sou · H0B390 · 2013-01-01 00:00:00 — den av sekretessbestämmelserna – den för mottagarmyndigheten primära sekretessbestämmelsen eller den från värdmyndigheten överförda sekretessen – som innebär att uppgiften är sekretessbelagd ska ha företräde. För övriga uppgifter som är tillgängliga för en mottagarmyndighet via direktåtkomst eller liknande elektroniskt utlämnande ska en motsvarande konkurrenssituation alltjämt lösas genom att mottagarmyndighetens primära sekretessbestämmelse ska ha företräde framför den från värdmyndigheten överförda sekretessen. Syftet med ändringen är att uppgifter, som visserligen är tillgängliga för en mottagarmyndighet via direktåtkomst eller ett liknande elektroniskt utlämnande men som mottagarmyndigheten enligt lag eller förordning inte får behandla, ska garanteras ett sekretesskydd hos mottagarmyndigheten som lägst motsvarar det sekretesskydd uppgifterna har hos värdmyndigheten. är det därför av värde att bestämmelsen kan träda i kraft . Inga följdändringar behövs. Vi bedömer att det saknas behov av övergångsbestämmelser. Bedömning: Vårt förslag bedöms varken få ekonomiska eller andra sådana konsekvenser som sägs i 14 och 15 §§ kommitté- förordningen. För vårt arbete gäller bestämmelserna i kommittéförordningen (1998:1474). I 14 § anges att om förslagen i ett betänkande påverkar kostnaderna eller intäkterna för staten, kommuner, landsting, företag eller andra enskilda, ska en beräkning av dessa kostnader redovisas i betänkandet. Om förslagen innebär samhällsekonomiska konsekvenser i övrigt, ska dessa redovisas. Om det gäller kostnadsökningar och intäktsminskningar för staten, kommuner eller landsting, ska en finansiering föreslås. Vidare följer av 15 § samma förordning att om förslagen i ett betänkande har betydelse för den kommunala självstyrelsen, ska konsekvenserna i det avseendet anges i betänkandet. Detsamma gäller när ett förslag har betydelse för brottsligheten och det brottsförebyggande arbetet, för sysselsättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företags, för jämställdheten mellan kvinnor och män eller för möjligheterna att nå de integrationspolitiska målen. Om ett betänkande innehåller förslag till nya eller ändrade regler ska, enligt 15 a §, förslagens kostnadsmässiga och andra konsekvenser anges i betänkandet. Konsekvenserna ska anges på ett sätt som motsvarar de krav på innehåll som finns i 6 och 7 §§ förordningen (2007:1244) om konsekvensutredning vid regelgivning. Vårt förslag innebär en ändring av konkurrensbestämmelsen i 11 kap. 8 § OSL i syfte att avgränsa i vilka situationer denna undantagsbestämmelse ska gälla i stället för huvudregeln i 7 kap. 3 § OSL när det är fråga om uppgifter som är tillgängliga för en mottagarmyndighet via direktåtkomst eller liknande elektroniskt utlämnande från en annan myndighet. Ändringen får konsekvenser för integritetsskyddet på så sätt att en värdmyndighets sekretess för en uppgift, som är tillgänglig för en mottagarmyndighet via direktåtkomst eller liknande elektronisk utlämnande hos en annan myndighet men som mottagarmyndigheten enligt lag eller förordning inte får behandla, inte riskerar att försvagas hos mottagarmyndigheten. Det hindrar dock inte att en mottagarmyndighet, i likhet med vad som gäller , vid en begäran om utfående av allmän handling vanligtvis måste ta del av uppgiften för att göra en sekretessprövning utifrån ett skaderekvisit. Några kostnadsökningar kan inte förväntas uppkomma genom den föreslagna ändringen. Inte heller i övrigt bedömer vi att förslaget får några sådana konsekvenser som sägs i 14 och 15 §§ kommittéförordningen. 