sou · GYB34 · 2011-01-01 00:00:00 — Bestämmelsen fanns tidigare i 7 kap. 16 § sekretesslagen (1980:100). Enligt sekretessbestämmelsen råder ett generellt förbud för myndigheter att lämna ut personuppgifter, om det kan antas att uppgiften kommer att behandlas i strid med personuppgiftslagen. Sekretessbestämmelsen är tillämplig vid alla utlämnanden av personuppgifter från en myndighet oavsett från vilka informationstillgångar uppgifterna hämtas. Redan i föregångaren till sekretesslagen – lagen (1937:249) om inskränkningar i rätten att utbekomma allmänna handlingar – fanns en motsvarande bestämmelse om sekretess som den som gäller enligt 21 kap. 7 § offentlighets- och sekretesslagen. Bestämmelsen, som infördes i samband med tillkomsten av datalag, innebar att en personuppgift som ingick i ett sådant personregister som avsågs i datalagen inte fick lämnas ut om det fanns anledning att anta att uppgiften skulle användas för automatisk databehandling i strid med datalagen. Vidare föreskrevs att om det fanns anledning att anta att en sådan personuppgift skulle användas för automatisk databehandling i utlandet så fick uppgiften lämnas ut endast efter medgivande av Datainspektionen. I författningskommentaren till den ursprungliga bestämmelsen konstaterades att det ofta skulle bli svårt för den registeransvarige att avgöra om det fanns risk för att en uppgift som begärs utlämnad skulle användas på ett otillbörligt sätt. Därefter uttalades att anledning till försiktighet i första hand torde föreligga om den registeransvarige fick en begäran om massuppgifter eller selekterade uppgifter (prop. 1973:33 s. 140). Det påtalades vidare att en sådan begäran alltid borde utgöra en anledning för den registeransvarige att närmare utreda hur det var avsett att uppgifterna skulle användas och först om den som begärde utlämnandet angav en godtagbar förklaring borde uppgifterna lämnas ut. Bakgrund – handlingsoffentlighet och integritetsskydd Datalagen gällde till skillnad från personuppgiftslagen endast för regelrätta datoriserade personregister och det krävdes ett tillstånd från Datainspektionen, eller särskilt författningsstöd, för att få inrätta och föra ett personregister. gällde sekretess för personuppgift i personregister enligt datalagen, om det kunde antas att ett utlämnande skulle medföra att uppgiften användes för automatisk databehandling i strid med datalagen. Sekretess för sådan uppgift gällde vidare om det kunde antas att ett utlämnande skulle medföra att uppgiften användes för automatisk databehandling i utlandet och att detta skulle medföra otillbörligt intrång i personlig integritet. Datainspektionen var den instans som prövade frågan om utlämnande. Sekretess gällde dock inte om uppgiften skulle användas för automatisk databehandling enbart i en stat ansluten till Europeiska konventionen om skydd för enskilda vid automatisk databehandling av personuppgifter. Motivet bakom sekretessbestämmelsen för personuppgifter var bl.a. att skapa kontroll över möjligheterna att genom inhämtande av personuppgifter från befintliga dataregister bygga upp nya register för andra ändamål än de ursprungliga registren. Lagstiftaren ville förhindra att personregister inrättades i strid med datalagen eller utomlands där datalagen inte gällde (prop. 1973:33 s. 100 f.). I förarbetena konstaterades att sådana förfaranden till största delen kunde kontrolleras genom tillståndsprövningen men det kunde inte uteslutas att tillståndssystemet kunde kringgås, bl.a. genom att personregister inrättades utomlands. Därför borde möjligheterna att lämna ut personuppgifter från personregister inskränkas. Departementschefen konstaterade att inskränkningen knappast skulle medföra något effektivt skydd mot att personregister upprättades obehörigen men att förbudet mot utlämnande ändå kunde ha ett visst värde (prop. 1973:33 s. 100 f.). I samband med sekretesslagens tillkomst togs sekretessbestämmelsen i sak oförändrad