sou · H0B390 · 2013-01-01 00:00:00 — Rapporten har tagits fram av E-delegationens expertgrupp för juridiska frågor och innehåller en rådgivande juridisk modell för on-line- liknande utlämnanden i realtid som inte kommer i konflikt med de krav i författning som gäller för direktåtkomst, uppfyller erforderliga krav på persondataskydd och informationssäkerhet, och inte för med sig det överskott av allmänna handlingar hos mottagande myndighet som direktåtkomst anses leda till. Enligt rapporten är det rättsligt möjligt att skapa system för utlämnande på medium för automatiserad behandling som inte utgör direktåtkomst även utan att utlämnandet innefattar prövning av en fysisk person hos utlämnaren och utan att utlämnandet sker med den hypotetiska kontrollmöjlighet som en tidsfördröjning skulle ha gett. Detta gäller under förutsättning att begärande och utlämnande myndigheters informationssystem och tekniska och administrativa rutiner har utformats så att Överskottsinformation vid direktåtkomst – gällande rätt a)begärande myndighet för varje enskilt fall ansöker om att få ut vissa angivna uppgifter, b)ansökan kommer in till den utlämnande myndighetens elektroniska brevlåda, c)beslutsstödssystem införts i behörig ordning hos utlämnande myndighet, som automatiserat för varje enskilt fall 1.utför motsvarande kontroller som en befattningshavare skulle ha utfört vid en prövning från -rättssäkerhetssynpunkt (behörighet och liknande) -persondataskyddssynpunkt (t.ex. att uppgifterna behövs i ett ärende), 2.fattar individuella men automatiserade förvaltningsbeslut, för varje enskild begäran, som kan leda till bifall eller avslag, 3.expedierar beslut och begärda uppgifter till den begärande myndigheten, och 4.bevarar enligt arkivförfattningarna de handlingar som inkommer och upprättas. Det understryks i rapporten att samtliga villkor enligt modellen måste vara uppfyllda. Vidare framhålls att olika kontroller därutöver behövs, t.ex. en automatiserad kontroll mot den begärande myndighetens diarium för att få bekräftat att ärendet finns och avser den aktuella personen, att handläggaren hos den begärande myndigheten anger diarienummer eller på annat sätt gör ett intygande. Kontrollerna bör ingå i den utlämnande myndighetens automatiserade beslutssystem och kunna resultera i att den sökande myndighetens begäran bifalls, avslås eller avskiljs för fortsatt hantering. Det anges även att ett automatiserat beslutsfattande inte kan införas om utlämnande måste föregås av en sekretessprövning med en menbedömning. När en myndighet inte ges direktåtkomst till handlingar utan den utlämnande myndigheten i varje enskilt fall beslutar om handlingen ska lämnas ut enligt den ovan beskrivna modellen, blir, enligt rapporten, de handlingar som förvaras hos den utlämnande myndigheten inte på förhand tekniskt tillgängliga för den begärande myndigheten. Sådana handlingar blir därmed inte allmänna hos den mottagande myndigheten förrän den utlämnande myndigheten har lämnat ut handlingen. Genom att fatta automatiserade individuella förvaltningsbeslut förfogar den mottagande myndigheten inte över Överskottsinformation vid direktåtkomst – gällande rätt uppgifterna förrän de nått myndighetens elektroniska brevlåda (rapporten s. 7 och 13). 6Överskottsinformation vid direktåtkomst – 6.1Vad följer av det nuvarande rättsläget? Som framgått av redovisningen i bl.a. avsnitt 5.2.2 innebär bestämmelserna i 2 kap. 3 och 6 §§ TF att all elektroniskt lagrad information hos annan, t.ex. en annan myndighet (värdmyndighet), som en myndighet (mottagarmyndighet) har möjlighet att, med hjälp av utrustning som mottagarmyndigheten förfogar över, överföra till läsbar, hörbar eller annan uppfattbar form, utgör allmän handling hos mottagarmyndigheten. Detta gäller redan i och med att överföringsmöjligheten uppstår. Så kan t.ex. ske genom att det etableras elektroniska kommunikationslänkar som ger mottagarmyndigheten möjlighet att, när den så önskar eller