sou · H0B390 · 2013-01-01 00:00:00 — Även om lagtexten i 2 kap. 6 § andra stycket RF inte uttryckligen begränsar tillämpningsområdet för bestämmelsen till några specifika hanteringsformer eller personuppgiftsbehandlingar kan det, mot bakgrund av uttalandena i förarbetena, ifrågasättas om och i sådant fall i vilken mån enbart formen för ett utlämnande av personuppgifter träffas av bestämmelsen. Utredningen kan konstatera att en djupare analys av det aktuella grundlagsstadgandets betydelse behöver göras inför vårt fortsatta arbete. Vid den kartläggning av registerförfattningarna som utredningen ska företa måste t.ex. frågor om uppgiftsutlämnande i olika hänseenden – oavsett vilken terminologi som används – analyseras i nu aktuellt hänseende. Även om mycket talar för att olika utlämnandeformer som sådana inte omfattas av kravet på lagstöd så kan det inte uteslutas att den samlade effekten av ett visst uppgiftslämnande, särskilt om det är fråga om direktåtkomst som genererar en stor mängd överskottsinformation, beroende på omständigheterna i det enskilda fallet kan komma att bedömas innefatta en kartläggning av enskilda i den mening som avses i grundlagsbestämmelsen och därmed kräva lagstöd. Som har framgått tidigare saknar det för frågan i vilken mån överskottsinformation vid ett elektroniskt informationsutbyte mellan myndigheter blir allmän handling hos en mottagarmyndighet helt betydelse hur det aktuella informationsutbytet har benämnts i en registerförfattning. Avgörande är vilka delar av en upptagning som görs tekniskt tillgängliga för mottagarmyndigheten. Det innebär att beroende på hur ett utlämnande på medium för automatiserad behandling är utformat rent tekniskt, skulle även ett sådant utlämnande kunna innebära att överskottsinformation blir tillgänglig för mottagarmyndigheten i tryckfrihetsförordningens mening. På motsatt vis gäller att ett informationsutbyte som i en registerförfattning benämns direktåtkomst, beroende på hur detta utformas rent tekniskt, mycket väl skulle kunna innebära att det inte genereras någon överskottsinformation alls. Begreppsanvändningen i registerförfattningarna avseende elektroniska utlämnandeformer, dvs. direktåtkomst och utlämnande på medium för automatiserad behandling, har alltså inget direkt samband med frågan om överskottsinformation vid direktåtkomst blir allmän handling eller inte hos en mottagarmyndighet. I sammanhanget bör också uppmärksammas att det oftast inte heller synes vara regleringen i tryckfrihetsförordningen som, i vart fall inte att döma av vad som vad som uttryckligen angetts i motivuttalanden, har varit anledningen till att direktåtkomst i vissa fall reglerats särskilt i registerförfattningar. I förarbetena har i stället angivits att den omständigheten att direktåtkomst traditionellt ansetts innebära att uppgifter lämnas ut utan att värdmyndigheten i det enskilda fallet har kontroll över vilka uppgifter som lämnas ut medför att det från integritetsskyddssynpunkt ansetts vara av stor betydelse att särskilt reglera frågor om tillgång till uppgifter genom direktåtkomst i registerlagstiftning (prop. 2000/01:129 s. 74, prop. 2001/02:144 s. 35 f. och prop. 2005/06:52 s. 8). Dataskyddsdirektivet har i svensk rätt genomförts genom bl.a. personuppgiftslagen. Personuppgiftslagen är subsidiär i förhållande till annan lag eller förordning. Det innebär att om det för en verksamhet eller en myndighets databas eller ärendehanteringssystem inte finns någon gällande registerförfattning ska frågan om en personuppgift kan lämnas ut i viss elektronisk form bedömas utifrån de generella regler avseende behandling av personuppgifter som finns i personuppgiftslagen. Om en myndighet utbyter personuppgifter avseende en fysisk person (som är i livet) elektroniskt med en annan myndighet är det fråga om behandling enligt den definition av begreppet som följer