sou · H3B339 · 2015-04-08 00:00:00 — Förslag: I 10 kap. OSL införs det en generellt sekretessbrytande bestämmelse som innebär att föreskrifter i lag eller förordning om direktåtkomst för myndigheter i sig får en sekretessbryt- ande effekt. Därigenom behöver det inte längre införas särskilda sekretessbrytande bestämmelser för att möjliggöra direktåtkomst enligt den ordning som vanligtvis tillämpas. Den nya bestämmelsen bör knyta an till den definition av begreppet direktåtkomst som vi förordar. Bestämmelsen bör inte omfatta direktåtkomst som medges utländska myndigheter eller enskilda. När man överväger att underlätta ett uppgiftsutbyte mellan myn- digheter genom direktåtkomst får det från integritetsskydds- synpunkt alltså anses centralt att frågan om behovet av sekretess- brytande bestämmelser blir föremål för noggranna avvägningar så att en sådan bestämmelse inte blir onödigt vid. Det är också av stor betydelse att det klart framgår av en ny reglering vilket utbyte av uppgifter som utan hinder av sekretess får förekomma genom en direktåtkomst och hur åtkomsten får användas. Vi har alltså kunnat konstatera att den tillämpade ordningen med separata bestämmelser som medger direktåtkomst respektive är sekretess- brytande har medfört att rättsområdet blivit mycket svåröverskåd- ligt och att den reglering som förekommer delvis är inkonsekvent. I syfte att åstadkomma en klargörande reglering skulle enligt vår uppfattning mycket stå att vinna om man i offentlighets- och sekretesslagen genom en generellt gällande bestämmelse kunde föreskriva att en bestämmelse om direktåtkomst i sig är sekretess- brytande. I så fall skulle en bestämmelse som medger direkt- åtkomst inte behöva förenas med en särskild sekretessbrytande bestämmelse, exempelvis i form av en uppgiftsskyldighet. En sådan ordning förordades av Lagrådet i samband med in- förandet av registerförfattningar på skatteområdet (prop. 2000/01:33 s. 347). Lagrådet anförde att det var önskvärt att en formell överensstämmelse åstadkoms mellan registerlagarna och sekretess- lagen så att sekretessbrytande effekt av föreskrifter om direkt- åtkomst regleras i anslutning till dåvarande 14 kap. 1 och 3 §§ sekretesslagen (numera 10 kap. 28 respektive 27 §§ OSL). Att lämna ut personuppgifter i elektronisk form Förklaringen till att flertalet av de sekretessbrytande bestäm- melser som har införts i registerförfattningar för att möjliggöra direktåtkomst har utformats som uppgiftsskyldigheter torde, som vi redan konstaterat, vara att det då inte behöver föras in någon hänvisning i offentlighets- och sekretesslagen till den sekretess- brytande bestämmelsen. En uppgiftsskyldighet syftar emellertid i grunden inte till att bryta sekretess utan kan ha avfattats utan tanke på att avse just hemliga uppgifter. Det grundläggande syftet är snarare att göra klart att en myndighet är skyldig att lämna en viss uppgift till en annan myndighet utan att någon prövning får ske. Motsatsvis finns en ovillkorlig rätt för den andra myndigheten att få uppgifterna. Som exempel kan nämnas bestämmelsen i 13 kap. 1 § RF som föreskriver att har rätt att få de handlingar från regeringen som utskottet finner nödvändigt för sin granskning. Bestämmelsen utvidgades genom grundlags- ändringar till att avse också andra handlingar hos regeringen än sådana som hör till regeringsärenden. I förarbetena konstaterades att 6 kap. 5 § OSL och den sekretessbrytande bestämmelsen i 10 kap. 15 § samma lag, som föreskriver att sekretess inte hindrar att en uppgift lämnas till eller regeringen (prop. 2009/10:80 s. 114 f.) i och för sig innebar en långtgående skyldighet för rege- ringen att på begäran av tillhandahålla utskottet uppgifter i andra handlingar än sådana som tillhör rege- ringsärenden. Regeringen framhöll att utskottet dock inte kunde grunda någon uttrycklig rätt att få tillgång till sådana handlingar p.g.a. bestämmelserna om kontrollmakten i dåvarande 12 kap. 1 § RF (numera 13 kap. 1 §), som då endast omfattade handlingar i