sou · H2B367 · 2014-09-19 00:00:00 — Om uppgifterna i och för sig ska bearbetas med statistiska metoder, men sedan i bearbetad form ska användas i ett särskilt ärende, kan de således inte lämnas ut med stöd av undantaget för uppgifter som behövs för statistikändamål. En förutsättning för att uppgifter som behövs för forsknings- eller statistikändamål ska få lämnas ut är som nämnts att det står klart att uppgifterna kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Eftersom uppgifter som omfattas av statistiksekretess har ett så starkt skydd innebär ett utlämnande som medför att uppgifterna kommer att omfattas av ett svagare sekretesskydd i sig en risk för skada. Även om använd- ningen av uppgifterna hos mottagaren inte medför någon skada kan nämligen det svagare sekretesskyddet hos mottagaren medföra att uppgifterna lämnas vidare på ett sätt som medför skada. När det gäller skadeprövningen i samband med ett utlämnande av uppgifter för forskningsändamål är det mot den bakgrunden värt att notera att en myndighet som i sin forskningsverksamhet får en sekretessreglerad uppgift från en annan myndighet enligt 11 kap. 3 § OSL ska tillämpa den sekretessbestämmelse som gäller för upp- giften hos den utlämnande myndigheten. Sekretesskyddet hos den mottagande myndigheten utgör i ett sådant fall inte någon skaderisk i sig. I vissa fall kan det dock finnas en primär sekretess- bestämmelse som hos den mottagande myndigheten gäller före den överförda sekretessen, se 11 kap. 8 § OSL. Av 7 § OSF framgår att sekretess enligt 24 kap. 8 § OSL gäller i tillsyns- och gransknings- verksamheten hos ISF (se kapitel 13 för en närmare beskrivning av hur dessa bestämmelser förhåller sig till varandra). Denna primära sekretess för uppgifterna hos ISF torde därmed ha företräde framför överförd sekretess. Även vid bedömning av en fråga om utlämnande av uppgifter som behövs för statistikändamål spelar de sekretessbestämmelser som blir tillämpliga på uppgifterna efter ett utlämnande en avgörande roll vid skadeprövningen. I samband med att möjligheterna att lämna ut uppgifter som behövs för statistikändamål infördes uttalade regeringen att dessa möjligheter till utlämnande borde tillämpas restriktivt. Utlämnande av uppgifter till en annan myndighet som tillämpar statistiksekretess torde normalt kunna ske (jfr prop. 1994/95:200 s. 27 f.) Omvänt torde ett utlämnande som innebär att uppgifterna inte längre omfattas av statistiksekretess ofta anses medföra en skaderisk. Det förhållandet att en undersökning omfattas av statistiksekretess medför inte i sig att uppgifter som omfattas av statistiksekretess hos andra myndigheter utan vidare kan lämnas ut till den myndighet som genomför undersökningen. Sekretesskyddet hos den myndighet som tar emot uppgifterna kan visserligen ha betydelse vid bedömningen av risken för skada vid ett utlämnande. En första förutsättning för att ett utlämnande ska kunna ske är dock att något av undantagen från den absoluta sekretessen är tillämpligt (prop. 2013/14:162, Ändringar av statistiksekretessen, s 15. För att möjliggöra nödvändigt samarbete och informationsutbyte mellan myndigheter och i syfte att motverka att oförutsedda hinder uppkommer i verksamheter för vilka OSL gäller har en s.k. general- klausul införts i 10 kap. 27 § OSL. Enligt den får en sekretessbelagd uppgift lämnas till en myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Utlämnande myndighet kan med stöd av denna bestämmelse vid prövningen av utlämnandefrågan väga den mottagande myndig- hetens behov av uppgifterna mot det intresse som sekretesskyddet typiskt sett tillgodoser. Vid denna bedömning finns det skäl att kontrollera huruvida och i vilken omfattning uppgifterna kommer att omfattas av sekretess hos den mottagande myndigheten. Om en uppgift inte skyddas av sekretess hos den mottagande myndigheten kan risken för skada vara så stor att uppgiften inte bör lämnas ut (prop. 1979/80:2 Del A s. 91). Om det i lag eller förordning har föreskrivits att uppgifter bör eller får lämnas från en myndighet till en annan, finns det särskild anledning att anse att generalklausulen är tillämplig. Den aktualiseras särskilt när det är fråga om myndigheter med samma sakliga behörighet men med skilda lokala kompetensområden, eller myndigheter som har närbesläktade funktioner och som båda har rättslig befogenhet att direkt fordra in de utväxlade uppgifterna. Viss sekretess som det har ansetts särskilt angeläget att upprätt- hålla gentemot andra myndigheter, t.ex. statistiksekretess, hälso- och sjukvårdssekretess och socialtjänstsekretess, har