sou · GYB34d2 · 2011-01-01 00:00:00 — För de potentiella handlingarna gäller att de inte anses förvarade hos en myndighet om de inte kan göras tillgängliga med rutinbetonade åtgärder eller om de omfattas av den s.k. begränsningsregeln. Den ifrågavarande gränsdragningen i förvaringshänseende innebär alltså att det är viktigt att kunna kategorisera en viss handling som färdig eller potentiell. Någon legal definition av de båda handlingsslagen finns emellertid inte. Det har inte ansetts lämpligt att i grundlagen förtydliga var gränsen mellan färdiga och potentiella handlingar går. Ledning får i stället hämtas i detaljerade arkivregler om hur allmänna handlingar i elektronisk form ska bevaras (SOU 2001:3 s. 139 f. och prop. 2001/02:70 s. 21 f.). I exempelvis förarbetena till patientdatalagen (2008:355) konstaterade regeringen att det kan diskuteras i vilken utsträckning elektroniska patientjournalsystem innehåller färdiga elektroniska handlingar. EKG-kurvor och signerade recept torde enligt regeringen kunna ses som exempel på färdiga elektroniska journalhandlingar och detsamma gällde signerade journalanteckningar som kan tas fram gång på gång. Regeringen noterade i propositionen att det inte inom ramarna för det aktuella lagstiftningsarbetet fanns möjlighet att dra upp riktlinjer för den närmare gränsen mellan de båda handlingsslagen. Regeringen avslutade med att konstatera att den avgränsningen får överlåtas åt rättstillämpningen (prop. 2007/08:126 s. 124). Kommittén kan för sin del konstatera att det mellan de färdiga och de potentiella handlingarna förefaller finnas en gråzon i form av sådana upptagningar som består av uppgifter som kan tas fram gång på gång med samma innehåll och form men som inte är färdiga i den bemärkelsen att de utgör färdigställda dokument. 11.1.3Begreppen direktåtkomst och medium för automatiserad behandling Bestämmelser om direktåtkomst innebär typiskt sett att information lämnas ut i elektronisk form till en extern mottagare där den som är ansvarig för informationen inte har kontroll över vilka uppgifter som en viss mottagare vid ett viss tillfälle tar del av – automatiserad tillgång – och där mottagaren av informationen inte kan påverka innehållet i det informationssystem eller register som informationen lämnas ut från (se t.ex. prop. 2004/05:164 s. 83, prop. 2007/08:126 s. 244 och prop. 2007/08:160 s. 57). I många registerförfattningar utgör skillnaden mellan direktåtkomst och utlämnande på medium för automatiserad behandling en viktig komponent när det gäller regleringen av utlämnandeformer och informationsutbyte. Det finns bestämmelser i registerförfattningar där det framgår inte bara i vad mån personuppgifter får behandlas genom att lämnas ut till en extern mottagare utanför myndigheten utan även när det får ske i elektronisk form till andra myndigheter eller till enskilda. I denna typ av lagstiftning används begrepp som direktåtkomst, elektronisk åtkomst och utlämnande på medium för automatiserad behandling.3 I flera lagstiftningsärenden av senare datum har det framhållits att begreppet direktåtkomst används i olika registerförfattningar 3 Sådan intern tillgång som tidigare reglerades i vårdregisterlagen (1998:544) med begreppet direktåtkomst benämns i patientdatalagen elektronisk åtkomst. Med begreppet direktåtkomst avses i denna senare lag endast en speciell form av elektroniskt utlämnande av personuppgifter till mottagare utanför en vårdgivares organisation (prop. 2007/08:126 s. 73 ff.). med något varierande innebörd. I förarbetena till patientdatalagen noteras exempelvis följande (prop. 2007/08:126 s. 73 och 74). Begreppet direktåtkomst används i olika registerförfattningar med något varierande innebörd. I vårdregisterlagen används det således för att beteckna den elektroniska tillgång till uppgifter som personalen inom vårdgivarens organisation behöver för att kunna utföra sitt arbete, medan det i flertalet andra registerförfattningar används för att beteckna