regeringsärenden. En sådan uttrycklig rätt borde därför införas, vilket alltså skedde genom en utvidgning av tillämpningsområdet för regeringens uppgiftsskyldighet gentemot utskottet vid dess granskning. Vid direktåtkomst är det normalt de inblandade myndigheterna som gemensamt kommer överens om hur åtkomsten i praktiken ska ordnas och ytterst den utlämnande myndigheten som beslutar att ”släppa in” den mottagande myndigheten i sina uppgiftssam- lingar. I och med att direktåtkomsten faktiskt har etablerats, är de uppgifter som omfattas utlämnande till den myndigheten. Att upp- gifterna lämnas ut är alltså en faktisk och rättslig konsekvens av att direktåtkomsten verkställs. Och detta är i sin tur alltså en följd av Att lämna ut personuppgifter i elektronisk form den utlämnande myndighetens beslut även om etableringen av direktåtkomsten förutsätter viss samverkan med den mottagande myndigheten för att förbereda åtkomsten tekniskt och på andra sätt. Vid direktåtkomst är det således normalt sett inte fråga om en situation där det finns ett behov av att klargöra att den utlämnande myndigheten har en skyldighet att lämna ut uppgifter respektive att den mottagande myndigheten har en ovillkorlig rätt att få ut upp- gifterna. Är inblandade myndigheter väl överens om att direktåtkomsten faktiskt kan etableras, blir utlämnandet alltså ett resultat av denna överenskommelse. En uppgiftsskyldighet i en särskild sekretess- brytande bestämmelse kan visserligen vara en förutsättning men är inte i sig styrande för att en överenskommelse om direktåtkomst faktiskt ska komma till stånd. Situationen blir förstås annorlunda om det i bestämmelsen om direktåtkomst föreskrivs att sådan åtkomst ”ska” medges. En sådan bestämmelse fungerar ju som styrande både för att åtkomsten faktiskt ska komma till stånd och för att sekretessen ovillkorligen bryts. Som redan framhållits är denna typ av bestämmelse mycket ovanlig, i allmänhet reglerar man endast att direktåtkomst ”får medges”. Det ankommer alltså i de allra flesta fall på den utlämnande myndigheten att besluta om huruvida direktåtkomsten i praktiken ska medges. I en sådan situa- tion finns det således inget behov av att den sekretessbrytande bestämmelsen ska ha formen av en uppgiftsskyldighet, utan det räcker med att den har en sekretessbrytande effekt. Som vi redan framhållit torde förklaringen till att det är just formen uppgiftsskyldighet som i allmänhet ändå har valts som sekretessbrytande bestämmelse vid direktåtkomst vara att man då slipper ändringar i offentlighets- och sekretesslagen. Enligt vår mening är det emellertid principiellt sett otillfredsställande att den sekretessbrytande effekt som krävs vid direktåtkomst åstadkoms genom att man inför regler som föreskriver en uppgiftsskyldighet som kanske sakligt sett inte alls behövs och som dessutom kanske inte efterlevs i den mån direktåtkomst av något skäl inte kommer till stånd. En bestämmelse som, utan att hänvisa till uppgifts- skyldighet, direkt i offentlighets- och sekretesslagen föreskriver att sekretess inte hindrar att uppgift lämnas till en myndighet som har medgetts direktåtkomst till en annan myndighets uppgiftssamlingar skulle således på ett betydligt bättre sätt åstadkomma den sekre- Att lämna ut personuppgifter i elektronisk form tessbrytande effekt som behövs vid sådan åtkomst. Vi föreslår därför att det införs en sådan bestämmelse. I enlighet med bestämmelserna i 8 kap. 1 § OSL bör den nya bestämmelsen hänvisa till en direktåtkomst som medgetts i lag eller förordning. En sådan formulering stämmer också överens med den bestämmelse som vi föreslår ska införas i den nya lagen om myndigheters behandling av personuppgifter, vilken föreskriver att direktåtkomst till sekretessreglerade personuppgifter inte är tillåten utan ett uttryckligt stöd i lag eller förordning. Eftersom den nya bestämmelsen i offentlighets- och sekretesslagen syftar till att vara generellt sekretessbrytande bör den införas i 10 kap. Då den avser att bryta