sou · H2B367 · 2014-09-19 00:00:00 — Som framgått gäller redovisade bestämmelser dock vid införan- det av nya it-system eller större förändringar i sådana system; dvs. för enstaka omfattande och känsliga förändringar i en myndighets I ISF:s verksamhet blir det däremot fråga om ett stort antal ställningstaganden på regelbunden basis. En så omfattande samrådsskyldighet torde i praktiken knappast bli hanterbar med hänsyn till den tid den skulle ta i anspråk för alla inblandade. Vi har vidare berört möjligheten att låta frågor av särskilt känslig natur rörande ISF:s personuppgiftsbehandling prövas av domstol eller ett domstolsliknande organ med möjligheter för ett allmänt ombud att medverka, liknande den lösning som införts för vissa straff- processuella tvångsmedel. En sådan beslutsprocess torde emellertid bli alltför betungande och skulle knappast vara praktiskt genomförbar. Vi har även övervägt om det allmänna ombudet för socialför- säkringen, som har rätt att överklaga beslut som har fattats av eller och föra det allmän- nas talan i förvaltningsdomstol, skulle kunna fungera som en del i ett kontrollsystem för ISF:s behandling av personuppgifter. En sådan roll skulle emellertid knappast kunna förenas med det all- männa ombudets uppgifter i övrigt, vilka främst går ut på att få fram vägledande domstolsavgöranden på områden där rättstillämp- ningen inte är enhetlig eller där det annars finns ett särskilt stort behov av vägledande avgöranden. Slutligen har vi även övervägt möjligheten att ett i förhållande till ISF fristående rådgivande organ skulle bistå myndigheten i vissa frågor – ett personuppgiftsråd (jfr Rådet för den officiella sta- tistiken vid SCB; se SOU 2012:83, s. 476 ff.). Även denna tanke har emellertid avfärdats av samma skäl som redovisats ovan – dvs. de höga krav som ISF:s verksamhet ställer på snabb handläggning och effektivitet och som innebär att beslut behöver fattas i nära anslutning till den faktiska verksamheten. Vi föreslår i stället en särskild ordning för beredningen av beslut inom ISF rörande integritetskänsliga behandlingar av personupp- gifter. 9.7Beredning i särskild ordning Vårt förslag: En särskild ordning för beredning av ärenden som är av principiell betydelse eller annars av särskilt känslig natur från integritetsskyddssynpunkt ska införas inom ISF. Rege- ringen kan meddela föreskrifter om denna beredning. Vår bedömning: Genom den särskilda beredningen säkerställs att väl avvägda beslut fattas beträffande behandlingen av per- sonuppgifter så att registrerades personliga integritet inte kränks. När ett tillsyns- eller granskningsärende inleds ska en bedömning göras av ansvarig chef beträffande behovet av uppgifter i ärendet; jfr den närmare beskrivningen i avsnitt 9.3. I de fall där frågor av principiell betydelse eller särskilt känslig natur uppkommer bör en beredning inför beslut ske i särskild ordning av en kvalificerad funktion inom myndigheten. En sådan beredning kan äga rum t.ex. vid behov av sambearbetning av uppgifter som hämtats in i ett tillsyns- eller granskningsärende med uppgifter i ett annat sådant ärende eller vid fråga huruvida uppgifter som har hämtats in från olika källor i ett tillsyns- och granskningsärende ska få sambearbetas med varandra. Likaså kan denna form för beredning bli aktuell när myndighetens beslut krävs i en fråga om utlämnande av personuppgifter från ISF efter en extern begäran. Andra situationer då det kan vara lämpligt med en sådan beredning i särskild ordning är när ett behov kan förutses av att behandla särskilt känsliga uppgifter, t.ex. från vården eller på mycket detaljerad nivå. Det är dock knappast möjligt att i detalj peka ut de situationer där den särskilda bered- ningsordningen ska tillämpas. Frågan bör i stället avgöras från fall till fall efter en samlad bedömning av omständigheterna i det enskilda fallet. Inledningsvis kommer sannolikt ett större antal frågor att ses som principiella medan de kan antas bli färre i