sou · H3B373 · 2015-08-03 00:00:00 — En ny lag om behandling av personuppgifter… begränsas till personuppgifter som är nödvändiga för att en tjänste- man ska fullgöra sina arbetsuppgifter. Vad som talar för att precisera vilka uppgifter som Polismyndig- heten, Säkerhetspolisen och utlandsmyndigheterna får ha direktåt- komst till är att en sådan reglering bör minska risken för att myndig- heternas direktåtkomst blir alltför vid. Utredningens undersökningar visar dock att myndigheternas direktåtkomst i praktiken har be- gränsats till uppgifter som myndigheterna har behov av i sin verk- samhet. Det är även svårt att säkert förutse vilka slags uppgifter som och Säkerhetspolisen kan ha behov av. Utredningen har mot denna bakgrund kommit till slutsatsen att , Säkerhetspolisens och utlandsmyndigheternas direktåtkomst till personuppgifter bör utformas på i princip samma sätt som , se 6 § nuvarande utlänningsdata- förordning. Inom ramen härför ligger även att får medges direktåtkomst till fingeravtrycks- register för att biträda verket med att registrera och kontrollera fingeravtryck mot detta register, se närmare härom i avsnitt 7.10. Sammanfattningsvis bör alltså , Säkerhetspolisen, utlandsmyndigheterna, , och på motsvarande sätt som gäller få ha direkt- åtkomst till vissa uppgifter som behandlar i sin verk- samhet. Direktåtkomst får dock inte omfatta avskilda uppgifter, se avsnitt 7.16.2. Myndigheterna får inte använda direktåtkomsten för andra ändamål än de som bestämmelserna tillåter myndigheterna att ha direktåtkomst för. Det innebär till exempel att Polismyndig- heten i brottsutredande syfte inte får använda direktåtkomsten till uppgifter för att kontrollera en brottsmisstänkt utlänning. kan man tänka sig att insats har dubbla syften. Om exempelvis stoppar en bil med utlänningar, kan omständigheterna vara sådana att det finnas anledning att kontrollera såväl om utlänningarna har rätt att uppe- hålla sig i landet som om bilen är stulen. När det gäller den först- nämnda frågan kan utnyttja sin direktåtkomst till uppgifter. Den personuppgiftsbehandling som måste utföras därför att bilen kan vara stulen måste dock göras med stöd av polisdatalagen. får vägledning i frågor av berört slag i den s.k. Wilmaöverenskommelsen, se avsnitt 7.15.1. En ny lag om behandling av personuppgifter… En ytterligare fråga som är av betydelse för direktåtkomsten är, som sagts ovan, vad sekretessregleringen innebär för en sådan direkt- åtkomst. Frågan är viktig, eftersom handlingar som är åtkomliga genom direktåtkomst utgör allmänna handlingar även hos den mottagande myndigheten och det gäller alla de handlingar som görs tillgängliga genom direktåtkomsten, även de som utgör överskotts- information. Till en början kan konstateras att sekretess kan gälla hos för de uppgifter som kommer att vara åtkom- liga för de myndigheter som får direktåtkomst. De sekretessbestäm- melser som i första hand kan vara aktuella hos verket är följande. Enligt 21 kap. 5 § första stycket OSL gäller sekretess för uppgift som rör en utlänning, om det kan antas att röjande av uppgiften skulle medföra fara för att någon utsätts för övergrepp eller lider annat allvarligt men som föranleds av förhållandet mellan utlänningen och en utländsk stat eller myndighet eller organisation av utlänningar. Sekretessen gäller alltså med s.k. rakt skaderekvisit, dvs. presum- tionen är att uppgifterna är offentliga. Den gäller oavsett i vilket sammanhang uppgiften förekommer. Enligt 37 kap. 1 § första stycket OSL gäller sekretess i verk- samhet för kontroll över utlänningar och i ärende om svenskt med- borgarskap för uppgift om en enskilds personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Sekretessen gäller i detta fall med ett omvänt skaderekvisit och presumtionen är att uppgifterna inte är offentliga. Enligt 37 kap. 1 § andra stycket