sou · H2B367 · 2014-09-19 00:00:00 — När en sådan har etablerats tekniskt uppkommer i praktiken alltid ett över- skott av information; dvs. uppgifter som den mottagande myndig- heten visserligen kan men inte har skäl att ta del av och i många fall inte heller får behandla till följd av regler om persondataskydd. ISF bör i varje tillsyns- och granskningsärende noga överväga i vilken mån en direktåtkomst som tekniskt finns etablerad ska användas. Inhämtning av information genom direktåtkomst kommer således endast att ske när det finns ett klart behov av att få ta del av uppgifter på det sättet, nyttan av åtkomsten är klart påvisbar och den inte innebär någon beaktansvärd försämring av skyddet för den personliga integriteten. Det är primärt endast ett fåtal befattnings- havare vid integritetsskyddsfunktionen som kommer att inhämta personuppgifter till ISF på detta sätt. Så snart det rör sig om uppgifter som är direkt hänförliga till enskilda kodas dessa innan de används i den faktiska verksamheten. Sekretesskyddet för upp- gifterna hos ISF har redogjorts för ovan. I avsnitt 10.10 föreslår vi begränsningar vad gäller möjligheten att lämna ut uppgifter elektroniskt från ISF. Direktåtkomst och annat elektroniskt utlämnande Sammantaget menar vi att våra förslag kan ge en stabil rättslig grund för ISF:s möjligheter att inhämta personuppgifter genom direktåtkomst. och har visserligen en skyldighet att lämna uppgifter till ISF – en uppgiftsskyldighet har föreskrivits – men sättet för att lämna ut uppgifter disponerar och över. Vårt förslag om direktåtkomst utgör en lagreglerad möjlighet för och att medge direktåtkomst för ISF till personuppgifter i socialförsäkringsdatabasen. Om det av tekniska eller andra skäl inte skulle vara möjligt eller innebära särskilda svårigheter att medge ISF direktåtkomst så att ISF kan ta del av uppgifterna från sin it-miljö bör ISF i andra hand kunna få ut uppgifterna via medium för automatiserad behandling. I de förarbeten som ligger till grund för studiestödsdatalagen (2009:287) – prop. 2008/09:96, s. 59 – uttalas följande. För det fall uppgiftslämnandet är författningsreglerat och förutsatt att ett elektroniskt uppgiftslämnande, t.ex. genom direktåtkomst, är möjligt enligt den särlagstiftning som gäller för behandling av personuppgifter i en viss verksamhet, är det – vilket följer av de sekretessbrytande bestämmelserna – upp till myndigheten att välja medium för utlämnande. I de fall då direktåtkomst är tillåten är det alltså även tillåtet att utlämna uppgifter t.ex. i skriftlig form. Den begränsningen ska dock givetvis gälla att myndigheternas tillgång till informationen om enskilda begränsas till vad som är nödvändigt för att de ska kunna utföra sina uppgifter. Även om myndigheterna, under angivna förutsättningar, formellt kan välja om uppgifterna ska lämnas ut manuellt eller elektroniskt, t.ex. genom direktåtkomst, måste förutsättas att myndigheterna väljer det mest effektiva sättet för informationsöverföring. Vi förutsätter som framgått att och Pensions- myndigheten väljer det mest effektiva sättet för informations- överföring och ser till att direktåtkomst kan äga rum så länge det inte finns reella ekonomiska eller tekniska hinder. Det torde dock vara möjligt att lämna ut uppgifter även på annat sätt än genom direkt- åtkomst när en lagreglerad möjlighet att medge direktåtkomst finns. I vissa författningar saknas det regler om utlämnande på medium för automatiserad behandling. Av förarbetena framgår att man ansett att en sådan reglering inte är nödvändig för att ett utlämnande ska SOU 2014:67 Direktåtkomst och annat elektroniskt utlämnande I SFB har frågan emellertid reglerats. Enligt 114 kap. 24 § SFB får personuppgifter i socialförsäkringsdatabasen som får lämnas ut till den registrerade lämnas ut till denne på medium för automatiserad behandling. I övrigt får personuppgifter ur databasen lämnas ut på sådant medium endast om det behövs för något av de ändamål som