sou · H0B390 · 2013-01-01 00:00:00 — Som redan tidigare framhållits, se avsnitt 6.1.2, ingår det i vårt fortsatta uppdrag att överväga om sökförbud i värdmyndighetens registerförfattning ska gälla också för en mottagarmyndighet som har direktåtkomst. Vi återkommer alltså till frågeställningen i vårt slutbetänkande. Liknande frågeställningar uppstår då det anges att direktåtkomst får förekomma om det behövs för vissa för värdmyndigheten föreskrivna ändamål om att personuppgifter får behandlas för att tillhandahålla annan myndighet uppgifter i vissa avseenden, se t.ex. 12 § lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten och 2 kap. 8 § lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet. I motiven till sådana bestämmelser brukar anges att dessa måste kompletteras med sekretessbrytande bestämmelser som avser alla uppgifter som tekniskt görs tillgängliga för mottagarmyndigheten (se t.ex. prop. 2007/08:160 s. 70 f). De uppgifter som utgör överskottsinformation omfattas alltså inte alltid av regleringen kring direktåtkomsten, vilket kan leda till tolkningsproblem i sig. Visserligen finns fall där mottagarmyndigheten omfattas av samma registerförfattning som värdmyndigheten och där det finns avgränsade men villkorade sökbegränsningar som en mottagande myndighet måste följa då en direktåtkomst används. Likaså finns ofta i EU-rättsakter och internationella avtal tydliga regler och angivna förutsättningar som begränsar svenska myndigheters rätt att behandla tillgängliga uppgifter i utländska eller internationella databaser. Men bortsett från sådana fall är det alltså mottagarmyndighetens registerförfattning som normalt torde få vara utgångspunkten för bedömningen av vilken räckvidd en ny begränsningsregel skulle få hos en mottagarmyndighet. Det är nämligen där som det i första hand finns bestämmelser som är direkt bindande för mottagarmyndigheten. Om mottagarmyndigheternas registerförfattningar skulle bli avgörande för en ny begränsningsregels räckvidd, torde det innebära att tillämpningsområdet för ett undantag inte borde vara begränsat Överskottsinformation vid direktåtkomst – våra överväganden till sådan direktåtkomst som reglerats särskilt genom uttryckliga bestämmelser som tillåter värdmyndighet att ge eller mottagarmyndighet att få direktåtkomst. Även i det avseendet oreglerad direktåtkomst borde kunna omfattas förutsatt att det finns regler i registerförfattning eller motsvarande som utgör rättsliga begränsningar som kan bli tillämpliga i fråga om en mottagarmyndighets personuppgiftsbehandling genom användning av direktåtkomst, t.ex. absoluta eller villkorade sökbegränsningar. Det är däremot tveksamt i vilken mån mottagarmyndigheter vars personuppgiftsbehandling inklusive direktåtkomst enbart regleras av personuppgiftslagen skulle beröras av en ny begränsningsregel av nu aktuellt slag. Det är svårt att identifiera bestämmelser i personuppgiftslagen som skulle kunna ha direkt betydelse för gränsdragningen beträffande frågan i vilka fall överskottsinformation vid direktåtkomst ska vara allmän handling eller inte hos en mottagarmyndighet. Det ska emellertid påpekas att det i författningskommentaren till ändringar av den befintliga begränsningsregeln i 2 kap. 3 § tredje stycket TF angavs att personuppgiftslagen kan vara en sådan lag som åsyftas i begränsningsregeln (prop. 2001/02:70 s. 38). Man kan dock fråga sig i vilken mån detta förarbetsuttalande låter sig förenas med den befintliga begränsningsregelns i övrigt strikt avgränsade tillämpningsområde. Ytterligare en fråga är i vilken mån allmänna ändamålsbestämmelser i mottagarmyndigheternas registerförfattningar kan vara avgörande för om en ny begränsningsregel skulle bli tillämplig eller inte. Dessa ändamålsbestämmelser har tillkommit utan beaktande av att de skulle inskränka handlingsoffentlighetens räckvidd och har utformats på väldigt olika sätt. Ändamålsbestämmelser sätter en yttre ram när det gäller för vilka syften