OSL gäller sekretess i verksamhet för kontroll över utlänningar också för uppgift i en anmälan eller utsaga av en enskild, om det kan antas att fara upp- kommer för att den som lämnat uppgiften eller någon närstående till denne utsätts för våld eller lider annat allvarligt men om upp- giften röjs. Sekretessen gäller här med rakt skaderekvisit. Med ”verksamhet för kontroll över utlänningar” avses ärenden om visering, uppehållstillstånd, arbetstillstånd, avvisning eller utvis- ning, men också kontroll- och verkställighetsåtgärder (se prop. 1979/80:2 del A s. 210). Beträffande beslut i ärenden gäller sekretessen i 37 kap 1 § första och andra styckena OSL endast för uppgifter i skälen, se 37 kap. 1 § tredje stycket OSL. Uppgift i ärende om arbetstillstånd för utlänning omfattas av sekretess även enligt 28 kap. 15 § första stycket OSL. En ny lag om behandling av personuppgifter… sekretess enligt 26 kap. 1 § OSL i ärenden om bistånd åt asylsökan- den och andra utlänningar. Bestämmelserna om sekretess hos kan innebära att uppgifter inte kan lämnas till de myndigheter som får direktåt- komst. För att uppgifter för vilka sekretess gäller ska kunna bli tillgängliga för dessa myndigheter krävs författningsstöd i någon sekretessbrytande regel, eftersom sekretess även gäller mellan myn- digheter, se 8 kap. 1 § OSL. Bestämmelser om direktåtkomst anses inte ha någon sekretessbrytande verkan, se exempelvis prop. 2004/05:164 s. 83. Regler om direktåtkomst brukar därför ofta kom- pletteras med sekretessbrytande bestämmelser som är utformade som regler om uppgiftsskyldighet, se 10 kap. 28 § OSL. Dessa formuleras ofta som en rätt för mottagande myndighet att ta del av uppgifter, se till exempel 2 kap. 16 § PDL och 4 § förordningen (2001:588) om behandling av uppgifter i beskattningsverksamhet. föreslår i sitt slutbetänkande, Myndighetsdatalag, att det i offentlighets- och sekretesslagen införs en generellt sekretessbrytande bestämmelse som innebär att före- skrifter i lag eller förordning om direktåtkomst för myndigheter i sig får en sekretessbrytande effekt. Därigenom skulle det inte längre behöva införas särskilda sekretessbrytande bestämmelser för att möjliggöra direktåtkomst, se SOU 2015:39 s. 407 f. När det gäller och finns en sekretessbrytande bestämmelse i 17 kap. 3 § UtlL. Enligt bestäm- melsen har och rätt att ta del av uppgifter om enskilda hos . Om det finns skäl för det, ska på eget initiativ lämna sådana uppgifter till och . I 7 kap. 15 a § UtlF specificeras vilka uppgifter som och har rätt att ta del av genom direktåtkomst. Enligt 16 a § förordningen om identitetskort för folkbokförda i ska på begäran av lämna de uppgifter som anges i 6 b § nuvarande utlänningsdataförordning och som behövs för handläggning av ansökan om identitetskort. I 7 kap. 15 b § UtlF finns också en bestämmelse som föreskriver att Migra- tionsverket på begäran av ska lämna ut vissa uppgifter, om de behövs för handläggning av ett ärende om folkbokföring. Denna reglering bör i sak vara kvar. En ny lag om behandling av personuppgifter… kommer det alltså att finnas sekretessbrytande bestäm- melser. När det gäller , Säkerhetspolisens och utlands- myndigheternas direktåtkomst enligt 6 § gällande utlänningsdata- förordning saknas en korresponderande bestämmelse om uppgifts- skyldighet för till nämnda myndigheter. Utläm- nandet genom direktåtkomst av sekretessbelagda personuppgifter sker i stället med stöd av den sekretessbrytande generalklausulen i 10 kap. 27 § OSL. Generalklausulen föreskriver sekretessgenombrott om det vid en bedömning framstår som uppenbart att intresset av att uppgiften lämnas ut har företräde framför det intresse som sekre- tessen ska skydda. Sekretessbelagda uppgifter hos omfattas, som sagts ovan, normalt av sekretess enligt 37 kap. 1 § OSL. Bestämmelsen innehåller ett omvänt