sou · H0B390 · 2013-01-01 00:00:00 — Det finns indikationer på att det har skapats komplicerade och dyrbara tekniska lösningar för att komma runt problem som vållas av den nuvarande regleringen. Detta är givetvis negativt för strävandena när det gäller utvecklandet av en modern e-förvaltning. E-tjänster finns, som tidigare nämnts, på olika områden inom kommuner, landsting och staten. Syftet är i allmänhet både att ge medborgarna eller näringslivet en ökad service och att öka effektiviteten i förvaltningen. E-tjänster kan exempelvis innebära att enskilda, privatpersoner eller företag, lämnar uppgifter, t.ex. i en elektronisk ansökan, via en myndighets elektroniska portal eller liknande. Den enskilde har därvid ofta möjligheter att i ett serviceläge arbeta med handlingen innan han eller hon bestämmer sig för att definitivt lämna in den för fortsatt hantering It-politik, strategier och initiativ – en kort lägesbeskrivning m.m. av myndigheten, exempelvis genom att klicka på en sändikon. I detta initiala läge förekommer även att myndigheten tillhandahåller service genom hjälp för den enskilde ingivaren med att t.ex. upprätta en bygglovsansökan, en elektronisk årsredovisning, göra beräkningar (beräkningsprogram), påpekande av brister i ansökan, möjlighet att kontrollera uppgifter m.m. Tekniskt är upptagningar ofta tillgängliga för den ansvariga myndigheten (i vart fall någon tekniker) även om den enskilde fortfarande arbetar med att upprätta handlingen. Den utgör därmed en inkommen allmän handling hos myndigheten om inget undantag i 2 kap. tryckfrihetsförordningen anses tillämpligt (se Ds 2012:29 s. 52). Vidare uppfattas det som svårbedömt i vilken mån handlingsbegreppet har betydelse beträffande bl.a. sammanställningar över information, översikter, från flera myndigheter som tillhandahålls enskilda (privatpersoner eller företag) i digitala presentationsvyer. Till denna kategori hör även central förmedling och lagring av meddelanden mellan olika myndigheter och enskilda. Till detta kommer att det är en komplikation vid myndighetssamverkan att det alltid finns någon eller ett fåtal tekniker hos de involverade myndigheterna som av drifts- eller säkerhetsskäl och liknande måste kunna ha tillgång till all information, även andra myndigheters eller enskilda företags eller privatpersoners uppgifter. Gemensamt för nu angivna problemområden kan sägas vara att det genomgående handlar om information som inte är avsedd att vara eller i vart fall inte ännu bli en del av myndigheternas verksamhetsinformation. Det kan inte uteslutas att ovan nämnda rättsliga osäkerhet angående konsekvenser av tryckfrihetsförordningens tillgänglighetsrekvisit kan påverka allmänhetens förtroende för och benägenhet att använda e-tjänster. Inte minst torde detta gälla vid planerade e-tjänster inom hälso- och sjukvården där patienter ska kunna kommunicera med vårdansvarig personal m.m. Inom den kommunala sektorn har det vidare hävdats att tryckfrihetsförordningens myndighetsbegrepp och regleringen i 2 kap. 8 § TF om utväxling av handlingar inom en myndighet försvårar införandet av e-tjänster och samverkan mellan och inom olika nämnder i en kommun. Anledningen till det sägs vara att det framstår som svårt att avgöra t.ex. om och i så fall när olika inrättningar under samma nämnd uppträder som självständiga organ i förhållande till varandra. inom kommuner leder därmed till särskilda problem när det gäller att avgöra i vilken mån allmänna It-politik, strategier och initiativ – en kort lägesbeskrivning m.m. handlingar uppkommer på grund av tillgänglighetsrekvisitets tidiga förläggning av tidpunkten för när en handling ska anses inkommen. Det har också framhållits att otydligheten i begreppet allmän handling leder till att det framstår som särskilt komplicerat att leva upp till kraven på en god offentlighetsstruktur vad gäller registrering, arkivering och gallring då information samlas på gemensamma digitala samverkansplattformar eller i s.k. molntjänster m.m. Som har framhållits när det gäller e-tjänster – t.ex. olika självbetjäningstjänster med kvalificerade stödsystem, servicemässiga tillhandahållanden av olika slags sammanställda översikter eller gemensamma digitala portaler för kommunikation med flera olika myndigheter – kan det rent generellt i informationshanteringens olika skeenden vara svårt att avgöra vilken status, i tryckfrihetsförordningens mening, en upptagning har uppnått. Särskilt gäller