sou · GYB376d2 · 2011-01-01 00:00:00 — Om inte annat följer av den aktuella registerförfattningen är även sådana efterkommande behandlingar vars ändamål ligger vid sidan av de i lagen angivna ändamålen tillåtna, förutsatt att ändamålet för den nya behandlingen vid en tillämpning av 9 § första stycket d) och andra stycket PUL inte kan anses oförenligt med de ändamål för vilka personuppgifterna samlades in (prop. 2002/03:135 s. 55). Lagrådets invändningar medförde dock att det i den aktuella registerförfattningen togs in en uttrycklig bestämmelse om att 9 § första stycket d) och andra stycket PUL gäller i fråga om behandling av personuppgifter för annat ändamål än vad som anges i författningen (se 9 § lagen (2003:763) om behandling av person- uppgifter inom socialförsäkringens administration). Mot bakgrund av att motsvarande förtydligande saknas i andra register- författningar fann regeringen det viktigt att betona att det inte var fråga om en materiell regel, utan endast ett förtydligande (prop. 2002/03:135 s. 56). På grund av de skilda synsätt som regeringen respektive Lagrådet gav uttryck för i lagstiftningsärendet har det ansetts vara oklart vad som gäller om det inte framgår av en registerförfattning om de angivna ändamålen är uttömmande eller inte. Synpunkter har framförts om att man i kommande lagstiftningsärenden uttryckligen bör ta ställning till frågan.47 I vissa sammanhang har regleringar ansetts vara uttömmande på ett visst sätt och ej uttömmande på ett annat sätt. Patientdata- utredningen anförde i betänkandet SOU 2006:82, s. 175 bl.a. att principiella skäl talar med styrka för att lagstiftaren i patient- datalagen uttryckligen och så uttömmande som möjligt bestämmer 46Samma källa s. 702. 47Samma källa s. 700 ff. och Offentlighets- och sekretesskommittén SOU 2003:99 s. 237. Övergripande rättslig reglering av behandling av personuppgifter ändamålen för all personuppgiftsbehandling som regleras i lagen. Utredningen föreslog därför – i klargörande syfte – en uttrycklig hänvisning till finalitetsprincipens giltighet även vid person- uppgiftsbehandling enligt patientdatalagen och anförde i denna del bl.a. följande Härigenom tydliggörs att patientdatalagens ändamålsreglering inte är helt uttömmande. Som sagts i förra avsnittet går det inte – på det stora tillämpningsområde som patientdatalagen kommer att ha – att helt överblicka alla de ändamål som redan insamlade personuppgifter kan komma att användas för. Genom hänvisningen till finalitetsprincipen framgår att personuppgifter som redan finns i verksamheten får behandlas för andra ändamål än de som uttryckligen anges i patient- datalagen, om de nya ändamålen är förenliga med de tidigare ändamålen. Att eventuella nytillkomna ändamål inte får vara oförenliga med de i lagen angivna ändamålen ger enligt vår mening, tillsammans med bestämmelser om sekretess och tystnadsplikt, ett tillfredställande integritetsskydd. -- Insamlade personuppgifter får också behandlas för historiska, statistiska eller vetenskapliga ändamål; det följer av finalitetsprincipen. I den följande propositionen (prop. 2007/08:126 ) kan utläsas att utredningens förslag överensstämmer med regeringens förslag avseende ändamålen med uppgiftsbehandling. Varken remissinstanser eller Lagrådet har i dessa delar haft någon erinran mot förslaget. Primära och sekundära ändamål I registerförfattningar förekommer ofta en indelning i primära och sekundära ändamål för behandling av personuppgifter. Primära ändamål är sådana som är direkt anpassade till den verksamhet som bedrivs av personuppgiftsansvarig myndighet. Som ett exempel kan nämnas att Transportstyrelsen får behandla personuppgifter i vägtrafikregistret för att fatta beslut om ett fordons registrering, vilket är en grundläggande del av Transport- styrelsens verksamhet på vägtrafikområdet. Sekundära ändamål är sådana som kan hänföras till andra myndigheters eller enskildas verksamhet; t.ex. att tillhandahålla information som behövs i