sou · H3B339 · 2015-04-08 00:00:00 — Hur behörighetssystem bör vara utformade går däremot inte att ange i generella termer. Detta måste utformas specifikt för respek- tive verksamhet. Generellt sett kan dock sägas att ju mer omfatt- ande ett informationshanteringssystem är, desto större mängd olika behörighetsnivåer bör finnas. Uppgifternas karaktär spelar också Exempelvis bör tillgång till sekretessbelagda personupp- gifter som utgångspunkt givetvis vara begränsad. kan för- hållandena vara sådana, t.ex. vid små myndigheter, att i princip hela personalen, eller i vart fall flertalet, måste ha full tillgång för att kunna utföra sina arbetsuppgifter. Innebörden av den regel vi föreslår är att myndigheter dock alltid ska vara skyldiga att pröva anställdas och uppdragstagares behov av tillgång utifrån vad arbets- uppgifterna kräver och begränsa tillgången i enlighet med detta. Vidare innebär bestämmelsen att vid direktåtkomst varje myn- dighet måste pröva sin egen personals tillgång till andra myndig- heters personuppgifter. Vid direktåtkomst bör det enligt vår mening alltså normalt vara den myndighet som en person arbetar hos som ansvarar för behörighetstilldelningen snarare än den utlämnande myndigheten. Det är den mottagande myndigheten som bestäm- mer ändamålen för behandlingen och ansvarar för vad den egna personalen gör. En helt annan sak är att erforderliga behörighets- begränsningar rent tekniskt givitvis kan anordnas hos den av myn- digheterna där det enklast kan ske. Den bestämmelse som vi föreslår innebär en skyldighet för myndigheten att begränsa tillgången som ett led i myndighetens personuppgiftsansvar. I ansvaret för behörighetstilldelningen ingår att se till så att den enskilde befattningshavaren får information om innebörden av behörigheten. Det behövs emellertid inte särskilda föreskrifter om detta. Bestämmelsen innebär givetvis inget hinder mot att vid behov genom föreskrifter i förordning meddela särskilda regler om be- hörighetsbegränsningar. Enligt vår bedömning behövs det inte någon föreskrift i den nya lagen motsvarande vad som anges i artikel 16 i dataskyddsdirektivet om att den som utför arbete under den registeransvarige, och som får tillgång till personuppgifter, ”får behandla dem endast enligt instruktioner från den registeransvarige, om han inte är skyldig att göra det enligt lag” (jfr 30 § PuL). Myndigheter har redan en skyl- dighet att instruera sina befattningshavare så att de hanterar myn- dighetens information på ett sätt som överensstämmer med de regler som styr myndigheternas verksamhet och informationshantering. Risk- och sårbarhetsanalys samt överenskommelse om säkerhetsåtgärder vid direktåtkomst m.m. Förslag: Innan en utlämnande myndighet medger direktåtkomst till personuppgifter ska myndigheten göra en risk- och sårbar- hetsanalys. Vidare ska myndigheten komma överens med mot- tagaren av personuppgifterna hur behövligt skydd för person- uppgifterna ska säkerställas. Motsvarande ska gälla vid andra former av informationsutbyten eller samarbeten som innebär behandling av personuppgifter i gemensamma eller annars inte- grerade informationssystem. När personuppgifter överförs mellan myndigheter kan alltså frågor uppstå om vem som är ansvarig för att personuppgifterna skyddas under och efter överföringen. Utgångspunkten är då att ansvaret följer personuppgiftsansvaret. Som har framgått är det dock inte alltid så lätt att slå fast hur personuppgiftsansvaret avgränsas då flera myndigheter är involverade i en personuppgiftsbehandling, t.ex. vid direktåtkomst. Inte ens då personuppgiftsansvaret reglerats i en registerförfattning står det alltid helt klart vad som gäller i enskilda fall t.ex. i fråga om den utlämnande myndighetens even- tuella personuppgiftsansvar för en mottagande myndighets använd- ning av ett register vad avser frågor om när, hur och varför mot- tagarmyndighetens personal gör sökningar i registret. Som vi har framhållit tidigare (se avsnitt 10.1.4) omfattar person- uppgiftsansvaret