anges i 8 och 9 §§, dvs. för ett av de där uppräknade tillåtna ändamålen för att tillhandahålla information – s.k. sekundära ändamål. Av förarbetena (prop. 2002/03:135 s. 97 f.) framgår bl.a. att i samtliga fall som räknas upp i de sekundära ändamålen kan det sägas finns bakomliggande specifika ställningstaganden i författning eller regeringsbeslut om att viss information ska eller får lämnas ut. Dessa ställningstaganden tar i och för sig i regel sikte mer på det sakliga innehållet i de uppgifter som avses än formen för utlämnande. Emellertid kan det förutsättas att integritetsaspekten har beaktats. Detta i förening med effektivitetsintresset talar generellt sett för att uppgifterna i fråga även får lämnas ut på medium för automatiserad behandling. När och tillhandahåller information på grund av sin uppgiftsskyldighet till ISF finns det således uttryckligt stöd i SFB för att, om inte heller ISF kan medges direktåtkomst på plats på så sätt att ISF får ta del av innehållet i socialförsäkringsdatabasen hos utlämnande myndighet, lämna ut personuppgifterna till ISF genom annat elektroniskt utlämnande. En fråga är härvid hur den situationen att ISF tar del av information på plats hos en myndighet ska bedömas när författ- ningsregleringen är utformad så att ISF inte får ges direktåtkomst, eller då det i vart fall inte framgår av tillämplig författning att ISF får medges direktåtkomst. Det har därvid visat sig svårt att få ut akter på ett sådant sätt att det inte blir fråga om direktåtkomst. Frågan om vad som ska anses utgöra direktåtkomst när en tillsynsmyndighet behöver utföra en granskning på plats synes inte ha behandlats i tidigare lagstiftningsärenden. Det finns därför inga motivuttalanden som avser sådana fall. En liknande situation där uppgifter lämnas ut på plats genom ett förfarande som skulle kunna betraktas som direktåtkomst är den då en myndighet enligt 6 kap. 6 § OSL på begäran ska ge en enskild tillfälle att själv använda tekniska hjälpmedel för automatiserad behandling som myndigheten förfogar över för att ta del av upptagningar för automatiserad behandling. Många domstolar ställer en datorterminal till allmänhetens förfogande i sina offentliga utrymmen Direktåtkomst och annat elektroniskt utlämnande (allmänhetens terminal), där det är möjligt för allmänheten att på egen hand ta del av uppgifter. Det är endast offentliga uppgifter som kan visas på terminalen och det finns ingen möjlighet för användaren att ta med sig uppgifterna i elektronisk form, t.ex. genom att med e- post skicka uppgifterna till sig själv eller spara uppgifterna på ett flyttbart lagringsmedium. Att på detta sätt erbjuda enskilda en teknisk möjlighet att direkt hos myndigheten ta del av elektroniska handlingar har ibland inte ansetts utgöra direktåtkomst (se t.ex. Ds 2013:10 s. 138). I andra sammanhang har allmänhetens terminal emellertid betraktats som direktåtkomst (se t.ex. JK:s beslut , dnr 7004-13- 28). Några särskilda regler ges inte om detta i det förslag som lagts fram till domstolsdatalag. Allmänhetens terminal förekommer även hos många förvaltningsmyndigheter, t.ex. hos . Det framstår som märkligt om ISF i egenskap av tillsynsmyndighet inte skulle få ta del av akter via terminal på plats hos endast på grund av att detta skulle ses som direktåtkomst, medan motsvarande åtgärd av allmänheten via allmänhetens terminal inte skulle betraktas som direktåtkomst. Enligt vår bedömning kan det inte ha varit lagstiftarens avsikt att genom införandet av begreppet direktåtkomst utesluta möjlig- heten för tillsynsmyndigheter att inhämta information, genom fungerande rutiner på plats hos en granskad myndighet, om sakliga skäl mot ett sådant förfarande inte finns från integritetssynpunkt. Datainspektionen har dock i ett samrådsyttrande funnit att det utgör direktåtkomst om ISF självständigt tar del av uppgifter på plats hos en myndighet. Däremot har Datainspektionen inte ansett att det utgör direktåtkomst när medarbetare från