in i 7 kap. 16 § sekretesslagen (prop. 1979/80:2 Del A s. 212 f.). Bestämmelsen erhöll sin nuvarande lydelse i samband med att personuppgiftslagen ersatte datalagen.13 Vid tillkomsten av personuppgiftslagen samordnades bestämmelsen i sekretesslagen om behandling i strid med datalagen med personuppgiftslagens regler. fick därför sekretessbestämmelsen i dåvarande 7 kap. 16 § sekretesslagen sin nuvarande lydelse, enligt 13 Paragrafen har senare ändrats genom SFS 1982:447 (prop. 1981/82:189, bet. KU1981/82:33) och SFS 1998:205 (prop. 1997/98:44, bet. 1997/98:KU18). Bakgrund – handlingsoffentlighet och integritetsskydd vilken sekretess gäller för personuppgift om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen. I förarbetena anfördes att ändringen endast innebar en samordning med bestämmelserna i personuppgiftslagen (prop. 1997/98:44 s. 147). Bestämmelsen om utlämnande för behandling av personuppgifter i utlandet upphävdes. Anledningen till detta var att personuppgiftslagen innehåller särskilda bestämmelser om överföring av personuppgifter till tredje land. Dessa bestämmelser gäller även för myndigheter. Eftersom sekretess enligt sekretesslagen gäller för personuppgift om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen, sades redan den regeln medföra att sekretess gäller om ett utlämnande av personuppgift till ett tredje land skulle stå i strid med personuppgiftslagens regler om sådan överföring. Den tidigare särskilda regeln i sekretesslagen om behandling i utlandet ansågs därför överflödig. Som har beskrivits tidigare ska personuppgiftslagens bestämmelser om behandling av personuppgifter inte tillämpas i den mån det skulle inskränka en myndighets skyldigheter enligt 2 kap. tryckfrihetsförordningen att lämna ut allmänna handlingar (jfr 8 § första stycket personuppgiftslagen). Rätten att ta del av allmänna handlingar får endast begränsas av skäl som anges i 2 kap. 2 § tryckfrihetsförordningen, bl.a. om det är påkallat med hänsyn till skyddet för enskilds personliga och ekonomiska förhållanden. En begränsning av rätten att ta del av allmänna handlingar motiverad av ett sådant skäl föreskrivs i sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen. Sekretessbestämmelsen hänvisar dock i sin tur tillbaka till reglerna i personuppgiftslagen. Som påpekas i kommentaren till personuppgiftslagen är det just bestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen, med sin hänvisning till personuppgiftslagen, och inte personuppgiftslagen i sig som inskränker myndighetens skyldighet att lämna ut personuppgifter enligt 2 kap. tryckfrihetsförordningen (/, Personuppgiftslagen – En kommentar, 2007, s. 492). I och med att datalagen ersattes av personuppgiftslagen fick sekretessbestämmelsen i nuvarande 21 kap. 7 § offentlighets- och sekretesslagen de facto ett vidare tillämpningsområde än Bakgrund – handlingsoffentlighet och integritetsskydd Sekretessbestämmelsen är tillämplig vid alla utlämnanden av personuppgifter oavsett varifrån i myndighetens informationstillgångar som uppgifterna hämtas. tillämpades sekretessbestämmelsen endast vid utlämnanden av personuppgifter som ingick i sådana personregister som avsågs i datalagen. Sekretessprövningen kom också i många delar att bli mer komplicerad (SOU 2001:3 s. 190 ff. och 212 ff. och SOU 2004:6 s. 253). Sekretess gäller alltså sedan ikraftträdandet av personuppgiftslagen för personuppgifter om det kan antas att ett utlämnande skulle medför att uppgiften behandlas i strid med personuppgiftslagen. Det ska således göras en bedömning av om ett utlämnande av personuppgifterna kan antas medföra att uppgifterna behandlas i strid med personuppgiftslagen. Personuppgiftslagen omfattar all helt eller delvis automatiserad behandling av personuppgifter, samt viss behandling i register (se närmare avsnitt 3.5.1). Bestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen måste alltså beaktas oavsett om sökanden avser att ha