övergripande frågor såsom att tillse att behandlade personuppgifter skyddas genom tekniska och organisatoriska säker- hetsåtgärder. Vi har föreslagit att det ska gälla ett krav på att en utlämnande myndighet ska vara skyldig att, innan direktåtkomst till personuppgifter medges, komma överens med mottagaren av personuppgifterna hur utövandet av personuppgiftsansvaret med avseende på de skyldigheter som följer av lagen eller föreskrifter som meddelats i anslutning till lagen ska ske och att motsvarande krav ska gälla även vid andra former av informationsutbyten eller samarbeten som innebär behandling av personuppgifter i gemen- samma eller annars integrerade informationssystem. Det är alltså av väsentlig betydelse att det alltid klarläggs hur personuppgiftsansvaret fördelar sig beträffande olika moment i ”gemensamma” behandlingar. Att detta sker är av avgörande betyd- else inte minst i fråga om tekniska och organisatoriska säkerhets- åtgärder. Tydlighet i ansvarsförhållanden vid myndighetsövergrip- ande samarbeten är centralt för personuppgiftsskyddet liksom för informationssäkerheten i stort. Det är av största betydelse att så- dana frågor i reds ut i förväg mellan de inblandade aktörerna. Mot den bakgrunden föreslår vi att det i överenskommelsen särskilt ska anges hur skyddet för personuppgifterna ska säkerställas. Det kan också framhållas att det är viktigt att överenskommelsen följs upp även sedan direktåtkomsten etablerats. Det följer emellertid redan av det allmänna kravet som vi föreslagit ovan som innebär att säker- hetsarbetet ska ske löpande och vara uppföljande. Vi föreslår vidare att den utlämnande myndigheten vid direkt- åtkomst därutöver ska göra en särskild risk- och sårbarhetsanalys innan sådan medges. Motsvarande skyldighet ska gälla för myndig- heter vid annan samverkan som innebär behandling av personupp- gifter i gemensamma eller annars integrerade informationssystem. Den särskilda risk- och sårbarhetsanalysen ska vara inriktad på att ge det underlag som behövs för att sedan kunna bedöma om och hur det är möjligt att åstadkomma en lämplig säkerhetsnivå genom adekvata tekniska och organisatoriska säkerhetsåtgärder. När myndigheter lämnar ifrån sig den faktiska behandlingen och därmed i viss mån kontrollen över personuppgifterna blir frågor om säkerhet och skydd för personuppgifterna särskilt betydelse- fulla. Vi har i avsnitt 10.1.4 behandlat frågor om anlitande av per- sonuppgiftsbiträde. I det sammanhanget har vi bl.a. föreslagit att den personuppgiftsansvariga myndighetens instruktioner till biträdet ska dokumenteras i parternas avtal. Sådana instruktioner måste, som vi ser det, även innehålla avtalsvillkor gällande tekniska och organisatoriska säkerhetsåtgärder till skydd för personuppgifterna. 11Att lämna ut personuppgifter i elektronisk form 11.1.1Definition av begreppet direktåtkomst Vi har ovan (se avsnitt 5.7) redovisat vår uppfattning att det allt- jämt finns skäl för att rättsligt skilja på begreppen direktåtkomst och annat elektroniskt utlämnande. Vår uppfattning baseras bl.a. på den omständigheten att en viss åtskillnad mellan de olika begrep- pen redan har lagts fast i praxis genom att uttalanden om hur direktåtkomst bör definieras i förarbetena till 11 kap. 4 § OSL får anses ha bekräftats i rättsfallet HFD 2011 ref. 52. Av dessa ut- talanden följer att en direktåtkomst är för handen när en mottag- ande myndighet har getts en teknisk tillgång till upptagningar hos annan myndighet så att de kan ”läsas, avlyssnas eller på annat sätt uppfattas”, varmed de anses expedierade från den utlämnande myn- digheten. Därmed får de också anses förvarade hos och, som huvud- regel, inkomna till den mottagande myndigheten i den mening som avses i 2 kap. 3 och 6 §§ TF. Av rättsfallet HFD 2011 ref. 52 kan emellertid inte dras någon självklar slutsats av vad uttrycket läsas, avlyssnas eller uppfattas på annat sätt innebär för de olika former av elektroniska utlämnanden som kan sägas befinna sig i ”gråzonen” mellan