den utlämnande myndigheten söker fram ärenden med ISF närvarande (se Data- inspektionens samrådsyttrande , dnr 126- 2013). Från integritetssynpunkt är det svårt att finna någon reell skillnad mellan situationen att den myndighet som får besök av en tillsynsmyndighet övervakar tillsynsmyndighetens personal genom en befattningshavare, och den situationen att tillsynsmyndighetens aktiviteter loggas och därefter kontrolleras så att det klargörs att endast de akter som tillsynsmyndigheten har begärt ut har lästs. Övervägandena har kommit att ta sikte på tolkningen av begreppet direktåtkomst i stället för integritetsavvägningar. Att utreda begreppen i sammanhanget är emellertid en fråga som faller inom ramen för uppdrag. Direktåtkomst och annat elektroniskt utlämnande 10.10 Utlämnande av uppgifter hos ISF Vårt förslag: Enstaka personuppgifter får lämnas ut på medium för automatiserad behandling. I övrigt får personuppgifter lämnas ut på medium för automatiserad behandling endast om regeringen har meddelat föreskrifter om det. Utlämnande genom direktåtkomst är inte tillåten. ISF har i praktiken aldrig lämnat ut uppgifter till någon enskild och bara i några enstaka fall har det förekommit att ISF har lämnat ut uppgifter till en annan myndighet. Utlämnandet har då skett inom ramen för ett samarbete med myndigheten i fråga. I de flesta fall har det handlat om begränsade mängder personuppgifter. Inför varje utlämnande av uppgifter från ISF sker en noggrann prövning av vilka uppgifter som ska lämnas ut. Själva utlämnandet har normalt skett via USB-minne eller motsvarande. De rutiner som inspektionen tillämpat innebär enligt vår mening inte att utlämnanden sker genom vad som kan betecknas som direktåtkomst. Det är väsentligt att ISF också fortsättningsvis ser till att inte fler eller mer känsliga personuppgifter görs tillgängliga för andra än vad som är nödvändigt med hänsyn till ändamålet med behandlingen och att säkrast möjliga teknik används vid överföringen. Från integritets- synpunkt finns härvid skäl att överväga om elektroniskt utlämnande av personuppgifter ska få förekomma. Regeringen har i flera fall intagit ståndpunkten att det av integritetsskäl är viktigt att utlämnande på medium för automatiserad behandling är tillåtet endast när det kan anses lämpligt, eftersom det i sådana fall är lätt att sprida informationen vidare. Frågan har berörts av regeringen i ett antal propositioner, bl.a. regeringens proposition 2001/02:144 Lag om behandling av personuppgifter i den arbets- marknadspolitiska verksamheten och regeringens proposition 2002/03:135 Behandling av personuppgifter inom socialförsäkringens administration. När det gäller utlämnanden till myndigheter har regeringen ansett att risken för missbruk av sådana personuppgifter är liten. Om ett utlämnande inte hindras av sekretess bör uppgifter därför kunna lämnas ut på medium för automatiserad behandling till andra myndigheter. Detsamma gäller beträffande de registrerade själva. Genom våra förslag kommer ISF att få behandla stora mängder personuppgifter. Utlämnanden av uppgifterna till andra enskilda än Direktåtkomst och annat elektroniskt utlämnande den registrerade själv (företag, organisationer och privatpersoner) kan, enligt vår bedömning, inte anses lämpligt från integritetssynpunkt. Till detta kommer att de uppgifter som finns hos ISF har hämtats från andra myndigheter. Uppgifterna kan därför i många fall begäras ut direkt från dessa myndigheter. I takt med att myndigheterna inom den offentliga förvaltningen i allt större utsträckning övergår till fullständigt elektronisk informationshantering framstår emellertid totala begränsningar av möjligheten till elektroniskt informations- utbyte som mindre lämpliga. Av effektivitetsskäl ska ISF i vissa fall kunna lämna ut enstaka uppgifter, företrädesvis till andra myndig- heter, på medium för automatiserad behandling. Under förutsättning att den tekniska säkerheten i samband med överföringen är