sou · H3B373 · 2015-08-03 00:00:00 — som innehåller särreglering i förhållande till personuppgiftslagen finns således egentligen inte heller. Utlämnande av personuppgifter på medium för automatiserad behandling anses emellertid medföra särskilda risker från integritetssynpunkt (se prop. 2009/10:85 s. 184 f. och prop. 20011/12:45 s. 96 f.). Sådant utlämnande medför vanligt- vis att mottagaren på ett enkelt sätt kan bearbeta informationen, till exempel genom att samköra den mot elektroniska uppgifter som har hämtats från andra informationskällor. Det anses öka riskerna för att uppgifterna ska behandlas på ett sätt som innebär att den enskildes integritet kränks. Utredningens bedömning: Någon regel som tillåter eller för- bjuder att personuppgifter lämnas ut genom annat elektroniskt utlämnande än direktåtkomst behövs inte i lagen. I nuvarande utlänningsdataförordning finns inga särskilda regler om annat elektroniskt utlämnande än genom direktåtkomst. Ett undan- tag finns dock i bestämmelsen i 10 § andra stycket, av vilken det framgår att uppgifter ur fingeravtrycksregister får lämnas ut på medium för automatisk databehandling endast om det följer av lag eller förordning. I praktiken sker elektroniskt utlämnande på annat sätt än genom direktåtkomst i många olika situationer inom verksamhet för utlän- nings- och medborgarskapslagstiftningen. Uppgifter lämnas ut av exempelvis på begäran av andra myndigheter för att användas i den mottagande myndighetens verksamhet eller för att verket ska kunna fullgöra sina uppgifter inom utlännings- och medborgarskapsverksamheten. Exempelvis lämnar personuppgifter till via cd-rom. Utlämnande av upp- gifter på medium för automatiserad behandling sker också till privata bolag. skickar till exempel filer som innehåller personuppgifter till passleverantören och till svenska AB som skriver ut och kuverterar kallelser, beslut m.m. för myndighetens räkning. Myndigheternas kommunikation med exem- pelvis parter och ombud via e-post kan också innebära utlämnande av personuppgifter. En ny lag om behandling av personuppgifter… Som anförts anses även annat elektroniskt utlämnande än genom direktåtkomst medföra vissa integritetsrisker. Det är dock från ett effektivitetsperspektiv viktigt att myndigheterna har möjlighet att utnyttja automatiserade förfaranden i sin verksamhet. Om elektro- niskt utlämnande inte får ske, måste den utlämnande myndigheten göra utskrifter på papper och skicka till mottagaren. Mottagaren måste därefter eventuellt vidta åtgärder för att överföra uppgifterna till elektronisk form igen. Denna ordning framstår som onödigt ineffektiv och tidskrävande, särskild som exempelvis myndigheter i allt större utsträckning övergår till helt elektronisk informations- hantering. Skyddet för den personliga integriteten bör enligt utredningens bedömning kunna upprätthållas på andra sätt än genom begräns- ning av formen för utlämnande. De utlämnande myndigheterna får endast behandla personuppgifter för utlämnande för vissa i lagen angivna ändamål eller för ändamål som inte är oförenliga med dessa ändamål. Även de mottagande myndigheternas behandling av person- uppgifterna styrs vanligtvis av särskilda författningar med ända- målsbestämmelser som reglerar för vilka ändamål behandling får ske. Vidare är den personuppgiftsansvariga myndigheten skyldig att vidta lämpliga tekniska åtgärder för att skydda de uppgifter som behandlas (31 § PUL). Myndigheten ansvarar således för att över- föringen sker på ett säkert sätt, till exempel att uppgifterna kryp- teras innan de överförs till mottagaren. Utlämnande av uppgifter ska också föregås av en sekretessprövning. Det bör därför samman- fattningsvis inte införas någon särskild regel om utlämnande av personuppgifter i annan elektroniskt form än genom direktåtkomst i den nya lagen, se även SOU 2015:39 s. 44 f. Det bör inte heller införas någon motsvarande konstruktion som den som finns i polis- datalagen att endast enstaka personuppgifter får lämnas ut på