sou · H3B339 · 2015-04-08 00:00:00 — Enligt utredningen borde ledning hämtas från begränsningsregeln i 2 kap. 3 § tredje stycket TF (s. 198 f.). Om de sökbegränsningar som enligt lag eller förordning gäller för den myndighet som för data- basen, dvs. för utlämnande myndighet, inte skulle gälla för annan myndighet som har direktåtkomst till uppgifter i databasen, skulle mottagande myndighet vid direktåtkomst få tillgång till samman- Att lämna ut personuppgifter i elektronisk form ställningar av uppgifter som enligt 2 kap. 3 § TF inte anses för- varade hos utlämnande myndighet. Mottagande myndighet skulle därmed ha rätt att ta del av handlingar som inte är att anse som allmänna handlingar. Vidare skulle allmänheten kunna vända sig till mottagande myndighet och begära sammanställningar av uppgifter hos utlämnande myndighet som sistnämnda myndighet själv inte lagligen kan göra tillgängliga. En sådan tolkning av rättsläget var enligt inte rimlig och kunde inte ha varit lagstiftarens mening. Utredningen anförde att det ligger i sakens natur att en myndighet som ges direktåtkomst till uppgifter hos en annan myndighet aldrig kan ha vidare sökmöjligheter än utlämnande myndighet eller ta del av sammanställningar av upp- gifter som inte anses förvarade hos utlämnande myndighet. Enligt utredningen måste bestämmelser om sökbegrepp i lagar och för- ordningar som tillämpas vid behandling av personuppgifter i viss angiven verksamhet därför utan särskild reglering gälla vid annan myndighets direktåtkomst till uppgifterna. Utredningens slutsats var därför att direktåtkomst i detta avseende inte innebär att till- gängligheten till uppgifter hos den utlämnande myndigheten ökar. Vid remissbehandlingen av utredningens betänkande efterlystes en närmare analys av frågan. Den berördes emellertid inte i det fortsatta lagstiftningsarbetet med anledning av utredningens förslag (prop. 2007/08:160 s. 66 f. och 2008/09:KU2). I vårt delbetänkande konstaterade vi att det ingår i utredningens uppdrag att ta ställning i den aktuella frågan och att vi avsåg att återkomma till den i slutbetänkandet (SOU 2012:90 s. 116). Där- utöver konstaterade vi att det inte råder någon tvekan om att en mottagande myndighet är skyldig att enligt 2 kap. 3 § andra stycket TF göra en sammanställning av tillgängliga personuppgifter, dvs. en s.k. potentiell handling, trots att den myndigheten i sin verksamhet inte får använda sig av direktåtkomst till den utlämnande myndig- hetens personuppgifter enligt en villkorad sökbegränsning eller s.k. ändamålsbegränsning i en registerförfattning. Den typen av begräns- ningar anses alltså inte utgöra sådana sökbegränsningar som avses enligt begränsningsregeln i 2 kap. 3 § tredje stycket TF. Frågan om Att lämna ut personuppgifter i elektronisk form mottagande myndighet är bunden av de sökbegränsningar som gäller för utlämnande myndighet behandlades också i vårt resone- mang om huruvida begränsningsregeln i 2 kap. 3 § tredje stycket TF borde ändras för att åtgärda problemen med s.k. överskotts- information (a. bet. s. 152 f.). De frågeställningar som där tas upp behandlas också delvis i det följande. Några exempel på hur frågan har reglerats En förutsättning för att föreskrifter om sökbegränsningar som gäller sökning i en viss informationssamling hos en myndighet ska gälla för en annan myndighet som har direktåtkomst till uppgifter i den informationssamlingen är att föreskrifterna också ska tillämpas av den mottagande myndigheten. Registerförfattningar är emeller- tid vanligen endast tillämpliga i en viss myndighets verksamhet. Exempelvis gäller enligt 1 § lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet den lagen endast vid behandling av personuppgifter i beskattnings- verksamhet och i verkets handläggning av vissa borgenärsuppgifter. I 2 kap. 10 § andra och tredje styckena samma lag finns bestäm- melser som begränsar vilka uppgifter som får användas som sök- begrepp vid sökning i beskattningsdatabasen, vilka enbart tar