personuppgifter får behandlas genom att samlas in i verksamheten. , men inte alltid, är ändamålsbestämmelser indelade i dels primära ändamålsbestämmelser, som anger för vilka syften personuppgifter får samlas in och fortsättningsvis behandlas av mottagarmyndigheten, dels sekundära ändamålsbestämmelser, som anger olika fall när redan insamlade personuppgifter får användas av mottagarmyndigheten för nya ändamål eller får lämnas ut till andra myndigheter m.m. Som tidigare angetts anses passivt tillgängliga personuppgifter inte vara insamlade eller annars behandlade av mottagarmyndigheten i personuppgiftslagens mening så länge som direktåtkomsten till personuppgifterna inte utnyttjas för att ta fram uppgifterna i ett Överskottsinformation vid direktåtkomst – våra överväganden Det är alltså en annan sak att de anses vara inkomna allmänna handlingar i tryckfrihetsförordningens mening. Att i ett enskilt fall använda direktåtkomsten till uppgifter för att i samband med en sökandes begäran enligt tryckfrihetsförordningen om utfående av allmän handling söka efter och ta fram efterfrågade handlingar i överskottsinformation hos en värdmyndighet innebär emellertid en behandling av uppgifter i personuppgiftslagens mening. Även det senare utlämnandet till sökanden innebär en behandling i personuppgiftslagens mening alldeles oavsett om utlämnandet sker elektroniskt eller genom att en utskrift på papper lämnas till sökanden. Ändamålsbestämmelser i registerförfattningar anses inte utgöra sådana begränsningar i lag eller förordning som avses i den nuvarande begränsningsregeln i 2 kap. 3 § tredje stycket TF (se SOU 2004:6 s. 246). Frågan är emellertid vad som skulle gälla om en ny begränsningsregel införs med en vidare räckvidd än den nuvarande och där ändamålsbegränsningar i mottagarmyndigheters registerförfattningar skulle tillmätas relevans. I förarbeten till registerförfattningar har ju ofta uttalats att ändamålsbestämmelserna i registerförfattningen inte kan åberopas av myndigheten för att vägra att lämna ut allmänna handlingar enligt tryckfrihetsförordningen (se t.ex. prop. 2009/10:85 s. 310). Det normala är alltså att det i befintliga registerförfattningar inte finns någon ändamålsbestämmelse (primär eller sekundär) som tillåter den behandling av personuppgifter som en begäran enligt tryckfrihetsförordningen föranleder. Enligt gällande rätt innebär detta inget problem eftersom grundlag har företräde framför personuppgiftslagen eller registerförfattningar (jfr 8 § personuppgiftslagen) och ändamålsbestämmelser som sagts inte anses kunna leda till en tillämpning av den nuvarande begränsningsregeln. En ny begränsningsregel där ändamålsbestämmelser i registerförfattningar till skillnad från enligt gällande rätt skulle ange ramarna för vad som utgör allmän handling såvitt avser överskottsinformation skulle alltså innebära att sådan information inte är allmän handling hos mottagarmyndigheten om det inte finns något primärt ändamål som omfattar behandling i samband med en begäran enligt tryckfrihetsförordningen. Tolkningsproblem skulle emellertid kunna uppkomma när det gäller sådana registerförfattningar där det inte framgår att primära ändamålsbestämmelserna är uttömmande angivna. Likaså skulle det kunna uppkomma tolkningsproblem vad gäller sådana registerförfattningar där det anges att 8 § person- Överskottsinformation vid direktåtkomst – våra överväganden uppgiftslagen är tillämplig även vid personuppgiftsbehandling enligt registerförfattningen i fråga. Svårigheterna att bedöma hur en ny begränsningsregel som också avser ändamålsbegränsningar i mottagarmyndigheters registerförfattningar skulle kunna tillämpas sammanhänger dock inte bara med registerförfattningarnas olikartade utformning utan även med att ändamålsbestämmelserna kan förmodas ha utformats utifrån den förutsättningen att de inte i något avseende ska begränsa handlingsoffentlighetens räckvidd genom att undanta vissa tillgängliga upptagningar med