sou · GZB340 · 2011-04-20 00:00:00 — Av andra stycket nämnda bestäm- melse framgår, som nämnts ovan, att var och en utöver vad som sägs i första stycket gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Av förarbetena till bestämmelsen framgår bl.a. följande (prop. 2009/10:80 s. 249 f.). I andra stycket, som inte har någon tidigare motsvarighet, finns en bestämmelse som utvidgar skyddet mot intrång i den personliga integriteten. Bestämmelsen innebär att enskilda, vid sidan av vad som redan följer av första stycket, är skyddande mot åtgärder från det allmännas sida som innefattar betydande intrång i den personliga integriteten, om intrånget sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Bestämmelsen träffar inte åtgärder som en enskild vidtar i förhållande till en annan enskild. Avgörande för om en åtgärd ska anses innebära övervakning eller kartläggning är inte dess huvudsakliga syfte utan vilken effekt åtgärden har. Vad som avses med övervakning respektive kart- läggning får bedömas med utgångspunkt från vad som enligt normalt språkbruk läggs i dessa begrepp. Uttrycket enskilds personliga förhållanden avses här ha samma innebörd som i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400). Vid bedömning av vilka åtgärder som kan anses utgöra ett betydande intrång ska både åtgärdens omfattning och arten av det intrång åtgärden innebär beaktas. Även åtgärdens ändamål och andra omständigheter kan ha betydelse vid bedömningen. Inskränkningar i den fri- och rättighet som 2 kap. 6 § andra stycket RF innebär får endast göras i lag, 2 kap. 20 § första stycket 2 RF (se dock p 2 i övergångsbestämmelserna). Detta innebär att en uppgiftsskyldighet i förhållande till en svensk myndighet som omfattar uppgifter om enskilda i vissa fall kan behöva införas på lagnivå (prop. 2009/10:80 s. 184). 6.5.5Avvägningar inför ett utökat informationsutbyte I tidigare förarbeten har redogjorts för de avvägningar som måste göras vid ett utökat informationsutbyte. Här redovisas en del av de överväganden som framgår av propositionen Ökat informations- utbyte mellan arbetslöshetsförsäkringen, socialförsäkringen och studie- stödet (prop. 2000/01:129), betänkandet Utökat elektroniskt informationsutbyte (SOU 2007:45) samt propositionerna Utökat elektroniskt informationsutbyte, (prop. 2007/08:160) och Vissa frågor om elektroniska uppgiftshantering 2010/11:78). Innebär elektroniska informationsöverföringar större intrång i den personliga integriteten än andra former av överföringar av uppgifter? Elektronisk informationsöverföring har i sig inte ansetts innebära oacceptabla intrång i den personliga integriteten. 2000/01:129 s. 41 uttalas bl.a. följande. Jämfört med ett manuellt informationsutbyte, som innebär att information överförs muntlig- en eller skriftligen, har ett elektroniskt informationsutbyte den fördelen att det för den enskilde är möjligt att förutse exakt vilka uppgifter som kommer att överföras från en verksamhet till en annan. För all slags överföring gäller att de uppgifter som överförs ska framgå av ett på förhand bestämt ändamål för behandling av personuppgifter i en viss verksamhet. Den registrerade har rätt att få information om detta ändamål. Till skillnad från överföringar kan en elektronisk överföring endast avse för- programmerade uppgifter. Reglerna i PuL och de särskilda registerförfattningarna reglerar hur personuppgifter får behandlas och skyddar därigenom den enskildes integritet. Även utformningen av sekretessreglerna i OSL ger ett skydd för den personliga integriteten. Som uttalas i före- gående stycke kan ett elektroniskt informationsutbyte ur integritetssynpunkt vara säkrare än annat utbyte av information. Automatiserad behandling av personuppgifter kan dock även innebära nackdelar ur integritetsskyddssynpunkt, och detta gäller särskilt vid myndighetsutövning. Myndigheters behandling av stora