av 3 § PUL oavsett i vilken form utbytet sker, t.ex. via e-post eller genom att den mottagande myndigheten ges direktåtkomst till hela eller delar av den utlämnande myndighetens personuppgiftssamlingar eller ärendehanteringssystem. Det är vidare på samma sätt fråga om personuppgiftsbehandling hos utlämnande myndighet om den gör en datautskrift på papper som sedan postas till mottagaren (se bl.a. /, Personuppgiftslagen – En kommentar, 2011, s. Personuppgiftslagen innehåller inga uttryckliga bestämmelser om formen för ett elektroniskt utlämnande, dvs. i princip är ett utlämnande i elektronisk form tillåtet så länge den personuppgiftsbehandling som utlämnandet i sig innebär inte är oförenlig med det eller de ändamål för vilka uppgifterna samlades in (se 9 § första stycket d PUL) och behandlingen kan hänföras under något av de tillåtna fall av behandling som anges i 10 §. Dock finns det bestämmelser i lagen som kan ha betydelse vid bedömningen av lämplig form för ett elektroniskt utlämnande. Grundläggande krav på behandling av personuppgifter Bestämmelsen i 9 § första stycket f, som anger ett av de grundläggande kraven på behandling av personuppgifter, kan ha betydelse när det gäller en tänkt behandling i form av ett informationsutbyte mellan myndigheter genom direktåtkomst. Av bestämmelsen följer att den personuppgiftsansvarige ska se till att inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. En värdmyndighet som avser att medge en mottagarmyndighet direktåtkomst till t.ex. sitt ärendehanteringssystem kan behöva överväga om just formen för utlämnandet genom direktåtkomst medför att mottagarmyndigheten får tillgång till fler personuppgifter än som är nödvändigt, dvs. om utlämnandet medför att överskottsinformation tekniskt sett blir tillgänglig för mottagarmyndigheten. Överskottsinformationen kan antingen bestå av uppgifter som mottagarmyndigheten visserligen får behandla men som den ännu inte berett sig tillgång till eller uppgifter som den inte får behandla. Såvitt avser innebörden av detta föreligger emellertid en skillnad mellan tryckfrihetsförordningen och sekretesslagstiftningen å ena sidan och dataskyddsreglerna i personuppgiftslagen och registerförfattningarna å den andra. Enligt tryckfrihetsförordningen är upptagningar som innehåller personuppgifter som utgör icke utnyttjad överskottsinformation att betrakta som inkomna hos mottagaren. Motsvarande gäller i sekretesshänseende, dvs. uppgifterna anses utlämnade oavsett om de utnyttjas eller inte av mottagaren. Enligt dataskyddsregelverket är dock dessa personuppgifter inte att betrakta som insamlade eller annars behandlade av mottagarmyndigheten redan på detta tidiga stadium. Tillåten behandling av personuppgifter Av 10 § första stycket d och e PUL följer att personuppgifter får behandlas om det är nödvändigt för att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. Bedömningen av om arbetsuppgiften är av allmänt intresse måste göras mot bakgrund av verksamhetens syfte (prop. 2000/01:105 s. 36). Såväl utförandet av arbetsuppgiften enligt punkten e som utförandet av myndighetsutövningen enligt punkten d kan utövas av en myndighet eller vara anförtrodd något enskilt subjekt. En bestämmelse som bör nämnas särskilt i detta sammanhang är 10 § första stycket f där det stadgas att en behandling av personuppgifter är tillåten om behandlingen är nödvändig för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Viss ledning av vad den intresseavvägning som föreskrivs i 10 § första stycket f kan få för betydelse vid bedömningen av i vilken elektronisk form en personuppgift kan lämnas ut, kan fås genom I RÅ 2008 ref. 83 var fråga om behandling av biometriska data i form av fingeravläsning i samband med skolmåltider var tillåtet enligt personuppgiftslagen. Vid intresseavvägningen enligt 10 § första stycket f uttalade att den tekniska