emellertid undan- tagits från generalklausulens tillämpningsområde. Hemliga uppgifter inom hälso- och sjukvården och får alltså aldrig med stöd av 10 kap. 27 § OSL lämnas ut till någon annan myndighet. Generalklausulen gäller inte heller om ett utlämnande strider mot lag eller förordning eller föreskrift som har meddelats med stöd av PUL. Enligt ISF:s instruktion är myndigheten skyldig att samverka med andra tillsynsmyndigheter som kan komma att beröras av ISF:s tillsyns- och granskningsverksamhet. Denna samverkan kan föra med sig ett behov av att utbyta uppgifter. Generellt gäller som nämnts att en myndighet på begäran av en annan myndighet ska lämna ut uppgift som den förfogar över, om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång (6 kap. 5 § OSL). Men gäller sekretess för uppgiften är huvudregeln enligt 8 kap. 1 § OSL som framgått att sekretessen gäller även i förhållande till andra myndigheter. Varje myndighet ses för sig vilket innebär att en handling som utväxlas mellan myndigheter inom ramen för en samverkan normalt anses bli allmän enligt 2 kap. TF när den expedierats av respektive inkommit till myndighet. Varje myndighet har som framgått av redovisningen ovan sina sekretessregler att tillämpa. Dessa gäller oftast för en särskilt angiven verksamhet eller inom ett visst angivet område. Tillämpliga sekretessbrytande bestämmelser kan emellertid i många fall göra det möjligt att inom ramen för en samverkan lämna ut uppgifter som krävs för att samverkan ska fungera. Även general- klausulen i 10 kap. 27 § OSL kan aktualiseras vid utbyte av uppgifter mellan samverkande myndigheter. Av tabellen nedan framgår vilka sekretessbrytande bestämmelser som kan aktualiseras när ISF begär uppgifter från olika organ. 4.5.1 Formen för utlämnande Ett utlämnande av uppgifter som sker genom att en extern aktör på egen hand kan söka i en myndighets databas och direkt ta del av uppgifter där benämns ofta direktåtkomst. Förfarandet känne- tecknas av att den utlämnande myndigheten inte tar ställning till vilka uppgifter den mottagande myndigheten ska få ta del av. Sekretessprövningen sker i stället på förhand. De sekretessbrytande regler som redovisats ovan anger i vilken mån sekretessbelagda uppgifter överhuvudtaget får lämnas från en myndighet till en annan. Bestämmelser om direktåtkomst tar endast sikte på sättet för ett utlämnande. De anses inte ha någon sekretess- brytande effekt enligt OSL (se t.ex. prop. 2004/05:164 s. 83). Om direktåtkomst avser uppgifter som omfattas av sekretess hos en utlämnande myndighet krävs därför normalt en sekretessbrytande regel. Vid reglering av informationsutbyte mellan myndigheter har detta inneburit att bestämmelser om direktåtkomst har kompletterats med sekretessbrytande regler. Dessa har i allmänhet getts formen av sådana föreskrifter i lag eller förordning om uppgiftsskyldighet som avses i 10 kap. 28 § OSL. Det förekommer emellertid även registerförfattningsreglerad direktåtkomst till sekretessbelagda personuppgifter med stöd av den sekretessbrytande generalklausulen i 10 kap. 27 § OSL. detta är , polismyndigheternas och utlandsmyndig- heternas direktåtkomst till verksamhetsregister, se 6 § förordningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Denna regel om direktåtkomst saknar alltså korresponderande bestämmelser om uppgiftsskyldighet från , trots att uppgifterna normalt omfattas av stark sekretess enligt 37 kap. 1 § OSL. En myndighet får normalt ha direktåtkomst endast till vissa upp- gifter hos en annan myndighet, t.ex. till uppgifter om personer som är aktuella i ärende hos den mottagande myndigheten. Det innebär att myndigheten får bereda sig tillgång till uppgifter om en person bara om personen har blivit aktuell i ett ärende hos myndigheten. Rent tekniskt måste dock myndigheten normalt ges möjlighet att ta del av uppgifter beträffande alla personer som är registrerade hos den utlämnande myndigheten eftersom varken den utlämnande eller den mottagande myndigheten i förväg kan veta vilka personer som kan komma att bli aktuella i ärende hos den mottagande myndigheten. Den information som mottagarmyndigheten inte får använda i ett enskilt fall eller ta del av utan att t.ex. vissa förutsättningar är uppfyllda, men som den ändå tekniskt sett ges tillgång till vid direkt- åtkomst eller liknande, brukar kallas överskottsinformation. Begreppet överskottsinformation brukar också avse information som mottagarmyndigheten visserligen får använda men ännu inte har tagit i bruk. Som huvudregel blir sådan information att betrakta som allmän handling