sou · H0B390 · 2013-01-01 00:00:00 — Dessa brister bestod i att de avvägningar mellan olika motstående intressen som normalt ska göras i lagstiftningsärenden i vissa fall var bristfälligt redovisade och att det i första hand var de negativa effekterna av olika integritetsbegränsande åtgärder som var knapphändigt belysta (prop. 2009/10:80 s. 175 f.). Av bl.a. dessa skäl ansågs det därför finnas ett behov av att stärka skyddet av den personliga integriteten i grundlag. Det stärkta grundlagsskyddet består i att en begränsning av det skydd som bestämmelsen föreskriver endast får göras i form av lag och under de förutsättningar som anges 2 kap. 21–22 §§ RF. Dataskyddsdirektivet har genomförts i svensk rätt genom personuppgiftslagen. Bestämmelserna i personuppgiftslagen har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Både den tidigare datalagen (1973:289)och den nu gällande personuppgiftslagen utgör en generellt tillämplig skyddsreglering som gäller både för myndigheter och enskilda som behandlar personuppgifter. Rent privat behandling av personuppgifter har traditionellt varit undantagen denna skyddslagstiftning. Personuppgiftslagen är subsidiär i förhållande till annan lag eller förordning (2 §). Vid lagens införande anfördes att det traditionella svenska systemet med särregler i särskilda författningar var att föredra framför generella undantag från den nya lagen (prop. 1997/98:44 s. 41). Personuppgiftslagen, som i huvudsak följer dataskyddsdirektivets text och disposition, omfattar all helt eller delvis automatiserad behandling av personuppgifter (5 § första stycket). Lagen är teknikoberoende i den meningen att den i fråga om automatiserad behandling inte begränsas till dataregister. All automatiserad behandling omfattas, alltså även personuppgifter som framgår av bilder och ljud. Begreppet register saknar vidare betydelse för lagens tillämpning på behandling utan det avgörande är att personuppgifterna är föremål för automatiserad behandling, inte om de är ordnade i ett register eller inte. Det är vidare tillräckligt att Rättslig reglering till skydd för personuppgifter behandlingen av personuppgifter delvis är automatiserad för att den ska falla under lagens bestämmelser. Om uppgifter samlas in manuellt och sedan behandlas automatiserat är även insamlandet en sorts behandling som omfattas av lagen. På samma sätt faller ett utlämnande genom utskrifter från ett automatiserat register under lagens bestämmelser. Personuppgiftslagen gäller även för register med personuppgifter som är strukturerade eller ordnade så att de är sökbara på person (5 § andra stycket). Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet (3 §). Begreppet behandling av personuppgift är ett vitt begrepp och omfattar varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte. Exempel på behandling av personuppgifter är insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring (3 §). Det finns några viktiga undantag från personuppgiftslagens tillämpningsområde. Lagen gäller t.ex. inte vid behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur (6 §). Bestämmelserna i lagen tillämpas inte heller i den utsträckning det skulle strida mot grundlagsbestämmelserna om tryck- och yttrandefrihet (7 § första stycket). I princip ska inte heller personuppgiftslagens bestämmelser tillämpas för journalistisk, konstnärlig eller litterär verksamhet (7 § andra stycket). Vidare anges i personuppgiftslagen att lagen inte gäller i den mån det skulle inskränka offentlighetsprincipen (8 § första stycket)5. Behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökningen efter eller sammanställningen av personuppgifter omfattas inte av flertalet av de hanteringsregler som anges i personuppgiftslagen. Det som i stället avgör om en sådan behandling är tillåten eller inte är om behandlingen innebär en kränkning av den registrerades personliga integritet – en s.k. missbruksmodell ska tillämpas (5 a §). 