medium för automatiserad behandling (se 2 kap. 20 § PDL). En sådan modell skulle enligt utredningen kunna försvåra arbete utan att egentligen främja enskildas integritet. Utredningens principiella slutsats när det gäller utlämnande på medium för auto- matiserad behandling innebär också att någon motsvarighet inte behövs till föreskriften i nuvarande utlänningsdataförordning att uppgifter ur registren över fingeravtryck och fotografier får lämnas ut på medium för automatisk databehandling endast om det följer av lag eller förordning, se avsnitt 7.10. En ny lag om behandling av personuppgifter… En typ av utlämnande i elektronisk form som brukar förknippas med särskilda risker är direktåtkomst. Någon legaldefinition av be- greppet direktåtkomst finns inte (se SOU 2012:90 s. 198 och SOU 2015:39 s. 389 f.). Enligt bör begreppet, liksom gjorts, definieras på så sätt att en direkt- åtkomst föreligger om en myndighet hos en annan myndighet har en sådan teknisk tillgång till upptagningar som avses i 2 kap. 3 § andra stycket TF (se SOU 2015:39 s. 390 f.). Utredningen utgår från denna definition i sina fortsatta överväganden. Ett skäl till att direktåtkomst anses innebära särskilda risker för otillbörligt integritetsintrång är att de upptagningar som direktåt- komsten avser blir allmänna handlingar hos en mottagande myndig- het (se SOU 2012:90 s. 64 f. och 123 f. samt SOU 2015:39 s. 134 f.). Allmänna handlingar är som huvudregel offentliga och rätten att ta del av dem får begränsas endast av de skäl som anges i 2 kap. TF och endast om det anges i lag. Ju fler myndigheter som har direkt- åtkomst till uppgifter i ett datasystem, desto större blir således allmänhetens möjlighet att få tillgång till dessa uppgifter (se SOU 2003:40 s. 201). Bestämmelser om direktåtkomst är ofta begränsade på så sätt att direktåtkomst bara medges till vissa typer av uppgifter som behövs i en viss typ av ärenden eller verksamhet hos den mottagande myn- digheten. För att den mottagande myndigheten ska kunna utnyttja direktåtkomsten måste myndigheten dock ha teknisk tillgång till fler uppgifter än de som faktiskt kommer att utnyttjas i myndig- hetens verksamhet. Sammanställningar av uppgifter som i samband med direktåtkomst görs tekniskt tillgängliga för den mottagande myndigheten anses förvarade hos myndigheten och utgör således en allmän handling hos den myndigheten, se 2 kap. 3 § andra stycket TF. Detta gäller även om den mottagande myndigheten inte använ- der uppgiften i sin egen verksamhet. Generellt kan sägas att möjligheten till direktåtkomst ökar riskerna för intrång i den personliga integriteten, eftersom det typiskt sett innebär att uppgifter blir tillgängliga för fler personer och att den utlämnande myndighetens möjligheter att kontrollera användningen av uppgifterna minskar. En ny lag om behandling av personuppgifter… I registerförfattningar finns ofta särskilda bestämmelser avseende utlämnande på medium för automatiserad behandling och direkt- åtkomst. Genom informationsteknikens utveckling har emellertid gränserna mellan de olika utlämnandeformerna blivit svårare att dra (se SOU 2012:90 s. 198 f.). Gränsdragningsproblematiken har behandlats vid ett antal tillfällen i samband med lagstift- ning på registerförfattningsområdet (se prop. 2002/03:135 s. 89, SOU 2006:82 s. 221 f. och prop. 2011/12:45 s. 132 f.). Regeringen har i olika motivuttalanden konstaterat att begreppsbildningen av- seende olika former av elektroniskt utlämnande i registerförfatt- ningar är oklar, att mycket står att vinna med en mer enhetlig och tydlig begreppsbildning, men att frågan inte bör lösas inom ramen för ett enskilt lagstiftningsärende (se prop. 2007/08:160 s. 58). Lagstiftaren har således fortsatt att i de olika registerförfattningar- na göra åtskillnad mellan direktåtkomst och utlämnande på medium för automatiserad behandling. Exempel på en sådan reglering finns i nuvarande utlänningsdataförordningen, lagen om behandling av uppgifter i brottsbekämpande