sou · H5B329 · 2017-04-05 00:00:00 — Även om det finns en koppling mellan de båda regelsyste- men genom att 27 § personuppgiftslagen knyter an till regleringen i offentlighets- och sekretesslagen, kan det ifrågasättas om det har varit lagstiftarens avsikt att en begäran om personrelaterad infor- mation ska resultera i en formell prövning av om sekretessbelagda handlingar eller uppgifter ska kunna lämnas ut till personen i fråga. Beslut att inte lämna ut personrelaterad information får överkla- gas enligt 52 § personuppgiftslagen. I ett mål där klaganden hade nekats att få personrelaterad information prövade Högsta förvalt- ningsdomstolen vilken överklagandebestämmelse som skulle till- lämpas när beslutet hade motiverats med att det gällde sekretess enligt 18 kap. 1 och 2 §§ offentlighets- och sekretesslagen. Dom- stolen fann att den ordning som gäller för överklagande i 6 kap. samma lag skulle tillämpas med motiveringen att i den utsträckning det gäller sekretess för personrelaterad information gäller inte den ordning för överklagande som föreskrivs i personuppgiftslagen (HFD 2014 ref. 55). Med den tolkning som gjorts i det målet kan konstateras att bestämmelsen i 52 § personuppgiftslagen om över- klagande av ett beslut enligt 26 § samma lag inte har någon funk- tion att fylla, utom i de fall där den personuppgiftsansvarige inte lämnar ut uppgifterna inom de tidsfrister som anges i paragrafen eller inte lämnar ut uppgifter i text som inte har färdigställts. Det kan enligt utredningens mening inte ha varit avsikten att överkla- gandebestämmelsen skulle ha ett så begränsat tillämpningsområde. Förekomsten av en särskild överklagandebestämmelse i person- uppgiftslagen visar i stället att den prövning som görs vid en begä- ran enligt 26 § inte är en formell sekretessprövning enligt offentlig- hets- och sekretesslagen. Det är en annan typ av prövning där det materiella innehållet i sekretessreglerna är avgörande för resultatet men prövningen inte innefattar samma moment. Enligt utredning- ens mening är det nämligen inte rimligt att likställa prövningen av om personrelaterad information kan lämnas ut med en prövning enligt offentlighets- och sekretesslagen. Bestämmelserna som ger enskilda rätt till information om huruvida deras personuppgifter behandlas skapades i en annan tid, då behandlingen av personuppgifter fortfarande till stor del ägde rum i enskilda register. I avgränsade register är möjligheterna att överblicka informationen och att snabbt få bekräftat om uppgifter om en viss person behandlas betydligt större än i dagens automati- serade behandlingssystem. I de sistnämnda kan det finnas mycket stora mängder av information som i och för sig är sökbar men där det inte går att lika enkelt överblicka i vilket sammanhang person- uppgifterna förekommer. Enligt utredningens mening medför det att bestämmelser om rätt till personrelaterad information delvis måste ses i ett annat ljus än tidigare, trots att direktivet utgår från samma synsätt som det nu gällande dataskyddsdirektivet . Rätten till personrelaterad information ger enligt utredningens mening inte den registrerade någon rätt att få del av annat än in- formation om just behandlingen av personuppgifterna. Det handlar alltså inte om att pröva om den registrerade ska kunna få tillgång till all den information som finns i ett visst mål eller ärende. I stället ska det prövas om det förhållandet att personuppgifter be- handlas i ett visst sammanhang – t.ex. i underrättelseverksamhet eller i förundersökningen om ett visst brott – kan avslöjas för den registrerade. Det förhållandet att det avslöjas att personuppgifterna behandlas kan i ett enskilt fall riskera att hindra underrättelseverk- samheten eller förundersökningen i fråga och då bör informationen kunna begränsas. En sådan prövning kräver inte lika ingående över- väganden som när det gäller att ta ställning till om en viss handling, som innehåller sekretessbelagd information kan lämnas ut helt eller delvis utan att det vållar förundersökningen eller underrättelseverk- samheten