sou · H0B390 · 2013-01-01 00:00:00 — Allmänna handlingar ska som huvudregel registreras så snart de kommit in till eller upprättats hos en myndighet, se 5 kap. 1 § OSL. Vissa undantag härifrån gäller dock. Av intresse i detta sammanhang är undantaget i paragrafens andra stycke. Enligt detta gäller att en upptagning som är en allmän handling och som en myndighet har elektronisk tillgång till hos en annan myndighet endast ska registreras av den myndighet som gjort upptagningen tillgänglig för den andra myndigheten. Skälet härtill är att mottagande myndighet inte nödvändigtvis känner till att upptagningen har gjorts tillgänglig och därför i praktiken inte har någon möjlighet att fullgöra en registreringsskyldighet för egen del. Vid direktåtkomst och liknande finns således ingen omedelbar skyldighet för mottagande myndigheter att registrera varje åtkomlig upptagning, så länge som åtkomsten avser annan svensk myndighets upptagning. Däremot följer, som framgått, av 4 kap. 2 § OSL att varje mottagande myndighet måste informera om direktåtkomsten i sina respektive beskrivningar av myndighetens allmänna handlingar. Slutligen kan här nämnas att allmänna handlingar, inklusive upptagningar, enligt arkivlagens huvudregel ska bevaras. Denna huvudregel är dock inte utan undantag. För elektronisk information gäller ett undantag som är av särskilt intresse för myndighetsövergripande informationssystem, direktåtkomstlösningar och liknande. Upptagningar för automatisk behandling som är tillgängliga för flera myndigheter så att de utgör allmänna handlingar hos alla dessa myndigheter, ska bilda arkiv endast hos en av myndigheterna (3 § arkivlagen). Samma upptagning ska alltså inte bevaras och bilda arkiv hos alla myndigheterna. I första hand ska arkivbildning ske hos den myndighet som svarar för huvuddelen av upptagningen. Av förarbetena framgår emellertid att andra lösningar är tillåtna och att beslut om var arkivering ska ske får fattas av vederbörande arkivmyndighet (prop. 1989/90:72 s. 70). Bestämmelsen i 3 § arkivlagen var när den tillkom 1991 i första hand avsedd för de fall då en central myndighet delade ett system med lokala och regionala myndigheter inom samma organisation. Den myndighet som ansvarar för utveckling, drift och dokumentation av ett system har enligt bestämmelsen ansvaret för att bevara upptagningar och sammanställningsmöjligheter i systemet. Undantaget avser inte handlingar som inhämtas från en annan myndighet eller motsvarande för att utgöra underlag i ärendehandläggningen. I sådana fall gäller att handlingarna ska bevaras hos den handläggande Överskottsinformation vid direktåtkomst – gällande rätt myndigheten i sådan form att de utan omgång kan presenteras tillsammans med övriga handlingar i ärendet. Någon specialreglering av hos vilken myndighet arkivbildning ska ske finns inte för det fall flera myndigheter har elektronisk tillgång till en enskilds eller en utländsk myndighets upptagning på ett sätt som medför att den blir allmän handling hos alla anslutna svenska myndigheter. Arkivbildning ska i princip ske hos endast en av myndigheterna. Uppgifter kan lämnas ut från myndigheter på olika sätt, t.ex. via pappersutskrifter av elektroniskt lagrade uppgifter som postas eller skickas med telefax. Utlämnande kan också ske i elektronisk form. Den elektroniska formen inrymmer i sig ett stort antal variationer såsom användning av e-post, direktöverföring mellan elektroniska informationssystem via telenätet eller genom att mottagaren ges möjlighet att själv bereda sig elektronisk tillgång till och ta del av den utlämnande myndighetens elektroniska informationssamlingar, antingen i dess helhet eller i förutbestämda delar eller enbart utifrån på förhand fastställda kriterier för tillgång till vissa kategorier av uppgifter. Det förekommer också myndighetsgemensamma register eller andra informationssystem där de deltagande myndigheterna dels registrerar och lagrar egna uppgifter, dels har möjlighet att