informationsmängder som är samlade så att uppgifter är enkelt sökbara på elektronisk väg innebär en risk för att enskilda personer ska utsättas för oacceptabla intrång i den personliga sfären (prop. 2000/01:129 s. 37). Allmänna intressen kan tala för en ökad informationsöverföring 2000/01:129 s. 38 framgår bl.a. följande. Rätten till personlig integritet är inte en absolut rättighet. Skyddet för den personliga integriteten ska vägas mot de viktiga allmänintressen som motiverar ett ökat informationsutbyte. Ett ökat informations- utbyte leder till en ökad effektivitet hos myndigheter, allmänna försäkringskassor och inte minst hos arbetslöshetskassor, ger den enskilde bättre service och behövs för att välfärdssystemen inte ska undergrävas av fusk och överutnyttjande. Nuvarande informationsutbyten har inte ansetts oförenliga med kraven på skydd för den personliga integriteten Flera myndigheter deltar redan i elektroniska informationsutbyten med andra myndigheter. Det har i dessa fall ansetts vara förenligt med kraven på skydd mot oacceptabla intrång att tillåta dessa utbyten. Det är därför svårt att generellt hävda att ytterligare elektroniska informationsöverföringar mellan myndigheter skulle vara oförenliga med skyddet av den personliga integriteten. Reglernas utformning förutsätter inhämtande av uppgifter från andra myndigheter De materiella bestämmelserna i regelverken för skilda förmåner förutsätter i vissa fall att beslutande myndighet får uppgifter från en annan myndighet. Ett elektroniskt informationsutbyte som är en nödvändig följd av förmånssystemens utformning har inte ansetts medföra ett intrång i någons personliga integritet som är att anse som oacceptabelt (se prop. 2000/01:129 s. 39, jfr bet. 2001/02:KU3 s. 30 f.). Om informationsutbytet inte kan ske elektroniskt måste det ske på annat sätt för att beslutande myndighet ska få tillräckligt beslutsunderlag. Hur integritetskänsliga är de uppgifter som ska överföras? En viktig faktor som måste beaktas är hur integritetskänsliga de uppgifter är som ska överföras från en myndighet till en annan. Vilket skydd mot obehöriga intrång kommer uppgifterna att få hos mottagande myndighet? Om integritetskänsliga uppgifter får överföras till en myndighet, bör i normalfallet inte alla anställda hos den mottagande myndigheten kunna ta del av de överförda uppgifterna. Mottagande myndighet måste genom interna regler begränsa behörigheten att ta del av uppgifterna till de personer som handlägger de ärenden där uppgifterna behövs. 2007/08:160 s. 64 uttalas bl.a. följande. Således måste hos myndigheterna åtgärder vidtas som förhindrar missbruk. Det kan t.ex. innebära att åtkomsten till uppgifter är begränsad till olika behörighetsnivåer och därmed att enbart vissa personer vid en mottagande myndighet har tillgång till uppgifterna. Direktåtkomsten förutsätter också att uppgifter kan överföras på ett tekniskt säkert sätt. Detta handlar t.ex. om att de system som används för direktåtkomst ska ha skydd mot obehöriga intrång och andra yttre säkerhetsrisker. Vidare är det fråga om sådana förhållanden som att uppgifter lämnas ut först efter säker identifiering av användaren och att uppgifter med hänsyn till deras känslighet kan behöva skyddas genom exempelvis kryptering. Integritetsskydd genom den sekretessbrytande bestämmelsens utformning m.m. Som nämnts i avsnitt 6.2.5 kan uppgifter som får lämnas ut enligt en sekretessbrytande regel lämnas ut på olika sätt, t.ex. via telefon eller fax eller via utlämnande på medium för automatiserad behandling eller direktåtkomst. 