personuppgifter från att bli allmänna handlingar. Om ändamålsbestämmelser för mottagarmyndigheterna å andra sidan inte skulle tillmätas relevans vid tillämpningen av en ny begränsningsregel i 2 kap. tryckfrihetsförordningen, torde dess tillämpningsområde bli mycket begränsat. Oavsett vilken gränsdragning som härvidlag skulle kunna göras så är det en tillkommande komplikation av lagteknisk karaktär att det är svårt att formulera en begränsningsregel så att det av regeln tydligt framgår vad det är för slags bestämmelser om rättsliga begränsningar som avses. Den lagtekniska komplexitet som är förknippad med en begränsningsregel av det nu skisserade slaget får anses utgöra ett bekymmer i sig. Det är särskilt angeläget att bestämmelser i grundlag är så tydliga att enskilda kan ta till vara sina rättigheter som det måste finnas förutsättningar för myndigheterna att kunna leva upp till kraven på en öppen förvaltning. En närmare precisering i lagtext kan emellertid knappast ske utan att grundlagen belastas med detaljföreskrifter som dessutom riskerar att inte vara hållbara . En jämförelse måste vidare göras med den befintliga begränsningsregeln i 2 kap. 3 § tredje stycket TF. Att uttrycket enligt lag eller förordning saknar befogenheter att göra sammanställningen tillgänglig enbart syftar på absoluta sök- eller sammanställningsförbud är inget som kan utläsas ur bestämmelsens ordalydelse utan framgår endast av bestämmelsens förarbeten och motivuttalanden i samband med lagstiftningsärenden på registerområdet (se bl.a. från senare tid prop. 2007/08:126 120 f. eller 2007/08:160 s. 66 f.) Till sin ordalydelse kan den befintliga begränsningsregeln däremot synas redan omfatta den typ av villkorade sökförbud m.m. som diskuteras här. Det är således förenat med vissa svårigheter att utforma en ny begränsningsregel som skulle ha ett betydligt vidare tillämpningsområde än den befintliga. Till detta kommer att olika rättsliga Överskottsinformation vid direktåtkomst – våra överväganden begränsningar i registerförfattningar ofta bara avser personuppgifter. Ett undantag i tryckfrihetsförordningen bör dock, som vi redan tidigare anfört, gälla oberoende av vilket slags innehåll en upptagning har. Det kan alltså inte helt uteslutas att det kan uppstå situationer där t.ex. en färdig elektronisk handling hos värdmyndigheten innehållande både personuppgifter och andra slags uppgifter bara delvis omfattas av en användningsbegränsning i en registerförfattning. Skulle en sådan handling vara bara delvis en allmän handling hos mottagarmyndigheten? I den översyn och analys av registerförfattningarna som ingår i vårt återstående uppdrag, kommer strukturen för ändamålsbestämmelser, informationsutbyten mellan myndigheter och samordningen med tryckfrihetsförordningen och offentlighets- och sekretesslagen att vara centrala frågeställningar att ingående behandla. Det lär emellertid dröja innan en ny regleringsmodell kan genomföras på hela det område inom offentlig sektor där direktåtkomst förekommer. 7.5.2.2En regel som bygger på faktisk överföring? Ett alternativ till en ny begränsningsregel vore ett undantag som skulle avse all överskottsinformation alldeles oavsett om mottagarmyndigheten får eller inte får ta fram den i sin verksamhet. Det avgörande för en sådan undantagsregels tillämpningsområde skulle i stället vara det faktiska förhållandet huruvida en mottagarmyndighet har eller inte har använt sin direktåtkomst på ett sätt som kan sägas innefatta något slags behandling av informationen i fråga. Ett sådant undantag skulle därvid fungera som en generell senareläggning av inkommandetidpunkten i förhållande till vad som annars gäller enligt tryckfrihetsförordningen. Den senarelagda inkommandetidpunkten skulle då lämpligen knytas till den faktiska händelse som det innebär att direktåtkomsten används genom att upptagningen överförs till mottagarmyndigheten. Detta kan ske genom att en befattningshavare överför informationen och