sou · H3B339 · 2015-04-08 00:00:00 — Genom direktåtkomst torde också ett regelbundet inhämtande eller utläm- nande av uppgifter ske. Beskrivningen bör därför också innehålla information om hur åtkomsten är ordnad samt vilka uppgifter den omfattar (4 kap. 2 § andra stycket 6). Något krav på att registrera de allmänna handlingar som direkt- åtkomsten omfattar finns dock inte. Det ankommer enbart på den utlämnande myndigheten att registrera handlingarna (5 kap. 1 § andra stycket OSL). Att lämna ut personuppgifter i elektronisk form Våra överväganden och förslag Förslag och bedömning: Någon allmän regel om krav på för- fattningsstöd för direktåtkomst bör inte införas. Däremot före- slås den nya lagen innehålla en bestämmelse som föreskriver att direktåtkomst till sekretessreglerade personuppgifter ska ha stöd i lag eller förordning. Från bestämmelsens tillämpnings- område undantas direktåtkomst som medges den registrerade eller dennes ombud och som tar sikte på uppgifter som hänför sig till den registrerade, som medges till uppgifter som är sekre- tessreglerade enligt 21 kap. 7 § OSL, som medges ett person- uppgiftsbiträde eller som medges en myndighet endast för sådan teknisk bearbetning eller teknisk lagring som avses i 2 kap. 10 § första stycket TF för den utlämnande myndighetens räkning. Det bör inte införas bestämmelser som innebär ett generellt krav på särskilt författningsstöd för direktåtkomst Det kan konstateras att det inte finns något krav enligt gällande rätt på att direktåtkomst ska ha stöd i författning för att vara tillåten. Av vissa lagstiftningsärenden där registerförfattningar på olika områden har införts framgår emellertid att förslagen om bestämmelser om direktåtkomst bygger på ett antagande om att ett sådant stöd bör finnas. På somliga områden har det även införts bestämmelser som uttryckligen innebär att direktåtkomst bara är tillåten om den föreskrivs i lag eller förordning. Bortsett från så- dana nämnda områden där det sektorsvis införts krav på för- fattningsstöd strider det alltså inte mot någon bestämmelse att en myndighet på eget initiativ tillåter en annan myndighet eller någon annan aktör att få direktåtkomst till myndighetens informa- tionssamlingar. Det kan vidare konstateras att i de fall direktåtkomst har reg- lerats föreskrivs i de allra flesta fall att direktåtkomst ”får” medges. Ett undantag finns i den nya lagen (2014:484) om en databas för övervakning av och tillsyn över finansmarknaderna, som trätt i kraft . I den föreskrivs att direktåtkomst i vissa fall ”ska” medges. Att direktåtkomst ”får” medges innebär att den utlämnande myndigheten inte är skyldig att faktiskt anordna den Att lämna ut personuppgifter i elektronisk form direktåtkomst som regleringen i och för sig medger. I förarbeten har anförts att innebörden av en sådan författningsreglering är att den myndighet som angetts få ha direktåtkomst inte har en ovill- korlig rätt att få ut uppgifterna, utan att den myndighet som inne- har informationen har en rätt att medge sådan åtkomst (prop. 2011/12:45 s. 133). Den utlämnande myndigheten har ett prin- cipiellt ansvar att förvissa sig om att den myndighet som beviljas direktåtkomst vidtar de åtgärder som bedöms vara nödvändiga från säkerhetssynpunkt. Det påpekades vidare att detta förhållande tydliggörs i några författningar genom bestämmelser som anger att myndigheten i fråga inte får medge andra direktåtkomst till sina register innan den har försäkrat sig om behörighets- och säkerhets- frågorna är lösta på ett sätt som är tillfredsställande från integritets- synpunkt. Ett annat exempel på liknande förarbetsuttalanden kan hämtas från prop. 2008/09:96 där regeringen framhöll att det är viktigt att den utlämnande myndigheten försäkrar sig om att mot- tagaren tillgodoser de krav som följer av personuppgiftslagen med avseende på lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifterna innan myndigheten rent faktiskt medger direktåtkomst till uppgifter i sin