sou · GYB34d2 · 2011-01-01 00:00:00 — Det kan inte uteslutas att rättsliga begränsningar till skydd för den personliga integriteten i vissa fall kan ge visst skydd även för färdiga elektroniska handlingar. De redovisade exemplen visar emellertid att det är vanskligt att bedöma när rättsliga begränsningar i registerförfattningar är grundlagsenliga. Rättsläget får delvis anses oklart. Exemplen tydliggör också hur en generell skyldighet att lämna ut handlingar i elektronisk form skulle kunna göra det enklare för enskilda att efter massuttag – i stället för att begära en sådan begränsande sökning som i exemplet ovan – producera egna sammanställningar av uppgifter (jfr avsnitt 3.1.6). Ökade möjligheter skulle därmed ges att kringgå det integritetsskydd som tekniska och rättsliga begräsningar för myndigheter avses föra med sig. 3.3Steg 3: I vilken form ska handling lämnas ut? Som ett tredje steg aktualiseras i vilken form en myndighet enligt gällande rätt är skyldig att lämna ut elektroniska handlingar och hur dessa skyldigheter förhåller sig till en möjlig lagstadgad generell skyldighet till utlämnande i elektronisk form? Den sista frågan blir beroende av hur ett sådant lagstadgande utformas. Enligt 2 kap. 13 § TF är myndighet inte skyldig att lämna ut elektronisk handling i annan form än utskrift, dvs. i pappersform, i större utsträckning än vad som följer av lag. En myndighet kan emellertid välja att lämna ut handlingar elektroniskt om den så önskar. Regleringen ger således myndigheterna en betydande frihet som det är möjligt att i lag både begränsa och utöka myndigheters skyldighet att lämna uppgifter elektroniskt. Någon sådan frihet följer inte av reglerna om persondataskydd. Rättsliga begränsningar avseende formen för utlämnande av elektroniska handlingar förekommer som framgått i registerförfattningar. Ett exempel kan hämtas från 2 kap. 6 § lagen (2001:182) om behandling av uppgifter i folkbokföringsverksamhet där det föreskrivs att uppgifter i databasen får lämnas ut till en enskild på medium för automatiserad behandling endast om regeringen har meddelat föreskrifter om det. Enligt förordningen (2001:589) om behandling av personuppgifter i folkbokföringsverksamhet får uppgifter på datamedium lämnas till bl.a. enskild som uppgifterna rör. Begränsningen ovan rörande formen för utlämnande utgör ett skydd för den personliga integriteten, utöver begränsningar av sökbegrepp m.m. i samma lag. Här blir det emellertid inte fråga om att tolka hur begränsningen i registerförfattningen förhåller sig till 2 kap. 3 § tredje stycket TF – att handlingen är allmän och att det inte finns någon begränsning mot att lämna ut den har redan konstaterats i steg 1 och steg 2. Frågan är istället hur begräsningar i vanlig lag – en registerlag – ska stå sig i förhållande till en ny lagstadgad skyldighet att lämna ut elektroniska handlingar i elektronisk form vid ett offentlighetsuttag. Ska en ny reglering ta över regleringen i registerlagarna eller bör de regler som föreslås utformas för att samspela med registerförfattningarna? Lagtekniskt kan denna fråga lösas så att tolkningen blir enkel. En genomgång av nuvarande registerförfattningar visar emellertid att oväntade effekter skulle kunna uppstå vid ett samspel med en ny lagreglering om utlämnande. I exempelvis 10 § andra stycket förordningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen föreskrivs att uppgifter ur registret får lämnas ut på medium för automatisk databehandling endast om det följer av lag eller förordning. Det är tydligt att denna bestämmelse avsåg att inskränka myndighetens möjligheter att lämna ut i elektronisk form. Om en generell skyldighet skulle införas att lämna ut uppgifter elektroniskt vid offentlighetsuttag skulle bestämmelsen i registerförfattningen inte