prop · H40358 · 2016-12-19 00:00:00 — Enligt 10 kap. 28 § OSL hindrar inte sekretess att en uppgift lämnas till en annan myndighet om uppgiftsskyldighet följer av lag eller förordning. Överföring av sekretess samt primära och sekundära sekretessbestämmelser En grundläggande princip i offentlighets- och sekretesslagen är att sekretess som huvudregel inte följer med en uppgift när den lämnas från en myndighet till en annan. Det beror bl.a. på att behovet av och styrkan i en sekretess inte kan bestämmas enbart med hänsyn till sekretess- intresset. Detta intresse måste i varje sammanhang vägas mot intresset av insyn i myndigheternas verksamhet. Offentlighetsintresset kan således kräva att de uppgifter som behandlas som hemliga hos en myndighet är offentliga hos en annan myndighet som har inhämtat dem hos den förstnämnda myndigheten (prop. 1979/80:2 Del A s. 75 f.). Lagstiftaren har alltså tagit ställning mot att en allmän bestämmelse om överföring av sekretess tas in i sekretessregleringen. Vissa bestämmelser om överföring av sekretess med begränsade och överblickbara tillämpningsområden har dock införts. I offentlighet- och sekretesslagen skiljer man mellan primära och sekundära sekretessbestämmelser. Dessa begrepp och begreppet bestämmelse om överföring av sekretess definieras i 3 kap. 1 § OSL. En primär sekretessbestämmelse är en bestämmelse om sekretess som Prop. 2016/17:58 en myndighet ska tillämpa på grund av att bestämmelsen riktar sig direkt till myndigheten eller omfattar en viss verksamhet eller en viss ärendetyp som hanteras hos myndigheten eller omfattar vissa uppgifter som finns hos myndigheten. En bestämmelse om överföring av sekretess är en bestämmelse som innebär att en primär sekretessbestämmelse som är tillämplig på en uppgift hos en myndighet ska tillämpas på uppgiften även av en annan myndighet som uppgiften lämnas till eller som har elektronisk tillgång till uppgifter hos den förstnämnda myndigheten. En sekundär sekretess- bestämmelse är en bestämmelse om sekretess som ska tillämpas på grund av en bestämmelse om överföring av sekretess. En och samma sekretessbestämmelse kan således vara en primär sekretessbestämmelse hos den utlämnande myndigheten och en sekundär sekretessbestämmelse hos den mottagande myndigheten. Resultatet av tillämpningen kan bli olika om sekretessbestämmelsen är att betrakta som primär eller sekundär hos myndigheten. En primär sekretess- bestämmelse kan normalt tillämpas på en uppgift oavsett om myndigheten har fått uppgiften från en annan myndighet eller från en enskild. En sekundär sekretessbestämmelse kan dock bara tillämpas på uppgifter som den mottagande myndigheten får från den utlämnande myndigheten. En sekundär sekretessbestämmelse kan således inte tillämpas på uppgifter som myndigheten får direkt från enskilda (se prop. 2005/06:191 s. 30 och 1997/98:9 s. 38 f. samt JO 2000/01 s. 44 och 50). När en myndighet har elektronisk tillgång till en upptagning för automatiserad behandling hos en annan myndighet (s.k. direktåtkomst) gäller en bestämmelse om överföring av sekretess i 11 kap. 4 § OSL. Av denna bestämmelse framgår att om en myndighet har sådan tillgång till en uppgift som är sekretessreglerad, blir sekretessbestämmelsen tillämplig även hos den mottagande myndigheten. Detta gäller inte för uppgift som ingår i ett beslut hos den mottagande myndigheten. Av en konkurrensregel i 11 kap. 8 § OSL följer att bestämmelsen om överföring av sekretess i 11 kap. 4 § inte ska tillämpas om det finns en primär sekretessbestämmelse (med vissa angivna undantag) till skydd för samma intresse som är tillämplig på uppgiften hos den mottagande myndigheten. Vad som gäller vid konkurrens mellan flera tillämpliga sekretessbestämmelser behandlas också i avsnitt 7.2.4. 7.2.2Sekretess till skydd för enskild inom verksamhet som rör skatt Bestämmelser om skattesekretess finns i 27 kap. OSL. Av 27 kap. 1 § första stycket OSL framgår att sekretess gäller i verksamhet som avser bestämmande av skatt eller fastställande av underlag för bestämmande av skatt för uppgift om en enskilds personliga eller ekonomiska för- hållanden. Sekretess gäller vidare i verksamhet som avser förande av eller uttag ur beskattningsdatabasen enligt lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet för uppgift om en enskilds personliga eller ekonomiska förhållanden som har tillförts databasen, s.k. databassekretess (27 kap. 1 § andra stycket 1 Med verksamhet