sou · H3B339 · 2015-04-08 00:00:00 — Om den utlämnande myndigheten blir varse eller självmant be- dömer att det kan antas finnas sådana brister i mottagarens kom- mande behandling av de personuppgifter som avses lämnas ut att denna blir lagstridig, torde det i och för sig inte heller vara tillåtet enligt personuppgiftslagen att lämna ut uppgifterna. Att lämna ut personuppgifterna i en sådan situation, dvs. då det kan befaras att mottagaren inte kommer att uppfylla kraven på en tillåten behand- ling, skulle alltså inte heller vara en tillåten behandling för den utlämnande myndigheten i den mån personuppgiftslagen ska tillämpas på utlämnandet. Enligt 21 kap. 7 § OSL gäller sekretess med ett rakt skaderekvi- sit. Det innebär ett relativt svagt sekretesskydd, dvs. det ska pre- sumeras att sekretess inte hindrar att personuppgifterna lämnas ut. I princip torde det innebära att det ska presumeras att mottagaren av personuppgifterna kommer att behandla dem i enlighet med per- sonuppgiftslagen. I anslutning till de lagstiftningsärenden som ligger till grund för bestämmelsen i dess nuvarande lydelse har frågan om valet av skaderekvisit emellertid inte behandlats (prop. 1997/98:44 s. 147 och prop. 2008/09:150 s. 340). Där finns således inga uttal- anden om vad valet av skaderekvisit betyder för vad som kan krävas av en utlämnande myndighet när det gäller att pröva huruvida mot- tagarens behandling av de uppgifter som begärs ut kommer att omfattas av och vara förenlig med personuppgiftslagen. I förarbetena till motsvarande sekretessbestämmelse som gällde , och som då enbart tog sikte på uttag ur regelrätta register, anfördes att en begäran om massuttag eller selekterade uppgifter alltid borde utgöra anledning för myndigheten att närmare utreda hur det är avsett att uppgifterna ska användas och att det är först om sökanden kan ange en godtagbar förklaring som uppgifterna bör lämnas ut (prop. 1973:33 s. 140). Ett rakt skaderekvisit innebär typiskt sett att skadebedömningen ska kunna göras med utgångspunkt i själva uppgiften. Att lämna ut personuppgifter i elektronisk form sekretess gäller behöver därmed inte i första hand knytas till en skadebedömning i det enskilda fallet. Avgörande bör i stället vara om uppgiften är av den arten att ett utlämnande typiskt sett kan vara ägnat att medföra skada för det intresse som ska skyddas genom bestämmelsen. Om uppgiften i stället är sådan att den genomsnittligt måste betraktas som harmlös ska den alltså normalt falla utanför sekretesskyddet. En typiskt sett känslig uppgift om- fattas däremot normalt av sekretess (Lenberg m.fl., inledande av- snitt 4.5.1). En typiskt sett harmlös uppgift kan emellertid skyddas av sekretess med ett rakt skaderekvisit om det exempelvis i ett särskilt fall framgår att den som begär att få ut en uppgift kan använda den för att utsätta den som uppgiften rör för trakasserier. Avsikten är emellertid inte att tjänstemännen vid myndigheterna normalt ska försöka ta reda på om det finns indikationer av nu nämnt slag. I de fall det blir aktuellt att tillämpa sekretessbestämmelsen i 21 kap. 7 § OSL har det vanligen redan konstaterats att sekretess för uppgifterna inte gäller enligt någon annan bestämmelse i lagen. Den fråga som alltså normalt ska bedömas är om 21 kap. 7 § hindrar ett utlämnande av uppgifter som i övrigt är att anse som offentliga, dvs. som typiskt sett inte är i behov av skydd. Utgångs- punkten är alltså att de aktuella uppgifterna i sig i allmänhet inte är av sådan art att sekretessen aktualiseras. Det ska i stället vara den avsedda behandlingen av uppgifterna hos mottagaren som kan för- anleda ett sekretesskydd, dvs. att uppgifterna kommer att behand- las på ett sätt som strider mot personuppgiftslagen. Ett rakt skade- rekvisit innebär emellertid, som påpekats ovan, att tjänstemännen vid myndigheterna normalt inte ska försöka ta reda på om det finns omständigheter som talar för att ett sekretesskydd behövs. Praxis på området från är