sou · H3B339 · 2015-04-08 00:00:00 — 8 § Personuppgifter får behandlas om det är nödvändigt för att en myndighet ska kunna utföra sin verksamhet. 9 § Behandling som är tillåten enligt denna lag eller föreskrifter som meddelats med stöd av den får utföras även om den registrerade motsätter sig behandlingen. Särskilda kategorier av personuppgifter 10 § Utöver vad som följer av 15, 16, 18 och 19 §§ personupp- giftslagen (1998:204) får känsliga personuppgifter behandlas om upp- gifterna har lämnats i ett ärende eller är nödvändiga för handlägg- ning av det eller om uppgifterna behandlas endast i löpande text. 11 § Personnummer eller samordningsnummer får tas in i ett beslut endast om beslutet rör en enskilds identitet eller motsvarande per- sonliga förhållanden, det är nödvändigt för att beslutet ska kunna verkställas eller det krävs med hänsyn till beslutande myndighets behov av identifieringsuppgifter. 12 § Uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening liksom uppgifter som rör hälsa eller sexualliv får användas som sökbegrepp endast om det är tillåtet enligt föreskrifter som tagits in i bilaga till denna lag eller i annan lag eller förordning. Vad som sägs i första stycket gäller inte vid en sökning i en viss handling eller i ett visst ärende. 13 § Direktåtkomst till personuppgifter som är sekretessreglerade är tillåten endast i den utsträckning som anges i bilaga till denna lag eller i annan lag eller förordning. Med sekretessreglerade uppgifter avses detsamma som i offentlighets- och sekretesslagen (2009:400). Vad som sägs i första stycket gäller inte direktåtkomst som med- ges 1. den registrerade eller dennes ombud till uppgifter som hänför sig till den registrerade, 2. till personuppgifter som är sekretessreglerade enligt 21 kap. 7 § offentlighets- och sekretesslagen, 3.ett personuppgiftsbiträde, eller 4.en myndighet endast för sådan teknisk bearbetning eller tek- nisk lagring som avses i 2 kap. 10 § första stycket tryckfrihets- förordningen för den utlämnande myndighetens räkning. 14 § Innan en myndighet medger direktåtkomst till personuppgifter ska myndigheten göra en risk- och sårbarhetsanalys och komma överens med mottagaren av personuppgifterna hur skyddet för per- sonuppgifterna ska säkerställas. Av överenskommelsen ska också framgå hur utövandet av de skyldigheter som personuppgiftsansvaret innefattar ska ske. Vad som sägs i första stycket ska i tillämpliga delar även gälla då en myndighet på annat sätt än genom direktåtkomst samarbetar med andra myndigheter eller enskilda på sätt som innebär behand- ling av personuppgifter i gemensamma eller annars integrerade infor- mationssystem. Annat utlämnande i elektronisk form 15 § Får en personuppgift lämnas ut till en enskild, kan det ske i elektronisk form om det inte är olämpligt med hänsyn till skyddet för personuppgiften. 16 § Utöver vad som följer av 34 § personuppgiftslagen (1998:204) eller av föreskrifter eller beslut som meddelats med stöd av 35 § samma lag får personuppgifter överföras till tredjeland som saknar adekvat skyddsnivå, om 1.överföringen krävs för handläggningen av ett visst ärende, eller 2.överföringen är nödvändig för att fullgöra en uppgiftsskyldig- het som följer av lag eller förordning eller avtal med annan stat eller mellanfolklig organisation som har tillträtt eller annars är förpliktat att följa. 17 § En myndighet ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda de personuppgifter som behandlas. Säkerhetsarbetet ska omfatta förebyggande, löpande och uppfölj- ande åtgärder samt åstadkomma en lämplig säkerhetsnivå i förhåll- ande till de risker som behandlingen medför och karaktären hos de uppgifter som ska skyddas. Vid utformningen av säkerhetsåtgärderna ska myndigheten även beakta bestämmelser om informations- säkerhet i annan författning som gäller för myndigheten. 18 § Tillgången till personuppgifter ska begränsas till vad varje anställd behöver för att kunna fullgöra sina arbetsuppgifter. 