsliga personuppgifter får behandlas om den som uppgiften avser har samtyckt till behandlingen eller om behandling- en är nödvändig, bl.a. för rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. Enligt 20 § får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om ytterligare undantag från förbudet om det behövs med hänsyn till ett viktigt allmänt intresse. Uppgifter om personnummer eller samordningsnummer får enligt 22 § PuL behandlas utan samtycke från den registrerade bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Om uppgifter om en person samlas in från personen själv, ska den personuppgiftsansvarige enligt 23 § PuL självmant lämna den registrerade information om behandlingen av uppgifterna. Har uppgifterna samlats in från en annan källa ska den registrerade som regel informeras när uppgifterna registreras. Om uppgifterna samlas in för att lämnas ut till tredje man, får den personuppgifts- ansvarige avvakta med att lämna information till dess att uppgifterna lämnas ut . Information behöver inte lämnas om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifter i lag eller någon annan författning. I de fall uppgifterna samlas in från någon annan än den registrerade, behöver information inte heller lämnas om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbets- insats. Om uppgifterna används för att vidta åtgärder som rör den registrerade, ska dock information lämnas senast i samband med att så sker. Enligt 31 § PuL ska den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de person- uppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga de behandlade uppgifterna är. Enligt 32 § får Datainspektionen i enskilda fall besluta vilka säkerhetsåtgärder som den personuppgiftsansvarige ska vidta. Någon legaldefinition av begreppet direktåtkomst finns inte. 2007/08:160 s. 57 f. redogörs närmare för vad som avses med begreppet. Med direktåtkomst avses i regel att information är tillgänglig för en användare för att på egen hand söka i den och få svar på frågor utan att kunna påverka innehållet. Direktåtkomst kan ge användaren möjlighet att även hämta hem information till sitt eget system och bearbeta den där. Direktåtkomst har traditionellt ansetts innebära att uppgifter lämnas ut utan att den utlämnande myndigheten i det enskilda fallet har kontroll över vilka uppgifter som lämnas ut. Det har därför ansett vara mycket viktigt att reglera frågor om tillgång till uppgifter genom direktåtkomst. Som nämns i avsnitt 6.2.5 är en bestämmelse om direktåtkomst inte en sådan sekretessbrytande regel som avses i offentlighets- och sekretesslagen. En förut- sättning för att direktåtkomst ska kunna tillåtas är därför att åtkomsten antingen endast avser offentliga uppgifter eller att den avser sådana sekretessbelagda uppgifter som enligt lag eller förordning får lämnas ut till den som har direktåtkomst. Huruvida en myndighet bör få ha direktåtkomst till information som finns hos en annan myndighet ska bedömas genom en avvägning mellan de skäl som talar för en sådan åtkomst, bl.a. behovet av ökad effektivitet hos myndigheterna, och de integritetsskäl som talar emot. I registerförfattningarna görs en åtskillnad mellan direkt- åtkomst och annan åtkomst till information. Direktåtkomst är ett rättsligt begrepp och inte ett tekniskt begrepp. Om en myndighet har rätt att genom direktåtkomst ta del av vissa typer av personuppgifter hos en annan myndighet beträffande personer som är aktuella i ärenden hos den mottagande myndigheten, måste den mottagande myndigheten rent tekniskt ha möjlighet att ta del av sådana uppgifter beträffande alla personer som är aktuella hos den utlämnande myndigheten. Det beror på att den mottagande myndigheten inte kan veta i förväg vilka personer som kan bli aktuella i ärenden hos myndigheten. Den mottagande myndigheten får dock bara söka efter uppgifter om en person med hjälp av direktåtkomst efter det att personen har blivit aktuell i ett ärende hos myndigheten. Överskottsinformation i samband med direktåtkomst blir som huvudregel att betrakta som en allmän handling hos den mottagande myndigheten även om den mottagande myndigheten enligt sin registerförfattning inte har rätt att behandla