spar- sam. Domstolen har bl.a. i ett par avgöranden prövat om bestäm- melsen utgör ett hinder mot att lämna ut personuppgifter från respektive för kommersiella intressen, och fann efter en intresseavvägning enligt 10 § f PuL att utlämnandet inte hindrades av sekretess (RÅ 2001 ref. 68 resp. RÅ 2002 ref. 54). I det sistnämnda avgörandet var det fråga om privatpersoners uppgifter och då borde enligt domstolen mottagarens kommersiella intressen på ett entydigt sätt utfalla till dennes förmån i stället för den enskildes integritetsintressen för att Att lämna ut personuppgifter i elektronisk form ett utlämnande skulle vara tillåtet. En utförlig redovisning för rätts- praxis som rör tillämpning av 21 kap. 7 § OSL finns i / , s. 581 f. Frågan om tillämpningen av 21 kap. 7 § OSL har också utförligt behandlats av , som bl.a. hade till uppgift att överväga om bestämmelsen borde upphävas (SOU 2010:4 s. 317 f.). Kommittén fann att bestämmelsen fyllde i vart fall en viss begränsad funktion och därför inte borde upphävas. Vidare före- slog kommittén att bestämmelsen skulle förtydligas så att det inte råder någon tvekan om att det bara är sökandens efterföljande behandling som är relevant för den sekretessprövning som ska göras och inget annat. Förslaget har ännu inte lett till lagstiftning. Bestämmelsen har föranlett kritik bl.a. av den anledningen att den tycks förutsätta att myndigheten skaffar sig en uppfattning om syftet med en begäran om utlämnande av allmänna handlingar eller uppgifter. JO har påpekat att den därför harmonierar mindre väl med efterfrågeförbudet i 2 kap. 14 § tredje stycket TF, dvs. den principiella rätten att anonymt få begära ut allmänna handlingar och därför borde ändras eller upphävas (se JO:s dnr 1102-2004 och 1849-2004). I sitt beslut (dnr 4171-2011) ut- vecklade JO sin syn på hur efterfrågeförbudet kunde förenas med 21 kap. 7 § OSL. JO anförde bl.a. att det står klart att myndigheten inte får börja ställa frågor om sökandens tilltänkta användning bara för att en personuppgift begärs utlämnad. Enligt JO krävs det för det första att det finns någon konkret omständighet som gör att det kan antas att personuppgiften efter utlämnandet kommer att behandlas på ett sätt som omfattas av personuppgiftslagen. Sådana omständigheter kan – förutom de upplysningar som sökanden på eget initiativ kan ha lämnat om sin tilltänkta användning av upp- gifterna – vara att sökanden begär ut uppgifter om väldigt många personer från ett register (ett s.k. massuttag) eller uppgifter om ett urval av personer med vissa karakteristika, t.ex. inkomst, språktill- hörighet, politisk tillhörighet osv. (s.k. selekterade uppgifter). JO anförde att först om det på grund av någon konkret omständighet finns skäl att anta att sökanden kommer att behandla uppgifterna på ett sätt som omfattas av personuppgiftslagen, t.ex. för att be- gäran omfattar uppgifter om många personer, finns det anledning att genom frågor till sökanden försöka ta reda på hur och till vad sökanden ska använda uppgifterna för att kunna bedöma om den Att lämna ut personuppgifter i elektronisk form tilltänkta behandlingen strider mot personuppgiftslagen. Myndig- heten får dock enligt 2 kap. 14 § tredje stycket TF inte ställa mer inträngande eller fler frågor än som behövs för att göra en sekre- tessbedömning. Regler om rutinmässigt utlämnande av personuppgifter till andra myndigheter I registerförfattningar finns ofta bestämmelser som föreskriver att personuppgifter får tillhandahållas vissa särskilt angivna myndig- heter. Sådana bestämmelser fanns redan före personuppgiftslagens tid, men återfinns efter den lagens införande ofta under rubriken ”Sekundära ändamål”. Dessa bestämmelser syftar i grunden till att styra huruvida uppgifter rutinmässigt får lämnas ut till en annan myndighet och inte till på vilket sätt uppgifter får lämnas ut. Frågan har emellertid ett samband med frågan om elektroniskt utlämnande på det sättet att om det finns behov av ett rutinmässigt