sou · H1B380 · 2013-12-05 00:00:00 — När det gäller be- stämmelserna i 27 kap 1-3 §§ offentlighets- och sekretesslagen om sekretess till skydd för enskild inom verksamhet som rör skatt, tull m.m. är dessa tillämpliga bara när handlingar begärs utlämnade från en myndighet som har att bestämma skatt eller taxering eller fastställa underlag för skatt. De uppgifter som omfattas av absolut sekretess skulle därför riskera att bli offentliga hos . Detsamma gäller uppgifter huruvida ett företag blivit utvalt att lämna uppgifter för den officiella statistiken. Statistiksekretessen en- ligt 24 kap, 8 § offentlighets- och sekretesslagen gäller bara i sådan särskild verksamhet hos en myndighet som avser framställning av statistik. Om uppgiften att ett visst företag är skyldigt att delta i en statistik undersökning finns tillgänglig hos skulle statistiksekretessen förlora sin betydelse. Detta kan i förläng- ningen påverka företagens benägenhet att delta i sådana undersök- ningar. Det finns vidare ingen tillämplig bestämmelse om överföring sek- retess när det gäller ovan nämnda exempel på uppgiftslämnande inom skatteområdet eller för den officiella statistiken. För att det ska gå att uppnå en hög grad av funktionalitet är det som tidigare anförts nödvändigt för myndigheten att få uppgifter om alla företag inte bara dem som tidigare använt tjänsten. Inom ramen för Servicetjänsten kommer det som sagt inte att full- göras några uppgiftskrav vilket i stället kommer att ske hos respektive myndighet och där vara föremål för den sekretessreglering som den myndigheten har att tillämpa vid det enskilda uppgiftslämnandet. kommer med andra ord inte att ägna sig åt ärendehandläggning eller myndighetsutövning i något led. Intresset av insyn i ett enskilt företags uppgiftslämnande genom Servicetjänsten får därför anses vara mycket begränsat. En betydande mängd av företagens uppgiftslämnande omfattas vidare i något led av handläggningen av absolut sekretess som i många fall t.o.m. innebär att uppgiften om att uppgifter har lämnats är sekretessbelagd. En sekretessbestämmelse med ett rakt eller omvänt skaderekvisit skulle göra det teoretiskt möjligt att sortera bort uppgifter om upp- giftslämnande som omfattas av sekretess eller där ett besök hos myn- dighetens e-tjänst bara avser det egna utrymmet. Att faktiskt göra en dylik sekretessprövning är dock knappast praktiskt görbart efter- som det kan vara fråga om ett mycket stort antal uppgifter, företag och myndigheter. kommer troligen inte att ha möjlighet att införskaffa tillräckligt underlag för en mera menings- full sekretessprövning. Detta motiverar i sig en bestämmelse om absolut sekretess för ovanstående uppgifter hos Företagsdatamyndig- heten (jfr prop. 1979/80:2 Del A sida 314). En relativt stor del av företagens uppgiftslämnande är skyddat av absolut sekretess. Som beskrivits ovan är det i vissa fall t.o.m. sekretessbelagt att ett visst företag har fullgjort ett uppgiftskrav till en myndighet. Om uppgifterna i verk- samhet omfattas av en sekretessbestämmelse med rakt eller omvänt skaderekvisit riskerar de strängare sekretessbestämmelser som gäller i vissa myndigheters verksamhet att förlora i styrka. Det skulle vara allvarligt om det genom de uppgifter som finns hos Företagsdatamyn- digheten går att exempelvis identifiera de företag som lämnat upp- gifter för den nationella statistiken till statistikansvariga myndigheter. Om inte uppgiftskrav som omfattas av absolut sekretess, exem- pelvis krav inom skatte- och statistikområdet, kan hanteras i Service- tjänsten kommer denna att förlora i värde. Servicetjänstens syfte är att uppgifter som lämnas från företagen till statliga myndigheter som regel endast ska behöva lämnas en gång och till ett ställe. Syftet med tjänsten kommer således att gå förlorat om samtliga uppgiftskrav inte kan tas med i Servicetjänsten. Vi bedömer därför att det finns