en speciell form av utlämnande av uppgifter till någon utanför den egna organisationen. Det har i några fall också använts för att beskriva en särskild form av elektroniskt utlämnande mellan olika självständiga verksamhetsgrenar inom en och samma myndighet. De specifika särdrag som enligt vedertagen uppfattning karaktäriserar direktåtkomsten, när det begreppet används för att beskriva en viss form av elektroniskt utlämnande, är främst att den som är ansvarig för informationen inte har kontroll över vilka uppgifter som en mottagare vid ett visst tillfälle tar del av – automatiserad tillgång – och att mottagaren av informationen inte kan påverka innehållet i det informationssystem eller register som informationen lämnas ut från (se t.ex. prop. 2004/05:164 s. 83). Mottagaren har möjlighet att ta del av innehållet i t.ex. en elektronisk handling utan att för den skull kunna ändra i eller tillföra ny information till de uppgifter som utlämnaren ansvarar för. Regeringen framhöll vidare att utan en övergripande analys och utredning om hur bestämmelserna om direktåtkomst tillämpas i de olika sammanhang de förekommer var det inte lämpligt att definiera vad som avses med begreppet i patientdatalagen. Regeringen konstaterade att det skulle vara svårt att förutse vilka effekter en sådan åtgärd skulle få för rättstillämpningen på andra områden (prop. 2007/08:126 s. 76). Kommittén kan konstatera att många registerlagar innehåller regler om form och metod för utlämnande. Regleringen bygger på begreppen direktåtkomst (i vissa författningar kallat terminalåtkomst) och utlämnande på medium för automatiserad behandling (i vissa författningar betecknat medium för automatisk databehandling). En skarp juridisk gräns dras mellan utlämnande som betecknats direktåtkomst respektive annat utlämnande. Eftersom direktåtkomst har ansetts innebära att den utlämnande myndigheten eller det utlämnande organet i det enskilda fallet inte har kontroll över vilka uppgifter som lämnas ut har det från persondataskyddssynpunkt ansetts vara av stor betydelse att särskilt reglera frågor om direktåtkomst i registerlagstiftningen. Vidare noterar kommittén att den tekniska utvecklingen har fört med sig att gränsen mellan de metoder för utlämnande i elektronisk form som förekommer i registerförfattningarna i viss mån har suddats ut (se 2006:1, Elektroniskt informationsutbyte – myndighetsgemensamma rättsfrågor, s. 78 ff.). Det finns inte någon legaldefinition av begreppet direktåtkomst. Begreppsbildningen på området är oklar och registerförfattningarna saknar en enhetlig systematik. Det förekommer att begreppet direktåtkomst används både för att beskriva en speciell form av elektroniskt utlämnande till en extern mottagare och den egna personalens elektroniska tillgång till personuppgifter som behandlas inom en organisation. Det är inte ovanligt att samma förhållande regleras genom regler om förutsättningarna för direktåtkomst i ett fall och som utlämnande på medium för automatiserad behandling i ett annat. Enligt kommitténs mening är det inte är rimligt att bygga regleringen på en skarp juridisk gräns mellan direktåtkomst och utlämnande på medium för automatiserad behandling när den gränsen i själva verket är mycket svår att dra. Mycket torde stå att vinna på att göra begreppsbildningen mer enhetlig och tydlig, t.ex. avseende begreppet direktåtkomst och att skapa en mer enhetlig struktur och systematik på området. Bedömning: Kommittén anser att det är högst angeläget att det sker en allmän översyn av gällande registerförfattningar och av begreppsbildningen på området för att komma till rätta med de problem som den befintliga regleringen innebär. Mot bakgrund av det väldokumenterade behovet av att se över registerförfattningarna är det angeläget att arbetet med en sådan översyn påbörjas . Enligt kommitténs uppfattning finns det ett tydligt behov av att i samband med en översyn av registerförfattningarna skapa en gemensam checklista för att