sou · H3B339 · 2015-04-08 00:00:00 — 13.4.1Information som ska lämnas självmant Förslag och bedömning: Personuppgiftslagens bestämmelser om information som självmant ska lämnas till den registrerade ska gälla vid myndigheters behandling av personuppgifter enligt den nya lagen. Det ska framgå genom en hänvisning till 23 och 25 §§ PuL. Det behövs inte någon bestämmelse om att infor- mation ska ges då uppgifter samlas in från någon annan källa än den registrerade. Någon hänvisning till 24 § PuL bör därför inte göras. Information när personuppgifter samlas in från den registrerade De bestämmelser som finns i 23 och 25 §§ PuL angående infor- mation som ska ges till den registrerade när uppgifter samlas in från personen själv är i sak desamma som följer av artikel 10 i direktivet. Såvitt vi erfarit medför dessa bestämmelser inga särskilda tillämp- ningsproblem för myndigheterna. Det har inte heller framkommit att det generellt sett skulle behövas mer information än vad som anges i 25 § första stycket för att tillgodose de registrerades behov. Det är därför vår uppfattning att den nya lagen inte bör innehålla bestämmelser som avviker från 23 och 25 §§ PuL när det gäller in- formation som ska lämnas då personuppgifter samlas in från den registrerade. Det sagda gäller även bestämmelsen i 25 § andra stycket PuL om att information inte behöver lämnas om sådant som den registrerade redan känner till. Det undantaget har stor betydelse för myndig- heter och sådana slag av behandlingar då den enskilde regelmässigt kan förutsättas vara införstådd med personuppgiftsbehandlingen Information till den registrerade även utan att ha fått någon särskild information. Det kan gälla så självklara situationer som när en enskild kontaktar en myndighet via e-post. Det ligger då i sakens natur att detta innebär behandling av personuppgifter och att denna behandling kan antas komma att föranleda en viss ytterligare personuppgiftsbehandling hos myndig- heten. Detsamma gäller t.ex. sådan ärendehandläggning som föranleds av en sökandes ansökan om något, t.ex. ett visst tillstånd. I dessa fall torde det vara fullt tillräckligt att myndigheten håller tillgänglig en sådan allmänt inriktad information med förteckning över myn- dighetens personuppgiftsbehandlingar m.m. som vänder sig till både allmänhet och en allmän krets av registrerade. Vi återkommer till detta i avsnitt 16.4. I andra fall – t.ex. i samband med att enskilda som en service- åtgärd erbjuds att ansluta sig till en e-tjänst för inrapportering av uppgifter till en myndighet – bör det däremot åligga en person- uppgiftsansvarig myndighet att se till att den enskilde nås av adekvat information. Ingen bör t.ex. kunna få ansluta sig till en e-tjänst som inbegriper personuppgiftsbehandling utan att ha fått tillräcklig infor- mation om vilken personuppgiftsbehandling som äger rum i sam- band med just den e-tjänsten. Såvitt vi kan se möjliggör 23 och 25 §§ PuL den flexibilitet som måste finnas i en reglering av nu aktuellt slag. Mot denna bakgrund menar vi alltså att bestämmelserna i 23 och 25 §§ PuL bör vara tillämpliga även vid myndigheters behandling av personuppgifter enligt den nya lagen. Detta bör framgå genom en hänvisning till att dessa bestämmelser ska vara tillämpliga även vid behandling enligt lagen. Vi har i avsnitt 8.3 gjort bedömningen att myndigheters person- uppgiftsbehandling enligt vår uppfattning inte i något fall bör stödjas på missbruksregeln i 5 a § PuL och vi har föreslagit att den bestämmelsen inte ska vara tillämplig vid behandling av person- uppgifter enligt den nya lagen. Vi har därför ställt oss frågan om det behövs något undantag från informationsskyldigheten enligt 23 och 25 §§ som i något avseende motsvarar den lättnad som torde följa av missbruksregeln. Vi ser emellertid inte att det finns något sådant behov i fråga om information som ska lämnas i samband med att uppgifter samlas in från den registrerade. Information till den registrerade