författningsreglerad verksamhet hos någon annan. Som ett exempel kan nämnas att uppgifter i vägtrafikregistret får användas för utsökning och indrivning i kronofogdemyndighetens exekutiva verksamhet. Det är de primära ändamålen som styr vilka uppgifter Övergripande rättslig reglering av behandling av personuppgifter som får föras in i en databas; för att en uppgift ska få finnas i en databas måste uppgifterna med andra ord vara av betydelse i myndighetens egen verksamhet. En myndighet får, i de fall primära och sekundära ändamål används, inte registrera olika kategorier av uppgifter endast av det skälet att uppgifterna eventuellt kan vara till nytta i någon annan myndighets verksamhet (se t.ex. SOU 1999:105, s. 236 f). Eftersom personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket det samlades in fyller de sekundära ändamålen sin plats i och med att de anger för vilka andra ändamål än de primära, som uppgifter får behandlas genom insamling, lagring och annan behandling inom den aktuella myndighetens verksamhet (betänk- ande, Skyddet för den personliga integriteten – kartläggning och analys, SOU 2007:22 s. 465). (SOU 2007:22) har påtalat de problem som kan bli följden av att en registerlagstiftning innehåller sekundära ändamål. Eftersom ett av de grundläggande kraven är att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål och ett annat krav är att de inte får behandlas för något ändamål som är oförenligt med det för vilket det samlades in, fyller enligt de sekundära ändamålen sin plats i och med att de anger för vilka andra ändamål än de primära som uppgifter får behandlas genom insamling, lagring och annan behandling inom den aktuella verksamheten. Enligt innebär dock bestämmelsen problem eftersom den ibland också avses ge svar på frågan om när uppgiften får lämnas ut. , konstaterade kommittén, avser de sekundära ändamålen att uttömmande reglera för vilka ändamål och till vilka som uppgifter får lov att lämnas ut, vilket kan innebära att möjligheten att lämna ut uppgifter till andra myndigheter inskränks i förhållande till vad som gäller enligt OSL. noterade vidare att bestämmelserna också kan vara avsedda att inte uttömmande ange när uppgifter får lämnas ut och angav som exempel att på skatteområdet omfattar de sekundära ändamålen utlämnande till såväl myndigheter som till enskilda som bedriver författningsreglerad verksamhet. I vissa fall har uppdelningen mellan primära och sekundära ändamål undvikits. I lagen (2001:182) om behandling av person- uppgifter i folkbokföringsverksamhet valde regeringen att inte dela upp ändamålen i primära och sekundära Övergripande rättslig reglering av behandling av personuppgifter Regeringen konstaterade att ett primärt ändamål för folk- bokföringsdatabasen närmast kunde sägas vara att bistå samhället i stort och inte bara den egna verksamheten med uppgifter om fysiska personer i , varför någon indelning i primära och sekundära ändamål inte var lämplig (prop. 2000/01:33 s. 140). Om sekundära ändamål har angetts uttömmande i en registerlag och ett annat ändamål aktualiseras kan dock hindren mot elektroniskt informationsutbyte bli betydande. Finalitetsprincipen enligt PUL blir i sådana fall inte tillämplig. En hindrande bestämmelse i en registerlag kan komma att anses tillämplig på utlämnande till en annan myndighet även om utlämnandet står i överensstämmelse med OSL.48 Ett exempel på sådan uttömmande reglering återfinns i lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet. Av 9 § i denna lag framgår t.ex. att personuppgifter inte får behandlas för några andra ändamål än de som anges i lagen, men att personuppgifter får lämnas ut till och regeringen samt, i den utsträckning uppgiftsskyldighet följer av lag eller förordning, till andra. har i sitt delbetänkande (SOU 2007:22, del 1, s. 465) framhållit att en sådan bestämmelse är problematisk från den synpunkten att den också avses ge svar på om när uppgifter får lämnas ut. Kommittén anförde vidare bl.a. följande. En