längre ge någon begränsning. Ett annat exempel är 25 § lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet, där det föreskrivs att enstaka uppgifter får lämnas ut på medium för automatiserad behandling och att regeringen får meddela föreskrifter om att utlämnande på sådant medium får ske även i andra fall. I lagmotiven (prop. 2004/05:164 s. 126) anförs bl.a. följande. Syftet med begränsningen till enstaka uppgifter är att ett mer omfattande eller systematiskt uppgiftsutlämnande skall vara förbehållet regeringen att besluta om. Ett helt register eller delar av ett register får således inte lämnas ut, t.ex. i form av en fil på diskett, med stöd av bestämmelsen om enstaka uppgifter. Däremot kan med stöd av den bestämmelsen några enstaka handlingar och uppgifter lämnas ut via e-post som svar på en förfrågan. Hur står sig ett sådant förbud i förhållande till en generell skyldighet att lämna ut handlingen elektroniskt? Ska förbudet bedömas som lex specialis och ta över en ny generell skyldighet? Utöver den författningstekniska aspekten kan ifrågasättas om rättsliga begränsningar i registerförfattningarna skulle ge ett tillräckligt skydd från integritetssynpunkt om en lagstadgande skyldighet införs om att lämna ut handlingar elektroniskt vid offentlighetsuttag. Registerförfattningarna är utformade för dagens eller gårdagens situation – inte för att balansera en huvudregel om elektroniskt utlämnande vid offentlighetsuttag. Beträffande formen för utlämnande av allmän handling finns i registerförfattningar regler som i vissa fall ger myndighet en skyldighet att lämna ut elektroniskt, i andra fall förbjuder sådant utlämnande.18 Begränsningar i myndigheters skyldighet att lämna ut allmänna handlingar i elektronisk form blir beroende av hur en framtida lagreglering utformas. Införs en regel om elektroniskt utlämnande som är subsidiär till särskilda regler i lag eller förordning torde goda möjligheter ges att från tid till annan motverka effekter som inte är önskvärda från integritetssynpunkt, som insynsintresset kan tillgodoses genom utlämnande på papper. Det kan emellertid ifrågasättas om dagens registerförfattningar – utan en översyn – kan ge det skydd som bör krävas från persondataskyddssynpunkt mot spridning via t.ex. Internet av känsliga personuppgifter. Endast ett fåtal registerförfattningar utrycker förbud för myndighet att lämna ut allmän handling i elektronisk form. Införs en generell skyldighet att lämna ut allmän handling i elektronisk form, där erforderliga begränsningar avses följa av registerförfattningar, torde en omfattande översyn behöva göras av 18 En sökning på författningar som innehåller begreppen automati*, medium och *lämna* gav 79 träffar. Flertalet av dessa behandlar dock inte formen för utlämnande av allmän handling. De rör istället överföring mellan myndigheter. Endast i 16 fall föreskrivs uttryckligt förbud mot elektroniskt utlämnande av allmän handling. registerförfattningarna för att bereda ett genomtänkt skydd för den personliga integriteten. Det måste också klargöras vilken bestämmelse som tar över, om olika regler som leder till olika bedömningar enligt sin lydelse kvarstår och blir tillämpliga . Härvid behöver övervägas om en ny regel om elektroniskt utlämnande, som görs subsidiär till annan lag eller förordning, kan förenas med 2 kap. 13 § TF där det föreskrivs att en myndighet inte är skyldig att i större utsträckning än vad som följer av lag lämna ut en upptagning för automatiserad behandling i annan form än utskrift. 