sou · H3B339 · 2015-04-08 00:00:00 — Lagen bör heta myndighetsdatalagen. En generell reglering av vad som ska gälla beträffande myndig- heters personuppgiftsbehandling bör ges form av lag. Detta följer redan av att tillämpningsområdet för en sådan reglering bör vara i princip detsamma som förvaltningslagens, dvs. även kommunala förvaltningsmyndigheter bör omfattas liksom myndigheterna under . Till detta kommer att lagformen av flera skäl framstår som det naturliga för en reglering av nu aktuellt slag. Vi redovisar nedan hur vi ser på den lagtekniska utformningen av den generella lagen och hur den förhåller sig till de särregler som kan behövas för vissa myndigheters behandling av personuppgifter. I ett därpå följande avsnitt lämnar vi en utförlig redovisning av vår bedömning när det gäller frågan om på vilken normgivningsnivå en särreglering kan ges, dvs. om särregler kan ges i förordning eller om de behöver ha form av lag. En allmän utgångspunkt för våra överväganden är, som framgått av avsnitt 7.1, att den generella lagen enbart ska innehålla regler om persondataskydd. Vi föreslår därför att den nya lagen benämns ”myn- dighetsdatalag”. Namnet är också kort, vilket är ändamålsenligt med tanken på att lagen avses vara tillämplig för i princip alla myndig- heter. Vid personuppgiftslagens införande övervägdes även namnet persondatalag. Skälet till att det namnet inte valdes var bl.a. att det på ett missvisande sätt kunde leda tanken till enbart datorlagrade personuppgifter, trots att lagen inte bara omfattar automatiserad behandling i datorer utan även viss behandling av person- uppgifter (prop. 1997/98:44 s. 42). En generell reglering – utgångspunkter och inledande ställningstaganden princip uteslutande hanterar personuppgifter med it-stöd, anser vi att namnet myndighetsdatalag inte gärna kan uppfattas som missvisande. 7.2.2Kort om lagens innehåll och den lagtekniska utformningen Vilka frågor bör regleras i lagen? Vi har ovan redovisat att utgångspunkten för vårt arbete med den generella lagen är att den enbart ska ta sikte på att reglera frågor om det behov av skydd som den automatiserade behandlingen av per- sonuppgifter ger upphov till när myndigheterna hanterar person- uppgifter i sin verksamhet. Lagen ska alltså enbart innehålla be- stämmelser som utgör dataskyddsregler. Det innebär att lagen för det första bör innehålla regler som rör frågor där personuppgiftslagens bestämmelser inte på ett tillräck- ligt tydligt sätt uttrycker vad som gäller för myndigheters behand- ling av personuppgifter. Det handlar alltså om bestämmelser som särskilt reglerar vad som gäller för myndigheter i en viss fråga till skillnad från vad enskilda personuppgiftsansvariga har att iaktta. I registerförfattningarna förekommer även bestämmelser som reglerar behandling av personuppgifter utan att de syftar till att införliva dataskyddsdirektivet i något visst avseende. Det är alltså bestämmelser som inte har någon motsvarighet i personuppgifts- lagen. Det har ändå ansetts finnas ett behov av att denna typ av bestämmelser för att tydliggöra vad som gäller i förhållande till andra regelverk, framför allt beträffande offentlighets- och sekre- tesslagens bestämmelser om utbyte av uppgifter i förhållande till både enskilda och andra myndigheter. Som exempel på sådana bestämmelser kan nämnas regler om utlämnande av personupp- gifter i elektronisk form, bl.a. genom direktåtkomst. Som har fram- gått av kapitel 5 menar vi att det finns skäl att upprätthålla den rättsliga skillnaden mellan direktåtkomst och andra former av elek- troniskt utlämnande. Bestämmelser rörande detta bör alltså införas även i den generella lagen. Ett annat exempel på en typ av bestämmelser som vanligen före- kommer i registerförfattningar och som inte kan sägas ha sin omedelbara motsvarighet i dataskyddsdirektivet är s.k. sökbegräns- ningar. Sådana bestämmelser ger emellertid uttryck för den pro- En generell reglering – utgångspunkter