personuppgiften i ett datoriserat personregister eller behandla den på något annat sätt som omfattas av personuppgiftslagen. blev en prövning enligt sekretessbestämmelsen bara aktuell då sökanden skulle utföra en sådan behandling som avsågs i datalagen, dvs. enbart behandling av personuppgifter i automatiserade personregister. Därtill kom att behandlingen i praktiken enligt datalagen krävde licens och i vissa fall tillstånd från Datainspektionen, något som var ägnat att underlätta sekretessprövningen. Prövningen måste sedan tillkomsten av personuppgiftslagen i stället avse om sökanden kommer att hålla sig till alla de bestämmelser som finns i personuppgiftslagen. Sekretessen i 21 kap. 7 § offentlighets- och sekretesslagen innefattar inte någon tystnadsplikt i vanlig bemärkelse. Risk för sådan skada som anges i bestämmelsen torde nämligen i praktiken aktualiseras bara i samband med utlämnanden av allmänna handlingar. Dock kan andra bestämmelser om sekretess också vara tillämpliga på personuppgifterna ifråga och i sådana fall föreligger också tystnadsplikt för uppgifterna. Sekretessbestämmelsen är som påpekats ovan tillämplig oavsett om utlämnandet av personuppgifterna görs genom att en pappershandling eller ett datamedium lämnas ut, eller om personuppgifter lämnas ut i någon annan form. Det är sökandens tänkta behandling av uppgifterna som är av avgörande betydelse. Det ska alltså inte Bakgrund – handlingsoffentlighet och integritetsskydd enligt sekretessbestämmelsen prövas om myndighetens utlämnande står i strid med personuppgiftslagen, utan om det kan antas att sökandens behandling av personuppgifterna efter ett utlämnande skulle stå i strid med personuppgiftslagen. Även om bestämmelsen är tillämplig på alla utlämnanden som innefattar personuppgifter har den risk för skada som anges i bestämmelsen i praktiken främst ansetts aktualiseras vid utlämnanden av en större mängd uppgifter, s.k. massuttag (se prop. 1979/80:2 del A s. 212, jfr RÅ 1992 ref. 86). Också ett utlämnande av selekterade uppgifter har ansetts kunna innebära risk för den i bestämmelsen angivna skadan. För att pröva massuttag och utlämnanden av selekterade personuppgifter kan det finnas anledning att undersöka vem som begär uppgifterna och för vilket syfte. Som påpekats av OSEK torde det dock inte kunna uteslutas att sekretessbestämmelsen även kan bli tillämplig vid fall av utlämnanden som rör enstaka personuppgifter. Detta kan t.ex. vara fallet om ett utlämnande begärs i syfte att sprida uppgifterna via Internet (SOU 2001:3 s. 191). Bestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen har behandlats av bl.a. OSEK i dess förslag till ny sekretesslag (SOU 2003:99) och av i samband med en översyn av personuppgiftslagen (SOU 2004:6). Båda dessa utredningar har föreslagit att bestämmelsen – med vissa förändringar av i huvudsak språklig karaktär – ska finnas kvar i sekretesslagen. Kommittén redogör närmare för de överväganden som gjordes i samband med dessa utredningar i avsnitt 6.2.1 och 6.3.1. Även i förarbetena till den nya offentlighets- och sekretesslagen diskuterades frågan om ordalydelsen av bestämmelsen om sekretess för personuppgifter som avses i personuppgiftslagen borde ändras, detta med anledning av tidigare föreslag till vissa språkliga ändringar av bestämmelsen. Regeringen konstaterade dock att det inte fanns skäl att ändra ordalydelsen mot bakgrund av den översyn av sekretessbestämmelsen som har i uppdrag att utföra (prop. 2008/09:150 s. 353 f.). 