Information när personuppgifter samlas in från annan källa än den registrerade Vi har vad gäller information som ska lämnas om personuppgifter har samlats in från någon annan källa än den registrerade (24 § första stycket PuL) inte heller nåtts av signaler om att paragrafen inte skulle vara ändamålsenligt utformad eller medföra några särskilda problem för myndigheterna. Det framstår dock som oklart i vad mån det finns myndigheter som anser sig omfattas av den bestäm- melsen. Enligt 24 § andra stycket behöver information enligt första stycket nämligen inte ges om det finns bestämmelser om ”regi- strerandet eller utlämnandet av personuppgifterna” i lag eller annan författning. Enligt artikel 11.2 i direktivet ska det vara fråga om uttryckliga föreskrifter. Det är dock inte närmare beskrivet vilken grad av precision som krävs för att bestämmelser ska anses vara sådana uttryckliga föreskrifter som medför att information inte be- höver lämnas. Frågan måste därför ställas om bestämmelserna i den nu före- slagna lagen utgör sådana föreskrifter. Om så inte är fallet upp- kommer frågan om det finns andra kompletterande bestämmelser som styr myndigheternas verksamheter och därmed informations- hantering och som i stället för eller tillsammans med den nya lagen kan anses utgöra sådana föreskrifter som innebär ett undantag från informationsskyldigheten. Bestämmelserna i registerförfattningar har ofta ansetts vara av det slag som avses i 24 § andra stycket PuL. Att det förhåller sig på det viset kan knappast ifrågasättas när det handlar om den typ av renodlade registerförfattningar som föreskriver att ett visst register av visst innehåll ska föras. Mer tveksamt kan det måhända te sig beträffande det vi kallar informationshanteringsförfattningar som alltså anger vad myndigheterna får göra i form av personuppgifts- behandling. De informationshanteringsförfattningar som utformats utifrån modellen att hänvisa till vilka bestämmelser i personupp- giftslagen som ska vara tillämpliga även vid behandling enligt lagen i fråga hänvisar emellertid inte till 24 § PuL. Skälet torde vara att det ansetts att sådana lagar – som gäller för bl.a. beskattnings- och folkbokföringsverksamhet, Kronofogdemyndig- heten, tullverksamhet, Polisens brottsbekämpande verk- samhet och – är specialutformade för verksam- Information till den registrerade heterna i fråga. De innehåller preciserade regler som sedda tillsam- mans med den verksamhetsreglering som i övrigt gäller för myndig- heterna i fråga kan ses som sådana uttryckliga bestämmelser om registrering eller utlämnande som krävs enligt artikel 11.2 i direk- tivet. Den nu föreslagna lagen kommer att tillämpas av ett mycket stort antal myndigheter. De bestämmelser som vi föreslår är följ- aktligen generellt utformade. Det kan tyckas att lagen som sådan därför inte lever upp till kravet på att vara en uttrycklig reglering om ”registrerande eller utlämnande” av personuppgifter. ska beaktas att sådana särregler som kommer att behöva meddelas i anslutning till lagen tveklöst torde utgöra bestämmelser av det slag som avses i 24 § andra stycket och som medför undantag från informationsskyldigheten. Så kan t.ex. vara fallet beträffande regler som syftar till att möjliggöra direktåtkomst avseende sekretessreg- lerade personuppgifter m.m. I avsaknad av sådana särskilda regler uppkommer frågan i vilken mån den övriga reglering som gäller för myndigheternas verksamheter har betydelse i sammanhanget. Det kan då konstateras att det är ett grundläggande förhållande att all förvaltningsverksamhet på det ena eller andra sättet är för- fattningsstyrd. Detta gäller även i fråga om myndigheternas infor- mationshantering. Utgångspunkten är vidare att myndigheter inte samlar in personuppgifter om enskilda från annan än den regi- strerade själv utan att detta sker med författningsstöd som – i vart fall indirekt – ålägger eller tillåter myndigheter att samla in och registrera uppgifter av det slaget. På