5 En närmare redogörelse för den diskussion om förhållandet mellan personuppgiftslagen och offentlighetsprincipen som förekom vid lagens införande finns i E-offentlighets- kommitténs slutbetänkande Allmänna handlingar i elektronisk form – offentlighet och integritet (SOU 2010:4 s. 119 f). Rättslig reglering till skydd för personuppgifter I 9 § ges vissa grundläggande krav på all behandling av personuppgifter som omfattas av lagen. Den personuppgiftsansvarige, vilket oftast är den organisation där personuppgifterna behandlas, ska se till att personuppgifter behandlas bara om det är lagligt samt att personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed. Vidare ska personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. Ändamålet med en behandling av personuppgifter måste bestämmas redan när uppgifterna samlas in. Den personuppgiftsansvarige ska definiera avsikten med insamlingen och användningen av personuppgifterna på ett så precist sätt som möjligt. Personuppgifterna får inte sedan behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (finalitetsprincipen). Det sistnämnda kan bli aktuellt att pröva när personuppgifter lämnas ut till tredje man. Ett sådant utlämnande får alltså inte vara oförenligt med det ändamål för vilket uppgifterna ursprungligen samlades in. Om personuppgifter lämnas ut i form av allmänna handlingar med stöd av bestämmelserna i 2 kap. tryckfrihetsförordningen blir en sådan prövning dock inte aktuell. De personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Med detta krav avses att personuppgifterna ska vara av sådant slag att de hör till saken (relevanta) och är ägnade att uppnå det mål man har med behandlingen (adekvata). Inte heller får fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Därutöver ska de uppgifter som behandlas vara riktiga och, om det är nödvändigt, aktuella. Alla rimliga åtgärder ska vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Personuppgifter får inte heller bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Varje behandling av personuppgifter måste kunna hänföras till någon av de situationer som anges i personuppgiftslagens regler om när behandling av personuppgifter är tillåten. Av 10 § följer att personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för att ett avtal med den registrerade ska kunna fullgöras eller åtgärder som den registrerade begärt ska kunna vidtas innan ett avtal träffas, den personuppgiftsansvarige ska kunna fullgöra en rättsligskyldighet, vitala intressen för den registrerade ska kunna Rättslig reglering till skydd för personuppgifter skyddas, en arbetsuppgift av allmänt intresse ska kunna utföras, den personuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut ska kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Enligt 11 § får inte personuppgifter behandlas för ändamål som rör direkt marknadsföring, om den registrerade hos den personuppgiftsansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling. Inte heller får personuppgifter behandlas i de fall där behandling bara är tillåten när den registrerade har lämnat sitt samtycke och han eller hon har återkallat detta (12 §). Utöver vad som följer av 11–12 §§ har den enskilde ingen rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt personuppgiftslagen. Enligt 13 § är det generellt sett förbjudet att behandla känsliga personuppgifter. Med känsliga personuppgifter avses sådana personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i en fackförening eller som rör hälsa eller sexualliv. Från förbudet att behandla känsliga personuppgifter finns, utöver när den registrerade har lämnat sitt samtycke (15 §), vissa undantag (16–20 §§). Särskilda bestämmelser om uppgifter om lagöverträdelser och behandling av personnummer finns i 21 och 22 §§. Bestämmelser om i vilka fall information om behandling av personuppgifter ska lämnas till den enskilde finns i 23–29 §§ och föreskrifter om säkerheten vid behandling av personuppgifter finns i 30–32 §§. Enligt 33 § är det förbjudet att till tredje land, dvs. ett land utanför EU eller ESS, föra över personuppgifter som är under behandling, om landet inte har en adekvat nivå för skydd av personuppgifter. Förbudet gäller i princip alla slag av personuppgifter och är alltså inte begränsat till exempelvis kategorierna känsliga personuppgifter eller uppgifter om lagöverträdelser. Trots förbudet i 33 § är det enligt 34 § tillåtet att under vissa förutsättningar föra över uppgifter till tredje land men det förutsätter antingen att den registrerade gett sitt samtycke till överföringen eller att överföringen är nödvändig bl.a. för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras eller att vitala intressen för den Rättslig reglering till skydd för personuppgifter registrerade ska kunna skyddas. Vidare är det tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till dataskyddskonventionen. Regeringen får meddela föreskrifter om ytterligare undantag från förbudet mot överföring (35 §). Vidare finns det bl.a. bestämmelser om