tillräckligt god bör ett utlämnande på medium för automatiserad behandling till myndigheter i de flesta fall inte innebära större risker för otillbörliga integritetsintrång än när utlämnandet sker på papper. ISF bör naturligtvis även kunna använda vardagliga funktioner som e-post i sina kontakter med utomstående. Vi föreslår därför att enstaka personuppgifter ska få lämnas ut på medium för automatiserad behandling (jfr 2 kap. 20 § polisdatalagen och 2 kap. 8 § kustbevakningsdatalagen). Detta bör i synnerhet gälla när det är fråga om uppgifter som i sig själva är harmlösa. Det bör dock framhållas att begreppet enstaka personuppgifter i registerförfattningssammanhang har fått en något vidare innebörd än i vanligt språkbruk. Av t.ex. prop. 2009/10:85 s. 333 framgår att det handlar om personuppgifter som förekommer i en eller ett fåtal handlingar och att handlingarna bör kunna lämnas ut genom t.ex. ett e-postmeddelande. Det förhållandet att en handling, t.ex. en lista över telefonnummer, innehåller ett större antal personuppgifter bör inte heller hindra att handlingen lämnas ut. Likaså bör ett handlingar i ett ärende eller delar av ett ärende där personuppgifter förekommer kunna lämnas ut. Det kan framöver finnas behov av att anpassa regleringen när den tekniska utvecklingen fortskridit så att formerna för elektroniskt utlämnande förändrats och blivit mera säkra. Vi föreslår därför att personuppgifter i övrigt ska få lämnas ut på medium för automatiserad behandling endast om regeringen har meddelat föreskrifter om det. Det saknas vidare anledning att låta myndigheter och enskilda få direktåtkomst till personuppgifter som behandlas hos ISF. Enligt vår mening bör endast befattningshavare vid ISF, innefattande även inhyrd personal och konsulter som ISF i förekommande fall har anlitat, ges direkt tillgång till dessa uppgifter. Vi föreslår därför att Direktåtkomst och annat elektroniskt utlämnande utlämnande genom direktåtkomst av uppgifter som finns hos ISF inte ska vara tillåten. 10.11 Hot och risker 10.11.1 Skydd enligt PUL och sekretess I takt med att ISF utvecklar sin organisation och de tekniska systemen för att genomföra det skydd vi föreslår måste ISF också utveckla sina rutiner för informationssäkerhet. Enligt 31 § PUL ska som nämnts den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Till tekniska åtgärder hör sådant som brandväggar, krypteringsfunktioner, intrångsdetekteringssystem och antivirus, medan organisatoriska åtgärder handlar om säkerhets- arbetets organisation och rutiner, instruktioner och policyer. Av 32 § PUL följer att Datainspektionen i enskilda fall får besluta om vilka säkerhetsåtgärder en personuppgiftsansvarig ska vidta enligt 31 §. Efter att Datainspektionen förelagt en myndighet att genomföra en risk- och sårbarhetsanalys av vissa tjänster – under åberopande av att inspektionen enligt 43 § b PUL har rätt att för sin tillsyn på begäran få upplysningar om och dokumentation av behandlingen av personuppgifter och säkerheten vid denna – har Högsta förvalt- ningsdomstolen funnit att berörd myndighet var personuppgifts- ansvarig för de aktuella behandlingarna och att Datainspektionens föreläggande för myndigheten att genomföra en risk- och sårbarhetsanalys av tjänsterna skulle stå fast (HFD 2012 ref. 21). Här bör också uppmärksammas att det av 18 kap. 13 OSL, under rubriken och sårbarhetsanalyser m.m., följer att sekretess gäller för uppgift som hänför sig till en myndighets verksamhet som består i risk- och sårbarhetsanalyser avseende fredstida krissituationer, planering och förberedelser inför sådana situationer eller hantering av sådana situationer, om det kan antas att det allmännas möjligheter att förebygga och hantera fredstida kriser motverkas om uppgiften röjs. Särskilda säkerhetsåtgärder kan behöva vidtas när känsliga personuppgifter överförs elektroniskt, t.ex. genom e-post (se Data- inspektionens beslut , dnr 1082-2006). Möjligheten att använda kryptering vid kommunikation över Internet bör därför nyttjas. Vidare kan till ISF inkomma uppgifter som rör rikets Direktåtkomst och annat elektroniskt utlämnande SOU 2014:67 säkerhet och då gäller särskilda regler om sekretess, se särskilt 15 kap. OSL. I det fortsatta arbetet måste tydliga krav formuleras. Här finns emellertid inte utrymme för någon närmare genomgång. 