detta vid myndighetsövergripande samarbeten hos den myndighet som är central aktör med administrativa eller tekniska uppgifter och som i sin faktiska informationshantering tillhandahåller viss service, sammanställer uppgifter från olika myndigheter, lagrar eller förmedlar information och liknande utan att för egen del ha något intresse av eller för den delen någon befogenhet att i den egna myndighetens verksamhet ta fram eller använda informationen ifråga. berörda frågeställningar och problem rörande handlingsbegreppet faller emellertid utanför de frågeställningar rörande överskottsinformation vid direktåtkomst som beskrivs i våra direktiv när det gäller uppdraget i fråga om begreppet allmän handling. Frågeställningarna tycks i stället närmast avse huruvida en myndighets faktiska behandling av uppgifter verkligen avser sådan teknisk bearbetning eller lagring som enligt 2 kap. 10 § första stycket TF är undantagen från att vara allmän handling eller sådan postförmedling som avses i 2 kap. 11 § första stycket 1 TF och som utgör ett annat undantag från status som allmän handling. Därutöver tycks frågeställningarna också röra huruvida gjorda sammanställningar i sig blir upprättade allmänna handlingar enligt 2 kap. 7 § TF hos en myndighet med centrala funktioner för en e-tjänst eller digital portal av något slag. It-politik, strategier och initiativ – en kort lägesbeskrivning m.m. En särskild fråga är också om 2 kap. 10 § TF är lämpligt utformad såvitt avser myndighetsövergripande samarbeten där enstaka tekniker har en vidsträckt tillgång till information, en tillgång som ibland kan vara svår att hävda att den endast sker för annans räkning, såsom föreskrivs i paragrafens första stycke och som krävs för att undantaget från allmän handling avseende teknisk bearbetning och lagring ska bli tillämpligt. De särskilda problemen när det gäller e-förvaltningen hos kommuner vid elektroniskt informationsflöde mellan och inom kommunala nämnder i samma kommun väcker frågeställningar beträffande bl.a. 2 kap. 8 § TF om utväxling av handlingar inom en myndighet i kombination med den tidigt förlagda tidpunkt då handlingar anses vara inkomna på grund av tillgänglighetsrekvisitet i 2 kap. tryckfrihetsförordningen. Vårt uppdrag när det gäller definitionen av allmän handling är emellertid, som redan har framhållits i avsnitt 1.3, tämligen snävt avgränsat. Det gäller enbart den specifika frågan om överskottsinformation vid direktåtkomst. Vi kommer därför inte att vidare i detta betänkande penetrera de ytterligare frågeställningar om tryckfrihetsförordningens tillämpning som nämnts ovan. 3Rättslig reglering till skydd för personuppgifter Varken svensk lagstiftning eller doktrin innehåller någon enhetlig definition av begreppet personlig integritet. Den personliga integriteten har uppmärksammats i flera statliga utredningar och varit föremål för analys i många sammanhang. har framhållit att det är svårt för att inte säga omöjligt att komma fram till en entydig och allmänt accepterad definition av begreppet personlig integritet (SOU 2007:22 s. 52). Kommittén påpekade att utformandet av integritetsskyddet i praktiken inte heller synes ha tagit utgångspunkt i en viss definition av begreppet integritet, utan arbetet har varit inriktat på att från fall till fall förbjuda sådana företeelser som inte ansetts försvarbara med hänsyn till dels skadan för den personliga integriteten, dels den skada som ett upprätthållande av integriteten skulle åsamka andra beaktansvärda intressen. I rättsordningen har med andra ord den faktiska omfattningen av den skyddade personliga integriteten kommit att bestämmas inte genom sofistikerade definitioner utan genom summan av ett stort antal skyddsregler av mycket varierande slag (a. a. s. 52). I syfte att skydda den personliga integriteten har det såväl i internationella sammanhang som i nationell lagstiftning utarbetats regler om behandling av personuppgifter. Rättslig reglering till skydd för personuppgifter 3.2Internationella åtaganden avseende persondataskyddet 3.2.1Förenta Nationernas allmänna förklaring om de mänskliga rättigheterna m.m. () generalförsamling antog en universell deklaration om de mänskliga rättigheterna – allmänna förklaring om de mänskliga rättigheterna. Deklarationen är inte formellt bindande för medlemsstaterna, men har betydelse som ett uttryck för vad den internationella opinionen kräver. I artikel 12 sägs att ingen må utsättas för godtyckliga