garantera att samtliga registerförfattningar ses över utifrån en gemensam referensram. Även framtida registerförfattningar skulle kunna konstrueras utifrån detta schema eller mall, för att på så sätt åstadkomma en ordning där en och samma lagstiftningsteknik används vid tillskapandet av nya registerförfattningar. Registerförfattningarna har till huvudsakligt syfte att reglera inrättandet och användningen av viktigare register – eller kanske snarare databaser – inom den offentliga sektorn. Mot bakgrund av att personuppgiftslagen (1998:204) är subsidiär i förhållande till andra författningar är registerförfattningarna tänkta att ge ett anpassat integritetsskydd vid myndighetens hantering av personuppgifter då behov finns att avvika från eller komplettera det integritetsskydd som personuppgiftslagen ger. En närmare beskrivning av registerförfattningarnas utformning och syfte finns i avsnitt 3.6. Registerförfattningarna – en kritiserad författningsform har en hel del kritik riktats dels mot själva förekomsten av registerförfattningar, dels mot registerförfattningarnas konstruktion, begreppsapparat m.m. Nedan presenteras några av de synpunkter som har förts fram både i den allmänna debatten och i olika lagstiftningsärenden. Representanter för massmedia har stundom riktat hård kritik mot registerförfattningarna.4 Det har bl.a. hävdats att en effekt av registerförfattningarna är att en journalist som vill ha datafiler med personuppgifter som myndigheten inte behöver för sin egen verksamhet, kommer att mötas av ett nekande svar på grund av registerförfattningarnas förbud mot att ta fram vissa uppgifter. Effekten blir, påtalas det från massmedia, att myndigheternas eget kunskapsbehov kan tillfredsställas men inte medborgarnas. Registerförfattningarnas regler om sökförbud, i kombination med begränsningsregeln i 2 kap. 3 § tredje stycket tryckfrihetsförordningen, framhålls ofta som en effektiv inskränkning av handlingsoffentligheten eftersom effekten av det aktuella regelverket blir att en rad potentiella handlingar innehållandes i och för sig offentliga uppgifter inte anses förvarade hos myndigheten. I utredning Registerlagarna – den absoluta sekretessen () påpekades att journalister som behöver utnyttja elektroniskt lagrad information hos myndigheter ofta 4 Se t.ex. utredning Registerlagarna – den absoluta sekretessen (2006- 04-19), bok det öppna samhället (2008) samt debattboken 7:16 – och andra hot mot öppenheten, red. och (2000). möter dubbla hinder, dels bestämmelsen i 2 kap. 13 § tryckfrihetsförordningen som ger myndigheten rätt att bestämma i vilken form kopior av allmänna handlingar ska lämnas ut, dels hinder i form av registerförfattningar. I rapporten noterades att det första hindret inte är absolut eftersom myndigheten om den vill kan lämna ut kopior i elektronisk form. Däremot, framhölls det, är det andra hindret i form av registerförfattningen absolut genom att bestämmelserna i registerförfattningen medför att det råder förbud för myndigheten att ta fram en viss datafil med personuppgifter vilken myndigheten inte behöver för sin egen verksamhet. Integritetsskyddskommittén5 har kritiserat registerförfattningarna i betänkandet Skyddet för den personliga integriteten – kartläggning och analys (SOU 2007:22) genom att bl.a. peka på att det saknas samordning av reformer på området (s. 461 ff.). Kommittén konstaterade i betänkandet att den reformering av registerförfattningarna som har skett efter personuppgiftslagens ikraftträdande har genomförts utan någon egentlig samordning och att skiftande lagstiftningsteknik har använts för att reglera registerförfattningarnas förhållande till personuppgiftslagen. Bland annat konstaterade att det förekommer att olika begrepp används för att beskriva samma företeelse. Exempelvis används begreppet databas i en del författningar, medan man i andra har hållit fast vid det etablerade begreppet register. Därutöver konstaterade man i betänkandet att i vissa fall har