ta del av uppgifter som andra myndigheter har registrerat i det myndighetsgemensamma systemet. I många registerförfattningar och andra författningar som reglerar personuppgiftsbehandling hos myndigheter finns bestämmelser av vilka framgår inte bara för vilka ändamål personuppgifter som behandlas elektroniskt hos myndigheten får lämnas ut till andra myndigheter utan som också anger i vilken mån detta får ske elektroniskt, vanligen genom direktåtkomst eller genom utlämnande på medium för automatiserad behandling. Personuppgiftslagen och det underliggande s.k. dataskyddsdirektivet saknar emellertid särskilda bestämmelser om, eller under vilka förutsättningar, uppgifter får lämnas ut i elektronisk form. Någon principiell åtskillnad mellan utlämnande av personuppgifter genom direktåtkomst eller utlämnande genom att en pappersutskrift av elektroniskt lagrad information skickas i väg med posten görs inte. Båda varianterna utgör behandling av personuppgifter Överskottsinformation vid direktåtkomst – gällande rätt enligt begreppets definition i 3 § PUL. Genom att utlämnandeformen direktåtkomst allmänt sett anses innebära särskilda risker för otillbörliga integritetsintrång har det dock i en mängd lagstiftningsärenden ansetts att direktåtkomsten bör särregleras i registerförfattningar. Det ska dock påpekas att direktåtkomst till personuppgifter förekommer även utan stöd i registerförfattningar. För en närmare analys av själva begreppet direktåtkomst, olika varianter på författningsregleringar samt avgränsningen mellan direktåtkomst och utlämnande på medium för automatiserad behandling hänvisas till kapitel 9. 5.5.1Sekretessbrytande regler som tar sikte på utlämnande genom direktåtkomst Bestämmelser om direktåtkomst i registerförfattningar brukar formuleras så att en myndighet ges rätt att få ha direktåtkomst till ett visst register eller vissa uppgifter hos en annan myndighet eller, omvänt, att en myndighet får medge annan myndighet direktåtkomst till sina elektroniska register eller andra informationssamlingar. Sådana bestämmelser innebär dock bara en specialreglering i detta avseende av formen för hur uppgifter får lämnas ut. Eftersom själva utlämnandeformen i sig anses medföra särskilda risker för intrång i enskildas personliga integritet förekommer författningsreglering som begränsar utrymmet för direktåtkomst även såvitt avser personuppgifter som är offentliga. Bestämmelser om direktåtkomst anses inte ha någon sekretessbrytande verkan (se t.ex. prop. 2004/05:164 s. 83). Avser direktåtkomst uppgifter som omfattas av sekretess hos den utlämnande myndigheten krävs därför författningsstöd i någon sekretessbrytande regel eftersom sekretess även gäller mellan myndigheter (se 8 kap. 1 § OSL). Sådana sekretessbrytande regler måste omfatta hela det initiala tillgängliggörandet eftersom, som tidigare framgått, redan detta tillgängliggörande för andra myndigheter innebär ett utlämnande i tryckfrihetsförordningens och offentlighets- och sekretesslagens mening. Sekretessregleringen styr således i vilken mån uppgifter över huvud taget får lämnas ut från en myndighet till en annan myndighet, medan bestämmelser om direktåtkomst enbart tar sikte på att reglera formen för utlämnandet. Det sagda har därför i ett flertal lagstiftningsärenden vid reglering av informationsutbyte mellan Överskottsinformation vid direktåtkomst – gällande rätt myndigheter inneburit att bestämmelserna om direktåtkomst har kompletterats med sekretessbrytande bestämmelser. Dessa har i allmänhet getts formen av sådana föreskrifter i lag eller förordning om uppgiftsskyldighet som avses i 10 kap. 28 § OSL. Det är vanligt att de sekretessbrytande bestämmelserna formulerats som en rätt för mottagande myndighet att ta del av uppgifter, se t.ex. 2 kap. 16 § polisdatalagen (2010:361) och 4 § förordningen (2001:588) om behandling av uppgifter i beskattningsverksamhet. Den sekretessbrytande uppgiftsskyldigheten får således utläsas motsatsvis. Det förekommer