sou · GYB34d2 · 2011-01-01 00:00:00 — Men utan sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen kan man aldrig neka sökanden att få ut allmänna handlingar med personuppgifter i form av pappersutskrifter. Det skulle obestridligen innebära en försämrad skyddsnivå sett från Överväganden och förslag – sekretessbestämmelsen persondataskyddssynpunkt om man inte kunde hindra massuttag av uppgifter i pappersform i en situation där det finns skäl att anta att massuttaget skulle resultera i en behandling i strid mot personuppgiftslagen. På samma sätt skulle det möjligen saknas ett adekvat skydd i de situationer då sökanden önskar få ut selekterade uppgifter, dvs. uppgifter som tar sikte på ett visst urval av personuppgifter, i pappersform och samma risk för lagstridig behandling föreligger. Möjligen skulle man kunna invända att personuppgiftslagens skadeståndsbestämmelse är tillräckligt effektiv som spärr mot otillåten behandling av personuppgifter. Måhända skulle det i detta sammanhang även finnas skäl att överväga det ovan redovisade förslaget från JO att låta beslutet om utlämnande innefatta en erinran om att det utlämnade materialet inte får behandlas i strid med de i viss utsträckning straffsanktionerade bestämmelserna i personuppgiftslagen. Men det kan konstateras att den aktuella sekretessregeln obestridligen fyller en viss, låt vara begränsad, funktion. Vidare måste man ta hänsyn till om det kan anses förenligt med kraven i det s.k. dataskyddsdirektivet att helt avskaffa sekretessen enligt 21 kap. 7 § offentlighets- och sekretesslagen. Av 8 § första stycket personuppgiftslagen följer att personuppgiftslagens bestämmelser inte ska tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter. Den svenska hållningen vid genomförandet av dataskyddsdirektivet var att offentlighetsprincipen och myndigheters skyldigheter att lämna ut allmänna handlingar inte ska tillåtas inskränkas genom dataskyddsdirektivets – och därmed personuppgiftslagens – bestämmelser. Vilken bedömning skulle göra om den frågan kom under domstolens prövning får sägas vara osäkert. Det kan emellertid inte uteslutas att det kan ha ett visst värde vid värnandet av den svenska offentlighetsprincipen att det föreligger sekretess för personuppgifter om det kan antas att den som får ut dem kommer att behandla dem i strid med personuppgiftslagen. Överväganden och förslag – sekretessbestämmelsen Bedömning: Enligt kommitténs mening fyller den aktuella sekretessregeln obestridligen en viss, låt vara begränsad, funktion. Kommitténs bedömning är att det inte är lämpligt att avskaffa sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen. Kommittén kan alltså huvudsakligen instämma i den kritik som i enlighet med vad som har beskrivits ovan har riktats mot den aktuella sekretessbestämmelsen. Kommittén bedömer att det – givet att det inte införs en generell regel om elektroniskt utlämnande – i flertalet fall av framställningar om att få ta del av personuppgifter skulle vara möjligt att upprätthålla ett adekvat skydd för enskildas personliga integritet även utan den aktuella sekretessbestämmelsen. Det står å andra sidan klart att bestämmelsen faktiskt fyller en viss funktion och att den därmed bidrar till att upprätthålla skyddet för personuppgifter. Om sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen inte längre gäller kan t.ex. massuttag av personuppgifter i pappersform aldrig stoppas om inte någon annan sekretessbestämmelse är tillämplig. Kommittén bedömer inte att det är realistiskt att ersätta den funktion som den nu aktuella sekretessbestämmelsen har genom en anpassning av det skydd som erbjuds genom övriga sekretessbestämmelser i offentlighets- och sekretesslagen. Inte heller är det tillräckligt att hänvisa till att personuppgiftslagen och dess straff- och skadeståndsbestämmelser sätter gränsen för behandling av personuppgifter, bl.a. mot bakgrund av att mycket få fall av missbruk förefaller