behöver det, söka fram önskade uppgifter. Detta är en följd av det tillgänglighetsrekvisit i 2 kap. 3 § andra stycket första meningen TF som styr vad som blir en förvarad och enligt 2 kap. 6 § TF inkommen handling hos en mottagarmyndighet. För frågan om vad som utgör en inkommen allmän handling hos mottagarmyndigheten spelar det ingen roll om mottagarmyndigheten i ett enskilt fall faktiskt använder sig av möjligheten att söka fram en uppgift i den hos värdmyndigheten tillgängliga informationen. Det räcker att denna latenta möjlighet finns. Det förhållandet att värdmyndighetens information också blir allmän handling hos mottagarmyndigheten innebär att mottagarmyndigheten, i den mån en begäran om det görs hos den myndigheten, har en skyldighet att pröva en fråga om utlämnande av Överskottsinformation vid direktåtkomst – en problembeskrivning allmän handling trots att det som begärs utlämnat egentligen är en upptagning i värdmyndighetens elektroniska informationssystem. På motsvarande vis gäller att även allt som är tillgängligt för en mottagarmyndighet via internet, liksom för alla andra internetanvändare, uppfyller kraven på att vara förvarade och inkomna handlingar hos mottagarmyndigheten. Normalt anses dock information som är öppet tillgänglig för envar utgöra sådant referensmaterial som omfattas av det särskilda undantaget i 2 kap. 11 § första stycket 3 TF (den s.k. biblioteksregeln) och som därför inte anses som allmänna handlingar hos en mottagarmyndighet (prop. 2001/02:70 s. 25). Biblioteksregeln är vidare tillämplig då en mottagarmyndighet genom avtal har direktåtkomst till en värdmyndighets referensdatabas som upprättats av enskild och som omfattas av biblioteksregeln hos värdmyndigheten. I annat fall skulle enskilda via en mottagarmyndighet kunna få tillgång till referensdatabaser som inte utgör allmänna handlingar hos värdmyndigheten. Biblioteksregeln är däremot inte tillämplig då en mottagarmyndighet i särskild ordning – med eller utan stöd i uttrycklig författningsreglering om direktåtkomst eller liknande – getts elektronisk tillgång till en värdmyndighets elektroniska allmänna handlingar i dess databas, register, ärendehanteringssystem osv. på sätt som uppfyller tillgänglighetsrekvisitet i 2 kap. 3 och 6 §§ TF. Det framgår bl.a. av 2 kap. 11 § andra stycket TF. Något annat undantag i 2 kap. tryckfrihetsförordningen är inte heller tillämpligt, i vart fall inte om syftet med tillgången är att den ska kunna användas i mottagarmyndighetens verksamhet. Om en begäran om utfående av allmän handling innebär att mottagarmyndigheten ska lämna ut en sammanställning av uppgifter ur en eller flera tillgängliga och därmed inkomna upptagningar hos värdmyndigheten, en potentiell handling, gäller att mottagarmyndigheten är skyldig att göra de sökningar i och bearbetningar av värdmyndighetens information som myndigheten kan göra med vad som kan bedömas vara rutinbetonade åtgärder. Krävs det mer än mottagarmyndighetens rutinbetonade åtgärder för att ta fram sammanställningen, är den inte förvarad hos mottagarmyndigheten (2 kap. 3 § andra stycket andra meningen TF) och en begäran om Överskottsinformation vid direktåtkomst – en problembeskrivning utfående av allmän handling kan därmed avslås redan på den grunden att sammanställningen inte är en förvarad handling hos mottagarmyndigheten. Innehåller den begärda sammanställningen personuppgifter gäller därutöver att mottagarmyndigheten inte får bryta mot i lag eller förordning förbjudna sökbegrepp eller andra absoluta sökbegränsningar som gäller för mottagarmyndigheten för att ta fram sammanställningen (den s.k. begränsningsregeln, 2 kap. 3 § tredje stycket TF). Även en sådan begäran kan alltså avslås redan på den grunden att den begärda sammanställningen inte är en förvarad handling hos mottagarmyndigheten. Det är emellertid en omdiskuterad fråga vilken betydelse s.k. absoluta sökförbud – dvs. förbud mot användning av vissa sökbegrepp eller vissa