sou · GYB34d2 · 2011-01-01 00:00:00 — JO har anmärkt att en sekretessregel som för sin tillämpning förutsätter att myndigheten måste skaffa sig en uppfattning om syftet med en begäran om utlämnande av handlingar eller uppgifter harmonierar mindre väl med efterfrågeförbudet i 2 kap. 14 § tredje stycket tryckfrihetsförordningen. Mot denna bakgrund har JO påtalat att det finns anledning att överväga om sekretessbestämmelsen bör ändras eller upphävas (se t.ex. JO:s dnr 1102-2004 och 1849-2004). En mer tilltalande metod skulle enligt JO vara att i de fall det finns skäl att anta att personuppgifter efter ett utlämnande skulle komma att behandlas i strid med personuppgiftslagen – i första hand de fall då det rör sig om massuttag eller om uttag av selekterade personuppgifter – låta beslutet om utlämnande innefatta en erinran om att det utlämnade materialet inte får behandlas i strid med de i viss utsträckning straffsanktionerade bestämmelserna i personuppgiftslagen. 2 Rätten att få vara anonym och att inte behöva avslöja sitt syfte har betonats av JO i en rad beslut, se bl.a. JO 1977/78 s. 250, JO 1998/99 s. 513 och JO 2000/01 s. 578. Överväganden och förslag – sekretessbestämmelsen Kommittén konstaterar att sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen inskränker den enskildes möjligheter att åberopa sin rätt enligt 2 kap. 14 § tredje stycket tryckfrihetsförordningen att inte behöva uppge sitt namn eller sitt syfte med att önska studera en viss handling. Detta är mindre tilltalande. För att offentlighetsprincipen ska kunna upprätthållas effektivt är det av vikt att den enskilde kan förbli anonym. 9.2.2Tillämpningen förutsätter att myndigheten antar avsikt hos sökanden Det har i olika sammanhang framhållits att sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen på ett olyckligt sätt bryter mot systematiken i offentlighets- och sekretesslagen genom att skaderekvisitet tar sikte på skada eller men som kan tänkas uppkomma på grund av att den som fått del av uppgifterna kan komma att handla lagstridigt (se bl.a. ovan nämnda yttranden av JO, dnr 1102-2004 och 1849-2004). Utgångspunkten är annars att skaderekvisiten tar sikte på skada eller men som kan uppkomma genom själva utlämnandet av uppgiften. Den praktiska tillämpningen av en sekretessbestämmelse som 21 kap. 7 § offentlighets- och sekretesslagen kan onekligen förefalla problematisk. En tillämpning av sekretessbestämmelsen måste bygga på mer eller mindre väl underbyggda antaganden om avsikt och syfte hos den som begär att få ut uppgifter för vilka ingen sekretess i övrigt gäller. Prövningen innebär alltså att myndigheten tvingas göra antaganden om en ännu inte påbörjad behandling av personuppgifter över huvud taget omfattas av personuppgiftslagen och om den i så fall kan tänkas strida mot lagens bestämmelser. Offentlighets- och sekretesskommittén (OSEK) har påpekat bl.a. att detta i praktiken innebär att en förhandsprövning ska göras av om en ännu inte påbörjad behandling av personuppgifter kan antas åtnjuta grundlagsskydd eller inte (SOU 2001:3 s. 215). I fråga om vilka krav en myndighet kan ställa på en sökande i detta sammanhang – och för att belysa de svårigheter som rättstillämparen kan möta vid sekretessprövningen – noterade följande (a. bet. s. 216). I förarbetena till personuppgiftslagen anfördes att en invändning om att en behandling av personuppgifter avser sådant som är undantaget enligt 7 § samma lag får godtas, om det inte av omständigheterna fram- Överväganden och förslag – sekretessbestämmelsen går att invändningen är så osannolik att den kan lämnas utan avseende (prop. 1997/98:44 s. 119). Uttalandet tog inte specifikt sikte på prövningen enligt 7 kap. 16 § SekrL, utan tycks ha gällt normkonflikter generellt mellan å ena sidan tryck- och yttrandefrihet och å andra sidan personuppgiftslagen. Det får dock anses främmande för de principer som svensk tryck- och yttrandefrihet hitintills har byggt på att en