2007/08:160 s. 72 anges att sekretessbrytande bestämmelser som ska ligga till grund för en direktåtkomst bör kompletteras med bestämmelser i den mot- tagande myndighetens arbetsordning eller motsvarande dokument som anger vilka personer som för vilka syften har behörighet att för myndighetens räkning ta del av de uppgifter som anges i de sek- retessbrytande bestämmelserna. Sådana föreskrifter omfattar även utlämnande per telefon eller brev och fyller vid sådant utlämnande samma integritetsskyddande funktion som bestämmelser om direktåtkomst gör vid elektroniskt inhämtande av information. Ett utlämnande av uppgifter per telefon eller mejl kan vidare behövas t.ex. om det på grund av tekniska problem tillfälligt inte går att använda sig av direktåtkomst. Som framgår av avsnitt 6.4.3 måste sekretessbrytande regler vid direktåtkomst rent tekniskt omfatta fler uppgifter än de som den mottagande myndigheten har rätt att ha direktåtkomst till. Efter- som bestämmelser i en arbetsordning eller dylikt inte ger ett lika bra skydd som de bestämmelser om behörighetstilldelning m.m. som gäller enligt registerförfattningar har regeringen anlagt en mer preciserad syn på hur sekretessbrytande bestämmelser bör utformas. Enligt regeringen blir integritetsskyddet ännu starkare om det på lag- eller förordningsnivå tas in två olika typer av sekretessbrytande bestämmelser beroende på formen för utlämnande av uppgifter, dels en begränsad sekretessbrytande bestämmelse som enbart tar sikte på uppgiftsutlämnande i enskilda fall och som kan användas vid utlämnande av uppgifter t.ex. via telefon eller mejl, dels en vidare sekretessbrytande bestämmelse som bara gäller vid direktåtkomst, se prop. 2010/11:78 s. 21. Om de skäl som talar för ett ökat elektroniskt informationsutbyte genom direktåtkomst väger tyngre än de som talar emot kan direktåtkomst införas. För att så ska kunna ske krävs dock att vissa författningsregleringar görs. En första förutsättning är att direktåtkomsten regleras i lag eller förordning. Rätten till direktåtkomst får bara omfatta konkreta uppgifter som är föreskrivna i lag eller förordning. Det krävs vidare att den behandling av personuppgifter som direktåtkomsten innebär regleras i författning eller framgår av ändamålsbestämmelsen för behandlingen av personuppgifter i en viss verksamhet. Det måste vidare ha gjorts en bedömning av om uppgifterna bör omfattas av sekretess eller inte hos den mottagande myndigheten, se avsnitt 6.2.7. Om bedömningen görs att vissa eller alla uppgifter bör omfattas av sekretess behöver det göras en analys av om befintliga sekretessbestämmelser är tillräckliga eller om sekretesskyddet behöver förstärkas. Det är också viktigt att berörda myndigheter är införstådda med vilka uppgifter som omfattas av överföringarna och att berörda handläggare får tillräcklig information om detta. Personuppgiftslagen innehåller generella regler som ska tillämpas i hela samhället både av myndigheter, privata organisationer och enskilda. Redan vid lagens tillkomst förutsattes att behov av undan- tag och preciseringar för vissa områden skulle tillgodoses genom särskilda s.k. registerförfattningar. Personuppgiftslagen är därför, som nämnts i avsnitt 6.4.2, subsidiär i förhållande till annan lagstiftning. För en stor del av den offentliga verksamheten gäller registerförfattningar vilka kompletterar och i vissa fall ersätter PuL. Regleringen i en registerförfattning ska så långt det är möjligt vara i överensstämmelse med PuL och Dataskyddsdirektivet. Vissa registerförfattningar innehåller bestämmelser om metoden för att elektroniskt lämna ut information genom bestämmelser om direkt- åtkomst eller utlämnande på medium för automatiserad behandling. Registerförfattningarna innehåller bestämmelser om ändamålen med den ifrågavarande behandlingen. Registerförfattningarna inne- håller ofta också bestämmelser om vilka sökbegrepp myndigheten får använda när den hämtar uppgifter ur sina register och databaser. Därigenom begränsas myndighetens möjligheter att ställa samman personuppgifter. I vissa fall reglerar registerförfattningar på vilket sätt information får lämnas ut (i pappersform eller elektroniskt) och metoden