direktåtkomst och annat elektroniskt utlämnande. Det finns alltså ännu ingen praxis som ger ett klart svar på i vilken mån sådana former av utläm- nanden är att anse som direktåtkomst. innebär regle- ringen i 2 kap. TF att endera är det fråga om direktåtkomst i nu Att lämna ut personuppgifter i elektronisk form angiven mening eller så är det inte det. Avgörande blir bedöm- ningen av omständigheterna i det enskilda fallet. Utredningen har i denna del av uppdraget inget mandat att föreslå några grundlagsändringar. Den fråga vi därför har ställt oss är om det finns skäl att, för att inte behöva avvakta en utveckling i rättspraxis, nu lämna ett förslag på en definition av begreppet direktåtkomst i vanlig lag som syftar till att klargöra vad som ska gälla i den ”gråzon” som kan uppfattas finnas . Bedömning: Begreppet direktåtkomst bör definieras, liksom hit- tills, på så sätt att en direktåtkomst föreligger om en myndighet hos en annan myndighet har en sådan teknisk tillgång till upp- tagningar som avses i 2 kap. 3 § andra stycket TF. Någon annan – exempelvis snävare – avgränsning i vanlig lag föreslås inte. Bestämmelserna i 2 kap. TF samt i offentlighets- och sekretess- lagen (2009:400), exempelvis 7 kap. 2 § och 8 kap. 1 §, bygger på att myndigheternas verksamheter i rättslig mening gränsar till var- andra. Vid ett utbyte av uppgifter sker detta alltså över en och samma gräns och däremellan finns inget utrymme. Enkelt uttryckt innebär det att uppgifter beroende på vilken sida om gränsen de befinner sig antingen finns hos den ena eller andra myndigheten och de ingår då i den ena eller andra myndighetens verksamhet. Uppgifter kan också finnas hos båda myndigheterna om de delar på en tillgång till uppgifterna. Uppgifterna ingår då i båda myndigheternas verksamhet. Frågan om var gränsen går mellan myndigheter som deltar i ett elektroniskt uppgiftsutbyte kan dock inte göras liktydig med att ta ställning till vilka handlingar som är att betrakta som allmänna hos de olika myndigheterna. Utgångs- punkten är emellertid reglerna i 2 kap. TF, framför allt 3 §, som reglerar när en upptagning anses förvarad hos en myndighet. Om en myndighet har gjort en upptagning åtkomlig för en annan myn- dighet på så sätt att 2 kap. 3 § TF blir tillämplig på upptagningen är den att anse som förvarad även hos den mottagande myndigheten. En rättslig gräns mellan de båda myndigheterna har alltså passerats, dvs. det finns i rättslig mening ingen oklarhet om på vilken sida om Att lämna ut personuppgifter i elektronisk form gränsen som upptagningen befinner sig. Det innebär dock inte med automatik att upptagningen är att betrakta som allmän handling hos den mottagande myndigheten eftersom det finns flera undantag i 2 kap. TF från när i och för sig enligt 2 kap. 6 § inkomna, och således förvarade, handlingar ska anses vara allmänna. Som exempel kan nämnas den s.k. biblioteksregeln i 2 kap. 11 § första stycket 3 TF som bl.a. innebär att information på öppna webbplatser som myndigheten har åtkomst till inte är att anse som allmänna hand- lingar. Om en handling har expedierats på det sätt som avses i 2 kap. 7 § TF kan också en rättslig gräns sägas ha passerats. Om en handling i tryckfrihetsförordningens mening har expedierats från den utlämnande myndigheten och därmed gjorts tillgänglig för en annan myndighet så att 2 kap. 3 § TF är tillämplig kan det alltså slås fast att handlingen har passerat den rättsliga gränsen mellan myn- digheterna. Som sagt är det en senare fråga om handlingen också ska anses vara allmän hos den mottagande myndigheten. Den frågan har emellertid ingen omedelbar betydelse för hur två myndigheter rättsligt gränsar till varandra. Exempelvis skyddas uppgifter i hand- lingen av sekretess enligt offentlighets- och sekretesslagen hos den mottagande myndigheten, eftersom den förvaras där, oavsett om handlingen är allmän eller inte. En myndighet är också person- uppgiftsansvarig för personuppgifter i en handling som förvaras hos myndigheten