samma sätt förhåller det sig med utlämnande av personuppgifter. Det ska i princip inte före- komma utlämnanden som inte har i vart fall indirekt stöd i författ- ningsreglering. Mot denna bakgrund anser vi att den samlade för- fattningsregleringen av myndigheternas verksamheter och därmed informationshantering i kombination med den föreslagna lagen om myndigheters behandling av personuppgifter är tillräcklig för att uppfylla kraven enligt direktivet i detta hänseende. Det finns, som vi ser det, därför inga skäl att ålägga myndigheter att självmant lämna ytterligare information till registrerade rörande sådana förhållanden som avses i 24 § första stycket PuL. Sammanfattningsvis gör vi således bedömningen att det inte be- hövs någon hänvisning till 24 § PuL eftersom det alltid kan antas Information till den registrerade finnas bestämmelser om myndigheters registrerande och utlämnande av personuppgifter i författning. 13.4.2Information som ska lämnas efter ansökan Förslag: Personuppgiftslagens bestämmelse om den registrerades rätt att efter ansökan få information ska gälla även vid myn- digheters behandling av personuppgifter enligt den nya lagen. Det ska framgå genom en hänvisning till 26 § PuL. Rätten till information efter ansökan ska dock bara gälla i fråga om per- sonuppgifter som ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt under- lätta sökning efter eller sammanställning av personuppgifter. Ett särskilt undantag görs därmed för uppgifter i s.k. ostrukturerat material, vilket motsvarar vad som följer av den s.k. miss- bruksregeln i 5 a § PuL. Som vi berört tidigare gjordes vid personuppgiftslagens tillkomst ingen närmare analys av vad direktivets krav innebar på myndig- hetsområdet, t.ex. i vad mån det redan fanns reglering av förvalt- ningsrättslig natur m.m. som i sak förverkligade direktivets krav. En fråga som enligt vår mening möjligen kunde ha ställts var om det verkligen var till alla delar motiverat att genomföra 12 a i direk- tivet om den registrerades rätt till tillgång till uppgifter på så sätt att regleringen i 10 § datalagen om registerutdrag arbetades in i personuppgiftslagen men med ett betydligt mera vidsträckt tillämp- ningsområde än vad som hade varit fallet . Då handlade det om en rätt att få regelrätta utdrag ur automatiserade personregister. Med personuppgiftslagen kom rätten till ”utdrag” att omfatta alla personuppgifter som behandlas helt eller delvis automatiserat eller i register alldeles oavsett om behand- lingen sker i eller i anslutning till något register, ärendehanterings- system eller annan strukturerad informationssamling. Till saken hör att den registrerade har helt andra möjligheter än i enskild verksamhet att med stöd av offentlighetsprincipen få insyn i den personuppgiftsbehandling som sker i den offentliga verksam- heten. Den registrerade har alltså en rätt till insyn i allmänna hand- lingar och kan åberopa 2 kap. TF för att få del av allmänna hand- Information till den registrerade lingar med personuppgifter som rör den registrerade själv. På så sätt kan han eller hon kontrollera personuppgifterna i deras rätta samman- hang, vilket inte sällan torde ge bättre förutsättningar att tillgodo- göra sig innebörden av och bedöma lagenligheten i personuppgifts- behandlingen i fråga än vad ett utdrag med sammanställda person- uppgifter ger. I sammanhanget kan erinras om att syftet med direk- tivets bestämmelse om den registrerades rätt till tillgång till upp- gifterna är att denne i detalj ska kunna försäkra sig om att upp- gifterna är korrekta och om att behandlingen är tillåten (punkt 41 i ingressen till direktivet), ett syfte som den registrerades rätt till in- syn i allmänna handlingar väl tillgodoser. Rätten till insyn enligt offentlighetsprincipen kan vidare utnyttjas i princip hur ofta som helst – och formlöst – medan rätten enligt 26 § PuL bara kan ut- övas en gång och då efter skriftlig ansökan. finns det andra skillnader mellan rätten