databas för olika användare (s. 63). I de allra flesta fall där direktåtkomst har reglerats i en författ- ning är det alltså den utlämnande myndigheten som ytterst för- fogar över frågan om en direktåtkomst rent faktiskt ska komma till stånd. Detta får enligt vår mening uppfattas som en smidig och effektiv ordning, eftersom det då står den utlämnande myndig- heten fritt att välja på vilket sätt uppgiftsutbytet ska ske utifrån vad som är möjligt och lämpligt. Det ovan anförda ger enligt vår mening vid handen att det sak- nas skäl att införa generella bestämmelser som innebär att en direkt- åtkomst aldrig skulle vara tillåten utan särskilt författningsstöd. Vi föreslår därför inte någon sådan generell regel. Direktåtkomst till sekretessreglerade uppgifter bör kräva stöd i lag eller förordning Vi har i våra överväganden i frågan om det bör behållas en begrepps- mässig åtskillnad mellan direktåtkomst och annat elektroniskt utlämnande framhållit att direktåtkomst är en betydligt mer vitt- omfattande form av elektroniskt utlämnande än andra sådana utläm- Att lämna ut personuppgifter i elektronisk form nanden (se avsnitt 5.7). Att direktåtkomst är speciell illustreras av att varje sådan åtkomst i sig ger upphov till krav på att det övervägs om tillräcklig sekretess hos den mottagande myndigheten finns och om det finns en sekretessbrytande regel som möjliggör det utläm- nande av uppgifter som direktåtkomsten innebär. Om det saknas sådana bestämmelser måste de införas i förväg. Av hänsyn till frågor om skydd för personuppgifter i allmänhet och informationssäker- het samt fördelning av ansvar – både för verksamheten i stort och för personuppgifter – som väcks i samband med direktåtkomst är det också av stor vikt att även dessa frågor, liksom frågor om begränsning av överskottsinformation, är genomlysta och att de åtgärder som behövs har vidtagits innan direktåtkomsten etableras. Detta gäller i synnerhet när det är fråga om uppgifter som skyddas av regler om sekretess. Även om vi alltså inte föreslår något generellt krav på författ- ningsstöd för direktåtkomst talar enligt vår mening samma skäl som talar för att det också i fortsättningen bör göras en åtskillnad mellan begreppen direktåtkomst och annat elektroniskt utlämnande för att det bör införas ett uttryckligt krav på att direktåtkomst till sekretessreglerade personuppgifter ska ha stöd i lag eller förord- ning för att vara tillåten. Det kan dock konstateras att det följer av bestäm- melserna i offentlighets- och sekretesslagen att en sekretessbryt- ande regel måste finnas för att ett utlämnande av sekretessreglerade uppgifter som sker genom direktåtkomst inte ska strida mot bestämmelser om sekretess. Det finns alltså redan ett krav på att det vid direktåtkomst införs en sekretessbrytande bestämmelse i lag eller förordning som möjliggör åtkomsten, om en sådan bestäm- melse saknas. Det kan hävdas att det mest ingripande med en direktåtkomst är just nödvändigheten av att undanröja eventuella sekretesshinder så att gränsen mellan de inblandande myndig- heterna öppnas upp. Det skulle i så fall tala för att det är tillräckligt att det redan finns ett krav på att undanröja sådana hinder genom en bestämmelse i författning. Enligt vår uppfattning är det emellertid inte enbart behovet av en sekretessbrytande bestämmelse som gör att direktåtkomst sär- skiljer sig från andra former av elektroniska utlämnanden. Inte minst viktig är den omständigheten att den mottagande myndig- heten bildligt talat släpps in innanför den andra myndighetens Att lämna ut personuppgifter i elektronisk form Denna omständighet, som innebär att myndigheterna i viss mån sammanför sina verksamheter, har betydelse inte bara för de sekretessfrågor som uppstår utan även för integritetsskydd i vidare mening samt för frågor om fördelning av verksamhetsansvar, exempelvis beträffande informationssäkerhet och rent förvaltnings- rättsliga skyldigheter. Dessutom tillkommer alltså det förhållandet att