utformningen av det aktuella systemet – biometriska uppgifter som fanns i databaser som var tillgängliga för kommunen och som lagrades – var sådan att den fick anses påkalla att särskild integritetshänsyn togs. Mot den bakgrunden och då kommunens intresse av att identifiera eleverna torde kunna tillgodoses även med andra metoder fann att behandlingen endast var tillåten under förutsättning att samtycke inhämtats. I ett senare avgörande, RÅ 2010 ref. 19, var fråga om en publicering av en konkursbouppteckning på internet var tillåten enligt personuppgiftslagen. Vid intresseavvägningen enligt 10 § första stycket f fann att den aktuella konkursbouppteckningen innehöll integritetskänsliga uppgifter och genom publicering på internet blev uppgifterna lätt tillgängliga och kunde komma att få mycket stor spridning. Den personuppgiftsansvariges intresse av att underlätta hanteringen av konkursen ansågs därför inte väga tyngre än de enskildas intresse av skydd mot kränkning av den personliga integriteten. Konkursförvaltarens publicering av konkursbouppteckningen på internet ansågs därför strida mot personuppgiftslagen. Även om omständigheterna i de ovan redovisade avgörandena inte är direkt jämförbara med frågan om formerna vid elektroniskt utlämnande kan måhända vissa slutsatser ändå dras. Vid en intresseavvägning mellan den personuppgiftsansvariges intresse att av exempelvis effektivitetsskäl få tillgång till personuppgifter genom t.ex. direktåtkomst och de enskildas intresse av skydd mot kränkning av den personliga integriteten kan alltså den elektroniska formen för utlämnandet vara en sådan faktor som innebär att behandlingen får anses påkalla att särskilda integritetshänsyn tas. En intresseavvägning kan således falla ut på det sättet att den personuppgiftsansvariges intresse av att få snabb tillgång till personuppgifterna för att vara tillåten måste tillgodoses genom en mindre integritetskänslig form, t.ex. genom annat elektroniskt utlämnande än direktåtkomst. Slutligen ska uppmärksammas att personuppgiftslagens bestämmelser om säkerheten vid behandlingen (30–32 §§) kan ställa särskilda krav vid utlämnanden i elektronisk form. Bestämmelserna, och då särskilt 31 §, är av intresse för att beskriva vilka tekniska säkerhetskrav som kan ha betydelse när t.ex. en myndighet ger en annan myndighet direktåtkomst till personuppgifter eller vid annat elektroniskt utlämnande. Av 31 § följer att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga de behandlade personuppgifterna är. anförde i sitt betänkande, Integritet, offentlighet, informationsteknik (SOU 1997:39 s. 410) att de allmänt hållna bestämmelserna på ett kortfattat och bra sätt beskriver de överväganden som måste göras i fråga om säkerhetsåtgärder men att bestämmelserna i det enskilda fallet inte ger tillräcklig vägledning för vilka säkerhetsåtgärder som bör vidtas. Datainspektionen har därför bemyndigats att meddela de närmare föreskrifter om säkerhetsåtgärder som behövs (50 § b PUL och 16 § personuppgiftsförordningen [1998:1191]). Det har förutsatts att inspektionen även i rimlig utsträckning bör lämna råd i säkerhetsfrågor (prop. 1997/98:44 s. 92). Datainspektionen har t.ex. uttalat1 att personuppgifter som överförs via nät bör, beroende på känsligheten hos uppgifterna, skyddas t.ex. genom kryptering. Om uppgifterna endast får lämnas ut till identifierade användare bör mottagarens identitet säkerställas. Vidare har inspektionen uttalat att behovet av åtgärder och policy för att minska säkerhetsrisker vid användning av elektronisk post bör övervägas. Av 32 § PUL följer att Datainspektionen i enskilda fall får bestämma vilka säkerhetsåtgärder som ska vidtas enligt 31 §. Bestämmelsen kan få betydelse för säkerheten vid utformning av formen av utlämnande, t.ex. vid direktåtkomst. För en myndighet som medges direktåtkomst till en annan myndighets