3.8.3Närmare om myndigheternas prövning Myndigheter som ombeds lämna ut personuppgifter ska göra en prövning enligt sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen innan uppgifterna lämnas ut. Det finns med an- Bakgrund – handlingsoffentlighet och integritetsskydd ledning härav anledning att något belysa relationen mellan myndigheters utlämnande av allmänna handlingar med stöd av offentlighetsprincipen och den sekretessprövning som sker i anslutning därtill samt tillämpningen av den s.k. finalitetsprincipen i personuppgiftslagen. Av 8 § första stycket personuppgiftslagen framgår alltså att offentlighetsprincipen har ett absolut företräde framför bestämmelserna i personuppgiftslagen, däribland den s.k. finalitetsprincipen (9 § första stycket d personuppgiftslagen). Det bör därför inte råda någon tvekan om att en myndighet inte med stöd av bestämmelsen i offentlighets- och sekretesslagen kan vägra att lämna ut en personuppgift därför att utlämnandet eller den efterföljande behandlingen av uppgifterna skulle vara oförenlig med de ändamål för vilka myndigheten samlat in uppgifterna (/, Personuppgiftslagen – En kommentar, 2007, s. 499). Myndighetens ursprungliga ändamål med sin behandling av personuppgifterna är med andra ord inte relevant vid bedömningen om sekretess föreligger för personuppgifter med stöd av 21 kap. 7 § offentlighets- och sekretesslagen. I kommentaren till personuppgiftslagen påpekas att det enda tillfälle då finalitetsprincipen kan åberopas som sekretessgrund är om det kan antas att den som begär ut personuppgiften inte kommer att hålla sig till de ändamål som han eller hon själv bestämmer vid insamlandet utan senare kommer att i strid med personuppgiftslagen använda uppgifterna också för andra, oförenliga ändamål (/, Personuppgiftslagen – En kommentar, 2007, s. 499). För att myndigheten – vid en prövning av om sekretess råder för personuppgifter som begärs utlämnande – ska komma fram till att en viss personuppgift omfattas av sekretessbestämmelsen krävs att myndigheten dels konstaterar att det kan antas att personuppgiften efter ett utlämnande kommer att behandlas på ett sätt som omfattas av personuppgiftslagen, dels finner att det kan antas att den ifrågavarande behandlingen står i strid med personuppgiftslagen. Myndigheten har alltså inledningsvis att ta ställning till om det på grund av någon omständighet kan antas att personuppgifterna efter ett utlämnande kommer att behandlas på ett sätt som omfattas av personuppgiftslagen. De tidigare i avsnitt 3.5.3 beskrivna undantagen från personuppgiftslagens bestämmelser innebär bl.a. att sekretessbestämmelsen i 21 kap. 7 § offentlighets- och Bakgrund – handlingsoffentlighet och integritetsskydd sekretesslagen inte hindrar att personuppgifter lämnas ut till t.ex. massmedia. Givetvis kan sökanden på eget initiativ lämna upplysningar om hur han eller hon har tänkt att använda personuppgifterna. Ut- gångspunkten enligt 2 kap. 14 § tredje stycket tryckfrihetsförordningen är annars att en myndighet inte får ställa fler frågor eller mer ingående frågor än vad som behövs för att en sekretessprövning ska kunna göras. För att myndigheten ska få ställa frågor om sökandens tilltänkta behandling anses kravet vara – med stöd av de ovan angivna uttalandena i sekretessbestämmelsens ursprungliga förarbeten – att det handlar om massuttag av uppgifter eller uttag av selekterade uppgifter. Det senare kan t.ex. vara uppgifter om personer med viss inkomst eller med viss politisk tillhörighet. Det anses normalt inte vara tillräckligt att sökanden begär ut personuppgifter på papper om en handfull personer, om än utvalda efter särskilda kriterier, för att det ska finnas skäl att anta en efterföljande behandling enligt personuppgiftslagen (/, Personuppgiftslagen – En kommentar, 2007, s. 501). Först om myndigheten har skäl att anta att sökanden kommer att behandla personuppgiften på ett sätt som omfattas av och strider mot personuppgiftslagen torde myndigheten ha anledning att ställa frågor till sökanden för att bedöma om den tilltänkta behandlingen strider mot personuppgiftslagen. I de fall sökanden inte besvarar myndighetens frågor på ett konkret sätt finns det i regel skäl att anta att sökanden kommer att behandla personuppgifterna i strid med personuppgiftslagen (/, Personuppgiftslagen – En kommentar, 2007, s. 502). Myndigheten ska i dessa fall vägra