anmälan till tillsynsmyndigheten, skadestånd och straff. I offentlighets- och sekretesslagen finns bl.a. bestämmelser om sekretess till skydd för uppgift om enskilds personliga eller ekonomiska förhållanden. I 21 kap. 7 § OSL finns ett allmänt sekretesskydd för personuppgifter. Enligt bestämmelsen gäller sekretess för personuppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen. Bestämmelsen tar inte sikte på uppgifterna som sådana utan på vad sökanden tänker göra med dem. Bestämmelsen avser alltså att ge ett skydd mot otillåten behandling av personuppgifter. Bestämmelsen är tillämplig på alla utlämnanden som innefattar personuppgifter men den risk för skada som anges i bestämmelsen aktualiseras främst vid utlämnanden av en större mängd uppgifter i form av massuttag. Också ett utlämnande av selekterade uppgifter, t.ex. uppgifter om personer med viss inkomst eller med viss politisk tillhörighet, kan indikera risk för den skada som anges i bestämmelsen. Registerförfattningarna har till huvudsakligt syfte att reglera inrättandet och användningen av viktigare register eller andra personuppgiftssamlingar inom den offentliga sektorn. Den bakomliggande tanken är att myndighetsregister med ett stort antal registrerade och med ett känsligt innehåll ska regleras särskilt genom lag (prop. 1990/91:60 s. 50, KU 1990/91:11 s. 11, se även prop. 1997/98:44 s. 41). Registerförfattningarna reglerar myndigheternas behandling av personuppgifter och är tänkta att ge ett anpassat integritetsskydd vid myndighetens hantering av personuppgifter då behov finns att avvika från eller komplettera det integritetsskydd som personuppgiftslagen annars ger. har myndigheternas hantering av särskilt integritetskänsliga eller kontroversiella dataregister reglerats genom lag eller förordning. Exempel på detta är den särskilda reglering Rättslig reglering till skydd för personuppgifter som funnits kring det statliga person- och adressregistret, SPAR, samt register hos domstolar och hos polisen. Den största andelen registerförfattningar härstammar dock från 1990- talet och framåt. Vissa författningar har enbart bestämmelser om myndigheters informationsbehandling. Andra författningar har en del bestämmelser om informationsbehandling, men också om annat. Ytterligare en grupp författningar handlar i huvudsak om något annat, men har någon enstaka inskjuten regel om hantering av information. En utgångspunkt vid utarbetandet av registerförfattningar är att regleringen så långt som möjligt ska vara i överensstämmelse med personuppgiftslagen och därmed med dataskyddsdirektivets materiella bestämmelser samt att behovet av särregler i förhållande till personuppgiftslagen bör övervägas noga (prop. 1997/98:44 s. 41 och , Särskilda registerförfattningar, till , s. 694 f.). En omständighet som kan tala för en särreglering i förhållande till personuppgiftslagen är att en särskild författning under vissa förutsättningar anses innebära en bättre garanti för utformningen av integritetsskyddet vad gäller särskilt känsliga register eller andra personuppgiftssamlingar. Exempel på fall då en särskild författningsreglering i form av en registerförfattning kan anses motiverad är vidare när en nödvändig behandling av personuppgifter över huvud taget inte är tillåten enligt personuppgiftslagen, när personuppgiftslagen visserligen reglerar ett visst förhållande men det finns anledning att avvika från eller precisera den regleringen, när personuppgiftslagens bestämmelser kan ge upphov till tolkningsproblem och det finns anledning att ha tydliga bestämmelser, när det finns anledning att begränsa möjligheterna till behandling av uppgifter av integritetsskäl i fråga om myndigheters registrering och åtkomst till stora och känsliga uppgiftsmängder, eller när det finns anledning att vara särskilt tydlig gentemot allmänheten, t.ex. i fråga om vilka uppgifter om enskilda som en myndighet registrerar. 