som avser bestämmande av skatt avses bl.a. bestämmande av preliminär skatt, slutlig skatt, mervärdesskatt och annan indirekt skatt eller ändrad beräkning av avdrag för preliminär skatt. Under uttrycket faller också nedsättning av eller befrielse från skatt. verksamhet som avser fastställande av underlag för bestämmande av skatt avses bl.a. verksamhet enligt skatteförfarandelagen (2011:1244), Inte bara själva beskattningsärendena täcks av uttrycket verksamhet som avser bestämmande av skatt utan också t.ex. registerföring och annan verksamhet som har anknytning till förfarandet men saknar ärendekaraktär. Föremålet för sekretessen är uppgifter om enskildas personliga eller ekonomiska förhållanden. uppgifter om såväl den som är föremål för beskattning etc. som tredje man, vilkens förhållanden är berörda. Den ovan nämnda databassekretessen är en primär sekretess- bestämmelse, inte bara hos utan även hos andra myndigheter som har direktåtkomst till uppgifter i databasen. bestämmelsens utformning gör att den är tillämplig hos de direktanslutna myndigheterna så länge som uppgifterna inte har tagits ut ur databasen, när uppgifterna bara är tekniskt tillgängliga hos den mottagande myndigheten oavsett om de syns på dataskärmen eller inte. uppgift ur databasen dras ut på papper eller används på annat sätt i den mottagande myndighetens verksamhet upphör dock databassekretessen att vara tillämplig hos den mottagande myndigheten (prop. 2010/11:78 s. Sekretessen enligt 27 kap. 1 § OSL är enligt huvudregeln absolut, dvs. något skaderekvisit finns inte. I förarbetena till den tidigare gällande sekretesslagen (1980:100), prop. 1979/80:2 Del A s. 255 f., angavs i fråga om valet av styrka hos sekretessen på aktuellt område bl.a. att de skattskyldigas långtgående plikt att lämna uppgifter om sina förhållanden ger skyddsaspekten en särskild tyngd. Man kan nämligen inte bortse från att det av den stora mängden skattskyldiga skulle upplevas som integritetskränkande att uppgifter i deras deklarationer kom till offentligheten, även om en del av dessa uppgifter i och för sig är av tämligen alldaglig beskaffenhet. Av 27 kap. 6 § första stycket OSL framgår bl.a. att sekretessen enligt 1 § inte gäller beslut varigenom skatt bestäms eller underlag för bestämmande av skatt fastställs. 7.2.3 Sekretess i samtliga myndigheters verksamhet Det finns några sekretessbestämmelser som utgör ett minimiskydd för enskildas personliga integritet inom hela den offentliga sektorn. Dessa bestämmelser, som alltså är tillämpliga hos alla myndigheter och andra organ som ska tillämpa offentlighets- och sekretesslagen, har samlats i 21 kap. OSL. Som exempel kan nämnas 21 kap. 3 § OSL, där det finns en bestämmelse om sekretess för bl.a. uppgift om bostadsadress till skydd för förföljda personer. Ett annat exempel är sekretessen för uppgift om utlänning enligt 21 kap. 5 § OSL. Även 21 kap. 7 § OSL är exempel på en generellt tillämplig sekretessbestämmelse. I bestämmelsen Prop. 2016/17:58 föreskrivs att sekretess gäller för personuppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen (1998:204), förkortad PUL. I vissa fall kan flera sekretessbestämmelser vara tillämpliga på en och samma uppgift. Huvudregeln om konkurrens mellan flera sekretess- bestämmelser har tagits in i 7 kap. 3 § OSL. Av denna bestämmelse följer att vid konkurrens har sekretessbestämmelser enligt vilka uppgiften är sekretessbelagd företräde framför sekretessbestämmelser enligt vilka uppgiften ska lämnas ut. Detta gäller oavsett om det är fråga om primära eller sekundära sekretessbestämmelser. Som framgår ovan finns det några bestämmelser i offentlighets- och sekretesslagen som reglerar konkurrens mellan olika sekretess- bestämmelser i vissa specifika situationer och som avviker från 7 kap. 3 § OSL, däribland 11 kap. 8 §. Enligt denna särskilda konkurrensregel ska bl.a. bestämmelsen om överföring av sekretess i 11 kap. 4 § OSL inte tillämpas om det finns en primär sekretessbestämmelse till skydd för samma intresse som är tillämplig på uppgiften hos den mottagande myndigheten. I ett sådant fall är det den primära sekretessbestämmelsen som ska tillämpas och detta gäller oavsett om den primära sekretessbestämmelsen ger ett starkare eller ett svagare skydd än den sekundära sekretessbestämmelsen. Även undantag från den primära sekretessbestämmelsens tillämpningsområde har företräde framför den sekundära sekretessen. Som exempel kan nämnas att