verksamhet, polisdata- lagen och kustbevakningsdatalagen. För att komma tillrätta med bland annat denna problematik till- sattes (dir. 2011:86) (se avsnitt 6.9). Utredningen fick enligt tilläggsdirektiv bland annat i uppdrag att utreda förutsättningarna för att skapa en generell, en- hetlig och helt eller i vart fall delvis samlad reglering för myndig- heternas personuppgiftsbehandling (dir. 2014:31). Utredningen fick i samband därmed i uppdrag att behandla frågan om det finns skäl att behålla åtskillnad mellan olika former av elektroniskt utläm- nande (se SOU 2012:90 s. 197 f.). I sitt slutbetänkande Myndighets- datalag gör utredningen bedömningen att det från både principiella och rättsliga synpunkter finns starkt vägande skäl för att behålla en begreppsmässig skillnad mellan å ena sidan direktåtkomst och å andra sidan annat utlämnande i elektronisk form (se SOU 2015:39 s. 149 f.). I konsekvens härmed innehåller den av utredningen före- slagna lagstiftningen olika reglering för direktåtkomst respektive annat utlämnande i elektronisk form. När det gäller begreppet direkt- åtkomst anser utredningen att direktåtkomst, liksom , bör som sagts ovan definieras på så sätt att en direktåtkomst föreligger om en myndighet hos en annan myndighet har en sådan teknisk till- En ny lag om behandling av personuppgifter… gång till upptagningar som avses i 2 kap. 3 § andra stycket TF (a.a. s. 390 f.). Enligt 6 § nuvarande utlänningsdataförordning får Polismyndig- heten, Säkerhetspolisen och utlandsmyndigheterna ha direktåtkomst till verksamhetsregister. Myndigheternas direkt- åtkomst ska begränsas till att endast avse personuppgifter som en tjänsteman oundgängligen behöver för att fullgöra sina arbetsupp- gifter i verksamhet enligt utlännings- och medborgarskapslagstift- ningen. , Säkerhetspolisen och utlandsmyndig- heterna har direktåtkomst till centrala utlänningsdatabas, . har träffat en överenskommelse, den s.k. Wilma- överenskommelsen (inklusive bilagorna ), med Riks- polisstyrelsen avseende polisverksamheternas åtkomst till CUD. Överenskommelsen innehåller bland annat uppgift om vilka upp- gifter får ta del av genom direktåtkomst, begräns- ning av användningen av uppgifterna och krav på de personer som ska få tillgång till uppgifterna genom direktåtkomst. Med anled- ning av polisens nya organisation har och de nya myndigheterna och Säkerhetspolisen inlett en dialog avseende ändring av överens- kommelserna. Utlandsmyndigheternas direktåtkomst är inte reglerad av någon särskild överenskommelse mellan myndigheterna. Tillgången till per- sonuppgifter regleras i stället genom en uppdelning av behörighet på olika grupper, som bestäms av . Även och får ha direktåtkomst till uppgifter i verksamhetsregister, se 6 a § nuvarande utlänningsdataförordning. Direktåtkomsten ska begränsas till uppgifter som behövs inom respektive myndighets verksamhet som underlag för att bedöma eller fastställa förmån, ersättning eller annat stöd åt en enskild eller som behövs i ett ären- de om motsvarande stöd. och Pensionsmyndig- heten får ha direktåtkomst först sedan har försäkrat sig om att handläggare hos de mottagande myndigheterna bara kan ta del av uppgifter om personer som är aktuella i ärenden eller verk- samhet som avser registrering av enskilda. Vidare får direktåtkom- sten endast avse uppgift om En ny lag om behandling av personuppgifter… 1.namn, personnummer och i förekommande fall samordnings- nummer, 2.bevis om uppehållstillstånd, arbetstillstånd eller uppehållsrätt, 3.dag för beslut om uppehållstillstånd, arbetstillstånd eller utfär- dande av uppehållskort samt uppgift om varje period för vilken uppehållstillstånd eller arbetstillstånd har beviljats eller uppehålls- kort har utfärdats, 5.datum för ansökan om uppehållstillstånd, arbetstillstånd eller uppehållskort, 6.särskilt bevis enligt 5 kap. 4 § tredje stycket UtlF, 7.att uppehållstillstånd har beviljats den enskilde som flykting enligt 4 kap. 1 § eller annan skyddsbehövande enligt 4 kap. 2 eller 2 a § UtlL eller motsvarande äldre bestämmelser, 8.att statusförklaring har beviljats enligt 4 kap. 3 c § UtlL eller mot- svarande äldre bestämmelser, 9.att uppehållstillstånd har beviljats den enskilde för studier eller som familjemedlem till en sådan person och 10.beslut om återkallelse av uppehållstillstånd eller arbetstillstånd, uppgift om från och med vilket datum uppehållstillstånd eller arbetstillstånd har återkallats samt uppgift om från och med vilket datum beslut om återkallelse av uppehållstillstånd eller arbets- tillstånd har vunnit laga kraft. och har ännu inte någon direktåtkomst till verksamhetsregister och det finns inte heller någon överenskommelse mellan myndigheterna härom. pågår dock arbetet med att etablera direktåtkomst för . Slutligen får även ha direktåtkomst till uppgifter i verksamhetsregister, se 6 b § nuvarande utlän- ningsdataförordning. Direktåtkomsten ska begränsas till uppgifter som behövs för handläggning av ansökan om identi- En ny lag om behandling av personuppgifter… tetskort enligt förordningen (2009:284) om identitetskort för folk- bokförda i Sverige1. Direktåtkomsten får endast avse uppgift om namn och personnummer, längd, fotografi, underskrift, typ av rese- handling, resehandlingens nummer och giltighetstid samt bevis om uppehållstillstånd. har även i praktiken direktåtkomst till verksamhetsregister och myndigheterna har träffat en överenskommelse som reglerar direktåtkomsten. I över- enskommelsen specificeras vilka uppgifter som direktåtkomsten avser. I överenskommelsen anges angående säkerhet och spårbarhet att ansvarar för att individer med sekretesskyddade per- sonuppgifter endast handläggs av särskilda sekretesshandläggare. loggar alla slagningar från . ska vid förfrågan kunna ange vem som utfört en slagning och varför slagning skett. Utredningens förslag: , Säkerhetspolisen, ut- landsmyndigheterna, , och får för vissa särskilda ändamål medges direkt- åtkomst till personuppgifter som behandlas automatiserat. Inhämtade uppgifter får endast behandlas för dessa särskilda ändamål. Regeringen eller den myndighet som regeringen bestämmer meddelar närmare föreskrifter om omfattningen av direktåt- komsten samt om behörighet och säkerhet. I utlänningslagen föreslås en sekretessbrytande bestämmelse enligt vilken , Säkerhetspolisen och utlands- myndigheterna har rätt att ta del av uppgifter om enskilda hos . 1 Behandlingen av uppgifter enligt förordningen kommer sannolikt delvis att reg- leras i en särskild lag om identitetskort för folkbokförda i . Ett förslag till lag bereds inom . Se promemorian Vissa registerfrågor (Finansdeparte- mentet, ). En ny lag om behandling av personuppgifter… Enligt utredningen bör utgångspunkten för en kommande reglering vara att terminologin bör överensstämma med den som Informations- hanteringsutredningen har föreslagit. Det innebär att begreppet direktåtkomst bör ges den innebörd som får anses vara den redan etablerade. Nästa fråga är hur tillgången till uppgifter genom direktåtkomst bör regleras i den nya lagen. Som framgår av föregående avsnitt får enligt nuvarande utlänningsdataförordning , Säker- hetspolisen, utlandsmyndigheterna, , Pensions- myndigheten och ha direktåtkomst till vissa uppgifter hos . Frågan om lämpligheten av direktåtkomst för berörda myndigheter har således redan övervägts av regeringen. Utredningen har inte någon anledning att ifrågasätta dessa över- väganden och utgår från att dagens reglering i huvudsak ska bestå. Det innebär att dessa myndigheter bör få ha direktåtkomst för samma ändamål och i samma utsträckning som . Utredningen vill ändå något beröra nuvarande ordning. Som kommer att framgå menar utredningen att det finns anledning till vissa mindre juste- ringar av gällande reglering. Innan utredningen resonerar kring nuvarande ordning ska dock en annan fråga tas upp. En fråga att överväga är om det finns andra än ovannämnda myndigheter som bör kunna medges direktåtkomst till uppgifter. har upplyst om att verket arbetar med en