sou · H0B390 · 2013-01-01 00:00:00 — I t.ex. 4 § i studiestödsdatalagen (2009:287) ges en uttömmande uppräkning av för vilka ändamål personuppgifter får behandlas i Centrala studiestödsverksamhet, t.ex. för att handlägga ärenden i verksamheten. En sådan bestämmelse innebär en rättslig begränsning för att behandla personuppgifter för andra än de i bestämmelsen angivna ändamålen. Begränsningen torde även slå igenom i det fall i sin verksamhet har tillgång till uppgifter hos annan myndighet via direktåtkomst, dvs. nämnden får inte heller i sin verksamhet behandla personuppgifter som är tillgängliga via direktåtkomsten i andra fall än som följer av 4 §. Ett annat exempel på en rättslig begränsning som avses innefattas i vad en myndighet enligt lag eller förordning inte får behandla är 1 kap. 6 § lagen (2001:182) om behandling av personuppgifter i folkbokföringsverksamhet. Av bestämmelsen följer att känsliga personuppgifter som anges i 13 § personuppgiftslagen och uppgifter om lagöverträdelser m.m. som anges i 21 § samma lag får behandlas endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Om sådana känsliga personuppgifter skulle vara tillgängliga för folkbokföringsverksamhet via direktåtkomst hos en annan myndighet eller annan självständig verksamhet inom men inte har lämnats i ett ärende eller är nödvändiga för handläggningen av det torde bestämmelsen innebära en rättslig begränsning för folkbokföringsverksamhet att nyttja direktåtkomsten för att behandla uppgiften, dvs. myndigheten får enligt lag inte behandla en sådan uppgift. Bedömningen av om bestämmelsen innebär en sådan rättslig begränsning som vi avser med vad en mottagarmyndighet enligt lag eller förordning inte får behandla och om uppgiften alltså ska anses vara överskottsinformation och därmed åtnjuta lägst det sekretesskydd den har hos värdmyndigheten kan komma att förändras . Gränsen för när en sådan känslig personuppgift ska anses som överskottsinformation blir i dessa fall till viss del flytande beroende på om personuppgiften med tiden blir nödvändig för Sekretessregleringen av överskottsinformation vid direktåtkomst handläggningen av ett ärende. Gränsdragningen för när uppgiften får behandlas eller inte får behandlas är dock förutsebar eftersom de förutsättningar som måste vara uppfyllda är angivna i lag, dvs. i 1 kap. 6 § lagen om behandling av personuppgifter i folkbokföringsverksamhet. I avsnitt 8.4.1 har vi beskrivit problematiken med att svagare sekretess, beroende på räckvidden i kassans sekretessbestämmelse, skulle få företräde framför starkare sekretess avseende sådana uppgifter i verksamhetsregister som visserligen hade tillgång till via direktåtkomst men som den inte använde i sin registreringsverksamhet. En tillämpning av den av oss nu föreslagna ändringen tillsammans med att det i den registerförfattning som är tillämplig för infördes en rättslig begränsning innebärande att i sin registreringsverksamhet endast får behandla personuppgifter som är nödvändiga för verksamhetens bedrivande kommer att medföra att svagare sekretess inte längre har företräde framför den från överförda och starkare sekretessen. I konkurrenssituationen mellan de båda sekretessbestämmelserna kommer i stället huvudregeln i 7 kap. 3 § OSL att vara tillämplig innebärande att sekretesskyddet för uppgifterna inte försvagas alldeles oavsett de inre tekniska spärrarna inom mellan handläggare och datateknikerna. För ett bibehållet sekretesskydd gentemot allmänheten kommer således inte längre att behöva uppställas krav på tekniska spärrar inom mottagarmyndigheter. Det är emellertid en annan sak att sådana tekniska spärrar kan behövas för att skydda uppgifterna från en onödig tillgänglighet för en vid krets av befattningshavare hos en mottagarmyndighet. Utgångspunkten bör enligt vår mening vara att samtliga slag av begränsningar som finns intagna i lagar eller förordningar, således inte endast