sou · H3B339 · 2015-04-08 00:00:00 — Den tekniska utvecklingen har även lett till att det numera är möjligt att inom den mottagande myndigheten införa tekniska spärrar mellan teknikavdelningen och handläggarna som t.ex. medför att en handläggare inte bara är rättsligt utan även tek- niskt förhindrad att söka på andra personer än sådana som är aktu- ella hos myndigheten. Integritetsskyddande bestämmelser i den mottagande myndighetens registerförfattning och i personuppgifts- lagen om säkerhet m.m. samt bestämmelsen om överföring av sekretess i 11 kap. 4 § OSL (se närmare nedan) utgör också ett integritetsskydd. På grund av att sekretessbrytande regler som införs med anled- ning av direktåtkomst har en så vid utformning har regeringen anfört att en mottagande myndighet i sin arbetsordning bör ange vilka personer som för vilka syften har behörighet att för myndig- hetens räkning ta del av de uppgifter som anges i de sekretess- brytande bestämmelserna. Sådana föreskrifter fyller beträffande ut- lämnande via telefon eller brev samma integritetsskyddande funk- tion som ovan beskrivna bestämmelser om direktåtkomst gör när det gäller elektroniskt inhämtande av information (prop. 2007/08:160 s. 72). I ett senare lagstiftningsärende har regeringen anfört att integritetsskyddet blir ännu starkare om det på lag- eller förord- ningsnivå i stället tas in två olika typer av sekretessbrytande bestäm- melser, dels en sekretessbrytande bestämmelse som tar sikte på uppgiftslämnande i enskilda fall och som kan användas vid utläm- nande av uppgifter t.ex. via telefon eller mejl, dels en vidare sekre- tessbrytande bestämmelse som bara gäller vid direktåtkomst. Den förra typen av sekretessbrytande regel kan behövas t.ex. om det på grund av tekniska problem tillfälligt inte går att använda sig av direktåtkomst (prop. 2010/11:78 s. 21). Förhållandet mellan direktåtkomst, begreppet allmän handling och sekretessbestämmelser Eftersom huvudregeln är att s.k. överskottsinformation som blir tekniskt tillgänglig för den mottagande myndigheten i samband med direktåtkomst blir allmän handling hos den mottagande myn- digheten, kan allmänheten begära att få ta del av uppgifter hos den mottagande myndigheten även i situationer när den mottagande myndigheten av integritetsskäl bör vara förhindrad att ens titta på uppgifterna i fråga. En sådan situation förutsågs i samband med antagandet av patientdatalagen. Vid sammanhållen journalföring mellan flera olika vårdgivare får en vårdgivare enligt patientdata- lagen inte ta del av uppgifter som andra vårdgivare lagt in i sys- temet om inte patienten samtycker till det. Eftersom uppgifter som är tekniskt tillgängliga hos en vårdgivare som huvudregel är en allmän handling där kan dock enskilda begära att få ut dem där, oaktat att vårdgivaren inte har rätt att titta på uppgifterna enligt patientdatalagen. Med anledning av att en sekretessprövning nor- malt kräver att befattningshavare granskar den handling som begärs ut föreslogs i lagstiftningsärendet en ny sekretessbestämmelse av innebörd att det gäller absolut sekretess för uppgifter som en vård- givare har teknisk tillgång till, men som vårdgivaren inte har rätt att titta på enligt patientdatalagen. Denna konstruktion innebär att hälso- och sjukvårdspersonalen vid begäran om utfående av sådana uppgifter inte behöver ta del av de begärda uppgifterna för att kunna avgöra sekretessfrågan (25 kap. 2 § OSL och prop. 2007/08:126 s. 126 f.). Eftersom det inte alltid finns sekretessbestämmelser som hos en mottagande myndighet är tillämpliga på sådan överskottsinforma- tion som myndigheten får teknisk tillgång till vid direktåtkomst har det, för det fall uppgifterna omfattas av sekretess hos den ut- lämnande myndigheten, införts en bestämmelse om överföring av sekretess vid direktåtkomst (11 kap. 4 § OSL, prop. 2007/08:160 s. 72 f.). Sistnämnda bestämmelse kompletteras av en undantags- bestämmelse i 11 kap. 8 § OSL. Undantagsbestämmelsen stadgar att sekretess