sou · H0B390 · 2013-01-01 00:00:00 — Det sekretesskydd som finns för uppgiften hos värdmyndigheten överförs och bibehålls således vid informationsutbytet (jfr ovan angående direktåtkomst i sin ärendehandläggning till verksamhetsregister). Men om räckvidden för en tillämplig primär sekretessbestämmelse hos mottagarmyndigheten i stället är utformad så att den även omfattar överskottsinformation, t.ex. genom att den är tillämplig på alla uppgifter som är tillgängliga i viss verksamhet hos mottagarmyndigheten, oavsett om de används i verksamheten, kan det innebära att det för mottagarmyndigheten dels finns en primär sekretessbestämmelse, dels en sekundär sekretessbestämmelse, dvs. överförd sekretess, som är tillämplig för samma uppgift. När det uppstår en sådan konkurrens mellan primära och sekundära sekretessbestämmelser har, enligt vad som följer av 11 kap. 8 § OSL, mottagarmyndighetens primära sekretessbestämmelser företräde. Om värdmyndighetens och mottagarmyndighetens respektive primära sekretessbestämmelser för uppgiften skiljer sig åt vad gäller styrkan på sekretessen kan alltså sekretesskyddet för överskottsinformationen i ett sådant fall försvagas hos mottagarmyndigheten (jfr ovan angående direktåtkomst i sin registreringsverksamhet till verksamhetsregister). Om mottagarmyndighetens primära sekretessbestämmelse i stället är stark medan värdmyndighetens primära sekretessbestämmelse är svag blir konsekvensen vid tillämpningen av 11 kap. 4 och 8 §§ OSL den motsatta, dvs. att sekretesskyddet för överskottsinformationen blir starkare hos mottagarmyndigheten än hos värdmyndigheten. Är sekretessens styrka densamma i båda myndigheternas primära sekretessbestämmelser får bestämmelserna om överföring av sekretess dock ingen praktisk betydelse eftersom sekretesskyddet för överskottsinformationen blir detsamma. Om en uppgift inte är sekretessreglerad hos värdmyndigheten blir frågan om överföring av sekretess av naturliga skäl inte aktuell Sekretessregleringen av överskottsinformation vid direktåtkomst eftersom det inte finns någon sekretess att överföra. Är uppgiften däremot sekretessreglerad hos värdmyndigheten men inte hos mottagarmyndigheten innebär en tillämpning av 11 kap. 4 § att mottagarmyndigheten ska tillämpa värdmyndighetens sekretessbestämmelse för uppgiften som en sekundär sekretessbestämmelse. Sekretesskyddet för överskottsinformationen överförs och bibehålls således. Av 11 kap. 8 § OSL följer, som redovisats tidigare, att en primär sekretessbestämmelse hos mottagarmyndigheten har företräde framför den sekretess som överförs enligt 4 § i samma kapitel. Även uttryckliga undantag från den primära sekretessbestämmelsens tillämpningsområde har företräde framför den överförda sekretessen. Det innebär att om en uppgift visserligen omfattas av en primär sekretessbestämmelse hos mottagarmyndigheten men det i den primära sekretessbestämmelsen finns undantag från sekretess vilket medför att det inte råder sekretess för den aktuella uppgiften, blir uppgiften offentlig hos mottagarmyndigheten trots att sekretess för uppgiften gäller hos värdmyndigheten. 8.4.2Tillämpningen av de särskilda bestämmelserna om absolut sekretess Bestämmelsen om absolut sekretess för sådana ospärrade uppgifter som en vårdgivare har tillgång till i ett system för sammanhållen journalföring och som vårdgivaren, enligt bestämmelser i patientdatalagen, inte får titta på avser främst att skydda patientens integritet gentemot alla de vårdgivare som är anslutna till systemet med sammanhållen journalföring (prop. 2007/08:126 s. 130). Den absoluta sekretessen innebär att vårdgivaren inte behöver titta på uppgiften vid en prövning av utfående av allmän handling. Det ska noteras att även om varken 25 kap. 2 § OSL eller 11 kap. 4 § OSL hade funnits, skulle allmänhetens möjligheter att få del av allmänna handlingar hos hälso- och sjukvårdsmyndigheter ändå vara små, oavsett till vilken myndighet en begäran om att få ut sådan uppgift riktas, med tanke på att sekretess