uppgifterna för egen del (prop. 2010/11:78 s. 14 f.). De sekretessbrytande regler som ska möjliggöra ett uppgiftsutbyte mellan två myndigheter genom direktåtkomst måste därför omfatta alla uppgifter som den utlämnande myndigheten rent tekniskt gör tillgängliga för den mottagande myndigheten. Detta innebär att de sekretessbrytande reglerna inte kan begränsas till de uppgifter som mottagande myndighet har rätt att ta del av enligt bestämmelsen om direktåtkomst och enligt ändamålsbestämmelsen i den mottagande myndighetens registerförfattning (a. prop. s. 15). Som framgår av avsnitt 6.2.7 finns det dock en bestämmelse om överföring av sekretess i 11 kap. 4 § OSL som blir tillämplig vid direktåtkomst. Denna bestämmelse omfattar både sådan informa- tion som den mottagande myndigheten har rätt att ha direkt- åtkomst till och sådan överskottsinformation som rent tekniskt blir tillgänglig för den mottagande myndigheten i samband med direkt- åtkomsten. Som framgår av avsnitt 6.3.11 finns det dock i 11 kap. 8 § en särskild konkurrensregel av innebörd att bl.a. överförings- bestämmelsen i 11 kap. 4 § OSL inte ska tillämpas om det finns en primär sekretessbestämmelse till skydd för samma intresse som är tillämplig på uppgiften hos den mottagande myndigheten. 6.4.4Överföring på medium för automatisk databehandling Utlämnande på medium för automatiserad behandling kan bl.a. innebära utlämnande via e-post, CD-skiva, USB-minne m.m. 2007/08:160 s. 58 används dock normalt tekniken att data lämnas automatiserat genom att begärd information skickas från de interna registren till en brevlåda hos uppgiftsläm- naren. Den fördröjning i uppgiftslämnandet som är inbyggd i tek- niken innebär en teoretisk möjlighet för utlämnaren att kontrollera vilken information som ska lämnas ut. En konkret sekretessprövning kan ske i samband med det specifika utlämnandet. I praktiken sker dock sekretessprövningen i förväg på motsvarande sätt som vid direktåtkomst (se nedan). 6.4.5Skäl för och emot direktåtkomst För att kunna avgöra om direktåtkomst till uppgifter ska medges måste en avvägning göras mellan de skäl som talar för direkt- åtkomst – effektivitet, ökad service till enskilda och ökad legitimitet för trygghetssystemen – och de integritetsskäl som talar emot en sådan åtkomst. Något som måste beaktas är att direktåtkomst medger tillgång till aktuella uppgifter hos den utlämnande myndigheten, vilket det inte är säkert att annan elektronisk överföring ger. Om de uppgifter som beslutande myndighet får tillgång till inte är helt aktuella kan det leda till att ärenden om återkrav initieras. Handläggningen kan då dra ut . Även i samband med kontroll av lämnade uppgifter är det av central betydelse att mottagande myndighet får tillgång till aktuella uppgifter från utlämnande myndighet. Vad får mottagande myndighet tillgång till genom direktåtkomst? Den direktåtkomst som nuvarande bestämmelser i bl.a. skatte- databaslagen medger innebär inte möjlighet till fri sökning i utlämnande myndighets register eller databas. Direktåtkomsten gäller ett begränsat antal, särskilt utvalda uppgifter. Ett informationsutbyte genom direktåtkomst måste gälla vissa bestämda uppgifter. Det ska vidare endast vara uppgifter som har betydelse i mottagande myndigheters verksamhet som ska kunna lämnas ut genom direktåtkomst. 2007/08:160 s. 61 framgår att informationsutbyte genom direktåtkomst måste bygga på en författningsreglerad uppgifts- skyldighet för den utlämnande myndigheten och någon sekretess- prövning sker då inte vid utlämnandet. Vad utlämnande myndighet måste pröva är vilka uppgifter som omfattas av de författnings- reglerade utbytena. En sådan prövning görs i samband med att den elektroniska förbindelsen upprättas. Även vid andra former av rutinmässigt elektroniskt utlämnande av uppgifter görs en sådan prövning på förhand, dvs. när den elektroniska förbindelsen upprättas. Elektroniska informationsutbyten mellan myndigheter kan i vissa fall innebära risker ur integritetssynpunkt eftersom tekniken gör det möjligt att på ett enkelt sätt samla in och sammanställa stora mängder uppgifter. Flera andra statliga utredningar har behandlat frågan om skyddet för den