uppgifts- utbyte, torde det utbytet kunna effektiviseras genom att utläm- nandet av uppgifter sker elektroniskt. Ett rutinmässigt utlämnande av uppgifter till en annan myndig- het kan förstås regleras på så sätt att det införs en uppgiftsskyl- dighet mellan de myndigheter som ska utbyta information. Om någon uppgiftsskyldighet inte finns föreskriven kan ett rutinmässigt utlämnande av sekretessreglerade uppgifter i stället äga rum med stöd av den s.k. generalklausulen i 10 kap. 27 § OSL, dvs. efter en avvägning mellan intresset av att skydda uppgifterna hos den ut- lämnande myndigheten och intresset hos den mottagande myndig- heten av att få ut uppgifterna. Om det är uppenbart att intresset av att uppgifterna lämnas ut har företräde, ska uppgifterna lämnas ut. Det följer av bestämmelserna i 6 kap. 5 § OSL om myndigheters skyldighet att lämna information till varandra. Det krävs ingen särskild författningsreglering för att ett rutin- mässigt utlämnande av personuppgifter till en annan myndighet ska kunna äga rum. Bestämmelserna i 10 kap. 27 § OSL bygger emeller- tid på att ett sådant utlämnande ska vara författningsreglerat (Lenberg m.fl., kommentaren till 10 kap. 27 §). Har det i en lag eller författning föreskrivits att uppgifter ”bör” eller ”får” lämnas ut får det antas att lagstiftaren har bedömt att intresset av att upp- gifter lämnas mellan myndigheter har företräde framför sekretess- Att lämna ut personuppgifter i elektronisk form Även om det inte är frågan om en sådan absolut uppgifts- skyldighet som avses i 10 kap. 28 §, torde det finnas ett relativt litet utrymme för den utlämnande myndigheten att i en konkret utläm- nandesituation göra en annan bedömning. I den händelse man har tänkt sig att ett rutinmässigt uppgifts- utbyte ska äga rum mellan myndigheter och det avser sekretess- reglerade uppgifter, bör utgångspunkten alltså normalt vara att uppgiftsutbytet ska komma till uttryck i en lag eller förordning där det uttrycks att en myndighet ”bör” eller ”får” lämna ut uppgifter till en annan myndighet. För att återknyta till frågan om elek- troniskt utlämnande kan man alltså konstatera att, även om man kommer till slutsatsen att det inte behöver regleras särskilt om ett utlämnande kan ske i elektronisk form, det ändå kan behövas en reglering för att uttrycka att ett rutinmässigt uppgiftsutbyte får komma till stånd. I den mån sådana bestämmelser införs, är det alltså vår uppfattning att lagstiftaren därmed har tagit ställning till att utlämnandet sker i enlighet med finalitetsprincipen, se avsnitt 9.2.4. 11.2.2Terminologin rörande annat elektroniskt utlämnande I avsnitt 11.1.1 gör vi bedömningen att begreppet direktåtkomst även fortsättningsvis bör ges den innebörd som får anses vara den redan etablerade, dvs. att en direktåtkomst föreligger om en myndighet hos en annan myndighet har en sådan teknisk tillgång till upptagningar som avses i 2 kap. 3 § andra stycket TF. Vidare föreslås att det i den nya lagen om myndigheters behandling av personuppgifter införs en bestämmelse som innebär att direkt- åtkomst till sekretessreglerade uppgifter kräver ett uttryckligt stöd i lag eller förordning. Därutöver föreslår vi att det i 10 kap. 28 § OSL förs in ett nytt andra stycke, där det föreskrivs att bestämmelser i lag eller förordning som medger direktåtkomst i sig bryter sekre- tess. Den generellt sekretessbrytande bestämmelsen tar bara sikte på sådan åtkomst för myndigheter, inte för enskilda. Sådana utlämnanden i elektronisk form som inte sker inom ramen för en direktåtkomst brukar vanligen betecknas utlämnanden på medium för automatiserad behandling. Till skillnad från direkt- åtkomst innebär de alltså inte att mottagaren bildligt tillåts att ”kliva Att lämna ut personuppgifter i elektronisk form in” innanför myndighetens gränser för att där ta del av uppgifter, utan uppgifter både begärs ut av och levereras till en mottagare utanför myndigheten. Sådana utlämnanden kan också ske på den utlämnande