11.1Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400) De sekretessbestämmelser som avses i 1–7 §§ ska, med undantag från vad som anges i 7 kap. 3 §, inte tillämpas på en uppgift när det finns en annan primär sekretessbestämmelse än 21 kap. 1, 3, 5 och 7 §§ till skydd för samma intresse som är tillämplig på uppgiften hos den mottagande myndigheten. Första stycket tillämpas inte på en uppgift som är tillgänglig för en myndighet på sätt som anges i 4 § första stycket och som den mottagande myndigheten enligt lag eller förordning inte får behandla. Det nya andra stycket syftar till att uppgifter – som visserligen är tillgängliga för en mottagande myndighet via direktåtkomst (eller ett liknande elektroniskt utlämnande) hos en annan myndighet men som den mottagande myndigheten enligt lag eller förordning inte får behandla – hos den mottagande myndigheten ska garanteras ett sekretesskydd som lägst motsvarar det sekretesskydd uppgiften har hos värdmyndigheten. Ändringen innebär att en mottagande myndighet vid avgörande av vilken sekretessbestämmelse – en primär sekretessbestämmelse eller en enligt 4 § samma kapitel från värdmyndigheten överförd sekundär sekretessbestämmelse – som är tillämplig för en sådan uppgift ska tillämpa den av sekretessbestämmelserna enligt vilken uppgiften är sekretessbelagd, dvs. huvudregeln i 7 kap. 3 § OSL ska gälla för sådana uppgifter. För övriga uppgifter, dvs. för vilka det saknas i lag eller förordning givna rättsliga begränsningar för den mottagande myndigheten att behandla, ska den mottagande myndighetens primära sekretess- bestämmelse även fortsättningsvis ha företräde framför den från värdmyndigheten överförda sekretessen. Ändringen innebär alltså en mer preciserad avvägning i vilka fall huvudregeln i 7 kap. 3 OSL ska stå tillbaka för undantagsregleringen i 11 kap. 8 OSL. Med uttrycket som den mottagande myndigheten enligt lag eller förordning inte får behandla avses samtliga slag av begränsningar som finns intagna i sådana författningar och som innebär att en myndighet är förhindrad att behandla en uppgift, t.ex. ändamålsbestämmelser eller sökbegränsningar som följer av författningar som reglerar behandlingen av personuppgifter hos myndigheter. Ändringen behandlas närmare i avsnitt 8.6. Integritet, effektivitet och öppenhet i en En särskild utredare ska se över den s.k. registerlagstiftningen och vissa därmed sammanhängande frågor i syfte att skapa rättsliga förutsättningar för en mer effektiv e-förvaltning, där såväl den enskildes rätt till personlig integritet som allmänhetens berättigade anspråk på insyn i den offentliga verksamheten tillgodoses. överväga om definitionen av begreppet allmän handling i tryckfrihetsförordningen (TF) är lämpligt utformad när det gäller sådana uppgifter som en myndighet har tillgång till genom s.k. direktåtkomst hos en annan myndighet eller genom liknande former av elektroniskt utlämnande och, om utredaren anser att definitionen bör ändras, lämna förslag till ändring av denna, överväga om det finns skäl att i registerförfattningar bibehålla åtskillnaden mellan olika former av elektroniskt utlämnande, göra en översiktlig inventering av registerförfattningarna och närmare analysera hur dessa fungerar inom tre olika verksamhetsområden, med beaktande av utvecklingen inom EU och utarbeta en generell modell för reglering av registerfrågor och, med modellen som mall, lämna konkreta förslag till registerförfattningar inom de tre verksamhetsområdena, och överväga vilka typer av allmänna handlingar inom de tre verksamhetsområdena som den eller de aktuella myndigheterna ska ha skyldighet att lämna ut elektroniskt och lämna de förslag som dessa överväganden föranleder. Förslagen ska syfta till att regleringen i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400, OSL) samt registerregleringen tillsammans inom respektive område ska utgöra en tydligare och mer lättillämpad helhet. De delar av uppdraget som avser frågan om definitionen av allmän handling bör ändras respektive om det finns skäl att i registerförfattningarna även fortsättningsvis bibehålla åtskillnaden mellan