behov av en ny sekretessbestämmelse till skydd för företagens ekono- miska förhållanden för uppgifter i servicetjänsten. För att kunna ta ställning till det närmare behovet och utformning- en av en sådan ny sekretessbestämmelse till skydd för uppgifter om företagens ekonomiska förhållanden i Servicetjänsten krävs emeller- tid att tjänstens tekniska funktionalitet är slutligt beslutad så att det går att exakt beskriva vilka uppgifter som uppkommer inom själva Servicetjänsten och i vilket sammanhang. Inom ramen för utredningen har visserligen en prototyp av Servicetjänsten tagits fram som simulerar mycket av det som Service- tjänsten ska utföra. Avsikten har dock inte varit att prototypen ska utgöra en första version av Servicetjänsten varför den inte kan ligga till grund för en slutlig bedömning av behovet av en ny sekretess- bestämmelse. Den Servicetjänst som driftsätts kan nämligen komma att bygga på delvis andra tekniska lösningar. Vidare måste det i den fortsatta kartläggningen av uppgiftskraven belysas specifikt vilka uppgiftskrav som ska finnas med på Att göra- listan och hur känsliga dessa uppgifter är för företagen. Innan detta underlag finns är det inte möjligt att ta ställning till hur en sekretessbestämmelse för servicetjänsten bör utformas. Frågan om behovet av sekretess bör därför istället fortsatt analyseras inom ramen för det fortsatta arbetet med att genomföra våra förslag. Vår bedömning: kommer att behandla personuppgifter. Med personuppgifter avses enligt definitionen i 3 § personuppgifts- lagen all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Med behandling (av personuppgifter) avses enligt samma paragraf varje åtgärd eller serie av åtgärder som vidtas i fråga om personupp- gifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvin- ning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. För att ska kunna fullgöra sitt uppdrag och driva en fullt utbyggt Servicetjänst är det nödvändigt för myn- digheten att behandla vissa personuppgifter om användaren och före- taget. Det är som påpekats ovan fråga om: grundläggande information om företaget (inledningsvis från det allmänna företagsregistret), information om hur användaren anpassat profilen i Servicetjänsten, aviseringar av grundläggande uppgifter till myndigheterna. När ett företag bedrivs i form av enskild firma kommer uppgifter om företaget regelmässigt vara att betrakta som personuppgifter eftersom innehavaren av en enskild firma är en enda fysisk person. Mer än hälften av alla företag i bedrivs i denna form varför det är enklast att utgå från att det är fråga om personuppgiftsbehand- ling när uppgifter om företagen behandlas i Servicetjänsten. Vidare innebär e-legitimationens uppbyggnad att användaren loggar in i egen- skap av fysisk person. 11.3.1Avvägning mellan behov av personuppgifterna och skyddet för den personliga integriteten Vår bedömning: behandling av per- sonuppgifter går att förena med kraven på skydd mot kränkning av den personliga integriteten. uppdrag är att verka för att uppgifter från företagen till statliga myndigheter som regel endast ska behöva läm- nas en gång och till ett ställe. För att uppnå detta föreslår utredning- en skapandet av en Servicetjänst som dels ska ge företagen en över- blick över vilka uppgiftskravs om finns, dels minska bördan att vid varje enskilt uppgiftslämnande behöva lämna grundläggande upp- gifter. Om Företagsdatamyndigheten inte får möjlighet att behandla personuppgifter är det omöjligt för myndigheten att fullgöra sitt uppdrag att förenkla företagens uppgiftslämnande. En särskild risk sett ur integritetsskyddssynpunkt med den infra- struktur som föreslås är att kan komma att sammanställa uppgifter om enskilda företags uppgiftslämnande till en eller flera myndigheter så att det uppstår ett omfattande och unikt material. Det kan bli svårt för den enskilde användaren att över- blicka hur