ett och samma begrepp använts, men med olika betydelser i skilda författningar. Ett exempel på detta är begreppet direktåtkomst. påpekade även att grundläggande bestämmelser om s.k. direktåtkomst i allmänhet brukar ha form av 5 överlämnade delbetänkandet Skyddet för den personliga integriteten – kartläggning och analys (SOU 2007:22) och överlämnades slutbetänkandet Skyddet för den personliga integriteten – bedömningar och förslag (SOU 2008:3). I slutbetänkandet föreslår kommittén framför allt att kompletteringar sker i grundlagen för att stärka skyddet för den personliga integriteten, att vissa bestämmelser införs om olovlig fotografering samt att regeringen bör lämna information till om utvecklingen på integritetsskyddsområdet, att Datainspektionens roll breddas och utvecklas och att frågan om att inrätta ett råd eller en nämnd med uppgift att vaka över integritetsskyddet på hela samhällsområdet hålls levande och aktualiseras om det skulle visa sig att behovet av integritetsskydd beaktas för lite i lagstiftningsarbetet och i andra sammanhang. lag och att skälet till detta är att frågan om direktåtkomst har ansetts central från integritetsskyddssynpunkt. Kommittén framhöll att en bestämmelse som tillåter direktåtkomst dock inte har ansetts i sig innebära en sådan uppgiftsskyldighet som enligt (numera) 10 kap. 28 § första stycket offentlighets- och sekretesslagen medför att ett utlämnande av uppgifter till en annan myndighet inte hindras av sekretess. Det torde enligt kommittén bero på att det i bestämmelser om direktåtkomst brukar anges vilka myndigheter som får ha direktåtkomst till den aktuella myndighetens informationssamlingar.6 Den regleringsmodell som i allmänhet används, noterade , är alltså att det i den aktuella registerlagen anges att direktåtkomst får medges och att regeringen därutöver i en förordning meddelar kompletterande bestämmelser om uppgiftsskyldighet. påpekade att i den ifrågavarande lagen brukar det inte hänvisas till att det i förordning finns sådana sekretessbrytande regler – av lagen framgår alltså i allmänhet inte att direktåtkomsten kompletteras av bestämmelser om uppgiftsskyldighet. I stället ger lagen enligt , med ordet får intryck av att direktåtkomst är möjlig först efter en sekretessprövning med stöd av 10 kap. 27 § offentlighets- och sekretesslagen. Efter att i betänkandet ha konstaterat att ett utlämnande av uppgifter som sker på grund av en bestämmelse om uppgiftsskyldighet, och som därmed ansluter till 10 kap. 28 § första stycket offentlighets- och sekretesslagen, får anses innebära en typiskt sett större integritetsskada än ett utlämnande som sker med stöd av 10 kap. 27 § framhöll att det från integritetsskyddssynpunkt är angeläget att det redan i lagen framgår vad slags inskränkning i integriteten som det är frågan om. Det vore därför enligt önskvärt att bestämmelser om direktåtkomst utformas så att det framgick om denna åtkomst 6 Detta förhållande uppmärksammades av bl.a. Lagrådet med anledning av reformen för behandling av personuppgifter inom , och (prop. 2000/01:33). Enligt Lagrådet vore det önskvärt om en formell överensstämmelse skapades mellan registerlagarna och sekretesslagen så att sekretessbrytande effekter av föreskrifter om direktåtkomst regleras i sekretesslagen i anslutning till 14 kap. 1 och 3 §§ sekretesslagen. I avsaknad av en sådan överensstämmelse borde man enligt Lagrådet i de fall direktåtkomsten ska vara sekretessbrytande ange detta med ett ska och därmed ansluta till 14 kap. 1 § sekretesslagen. I de fall då direktåtkomsten däremot inte avses vara sekretessbrytande borde detta anges med ett får och därmed ansluta till 14 kap. 3 § sekretesslagen, vilket innebär att en sekretessprövning enligt denna bestämmelse måste göras innan åtkomsten kan medges. Regeringen följde dock inte Lagrådets synpunkter i det nämnda lagstiftningsärendet och tycks inte heller ha gjort så i andra lagstiftningsärenden där direktåtkomst har reglerats. kompletteras