sou · GZB358 · 2011-09-27 00:00:00 — Som exempel på vad rätten att meddela och offentliggöra uppgifter innebär kan nämnas t.ex. en rätt att lämna uppgifter till en journalist i syfte att de ska ligga till grund för en artikel i en tidning eller i syfte att de ska publiceras i tidningen, en rätt att själv författa en artikel som tas in i någon tidning, en rätt att själv publicera uppgifter i en bok eller på en hemsida med utgivningsbevis samt en rätt att själv lämna uppgifter vid ett framträdande i ett radio- eller TV- program. Tryckfrihetsförordningen, yttrandefrihetsgrundlagen och offentlighets- och sekretesslagen innehåller bestämmelser om vissa begränsningar i rätten att meddela och offentliggöra uppgifter. Dessa begränsningar gäller för den som lämnat ett meddelande som avses i 1 kap. 1 § tredje stycket TF eller 1 kap. 2 § YGL till personkategorier eller organ som anges i dessa bestämmelser för publicering i de medier som de båda grundlagarna omfattar, den som utan att ha ensamansvar enligt 8 kap. TF medverkar till en framställning, som är avsedd att införas i en tryckt skrift, i egenskap av författare eller annan upphovsman eller i egenskap av utgivare, den som utan att ha ensamansvar enligt 6 kap. YGL medverkar till en framställning, som är avsedd att offentliggöras i ett medium som omfattas av den grundlagen, som författare eller annan upphovsman eller genom att framträda i ett radio- eller TV-program, och den som har ensamansvar för en tryckt skrift eller en framställning i ett medium som omfattas av yttrandefrihetsgrundlagen och som i skriften eller framställningen offentliggör uppgifter. Enligt regeringsformen (RF) får rätten till yttrandefrihet inom vissa ramar begränsas genom lag. Efter bemyndigande i lag får yttrandefriheten begränsas genom annan författning i vissa särskilt angivna fall (2 kap. 12 § första stycket RF). Begränsningen görs genom regler om handlingssekretess och tystnadsplikt dvs. förbud att röja en uppgift, vare sig det sker muntligen, genom utlämnande av allmän handling eller på något annat sätt (3 kap. 1 § OSL). Den rätt att meddela och offentliggöra uppgifter som följer av tryckfrihetsförordningen och yttrandefrihetsgrundlagen har som huvudregel företräde framför tystnadsplikten, men inte framför handlingssekretessen (7 kap. 3 § första stycket 2 och 5 kap. TF och 5 kap. första stycket och 3 § 2 YGL). I ett antal fall direkt reglerade i tryckfrihetsförordningen och yttrandefrihetsgrundlagen eller i offentlighets- och sekretesslagen har dock också bestämmelser om tystnadsplikt företräde framför rätten att meddela och offentliggöra uppgifter. Den som åsidosätter bestämmelserna om tystnadsplikt kan dömas till ansvar för brott mot tystnadsplikt. Ansvarsbestämmelsen finns i 20 kap. 3 § och har följande lydelse. Röjer någon uppgift som han är pliktig att hemlighålla enligt lag eller annan författning eller enligt förordnande eller förbehåll som har meddelats med stöd av lag eller annan författning, eller utnyttjar han olovligen sådan hemlighet, dömes, om ej gärningen eljest är särskilt belagd med straff, för brott mot tystnadsplikt till böter eller fängelse i högst . Den som av oaktsamhet begår gärning som avses i första stycket, dömes till böter. I ringa fall skall dock ej dömas till ansvar. En förutsättning för straffansvar är alltså att tystnadsplikten bryts av någon som tystnadsplikten gäller för. Vidare ska tystnadsplikten följa av lag eller annan författning eller av förordnande eller förbehåll. De bestämmelser om tystnadsplikt som kan göra bestämmelsen tillämplig finns framför allt i offentlighets- och sekretesslagen. Föreskrifter om tystnadsplikt finns dock även i andra författningar. Här kan nämnas den tystnadsplikt som gäller för den som är eller har varit verksam inom yrkesmässigt bedriven enskild verksamhet (29 kap. 14 § SkolL, 15 kap. 1 § socialtjänstlagen (2001:453) och 29 § lagen (1993:387) om stöd och service till vissa funktionshindrade (LSS). Vidare kan nämnas den tystnadsplikt som gäller för vissa tolkar och översättare enligt lagen (1975:689) om tystnads- plikt för vissa tolkar och översättare. Sådant förbehåll som omfattas av bestämmelsen kan göras enligt 10 kap. 4 och 14 §§ OSL. IT-system används i förhållandevis stor omfattning i skolorna inte bara för elevadministration, utan också för att hantera uppgifter om elevers skolsituation i åtgärdsprogram och individuella utvecklingsplaner samt för rapportering av frånvaro. Till den del dessa uppgifter inom skolväsendet hanteras