för dessa uppgifter gäller med ett omvänt skaderekvisit enligt 25 kap. 1 § OSL. Även bestämmelsen i 15 kap. 1 a § OSL om absolut sekretess för uppgifter i utländska databaser som en svensk myndighet på grund av EU-bestämmelser eller internationella avtal inte får behandla avser att begränsa myndigheters skyldighet att titta på sådana uppgifter som ett led i en sekretessprövning. Sekretessregleringen av överskottsinformation vid direktåtkomst Till skillnad från bestämmelsen i 11 kap. 4 § OSL om överföring av sekretess som gäller all slags direktåtkomst, dvs. både reglerad och oreglerad sådan, gäller bestämmelsen i 15 kap. 1 a § OSL endast sådan direktåtkomst som är reglerad i en bindande EU-rättsakt eller ett av eller EU ingånget avtal med annan stat eller organisation och 25 kap. 2 § OSL gäller endast direktåtkomst vid sammanhållen journalföring enligt patientdatalagen. 8.5Finns det behov av justeringar av befintliga bestämmelser i offentlighets- och sekretesslagen som avser att skydda överskottsinformation vid direktåtkomst? Bedömning: Konstruktionen av bestämmelserna i 11 kap. 4 och 8 §§ OSL om överföring av sekretess vid direktåtkomst medför att det finns en risk för att en tillämpning av bestämmelserna i vissa fall kan leda till att det sekretesskydd som gäller hos värdmyndigheten försvagas hos mottagarmyndigheten på ett sätt som inte är motiverat för s.k. överskottsinformation. Det finns därför ett behov av att justera dessa bestämmelser. Något behov av justering av övriga bestämmelser i offentlighets- och sekretesslagen som tar sikte på att skydda överskottsinformation vid direktåtkomst har inte framkommit. I huvudsak ger bestämmelsen i 11 kap. 4 § OSL enligt vår bedömning ett tillfredsställande sekretesskydd för överskottsinformation vid direktåtkomst genom att värdmyndighetens sekretess förs över till en mottagarmyndighet. Dock innebär bestämmelsens konstruktion tillsammans med bestämmelsen i 8 § samma kapitel att sekretesskyddet för överskottsinformationen i vissa fall riskerar att bli svagare hos mottagarmyndigheten än hos värdmyndigheten. Detta skulle alltså kunna medföra att stora delar av en värdmyndighets databas får ett svagare sekretesskydd hos mottagarmyndigheten trots att mottagarmyndigheten inte använder sig av uppgifterna i sin verksamhet. I utredningens direktiv (dir. 2011:86 s. 15) anges att detta inte är lämpligt från integritetssynpunkt och att ytterligare överväganden måste göras för att åstadkomma ett skydd för sådan överskottsinformation som i och för sig är tekniskt tillgänglig för Sekretessregleringen av överskottsinformation vid direktåtkomst en mottagarmyndighet men som denna inte använder i sin verksamhet. Den frågan kan ställas i vilken mån ett krav på tekniska spärrar hos en mottagarmyndighet mellan en teknikavdelning och t.ex. den handläggande verksamheten som resonerades kring i samband med att skulle medges direktåtkomst till verksamhetsregister (se avsnitt 8.4.1 och prop. 2007/08:160 s. 97) kan vara ett alternativ. Det skulle innebära att generella krav ställs på den tekniska utformningen av system hos mottagarmyndigheter som skulle innebära att mottagarmyndigheters primära sekretessbestämmelser normalt sett inte skulle bli tillämpliga på överskottsinformationen. Det framstår emellertid som i någon mån oklart om man kan förlita sig på att sådana tekniska spärrar inom olika slags mottagarmyndigheter alltid skulle få avsedd effekt att skydda överskottsinformation från en försämring av sekretesskyddet. Förutom olika sekretessbestämmelsers utformning torde skiftande faktiska och organisatoriska förhållanden hos mottagarmyndigheter kunna påverka en bedömning av vad en inre teknisk spärr skulle medföra i fråga om sekretesskydd. Oavsett om sådana tekniska spärrar skulle ge ett tillfredsställande skydd eller inte för överskottsinformation vid direktåtkomst så är det enligt vår mening en fördel om lagstiftningen som ska stärka integritetsskyddet i detta avseende är teknikneutral och generell. Med