hos den mottagande myndigheten, även om den mottagande myndigheten inte har rätt att behandla uppgifterna för egen del. Det föreskrivs visserligen i 2 kap. 3 § tredje stycket TF om undantag (den s.k. begränsningsregeln) för en sammanställning av uppgifter ur en upptagning för automatiserad behandling som innehåller person- uppgifter och som myndigheten enligt lag eller förordning saknar befogenhet att göra tillgänglig (prop. 2007/08:126 s. 120 ff. och prop. 2007/08:160 s. 66 ff.). Denna regel gäller emellertid inte när en sådan sammanställning begärs utlämnad med stöd av reglerna om handlings- offentlighet och myndigheten får bereda sig tillgång till uppgifterna. De sekretessbrytande regler som ska möjliggöra uppgiftsutbytet måste normalt omfatta även sådan överskottsinformation som den utlämnande myndigheten rent tekniskt gör tillgänglig för mottagande myndighet i samband med direktåtkomst (prop. 2007/08:160 s. 70 f.). En ökad allmän tillgänglighet av information om enskilda över myndighetsgränser kan bli problematisk från integritetssynpunkt. Det finns inte alltid sekretessbestämmelser som är tillämpliga hos en mottagande myndighet som omfattar sådan överskottsinformation som myndigheten vid direktåtkomst får teknisk tillgång till men inte för in i den egna verksamheten. I 11 kap. 4 § OSL har därför, för det fall uppgifterna omfattas av sekretess hos den utlämnande myndig- heten, införts en generell bestämmelse om överföring av sekretess vid direktåtkomst som stadgar att om en myndighet hos en annan myndighet har elektronisk tillgång till en upptagning för automatiserad behandling och en uppgift i denna upptagning är sekretessreglerad, blir sekretessbestämmelsen tillämplig även hos den mottagande myndigheten (prop. 2007/08:160 s. 72 ff.). Sistnämnda bestämmelse kompletteras av en undantags- bestämmelse i 11 kap. 8 § OSL enligt vilken sekretess som är direkt tillämplig hos den mottagande myndigheten, s.k. primär sekretess, har företräde framför överförd sekretess, oavsett om den primära sekretessen är starkare eller svagare än den överförda sekretessen. Även uttryckliga undantag från den primära sekretessbestämmelsens tillämpningsområde har företräde framför den överförda sekretessen. Sekretessbestämmelserna i bl.a. 21 kap. 1 och 7 §§ OSL som utgör ett minimiskydd för enskildas personliga integritet inom hela den offentliga sektorn – och som därmed är primära sekretessbestäm- melser hos alla myndigheter – är dock undantagna från tillämpnings- området för 11 kap. 8 § OSL. Vid konkurrens mellan de sistnämnda bestämmelserna och överförd sekretess gäller således huvudregeln om konkurrens i 7 kap. 3 § OSL, dvs. att den eller de bestämmelser enligt vilken uppgiften är sekretessbelagd i det enskilda fallet har företräde. har i sitt delbetänkande Överskottsinformation vid direktåtkomst (SOU 2012:90) funnit att konstruktionen av bestämmelserna i 11 kap. 4 och 8 §§ OSL medför att det finns en risk för att en tillämpning av bestämmelserna i vissa fall leder till att det sekretesskydd som gäller hos värdmyndigheten försvagas eller upphör hos mottagarmyndigheten. Utredningen föreslår därför att en mottagarmyndighets primära sekretessbestäm- melser inte längre ska ha företräde framför den från värdmyndigheten överförda sekretessen avseende sådana uppgifter som en mottagar- myndighet enligt lag eller förordning inte får behandla. konkurrenssituation mellan en primär sekretessbestämmelse hos en mottagande myndighet och den från den utlämnande myndigheten överförda sekretessen för en sådan uppgift bör i stället lösas i enlighet med OSL:s huvudregel i 7 kap. 3 § OSL som föreskriver att den av flera tillämpliga sekretessbestämmelser enligt vilken uppgiften är sekretessbelagd ska ha företräde, oavsett om det handlar om en primär eller överförd sekundär sekretess. För att åstadkomma detta föreslår utredningen en ändring av 11 kap. 8 § OSL som innebär att samtliga slag av begränsningar som finns intagna i lag eller förordning och som innebär att en mottagarmyndighet inte får behandla en uppgift via direktåtkomst ska beaktas vid tillämpning av 11 kap. 8 § OSL, se vidare avsnitt 10.8. 