sou · H3B339 · 2015-04-08 00:00:00 — Det skulle exem- pelvis innebära att det innebär en överföring av personuppgifter till tredjeland att sända över pappersutskrifter av elektroniskt lagrade personuppgifter. Vad som omfattas av begreppet överföring av personuppgifter är alltså oklart. Såvitt är aktuellt nu kan man emellertid konstatera att en överföring i vart fall torde äga rum när en myndighet i något syfte skickar, vidarebefordrar eller förmedlar information i elek- tronisk form till en mottagare som befinner sig i tredjeland, alltså utanför EU/EES. Det bör vidare observeras att bestämmelserna om överföring till tredjeland gäller för alla slags personuppgifter. Samma regler gäller i princip för indirekta personuppgifter som överförs kodade med kodnyckeln bevarad i som för i personuppgiftslagens mening känsliga personuppgifter. En annan sak är att uppgifternas art givet- vis är en omständighet som ska beaktas när det ska bedömas vilken skyddsnivå som kan bedömas vara påkallad, dvs. Det krävs inte att överföringen till tredjeland måste innebära att personuppgifter lämnas ut till tredje man (se definitionen av tredje man i 3 § PuL). Det är således fråga om en överföring till tredjeland även om personuppgifterna bara lämnas till ett personuppgiftsbiträde i tredjeland för att faktiskt behandlas där, t.ex. om en myndighet använder sig av en tillhandahållare av en it-tjänst. Detta framgår implicit av de standardavtalsvillkor som kommissionen beslutat om rörande överföring av personuppgifter till registerförare i tredjeland. När det gäller publicering på internet antogs tidigare av den svenske lagstiftaren att all öppen publicering på en webbplats som är allmänt tillgänglig på internet innebär att personuppgifterna blir tillgängliga i hela världen och därmed kan anses överförda till alla länder i direktivets mening (jfr bl.a. prop. 1999/2000:11 s. 11 f.). har emellertid i det s.k. konfirmandlärarmålet (dom i mål C-101/01, ) slagit fast att det inte är fråga om någon överföring av uppgifter till tredjeland i direktivets mening när en person, som befinner sig i en medlems- stat, lägger ut personuppgifter på en webbplats på internet som är lagrad hos en fysisk eller juridisk person som har den webbplats där man kan komma åt sidan och som är etablerad i samma medlems- stat eller i en annan medlemsstat, varvid uppgifterna blir åtkomliga för alla som kopplar upp sig på internet, inklusive personer i tredje- land. Viss diskussion har förekommit beträffande hur långt EU-dom- stolens uttalande sträcker sig (se t.ex. SOU 2004:6 s. 233). I NJA 2005 s. 361 ansågs en rektor på en enskilt bedriven skola inte ha överfört personuppgifter till tredjeland genom att publicera upp- gifterna på skolans webbplats. har gjort samma bedöm- ning i likartade fall (dom i mål nr B 4151-04 respektive i mål nr B 7837-03). fann att avgörande klarlagt att tillgängliggörande av information genom utläggning på internet i de flesta fall inte innebär överföring till tredjeland i dataskyddsdirektivets mening. Det anses i princip inte som en tredje- landsöverföring om uppgifterna publiceras på en webbplats på internet och webbplatsen lagras hos en internetleverantör som är etablerad inom EU. Enligt kommittén bör det alltså inte ses som överföring i strid med 33 § PuL om en myndighet lägger ut information från ett s.k. allmänt register på sin hemsida så länge den aktuella servern finns inom EU-området (SOU 2010:4 s. 338). Utlänningar är i princip likställda med svenska medborgare när det gäller rätten att begära ut allmänna handlingar enligt 2 kap. TF. Att lämna ut personuppgifter i allmänna handlingar är en form av behandling av personuppgifter. Utlämnanden av allmänna handlingar till mottagare i tredjeland torde också – beroende på omständig- heterna – kunna utgöra överföring i personuppgiftslagens mening, i vart fall om utlämnandet sker i elektronisk form. En annan sak är att personuppgiftslagens regler inte tillämpas i den mån