teknikneutral avses att integritetsskyddet ska vara tillfredsställande oavsett vilka tekniska system en mottagarmyndighet använder sig av. I att lagstiftningen bör vara generell ligger att lagstiftningen inte ska vara avhängig hur en mottagarmyndighet är organiserad internt. I avsnitt 6.2.2 konstaterar vi att det huvudsakliga problemet från integritetsskyddssynpunkt med att även överskottsinformation vid direktåtkomst är allmän handling hos en mottagarmyndighet är att den allmänna tillgängligheten till uppgifterna ökar på ett sätt som det tekniska tillgängliggörandet genom direktåtkomsten eller regler om direktåtkomst inte har åsyftat. Detta gäller i synnerhet, men inte bara, när överskottsinformationen består av personuppgifter. Syftet med elektroniska utlämnandeformer som direktåtkomst eller motsvarande är att effektivisera och förbättra formerna för myndigheternas informationsförsörjning, inte att öka risken för att t.ex. integritetskänsliga personuppgifter eller andra uppgifter som inte utgör en naturlig del av myndighetens verksamhet får oavsiktlig spridning. Det är enligt vår uppfattning angeläget att risker för integritets- Sekretessregleringen av överskottsinformation vid direktåtkomst intrång eller andra negativa konsekvenser för enskilda, t.ex. företag, minimeras. Vid bedömningen av vilket sekretesskydd som ska gälla för en uppgift måste utöver intresset av att hemlighålla en uppgift även beaktas allmänhetens intresse av insyn i en myndighets verksamhet. Det kan hävdas att allmänhetens insynsintresse i en mottagarmyndighets passivt tillgängliga överskottsinformation från principiell synpunkt knappast kan anses väga lika tungt som intresset av insyn i myndighetens egentliga informationshantering. I linje med detta anser vi att beträffande överskottsinformation måste integritetsskyddsintresset tillmätas stor betydelse. Vi anser alltså att det finns ett behov av att se över utformningen av bestämmelserna om överföring av sekretess vid direktåtkomst i syfte att erbjuda ett bättre integritetsskydd för överskottsinformationen genom en generell och teknikneutral lagstiftning. Regleringstekniken i 25 kap. 2 § OSL med absolut sekretess för sådan information som vårdgivande myndighet inte får behandla enligt patientdatalagen och som den inte heller har behandlat innebär, till skillnad från bestämmelsen om överföring av sekretess i 11 kap. 4 § OSL, dels att sekretesskyddet för denna information alltid är starkare hos mottagarmyndigheten (absolut sekretess) än hos värdmyndigheten (omvänt skaderekvisit), dels att mottagande vårdmyndighet, vid en begäran om utfående av allmän handling, normalt inte behöver ta del av sådan uppgift eftersom någon sekretessprövning mot ett skaderekvisit inte ska göras. Den lagtekniska konstruktion som använts i 25 kap. 2 § OSL ger, ur ett integritetsskyddsperspektiv, ett så gott som fullgott skydd för ospärrade uppgifter som mottagande vårdgivare enligt patientdatalagen inte får behandla. Något behov av justering av bestämmelsen har inte framkommit. Samma bedömning torde kunna göras beträffande den införda bestämmelsen i 15 kap. 1 a § OSL om absolut sekretess för uppgifter i utländska databaser. Även om bestämmelserna i 15 kap. 1 a § och 25 kap. 2 § OSL har olika sekretessgrunder fungerar de på samma sätt och ger ett likartat skydd för de aktuella uppgifterna. Det ska slutligen i detta sammanhang erinras om att vi i avsnitt 7.3.2 har övervägt men avfärdat tanken på att införa en primär sekretessbestämmelse med räckvidd hos alla mottagarmyndigheter och med absolut sekretess för överskottsinformation vid direktåtkomst, dvs. en generell bestämmelse motsvarande de särbestämmelser om absolut sekretess som finns i 15 kap. 1 a § och 25 kap. 2 § OSL. Sekretessregleringen av överskottsinformation vid direktåtkomst 8.6Närmare om utformningen av en justering av bestämmelserna i 11 kap. 4 och 8 §§ OSL om överföring av sekretess Överskottsinformation vid direktåtkomst bör ha ett sekretesskydd hos