i den mån en direktåtkomst i sig ger upphov till behov av författningsändringar det krävs att dessa har vidtagits på förhand, dvs. innan åtkomsten faktiskt etableras. Även för det fall det redan skulle finnas en tillämplig sekretessbrytande bestämmelse talar dessa omständigheter enligt vår uppfattning för att – i vart fall såvitt avser direktåtkomst till sekretessreglerade personuppgifter – avvägningarna inte uteslutande bör ske på myndighetsnivå. Det finns behov av överblick över rättsområdet och ett intresse av att verka för enhetlighet som talar för detta, inte minst när det gäller avvägningar mellan effektivitet och integritet men också i fråga om på vilken nivå kraven på t.ex. informationssäkerhet vid denna typ av uppgiftsutbyten bör ligga. Visserligen ställer bestämmelser i personuppgiftslagen och offentlighets- och sekretesslagen vissa krav på både den myndighet som medger direktåtkomst och den myndighet som använder sig av den, exempelvis att direktåtkoms- ten ska uppfylla grundläggande krav för och vara en tillåten be- handling av personuppgifter samt att åtkomsten ska beskrivas i olika dokument som enskilda kan ta del av. Detta utgör emellertid endast krav som ska uppfyllas på myndighetsnivå och svarar därför inte mot de behov av överblick och enhetlighet som vi anser finns på området. Vi anser därför att det finns ett behov av att i den nya lagen införa en bestämmelse som föreskriver att direktåtkomst till sekre- tessreglerade personuppgifter ska ha författningsstöd i lag eller förordning. Som vi kommer att utveckla närmare nedan torde enligt vår mening detta författningsstöd normalt sett kunna ges av regeringen, dvs. genom föreskrift i förordning. Med lag bör, i enlig- het med den uppfattning som uttalats i samband med annan lag- stiftning, kunna likställas en EU-förordning (se prop. 1999/2000:126 s. 272 och 283). Enligt vår uppfattning är det alltså tillräckligt att begränsa den nu aktuella bestämmelsens tillämpningsområde till de fall då en direktåtkomst tar sikte på sekretessreglerade uppgifter. Att lämna ut personuppgifter i elektronisk form kan även direktåtkomst till uppgifter som inte skyddas av regler om sekretess, dvs. offentliga uppgifter, ge upphov till frågor om skydd för personuppgifter i en vidare mening. Även behov av genomlys- ning av frågor om fördelning av verksamhetsansvar uppstår vid en sådan åtkomst. Enligt vår uppfattning är emellertid en direkt- åtkomst till offentliga personuppgifter inte av samma känsliga art som en åtkomst som avser sekretessreglerade uppgifter. Dessutom torde det vara så att de fördelar från effektivitets- synpunkt som en direktåtkomst innebär uppenbart överväger de motstående intressen som kan finnas när det är fråga om offentliga uppgifter. Enligt vår uppfattning är det därför som huvudregel tillräckligt att de överväganden som behöver göras vid sådan åt- komst sker på myndighetsnivå, se avsnitt 10.1.4 angående vårt för- slag om krav på den utlämnande myndigheten att göra en risk- och sårbarhetsanalys och träffa överenskommelse med mottagare om bl.a. säkerhetsåtgärder till skydd för personuppgifterna. Kravet på författningsstöd vid direktåtkomst ska alltså inte gälla beträffande uppgifter som inte är sekretessreglerade utan offent- liga. Vi återkommer nedan till frågan om det däremot behövs en bestämmelse som begränsar en myndighets möjlighet att medge direktåtkomst till offentliga uppgifter. Av den inventering vi har gjort av de nuvarande registerförfatt- ningarna kan man dra slutsatsen att en ny bestämmelse som före- skriver ett uttryckligt krav på författningsstöd i princip inte kom- mer att medföra några omedelbara konsekvenser för normgivaren, eftersom det torde vara så att direktåtkomster som omfattar sekretessreglerade uppgifter har författningsstöd. Det före- faller alltså vara så att lagstiftaren redan har som utgångspunkt att det bör finnas ett sådant stöd. Genom den nya bestämmelsen kommer det emellertid att stå klart att det är en