i registerförfattningar, och som innebär att en mottagarmyndighet inte får behandla en uppgift via direktåtkomst ska beaktas vid avgränsningen av vad som är överskottsinformation. Även regleringen i personuppgiftslagen avseende t.ex. känsliga personuppgifter ska kunna få genomslag när det gäller vilken sekretessbestämmelse – en mottagarmyndighets primära sekretessbestämmelse eller den från värdmyndigheten överförda sekretessen – som är tillämplig i en konkurrenssituation. Ytterst blir det en fråga för varje myndighet att avgöra vad som ska anses vara en sådan begränsning som innebär att myndigheten enligt lag eller förordning Sekretessregleringen av överskottsinformation vid direktåtkomst inte får behandla en uppgift som den har tillgång till via direktåtkomst hos en annan myndighet. Det bör emellertid endast vara klara och uttryckliga hinder i en författning att behandla en uppgift som en mottagarmyndighet har direktåtkomst till som bör föranleda att regleringen om primära sekretessbestämmelsers företräde framför överförd sekretess ska frångås. 8.6.4Bör utredningens kommande arbete avvaktas? Räckvidden av en justering av 11 kap. 8 § OSL av nu diskuterat slag är alltså beroende av i vilken mån det faktiskt finns sådana begränsningar i lagar eller förordningar som är tillämpliga för mottagarmyndigheter och att dessa även omfattar uppgifter som myndigheten har direktåtkomst till hos en annan myndighet. Vi har ännu inte gjort någon översikt av befintliga registerförfattningar. Vi kan alltså inte att med visshet fastslå vilken räckvidd den nu diskuterade ändringen i 11 kap. 8 § OSL får. Vi har dock vid analysen av innebörden av bestämmelserna i 11 kap. 4 och 8 §§ OSL konstaterat att det finns en risk att sekretesskyddet för uppgifter som en mottagarmyndighet har direktåtkomst till men som mottagarmyndigheten enligt lag eller förordning inte får behandla omotiverat kan försvagas hos mottagarmyndigheten. Mot denna bakgrund är en justering redan nu angelägen. Som anförts tidigare kommer, i vår översyn och analys av registerförfattningarna som ingår i vårt återstående uppdrag, strukturen för ändamålsbestämmelser, informationsutbyten mellan myndigheter och samordningen med såväl tryckfrihetsförordningen som offentlighets- och sekretesslagen att vara centrala frågeställningar att behandla ingående. Det innebär att utredningen kan komma att behöva utvärdera befintliga bestämmelser i offentlighets- och sekretesslagen vilket givetvis även skulle inbegripa en bestämmelse med den nu föreslagna justeringen. Det finns således inte skäl att avvakta med en justering av 11 kap. 8 § OSL till dess innan vi har slutfört vårt återstående uppdrag. 9Begreppsbildningen i registerförfattningarna vad avser olika former av elektroniskt utlämnande Av våra direktiv följer att vi i delbetänkandet ska behandla frågan om det finns skäl att i registerförfattningarna även fortsättningsvis bibehålla åtskillnaden mellan olika former av elektroniskt utlämnande. Enligt direktiven är bakgrunden till frågeställningen att den tekniska utvecklingen har inneburit att det numera finns betydligt fler sätt att överföra uppgifter elektroniskt än tidigare och att nya åtkomstmetoder tillkommer fortlöpande. Detta har medfört att det har kommit att uppfattas som oklart hur begreppen direktåtkomst och utlämnande på medium för automatiserad behandling ska tillämpas på modernare metoder för informationsutbyte. De aktuella begreppen används inte på ett enhetligt sätt i de olika registerförfattningarna och det förekommer även andra begrepp för elektroniskt utlämnande i dessa författningar. Utredningen har därför i uppgift att överväga om det finns skäl att i registerförfattningar bibehålla åtskillnaden mellan olika former av elektroniskt utlämnande eller om denna bör utmönstras. Denna frågeställning handlar alltså inte om huruvida ett utlämnande i sig ska vara tillåtet eller inte och inte heller om det bör föreligga en skyldighet att lämna ut allmänna handlingar i elektronisk form. Vad frågan gäller är enbart om, och i sådant fall hur, olika elektroniska utlämnandeformer bör regleras i registerförfattningarna och vilka begrepp som i så fall ska användas. 