till insyn enligt 26 § PuL och 2 kap. TF. Rätten enligt personuppgiftslagen ger t.ex. i princip en möjlighet till insyn i handlingar som inte är allmänna samt ytterligare upplysningar om mottagare eller mottagarkategorier. Av väsentlig betydelse är också kravet på information om ända- målen med behandlingen. Man hade emellertid möjligen kunnat tänka sig att det hade räckt för att uppfylla direktivets krav att vid genomförandet, såvitt avser myndigheter, hänvisa till den registrerades rätt att få tillgång till allmänna handlingar eller uppgifter ur allmänna handlingar. Den sammantagna effekten av handlingsoffentligheten, myndigheternas skyldighet att anmäla eller upplysa allmänheten om ändamål, mot- tagarkategorier m.m. (artiklarna 19 och 21, jfr 36 och 42 §§ PuL) och en allmän hänvisning till myndigheternas serviceskyldighet skulle måhända ha kunnat anses motsvara direktivets krav. Artikel 12 a i direktivet ställer nämligen inte krav på att medlemsstaterna ska in- föra särskilda föreskrifter. Det som krävs är att medlemsstaterna ska säkerställa rätten till information och insyn, vilket torde lämna viss frihet för medlemsstaterna att välja metod för hur denna rätt ska förverkligas. Enligt vår uppfattning finns i och för sig inget hinder mot att vid sådant förhållande anse att redan existerande inhemska författningsreglerade rättigheter tillgodoser direktivets krav, så länge som dessa i praktiken leder till det resultat som ska uppnås. Information till den registrerade Vi ser dock ingen anledning att nu föreslå några förändringar vad gäller frågan om hur artikel 12 a i direktivet har genomförts på myndighetsområdet. Som anfördes i förarbetena till änd- ringar av personuppgiftslagen fyller rätten att på begäran få ett ”registerutdrag” en viktig kontrollfunktion, särskilt när det gäller uppgifter i regelrätta register eller stora databaser. Av väsentlig betydelse är vidare, som vi ser det, att informationsskyldigheten enligt 26 § PuL också innefattar en redovisning av ändamålen med behandlingen. I den mån dessa inte är författningsreglerade innebär detta en viktig kontrollfunktion för enskilda registrerade. Mot den bakgrunden skulle det kunna sägas innebära en klar försämring av enskildas rättsskydd om rätten till information på begäran togs bort. Även enligt den nya lagen bör myndigheter således ha en skyldighet att på begäran lämna sådan information som avses i 26 § PuL. Vi föreslår att detta ska framgå genom en hänvisning till den paragrafen. Eftersom vi alltså är av uppfattningen att missbruksregeln inte ska gälla enligt den nya lagen inställer sig även här frågan om ett särskilt undantag behöver göras beträffande personuppgifter som förekommer i sådana sammanhang. De överväganden som föranledde att missbruksregeln kom att även omfatta skyldigheten att lämna s.k. registerutdrag enligt 26 § PuL har, menar vi, bärighet också på myndigheternas område. Att nuvarande registerlagar inte har motsvarande begränsningar i sina hänvisningar till 26 § PuL torde bero på att dessa lagar i allt väsent- ligt reglerar antingen personuppgifter som strukturerats för att på- tagligt underlätta sökning efter eller sammanställning av person- uppgifter (personregister) eller personuppgifter som ingår i eller är avsedda att ingå i strukturerade informationssamlingar (t.ex. person- uppgifter i ärendehanteringsystem eller i färdiga elektroniska hand- lingar som är kopplade till ett ärendehanteringssystem). Den nya lagen kommer att tillämpas av såväl små som stora myndigheter, oavsett vad för slags personuppgiftsbehandlingar som avses och oavsett om eller i vilken utsträckning en myndighet förfogar över material med personuppgiftsanknuten struktur. Det är rimligt, menar vi, att myndigheter som grundregel även i fort- sättningen har en lättad informationsplikt såvitt avser ”register- utdragen” motsvarande den som följer av nuvarande 5 a § första stycket PuL. Vi föreslår därför en sådan regel. Information till den