databassekretess enligt 27 kap. 1 § andra stycket 1 OSL är en primär sekretessbestämmelse hos både och . Databassekretessen är tillämplig hos andra myndigheter som har direktåtkomst till databasen, t.ex. , så länge en uppgift i databasen bara är tekniskt tillgänglig för eller finns på skärmen hos Kronofogde- myndigheten, men inte har använts i verksamhet. Därutöver är bestämmelserna i 34 kap. 1 och 2 §§ OSL tillämpliga som primära sekretessbestämmelser i myndighetens exekutiva verksamhet. Av 11 kap. 8 § OSL följer att i situationer när har direktåtkomst till uppgifter hos , vilka omfattas av primära sekretessbestämmelser hos , blir bestämmelsen om överföring av sekretess vid direktåtkomst i 11 kap. 4 § OSL inte tillämplig. 7.2.5Allmänt om behandling av personuppgifter Personlig integritet – regleringen i regeringsformen Någon enhetlig definition av begreppet personlig integritet finns inte i svensk rätt. I 1 kap. 2 § regeringsformen, förkortad RF, föreskrivs att det allmänna ska värna om den enskildes privatliv. Även Europa- konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna innehåller sådana bestämmelser, t.ex. artikel 8 om rätt till skydd för privat- och familjeliv. Av 2 kap. 6 § andra stycket RF framgår att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Av förarbetena till bestämmelsen framgår bl.a. följande (prop. 2009/10:80 s. 248). I andra stycket, som inte har någon tidigare motsvarighet, finns en bestämmelse som utvidgar skyddet mot intrång i den personliga integriteten. Bestämmelsen innebär att enskilda, vid sidan av vad som redan följer av första stycket, är skyddade mot åtgärder från det allmännas sida som innefattar betydande intrång i den personliga integriteten, om intrånget sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Bestämmelsen träffar inte åtgärder som en enskild vidtar i förhållande till en annan enskild. Avgörande för om en åtgärd ska anses innebära övervakning eller kartläggning är inte dess huvudsakliga syfte utan vilken effekt åtgärden har. Vad som avses med övervakning respektive kartläggning får bedömas med utgångspunkt från vad som enligt normalt språkbruk läggs i dessa begrepp. Uttrycket ”enskilds personliga förhållanden” avses här ha samma innebörd som i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400). Vid bedömning av vilka åtgärder som kan anses utgöra ett ”betydande intrång” ska både åtgärdens omfattning och arten av det intrång åtgärden innebär beaktas. Även åtgärdens ändamål och andra omständigheter kan ha betydelse vid bedömningen. Inskränkningar i den fri- och rättighet som 2 kap. 6 § andra stycket RF innebär får endast göras i lag, 2 kap. 20 § första stycket 2 RF. och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, det s.k. dataskyddsdirektivet, syftar till att garantera dels att en hög skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter föreligger, dels att en likvärdig skyddsnivå finns i medlemsländerna. Dataskyddsdirektivet har genomförts i svensk rätt bl.a. genom person- uppgiftslagen. Lagen gäller för behandling av personuppgifter som är helt eller delvis automatiserad och för behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Enligt 2 § är lagen subsidiär i den meningen att avvikande bestämmelser i annan lag eller i förordning gäller i stället för bestämmelserna i personuppgiftslagen. Sådana avvikande bestämmelser finns bl.a. i s.k. registerförfattningar, t.ex. lagen om behandling av uppgifter i beskattnings- verksamhet. I personuppgiftslagen erinras vidare om att bestämmelserna i lagen inte ska tillämpas bl.a. i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter (8 § första stycket PUL). Av 3 § PUL framgår att den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av person- uppgifter är personuppgiftsansvarig. Personuppgiftslagen innehåller bl.a. bestämmelser om vissa grundläggande krav för all behandling av personuppgifter. Av 9 § första stycket c och d framgår att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att de inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (finalitetsprincipen). En behandling för historiska, statistiska eller vetenskapliga ändamål ska dock inte anses som oförenlig med de ändamål för vilka uppgifterna samlades in. De personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålet med behandlingen och fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till behandlingen. De personuppgifter som behandlas ska vara riktiga