sou · H3B339 · 2015-04-08 00:00:00 — SOU och Ds kan köpas från kundtjänst. Beställningsadress: kundtjänst, 106 47 För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför. Statsrådsberedningen, SB PM 2003:2 (reviderad ) En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på regeringen.se/remiss. Layout: Kommittéservice, . Tryck: , 2015. Till statsrådet och chefen för bemyndigade regeringen chefen för departementet att tillkalla en särskild utredare med uppdrag att se över den s.k. registerlagstiftningen och vissa därmed sammanhängande frågor. Regeringen beslutade om direktiv för utredningen (dir. 2011:11). Till särskild utredare förordnades justitierådet . Utredningen har antagit namnet Informationshanteringsutred- ningen (Ju 2011:11). lämnades delbetänkandet Överskottsinformation vid direktåtkomst (SOU 2012:90). beslutade regeringen tilläggsdirektiv med föränd- rad inriktning avseende metoden för översynen m.m. (dir. 2014:31). Nya tilläggsdirektiv om viss förlängning av redovisningstiden be- slutades (dir. 2014:147). Utredaren har biträtts av en sakkunnig, experter och ett sekretariat. Medverkande i den del av uppdraget som redovisas i detta betänkande anges på omstående sidor. Härmed överlämnas slutbetänkandet Myndighetsdatalag (SOU 2015:39). Till betänkandet fogas ett särskilt yttrande av experten . Uppdraget är härmed slutfört. Förteckning över sakkunnig, experter och sekreterare som deltagit i utredningsarbetet fr.o.m. . (förordnade fr.o.m. om inget annat anges) , dåvarande rättssakkunnig, (fr.o.m. 2013-01-12 ) Per , advokat, numera Advokataktiebolaget , ämnessakkunnig, () Per Hultengård, chefsjurist, , enhetschef, , förvaltningsjurist, , (med uppehåll fr.o.m. 2013-01-12 ) , chefsjurist, , kammarrättsråd, fr.o.m. 2015-02-01 , förbundsjurist, och () , analytiker, Myndigheten för samhällsskydd och beredskap , professor, , rättssakkunnig, (fr.o.m. 2013-11-11) Per Trehörning, ombudsman, , dåvarande förvaltningsjurist, (fr.o.m. 2013-01-12 ) , numera chefsjurist, , tidigare verksamhetsområdeschef, (fr.o.m. 2013-11-11) , förbundsjurist, och (fr.o.m. 2014-01-01) , rättslig expert, , dåvarande kammarrättsassessor () , kammarrättsråd, (fr.o.m. 2013-10-01 ) , rådman Förslag till myndighetsdatalag ................................................ 1.2Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)........................................................ Vårt uppdrag och arbete.............................................. Slutbetänkandets disposition m.m.......................................... 3.1.1 Informationssamhället och den offentliga 3.1.2 Aktuell it-politik och strategi ...................................... Förvaltningspolitik och e-förvaltning ......................... Rättslig reglering till skydd för personuppgifter ................... 3.2.1 Internationella åtaganden avseende dataskydd ........... Pågående reformarbete inom EU ........................................... Förslaget till uppgiftsskyddsförordning..................... Registerförfattningar – ett komplext rättsområde............ Registerförfattningarna och datalagen........................ Registerförfattningarna och personuppgiftslagen...... Vår inventering av registerförfattningarna............................. Tre kategorier registerförfattningar............................ Några ytterligare iakttagelser .................................... Bör en åtskillnad mellan olika former av elektroniskt 5.1Problembild enligt direktiven och utredningens Utredningens bedömning i delbetänkandet ............. 5.2Nuvarande regler som i allmän mening styr uppgiftsutbyte mellan myndigheter ..................................... Samverkan enligt förvaltningslagen........................... Offentlighets- och sekretesslagen............................. 5.3 Uppgiftsutbyte genom direktåtkomst ................................. 5.3.2 Hur regleras en myndighets direktåtkomst till en annan myndighets informationssamlingar?.............. 5.4Uppgiftsutbyte genom utlämnande på medium för 5.4.2 Hur regleras utlämnande på medium för automatiserad behandling?......................................... Den tekniska utvecklingen .................................................... 5.5.1 uttalanden om den tekniska utvecklingens betydelse för begreppens innebörd.... 5.5.2 Uppgiftsutbyte mellan och Effektivitetsvinster och integritetsrisker.............................. 5.7.1 Att enbart beskriva direktåtkomst som en form av elektroniskt utlämnande ger en otillräcklig bild av vad åtkomsten rättsligt innebär............................. 5.7.2 Annat utlämnande i elektronisk form ger inte i sig upphov till att särskilda åtgärder behöver 5.7.3 Vilken betydelse har den tekniska utvecklingen?..... Effektivitetsvinster och integritetsrisker .................. 