beivras. Därtill kommer, som har påpekats ovan, att tillämpningen av sekretessbestämmelsen har klarnat något jämfört med hur situationen såg ut vid t.ex. OSEK:s utvärdering . De problem och oklarheter som hör samman med bestämmelsen har i viss mån haft sin grund i att lagstiftningen varit ny. Kommittén kan konstatera att något större klarhet kring tillämpningen förefaller råda . Vidare menar kommittén att förutsättningarna för en generös tillämpning av den regel om elektroniskt utlämnande som kommittén har föreslagit ska införas i offentlighets- och sekretess- Överväganden och förslag – sekretessbestämmelsen lagen kan antas öka om man behåller den nuvarande sekretessbestämmelsen. Bestämmelsen lägger ett slags grund för den lämplighetsbedömning som ska göras enligt kommitténs förslag och kan ha ett visst värde som vägledning. Kan man konstatera att bestämmelsen inte är tillämplig på ett visst utlämnande kan det antas att förutsättningarna för att detta kan ske elektroniskt ökar. Kommittén menar slutligen att det finns skäl att ifrågasätta lämpligheten av att helt avskaffa sekretessbestämmelsen av det skälet att det, som påpekats ovan, inte kan uteslutas att bestämmelsen kan ha ett visst värde vid värnandet av den svenska offentlighetsprincipen i förhållande till dataskyddsdirektivet och övrig EU-rätt på persondataområdet. Kommitténs slutsats är alltså att det i vart fall inte vore lämpligt för upprätthållandet av skyddet för den personliga integriteten att avskaffa sekretessbestämmelsen i 21 kap. 7 § personuppgiftslagen. Emellertid finns det enligt kommitténs bedömning anledning att på nytt överväga behovet av sekretessbestämmelsen efter att den genomgång av registerförfattningarna som kommittén förespråkar har genomförts. 9.5Hur kan sekretessbestämmelsen förtydligas? Bedömning: Kommittén bedömer inte att det är lämpligt att förändra sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen genom att t.ex. skärpa sekretessen, förtydliga vilken behandling som ska anses förenlig med personuppgiftslagen eller genom att skapa en sekretessbestämmelse enbart för utlämnande av uppgifter i elektronisk form. Kommittén har ovan konstaterat att övervägande skäl talar mot att nu föreslå att sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen ska upphävas. Kommittén ser det i stället som sin uppgift att utreda vilka möjligheter det finns att med bibehållande av sekretessbestämmelsen föreslå förändringar eller förtydliganden som åtminstone i viss mån kan avhjälpa några av de påtalade bristerna och oklarheterna. En möjlighet för att uppnå ökad förutsägbarhet vore att helt enkelt skärpa sekretessen enligt 21 kap. 7 § offentlighets- och sekretesslagen. En skärpning skulle kunna ske genom att möjlig- Överväganden och förslag – sekretessbestämmelsen heterna till utlämnande av personuppgifter inskränks till att endast avse någon som ska utföra en tillåten behandling enligt personuppgiftslagen eller som är undantagen från lagens bestämmelser. Förslaget har kort berörts av OSEK som emellertid framhöll att en sådan skärpning vore principiellt felaktigt. En skärpning av sekretessen i enlighet med ovan skulle enligt OSEK innebära att man i detta sammanhang formulerar en annan syn på vad som är ett otillbörligt integritetsintrång än vad som uttrycks i personuppgiftslagen. Kommittén kan endast instämma i de påpekanden som OSEK har gjort och därmed konstatera att en skärpning av sekretessbestämmelsen inte är att förorda. Ett annat alternativ att förändra sekretessbestämmelsen skulle vara att i bestämmelsen försöka förtydliga vilken behandling som ska anses förenlig med personuppgiftslagen. Även detta förslag berördes av OSEK som inte förespråkade en sådan ändring eftersom sådana förtydliganden oundvikligen kommer att utgöra en sorts tolkning av såväl personuppgiftslagens regler som bestämmelserna i dataskyddsdirektivet. OSEK påpekade att det finns en risk för att sådana förtydliganden