sambearbetningar – i en värdmyndighets registerförfattning har för frågan om vilka sammanställningar av personuppgifter som utgör allmänna handlingar hos en mottagarmyndighet. Registerförfattningar är ofta konstruerade på det sättet att författningen i fråga anges gälla för behandling av personuppgifter i värdmyndighetens verksamhet av visst slag. Frågan är alltså huruvida även en mottagarmyndighet, som bedriver verksamhet av annat slag, utan särskild reglering omfattas av ett sådant sökförbud i en värdmyndighets registerförfattning. behandlade frågan och konstaterade att för det fall frågan besvaras nekande, skulle det innebära att mottagarmyndigheten har rätt att i sin egen verksamhet använda direktåtkomsten för att ta fram sådana sammanställningar som på grund av begränsningsregeln inte skulle vara allmänna handlingar hos värdmyndigheten. Allmänheten skulle alltså kunna vända sig till mottagarmyndigheten och begära sammanställningar av uppgifter hos värdmyndigheten som värdmyndigheten själv inte lagligen skulle ha kunnat ta fram. ansåg att en sådan tolkning av rättsläget inte är rimlig och inte kan ha varit lagstiftarens mening. Det ligger i sakens natur, framhöll utredningen, att en myndighet som ges direktåtkomst till uppgifter hos en annan myndighet aldrig kan ha vidare sökmöjligheter än värdmyndigheten själv eller rätt att ta del av sammanställningar av uppgifter som inte anses förvarade hos värdmyndigheten. Bestämmelser om sökbegrepp i registerförfattningar avseende viss angiven verksamhet måste därför, fortsatte utredningen, även utan särskild reglering gälla vid mottagarmyndighetens direktåtkomst till uppgifterna (SOU 2007:45 s. 198 f.). I ett remissyttrande efterlyste Överskottsinformation vid direktåtkomst – en problembeskrivning Kammarrätten i en närmare analys av frågan. Den lämnades dock okommenterad i efterföljande proposition och utskottsbetänkande (prop. 2007/08:160 s. 66 f. och 2008/09:KU2). Det ingår i vårt uppdrag att ta ställning till vad som bör gälla i detta avseende och vi kommer att återkomma till frågan i vårt slutbetänkande. Det råder däremot knappast någon tvekan om att en mottagarmyndighet är skyldig att göra en sökning och ta fram och lämna ut en sammanställning av tillgängliga personuppgifter, en potentiell handling, trots att mottagarmyndigheten i sin egen verksamhet inte får lov att använda sin direktåtkomst till värdmyndighetens personuppgifter i fråga enligt någon villkorad sökbegränsning eller s.k. ändamålsbegränsning i en registerförfattning. Som exempel kan nämnas om det av en registerförfattning följer att mottagarmyndigheten bara får använda sin direktåtkomst för att söka efter uppgifter om personer som är aktuella hos mottagarmyndigheten samt i en viss beskriven typsituation eller för ett visst användningsändamål (se t.ex. direktåtkomst till ospärrade patientuppgifter vid sammanhållen journalföring enligt 6 kap. 3 § och 4 § andra stycket patientdatalagen). Ett annat exempel är en begränsning som innebär att det i en registerförfattning anges att en tillåten direktåtkomst bara får avse personer som är aktuella i ärenden hos mottagarmyndigheten (se t.ex. 2 kap. 8 § lagen [2001:181] om behandling av uppgifter i beskattningsverksamhet). Begränsningar av denna typ innebär alltså ingen inskränkning av vilka sammanställningar en mottagarmyndighet på begäran är skyldig att göra om uppgifter om alla registrerade i värdmyndighetens databas har gjorts tekniskt tillgängliga för mottagarmyndigheten. Beträffande sådana färdiga elektroniska handlingar hos en värdmyndighet som är tekniskt tillgängliga för en mottagarmyndighet, gäller att de alltid är färdiga elektroniska handlingar också hos mottagarmyndigheten. har alltså motsvarande skyldigheter som värdmyndigheten att ta fram och lämna ut sådana handlingar. Vid en begäran om utfående av värdmyndighetens färdiga elektroniska handlingar är mottagarmyndigheten således skyldig att leta fram handlingen hos