och, om det är nödvändigt, aktuella och alla rimliga åtgärder ska vidtas för att rätta, blockera eller utplåna sådana uppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Personuppgiftslagen innehåller bl.a. även flera bestämmelser som syftar till att genom information trygga den enskildes rätt att kontrollera om behandling av personuppgifter om honom eller henne pågår (23–27 §§). Personuppgifter som är felaktiga eller som annars inte har behandlats i enlighet med personuppgiftslagen, ska på begäran av den registrerade rättas, blockeras eller utplånas av den personuppgiftsansvarige (28 §). Lagen innehåller vidare bestämmelser om säkerheten vid behandling av personuppgifter (30–32 §§). Enligt 31 § PUL ska den personuppgifts- ansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga de behandlade uppgifterna är. Enligt 32 § får Datainspektionen i enskilda fall besluta vilka säkerhetsåtgärder som den personuppgiftsansvarige ska vidta. har EU antagit och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EC (allmän dataskydds- förordning), benämnd dataskyddsförordningen. Förordningen utgör en ny generell reglering för personuppgiftsbehandling inom EU och kommer att ersätta det nuvarande dataskyddsdirektivet när den börjar tillämpas . Från förordningens tillämpningsområde undantas bl.a. behandling av personuppgifter som utgör ett led i verksamhet som inte omfattas av unionsrätten, som utförs av en fysisk person som ett led i verksamhet av privat natur eller som har samband med dennes hushåll eller som utförs av behöriga myndigheter för ändamålen att förebygga, utreda, upptäcka eller lagföra brott, verkställa straff eller skydda mot och förebygga hot mot allmän säkerhet. Dataskyddsförordningen baseras till stor del på dataskyddsdirektivets struktur och innehåll men innebär även en rad nyheter såsom vissa utökade rättigheter för registrerade. Dataskyddsförordningen är till alla delar bindande och direkt tillämplig i alla medlemsstater, men både förutsätter och möjliggör kompletterande nationella bestämmelser av olika slag. Enligt artikel 6.2 får medlemsstaterna behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen med hänsyn till behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som led i den personuppgiftsansvariges myndighetsutövning. Enligt artikel 6.3 kan den rättsliga grunden i en medlemsstats författning för en sådan behandling innehålla särskilda bestämmelser om bl.a. de enheter till vilka person- uppgifterna får lämnas ut och för vilka ändamål. De grundläggande principer för behandling av personuppgifter som anges i artikel 5 stämmer till den allra största delen överens med de principer som gäller enligt dataskyddsdirektivet och 9 § PUL. Detta innebär bl.a. att uppgifter ska samlas in för särskilt uttryckliga angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål samt att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Vidare ska uppgifterna behandlas på ett sätt som säkerställer lämplig säkerhet för dem, inbegripet skydd mot bl.a. obehörig eller otillåten behandling, med användning av lämpliga tekniska eller organisatoriska åtgärder. I dataskyddsförordningen finns också bestämmelser om bl.a. enskildas rättigheter och om skyldigheter för den personuppgiftsansvarige och personuppgiftsbiträden. En särskild utredare har fått i uppdrag (dir. 2016:52) att föreslå de anpassningar på generell nivå som dataskyddsförordningen ger anledning till. Utredaren ska bl.a. lämna förslag till upphävande av den nuvarande generella personuppgiftsregleringen i personuppgiftslagen och lämna förslag till författningsbestämmelser som på ett generellt plan kompletterar dataskyddsförordningen. pågår också ett arbete för att se över och anpassa bl.a. lagen om behandling av personuppgifter i beskattningsverksamhet med anledning av dataskyddsförordningens ikraftträdande. En fråga som aktualiseras i det sammanhanget är bl.a. i vilken utsträckning regleringen i lagen omfattas av dataskyddsförordningens tillämpningsområde. Det finns inte någon legaldefinition av begreppet direktåtkomst. Den grundläggande innebörden anses dock vara att någon har direkt tillgång till information hos någon annan och på egen hand kan söka i den, dock utan att själv kunna påverka innehållet. Direktåtkomsten kan ge användaren möjlighet att även hämta hem information till sitt eget system och bearbeta den där (se t.ex. prop. 2007/08:160 s. 57 f.). I begreppet direktåtkomst ligger att den