myndighet eller en domstol vid sekretessprövningen enligt 7 kap. 16 § SekrL, när de formella kriterierna enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen är uppfyllda, skulle göra en materiell prövning av om ändamålet med en viss behandling av personuppgifter åtnjuter grundlagsskydd eller inte. Om en sökande t.ex. påstår att han har för avsikt att sprida begärda personuppgifter på datadisketter på ett sätt som formellt uppfyller kraven på grundlagsskydd enligt yttrandefrihetsgrundlagen och påståendet inte framstår som så osannolikt att det bör lämnas utan avseende, förefaller därför utrymmet vid sekretessprövningen vara mycket begränsat när det gäller såväl att med stöd av 2 kap. 14 § TF närmare efterforska syftet med sökandens begäran som att slutligen komma fram till att personuppgifterna i fråga inte kan lämnas ut p.g.a. sekretess. Det har i detta sammanhang även framhållits att det är viktigt att tillämpningen av sekretesslagstiftningen så långt som möjligt vilar på tydlig lag och utan större utrymme för enskilda tjänstemäns personliga bedömningar (se bl.a. JO:s yttrande över OSEK:s betänkande Ny sekretesslag [SOU 2003:99], dnr 1102-2004). Kommittén kan också se det problematiska med en sekretessbestämmelse som för sin tillämpning bygger på att myndigheten måste göra ett antagande om hur mottagaren av personuppgifterna kommer att behandla dem. Bestämmelsen öppnar inte bara för skönsmässiga bedömningar, den innebär också ett avsteg från huvudprincipen att offentlighetsprincipen förutsätter att myndigheten inte har att göra med vare sig vem sökanden är eller hur han eller hon tänker använda uppgifter ur en allmän handling efter utlämnandet. Från myndighetshåll påpekas inte sällan att sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen är komplicerad att tillämpa. Det är inte sällan svårt att bedöma om personuppgifter efter ett utlämnande kan befaras bli behandlade i strid med personuppgiftslagen. Det kan vara en grannlaga uppgift att bedöma om personuppgiftslagen alls kommer att bli tillämplig på den behandling sökanden kan antas företa; är det fråga om behandling av rent privat natur, är det behandling som omfattas av bestämmelserna om tryck- och yttrandefrihet, är det behandling uteslutande för journalistiskt ändamål eller konstnärligt eller Överväganden och förslag – sekretessbestämmelsen litterärt skapande etc. Om myndigheten kommer fram till att personuppgiftslagen är tillämplig måste den därefter bedöma hur en tillämpning av personuppgiftslagen skulle kunna tänkas utfalla i det särskilda fallet. Enligt vad kommittén har erfarit uppfattar många myndigheter denna prövning som komplicerad och förenad med ett icke obetydligt utrymme för subjektiva bedömningar. 9.2.3Behandling av personuppgifter som inte omfattas av personuppgiftslagen Den aktuella sekretessbestämmelsen förefaller ha tillämpats i relativ liten omfattning fram till ikraftträdandet av personuppgiftslagen . Vid bestämmelsens införande omfattade den bara behandling av personuppgifter i dator (se vidare avsnitt 3.6.1). hade ytterst få privatpersoner datorer och bestämmelsen var därför främst tänkt att hindra stora företag från att bygga upp egna personregister. Den förändring av sekretessbestämmelsen som införandet av personuppgiftslagen medförde sades endast vara en redaktionell ändring (prop. 1997/98:44 s. 113 och 147). Det underströks av departementschefen att offentlighetsprincipen inte skulle påverkas. Kommittén kan konstatera – en uppfattning som även framfördes av OSEK – att det uttalandet emellertid kan ifrågasättas. Det förhåller sig snarare så att sekretessbestämmelsen i själva verket fick ett betydligt vidare tillämpningsområde genom personuppgiftslagens ikraftträdande. Det finns dock anledning att tro att andelen behandlingar av personuppgifter som omfattas av sekretessbestämmelsens tillämpningsområde har minskat. Detta är i sin tur förknippat med att tillämpningsområdet för personuppgiftslagen