uppgifterna om honom eller henne kan komma att använ- das av och vem/vilka som får ta del av de insamlade uppgifterna. Ju större möjligheter det finns att i olika kon- stellationer sammanställa uppgifter om enskilda desto större risker för otillbörligt intrång i den enskildes personliga integritet medför detta. Frågan är därför vilka sammankopplingar som kan tillåtas och hur man ska gå tillväga för att behandling av personuppgifter ska kunna ske under betryggande former. Efter- som det rör sig om en mindre myndighet och endast ett fåtal personer kommer att arbeta med Servicetjänsten, innebär behandlingen av per- sonuppgifter jämförelsevis liten risk för spridning. Det går vidare att relativt väl avgränsa vilken typ av personuppgifter som det är aktuellt att behandla inom ramen för Servicetjänsten. I syfte att stärka den enskildes integritet bör därför ändamålen med behandlingen av dessa uppgifter hos preciseras i den författning som kommer att reglera Servicetjänsten. Görs detta går enligt vår be- dömning behandling av personuppgifter att förena med kraven på skydd mot kränkning av den personliga integriteten. 11.3.2Personuppgiftsansvar och ändamålen med personuppgiftsbehandlingen Vårt förslag: är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. får behandla personuppgifter i den utsträckning som krävs för att föra en förteckning över enskilda användare som anslutit sig till Servicetjänsten och de individuella anpassningar av servicetjänsten som användaren gjort. Av för- teckningen får vidare framgå vilka företag användaren företräder. får vidare behandla personuppgifter i den utsträckning som krävs för att överlämna grundläggande uppgifter från Servicetjänsten till anslutna e-tjänster när använ- daren besöker dessa. får även behandla personuppgifter i den utsträcknings som krävs för att kunna skapa Att göra listor. får slutligen möjlighet att behandla personuppgifter för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Det förtydligas att den s.k. finalitetsprincipen ska gälla vid behandling av person- uppgifter hos myndigheten. Med personuppgiftsansvarig avses enligt 3 § personuppgiftslagen den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. En särskild bestämmelse bör införas i som klargör att är personuppgiftsansvarig. I 9 § första stycket c) personuppgiftslagen anges att personupp- gifter enbart får samlas in för särskilda, uttryckligen angivna och berättigade ändamål. De insamlade personuppgifterna får enligt 9 § första stycket d) inte behandlas för något annat ändamål som är oför- enligt med det för vilket uppgifterna samlades in (finalitetsprincipen). Det anges inte i 9 § personuppgiftslagen hur pass detaljerat ända- målen ska anges för att uppfylla lagens krav. I doktrin har angetts att ändamålen i vart fall måste ha en viss grad av precision; annars kan man knappast bedöma om personuppgifterna är adekvata eller relevanta eller om för många personuppgifter behandlas (och , Personuppgiftslagen, En kommentar, 2011, s. 195). Genom att ange tydliga ändamål kan den enskilde få en klarare uppfattning om i vilka sammanhang insamlade personuppgifter be- träffande honom eller henne kan komma att användas. Det bör där- för anges särskilda ändamål för när personuppgifter får behandlas i verksamhet. Det kan vara att föredra att det uttryckligen i en författning anges vilka uppgifter som får finnas inom verksamheten. Företagsdata- myndighetens verksamhet kommer dock att behöva anpassas och utvecklas över tiden. Utbudet och efterfrågan av grundläggande upp- gifter som kan komma att förse myndig- heterna med kommer att förändras. Vi håller dock för osannolikt att det bland de grundläggande uppgifterna kommer att finnas upp- gifter som kan vara att betrakta som känsliga i strikt mening. De ändamål som anges i det följande får enligt utredningen anses tillräckligt specifika för att uppfylla de grundläggande kraven