tar del av den genom att läsa den eller genom att informationen vid en manuellt eller automatiserat styrd process överförs för fortsatt lagring i myndighetens egna informationssamlingar eller för något slags bearbetning. Tanken skulle vara att om en upptagning eller en uppgift ur en upptagning har överförts, så blir den allmän handling hos mottagarmyndigheten. Detta skulle i sin tur innebära en Överskottsinformation vid direktåtkomst – våra överväganden närmare samordning med vad som gäller i fråga om när en konventionell handling anses inkommen i förvaltningsrättslig mening (se 10 § förvaltningslagen) eller anses insamlad och behandlad av en myndighet i personuppgiftslagens eller en registerförfattnings mening. Vi har diskuterat olika varianter på en sådan regleringsmodell, främst i form av ändringar i 2 kap. 6 § TF innebärande en senareläggning av inkommandetidpunkten. En sådan regel skulle t.ex. kunna utformas enligt följande. Handling anses inkommen till myndighet, när den har anlänt till myndigheten eller kommit behörig befattningshavare till handa. I fråga om upptagning som avses i 3 § första stycket gäller i stället att den anses inkommen till myndigheten när annan har gjort den tillgänglig för myndigheten på sätt som anges i 3 § andra stycket. Upptagning för automatiserad behandling hos annan, som omfattas av särskild föreskrift om tillgängliggörande i lag eller förordning, bindande EU-rättsakt eller för bindande internationell överenskommelse anses dock som inkommen endast i den utsträckning som upptagningen eller uppgift ur upptagningen har överförts till myndigheten. Gemensamt för de olika varianter av överföringsregler som kan diskuteras skulle alltså vara att de skulle bygga på vad som faktiskt skett. Det är bara sådana upptagningar som inte har överförts till mottagarmyndigheten som skulle omfattas av undantaget. Utformningen av ett undantag utifrån vad som faktiskt skett förutsätter att det går att fastställa när en mottagarmyndighet använt sin direktåtkomst för att ta del av någon uppgift hos annan. Ofta kan detta antas inte innebära något problem eftersom myndigheternas förfaranderegler ställer krav på dokumentation av verksamheten, i vart fall vid handläggning av förvaltningsärenden. I den mån uppgifter hämtas från andra myndigheter, t.ex. genom direktåtkomst, och har betydelse för mottagarmyndighetens handläggning av ärenden ska den i en eller annan form bifogas den egna ärendedokumentationen, se även 4 kap. 3 § OSL. Vid en begäran om utfående av allmän handling som syftar till att få insyn i vilka uppgifter från värdmyndigheten som använts i ett eller flera ärenden bör det alltså normalt, förutsatt att sökanden kan precisera sin begäran, gå att hitta de efterfrågade handlingarna via register och liknande rörande den egna ärendedokumentationen. Även i sådana fall då direktåtkomst används bara för läsning utan att den åtgärden av någon anledning särskilt dokumenteras, får det förutsättas att det i princip går att utforma informationssystemen så att även en sökning av det slaget kan verifieras i efter- Överskottsinformation vid direktåtkomst – våra överväganden hand på ett någorlunda enkelt sätt i vart fall sedan överföringen ägt rum. Förutsättningarna för detta ser förstås olika ut hos olika myndigheter. Vid t.ex. sådana myndigheter där personalen har begränsade sökbehörigheter vid direktåtkomst torde gälla att myndigheterna måste ha något slags informationssäkerhetssystem som gör att det går att följa upp vilka slagningar som skett. Annars är förutsättningarna att upptäcka och utreda eventuella dataintrång så gott som obefintliga. Men i andra fall kan incitamenten för denna typ av dokumentation vara betydligt mindre eller rent av helt saknas. Det finns dock anledning att vara betänksam beträffande de befintliga förutsättningarna för att i efterhand kunna skilja mellan rörd och orörd externt tillgänglig information hos en mottagarmyndighet. Inte sällan sker t.ex. den