sikte på verksamhet. Dessa sökbegränsningar gäller alltså inte för de myndigheter som enligt 2 kap. 7–8 a § får medges direkt- åtkomst till databasen. Enligt 7 § får exempelvis i dess medverkan i brottsutredningar medges sådan åtkomst. Bestämmel- sen tar sikte på skattebrottsenheterna vars verksamhet utgör en självständig verksamhetsgren inom . I 14 a § lagen (1999:90) om behandling av personuppgifter i medver- kan i brottsutredningar finns särskilda sökbegränsningar som avser den sökning i beskattningsdatabasen som kan äga rum inom ramen för direktåtkomsten. Bestämmelsen infördes som skatte- brottsenheterna medgavs direktåtkomst till beskattningsdatabasen. När det gällde utformningen av författningsregleringen anförde regeringen att möjligheter att använda sig av direkt- åtkomsten i den brottsbekämpande verksamheten skulle begränsas genom dels bestämmelser i lagen om behandling av personuppgifter vid verkets medverkan i brottsutredningar, dels Att lämna ut personuppgifter i elektronisk form personuppgiftslagen (prop. 2005/06:169 s. 85 f.). Bland annat skulle en begränsning införas när det gällde sökmöjligheter i fråga om fysiska personer. Det är alltså den som återfinns i den nämnda 14 a §. I sammanhanget kan nämnas att i den tidigare skattegisterlagen (1980:343) användes en annan lagstiftningsteknik. I den lagen reg- lerades hur de dåvarande skatteregistren fick användas och inte specifikt för vilken myndighet som lagen som sådan gällde. I lagen föreskrevs vilka myndigheter som fick ha terminalåtkomst till registren. De begränsningar i fråga om sökbegrepp som gällde be- träffande de olika registren gällde därför för alla de myndigheter som medgetts terminalåtkomst. Enligt 114 kap. 2 § SFB gäller det kapitlet vid behandling av personuppgifter i verksamhet som gäller förmåner enligt balken, samt andra förmåner och ersättningar som enligt lag eller förord- ning eller särskilt beslut av regeringen handläggs av Försäkrings- kassan eller . De begränsningar i fråga om sökbegrepp som föreskrivs i 27 § gäller således inte vid exempelvis den direktåtkomst som () kan medges enligt 21 § och som får användas för att skapa underlag för beslut om och kontroll av förmåner m.m. i den verksamhet som nämnden bedriver. I studiestödsdatalagen (2009:287), som ska tillämpas vid behandling av personuppgifter i CNS:s studiestödverk- samhet, finns i 8 § föreskrifter som generellt begränsar myndighetens användning av sökbegrepp vid dess behandling av personuppgifter. Dessa föreskrifter torde därför även begränsa vilka uppgifter som kan användas som sökbegrepp vid CSN:s användning av sin direkt- åtkomst till socialförsäkringsdatabasen. I studiestödsdatalagen har alltså använts en delvis annan lagstift- ningsteknik. Enligt 1 § tillämpas lagen vid behandling av person- uppgifter i CSN:s studiestödsverksamhet. I 10 § föreskrivs att direktåtkomst eller annat elektroniskt utlämnande utan den regi- strerades samtycke av personuppgifter som behandlas i CNS:s studiestödsverksamhet är tillåtet bara i den utsträckning som med- ges i lag eller förordning och under förutsättning att bl.a. 8 § följs. Av 11 § följer att och arbetslöshetskassorna får ha direktåtkomst till personuppgifter som behandlas i CSN:s studie- stödsverksamhet. Av 10 § framgår inte uttryckligen vem som har att följa sökbegränsningarna i 8 § i samband med att direktåtkomst tillåts, dvs. om föreskriften tar sikte på att reglera CSN:s med- Att lämna ut personuppgifter i elektronisk form givande av direktåtkomst eller om den syftar till att begränsa och arbetslöshetskassornas användning av sök- begrepp vid deras sökningar via direktåtkomsten. Något klart svar ges inte heller i förarbetena (prop. 2008/09:96 s. 56 f.). En omstän- dighet som inger betänkligheter i sammanhanget är att 10 § också hänvisar till bl.a. 6 § studiestödsdatalagen. I den paragrafen regleras i vilken utsträckning särskilda begränsningar gäller vid behandling av vissa särskilt känsliga personuppgifter. Begränsningarna