5Rättsligt skydd för personuppgifter 5.1.1Europakonventionen och om medborgerliga och politiska rättigheter antog () den allmänna förklaringen om de mänskliga rättigheterna. Deklarationen är inte formellt bindande för medlemsstaterna, men har betydelse som ett uttryck för vad den internationella opinionen kräver. I artikel 12 anges att ingen får utsättas för godtyckligt ingripande i fråga om privatliv, familj, hem eller korrespondens och inte heller för angrepp på sin heder eller sitt anseende. Var och en har rätt till lagens skydd mot sådana ingripanden och angrepp. Vidare sägs i artikel 29 att vid utövandet av sina rättig- heter och friheter får en person endast underkastas sådana inskränk- ningar som har fastställts i lag och enbart i syfte att trygga tillbörlig hänsyn till och respekt för andras rättigheter och friheter samt för att tillgodose ett demokratiskt samhälles berättigade krav på moral, allmän ordning och allmän välfärd. Inom FN har också utarbetats en internationell konvention om medborgerliga och politiska rättigheter, som antogs av generalförsam- lingen . anslöt sig till konventionen , varefter konventionen trädde 1976. I konventionen behandlas frågor om skydd för den personliga integriteten främst i artikel 17. Enligt denna artikels punkt 1 får ingen utsättas för godtyckligt eller olagligt ingripande med avseende på privatliv, familj, hem eller korrespondens och inte heller för olagliga angrepp på sin heder eller sitt anseende. Vidare sägs i punkt 2 att var och en har rätt till lagens skydd mot sådana ingripanden och angrepp. Ett särskilt inrättat organ, mänskliga rättig- heterna (), övervakar att de till konven- Rättsligt skydd för personuppgifter tionen anslutna staterna följer sina skyldigheter. FN:s generalför- samling antog även riktlinjer om datoriserade register med personuppgifter. Europeiska konventionen om skydd för de mänskliga rättighet- erna och de grundläggande friheterna () som antogs gäller som svensk lag, lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (prop. 1993/94:117). Av 2 kap. 19 § regeringsformen (förkortad RF) följer att en lag eller annan föreskrift inte får meddelas i strid med åtaganden på grund av konventionen. Enligt artikel 8 i konventionen har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Offent- lig myndighet får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säker- heten, landets ekonomiska välstånd eller till förebyggande av oord- ning eller brott eller till skydd för hälsa eller moral eller till skydd för andra personers fri- och rättigheter. har ansett att bestämmelserna i artikel 8 i har betydelse vid sidan av det s.k. dataskyddsdirektivet vid bedömningen av nat- ionella regler som tillåter behandling av personuppgifter (EU-dom- stolens dom i mål nr C-465/00, C-138 och 139/01, Österreichischer Rundfunk m.fl.). I artikel 13 i föreskrivs att var och en, vars i konventionen angivna fri- och rättigheter kränkts, ska ha tillgång till ett effektivt rättsmedel inför en nationell myndighet och detta även om kränkningen förövats av någon under utövning av offent- lig myndighet. Den enskilde ska således ha tillgång till en nationell instans för att kunna få saken prövad och kunna få rättelse. Bestämmelser om automatiserad behandling av personuppgifter finns i konvention om skydd för enskilda vid auto- matisk databehandling av personuppgifter, den s.k. dataskydds- konventionen. I anslutning till konventionen har antagit rekommendationer för behandling av personuppgifter på vissa om- råden. Konventionen trädde i kraft och har anslutit sig Rättsligt skydd för personuppgifter Dess innehåll kan ses som en precisering av det skydd för den personliga integriteten som följer av artikel 8 i . Konventionens tillämpningsområde är enligt huvudregeln auto- matiserade personregister och automatisk databehandling av person- uppgifter i allmän och enskild verksamhet. Den innehåller principer för dataskydd som de konventionsanslutna staterna måste iaktta i sin nationella lagstiftning. Enligt artikel 9 i konventionen får emellertid avvikelser göras från de viktigaste materiella bestämmelserna i konven- tionen. Sådana avvikelser ska finnas i lag och vara nödvändiga i ett demokratiskt samhälle för att bl.a. skydda den registrerades eller andra personers fri- och rättigheter. för ekonomiskt samarbete och utveckling, , har en expertgrupp utarbetat vissa riktlinjer i fråga om integritetsskyddet och persondataflödet över gränserna. Riktlinjerna antogs av tillsammans med en rekommendation till medlemsländernas regeringar om att beakta riktlinjerna i nationell lagstiftning. Samtliga medlemsländer, däribland , har godtagit rekommendationen och åtagit sig att följa denna. Riktlinjerna är tillämpliga på personuppgifter inom både den offentliga och privata sektorn. De gäller både för uppgifter som lagras automatiserat och för uppgifter som förs manuellt. Syftet med rikt- linjerna är att undvika de risker för personlig integritet och individens frihet som personuppgifter kan utgöra på grund av det sätt på vilket de behandlas, på grund av uppgifternas natur eller på grund av de sammanhang i vilka de används (SOU 1997:39 s. 168 ff.). 