5.7.5 Principiella och rättsliga skäl samt krav på förberedande analyser och åtgärder medför behov av en fortsatt åtskillnad .............................................. Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras för att undvika konflikt med internationella 6.2.1 Behovet av en ny bestämmelse................................... 6.2.2 Hur kan 6 kap. 5 § OSL justeras?.............................. 6.2.3 Vår bedömning ........................................................... EN NY LAG OM MYNDIGHETERS BEHANDLING AV En generell reglering – utgångspunkter och inledande 7.1.2 Förutsättningarna för en generell reglering.............. 7.1.3 En generell reglering?................................................. 7.2En generell lag för myndigheters behandling av 7.2.1 En generell reglering bör ha form av lag................... 7.2.2 Kort om lagens innehåll och den lagtekniska Normgivningsnivå för särreglering ...................................... En bestämmelse om lagens syfte .......................................... 8.1.2 Våra överväganden och förslag.................................. 8.2.1 Vilka myndigheter bör omfattas av lagens 8.2.2 Vilka verksamheter bör omfattas av lagens 8.2.3 Lagens förhållande till befintliga 8.2.4 Vilka slags behandlingar och uppgifter bör omfattas av lagens tillämpningsområde? Lagens förhållande till personuppgiftslagen Våra överväganden och förslag .................................. 9.1Hur bestäms vad som är en statlig eller 9.2 När får myndigheter behandla personuppgifter?................. Allmänna dataskyddsrättsliga regler.......................... Reglering i registerförfattningar ................................ Särskilt om ändamålsbestämning............................... 9.2.4 Våra överväganden och förslag .................................. 9.3Tillåten behandling av särskilda kategorier av 9.3.2 Personuppgifter om lagöverträdelser m.m................ Personnummer och samordningsnummer................ Våra överväganden och förslag .................................. Personuppgiftsansvar och säkerhet............................. 10.1.1 Allmänna dataskyddsrättsliga regler.......................... 10.1.2 Allmänt om personuppgiftsansvar och om 10.1.3 Reglering i registerförfattningar ................................ 10.1.4 Våra överväganden och förslag .................................. Säkerhet vid behandling av personuppgifter ........................ 10.2.1 Allmänna dataskyddsrättsliga regler.......................... 10.2.2 Innebörden av kraven på säkerhetsåtgärder m.m. 10.2.3 Reglering i registerförfattningar ................................ 10.2.4 Informationssäkerhet i ett vidare perspektiv ............ 10.2.5 Våra överväganden och förslag .................................. Att lämna ut personuppgifter i elektronisk form ........... Reglering av direktåtkomst................................................... 11.1.1 Definition av begreppet direktåtkomst .................... 11.1.2 Bör det finnas ett generellt krav på författningsstöd för direktåtkomst? 11.1.3 En ny regel som generellt bryter sekretess vid direktåtkomst för myndigheter................................. 11.1.4 Hur bestämmelser om direktåtkomst med sekretessbrytande effekt bör utformas ..................... 11.1.5 Finns det anledning att begränsa en myndighets möjlighet att medge direktåtkomst till offentliga 11.2 Behövs särskilda regler för annat elektroniskt utlämnande än direktåtkomst? 11.2.1 Nuvarande bestämmelser om elektroniskt 11.2.2 Terminologin rörande annat elektroniskt 11.2.3 Bör utlämnande i elektronisk form kräva stöd i lag eller förordning?................................................... 11.2.4 Behövs en särskild bestämmelse som begränsar utlämnanden i elektronisk form? 11.3Bör sökbegränsningar som tar sikte på en utlämnande myndighet även gälla för en mottagande myndighet som 11.3.2 Vad bör gälla i fortsättningen? Överföring till tredjeland............................................ Allmänna dataskyddsrättsliga regler..................................... Vad avses med begreppet överföring?.................................. Reglering i registerförfattningar........................................... Sekretess och överföring till tredjeland m.m....................... Våra överväganden och förslag ............................................. 13 Information till den registrerade................................. Allmänna dataskyddsrättsliga regler..................................... Reglering i registerförfattningar ........................................... Andra bestämmelser om rätt till information på begäran ... Våra överväganden och förslag.............................................. 