sådan ordning som gäller. Undantag från kravet på författningsstöd Sekretess till skydd för en enskild gäller som huvudregel inte i förhållande till den enskilde själv (jfr 12 kap. 1 § OSL). Från bestämmelsens tillämpningsområde bör därför undantas direkt- åtkomst som medges den registrerade och som tar sikte på upp- gifter som hänför sig till honom eller henne själv (jfr definitionen Att lämna ut personuppgifter i elektronisk form av personuppgifter i 3 § PuL). Inte heller bör det krävas stöd i för- fattning för att medge den registrerades ombud direktåtkomst. Det förutsätter emellertid att det finns ett behov av de uppgifter som kan lämnas ut genom direktåtkomsten för den angelägenhet som ombudets behörighet avser. Det ankommer således på den utläm- nande myndigheten att kontrollera att det förhåller sig på detta sätt innan en registrerads ombud medges direktåtkomst. Även direktåtkomst till uppgifter som regleras av sekretess enligt 21 kap. 7 § OSL, dvs. den s.k. PuL-sekretessen, bör undan- tas. Som den bestämmelsen är formulerad kan den uppfattas innebära att alla personuppgifter som finns hos en myndighet är sekretessreglerade, eftersom alla personuppgifter kan komma att bli behandlade enligt personuppgiftslagen hos en presumtiv mot- tagare. Om den nya bestämmelsen med krav på författningsstöd för direktåtkomst till sekretessreglerade uppgifter skulle omfatta även 21 kap. 7 § OSL skulle det alltså innebära att all direktåtkomst måste ha författningsstöd. Ett undantag med avseende på den bestämmelsen är därför nödvändigt. I sammanhanget kan även nämnas att det hos myndigheter i vars verksamhet det normalt inte förekommer sekretessreglerade upp- gifter kan tillfälligtvis finnas uppgifter som är sekretessreglerade enligt exempelvis 21 kap. 1 § eller 21 kap. 3 § OSL. I dessa fall rör det sig om fall där sekretess gäller för uppgifterna oavsett i vilken myndighetsverksamhet de förekommer, dvs. sekretessen följer med uppgifterna. När sekretessen är konstruerad på detta sätt rör det sig normalt om ett särskilt kvalificerat skyddsintresse. Om sådana uppgifter förekommer hos en myndighet måste en direktåtkomst, som avses ta sikte på offentliga uppgifter, givetvis ordnas så att den inte omfattar också de skyddade uppgifterna. I annat fall krävs allt- så författningsstöd för direktåtkomsten. Från bestämmelsen med krav på författningsstöd för direkt- åtkomst till sekretessreglerade uppgifter bör det också införas ett undantag som tar sikte på den situationen då ett personuppgifts- biträde ska få direktåtkomst till en myndighets informations- samlingar. Ett personuppgiftsbiträde får enligt 30 § första stycket PuL endast behandla personuppgifter i enlighet med instruktioner från den personuppgiftsansvariga myndigheten. Biträdet får alltså inte behandla de personuppgifter som biträdet får åtkomst till för något eget ändamål. I en sådan situation saknas alltså skäl att åstad- Att lämna ut personuppgifter i elektronisk form komma det särskilda skydd för sekretessreglerade personuppgifter som kravet på författningsstöd avser att åstadkomma. Ett undantag för direktåtkomst som medges personuppgiftsbiträden bör därför införas. Det förekommer också att en myndighet har direktåtkomst till upptagningar för att ha dessa i sitt förvar enbart som led i en teknisk bearbetning eller en teknisk lagring för en annan myn- dighets räkning. Enligt 2 kap. 10 § första stycket TF anses sådana handlingar inte vara allmänna hos den mottagande myndigheten. Något krav på författningsstöd för en sådan direktåtkomst bör enligt vår mening inte uppställas. I de fall en enskild aktör medges direktåtkomst till sekretessreglerade uppgifter i syfte att utföra motsvarande uppgifter kan det förutsättas att det sker med stöd i ett personuppgiftsbiträdesavtal. Den situationen omfattas således av det undantag från kravet på författningsstöd som tar sikte på direktåtkomst som medges personuppgiftsbiträden. 