oavsett om handlingen är allmän eller inte. Ett försök att i vanlig lag skapa en annan definition av begreppet direktåtkomst än den som får anses gälla och som utgår från 2 kap. 3 § TF skulle enligt vår bedömning innebära att det skapas nya och andra gränser mellan myndigheterna än de som följer av bestämmelserna i 2 kap. TF och offentlighets- och sekretesslagen. Det får till följd att det i samband med elektroniska utlämnanden bildligt talat riskerar att skapas ett utrymme mellan myndigheter- nas gränser. Mellanrummet uppstår om det sätts upp andra, snävare gränser än vad som enligt tryckfrihetsförordningen gäller vid ut- byte av uppgifter mellan myndigheter. I detta rum finns inte några givna svar på eller hållpunkter för vilken myndighet som ansvarar för vad, exempelvis när det gäller behandling av personuppgifter eller vilket sekretesskydd som ska upprätthållas. Även den förvaltnings- rättsliga ansvarsfördelningen kan bli oklar. Man kan säga att det alltså riskerar att uppstå en form av ansvarsmässigt och rättsligt Att lämna ut personuppgifter i elektronisk form Sådana uppgiftsutbyten som kan sägas ske i den ovan omtalade gråzonen innebär emellertid i praktiken att de inblandade myndigheterna de facto har vidtagit en rad åtgärder och även tek- niskt påbörjat uppgiftsutbytet i fråga. Sådana åtgärder aktualiserar både verksamhetsansvar och personuppgiftsansvar på ömse sidor. Det kan inte anses tillfredsställande att sådana åtgärder ska få vidtas utan att det står klart inom ramen för vilken myndighets verk- samhet som detta sker, i synnerhet inte när åtgärderna tar sikte på personuppgifter. Enligt vår mening får det därför anses principiellt tveksamt att skapa ett rättsligt mellanrum mellan myndigheternas gränser genom att avgränsa olika former av elektroniska utläm- nanden på ett annat sätt än det som följer av 2 kap. TF och offent- lighets- och sekretesslagen. Enligt vår uppfattning kan man också fråga sig vad som finns att tjäna på att i samband med att man definierar olika elektroniska utlämnandeformer sätta upp andra gränser för myndigheters utbyte av uppgifter än vad som ändå redan gäller beträffande handlings- offentlighet. Ett problem sammanhänger med att begreppet direkt- åtkomst i så fall inte torde kunna avgränsas med en tillämpning av 2 kap. 3 § andra stycket TF. Det skulle då inte vara tillräckligt att bedöma om en teknisk tillgång innebär att en upptagning kan läsas, avlyssnas eller på annat sätt uppfattas. Det måste i stället formu- leras ett annat kriterium. Det torde möta stora svårigheter att for- mulera ett sådant nytt kriterium som blir så tydligt och lättillämpat att det innebär en förenkling i förhållande till vad som ändå gäller enligt tryckfrihetsförordningen. Man kan befara att det i stället skapas en ännu större gråzon där fler former av elektroniska utläm- nanden kan komma att hamna p.g.a. att det blir ännu svårare att avgöra om de är att anse som direktåtkomst eller en annan utläm- nandeform. Det får visserligen anses i viss mån otillfredsställande att det inte står helt klart vid en tillämpning av 2 kap. 3 § TF hur vissa former av elektroniska uppgiftsutbyten ska definieras, dvs. om de utgör direktåtkomst eller inte. Enligt vår uppfattning inne- bär ett försök att skapa en annan avgränsning emellertid inte att en större tydlighet kan uppnås, utan det riskerar tvärtom att leda till ökad otydlighet. Som redan framgått anser vi därutöver att det redan av principiella skäl är olämpligt att utforma en avgränsning vid elektroniska utlämnanden som avviker från vad som annars gäller Att lämna ut personuppgifter i elektronisk form vid överföring av uppgifter mellan myndigheter och på så sätt skapa ett utrymme – ett slags ansvarsmässigt och rättsligt vakuum – mellan myndigheter. Till detta kommer att det finns en uppenbar risk med att söka åstadkomma en reglering i syfte att fånga upp de tekniska former av åtkomst som används eftersom en sådan riskerar att inte kunna tillämpas . I syfte att uppnå ett