takt med att en praxis växer fram. En sådan beredningsfunktion bör utgöras av en mindre grupp för att fria diskussioner ska underlättas och att gemensamma syn- sätt ska kunna växa fram, grundade på balanserade avvägningar mellan berörda, motstående intressen. Förslagsvis kan två av med- lemmarna utgöras av ISF:s utvärderings- och forskningschef samt myndighetens chefsjurist eller motsvarande befattningshavare. Fördelen är att dessa befattningshavare har inblick i verksamheten och kunskap om vilket underlag som krävs för att utföra myndig- hetens uppdrag. I gruppen bör också ingå externt rekryterade per- soner med sådan kompetens inom dataskydd eller forskning som gör dem särskilt lämpade för ett sådant uppdrag. Någon med erfa- renheter från Datainspektionen eller en etikprövningsnämnd skulle exempelvis kunna ingå. Den sakkunskap som beredningsgruppen kan bidra med torde kunna skapa en legitimitet, såväl internt inom ISF som externt. Det är viktigt att beredningsfunktionen har en hög tillgänglighet för att ISF:s verksamhet ska fungera väl. En fråga är därför om ledamöterna i beredningsfunktionen borde utgöras enbart av med- arbetare inom myndigheten. En bred representation inom gruppen för att dess integritet inte ska behöva ifrågasättas. Ett visst antal av medlemmarna förutsätts därför ha en extern förankring och utses på ett sådant sätt att det inte kan finnas fog för att ifråga- sätta deras legitimitet. Arbetsuppgiften som ledamot i berednings- gruppen bör vidare gälla . Eftersom beredningsgruppens trovärdighet är av central betydelse har vi övervägt om de som ska ingå i gruppen bör utses i särskild ordning. Hade Datainspektionen tilldelats denna uppgift skulle personerna i gruppen sannolikt komma att besitta adekvat kompetens och i övrigt vara lämpade för uppdraget. En sådan lösning framstår dock som mindre lämplig med hänsyn till Datainspektionens roll som tillsynsmyndighet, vilken kan komma att innefatta en granskning av beredningsgruppens ställningstaganden. Ett annat alternativ skulle kunna vara att regeringen utser beredningsgruppens ledamöter. Så är fallet beträffande t.ex. Etiska råd (se 6 § förord- ningen (2007:996) med instruktion för ), vilket säkerställer en bred sammansättning av oberoende ledamöter. Enligt vår bedömning bör beslut om ledamöter i en beredningsgrupp fattas nära den faktiska verksamheten och ta sin utgångspunkt i de särskilda förutsättningar som gäller för ISF rörande myndighetens behov av uppgifter och arbetsmetoder. Regeringen har naturligtvis en inblick i villkoren för ISF:s verksamhet men för nu aktuella beslut krävs en djupgående förståelse för ISF:s specifika behov. Dessutom framstår alternativet med förordnande av regeringen som en alltför arbets- krävande lösning ställd i relation till omfattningen av de uppgifter som den särskilda beredningsgruppen kommer att ha ansvar för. Ett alternativ skulle därför kunna vara att inspektionen själv, efter samråd med Datainspektionen, utser dem som ska ingå i berednings- På så sätt ges Datainspektionen inflytande över gruppens sammansättning. Vidare kommer medlemmarna med en sådan lösning sannolikt redan från början att ha ett starkt stöd och en intern förankring. Ambitionen bör vara att gruppens sammansättning ska bli så bred som möjligt och att den ska utformas med särskilt sikte på att kunna göra oberoende bedömningar. När en fråga hänskjuts till beredningsfunktionen bör ett formulär upprättas som i relevanta delar innehåller det underlag som behövs vid en etikprövning. Det innebär att personuppgiftsbehovet ska redovisas på variabelnivå och även innefatta vilka perioder uppgifterna ska avse. Utformningen av ett sådant dokument behöver anpassas för nu aktuellt sammanhang. Då det blir fråga om en särskilt känslig hantering bör den bered- ningsfunktion vi föreslår uttala sig även om ytterligare begräns- ningar ska gälla för behandlingen. Denna ordning bör tillämpas också när de uppgifter ett ställningstagande avser redan