för utlämnande (genom direktåtkomst eller på medium för automatiserad behandling). I regel föreskriver register- författningarna vad som ska ske med uppgifterna i registren när myndigheten inte längre behöver dem. behandling av uppgifter i skattedatabasen regleras i lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet, skattedatabaslagen och i förordningen (2001:588) om behandling av uppgifter i beskattningsverksamhet, skattedatabasförordningen. I beskatt- ningsverksamheten ska det finnas en samling uppgifter som med hjälp av automatiserad behandling används gemensamt i verksamheten för vissa bestämda ändamål. uppgifter benämns i lagtexten beskattningsdatabas (skattedatabas). Av förarbetena till skattedatabaslagen (prop. 2000/01:33 s. 91) framgår bl.a. följande. En definition av begreppet databas som den föreslagna utesluter register och gör det möjligt att särskilja tillfälliga behandlingar av personuppgifter i en dator från behandlingar i databaser som är särskilt reglerade till sitt innehåll och användning. Definitionen har även den fördelen att den inte tekniskt avgränsar hur en samling uppgifter är uppbyggd eller organiserad. Det innebär att om flera register – i egentlig bemärkelse – är sammanlänkande och samtliga uppgifter i de olika registren på ett gemensamt sätt är tillgängliga för sökning med automatiserad behandling inom en avgränsad verksamhet, så utgör dessa register en databas. En databas kan således innehålla flera mindre databaser, varav en del kan vara regelrätta register. Skattedatabaslagens och skattedatabasförordningens innehåll I skattedatabaslagen anges tillämpningsområde, definitioner, ändamålen med behandling av uppgifter i verkets beskattningsverksamhet och de begränsningar som gäller för användningen av dessa. Det finns också regler om utlämnande av uppgifter till enskilda på medium för automatiserad behandling och om direktåtkomst. Lagen tillämpas enligt 1 kap. 1 § vid behandling av person- uppgifter i beskattningsverksamhet och i verkets handläggning enligt lagen (2007:324) om hantering av vissa borgernärsuppgifter, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. I skattedatabasförordningen finns föreskrifter om när uppgifter får lämnas ut till enskilda på medium för automatiserad behandling I förordningen anges i vilka fall det är tillåtet för myndigheten att lämna ut uppgifter om namn och personnummer till enskild på medium för automatiserad behandling. Där anges också att en enskild i vissa fall får ha direktåtkomst till en uppgift om sig själv samt att meddelar närmare föreskrifter om vilka uppgifter som får omfattas av en registrerads direktåtkomst. Ändamål med behandling av personuppgifter I 1 kap. 4 § skattedatatbaslagen anges beskattningsdatabasens primära ändamål. I stort sett hela verksamhet inom beskattningsområdet omfattas av ändamålsbeskrivningen. I 1 kap. 5 § samma lag anges de ändamål för vilka uppgifter får tillhandahållas för verksamheter utanför . Uppgifter får behandlas för tillhandahållande av information som behövs i författningsreglad verksamhet för fastställande av underlag för bl.a. utsökning och indrivning, för att utgöra underlag för beräkning, beslut och kontroll i fråga om förmån, bidrag och andra stöd, för pensionsberäkning och tillsyn och kontroll samt för lämplighets- och tillståndsprövning och annan liknande prövning. Uppgifter som får behandlas Enligt 2 kap. 3 § skattedatabaslagen får beskattningsdatabasen innehålla vissa där uppräknade uppgifter. Det gäller bl.a. en fysisk persons identitet, medborgarskap, bosättning och familjeförhåll- anden och en juridisk persons identitet, säte, ägarförhållanden samt firmatecknare och andra företrädare. Vidare får databasen innehålla uppgifter om registrering för skatter och avgifter och underlag för fastställande av skatter och avgifter. Med uppgifter om registrering för skatter eller avgifter