regelverk som i så stor utsträckning som möjligt är enhetligt när det gäller myndigheters hantering av infor- mation och som håller anser vi således att övervägande skäl talar för att begreppet direktåtkomst bör, liksom , ta sikte på det förhållandet att en myndighet hos en annan myndighet har en sådan teknisk tillgång till upptagningar som avses i 2 kap. 3 § andra stycket TF. Enligt vår bedömning bör alltså någon annan och snävare avgränsning inte utformas. Det innebär att myndigheterna, och även lagstiftaren, på samma sätt och utifrån samma kriterier som gäller enligt 2 kap. TF får bedöma om ett planerat uppgifts- utbyte ska ske i form av direktåtkomst eller på annat sätt. Vad som gäller i fråga om de elektroniska utlämnandeformer som kan upp- fattas befinna sig i en gråzon mellan direktåtkomst och annat elek- troniskt utlämnande får alltså bedömas utifrån vad som kan läsas ut av framför allt 2 kap. 3 § TF och praxis i anslutning till det lag- rummet. Vårt ställningstagande i denna del innebär alltså att myn- digheterna på samma sätt som och utifrån samma definition får bedöma om ett avsett uppgiftsutbyte utgör direktåtkomst eller en annan form av elektroniskt utlämnande. 11.1.2Bör det finnas ett generellt krav på författningsstöd för direktåtkomst? Innebär nuvarande bestämmelser ett krav på författningsstöd? Vad brukar lagstiftarens utgångspunkt vara? Av 10 kap. 28 § OSL följer att en uppgiftsskyldighet som bryter den sekretess som annars gäller mellan två myndigheter ska regleras genom en bestämmelse i lag eller förordning. I det fallet krävs alltså en uttrycklig reglering som ska införas på åtminstone förordnings- nivå. När det däremot gäller direktåtkomst finns i gällande rätt Att lämna ut personuppgifter i elektronisk form inget generellt krav på att en direktåtkomst förutsätter att det genom en föreskrift uttryckligen har tillåtits att den ska få förekomma. Av förarbeten till bestämmelser om direktåtkomst framgår att lagstiftaren ibland emellertid tycks ha utgått från ett antagande om att det finns ett krav på att direktåtkomst uttryckligen ska tillåtas genom en föreskrift. Ett exempel på det är bestämmelserna om direktåtkomst till beskattningsdatabas. I lagtexten räknas det upp vilka myndigheter som får ha direktåtkomst till beskattningsdatabasen. Det uttrycks emellertid inte att det ”endast” är dessa myndigheter som får ha direktåtkomst. Av förarbetena fram- går dock att det är syftet med bestämmelserna. Där anförs näm- ligen att förutsättningarna för åtkomsten borde föreskrivas i lag, medan regeringen borde ha möjlighet att närmare föreskriva om vilka uppgifter åtkomsten får avse (prop. 2000/01:33 s. 133). I detta fall har bestämmelserna alltså utformats med syfte att de positivt ska ange i vilka fall direktåtkomst får medges, dvs. det är bestäm- melser som syftar till att tillåta något som annars skulle vara otillåtet. Om det verkligen är så, eller om bestämmelserna ger uttryck för att man har ansett det lämpligt att just på skatteområdet anlägga detta synsätt, framgår inte av förarbetena. Exempelvis förs det inget resonemang om var det i så fall uttrycks ett krav på en positiv före- skrift som tillåter direktåtkomst. Det konstateras endast att sådana regler också har haft form av lag (a. prop. s. 133). I samman- hanget kan nämnas att däremot gjorde ett mer klart ställningstagande i frågan. Utredningen ansåg att eftersom dess förslag till en ny lag om behandling av person- uppgifter inom inte innehåller några bestämmelser om direktåtkomst, innebär det att någon direktåtkomst inte får förekomma (SOU 2009:32 s. 309). Bestämmelser om direktåtkomst på många andra myndighets- områden synes däremot utgå från ett antagande om att direkt- åtkomst kan vara tillåten även om det inte finns någon föreskrift som medger det. Både bestämmelserna om direktåtkomst till social- försäkringsdatabasen och till uppgifter inom har ut- formats med en sådan utgångspunkt. Det är i dessa fall alltså frågan om bestämmelser som inskränker