det skulle inskränka en myndighets skyldighet enligt 2 kap. TF att lämna ut uppgifter. Vi återkommer till detta nedan. Det hör till sällsyntheterna att registerförfattningar för myndigheters behandling av personuppgifter innehåller reglering av möjligheterna att överföra personuppgifter till tredjeland som avviker från vad som följer av 33–35 §§ PuL eller föreskrifter som meddelats med stöd av personuppgiftslagen. I det stora flertalet fall gäller alltså personuppgiftslagens bestämmelser. Detta framgår genom att det antingen hänvisas till att 33–35 §§ PuL är tillämpliga eller så gäller dessa bestämmelser outtalat därför att registerförfattningen i fråga saknar bestämmelser om överföring till tredjeland och författningen är så konstruerad att personuppgiftslagen ska tillämpas i den mån ett förhållande inte regleras i registerförfattningen. I den kategori registerförfattningar som vi kallar informations- hanteringsförfattningar är det enbart på socialförsäkringsområdet som detta mönster bryts. Enligt 114 kap. 29 § SFB får, utan hinder av 33 § PuL, överföring ske av personuppgifter till tredjeland på grund av åtaganden i avtal om social trygghet som ingått med andra stater. Detta torde vara en bestämmelse om undantag som ligger väl i linje med vad som uttalats i punkt 58 i ingressen till direktivet om internationellt utbyte av uppgifter mellan socialförsäk- ringsmyndigheter såsom exempel på viktiga allmänna intressen. Bland mer renodlade registerförfattningar där det förekommer särbestämmelser om överföring kan nämnas förordningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen av vilken följer att Migrations- verket får till tredjeland föra över personuppgifter som finns i verkets rättsfallsregister (8 §). Det kan observeras att det registret inte får innehålla uppgifter som direkt pekar ut en enskild registrerad. Ett annat exempel är 23 § rättsinformationsförordningen (1999:175) enligt vilken personuppgifter i det offentliga rättsinformations- systemet får föras över till tredjeland. Enligt instruktionen för får verket till tredjeland föra över personuppgifter i den utsträckning dessa ingår i de register verket för, i huvudsak publicitetsregister, t.ex. aktiebolagsregistret. En liknande reglering finns i Patent- och registreringsverkets instruk- tion. Dessa bestämmelser torde vara kopplade till möjligheten att föreskriva undantag enligt artikel 26.1 f för offentliga register. Det finns även bestämmelser om undantag från förbudet i 33 § PuL i författningar som inte är regelrätta registerförfattningar eller informationshanteringsförfattningar utan hör till den kategori som vi i vår inventering kategoriserat som annan slags författning med inslag av dataskyddsbestämmelser, se avsnitt 4.2. En sådan bestäm- melse är 12 § lagen (2006:1570) om skydd mot internationella hot mot människors hälsa enligt vilken under vissa för- hållanden har en sekretessbrytande skyldighet att informera Världs- hälsoorganisationen. För att uppfylla den uppgiftsskyldigheten får personuppgifter överföras till organisationen och tredjeland. Ett annat exempel är 3 § förordningen (2000:1222) om internationellt tullsamarbete enligt vilken får, utan hinder av 33 § PuL, överföra personuppgifter till tredjeland om det behövs för att upp- fylla skyldigheter som följer av internationella överenskommelser med annan stat eller mellanfolklig organisation som har till- trätt eller annars är förpliktat att följa. 