enligt 9 § personuppgiftslagen. Det måste framöver ankomma på Företags- datamyndigheten att bryta ned och precisera ändamålen. Typiskt sett blir detta aktuellt när myndigheten överväger förändringar i Servicetjänsten. Det är nödvändigt för att behandla vissa uppgifter om den enskilde användaren för att kunna ge den service som eftersträvas inom Servicetjänsten. Företagsdatamyndig- heten bör därför få behandla personuppgifterna i den utsträckning som krävs för att föra en förteckning över enskilda användare som anslutit sig till Servicetjänsten och de individuella anpassningar av Servicetjänsten som användaren gjort. Av förteckningen bör vidare få framgå vilka företag användaren företräder. Ett grundläggande syfte med Servicetjänsten är att övriga myn- digheter ska aviseras grundläggande och för den enskilda myndig- heten relevanta uppgifter. bör därför få behandla personuppgifter i den utsträckning som krävs för att över- lämna grundläggande företagsuppgifter från Servicetjänsten till an- slutna e-tjänster när användaren besöker dessa. får även behandla personuppgifter i den utsträckning som krävs för att hålla ett aktuellt uppgiftsinlämnings- register. För att undanröja osäkerhet kring frågan om förhållandet mellan ovan beskrivna ändamålsbestämmelser, personuppgiftslagens finali- tetsprincip, offentlighets- och sekretesslagen (2009:400) och andra bestämmelser som föreskriver utlämnande eller tillåter att uppgifter lämnas ut utan hinder av sekretess föreslås slutligen en ändamåls- bestämmelse som medger att personuppgifter – som behandlas med stöd av något eller några av de primära ändamålen – också får be- handlas för sådant uppgiftsutlämnande som sker i överensstämmelse med lag eller förordning. Finalitetsprincipen är giltig även vid person- uppgiftsbehandling enligt den föreslagna förordningen. En uttryck- lig hänvisning till finalitetsprincipen bör införas för att undvika tolkningsproblem vid tillämpningen. 11.3.3Personuppgiftslagen eller en ny lagstiftning Vår bedömning: Inom ramen för Servicetjänsten uppkommer inte sådan kartläggning och betydande integritetsintrång som är grundlagsskyddad enligt 2 kap. 6 § regeringsformen. Det finns därför inget krav i regeringsformen på att behandlingen av per- sonuppgifterna regleras i lag utan det är tillräckligt om det sker i form av en förordning En central fråga att överväga är om be- handling av personuppgifter är av sådan omfattning och art att den närmar sig det av 2 kap. 6 § regeringsformen skyddade området och då särskilt eftersom har behov av att be- handla ett stort antal personuppgifter. Vi har dock bedömt att det inte ska få ske någon behandling av känsliga personuppgifter. Vidare ska bara behandlingen få ske utifrån väl definierade ändamål. Det är inte aktuellt att göra andra sammanställningar av uppgifterna än de som krävs för att driva och förvalta servicetjänsten. Sammantaget finner vi därför inte att det är fråga om sådan kartläggning och betydande integritetsintrång som är grundlagsskyddad enligt 2 kap. 6 § regerings- formen. Det finns därför inget krav i regeringsformen på att behand- lingen av personuppgifterna regleras i lag utan det är tillräckligt om det sker i form av en förordning. När det gäller uppgifter om hur användaren anpassat profilen i Servicetjänsten, aviseringar till uppgiftsinlämningsregistret och upp- gifter om vilka e-tjänster som användaren besökt finns det inte behov av något omfattande uppgiftsutbyte med andra myndigheter varför det inte bör vara möjligt med direktåtkomst för andra till dessa uppgifter hos . Vår bedömning: har inte behov av att behandla känsliga personuppgifter. Vid den tekniska utformningen av Servicetjänsten bör läggas stor vikt vid att myndigheten inte samlar in eller på annat sätt behandlar känsliga personuppgifter. Med känsliga personuppgifter avses enligt 13 § personuppgiftslagen (1998:204) personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiösa eller filosofiska övertygelser, medlemskap i fackförening eller personuppgifter som rör hälsa eller sexualliv. Av 13 § personuppgiftslagen framgår att det som huvudregel är förbju- det att behandla känsliga personuppgifter. I 15–19 §§ personupp- giftslagen anges i vilka fall det trots förbudet är tillåtet att behandla känsliga personuppgifter. Det kommer inte inom servicetjänsten behandlas närmare upp- gifter om exempelvis att ett visst uppgiftslämnande avser en viss bestämd person. Om ett företaget bara har en anställd eller bedrivs som enskild firma utan anställda kommer det dock i vissa situationer gå att härleda att uppgiftslämnandet avser en viss person. Det ska dock påpekas att aldrig kommer att veta om en skapad länk till ett uppgiftskrav i Servicetjänsten faktiskt leder till att uppgiftslämnande sker. Om Företagsdatamyndigheten har möjligt att koppla användaren till att en specifik vidarelänkning till en annan myndighet för att full- göra ett specifikt uppgiftskrav finns det en risk att Företagsdata- myndigheten kommer att behandla känsliga personuppgifter (13 § personuppgiftslagen). En förutsättning för att det överhuvudtaget ska kunna uppkom- ma känsliga personuppgifter är att uppgiftskravet i sig indikerar att det är fråga om ett uppgiftslämnande som avslöjar ras eller etniskt ursprung, politiska åsikter, religiösa eller filosofiska övertygelser, med- lemskap i fackförening eller rör hälsa eller sexualliv. Det är bara fråga om ett fåtal uppgiftskrav som då kvalificerar sig för att i kombi- nation med uppgift om företaget eventuellt skapa en känslig person- uppgift. Ett konkret exempel på när så kan komma att ske är att innehavare av en enskild firma använder Servicetjänsten för att besöka för att ansöka om graviditetspenning. Denna kombination av uppgifter kan eventuellt innebära att Företags- datamyndigheten kommit att behandla känsliga personuppgifter. förutsättning för att det ska skett en behandling av känsliga person- uppgifter är dock att på något sätt loggar att företagaren använt länken kopplat till uppgiftskravet graviditets- penning för att komma vidare från Servicetjänsten. Bara genom att servicetjänsten skapar en länk – en bland flera andra länkar till andra tänkbara uppgiftskrav – till kan det inte anses uppkomma några känsliga personuppgifter. När det gäller e-tjänster är dessa byggda som en samlad e-tjänst med en gemensam inloggning för flera uppgiftskrav. Uppgiftskravet graviditetspenning är vidare inte myndighetsinitierat varför det inte är föremål för aviseringar till uppgiftsinlämningsregistret. Det finns således en liten risk att det inom Servicetjänsten ska uppkomma känsliga personuppgifter. Vi kan emellertid inte se att det skulle vara varken tekniskt eller juridiskt nödvändigt för Före- tagsdatamyndigheten att behöva behandla känsliga personuppgifter. Vid den tekniska utformningen av Servicetjänsten bör i stället läggas stor vikt vid att myndigheten inte samlar in eller på annat sätt be- handlar personuppgifter på ett sätt som genererar känsliga person- uppgifter. Det skulle t.ex. kunna vara fråga om medvetna val rörande vad som registreras i systemet när en användare i Servicetjänsten väljer att fullgöra ett uppgiftskrav hos exempelvis . Vårt förslag: Bestämmelserna i personuppgiftslagen om rättelse och skadestånd ska gälla vid behandling av personuppgifter Reglerna i 28 § personuppgiftslagen om rättelse m.m. gäller endast uppgifter som har behandlats i strid med personuppgiftslagen. På motsvarande sätt gäller skadeståndsansvar enligt 48 § personuppgifts- lagen endast för behandling av personuppgifter i strid med person- uppgiftslagen. Det finns därför skäl att särskilt föreskriva att uppgif- ter som behandlats i strid med den föreslagna förordningen omfattas av personuppgiftslagens regler samt föreskrifter om rättelse och skadestånd som