4.Registerförfattningarnas roll vid en kommande reglering Bedömningen – av vilken inverkan regler i registerförfattningar, rörande elektroniskt utlämnande, kan antas ha på bestämmelser som införs i lag om formen för utlämnande av allmänna handlingar – blir delvis beroende av vilken lösning kommittén finner lämplig när det gäller den nya regleringens samspel med 1.nuvarande regler i grundlag, a)ska regleringen bygga på motsvarande rekvisit och avgränsningar som dem i 2 kap. TF och övriga grundlagsenliga regler, eller b)ska en separat avgränsning göras av vad som ska lämnas ut elektroniskt, t.ex. så att begränsningar i registerförfattningar blir tillämpliga oberoende av om de är grundlagsenliga, I det följande redovisas vissa bedömningar som ett underlag för e-offentlighetskommitténs ställningstaganden. 4.1.1 En sammanhållen struktur saknas Särskilda registerförfattningar har blivit allt vanligare till följd av en från sida uttalad ambition att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll skall regleras särskilt i lag.19 Som ett resultat av denna ambition har en omfattande särreglering införts i lag. Medan begränsningar av rätten att ta del av allmänna handlingar noga anges i bestämmelse i offentlighets- och sekretesslagen (2009:400) eller, om så i visst fall befinns lämpligare, i annan lag till vilken offentlighets- och sekretesslagen hänvisar (2 kap. 2 § TF), saknas en sammanhållen struktur för registerförfattningarna och samspelet med personuppgiftslagen. Registerförfattningarna är dessutom, redan till följd av antalet, svåra att överblicka.20 Det har uppskattats att det finns ca 200 sådana, och en prövning av en fråga om utlämnande för offentlighetsinsyn där registerförfattningarna ska beaktas kan kräva insatser redan för att klargöra vilka lagar och förordningar som ska tillämpas. En stegvis översyn av registerförfattningarna har genomförts för att anpassa dem till personuppgiftslagen, dock utan någon egentlig samordning. Som exempel kan nämnas hur olika lösningar valts beträffande tillämpningsområdet för sådana författningar. Vissa registerförfattningar kompletterar personuppgiftslagen, de innehåller bara särbestämmelser (dvs. gäller utöver personuppgiftslagen), andra gäller i stället för personuppgiftslagen, men innehåller hänvisningar till de bestämmelser i personuppgiftslagen som ska tillämpas. Slutligen finns registerförfattningar som gäller i stället för personuppgiftslagen och upprepar de bestämmelser i personuppgiftslagen som ska vara tillämpliga. Författningarna bygger trots översynen till betydande del på uttryckssätt och författningstekniska konstruktioner som kommit till på datalagens tid.21 Olika begrepp har använts för att beskriva samma företeelse (t.ex. databas och register) medan samma begrepp i andra fall getts olika betydelser (t.ex. gallring och direktåtkomst).22 Sammantaget har detta fört med sig ett delvis oklart rättsläge där risker för integritetsförluster framträder till följd av brister i författningsregleringen. Det framstår redan av dessa skäl som tveksamt att knyta regler i registerförfattningar till avgränsningar av regler rörande offentlighetsinsyn. 19Se bl.a. prop. 1997/98:44 s. 41 och KU 1997/98:18 s. 43 samt prop. 1990/91:60 s. 50 och KU1990/91:11 s. 11. 20Se bl.a. SOU 2007:22 Del 1 s. 461 och SOU 2007:45 s. 159 ff. 21Se datalagen (1973:289). Vid genomförandet av EG:s dataskyddsdirektiv i svensk lagstiftning valdes samma modell som tidigare hade tillämpats, nämligen en generell lag, PUL, som kompletteras med särregler i registerförfattningar. 22Se nedan om bl.a. terminalåtkomst och direktåtkomst. 