19 § Ett personuppgiftsbiträde eller den som arbetar under biträdets ledning får behandla personuppgifter bara i enlighet med instruk- tioner från den personuppgiftsansvariga myndigheten. Detta gäller även för biträden som anlitats av ett personuppgiftsbiträde. 20 § När en myndighet anlitar ett personuppgiftsbiträde, ska myndig- heten förvissa sig om att biträdet 1.ser till att personuppgifter behandlas bara i enlighet med instruk- tioner från myndigheten, 2.kan genomföra de säkerhetsåtgärder som avses i 17 § och som måste vidtas till skydd för de personuppgifter som biträdet behand- lar, 3.fortlöpande vidtar säkerhetsåtgärderna, och 4.inte anlitar annat biträde utan godkännande från myndigheten. 21 § Det ska finnas ett skriftligt avtal om personuppgiftsbiträdets behandling av personuppgifter för myndighetens räkning. Avtalet ska innehålla instruktioner och villkor om personuppgiftsbiträdets skyldigheter i frågor som avses i 19 och 20 §§. Motsvarande avtal ska finnas med ett biträde som anlitats av ett personuppgiftsbiträde. 22 § En myndighet ska föra en förteckning över de behandlingar som myndigheten utför med stöd av denna lag. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om vilka uppgifter en sådan förteckning ska innehålla. 23 § Bestämmelserna i 23, 25 och 26 §§ personuppgiftslagen (1998:204) ska inte tillämpas i den utsträckning som en uppgift inte får lämnas ut till den registrerade på grund av sekretess enligt offent- lighets- och sekretesslagen (2009:400) eller föreskrifter som med- delats med stöd av den lagen. Bestämmelserna i 26 § personuppgiftslagen behöver inte tillämpas vid behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av per- sonuppgifter. Korrigering av felaktiga personuppgifter eller annars otillåten behandling 24 § En personuppgift ska på begäran av den registrerade rättas eller kompletteras om uppgiften rör honom eller henne och den är fel- aktig eller ofullständig till följd av en åtgärd som inte har sin grund i myndighetens eller någon annans bedömning. 25§ En personuppgift ska på begäran av den registrerade avskiljas från fortsatt behandling och inte lämnas ut till en enskild annat än med stöd av 2 kap. tryckfrihetsförordningen eller utplånas, om upp- giften rör honom eller henne och den inte får behandlas enligt denna lag. Vad som sägs i första stycket gäller inte personuppgifter i ett beslut. 26 § har rätt att för sin tillsyn på begäran få 1.tillgång till de personuppgifter som behandlas, 2.upplysningar om och dokumentation av behandlingen av per- sonuppgifter och säkerheten vid denna, och 3.tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. 27 § Om tillsynsmyndigheten konstaterar att en myndighet kan komma att behandla personuppgifter på ett olagligt sätt, ska tillsyns- myndigheten genom påpekanden eller andra åtgärder som inte är tvingande försöka åstadkomma att myndigheten uppfyller sina skyl- digheter enligt denna lag eller föreskrifter som meddelats med stöd av den. 28 § får förelägga en myndighet att uppfylla sina skyldigheter, om myndigheten inte uppfyller de krav som följer av denna lag eller föreskrifter som meddelats med stöd av den. Av föreläggandet ska framgå vad tillsynsmyndigheten anser är nödvändigt för att avhjälpa de påtalade bristerna. 29 § Om en myndighet allvarligt brister i sin skyldighet att uppfylla de krav som gäller för en behandling av personuppgifter som myn- digheten utför, får tillsynsmyndigheten förbjuda myndigheten att fortsätta behandlingen på något annat sätt än att personuppgifter lagras. Ett beslut om förbud mot fortsatt behandling gäller omedel- bart. 30 § får hos förvaltningsrätten inom vars dom- krets tillsynsmyndigheten är belägen ansöka om att sådana person- uppgifter som har behandlats på ett olagligt sätt ska utplånas. 