mottagarmyndigheten som motsvarar det sekretesskydd den har hos värdmyndigheten Som redogjorts för tidigare kan bestämmelserna i 11 kap. 4 och 8 §§ OSL innebära att sekretesskyddet hos en mottagarmyndighet för överskottsinformation i vissa fall försvagas eller till och med helt kan upphöra. Detta är från integritetsskyddssynpunkt otillfredsställande. Det finns därför ett behov av att justera bestämmelserna på ett sådant sätt att uppgifter, så länge de utgör överskottsinformation i nu aktuell mening, ges motsvarande sekretesskydd som de har hos värdmyndigheten. En utgångspunkt är alltså enligt vår mening att överskottsinformation vid direktåtkomst bör ha lägst det sekretesskydd som samma information har hos värdmyndigheten. Sekretesskyddet för uppgifter som blir tillgängliga för en mottagarmyndighet genom direktåtkomst men som inte utgör överskottsinformation bör inte rubbas Det är viktigt att en anpassning av bestämmelserna utformas så att endast överskottsinformation kommer att omfattas. Avsikten är inte att förändra sekretesskyddet för övriga uppgifter som blir tillgängliga för en mottagarmyndighet vid direktåtkomst hos en annan myndighet, dvs. uppgifter som mottagarmyndigheten använder sig av i sin ärendehantering eller i verksamheten på annat sätt. Den avvägning mellan sekretessintresset och insynsintresset som tillgodoses avseende dessa övriga uppgifter genom konstruktionen av bestämmelserna i 11 kap. 4 och 8 §§ OSL bör alltså inte rubbas. Ytterligare en utgångpunkt är att en justering inte ska innebära att fler eller nya slag av uppgifter sekretessregleras. För att det över huvud taget ska vara fråga om överföring av sekretess enligt 11 kap. 4 § OSL krävs emellertid att den aktuella uppgiften är sekretessreglerad hos värdmyndigheten. Det är alltså endast sådana upp- Sekretessregleringen av överskottsinformation vid direktåtkomst gifter som redan är sekretessreglerade hos värdmyndigheten som bör beröras av en justering av regelverket. 8.6.2Hur bör en justering av nuvarande bestämmelser utformas? Förslag: En mottagarmyndighets primära sekretessbestämmelser bör inte ha företräde framför den från värdmyndigheten överförda sekretessen avseende sådana uppgifter som en mottagarmyndighet enligt lag eller förordning inte får behandla. En konkurrenssituation mellan en primär sekretessbestämmelse hos mottagarmyndigheten och den från värdmyndigheten överförda sekretessen för en sådan uppgift bör i stället lösas genom att den av sekretessbestämmelserna enligt vilken uppgiften är sekretessbelagd ska ha företräde. En avgränsning av vad som är överskottsinformation Bestämmelsen i 11 kap. 4 § OSL innebär att värdmyndighetens sekretess för en uppgift som är tillgänglig för en mottagarmyndighet via direktåtkomst överförs oavsett om uppgiften används av mottagarmyndigheten eller om uppgiften utgör överskottsinformation. Inte heller regleringen i 11 kap. 8 OSL gör någon skillnad på om en uppgift innefattas i överskottsinformation eller inte, utan det avgörande är hur mottagarmyndighetens sekretessreglering är utformad. Genom att mottagarmyndighetens primära sekretessbestämmelse enligt 11 kap. 8 § OSL har företräde framför den genom 11 kap. 4 § OSL överförda sekretessen tillgodoses det insynsintresse som finns hos respektive mottagarmyndighet. Denna avvägning är berättigad när det gäller uppgifter som mottagarmyndigheten har tillgång till via direktåtkomst hos en värdmyndighet och som mottagarmyndigheten använder i sin verksamhet eller ärendehantering. Men det kan alltså ifrågasättas om insynsintresset hos en mottagarmyndighet även ska ha företräde när det avser uppgifter som innefattas i sådan information vid direktåtkomst som mottagarmyndigheten inte har anledning att ta del av eller kanske inte får ta del av. Vår uppfattning är alltså att det sekretesskydd som gäller för en uppgift hos en värdmyndighet bör fortsätta att gälla även hos mot- Sekretessregleringen av överskottsinformation vid direktåtkomst tagarmyndigheten så länge uppgiften