och inledande ställningstaganden portionalitetsprincip som alltid måste iakttas när det gäller behand- ling av personuppgifter och inte minst på myndighetsområdet. Även regler om sökbegränsningar har därför sin plats i en generell lag. Det kan konstateras att lagen således kommer att få en utform- ning som i hög grad liknar en författning av den kategori vi be- nämnt informationshanteringsförfattning, låt vara att denna ”register- författning” syftar till att generellt reglera myndigheters behandling av personuppgifter. Vi har ovan redovisat vår huvudambition med den generella lagen att i så hög grad som möjligt fånga upp och uttrycka regler till skydd för personuppgifter som generellt utgör en ändamålsenlig reglering för myndigheterna, för att i motsvarande mån minska behovet av särreglering. Det innebär att vi ser framför oss ett rela- tivt begränsat behov av särreglering som kommer att avse för- hållandevis få frågor i jämförelse med den regelmassa som finns i registerförfattningarna. Vi bedömer att det därför – – inte alls kommer att behövas fullständiga registerförfattningar i den utsträckning som är fallet . Författningar som syftar till att reglera regelrätta register, exempelvis fastighetsregistret och aktie- bolagsregistret, påverkas dock endast delvis eftersom de typiskt sett syftar till att reglera annat än dataskydd, nämligen verksam- hetsfrågor kring ett visst register. Sådana verksamhetsregler utgör ingen särreglering i förhållande till personuppgiftslagen och påver- kas därmed inte av den nya lagen. Detta slags registerförfattningar kan alltså inte ersättas av den nya lagen. Inget hindrar dock att dataskyddsregleringen i den nämnda sortens registerförfattning – som efter en översyn fortfarande anses behövas – separeras från författningen och särregleras i anslutning till den nya lagen. Vi åter- kommer till denna fråga i kapitel 8. Den generella lagen bör lagtekniskt utformas så att den i sin huvuddel innehåller de bestämmelser som generellt reglerar myndig- heternas behandling av personuppgifter i olika avseenden. I en eller flera bilagor till lagen kan därefter tabellvis redovisas sådana sär- regler för enskilda myndigheter som bör – eller undantagvis behöver En generell reglering – utgångspunkter och inledande ställningstaganden – ges i form av lag. Det kan exempelvis handla om vissa fall av direktåtkomst eller mer tillåtande regler för att behandla känsliga personuppgifter som kan behövas på vissa myndighetsområden och som bedöms kräva lagstöd. Till lagen bör det också finnas en anslutande förordning som innehåller de särregler som kan ges på förordningsnivå. Vi bedömer att den helt övervägande delen av sådan utfyllande reglering kan ges i förordning. I avsnittet nedan redogör vi mer utförligt för vår bedömning av vilken normgiv- ningsnivå som normalt krävs för de särregler som kan behövas. Av 8 kap. 1 § första stycket RF framgår att föreskrifter meddelas av genom lag och av regeringen genom förordning. ska meddelas genom lag om de avser bl.a. skyldigheter för enskilda eller ingrepp i enskildas personliga eller ekonomiska för- hållanden (8 kap. 2 § första stycket 2). Kravet på att en sådan före- skrift ska ha form av lag är emellertid inte obligatoriskt, utan riks- dagen kan bemyndiga regeringen att meddela den typen av före- skrifter (8 kap. 3 §). Enligt 8 kap. 7 § RF får regeringen bl.a. meddela föreskrifter som inte enligt grundlag ska meddelas av . Att regeringen meddelar föreskrifter i ett visst ämne hindrar inte att meddelar föreskrifter i samma ämne (8 kap. 8 §). Av 8 kap. 10 och 11 §§ RF följer att en vidaredelegation till en förvaltningsmyndighet att meddela föreskrifter också kan medges av eller, i fråga om regeringens primärområde, av rege- ringen själv. De s.k. registerförfattningarna är ett exempel på en grupp författ- ningar där lagformen ofta valts trots att detta enligt regerings- formen rent normgivningstekniskt i allmänhet inte