ingripanden i fråga om privatliv, familj, hem eller korrespondens, ej heller angrepp på heder och anseende samt att envar har rätt till lagens skydd mot sådana ingripanden eller angrepp. Vidare sägs i artikel 29 att endast sådana inskränkningar i de i deklarationen angivna fri- och rättigheterna är tillåtna som fastställts i lag i uteslutande syfte att trygga tillbörlig hänsyn till och respekt för andras fri- och rättigheter samt för att tillgodose det demokratiska samhällets rättmätiga krav på moral, allmän ordning och allmän välfärd. Inom FN har också utarbetats en internationell konvention om medborgerliga och politiska rättigheter, som antogs av generalförsamlingen . anslöt sig till konventionen , varefter konventionen trädde 1976. I konventionen behandlas vad som hör till skyddet för den personliga integriteten främst i artikel 17. Enligt denna artikels punkt 1 bör ingen utsättas för godtyckliga eller olagliga ingripanden i sitt privat- och familjeliv, sitt hem eller sin korrespondens, ej heller för olagliga angrepp på sin heder och sitt anseende. Vidare sägs i punkt 2 att envar har rätt till lagens skydd mot sådana ingripanden eller angrepp. De stater som har tillträtt konventionen åläggs således vissa skyldigheter. Ett särskilt inrättat organ benämnt mänskliga rättigheterna () övervakar att de till konventionen anslutna staterna efterlever sina skyldigheter. generalförsamling antog även riktlinjer om datoriserade register med personuppgifter. Rättslig reglering till skydd för personuppgifter Den europeiska konventionen av om skydd för de mänskliga rättigheterna och de grundläggande friheterna () är inkorporerad i svensk rätt och gäller här i landet som lag (prop. 1993/94:117, 1993/94:KU24). Den har alltså inte getts ställning som grundlag. I 2 kap. 19 § RF har emellertid införts en bestämmelse om att lag eller annan föreskrift inte får meddelas i strid med åtaganden på grund av konventionen. Av betydelse för skyddet för den personliga integriteten är framför allt artikel 8 i konventionen. I artikel 8 stadgas att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Det står klart att behandling av personuppgifter och t.ex. rätt till tillgång till registrerade personuppgifter i och för sig kan falla inom tillämpningsområdet för artikel 8 i . All slags behandling av personuppgifter omfattas dock inte, utan frågan måste gälla privatliv, familjeliv, hem eller korrespondens. Primärt innebär artikel 8 att staten ska avhålla sig från ingrepp i den skyddade rättigheten. Artikeln innebär även en skyldighet för staten att vidta positiva åtgärder för att skydda den enskildes privatsfär. Sådana positiva åtgärder kan utgöras av lagstiftning, men också ha till ändamål att på annat sätt tillförsäkra medborgarna skydd mot övergrepp i särskilda situationer (, Mänskliga rättigheter i europeisk praxis, 2012, s. 347). I sin praxis har också framhållit att kravet på att ingreppet ska vara nödvändigt inte är synonymt med oundgängligt. Vad som krävs är däremot att det finns ett angeläget samhälleligt behov. Inskränkningen i den grundläggande rättigheten måste vidare stå i rimlig proportion till det syfte som ska tillgodoses genom inskränkningen. Varje konventionsstat har själv en viss frihet att avgöra om en inskränkning är nödvändig. förbehåller sig dock rätten att övervaka om denna frihet utnyttjas på ett rimligt sätt. har ansett att bestämmelserna i artikel 8 i har betydelse vid sidan av det s.k. dataskyddsdirek- Rättslig reglering till skydd för personuppgifter tivet vid bedömningen av nationella regler som tillåter behandling av personuppgifter1. antog en konvention (nr 108) till skydd för enskilda vid automatisk databehandling av personuppgifter, den s.k. dataskyddskonventionen (se prop. 1981/82:189). Konventionen trädde i kraft . Konventionens syfte är att säkerställa respekten för grundläggande fri- och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatisk databehandling av personuppgifter. Utgångspunkten är att vissa av den enskildes rättigheter kan behöva skyddas i förhållande till den princip om fritt flöde av information, oberoende av gränser, som finns inskriven i internationella överenskommelser om mänskliga rättigheter. Konventionens tillämpningsområde är enligt huvudregeln automatiserade personregister och automatisk databehandling av personuppgifter i allmän och enskild verksamhet. I konventionen anges krav på beskaffenheten av de personuppgifter som undergår automatisk databehandling, bl.a. krav på att uppgifterna ska inhämtas och behandlas på ett korrekt sätt och vara relevanta med hänsyn till ändamålet, att vissa typer av uppgifter inte får undergå automatisk databehandling om inte den nationella lagen ger ett ändamålsenligt skydd, samt att lämpliga säkerhetsåtgärder ska vidtas för att skydda personuppgifter gentemot oavsiktlig eller otillåten förstörelse. Inom pågår en översyn av denna konvention. Inom har vidare utarbetats ett flertal rekommendationer på dataskyddsområdet. 