meddelats med stöd av den lagen. Vårt förslag: Uppgifter om enskilda användare som anslutits sig till tjänsten ska gallras senast efter att användaren senast be- sökte servicetjänsten. Sammanställningar av grundläggande uppgifter som upprättats i samband med att användaren besökt Servicetjänsten ska gallras efter användaren besök (sessionen) hos Servicetjänsten avslutats. Uppgifter om att ett företag är skyldigt att fullgöra ett upp- giftskrav ska gallras senast efter det att uppgiftskravet skulle ha fullgjorts. Uppgifter om att ett företag fullgjort ett uppgiftskrav som avses i tredje stycket ska gallras senast efter det att mottog uppgiften. Grundläggande bestämmelser om bevarande och gallring av uppgifter hos myndigheter och vissa andra organ finns i arkivlagen (1990:782). Enligt 3 § och 10 § första stycket lagen får allmänna handlingar gallras, men endast under beaktande av att arkiven utgör en del av kulturarvet och att det material som återstår efter gallring ska kunna tillgodose rätten att ta del av allmänna handlingar, behovet av infor- mation för rättskipning och förvaltning samt forskningens behov. Om det finns avvikande bestämmelser om gallring av vissa allmänna hand- lingar i annan lag eller i förordning gäller, enligt 10 § tredje stycket, dessa bestämmelser. Enligt 14 § arkivförordningen (1991:446) får statliga myndigheter gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av , om inte särskilda gallrings- föreskrifter finns i lag eller förordning. har utfärdat föreskrifter och allmänna råd om gallring av handlingar av tillfällig eller ringa betydelse. Av 7 § föreskriften framgår att myndigheter ska gallra allmänna handlingar av tillfällig eller ringa betydelse. Gallring får dock endas ske under förutsättning att allmänhetens rätt till insyn inte åsidosätts och handlingarna be- döms sakna värde för rättsskipning förvaltning och forskning. Personuppgiftslagen innehåller vissa bestämmelser om hur länge personuppgifter får bevaras. Enligt 9 § ska den personuppgiftsansva- rige se till att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Därefter måste personuppgifterna avidentifieras eller förstöras. sonuppgifter kan dock bevaras för historiska, statistiska eller veten- skapliga ändamål än vad som sagts. Bestämmel- serna i personuppgiftslagen kompletteras ofta med särskilda bestäm- melser om gallring i myndigheters särreglering för behandlingen av personuppgifter. Från integritetssynpunkt är det viktigt att personuppgifter inte behandlas längre än nödvändigt och att det, utöver generella bestäm- melser om längsta tid för bevarande, finns särskilda gallringsfrister för olika kategorier av uppgifter som behandlas automatiserat. Sam- tidigt får uppgifter i princip inte gallras i sådan omfattning att det äventyrar arkivens roll som en del av kulturarvet eller något av de tre huvudändamålen med arkivverksamheten. Även efter genomförd gallring måste arkiven kunna tillgodose rätten att ta del av allmänna handlingar, rättskipning samt förvaltningens och forskningens behov. Det behövs därför göras en avvägning mellan å ena sidan verksam- hets- och integritetsintressena å andra sidan offentlighetsintresset. Inom ramen för Servicetjänsten kommer det inte att ske någon ärendehandläggning eller annan myndighetsutövning. är det nödvändigt för att kunna ge den service som eftersträvas att det skapas en stor mängd allmänna handlingar som i sin tur kommer att innehålla personuppgifter i varierande utsträckning. När det gäller de uppgifter som används inom Servicetjänsten är behovet av att be- handla dem typiskt sett begränsad. Handlingar- nas betydelse för verksamhet är omedel- bar och när användaren avslutat sitt besök hos Servicetjänsten har i princip alla de handlingar som upprättats i anledning av besöket för- lorat sin betydelse. Som påtalats ovan kommer en stor del av hand- lingarna att innehålla personuppgifter.