har varit nöd- vändigt. Att det allmänna registrerar personuppgifter om enskilda innebär ingen skyldighet för den enskilde. Det har heller normalt sett inte ansetts som ett ingrepp i enskildas personliga förhållanden i den mening som avses i 8 kap. 2 § första stycket 2 RF (m.fl., Regeringsformen – med kommentarer, 2012, s. 311). Registerförfattningarna har därmed i princip ansetts höra till rege- En generell reglering – utgångspunkter och inledande ställningstaganden ringens primärområde – i vart fall såvitt avser myndigheter under regeringen – och således kunnat regleras i förordningsform. Som har berörts har det emellertid i ett antal olika lagstiftningsärenden som rört myndigheters personuppgiftsbehand- ling framhållits att målsättningen bör vara att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras i lag (se t.ex. prop. 1997/98:44 s. 41, 1997/98:KU18 s. 43 och prop. 1999/2000:39 s. 78). Enligt 8 kap. 18 § RF får en lag inte ändras eller upphävas på annat sätt än genom lag. Det är den formella lagkraftens princip som på så sätt kommer till uttryck i regeringsformen. Den formella lagkraftens princip innebär att en föreskrift som en gång beslutats som lag inte kan ändras eller upphävas på annat sätt än genom en ny lag. Regeln om den formella lagkraften får bl.a. den effekten att regeringen inte kan hindra eller upphäva en lag som stiftat inom ett område som annars enligt grundlag primärt faller inom regeringens kompetensområde. Inte heller kan regeringen så länge lagen gäller meddela föreskrifter i ämnet i strid med lagen. tar på så vis i anspråk en del av regeringens primär- område. Detta innebär att i den mån myndigheters personuppgifts- behandling har reglerats genom lag så krävs lagstiftning också för att ändra regleringen. Enligt 2 kap. 6 § andra stycket RF är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integri- teten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Av 2 kap. 20 § följer att skyddet mot övervakning och kartläggning av den enskildes personliga förhållanden får begränsas genom lag i den utsträckning det är tillåtet enligt de allmänna förutsättningarna för begränsning av fri- och rättigheter som anges i 21 §. Vid antagande av sådan lag som avses i 20 § är enligt 22 § det s.k. kvalificerade förfarandet tillämpligt. Detta innebär att ett förslag till rättighets- begränsande lag ska, om det inte avslås av , på yrkande av lägst tio av dess ledamöter vila från det att det första utskottsyttrandet över förslaget anmäldes i kam- mare. En generell reglering – utgångspunkter och inledande ställningstaganden Motivuttalanden på registerförfattningsområdet rörande normgivningsnivå De ovan berörda motivuttalandena om att målsättningen bör vara att myndighetsregister med ett stort antal registrerade och ett sär- skilt känsligt innehåll ska regleras i lag tillkom i samband med det grundlagstiftningsärende där bl.a. Data- och offentlighetskommitténs slutbetänkande behandlades. 1990/91:60 innehöll förslag som syftade till att stärka offentlighetsprincipen i fråga om ADB-upptagningar och till att förbättra integritetsskyddet för uppgifter i personregister. Där före- slogs vissa ändringar i tryckfrihetsförordningens bestämmelser om allmänna handlingars offentlighet – bl.a. beträffande den s.k. biblio- teksregeln – samt ändringar i sekretesslagstiftningen som innebar preciseringar av det krav på ”god offentlighetsstruktur” som gällde för myndigheternas ADB-verksamhet. Vidare föreslogs bl.a. ändringar i datalagen (1973:289) i syfte att reglera och begränsa användningen av personnummer i personregister. Propositionen behandlades av i betänkandet 1990/91:KU11. Vid den aktuella tidpunkten krävdes alltså normalt tillstånd från Datainspektionen för att inrätta och föra särskilt integritetskänsliga ADB-register, dvs. personregister som innehöll ömtåliga uppgifter om enskilda personer. Om inrättandet av ett sådant register beslu- tades av eller regeringen – s.k. statsmaktsregister – räckte det dock med att beslutet föregicks av ett yttrande från Data- inspektionen. I debatten hade då och då rests krav på att register av detta slag borde vara lagreglerade, vilket skulle innebära att det skulle krävas ett särskilt riksdagsbeslut för att en myndighet skulle få föra ett personregister som innehöll särskilt integritetskänsliga uppgifter. 