anses utgöra överskottsinformation hos denna myndighet. För att åstadkomma det krävs att det i bestämmelserna om överföring av sekretess införs en reglering som drar en gräns mellan överskottsinformation och övrig information, dvs. uppgifter som mottagarmyndigheterna behöver och använder sig av i sin verksamhet eller ärendehantering, vid direktåtkomst hos annan myndighet. Såsom redovisas i avsnitt 7.5.2 när det gäller ett eventuellt undantag för överskottsinformation från vad som är allmän handling enligt tryckfrihetsförordningen kan man laborera med några olika alternativ när det gäller tekniken för att avgränsa vad som är överskottsinformation från övrig information. Det första alternativet är att dra gränsen mellan överskottsinformation och övrig information utifrån vad en mottagarmyndighet enligt någon villkorad sökbegränsning eller liknande användningsbegränsning inte får lov att ta fram i sin verksamhet om inte vissa förutsättningar föreligger, t.ex. att en behandling av en personuppgift måste vara nödvändig för att mottagarmyndigheten ska kunna utföra sina arbetsuppgifter inom sitt verksamhetsområde. Ett annat alternativ är att avgränsningen i stället görs utifrån vilka uppgifter en mottagarmyndighet via direktåtkomsten faktiskt har behandlat. Det tredje alternativet är en kombination av alternativen ett och två, dvs. avgränsningen görs dels utifrån vilka uppgifter i en sådan upptagning som är tillgänglig via direktåtkomst som en mottagarmyndighet får behandla enligt lag eller förordning, dels utifrån det förhållandet att en mottagarmyndighet rent faktiskt har behandlat uppgiften i fråga. Till skillnad från den diskussion som utredningen fört i avsnitt 7.5.2 avseende olika alternativa modeller för att avgränsa vad som är överskottsinformation vid ett eventuellt undantag för överskottsinformation från vad som är allmän handling enligt tryckfrihetsförordningen, syftar övervägandena nu enbart till att möjliggöra en precisering av i vilka fall en mottagarmyndighets primära sekretessbestämmelser inte ska ha företräde framför den från värdmyndigheten överförda sekretessen. Det handlar alltså inte om gränsdragningen beträffande vad som utgör allmän handling eller inte utan om ett sätt att reglera vilken sekretessbestämmelse – den överförda sekretessen från värdmyndigheten eller mottagarmyndighetens egna sekretessbestämmelser – som ska vara tillämplig på en uppgift som en mottagarmyndighet har direktåtkomst till. Det är således inte fråga om att införa sekretess för nya uppgifter utan Sekretessregleringen av överskottsinformation vid direktåtkomst endast att avgöra vilken av befintliga sekretessbestämmelser som är tillämplig för en redan i och för sig sekretessreglerad uppgift. Oavsett om uppgifter i en upptagning som en mottagarmyndighet har direktåtkomst till anses innefattas i överskottsinformation eller inte måste mottagarmyndigheten, vid en begäran om utfående av allmän handling enligt tryckfrihetsförordningen, använda direktåtkomsten för att ta del av uppgiften och göra en sekretessprövning. har redan i detta skede, enligt vad som gäller enligt såväl personuppgiftslagen som registerförfattningar, behandlat uppgiften. Det innebär att om en avgränsning av vad som är överskottsinformation ska göras utifrån kriteriet att en mottagarmyndighet faktiskt har använt sig av direktåtkomsten, dvs. behandlat en uppgift, blir avgränsningen verkningslös. kommer i samtliga fall redan att ha behandlat den för att över huvud taget kunna göra en sekretessprövning. Även om en sådan avgränsning måhända i stället skulle kunna bygga på att mottagarmyndigheten inte har behandlat uppgiften anser vi att redan denna omständighet talar för att alternativet att avgränsningen av vad som är överskottsinformation görs utifrån vilka uppgifter en mottagarmyndighet via direktåtkomsten faktiskt har behandlat knappast är ett realistiskt alternativ. Övervägande skäl talar således för att avgränsningen av vad som är överskottsinformation måste bygga på