sou · H3B333 · 2015-03-30 00:00:00 — Bestäm- melser om överföring av sekretess som innebär att sekretess enligt alla eller många sekretessbestämmelser överförs till vissa organ eller vissa verksamheter har placerats i 11 och 41–43 kap. offentlighets- och sekretesslagen. Bestämmelser om överföring av sekretess som innebär att sekretess enligt enstaka sekretessbestämmelser överförs till en mottagande myndighet har placerats i anslutning till berörda sekretessbestämmelser, se t.ex. 22 kap. 3 § samt 31 kap. 5 och 18 §§. Huvudregeln om konkurrens mellan flera tillämpliga sekretess- bestämmelser finns i 7 kap. 3 § offentlighets- och sekretesslagen. Om flera sekretessbestämmelser gäller för en uppgift hos en myndighet och uppgiften ska lämnas ut enligt en eller flera bestämmelser sam- tidigt som den är sekretessbelagd enligt en eller flera andra bestäm- melser, ska enligt huvudregeln de senare bestämmelserna ha företräde. I ett sådant fall ska uppgiften således hemlighållas. Detta gäller oavsett om de konkurrerande bestämmelserna ska tillämpas som primära eller sekundära sekretessbestämmelser. Det finns undantag från regeln (se närmare om detta nedan), ett exempel på en överföringsbestämmelse är 11 kap. 1 §. Om en myndighet i sin tillsyn eller revision får en sekretessreglerad uppgift från en annan myndighet, blir sekretess- bestämmelsen tillämplig på uppgiften också hos den mottagande myndigheten. Men det gäller inte om uppgiften ingår i ett beslut hos den mottagande myndigheten. I 11 kap. 4 § finns en bestämmelse om överföring av sekretess som tar sikte på direktåtkomst. Av denna bestämmelse följer att om en myndighet har elektronisk tillgång till en upptagning för automatiserad behandling hos en annan myndighet och en uppgift i denna upptagning är sekretessreglerad, blir sekretess- bestämmelsen tillämplig på uppgiften även hos den mottagande myn- digheten. Detta gäller inte för uppgift som ingår i ett beslut hos den mottagande myndigheten. Men bestämmelsen om överföring av sekretess i 11 kap. 1 och 4 §§ offentlighets- och sekretesslagen ska enligt en särskild konkurrensregel inte tillämpas om det finns en primär sekretess- bestämmelse till skydd för samma intresse som är tillämplig på uppgiften hos den mottagande myndigheten (11 kap. 8 §). I ett sådant fall är det den primära sekretessbestämmelsen som ska tillämpas och detta gäller oavsett om den primära sekretessbestäm- melsen ger ett starkare eller ett svagare skydd än den sekundära sekretessbestämmelsen. Även undantag från den primära sekretessens SOU 2015:33 Uppgiftslämnarservice för företagen tillämpningsområde har företräde framför sekundär sekretess (prop. 2008/09:150 s. 328). Sekretessbestämmelserna i 21 kap. offentlighets- och sekretess- lagen som utgör ett minimiskydd för enskildas personliga integritet inom hela den offentliga sektorn, och som därmed är primära sekretessbestämmelser hos alla myndigheter, är undantagna från den särskilda konkurrensregelns tillämpningsområde. Vid tillämpning av 11 kap. 8 § offentlighets- och sekretesslagen ska tillämparen alltså bortse från de primära minimiskyddsbestämmelserna i 21 kapitlet. Vid konkurrens mellan sistnämnda bestämmelser och överförd sekretess har de bestämmelser enligt vilken uppgiften är sekretess- belagd företräde. har i delbetänkandet Över- skottsinformation vid direktåtkomst (SOU 2012:90) föreslagit en justering av konkurrensregeln i 11 kap. 8 § offentlighets- och sekretesslagen för att avvärja risken att det sekretesskydd som gäller hos värdmyndigheten försvagas eller upphör hos mottagarmyndig- heten beträffande överskottsinformation vid direktåtkomst. föreslår att en mottagar- myndighets primära sekretessbestämmelser inte längre bör ha före- träde framför den överförda sekretessen från värdmyndigheten för sådana uppgifter som en mottagarmyndighet enligt lag eller för- ordning inte får behandla. En konkurrenssituation mellan en primär sekretessbestämmelse hos en mottagarmyndighet och den överförda sekretessen för en sådan uppgift bör i stället lösas i enlighet med offentlighets- och sekretesslagens huvudregel i 7 kap. 3 § som föreskriver att den sekretessbestämmelse enligt vilken uppgiften är sekretessbelagd ska ha företräde, oavsett om det handlar om en primär eller överförd sekundärsekretess. Eftergift av sekretess och samtycke till utlämnande Av 12 kap. 1 § offentlighets- och sekretesslagen framgår att sekretess till skydd för en enskild normalt inte gäller i förhållande till den enskilde själv. Det finns endast tre undantag från denna huvudregel men de berör inte detta arbete. Att den enskilde som huvudregel