innebär att dessa uppgifter bara får behandlas inom ramen för ett ärende i studiestödsverksamheten eller för att anmäla oegentligheter inom den verksamheten till ett offentligt organ som har att utreda eller beivra oegentligheterna. Eftersom och arbetslös- hetskassorna inte ägnar sig åt sådan verksamhet, innebär det att direktåtkomsten över huvud taget inte kan komma till stånd om de myndigheterna också ska vara skyldiga att tillämpa 6 §. Det talar för att hänvisningen i 10 § studiestödsdatalagen till bl.a. 6 och 8 §§ samma lag inte tar sikte på behandling av personuppgifter hos de myndigheter som medges direktåtkomst utan på CNS:s egen verk- samhet. Det kan alltså konstateras att frågan om en mottagande myn- dighet vid direktåtkomst har att följa samma sökbegränsningar som gäller för den utlämnande myndigheten är beroende av hur gällande regelverk har utformats. Som framgått har vad som ska gälla reg- lerats på olika sätt. 11.3.2Vad bör gälla i fortsättningen? Frågan om vilken betydelse sökförbud i en utlämnande myndighets registerförfattning har för bedömningen av vilka sammanställningar av personuppgifter som utgör allmänna handlingar hos den mottag- ande myndigheten aktualiseras endast vid uppgiftsutbyten mellan myndigheter som sker i form av direktåtkomst, inte vid andra utlämnanden i elektronisk form. Avgörande är att de båda myndig- heterna har en gemensam tillgång till en viss informationssamling, dvs. den som omfattas av direktåtkomsten. När det gäller andra utlämnanden i elektronisk form uppstår inte samma problem, efter- som samma personuppgifter då inte behandlas gemensamt av ut- Att lämna ut personuppgifter i elektronisk form lämnande och mottagande myndighet. Den behandling av person- uppgifter som den mottagande myndigheten gör inom ramen för direktåtkomsten, dvs. genom att t.ex. söka fram uppgifter och eventuellt överföra uppgifter till sina egna informationssamlingar, utgör emellertid en del av den myndighetens verksamhet. Den behandling av personuppgifter som exempelvis Kronofogdemyndig- heten utför när den använder sig av sin direktåtkomst hos Skatte- verket sker alltså inom ramen för verk- samhet och inte i den verksamhet som bedriver. De åtgärder som vidtar beträffande samma informations- samling, exempelvis genom att använda uppgifterna för egen del eller att uppdatera den information som finns, sker däremot i verksamhet. Vilket problem bör lösas? Det kan förefalla orimligt att en enskild med stöd av 2 kap. 3 § andra stycket TF skulle kunna begära ut en sammanställning av personuppgifter hos en myndighet som den myndigheten har till- gång till genom direktåtkomst hos en annan myndighet, medan den enskilde inte hade kunnat få tillgång till sammanställningen hos den sistnämnda myndigheten på grund av att sökbegränsningar inte medger detta. Personuppgifterna har samlats in för den utlämnande myndighetens verksamhet och behandlingen har då, för att göra detta möjligt och väl avvägt med hänsyn till skyddet för person- uppgifterna, omgärdats av vissa regler som begränsar hur uppgift- erna får användas. Ett exempel på sådana skyddsregler kan vara sökbegränsningar. Om en sammanställning av uppgifter som är otillåten hos den insamlande myndigheten i stället kan begäras hos en annan myndighet tack vare att den medgetts direktåtkomst och inte behöver tillämpa sökbegränsningarna, kan det tyckas att upp- gifterna på ett omotiverat sätt förlorar sitt skydd. Enligt Informa- tionsutbytesutredningen är en sådan tolkning av rättsläget inte rim- lig och kan inte ha varit lagstiftarens mening (SOU 2007:45 s. 199). Vad som ska gälla i den aktuella frågan torde dock inte kunna besvaras med vad som ligger i sakens natur eller vad som kan anses rimligt. En bestämmelse som begränsar den grundlagsskyddade rätten att ta del av allmänna handlingar kan inte gärna tolkas annat än Att lämna ut personuppgifter i elektronisk form enligt sin ordalydelse. Den fråga som i varje enskilt fall måste ställas är alltså