möjligheterna att medge direkt- åtkomst, dvs. de syftar till att begränsa något som annars skulle vara tillåtet. Att lämna ut personuppgifter i elektronisk form Följer det något krav på reglering av en direktåtkomst av personuppgiftslagen? I personuppgiftslagen finns inga bestämmelser som uttryckligen tar sikte på direktåtkomst. Den lagen berör över huvud taget inte frågan om olika utlämnandeformer. Det kan ändå finnas anledning att överväga om någon eller några av lagens bestämmelser i vart fall indirekt ställer krav på en viss reglering i samband med direkt- åtkomst. Det kan då inledningsvis konstateras att personuppgiftslagens bestämmelser alltså inte medför några uttryckliga krav på att en direktåtkomst ska ha stöd i en föreskrift för att vara tillåten. Om åtkomsten avses omfatta känsliga personuppgifter krävs emellertid författningsstöd. En behandling av känsliga personuppgifter förut- sätter ju att det finns ett tillämpligt undantag från det förbud mot sådan behandling som annars gäller enligt 13 §. Däremot har be- stämmelserna i 9 och 10 §§ betydelse för om en direktåtkomst är tillåten och vilken omfattning den i så fall kan ha. Bestämmelser om direktåtkomst kan också påverka en myndighets informations- skyldighet enligt lagen. Skyldigheten att självmant lämna informa- tion till den registrerade om behandling av personuppgifter kan helt bortfalla om det finns en bestämmelse om direktåtkomst, men skyldigheten att lämna s.k. 26 §-utdrag kvarstår även om en sådan bestämmelse finns. Vi har ovan berört frågan att det torde vara av avgörande betydelse att lämpliga säkerhetsåtgärder vidtas för att det integri- tetsskydd som är avsett att finnas vid en direktåtkomst också blir förverkligat. Något krav på att i olika hänseenden införa regler som fyller ut bestämmelserna i 31 § PuL om skyldighet att vidta lämp- liga säkerhetsåtgärder finns det emellertid inte. Däremot följer av 32 § att Datainspektionen i enskilda fall kan besluta om säker- hetsåtgärder och av 50 b §§ att regeringen kan besluta föreskrifter om vilka krav som ställs på den personuppgiftsansvarige. Rege- ringen har vidaredelegerat föreskriftsrätten till Datainspektionen, men inspektionen har inte meddelat några föreskrifter om säkerhetsåtgärder. 2007/08:160 om ett utökat elektroniskt informations- utbyte anförde regeringen att en god informationssäkerhet vid myndigheterna är ett ständigt pågående utvecklingsarbete (s. 64 f.). Att lämna ut personuppgifter i elektronisk form , som ansåg att aktuella myndigheter inte uppfyllde kraven på god informationssäkerhet, hade i sitt remissvar avseende det betänkande som propositionen byggde på (SOU 2007:45) föreslagit att någon form av certifiering borde krävas innan en myndighet tilläts delta i informationsutbytet. Enligt regeringen fick problem med bristande informationssäkerhet tas om hand i annan ordning och utgjorde inte hinder för att genomföra ett utökat elektroniskt informationsutbyte. Regeringen erinrade också om vikten av att berörda myndigheter lever upp till gällande krav på att vidta de tekniska och organisatoriska åtgärder som krävs till skydd för de personuppgifter som behandlas. Även om en direktåtkomst alltså kan ha betydelse vid tillämp- ningen av personuppgiftslagen kan något krav på författningsstöd för att en direktåtkomst ska kunna etableras knappast härledas ur den lagen. Inte heller kan, som vi ser det, något sådant krav här- ledas ut dataskyddsdirektivet. Finns krav på reglering i andra författningar? Det kan konstateras att det inte heller av bestämmelserna i 4 och 5 kap. OSL följer något krav på att reglera en direktåtkomst. Upp- tagningar som en mottagande myndigheten får tillgång till genom direktåtkomst är emellertid att anse som utlämnade till myndigheten och utgör därmed allmänna handlingar. En myndighet har därför en skyldighet att upprätta en beskrivning som bl.a. ger information om hur de allmänna handlingar som är tillgängliga genom direkt- åtkomsten kan sökas fram. (4 kap. 2 § första stycket 2).