elektroniskt ger bestämmelserna i personuppgiftslagen (1998:204), PUL, ett visst skydd för den personliga integriteten. Vid samrådskontakter med Datainspektionen har utredningen inhämtat upplysningar om vad som kommit fram i inspektionens tillsyns- och klagomålsverksamhet inom skolväsendet. Datainspektionens praxis visar hur de grundläggande kraven i 9 § PUL angående ändamålet med behandlingen tillämpas beträffande uppgifter om enskildas personliga förhållanden i bl.a. åtgärdsprogram och individuella utvecklingsplaner. I avsnittet redogörs också för betydelsen av bestämmelsen i 21 kap. 7 § OSL för skyddet av den personliga integriteten och för överväganden av i betänkandet Allmänna handlingar i elektronisk form – offentlighet och integritet (SOU 2010:4) beträffande denna bestämmelse och ett eventuellt införande av en skyldighet för myndigheter att generellt eller i mer begränsad utsträckning lämna ut elektronisk lagrade allmänna handlingar i elektronisk form. Det är av särskilt intresse mot bakgrund av vad anfört i delbetänkandet Skyddet för den personliga integriteten, kartläggning och analys (SOU 2007:22) om behovet av en utökad sekretess på skolområdet i anledning av att dokumentationen om enskilda elever liksom tillgängligheten till denna dokumentation ökar i den ordinarie undervisningen. Kommittén framhöll bl.a. betydelsen av att uppgifter om elever i allt större utsträckning behandlas digitalt, vilket innebär att det blir enklare att samla in, sammanställa och sprida uppgifter om enskilda. Vidare redogörs för förhållandet mellan personuppgiftslagen och offentlighetsprincipen och myndigheternas arkivering. 2.2.2Förbud att lämna ut personuppgifter enligt 21 kap. 7 § OSL I 21 kap. 7 § OSL föreskrivs ett generellt förbud att lämna ut personuppgifter, om det kan antas att ett utlämnade skulle medföra att uppgiften behandlas i strid med personuppgiftslagen. Bedömningen ska inte ta sikte på om myndighetens utlämnande av uppgifter skulle strida mot personuppgiftslagen. Enligt 8 § första stycket PUL ska nämligen bestämmelserna i den lagen inte tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. TF att lämna ut personuppgifter. Bedömningen ska avse om det kan antas att uppgifterna efter utlämnandet kommer att behandlas i strid med personuppgiftslagen. Bestämmelsen i 21 kap. 7 § OSL har i ett flertal sammanhang kritiserats och bestämmelsen har inte sällan uppfattats som svårtillämpad av myndigheterna. gjorde bedömningen att bestämmelsen fyllde en viss, låt vara begränsad, funktion och att den därmed bidrog till att upprätthålla skyddet för den personliga integriteten och att det f.n. inte var lämpligt att bestämmelsen upphävdes. Efter att den genomgång av registerförfattningarna som kommittén förespråkat har genomförts, fanns anledning att på nytt överväga behovet av sekretessbestämmelsen. I stället föreslogs att bestämmelsen förtydligades så att det inte råder någon tvekan om att det bara är den prognos myndigheten kan göra beträffande sökandens efterföljande behandling som är relevant. Vidare föreslogs att bestämmelsen skulle förtydligas på så sätt att det framgick att myndigheten måste ha något skäl för att ställa frågor om den tilltänkta användningen av personuppgifterna. I normalfallet ska det inte anses tillåtet att ställa frågor till sökanden om identitet eller syfte bara därför att personuppgifter i sig begärs utlämnade. Det måste finnas en konkret omständighet, t.ex. om det av sökandens egna uppgifter framgår att han eller hon kommer att behandla uppgifterna på ett sätt som inte är förenligt med personuppgiftslagen eller att sökanden önskat göra ett massuttag eller ett selekterat uttag av personuppgifter för vilka utrymmet för en behandling i enlighet med personuppgiftslagen är begränsat (Allmänna handlingar i elektronisk form – offentlighet och integritet, SOU 2010:4). och offentlighetsprincipen och myndigheternas arkivering Bestämmelserna i personuppgiftslagen ska inte tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. TF att lämna ut personuppgifter (8 § första stycket PUL). Bara sådant utlämnade av uppgifter som myndigheterna har skyldighet att göra avses i paragrafen. Eftersom det finns en skyldighet att lämna ut uppgifter enligt 2 kap. TF först sedan en medborgare begärt ett sådant utlämnade, avses inte sådan spridning av uppgifter som sker på myndigheternas eget initiativ t.ex. genom att allmänna handlingar görs tillgängliga via Internet. Inte heller avses lämnande av uppgifter mellan myndigheter (jfr 