kommer att innebära avvikelser från de tvingande reglerna i direktivet. Också här instämmer kommittén i de påpekanden som OSEK har gjort och konstaterar med detta att ett försök att förtydliga vilken behandling som ska anses förenlig med personuppgiftslagen i sekretessbestämmelsen inte heller är att förorda. Slutligen har kommittén övervägt möjligheten av att skapa en sekretessbestämmelse som tar sikte enbart på utlämnande av uppgifter i elektronisk form. Kommittén gör bedömningen att om man skulle införa en absolut skyldighet för myndigheter att lämna ut allmänna handlingar i elektronisk form, 21 kap. 7 § offentlighets- och sekretesslagen skulle behöva ersättas med en sekretessbestämmelse som träffar också utlämnanden av personuppgifter i elektronisk form i vissa situationer. Samma problem som är förknippade med bestämmelsen i dess nuvarande utformning – behovet av att veta sökandens identitet och syfte, behovet av att göra en förhandsprövning enligt personuppgiftslagen etc. – skulle dock kvarstå. Därtill förutsätter detta alternativ att det kan konstateras att det är obehövligt med sekretess till skydd för personuppgifter i de fall dessa lämnas ut i pappersform. Som har beskrivits ovan är detta inte kommitténs bedömning. Överväganden och förslag – sekretessbestämmelsen Kommittén slutsats blir således att det inte är lämpligt att försöka åstadkomma en tydligare reglering genom de nu diskuterade metoderna. 9.5.1Kommitténs förslag till förtydligande Bedömning och förslag: Sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen bör förtydligas så att det inte råder någon tvekan om att det bara är den prognos myndigheten kan göra beträffande sökandens efterföljande behandling som är relevant, inget annat. Bestämmelsen bör även förtydligas så att det framgår att myndigheten måste ha något skäl för att ställa frågor om den tilltänkta användningen av personuppgifterna. Endast sökandens efterföljande behandling är relevant I betänkandet Översyn av personuppgiftslagen (SOU 2004:6) föreslog att ordalydelsen i sekretessbestämmelsen skulle ändras bl.a. för att klargöra att det är sökandens efterföljande behandling av uppgifterna som ska bedömas i förhållande till personuppgiftslagen, inte den behandling som myndighetens utlämnande av uppgiften utgör (s. 255). I betänkandet anmärktes att en myndighet inte ska lämna ut personuppgifter om det på goda grunder kan misstänkas att mottagaren kommer att använda dem på ett enligt personuppgiftslagen olagligt sätt. Kommittén delar uppfattningen att bestämmelsens gällande ordalydelse ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen kan leda till tveksamhet om det är myndighetsutlämnandet eller den efterföljande behandlingen som avses. Att det är sökandens efterföljande behandling som avses – förutsatt att personuppgiftslagen alls gäller för sökandens behandling – är emellertid klart. Kommittén kan, som påpekats tidigare, konstatera att syftet med den aktuella sekretessbestämmelsen i grund och botten är att myndigheter inte ska tvingas att medverka till ett lagbrott i fall då mottagaren av uppgifterna kan antas komma att använda personuppgifterna på ett olagligt sätt. Som också noterades av är bestäm- Överväganden och förslag – sekretessbestämmelsen melsen inte tänkt att försvåra utfåendet av allmänna handlingar med personuppgifter för den som inte kommer att behandla personuppgifterna på ett sätt som omfattas av personuppgiftslagen eller som tänker följa den lagen vid behandlingen (SOU 2004:6 s. 255). Privatpersoner som vill behandla de utlämnade personuppgifterna i dator som ett led i en verksamhet av rent privat natur eller den som avser behandla personuppgifterna uteslutande för journalistiskt ändamål ska alltså inte hindras av sekretessbestämmelsen. För att tydligt markera att det är sökandens efterföljande behandling som ska bedömas i förhållande till personuppgiftslagen bör det alltså föreskrivas om sekretess för