värdmyndigheten även om det kräver mer Överskottsinformation vid direktåtkomst – en problembeskrivning än rutinbetonade åtgärder och även om det är oförenligt med någon villkorad sökbegränsning som gäller för mottagarmyndigheten. I vilken mån eventuella absoluta sökförbud i en registerförfattning är tillämpliga då en myndighet ska leta fram en färdig elektronisk handling som en enskild begärt att få ta del av enligt 2 kap. tryckfrihetsförordningen framstår som oklart (se SOU 2010:4 s. 283 f. och Per rättsutredning i samma betänkande s. 489 f.). Offentlighets- och sekretesskommittén (OSEK) uttalade för sin del att en begräsning i rätten att använda ett visst sökbegrepp torde ha (kurs. här) betydelse för en myndighets skyldighet att leta fram handlingar, där begäran om att få ta del av de färdiga elektroniska handlingarna inte har preciserats närmare än att handlingarna exempelvis ska innehålla ett ord som omfattas av sökbegränsningen (SOU 2001:3 s. 145). 6.1.4Begreppen överskottsinformation och direktåtkomst I våra direktiv sägs att en mottagarmyndighet vid registerförfattningsreglerad direktåtkomst till en annan myndighets uppgifter rent tekniskt måste ha möjlighet att ta del av uppgifter rörande alla personer som är registrerade hos värdmyndigheten därför att mottagarmyndigheten inte i förväg kan veta vilka personer som kan komma att bli aktuella hos myndigheten (dir. 2011:86 s. 12). Uppgifter som genom direktåtkomst har överförts till den mottagande myndigheten i ett enskilt fall, t.ex. i ett ärende, anses insamlade hos mottagarmyndigheten enligt personuppgiftslagen och tillämplig registerförfattning. Överskottsinformation beskrivs i direktiven som uppgifter som mottagarmyndigheten rent tekniskt har tillgång till i samband med direktåtkomst men som mottagarmyndigheten vid ett givet tillfälle inte har rätt att behandla enligt den tillämpliga registerförfattningen, t.ex. därför att myndigheten inte har något ärende rörande aktuella personer. Sådana uppgifter är inte insamlade i personuppgiftslagens mening hos mottagarmyndigheten. Detsamma anges i direktiven gälla uppgifter som visserligen avser personer som är aktuella hos myndigheten, men där uppgifterna ännu inte behandlats genom att faktiskt överföras till mottagarmyndighetens verksamhet. Icke överförda men tillgängliga personuppgifter är alltså inte insamlade eller annars behandlade av mottagarmyndigheten bara därför att de är inkomna och förvarade handlingar i tryckfrihetsförordningens mening. Överskottsinformation vid direktåtkomst – en problembeskrivning En aktiv överföring till mottagarmyndigheten i någon form krävs också för att upptagningarna ska bli att betrakta som i förvaltningsrättslig mening inkomna till mottagarmyndigheten, dvs. för att beaktas i ärendehandläggning eller för myndighetens dokumentation av faktisk verksamhet. Som exempel innebär tekniska tillgång genom direktåtkomst till databaser alltså inte att de endast latent tillgängliga uppgifterna anses inkomna i förvaltningslagens mening till . Inte heller innebär enbart själva tillgängligheten att uppgifterna behandlas i verksamhet på ett sådant sätt som omfattas av registerförfattning, lagen (2001:184) om behandling av uppgifter i verksamhet. I nu aktuella hänseenden kan det alltså föreligga en väsentlig diskrepans i fråga om tidpunkten för när värdmyndighetens upptagningar också blir att anse som mottagarmyndighetens. Tryckfrihetsförordningens inkommandetidpunkt ligger normalt än vad som följer av förfarande- och registerförfattningsregleringen eftersom det i sistnämnda hänseenden krävs något slags faktisk överföringsaktivitet från mottagarmyndighetens sida för att konstituera informationen som i förvaltningsrättslig mening inkommen till eller insamlad av mottagarmyndigheten, dvs. för att den ska anses utgöra en del av mottagarmyndighetens verksamhetsinformation. Vidare ska framhållas att för frågan om vad som i tryckfrihetsförordningens mening blir allmänna handlingar