finns hos ISF på grund av att de har hämtas in i ett tidigare ärende. kan det, till undvikande av onödigt merarbete både för ISF och för de myndigheter som lämnar uppgifter till ISF, vara aktuellt att åter- använda uppgifter som har inhämtats inom ramen för ett tidigare projekt, i stället för att hämta in samma uppgifter en gång till. Handläggningen bör som huvudregel vara skriftlig. Berednings- funktionen bör emellertid kalla till muntliga möten när frågan är av sådan art att ett möte behövs eller när olika meningar gör sig gällande. Beredningsfunktionens handläggning bör utmynna i ett ställ- ningstagande utformat som ett utkast till beslut att fungera som underlag för inspektionens beslut. Medlemmarna i beredning- funktionen bör ha möjlighet att redovisa en avvikande mening som bifogas det skriftliga ställningstagandet. Myndigheten fattar därefter beslut om huruvida behandlingen kan godkännas så att databeställ- ningen får skickas till uppgiftslämnaren eller uppgifterna får hämtas in genom direktåtkomst. En hög grad av transparens är viktig i ISF:s verksamhet för att möjliggöra insyn för media och allmänhet. Beredningsfunktionens ställningstagande och eventuella avvikande meningar bör därför ingå i dokumentationen av ISF:s beslut. På så sätt kan utomstående få kännedom om behandlingen och Datainspektionen ges möjlighet att vidta åtgärder i egenskap av tillsynsmyndighet. Här kan nämnas att Datainspektionen enligt PUL får meddela beslut om säkerhets- åtgärder i enskilda fall (32 § PUL) och därvid äger rätt att precisera vilka åtgärder som måste vidtas för att uppfylla säkerhetskraven. Om beslutet inte följs har Datainspektionen möjlighet att förelägga vite. kan saken prövas vid domstol. Inriktningen på de frågor som bereds i den särskilda ordning som beskrivits ovan kan komma att variera . Värt att notera är att det även finns ett personuppgiftsombud vid ISF med de befogenheter och skyldigheter som följer av PUL. Vi föreslår att det regleras särskilt i den nya lagen att ett sådant ombud ska finnas vid ISF, se avsnitt 7.5. Ombudet ska se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed och måste förvissa sig om att den personuppgiftsansvarige följer bestämmelserna i och i anknytande lagstiftning. Har person- uppgiftsombudet anledning att misstänka att den personuppgifts- ansvarige bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och vidtas inte rättelse så snart det kan ske efter påpekande, ska personuppgiftsombudet enligt 38 § PUL anmäla förhållandet till Datainspektionen; se 2 § personuppgiftsförordningen (1998:1191). Personuppgiftsombudet ska även i övrigt samråda med Datainspektionen vid tveksamhet om hur de bestämmelser som gäller för behandlingen av personuppgifter ska tillämpas. En situation då sådant samråd kan vara lämpligt är om generaldirektörens eller motsvarande behöriga beslutsfattares uppfattning skulle stå i strid med beredningsfunktionens ställningstagande i en principiellt viktig fråga. Likaså bör personuppgiftsombudet agera i enlighet med sina befogen- heter och i sista hand kontakta Datainspektionen om ISF skulle tillämpa de regler vi nu föreslår felaktigt eller på annat sätt avstå från att följa dem. En ordning i enlighet med den beskrivna i form av en extra kontrollstation vid särskilt känsliga överväganden bör innebära att behandlingar av personuppgifter inom ISF blir väl avvägda. Det faktum att alla behandlingar kommer att loggas samt att bered-nings- underlagen för beslut blir offentliga (se vidare i avsnitt 9.9), skapar en atmosfär där var och en som hanterar personuppgifter vid ISF noga kommer att, vid varje åtgärd som vidtas, överväga om det finns behov av den. Utrymmet för en slentrianmässig hantering av personuppgifter blir på detta sätt ytterst begränsat. Sammantaget menar vi att de föreslagna lösningarna kan ge ett reellt skydd för enskildas personliga integritet. 