sådan bestämmelse synes syfta till att, i betydligt större omfattning än vad som gäller enligt sekretesslagen, inskränka möjligheterna att lämna ut uppgifter till andra myndigheter. Om bestämmelsen skall tillämpas i enlighet med detta syfte torde man för uppgifter som behandlas i enlighet med lagen – vilket bör vara i stort sett alla uppgifter eftersom handläggningen i allt väsentligt är datoriserad – i praktiken ha infört en absolut sekretess i förhållande till andra myndigheter, trots att det i sekretesslagen anges att sekretess på detta område gäller med ett omvänt skaderekvisit. I flertalet registerförfattningar ges inte någon uttömmande uppräkning av sekundära ändamål. Sådana bestämmelser kan vara avsedda att inte uttömmande ange när uppgifter får lämnas ut. Ett sådant syfte framgår i allmänhet inte av lagtexten, men brukar anges i förarbetena. Bestämmelser av detta slag synes snarare utgöra någon slags exemplifiering av när utlämnanden kan komma 48 Samsetrapport 2006:1, Elektroniskt informationsutbyte – myndighetsgemensamma rättsfrågor, s. 75 f. Övergripande rättslig reglering av behandling av personuppgifter att ske (jfr. förarbetena till skattedatabaslagen, prop. 2000/01:33 s. 99). Denna typ av bestämmelser försvårar möjligheterna att avgöra vilket skydd respektive vilka inskränkningar i den enskildes integritet som det är fråga om. (SOU 1999:105 s. 238) anförde följande i denna fråga. Sekundära ändamål bör även komma till uttryck i lagstiftningen i de fall det går att förutse att innehållet i en databas kommer att regel- mässigt användas av andra myndigheter eller i annan författnings- reglerad verksamhet, även om det inte sker genom direktåtkomst. En uppräkning av sekundära ändamål som inte avser utlämnande med hjälp av direktåtkomst kan inte bli uttömmande, eftersom det inte är möjligt att förutse samtliga de situationer då uppgifter med stöd av exempelvis sekretesslagen kan komma att lämnas ut till myndigheter eller andra för olika ändamål. I de fall då utlämnande skulle komma att ske från en databas i enlighet med särskilt författningsstöd eller då det är möjligt att förutsäga att uppgifter skulle komma att lämnas ut i större omfattning, var utredningen av den uppfattningen att det från upplysningssynpunkt fanns skäl att markera dessa användnings- områden genom de sekundära ändamålen. Av förarbetena till lag om behandling av uppgifter i beskattningsverksamhet (prop. 2000/01:33 s. 126) framgår vidare följande. En uppräkning som inte avser utlämnande med hjälp av direktåtkomst kan inte bli uttömmande, eftersom det inte är möjligt att förutse samtliga de situationer då uppgifter för olika ändamål kan komma att lämnas ut. Föreskrivna sekundära ändamål, som inte är särskilt inriktade på direktåtkomst, avser således de fall där det är möjligt att förutsäga att uppgifter kommer att lämnas ut i förhållandevis stor omfattning. 3.6.5Reglering i särskilda registerförfattningar av elektroniskt utlämnande av uppgifter PUL innehåller inte några bestämmelser som anger på vilket sätt personuppgifter får lämnas ut, d.v.s. om det ska ske manuellt eller elektroniskt på medium för automatiserad behandling eller genom att mottagaren har direktåtkomst till elektroniskt lagrade uppgifter hos utlämnaren. Sådana bestämmelser förekommer däremot ofta i de särskilda registerförfattningar som finns för behandlingen av personuppgifter som utförs av myndigheter inom olika verksamhetsområden. Så är också fallet i LVTR och FVTR. Övergripande rättslig reglering av behandling av personuppgifter Myndigheters möjligheter och skyldigheter att lämna ut uppgifter till andra myndigheter och till enskilda begränsas av OSL, PUL och de särskilda registerförfattningarna. Detta är av betydelse när myndigheten ska ta ställning till om uppgifter får lämnas ut till en annan myndighet eller enskild, och, om så får ske, i vilken form (på papper eller elektroniskt) och med vilken metod (t.ex. omedel- bart via Internet) ett utlämnade