1990/91:60 gjorde föredragande statsrådet – i likhet med Data- och offentlighetskommittén – bedömningen att som ett led i en allmän strävan att stärka skyddet för de registrerades integritet i samband med nödvändig registrering av känsliga personuppgifter i vissa myndighetsregister vissa register hos , landstingen, kommunerna och dåvarande borde regleras i särskilda registerlagar. Vidare uttalades följande (a. prop. s. 57 f.). Som framgått av min redovisning är vissa stora person- register med integritetskänsligt innehåll inom den offentliga sektorn författningsreglerade i större eller mindre mån. Flera av de viktigaste En generell reglering – utgångspunkter och inledande ställningstaganden registren saknar emellertid författningsstöd och några av dem har inte heller tillstånd från datainspektionen eftersom de är undantagna från tillståndsplikt till följd av 2 a § tredje stycket datalagen. Bland de register som sålunda undantagits från tillståndsplikt kan näm- nas personregister som förs av myndigheter inom hälso- och sjuk- vården för vård- eller behandlingsändamål. I dessa register finns upp- gifter om enskildas sjukdomar och hälsotillstånd […]. Vidare kan nämnas de sociala myndigheternas personregister som innehåller uppgifter om att någon fått ekonomisk hjälp eller vård inom social- tjänsten […]. Också dessa personregister har generellt sett ett mycket integritetskänsligt innehåll. I likhet med [kommittén] och remissinstanserna anser jag att en målsättning bör vara att i de fall ett register med ett stort antal regi- strerade och ett särskilt känsligt innehåll inrättas, bestämmelser ska meddelas i form av lag. Detta gäller särskilt i de fall uppgifterna i registret sprids externt i icke obetydlig omfattning. Om uppgifter används för strikt avgränsade ändamål i ett register där de primärt har registrerats, t.ex. inom försvaret eller arbetsmarknads- utbildningen och i många kommunala sammanhang behövs däremot i regel ingen specialreglering. I dessa register kan integritetsskyddet, enligt min mening, tillgodoses genom datainspektionens tillstånds- prövning. Om de uppgifter som ingår i registret i sådana fall inte är sekretesskyddade, kan det övervägas om en utvidgning av bestämmel- serna i sekretesslagen är en väg att uppnå ett bättre integritetsskydd. Vidare fördes i propositionen resonemang om behovet av reglering på vissa angivna områden såsom landstingens och kommunernas barnavårds- och skolhälsoregister, och de dåvarande försäkringskassornas register, det s.k. FAS 90 m.fl., samt konstaterades att en reglering var möjlig bara och att det återstod att närmare överväga vilka register inom de angivna om- rådena som borde regleras. uttalade som sin mening att det allmänt sett var av stor betydelse att en författningsreglering av ADB-register kommer till stånd i syfte att stärka skyddet för de registrerades integritet i samband med nödvändig registrering av känsliga upp- gifter i myndighetsregister. Som anförts i propositionen borde register hos , landstingskommunerna, kommunerna och regleras i särskilda registerlagar. Utskottet delade departementschefens uppfattning att det krävdes ingående En generell reglering – utgångspunkter och inledande ställningstaganden överväganden i fråga om vilka register inom dessa områden som borde regleras (1990/91:KU11 s. 11). I lagstiftningsärendet rörande personuppgiftslagen fördes ett resonemang beträffande registerförfattningarna. Det konstaterades att dessa innehöll många preciserade och viktiga regler som inte rimligen kunde ersättas av de generella bestämmelser