12.4Sekretess och överföring till tredjeland m.m. En överföring av personuppgifter från en myndighet till mottagare i tredjeland innefattar också ett ”utlämnande” så som det begreppet används i bl.a. offentlighets- och sekretesslagen, se t.ex. 6 kap. 1 § om utlämnande av allmän handling och 6 kap. 4 § OSL om utläm- nande av uppgift. En fråga av intresse här är hur bestämmelserna och begränsningarna i fråga om förutsättningarna för att överföra personuppgifter till tredjeland förhåller sig till frågan om offent- lighet och sekretess. Bestämmelserna i 33–35 §§ PuL är formellt neutrala i den meningen att det principiellt sett inte gör någon skillnad för bestäm- melsernas tillämplighet huruvida personuppgifter som överförs omfattas av sekretess eller inte hos den utlämnande myndigheten. Det är en annan sak att eventuell sekretess för överförda person- uppgifter givetvis kan påverka vilken skyddsnivå i mottagarlandet som bedöms krävas i det enskilda fallet. Frågan om sekretess har däremot avgörande betydelse för vad som bedöms utgöra ett tillåtet eller otillåtet utlämnande till mottagare i tredjeland utifrån bestämmelserna om handlingsoffentlighet i 2 kap. TF. Om personuppgifter (och övriga uppgifter) i en allmän handling är offentliga – dvs. inte omfattas av någon sekretessbestämmelse eller omfattas i och för sig men vid en prövning i det enskilda fallet bedöms inte vara sekretessbelagda – ska handlingen lämnas ut till enskild mottagare som begärt att få ta del av handlingen med stöd av 2 kap. TF. Detta gäller oavsett om mottagaren befinner sig i tredjeland. En utlänning är i princip likställd med en svensk med- borgare (14 kap. 5 § andra stycket TF). Det innebär att en utlän- ning i tredjeland har samma rätt som svenska medborgare att mot fastställd avgift få en kopia av handlingen (2 kap. 13 § TF). Per- sonuppgiftslagens regler ska inte tillämpas i den mån det skulle in- skränka en myndighets skyldighet enligt 2 kap. TF att lämna ut uppgifter. Detta följer av grundlags företräde framför vanlig lag och av 8 § första stycket PuL. I praktiken betyder det att man inte kan neka ett utlämnande med hänvisning till att skyddsnivån i mottagar- landet inte är adekvat. I vilken mån utlämnandet i personuppgifts- lagens mening utgör en överföring eller inte är alltså vid uttag med stöd av offentlighetsprincipen en akademisk fråga. Däremot kan skyddsnivån i mottagarlandet få betydelse för i vilken form utläm- nandet sker. Myndigheterna är enligt tryckfrihetsförordningen inte skyldiga att lämna ut allmänna handlingar i elektronisk form. En begäran från utlandet kan således inte sällan antas komma att effek- tueras manuellt via pappersutskrifter som postas. Vid utlämnande av personuppgifter till en mottagare i tredjeland i andra situationer än då 2 kap. TF aktualiserats, är regelverket dock inte lika tydligt. Handlar det om utlämnande på grund av någon förfarandereglering för ärendehandläggning hos en myndighet eller liknande, t.ex. enligt förvaltningslagens bestämmelser om kommu- nikationsplikt eller parts rätt till insyn i ärendet (16 och 17 §§ FL), görs visserligen ingen skillnad på parter i , EU eller tredje- land. Det tycks emellertid inte finnas generellt tillämpliga bestäm- melser som vare sig förpliktar eller begränsar myndigheter såvitt avser utlämnande av offentliga personuppgifter till mottagare i tredje- land, t.ex. en myndighet i ett sådant land. Den bestämmelse som finns i 6 kap. 5 § OSL, om att en myndighet på begäran av en annan myndighet är skyldig att lämna en uppgift som den förfogar över såvida uppgiften inte är sekretessbelagd, ses i allmänhet som en precisering av myndigheternas allmänna samverkansskyldighet enligt 6 § FL som tar sikte på svenska förvaltningsmyndigheter och dom- Bestämmelsen i 6 kap. 5 § OSL medför alltså inte någon för- pliktelse att lämna ut offentliga personuppgifter till utländska myn- digheter (1982/83:KU12 s. 36) och en utländsk myndighet anses inte ha rätt att överklaga en myndighets beslut att inte lämna ut en allmän handling eller annars avslå en begäran om att få del av en personuppgiftuppgift (Lenberg m.fl., kommentaren till 6 kap. 7 §). Utlämnande av sekretessbelagda uppgifter till utländsk myndig- het eller mellanfolklig organisation får ske enligt 8 kap. 3 § OSL om utlämnandet sker i enlighet med särskild föreskrift i lag eller förordning eller annars om uppgiften i motsvarande fall skulle få lämnas ut till en svensk myndighet och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgiften lämnas. En särskild fråga som rör förhållandet mellan sekretess och över- föringsförbudet i 33 § PuL gäller den s.k. PuL-sekretessen enligt 21 kap. 7 § OSL. Vi har i avsnitt 11.2.1 lämnat en utförlig redovis- ning av 21 kap. 7 § OSL i samband med frågan om utlämnande av personuppgifter i elektronisk form. Som har framgått där är det mot- tagarens tilltänkta behandling av personuppgifter som är av avgörande betydelse för bestämmelsens tillämplighet, inte huruvida myndig- hetens utlämnande utgör en behandling i strid med personuppgifts- lagen. Som redan framhållits kan överföringsförbudet i 33 § PuL alltså inte hindra ett utlämnande som sker enligt 2 kap. TF. Som vidare har framgått av avsnitt 11.2.1 kan, vid utlämnande på grund av 2 kap. TF av annars offentliga personuppgifter till mottagare i tredjeland, en tillämpning av sekretessbestämmelsen i 21 kap. 7 § OSL i de allra flesta fall inte innebära något hinder mot utlämnandet. Vid utlämnande till mottagare i tredjeland har personuppgifterna så- ledes inte samma sekretesskydd som vid utlämnanden till mottagare i . Däremot kan överföringsförbudet alltså i princip hindra att utlämnandet sker i elektronisk form eftersom man kan anta att det inte är lämpligt att lämna ut uppgifter i elektronisk form om skyddsnivån i mottagarlandet inte bedöms vara adekvat. Överförings- reglerna kan på så sätt ha en indirekt effekt. Vad gäller annat utlämnande till enskilda mottagare och utländska myndigheter eller organisationer i tredjeland kan överföringsför- budet på motsvarande sätt utgöra ett hinder mot att personupp- gifter lämnas ut i elektronisk form eller lämnas ut för att behandlas elektroniskt i det tredjelandet. Detsamma gäller i fråga om utläm- nande av ett manuellt register med personuppgifter eller av person- uppgifter för registerföring i tredjeland. 12.5Våra överväganden och förslag Förslag: Personuppgiftslagens bestämmelser om överföring av personuppgifter till tredjeland och föreskrifter eller beslut om undantag från förbudet att överföra personuppgifter till tredje- land som meddelats med stöd av 35 § PuL ska vara tillämpliga även vid myndigheters behandling av personuppgifter. Detta ska framgå av lagen genom en hänvisning till 33–35 §§ PuL. I lagen införs därutöver ytterligare undantag för överföring av personuppgifter till tredjeland som saknar adekvat skyddsnivå, nämligen om a)överföringen krävs för handläggningen av ett visst ärende, eller b)överföringen är nödvändig för att fullgöra en uppgiftsskyl- dighet som följer av lag eller förordning eller avtal med annan stat eller mellanfolklig organisation som har tillträtt eller annars är förpliktat att följa. Flertalet svenska myndigheters personuppgiftsbehandling avser i allt väsentligt personer som är bosatta eller annars verksamma här. Vissa myndigheter har i sin verksamhet emellertid behov av att kunna kommunicera och utbyta information med aktörer av olika slag utomlands, ofta med andra stater inom EU/EES-området. Men det kan antas att det inom i princip varje statlig eller myndighet kan uppstå en situation då frågan om överföring av per- sonuppgifter till tredjeland kan bli aktuell, både i samband med handläggning av ärenden eller i annan verksamhet. Dataskyddsdirektivets regler om överföring till tredjeland bör ses mot den bakgrunden att det såvitt avser enskilda aktörer utan det grundläggande överföringsförbudet inte skulle gälla någon begräns- ning i syfte att skydda enskildas integritet mot okontrollerad sprid- ning av personuppgifter till länder som kanske helt saknar skydd för uppgifterna. På myndighetsområdet är emellertid förhållandet ett annat. Genom reglerna om tystnadsplikt och sekretess i offentlig- hets- och sekretesslagen kan lagstiftaren sektors- eller myndighetsvis sägas redan ha tagit ställning till behovet av integritetsskydd. I den mån uppgifter är sekretessbelagda uppstår alltså normalt sett inget ”överföringsproblem” eftersom utgångspunkten såvitt