också har rätt att häva den sekretess som gäller till skydd för honom eller henne (eller den juridiska personen) framgår av 12 kap. 2 §. Av förarbetena framgår att samtycke inte behöver vara uttryckligt. Också ett tyst, s.k. presumerat samtycke, får godtas. framgår av den enskildes beteende och förväntningar att han eller hon i viss utsträckning accepterar att en hemlig uppgift vidarebefordras. Likhetstecken kan inte sättas mellan ett presumerat samtycke och en bedömning att röjande av en uppgift inte kan vara annat än till nytta för den berörde (prop. 1979/80:2 Del A s. 330). En av utredningens utgångspunkter är att den offentliga förvalt- ningens etablerade struktur för uppgiftslämnandet i huvudsak ska behållas. Den funktion för företagare som realiseras på och den sammansatta bastjänst som byggs har det övergripande syftet att underlätta uppgiftslämnandet till de statliga myndigheterna genom i första hand en bättre överblick över uppgiftskraven samt samordning av grundläggande uppgifter. Avsikten med tjänsterna är alltså att uppfylla utredningens mål att uppgifter som lämnas från företagen till statliga myndigheter som regel endast ska behöva lämnas en gång och till ett ställe. Funktioner på och Sammansatta bastjänsten kommer att samarbeta med myndigheter och deras e-tjänster, men den tekniska integrationen tjänsterna emellan kommer inte att vara särskilt djup. Tjänsterna kommer vidare endast användas vid den inledande myndighetskontakten. Om ett ärende behöver kompletteras i ett senare skede av handläggningen sker det utan tjänsternas medverkan. Utredningens ursprungliga förslag att använda det allmänna företagsregistret som källa för grundläggande uppgifter om företagen motiverades av en önskan att undvika de tekniska och juridiska problem som en sammansatt bastjänst riskerade att föra med sig (SOU 2013:80 s. 97). Inom ramen för genomförandet och den projektorganisation som etablerats har det dock inte kommit några signaler om att den information om företagen som ska förmedlas genom Sammansatta bastjänsten väcker några olösliga sekretess- problem. Detta kan delvis förklaras med att den så kallade operativa styrgruppen gemensamt kom fram till att de grundläggande uppgifterna om företagen inte ska hämtas från datakällor där sekretess eller andra regler som hindrar direktåtkomst försvårar ett utlämnande (se även kriterier för bästa källa i avsnitt 6.1.1). Ytterligare en del i detta är att myndigheterna delvis har ambitionen att lämna ut handlingarna på medium för automatiserad behandling, dvs. det kommer att fattas ett beslut huruvida upp- gifterna kan lämnas ut i varje enskilt fall. En för utredningen given utgångspunkt är att användarnas myndighetskontakter inte i större utsträckning än bör kunna kartläggas genom den infrastruktur som realiseras. Men efter- som Uppgiftslämnarservice ska fungera som en dörr in till den statliga förvaltningen är det viktigt med företagens förtroende. Om företagen upplever att de på ett negativt sätt kartläggs när de använder tjänsterna riskerar användandet att avta och därmed minskar de positiva effekterna. Men en stor del av den information som kommer att finnas i infrastrukturen är sådan att det inte är aktuellt att överväga att begränsa rätten att ta del av den. Grundläggande uppgifter om företagen kommer exempelvis inledningsvis att hämtas från källor som inte omfattas av sekretess och den sammanställning som skapas i Sammansatta bastjänsten kan inte betraktas som särskilt känslig för företagen. Betänkandet (SOU 2013:80) I betänkandet SOU 2013:80 beskrev utredningen tre situationer där det behövs sekretess för att skydda enskildas personliga och ekonomiska förhållanden: 1.Inställningar och anpassningar som enskilda gjort i Service- tjänstens funktion, 2.enskildas besök hos anslutna myndigheter, och 3.till Servicetjänsten anslutna myndigheters meddelanden om att ett företag är skyldigt att lämna vissa uppgifter till en myndighet eller att företaget fullgjort en sådan skyldighet. Utredningen bedömde i sitt tidigare betänkande (SOU 2013:80) att det var svårt att ta ställning till frågan om sekretess innan det fanns en slutlig teknisk lösning för Servicetjänsten och en första kartläggning av vilka uppgiftskrav som skulle inkluderas i den så kallade ”Att göra”-listan var färdig. Vi lämnande därför inte några förslag om sekretess och bedömde att behovet bör analyseras inom ramen för det fortsatta arbetet med att genomföra våra förslag. I tilläggsdirektiven (dir. 2013:111) nämns särskilt att utredningen ska analysera och redovisa de sekretessfrågor som förslagen väcker. Från Servicetjänst