9.2Något om begreppsanvändningen när det gäller elektroniska utlämnandeformer Uppgifter kan lämnas ut elektroniskt även på andra sätt än genom direktåtkomst. I registerförfattningarna brukar begreppet utlämnande på medium för automatiserad behandling användas. Det förekommer även i vissa lagar andra begrepp t.ex. elektronisk åtkomst och direkt tillgång. Några legaldefinitioner av dessa begrepp finns inte. Vad som i respektive fall har avsetts med de använda begreppen har brukat anges närmare i motivuttalanden till olika registerförfattningar. Med direktåtkomst, tidigare kallat terminalåtkomst, avses vanligtvis att någon har direkt tillgång till någon annans register eller databas och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen (se bl.a. prop. 2009/10:85 s. 168). I begreppet ligger också att den som är personuppgiftsansvarig för registret eller databasen inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst söktillfälle tar del av (jfr prop. 2004/05:164 s. 83 och prop. 2011/12:45 s. 133). Med begreppet utlämnande på medium för automatiserad behandling, tidigare kallat utlämnande på medium för automatisk databehandling, avses vanligen ett överlämnande av elektroniskt lagrade uppgifter via något slags medium för lagring eller överföring, exempelvis e-post, USB-minne, CD-romskiva eller diskett. Som regel innefattar denna typ av utlämnande att informationen lämnas ut i en form som medför att mottagaren kan bearbeta informationen (prop. 2007/08:126 s. 77). Begreppet utlämnande på medium för automatiserad behandling har dock i takt med att tekniken utvecklats ibland givits en vidare innebörd. I förarbetsuttalanden har som exempel på sådant utlämnande t.ex. pekats på s.k. batch-körningar, ett automatiskt utlämnande efter sökningar och sammanställningar där svar lämnas med viss tidsfördröjning (prop. 2000/01:129 s. 76 och prop. 2007/08:160 s. 60). Den fördröjning i uppgiftslämnandet som är inbyggd i en sådan teknik innebär en teoretisk möjlighet för utlämnaren att kontrollera vilken information som ska lämnas ut. En eventuell sekretessprövning, eller en prövning av vilka uppgifter som omfattas av en författningsreglerad uppgiftsskyldighet och därmed ska lämnas ut utan någon sekretessprövning, sker dock i praktiken i samband med att förbindelsen upprättas. Någon ytterligare prövning av uppgifterna i samband med utlämnandet sker alltså i realiteten inte (prop. 2007/08:160 s. 58). Vidare förekommer särskilda begrepp i vissa lagar. I patientdatalagen (2008:355) används begreppet elektronisk åtkomst avseende åtkomst eller tillgång till uppgifter som behandlas elektroniskt inom den egna organisationen. anförde i sitt betänkande (SOU 2006:82) att sådan intern tillgång som i den då gällande vårdregisterlagen benämndes med begreppet direktåtkomst, i fortsättningen borde benämnas elektronisk åtkomst. Med begreppet direktåtkomst avsåg utredningen endast en speciell form av elektroniskt utlämnande (a. a. s. 221). Regeringen ansåg inte, till skillnad från några av remissinstanserna, att det låg någon inre motsättning i att använda begreppen direktåtkomst och elektronisk åtkomst parallellt. Det förra beskriver enligt uttalanden i förarbetena till patientdatalagen endast ett sätt för utlämnande, medan det senare uteslutande beskriver ett sätt att få tillgång till handlingar inom en organisation (prop. 2007/08:126 s. 75). I lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet görs en liknande differentiering avseende den interna direktåtkomsten inom myndigheten och den externa direktåtkomsten från t.ex. andra myndigheter. I stället för elektronisk åtkomst används dock i denna lag begreppet direkt tillgång. 