att lämna ut de efterfrågade personuppgifterna på grund av sekretess. Ytterligare en fråga för myndigheten att ta ställning till är i vilka situationer en redogörelse från sökanden om tilltänkt behandling av personuppgifterna ska godtas. Utgångspunkten är att en redogörelse från sökanden om hans eller hennes tilltänkta behandling får godtas om det inte framgår av omständigheterna att upplysningen är så osannolik att den kan lämnas utan avseende. Av förarbetena till personuppgiftslagen framgår att en invändning om att en behandling faller under undantaget med hänsyn till tryck- och yttrandefriheten i 7 § första stycket personuppgiftslagen får godtas om det inte av omständigheterna framgår att invändningen är så osannolik att den kan lämnas utan avseende. Samma sak anses gälla vid en invändning om att det är frågan om privat behandling av Bakgrund – handlingsoffentlighet och integritetsskydd personuppgifter i enlighet med undantaget i 6 § personuppgiftslagen. I kommentaren till personuppgiftslagen anmärks att dessa principer bör gälla även vid en sekretessprövning enligt 21 kap. 7 § offentlighets- och sekretesslagen (/, Personuppgiftslagen – En kommentar, 2007, s. 502). Sammantaget innebär detta att om myndigheten får en redogörelse från sökanden om den tilltänkta behandlingen av personuppgifterna – och denna redogörelse inte kan lämnas utan avseende – är det upp till myndigheten att bedöma om den uppgivna behandlingen omfattas av personuppgiftslagen och om den i så fall strider mot lagen. 3.8.4Något om rättspraxis på området OSEK – som behandlade sekretessbestämmelsen i dåvarande 7 kap. 16 § sekretesslagen i samband med kommitténs överväganden i fråga om utlämnande av allmänna handlingar i elektronisk form – konstaterade att myndigheterna dittills varit restriktiva med att lämna ut personuppgifter (SOU 2001:3 s. 213 f.). Samma slutsats drog även beträffande myndigheternas tillämpning av sekretessbestämmelsen de inledande åren efter personuppgiftslagens ikraftträdande (SOU 2004:6 s. 254). noterade dock att vid tiden för utredningens bedömning fanns det vägledning för myndigheterna att få kring tillämpningen av sekretessbestämmelsen framför allt genom tre avgöranden från Regeringsrätten. Utredningen konstaterade att det endast var i ett fåtal fall som domstolar slutligt hade vägrat ett utlämnande av personuppgifter med stöd av den ifrågavarande sekretessbestämmelsen.14 Nedan presenteras inledningsvis de tre Regeringsrättsavgöranden som finns beträffande tillämpningen av sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen. Därefter ges några exempel på avgöranden från kammarrätterna där frågan om tillämpningen av sekretessbestämmelsen också varit uppe för prövning.15 14Utlämnande av personuppgifter vägrades med stöd av dåvarande 7 kap. 16 § sekretesslagen i bl.a. Kammarrätten i dom i mål nr 3865-1999 (som dock måste anses överspelad genom RÅ 2001 ref. 68), Kammarrätten i dom i mål nr 1443-2000 och dom i mål nr 2670-2001, samt även Kammarätten i dom i mål nr 719 och 761-04. 15För en utförlig redovisning av rättspraxis på området, se t.ex. /, Personuppgiftslagen – En kommentar, 2007, s. 503 ff. Bakgrund – handlingsoffentlighet och integritetsskydd Rättsfallet RÅ 2001 ref. 35 Regeringsrätten har i RÅ 2001 ref. 35 prövat ett bolags yrkande att få betygsuppgifter i pappersutskrift avseende cirka 1 400 studenter vid som –påbörjat studier inom vissa särskilt angivna områden och som antingen erhållit examen eller tenterat minst 120 poäng. Avsikten med framställningen var att bolaget för egen del på ett effektivt sätt skulle kunna rekrytera högkvalificerad personal. Handlingarna skulle vid ett utlämnande vara sorterade efter studenternas namn. Företaget skulle därefter manuellt beräkna medelbetyg för varje student och sortera handlingarna efter medelbetyg. Fråga i målet var om de i handlingarna intagna personuppgifterna ingick i eller var avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (se 