personuppgift om det kan förmodas att personuppgiften efter ett utlämnande kommer att behandlas i strid med personuppgiftslagen. föreslog även att sekretess enligt den ifrågavarande sekretessbestämmelsen skulle gälla för personuppgift om myndighetens utlämnande av uppgiften står i strid med bestämmelsen i 33 § personuppgiftslagen om överföring av personuppgifter till tredje land, dvs. ett land som inte är medlem i EU eller EES (SOU 2004:6 s. 259 ff.). I dessa fall skulle det således vara myndighetens utlämnande, och inte sökandens tilltänkta behandling efter utlämnandet, som skulle bedömas i förhållande till personuppgiftslagen. Utredningens bedömning var att för att förhindra att myndigheten efter ett åberopande av offentlighetsprincipen tvingas lämna ut en allmän handling med personuppgifter till tredje land utan en adekvat skyddsnivå för persondata, behövdes ett tillägg till den dåvarande sekretessbestämmelsen i 7 kap. 16 § sekretesslagen (se vidare avsnitt 6.3.1). Dock skulle enligt förslag uppgifter i allmänt register som enligt lag eller förordning är avsett att ge allmänheten information – t.ex. fastighetsregistret – inte vara sekretessbelagda enligt den aktuella sekretessbestämmelsen (SOU 2004:6 s. 261). Utredningen konstaterade att den outtalade avsikten verkar ha varit att de författningar som reglerar avsedda offentliga register ska innehålla nödvändiga föreskrifter om överföring till tredje land, men att så är dock som regel inte fallet i de registerförfattningar som utfärdats eller ändrats efter personuppgiftslagen. Överväganden och förslag – sekretessbestämmelsen Kommittén kan i och för sig instämma i bedömning att det inte bör vara möjligt att kringgå persondataskyddet genom att begära ut personuppgifter från ett tredje land som saknar ett adekvat persondataskydd. Genom EU- domstolens avgörande i det s.k. konfirmandlärarmålet (se vidare avsnitt 3.5.10) har det emellertid klarlagts att tillgängliggörande av information genom utläggning på Internet i de flesta fall inte innebär överföring till tredje land i dataskyddsdirektivets mening. Det anses i princip inte som en tredjelandsöverföring om uppgifterna publiceras på en webbplats på Internet och webbplatsen lagras hos en Internetleverantör som är etablerad inom EU. Kommittén bedömer därför att det saknas behov av en särreglering för att tillgodose myndigheternas egen informationsförsörjning. Det bör inte ses som överföring i strid med 33 § personuppgiftslagen om en myndighet lägger ut information från ett s.k. allmänt register på sin hemsida så länge den aktuella servern finns inom EU-området. Kommittén utgår från att så i regel bör vara fallet. Beträffande situationen att någon i ett tredje land utan en adekvat nivå på persondataskydd med stöd av offentlighetsprincipen önskar få ut en papperskopia av en allmänna handling noterar kommittén följande. På grund av att bestämmelserna i personuppgiftslagen inte ska tillämpas i den utsträckning det skulle strida mot 2 kap. tryckfrihetsförordningen (8 § första stycket personuppgiftslagen) kommer myndigheterna i dessa fall vara tvingade att lämna ut den efterfrågade handlingen, i strid med bestämmelsen i 33 § personuppgiftslagen. Kommittén kan emellertid konstatera att det inte är uppenbart att dataskyddsdirektivet kräver att denna fråga regleras genom en sekretessbestämmelse. Inte heller har kommittén fått några indikationer på att den nu beskrivna situationen skulle vara ett praktiskt förekommande problem. Mot bakgrund av att det är kommitténs bestämda uppfattning att nya sekretessbestämmelser bara ska införas om det finns ett påtaligt praktiskt behov, anser kommittén att det inte finns skäl att tynga en redan komplicerad reglering med ytterligare föreskrifter om sekretess. Beträffande farhågor om att myndigheter efter ett åberopande av offentlighetsprincipen tvingas lämna ut allmänna handlingar med personuppgifter till tredje land utan en adekvat skyddsnivå