som den nya lagen innehöll. stod det klart att det var nödvändigt med särregler i förhållande till den nya lagen på flera viktiga områden, t.ex. beträffande polisens verksamhet. Frågan var därför om det redan i den nya lagen skulle göras undantag för vissa verksamheter eller om nödvändiga särregler för dessa verksamheter liksom dittills skulle ges i särskilda författningar som fick gälla framför den nya lagen. Regeringen fann att det traditionella svenska systemet med sär- regler i särskilda författningar var att föredra framför generella undantag från den nya lagen. Eftersom det skulle krävas en särskild författning för att avvika från det integritetsskydd som den nya lagen skulle ge, garanterades att behovet av särregler alltid övervägs noga i den ordning som gäller för författningsgivning. Vidare ut- talades – med hänvisning till de uttalanden som gjorts grundlagsstiftningsärende (prop. 1990/91:60 s. 50 och 1990/91:KU11 s. 11) – att målet också har varit att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras särskilt i lag. Det fanns inte anledning att nu avvika från det målet (prop. 1997/98:44 s. 41). I betänkande rörande personuppgifts- lagen påpekades med anledning av en motion att i den utsträckning som det är befogat med ett ställningstagande från sida, finns det alltid möjlighet att ge regleringen på ett visst område i lag. I sådant fall är normgivning på lägre nivå i strid med lagregleringen utesluten, om inte annat följer av den aktuella lagen. Utskottet ville också för egen del framhålla att det saknades anledning att nu avvika från den tidigare fastlagda målsättningen att myndighets- register med att stort antal registrerade och ett särskilt känsligt inne- håll ska regleras särskilt i lag (1997/98:KU18 s. 43). De uttalanden som gjordes beträffande behovet av lagform vid grundlagsstiftningsärende och som bekräftades i samband med införandet av personuppgiftslagen har alltså åbe- ropats i ett stort antal lagstiftningsärenden i samband med över- väganden kring frågan varför en viss registerförfattning borde ges En generell reglering – utgångspunkter och inledande ställningstaganden lagform (se t.ex. prop. 1999/2000:39 s. 78, prop. 2000/01:80 s. 131, prop. 2000/01:95 s. 55 och prop. 2002/03:135 s. 39). Den tidigare grundlagsregleringen beträffande skyddet för den personliga integriteten inträffade en rad händelser som väckte misstro mot den då ännu förhållandevis nya datatekniken och det sätt på vilket staten använde sig av denna för att registrera medborgarna. Exempelvis orsakade planer på en ny typ av folk- och bostads- räkning, benämnt Fobalt, byggd på samkörning av redan befintliga register, så häftiga protester att projektet inte kunde genomföras. avslöjades att det sociologiska forskningsprojektet polit med Datainspektionens medgivande hade sam- lat in och registrerat stora mängder känsliga persondata avseende cirka 15 000 utvalda svenskar och deras familjer. Avslöjandet ledde till ytterst skarp kritik i medierna och fick också politiska återverk- ningar. Den tillkallade Data- och offentlighetskommittén sökte fånga upp den utbredda oro för myndigheternas registerutnyttjande som fanns genom att i delbetänkandet Integritets- skyddet i informationssamhället 3, Grundlagsfrågor (Ds Ju 1987:8) föreslå en ny regel i regeringsformens fri- och rättighetskapitel av innebörd att varje medborgare skulle vara ”tillförsäkrad skydd mot registrering av uppgifter om honom med hjälp av automatisk data- behandling enligt bestämmelser som meddelas i lag”. Av delbetänk- andet framgår att kommittén var väl medveten om att ett sådant lagstadgat skydd redan fanns, främst genom datalagen och sekre- tesslagen, och att det föreslagna stadgandet i regeringsformen därför inte syftade till att stärka det materiella skyddet för den personliga integriteten utan i stället borde ses som en markering av vilken vikt samhället tillmätte själva frågan. Regeringen instämde i allt väsentligt