med bestämmelser om uppgiftsskyldighet. Därmed skulle den enskilde redan av de grundläggande bestämmelserna i lagen kunna läsa ut vilken slags integritetsinskränkning det är frågan om. Ytterligare ett problem från integritetsskyddssynpunkt som påtalades av är de författningar som innehåller regler om s.k. sekundära ändamål, dvs. regler som anger att uppgifter, vid sidan av de primära ändamålen, får behandlas för att tillhandahålla information till någon annan myndighet eller till enskilda. Bestämmelser om sekundära ändamål är enligt problematiska bl.a. från den synpunkten att de ibland avses ge svar på frågan om när uppgifter får lämnas ut. Kommittén noterade att emellanåt avser de sekundära ändamålen att uttömmande reglera för vilka ändamål och till vilka som uppgifter får lämnas ut och angav som exempel den reglering som avser behandling av personuppgifter inom brottsbekämpande verksamhet. Där synes, påpekade , bestämmelserna syfta till att i betydligt större omfattning än vad som gäller enligt sekretesslagen inskränka möjligheterna att lämna ut uppgifter till andra myndigheter. konstaterade att om bestämmelserna ska tillämpas i enlighet med detta syfte torde man för uppgifter som behandlas i enlighet med lagen i praktiken ha infört en absolut sekretess i förhållande till andra myndigheter, trots att det i sekretesslagen anges att sekretess på detta område gäller med ett omvänt skaderekvisit. Ett grundläggande problem i sammanhanget synes enligt vara att inte heller när det gäller bestämmelser i registerförfattningar om ändamål med behandlingen har lagstiftaren på något enhetligt sätt tagit ställning till hur sådana regler förhåller sig till bestämmelser i andra lagar som också kan ha betydelse i sammanhanget. noterade att en reglering av nu nämnt slag möjligen skulle bli tydligare om bestämmelser om sekundära ändamål enbart fick ha till syfte att ange när uppgifter får samlas in och behandlas i verksamheten i form av lagring och på annat sätt. Utlämnande av uppgifter till andra myndigheter skulle enligt kunna regleras vid sidan av de sekundära ändamålen och därvid kunde det anges vilka uppgiftsskyldigheter som ska finnas. Därutöver, anmärkte , torde det från integritetsskyddssynpunkt inte behövas andra bestämmelser om utlämnande av uppgifter än de som syftar till att precisera i vilka fall utlämnanden rutinmässigt får ske till andra myndigheter med stöd av 10 kap. 27 § offentlighets- och sekretesslagen. Kommittén påpekade att i övrigt torde det från integritetsskyddssynpunkt vara tillräckligt att ett utlämnande prövas enbart utifrån bestämmelserna i offentlighets- och sekretesslagen, samt noterade att utlämnande till enskilda av uppgifter enligt offentlighetsprincipen för övrigt inte på grund av bestämmelserna i 2 kap. 2 § tryckfrihetsförordningen kan begränsas i någon annan lag än offentlighets- och sekretesslagen såvida inte denna lag särskilt hänvisar till den aktuella registerförfattningen. Även informationsutbytesutredning riktade i sitt betänkande Utökat elektroniskt informationsutbyte (SOU 2007:45) kritik mot registerförfattningarna. Utredningen konstaterade att registerförfattningarna bör ses över för att skapa förutsättningar för ett samordnat och enhetligt regelverk som främjar utvecklingen av elektronisk förvaltning och minskar riskerna för oacceptabla intrång i den personliga integriteten (a. bet. 393– 395). Utredningen noterade bl.a. följande (a. bet. s. 394). Begreppsbildningen på området är oklar och framtagen av helt andra och mer begränsade möjligheter till elektroniskt informationsutbyte. Dessa förhållanden skapar onödiga hinder för utvecklingen. Enligt vår mening är det en avgörande förutsättning för ett väl fungerande elektroniskt informationsutbyte och elektronisk förvaltning överhuvudtaget att det finns ett samordnat regelverk med enhetlig struktur för alla myndigheter, utan otydliga begrepp och andra onödiga hinder för önskvärd utveckling. Även från integritetsskyddssynpunkt