myndighetens eget initiativ. Till skillnad från de faktiska överföringar av uppgifter som äger rum inom ramen för en direktåtkomst, vilka rättsligt innebär att mottagaren själv gör dessa överföringar från den mängd av upp- gifter som i tryckfrihetsförordningens mening alltså har lämnats ut i den stund åtkomsten etablerats, innebär andra former av elek- troniska utlämnanden att uppgifter lämnas ut i det enskilda fallet endera på begäran av mottagaren eller på initiativ av den utläm- nande myndigheten. I de fallen är alltså ett utlämnande av uppgifter en reaktion från den utlämnande myndighetens sida på en begäran från en mottagare eller ett resultat av dess egna beslut. Det känne- tecknade för en direktåtkomst är däremot att det inte behövs att utlämnande myndighet reagerar på någon begäran från en mottag- are eller fattar något eget beslut om utlämnande, eftersom mot- tagaren i rättslig mening redan har getts tillgång till uppgifterna. Enligt 3 § PuL definieras behandling av personuppgifter som varje åtgärd eller serie av åtgärder som vidtas i fråga om person- uppgifter, vare sig det sker på automatisk väg eller inte. Som exem- pel nämns utlämnande genom översändande, spridning eller annat tillhandahållande av åtgärder. I enlighet med denna terminologi torde ett ”annat elektroniskt utlämnande” närmast kunna beskrivas som en behandling av personuppgifter som innebär att uppgifterna lämnas ut genom att sändas över till mottagaren. Bedömning: Begreppet utlämnande på medium för automati- serad behandling bör utmönstras. I stället bör begreppet utläm- nande i elektronisk form användas, varmed avses alla andra elektroniska utlämnanden än direktåtkomst. förekommer det i registerförfattningar alltså ett antal olika begrepp för att beskriva sådant elektroniskt utlämnande som inte är direktåtkomst, se avsnitt 5.4. Ett vanligt förekommande begrepp är utlämnande på medium för automatiserad behandling. Att lämna ut personuppgifter i elektronisk form uppfattning är det ett uttryck som framstår som väldigt otympligt. Det är emellertid klart att det som åsyftas är andra elektroniska utlämnanden än de som sker genom direktåtkomst. Om nu direkt- åtkomst ges en särskild reglering såväl i offentlighets- och sekre- tesslagen som i den nya lagen om myndigheters personuppgifts- behandling och en viss definition av vad som avses med sådan åtkomst ges, ser vi inget hinder mot att i övrigt i rättsliga samman- hang övergå till att tala om utlämnanden i elektronisk form (se t.ex. förslag om ny skyldighet för myndig- heter att lämna ut allmänna handlingar i sådan form i betänkandet SOU 2010:4). Om det i en författningstext rörande exempelvis rutinmässigt uppgiftsutbyte inte uttryckligen anges att det är fråga om direktåtkomst, skulle man därmed motsatsvis kunna dra slut- satsen att det som avses är någon annan form av elektroniskt ut- lämnande. En nackdel med begreppet utlämnande i elektronisk form är att det inte alls rättsligt beskriver att med uttrycket avses ett annat utlämnande än det som sker genom direktåtkomst. Den beteckning som ofta används – utlämnande på medium för automatiserad behandling – beskriver emellertid inte heller vad denna rättsliga åtskillnad består i. Rent tekniskt kan utlämnanden inom ramen för en direktåtkomst också göras genom något slags medium för auto- matiserad behandling, både då den tekniska åtkomsten etableras och därefter då de faktiska överföringarna av uppgifter äger rum. Det kan dock konstateras att utlämnande i elektronisk form är mer i överensstämmelse med modernt språkbruk än vad det nor- malt använda begreppet är. Vi föreslår därför att begreppet utlämnande på medium för auto- matiserad behandling inte längre ska användas utan att man i stället bör använda begreppet utlämnande i elektronisk form, varmed avses andra elektroniska utlämnanden än direktåtkomst. Det som avses är således samtliga andra fall då en myndighet lämnar ut upp- gifter genom att elektroniskt på det ena eller andra sättet