1 dom i mål nr C-465/00, C-138 och 139/01, Österreichischer Rundfunk m.fl. Rättslig reglering till skydd för personuppgifter för ekonomiskt samarbete och utveckling, , har en expertgrupp utarbetat vissa riktlinjer i fråga om integritetsskyddet och persondataflödet över gränserna2. Riktlinjerna antogs av tillsammans med en rekommendation till medlemsländernas regeringar om att beakta riktlinjerna i nationell lagstiftning. Samtliga medlemsländer, däribland , har godtagit rekommendationen och åtagit sig att följa denna. Riktlinjerna är tillämpliga på personuppgifter inom både den offentliga och privata sektorn. De gäller både för uppgifter som lagras automatiskt och som förs manuellt. Syftet med riktlinjerna är att undvika de risker för personlig integritet och individens frihet som personuppgifter kan utgöra på grund av det sätt på vilket de behandlas, på grund av uppgifternas natur eller på grund av de sammanhang i vilka de används. rekommendation finns i sin helhet återgiven i betänkande SOU 1997:39 s. 168. Där finns också en samlad redovisning av riktlinjers innehåll (s. 170–172). Se även redovisningen i SOU 2004:6 s. 41–44. 3.2.5Europeiska unionens stadga om de grundläggande rättigheterna Lissabonfördraget innebär att Europeiska unionens stadga om de grundläggande rättigheterna, tillkännagiven av parlamentet, rådet och kommissionen och anpassad , numera är rättsligt bindande. En referens till stadgan har införts i artikel 6.1 i det ändrade (prop. 2007/08:168 s. 58). I stadgan bekräftas de rättigheter som har sin grund i medlemsstaternas gemensamma författningstraditioner och internationella förpliktelser, , unionens och sociala stadgor samt rättspraxis vid Europeiska unionens domstol och Europeiska domstolen för de mänskliga rättigheterna. Stadgans syfte är att kodifiera de grundläggande fri- och rättigheter som EU redan erkänner. I stadgans artikel 7 föreskrivs att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sin korrespondens. I artikel 8 föreskrivs vidare att var och en har rätt till skydd av de 2 grundades och är ett samarbetsorgan för 34 länders regeringar. Rättslig reglering till skydd för personuppgifter personuppgifter som rör honom eller henne. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. Stadgan riktar sig till verksamhet som utförs av EU:s egna organ och institutioner och den blir tillämplig för medlemsstaterna endast i de fall där de tillämpar (artikel 51). När det gäller de garanterade rättigheternas räckvidd följer av artikel 52 i stadgan att varje begränsning i utövningen av de rättigheter och friheter som erkänns i stadgan ska vara föreskriven i lag och vara förenlig med proportionalitetsprincipen och det väsentliga innehållet i fri- och rättigheterna. I den mån rättigheterna i stadgan motsvarar rättigheter som skyddas av ska de ha samma innebörd och räckvidd som enligt konventionen. Stadgans artiklar får inte tolkas som att de inskränker eller inkräktar på rättigheter enligt andra konventioner eller överenskommelser om fri- och rättigheter. antogs och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter och att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Medlemsstaterna får inom den ram som anges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma. Sådana preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. Direktivet gäller inte för sådan behandling av personuppgifter som faller utanför unionsrätten, t.ex. allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. Direktivet omfattar alltså inte statens behandling av personuppgifter i brottsbekämpande verksamhet. Dataskyddsdirektivet är endast tillämpligt på behandling av uppgifter om fysiska personer och berör alltså inte skyddet för juridiska personer. Direktivet omfattar inte bara automatiserad behandling, Rättslig reglering till skydd för personuppgifter utan också behandling av personuppgifter som ingår eller kommer att ingå i ett