till Uppgiftslämnarservice - viktiga förändringar Genom de förändringar som våra förslag genomgått och den form förslagen slutligen realiserats i har naturligtvis även förutsättningarna för de tre situationer som beskrevs i betänkandet förändrats även om de grundläggande tankarna bakom förslaget i allt väsentligt består. I betänkandet (SOU 2013:80) beskrev utredningen hur användaren skulle kunna anpassa Servicetjänsten. Det skulle t.ex. vara möjligt att i tjänsten avvika från registrerad SNI-kod och se uppgiftskrav kopplade till en annan SNI-kod. Något som kan indikera att företaget har för avsikt att ändra verksamhetsinriktning eller redan driver verksamhet som egentligen hör till annat verksamhetsområde än det registrerade. Vi diskuterade om detta kunde vara känsligt för företagen. I det system som realiseras finns inte någon möjlighet att anpassa slutanvändarfunktionaliteten på efter egna önskemål. I Mina sidor på är det bara möjligt att se uppgiftskrav som svarar mot företagets SNI-kod. Den farhåga som uttrycktes i betänkandet motsvaras således inte av någon funktion i den tjänst som realiseras. Om en användare vill se uppgiftskrav kopplade till en annan SNI-kod än den registrerade får han eller hon göra det på en allmänt tillgänglig webbtjänst. I den andra punkten beskrev utredningen hur det i Servicetjänsten kan uppkomma sammanställningar som kan ge en tydlig bild av vilka myndigheter användaren besökt. sådana sammanställningar främst genom de loggar som genererades när användaren länkades vidare till myndigheternas e-tjänster och att det till e-tjänsterna levererades efterfrågad grundläggande information om företaget. Genom att Servicetjänsten numera är uppdelad i Uppgiftskravs- tjänsten, Slutanvändarfunktionalitet på och Samman- satta bastjänsten som är tekniskt och organisatoriskt åtskilda uppkommer inte problem i samma utsträckning. När det gäller möjligheten att följa ett företags väg genom Mina sidor i till anslutna myndigheters e-tjänster finns det i kravspecifikationen (bilaga 6) inga krav på att det ska ske loggning på ett sätt som gör det möjligt att se vilka myndigheter användaren går vidare till från . Först om användandet av länkarna loggas på en mer detaljerad nivå uppkommer en risk för att före- tagens kontakter med myndigheter ska gå att kartlägga. I krav- specifikationen finns inget krav på att loggning ska ske så detaljerat att det går att skapa sådana sammanställningar. För Sammansatta bastjänsten saknas den tekniska och juridiska kopplingen mellan användarens besök på Mina sidor och myndig- heternas hämtning av grundläggande uppgifter från tjänsten som fanns inbyggt i Servicetjänsten. Men det kan inte uteslutas att det går att få en bild av företagets uppgiftslämnande när myndigheter hämtar uppgifter från Sammansatta bastjänsten. Detta diskuteras mer nedan. I betänkandet (SOU 2013:80) beskrevs hur anslutna myndigheter kommer skicka meddelanden (aviseringar) till Servicetjänsten. Aviseringarna innehåller information om att ett företag är skyldigt att lämna vissa uppgifter till en myndighet eller att företaget full- gjort en sådan skyldighet. Servicetjänsten skulle sedan använda aviseringarna för att skapa en särskild vy som kallades ”Att göra”- listan. Även om det inte fanns något färdigt tekniskt förslag hur detta skulle utformas fanns vissa tankar om att dessa meddelanden skulle lagras i ett centralt register i Servicetjänsten. Ett sådant register skulle ge en i det närmaste heltäckande bild över vilka upp- giftskrav som ett företag ska fullgöra samt om företaget fullgjort dessa. Den ansats som valts innebär dock att aviseringarna inte kommer att skickas till Servicetjänsten eller motsvarande. Meddelandena kommer inte heller att lagras på någon central plats som skissades i betänkandet. Aviseringar kommer i stället ställas direkt till företaget från myndigheten i Mina meddelanden. Aviseringen går alltså som ett vanligt meddelande mellan myndighet och företag. myndighetspost som brevlåde- operatör kommer aviseringen visas i en särskild funktionalitet. Det behövs därmed ingen sekretess. Trots att de situationer som vårt tidigare betänkande beskrev inte längre föreligger måste vi överväga om det i den lösning som realiseras uppkommer situationer som kräver att man tar ställning till om det finns uppgifter om företagens affärs- eller driftsför- hållanden som bör omfattas av sekretess. För aviseringsfunktionen som realiseras som en funktionalitet inom ramen för Mina meddelanden har utredningen inte gjort någon egen bedömning. Vi har utgått från att de eventuellt mindre tillkommande juridiska