som är direkt tillämplig hos den mottagande myndig- heten, s.k. primär sekretess, har företräde framför överförd sekre- tess och det oavsett om den primära sekretessen är starkare eller svagare än den överförda sekretessen. Även uttryckliga undantag från den primära sekretessbestämmelsens tillämpningsområde har företräde framför den överförda sekretessen. Med hänsyn till denna undantagsbestämmelse gjordes i propositionen bedömningen att bestämmelsen om överföring av sekretess vid direktåtkomst inte rubbade den grundläggande principen i sekretesslagstiftningen att sekretessbehovet alltid ska vägas mot insynsintresset samt att denna avvägning kan utfalla på skilda sätt hos olika myndigheter och inom olika områden (prop. 2007/08:160 s. 34 och 75 f.). Denna princip innebär således att en och samma uppgift kan vara hemlig hos den utlämnande myndigheten och offentlig hos den mottagande myn- digheten. Om uppgifterna har ett svagare sekretesskydd hos den mottag- ande myndigheten än hos den utlämnande myndigheten kan dock undantagsregeln i 11 kap. 8 § OSL, beroende på hur sekretesskyddet hos den mottagande myndigheten är konstruerat, i vissa fall med- föra att stora delar av den utlämnande myndighetens databas får ett mycket svagare sekretesskydd hos den mottagande myndigheten, trots att detta svagare skydd är motiverat bara beträffande de upp- gifter som faktiskt används i den mottagande myndighetens verk- samhet. Detta är inte lämpligt från integritetssynpunkt. I en sådan situation måste ytterligare överväganden göras för att åstadkomma ett skydd för sådan överskottsinformation som i och för sig är tekniskt tillgänglig för den mottagande myndigheten men som denna inte använder i sin verksamhet (prop. 2007/08:160 s. 95). Elektroniskt utlämnande av allmänna handlingar till allmänheten Som nämns tidigare följer av det s.k. utskriftsundantaget i tryck- frihetsförordningen att en myndighet inte är skyldig att i större utsträckning än vad som följer av lag lämna ut en upptagning för automatiserad behandling i annan form än utskrift (2 kap. 13 § TF). Bestämmelsen syftar till att minimera riskerna för otillbörliga inte- gritetsintrång. Av förordningen (2003:234) om tiden för tillhanda- hållande av domar och beslut, m.m. framgår att en handling får skickas med telefax eller elektronisk post eller på annat sätt till- handahållas i elektronisk form, om det är lämpligt (10 §). fick i uppdrag att överväga om det i dåvarande sekretesslagen (1980:100) eller i annan lag bör införas en bestämmelse som medför en generell skyldighet för myndigheter att lämna ut elektroniskt lagrade allmänna handlingar i elektronisk form. I betänkandet Allmänna handlingar i elektronisk form (SOU 2010:4) anförde kommittén att en utgångspunkt för kommitténs överväganden är att det långsiktiga målet bör vara att myndig- heterna bör ha en i lag reglerad skyldighet att – i den mån det inte finns särskilda förbud mot det i lag eller förordning – lämna ut all- männa handlingar i elektronisk form om sökanden så önskar. Kom- mittén ansåg dock att en sådan skyldighet inte kan införas förrän en grundlig genomgång och bearbetning har genomförts av samt- liga registerförfattningar (s. 306 f.). Bör definitionen av begreppet ”allmän handling” ändras? Som framgår ovan innebär den nuvarande regleringen i tryckfri- hetsförordningen att s.k. överskottsinformation som blir tekniskt tillgänglig för den mottagande myndigheten i samband med direkt- åtkomst som huvudregel blir allmän handling hos den myndig- heten. Frågan är om de skillnader som finns mellan den utlämnande myndighetens och den mottagande myndighetens hantering av de berörda uppgifterna gör att det finns skäl att ändra denna ordning. Skälet till att enskilda har rätt att ta del av potentiella allmänna handlingar är att det anses följa av den s.k. likställighetsprincipen att enskilda bör ha samma möjligheter som aktuell myndighet att ta del av sammanställningar av uppgifter ur upptagningar för auto- matiserad