avses bl.a. uppgifter om att någon är registrerad för mervärdesskatt eller som arbetsgivare. Med underlag för fastställande av skatter och avgifter avses bl.a. uppgifter som lämnas i deklarationer om inkomst och förmögenhet eller kontrolluppgifter från arbetsgivare. Vidare får databasen innehålla uppgifter om bestämmande av skatter och avgifter. Med det avses bl.a. uppgifter om inbetald preliminär skatt och socialavgifter, fastställd slutlig skatt för inkomst av tjänst eller kapital. Även uppgifter om underlag för fastighetstaxering, uppgifter om revision och annan kontroll av skatter och avgifter, yrkanden och grunder i ett ärende får behandlas i databasen. I förarbetena till skattedatabaslagen uttalade regeringen bl.a. följande när det gäller myndigheters inhämtande av uppgifter från andra myndigheters register (prop. 2000/01:33 s. 111 f.). För myndigheter finns vanligtvis särskilda författningar som reglerar vilka automatiserade register eller andra personuppgiftssamlingar som får föras av myndigheten eller annars på vilket sätt person- uppgifter får behandlas. I dessa författningar regleras även ända- målen med behandlingen. En myndighet som tar emot uppgifter från andra myndigheter har vanligen inte rättsligt stöd för att behandla uppgifterna annat än i enlighet med de för myndigheten gällande författningarna. Någon risk för att mottagande myndig- heter ska behandla personuppgifter som hämtas in på medium för automatiserad behandling på ett sätt som inte är avsett torde inte finnas. Under förutsättning att den utlämnande myndigheten har möjlighet att avgöra vilka uppgifter som ska lämnas ut saknas det därför enligt regeringens mening anledning att reglera när uppgifter får lämnas ut på medium för automatiserad behandling. Det finns med andra ord inte några bärande skäl för att i informationsutbytet mellan myndigheter skilja på utlämnande som görs på papper och utlämnande som sker elektroniskt. Om en myndighet får eller ska lämna ut uppgifter till annan myndighet, t.ex. med stöd av sekretesslagen eller andra författningar, bör det således vara upp till myndigheterna att avgöra på vilket sätt det ska göras. Någon reglering av möjligheterna för myndigheterna att lämna ut uppgifter till andra myndigheter på medium för automatiserad behandling behövs inte. Med myndighet avses, förutom statliga myndigheter på såväl central som lokal nivå, också länsstyrelserna, de allmänna försäkringskassorna samt kommunala nämnder av olika slag. Det har alltså inte, i motsats till vad som gäller för behandling inom socialförsäkringens område, ansetts nödvändigt att reglera i vilka fall får lämna ut uppgifter eller handlingar på medium för automatiserad behandling. När det gäller direktåtkomst har det däremot gjorts en uttömmande uppräkning i lagen över vilka myndigheter som får ha direktåtkomst till skattedatabasen, 2 kap. 7–8 a §§ skattedatabas- lagen. Där anges också vilka uppgifter som omfattas av direkt- åtkomst för respektive myndighet. enbart , och kommunernas socialnämnder som får ha sådan direktåtkomst. 6.6.2Behandling av personuppgifter i verksamhet som gäller socialförsäkringsförmåner Bestämmelser om behandling av personuppgifter i verksamhet som gäller socialförsäkringsförmåner finns i 114 kap. socialförsäkrings- balken, SFB. Det finns ett tjugotal s.k. socialförsäkringsregister vilka tillsammans utgör socialförsäkringsdatabasen. Bestämmelser- na om behandling av personuppgifter inom och verksamheter finns i 114 kap. SFB och är ett komplement till PuL. Enligt 114 kap. 2 § tillämpas kapitlet vid behandling av personuppgifter i verksamhet som gäller förmåner enligt balken, samt andra förmåner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av eller . I lagen framgår för vilka ändamål behandling av personuppgifter får ske. Här regleras också frågan om tilldelning av behörighet. Där framgår att behörighet