31 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om 1.när behandling av personuppgifter är tillåten, 2.vilka krav som ställs på en personuppgiftsansvarig myndighet, 3.att känsliga personuppgifter får behandlas om det behövs med hänsyn till ett viktigt allmänt intresse. Regeringen får meddela föreskrifter om begränsningar av möjlig- heterna att använda andra sökbegrepp än de som avses i 12 §. 32 § beslut enligt denna lag om annat än före- skrifter får överklagas till allmän förvaltningsdomstol. får bestämma att dess beslut ska gälla även om det överklagas. 33 § Beslut om rättelse eller komplettering enligt 24 §, om avskilj- ande eller utplåning enligt 25 § och om information enligt 26 § per- sonuppgiftslagen (1998:204) får överklagas till allmän förvaltnings- domstol. Första stycket gäller inte för beslut av regeringen, Högsta dom- stolen, eller ombudsmän. 34 § Andra beslut enligt denna lag än sådana som avses i 32 § och 33 § första stycket får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. 1.Denna lag träder i kraft . 2.Bestämmelserna i 21 § ska inte börja tillämpas förrän den 1 janu- ari 2019 i fråga om avtal som ingåtts före ikraftträdandet. 3.Bestämmelserna i 28 § personuppgiftslagen (1998:204) ska tillämpas i stället för 24 och 25 §§ i fråga om en begäran som gjorts före ikraftträdandet. lag om ändring i offentlighets- och sekretesslagen (2009:400) Härigenom föreskrivs att 10 kap. 28 § offentlighets- och sekretess- lagen ska ha följande lydelse. Sekretess hindrar inte att en uppgift lämnas till en annan myn- dighet, om uppgiftsskyldighet följer av lag eller förordning. Sekretess hindrar inte heller att en uppgift lämnas till en annan myndighet genom direktåtkomst enligt vad som föreskrivs i lag eller förordning. Ytterligare sekretessbrytande bestämmelser och bestämmelser om undantag från sekretess finns i anslutning till berörda sekretess- bestämmelser i avdelning IV–VI. Denna lag träder i kraft . 2 Vårt uppdrag och arbete Vi har haft som övergripande uppdrag att se över den s.k. register- lagstiftningen, som kompletterar personuppgiftslagen (1998:204) och innehåller bestämmelser om statliga och kommunala myndig- heters behandling av personuppgifter. Detta ska ske genom att utreda förutsättningarna för att skapa en generell, enhetlig och – helt eller i vart fall delvis – samlad reglering för myndigheternas personupp- giftsbehandling. Om vi bedömer att det finns sådana förutsättningar ska vi lämna de författningsförslag som vi anser vara motiverade. Det fastlagda målet för vårt arbete är att regleringen ska utgöra en tydlig och lättillämpad helhet tillsammans med tryckfrihets- förordningen och offentlighets- och sekretesslagen. På så sätt skapas rättsliga förutsättningar för en mer effektiv e-förvaltning, där såväl den enskildes rätt till personlig integritet som allmänhetens be- rättigade anspråk på insyn i den offentliga verksamheten tillgodoses. De förslag som lämnas ska vidare vara anpassade till det pågå- ende arbetet inom EU med att reformera den unionsrättsliga data- skyddsregleringen utifrån kommissionens förslag till och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning). Personuppgiftsbehandling inom den brottsbekämpande verksamheten omfattas inte av vårt uppdrag. I uppdraget ingår att göra en översiktlig inventering av register- författningarna. Vidare ingår ett antal särskilda delfrågor. – om det finns anledning att ändra definitionen av begreppet allmän handling i tryckfrihetsförordningen i fråga om uppgifter som en myndighet har tillgång till genom s.k. direktåtkomst hos en annan myndighet eller genom liknande former av elektroniskt utlämnande – Vårt uppdrag och arbete har vi redovisat genom delbetänkandet Överskottsinformation vid direktåtkomst (SOU 2012:90). Bland återstående delfrågor finns frågan om det finns skäl att behålla den rättsliga åtskillnaden mellan olika former av elektroniskt utlämnande samt frågan om det finns anledning att justera 6 kap. 5 § OSL, som