frågor som aviseringsfunktionen aktualiserar tas om hand i enlighet med de rättsliga bedömningar som tidigare gjorts inom ramen för Mina meddelanden. För att skydda människor mot att deras personliga integritet kränks är helt eller delvis automatiserad och annan strukturerad behandling av personuppgifter som huvudregel inte tillåten (1 och 5 §§ personuppgiftslagen (1998:204)). Skyddet för den personliga integriteten är även reglerat i (2 kap. 6 § andra stycket regerings- formen) där det framgår att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. För att automatiserat och strukturerat få behandla person- uppgifter krävs författningsstöd. Bestämmelser om tillåten person- uppgiftsbehandling finns i personuppgiftslagen och i särskilda registerförfattningar. Registerförfattningarnas huvudsakliga syfte är att reglera inrättandet och användningen av viktiga register inom den offentliga sektorn. Den bakomliggande tanken är att myndighetsregister med ett stort antal registrerade och med ett känsligt innehåll ska regleras särskilt genom lag. Mot bakgrund av att personuppgiftslagen är subsidiär, dvs. inte ska tillämpas om det finns avvikande bestämmelse i annan lag eller förordning, är registerförfattningarna tänkta att ge ett anpassat integritetsskydd vid myndighetens hantering av person- uppgifter när det finns behov av att avvika från eller komplettera det integritetsskydd som personuppgiftslagen ger (SOU 2010:04 s. 132 och 367). Utredningens rättsliga överväganden i betänkandet Ett minskat och förenklat uppgiftslämnande för företagen (SOU 2013:80) Utredningen konstaterade i sitt tidigare betänkande att den då föreslagna skulle behandla personupp- gifter. Med utgångspunkt i att den så kallade Servicetjänsten skulle hantera och innehålla personuppgifter gjorde utredningen ett antal rättsliga överväganden, bland annat om ett uttryckligt personupp- giftsansvar, behovet av en särskild ändamålsreglering och reglering för att få behandla personuppgifter i den utsträckning som behövdes. Utredningen konstaterade också att det inte fanns behov av att behandla känsliga personuppgifter. Realiseringen av utredningens förslag i – förändrade förutsättningar Med anledning av att föreslagna servicetjänst ska förverkligas i har vi, med utgångs- punkt i de tidigare bedömningarna, behövt ta ställning till behand- lingen av personuppgifter i det nya sammanhanget. Utredningens förslag utgick från att det skulle inrättas en särskild myndighet med ansvar för en separat tjänst till stöd för företagens uppgiftslämnande, den så kallade Servicetjänsten. Den särskilda myndigheten skulle ensam vara personuppgiftsansvarig Det blir nu ingen särskild myndighet eller separat tjänst och utredningens tidigare bedömningar har modifierats. Ytterligare en förändring är att de så kallade grundläggande upp- gifterna (exempelvis person- och organisationsnummer, adresser, namn på företrädare etc.) inte ska hämtas från ett centralt offentligt register,5 utan från olika datakällor (statliga myndigheters register och databaser). Vidare ska de grundläggande uppgifterna inhämtas, samman- ställas och levereras med hjälp av en så kallad sammansatt bastjänst. Detta aktualiserar frågor kring när, var och för vem personupp- giftsansvar uppstår i de olika uppgiftsflödena. Hur uppgifter görs tillgängliga och flödar i en sammansatt bastjänst blir också föremål för en bedömning med anledning av regler för exempelvis direkt- åtkomst (se avsnitt 6.1.3.1). Datainspektionen har i olika samman- hang framhållit vikten av att beakta integritetsaspekterna för att upprätthålla skyddet för den personliga integriteten när person- uppgifter blir tillgängliga genom direktåtkomst. Utredningens föreslagna system innehåller även en aviserings- funktion där ett företag bland annat ska kunna se sina aktuella uppgiftskrav och aviseras när ett sådant har fullgjorts. Funktionen ska använda funktionalitet från befordringstjänsten Mina meddelanden och ska vara en separat tjänst utanför . Det innebär att ansvaret för aviseringsfunktionens behandling av personuppgifter ligger utanför utredningens uppdrag och i stället kommer att hanteras hos inom ramen för tjänsterna Mina meddelanden, Min ärendeöversikt och Min myndighetspost (se avsnitt 6.5.6). De förändrade förutsättningarna har däremot inte föranlett ett annat förhållningssätt vid tolkningen av persondataskyddsbestäm- melserna. Utredningen har i sitt arbete med att realisera Uppgifts- lämnarservice, ett arbete i digital miljö med inslag av e-förvaltning, tillämpat personuppgiftslagens bestämmelser utifrån en traditionell tillämpning av lagens definitioner såsom personuppgifter, person- uppgiftsansvar och personuppgiftsbiträde. Utredningens rättsliga bedömningar har fortsatt utgått från vårt uppdrag att möjliggöra informationsutbyte mellan myndigheter för att minska och förenkla uppgiftslämnandet för företagen till statliga myndigheter. 