sekretess vid direktåtkomst för andra myndigheter oavsett i vilken verksamhet direktåtkomsten förekommer kan den lämp- ligen införas som ett nytt andra stycke i 10 kap. 28 §. Bestäm- melsen bör knyta an till den definition av begreppet direktåtkomst som vi förordar, dvs. att det ska vara frågan om sådan teknisk till- gång till upptagningar hos en annan myndighet som avses i 2 kap. 3 § andra stycket TF. Enligt sin nuvarande utformning tar 10 kap. 28 § OSL enbart sikte på att reglera när sekretess inte ska gälla i förhållande till svenska myndigheter. Detsamma bör gälla i fråga om den sekre- tessbrytande bestämmelsen vid direktåtkomst som föreslås. I fråga om direktåtkomst som medges utländska myndigheter får i stället bestämmelsen i 8 kap. 3 § OSL tillämpas. Enligt den bestäm- melsen gäller inte sekretess i förhållande till en utländsk myndighet eller en mellanfolklig organisation om utlämnandet sker i enlighet med särskild föreskrift i lag eller förordning. Med lag likställs EU- förordningar (Lenberg m.fl., kommentaren till 8 kap. 3 §). Genom att bestämmelsen görs generellt tillämplig i de fall en myndighet ska få medges direktåtkomst kommer den att vara sekretessbrytande också i förhållande till brottsbekämpande myn- digheter. Den kommer också att bryta sekretess i fråga om upp- gifter som inte är personuppgifter. Visserligen ingår det inte i vårt uppdrag att överväga vad som ska gälla i fråga om behandling av personuppgifter hos brottsbekämpande myndigheter och inte heller att överväga ny reglering av andra uppgifter än personuppgifter. Enligt våra direktiv är vi emellertid oförhindrade att ta upp andra frågor än de som nämns i direktiven, om vi anser att dessa behöver regleras för att uppdraget ska kunna fullgöras på ett tillfredsställ- Att lämna ut personuppgifter i elektronisk form Den föreslagna sekretessbestämmelsen kan enligt vår mening knappast ges en tillfredsställande utformning om den inte görs generell på detta sätt. Den föreslagna generellt sekretessbrytande bestämmelsen tar alltså sikte på de fall då direktåtkomst har medgetts en annan svensk myndighet. Den kommer alltså inte att omfatta också de fall då enskilda har tillåtits få en sådan åtkomst. Det kan konstateras att det är ovanligt att enskilda bereds möjlighet att genom direkt- åtkomst ta del av sekretessreglerade uppgifter. Det finns således inget egentligt behov av att införa en generellt sekretessbrytande regel för sådana fall. Flertalet av de generellt sekretessbrytande bestämmelserna som införts i 10 kap. tar också sikte på utlämnande av uppgifter till myndigheter. Enligt vår uppfattning bör det därför inte föreslås någon motsvarande bestämmelse som gäller till för- mån för enskilda. I den mån en sekretessbrytande bestämmelse behövs för att möjliggöra en direktåtkomst för enskilda måste det således också i fortsättningen göras en ändring i offentlighets- och sekretesslagen, antingen i form av att en särskild sekretessbrytande bestämmelse införs eller att en hänvisning görs till en sådan bestämmelse i annan lag eller förordning. 11.1.4Hur bestämmelser om direktåtkomst med sekretessbrytande effekt bör utformas En förenkling av regelverket kring direktåtkomst Om det införs en bestämmelse i offentlighets- och sekretesslagen som föreskriver att direktåtkomst som tillåtits i lag eller förordning i sig har en sekretessbrytande effekt finns det alltså inte längre ett behov av att en bestämmelse om direktåtkomst förenas med en särskild sekretessbrytande bestämmelse. Det innebär att det i fort- sättningen inte behöver införas några särskilda sekretessbrytande bestämmelser i samband med att det enligt lag eller förordning tillåts nya direktåtkomster för myndigheter. Vidare kan, då gäll- ande registerförfattningar ses över, sådana särskilda sekretess- brytande bestämmelser som har införts för att möjliggöra en viss direktåtkomst upphävas, eftersom de inte längre behövs förutsatt att själva direktåtkomsten har författningsstöd. Frågan blir då vilka krav som bör