olika former av elektroniskt utlämnande, ska redovisas i ett delbetänkande . I den förstnämnda delen ska utredaren samråda med en parlamentarisk referensgrupp. Regeringen kommer, efter att ha inhämtat synpunkter från utredaren, att i tilläggsdirektiv precisera inom vilka tre verksamhetsområden som utredaren ska lämna förslag till registerförfattningar. Uppdraget ska slutredovisas . I princip all framställning av information hos myndigheterna sker numera på elektronisk väg. Myndigheterna tar dessutom i allt större utsträckning emot information genom elektronisk kommunikation. Härtill kommer att handlingar till stor del även lagras elektroniskt. När myndigheter ska utbyta uppgifter är det därför i stor utsträckning önskvärt att uppgiftslämnandet sker med hjälp av modern informationsteknik. Utökad elektronisk informationsöverföring mellan myndigheter effektiviserar beslutsprocesserna och medför fördelar för enskilda, eftersom insamlandet av korrekta och aktuella uppgifter underlättas och snabbare besked kan ges. Elektronisk informationsöverföring är också ekonomiskt effektiv i förhållande till uppgiftslämnande på annat sätt, t.ex. per telefon eller fax. är det av central betydelse att integritetsaspekterna beaktas. Regeringen bedriver ett omfattande förvaltningspolitiskt reformarbete som bl.a. syftar till att effektivisera förvaltningen och förenkla mötet med medborgare och företag genom elektronisk förvaltning (prop. 2009/10:175 s. 25). fastställde regeringen en handlingsplan för elektronisk förvaltning (Fi2008/491). I handlingsplanen anges som övergripande mål för e-förvaltningen att det ska vara så enkelt som möjligt för så många som möjligt att fullgöra sina skyldigheter samt att ta del av förvaltningens service. Detta övergripande mål ska uppnås med hjälp av insatser inom fyra olika områden. Ett av de insatsområden som identifieras i handlingsplanen är regelverk för myndighetsövergripande samverkan och informationshantering. För att stärka utvecklingen av e-förvaltningen och skapa goda förutsättningar för myndighetsövergripande samordning inrättade regeringen en delegation för e-förvaltning (dir. 2009:19). E-delegationen ska bl.a. koordinera de statliga myndigheternas itbaserade utvecklingsprojekt och följa upp deras effekter. Nästan varje gång elektronisk informationsöverföring mellan myndigheter ska införas, ändras eller utökas måste ändringar göras i de aktuella registerförfattningarna. Vidare måste komplicerade överväganden göras enligt offentlighets- och sekretesslagen, och även den lagen kan behöva ändras. Om de grundläggande reglerna i tryckfrihetsförordningen och offentlighets- och sekretesslagen samt den principiella uppbyggnaden av registerförfattningarna inte är anpassade till varandra – utifrån de olika intressen dessa bestämmelser avser att skydda – blir det svårt att i ett enskilt lagstiftningsärende om elektronisk informationsöverföring mellan två eller flera myndigheter hitta en lösning som är tillfredsställande från integritets-, effektivitets- och öppenhetssynpunkt. För att ytterligare kunna effektivisera förvaltningen med hjälp av modern informationsteknik är det därför viktigt dels att respektive regelverk är väl genomtänkt och så enkelt som möjligt att tillämpa, dels att dessa regelverk är förenliga med varandra. Mot denna bakgrund finns det behov av att göra en samlad översyn av dessa regelverk i relevanta delar. Med hänsyn till regelverkens komplexa natur och till att såväl som EU ser över sina respektive dataskyddsregler lämnas inledningsvis en redogörelse för internationella åtaganden och gällande svensk rätt på de aktuella områdena. De dataskyddsregler som antagits inom ramen för finns i första hand i den europeiska konventionen om skydd för enskilda vid automatisk databehandling av personuppgifter (CETS 108), den s.k. dataskyddskonventionen, och dess