tenderar att krympa. Genom rättspraxis har exempelvis undantaget för journalistiska ändamål fått den innebörden att alla kan ägna sig åt journalistisk verksamhet förutsatt att man ägnar sig åt informationsspridning i frågor av betydelse för allmänheten (se bl.a. NJA 2001 s. 409).3 Utvidgningen av det grundlagsskyddade området för yttrandefriheten får också betydelse för prövningen av 3 Se även dom i mål C-73/07, Tietosuojavaltuutettu mot och (Satakunnan-målet) där domstolen konstaterar att dataskyddsdirektivets möjlighet till undantag för journalistiska ändamål kan tillämpas på verksamhet som endast syftar till att sprida information, åsikter eller idéer till allmänheten. Enligt ankommer det på de nationella domstolarna att bedöma om en sådan situation föreligger. Överväganden och förslag – sekretessbestämmelsen om sekretess föreligger enligt 21 kap. 7 § offentlighets- och sekretesslagen. Exempelvis påverkar möjligheten att erhålla s.k. frivilliga utgivningsbevis tillämpningsområdet för personuppgiftslagen. Möjligheten till frivilligt grundlagsskydd för databaser som drivs av andra än massmedieföretag finns i andra stycket av den s.k. databasregeln (1 kap. 9 § yttrandefrihetsgrundlagen). Av bestämmelsen följer att andra aktörer än massmedieföretagen, både fysiska och juridiska personer, får grundlagsskydd för sådan verksamhet som nämns i paragrafens första stycke om de ansöker om utgivningsbevis och överföringarna utgår från , behörig utgivare har utsetts och åtagit sig uppdraget samt verksamheten har ett namn som inte lätt kan förväxlas med en annan databasverksamhet som har grundlagskydd. Utgivningsbevis utfärdas av Radio- och TV-verket.4 Möjligheten att utse en ansvarig utgivare och registrera ett utgivningsbevis hos Radio- och har t.ex. inneburit att vissa kreditupplysningsföretag har kunnat marknadsföra sig mot privatpersoner med tjänster som ger möjlighet att enkelt kolla vad grannen tjänar, att man kan söka fram födelsedatum och adress för en namngiven person, att telefonnummer och foton på huset där abonnenten bor publiceras på nätet och att det finns sajter där anonyma personer kan betygsätta t.ex. läkare. Om kreditupplysningsföretagen som lämnar ut uppgifterna har utgivningsbevis kommer de att vara undantagna reglerna i personuppgiftslagen och kan därmed använda informationen för vilka ändamål de önskar – marknadsföringsändamål, födelsedagssajter m.m.5 Detta 4 har uttalat att integritetsskyddet på det mediala området har väsentligt försämrats till följd av införandet av möjligheten till grundlagsskydd för databaser genom utgivningsbevis (SOU 2007:22 s. 488). har påpekat att detta kan anses korrekt i rättsligt hänseende men därvid måste beaktas att det är fråga om en avvägning mellan integritetsskyddsintresset och yttrandefrihetsintresset (SOU 2009:14 s. 110). framhöll vidare att kommitténs undersökning av den verksamhet som faktiskt bedrivs i databaser med utgivningsbevis visar att integritetskränkningarna i praktiken är mycket få i sådan verksamhet och kommenterar att detta är fallet trots att regleringen innebär att den som vill kan undandra sig en del integritetsskyddande regler, t.ex. personuppgiftslagen. En förklaring till att integritetskränkningarna ändå är så få i databaser med grundlagsskydd på grund av utgivningsbevis kan enligt antas vara bl.a. att det finns en återhållande effekt i de krav på att behörig utgivare har utsetts och åtagit sig uppdraget som gäller för att utgivningsbevis ska utfärdas. 