skaderekvisit, vilket innebär en presumtion för att uppgifterna omfattas av sekretess. Omfattande utlämnande av sekretessbelagda uppgifter bör enligt utredningens bedömning inte ske enbart med stöd av den sekretessbrytande generalklausulen. Enligt utredningens mening bör därför en sådan sekretessbrytande föreskrift om uppgiftsskyldighet som avses i 10 kap. 28 § OSL införas. Bestämmelsen om uppgiftsskyldighet bör tas in i den författning som reglerar verksamhet, dvs. Eftersom utredningen inte föreslår någon precisering av vilka uppgifter som , Säkerhets- polisens och utlandsmyndigheternas direktåtkomst ska avse, saknas det anledning att i den sekretessbrytande bestämmelsen ge rege- ringen möjlighet att meddela ytterligare föreskrifter om vilka upp- gifter som kan lämnas ut. En ytterligare förutsättning för att ska kunna lämna ut uppgifter genom direktåtkomst är att uppgifterna omfattas av ett tillfredsställande sekretesskydd även hos de mottagande myn- digheterna. Med tanke på den starka sekretess som gäller hos är det viktigt att sekretesskyddet för uppgifterna inte urholkas hos de mottagande myndigheterna. Bestämmelsen om utlänningssekretess i 21 kap. 5 § OSL gäller hos alla myndigheter för uppgifter som rör utlänningar, således även hos de mottagande myndigheterna. Sekretessen enligt 37 kap. 1 § OSL gäller generellt i verksamhet för kontroll av utlänningar och i ärenden om svenskt medborgar- skap. Bestämmelsen är tillämplig på en stor del av de uppgifter som En ny lag om behandling av personuppgifter… , , Säkerhetspolisen och utlands- myndigheterna behandlar när de handlägger utlännings- och med- borgarskapsärenden eller annars uppfyller åligganden enligt utlän- ningslagen och medborgarskapslagen. Sekretessen gäller enligt fjärde stycket samma bestämmelse också hos myndighet som lämnar biträde i ärende eller verksamhet som avses där. Sekretessen gäller således även när en utlandsmyndighet medverkar i verksamhet för kontroll över utlänningar och i ärenden om svenskt medborgarskap genom att biträda eller med utredning. Sammanfattningsvis får sekretesskyddet hos , Säkerhetspolisen och utlandsmyndigheterna anses vara tillräckligt. För och del är det dock inte fråga om verksamhet för kontroll av utlänningar (se prop. 2007/08:160 s.93 f.) Utöver utlänningssekretess enligt 21 kap. 5 § OSL omfattas de uppgifter som kan medge direkt- åtkomst till efter utlämnandet till och Pensions- myndigheten av sekretess enligt 28 kap. 1 § OSL. Sekretess gäller enligt den bestämmelsen hos , Pensionsmyndig- heten och domstol för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs och uppgiften förekommer i ärende enligt lagstiftningen om allmän försäkring, allmän pension, arbetsskadeförsäkring, handikappersätt- ning och vårdbidrag, statligt tandvårdsstöd, läkarvårdsersättning, ersättning för fysioterapi, jämställdhetsbonus, annan ekonomisk förmån för enskild eller särskild sjukförsäkringsavgift. Enligt tredje stycket samma bestämmelse gäller sekretess hos och även i verksamhet som avser registrering av enskilda för uppgift om en enskilds personliga förhållanden som myndigheten fått från , om det kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs. För uppgift hos gäller, utöver sekretess enligt 21 kap. 5 § OSL, sekretess enligt 22 kap. 1 § OSL, den s.k. folkbokförings- sekretessen. Bestämmelsen föreskriver sekretess för uppgift om en enskilds personliga förhållanden, om det av särskild anledning kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs och uppgiften förekommer i verksamhet som avser bland annat folkbokföringen eller annan liknande registrering En ny lag om behandling av personuppgifter… av befolkningen och, i den utsträckning regeringen meddelar före- skrifter om det, i annan verksamhet som avser registrering av en betydande del av befolkningen. Enligt samma paragraf gäller sekretess