registrerade Enligt vår mening är ett fortsatt undantag avseende information om personuppgifter i ostrukturerat material förenlig med direk- tivet. Det framgår redan av det ovan sagda om att handlings- offentligheten och rätten att få uppgifter ur allmänna handlingar tillsammans med myndigheters övriga serviceskyldigheter kan anses i princip säkerställa den registrerades rätt till tillgång enligt artikel 12 a i direktivet. Till det kommer våra förslag i avsnitt 16.4 om att varje myndighet ska föra en förteckning över de behandlingar som utförs med stöd av den nya lagen. Förslaget innebär alltså ingen saklig ändring i förhållande till dagens reglering. Genom att personuppgifter i s.k. ostrukturerat material även fortsättningsvis undantas från informationsskyldig- heten klargörs att myndigheter t.ex. inte behöver söka igenom alla befattningshavares e-post eller hårddiskar m.m. Ledning beträff- ande gränsdragningen mellan personuppgifter som ingår i respek- tive inte ingår i en samling av personuppgifter som har struktu- rerats för att underlätta sökning efter eller sammanställning av per- sonuppgifter finns i förarbetena till 5 a § PuL. Där anges bl.a. att behandling av personuppgifter t.ex. i löpande text i ordbehandlings- program, e-postmeddelanden, på internet eller enstaka ljud- och bildupptagningar faller inom det undantagna området. Om uppgift- erna i den löpande texten, i ljud- och bildupptagningen osv. däremot infogas i en databas med en personuppgiftsanknuten struktur, exempelvis ett ärendehanteringssystem, är behandlingen inte undan- tagen från personuppgiftslagens hanteringsregler (prop. 2005/06:173 s. 19–25 och 58). Se även Högsta förvaltningsdomstolens domar i mål nr 571-14 och 642-14. 13.4.3Begränsningar i informationsplikten på grund av sekretess Förslag: Sekretess ska på samma sätt som enligt personupp- giftslagen begränsa informationsskyldigheten enligt den nya lagen. Det ska framgå av en bestämmelse som motsvarar 27 § PuL. På motsvarande sätt som gäller enligt personuppgiftslagen bör sekre- tess för uppgifter som gäller gentemot den registrerade inskränka myndigheternas informationsskyldighet. I förtydligande syfte bör Information till den registrerade någon hänvisning emellertid inte göras till den bestämmelse i person- uppgiftslagen (27 §) av vilket detta kan utläsas. I den nya lagen bör i stället införas en ny bestämmelse som klargör att det i detta hän- seende bara är sekretess enligt offentlighets- och sekretesslagen eller föreskrifter som meddelats med stöd av den lagen som kan inskränka informationsskyldigheten. 14 Bevarande och gallring Handlingsoffentligheten och elektronisk informationshantering Enligt 2 kap. 1 § TF har varje svensk medborgare en grundlagsfäst rätt att ta del av myndigheters och andra offentliga organs allmänna handlingar. Av bestämmelsen framgår att syftet härmed är att främja ett fritt meningsutbyte och en allsidig upplysning. Rätten att ta del av allmänna handlingar är ett av de viktigaste inslagen i offentlighetsprincipen, dvs. den grundsats som innebär att samhälls- organens verksamhet ska bedrivas under allmän insyn och kontroll. Handlingsoffentlighetens syften brukar, utöver vad som anges i 2 kap. 1 § TF, sammanfattningsvis sägas vara att garantera rätts- säkerheten samt effektiviteten i förvaltningen och i folkstyret. Vad som är en allmän handling definieras i 2 kap. TF. Vi har relativt ingående redogjort för dessa bestämmelser i vårt delbetänk- ande med fokus på innebörden av regleringen i fråga om elek- troniskt lagrad information, se SOU 2012:90 s. 60 f. samt 91 f. I den elektroniska miljön brukar man tala om två handlingsslag, dels färdiga elektroniska handlingar, dels sammanställningar av upp- gifter, s.k. potentiella handlingar. Utmärkande för det sistnämnda handlingsslaget är att varje tänkbar sammanställning av uppgifter ur en eller flera upptagningar kan vara en allmän handling alldeles oav- sett om den vid ett givet tillfälle har eller