för persondata, bedömer kommittén att detta intresse ofta bör kunna tillgodoses inom ramen för den lämplighetsbedömning som ska föregå utlämnande av allmänna handlingar i elektronisk form. Överväganden och förslag – sekretessbestämmelsen bör t.ex. inte ske om det finns anledning att anta de begärda personuppgifterna kommer att överföras till ett tredje land som saknar ett adekvat skydd för personuppgifter. Utrymmet för att ställa frågor om sökandens identitet och syfte Kommittén noterar att det vid en diskussion kring tillämpningen av sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen är viktigt att skilja på å ena sidan prövningen av de faktorer som utlöser en bedömning av om bestämmelsen alls kan antas vara tillämplig och å andra sidan prövningen av om behandlingen kan antas ske i strid med personuppgiftslagen. Beträffande den senare frågan konstaterar kommittén att existensen av rättspraxis på området har skapat bättre förutsättningar för myndigheterna vid prövningen av om sekretess råder för personuppgifter med hänvisning till sekretessbestämmelsen. Därtill kommer att det är personuppgiftslagens regelverk som de facto styr vad som är en behandling i strid med den lagen och därmed avgör om sekretess ska gälla eller inte. Kommittén kan inte se att det finns förutsättningar att förtydliga sekretessbestämmelsen beträffande detta utan fokuserar på det första ledet nämligen vilka faktorer som utlöser en prövning av om sekretess är för handen. Enligt 2 kap. 14 § tredje stycket tryckfrihetsförordningen får myndigheten endast efterforska vem sökanden är och vilket syfte han eller hon har med sin begäran i den utsträckning det behövs för att myndigheten ska kunna pröva om det finns något hinder mot att handlingen lämnas ut. Mot bakgrund härav föreslog att sekretessbestämmelsen i dåvarande 7 kap. 16 § sekretesslagen skulle stramas upp genom att bestämmelsens skaderekvisit gavs lydelsen om det finns skäl att anta att uppgiften efter ett utlämnande kommer att behandlas i strid med personuppgiftslagen. Utredningens grunder för förslaget att skärpa skaderekvisitet genom att ändra lydelsen från om det kan antas till om det finns skäl att anta var att det genom den föreslagna formuleringen skulle bli tydligare att myndigheten måste ha något skäl för att ställa frågor om den tilltänkta användningen av uppgifterna. Ett sådant skäl skulle enligt utredningen kunna vara att uppgifter om väldigt många registrerade personer begärs utlämnade (SOU 2004:6 s. 255 ff.). Överväganden och förslag – sekretessbestämmelsen Som har beskrivits i avsnitt 6.3.2 möttes dock förslag om att omformulera sekretessregelns skaderekvisit av viss kritik från remissinstanserna. Bland annat anmärktes att man genom den föreslagna ändringen skulle införa en helt ny variant av rakt skaderekvisit, något som flera remissinstanser inte såg som önskvärt. Kommittén delar i och för sig bedömning beträffande behovet av att förtydliga sekretessbestämmelsen i ovan nämnt avseende. Det faktum att utformningen av en sekretessbestämmelses skaderekvisit får betydelse för frågan om när myndigheter får börja efterforska sökandens identitet och syfte har berörts tidigare. Sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen är försedd med vad som synes vara ett rakt skaderekvisit. Vid användningen av raka skaderekvisit ska normalt sekretessfrågan bedömas med utgångspunkt i arten av den uppgift som begärs utlämnad och inte baserat på vad som kan tänkas ske i det enskilda fallet efter ett utlämnande (prop. 1979/80:2 Del A s. 80 f.). På så sätt behöver i princip inte den till offentlighetsprincipen tillhörande grundsatsen att den som begär en uppgift hos en myndighet inte ska behöva legitimera sig eller tala om sitt syfte frångås. Visserligen står det klart att det förslag till omformulering av sekretessbestämmelsen som lade fram innebär ett avsteg från offentlighets- och sekretesslagens terminologi när det gäller