s.k. visningstjänst, som inne- bär att enskilda genom direktåtkomst till skulle kunna få tillgång till vissa uppgifter om sig själva, framför allt sådana som rör handläggningen av deras ärenden. Verket har dock inte () presenterat något egentligt underlag för hur denna direkt- åtkomst är tänkt att se ut enligt verket. Utredningen anser i och för sig att tanken att enskilda ska kunna få viss direktåtkomst till upp- gifter om sig själva är god. En sådan möjlighet kräver dock åtskilliga rättsliga överväganden. Eftersom arbete, som ut- redningen förstår det, med visningstjänsten än så länge inte har kommit så långt, är det inte möjligt att på befintligt underlag göra de överväganden som krävs. Utredningen kan därför inte lägga fram något förslag om direktåtkomst för enskilda. Avslutningsvis i detta avsnitt tar utredningen upp frågan om regleringen i lag av direkt- åtkomst bör vara uttömmande. En ny lag om behandling av personuppgifter… Modern teknik har medfört att information på ett enkelt sätt kan sökas, sammanställas och överföras mellan myndigheter. Direkt- åtkomst kan innebära effektivitetsvinster för den mottagande myn- digheten, eftersom handläggande tjänstemän inte behöver begära ut de uppgifter som behövs för bedömningen av ett enskilt fall från den utlämnande myndigheten utan själv kan söka den information som krävs i den utlämnande myndighetens personuppgiftssamling. Direktåtkomst kan också innebära fördelar för den utlämnande myndigheten, eftersom den inte behöver avsätta resurser för att hantera de förfrågningar om utlämnande som kommer in från andra myndigheter. Det kan även innebära fördelar från informations- säkerhetssynpunkt, då överföring av information vid direktåtkomst kan ske på ett säkrare sätt än till exempel genom e-post. anses direktåtkomst, som ovan framförts, typiskt sett innebära att risken för kränkningar av den enskildes integritet blir större. För att intrånget i den personliga integriteten vid direktåt- komst ska bli acceptabelt måste därför vissa krav ställas på denna (se prop. 2007/08:160 s.46 f., s. 56 f., SOU 2012:90 s. 123 f. samt SOU 2015:39 s. 138 f. och 387 f.). Vad det i princip handlar om är att skyddet för personuppgifterna vid direktåtkomst ska säkerställas på olika sätt. Om det skyddet kan garanteras, behöver enligt utred- ningen direktåtkomst inte vara så mycket känsligare än andra former av informationsutbyten. Det finns några aspekter som är särskilt viktiga. En viktig fråga vid direktåtkomst är hur uppgifterna sprids och används hos den mottagande myndigheten. Om kretsen av personer som har tillgång till uppgifterna kan begränsas, är risken för integ- ritetsintrång generellt sett mindre. Den mottagande myndigheten måste därför begränsa åtkomstmöjligheterna så mycket som möjligt med hänsyn till den aktuella verksamheten och känsligheten hos personuppgifterna. Anställda inom en myndighet bör endast ha elek- tronisk tillgång till de personuppgifter som de behöver i sitt arbete. En närliggande fråga rör behovet av risk- och sårbarhetsanalys då direktåtkomst medges. I förarbetena till bestämmelsen om För- säkringskassans direktåtkomst till verksamhets- register konstateras att det med dagens teknik är möjligt att utforma system som innebär att det vid direktåtkomst bara är möjligt för handläggarna att söka på uppgifter om en viss person om den per- sonen är aktuell i den verksamhet där direktåtkomst tillåts (se En ny lag om behandling av personuppgifter… 2007/08:160 s. 97 f). För att säkerställa att sådana tekniska spärrar införs föreskrevs i paragrafen som reglerar Försäkrings- kassans direktåtkomst till uppgifter en bestämmel- se som anger att direktåtkomst får medges först sedan Migrations- verket försäkrat sig om att handläggare hos bara kan ta del av uppgifter om enskilda som är aktuella i ärenden eller i verksamhet som avser registrering av enskilda hos (se 6 a § första stycket nuvarande utlänningsdataförordning). Mot- svarande gäller när ska medges direkt- åtkomst till