5 Enskildas personliga integritet är tänkt att skyddas genom kreditupplysningslagen (1973:1173) som säger att kreditupplysningar bara får lämnas ut till den som har ett legitimt behov av informationen och den vars uppgifter som lämnas ut ska få en kopia på upplysningarna som har lämnats om honom eller henne. Om uppgifterna i stället som ofta är fallet lämnas ut från en grundlagsskyddad sajt kommer kreditupplysningslagen att sättas ur Överväganden och förslag – sekretessbestämmelsen innebär även att en myndighet som lämnar ut uppgifterna inte har möjlighet att neka ett utfående av personuppgifter med stöd av sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen om det är frågan om en begäran om ett offentlighetsuttag. Myndigheten har således ingen möjlighet att neka ett utfående av personuppgifterna även om det skulle stå klart att uppgifterna kommer att behandlas på ett integritetskränkande vis. Till detta kommer att kreditupplysningsföretagen har en möjlighet enligt vissa registerförfattningar att få ut personuppgifter i elektronisk form. Så är t.ex. fallet enligt 11 § förordningen (2001:588) om behandling av uppgifter i beskattningsverksamhet. Enligt den regeln har den som har Datainspektionens tillstånd att bedriva kreditupplysningsverksamhet en möjlighet att få del av uppgifter från beskattningsdatabasen på medium för automatiserad behandling.6 Anledningen till att lagstiftaren har velat underlätta för kreditupplysningsföretagen att samla in information genom att kunna begära att få den i elektronisk form är intresset av en effektivt fungerade kreditupplysningsverksamhet där den personliga integriteten är tänkt att skyddas genom kreditupplysningslagens konsumentskyddsbestämmelser. Mot bakgrund av den omfattande spridningen av kreditupplysningar på Internet och de klagomål från personer som känner sig kränkta av att kreditupplysningar sprids på detta okontrollerade vis har Datainspektionen i en skrivelse till regeringen väckt frågan om att vidta åtgärder för att stoppa den okontrollerade spridningen av kreditupplysningar på nätet (dnr 1571-2009). Det är inte bara kreditupplysningsföretag som använder sig av det frivilliga grundlagsskyddet för sin verksamhet. Även andra aktörer har upptäckt att det frivilliga grundlagsskyddet kan ut- spel och därmed även dess konsumentskydd. Frågan är föremål för utredning och en departementspromemoria lämnades (Ds 2008:34, Ett starkare skydd för den enskildes integritet vid kreditupplysning). I promemorian föreslås bl.a. att det ska införas krav på att beställaren av en kreditupplysning ska ha ett legitimt behov av informationen och att den omfrågade ska ha rätt att få ta del av en kreditupplysningskopia även i de fall en personuppgift lämnas ut med stöd av utgivningsbevis. 6 Andra exempel på kreditupplysningsföretagens rätt att få ut elektronisk information är följande. Enligt 12 § resp. 14 § förordningen (2001:590) om behandling av uppgifter i verksamhet får den, som har Datainspektionens tillstånd att bedriva kreditupplysningsverksamhet, ta del av uppgifter från utsöknings- och indrivningsdatabasen resp. betalningsföreläggande- och handräckningsdatabasen på medium för automatiserad behandling. Enligt 8 § förordningen (1998:1234) om det statliga personadressregistret får uppgifter om make eller vårdnadshavare lämnas ut till kreditupplysningsföretag i elektronisk form. Överväganden och förslag – sekretessbestämmelsen nyttjas för att slippa iaktta personuppgiftslagens regler vid Internetanvändning. Det finns drygt 600 utgivningsbevis registrerade hos Radio och TV-verket.7 Avslutningsvis ska nämnas att införandet av den s.k. missbruksregeln i 5 a § personuppgiftslagen också har betydelse i sammanhanget. Genom den regeln undantas behandling av personuppgifter i s.k. ostrukturerat material från de flesta av lagens hanteringsregler så länge behandlingen inte innebär en kränkning av den registrerades personliga integritet. På sådan behandling är personuppgiftslagen visserligen fortfarande tillämplig men sannolikheten för att en viss behandling på vilken missbruksregeln är tillämplig sker i strid med personuppgiftslagen förefaller vara begränsad. 