personliga integriteten vid automatiserad behandling av personuppgifter. Av informations- utbytesutredningens betänkande, Utökat elektroniskt informations- utbyte (SOU 2007:45 s. 176 f.) framgår bl.a. följande. Vissa faktorer har ansetts särskilt viktiga att ta hänsyn till när det gäller att bedöma integritetskänsligheten vid automatiserad behandling av personuppgifter. Det gäller arten av de uppgifter som samlas in och registreras, varför detta görs, hur och av vem uppgifterna ska användas samt mängden av uppgifter som samlas på ett och samma ställe eller som på något annat sätt är tillgängliga för bearbetningar och sammanställningar. Vilken reglering och begränsning av användningen av person- uppgifter som är nödvändig för att skydda den personliga integri- teten är till stor del beroende av rådande värderingar i samhället. Skyddet för den personliga integriteten måste vägas mot andra motstående intressen som yttrandefrihet, informationsfrihet, offentlighet samt en effektiv och korrekt handläggning hos myndigheterna. Avvägningen måste gå ut på att avgöra om intrånget i den personliga integriteten kan tolereras eller om det är fråga om ett oacceptabelt intrång i den personliga integriteten. har i betänkandet Skyddet för den personliga integriteten (SOU 2007:22) – kartlagt sådan lagstiftning som rör den personliga integriteten. Såvitt gäller skatteområdet konstaterade kommittén att möjligheterna att på skatteområdet lämna ut uppgifter till andra myndigheter är mycket större än på andra områden där absolut sekretess gäller. Kommittén har föreslagit att det i 2 kap. RF ska införas en ny bestämmelse om utvidgat integritetsskydd. Kommittén har vidare ansett att skyddet bör utformas så att det tar sikte på att skydda den personliga integriteten mot vissa intrång som kan anses vara Det utvidgade integritetsskyddet bör ta sikte på sådana åtgärder som den enskilde själv inte kan få kännedom om eller påverka genom ett krav på frivilligt godkännande. Kommittén har ansett att inte alla former av behandling av uppgifter om enskildas personliga förhållanden som sker utan samtycke är så integritetskänsliga att det är motiverat att låta dem omfattas av integritetsskyddet i grundlag. Vid sidan av integritetsintresset finns andra, motstående intressen att beakta vid bedömningen av vilka slags åtgärder som bör omfattas av ett utvidgat grundlagsskydd. Enligt integritetsskyddskommittén utgör den grundlagskyddande rätten att ta del av allmänna handlingar, liksom myndigheternas skyldighet att bevara allmänna handlingar för att tillgodose bl.a. denna rättighet, omistliga delar av det svenska öppna demokratiska samhället. Myndigheternas arkiv utgör även en viktig del av det nationella kulturarvet. Kommittén har ansett att det inte är lämpligt att ett utvidgat grundlagsskydd för den personliga integriteten utformas på ett sådant sätt att den inskränker myndigheternas skyldighet att lämna ut handlingar med stöd av offentlighetsprincipen. Frågan om ett utvidgat integritetsskydd behandlades efter remiss- förfarande i prop. 2009/10:80, En reformerad grundlag (s. 171 f.). Regeringen föreslog att det i 2 kap. regeringsformen skulle införas en ny bestämmelse som anger att var och en gentemot det allmänna ska vara skyddad mot betydande intrång i den personliga integriteten som sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. har därefter fattat beslut om ändring i enlighet med förslaget. Den nya bestämmelsen i 2 kap. 6 § andra stycket regeringsformen, , trädde i kraft . Någon enhetlig definition av begreppet personlig integritet finns inte i svensk rätt. I 1 kap. 2 § RF föreskrivs att det allmänna ska värna om den enskildes privatliv. innehåller sådana bestämmelser, t.ex. artikel 8 om rätt till skydd för privat- och familjeliv. Av 2 kap. 6 § RF första stycket följer att var och en gentemot det allmänna är skyddad mot påtvingat kroppsligt ingrepp även i andra fall än som avses i 4 och 5 §§. Var och en är dessutom skyddad mot kroppsvisitation, husrannsakan och liknande intrång samt mot undersökning av brev eller annan förtrolig försändelse och mot hemlig avlyssning eller upptagning av telefonsamtal eller annat förtroligt meddelande.