behandling (prop. 1975/76:160 s. 90). Begränsningsregeln i 2 kap. 3 § tredje stycket TF utgör således ett uttryck för likställig- hetsprincipen. När en myndighet har samlat in personuppgifter för särskilda, uttryckligt angivna och berättigade ändamål enligt personuppgifts- lagen och tillämplig registerförfattning, saknar frågan om för vilka ändamål myndigheten sedan får behandla uppgifterna relevans för enskildas rätt att begära ut sammanställningar av uppgifterna. När en annan myndighet därefter ges direktåtkomst till vissa av dessa uppgifter, måste den mottagande myndigheten, på det sätt som har beskrivits ovan, ofta rent tekniskt få tillgång till fler uppgifter än vad rätten till direktåtkomst avser. Uppgifter som genom direkt- åtkomst har överförts till den mottagande myndigheten i ett enskilt fall, t.ex. i ett ärende, anses insamlade hos den mottagande myn- digheten enligt personuppgiftslagen och tillämplig registerförfatt- ning. Överskottsinformation som den mottagande myndigheten rent tekniskt har tillgång till i samband med direktåtkomst, dvs. sådana uppgifter som den mottagande myndigheten vid det aktuella tillfället inte har rätt att behandla enligt den tillämpliga register- författningen eftersom myndigheten inte har några ärenden rörande dessa personer, anses däremot inte insamlad i personuppgiftslagens mening hos den mottagande myndigheten. Detsamma gäller upp- gifter som visserligen avser personer som är aktuella i ärenden hos myndigheten, men där uppgifterna ännu inte faktiskt har överförts till verksamheten. Eftersom likställighetsprincipen utgör skälet för enskildas rätt att ta del av potentiella allmänna handlingar, kan det ifrågasättas om uppgifter som den mottagande myndigheten vid ett givet tillfälle inte har rätt att ta del av och som inte heller kan anses insamlade hos den myndigheten enligt personuppgiftslagen och tillämplig registerförfattning ska anses förvarade hos den myndig- heten och därmed utgöra inkomna allmänna handlingar hos den myndigheten. Vidare medför i regel inte det faktum att s.k. över- skottsinformation utgör allmän handling hos den mottagande myn- digheten någon utökad insyn för allmänheten, eftersom överskotts- informationen enligt en komplicerad reglering i offentlighets- och sekretesslagen ofta omfattas av en minst lika stark sekretess hos den mottagande myndigheten som hos den utlämnande myndigheten. Mot den angivna bakgrunden bör utredaren överväga om över- skottsinformation i form av färdiga eller potentiella elektroniska handlingar som i samband med elektroniskt informationsutbyte enbart av tekniska skäl görs tillgänglig för den mottagande myndig- heten, även i fortsättningen bör anses utgöra allmänna handlingar hos den mottagande myndigheten eller om det finns skäl att ändra definitionen av begreppet allmän handling i detta avseende. För det fall utredaren finner att tryckfrihetsförordningen bör ändras ska utredaren lämna författningsförslag samt förslag till konse- kvensändringar i offentlighets- och sekretesslagen. Förhållandet mellan tystnadsplikten (3 kap. 1 § OSL) och de möjligheter som finns att införa tekniska spärrar, kryptering m.m. beträffande både personalen hos den mottagande myndighetens teknikavdelning och handläggarna hos den myndigheten ska särskilt beaktas. Om utredaren finner att grundlagen inte bör ändras ska utred- aren utvärdera om de bestämmelser som förts in i offentlighets- och sekretesslagen med anledning av den nuvarande ordningen (11 kap. 4 § och 25 kap. 2 § OSL) har en lämplig utformning eller om de bör justeras samt, om så anses vara fallet, lämna författnings- förslag. Bör åtskillnaden mellan olika former av elektroniskt utlämnande bibehållas? Uppgifter kan lämnas ut elektroniskt även på andra sätt än genom direktåtkomst. I registerförfattningarna brukar begreppet ”utläm- nande på medium för automatiserad behandling” användas. Med direktåtkomst menas vanligtvis att någon har direkt till- gång till någons databaser eller register