i sådan verksamhet för uppgift i form av fotografisk bild av den enskilde, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Med stöd av bestämmelsen föreskrivs vidare i 6 § offentlighets- och sekretess- förordningen (2009:641) att sekretess gäller ibland annat Skatte- verkets databas över identitetskort för folkbokförda i , för uppgift om enskilds personliga förhållanden, om det av särskild an- ledning kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs (p 1), och för uppgift i form av foto- grafisk bild av den enskilde, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men (p 2). Sekretessen för uppgift om enskilds personliga förhållan- den gäller alltså med ett rakt kvalificerat skaderekvisit, medan det för fotografi gäller ett starkare sekretesskydd i form av ett omvänt skaderekvisit. Utöver ovan nämnda sekretessbestämmelser som är direkt tillämp- liga hos de mottagande myndigheterna finns i 11 kap. 4 § OSL en särskild bestämmelse om överföring av sekretess vid direktåtkomst. I bestämmelsen anges att om en myndighet hos en annan myndig- het har elektronisk tillgång till en upptagning för automatiserad behandling och en uppgift i denna är sekretessreglerad, blir sekretess- bestämmelsen tillämplig även hos den mottagande myndigheten. Undantag gäller dock för uppgift som ingår i ett beslut hos den mottagande myndigheten. Av 11 kap. 8 § OSL följer emellertid att sekretessen inte överförs, om en sekretessbestämmelse till skydd för samma intresse redan är tillämplig på uppgifterna hos den mot- tagande myndigheten. Om den finns en sekretessbestämmelse som är direkt tillämplig hos den mottagande myndigheten, en s.k. primär sekretessbestämmelse, ska således den bestämmelsen tillämpas, oav- sett om den är svagare eller starkare än den överförda sekretessen. Bestämmelsen i 11 kap. 4 § OSL har dock betydelse för sekretesskyd- det för uppgifter som den mottagande myndigheten har teknisk tillgång till men som myndigheten inte för in i den verksamhet som omfattas av den primära sekretessen. Sådana uppgifter skulle annars bli offentliga hos den mottagande myndigheten trots att uppgifter- En ny lag om behandling av personuppgifter… na inte används i den mottagande myndighetens verksamhet och trots att de är sekretessbelagda hos den utlämnande myndigheten. Vid införandet av bestämmelserna om direktåtkomst för För- säkringskassan, och övervägdes sekretesskyddet för uppgifterna hos de mottagande myndigheterna. Bland annat gjordes en ändring av dåvarande sekretesslagen som finns i 28 kap. 1 § tredje stycket OSL (se prop. 2007/08:160 s. 93 f.) Behovet av ändringar med anledning av direktåtkomst har övervägts i promemoria Vissa id-korts- frågor, , dnr Fi2010/2345. Där gjordes bedömningen att några ändringar inte behövdes i sekretesslagstiftningen med anled- ning av direktåtkomst. Utredningen anser sammanfattningsvis att det behövs en särskilt sekretessbrytande föreskrift som tar sikte på , Säkerhetspolisens och utlandsmyndigheternas direktåtkomst till uppgifter. Utredningen menar vidare att sekre- tesskyddet hos de mottagande myndigheterna är tillfredsställande. Några ytterligare föreskrifter om sekretess behövs därför inte. En särskild fråga är om regleringen i lagen om när direktåtkomst får förekomma bör vara uttömmande, dvs. om bör vara förhindrat att medge direktåtkomst i andra fall än som lag- en tillåter. Med tanke på de speciella integritetsrisker som är för- knippade med direktåtkomst anser utredningen att regleringen i lagen bör vara uttömmande. Inte heller bör regeringen kunna före- skriva att får medge direktåtkomst. Däremot bör regeringen eller den myndighet som regeringen bestämmer kunna meddela närmare föreskrifter om omfattningen av den direkt- åtkomst som medges i lagen samt om behörighet och säkerhet. För att undvika missförstånd bör det av lagen klart framgå