föreskriver en skyldighet att lämna uppgift till annan myndighet, så att bestämmelsen står i bättre överensstämmelse med förekomsten av användningsbegräns- ningar i internationella avtal m.m. Enligt våra ursprungliga direktiv skulle vårt arbete med över- synen av registerförfattningarna utmynna i utarbetandet av en gene- rell regleringsmodell för hur registerförfattningar bör struktureras, vilka begrepp som bör användas och hur begreppen bör definieras. Med en generell modell som mall skulle vi lämna konkreta förslag till registerförfattningar – modellregleringar – inom tre olika verk- samhetsområden. Avsikten var att regeringen i tilläggsdirektiv, efter att ha inhämtat synpunkter från utredaren, skulle närmare ange vilka verksamhetsområden som regleringsmodellen skulle appliceras på. lämnade vi i en framställning till regeringen några synpunkter på inriktningen av det fortsatta arbetet. I framställningen lyfte vi fram två faktorer som vi menade borde beaktas i våra kom- mande tilläggsdirektiv. Den första faktorn var att vi under vårt arbete med att inventera registerförfattningarna och identifiera vilka närmare problemområden som fanns hade uppmärksammat att den övergripande problem- bilden med registerförfattningarna inte bara sammanhängde med utformningen av författningarna utan också med det förhållandet att den allmänna regleringen i personuppgiftslagen i ett flertal avseenden är utformad utan hänsyn till de särskilda förhållanden som gäller för myndigheternas personuppgiftsbehandling. Vi identifierade alltså ett behov av att behandla frågor som inte är begränsade till register- författningsreglerade områden utan som gäller generellt inom myn- dighetsområdet. Den andra faktorn var att det efter hand föreföll allt mer ange- läget att anpassa det fortsatta utredningsarbetet till det parallellt på- gående reformarbetet beträffande den unionsrättsliga dataskyddsreg- leringen innefattande det förslag till ny förordning som kommissio- nen hade lämnat efter det att våra första direktiv beslutats. beslutades tilläggsdirektiv med bl.a. ändrad in- riktning av uppdraget vad gäller metoden för översynen och inrikt- Vårt uppdrag och arbete ningen på vad arbetet ska utmynna i. Direktiven till utredningen (dir. 2011:86, 2014:31 och 2014:147) finns intagna i betänkandet som bilagorna 1–3. Vårt arbete inleddes med att behandla delfrågan om en eventuell ändring av begreppet allmän handling i tryckfrihetsförordningen. Den närmare frågeställningen gällde om det fanns anledning att inskränka handlingsoffentligheten såvitt avsåg överskottsinforma- tion vid direktåtkomst. Med överskottsinformation avsågs i det sam- manhanget externt tillgängliga personuppgifter som en mottagande myndighet vid direktåtkomst till en annan myndighets elektroniska informationssamling tekniskt sett har tillgång till men som den mottagande myndigheten antingen inte får ta del av i ett enskilt fall, därför att vissa rättsliga förutsättningar inte föreligger, eller får men faktiskt ännu inte har tagit del av i sin verksamhet. Frågeställ- ningen bottnar i det förhållandet att det för frågan om vilka elek- troniska upptagningar som en myndighet förvarar, och därmed vad som konstituerar en allmän handling, inte spelar någon roll om en mottagande myndighet i ett enskilt fall faktiskt har utnyttjat möj- ligheten att söka fram en upptagning eller inte. Redan det förhåll- andet att det går att göra detta räcker för att upptagningen ska bli en allmän handling hos den mottagande myndigheten. Överskotts- information uppstår därför att det när direktåtkomst etableras inte går att på förhand avgöra exakt vilka specifika uppgifter i den utläm- nande myndighetens informationssamlingar som en mottagande myndighet i konkreta fall kommer att behöva ta del av. Vår samlade bedömning blev att en grundlagsändring med sikte enbart på överskottsinformation vid direktåtkomst inte borde