utlämnande myndigheten i det enskilda fallet inte har någon kontroll över vilka uppgifter mottagaren vid ett visst söktillfälle tar del av. Den myndighet som lämnar ut uppgifter fattar med andra ord inte beslut om utlämnande i varje enskilt fall. Prövningen av om ett utlämnande är förenligt med offentlighets- och sekretesslagen måste därför ske redan då uppgifterna görs tillgängliga genom direktåtkomst, oavsett om någon mottagare tar del av dem. En bestämmelse om direktåtkomst är inte en sådan sekretessbrytande regel som avses i offentlighets- och sekretesslagen. Det beror på att bestämmelser om direktåtkomst bara tar sikte på formen för utlämnandet. En förutsättning för att direktåtkomst ska kunna tillåtas är därför att åtkomsten antingen endast avser offentliga uppgifter eller att den avser sådana sekretessbelagda uppgifter som enligt lag eller förordning får lämnas ut till den som har direktåtkomst. har i ett avgörande ansett att gränsdragningen mellan vad som enligt bestämmelsen i 114 kap. 22 § socialförsäkringsbalken, förkortad SFB, är direktåtkomst och annat utlämnande på medium för automatiserad behandling beror på om den aktuella upptagningen kan anses förvarad hos den mottagande myndigheten enligt 2 kap. 3 § tryckfrihetsförordningen, dvs. om den är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas (HFD 2015 ref. 61). Om en myndighet har rätt att genom direktåtkomst ta del av vissa typer av personuppgifter hos en annan myndighet beträffande personer som är aktuella i ärenden hos den mottagande myndigheten, måste den mottagande myndigheten normalt rent tekniskt ha möjlighet att ta del av sådana uppgifter beträffande alla personer som är aktuella hos den utlämnande myndigheten. Det beror på att den mottagande myndigheten inte kan veta i förväg vilka personer som kan bli aktuella i ärenden hos myndigheten. Den mottagande myndigheten får dock i dessa fall bara söka efter uppgifter om en person med hjälp av direktåtkomst efter det att personen har blivit aktuell i ett ärende hos myndigheten (se t.ex. prop. 2010/11:78 s. 14). När en myndighet har teknisk tillgång till en annan myndighets upptagning på ett sådant sätt som avses i 2 kap. 3 § andra stycket tryckfrihetsförordningen utgör upptagningen en allmän handling hos den mottagande myndigheten, även om den mottagande myndigheten inte har rätt att behandla uppgifterna för egen del (se t.ex. prop. 2007/08:160 s. 66 f.). De sekretessbrytande regler som ska möjliggöra ett uppgiftsutbyte mellan två myndigheter genom direktåtkomst måste mot denna bakgrund omfatta alla uppgifter som den utlämnande myndigheten rent tekniskt gör tillgängliga för den mottagande myndigheten. Detta innebär att de sekretessbrytande reglerna oftast inte kan begränsas till de uppgifter som handläggare hos den mottagande myndigheten i konkreta fall har rätt att ta del av enligt bestämmelsen om direktåtkomst och enligt ändamålsbestämmelsen i den mottagande myndighetens registerförfatt- ning (se t.ex. prop. 2010/11:78 s. 14 f.). Annat utlämnande i elektronisk form än genom direktåtkomst För annat elektroniskt utlämnande än genom direktåtkomst brukar ofta uttrycket ”utlämnande av uppgifter på medium för automatiserad behandling” användas. Sådant utlämnande kan exempelvis innebära att elektronisk information överförs via e-post, genom utlämnande av uppgifter på ett flyttbart lagringsmedium – t.ex. flashminne (s.k. usb- minne) – eller genom direkt överföring från ett datorsystem till ett annat. Många författningar om behandling av personuppgifter innehåller bestämmelser som begränsar när uppgifter får lämnas ut på medium för Behandling av uppgifter i beskattningsverksamhet Vid behandling av personuppgifter i beskattnings- verksamhet tillämpas lagen om behandling av uppgifter i beskattningsverksamhet och förordningen (2001:588) om behandling av uppgifter i beskattningsverksamhet. behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda Lagen gäller i vissa delar även vid behandling av uppgifter om juridiska personer och avlidna. I lagen pekas ut vilka bestämmelser i personuppgiftslagen som är tillämpliga vid sådan behandling som omfattas av lagen. De grundläggande kraven i 9 § PUL och kraven på säkerhet vid behandling i 30–32 §§ PUL ska t.ex. tillämpas. 4 § lagen om behandling beskattningsverksamhet anges för vilka primära ändamål uppgifter får I stort sett hela verksamhet inom beskattnings- området omfattas av ändamålsbeskrivningen.