9.8Krävs en reglering i lag? Vi har ovan konstaterat att ISF:s behandling av personuppgifter torde utgöra sådan kartläggning av enskildas personliga förhållanden och sådant betydande intrång i den personliga integriteten som enligt 2 kap. 6 § andra stycket och 20 § första stycket 2 regeringsformen behöver ha stöd i lag; se avsnitt 6.4. ISF behöver behandla ett stort antal personuppgifter, inklusive känsliga sådana och personuppgifter om lagöverträdelser m.m. ISF behöver också koppla samman person- uppgifter och behandlingarna sker normalt utan att den enskilde själv får kännedom om dem eller kan lämna sitt godkännande. En reglering bör därför införas i lag så att skyddet för den enskildes personliga integritet säkerställs. Att det inom ISF ska finnas en integritetsskyddsfunktion och att det för särskilt integritetskänsliga frågor ska finnas en särskild beredningsordning ska därmed följa av den registerlag vi föreslår. Det är dock inte möjligt att i lag i detalj ange sammansättningen av integritetsskyddsfunktionen och beredningsgruppen och inte heller vilka deras respektive uppgifter kommer att vara. Personalstyrkan kan komma att variera och, som vi har konstaterat, även karaktären på ISF:s uppdrag. De närmare förutsättningarna bör därför kunna meddelas i form av föreskrifter på lägre nivå. Mer detaljerade regler om integritetsskyddsfunktionens och bered- ningsfunktionen bör ges i ISF:s instruktion genom att regeringen meddelar föreskrifter om detta samt i myndighetens arbetsordning. Sammantaget bör en sådan lagreglering föra med sig att registre- rades fri- och rättigheter inte kränks som en följd av personupp- giftsbehandling inom ISF. Vid en begäran om utlämnande av en allmän handling hos ISF får en sedvanlig sekretessprövning göras i enlighet med gällande regler om offentlighet och sekretess. En fråga är om de handlingar som kommer att utväxlas mellan den särskilda beredningsfunktionen och befatt- ningshavare som ska fatta myndighetens beslut kommer att utgöra allmänna handlingar i tryckfrihetsförordningens (förkortad TF) mening. Reglerna om allmänna handlingars offentlighet finns i 2 kap. TF. Med handling förstås framställning i skrift eller bild samt upptag- ning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med ett tekniskt hjälpmedel. En handling är allmän om den förva- ras hos en myndighet och enligt 6 eller 7 § är att anse som inkom- men till eller upprättad hos myndigheten. Enligt huvudregeln i 2 kap. 7 § första stycket TF anses en hand- ling vara upprättad när den har expedierats. Har handlingen inte expedierats och hör den till ett visst ärende, anses den upprättad när ärendet har slutbehandlats hos myndigheten. Om handlingen inte har expedierats och inte kan hänföras till ett visst ärende, anses den upprättad när den har justerats av myndigheten eller färdig- ställts på annat sätt. Enligt 7 § andra stycket gäller särskilda regler för bl.a. beslut och vissa protokoll. och andra beslut som ska avkunnas eller expedieras och vissa dithörande protokoll och andra handlingar anses upprättade när de har avkunnats eller expe- dierats. Andra protokoll anses i regel upprättade när de har juste- rats eller på annat sätt färdigställts. Av 2 kap. 8 § TF följer att om organ som ingår i eller är knutet till ett verk eller liknande myndig- hetsorganisation har överlämnat handling till annat organ inom samma myndighetsorganisation eller framställt handling för sådant överlämnande, ska handlingen inte anses som därigenom inkom- men eller upprättad i annat fall än då organen uppträder som själv- ständiga i förhållande till varandra. En handling blir således allmän när den har överlämnats mellan organ inom samma myndighetsorganisation endast om dessa organ uppträder som självständiga i förhållande till varandra. Frågan om när organ eller verksamhetsgrenar inom samma myndighetsorganisation är att betrakta som självständiga i förhållande till varandra har behandlats i flera lagstiftningsärenden (exempelvis prop. 2007/08:126 s. 162 f. om hälso- och sjukvård) och i rättspraxis (HFD:s