i Data- och offentlighetskommitténs bedömningar. Föredragande statsrådet anförde att regeringens utgångspunkt var att ”ge grundlagsförankring åt det skydd för medborgarna som redan finns genom vanlig lagstiftning och på detta sätt befästa det rådande rättsläget”. Den reella innebörden var enligt förarbetena att måste vara aktiv genom att stifta och vidmakthålla en datalagstiftning (prop. 1987/88:57 s. 9 och 11). En generell reglering – utgångspunkter och inledande ställningstaganden Lagförslaget antogs av och innebar att, med ikraft- trädande , ett nytt andra stycke infördes i 2 kap. 3 § RF med följande lydelse. Varje medborgare skall i den utsträckning som närmare angives i lag skyddas mot att hans personliga integritet kränkes genom att uppgifter om honom registreras med hjälp av automatisk databehandling. Bestämmelsen kom att gälla oförändrad fram till . infördes i regeringsformen (dåvarande 8 kap. 7 §) en möjlighet för att till regeringen eller den myndighet som regeringen bestämmer delegera rätten att meddela föreskrifter om skydd för personlig integritet vid registrering av uppgifter med hjälp av automatisk databehandling, varvid regeln i 2 kap. 3 § andra stycket inte ansågs hindra sådan delegation (prop. 1993/94:116 s. 15). I samband med införandet av personuppgiftslagen ändrades delegationsbestämmelsen i 8 kap. RF. Däremot gjordes alltså inga ändringar i 2 kap. 3 §. Den nu gällande regleringen tillkallades en parlamentariskt sammansatt kommitté – – som bl.a. fick i uppgift att kartlägga och analysera sådan lagstiftning som rör den personliga integri- teten, överväga om regeringsformens bestämmelse om skyddet för den personliga integriteten i dåvarande 2 kap. 3 § andra stycket RF borde ändras och i så fall föreslå en ny grundlagsreglering. överlämnade sitt slut- betänkande SOU 2008:3. I betänkandet uttalades bl.a. att kom- mitténs kartläggning och analys hade visat att lagstiftaren inte lägger tillräcklig vikt vid integritetsskyddsaspekter när ny lagstiftning arbetas fram. Även rent allmänt värderades integritetsskyddet förhållandevis lågt i lagstiftningen. En bidragande orsak till detta fick anses vara att det i grundlagen inte fanns någon rättsligt verk- ande bestämmelse om medborgarnas rätt till skydd för personlig integritet som balanserar de övriga fri- och rättigheter som med- borgarna är tillförsäkrade. Enligt kommittén var det sammanfatt- ningsvis tydligt att det på grundlagsnivå behövde ges uttryck för en större respekt än för den enskildes rätt till personlig integritet. Bestämmelser som ger ett utvidgat materiellt integritets- En generell reglering – utgångspunkter och inledande ställningstaganden skydd borde därför införas i regeringsformens kapitel om grund- läggande fri- och rättigheter (SOU 2008:3 s. 255 f.). föreslog att ett nytt andra stycke av följande lydelse skulle införas i 2 kap. 6 §: Även i annat fall än som avses i första stycket är varje medborgare gentemot det allmänna skyddad mot intrång, om det sker i hemlighet eller utan samtycke och i betydande mån innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Beträffande den föreslagna bestämmelsens tillämpning på hantering av personuppgifter i omfattande informationssamlingar gjorde kom- mittén följande uttalanden (a. a. s. 271). Det allmännas hantering av uppgifter om enskilds personliga förhåll- anden sker inte sällan utan samtycke från den enskilde och kan till och med ske i hemlighet. Sådan hantering kan ha som uttalat syfte att kartlägga den enskildes personliga förhållanden. Som exempel på en hantering som rör uppgifter om enskilda personer som både sker i hemlighet och innebär en kartläggning av den enskildes personliga förhållanden av sådan omfattning att den bör omfattas av det nya grundlagsskyddet kan nämnas Säkerhetspolisens hantering av person- uppgifter. Som ett annat exempel kan nämnas polisens personuppgifts- hantering i underrättelseverksamhet och under en brottsutredning.