förmedla dem till mottagaren. Att lämna ut personuppgifter i elektronisk form 11.2.3Bör utlämnande i elektronisk form kräva stöd i lag eller förordning? Vi har ovan i avsnitt 5.7 dragit slutsatsen att starka skäl talar för att det också i fortsättningen bör göras en åtskillnad mellan direkt- åtkomst å ena sidan och andra former av utlämnanden i elektronisk form å den andra. Därutöver har vi i samma avsnitt bedömt att det saknas behov av att göra en rättslig åtskillnad mellan olika andra former av utlämnanden i elektronisk form. Det kan konstateras att många registerförfattningar innehåller bestämmelser som syftar till att begränsa aktuell myndighets möj- lighet att lämna ut uppgifter och handlingar i elektronisk form, dvs. normalt genom regler om utlämnande på medium för automati- serad behandling. begränsar sådana bestämmelser endast utlämnanden till enskilda, men i vissa fall gäller begränsande regler både i förhållande till andra myndigheter och enskilda. En första fråga blir därför om det i en samlad lag för myndigheters behand- ling av personuppgifter bör finnas bestämmelser som ställer upp ett grundläggande krav på att utlämnande i elektronisk form ska ha stöd i författning för att vara tillåtet. En annan fråga blir därefter om det bör införas bestämmelser som generellt begränsar myndig- heters möjlighet att lämna ut personuppgifter i elektronisk form, vilken behandlas i nästa avsnitt. Bedömning: Det saknas skäl för att införa ett grundläggande krav på att utlämnanden av personuppgifter i elektronisk form ska ha stöd i författning för att vara tillåtet. Som redan konstaterats måste en direktåtkomst som avses omfatta sekretessreglerade uppgifter hos den utlämnande myndigheten för- enas med en sekretessbrytande regel. Ett utlämnande som inte innebär direktåtkomst aktualiserar i sig inte någon sådan fråga. Det frågan då handlar om är enbart valet av utlämnandeform. De frågor som aktualiseras inför utlämnandet, t.ex. om det finns hinder mot utlämnandet p.g.a. sekretess eller om en sekretessbrytande regel Att lämna ut personuppgifter i elektronisk form kan tillämpas, är enkelt uttryckt redan avklarade i så måtto att de redan är reglerade. Det står m.a.o. klart i vilken mån ett utlämnande av personuppgifter alls kan ske, frågan är enbart i vilken form. I ett lagstiftarperspektiv väcker således ett utlämnande i elektronisk form, till skillnad från direktåtkomst, inte frågor om sekretess utan om andra frågor som har anknytning till själva valet av utlämnande- form. En sådan fråga är exempelvis om det finns andra regler om integritetsskydd än sekretessbestämmelser som styr eller bör styra valet av utlämnandeform och om det i så fall bör föranleda särskild reglering. Ett utlämnande i elektronisk form, dvs. ett utlämnande som inte sker genom direktåtkomst, medför inte heller i sig att det uppstår krav på att vare sig den utlämnande eller mottagande myndigheten vidtar några särskilda säkerhets- eller kontrollåtgärder i förväg. En annan sak är dock att brister i möjligheten att säkert överföra personuppgifter elektroniskt eventuellt kan innebära att ett utläm- nande i elektronisk form är olämpligt. Vi återkommer till den frågan nedan. De frågor som väcks i samband med utlämnanden i elektronisk form är alltså av ett annat och mer allmänt slag än de som uppstår i samband med direktåtkomst. Mot bakgrund av utformningen av gällande registerförfattningar torde den slutsatsen kunna dras att lagstiftaren har gjort bedömningen att ett utlämnande på medium för automatiserad be- handling inte i sig kräver författningsstöd för att vara tillåtet. Däremot har lagstiftaren gjort skilda bedömningar i olika lagstift- ningsärenden när det gäller frågan om det i det aktuella fallet med hänsyn till framför allt intresset av integritetsskydd finns ett behov av att införa begränsningar mot ett sådant utlämnande mellan myn- digheter. Vi kan för vår del inte heller se att det vare sig med hänsyn till intresset för skydd av den enskildes