dom i mål nr 2617-12) samt inom ramen för JO:s tillsyn (se exempelvis JO 1995/96 s. 431). I 2 kap. 9 § första stycket TF finns bestämmelser om s.k. minnes- anteckningar. En minnesanteckning som inte har expedierats blir allmän hos en myndighet bara om myndigheten omhändertar den för arkivering. Med minnesanteckning förstås promemoria och annan uppteckning eller upptagning som har kommit till endast för ärendes föredragning eller beredning, dock inte till den del den har tillfört ärendet sakuppgift. I paragrafens andra stycke finns en sär- regel angående utkast eller koncept till en myndighets beslut eller skrivelser och andra liknande handlingar. Har en handling av det slaget inte expedierats, anses den inte som allmän handling. här görs undantag för det fallet att handlingen tas om hand för arkivering. Den särskilda beredningsordningen inom ISF kommer enligt vårt förslag att utgöra en integrerad del av myndigheten. Gruppen kommer inte att ha någon egen beslutsbefogenhet eller i övrigt kunna vidta faktiska åtgärder självständigt och på eget ansvar. Vår bedömning är därför att de underlag och utkast till beslut som gruppen överlämnar till beslutsfattare inom myndigheten inte däri- genom blir allmänna handlingar i TF:s mening. De kommer i stället att utgöra underlag för den interna beredningen och därmed arbets- material. de publiceras som bilaga till ett av ISF expedierat beslut blir de däremot allmänna handlingar. 10Direktåtkomst och annat elektroniskt utlämnande Frågor om direktåtkomst och annat elektroniskt utlämnande har berörts redan i kap. 9 med anledning av våra förslag om en integri- tetsskyddsfunktion och en särskild beslutsordning. Här tas direkt- åtkomst och annat elektroniskt utlämnande upp med utgångspunkt från vilket behov som kan finnas av att författningsreglera sådan åtkomst. Personuppgifter kan lämnas ut på olika sätt, t.ex. genom en kopia av en pappersbaserad handling eller en utskrift från en dator. Utlämnande kan också göras i elektronisk form, genom direkt åtkomst eller elektroniskt på annat sätt. Den elektroniska formen omfattar i sig ett stort antal variationer, t.ex. e-post, lagring på CD- rom, direktöverföring från ett datorsystem till ett annat via tele- nätet eller att en mottagare ges elektronisk tillgång till det utläm- nande organets it-miljö. Alla varianter, elektroniska eller inte, anses i princip utgöra behandling av personuppgifter enligt personupp- giftslagen (1998:204, förkortad PUL). Där görs ingen åtskillnad mellan elektroniskt utlämnande och utlämnande som sker på papper eller muntligen. I många registerförfattningar och andra författningar som reglerar personuppgiftsbehandling finns emellertid bestämmelser där det framgår inte bara i vad mån personuppgifter får behandlas genom att lämnas ut till en extern mottagare utanför myndigheten eller det personuppgiftsansvariga organet, utan även när ett utlämnande får göras i elektronisk form till andra myndigheter eller enskilda. Motivet för denna särreglering av sättet eller den särskilda tek- niken för utlämnandet är att den elektroniska formen anses medföra ökade risker för otillbörliga integritetsintrång. Normalt innebär den elektroniska formen att mottagaren efter utlämnandet har Direktåtkomst och annat elektroniskt utlämnande större möjligheter att bearbeta informationen än om den hade läm- nats ut på papper. Inom datalagstiftningen används för denna typ av utlämnanden ofta begreppen direktåtkomst och utlämnande på medium för automatiserad behandling. Det finns ingen legaldefini- tion av begreppet direktåtkomst. Den tekniska utvecklingen har inneburit att det numera finns betydligt fler sätt att överföra upp- gifter elektroniskt än tidigare och att nya metoder tillkommer. Detta har fört med sig att begreppen direktåtkomst och utlämnande på medium för automatiserad behandling vanligen uppfattas som oklara när de ska tillämpas. De används inte heller på ett enhetligt sätt i olika registerförfattningar. Utöver