emellertid även registerförfattningsreglerad direktåtkomst till sekretessbelagda personuppgifter med stöd av den sekretessbrytande generalklausulen i 10 kap. 27 § OSL. Generalklausulen föreskriver sekretessgenombrott om det vid en bedömning framstår som uppenbart att intresset av att uppgiften lämnas ut har företräde framför det intresse som sekretessen ska skydda. Ett exempel på detta är , polismyndigheternas och utlandsmyndigheternas direktåtkomst till verksamhetsregister, se 6 § förordningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Denna bestämmelse om direktåtkomst saknar alltså någon korresponderande bestämmelse om uppgiftsskyldighet från till nämnda myndigheter trots att uppgifterna normalt omfattas av stark sekretess enligt 37 kap. 1 § OSL. En sådan korresponderande bestämmelse om uppgiftsskyldighet föreslogs av i betänkandet Ut- länningsdatalag, se SOU 2003:40. förslag har dock inte lett till lagstiftning. Det är vanligt förekommande att registerförfattningar stadgar att en myndighet får ha direktåtkomst endast till vissa angivna typer av uppgifter hos en annan myndighet beträffande personer som är aktuella i ärenden hos den mottagande myndigheten. Detta innebär att myndigheten bara får söka efter uppgifter om en person efter det att personen har blivit aktuell i ett ärende hos myndigheten. Rent tekniskt måste dock myndigheten normalt ges möjlighet att ta del av sådana uppgifter beträffande alla personer som är registrerade hos den utlämnande myndigheten. Detta då varken den utlämnande eller den mottagande myndigheten i förväg kan veta vilka personer som kan komma att bli aktuella i ärenden hos den mottagande myndigheten. Tolkningen av begränsningsregeln i 2 kap. 3 § tredje stycket TF har därför behandlats i flera lagstift- Överskottsinformation vid direktåtkomst – gällande rätt ningsärenden rörande elektroniskt informationsutbyte mellan myndigheter. Det har då konstaterats att som huvudregel blir sådan överskottsinformation som en myndighet rent tekniskt har tillgång till hos en annan myndighet i samband med direktåtkomst att betrakta som en allmän handling hos den mottagande myndigheten, även om den mottagande myndigheten enligt den tillämpliga registerförfattningen vid ett givet tillfälle inte har rätt att behandla uppgifterna för egen del. Det sagda anses dock inte gälla beträffande uppgifter som omfattas av ett absolut s.k. sökförbud enligt den aktuella registerförfattningen (prop. 2007/08:126 s. 120 f. och prop. 2007/08:160 s. 66 f.). Resonemangen bakom denna bedömning kommer att närmare redovisas nedan i avsnitt 5.9.1 och 5.9.2. De sekretessbrytande regler som ska möjliggöra uppgiftsutbytet måste bl.a. av detta skäl normalt omfatta även sådan överskottsinformation som den utlämnande myndigheten rent tekniskt gör tillgänglig för den mottagande myndigheten i samband med direktåtkomst (prop. 2007/08:160 s. 70 f.). Sådana sekretessbrytande bestämmelser har således ett relativt omfattande tillämpningsområde. 5.5.2Sekretesskydd hos mottagande myndighet 5.5.2.1Allmänt om behovet av sekretesskydd hos mottagande myndighet En annan fråga vid myndighetsövergripande informationsutbyten genom direktåtkomst till integritetskänsliga personuppgifter är vilket sekretesskydd, om något, som de genom direktåtkomsten tillgängliggjorda uppgifterna får hos en mottagande myndighet. Att frågan är central beror främst på det som sagts om att alla tekniskt sett åtkomliga upptagningar med personuppgifter inklusive överskottsinformation normalt sett blir allmän handling hos mottagande myndighet redan i och med att det tekniska tillgängliggörandet etableras. Begränsningar i registerförfattningar angående t.ex. villkor som måste vara uppfyllda för att den mottagande myndigheten ska få använda direktåtkomst och ta del av tillgängliga upptagningar anses, som sagts, inte utgöra sådana begränsningar som avses i begränsningsregeln i 2 kap. 3 § TF som alltså styr om en sammanställning utgör en allmän