6 kap. 5 § och 10 kap. 15–28 §§ OSL). Be- stämmelserna i personuppgiftslagen hindrar inte heller att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterialet tas om hand av en arkivmyndighet (8 § andra stycket OSL). hade också i uppdrag att överväga om det i offentlighets- och sekretesslagen eller i annan lag skulle införas en skyldighet för myndigheter, generellt eller i mer begränsad utsträckning, att lämna ut elektroniskt lagrade allmänna handlingar i elektronisk form, och vilka konsekvenser en sådan skyldighet skulle få för bl.a. enskildas personliga integritet. Antalet framställningar om att få ta del av allmänna handlingar kan enligt kommittén antas öka vid en generell rätt att få ut handlingar i elektronisk form och framställningarna kan också tänkas komma att omfatta större informationsuttag jämfört med . Kommitténs bedömning var att det befintliga regelverket till skydd för den personliga integriteten i samband med utlämnande av allmänna handlingar inte säkerställer en godtagbar skyddsnivå i fråga om intrång i enskildas personliga integritet vid införandet av en generell skyldighet i lag att lämna ut allmänna handlingar i elektronisk form. Den främsta orsaken till det är de brister som i detta avseende finns i registerförfattningarna. Målet på borde enligt kommittén vara att myndigheterna har en lagreglerad skyldighet att, i den mån det inte finns särskilda förbud mot det i lag eller förordning, lämna ut allmänna handlingar i elektronisk form om sökanden så önskar. En sådan reglering ansågs dock kunna införas först efter en översyn och bearbetning skett av registerförfattningarna. Kommittén föreslog att det under mellantid i lag föreskrivs att en myndighet ska lämna ut elektroniskt lagrade allmänna handlingar i elektronisk form om det inte är olämpligt. Personuppgiftslagen har till syfte att skydda människor mot att deras personliga integritet kränks när personuppgifter behandlas. Personuppgiftslagen bygger på gemensamma regler som beslutats på området inom EU, det s.k. Dataskyddsdirektivet. Lagen gäller för sådan behandling som är helt eller delvis automatiserad (5 §). Den gäller också för annan behandling av personuppgifter om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Lagen är subsidiär i förhållande till annan lag eller förordning (2 §). Sådana avvikande bestämmelser som avses i paragrafen finns ofta i registerförfattningar. Vidare avses bestämmelser som föreskriver att myndigheter eller enskilda får eller ska lämna ut uppgifter. Enligt 6 kap. 5 § OSL ska t.ex. en myndighet på begäran av en annan myndighet lämna ut uppgift som den förfogar över i den mån hinder inte möter på grund av bestämmelse om sekretess. I betänkande Åklagarväsendets brottsbekämpning, Integritet – Effektivitet (SOU 2008:87) görs dock gällande att denna bestämmelse inte innefattar någon uppgiftsskyldighet. Se också motsvarande bestämmelse om utlämnande på begäran av uppgift ur allmän handling till enskild enligt 6 kap. 4 § OSL. Vid behandling av personuppgifter i löpande text och annat ostrukturerat material gäller inte flertalet av hanteringsreglerna i lagen. Syftet är att underlätta vardaglig hantering av personuppgifter som inte medför integritetsrisker. Den förenklade regleringen innebär att vardaglig ostrukturerad behandling i princip får utföras fritt så länge man inte kränker den uppgifterna avser. En avvägning görs i det enskilda fallet mellan den registrerades intresse av en fredad privat sfär mot andra motstående intressen. En samlad bedömning behöver göras av hur känsliga uppgifterna är, i vilket sammanhang de förekommer, för vilket syfte de behandlas, vilken spridning de har fått eller riskerar att få, samt vad behandlingen kan leda till. Personuppgiftslagen innehåller i 3 § en rad definitioner av olika begrepp som används i lagen. Med behandling avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, exempelvis insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Lagen gäller inte för sådan behandling av personuppgifter som en fysisk person utför som ett led i verksamhet av rent privat natur (6 §). Bestämmelserna i lagen tillämpas inte i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen och yttrandefrihetsgrundlagen (7 §). Vid behandling av personuppgifter för journalistiska ändamål är i praktiken bara de bestämmelser i lagen som rör säkerheten vid behandling tillämpliga. Bestämmelserna i lagen ska som nämnts tidigare inte heller tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet att lämna ut