10.11.2 Övrigt regelverk på området Utöver reglerna i PUL och OSL finns på det statliga området före- skrifter om statliga myndigheters risk- och sårbarhetsanalyser (MSBFS 2010:7), om statliga myndigheters informationssäkerhet (MSBFS 2009:10) där det föreskrivs att en myndighet i sitt arbete med att upprätthålla säkerhet i sin informationshantering ska tillämpa ett ledningssystem för informationssäkerhet och bedriva sitt arbete med informationssäkerhet i former enligt angivna etablerade svenska standarder för informationssäkerhet. Ett ledningssystem för informationssäkerhet () är den del av en myndighets ledningssystem som styr informationssäkerheten i myndighetens verksamhet. ISF är liksom övriga myndigheter under regeringen skyldig att bedriva ett systematiskt arbete på området, enligt vedertagna standarder, och att därvid ta fram styrdokument för informationssäkerhet, modeller och metoder för riskhantering och klassning, system för incidenthantering och kontinuitetsplanering, och beslut om och åtgärder för att uppnå eller upprätthålla den beslutade säkerhetsnivån. Till detta kommer ett stort antal regler i författning om hur myndigheter utifrån olika aspekter ska arbeta med informations- säkerhet. Här finns inte utrymme för mer än en punktvis uppräk- ning av berörda författningar; lagen (1992:1403) om totalförsvar och höjd beredskap, förordningen (2006:942) om krisberedskap och höjd beredskap, lagen (2003:778) om skydd mot olyckor, Direktåtkomst och annat elektroniskt utlämnande förordningen (2003:789) om skydd mot olyckor, säkerhetsskyddslagen (1996:627), säkerhetsskyddsförordningen (1996:633), förordningen (2007:603) om intern styrning och kontroll, internrevisionsförordningen (2006:1228), förordningen (1995:1300) om statliga myndigheters riskhantering. Alla uppräknade författningar innehåller sina krav på myndigheter att analysera olika hot- och risker, vanligtvis i förening med krav på dokumentation och åtgärder. Här får anses tillräckligt att notera att ISF har att följa denna reglering. 11.1Förbud mot behandling i syfte att identifiera enskilda personer Vårt förslag: Uppgifter i tillsyns- och granskningsärenden får inte sammanföras med varandra eller med andra uppgifter i syfte att ta reda på en enskilds identitet. Genom den lag vi föreslår ges ISF möjlighet att även fortsättningsvis behandla en stor mängd personuppgifter, varav en del är känsliga i personuppgiftslagens (1998:204, förkortad PUL) mening. Vid den avvägning som vi har gjort mellan ISF:s behov av att behandla uppgifter och skyddet för enskildas integritet, har en viktig faktor varit att de personuppgifter som behandlas i stor utsträckning inte är direkt hänförliga till enskilda och att nyckeln till enskilda personers identitet finns utanför myndighetens kontroll, alternativt hanteras med särskilda restriktioner inom myndigheten. Behandling av personuppgifter med ett flertal variabler för varje individ innebär dock alltid en risk för att en enskilds identitet kan gå att ta reda på, även om uppgifterna inte är direkt hänförliga till en viss person. Vid behandling av uppgifter som omfattas av lagen (2001:99) om den officiella statistiken finns i 6 § samma lag ett förbud mot att sammanföra uppgifter med andra uppgifter i syfte att utröna en enskilds identitet. Syftet med ISF:s behandling av personuppgifter är inte att ta reda på en enskilds identitet, även om de informationsansvariga vid integritetsskyddsfunktionen kommer att behöva göra en sådan koppling, när uppgifter ska härledas inom ramen för arbetet med att koda uppgifterna. För att säkerställa att de registrerades personliga integritet skyddas föreslår vi att det i den särskilda lagen föreskrivs att uppgifter i tillsyns- och granskningsärenden inte får sammanföras med andra uppgifter eller med varandra i syfte att ta reda på en enskilds identitet. 