personuppgiftssamling kan bestämmelsen t.ex. innebära att åtkomst till olika uppgifter inom myndigheten ska vara starkt begränsad till olika behörighets- 1Datainspektionens allmänna råd (reviderad ) – Säkerhet för personuppgifter, s. 23. nivåer för att minimera antalet personer som har tillgång till samtliga uppgifter. Exempel på oreglerad direktåtkomst Att en registerförfattning saknar bestämmelser om t.ex. direktåtkomst innebär alltså inte per automatik att ett elektroniskt utlämnande i form av direktåtkomst på något sätt skulle vara uteslutet. Ett exempel på oreglerad direktåtkomst är de allmänna domstolarnas direktåtkomst till varandras verksamhetsregister. Åt- komsten innebär att över- och underrätt har tillgång till stora delar av varandras registeruppgifter, inskannade eller upprättade dokument m.m. i överklagade mål då en integration mellan underrättens och överrättens mål skapats. Av tillämplig registerförfattning, förordningen (2001:639) om registerföring m.m. vid allmänna domstolar med hjälp av automatiserad behandling, följer att domstolarna får föra verksamhetsregister, dvs. automatiserade register över mål som handläggs vid domstolen. Den direktåtkomst till registren som faktiskt finns mellan domstolarna är dock inte reglerad i förordningen. Även och kammarrätterna har direktåtkomst till varandras verksamhetsregister. Direktåtkomsten är dock, till skillnad från vad som gäller för de allmänna domstolarna, uttryckligen reglerad i tillämplig registerförfattning, förordningen (2001:641) om registerföring m.m. vid och kammarrätterna med hjälp av automatiserad behandling. Ett annat exempel är Swedavias2 och direktåtkomst till luftfartygsregistret. Ändamålet med Swedavias användning av registret är att säkerställa att fakturering av avgifter sker till rätt ägare och brukare3. De uppgifter som Swedavia behöver är namnet på ägaren eller brukaren, adress och personnummer samt uppgifter om luftfartyget. Även för är ändamålet med användningen av registret att säkerställa att fakturering för uttag av avgift4 för flygtrafiktjänster sker till rätt ägare respektive brukare. Enligt 2 kap. 1 § luftfartslagen (2010:500) ska Transport- 2Swedavia är ett statligt ägt bolag som driver flygplatser. 3Alla ägare eller brukare av ett luftfartyg som nyttjar en flygplats måste betala en avgift till flygplatshavaren för de tjänster som denne tillhandahåller såsom start, landning, parkering av luftfartyg och belysning. Rätt att ta ut avgifter följer av 6 kap. 18 § luftfartslagen och lagen (2011:866) om flygplatsavgifter. 4Rätten att ta ut avgift följer bl.a. av 6 kap. 18 § luftfartslagen (2010:500). styrelsen föra ett register över luftfartyg (luftfartygsregistret). Registret används för olika offentliga ändamål och det förs med automatiserad behandling. Vilka uppgifter som ska finnas i registret framgår av förordningen (1986:172) om luftfartygsregister. Registret ger information om svenska luftfartyg och deras ägare eller innehavare och brukare och används för administrativa ändamål, t.ex. vid utfärdande av olika intyg och tillstånd samt vid tillsyn av luftfarten (prop. 2003/04:27 s. 67). Behandlingen av personuppgifter i luftfartygsregistret är inte reglerad i någon registerförfattning utan personuppgiftslagens bestämmelser är tillämpliga. Åt- komsten till registret för Swedavia och medgavs av Transportstyrelsen efter samråd med Datainspektion. Datainspektionen anförde i samrådsyttrande att som huvudregel krävs det uttryckligt författningsstöd för att direktåtkomst i en myndighets register ska vara tillåten vilket dock inte utesluter att Transportstyrelsen i vissa fall kan medge direktåtkomst, även då det saknas uttryckligt författningsstöd och det endast är bestämmelserna i personuppgiftslagen som är tillämpliga. Datainspektionen betonade särskilt att de aktuella uppgifterna inte är av känslig natur, att