är tillåtet. Om en myndighet utbyter uppgifter elektroniskt med en annan myndighet eller med en enskild och uppgifterna direkt eller indirekt kan hänföras till en fysisk person som är i livet är det fråga om behandlingar som omfattas av PUL. Det spelar ingen roll om utlämnandet sker genom en sådan metod som betecknas som direktåtkomst eller genom annat elektroniskt utlämnande eller utlämnande på papper, allt utlämnande utgör behandling enligt PUL:s mening.49 Begreppen direktåtkomst och utlämnande på medium för automatiserad behandling Det finns inte någon legaldefinition av begreppet direktåtkomst eller begreppet utlämnande på medium för automatiserad behand- ling, men frågor om sådana former av elektroniska utlämnanden har diskuterats i ett flertal förarbeten (se Samsetrapport 2006:1 och SOU 2007:45 s. 159 ff.). Dock är begreppsbildningen inte helt klarlagd. Med direktåtkomst avses att den som använder registret på egen hand kan söka i detta, dock utan att själv kunna bearbeta eller på annat sätt påverka innehållet och att uppgifterna i registret lämnas ut utan att ansvarig myndighet i det enskilda fallet har någon kontroll (se t.ex. SOU 1999:105). (SOU 1999:105) ansåg att åtkomsten kan ske genom direkt- uppkoppling på så sätt att en utomstående kan gå in och söka uppgifter direkt i en myndighets register, inhämtande av uppgifter på automatiserad väg via telefon, eller åtkomst till uppgifter som finns tillgängliga på Internet (jmf dock vad regeringen anfört om överföring via Internet i prop. 2002/03:135, s. 88, se nedan). Direktåtkomst kan ge användaren en möjlighet att även hämta hem information till sitt eget system och bearbeta den där (SOU 2007:45, s. 161). Eftersom direktåtkomsten traditionellt innebär att uppgifter lämnas ut utan att den ansvariga myndigheten 49 Samma källa s. 63 ff. Övergripande rättslig reglering av behandling av personuppgifter i det enskilda fallet har kontroll över vilka uppgifter som lämnas ut, måste ett utlämnade vara förenligt med sekretessregleringen (se t.ex. prop. 2005/06:52 s. 8, och prop. 2005/06:152, s. 21). I fråga om begreppet utlämnade på medium för automatiserad behandling har i tidigare lagstiftningsärenden angetts att den tekniska utvecklingen går så snabbt att det inte är möjligt att ge en närmare definition på vad som avses med medium för automatiserad behandling (prop. 1997/98:108 s. 55). Utlämnandet kan ske på något fysiskt medium såsom CD-skiva eller USB-minne m.m. Även utlämnanden via elektronisk kommunikation – såväl trådbundna som trådlösa former för utlämnande såsom e-post, on- lineuppkoppling, radiolänk eller genom direkt överföring från ett datorsystem till ett annat via telenätet, har ansetts innefattas i begreppet (se SOU 2007:45, s. 160). Även elektronisk kommunika- tion i form av SMS-tjänster eller skriftlig dialog i realtid via Internet (s.k. chatt) torde omfattas av begreppet (jfr SOU 2007:64). Att utlämnande sker på medium för automatiserad behandling innebär som regel att informationen kan lämnas ut i elektronisk form på ett sådan sätt att mottagaren kan bearbeta informationen (se t.ex. prop. 2002/03:135 s. 97 och prop. 2004/05:164 s. 82). Vid utlämnande genom automatiserad behandling är det enligt regeringen (prop. 2002/03:135, s. 88) normalt fråga om ett överlämnande av elektroniskt lagrade uppgifter på något slags medium för lagring eller överföring där en prövning sker i varje enskilt fall av huruvida uppgifterna kan lämnas ut eller om exempelvis sekretessbestämmelser utgör hinder för ett utlämnande. Detta innebär en skillnad i förhållande till direktåtkomst, som innebär att det inte görs någon sekretessprövning i varje enskilt fall av utlämnande. Regeringen uttalade i samma proposition att syftet med de olika reglerna i registerlagstiftningen om utlämnande av uppgifter var i regel att med hänsyn till intresset av att skydda medborgarnas personliga integritet inskränka möjligheterna för utomstående att genom överföring av uppgifter kunna