13.4.1 Information som ska lämnas självmant..................... 13.4.2 Information som ska lämnas efter ansökan .............. 13.4.3 Begränsningar i informationsplikten på grund av Bevarande och gallring ............................................. Allmänna dataskyddsrättsliga regler..................................... Reglering i registerförfattningar ........................................... Våra överväganden och förslag.............................................. 14.4.1 Allmänna utgångspunkter.......................................... 14.4.2 Vilken huvudprincip bör gälla?.................................. 14.4.3 Regler om undantag från huvudregeln om 14.4.4 Utformningen av specifika gallringsbestämmelser... 14.4.5 Åtgärder för att skydda bevarade personuppgifter... 14.4.6 Personuppgifter som ingår i handlingar som inte 15 Skyldighet att vidta åtgärder då personuppgifter är oriktiga eller behandlas otillåtet................................. Allmänna dataskyddsrättsliga regler..................................... Reglering i registerförfattningar ........................................... Förvaltningslagens bestämmelser om rättelse m.m. ............ Våra överväganden och förslag ............................................. 15.4.1 Det behövs bestämmelser om rättelse m.m. av personuppgifter som kompletterar reglerna i 15.4.2 En åtskillnad bör göras mellan korrigering i form av rättelse av felaktiga personuppgifter och korrigering när uppgifter har behandlats på ett 15.4.3 En särskild bestämmelse om skyldighet att rätta felaktiga eller ofullständiga personuppgifter ............ 15.4.4 En särskild bestämmelse om skyldighet att korrigera en behandling som är otillåten .................. Anmälan till tillsynsmyndigheten m.m. ....................... Allmänna dataskyddsrättsliga regler..................................... Reglering i registerförfattningar........................................... Andra bestämmelser om information till allmänheten Våra överväganden och förslag ............................................. 16.4.1 Anmälningsskyldighet m.m....................................... 16.4.3 Upplysningar till allmänheten ................................... befogenheter i förhållande till Allmänna dataskyddsrättsliga regler..................................... Reglering i registerförfattningar........................................... Våra överväganden och förslag ............................................. 17.3.1 Utgångspunkter för tillsynen på 17.3.2 Befogenheter för att undersöka om personuppgifter behandlas på ett tillåtet sätt ........... 17.3.3 Påpekanden eller andra åtgärder som inte är tvingande i förebyggande syfte.................................. 17.3.4 Tvingande åtgärder i form av föreläggande eller 17.3.5 Befogenhet att besluta om vite .................................. 17.3.6 Befogenhet att ansöka hos allmän förvaltningsdomstol om utplåning av uppgifter ....... Skadestånd och straff............................................................. 18.1.1 Allmänna dataskyddsrättsliga regler.......................... 18.1.2 Reglering i registerförfattningar ................................ 18.1.3 Allmänna regler om skadestånd och straff på 18.1.4 Justitiekanslerns skadereglering på grund av 48 § 18.1.5 Våra överväganden och förslag .................................. 18.2.1 Bestämmelser som avviker från eller kompletterar den nya lagen............................................................... 18.2.2 Våra överväganden och förslag .................................. 18.3.1 Allmänna dataskyddsrättsliga regler.......................... 18.3.2 Allmänna bestämmelser om överklagande av 18.3.3 Våra överväganden och förslag .................................. Det framtida lagstiftningsarbetet med utgångspunkt i en ny lag om myndigheters behandling av personuppgifter .... 19.1.1 Allmänna konsekvenser.............................................. 19.1.2 Vissa särskilda konsekvenser...................................... Den nya lagen och ett införande av en unionsrättslig 19.2.1 Allmänna iakttagelser ................................................. 19.2.2 Särskilda iakttagelser................................................... 19.2.3 Konsekvenser för myndighetsverksamhet som inte omfattas av förordningen.................................... Enligt kommittéförordning och direktiv............................. Ikraftträdande och övergångsbestämmelser ................. Lagen om ändring i offentlighets- och sekretesslagen ........ Förslaget till myndighetsdatalag........................................... Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400) ..................................................... direktiv /46/EG av den 24 ok- tober 1995 om skydd för en- skilda personer med avseende på och om det fria flödet av sådana Europeiska domstolen för de skydd för de mänskliga rättig- följande sida/sidor förvaltningslagen (1986:223) kommunallagen (1991:900) Nytt juridiskt arkiv, avdelning I personuppgiftslagen (1998:204) sekretesslagen (1980:100) skadeståndslagen (1972:207) SOU 2015:39 Förkortningar m.m. förordning om skydd för en- skilda personer med avseende på och om det fria flödet av sådana Kortformer för viss citerad litteratur mentarer, , Zeteo 2009, , Zeteo En kommentar, uppl. I detta slutbetänkande redovisar vi vårt övergripande uppdrag att se över den s.k. registerlagstiftningen, ett rättsområde som omfattar ett stort antal sektors- eller myndighetsspecifika lagar och förord- ningar som kompletterar personuppgiftslagen (1998:204) och inne- håller bestämmelser om statliga och kommunala myndigheters be- handling av personuppgifter. Denna översyn ska ske genom att utreda förutsättningarna för att skapa en generell, enhetlig och – helt eller i vart fall delvis – samlad reglering för myndigheternas behandling av personuppgifter (dir. 2014:31). Den brottsbekämp- ande verksamheten ingår dock inte i vårt uppdrag. Det kan inledningsvis påpekas att vårt uppdrag i huvudsak är ett lagtekniskt reformarbete med inriktning på att göra nu gällande rätt beträffande dataskydd tydligare på myndighetsområdet. Några betydande förändringar vad gäller om och hur myndigheter får be- handla personuppgifter eller omprövningar av tidigare avvägningar mellan t.ex. effektivitetssträvanden och skyddet för enskildas per- sonliga integritet ingår alltså inte i uppdraget. Vårt uppdrag har sin bakgrund i att det i olika sammanhang fram- förts kritik mot registerlagstiftningen för att vara ett svåröverblick- bart och fragmenterat rättsområde med bristande enhetlighet i struktur och normtekniska lösningar samt med, i en del fall, otill- räcklig anpassning till annan lagstiftning av central betydelse för myndigheternas informationshantering såsom tryckfrihetsförord- ningens bestämmelser om allmänna handlingar och offentlighets- och sekretesslagen (2009:400). Vi delar i stort denna problembild och har kunnat konstatera att problemen skapar osäkerhet i tillämp- ningen, vilket bl.a. gör uppgiftsutbyte och annat samarbete mellan myndigheter onödigt komplicerat. Det försvårar också för enskilda registrerade och allmänheten att förstå vad som egentligen gäller för myndigheters informationshantering. Vidare är det ett problem i sig att registerlagar ofta behöver ändras till följd av att myndig- heterna får nya uppgifter. Ett ytterligare problem som vi identifierat är att den allmänna regleringen i personuppgiftslagen har utformats utan hänsyn till de särskilda förhållanden som gäller för myndigheters personuppgifts- behandling. För myndigheter i allmänhet, dvs. inte bara för sådana som omfattas av särskild registerlagstiftning, präglas personupp- giftsbehandlingen av att den sker i verksamheter som är författ- ningsreglerade, oftast i fråga om såväl vad som ska göras som hur det ska göras. Den informationshantering som verksamheten gene- rerar styrs vidare av, utöver tidigare nämnda regelverk, annan cen- tral reglering, exempelvis förvaltningslagen (1986:223) och arkiv- lagen (1990:782) som alltså gäller utöver personuppgiftslagen. Detta förhållande innebär generellt sett en avgörande skillnad i jämförelse med personuppgiftsbehandling inom den enskilda sektorn. Inledande ställningstaganden och utgångspunkter för en generell reglering Mot bakgrund av bl.a. den beskrivna problembilden finns ett ange- läget behov av förändringar i den reglering som rör personuppgifts- behandling inom den offentliga sektorn. En samlad reglering i en lag om myndigheters behandling av personuppgifter gör det möj- ligt att åstadkomma ett tydligt regelverk som är lättare att tillämpa och bättre anpassat till övrig reglering av betydelse för myndig- heters informationshantering. En sammanhållen lag ger också bättre förutsättningar för allmänhetens insyn och för enskilda registrerades möjligheter att göra gällande sina rättigheter enligt det dataskydds- rättsliga regelverket. Till bilden hör vidare att en samlad reglering är mer ändamålsenlig för att möta den förändring som förväntas ske på det unionsrättsliga området genom en EU-förordning om allmänt uppgiftsskydd som ska ersätta det s.k. dataskyddsdirektivet. Vi föreslår därför en ny lag – myndighetsdatalagen – som företer likheter med förekommande registerförfattningar men som inne- håller bestämmelser som kan gälla generellt för alla statliga och kommunala myndigheters personuppgiftsbehandling frånsett den brottsbekämpande sektorn. Vårt förslag till ny lag har arbetats fram utifrån bl.a. följande utgångspunkter. Regleringen