personuppgifter enligt 2 kap. TF, dvs. inom ramen för principen om allmänna handlingars offentlighet (8 §). De hindrar inte heller att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Personuppgiftslagen innehåller vissa grundläggande krav på behandlingen av personuppgifter (9 §). Personuppgifter ska behandlas bara om det är lagligt och de ska alltid behandlas på ett korrekt sätt och i enlighet med god sed. Personuppgifter ska samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. De får inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. De personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Inte heller får fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Uppgifter som behandlas ska därutöver vara riktiga och, om det är nödvändigt, aktuella. Alla rimliga åtgärder ska vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen. Personuppgifter får inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Särregler finns för behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål. I 10 § PUL anges vilka krav som i allmänhet måste vara uppfyllda för att behandling av personuppgifter ska vara tillåten. Som huvudregel gäller att behandling av personuppgifter är tillåten bara om den registrerade har lämnat sitt samtycke till behandlingen. Har så inte skett får behandling ändå ske om den är nödvändig för att ett avtal med den registrerade ska kunna fullgöras eller åtgärder som den registrerade begärt ska kunna vidtas innan ett avtal träffas, den personuppgiftsansvarige ska kunna fullgöra en rättslig skyldighet, vitala intressen för den registrerade ska kunna skyddas, en arbetsuppgift av allmänt intresse ska kunna utföras, den personuppgiftsansvarige eller en tredje man till vilken personuppgifter ska lämnas ut ska kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifter lämnas ut ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot den personliga integriteten. Enligt huvudregeln är det förbjudet att behandla känsliga personuppgifter. Med känsliga personuppgifter avses uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i en fackförening eller uppgifter som rör hälsa eller sexualliv (13 §). Om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna är en behandling av känsliga personuppgifter tillåten (15 §). Andra fall där undantag från huvudregeln medges regleras i 16–19 §§ PUL. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om ytterligare undantag från förbudet att behandla känsliga personuppgifter, om det behövs med hänsyn till ett viktigt allmänt intresse (20 §). Uppgifter om lagöverträdelser och behandling av personnummer och samordningsnummer regleras särskilt. Kraven på att uppgifter om personnummer utan samtycke får behandlas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av säker identifiering eller något annat beaktansvärt skäl (22 §) har prövats av Datainspektionen bl.a. beträffande elevregister, se Datainspektionens beslut i ärende dnr 1596-93, i ärende dnr 2387-93 och i ärende dnr 7241- 939. Behandlingen av personuppgifter i lagen bygger i hög grad på information till de registrerade. Det finns vidare bestämmelser om säkerheten vid behandlingen och om rättelse av felaktiga uppgifter. Företag, myndigheter, föreningar och andra kan utse personuppgifts- ombud som självständigt kontrollerar att personuppgifter behandlas korrekt inom verksamheten. Det är Datainspektionen som utövar tillsyn på området. Bestämmelser om tillsynsmyndighetens befogenheter finns i 43–47 §§ PUL. Personuppgiftsansvarig kan bli skadeståndskyldig för sådan skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med personuppgiftslagen har orsakat (48 §). Vidare kan den som uppsåtligen eller av grov oaktsamhet gör sig skyldig till vissa förfaranden dömas till böter eller fängelse (49 §). 2.2.5Datainspektionens kartläggning av hur personuppgifter hanteras i skolorna Vid en omfattande kartläggning konstaterar Datainspektionen stora brister i hur personuppgifter hanteras i skolorna. Vanliga fel som begås på skolorna är att kontroll saknas över om och hur uppgifter om elever gallras från IT-systemen, att känsliga personuppgifter registreras utan samtycke och att IT-system kan nås via Internet utan tillräckligt hög säkerhet. Vidare uppmärksammas att de saknas regler och instruktioner för vad som får skrivas i fritextfält. Utan sådana riktlinjer som bland annat beskriver hur värderande omdömen om elever ska formuleras är det enligt Datainspektionen lätt hänt att det i fritextfälten registreras kränkande omdömen och känsliga