att Migra- tionsverket inte kan medge direktåtkomst i andra fall än de som tillåts i lagen (se SOU 2015:39 s. 393 f.). I kapitel 9 behandlar utredningen frågan om direktåtkomst till vissa uppgifter i beskattningsdatabas, utsöknings- och indrivningsdatabas samt och socialförsäkrings- databas för handläggning för uppehållstillstånd för arbete och arbets- tillstånd. En ny lag om behandling av personuppgifter… 7.16Bevarande och gallring m.m. 7.16.1Allmänt om bevarande och gallring Enligt utredningens direktiv ska utredningen uppmärksamma frågor om bevarande och gallring samt behandling av personuppgifter för forsknings- och statistikändamål. Varje svensk medborgare har enligt 2 kap. 1 § TF en grundlags- fäst rätt att ta del av allmänna handlingar. En förutsättning för att denna handlingsoffentlighet ska kunna utnyttjas är att handlingar bevaras hos myndigheterna. Redan bestämmelserna i tryckfrihets- förordningen kan således sägas medföra en skyldighet för myndig- heterna att bevara och ordna allmänna handlingar så att det går att hitta bland dem och att vårda dem så att de inte skingras och förstörs. Enligt 2 kap. 18 § TF ska bestämmelser om hur allmänna handlingar ska bevaras och om gallring av sådana handlingar med- delas i lag. Bestämmelser om myndigheternas skyldighet att bevara allmänna handlingar och på vilket sätt det ska ske finns i arkivlagen, arkivförordningen (1991:446) och föreskrifter (RA- FS och RA-MS). I dessa bestämmelser anges bland annat hur en handling ska framställas, förvaras och skyddas. Där finns också be- stämmelser om gallring och avhändande av allmänna handlingar. En myndighets arkiv bildas av allmänna handlingar från myndig- hetens verksamhet och sådana handlingar som avses i 2 kap. 9 § TF, (dvs. exempelvis minnesanteckningar och utkast) som myndigheten beslutar ska tas om hand för arkivering. För vissa elektroniska handlingar gäller en särskild regel. Upptag- ningar för automatisk databehandling som är tillgängliga för flera myndigheter så att de där utgör allmänna handlingar ska bilda arkiv endast hos en av dessa myndigheter, i första hand den myndighet som svarar för huvuddelen av upptagningen. Om en eller flera stat- liga myndigheter svarar för ungefär lika stora delar av upptagningen, får meddela föreskrifter om hos vilken myndighet upp- tagningen ska bilda arkiv (4 § arkivförordningen). Huvudprincipen enligt arkivlagstiftningen är att allmänna hand- lingar ska bevaras. Det kommer till uttryck i 3 § arkivlagen, enligt vilken myndigheternas arkiv som huvudregel ska bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvalt- ningen samt forskningens behov. Det följer dock av 10 § arkivlagen En ny lag om behandling av personuppgifter… att allmänna handlingar under vissa förutsättningar får gallras. Med gallring avses att en handling förstörs på ett eller annat sätt. Vanliga pappershandlingar förstörs fysiskt. För elektroniska handlingar inne- bär gallring vanligtvis att viss information raderas från databäraren. Med gallring menas inte bara att rent faktiskt förstöra en allmän handling eller uppgifter i en sådan handling. Gallring innebär också att vidta åtgärder med en allmän handling som medför förlust av betydelsebärande data, förlust av möjliga sammanställningar, förlust av sökmöjligheter eller förlust av möjligheter att bedöma hand- lingens autenticitet (RA-FS 1997:4 ändrad genom RA-FS 2008:4). Det kan till exempel innebära gallring att skriva ut en elektronisk handling i pappersform och därefter förstöra den elektroniska hand- lingen. Även om informationen finns kvar på papper kan möjlig- heten att få fram informationen ha försämrats. Vid gallringen ska det beaktas att arkiven utgör en del av kultur- arvet och att det arkivmaterial som återstår ska kunna tillgodose rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen och forskningens