loggning som görs över använd direktåtkomst av värdmyndigheten. Det skulle vara en något märklig situation om en mottagarmyndighet skulle vara beroende av en annan myndighets uppföljning av datatrafik för att kunna ta ställning till om en tillgänglig upptagning är allmän handling hos den egna myndigheten eller inte. En faktor här är att det varierar vem som är personuppgiftsansvarig för mottagarmyndigheters sökningar i värdmyndigheters databaser. Det är vanligt att frågan inte lösts i registerförfattningar utan måste bedömas utifrån vem som anses bestämma ändamålen och medlen för personuppgiftsbehandlingen. Personuppgiftsansvaret kan också vara delat och solidariskt. I de fall personuppgiftsansvaret författningsreglerats särskilt förekommer ibland att värdmyndigheter ges personuppgiftsansvaret för den behandling som mottagarmyndigheters sökningar innebär och ibland att reglerna anger att mottagarmyndigheterna är personuppgiftsansvariga för den behandling som de själva utför när en direktåtkomst används. Olikheter i dessa avseenden kan tillsammans med andra förhållanden inverka på vilka rättsliga krav på informationssäkerhetsåtgärder, spårbarhet, loggningar och kontroller som ställs på mottagarmyndigheter respektive värdmyndigheter inom sina respektive områden. Har sådana rutiner införts av säkerhetsskäl måste vidare beaktas att denna typ av loggning främst sker för att tillgodose driftsäkerhet och därför inte nödvändigtvis lämpar sig bra för att avgöra om något är allmän handling eller inte. En undantagsregel som bygger på i vilken mån tillgänglig information faktiskt har överförts, till skillnad från vad en myndighet får göra, torde därmed i praktiken medföra att det krävs nya former Överskottsinformation vid direktåtkomst – våra överväganden av loggning av datatrafik hos mottagarmyndigheter samt bevarande av dessa loggar i sökbar form . Detta skulle vara resurskrävande utan motsvarande verksamhetsnytta. Ytterligare en komplikation är att värdmyndighetens uppgiftssamlingar i normala fall inte är statiska utan förändras . Att tillgängliga uppgifter gallras av värdmyndigheten gör givetvis att sådana inte längre tillgängliga uppgifter upphör att vara allmänna handlingar hos mottagarmyndigheten eftersom förvaringskriteriet brister. Men vad gäller om uppgifter ändras? Är den ändrade uppgiften en allmän handling hos den mottagarmyndighet som tidigare genom sin direktåtkomst överfört uppgiften för att ta del av den? Om inte, hur ska en mottagarmyndighet kunna ta reda på detta utan att behöva göra en överföring för att kontrollera saken i samband med att en enskild begär utfående av allmän handling enligt 2 kap. tryckfrihetsförordningen? Och skulle en sådan överföring i kontrollsyfte innebära att uppgiften/handlingen då om inte förr ska anses inkommen till mottagarmyndigheten och därmed bli allmän handling där? Ett exempel kan vara en mottagarmyndighets tillgång till bilregistret som förs av Transportstyrelsen. har i sin verksamhet använt direktåtkomsten till bilregistret för att ta del av vem som är registrerad ägare till ett fordon med visst registreringsnummer. Någon månad senare begär en enskild hos mottagarmyndigheten med åberopande av tryckfrihetsförordningen ut uppgift om fordonets registrerade ägare. – mottagarmyndigheten ovetande – skett ett ägarbyte som registrerats av Transportstyrelsen. Uppgift om den nya ägaren har aldrig överförts till mottagarmyndigheten däremot har uppgift om den förre ägaren överförts, dock inte uppgiften om att han eller hon är före detta ägare. Ett undantag som bygger på vad som faktiskt har överförts kan alltså leda till en hel del komplicerade och svårbedömda situationer med åtföljande oönskat merarbete för myndigheterna. Det ska dock betonas att ett undantag som bygger på vad som faktiskt har överförts till skillnad från vad som får överföras måste ses i relation till de legala krav med åtföljande arbetsinsatser för myndigheters del som följer av gällande