4Elektroniskt informationsutbyte mellan myndigheter m.m. I takt med att tekniken för att dels hantera information automatiserat inom den egna myndigheten, dels elektroniskt överföra information mellan myndigheter har blivit mer avancerad och förfinad har den automatiserade informationshanteringen blivit mer regel än undantag. Utvecklingen har gått från utlämnanden av information mellan myndigheter, t.ex. genom brev- eller telefonförfrågningar, till elektroniska former av informationsutbyten, t.ex. via e-post, elektronisk åtkomst till varandras informationssamlingar m.m. Varje statlig myndighet har ett krav på sig att i sin verksamhet främja utvecklingen av ett säkert och effektivt elektroniskt informationsutbyte i den offentliga förvaltningen (2 § förordningen [2003:770] om statliga myndigheters elektroniska informationsutbyte). I offentlighets- och sekretesslagstiftningskommitténs delbetänkande Data och Integritet (SOU 1972:47) beskrevs möjligheten att utbyta information mellan datorer som att det var tekniskt möjligt att koppla samman datamaskiner med hjälp av tele- och radioteknik (a.a. s. 38). Enligt kommittén var denna form av samkörning relativt oprövad i . Någon särskild reglering av utlämnande med hjälp av ADB-teknik fanns inte. I datalagen, som trädde i kraft och som sedermera ersattes av personuppgiftslagen, uppställdes krav om tillstånd för register som skulle innehålla personuppgifter som inhämtats från något annat personregister. Det innebar att det normalt uppställdes krav på tillstånd från Datainspektionen för s.k. samkörningar. Med begreppet samkörning avsågs maskinell bearbetning av uppgifter i ett personregister tillsammans med uppgifter i ett annat personregister hos den registeransvarige eller annan registeransvarig. Även annan direkt överföring Elektroniskt informationsutbyte mellan myndigheter m.m. av uppgifter från ett personregister till ett annat innefattades i begreppet (prop. 1981/82:189 s. 53). Att en eller flera myndigheter har elektronisk åtkomst till varandras register, databaser eller informationssamlingar är en integrerad del i informationsutbytet mellan myndigheter. Formerna eller sätten för elektroniskt informationsutbyte mellan myndigheter kan se olika ut. Vanliga begrepp som används i registerförfattningar är direktåtkomst och utlämnande på medium för automatiserad behandling. Innebörden av dessa begrepp behandlar vi närmare i kapitel 9. Vissa elektroniska informationsutbyten är alltså reglerade i författning medan andra inte är det. Författningar som styr det elektroniska informationsutbytet mellan myndigheter är främst offentlighets- och sekretesslagen samt dataskyddsregleringar, t.ex. personuppgiftslagen eller registerförfattningar. De uppgifter som utbyts elektroniskt mellan myndigheterna kan avse såväl offentliga som sekretessreglerade uppgifter. Det är inte bara inom och mellan myndigheter som informationstekniken haft betydelse för sättet eller formen att utbyta information. Tekniken har även fått betydelse i kommunikationen mellan myndigheter och enskilda. är det inte bara myndigheter som har åtkomst till varandras informationssamlingar utan numera tillhandahåller myndigheter e-tjänster som en serviceåtgärd till enskilda innebärande bl.a. att enskilda i vissa fall kan ha åtkomst till uppgifter om sig själva som finns lagrade hos en myndighet. 4.2Elektroniskt informationsutbyte mellan myndigheter – några exempel Att en myndighet har elektronisk åtkomst till en annan myndighets register, databas eller informationssamlingar är alltså numera en naturlig del i en myndigheternas verksamhet. Ett exempel på ett register som ett stort antal myndigheter men även företag och andra enskilda har direktåtkomst till är det statliga personadressregistret, SPAR1. Det är ett offentligt register som omfattar alla personer som är folkbokförda i . I registret ingår även personer som fått samordningsnummer och vars identitet är fastställd. Uppgifterna i SPAR uppdateras med uppgifter från folkbokföringsregistret. För att få ta del av folkbokföringsuppgifter i SPAR finns 1 Lag (1998:527) om det statliga personadressregistret. Elektroniskt informationsutbyte mellan myndigheter m.m. Grundbehörigheten ger tillgång till aktuella uppgifter om namn, person- eller samordningsnummer, födelsetid, adress och folkbokföringsort. I denna behörighet ingår även att kunna ta del av förekommande historikuppgifter, maximalt bakåt i tiden. Kreditupplysningsföretag, banker, myndigheter med flera kan ges tillgång till ytterligare vissa folkbokföringsuppgifter i SPAR, medan endast Polisen och har tillgång till samtliga uppgifter i registret. beskattningsdatabas2 är ett annat exempel på en databas som omfattar uppgifter om ett stort antal personer och som används inte bara av utan även andra myndigheter får ha direktåtkomst till databasen. får t.ex. ha tillgång till databasen för att kunna ta fram vissa angivna uppgifter i ett pågående skuldsaneringsärende. Även och socialnämnder får under vissa i lag angivna förutsättningar ha direktåtkomst till