ställas på regler genom vilka direktåtkomst medges. Att lämna ut personuppgifter i elektronisk form Innan vi går in på den saken finns det skäl att något beröra en särskild avgränsningsfråga. I en del registerförfattningar har det införts uppgiftsskyldig- heter som syftar till att komplettera den sekretessbrytande bestäm- melse som avses möjliggöra direktåtkomsten. Det anses finnas behov av ett sådant komplement för det fall att det p.g.a. tekniska problem inte går att använda sig av direktåtkomst (prop. 2010:11/78 s. 21). Därigenom avses det bli möjligt att i stället lämna ut upp- gifterna via telefon eller e-post. Som exempel på en sådan bestäm- melse om kompletterande uppgiftsskyldighet kan nämnas 4 § första stycket andra meningen förordningen (2001:588) om behandling av uppgifter i beskattningsverksamhet. Vid en direktåtkomst är samtliga de uppgifter som omfattas av åtkomsten att anse som utlämnade till den mottagande myndig- heten i den stund åtkomsten etableras. Om det därefter uppstår tekniska problem som innebär att det tillfälligtvis inte är möjligt att via den tekniska anslutningen göra en faktisk överföring av upp- gifter i ett konkret fall och uppgifterna i stället överförs manuellt via exempelvis telefon eller e-post, förefaller det enligt vår mening långsökt att se detta som ett nytt utlämnande som i så fall rättsligt sett sker utanför direktåtkomsten. Ett annat synsätt skulle kunna vara att den utlämnande myndigheten i detta fall hjälper den mottagande myndigheten med att genomföra den faktiska över- föringen, eftersom uppgifterna rättsligt redan har lämnats ut till den myndigheten. Med ett sådant synsätt skulle det alltså fort- farande vara fråga om en faktisk överföring av uppgifter inom ramen för en redan beviljad direktåtkomst, låt vara att den vid ett visst tillfälle behöver ske med en hjälpinsats från den utlämnande myndigheten. Om man ändå väljer att betrakta ett manuellt utlämnande som behöver ske då direktåtkomsten inte fungerar som ett i formell mening nytt utlämnande, torde det ändå vara så att detta kan ske med stöd av den s.k. generalklausulen i 10 kap. 27 § OSL. Direkt- åtkomst är ju den mest ingripande formen för ett uppgiftsutbyte. Om en bestämmelse som tillåter en sådan åtkomst har införts, vilken kompletterats med en sekretessbrytande bestämmelse som möjliggör åtkomsten eller är sekretessbrytande i sig, bör det inte vara något problem att kunna konstatera att den intresseavvägning som ska göras vid en tillämpning av den s.k. generalklausulen får till Att lämna ut personuppgifter i elektronisk form resultat att ett utlämnande är möjligt för att lösa en tillfällig problem- situation som har uppstått inom ramen för direktåtkomsten. Med stöd av 10 kap. 27 § OSL bör uppgifter alltså tillfälligtvis kunna överföras också manuellt i ett enskilt fall. Här bör dock uppmärk- sammas att den bestämmelsen inte gäller i fråga om viss sekretess enligt de lagrum som räknas upp i paragrafen. I dessa undantagsfall kan alltså eventuellt en kompletterande uppgiftsskyldighet behövas om direktåtkomst medges på dessa sekretessområden och det av oss förespråkade betraktelsesättet inte anläggs. Enligt vår uppfattning finns alltså som huvudregel inte något behov av kompletterande uppgiftsskyldigheter som syftar till att vara någon slags ”back up” i den händelse direktåtkomsten av tekniska skäl inte kan användas vid ett visst tillfälle. Vi anser därför att den generellt sekretessbrytande bestämmelsen som vi föreslår ska införas i 10 kap. OSL är tillräcklig för att bryta sekretess även då direktåtkomsten inte fungerar och att – i den mån ett momentant manuellt utlämnande inte betraktas som en del av den redan eta- blerade direktåtkomsten – i vart fall 10 kap. 27 § OSL kan användas då en direktåtkomst tillfälligtvis drabbas av tekniska problem. Det innebär att sådana uppgiftsskyldigheter som enbart har till syfte att komplettera en sekretessbrytande bestämmelse som ska möjliggöra direktåtkomst med vårt förslag framöver