avser enskilda mottagare är att sådana uppgifter inte ska lämnas ut. Huvudregeln beträffande utländska myndigheter och mellanfolkliga organisatio- ner är också att sekretessbelagda uppgifter inte får röjas även om det finns vissa undantag (jfr 8 kap. 3 § OSL). Det är alltså främst beträffande sådan överföring som inte sker som ett resultat av ett offentlighetsuttag, som avser icke sekretess- belagda personuppgifter och som sker till mottagare utanför EU/EES som det finns anledning att närmare överväga hur överförings- reglerna i personuppgiftslagen ska hanteras för myndigheternas vidkommande. Som exempel på en sådan situation kan nämnas att en myndighet använder sig av ett it-stöd som tillhandahålls och administreras av en leverantör som är etablerad i t.ex. eller . Ett annat exempel kan vara när ett landsting använder sig av ett callcenter för tidsbokning inom sjukvården och det företag som tillhandahåller tjänsten är etablerat utanför . Självfallet kan frågor om överföring till tredjeland även uppstå i den löpande ärende- handläggningen. Personuppgiftslagens grundläggande förbud och undantag bör gälla Dataskyddsdirektivet innebär ett krav på reglering av överföring av personuppgifter till tredjeland. Vid myndigheters behandling av personuppgifter gäller som har framgått normalt personuppgifts- lagens bestämmelser om detta och de föreskrifter som meddelats enligt 35 § PuL. Särbestämmelser i registerförfattningar eller annan lagstiftning förekommer . Vi ser ingen anledning att ändra på detta förhållande. Vi föreslår därför att bestämmelserna i person- uppgiftslagen om överföring av personuppgifter till tredjeland ska vara tillämpliga även vid myndigheters behandling av personupp- gifter enligt den nya lagen. Detta ska framgå genom en hänvisning i lagen till bestämmelserna i personuppgiftslagen. Även de föreskrifter och beslut som meddelats enligt 35 § PuL bör gälla enligt den nya lagen. Såvitt avser enstaka överföringar av personuppgifter som behandlas i löpande text eller annars i ostrukturerat material, t.ex. i en e-postkommunikation, är, som vi har berört ovan, skyddsbehovet ofta så litet att även fullständig frånvaro av dataskyddsregler kan anses godtagbart. Skyddsnivån är adekvat eftersom det inte behövs något egentligt skydd för uppgifterna i fråga. Överföringsförbudet gäller i så fall inte. Vi har emellertid uppfattat det som att myndig- heterna ändå ofta lutar sig mot missbruksregeln i 5 a § för att inte träffas av förbudet enligt 33 §. Något ställningstagande i fråga om vad som följer av 33 och 34 §§ eller föreskrifter som meddelats enligt 35 § görs då inte, utan bara prövningen om överföringen innebär en kränkning av den registrerades personliga integritet (5 a § andra stycket). Ett uppgiftsutlämnande får givetvis inte heller strida mot offentlighets- och sekretesslagen. Vi har behandlat missbruksregeln i avsnitt 8.3 och föreslagit att den bestämmelsen eller någon motsvarighet till den inte bör gälla enligt den nya lagen. I det sammanhanget har vi framhållit att syftet med missbruksregeln inte har varit att underlätta myndigheternas behandling av personuppgifter utan att skapa en enklare och mindre byråkratisk reglering för enskilda och tillgodose deras rätt till ytt- rande- och informationsfrihet. Mot den bakgrunden är det enligt vår mening alltså inte tillfredsställande att myndigheter åberopar miss- bruksregeln för att finna lagstöd till att överföra personuppgifter till en mottagare i tredjeland. Inte heller ser vi något praktiskt be- hov av att i den nya lagen införa någon motsvarande lättnad för överföring av personuppgifter i s.k. ostrukturerat material. Som vi redan har konstaterat innebär överföringsbestämmelserna normalt sett inget hinder mot överföringar av sådana personuppgifter. En tillämpning av 33 § PuL leder alltså normalt till att personuppgifter i löpande text och liknande kan överföras även till tredjeland utan att träffas av personuppgiftslagens förbud. Vad