personuppgifter. När det gäller kravet på risk- och sårbarhetsanalyser, se också SOU 2015:39 s. 387 f. Ytterligare en aspekt att beakta vid direktåtkomst är att den mottagande myndigheten endast har direktåtkomst till sådana upp- gifter som myndigheten verkligen kan antas ha behov av. Införan- det av direktåtkomst bör därför föregås av en analys av vilka upp- gifter som är nödvändiga med hänsyn till ändamålen med behand- lingen. Från ett integritetsperspektiv är det också en fördel om det framgår av författningstexten vilka uppgifter som får inhämtas genom direktåtkomst. En omständighet som också bör beaktas då direktåtkomst över- vägs är, i de fall direktåtkomsten avser sekretessbelagda uppgifter, vilka sekretessbestämmelser som blir tillämpliga hos de mottagande myndigheterna. När det till en början gäller de anställdas elektroniska tillgång till personuppgifter föreslår utredningen att det i den kommande lagen införs en särskild bestämmelse, 16 §, enligt vilken den personuppgifts- ansvariga myndigheten har ansvar för att begränsa tillgången till personuppgifter till vad varje tjänsteman behöver för att kunna full- göra sina arbetsuppgifter (se avsnitt 7.12). Denna bestämmelse får anses uppfylla kravet på att uppgifterna inte sprids hos mottagar- myndigheterna på ett oacceptabelt sätt. Bestämmelsen kommer att bli tillämplig hos , Säkerhetspolisen och utlands- myndigheterna. Den kommer däremot inte att bli tillämplig hos , och , eftersom den nya lagen inte ska tillämpas av dessa myndigheter. En mot- svarande åtkomstregel bör därför finnas för dessa myndigheter. En sådan regel kan för och lämpligen tas in i 114 kap. socialförsäkringsbalken (2010:110), som innehåller regler om behandling av personuppgifter hos dessa myndig- En ny lag om behandling av personuppgifter… I 114 kap. 17 § finns en åtkomstregel, som dock inte är tillämplig på den direktåtkomst som myndigheterna har till Migra- tionsverkets personuppgifter. Utredningen föreslår att regeln ändras så att den blir tillämplig även vid åtkomst av uppgifter från Migra- tionsverket. När det gäller finns det ingen särskild regel om åt- komstbegränsning. Utredningen föreslår att 16 a § förordningen (2009:284) om identitetskort för folkbokförda i komplet- teras med ett andra stycke som anger att tillgången till aktuella upp- gifter ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Innan medger direktåtkomst till personuppgifter bör verket göra en risk- och sårbarhetsanalys. ska då kontrollera att mottagande myndigheter har ett tillräckligt skydd för mottagna personuppgifter. En bestämmelse bör därför finnas om att verket inte får medge någon direktåtkomst innan verket har försäkrat sig om att den mottagande myndigheten uppfyller kraven på behörighet och säkerhet. En sådan bestämmelse motsvarar i huvud- sak 6 a § första stycket nuvarande utlänningsdataförordning. Vik- tiga instrument för risk- och sårbarhetsanalyserna är också de över- enskommelser som finns mellan och mottagande myndigheter rörande behörighet och säkerhet vid direktåtkomst. bör vidare ha möjlighet att meddela närmare föreskrifter om vad som krävs i fråga om behörighet och säkerhet för att verket ska kunna medge direktåtkomst, jmf. 14 § polisdata- förordningen (2010:1155). Syftet med en sådan bestämmelse är att betona vikten av att verket inte lättvindigt får för sig att medge direkt- åtkomst utan att ha funderat över säkerhetsaspekterna. Vad sedan avser mottagande myndigheters behov av uppgifter kan det konstateras att det i 6 a och 6 b §§ i nuvarande utlännings- dataförordning specificeras vilka uppgifter som , och direktåtkomst får avse. Någon motsvarande begränsning av direktåtkomsten finns inte av- seende , Säkerhetspolisen och utlandsmyndig- heterna. Utredningen har övervägt om inte även sistnämnda myndig- heters direktåtkomst borde preciseras genom att i den kommande utlänningsdatalagstiftningen ange vilka slags uppgifter som myndig- heterna får ha direktåtkomst till. Tillgången skulle då inte som