i princip kan avvaras. Eftersom en bestämmelse om direktåtkomst i sig blir sekretessbrytande ställs krav på att den har en tillräcklig konkretion Vårt förslag till en ny generellt sekretessbrytande bestämmelse innebär alltså att bestämmelser om direktåtkomst i sig kommer att styra i vilken omfattning uppgifter kan lämnas ut genom direkt- åtkomst utan hinder av sekretess. Det medför i sin tur ett krav på att sådana bestämmelser formuleras så att åtkomstens omfattning och därmed dess sekretessbrytande effekt beskrivs på ett tydligt sätt. Formuleringen måste syfta till att beskriva omfattningen så att den täcker samtliga slags uppgifter som den utlämnande myndig- heten gör tekniskt åtkomliga för den mottagande myndigheten, eftersom alla dessa uppgifter lämnas ut i den stund åtkomsten fak- tiskt etableras. Att lämna ut personuppgifter i elektronisk form I gällande författningar används olika former av formuleringar för att beskriva vilken direktåtkomst som får medges en myndighet eller enskild aktör. görs en uppräkning av vilka uppgifter åtkomsten får omfatta. Som exempel kan nämnas 2 kap. 7–9 §§ lagen (2001:181) om behandling av uppgifter i beskatt- ningsverksamhet. Där anges, med hänvisning till andra paragrafer, vilka slags uppgifter som genom direktåtkomst får vara tillgängliga för brottsutredande verksamhet, , och socialnämnder. Genom en sådan formulering blir det tydligt vilken omfattning åtkomsten har. En sådan bestämmelse skulle därför även i sig kunna fungera som en sekretessbrytande bestämmelse. Ett annat exempel på en bestämmelse som på ett tydligt sätt beskriver en direktåtkomsts omfattning och som i sig skulle kunna ha en sekretessbrytande effekt är 8 § lagen (2006:444) om passagerarregister. I den paragrafen föreskrivs att Säkerhets- polisen får för sådan verksamhet som anges i en annan paragraf ha direktåtkomst till personuppgifterna i passagerarregistret. Den korresponderande uppgiftsskyldigheten i 6 § har också en i princip likalydande formulering. När det gäller direktåtkomst till socialförsäkringsdatabasen har emellertid en annan typ av formulering använts. I 114 kap. 19–23 §§ SFB föreskrivs att angivna aktörer får ha direktåtkomst till data- basen i den utsträckning åtkomsten behövs för de ändamål som beskrivs i bestämmelserna. Dessa bestämmelser syftar alltså till att föreskriva för vilka behov åtkomsten får användas och inte till att beskriva vilken omfattning åtkomsten får ha. I förordningen (2003:766) om behandling av personuppgifter inom socialförsäk- ringens administration finns i 3–4 §§ bestämmelser som komplet- terar vissa av de direktåtkomster som medges i 114 kap. 19–23 §§ SFB. Där beskrivs antingen vilka uppgifter direktåtkomsten får omfatta eller hänvisas till uppgiftsskyldigheter som följer av någon annan författning. I de fall en beskrivning lämnas av vilka uppgifter direktåtkomsten får omfatta finns det emellertid inte någon komplet- terande sekretessbrytande bestämmelse i förordningen. De upp- giftsskyldigheter som avser att bryta sekretessen i dessa fall finns i stället i andra författningar, men någon hänvisning lämnas inte till dem i förordningen. När det gäller socialförsäkringsdatabasen har alltså direktåtkomstens omfattning och kompletterande sekretess- brytande bestämmelser reglerats på tre olika ställen och i vissa fall Att lämna ut personuppgifter i elektronisk form utan att någon hänvisning mellan de olika regelverken har gjorts. Det kan också konstateras att det i ”portalparagraferna” om direkt- åtkomst i 114 kap. SFB inte regleras vilken omfattning direkt- åtkomsten får ha, vilket alltså är den huvudsakliga frågan som behöver regleras genom denna typ av bestämmelser, utan i stället hur direktåtkomsten får användas. Regler om hur direktåtkomsten får användas fungerar främst som styrande för vilka uppgifter som i enskilda fall får sökas fram och överföras genom åtkomsten. Bestämmelserna om direktåtkomst i 114 kap. SFB skulle alltså inte kunna fungera som föreskrifter som på ett