hos en mottagarmyndighet vid olika slags elektroniska informationsutbyten saknar det självständig betydelse huruvida det är eller inte är fråga om ett utlämnande där formen för utlämnandet från värdmyndigheten är särskilt reglerad i registerförfattning. Inte heller har det någon avgörande betydelse om utlämnandet är reglerat som direktåtkomst, utlämnande på medium för automatiserad behandling eller med användande av något annat begrepp. Det är den faktiska tillgängligheten, den tekniska möjligheten att förfoga över upptagningen för överföring till läsbar form, som styr huruvida informationen i tryckfrihetsförordningens mening är förvarad och inkommen hos en mottagande myndighet eller inte. Den frågan får avgöras utifrån en bedömning av de faktiska förhållandena i det enskilda fallet. Det kan alltså i princip tänkas förekomma författningsreglerat informationsutbyte som visserligen benämns direktåtkomst men där systemen för informationsutbytet är så pass finmaskigt kalibrerade Överskottsinformation vid direktåtkomst – en problembeskrivning att det inte uppstår någon sådan överskottsinformation som mottagarmyndigheten enligt någon absolut eller villkorad sökbegränsning inte får ta del av, utan där mottagarmyndighetens åtkomst faktiskt har begränsats till enbart uppgifter som konkret behövs (eller kommer att behövas) i verksamheten. Det kan å andra sidan på inget sätt uteslutas att det förekommer informationsutbyte som visserligen klassificerats som uppgiftsutlämnande på medium för automatiserad behandling men som närmare betraktat visar sig generera överskottsinformation av det slag som beskrivits. Över huvud taget är begreppet direktåtkomst svårt att avgränsa sakligt och rättsligt i förhållande till annat näraliggande elektroniskt utlämnande. Begreppet direktåtkomst kommer att behandlas närmare i kapitel 9. I det följande används begreppet för att beskriva sådant elektroniskt utlämnande av information från en värdmyndighet till en mottagarmyndighet som sker i särskild ordning – genom medvetet upprättade kanaler som syftar till en effektiv och säker informationsförsörjning – och som innebär att informationen görs tillgänglig för mottagarmyndigheten i den mening som avses i 2 kap. 3 § andra stycket och 6 § TF. Det ska vidare framhållas att inte heller termen överskottsinformation har någon i rättslig mening bestämd innebörd. Även sakligt sett är begreppet svårt att bestämma. I lagstiftningssammanhang används termen allmänt för att beskriva irrelevant, icke efterfrågad eller i vart fall primärt överflödig information. Inte sällan förekommer termen i samband med diskussioner kring olika problem från bl.a. integritetssynpunkt som tillgång till sådan information kan medföra. Särskilt omdiskuterat har t.ex. varit huruvida brottsbekämpande myndigheter ska få använda sig av överskottsinformation vid användning av hemliga tvångsmedel (se t.ex. regleringen i 27 kap. 23 a § ). Det torde närmast vara i det sammanhanget som termen har haft mer vedertagen användning. Men även i andra sammanhang har termen överskottsinformation haft ett vidare användningsområde, bl.a. i förarbeten som rört dataskyddsreglering eller annan integritetsskyddsreglering, t.ex. i förarbetena till lagstiftningen om genetisk integritet (prop. 2005/06:64 s. 73) och om förstärkt integritetsskydd i försäkringssammanhang (prop. 2009/10:241 s. 22). När vi i det följande talar om överskottsinformation avses, om inget annat anges, genom direktåtkomst tillgänglig information som en mottagarmyndighet endera inte har rätt att ta del av eller Överskottsinformation vid direktåtkomst – en problembeskrivning som den visserligen får ta del av men där detta ännu inte har skett i den meningen att mottagarmyndigheten har vidtagit någon åtgärd i syfte att överföra informationen till sig. Överskottsinformation i nu angiven mening omfattar således dels sådana uppgifter som en mottagarmyndighet saknar rätt att ta fram i sin verksamhet, dels sådana