register. Direktivet omfattar inte behandling av personuppgifter för privat bruk. Enligt dataskyddsdirektivet måste all behandling av personuppgifter vara laglig och korrekt. Uppgifterna måste vara riktiga och aktuella samt adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Ändamålen ska vara uttryckligt angivna vid tiden för insamling av uppgifterna. De ändamål för vilka uppgifterna senare behandlas får inte vara oförenliga med de ursprungliga ändamålen. Personuppgifter får enligt direktivet behandlas bara i vissa fall. Personuppgifter får bl.a. behandlas om den registrerade otvetydigt har lämnat sitt samtycke, om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åligger den registeransvarige eller är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning. Personuppgifter får även behandlas om intresset av att den registeransvarige får behandla uppgifterna väger tyngre än den registrerades intresse av att de inte behandlas. Vissa särskilda i direktivet angivna kategorier av uppgifter får som huvudregel inte behandlas. Det gäller uppgifter som avslöjar den enskildes ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. I direktivet görs dock undantag från denna regel i vissa särskilt angivna situationer, bl.a. med uttryckligt samtycke från den registrerade. Dataskyddsdirektivet föreskriver att den registeransvarige ska informera den registrerade om att personuppgifter är föremål för behandling och därvid redogöra för ändamålet med behandlingen. Har uppgifterna inte samlats in från den registrerade själv behöver den registeransvarige dock inte lämna någon information, om den registrerade redan känner till informationen eller om det skulle visa sig vara omöjligt eller innebära en ansträngning som inte står i proportion till nyttan. Den registrerade har dock rätt att på begäran få information om de registrerade uppgifterna. Vidare har den registrerade rätt att få sådana uppgifter som inte har behandlats i enlighet med direktivet rättade, utplånade eller blockerade. Direktivet innehåller även regler om säkerhet vid behandlingen. Rättslig reglering till skydd för personuppgifter På EU-nivå finns även kompletterande rättsakter till dataskyddsdirektivet, bl.a. det s.k. dataskyddsrambeslutet3 med särskilda regler om skydd för personuppgifter i frågor som rör polisiärt och straffrättsligt samarbete. presenterade Europeiska kommissionen ett förslag till en genomgripande reform av om skydd för personuppgifter. Förslaget innebär att dataskyddsdirektivet ska ersättas av en ny allmän dataskyddsförordning. I reformen ingår också förslag till direktiv som ska ersätta dataskyddsrambeslutet. Det huvudsakliga syftet med kommissionens förslag är att ytterligare harmonisera och effektivisera skyddet av personuppgifter i syfte att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. Eftersom regleringen föreslås få formen av en förordning och en sådan är direkt tillämplig i medlemsstaterna kommer regleringen, om förslaget genomförs, att ersätta dataskyddsdirektivet och därigenom också personuppgiftslagen (1998:204). Förslaget till förordning lämnar dock ett visst utrymme för att behålla registerförfattningar på vissa områden4. Grundläggande bestämmelser om skydd för den personliga integriteten finns i regeringsformen. I målsättningsstadgandet i 1 kap. 2 § första stycket slås det fast att den offentliga makten ska utövas med respekt bl.a. för den enskilda människans frihet och i fjärde stycket anges bl.a. att det allmänna ska värna den enskildes privatliv och familjeliv. I 2 kap. 4 och 5 §§ finns bestämmelser om absolut skydd mot allvarliga fysiska integritetsintrång bl.a. döds- och kroppsstraff. Enligt 6 § samma kapitel är var och en därutöver skyddad gentemot det allmänna mot påtvingande kroppsliga ingrepp. trädde en ny bestämmelse, 2 kap. 6 § andra stycket RF, i kraft (prop. 2009/10:80, 2009/10KU19 och 2010/11:KU4). Enligt bestämmelsen är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Bestämmelsen innebär alltså att enskilda är skyddade mot åtgärder från det all- 3Rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete. 4Regeringskansliets Faktapromemoria 2011/12:FPM117 s. 1. Rättslig reglering till skydd för personuppgifter männas sida men träffar inte åtgärder som en enskild vidtar i förhållande till en annan enskild. Bakgrunden till bestämmelsen är att det ansågs finnas vissa brister i lagstiftning som innefattade intrång i den enskildes personliga integritet.