rätt. Offentlighets- och sekretesslagen föreskriver registring av allmänna handlingar som under vissa omständigheter i stället får hållas ordande så att det utan svårighet kan fastställas om de har kommit in eller upprättats (5 kap. 1 § OSL). Det finns vidare en dokumentationsskyldighet Överskottsinformation vid direktåtkomst – våra överväganden när upptagningar för automatiserad behandling används vid ärendehandläggning (4 kap. 3 § OSL). Av central betydelse är även de åtgärder som en myndighet är skyldig att vidta för att underlätta sökande efter allmänna handlingar, m.m., dvs. en god offentlighetsstruktur. Till bilden hör även att bestämmelserna om arkivering och gallring förutsätter att myndigheterna intar ett aktivt förhållningssätt till sin digitala informationshantering (se t.ex. 6 § och 10 § arkivlagen). Som sagts är det en utgångspunkt att en eventuell begränsning av handlingsoffentligheten inriktad på mottagarmyndigheters tillgång till överskottsinformation vid direktåtkomst bör utformas som ett undantag från den generella och grundläggande konstruktionen för vad som utgör allmänna handlingar. Vi har därvid övervägt en avgränsning genom att utforma ett undantag som senarelägger inkommandetidpunkten men bara under förutsättning att det finns särskilda föreskrifter i lag eller förordning om själva tillgängliggörandet. Härmed skulle då avses sådana uttryckliga bestämmelser om direktåtkomst eller utlämnande på medium för automatiserad behandling som ofta finns i registerförfattningar. Även andra fall av uttryckliga bestämmelser om elektroniskt tillgängliggörande skulle kunna omfattas. En anknytning till särskild reglering har den fördelen att undantagets räckvidd styrs genom statsmakternas kontroll och författningsreglering – t.ex. genom bestämmelser som i olika fall tillåter direktåtkomst eller motsvarande – vilket är av betydelse eftersom undantaget principiellt sett innebär en begränsning av den grundlagsskyddade handlingsoffentligheten. Vidare skulle en avgränsning till reglerad direktåtkomst och liknande ge mottagarmyndigheters skyldighet att hålla isär rörd och orörd extern information rimliga proportioner. På så sätt skulle alltså de problemställningar som redovisats ovan i någon mån begränsas. finns det nackdelar. För det första uppkommer delvis samma svårigheter beträffande avgränsningen av vilka regler som ska vara styrande som vi har redogjort för ovan i resonemangen rörande en ny begränsningsregel. Till detta kommer att det är en komplikation att det förekommer registerförfattningar där regleringen av direktåtkomsten bara omfattar uppgifter rörande personer som förekommer i mottagarmyndighetens ärenden och där överskottsinformationen om ytterligare personer, som gjorts tekniskt tillgänglig för mottagarmyndigheten, i den meningen är oreglerad. Riskerar man inte i sådana fall att från undantaget exkludera just Överskottsinformation vid direktåtkomst – våra överväganden den överskottsinformation som det är av huvudsakligt intresse att undanta? Det är också en komplikation att det, enligt vad vi erfarit, förekommer att en begäran om utfående av allmän handling avser blandade upptagningar i den meningen att det handlar både om sådana uppgifter som omfattas av en reglering av direktåtkomst och sådana som i det avseendet är oreglerade. Vidare förekommer myndighetsövergripande samarbeten som delvis bygger på författningsreglerat tillgängliggörande och delvis på frivillighet. I sådana fall uppkommer särskilda svårigheter att avgöra om information är eller inte är allmän handling hos de inblandade myndigheterna. I en praktisk tillämpning kan detta vålla betydande svårigheter, inte minst med att leva upp till tryckfrihetsförordningens krav på skyndsamhet vid handläggningen av en begäran om utfående av allmän handling. Sammantaget ser vi alltså betydande svårigheter med att konstruera en undantagsregel som skulle bygga på vad som faktiskt har överförts till en mottagande myndighet.