upprätta egna personregister. Den tekniska metoden för överföring av uppgifter, om det skedde genom diskett eller Internet, ansågs av regeringen i detta sammanhang vara ointressant. Mot denna bakgrund ansåg regeringen att även en överföring av uppgifter via Internet till en persondator, även om huvudsyftet var att innehavaren skulle ta del av uppgifterna på skärmen i regel också innebar att uppgifterna på något sätt kunde lagras i datorn, ofta var Övergripande rättslig reglering av behandling av personuppgifter att anses som ett utlämnande av uppgifter på medium för automatiserad behandling. Den teknik som används för överföring på medium för automatiserad behandling innebär normalt att data utbyts och begärd information skickas från de interna registren till en digital brevlåda hos uppgiftslämnaren. Den fördröjning i uppgifts- lämnandet som är inbyggd i tekniken innebär en teoretisk möjlighet för utlämnaren att kontrollera vilken information som ska lämnas ut. Sekretessprövningen, eller prövningen av vilka upp- gifter som omfattas av en författningsreglerad uppgiftsskyldighet och därmed ska lämnas ut utan någon sekretessprövning, sker dock i praktiken i samband med att förbindelsen upprättas. Den tekniska utvecklingen skapar nya förutsättningar för olika former av utlämnande har den tekniska utvecklingen kommit så långt att det kan anses vara någon väsentlig skillnad mellan de olika utlämningssätten direktåtkomst och utlämnande på medium för automatiserad databehandling. Som exempel kan nämnas att det tidsmässigt inte behöver vara någon större skillnad mellan direkt- åtkomst och annat elektroniskt utlämnande, eftersom det även finns andra metoder än direktåtkomst för att utbyta informa- tionen mycket snabbt. Det finns knappast någon gräns mellan direktåtkomst och annan elektronisk åtkomst när det gäller möjligheterna att behandla de uppgifter som mottagaren tar del av. Dagens teknik gör det också möjligt att kontrollera, avgränsa och övervaka elektronisk åtkomst eller annat utlämnande av uppgifter i elektronisk form, oavsett med vilken teknisk metod som uppgifterna görs tillgängliga. De olika åtkomstmetoderna behöver inte innebära några större skillnader i den utlämnande myndighetens kontroll över vilka uppgifter som lämnas ut i det enskilda fallet. Vid såväl direkt- åtkomst som vid utlämnande på medium för automatiserad behandling sker således i praktiken sekretessprövningen, eller prövningen av vilka uppgifter som omfattas av en författnings- reglerad uppgiftsskyldighet, i samband med att förbindelsen mellan utlämnaren och mottagaren av uppgifterna upprättas. Någon ytterligare prövning av om uppgifterna kan lämnas ut sker inte i Övergripande rättslig reglering av behandling av personuppgifter samband med utlämnandet. Själva utlämnandet innefattar således i dessa fall endast en teknisk bearbetning. I detta sammanhang bör erinras om att en generell sekretess- prövning på förhand normalt inte är tillräcklig för ett sekretess- genombrott när stark sekretess, dvs. sekretess med ett omvänt skaderekvisit, gäller. Det omvända skaderekvisitet innebär nämligen att sekretess gäller, om det inte står klart att uppgiften kan röjas utan skada. Det omvända skaderekvisitet utgår således från att sekretess är huvudregel och innebär att tillämparen har ett ganska begränsat utrymme för sin bedömning. Lagstiftaren har avsett att en skadeprövning enligt det omvända skaderekvisitet i regel ska ske i varje enskilt fall, dvs. varje gång en uppgift lämnas ut från myndigheten. Ett massutlämnande, vilket det kan bli fråga om vid automatiserade rutiner, brukar således inte anses förenligt med sådan stark sekretess (se t.ex. prop. 1990/91:111). Med dagens teknik är det även vid direktåtkomst möjligt att filtrera utlämnandet på detaljnivå och dessutom på olika sätt för olika mottagare och skilda mottagande handläggare. Den dominerande metoden för utlämnande genom direktåtkomst, som också är den som gäller för direktåtkomst till