4.1.2 Registerlagarnas regler för utlämnande bör undvikas Många registerlagar innehåller regler om form och metod för utlämnande. Regleringen bygger på begreppen direktåtkomst (i vissa författningar kallat terminalåtkomst) och utlämnande på medium för automatiserad behandling (i vissa författningar betecknat medium för automatisk databehandling). En skarp juridisk gräns dras mellan utlämnande som betecknats direktåtkomst respektive annat utlämnande. Direktåtkomst har traditionellt sett ansetts innebära att uppgifter tillgängliggörs så att den utlämnande myndigheten eller det utlämnande organet i det enskilda fallet inte har kontroll över vilka uppgifter som lämnas ut. Det har därför från persondataskyddssynpunkt ansetts vara av stor betydelse att i registerlagstiftning särskilt reglera frågor om tillgång till uppgifter genom direktåtkomst. I praktiken har den tekniska utvecklingen dock brutit igenom gränsen mot vad som i författning beskrivs som utlämnande på medium för automatiserad behandling. Enligt regeringens proposition 2007/08:160 Utökat elektroniskt informationsutbyte har skillnaderna mellan direktåtkomst och annat uppgiftslämnande på automatiserad väg blivit så små att det kan vara svårt att dra en gräns mellan dessa former för utlämnande. Lagstiftning baserad på dessa begrepp har trots detta genomförts under hänvisning till att ett så omfattande arbete som krävs för att göra begreppsbildningen mer enhetlig och tydlig inte var nödvändigt för att möjliggöra aktuella informationsutbyten. Det har i praktiken visat sig att registerlagarna, särskilt med avseende på regler om direktåtkomst och annat utlämnande, har sådana brister och för med sig sådana tolkningssvårigheter vid informationsutbyte, att det med fog kan ifrågasättas om intresset av persondataskydd har blivit sakligt och konsekvent beaktat. I stället för den avvägning mellan integritet och effektivitet som regleringen avses ge har innebörden i begrepp och reglers avgränsning kommit i förgrunden.23 Detta har fört med sig ett delvis oklart rättsläge som inte bör föras över till avgränsningar som rör offentlighetsinsynen. 23 Se bl.a. 2007:1, Elektroniskt informationsutbyte – myndighetsgemensamma rättsfrågor, avsnitt 5.4.5.1. – Det hjälper härvid inte att en registerförfattning kan ge lättnader i informationsskyldigheter, att anmälan till Datainspektionen av behandlingar inte behövs och att registerförfattningar ofta ger rättsligt stöd för att behandla känsliga personuppgifter. 4.2Registerlagarnas gränsdragning är inte relevant Den gräns som dras mellan direktåtkomst och utlämnande på medium för automatiserad behandling är en viktig del i många registerlagar. En sådan gräns blir emellertid normalt inte aktuell vid ett utlämnande enligt 2 kap. TF eftersom sådant utlämnande föregås av en prövning i det enskilda fallet. Efterföljande åtgärder för elektroniskt utlämnande med stöd av offentlighetsprincipen torde knappast kunna ses som annat än utlämnande på medium för automatiserad behandling.24 Om tillgång ges till myndigheters information på det sätt som brukar betecknas direktåtkomst torde detta ske som ett utflöde av sådan service och hjälp som ges med stöd av bl.a. 4 § förvaltningslagen (1986:223). Det utlämnande på medium för automatiserad behandling, som kan komma i fråga till följd av en begäran enligt 2 kap. TF, är dessutom olika reglerat i skilda registerförfattningar. Någon samlad avvägning mellan offentlighetsinsyn, sekretess och persondataskydd har inte gjorts. Den nivå av persondataskydd som kan antas bli eftersträvad vid elektroniskt utlämnande för offentlighetsinsyn torde dessutom motsvara det (högre) skydd som ges genom regler om direktåtkomst. Det framstår därmed inte som lämpligt att bygga avgränsningar av elektroniskt utlämnande för offentlighetsinsyn på regler i registerförfattningar. Den osäkerhet som uppkommit rörande tolkningen av begrepp och bestämmelser i registerförfattningar som rör metoden för utlämnande bör inte föras över till området för offentlighetsinsyn. Detta blir särskilt tydligt när den centrala gränsdragningen mellan direktåtkomst och annat elektroniskt utlämnande inte synes bli relevant vid en reglering av elektroniskt utlämnande för offentlighetsinsyn. 