tilläggsprotokoll. Konventionen kompletteras av ett antal av ministerkommittén antagna rekommendationer om hur personuppgifter bör behandlas inom olika områden. har, i likhet med övriga medlemsstater i EU, anslutit sig till dataskyddskonventionen. har inlett en översyn av denna konvention. EU:s dataskyddsreglering och det svenska genomförandet Inom den f.d. första pelaren inom EU, som bl.a. innefattar den inre marknaden, preciseras och stärks dataskyddskonvention genom och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, det s.k. dataskyddsdirektivet. Syftet med dataskyddsdirektivet är dels att garantera en hög skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, dels att denna skyddsnivå ska vara likvärdig i alla medlemsstater så att staterna inte ska kunna hindra det fria flödet av personuppgifter inom EU med hänvisning till sina respektive dataskyddsregleringar. Inom den f.d. tredje pelaren, som innefattar det polisiära och straffrättsliga samarbetet, gäller rambeslut /977/RIF om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete, det s.k. dataskyddsrambeslutet. Dataskyddsdirektivet är införlivat i den nationella lagstiftningen genom personuppgiftslagen (1998:204). Denna lag innehåller generella regler som, med vissa undantag, ska tillämpas i hela samhället av både myndigheter och enskilda. Den är dock subsidiär i förhållande till annan lag eller förordning. Behov av undantag och preciseringar på olika områden kan därmed tillgodoses genom särreglering i s.k. registerförfattningar. En sådan särreglering får dock inte stå i strid med dataskyddskonventionen, dataskyddsdirektivet eller dataskyddsrambeslutet. Möjligheten att i en registerförfattning föreskriva särskilda bestämmelser för en viss typ av verksamhet har utnyttjats flitigt i den nationella lagstiftningen och det finns uppskattningsvis ca 200 registerförfattningar, t.ex. polisdatalagen (2010:361) och patientdatalagen (2008:355). Frågan om hur dataskyddsrambeslutet ska genomföras i har utretts av en särskild utredare (dir. 2010:17). Denne har lämnat förslag till genomförande i delbetänkandet Dataskydd vid euro- peiskt polisiärt och straffrättsligt samarbete (SOU 2011:20). Betänkandet bereds inom . En översyn av EU:s dataskyddsreglering Genom Lissabonfördraget har det skett vissa förändringar av betydelse för dataskyddsregleringen inom EU. Den grundläggande rätten till skydd av personuppgifter regleras i artikel 8 i EU:s stadga om de grundläggande rättigheterna, vilken har gjorts rättsligt bindande. I artikel 16 i fördraget om EU:s funktionssätt anges vidare att och rådet – i enlighet med det ordinarie lagstiftningsförfarandet – ska fastställa bestämmelser om skydd för enskilda personer vid behandling av personuppgifter hos unionens institutioner, organ och byråer och i medlemsstaterna, när dessa utövar verksamhet som omfattas av unionsrättens tillämpningsområde, samt om den fria rörligheten för sådana uppgifter. Denna bestämmelse ger således en rättslig grund för reglering av personuppgiftsskydd i alla verksamheter som omfattas av . har i ett meddelande, Ett samlat grepp på skyddet av personuppgifter i Europeiska unionen (KOM [2010] 609), aviserat en strategi för en översyn av EU:s dataskyddsreglering. I meddelandet konstateras att den teknologiska utvecklingen och globaliseringen har medfört att det finns skäl att se över för att se till att det fortfarande erbjuder ett tillräckligt skydd. Vidare konstaterar kommissionen att många intressenter har framfört att det – trots den EU-rättsliga regleringen – fortfarande finns skillnader på nationell nivå som utgör ett hinder mot den inre marknaden. Kommissionen betonar därför behovet av ytterligare harmonisering. Kommissionen framhåller också behovet av ett heltäckande dataskyddsregelverk som, till skillnad från dataskyddsdirektivet, även omfattar den f.d. tredje pelaren. I