nämnda begrepp används t.ex. uttrycket elektronisk åtkomst (SOU 2010:4 s. 364 f.). Med direktåtkomst menas emellertid vanligtvis att någon har direkt tillgång till någon annans register eller databas och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen (se bl.a. prop. 2009/10:85 s. 168). I begreppet ligger också att den som är personuppgiftsansvarig för registret eller databasen inte har någon kontroll över vilka uppgifter mottagaren vid ett visst söktillfälle tar del av (prop. 2011/12:45 s. 133). Den myndig- het som lämnar ut uppgifter genom direktåtkomst fattar således inte i varje enskilt fall beslut om utlämnande av de uppgifter som den som har medgetts direktåtkomst väljer att ta del av. Vid direktåtkomst blir uppgifterna att anse som utlämnade i tryckfrihetsförordningens (förkortad TF) mening redan i och med att direktåtkomsten görs möjlig (jfr prop. 2011/12:45 s. 143). Sådan åtkomst innebär nämligen att den mottagande myndigheten ges tillgång till en viss mängd uppgifter hos den utlämnande myndigheten och därmed fritt kan avgöra vilka uppgifter bland dessa som myndig- heten ska ta del av. Mottagande myndighet ges vanligtvis också möjlighet att hämta hem information till sin egen it-miljö och att bearbeta informationen där. Att samtliga uppgifter som omfattas av en direktåtkomst anses utlämnande till den mottagande myndigheten får betydelse för bl.a. frågan om vilket behov av sekretessbrytande regler som direktåt- komsten ger upphov till. Utlämnande på medium för automatiserad behandling avser utlämnande på elektronisk väg som inte utgör direktåtkomst. Ett sådant utlämnande kan innebära att elektroniskt lagrade uppgifter överlämnas via något slags medium för lagring exempelvis USB- minne, CD-romskiva eller diskett som fysiskt transporteras till mot- Direktåtkomst och annat elektroniskt utlämnande Men hit brukar numera också hänföras medier för överföring, t.ex. e-post; jfr 13 § studiestödsdatalagen (2009:287). Den tekniska utvecklingen har här lett till att skillnaderna mellan direktåtkomst och annat uppgiftslämnande på automatiserad väg blivit så små och i vissa fall betydelselösa att det kan vara svårt att dra en gräns mellan dessa former för utlämnande. Dessutom är som nämnts begreppsbildningen på området oklar som register- författningarna saknar en enhetlig systematik. Frågan om det finns skäl att upprätthålla en åtskillnad mellan olika former av utlämnan- de utreds därför av (Ju 2011:11). Vi ska inte föregå resultatet av Informationshanteringsutred- ningens arbete. Mot denna bakgrund är det viktigt att den nu före- slagna registerförfattningen inte skapar ytterligare oklarheter. För att skilja de två huvudformerna av elektroniskt utlämnande åt använder vi i fortsättningen uttrycken direktåtkomst och annat elektroniskt utlämnande. Med direktåtkomst för ISF menar vi att en befattningshavare vid ISF från ISF:s itmiljö tar del av uppgifter i informa- tionssamlingar för vilka myndigheter inom socialförsäkringens administration är personuppgiftsansvariga utan att den myndighet som lämnar ut uppgifter genom direktåtkomst i varje enskilt fall fattar beslut om utlämnande av de uppgifter som ISF tar del av. Vad som kännetecknar en direktåtkomst torde vara att det inte behövs att utlämnande myndighet reagerar på någon begäran från en mottagare eller fattar ett eget beslut om utlämnande eftersom mottagaren redan har en egen tillgång till uppgifterna. Vid annat elektroniskt utlämnande lämnas uppgifter i stället ut i enskilda fall av en utlämnande myndighet på begäran av mottagaren eller på initiativ av den utlämnande myndigheten som förfogar över upp- giften och bestämmer om den ska lämnas ut eller inte. Sådana beslut för enskilda fall torde kunna fattas såväl manuellt som automa- tiserat; se vidare E-delegationens rapport och ut- lämnande på medium för automatiserad behandling. Direktåtkomst och annat elektroniskt utlämnande 10.2ISF bör medges direktåtkomst till socialförsäkringsdatabasen