9.2.2Gränsdragningen mellan olika begrepp I ett antal registerförfattningar görs alltså åtskillnad mellan direktåtkomst och utlämnande på medium för automatiserad behandling. Detta torde till viss del ha historiska förklaringar. När begreppen började användas i lagstiftningen fanns det en tydlig saklig och praktisk skillnad. Terminalåtkomst – åtkomst via en datorterminal – och utlämnande på medium för automatisk databehandling – dvs. utlämnande på någon form av fysiskt medium, t.ex. på magnetband, var uppenbarligen i någon mån väsensskilda företeelser. Men genom informationsteknikens utveckling har gränserna mellan de olika utlämnandeformerna emellertid kommit att bli svårare att dra. Denna gränsdragningsproblematik har behandlats vid ett antal tillfällen i samband med lagstiftning på registerförfattningsområdet (se t.ex. prop. 2002/03:135 s. 89, SOU 2006:82 s. 221 f., prop. 2007/08:160 s. 58 och prop. 2011/12:45 s. 132). har bl.a. förts om vad som ska vara avgörande för om formen för ett utlämnande är att betrakta som direktåtkomst eller som utlämnande på medium för automatiserad behandling. Det har då t.ex. resonerats kring om det utslagsgivande bör vara hur ett elektroniskt informationsutbyte rent tekniskt är utformat eller om det avgörande bör vara om värdmyndigheten vid varje givet överföringstillfälle vidtar någon aktivitet som kan jämställas med ett beslut om överföring – i förekommande fall inkluderande en sekretessprövning – avseende den information som mottagaren i det enskilda fallet får del av. Den aktuella gränsdragningsproblematiken berörs vidare i en rapport, Direktåtkomst och utlämnande på medium för automatiserad behandling, som på uppdrag av E-delegationen tagits fram av delegationens expertgrupp för juridiska frågor. I rapporten konstateras att det för tillämpningen av registerförfattningar finns ett behov av att klarlägga vad som enligt gällande rätt menas med direktåtkomst och var gränsen går mot utlämnande på medium för automatiserad behandling. Regeringen har vid ett antal tillfällen i olika motivuttalanden konstaterat att begreppsbildningen avseende olika former av elektroniskt utlämnande i registerförfattningar är oklar, att mycket står att vinna med en mer enhetlig och tydlig begreppsbildning men att frågan inte bör lösas inom ramen för ett enskilt lagstiftningsärende. Lagstiftaren har således fortsatt att i de olika registerförfattningarna göra åtskillnad mellan direktåtkomst och utlämnande på medium för automatiserad behandling. 9.3Närmare om den befintliga regleringen av elektroniska utlämnandeformer I registerförfattningarna finns det alltså ofta, men inte alltid, bestämmelser om direktåtkomst och eller utlämnande på medium för automatiserad behandling. Bestämmelser om elektroniskt utlämnande i form av direktåtkomst har inte en enhetlig utformning utan förekommer i olika varianter som författningstekniskt skiljer sig från varandra. Grovt sett kan det sägas finnas tre kategorier. Den första kategorin är registerförfattningar i vilka det ges en uttömmande beskrivning av i vilka fall direktåtkomst medges. Ett exempel är t.ex. 5 kap. 4 § patientdatalagen vari stadgas att utlämnande genom direktåtkomst till personuppgifter är tillåten endast i den utsträckning som anges i lag eller förordning. I andra registerförfattningar föreskrivs i vilka fall direktåtkomst får medges. Exempel på denna teknik finns t.ex. i 2 kap. 8 § lagen om behandling av uppgifter i beskattningsverksamhet. I den paragrafen anges bl.a. att får ha direktåtkomst till vissa i bestämmelsen angivna uppgifter. En tredje kategori är registerförfattningar som innefattar en beskrivning i vilka fall direktåtkomst inte får medges, t.ex. 24 § förordningen (2001:637) om behandling av personuppgifter inom jämfört med 11 § lagen (2001:454) om behandling av personuppgifter inom varav följer att i verksamhet som avses i