5.2.1Stadgan om de grundläggande rättigheterna Europeiska unionens stadga om de grundläggande rättigheterna som antogs som en politisk förklaring är , genom Lissabon- fördraget, rättsligt bindande. En referens till stadgan har införts i artikel 6.1 i det ändrade (prop. 2007/08:168 s. 58). Stadgans bestämmelser är avsedda att återspegla medlemsstaternas gemensamma konstitutionella traditioner och internationella åtagan- Rättsligt skydd för personuppgifter den när det gäller grundläggande fri- och rättigheter, såsom exempel- vis . I stadgans artikel 7 föreskrivs att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sin korrespondens. Av artikel 8 i stadgan följer vidare bl.a. att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Sådana upp- gifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade upp- gifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet ska kontrollera att reglerna följs. Av artikel 51 framgår att stadgan riktar sig till unionens institu- tioner, organ och byråer samt till medlemsstaterna endast när dessa tillämpar unionsrätten. När det gäller de garanterade rättigheternas räckvidd följer av artikel 52 i stadgan bl.a. att varje begränsning i utövandet av de rättig- heter och friheter som erkänns i stadgan ska vara föreskriven i lag och förenlig med det väsentliga innehållet i fri- och rättigheterna. I den mån stadgan omfattar rättigheter som motsvarar sådana som garan- teras av ska de ha samma innebörd och räckvidd som i konventionen. I den mån grundläggande rättigheter enligt med- lemsstaternas gemensamma konstitutionella traditioner erkänns i stad- gan, ska rättigheterna tolkas i samstämmighet med dessa traditioner. Nationell lagstiftning och praxis ska beaktas fullt ut i enlighet med vad som anges i denna stadga. antogs och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (data- skyddsdirektivet). Dataskyddsdirektivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter och att främja ett fritt flöde av personuppgifter mellan medlems- staterna i EU. Dessa stater får inom den ram som anges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma. Sådana preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. Direktivet gäller inte för sådan Rättsligt skydd för personuppgifter behandling av personuppgifter som rör allmän säkerhet, försvar, och statens säkerhet. Direktivet omfattar inte bara automatiserad behand- ling, utan också behandling av personuppgifter som ingår eller kommer att ingå i ett register. Direktivet omfattar inte behandling av personuppgifter för privat bruk. Enligt dataskyddsdirektivet måste all behandling av personupp- gifter vara laglig och korrekt. Uppgifterna måste vara riktiga och aktuella samt adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Ändamålen ska vara uttryckligt angivna vid tiden för insamling av uppgifterna. De ändamål för vilka uppgifterna senare behandlas får inte vara oförenliga med de ursprungliga ändamålen. Personuppgifter får enligt direktivet behandlas bara i vissa fall. Här kan nämnas att uppgifter får behandlas i första hand efter att den registrerade otvetydigt har lämnat sitt samtycke, men också om det är nödvändigt för att fullgöra en rättslig förpliktelse som åligger den registeransvarige eller för att utföra en arbetsuppgift som antingen är av allmänt intresse eller utgör ett led i myndighets- utövning. Personuppgifter får även behandlas om intresset av att den registeransvarige får behandla uppgifterna överväger den registrerades intresse av att de inte behandlas. Vissa särskilda i direktivet angivna kategorier av uppgifter får inte behandlas. Det gäller uppgifter som avslöjar den enskildes ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska över- tygelse eller medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. Det finns undantag från denna bestämmelse, t.ex. i fall där behandlingen är nödvändig för att skydda den registrerades grund- läggande intressen eller behövs för förebyggande hälso- och sjukvård och medicinska diagnoser. Dataskyddsdirektivet innehåller vidare regler om bl.a. information till den registrerade och om rätt för denne att få sådana personupp- gifter som inte har behandlats i enlighet med direktivet rättade, ut- plånade eller blockerade. Den registeransvarige ska ge den person från vilken han samlar in personuppgifter information bl.a. om den registeransvariges identitet, ändamålen med behandlingen, uppgifts- mottagare osv.