gäller överföring av personuppgifter i strukturerat material får dock göras en bedöm- ning av om det finns någon adekvat skyddsnivå eller om något annat undantag är tillämpligt. I samtliga fall krävs dessutom att överföringen till det tredjelandet sker för ett korrekt ändamål och uppfyller de övriga grundläggande kraven i 9 § samt är nödvändig för att myn- digheten ska kunna utföra sin verksamhet. Behov av ytterligare undantag Bestämmelserna i 33 § PuL om att det ska göras bedömningar av om det utifrån omständigheterna finns adekvat skyddsnivå tycks vara utformade för situationer där det finns ett gott faktaunderlag om förhållandena i det tredjelandet och där det handlar om en pla- nerad överföring av en omfattande mängd personuppgifter, vilket i sig ger anledning till särskilt samlade och övertänkta ställnings- taganden. För den typen av överföringar är bestämmelserna ända- målsenligt utformade. I en myndighets dagliga verksamhet med t.ex. ärendehantering torde det i realiteten vara tämligen vanskligt att göra den typen av bedömningar för varierande situationer, personuppgiftskategorier och olika mottagarländer. Till saken hör även att kommissionens beslut om adekvat skyddsnivå i vissa länder endast omfattar ett förhållandevis begränsat antal stater eller mottagare. Samtycke från berörda registrerade är inte ett undantag som kan fungera tillfredsställande i myndigheters verksamhet. Om t.ex. en inlaga ska kommuniceras med en part, så skulle det inte räcka med att inhämta dennes samtycke. Andra i inlagan eventuellt omnämnda personer måste också kontaktas och tillfrågas. Ett sådant förfar- ande är inte förenligt med att myndigheterna måste ha förutsätt- ningar att sköta sina uppgifter på ett rationellt och effektivt sätt. Övriga undantag som föreskrivs i 34 § PuL är inte heller helt anpassade för myndigheternas behov eller allmänhetens förvänt- ningar. Visserligen torde bestämmelsen i 34 § första stycket c – på motsvarande sätt som undantaget i 16 § första stycket c PuL i fråga om känsliga personuppgifter – kunna ge ett visst utrymme för en handläggande myndighet att i vissa sorters ärenden trots förbudet i 33 § första stycket överföra personuppgifter till tredjeland som sak- nar adekvat skyddsnivå. Vi bedömer dock att det undantaget, som förefaller tämligen oklart till sin räckvidd, inte fyller det generella behov som kan finnas hos alla myndigheter att i ett enskilt fall kunna överföra personuppgifter till tredjeland. De behov av ytterligare undantag som vi identifierat tar sikte på två olika situationer. För det första måste myndigheter på ett rättssäkert och effektivt sätt kunna handlägga ärenden med användning av modern teknik för att kommunicera och kunna förmedla information även till enskilda som befinner sig i avlägsna länder. Vi menar att överföring av personuppgifter som krävs för handläggning av ett visst ärende uppfyller direktivets krav på att utgöra ett viktigt allmänt intresse (artikel 26.1 d) för vilket medlemsstater får föreskriva undantag i nationell rätt. Vi föreslår därför ett sådant undantag. När det gäller överföring av personuppgifter utanför ramen för en myndighets ärendehandläggning ser vi däremot inget behov av ett generellt undan- tag. Det andra behovet av undantag är föranlett av att myndigheter kan ha uppgiftsskyldighet i förhållande till myndigheter i tredjeland eller till internationella organisationer. Om det är nödvändigt för en myndighet att överföra uppgifter till tredjeland för att fullgöra en uppgiftsskyldighet i lag eller förordning eller en internationell överenskommelse som är bindande för , finns det uppenbar- ligen ett viktigt allmänt intresse av att myndigheten kan fullgöra denna skyldighet med användning av modern informationsteknik utan hinder av överföringsförbudet enligt 33 § PuL. Detsamma gäller i fråga om uppgifter för vidare bearbetningar utomlands. Mot den bakgrunden föreslår vi ett generellt undantag för uppgiftsskyldig- heter av det slaget.