lagen (2007:606) om utredningar avseende vissa dödsfall inte får medge andra myndigheter eller enskilda direktåtkomst till personuppgifter. Den författningsteknik som bl.a. används i patientdatalagen, dvs. att begränsa möjligheten till direktåtkomst genom att uppställa krav på att all direktåtkomst till behandlade personuppgifter ska ha författningsstöd, stämmer väl överens med regleringen i personuppgiftslagen eftersom det där inte finns något uttryckligt förbud mot elektroniskt utlämnande i form av t.ex. direktåtkomst. Även den teknik som används när det i registerförfattningen redogörs för i vilka fall direktåtkomst inte får medges innebär en begränsning av möjligheten att medge en annan myndighet direktåtkomst och harmoniserar med regleringstekniken i personuppgiftslagen i så måtto att den inte synes utgå från något slags förbud. Den författningsteknik som innebär att det i registerförfattningar anges vilka myndigheter som får ha direktåtkomst till en annan myndighets informationssamlingar skiljer sig däremot från de båda andra alternativen på så sätt att den i stället för att begränsa möjligheten till direktåtkomst talar om när direktåtkomst får medges. Den författningstekniken ger ett intryck av att utgångspunkten är att det finns ett generellt underliggande förbud mot att medge direktåtkomst, vilket alltså inte är fallet. När det gäller regler om möjligheterna till utlämnande på medium för automatiserad behandling hanteras även detta på olika sätt i registerförfattningarna. I vissa författningar är det uttryckligen reglerat att utlämnande får göras i denna form, se t.ex. 5 kap. 6 § patientdatalagen. I andra författningar kan frågan ha lämnats oreglerad medan det av motivuttalanden framgår att avsikten är att sådant utlämnande ska få ske, se t.ex. prop. 2000/01:33 s. 112 beträffande utlämnande av uppgifter från beskattningsdatabasen till andra Slutligen förekommer det i vissa författningar att det anges att just personuppgifter inte får lämnas ut på medium för automatiserad behandling, t.ex. 7 § lagen (2006:444) om passagerarregister. I de fall utlämnande på medium för automatiserad behandling är reglerad i en registerförfattning kan möjligheterna att nyttja denna utlämnandeform vara förenad med begränsningar, se t.ex. 2 kap. 20 § polisdatalagen (2010:361). Av den paragrafen följer att bara enstaka personuppgifter får lämnas ut på medium för automatiserad behandling om inte regeringen meddelat föreskrifter om att uppgifter får lämnas ut på sådant medium även i andra fall. 9.4Allmänna förutsättningar för fortsatta överväganden Registerförfattningarna är sektors- eller myndighetsspecifika regleringar om databehandling av personuppgifter. Att det allmänna registrerar personuppgifter om enskilda innebär inget åliggande för den enskilde och har inte heller ansetts som ett ingrepp i enskildas personliga förhållanden i den mening som avses i 8 kap. 2 § första stycket 2 RF. Registerförfattningarna har därmed inte krävt lagform utan i princip hört till regeringens s.k. primärområde och således kunnat regleras i förordningsform. I vart fall års ändringar av regeringsformen har det alltså inte funnits något krav på att ett utlämnande via direktåtkomst eller annat liknande elektroniskt utlämnande måste ha stöd i lag. Inte heller har det funnits något formellt krav på annat författningsstöd. har emellertid uttalat att de integritetsrisker som ett tillåtande av direktåtkomst innebär bör medföra att det bör ankomma på att ta ställning till i vilka fall direktåtkomst bör medges. Vilka konkreta uppgifter som ska kunna utbytas bör dock i förekommande fall kunna anges i förordning (prop. 2000/01:33 s. 133 och 2001/02:KU3). Beträffande registerförfattningarna har emellertid grundlagsändringar medfört att utgångspunkten i viss mån har blivit en annan. I 2 kap. 6 § andra stycket RF föreskrivs numera att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Syftet