meddelandet anges att kommissionen kommer att lägga fram förslag till lagstiftning rörande den övergripande rättsliga ramen för personuppgiftsskydd . Den svenska grundlagsregleringen avseende skydd för personuppgifter har det i 2 kap. 3 § andra stycket regeringsformen (RF) föreskrivits att varje medborgare, i den utsträckning som närmare anges i lag, ska skyddas mot att hans eller hennes personliga integritet kränks genom att uppgifter om honom eller henne registreras med hjälp av automatisk databehandling. Bestämmelsen utgjorde inte något individuellt rättighetsskydd för enskilda, utan innebar endast att lagstiftaren var skyldig att i lag upprätthålla någon form av integritetsskydd i fråga om automatiserad behandling av personuppgifter. ersattes nämnda bestämmelse av en ny bestämmelse i 2 kap. 6 § andra stycket RF, enligt vilken var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Begränsningar av denna fri- och rättighet får dock enligt 2 kap. 20 § första stycket 2 RF under vissa förutsättningar göras i lag. I en övergångsbestämmelse anges att äldre föreskrifter som innebär betydande intrång i den personliga integriteten behåller sin giltighet, dock längst t.o.m. . Grundlagsändringen medför bl.a. att viss personuppgiftsbehandling som regleras i förordning måste regleras i lag. Allmänhetens möjlighet till insyn i den offentliga förvaltningen är av avgörande betydelse för en väl fungerande demokrati. har denna grundläggande rättighet – offentlighetsprincipen – varit reglerad i den svenska grundlagen. Offentlighetsprincipen innebär att allmänheten och massmedierna ska ha möjlighet till insyn i statens och kommunernas verksamhet. Offentlighetsprincipen kommer till uttryck på olika sätt, exempelvis genom yttrande- och meddelarfrihet för tjänstemän, genom domstolsoffentlighet och genom offentlighet vid beslutande församlingars sammanträden. När det mer allmänt talas om offentlighetsprincipen åsyftas emellertid ofta i första hand reglerna om allmänna handlingars offentlighet i 2 kap. TF. Med handling förstås enligt 2 kap. 3 § första stycket TF framställningar i skrift eller bild som kan uppfattas utan tekniskt hjälpmedel, dvs. handlingar i traditionell form. Med handling förstås därutöver upptagningar som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel. För att det ska finnas en rätt att ta del av en handling hos en myndighet krävs för det första att handlingen förvaras hos myndigheten. För det andra krävs att handlingen har nått ett sådant stadium i handläggningen att den är att betrakta som allmän. En handling måste därför antingen vara inkommen till eller upprättad hos myndigheten för att en rätt till insyn ska föreligga (2 kap. 6 och 7 §§ TF). Den som önskar ta del av en allmän handling har rätt att göra detta på två olika sätt. Personen i fråga kan antingen avgiftsfritt ta del av handlingen genom att myndigheten tillhandahåller den på stället (2 kap. 12 § TF) eller mot avgift få den utlämnad till sig i avskrift eller kopia (2 kap. 13 § TF). En upptagning för automatiserad behandling behöver dock aldrig lämnas ut i annan form än utskrift i större utsträckning än vad som följer av lag. Syftet med detta s.k. utskriftsundantag är att förhindra att utlämnade uppgifter behandlas automatiserat på ett sätt som kan medföra otillbörliga integritetsintrång (prop. 1973:33 s. 85 f.). Potentiella handlingar och färdiga elektroniska handlingar Som nämns ovan kan endast de handlingar som förvaras hos myndigheten omfattas av handlingsoffentlighet. En upptagning anses enligt 2 kap. 3 § andra stycket TF förvarad hos myndigheten om upptagningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas. För att närmare kunna avgöra om en upptagning för automatiserad behandling är tillgänglig för myndigheten brukar en uppdelning göras mellan potentiella (elektroniska) handlingar och färdiga elektroniska