5 § andra stycket personuppgiftslagen). Regeringsrätten fann att så inte var fallet och någon sekretess gällde därmed inte för uppgifterna.16 Regeringsrätten anförde bl.a. följande. Av lagtexten, förarbetena och persondatadirektivet får anses framgå att någon form av förberedelse eller bearbetning måste ha ägt rum för att personuppgifter i ett antal dokument skall kunna anses ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Detta innebär enligt Regeringsrättens mening att tillgängligheten i regel måste ha åstadkommits genom något särskilt arrangemang för sökning bland uppgifterna, t.ex. i form av kortregister, sökmarkörer eller liknande. Det skall således finnas möjlighet till sökning av olika personuppgifter på ett betydligt effektivare sätt än i form av en genomgång och granskning dokument för dokument. Detta leder till slutsatsen att en sortering av ett antal dokument i en viss ordning inte utan ytterligare åtgärder kan anses uppfylla det i lagtexten angivna kravet. Regeringsrätten finner därför att personuppgifterna i de efterfrågade handlingar- 16 Kammarrätten i har (dom i mål nr 3398-2000) gjort en liknande bedömning i fråga om en förteckning över gällande hyreskontrakt hos ; en komplettering av förteckningen, sorterad efter adress, med ytterligare en kolumn med namn ansågs inte innebära att personuppgifterna i förteckningen blev tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Även Kammarrätten i har (dom 2001- 07-04 i mål nr 1521-2001) gjort en liknande bedömning i fråga om betygskataloger över grundskoleelever i en kommun. Länsrätten i har (dom i mål nr 4349-02 E) bedömt att en samling mikrokort i pärmar i visst fall utgjort ett sådant manuellt register som omfattas av personuppgiftslagen (se om fallet i avsnitt 5.2.2 i SOU 2004:6). har (dom i mål nr B 506-02) i ett mål om ansvar för tjänstefel gjort bedömningen att förandet av en förteckning i en anteckningsbok över personer som omhändertagits enligt lagen (1976:511) om omhändertagande av berusade personer, som var sökbar endast på namn, inte omfattas av personuppgiftslagen. Bakgrund – handlingsoffentlighet och integritetsskydd na vid ett utlämnande från KTH inte ingår i en sådan samling som omfattas av PuL. Frågan är då om personuppgifterna i de handlingar som återstår efter det att bolaget gallrat handlingarna och sorterat återstående handlingar efter varje students betygsgenomsnitt kan sägas ingå i en sådan samling. Med hänsyn till vad som uppgivits om det beräknade antalet återstående handlingar [några tiotal betygshandlingar] kan det i och för sig ifrågasättas om mängden uppgifter är tillräcklig för att kunna utgöra en sådan samling. Utan ytterligare bearbetning utgör handlingarna emellertid även i detta skick endast ett antal handlingar sorterade i en viss ordning. Kravet på bearbetning är i den situationen enligt Regeringsrättens mening lika litet uppfyllt som vid ett utlämnande från KTH. Den omständigheten att möjligheten finns att i stället sortera handlingarna efter studenternas ålder eller i bokstavsordning efter studenternas efternamn ändrar inte detta förhållande. Rättsfallet RÅ 2001 ref. 68 Det andra rättsfallet där Regeringsrätten behandlade sekretessbestämmelsen i dåvarande 7 kap. 16 § sekretesslagen – RÅ 2001 ref. 68 – gällde frågan om behandling av personuppgifter för direkt marknadsföring var tillåten efter en intresseavvägning enligt 10 § f personuppgiftslagen. Ett företag hade hos begärt att få ut en kopia av verkets adressregister över mjölkproducenter för att kunna marknadsföra sina foderprodukter. Regeringsrätten förordnade att adressregistret skulle lämnas ut till företaget och anförde bl.a. följande. Den av bolaget avsedda behandlingen omfattas av PuL och får anses nödvändig för att tillgodose bolagets intresse av att på visst sätt marknadsföra foderprodukter. Detta ändamål får enligt Regeringsrättens mening ses som ett berättigat intresse.