om det i enlighet med vad som föreskrivs i 2 kap. 3 § tredje stycket TF finns en bestämmelse i lag eller förordning som innebär att den mottagande myndigheten saknar befogenhet att göra en sammanställning av uppgifter tillgänglig som myndigheten i och för sig kan nå via direktåtkomst hos en annan myndighet. Svaret torde ges i en eventuell registerförfattning på området. En mottagande myndighet saknar befogenhet att sammanställa uppgifter om det i en författning finns sökbegränsningar som förhindrar att uppgifter ur den aktuella informationssamlingen söks fram och de begränsningarna uttryckligen gäller även för den myndigheten. Den omständigheten att en mottagande myndighet inte nödvän- digtvis ska tillämpa samma sökbegränsningar som gäller för den utlämnande myndigheten innebär att myndigheten har befogenhet att även för sin egen verksamhet göra motsvarande sammanställ- ning av de personuppgifter som den har tillgång till genom direkt- åtkomsten. Ur ett insynsperspektiv kan det anses rimligt att en- skilda har möjlighet att ta del av samtliga sådana sammanställningar som en myndighet har befogenhet att göra. Det är syftet bakom den del av handlingsoffentligheten som tar sig uttryck i 2 kap. 3 § andra stycket TF och som har sin grund i den s.k. likställighets- principen, dvs. att enskilda i princip ska ha samma tillgång till en myndighets informationssamlingar som myndigheten själv har. Att en myndighets tillgång till information har sin grund i direktåtkomst kan knappast principiellt sett anses göra intresset av insyn i myn- dighetens verksamhet mindre. Det går dock inte att komma ifrån att direktåtkomst ibland, p.g.a. att det tekniskt inte går att lösa på annat sätt eller av något annat skäl, medför att åtkomsten blir betydligt mer omfattande än vad motsvarande informationssamling hade blivit om myndigheten själv samlat in uppgifterna. Exempelvis innebär den åtkomst som socialnämnderna har till socialförsäkringsdatabasen att de har till- gång till personuppgifter från hela landet och inte endast rörande personer i den egna kommunen. själv samlat in uppgifter hade de gjort det endast från sina kommuninvånare i den mån de var aktuella i ärenden hos nämnden. Nämndens åtkomst hade i så fall begränsats till personuppgifter i pågående och av- slutade ärenden. De begränsningar som har införts för åtkomst till socialförsäkringsdatabasen i 114 kap. 22 och 23 §§ SFB tar emeller- Att lämna ut personuppgifter i elektronisk form tid enbart sikte på att begränsa åtkomsten för den enskilde hand- läggaren hos nämnden som hanterar ett visst ärende. En sådan begränsning syftar alltså till att den enskilde handläggaren inte ska söka fram fler uppgifter än denne behöver för sitt ärende, dvs. en form av intern åtkomstregel. En sådan begränsning skulle inte utgöra ett sådant sökförbud som avses i 2 kap. 3 § tredje stycket TF även om uppgifterna hade samlats in av nämnden själv och därigenom fanns i dess informationssamlingar. För att åstadkomma ett sök- förbud i tryckfrihetsförordningens mening krävs ett sökförbud som riktar sig till myndigheten som sådan, dvs. exempelvis att sökningar alltid måste avgränsas med uppgift om kommun. Det förekommer alltså att en myndighet har medgetts direkt- åtkomst till en annan myndighets informationssamlingar utan att det övervägts om den myndighetens möjlighet att söka fram per- sonuppgifter bör begränsas i samma utsträckning som gäller för den utlämnande myndigheten eller på annat sätt. I det samman- hanget räcker det alltså inte med att införa begränsningar som tar sikte på att den enskilde handläggaren inte ska söka fram fler upp- gifter än denne behöver för stunden för att hantera ett visst ärende, utan det måste vara begränsningar som innebär ett sökförbud för myndigheten som sådan (se vidare vårt delbetänkande s. 149 f.). Bedömning: Det är inte ändamålsenligt att förhindra eventuella risker för enskildas integritet i samband med direktåtkomst genom att föreskriva att samma sökbegränsningar