handling eller inte. Överskottsinformation vid direktåtkomst – gällande rätt Det är vidare en huvudregel i sekretesslagstiftningen att sekretess normalt sett inte följer med uppgifter när de lämnas ut från en myndighet till en annan myndighet. Anledningen till detta är att inskränkningar i offentlighetsprincipen inte enbart bör bestämmas med hänsyn till sekretessintresset. Sekretessintresset måste vid utformningen av regleringen vägas mot insynsintresset i en myndighets verksamhet. En sådan avvägning kan medföra att samma uppgift omfattas av sekretess hos en viss myndighet men inte när den förekommer i en annan myndighets verksamhet (prop. 1979/80:2 Del A s. 75 f.). Förekomsten av direktåtkomst och problemet med överskottsinformation har emellertid föranlett införandet av tre specialbestämmelser i offentlighets- och sekretesslagen, 11 kap. 4 §, 25 kap. 2 § samt 15 kap. 1 a §, vilka behandlas i det följande. 5.5.2.2Den generella regeln om överföring av sekretess till mottagande myndighet vid direktåtkomst Eftersom det inte alltid finns sekretessbestämmelser som är tillämpliga på sådan överskottsinformation som myndigheten får teknisk tillgång till vid direktåtkomst har det vidare, för det fall uppgifterna omfattas av sekretess hos den utlämnande myndigheten, införts en generell bestämmelse om överföring av sekretess vid direktåtkomst, numera intagen i 11 kap. 4 § OSL. I bestämmelsens ordalydelse används dock inte begreppet direktåtkomst utan där anges att om en myndighet hos en annan myndighet har elektronisk tillgång till en upptagning för automatiserad behandling och en uppgift i denna upptagning är sekretessreglerad, blir sekretessbestämmelsen tillämplig även hos den mottagande myndigheten. Med detta menas att upptagningen ska vara tillgänglig hos den mottagande myndigheten på ett sådant sätt som avses i 2 kap. 3 § TF (prop. 2007/08:160 s. 164). Sekretessen överförs dock inte när det gäller tillgängliga uppgifter som tas in i beslut hos den mottagande myndigheten. Vidare gäller enligt 11 kap. 8 § OSL att sekretess som är direkt tillämplig hos den mottagande myndigheten, s.k. primär sekretess, har företräde framför överförd sekretess och det oavsett om den primära sekretessen är starkare eller svagare än den överförda sekretessen. Även uttryckliga undantag från den primära sekretessbestämmelsens tillämpningsområde har företräde framför den överförda sekretessen. Överskottsinformation vid direktåtkomst – gällande rätt I praktiken syftar regleringen till att överskottsinformation, alltså sådan information som är tillgänglig för men inte används av en mottagande myndighet, ska behålla sin sekretessreglering genom den överförda sekretessen ifall det inte finns någon primär sekretessbestämmelse hos mottagarmyndigheten som är tillämplig på överskottsinformationen. I de fall direktåtkomsten faktiskt används av den mottagande myndigheten till att bereda sig tillgång till uppgifter, t.ex. genom läsning eller uttag ur en tillgänglig upptagning, så medför konstruktionen att dessa uppgifter normalt omfattas av en för den mottagande myndighetens verksamhet tillämplig primär sekretessbestämmelse. I samband med införandet av de nu aktuella bestämmelserna gjordes bedömningen att undantagsregeln innebar att bestämmelsen om överföring av sekretess vid direktåtkomst inte rubbade den grundläggande principen i sekretesslagstiftningen att sekretessbehovet alltid ska vägas mot insynsintresset samt att denna avvägning kan utfalla på skilda sätt hos olika myndigheter och inom olika områden (prop. 2007/08:160 s. 34 och 75 f.). Om uppgifterna har ett svagare sekretesskydd hos den mottagande myndigheten än hos den utlämnande myndigheten kan dock undantagsregeln i 11 kap. 8 § OSL, beroende på hur sekretesskyddet hos den mottagande myndigheten är konstruerat, i vissa fall medföra att stora delar av den utlämnande myndighetens databas får ett svagare sekretesskydd hos den mottagande myndigheten, trots att detta svagare skydd är