de inte skyddas av särskild sekretess och att sökning endast skulle kunna göras med luftfartygets registerbeteckning som sökord. Datainspektionen resonerade vidare utifrån finalitetsprincipen och uttalade att det inte nödvändigtvis bör vara oförenligt med det ändamål för vilket uppgifterna samlades in att förse Swedavia och med uppgifter ur registret för fakturering av avgifter som är direkt knutna till användningen av de registrerade luftfartsfordonen. Med hänsyn till omständigheterna skulle också, enligt Datainspektionen, den personuppgiftsbehandling som ett utlämnande via direktåtkomst innebär kunna anses röra ett berättigat intresse hos Swedavia och som väger tyngre än den registrerades intresse av skydd för den personliga integriteten. En förutsättning för att direktåtkomst skulle kunna medges var dock enligt Datainspektionen att åtkomstmöjligheterna begränsades endast till sådana uppgifter som är nödvändiga för faktureringsändamålet. Ytterligare ett exempel är för vilket det inte finns någon särskild registerförfattning alls. Det är då uteslutande personuppgiftslagens bestämmelser som gäller för behandlingen av personuppgifter i registret. Ett begränsat antal personer inom hälso- och sjukvården, s.k. transplantationskoordinatorer, har direktåtkomst till registret. Det kan alltså konstateras att i den mån direktåtkomst inte är särskilt reglerad utan personuppgiftslagens bestämmelser blir tillämpliga, så kan detta innebära att förhållandevis komplicerade överväganden behöver göras innan ett system för informationsutbyte av nu aktuellt slag kan upprättas. 9.5Våra överväganden avseende begreppsfrågan Bedömning: Det står klart att begreppsapparaten vad avser reglering i registerförfattningar av elektroniska utlämnandeformer måste bli tydligare och vara enhetlig. Det finns således ett behov av reformer på området. Eftersom vi inte föreslår någon grundlagsändring i syfte att undanta överskottsinformation vid direktåtkomst från begreppet allmän handling är det emellertid inte påkallat att , innan vårt arbete med en samlad översyn av registerlagstiftningen är klart, göra några slutgiltiga ställningstaganden eller lägga fram några konkreta förslag till ny regleringsmodell på området. Vi kommer att återkomma till frågan i slutbetänkandet. Vår huvuduppgift är att se över registerlagstiftningen och vissa därmed sammanhängande frågor i syfte att skapa rättsliga förutsättningar för en mer effektiv e-förvaltning, där såväl den enskildes rätt till personlig integritet som allmänhetens berättigade anspråk på insyn i den offentliga verksamheten tillgodoses. Vidare påpekas i våra direktiv att om de grundläggande reglerna i tryckfrihetsförordningen och offentlighets- och sekretesslagen samt den principiella uppbyggnaden av registerförfattningarna inte är anpassade till varandra – utifrån de olika intressen dessa bestämmelser avser att skydda – blir det svårt att i ett enskilt lagstiftningsärende om elektroniskt informationsutbyte mellan två eller flera myndigheter hitta en lösning som är tillfredsställande från integritets, effektivitets- och öppenhetssynpunkt. Viktiga utgångspunkter är därför dels att respektive regelverk är väl genomtänkt och så enkelt som möjligt att tillämpa, dels att dessa regelverk är förenliga med varandra. Vi ska göra en översiktlig inventering av gällande registerförfattningar och inom olika verksamhetsområden närmare analysera hur dessa är uppbyggda och tillämpas. Vilka verksamhetsområden som särskilt ska analyseras kommer att anges i tilläggsdirektiv. därefter utarbeta en generell modell för registerförfattningar där det framgår hur de bör struktureras, vilka begrepp som bör användas, och hur begreppen bör definieras. Utifrån den utarbetade generella modellen som mall ska vi inom de utvalda verksamhetsområdena lämna konkreta förslag till registerförfattningar, s.k. modellregleringar. Det