före- slås. Däremot förordade vi – med anledning av ytterligare problem- ställningar som vi stötte på vid sidan om den grundlagsfråga som omfattades av vårt uppdrag – en allmän översyn av begreppet in- kommen allmän handling i den elektroniska miljön. Mot bakgrund av att vi inte föreslog en grundlagsändring be- handlade vi i delbetänkandet frågan om sekretess för överskotts- information hos mottagande myndigheter. Vi fann därvid att bestäm- Vårt uppdrag och arbete melsen om överföring av sekretess vid direktåtkomst enligt 11 kap. 4 § OSL i och för sig är ändamålsenligt utformad men att kon- struktionen för konkurrensbestämmelsen i 11 kap. 8 § OSL – om att s.k. primär sekretess hos en mottagande myndighet ska tillämpas i stället för en överförd sekretess – medför en risk för att över- skottsinformation får ett försämrat sekretesskydd hos mottagande myndigheter. Vi fann också att en sådan försämring inte är moti- verad utifrån något insynsintresse. Vi föreslog därför en justering av 11 kap. 8 § OSL av innebörd att en från den utlämnande myn- digheten överförd sekretessreglering ska tillämpas på överskotts- information om den mottagande myndigheten enligt lag eller för- ordning inte får behandla informationen och en tillämpning av offent- lighets- och sekretesslagens huvudregel om konkurrens mellan sekre- tessbestämmelser i 7 kap. 3 § OSL leder till att uppgifterna i fråga är sekretessbelagda enligt den överförda sekretessregleringen. Arbetet med grundlagsfrågan om överskottsinformation vid direktåtkomst avslutades genom att vi lämnade ovan nämnda delbetänkande. Under denna del av vårt arbete fanns det en parlamentarisk referensgrupp knuten till utredningen. Arbetets bedrivande efter delbetänkandet Utredningens fortsatta arbete har bedrivits på sedvanligt sätt med regelbundna sammanträden med expertgruppen. Första sammanträdet i det återstående uppdraget hölls . Därefter har ytterligare tio sammanträden hållits. Även informella kontakter inom utredningen har förekommit. Under den aktuella utredningstiden har utredaren samrått med E-delegationen (N Fi 2009:01), (N 2012:01) och (S 2013:02). Samråd har vidare ägt rum med de myndigheter som anges i direktiven. Vi har också sam- manträffat med samtliga justitieombudsmän, och För- säkringskassan. Sekretariatet har besökt eller haft andra särskilda möten med E- hälsomyndigheten, Justitiekanslern, , Myndigheten för samhällsskydd och beredskap, , Kommuner och Landsting, samt Transportstyrelsen. Sekretariatet har också träffat företrädare för näringslivet. Nämnda möten har i allt väsentligt syftat Vårt uppdrag och arbete till att inhämta information och synpunkter i frågor som rör utred- ningsuppdraget. För att få ytterligare underlag i vårt översynsarbete har vi in- bjudit myndigheter, enskilda företag och andra intressenter att lämna synpunkter och bidra med erfarenheter utifrån ett antal frågeställ- ningar rörande registerförfattningar. Vi fick därvid bistånd av E-dele- gationen och Kommuner och Landsting med att sprida frågorna till möjliga intressenter. Svar inkom från såväl statliga som kommunala myndigheter. Även ett antal näringsidkare besvarade frågeställningarna, såsom Bisnode och Upplysningscentralen (UC) vilka båda bedriver verksamhet med s.k. vidareutnyttjande av offent- lig information. Datainspektionen och Myndigheten för samhällsskydd och bered- skap har bistått utredningen med underlag angående frågor om in- formationssäkerhet och skydd för personuppgifter. Härutöver har sekretariatet haft samråd eller annan dialog med ett flertal andra utredningar, bl.a. Utredningen om rätt information i vård och omsorg (S 2011:13), (Fi 2011:05), Utredningen om personuppgiftsbehandlingen vid ISF (S 2013:13), (S 2013:17), (Ju 2014:09) och Utlänningsdatautredning (Ju 2014:11). Utredare och sekretariat har deltagit i olika konferenser och semi- narier med anknytning till utredningsuppdraget. Arbetet har