motiverat bara beträffande de uppgifter som faktiskt används i den mottagande myndighetens verksamhet. Detta kan föranleda att ytterligare överväganden görs för att åstadkomma ett skydd för sådan överskottsinformation som i och för sig är tekniskt tillgänglig för den mottagande myndigheten men som denna inte använder i sin verksamhet. I vissa fall anses problemet kunna åtgärdas genom att en teknisk spärr införs mellan den mottagande myndighetens teknikavdelning och handläggarna i den aktuella verksamheten. Spärren gör att handläggarna bara kan få tillgång till uppgifter om sådana personer som faktiskt är aktuella i verksamheten. I motiven till de utökade möjligheterna till elektroniskt informationsutbyte mellan myndigheter som handhar de ekonomiska trygghetssystemen anfördes att den utlämnande myndighetens starkare sekretess kommer i sådana fall att överföras till teknikavdelningen enligt överföringsbestämmelsen i 11 kap. 4 § OSL. Uppgifter som passerar den tekniska spärren för att faktiskt användas i den aktuella verksamheten Överskottsinformation vid direktåtkomst – gällande rätt kommer dock att omfattas av den svagare sekretessen i denna verksamhet (se prop. 2007/08:160 s. 95 f.). 5.5.2.3Absolut sekretess för överskottsinformation vid sammanhållen journalföring Eftersom s.k. överskottsinformation som blir tekniskt tillgänglig för den mottagande myndigheten i samband med direktåtkomst normalt är allmän handling hos den mottagande myndigheten, kan allmänheten begära att få ta del av även sådana uppgifter hos den mottagande myndigheten som den mottagande myndigheten annars av integritetsskäl skulle vara förhindrad att ens titta på. En sådan situation förutsågs i samband med antagandet av patientdatalagen (2008:355). Vid sammanhållen journalföring mellan flera olika vårdgivare – vilket kan innebära olika slags systemlösningar där vårdgivare kan ge och få direktåtkomst till varandras patientinformation – kan en mottagande vårdgivare (vårdgivare ) enligt patientdatalagen som huvudregel bara ta del av patientuppgifter som andra vårdgivare lagt in i systemet om a) vårdgivare har en aktuell patientrelation med patienten i fråga, b) uppgifterna kan antas ha betydelse för vården och c) patienten dessutom lämnar sitt aktiva samtycke till att vårdgivare tar del av andra vårdgivares uppgifter. Även om dessa förutsättningar inte är uppfyllda och vårdgivare därför inte har rätt att titta på andra vårdgivares uppgifter, är dessa andra vårdgivares uppgifter allmänna handlingar hos vårdgivare förutsatt att denna är en hälso- och sjukvårdsmyndighet eller annat organ som har att tillämpa 2 kap. tryckfrihetsförordningen. Enskilda har därmed rätt att vända sig till vårdgivare och begära att få ta del av upptagningar som andra vårdgivare gjort tekniskt tillgängliga för vårdgivare . Med anledning av att en sekretessprövning mot ett skaderekvisit normalt kräver att befattningshavare granskar den handling som begärs ut, infördes därför en ny sekretessbestämmelse av innebörd att det gäller absolut sekretess för andra vårdgivares uppgifter som en vårdgivare har teknisk tillgång till, men som vårdgivaren inte har rätt att titta på enligt patientdatalagen. Bestämmelsen återfinns numera i 25 kap. 2 § OSL. Konstruktionen innebär att hälso- och sjukvårdspersonalen hos vårdgivare vid en begäran om utfående av sådana uppgifter inte behöver, i strid med bestämmelserna i patientdatalagen, ta del av de Överskottsinformation vid direktåtkomst – gällande rätt begärda uppgifterna för att kunna avgöra sekretessfrågan (se prop. 2007/08:126 s. 126 f.). I de fall vårdgivare däremot har rätt enligt patientdatalagen att ta del av andra vårdgivares uppgifter, dvs. förutsättningarna enligt patientdatalagen är uppfyllda, eller vårdgivare har tagit del av uppgifterna med stöd av patientdatalagens bestämmelser om sammanhållen journalföring, gäller i stället sekretess för andra vårdgivares uppgifter med ett omvänt skaderekvisit, dvs. med samma slags sekretess som enligt ordinär hälso- och sjukvårdssekretess enligt 25 kap. 1 § OSL. De resonemang som låg bakom införandet av denna nya konstruktion kommer att ytterligare beröras i avsnitt 5.9.1. 