står klart att de begrepp som används i registerförfattningarna, dvs. direktåtkomst och utlämnande på medium för automatiserad behandling, inte är entydiga och att gränsdragningen mellan begreppen i många fall är oklar. Detta medför problem för myndigheterna vid informationsutbyten. Ett klargörande av frågan om det även fortsättningsvis bör göras åtskillnad mellan olika elektroniska utlämnandeformer i registerförfattningarna, och om så är fallet vilka begrepp som ska användas, är av stor betydelse såväl för effektiviteten i myndigheternas informationsutbyte som för frågan om adekvat integritetsskydd. förhåller det sig så, att frågan om åtskillnad även fortsättningsvis bör göras mellan olika elektroniska utlämnandeformer, och om så är fallet vilka begrepp som ska användas, har ett nära samband med vårt kommande arbete att skapa en mer enhetlig och renodlad registerlagstiftning. Frågan hör nära samman med hur man ska förhålla sig även till andra former av personuppgiftsbehandling. Ett elektroniskt utlämnande från en värdmyndighet innebär hos mottagarmyndigheten en personuppgiftsbehandling i form av insamlande. Av betydelse kan även vara om direktåtkomsten, när den avser åtkomst till sekretessreglerade uppgifter, har stöd i en bestämmelse om uppgiftsskyldighet eller i en annan sorts sekretessbrytande bestämmelse. Frågan om elektroniska utlämnandeformer, eller i vart fall vissa sådana utlämnandeformer, även fortsättningsvis bör regleras särskilt i registerförfattningar utgör således en integrerad del i vårt kommande arbete med att skapa en bättre och mer renodlad registerlagstiftning genom utarbetande av modellregleringar. Det finns ett samband mellan vår uppgift att överväga frågan om definitionen av begreppet allmän handling i tryckfrihetsförordningen är lämpligt utformad när det gäller överskottsinformation vid direktåtkomst och frågan om det finns skäl att i registerförfattningar bibehålla skillnaden mellan olika former av elektroniskt utlämnande. Ett undantag för överskottsinformation vid direktåtkomst från vad som är allmän handling hade måhända, beroende hur detta utformats, kunnat förutsätta att elektroniska utlämnanden som genererar överskottsinformation måste regleras särskilt i registerförfattningarna och kanske även att ny terminologi för elektroniska utlämnandeformer i något hänseende skulle ha behövt införas för att ett sådant undantag skulle få avsedd effekt. Men med beaktande av den bedömning som vi har gjort beträffande frågan om grundlagsändring kommer delfrågan om att ändra begreppsapparaten i registerförfattningarna som vi ser det i ett annat läge. Givet vårt ställningstagande att inte lägga fram förslag till ändring av tryckfrihetsförordningen är det alltså inte nödvändigt att , utan att kunna beakta resultatet av utredningens kommande arbete med att se över registerlagstiftningen, föreslå några konkreta ändringar såvitt avser elektroniska utlämnandeformer och tillhörande begreppsapparat. Utredningen har mot den angivna bakgrunden kommit till slutsatsen att övervägande skäl talar mot att lägga fram några slutgiltiga ställningstaganden eller konkreta förslag beträffande frågan om reglering av utlämnandeformer. Bedömning och förslag: Den föreslagna ändringen i 11 kap. 8 § offentlighets- och sekretesslagen bör träda i kraft . Inga övergångsbestämmelser behövs. Den föreslagna ändringen i 11 kap. 8 § OSL får betydelse när det finns såväl primära som sekundära sekretessbestämmelser som är tillämpliga för en och samma uppgift som är tillgänglig för en mottagarmyndighet via direktåtkomst eller liknande elektroniskt utlämnande men som myndigheten enligt lag eller förordning inte får behandla. Ändringen innebär att konkurrenssituationen mellan de tillämpliga sekretessbestämmelserna i en sådan situation ska lösas genom en tillämpning av huvudregeln i 7 kap. 3 OSL, dvs.