personuppgifter. Vid en tidigare granskning av skolorna användes IT- system i mycket begränsad omfattning. Vid kartläggningen konstateras att skolor använder centrala IT-system inte bara för vanlig elevadministration, utan också för att hantera uppgifter om sjukdom, frånvaro, betyg och individuella utvecklingsplaner. För att komma tillrätta med de vanligaste bristerna har Datainspektionen tagit fram en särskild checklista för skolor som använder sig av IT- stöd i elevadministrationen. Det är skolans huvudman som har det yttersta ansvaret enligt personuppgiftslagen för hur personuppgifter behandlas. I listan behandlas särskilt användning av fritextfält. Om ett IT-system som behandlar personuppgifter innehåller fritextfält måste det finnas tydliga skriftliga instruktioner till användarna om vad som får skrivas där. Detta gäller oavsett om elever och vårdnadshavare eller bara lärare kan skriva i fritextfältet. Instruktionerna bör exempelvis ange hur värderande omdömen om eleven ska formuleras och att kränkande uttalanden inte är tillåtna. behandlas också vissa frågor om närvarorapportering. Om det vid närvarorapportering registreras att eleven är sjuk måste vårdnadshavarens eller elevens samtycke till registreringen inhämtas. Detta gäller även om inga symptom eller diagnoser registreras. Utan samtycke får skolan bara registrera att eleven haft ogiltig frånvaro eller liknande. Om skolans IT-system är tillgängligt via Internet och systemet innehåller integritetskänsliga uppgifter krävs särskilt god IT-säkerhet. Skolan måste försäkra sig om att det verkligen är rätt personer som får åtkomst till uppgifterna och att överföringen sker på ett säkert sätt. Skolan måste använda sig av s.k. stark autentisering (exempelvis engångslösenord eller e-legitimation) och uppgifterna måste förses med krypteringsskydd vid överföringen. Med integritetskänsliga uppgifter avses känsliga uppgifter enligt 13 § PUL och uppgifter som omfattas av sekretess eller rör den enskildes personliga förhållanden. En annan fråga som behandlas är vilka lärare som får ta del av personuppgifterna som registrerats om eleverna. Bara lärare som behöver personuppgifterna i sitt arbete får ta del av dem. Skolan måste införa begränsningar i läs- och skrivmöjligheterna i sina IT-system. Det anges att det ofta är lämpligt att både ha interna skriftliga regler i skolan för vilken anställd som får läsa vad och att införa tekniska begränsningar av läs- och skrivmöjligheterna. Frågan om behörighet inom skolhälsovården tas upp särskilt. Inom skolhälsovården gäller mycket stränga krav på att bara den som deltar i vården av eleven eller av annat skäl behöver uppgifterna för sitt arbete inom hälso- och sjukvården ska kunna ta del av uppgifter om en patient. Skolan har ansvar för att det inte finns möjlighet för obehöriga att ta del av uppgifter i skolhälsovårdens elektroniska journalsystem. Datainspektionen gjorde 2009 en uppföljning av den kartläggning som utfördes och kunde konstatera att det fortfarande finns brister i hur skolorna hanterar personuppgifter om elever och föräldrar i sina IT-system. Brister som uppmärksammas avser dock främst bevarande och gallring av personuppgifter. 2.2.6Samråd om webbaserat verksamhetsstöd till stads grundskolor Datainspektionen har lämnat vägledning i vissa frågor som rör det webbaserade verksamhetsstöd som finns till stads grundskolor. I vägledningen uttalas följande beträffande frånvaroregistre- Kraven på adekvans och relevans i personuppgiftslagen innebär att uppgifter som skrivs in endast får beröra frågor som skolan behöver i samband med att en elev är frånvarande. En adekvat uppgift och relevant uppgift skulle kunna vara uppgift att frånvaron har godkänts av vårdnadshavare eller lärare, eller att frånvaron är giltig av annat skäl. Däremot bör uppgifter om läkarbesök och sjukdom vanligen inte behövas för att kunna bedöma om frånvaron är giltig. Om fritextfält används måste skriftliga instruktioner ges om vilka uppgifter som är relevanta att lämna och vilka sekretessregler som gäller. Datainspektionen anmärker att skälen till elevens frånvaro i vissa fall även kan omfattas av sekretess gentemot vårdnadshavaren. Enligt Datainspektionen är ett begränsat antal standardiserade kommentarer till frånvaron i jämförelse med användning av fritextfält en bättre garanti för att inga inadekvata eller irrelevanta uppgifter behandlas. I vägledningen tas också upp behandlingen av personuppgifter i åtgärdsprogram och individuella utvecklingsplaner.