inte har existerat tidigare i sammanställd form. För sammanställningar av uppgifter gäller dock enligt 2 kap. 3 § TF särskilda undantag från vad som konstituerar allmänna handlingar. För att offentlighetsprincipen i form av handlingsoffentlighet ska få genomslag och kunna utnyttjas i praktiken krävs inte bara en god offentlighetsstruktur m.m. (se 4 och 5 kap. OSL). Det krävs också att allmänna handlingar bevaras även efter det att deras omedel- bara nytta i den löpande verksamheten har upphört. Myndigheterna har därför grundläggande skyldigheter att bevara sina allmänna hand- lingar i arkiv. En myndighets allmänna handlingar ska hållas ordnade och vårdas bl.a. för att tillgodose allmänhetens rätt att ta del av allmänna hand- lingar i ett långsiktigt perspektiv. Arkivsystemets anknytning till handlingsoffentligheten tydlig- gjordes i samband med ändringar av 2 kap. TF genom införandet av 2 kap. 18 § TF. Den bestämmelsen syftar till att betona arkivreglernas betydelse för offentlighetsinsynen enligt 2 kap. TF och innebär att grundläggande bestämmelser om hur allmänna hand- lingar ska bevaras samt om gallring och annat avhändande enbart kan meddelas genom lag (prop. 2001/02:70 s. 39). Varje myndighet är ansvarig för arkivvården av den egna myn- dighetens handlingar. I arkivvården ingår emellertid även att se till att arkiven inte kommer att omfatta onödigt material och att hand- lingarna efterhand gallras (prop. 1989/90:72 s. 38). Grundläggande bestämmelser om bevarande och gallring av all- männa handlingar hos statliga och kommunala myndigheter finns i arkivlagen (1990:782). Lagen är en ramlag som innehåller allmänna och övergripande bestämmelser om myndigheternas arkiv. Flertalet bestämmelser är teknikoberoende och avser såväl pappershand- lingar som elektroniskt lagrade upptagningar. Lagen fylls ut av arkiv- förordningen (1991:446) samt de myndighetsspecifika beslut eller generella föreskrifter som arkivmyndigheterna utfärdar. är statlig arkivmyndighet. Kommunstyrelsen är arkivmyndighet i en kommun och i ett landsting, om inte kom- munfullmäktige eller har utsett någon annan nämnd eller styrelse till arkivmyndighet. Arkivmyndigheter kan med tiden överta arkivmateriel från myndigheter som står under deras tillsyn. I 3 § arkivlagen slås fast att myndigheternas arkiv är en del av det nationella kulturarvet och att de ska bevaras, hållas ordnade och vårdas så att de tillgodoser 1.rätten att ta del av allmänna handlingar, 2.behovet av information för rättskipningen och förvaltningen, och En myndighets arkiv bildas av de allmänna handlingarna från myndigheternas verksamhet. Så snart ett ärende slutbehandlats ska de allmänna handlingarna arkiveras och myndigheten ska pröva i vilken omfattning minnesanteckningar, utkast eller liknande hand- lingar som avses i 2 kap. 9 § TF ska rensas bort eller tas om hand för arkivering, vilket innebär att de blir allmänna handlingar. All- männa handlingar som inte tillhör ett ärende ska arkiveras så snart de justerats av myndigheten eller på annat sätt färdigställts. I diarier och journaler eller register och förteckningar som förs fortlöpande ska varje införd anteckning anses arkiverad i och med den har gjorts (3 § arkivförordningen). Arkivering är ett teknikneutralt begrepp. Elektronisk arkivering av allmänna handlingar är alltså fullt möjligt och är på stark fram- växt i den offentliga förvaltningen. pågår flera myn- dighetsövergripande projekt rörande digital arkivering i s.k. e-arkiv. har lett ett projekt eARD som tagit fram förvaltnings- gemensamma specifikationer (FGS:er) för e-arkiv och e-diarium. Även Kommuner och Landsting driver projekt om e-arkiv hos kommuner och landsting. Huvudprincipen enligt arkivlagen är att allmänna handlingar ska bevaras i myndigheternas arkiv. Denna huvudprincip gäller dock inte utan undantag. För elektronisk information gäller till en början ett undantag vid situationer då flera myndigheter har tillgång till samma upptagning.