behov. När det gäller gallring är arkivlagens bestämmelser subsidiära i förhållande till annan lagstiftning. Om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller förordning, har de bestämmelserna företräde (10 § tredje stycket arkivlagen). Av 14 § arkivförordningen framgår att statliga myndigheter får gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av , om inte särskilda gallringsföreskrifter finns i lag eller förordning. Om det i författningar som rör myndigheters behandling av personuppgifter inte finns några särskilda regler om gallring, ska således arkivlagens bestämmelser om bevarande som huvudprincip tillämpas. Grundprincipen i arkivlagstiftningen är således att allmänna hand- lingar ska bevaras. Några särskilda hänsyn till vilken risk bevarandet kan medföra ur integritetshänseende ska inte tas. Bestämmelser om gallring föranleds i stället vanligtvis av kostnads- och utrymmes- skäl. I personuppgiftslagen är utgångspunkten en annan. Enligt 9 § första stycket i PUL får en personuppgift inte bevaras längre än nödvändigt med hänsyn till ändamålet för vilket personuppgifterna samlades in. Tryckfrihetsförordningens och arkivlagens bestämmel- ser har dock företräde framför personuppgiftslagens bestämmelser. En ny lag om behandling av personuppgifter… Det följer av 8 § första stycket PUL att bestämmelserna i lagen inte ska tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet att lämna ut personuppgifter enligt 2 kap. TF. I para- grafens andra stycke anges att bestämmelserna i personuppgifts- lagen inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Personuppgiftslagens bestämmelser medför således inte att person- uppgifter som är allmänna handlingar ska utplånas eller gallras. För personuppgifter som inte är allmänna handlingar gäller emellertid regeln i 9 § första stycket PUL, vilket innebär att personuppgiften inte får bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. När stora mängder uppgifter om enskilda personer samlas och bevaras hos myndigheter uppstår integritetsrisker, särskilt som dagens teknik tillåter att sammanställningar av information görs på ett enkelt sätt. I de författningar som reglerar myndigheternas behand- ling av personuppgifter finns därför ofta särskilda bestämmelser om gallring. Där är principen vanligtvis den motsatta i förhållande till arkivlagen, dvs. att materialet ska förstöras , om det inte finns direkta föreskrifter om bevarande i registerförfatt- ningen eller i andra bestämmelser som meddelats med stöd av denna. Denna omvända princip har i förarbetena till arkivlagen ansetts motiverad av integritetsskäl (se prop. 1989/90:72 s. 50 f.). Exempel på sådana bestämmelser finns i polisdatalagen och kustbevaknings- datalagen. Där anges att personuppgifter inte får bevaras än vad som behövs för något eller några av de i lagen angivna ändamålen. Regeringen eller den myndighet som regeringen bestämmer (dvs. ) ges möjlighet att meddela föreskrifter om att uppgifter, trots bestämmelsen om gallring, får bevaras för historiska, statistiska eller vetenskapliga ändamål. I kapitel 8 föreslår utredningen bestämmelser om gallring av personuppgifter som behandlar automatiserat där- för att ett offentligt biträde, en tolk, en översättare eller en språk- analytiker kan vara olämplig för framtida uppdrag. Vad gäller frågan om gallring av känsliga personuppgifter som har behandlats för ändamålen tillsyn, kontroll, uppföljning, planering av verksamheten, framställning av statistik eller testverksamhet, se avsnitt 7.11.4. En ny lag om behandling av personuppgifter… Utredningens förslag: Personuppgifter i verksamhet enligt utlän- nings- och medborgarskapslagstiftningen ska, med undantag för nedan angivna fall, bevaras eller gallras i enlighet med arkivlagens bestämmelser. Någon särskild bestämmelse om detta behövs inte i utlänningsdatalagen.