11.2Information till den registrerade i form av registerutdrag Vårt förslag: Information som ska lämnas enligt 26 § PUL behöver inte omfatta en uppgift som har försetts med en beteckning så att den inte är direkt hänförlig till en enskild. En enskild person har rätt att utan kostnad en gång få ett registerutdrag där det framgår om personuppgifter om denne behandlas och i så fall vilka uppgifter som behandlas. En sådan möjlighet till insyn är av betydelse för att skydda den enskildes integritet och för möjligheten för den enskilde att begära rättelse av felaktiga uppgifter. Av 26 § första stycket PUL framgår att skriftlig information ska lämnas om a) vilka uppgifter om den sökande som behandlas, b) varifrån dessa uppgifter har hämtats, c) ändamålen med behandlingen, och d) till vilka mottagare eller kategorier av mottagare som upp- gifterna lämnas. Enligt 27 § PUL gäller dessa bestämmelser om informationsskyldighet dock inte i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller i beslut som meddelats med stöd av författning. Författningsgrundade bestämmelser om sekretess eller tystnadsplikt går således före skyldigheten att lämna registerutdrag. Skyldigheten att lämna information om de personuppgifter som behandlas är förhållandevis lätt att uppfylla i de undantagsfall de personuppgifter ISF behandlar direkt kan hänföras till en enskild. I de fallen bör ISF vara skyldig att tillämpa reglerna i 26 § PUL. I förarbetena till PUL ansåg regeringen det rimligt att utgå från att regleringen i 26 § PUL inte innebär mer än att den person- uppgiftsansvarige är skyldig att utnyttja alla de sök- och samman- ställningsmöjligheter som han eller hon har tillgång till för att få fram information att lämna till den registrerade (prop. 1997/98:44 Personuppgiftslag, s. 82 f.). Regeringen anslöt sig därmed till vad anfört i sitt betänkande (SOU 1997:39, Integritet, Offentlighet, Informationsteknik). Enligt kommittén var det inte rimligt att informationsskyldigheten skulle utformas på ett sådant sätt att den tvingar fram förfaranden som i själva verket kan hota den personliga integriteten. Den personuppgiftsansvarige bör, som kommittén såg det, bara vara skyldig att utnyttja de sök- och sammanställningsmöjligheter som han eller hon faktiskt och rättsligt har tillgång till för att få fram information att lämna till den registrerade. Därmed garanteras att den registrerade får tillgång till all information som den personuppgiftsansvarige själv kan få fram om den registrerade. Enligt kommittén fanns det inte anled- ning att driva på utvecklingen och användningen av möjligheterna att göra känsliga sammanställningar. De uppgifter som ISF behandlar kommer som framgått delvis att vara sådana att inspektionen inte har möjlighet att utan bistånd från andra myndigheter sammanställa ett registerutdrag över de uppgifter som behandlas. I vissa fall blir det visserligen tekniskt möjligt för ISF att efterkomma en enskilds ansökan om registerutdrag, men de informationsansvariga vid ISF skulle i så fall behöva använda sig av de kodnycklar som förvaras hos integritetsskyddsfunktionen för att få fram eventuell information om de registrerade. Den särskilda funktion vi föreslår för att koda och i övrigt skydda personuppgifter skulle därmed användas i motsatt syfte – dvs. för att identifiera och sammanställa uppgifter om en enskild person. En sådan hantering, som i sig skulle utgöra ett integritetsintrång, bör inte komma i fråga; jfr förslaget i avsnitt 11.1 om förbud mot behandling i syfte att identifiera enskilda personer. När det gäller de personuppgifter som ISF hämtar in från statistikansvariga myndigheter får frågan anses omhändertagen genom bestämmelsen i 18 § lagen (2001:99) om den officiella statistiken.