9.2.4Integritetsskyddet tillgodoses på bekostnad av offentlighetsintresset Trots det begränsade tillämpningsområdet har sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen i den allmänna debatten kritiserats för att i alltför hög grad tillgodose integritetsskyddet på bekostnad av offentlighetsintresset. Bland annat har kritik riktats mot att bestämmelsen rubbar förhållandet mellan personuppgiftslagen och reglerna i 2 kap. tryckfrihetsförordningen. Bakgrunden till denna kritik är följande. Av 8 § första stycket personuppgiftslagen följer att personuppgiftslagens bestämmelser inte ska tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter. Vid en normkonflikt ska således den grundlagsreglerade offentlighetsprincipen ha företräde framför bestämmelserna i personuppgiftslagen. Genom föreskriften i 21 kap. 7 § offentlighets- och sekretesslagen om att det råder sekretess för personuppgifter om det kan antas att uppgifterna efter ett utlämnande kommer att behandlas i strid med personuppgiftslagen, skulle det dock kunna invändas att offentlighetsprincipens företräde framför personuppgiftslagen har urholkats. JO har påtalat att via sekretessbestämmelsen har lagstiftaren rubbat balansen mellan personuppgiftslagen och reglerna i 2 kap. tryckfrihetsförordningen genom att i betydande utsträckning ge de 7 Enligt uppgift från Radio- och fanns det 637 utgivningsbevis registrerade . Överväganden och förslag – sekretessbestämmelsen sekretesskyddsintressen som genomsyrar personuppgiftslagen företräde framför det övergripande offentlighetsintresset (dnr 1102-2004). Det kan också finnas anledning att ifrågasätta om det är rimligt att förändringar i persondataskyddet – genom ändringar av personuppgiftslagen eller i praxis – får genomslag på offentlighetsprincipens omfattning. Problemen med bestämmelsen och dess konstruktion är således flera. Dels är det systemfrämmande med en sekretessregel som inte tar sikte på uppgifterna som sådana, utan på deras vidare användning, dels vållar skaderekvisitets konstruktion svårigheter. Vidare är det tveksamt vilket intresse bestämmelsen egentligen skyddar. Visserligen har bestämmelsen placerats så att den avser att skydda enskildas personliga förhållanden men det kunde sägas att den reella effekten är att sekretessen motverkar att det allmänna blir i någon mening medskyldig till enskildas otillåtna personuppgiftsbehandling. Det kan ifrågasättas varför just personuppgiftsbehandling ska hanteras på det sättet när sådana hänsyn i övrigt inte tillåts få inkräkta på offentligheten. Slutligen noterar kommittén att det kan ifrågasättas om den aktuella bestämmelsen verkligen har fått en utformning som motsvarar lagstiftarens intentioner när den infördes. En okomplicerad följdändring med anledning av att datalagen ersattes av personuppgiftslagen kan man knappast beskriva det som. 9.3Tillämpningen av sekretessbestämmelsen och något om praxisutvecklingen Under utredningsarbetet har kommittén fått intrycket att det på sina håll finns ett visst motstånd mot att tillämpa sekretessregeln i 21 kap. 7 § offentlighets- och sekretesslagen. Även om det finns undantag så förefaller det som att många myndigheter undviker att tillämpa bestämmelsen i den mån det går. Den tillämpning av sekretessbestämmelsen som dock sker baseras i viss mån på olika rutiner och uppfattning om vad som är en korrekt tillämpning. Delvis har dessa problem belysts ovan under avsnitt 9.1. Tillämpningen beror bl.a. på hur myndigheten ifråga har uppfattat sökandens begäran – som en begäran med eller utan stöd av tryckfrihetsförordningen. Om myndigheten – enligt kommitténs uppfattning felaktigt – väljer att uppfatta alla fram- Överväganden och förslag – sekretessbestämmelsen ställningar om elektroniskt utlämnande av allmänna handlingar som utlämnanden utan stöd i tryckfrihetsförordningen kommer myndigheten att tillämpa personuppgiftslagen direkt på sökandens begäran. I dessa fall blir det således inte aktuellt att tillämpa 21 kap. 7 § offentlighets- och sekretesslagen. Kommittén har också erfarit att det förekommer att myndigheter säger nej till ett utlämnande av handlingarna i elektronisk form med stöd av 21 kap. 7 § offentlighets- och sekretesslagen, men ja till