integritet eller av annat skäl skulle finnas något behov av att införa ett grundläggande generellt krav på att en myndighets utlämnande av personuppgifter i elektronisk form ska ha stöd i författning för att vara tillåtet. Vi föreslår därför inte någon sådan regel. Att lämna ut personuppgifter i elektronisk form 11.2.4Behövs en särskild bestämmelse som begränsar utlämnanden i elektronisk form? Att det i en registerförfattning inte har införts några särskilda begränsningar i möjligheterna att lämna ut personuppgifter i elek- tronisk form innebär inte att det är fritt fram att lämna ut uppgifter i sådan form. I lagstiftningsärendet om patientdata anfördes att det ankom på den utlämnande myndigheten att göra en lämplighets- prövning, varvid eventuella risker från säkerhets- och integritets- synpunkt skulle vägas mot intresset av ett effektivt utlämnande (prop. 2007/08:126 s. 77). Att man i det sammanhanget talar om en ”lämplighetsprövning” torde ha sin grund i den omständigheten att det på hälso- och sjukvårdsområdet inte finns någon skyldighet att lämna ut uppgifter i elektronisk form. Att myndigheter skulle ha en sådan skyldighet finns vanligtvis inte heller föreskrivet. Om ett utlämnande i elektronisk form varken hindras eller anbefalls av någon regel, står det alltså i allmänhet en myndighet fritt att avgöra om ett utlämnande ska ske i denna eller någon annan form utifrån vad myndigheten finner lämpligt. Det är dock inte enbart i samband med en sådan ”lämplighets- prövning” som omtalas i förarbetena till patientdatalagen som en utlämnande myndighet kan behöva bedöma vilka risker från säker- hets- och integritetssynpunkt som ett utlämnande av personupp- gifter kan ge upphov till. Innan det blir aktuellt att göra en sådan lämplighetsprövning, ska det ju stå klart att utlämnandet som så- dant är en tillåten behandling enligt personuppgiftslagen, dvs. oav- sett utlämnandeform. I det sammanhanget är det inte tillräckligt att konstatera att utlämnandet är förenligt med finalitetsprincipen, utan samtliga grundläggande krav i 9 § ska vara uppfyllda liksom övriga krav i lagen. Vid ett utlämnande som grundar sig på rätten att ta del av allmänna handlingar är det i stället 21 kap. 7 § OSL som kan utgöra hinder mot att personuppgifter lämnas ut, varvid det indirekt prövas om mottagarens avsedda behandling strider mot personupp- giftslagen. Det kan alltså konstateras att det finns ett författningsreglerat krav på den utlämnande myndigheten att enligt antingen bestäm- melserna i personuppgiftslagen eller sekretessregeln i 21 kap. 7 § OSL ta ställning till om ett utlämnande av personuppgifter är tillåtet. Att lämna ut personuppgifter i elektronisk form Detta krav gäller oavsett i vilken form utlämnandet sker. När det har konstaterats att ett utlämnande är tillåtet, återstår alltså att avgöra i vilken form utlämnandet bör ske. Eftersom det står myn- digheten fritt att avgöra detta, om inga särskilda begränsningar finns, blir det fråga om en lämplighetsprövning. Våra överväganden och förslag Förslag och bedömning: Det behöver inte införas någon bestäm- melse som generellt begränsar myndigheters möjlighet att lämna ut personuppgifter till andra myndigheter i elektronisk form. När det gäller utlämnanden till enskilda föreslås en bestäm- melse i den nya lagen som föreskriver att om en personuppgift får lämnas ut till en enskild, kan det ske i elektronisk form om det inte är olämpligt med hänsyn till skyddet för personupp- giften. Därmed erinras myndigheterna om att det ankommer på dem att först göra en prövning av om ett utlämnande, oavsett form, av personuppgifter är tillåtet. Om så är fallet, är utgångs- punkten att det kan ske i elektronisk form. En sådan bestäm- melse leder till en mer nyanserad bedömning när det gäller skyddet för enskildas integritet än vad som följer av sådana regler som är vanliga i registerförfattningar och som begränsar elek- troniskt utlämnande till enskilda. Utlämnanden till andra myndigheter