och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i data- basen eller registret. Begreppet brukar också anses innefatta att den som är ansvarig för databasen eller registret inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst tillfälle tar del av (prop. 2004/05:164 s. 83). Från integritetssynpunkt har det därför ansetts angeläget att frågor om tillgång till uppgifter genom direkt- åtkomst särskilt regleras i registerlagstiftningen (prop. 2000/01:129 s. 74, prop. 2001/02:144 s. 35 f. och prop. 2005/06:52 s. 8). Med begreppet utlämnande på medium för automatiserad behand- ling avses i nuvarande författningar utlämnande av uppgifter i elek- tronisk form på en rad olika sätt, t.ex. genom användning av e-post, genom utlämnande på USB-minne eller genom automatiserad över- föring med tidsfördröjning från ett datorsystem till ett annat (prop. 2007/08:160 s. 58). Att utlämnande sker på medium för automati- serad behandling innebär i regel att informationen lämnas ut i elek- tronisk form på ett sådant sätt att mottagaren kan bearbeta infor- mationen (prop. 2002/03:135 s. 97 och prop. 2004/05:164 s. 82). Den tekniska utvecklingen har inneburit att det numera finns betydligt fler sätt att överföra uppgifter elektroniskt än tidigare och nya åtkomstmetoder tillkommer alltjämt. Detta har medfört att det uppfattas som oklart hur begreppen direktåtkomst och utlämnande på medium för automatiserad behandling ska tillämpas på modernare metoder för informationsutbyte. Gränsdragningsproblematiken illu- streras bl.a. i en rapport som har tagits fram av E-delegationens expertgrupp för rättsliga frågor (Vägledning för direktåtkomst och utlämnande på medium för automatiserad behandling). De aktuella begreppen används inte heller på ett enhetligt sätt i de olika registerförfattningarna och utöver nu nämnda begrepp förekommer andra begrepp, t.ex. ”elektronisk åtkomst” (SOU 2010:4 s. 364 f.). Mot den angivna bakgrunden ska utredaren analysera vilka effektivitetsvinster och integritetsrisker som är förknippade med olika former av elektroniskt informationsutbyte samt ta ställning till om det finns skäl att i registerförfattningarna upprätthålla en skillnad mellan direktåtkomst och andra former av elektroniskt utlämnande eller om denna åtskillnad bör utmönstras. Om utred- aren anser att en åtskillnad mellan olika former av elektroniskt ut- lämnande även i fortsättningen bör upprätthållas, ska denne lämna förslag på vilka begrepp som bör användas samt hur dessa bör definieras. En mall för registerförfattningar samt modellregleringar Flera utredningar, bl.a. informationsutbytesutredning, , E-delegationen och , har påtalat att registerförfattningarna behöver ses över. Den förstnämnda utredningen gjorde i betänkandet Utökat elek- troniskt informationsutbyte (SOU 2007:45) den övergripande be- dömningen att de befintliga registerförfattningarna bör ses över för att skapa förutsättningar för ett samordnat och enhetligt regelverk som främjar utvecklingen av elektronisk förvaltning och minskar riskerna för oacceptabla intrång i den personliga integriteten. redovisade i sitt betänkande Skyddet för den personliga integriteten (SOU 2007:22) den sammanfatt- ande analysen att skyddet för den personliga integriteten väsentligt skulle förbättras om registerförfattningarna utformades enhetligare, tydligare och mer i överensstämmelse med sekretesslagstiftningen. E-delegationen har anfört att de ca 200 register- författningarna saknar en sinsemellan enhetlig struktur och att olika begrepp används för att beskriva samma företeelse (t.ex. data- bas och register), som samma begrepp förekommer i olika betydelser (t.ex. direktåtkomst och gallring). För att möjliggöra en utveckling i riktning mot en flexibel e-förvaltning anser E-delega- tionen att det krävs att registerförfattningarna är samordnade, enhetliga och tydliga samt att regelkonflikter mellan registerför- fattningarna och offentlighets- och sekretesslagen undanröjs (SOU 2009:86 s. 65 och SOU 