11.1.3En ny regel som generellt bryter sekretess vid direktåtkomst för myndigheter Problem med de sekretessbrytande bestämmelser som finns Eftersom de uppgifter som en direktåtkomst omfattar är att anse som utlämnande i och med att åtkomsten medges, måste åtkom- sten – om den omfattar sekretessreglerade uppgifter hos den ut- lämnande myndigheten – möjliggöras genom en sekretessbrytande regel. Genomgången av befintliga registerförfattningar visar att regler om direktåtkomst i de allra flesta fall inte formuleras så att de i sig bryter sekretess, dvs. att direktåtkomst ”ska” medges. En sådan regel skulle däremot vara att se som en sådan uppgifts- skyldighet som avses i 10 kap. 28 § OSL och som i sig är sekre- tessbrytande. Ett enstaka exempel på detta är, som har framgått ovan, bestämmelserna om direktåtkomst i den nya lagen (2014:484) om en databas för övervakning av och tillsyn över finansmark- naderna. Men som huvudregel har alltså en direktåtkomst ansetts förutsätta att den kan förenas med en bestämmelse om uppgifts- skyldighet som omfattar de sekretessreglerade uppgifter som åt- komsten tar sikte på. Att lämna ut personuppgifter i elektronisk form Det har i vissa förarbeten antytts att direktåtkomst kan förenas med ett utlämnande enligt den s.k. generalklausulen i 10 kap. 27 § OSL (se t.ex. prop. 2010/11:45 s. 143 och Lagrådets uttalande i prop. 2000/01:33 s. 347). Den s.k. generalklausulen förutsätter emellertid att en intresseavvägning görs. En sådan avvägning kan visserligen göras på förhand om man bedömer att ett utlämnande är möjligt även utan en avvägning i enskilda fall. Ett rutinmässigt utlämnande för är då i och för sig möjligt. Så är emellertid inte alltid fallet. Även om ett rutinmässigt utlämnande med stöd av generalklausulen bedöms möjligt för , är det ändå så att den utlämnande myndigheten i princip är oförhindrad att göra en ny bedömning i sekretessfrågan och besluta att ett utlämnande i ett enskilt fall inte ska ske. Den utlämnande myn- digheten behåller alltså den rättsliga befogenheten att avgöra om uppgifter ska lämnas ut eller inte. Mot denna bakgrund förefaller ett utlämnande med stöd av generalklausulen inte kunna möjliggöra ett utlämnande genom direktåtkomst. När direktåtkomsten väl har etablerats har ju den utlämnande myndigheten inte längre kvar en rättslig befogenhet att pröva vilka uppgifter som i enskilda fall ska lämnas ut inom ramen för åtkomsten, eftersom uppgifterna redan anses utlämnande. Däremot torde den utlämnande myndigheten alltjämt ha en befogenhet att ta tillbaka medgivandet till direkt- åtkomst. Av inventeringen av registerförfattningarna framgår att det inte har reglerats konsekvent hur och i vilken utsträckning det finns en uppgiftsskyldighet eller någon annan sekretessbrytande regel som knyter an till en bestämmelse om direktåtkomst. De uppgifts- skyldigheter som avses tillämpas är generellt utfor- made och tar inte särskilt sikte på direktåtkomsten. En annan iakt- tagelse är att det kan vara svårt att hitta de sekretessbrytande regler som avses möjliggöra direktåtkomsten. Så är exempelvis delvis fallet med de direktåtkomster som i 114 kap. SFB har medgetts till socialförsäkringsdatabasen. Det förekommer att en sekretessbrytande regel finns i en annan författning än den där direktåtkomsten regleras utan att någon hänvisning görs. Är frågan om sekretess- brytande regler inte heller uttryckligen behandlad i förarbetena, blir det mycket svårt att skaffa sig en bild av hur direktåtkomsten är tänkt att kunna ske utan att bryta mot gällande sekretess. På socialförsäkringsområdet har t.ex. en uppgiftsskyl- Att lämna ut personuppgifter i elektronisk form dighet för i förhållande till arbetslöshetskassorna upphävts, medan bestämmelsen som medger arbetslöshetskassorna direktåtkomst finns kvar trots att åtkomsten alltså kan användas. Det kan konstateras att den tillämpade ordningen med separata bestämmelser som medger direktåtkomst respektive är sekretessbrytande har medfört att rättsområdet blivit mycket