databasen. Ett annat exempel på en databas som innehåller uppgifter om många individer är socialförsäkringsdatabasen3. Myndigheter som får ha direktåtkomst till databasen under vissa i lag angivna förutsättningar är bl.a. , arbetslöshetskassor och socialnämnder. Det finns även s.k. myndighetsgemensamma databaser som flera myndigheter såväl har tillgång till som möjlighet att komplettera med egna uppgifter. Ett exempel är regleringen om sammanhållen journalföring i patientdatalagen (2008:355). Regleringen innebär en möjlighet för vårdgivare, även privata sådana, att både ge och få elektronisk tillgång till uppgifter om patienter som finns hos annan vårdgivare, dvs. uppgifter som finns i varandras journalhandlingar eller i annan vårddokumentation. Elektroniskt informationsutbyte mellan vissa utpekade myndigheter har berörts i olika lagstiftningsärenden, t.ex. beträffande informationsutbyte mellan myndigheter med ansvar för trygghetssystemen (prop. 2007/08:160). Här kan även nämnas att rättsväsendet har ett uppdrag att införa ett elektroniskt informationsflöde i brottmålsprocessen. är det elva myndigheter som har regeringens uppdrag att verkställa strategin för samordning av rättsväsendets informationsförsörjning (RIF) – , , , , , , , , 2Lag (2001:181) om behandling av uppgifter i beskattningsverksamhet. 3114 kap. socialförsäkringsbalken. Elektroniskt informationsutbyte mellan myndigheter m.m. , och Brottsoffermyndigheten4. 4.3Elektroniskt informationsutbyte inom EU Det elektroniska informationsutbytet är inte nationellt begränsat utan förekommer även inom EU och mellan medlemsstaterna i EU. Inom ramen för EU-samarbetet har flera rambeslut och rådsbeslut som rör informationsutbyte förhandlats och antagits . Ett exempel är rådets beslut /615/RIF av om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brottslighet, det s.k. Prümrådsbeslutet. Det är ett system med automatiskt utbyte mellan EU-ländernas brottsbekämpande myndigheter av DNA- profiler och fingeravtrycks- och fordonsregistreringsuppgifter i brottsutredningssyfte. Författningsändringar som möjliggör sådant uppgiftsutbyte har genomförts i svensk rätt. Ett annat exempel är att EU medlemsstaterna genom och rådets direktiv /82/EU av om underlättande av ett gränsöverskridande informationsutbyte om trafiksäkerhetsrelaterade brott kommit överens om att ge varandra direktåtkomst till sina vägtrafikregister i syfte att förbättra trafiksäkerheten. 4 Regeringsbeslut dnr JU96/3163, 050421 Ju2004/11719/PO 021221 dnr JU2006/10392/PO. NÄRMARE OM DELBETÄNKANDETS FRÅGESTÄLLNINGAR 5Överskottsinformation vid direktåtkomst – gällande rätt beträffande handlingsoffentlighet m.m. Vi ska enligt våra direktiv överväga om begreppet allmän handling i tryckfrihetsförordningen är lämpligt utformat när det gäller sådan överskottsinformation som en myndighet har teknisk tillgång till genom s.k. direktåtkomst hos en annan myndighet eller genom liknande former av elektroniskt utlämnande. Anser vi att definitionen bör ändras i nu aktuellt hänseende, ska vi lämna förslag till ändring av denna. Detta kapitel innehåller en redogörelse för relevant lagstiftning i tryckfrihetsförordningen m.m. som är av särskild betydelse för frågan om handlingsoffentligheten vid myndigheters elektroniska tillgång till andra myndigheters elektroniskt lagrade information. Redogörelsen har viss bäring även på frågorna om begreppet direktåtkomst samt åtskillnaden mellan direktåtkomst och andra former av elektroniskt utlämnande som vi behandlar mer ingående i kapitel 9. Redan här kan påtalas att i det följande används ibland ordet elektroniskt och ibland begreppet automatiserad behandling utan någon avsedd betydelseskillnad. I kapitlet lämnas i avsnitt 5.2 en översiktlig redogörelse för tryckfrihetsförordningens regler om upptagningar som allmänna handlingar och tillgång till andra myndigheters upptagningar. Utlämnandefrågor behandlas i avsnitt 5.3. Därefter behandlas i avsnitt 5.4 särskilt betydelsefulla bestämmelser i annan lagstiftning, såsom offentlighets- och sekretesslagen och arkivlagen (1990:782) samt i avsnitt 5.5 sekretessregleringen vid direktåtkomst. Överskottsinformation vid direktåtkomst – gällande rätt Frågan om handlingsoffentlighet och myndigheters yttre gränser vid myndighetsöverskridande elektronisk informationshantering har behandlats i ett antal tidigare lagstiftningsärenden. En redogörelse för de mera centrala förarbetsuttalandena ges i den återstående delen av detta kapitel.