ett motsvarande utlämnande i pappersform. I de fall myndigheten har tydliga indikationer på att sökanden endast kan antas behandla de efterfrågade personuppgifterna i strid med personuppgiftslagen om han eller hon får ut dem i elektronisk form kan visserligen en sådan tillämpning av sekretessbestämmelsen vara befogad. I flertalet fall kan det dock finnas skäl att ifrågasätta det rimliga i ett sådant antagande. Normalt torde utgångspunkten vara att de efterfrågade uppgifterna mest troligt kommer att behandlas på samma sätt av sökanden oavsett om han eller hon får ut uppgifterna på papper eller i elektronisk form. Om det t.ex. rör sig om en kommersiell aktör som vill göra ett massuttag av personuppgifter för att använda för direktmarknadsföring bör man kunna utgå från att sökanden kommer att skanna in de aktuella handlingarna om han eller hon får dem i pappersform. Av naturliga skäl ökade antalet mål rörande tillämpningen av den nu aktuella sekretessbestämmelsen i kammarrätterna efter tillkomsten av personuppgiftslagen och den följdändring som då gjordes av bestämmelsen. efter ändringen kan det nog sägas att myndigheterna visade en restriktiv inställning till att lämna ut personuppgifter (se bl.a. SOU 2001:3 s. 213 f.). Det bör dock framhållas att hade ännu inget mål angående sekretessbestämmelsens tillämpning efter ikraftträdandet av personuppgiftslagen hunnit prövas i högsta instans, dvs. finns tre avgöranden från Regeringsrätten beträffande tillämpningen av sekretessbestämmelsen.8 Myndigheterna har därmed fått tydligare vägledning om bestämmelsens tillämpning. Det finns även fog för att påstå att myndigheterna också har kommit att tillämpa sekretessbestämmelsen – i den mån man alls tillämpar den – på så vis att man uppvisar en mindre restriktiv inställning till att lämna ut personuppgifter jämfört med tidigare. Vanligen förefaller 21 kap. 7 § offentlighets- och sekretesslagen i 8 Se rättsfallen RÅ 2001 ref. 35, RÅ 2001 ref. 68 och RÅ 2002 ref. 54. Överväganden och förslag – sekretessbestämmelsen praktiken tillämpas då det är frågan om en begäran om ett större uttag av uppgifter i elektronisk form. Sekretessbestämmelsen aktualiseras således främst i samband med massuttag. 9.4Kan sekretessbestämmelsen upphävas? 9.4.1Finns behov av sekretessbestämmelsen? Kommittén har enligt direktiven i uppgift att överväga om den aktuella sekretessbestämmelsen bör upphävas eller ändras. Kommittén har därför inledningsvis ställt sig frågan vilken effekten skulle bli om den aktuella sekretessbestämmelsen helt avskaffades. Förutsatt att ingen absolut skyldighet införs i lag att lämna ut handlingar i elektronisk form – och myndigheten ifråga saknar bestämmelser i registerförfattning om skyldighet att lämna ut uppgifter i elektronisk form – kommer det att vara upp till myndigheten att bedöma om det är lämpligt att lämna ut det efterfrågade materialet i elektronisk form. Även utan sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen bör därför myndigheten vid behov i stor utsträckning kunna minska riskerna för otillbörliga integritetsintrång genom att vägra lämna ut materialet elektroniskt. Om myndigheten i stället skulle ha att rätta sig efter en bestämmelse i en registerförfattning som föreskriver att myndigheten är skyldig att lämna ut handlingar i elektronisk form i den aktuella situationen får det anses att eller regeringen har gjort bedömningen att ett elektroniskt utlämnande inte är olämpligt ur integritetssynpunkt i detta fall. Inte heller i denna situation skulle det därför finnas ett behov av att använda sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen. Slutligen, om det av registerförfattningen framgår att myndigheten inte får lämna ut handlingen elektroniskt i den aktuella situationen bör alltså även här behovet av att kunna använda sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen vara begränsat mot bakgrund av bestämmelsens starka koppling till elektroniskt utlämnande.