alltid ska gälla för såväl den utlämnande myndigheten som den mottagande myndigheten. Det kan leda till att enskildas integritet inte skyddas i tillräcklig utsträckning, men också att en mottagande myndig- hets berättigade behov av att använda sig av de uppgifter som blir åtkomliga genom direktåtkomst inte kan tillgodoses. Enskildas integritet bör i stället skyddas genom att en direkt- åtkomst inte medges förrän noggranna överväganden har gjorts beträffande den mottagande myndighetens användning av direkt- åtkomsten, bl.a. beträffande vilka sökbegränsningar som den ska iaktta. Att lämna ut personuppgifter i elektronisk form Direktåtkomst medges för att åstadkomma ett så effektivt upp- giftsutbyte som möjligt. Skälet till att direktåtkomst medges är alltså att spara resurser, både hos den utlämnande och mottagande myndigheten. Den mottagande myndigheten medges direktåtkomst för att själv slippa samla in de aktuella uppgifterna eller för att und- vika ett mer tidskrävande sätt att få tillgång till uppgifterna, t.ex. att de lämnas ut efter en hantering av den utlämnande myndigheten. En förutsättning för att direktåtkomsten ska upp- fylla sitt syfte med att vara effektiv för den mottagande myndig- heten torde vara att den myndigheten får använda de uppgifter som den får tillgång till på ett sätt som är ändamålsenligt i den myn- dighetens verksamhet. Den omständigheten bör enligt vår uppfatt- ning utgöra en självklar utgångspunkt i frågan om den mottagande myndigheten ska vara bunden av samma sökbegränsningar som gäller för den utlämnande myndighetens behandling av personupp- gifter. Det förekommer att en myndighet medges direktåtkomst till en annan myndighets informationssamlingar trots att deras verksam- heter skiljer sig åt på ett avgörande sätt. Ett exempel på det är brottsenheterna inom som medgetts direktåtkomst till beskattningsdatabasen, trots att uppgifterna där har samlats in för beskattningsverksamheten och genom att skatt- skyldiga och andra själva har lämnat uppgifter till på grund av att de är skyldiga att göra det. Lagstiftaren har emellertid bedömt att direktåtkomsten kan medges och har utfärdat regler som avses skydda personuppgifterna så att direktåtkomsten inte medför otillbörliga intrång i enskildas integritet. Det har åstad- kommits både genom att direktåtkomsten som sådan har begrän- sats till vissa uppgifter och att det införts begränsningar i skatte- brottsenheternas möjlighet att söka fram uppgifter genom direkt- åtkomsten. För att åstadkomma en rimlig avvägning mellan effektivitet och hänsyn till enskildas integritet då direktåtkomst medges till person- uppgifter som i den enskildes perspektiv kan vara känsliga för sprid- ning, dvs. företrädesvis sekretessreglerade personuppgifter, behöver således ett helt ”paket” av föreskrifter komma på plats. Det gäller i första hand att direktåtkomst inte medges till fler uppgifter än vad den mottagande myndigheten behöver och vad som i övrigt kan an- ses rimligt. Även nödvändiga sekretessbestämmelser behöver in- Att lämna ut personuppgifter i elektronisk form föras och föreskrifter som reglerar den mottagande myndighetens användning av direktåtkomsten, exempelvis i form av sökbegräns- ningar. Om inte alla dessa delar har övervägts och nödvändiga författningsändringar har gjorts, finns det risk för att direktåtkom- sten får allvarliga konsekvenser för den enskildes skydd för sina personuppgifter. I registerförfattningar har frågan om vad som ska gälla i fråga om mottagande myndighets sökbegränsningar rörande de person- uppgifter som den får tillgång till genom direktåtkomst reglerats på olika sätt och inte alltid – förfaller det – i alla delar helt genom- tänkt. Det kan inte anses tillfredsställande att det inte är tydligt vilken eller vilka myndigheter som har att tillämpa en bestämmelse om sökbegränsningar, eftersom sådana begränsningar utgör ett viktigt verktyg för att motverka att myndigheter söker fram personupp- gifter ur informationssamlingar