formuleringen av skaderekvisit. Kommitténs uppfattning är dock att sekretessbestämmelsen i själva verket inte innehåller något egentligt skaderekvisit. Det rekvisit som gäller för sekretess är behandling i strid med personuppgiftslagen, oavsett om utlämnandet i sig medför någon konkret risk för skada eller inte. Eftersom den aktuella bestämmelsens skaderekvisit ska tillämpas på ett i förhållande till övriga sekretessregler speciellt sätt och att det i det enskilda fallet måste finnas konkreta skäl för att tro att en lagstridig behandling kommer ett ske, bör detta lämpligen markeras i lagtexten. Det bör därför föreskrivas att sekretess gäller för personuppgift om det finns skäl att anta att uppgiften efter ett utlämnande kommer att behandlas i strid med personuppgiftslagen. När det så närmare gäller det förhållandet att myndigheten måste ha något stöd för att få ställa frågor om den tilltänkta användningen av uppgifterna noterar kommittén följande. Överväganden och förslag – sekretessbestämmelsen Myndigheten får som en allmän utgångspunkt inte ställa mer ingående eller fler frågor än som behövs för att göra en sekretessbedömning. Det måste därmed för det första finnas någon konkret omständighet som gör att myndigheten alls ska få börja ställa frågor till sökanden. Kommittén har tidigare framhållit att syftet med den aktuella sekretessbestämmelsen i grund och botten är att myndigheter inte ska tvingas att medverka till ett lagbrott i fall då mottagaren av uppgifterna kan antas komma att använda personuppgifterna på ett olagligt sätt. har man i normalfallet ställt frågor redan när det varit frågan om en begäran om massuttag eller ett selekterat uttag av personuppgifter. Denna praxis härrör dock från då det krävdes tillstånd för att föra ett dataregister. Något sådant tillstånd krävs inte enligt personuppgiftslagen. Som kommittén tidigare nämnt (avsnitt 9.2.3) har vidare utrymmet för att behandla personuppgifter utan att personuppgiftslagen är tillämplig ökat. Därtill kommer att fler behandlingar är tillåtna enligt personuppgiftslagen än tidigare (jfr 5 a §). Som en konsekvens av detta och mot bakgrund av efterfrågeförbudet bör utrymmet att ställa frågor med anledning av 21 kap. 7 § offentlighets- och sekretesslagen vara mindre . Frågor bör således bara ställas när det av sökandens egna uppgifter framgår att det finns anledning att tro att han eller hon kommer att behandla uppgifterna på ett sätt som inte är förenligt med personuppgiftslagen eller att sökanden t.ex. önskar göra ett massuttag eller ett selekterat uttag av personuppgifter för vilka utrymmet för en behandling i enlighet med personuppgiftslagen är särskilt begränsat. Det sagda innebär alltså att det i normalfallet inte kan anses tillåtet att ställa frågor till sökanden om identitet eller syfte bara därför att personuppgifter i sig begärs utlämnade, och det även om begäran görs per e-post. Om sökandens redogörelse för den tänkta behandlingen inte ger stöd för annat än att behandlingen kommer att ske i enlighet med personuppgiftslagens reglering eller om sökanden invänder att den tänkta behandlingen av personuppgifter omfattas av något av undantagen i personuppgiftslagen (jfr 5 a §, 6 § eller 7 §) får detta normalt godtas, om det inte av övriga omständigheter framgår att invändningen är så osannolik att den kan lämnas utan avseende. I förarbetena till personuppgiftslagen anfördes att en invändning om att en behandling av personuppgifter avser sådant som är undantaget enligt 7 § samma lag får godtas, om det inte av omständigheterna framgår att invändningen är så osannolik att den Överväganden och förslag – sekretessbestämmelsen kan lämnas utan avseende (prop. 1997/98:44 s. 118). Uttalandet tog inte specifikt sikte på prövningen enligt 21 kap. 7 § offentlighets- och sekretesslagen, utan tycks ha gällt normkonflikter generellt mellan å ena sidan tryck- och yttrandefrihet och å andra sidan personuppgiftslagen.