5.5.2.4Absolut sekretess för överskottsinformation vid direktåtkomst till utländska eller internationella databaser Vidare finns en införd bestämmelse (15 kap. 1 a § OSL) om absolut sekretess för sådan uppgift som en myndighet har elektronisk tillgång till i en upptagning för automatiserad behandling hos en annan stat eller mellanfolklig organisation, om myndigheten inte får behandla uppgiften enligt en bindande EU-rättsakt eller av eller EU ingånget avtal med annan stat eller mellanfolklig organisation. Bestämmelsen trädde i kraft . I motiven (prop. 2011/12:157 s. 8) konstaterades att uppgifter i utländska databaser, som i samband med direktåtkomst görs elektroniskt tillgängliga för den mottagande myndigheten, är allmänna handlingar hos den svenska myndigheten, även om myndigheten till följd av ändamålsbegränsningar eller villkorade sökbegränsningar inte har rätt att behandla uppgifterna. Vid en begäran om att få ta del av en allmän handling enligt 2 kap. tryckfrihetsförordningen är den svenska myndigheten således skyldig att söka fram och i vissa fall lämna ut uppgifter som inte omfattas av överenskommelsen om informationsutbyte, eftersom uppgifterna är tekniskt tillgängliga för myndigheten och därmed utgör allmänna handlingar. Syftet med bestämmelsen är att säkerställa att svenska myndigheter inte ska behöva göra sådana sökningar i databaser hos andra stater eller mellanfolkliga organisationer som skulle kunna anses vara i strid med unionsrätten eller våra folkrättsliga förpliktelser. För att bestämmelsen ska fylla sitt syfte i detta avseende, framhöll Överskottsinformation vid direktåtkomst – gällande rätt regeringen, måste den utformas så att den kan tillämpas utan att en sökning måste göras. Det krävdes därför att bestämmelsen skulle innebära absolut sekretess för de uppgifter som den svenska myndigheten har tillgång till i den utländska databasen men som myndigheten inte får behandla (a. prop. s. 11 f.). Eftersom det aktuella problemet uppstår vid de flesta fall av internationellt uppgiftsutbyte genom direktåtkomst, har bestämmelsen gjorts generell. I motiven ges följande exempel på informationsutbyten som bestämmelsen förutsatts omfatta (a. prop. s. 12 f.). Sökningar i EU:s viseringsdatabas får enligt VIS-rådsbeslutet endast ske för vissa närmare angivna ändamål. Rådets beslut /615/RIF av om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet, det s.k. Prüm- rådsbeslutet. Enligt Prümrådsbeslutet ska medlemsstaterna ge varandra direktåtkomst till sina DNA-, fingeravtrycks- och fordonsregister. Författningsändringar som möjliggör sådant uppgiftsutbyte har genomförts i lagen (2000:343) och förordningen (2010:705) om internationellt polisiärt samarbete. Transportstyrelsens direktåtkomst till övriga EU-medlems- staters register över vägtransportföretag enligt och rådets förordning (EG) nr 1071/2009 av om gemensamma regler beträffande de villkor som ska uppfyllas av personer som bedriver yrkesmässig trafik och om upphävande av rådets direktiv /26/EG. EU medlemsstaterna har genom och rådets direktiv /82/EU av om underlättande av ett gränsöverskridande informationsutbyte om trafiksäkerhetsrelaterade brott kommit överens om att ge varandra direktåtkomst till sina vägtrafikregister i syfte att förbättra trafiksäkerheten. 5.5.2.5Databassekretess i särskilda fall Utöver de ovan nämnda sekretessbestämmelserna kan pekas på att det finns särskilda materiella sekretessbestämmelser som reglerar sekretess i verksamhet som avser förande av eller uttag ur ett visst Överskottsinformation vid direktåtkomst – gällande rätt angivet register eller en viss databas, se t.ex. 25 kap. 16 § (donationsregistret), 27 kap. 1 § (beskattningsdatabasen), 27 kap. 3 § (tulldatabasen) eller 35 kap. 3 § (belastningsregistret).