tillräckligt tydligt sätt bryter sekretess vid sådan åtkomst. Det är i stället snarare bestäm- melserna i nämnda förordning som beskriver vilken omfattning i vart fall vissa av direktåtkomsterna har. Omfattningen av några av de direktåtkomster som medges till socialförsäkringsdatabasen regleras emellertid inte heller i den ovan nämnda förordningen. Det rör direktåtkomsterna för Statens tjänste- pensionsverk och . För Statens tjänstepensions- verk torde den korresponderande uppgiftsskyldigheten finnas i förordningen (1980:995) om skyldighet för och att lämna uppgifter till andra myndigheter. Där sägs dock endast i 2 § att uppgifter ska lämnas på begäran om de behövs för ärenden enligt vissa uppräknade författningar. Inte heller av denna bestämmelse framgår alltså vilken omfattning direktåtkomsten för får ha, utan endast för vilka behov en överföring får ske i enskilda fall. Frågan är också om denna typ av uppgiftsskyldighet över huvud taget bryter sekre- tess på ett sådant sätt att en direktåtkomst är möjlig. För KPA Pension AB:s del finns sekretessbrytande bestämmelser som even- tuellt kan möjliggöra bolagets direktåtkomst i 28 kap. 6 § OSL och 110 kap. 39 § SFB. Det går emellertid inte heller att mot bakgrund av dessa bestämmelser få en bild av vilken omfattning direkt- åtkomsten får ha, utan endast för vilket behov uppgifter får lämnas ut i ett enskilt fall. Vi kan bara konstatera att oavsett om en generellt sekretess- brytande bestämmelse införs eller inte, det inte kan anses tillfreds- ställande att det är så komplicerat att skaffa sig en bild av vilken omfattning direktåtkomsterna till socialförsäkringsdatabasen har. När det gäller direktåtkomsterna för och kan det ifrågasättas om gällande bestäm- Att lämna ut personuppgifter i elektronisk form melser över huvud taget reglerar vilken omfattning direktåtkomsten får ha. En förklaring till att bestämmelserna har utformats på detta otillfredsställande sätt kan vara att man har ansett det tillräckligt att använda de uppgiftsskyldigheter som har funnits , dvs. innan ett uppgiftsutbyte fick ske i formen av direktåtkomst utan som då skedde genom att uppgifter lämnades ut på begäran i enskilda fall efter en bedömning. Om man inte har gjort klart för sig vilken omfattning en direktåtkomst avses ha, är det emellertid knappast möjligt att ta ställning till om det redan finns en sekretessbrytande bestämmelse som möjliggör direktåtkomsten eller om en ny sådan bestämmelse behöver införas. Såväl i fråga om gällande regelverk som beträffande tillämp- ningen av den föreslagna generellt sekretessbrytande bestämmelsen är det således av stor vikt att regelverket ger ett tydligt svar på vilken omfattning en direktåtkomst får ha. Det är alltså inte till- räckligt att reglerna endast ger svar på i vilken utsträckning direkt- åtkomsten får användas i konkreta fall inom ramen för åtkomsten. I den mån bestämmelser om direktåtkomst har formulerats på det sätt som använts i fråga om socialförsäkringsdatabasen finns det därför enligt vår mening under alla förhållanden ett behov av att se över regelverket för att åstadkomma en tillräcklig tydlighet i fråga om åtkomstens omfattning. Den av oss föreslagna generellt sekretessbrytande bestämmelsen har således den positiva effekten att den tvingar fram tydlighet och innebär en förenkling av regelverket. Bestämmelsen innebär alltså att en regel som medger direktåtkomst kommer att ha en sekretessbrytande effekt. Därmed ställs det krav på lagstiftaren att ge bestämmelsen om direktåtkomst en tillräcklig konkretion. Efter- som en och samma bestämmelse både medger direktåtkomst och bryter sekretess skapas vidare ett betydligt mer lättöverskådligt regel- verk där inkonsekvenser enklare kan undvikas. Att åstadkomma bättre överskådlighet och tydlighet får anses särskilt betydelsefullt både för att upprätthålla ett tillfredsställande skydd för person- uppgifter vid direktåtkomst och för att skapa ett regelverk som är avsevärt lättare att tillämpa för myndigheterna.