vägtrafikregistret, innebär i enlighet med detta att mottagaren på ett begränsat antal förbestämda frågor kan få förbestämda svar. Därigenom har utlämnaren även vid direktåtkomst viss kontroll över de uppgifter som utbyts (se avsnitt 4.5 om direktåtkomst till vägtrafikregistret). Det kan, mot bakgrund av de redovisade förhållandena, ur integritetssynpunkt vara svårt att avgöra vad som skiljer ett utlämnande av uppgifter genom direktåtkomst från ett utlämnande av uppgifter på medium för automatiserad behandling. Särregle- ringen av direktåtkomst har också ifrågasatts från olika håll.50 Den tekniska utvecklingen har således inneburit att de aktuella begreppens tillämpning på modernare metoder för informations- utbyte har blivit oklar. Dessutom används olika begrepp i de särskilda registerförfattningarna för samma sak och ett och samma begrepp, som t.ex. direktåtkomst, kan användas med olika betydelser (jfr delbetänkande SOU 2007:22 s. 461 ff.). 50 Se t.ex. SOU 2000:97 s. 278 f., prop. 2000/01:129 s. 74, Samsetrapport 2006:1, Elektroniskt informationsutbyte - myndighetsgemensamma rättsfrågor och , Särskilda register- författningar, till , 2006, s. 704 f. Övergripande rättslig reglering av behandling av personuppgifter Regleringen av direktåtkomst för myndigheter och enskilda Bestämmelser om direktåtkomst återfinns vanligtvis i registerlag, vilket också är fallet i LVTR. Lagstiftaren har ansett att direktåt- komst är förenat med särskilda integritetsrisker och det har därför ansetts vara av stor betydelse att tillgång till uppgifter genom direktåtkomst regleras i lag (se t.ex. prop. 2000/01:95, s. 80 och prop. 2005/06:52, s. 8). I 17 § lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration anges att direktåtkomst tillåts i den utsträckning som anges i lag eller förordning. I Samset- rapporten (2006:1) görs i och för sig gällande att denna bestämmelse inte bör missförstås så att nya myndigheter avses få direktåtkomst till uppgifter i socialförsäkringsdatabasen genom bestämmelse i förordning. I studiestödsdatalagen (2009:287) har regeringen ansett att det är tillräckligt att bestämmelser som tillåter direktåtkomst finns i förordning, medan inskränkningar i fråga om möjligheten att medge direktåtkomst bör framgå direkt av lag (prop. 2008/09:96, s. 59). Regeringen har konstaterat att det under förutsättning att säkerheten är tillräcklig inte finns några integritetsskäl som talar emot att enskilda kan ta del av uppgifter om sig själva via Internet. Tvärtom kan detta ge enskilda en möjlighet att kontrollera att de uppgifter som finns är korrekta. Regeringen har även framhållit att direktåtkomst till egna uppgifter inte står i strid med dataskydds- direktivets bestämmelser om överföring av uppgifter till tredje land, eftersom den som befinner sig i ett tredje land och begär att få del av uppgifter om sig själv via nätet, genom sin begäran får anses ha samtyckt till att uppgifterna lämnas ut. Om de tekniska lösningarna är tillräckligt säkra föreligger det enligt regeringen inte någon fara från integritetssynpunkt att lämna ut uppgifterna och att direktåtkomst i detta fall också bör kunna accepteras utan att det står i uttrycklig överensstämmelse med ändamålen för respektive databas. 51 Samsetrapport 2006:1, Elektroniskt informationsutbyte - myndighetsgemensamma rättsfrågor, s. 86 f. och prop. 2000/01:133 s. 114. Övergripande rättslig reglering av behandling av personuppgifter Reglering av utlämnande på medium för automatiserad behandling till myndigheter Utlämnande till myndigheter på medium för automatiserad behandling hanteras olika i olika registerförfattningar. I vissa verk- samheter förutsätter sådant utlämnande särskild reglering medan så inte är fallet i andra verksamheter (se SOU 2007:45, s. 163). I bl.a. beskattningsverksamhet har utgångs- punkten varit att det inte behövs någon reglering av möjligheterna för myndigheter att lämna ut uppgifter till andra myndigheter på medium för automatiserad behandling.