bedrivits med aktivt deltagande av och i samråd med experterna. Med hänsyn till detta redovisas arbetet i denna del av vårt uppdrag med användande av vi-form, även om det inte funnits full- ständig samsyn i alla delar. Framställningen i det följande inleds med en allmän bakgrund där vi i kapitel 3 redogör kort för bl.a. it-politik, gällande rätt och kom- missionens förslag till uppgiftsskyddsförordning. I kapitel 4 beskrivs översiktligt registerlagstiftningsområdet och vår inventering av detta. I kapitel 5 redovisas våra överväganden angående delfrågan om det finns skäl att behålla den rättsliga åtskillnaden mellan olika former av elektroniskt utlämnande. I kapitel 6 behandlas delfrågan om det finns anledning att justera 6 kap. 5 § OSL med anledning av före- Vårt uppdrag och arbete komsten av användningsbegränsningar i internationella avtal m.m. I återstående kapitel, kapitel 7–21, redovisas våra överväganden och förslag i fråga om en generell, enhetlig och samlad reglering för myndigheters behandling av personuppgifter. I viss utsträckning förekommer en del upprepningar vad gäller redovisning av gällande rätt m.m. Avsikten med detta är att under- lätta separat läsning av varje kapitel utan alltför omfattande hänvis- ningar till tidigare kapitel i betänkandet. Det kan observeras att vi i det följande omväxlande använder termerna persondataskyddsreglering och dataskyddsreglering som benämning på det rättsområde med särskild inriktning på att reg- lera behandling av personuppgifter som är helt eller delvis auto- matiserad eller som ingår i register. Någon betydelseskill- nad mellan termerna är inte avsedd. Det kan också noteras att vi i det följande använder benäm- ningen ”brottsbekämpande verksamhet” i en tämligen vidsträckt bemärkelse. Vad som avses är sådan verksamhet som inte omfattas av kommissionens förslag till uppgiftsskyddsförordning utan av ett förslag till och rådets direktiv om skydd för enskilda personer med avseende på behöriga myndigheters behand- ling av personuppgifter för att förebygga, utreda, avslöja eller lag- föra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter. 3.1.1Informationssamhället och den offentliga förvaltningen Elektronisk informationshantering infördes förhållandevis tidigt i den svenska offentliga förvaltningen. Välfärdsstatens socialförsäk- ringsprogram förutsatte bl.a. en automatiserad registerföring av hög standard. Myndigheterna byggde därför tidigt upp olika typer av dataregister som blev centrala i verksamheten. Utveckling av s.k. e- förvaltning blev också tidigt ett viktigt medel för att genomföra besparingar och effektiviseringar i förvaltningen. När internet introducerades hade myndigheterna redan en relativt hög teknikmognad och e-tjänster blev ett sätt att underlätta kon- takten utåt. Elektroniskt informationsutbyte kunde vidare ersätta andra metoder att utbyta information mellan myndigheter (se bl.a. SOU 2009:86 s. 33 f.). Vid tiden för konstaterade regeringen att sam- hället stod mitt uppe i en samhällsomvandling och man talade om ”den digitala revolutionen” eller ”IT-revolutionen” (prop. 1999/2000:86 s. 13). Regeringen konstaterade vidare att informa- tionstekniken snart skulle komma att finnas representerad överallt i samhället och ”informationssamhället” blev ett begrepp. Som it- politiskt mål sattes att som första land skulle bli ett infor- mationssamhälle för alla. Vidare fastslogs strategin för 24-timmars- myndigheter som skulle vara elektroniskt tillgängliga dygnet runt för informationsinhämtande, ärendehantering eller annan service (a. prop. s. 24 och s. 100 f.). Syftet var att myndigheterna skulle öka tillgängligheten av tjänsteutbudet. Strategin byggde på en redan framgångsrik tradition där myndigheterna själva bestämde hur it bäst skulle användas för att utveckla verksamheten. Flertalet myndigheter har numera webbaserade e-tjänster som vänder sig till medborgare och företag.