2010:20 s. 17). Vidare har Data- inspektionen i sina årsredovisningar pekat på ett allt starkare behov av en översyn och ett samlat grepp när det gäller registerlagstiftningen inom statsförvaltningen. Även anser att registerförfattningarna bör ses över (RiR 2010:18 s. 64). Regeringen anser, i likhet med nämnda utredningar samt Data- inspektionen och , att registerförfattningarna bör ses över. Med hänsyn till det stora antalet författningar bör dock över- synen ske etappvis. Utredaren ska göra en översiktlig inventering av gällande registerförfattningar och inom tre olika verksamhetsområden närmare analysera hur dessa är uppbyggda och tillämpas. Vilka tre verksamhetsområden som särskilt ska analyseras kommer att anges av regeringen i tilläggsdirektiv, efter inhämtande av synpunkter från utredaren. Utredaren ska därefter utarbeta en generell modell för hur registerförfattningar bör struktureras, vilka begrepp som bör användas samt hur dessa begrepp bör definieras. Slutligen ska utredaren, med nämnda modell som mall, lämna konkreta förslag till registerförfattningar inom de tre verksamhetsområdena (s.k. modellregleringar). Inom dessa tre områden ska utredaren även överväga vilka typer av allmänna handlingar som den eller de aktuella myndigheterna ska ha skyldighet att lämna ut elektroniskt samt lämna förslag till hur denna skyldighet bör regleras. Utredaren ska särskilt överväga om skyldigheten bör regleras i offentlighets- och sekretesslagen och specificeras i en ny bilaga till lagen, eventuellt i form av hän- visningar till de berörda registerförfattningarna. I denna del ska utredaren beakta de begränsningar som kan finnas med anledning av internationella åtaganden, jfr SOU 2011:20 s. 286. har i en framställan till regeringen (Ju2006/4517/L6) anfört att den omfattande registerregleringen medför att undersökningar av stora material försvåras eller omöjlig- görs, vilket hotar medias möjligheter att granska hur makten utövas och förvaltas. anser bl.a. att bestämmelser om sökförbud och utlämnande på medium för automatiserad behand- ling begränsar möjligheterna till sådan granskning. Utredaren ska under arbetet belysa denna problematik och utforma sina förslag efter en avvägning mellan intresset av skydd för den personliga integriteten och intresset av insyn i myndigheternas verksamhet. Gäller sökbegränsningar som tar sikte på den utlämnande myndigheten även för den mottagande myndigheten? Som nämns tidigare innebär ett absolut sökförbud i en register- författning även en begränsning av vad som utgör allmän handling (2 kap. 3 § tredje stycket TF). Det står klart att ett sådant sök- förbud i en registerförfattning har relevans för bedömningen av vilka sammanställningar av personuppgifter som anses utgöra all- männa handlingar hos den myndighet som registerförfattningen tar sikte på. Det är dock omdiskuterat vilken betydelse sökförbud i den utlämnande myndighetens registerförfattning har för bedöm- ningen av frågan vilka sammanställningar av personuppgifter som utgör allmänna handlingar hos den mottagande myndigheten. I uppdraget ingår att ta ställning till vad som bör gälla i detta av- seende. Enligt 6 kap. 5 § OSL ska en myndighet på begäran av en annan myndighet lämna uppgift som den förfogar över, om inte uppgiften är sekretessbelagd eller det skulle hindra ärendets behöriga gång. Denna skyldighet anses utgöra en precisering av den allmänna samverkansskyldighet som gäller för myndigheterna enligt 6 § för- valtningslagen (1986:223). Det har ifrågasatts om denna skyldighet står i strid med den s.k. finalitetsprincipen i dataskyddsdirektivet. Som nämns tidigare innebär denna princip att en personuppgift inte får behandlas för ett ändamål som är oförenligt med det ändamål för vilket uppgiften samlades in. Offentlighets- och sekretess- kommittén anförde emellertid i sitt huvudbetänkande (SOU 2003:99 s. 231 f.) att regering och riksdag redan vid personuppgiftslagens tillkomst tagit ställning till att bestämmelsen i