medför den bristande strukturen i författningarna och den oklara begreppsbildningen tillämpningssvårigheter som innebär ökade risker för oacceptabla intrång i den personliga integriteten. I betänkandet Strategi för myndigheternas arbete med e- förvaltning (SOU 2009:86) har E-delegationen föreslagit att regeringen ska tillsätta en utredning med uppdrag att göra en översyn av registerförfattningarna och lämna förslag till bestämmelser som är samordnade, enhetliga och tydliga (s. 65). det enligt E-delegationen ingå att lämna förslag till hur regelkonflikter inom register- och sekretesslagstiftningen ska lösas. E-delegationen konstaterade i sitt betänkande att de cirka 200 registerförfattningarna saknar en sinsemellan enhetlig struktur även om många av författningarna påminner om varandra. Vidare påpekades att olika begrepp används för att beskriva samma företeelse (t.ex. databas och register) som samma begrepp förekommer i olika betydelser (t.ex. direktåtkomst och gallring). För att möjliggöra en utveckling i riktning mot en flexibel e-förvaltning, påpekade , krävs det att registerförfattningarna är samordnade, enhetliga och tydliga. E- delegationen framhöll att i en elektronisk förvaltning måste olika intressen balanseras mot varandra, nämligen intresset av effektivitet, integritet och öppenhet. Dessa tre begrepp borde enligt E-delegationen vara ledord för en översyn av registerförfattningarna. E-delegationen påpekade vidare att det är viktigt att befintliga registerförfattningar analyseras och att en utredning lämnar förslag till hur registerförfattningar bör struktureras och vilka begrepp som bör användas. En sådan utredning bör också enligt E-delegationen få i uppdrag att analysera vilka regelkonflikter som kan uppstå mellan registerlagstiftning och sekretessregleringen vid utbyte av elektronisk information mellan myndigheter och lämna förslag på hur sådana konflikter ska lösas. Kommittén har tidigare konstaterat att det främsta hindret mot att nu föreslå en fullt ut genomförd elektronisk offentlighetsprincip är de brister som finns inbyggda i det omfattande regelverk som registerförfattningarna utgör. I likhet med vad som framförts från flera andra håll anser kommittén alltså att det är högst angeläget att det sker en allmän översyn av gällande registerförfattningar och av begreppsbildningen på området för att komma till rätta med de problem som nuvarande reglering uppenbart innebär. Bland annat som ett resultat av ambitionen att register med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras särskilt i lag har en omfattande särreglering införts i lag. Medan begränsningar av rätten att ta del av allmänna handlingar noga anges i bestämmelser i offentlighets- och sekretesslagen saknas en sammanhållen struktur för registerförfattningarna och samspelet med personuppgiftslagen. Registerförfattningar har skapats utan någon egentlig samordning och skiftande lagstiftningsteknik har använts för att reglera registerförfattningarnas förhållande till personuppgiftslagen. Registerförfattningarna är dessutom, redan till följd av antalet, svåra att överblicka.7 Det har uppskattats att det finns cirka 200 sådana och det kommer att krävas insatser redan för att klargöra vilka lagar och förordningar som ska tillämpas på vad. Ett generellt problem är att olika lagtekniska lösningar valts beträffande tillämpningsområdet för sådana författningar. Vissa registerförfattningar kompletterar personuppgiftslagen, de innehåller bara särbestämmelser och gäller utöver personuppgiftslagen, andra gäller i stället för personuppgiftslagen men innehåller hänvisningar till de bestämmelser i personuppgiftslagen som ska tillämpas. Slutligen finns registerförfattningar som gäller i stället för personuppgiftslagen och upprepar de bestämmelser i personuppgiftslagen som ska vara tillämpliga. bygger registerförfattningarna ofta till betydande del på uttryckssätt och författningstekniska konstruktioner som kommit till .