handlingar. En potentiell handling, dvs. en sammanställning av uppgifter som en myndighet har tekniska möjligheter att göra, är enligt 2 kap. 3 § andra stycket sista meningen TF förvarad hos myndigheten om denna kan göra sammanställningen tillgänglig med rutinbetonade åtgärder (prop. 1975/76:160 s. 90). En sådan sammanställning anses dock inte vara förvarad hos myndigheten i tryckfrihets- förordningens mening om sammanställningen innehåller personuppgifter och myndigheten enligt lag eller förordning saknar befogenhet att göra sammanställningen tillgänglig. Detta framgår av den s.k. begränsningsregeln i 2 kap. 3 § tredje stycket TF. Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Om myndigheten sålunda saknar befogenhet att ta fram vissa upplysningar ur t.ex. ett personregister är dessa upplysningar inte allmänna handlingar hos myndigheten. Syftet med begränsningsregeln är att hindra allmänheten från att kunna göra anspråk på att få ta del av information hos myndigheten som myndigheten själv, av hänsyn till enskildas personliga integritet, är förhindrad att använda sig av. Begränsningsregeln gäller alltså även om sammanställningen kan tas fram med rutinbetonade åtgärder. En färdig elektronisk handling, vilken är tillgänglig för myndigheten i uppfattbar form med tekniskt hjälpmedel som myndigheten själv utnyttjar, t.ex. en PDF-fil eller ett e-postmeddelande, anses förvarad hos myndigheten trots att det kan krävas mer än rutinbetonade åtgärder för att göra handlingen tillgänglig (prop. 2001/02:70 s. 20 f.). Färdiga elektroniska handlingar omfattas inte heller av begränsningsregeln. En upptagning anses inkommen till en myndighet när den gjorts tillgänglig för myndigheten på det sätt som anges i 2 kap. 3 § andra stycket TF, dvs. med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas (2 kap. 6 § första stycket TF). Begränsningsregeln i 2 kap. 3 § tredje stycket TF innebär att dataskyddsbestämmelser i lag eller förordning får betydelse för hur omfattande begreppet allmän handling är i praktiken. Enligt dataskyddsdirektivet och personuppgiftslagen får personuppgifter bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål (9 § första stycket c personuppgiftslagen). Enligt den s.k. finalitetsprincipen får en personuppgift inte behandlas för ett ändamål som är oförenligt med det ändamål för vilket uppgiften samlades in (9 § första stycket d). I förarbetena till personuppgiftslagen har dock uttalats att en myndighets utlämnande av personuppgifter med stöd av offentlighetsprincipen inte kan anses oför- enligt med de ändamål för vilket uppgifterna ursprungligen samlades in (prop. 1997/98:44 s. 44). Regler om s.k. ändamålsbegränsningar, dvs. bestämmelser i registerförfattningar om för vilka ändamål myndigheten får behandla uppgifterna, anses inte heller inskränka myndighetens skyldighet enligt offentlighetsprincipen att sammanställa personuppgifter (prop. 2007/08:126 s. 120 f. och prop. 2007/08:160 s. 66 f.). Sistnämnda ställningstagande harmonierar väl med det s.k. efterfrågeförbudet i 2 kap. 14 § tredje stycket TF, av vilket det följer att en myndighet inte får fråga någon som begär ut en allmän handling vem han eller hon är eller vilket syfte han eller hon har med sin begäran, i större utsträckning än vad som behövs för att myndigheten ska kunna göra en sekretessprövning. Så kallade sökbegränsningar, dvs. förbud i lag eller förordning mot att söka fram uppgifter eller göra sammanställningar med hjälp av vissa sökord, är dock i vissa fall avgörande för vilka sammanställningar som utgör allmänna handlingar. Det står nämligen klart att om den myndighet som förvarar en upptagning för automatiserad behandling under inga omständigheter får göra sammanställningar av uppgifter ur upptagningen med hjälp av vissa sökord har inte heller allmänheten rätt att ta del av en sådan sammanställning.