dåvarande 15 kap. 5 § sekretesslagen (nuvarande 6 kap. 5 § OSL) inte strider mot dataskyddsdirektivet. Enligt kommittén ska således ett utlämnande av uppgifter till en annan myndighet anses vara förenligt med finalitetsprincipen om utlämnandet är tillåtet enligt sekretesslagen. Kommittén ansåg dock att det skulle kunna uppstå en normkolli- sion mellan 15 kap. 5 § sekretesslagen och en registerförfattning, om ändamålsregleringen i den senare författningen är utformad så att den utesluter en tillämpning av finalitetsprincipen. situation får enligt kommittén ändamålsregleringen i registerför- fattningen anses utgöra lex specialis i förhållande till 15 kap. 5 § sekretesslagen och ett utlämnande av uppgifter i strid med ända- målsregleringen skulle därmed utgöra en otillåten behandling av uppgifterna. Enligt utredningen var det dock oklart om det fanns några registerförfattningar som på detta sätt uteslöt en tillämpning av finalitetsprincipen (s. 236 f.). Såsom bl.a. har uppmärksammat förekommer det emellertid numera sådana uttömmande ändamåls- regleringar som leder till att ett utlämnande av uppgifter mellan myndigheter som är tillåtet enligt offentlighets- och sekretesslagen är förbjudet enligt registerförfattningen (SOU 2007:22 s. 464 f.). Regeringen anser att utgångspunkten bör vara att ändamålsregle- ringar som utesluter en tillämpning av finalitetsprincipen inte ska förekomma. De förslag till registerförfattningar som utredaren lämnar ska även i övrigt harmoniera med tryckfrihetsförordningen, offentlighets- och sekretesslagen samt internationella åtaganden. En närliggande fråga har sin grund i det faktum att internatio- nella avtal och sektorsspecifika EU-rättsakter ibland innehåller artiklar om att en myndighet bara får använda uppgifter som erhålls enligt avtalet respektive rättsakten för vissa angivna ändamål eller i viss verksamhet. Sådana bestämmelser kan avse även andra upp- gifter än personuppgifter. I anses en sådan bestämmelse inte utgöra ett hinder mot utlämnande av uppgifter med stöd av offentlighetsprincipen. Däremot kan en sådan användningsbegräns- ning anses stå i konflikt med myndighetens skyldighet att över- lämna uppgifter till andra myndigheter i enlighet med 6 kap. 5 § OSL. Någon generellt tillämplig eller konsekvent genomförd lös- ning på sistnämnda typ av regelkonflikt finns inte i lagstiftningen. I 9 kap. 2 § OSL ges visserligen en upplysning om att användningsbegränsningar genomförts i vissa andra författ- ningar. Uppräkningen är dock inte heltäckande och det finns dess- utom inte någon formell koppling mellan denna bestämmelse och 6 kap. 5 § OSL (jfr prop. 1990/91:131 s. 25). De författningar som avses i 9 kap. 2 § OSL utgör visserligen inte registerförfattningar. Den beskrivna frågeställningen har dock en sådan betydelse för uppgiftsutbytet mellan myndigheter att den ändå bör utredas i detta sammanhang. Utredaren ska därför överväga om 6 kap. 5 § OSL bör justeras så att den står i bättre överensstämmelse med före- komsten av nu nämnda användningsbegränsningar. Om utredaren finner att en sådan justering bör ske, ska författningsförslag läm- nas. Utredaren är oförhindrad att ta upp andra frågor än de som nämns i direktiven, om utredaren anser att dessa behöver regleras för att utredaren ska kunna fullgöra sitt uppdrag på ett tillfredsställande sätt. Utredaren ska i ett delbetänkande redovisa sina ställningstaganden och eventuella förslag rörande dels tryckfrihetsförordningens defini- tion av begreppet ”allmän handling”, dels frågan om det finns skäl att i registerförfattningar även i fortsättningen upprätthålla en skillnad mellan direktåtkomst och andra former av elektroniskt utlämnande. Regeringen kommer i tilläggsdirektiv, efter att ha in- hämtat synpunkter från utredaren, att ange inom vilka tre verksam- hetsområden som utredaren ska lämna konkreta förslag till register- författningar. Under sitt arbete ska utredaren beakta den pågående översynen av såväl som EU:s dataskyddsreglering.