5 Det allmänna företagsregistret (även kallat ) som enligt 1 § förordningen (1984:692) om det allmänna företagsregistret ska föras av . Behandling av personuppgifter i Uppgiftslämnarservice för företagen Uppgiftslämnarservice för företagen – systemet för ett minskat och förenklat uppgiftslämnande – kommer att innehålla personupp- gifter. I alla delar av systemet där personuppgifter behandlas är det viktigt att se till att sådan behandling är tillåten. Många myndig- heter har registerförfattningar som särskilt reglerar behandlingen av personuppgifter i sina respektive uppgiftssamlingar (register och databaser). Personuppgiftsbehandling särregleras i betydande omfattning hos myndigheter med stora uppgiftssamlingar. Det är därför viktigt att identifiera relevanta registerförfattningar för att se om det finns hinder och begränsningar i utvecklingen av Uppgifts- lämnarservice. För att automatiserat och strukturerat få behandla person- uppgifter krävs, som tidigare framhållits, författningsstöd. Förut- sättningar för en tillåten personuppgiftsbehandling är bland annat att de grundläggande kraven är uppfyllda samt att behandling av personuppgifter är tillåten i övrigt. De grundläggande kraven framgår av 9 § personuppgiftslagen. Bestämmelsens första stycke listar de grundläggande kraven enligt följande. Den personuppgiftsansvarige ska se till att a)personuppgifter behandlas bara om det är lagligt, b)personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed, c)personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, d)personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, e)de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, f)inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen, g)de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella, h)alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen, och i)personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Förutom lagligheten är kravet på tydliga och avgränsade ändamål centralt. I bestämmelsen framgår att personuppgifter endast får samlas in för särskilda, uttryckligt angivna och berättigade ändamål och får sedan inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Det sistnämnda brukar beskrivas som den så kallade finalitetsprincipen. Även kraven på att inte fler uppgifter än nödvändigt får behandlas samt att uppgifter endast får bevaras så länge som det är nödvändigt för att uppfylla ändamålet med behandlingen är viktiga i det aktuella samman- hanget. Det skulle kunna finnas behov av att tydliggöra ändamålen med personuppgiftsbehandlingen inom ramen för Uppgiftslämnar- service. Syftet skulle vara att säkerställa de grundläggande kraven, bland annat utifrån finalitetsprincipen för att bedöma att endast för ändamålet relevanta uppgifter behandlas samt att personuppgifter inte bevaras längre än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. För en tillåten behandling av personuppgifter krävs inte bara att de grundläggande kraven är uppfyllda. Av lagen framgår även när det är tillåtet att behandla personuppgifter (10–12 §§ ). I 10 § personuppgiftslagen framgår att behandling av personuppgifter är tillåten när den registrerade har samtyckt till sådan behandling eller om det är nödvändigt för att a)ett avtal med den registrerade ska kunna fullgöras eller åtgärder som den registrerade begärt ska kunna vidtas innan ett avtal träffas, b)den personuppgiftsansvarige ska kunna fullgöra en rättslig skyldighet, c)vitala intressen för den registrerade ska kunna skyddas, d)en arbetsuppgift av allmänt intresse ska kunna utföras, e)den personuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut ska kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller f)ett ändamål som rör ett berättigat intresse hos den person- uppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Om behandling av personuppgifter är särskilt reglerad i annan lag eller förordning har sådana bestämmelser företräde framför bestämmelserna i personuppgiftslagen. Många registerförfattningar omfattar inte samtliga bestämmelser som enligt personuppgifts- lagen utgör krav för tillåten behandling av personuppgifter. Det är därför viktigt att beakta att övriga bestämmelser i personuppgifts- lagen gäller för de krav som inte är särskilt reglerade i annan lag eller förordning (2 § personuppgiftslagen).