uppgifter som den visserligen får men ännu inte har tagit fram eller kanske aldrig kommer att behöva ta fram i sin verksamhet. Med överskottsinformation avses vidare sådana uppgifter som mottagarmyndigheten visserligen tidigare haft rätt att ta del av men där rätten att göra detta har upphört, t.ex. därför att det inte längre finns något pågående ärende som tillgängliga uppgifter behövs i. I begreppet överskottsinformation inkluderar vi således inte sådan allmänt tillgänglig överflödig information som envar kan ha tillgång till, t.ex. information som en värdmyndighet håller tillgänglig på sin externa webbplats. Som har framgått ovan anses information av det slaget normalt omfattas av den s.k. biblioteksregeln i 2 kap. 11 § första stycket 3 TF vilket innebär att sådant material, trots att det är både förvarat och inkommet enligt huvudreglerna i 2 kap. 3 och 6 §§ TF, undantas från att vara allmänna handlingar (se även SOU 2001:3 s. 174). I det följande beskrivs en mottagarmyndighets tillgång till överskottsinformation som en passiv uppgiftstillgång till skillnad från den aktiva tillgång myndigheten har till sina egna informationssamlingar eller till den del av värdmyndighetens information som faktiskt används på något sätt av mottagarmyndigheten. Detta gäller oavsett om det är fråga om oreglerad eller reglerad direktåtkomst och oberoende av hur tillgängligheten i det senare fallet benämns. 6.2Vilka problem finns med överskottsinformation vid direktåtkomst och 2 kap. tryckfrihetsförordningen? 6.2.1Förekomsten av överskottsinformation vid direktåtkomst m.m. Vi har inte bedömt det som meningsfullt att försöka göra någon närmare kartläggning av omfattningen av förekomsten av överskottsinformation vid statliga eller kommunala myndigheters tillgång till information genom direktåtkomst. Det är emellertid uppenbart att Överskottsinformation vid direktåtkomst – en problembeskrivning överskottsinformation i nu aktuell mening förekommer i tämligen stor omfattning. Man kan i vart fall utgå från att överskottsinformation förekommer i den mån det föreligger reglering i registerförfattningar genom bestämmelser i lag eller förordning om direktåtkomst till personuppgifter. Sådan reglering har tillkommit efter avvägningar mellan, å ena sidan, de effektivitetsskäl som talar för fritt elektroniskt informationsbyte mellan myndigheter och, å andra sidan, de integritetsskyddsaspekter som talar mot att mer eller mindre ömtåliga uppgifter om kanske en större mängd personer görs tillgängliga för andra myndigheter trots att något konkret behov av flertalet av de utlämnade uppgifterna kanske aldrig kommer att uppstå. Det förekommer därför att direktåtkomstregleringen förenas med villkor om sökförutsättningar, behörighetsbegränsningar eller liknande som syftar till att garantera att direktåtkomsten inte medför obefogade intrång i de registrerades personliga integritet. Som har framgått förekommer det emellertid även oreglerat elektroniskt utlämnande av personuppgifter genom direktåtkomst. Avvägningarna får i de fallen förutsättas ha skett av den personuppgiftsansvariga värdmyndigheten inom ramen för vad personuppgiftslagen eller eventuell tillämplig registerförfattning medger. Vilka avvägningar som ligger bakom förekomsten av regler om direktåtkomst eller liknande utlämnandeformer i specifika fall har ingen omedelbar betydelse i det nu aktuella sammanhanget och vi har inte anledning att närmare gå in på detta. Avvägningarna kan nämligen inte göras utifrån generella utgångspunkter utan olika faktorer spelar in. Integritetskänsligheten i värdmyndighetens personuppgiftssamlingar är exempelvis en viktig faktor som inte kan bedömas generellt utan är i hög grad varierande. Sekretessförhållanden spelar också in. Ett annat exempel på en faktor som kan inverka på avvägningar av det nu aktuella slaget är vilket sakligt samband det finns mellan värdmyndigheten och tilltänkta mottagarmyndigheter och deras respektive verksamheter.