4.3Omfattande ställningstaganden av är knappast möjliga Det framstår inte som praktiskt genomförbart att – genom anpassningar av registerlagar – skulle göra detaljerade ställningstagande för varje myndighetsområde rörande begränsningar 24 Denna bedömning bygger på hur detta begrepp synes ha utvecklats mot att innefatta även överföringar via nät. av t.ex. myndigheters rättsliga befogenheter att göra sammanställningar tillgängliga, i syfte att balansera en rätt till elektroniskt utlämnande för offentlighetsinsyn mot behovet av persondataskydd. Den från sida uttalade ambitionen att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll skall regleras särskilt i lag bör omprövas, vid beaktande av de praktiska konsekvenser som visat sig uppkomma; jfr lagrådets yttrande över proposition 2000/01:33, Behandling av personuppgifter inom skatt, tull och exekution som klargör att de fem registerlagarna inte kräver lagform; reglerna kan ges i form av förordning. Någon analys synes inte ha gjorts av om de förutsättningar som legat till grund för ställningstagande alltjämt är giltiga. Dessutom vidhålls i registerförfattningarna grundläggande gränser mellan direktåtkomst och utlämnande på medium, trots att gränserna är flytande, för att inte säga obefintliga. Ett tydligt exempel på detta är den tanke som förts fram i doktrinen om att reglera båda formerna av elektronisk tillgång på ett i princip likartat sätt, i stället för att utmönstra begreppen. Det är angeläget att söka förenklingar i förening med fungerande metoder för att tillgodose såväl offentlighetsinsynen som integritetsskyddet. Anpassningar behövs till den snabbt framväxande elektronisk miljö där alla handlingar, akter och uppgiftssamlingar förvaras elektroniskt och avses kommuniceras elektroniskt. Registerlagarna försvårar denna övergång och risken är att nya omfattande kasuistiska regler i registerförfattningar endast skulle öka tolkningssvårigheterna utan motsvarande nytta för integritetsskyddet. Det är knappast möjligt att från fall till fall särreglera allt elektroniskt informationsutbyte på myndighetsområdet. Det framstår inte heller som rimligt att lösa gränsdragningssvårigheter beträffande olika metoder för utlämnande genom att ge flera begrepp samma tillämpningsområde. Begreppen bör istället undvikas och ersättas med gränser som bygger på funktioner som kan upprätthållas även vid förändringar i använd teknik. Till detta kommer den osäkerhet som redovisats rörande tillämpningsområdet för det allmänna tillgänglighetsrekvisitet (är handlingen tillgänglig med tekniskt hjälpmedel som myndigheten själv utnyttjar), för det särskilda tillgänglighetsrekvisitet (är handlingen tillgänglig genom rutinbetonade åtgärder) och för begränsningsregeln (föreligger en grundlagsenlig rättslig begräns- Inte heller dessa begränsningar lämpar sig för en avgränsning av vad som ska lämnas ut i elektronisk form enligt en reglering om elektroniskt utlämnande för offentlighetsinsyn. Med hänsyn till redovisade tolknings- och gränsdragningssvårigheter går det enligt min mening inte att – genom begränsningar i registerförfattningar – väga upp en vidgad rätt att få ut handlingar i elektronisk form med stöd av offentlighetsprincipen. 1.Lätt att göra rätt –om förmedling av brottsskadestånd. 2.Ett samlat insolvensförfarande – förslag till ny lag. 3.Metria – förutsättningar för att ombilda division Metria vid Lantmäteriet till ett statligt ägt aktiebolag. 4.Allmänna handlingar i elektronisk form –offentlighet och integritet. Lätt att göra rätt – om förmedling av brottsskadestånd. Ett samlat insolvensförfarande – förslag till ny lag. Allmänna handlingar i elektronisk form – offentlighet och integritet. Metria – förutsättningar för att ombilda division Metria vid Lantmäteriet till ett statligt ägt aktiebolag.