bör utformas som en renodlad persondataskydds- reglering som bara tar sikte på frågor om skydd för personupp- gifter som uppstår i myndigheternas elektroniska informationshante- ring, vilken är en integrerad del av myndigheternas verksamheter på alla nivåer. Bestämmelserna i den nya lagen ska alltså inte i något avseende syfta till att reglera en myndighets sakverksamhet. Till den nya lagen ska det kunna finnas bilagor och en anslut- ande förordning. Efter hand som behov av sektors- eller myndig- hetsspecifika särregler uppstår kan sådana tas in i en systematiskt ordnad reglering som kompletterar den nya lagen. På så sätt uppnås ett sammanhållet ramverk med enhetligt utformad reglering både vad avser förhållanden som kan regleras generellt och förhållanden där fortsatta särregler – utifrån närmare avvägningar mellan integri- tetsintressen och t.ex. effektivitetshänsyn på området i fråga – behöver finnas. Det är dock vår bedömning att behovet av fortsatt särreglering kommer att minska betydligt. Det är vår uppfattning att den särreglering av persondataskydds- frågor som även fortsättningsvis behöver finnas oftast ska kunna ges i förordning, vilket förenklar regelgivningen och underlättar nödvändiga förändringar vid ändringar i myndigheternas uppgifter m.m. Normgivningsreglerna i regeringsformen kräver normalt inte lagform för reglering av detta slag. Det sagda utesluter givetvis inte att lagnivå ibland krävs eller i vart fall framstår som lämplig av hän- syn till skyddet för enskildas integritet. Den nya lagen utesluter inte att det även fortsättningsvis för vissa myndigheter eller verksamheter kan komma att bedömas vara mera lämpligt från lagtekniska, systematiska eller andra synpunkter med särreglering i separat författning som gäller utöver den nya lagen, på motsvarande sätt som många registerlagar förhåller sig till personuppgiftslagen. Renodlade registerförfattningar om inrättandet och förandet av specifika register utgör ett slags verksamhetsreglering som även i fortsättningen bör regleras i särskild ordning, dvs. utanför den sam- lade regleringen. Eftersom en kommande EU-förordnings närmare innehåll av betydelse på myndighetsområdet – liksom ikraftträdandetidpunkten – är i hög grad oklart bör den nya lagen vara anpassad till gällande rätt på persondataskyddsområdet, dvs. till personuppgifts- lagen. Lagens syfte och tillämpningsområde Lagens syfte ska vara att dels ge myndigheter möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i deras verksamheter, dels skydda människor mot att deras personliga integritet kränks vid sådan behandling. Lagen ska i princip tillämpas av alla statliga och kommunala myn- digheter vid behandling av personuppgifter som är helt eller delvis automatiserad eller avser registerföring. Vissa verksamheter undantas dock från lagens tillämpnings- område nämligen 1) en myndighets administrativa verksamhet, 2) en myndighets verksamhet som personuppgiftsbiträde och 3) sådan verksamhet som bedrivs av behöriga myndigheter i syfte att före- bygga, förhindra eller upptäcka brottslig verksamhet, utreda eller beivra brott eller verkställa straffrättsliga påföljder. Förhållandet till avvikande bestämmelser i annan lag eller förordning och till personuppgiftslagen Lagen ska – med undantag för personuppgiftslagen och bestäm- melser som meddelats med stöd av den lagen – vara subsidiär i förhållande till bestämmelser i annan lag eller förordning som av- viker från lagens bestämmelser. Lagen har vidare konstruerats på det sättet att den gäller i stället för personuppgiftslagen, dock att det särskilt hänvisas till vissa bestämmelser i personuppgiftslagen som ska tillämpas på motsvarande sätt vid myndigheters behand- ling av personuppgifter enligt den nya lagen. Enligt dessa hänvis- ningar ska alltså personuppgiftslagens bestämmelser om defini- tioner (3 §), förhållandet till handlingsoffentligheten och arkivlag- stiftningen (8 §) och grundläggande krav på behandlingen (9 §) gälla. Dessutom hänvisas till personuppgiftslagens förbud mot behandling av sådana personuppgifter som definieras som känsliga (13 §) samt till undantagen från förbudet vid behandling med den registrerades uttryckliga samtycke (15 §), i vissa fall av nödvändig behandling (16 §), för hälso- och sjukvårdsändamål (18 §) samt för forsknings- eller statistikändamål (19 §). Vidare ska, i huvudsak, personuppgiftslagens bestämmelser om information som ska lämnas till den registrerade – dels i samband med att uppgifter samlas in, dels på begäran – tillämpas (23, 25 och 26 §) liksom bestämmelserna om överföring till tredjeland (33–35 §§) och om personuppgifts- ombud (38 och 40 §§). Slutligen ska personuppgiftslagens bestäm- melser om skadestånd (48 §) tillämpas på motsvarande sätt, dvs.