svåröverskådligt, även för lagstiftaren, och att den reglering som förekommer delvis är inkonsekvent. Tekniken för att införa sekretessbrytande bestämmelser Av 8 kap. 1 § OSL följer att sekretessbrytande bestämmelser som gäller i förhållande till andra myndigheter kan införas i offentlig- hets- och sekretesslagen eller i lag eller förordning som den lagen hänvisar till. Som exempel på sekretessbrytande bestämmelser som införts direkt i offentlighets- och sekretesslagen och som avser att möj- liggöra direktåtkomst kan nämnas 25 kap. 11 § 3, vilken bryter hälso- och sjukvårdssekretessen enligt samma kapitel för uppgifter som utbyts inom systemet för sammanhållen journalföring. Ett annat exempel är den nya sekretessbrytande bestämmelsen i 30 kap. 8 a § OSL som avses möjliggöra direktåtkomst till den nya data- basen för övervakning av och tillsyn över finansmarknaderna (prop. 2013/14:161). Dessa bestämmelser har inte utformats som upp- giftsskyldigheter, utan föreskriver direkt i offentlighets- och sekre- tesslagen att sekretess inte hindrar det utlämnande av uppgifter som avses ske genom direktåtkomsten. När det gäller det sist- nämnda lagstiftningsärendet kan konstateras att de bestämmelser som medger direktåtkomst i den föreslagna lagen om behandling av uppgifter i den nya databasen i sig är utformade som uppgifts- skyldigheter, eftersom de föreskriver att direktåtkomst ”ska” medges. Eftersom bestämmelserna i sig är sekretessbrytande före- slog utredning av finansmarknadsstatistiken inte någon ytterligare bestämmelse (SOU 2012:79 s. 106 f.). 2013/14:161 konstaterar regeringen att de föreslagna bestämmelserna om direkt- åtkomst är utformade som uppgiftsskyldigheter, vilka enligt 10 kap. 28 § OSL medför att sekretessen bryts (s. 56). Enligt regeringen bör emellertid föreskrifter om sekretessgenombrott och föreskrif- Att lämna ut personuppgifter i elektronisk form ter om på vilket sätt uppgifter lämnas ut, exempelvis genom direkt- åtkomst, ges i olika bestämmelser. Till skillnad från utredningen föreslog regeringen därför att det utöver bestämmelserna om direktåtkomst infördes en särskild sekretessbrytande bestämmelse i offentlighets- och sekretesslagen. Man kan emellertid göra den reflektionen att med bestämmelser som medger direktåtkomst, där det uttrycks att sådan åtkomst ”ska” medges, förefaller det knappast vara nödvändigt att också införa en särskild sekretessbrytande bestämmelse för att åstadkomma en sådan effekt. Av den utform- ning bestämmelserna om direktåtkomst har fått följer ju att de är sådana uppgiftsskyldigheter som enligt 10 kap. 28 § OSL bryter sekretess. Möjligheten enligt 8 kap. 1 § OSL att införa en sekretessbryt- ande bestämmelse genom en hänvisning i den lagen till en bestäm- melse i annan lag eller förordning används oftast i fråga om sekre- tessbrytande bestämmelser som tar sikte på enskildas möjlighet att ta del av uppgifter, exempelvis 27 kap. 7 § och 28 kap. 6 §. Då det gäller sekretessbrytande bestämmelser som gäller i förhållande till andra myndigheter används vanligen i stället den möjlighet som ges genom den generellt sekretessbrytande bestämmelsen i 10 kap. 28 § OSL. Den föreskriver att sekretess inte hindrar att uppgifter lämnas till en annan myndighet om det finns en uppgiftsskyldighet i lag eller förordning. I så fall behövs det ingen hänvisning i offent- lighets- och sekretesslagen till den aktuella lagen eller förordningen. Om denna möjlighet används, kan alltså både en bestämmelse som medger direktåtkomst och den sekretessbrytande bestämmelsen som behövs för att möjliggöra åtkomsten föras in i t.ex. en register- författning utan att någon ändring behöver göras i offentlighets- och sekretesslagen. Det torde vara förklaringen till att flertalet av de sekretessbrytande bestämmelser som avser att möjliggöra direkt- åtkomst för andra myndigheter har utformats som just uppgifts- skyldigheter. Att lämna ut personuppgifter i elektronisk form Våra överväganden och förslag