för åtkomst till socialförsäkringsdatabasen tilldelas genom en särskild handling och att behörighet för åtkomst till databasen ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter. I lagen framgår vilka myndigheter som får ha direktåtkomst till hela eller delar av social- försäkringsdatabasen och när utlämnande på medium för automatisk databehandling får ske. Enligt 114 kap. 18 § är direkt- åtkomst tillåten endast i den utsträckning som anges i lag eller förordning. Av 114 kap. 19–23 §§ framgår vilka myndigheter och andra organ som får ha direktåtkomst till uppgifter i social- försäkringsdatabasen och under vilka förutsättningar direktåtkomst får förekomma. Ändamålen med behandling av personuppgifter i verksamhet som gäller socialförsäkringsförmåner I 114 kap. 7 § SFB regleras för vilka ändamål behandling av person- uppgifter får ske. och får behandla personuppgifter om det är nödvändigt bl.a. för att tillgodose behov av underlag som krävs för att den registrerades eller annans rättigheter eller skyldigheter i fråga om förmåner och ersättningar ska kunna bedömas eller fastställas samt för att handlägga ärenden. Av 114 kap. 8 § framgår att personuppgifter som behandlas för ändamål som anges i 7 § också får behandlas av och för tillhandahållande av information som behövs som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskilda i den verksamhet som bedrivs av CSN och arbetslöshetskassorna, för samordning av tjänstepensioner i den verksamhet som bedrivs av SPV och de för kommunerna och landstingen gemensamma organet för administration av personalpensioner, för handläggning av ärenden hos SPV där regler om statens tjänstegrupplivsförsäkring ska tillämpas, som underlag för beslut om och kontroll av ekonomiskt bistånd åt enskild i den verksamhet som bedrivs av social- nämnderna och som underlag för beslut om kontroll av vårdnads- bidrag enligt lagen om kommunalt vårdnadsbidrag. Uppgifter som får behandlas Förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration innehåller närmare föreskrifter om behandlingen av personuppgifter. Här regleras vilka person- uppgifter som får behandlas i socialförsäkringsdatabasen samt de uppgifter som omfattas av den direktåtkomst som vissa myndigheter och organ har. 6.6.3Behandling av personuppgifter i verksamhet , behandling av personuppgifer reglers i lagen (2001:184) om behandling av uppgifter i Kronofogdemyndig- hetens verksamhet, KFMdbL, och förordningen (2001:590) om behandling av uppgifter i verksamhet, KFMdbF. Lagen och förordningen är komplement till PuL. I 1 kap. 1 § KFMdbL anges att lagen tillämpas vid behandling av personuppgifter i verksamhet med utsökning och indrivning, skuldsanering, betalningsföreläggande och handräckning, europeiskt betalningsföreläggande, tillsyn i konkurs samt i annan verksamhet som särskilt åligger Kronofogde- myndigheten, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. I kapitlet finns bestämmelser om ändamål, vilka uppgifter som får behandlas och om gallring. Ändamålen med behandling av personuppgifter i verksamhet I 2 kap. 2 § KFMdbL framgår att uppgifter får behandlas i data- basen för tillhandahållande av information som behövs i och verksamhet för bl.a. verkställighet eller annan åtgärd som särskilt åligger Kronofogde- myndigheten enligt utsökningsbalken eller annan författning, indrivning av statliga fordringar m.m., avräkning vid återbetalning av skatter och avgifter, ansökan om och tillsyn över näringsförbud, ärenden om ansvar för någon annans skatter och avgifter och tillsyn, kontroll, uppföljning och planering av I 2 kap. 3 § framgår för vilka sekundära ändamål som uppgifter får behandlas i databasen. Uppgifter som får behandlas och elektroniskt uppgiftsutlämnande I utsöknings- och indrivningsdatabasen får i huvudsak uppgifter behandlas om personer som omfattas av verksamhet som avses med de primära ändamålen.