med bestämmelsen är att stärka grundlagsskyddet för vissa kvalificerade intrång i den personliga integriteten, dvs. sådana som innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Sådana intrång som i och för sig kan anses omfattas av bestämmelsen men som den enskilde lämnat sitt samtycke till faller utanför bestämmelsens tillämpningsområde. Grundlagsskyddet består i att en begränsning av det skydd som bestämmelsen föreskriver endast får göras i form av lag och under de förutsättningar som anges 2 kap. 21–22 §§ RF. Det har förutsatts att den nya lydelsen av paragrafen kommer att leda till att ett antal registerförfattningar som har förordningsform kommer att behöva ges lagform (prop. 2009/10:80 s. 242 f.). En särskild fråga som det finns anledning att ställa sig i det nu aktuella sammanhanget är om och i sådant fall i vilken mån själva formen för ett elektroniskt utlämnande av en personuppgift omfattas av bestämmelsens tillämpningsområde, dvs. om t.ex. direktåtkomst numera generellt skulle kräva stöd i lag. – på vars förslag den nu aktuella regeln är baserad – anförde i sitt slutbetänkande Skyddet för den personliga integriteten Bedömningar och förslag att det kompletterande grundlagsskyddet för den enskildes personliga integritet borde ta sikte på åtgärder från det allmännas sida som innebär att man av olika skäl hämtar och samlar information om den enskilde (SOU 2008:3 s. 267). Kommittén anförde följande när det gäller vilka slags hanteringar av personuppgifter som skulle komma att omfattas bestämmelsens lagkrav (a. a. s. 272 f.) När det gäller hantering av personuppgifter i de informationssamlingar som kommer att omfattas av det utvidgade grundlagsskyddet är det självfallet så att inte alla led i hanteringen är att betrakta som sådana intrång som behöver omfattas av de särskilda förutsättningar som gäller för att intrång i den grundlagsskyddade rättigheten skall vara tillåtet. De från integritetsskyddssynpunkt viktigaste momenten i hanteringen handlar om hur uppgifter om enskilda får samlas in, ändamålet med behandlingen och i vilken utsträckning uppgifter på grund av uppgiftsskyldighet, som alltså bryter sekretess som gäller för uppgifterna, skall lämnas ut till andra för samkörning med uppgifter i andra myndighetsregister eller av andra skäl. --- I vilken utsträckning andra moment i hanteringen av personuppgifter bör regleras i form av lag eller genom en förordning får sålunda avgöras utifrån de allmänt gällande reglerna om normgivning i 8 kap. RF. I motiven till ändringar av regeringsformen, genom vilka bl.a. den nu aktuella bestämmelsen alltså infördes, uttalas att en åtgärd från det allmännas sida som vidtas primärt i syfte att ge myndigheterna underlag för beslutsfattande i enskilda fall, t.ex. insamling av uppgifter av visst slag för beslut om t.ex. beskattning eller liknande kan i många fall anses innebära kartläggning av enskildas förhållanden (prop. 2009/10:80 s. 180). Vidare konstateras i motiven att myndighetsspecifika verksamhetsregister och databaser med information som är knuten till en myndighets ärendehantering förekommer inom i stort sett all statlig och . I flertalet fall är uppgifterna tillgängliga för myndigheterna på sådant sätt att lagringen och behandlingen av uppgifterna kan sägas innebära att enskilda kartläggs, även om det huvudsakliga ändamålet med behandlingen är ett helt annat. Även för uppgiftssamlingar som inrättas och utformas i syfte att fungera som utpräglade personregister, t.ex. polisens belastningsregister, kan registreringen av personuppgifter i registret sägas innebära en kartläggning. De hanteringsformer eller personuppgiftsbehandlingar som avses falla in under bestämmelsen synes enligt förarbetena närmast vara insamling och registrering av personuppgifter. Likaså ändamålsbestämmelser och bestämmelser om uppgiftsskyldighet omfattas enligt förarbetena av bestämmelsens lagkrav.