regleringen rörande vad en mottagarmyndighet inte får behandla. I avsnitt 8.6.3 redogörs närmare för vad som avses med detta. Det är i regleringen i 11 kap. 8 § OSL, om att mottagarmyndighetens primära sekretessbestämmelse har företräde framför den överförda sekretessen, som avgränsningen av vad som är överskottsinformation och vad som är övrig information bör göras. Ett nytt andra stycke bör införas i 11 kap. 8 § OSL innebärande att uppgifter som en mottagarmyndighet har elektronisk åtkomst till hos en annan myndighet och som myndigheten enligt lag eller förordning inte får behandla, inte ska omfattas av regleringen i första stycket i bestämmelsen. Det innebär att för dessa uppgifter har en primär sekretessbestämmelse hos en mottagarmyndighet inte företräde framför den enligt 4 § överförda sekretessen. För det fall det utöver den överförda sekretessen även finns en primär sekretessbestämmelse hos mottagarmyndigheten som är tillämplig för uppgiften får konkurrenssituationen i stället lösas med tillämpning av 7 kap. 3 § OSL. Av det lagrummet följer att vid konkurrens mellan flera bestämmelser är det den eller de sekretessbestämmelser enligt Sekretessregleringen av överskottsinformation vid direktåtkomst vilken uppgiften är sekretessbelagd som har företräde. Det gäller oavsett om det är fråga om konkurrens mellan primära sekretessbestämmelser, mellan sekundära sekretessbestämmelser eller mellan primära och sekundära sekretessbestämmelser. Härigenom garanteras att uppgifter som en mottagarmyndighet har direktåtkomst till hos en annan myndighet, men som mottagarmyndigheten enligt lag eller förordning inte får behandla, omfattas av lägst det sekretesskydd som de har hos värdmyndigheten. 8.6.3Vad som avses med att en mottagarmyndighet enligt lag eller förordning inte får behandla uppgifter Inledningsvis vill vi understryka att till skillnad från den diskussion som utredningen fört i föregående kapitel avseende olika alternativa modeller för att avgränsa vad som är överskottsinformation vid ett eventuellt undantag från vad som är allmän handling enligt tryckfrihetsförordningen avser nu aktuell avgränsning endast vilken princip som ska tillämpas i det fall det för en uppgift som är tillgänglig för en myndighet via direktåtkomst finns konkurrerande primära och sekundära sekretessbestämmelser som är tillämpliga. En avgränsning av vad som är överskottsinformation till uppgifter som en mottagarmyndighet enligt lag eller förordning inte får behandla innebär att myndigheten vid avgörandet av vilken sekretessbestämmelse, dvs. mottagarmyndighetens primära sekretessbestämmelse eller den överförda sekretessen från värdmyndigheten, som är tillämplig måste göra en bedömning utifrån för myndigheten tillämpliga lagar och förordningar som reglerar behandling av uppgifter hos myndigheten om det finns någon bestämmelse som hindrar att myndigheten använder direktåtkomsten för att behandla den aktuella uppgiften. Det har härvid alltså ingen betydelse om mottagarmyndigheten faktiskt har använt sig av direktåtkomsten för att behandla en uppgift utan det avgörande är i stället om det finns några begränsningar i författning som gör att myndigheten inte får ta del av uppgiften. I t.ex. registerförfattningar kan det finnas olika slags bestämmelser som innebär att en myndighet inte får behandla en personuppgift, t.ex. ändamålsbegränsningar, villkorade sökbegränsningar eller absoluta sökbegränsningar. Härtill kommer att det kan finnas restriktioner för hur en direktåtkomst får användas av myndig- Sekretessregleringen av överskottsinformation vid direktåtkomst Det vanligaste torde dock vara att restriktioner med anledning av direktåtkomst regleras i värdmyndighetens registerförfattning och inte i mottagarmyndighetens registerförfattning, vilket kan, beroende på tillämpningsområdet för värdmyndighetens registerförfattning, innebära att sådana restriktioner inte blir avgörande för vad som är överskottsinformation hos mottagarmyndigheten vid en sekretessprövning.