som de i och för sig har tillgång till, men där uppgifterna varken är motiverade eller proportionerliga i förhållande till det uppdrag som myndigheten har att utföra. Det är inte heller tillfredsställande att det kan finnas tvekan om i vilken mån det faktiskt föreligger hinder för myndigheten att på begäran av enskilda enligt 2 kap. 3 § TF tillhandahålla sammanställningar av personuppgifter. Det kan förefalla som en enkel lösning att exempelvis i den nya lagen föreskriva att sökbegränsningar som gäller för den utläm- nande myndigheten alltid ska gälla för en annan myndighet som medges direktåtkomst till myndighetens informationssamlingar. Frågan är dock om det vore det mest ändamålsenliga sättet att för- hindra eventuella risker för enskildas integritet i samband med direktåtkomst. Det skulle kunna vara så att de sökbegränsningarna inte kan anses tillräckliga för att skydda enskildas integritet i den mottagande myndighetens verksamhet. Som exempel kan nämnas att brottsenheter har mer begränsande sökmöjligheter vid användningen av sin direktåtkomst till beskattningsdatabasen än vad har i sin beskattningsverksamhet. Man kan också tänka sig det motsatta fallet, dvs. att den mottagande myn- dighetens berättigade behov av att använda sig av de personupp- gifter som blir åtkomliga genom direktåtkomsten innebär att bestämmelser om sökförbud som ska tillämpas av den myndigheten behöver utformas på ett mindre inskränkande sätt än för den utläm- nande myndigheten. Så skulle exempelvis kunna vara fallet om en Att lämna ut personuppgifter i elektronisk form myndighet ska utföra ett uppföljnings- eller forskningsuppdrag och därför kan ha behov av göra andra sammanställningar i den infor- mationssamling som blir åtkomlig genom direktåtkomsten än sådana som kan anses motiverade för den utlämnande myndighetens behov. Enligt vår bedömning bör skyddet för enskildas integritet snarare åstadkommas genom att det i samband med att man avser att med- ge direktåtkomst till uppgifter gör noggranna överväganden när det gäller vad som ska gälla i fråga om den mottagande myndighetens användning av direktåtkomsten. Bland annat bör man ta ställning till om den mottagande myndigheten har att iaktta sökbegräns- ningar som utgör ett tillräckligt skydd även för de personuppgifter som kan sökas fram via direktåtkomsten. Om inte, bör lagstiftaren se till att den mottagande myndigheten ska iaktta ytterligare begräns- ningar genom författningsreglering av sökbegränsningar. Utform- ningen av det regelverk som gäller för behandling av personupp- gifter i aktuell verksamhet eller för ett visst register får därvid styra vad som ska anses vara den lämpligaste platsen för sådan reglering. Vi har i avsnitt 9.4 behandlat frågan om den nya lagen bör inne- hålla sökbegränsningar som gäller generellt för myndigheter. 12 Överföring till tredjeland Syftet med dataskyddsdirektivet har varit att skapa en gemensam, hög nivå på integritetsskyddet vid behandling av personuppgifter för att därigenom möjliggöra ett fritt flöde av personuppgifter med- lemsstaterna emellan. Direktivet har också införts i övriga stater som är anslutna till Europeiska ekonomiska samarbetsområdet (EES). Ett motsvarande fritt flöde av personuppgifter till tredjeland är däremot inte möjligt. Det har emellertid genom direktivet lagts fast en gemensam nivå på skyddet för personuppgifterna visavi tredje- land för att möjliggöra överföringar till stater utanför EU/EES. Kapitel IV i dataskyddsdirektivet med artiklarna 25 och 26 inne- håller bestämmelser om överföring av personuppgifter till tredje- land. Enligt artikel 25.1 ska medlemsstaterna föreskriva att överför- ingen av personuppgifter som är under behandling eller som är av- sedda att behandlas efter överföring till tredjeland endast får ske om det tredjelandet – utan att detta påverkar tillämpningen av de natio- nella bestämmelser som har antagits till följd av de andra bestäm- melserna i direktivet – säkerställer en adekvat skyddsnivå.