skada. Det innebär t.ex. att om en viss person pekas ut som gärningsman i en polisanmälan och det gäller sekretess för den uppgiften kommer personen i fråga – om han eller hon vänder sig till och begär besked om vilka personuppgifter som behandlas – inte att få någon upplysning om polisanmälan. Ett sådant beslut får enligt utredningens förslag överklagas enligt ram- lagens regler (se avsnitt 14.4). En begäran om att få besked om personuppgifter behandlas ska alltså enbart besvaras utifrån regelverket om skydd för personupp- gifter. I den prövningen ingår inte att ta ställning till om uppgif- terna finns i en allmän handling och om den kan lämnas ut. Det finns givetvis inget som hindrar att en behörig myndighet gör en formell prövning enligt offentlighets- och sekretesslagen när den registrerade begär att få personrelaterad information. Om det görs och myndigheten i sitt beslut att inte lämna information motiverar det med att det gäller sekretess enligt någon eller några bestämmel- ser i offentlighets- och sekretesslagen, ska beslutet överklagas en- ligt de särskilda reglerna i den lagen (HFD 2014 ref. 55). Då ramlagen även kommer att vara tillämplig på andra aktörer än myndigheter bör även dessa kunna underlåta att lämna informa- tion till registrerade om behandlingen av deras personuppgifter (jfr 27 § andra meningen personuppgiftslagen). Vilken typ av information får begränsas? Frågan är vilken information som undantaget bör omfatta. Att den personuppgiftsansvarige ska ha rätt att begränsa eller inte lämna ut personrelaterad information står klart. Det gäller både information som ska lämnas självmant och på begäran. Det finns även behov av att kunna begränsa underrättelser om skälen för beslut i fråga om rättelse, radering eller begränsning av behandlingen. Om skälen skulle riskera att röja information som hänför sig till något av nämnda intressen, t.ex. att rymning från ett fängelse planeras eller att hemlig avlyssning av elektronisk kommunikation pågår, bör underrättelsen till den registrerade kunna begränsas. Om så inte var fallet skulle enskilda kunna begära rättelse och därigenom få del av information som annars inte skulle lämnas ut. Utredningen återkommer i avsnitt 11.5.7 och 11.5.8 till de for- mella kraven på besluten. Rätten till kontroll när information inte har lämnats eller begränsats För att den registrerade ska kunna ta tillvara sina rättigheter när information inte har lämnats ut eller begränsats på grund av de intressen som anges i artiklarna 13.3, 15.1 och 16.4, föreskrivs i artikel 17.1 att tillsynsmyndigheten på den enskildes vägnar ska kunna kontrollera om personuppgifterna behandlas författnings- enligt. Enskilda som har vänt sig till den personuppgiftsansvarige med en begäran om att få personrelaterad information eller att en korrigeringsåtgärd ska vidtas ska kunna vända sig till tillsynsmyn- digheten med en begäran om kontroll. Kontrollerna behandlas i avsnitt 12.6.3. Utredningens bedömning: Möjligheten att fastställa kategorier av behandling som undantas från enskildas rätt till information bör inte utnyttjas. Skälen för utredningens bedömning: Av artiklarna 13.4 och 15.2 framgår att det är möjligt att fastställa kategorier av behandling som helt eller delvis kan omfattas av möjligheten att begränsa en- skildas rätt till information enligt artiklarna 13.3 respektive 15.1. Det är oklart vad som som avses med uttrycket kategori av behand- ling. Enligt utredningens mening skulle det kunna vara behandling av personuppgifter i ett visst register. Det skulle också kunna vara fråga om behandling av en viss typ av personuppgifter, exempelvis dna-profiler, fordonsuppgifter eller fotografier. Sekretessen varierar under de olika stadierna av brottsbekämp- ning, lagföring och straffverkställighet. Normalt avklingar sekre- tessen till skydd för det allmänna ju längre utredningen når. En personuppgift som är föremål för sekretess eller tystnadsplikt under förundersökningen kan bli offentlig vid åtalet, under dom- stolsförhandlingen eller i domen. Det kan gälla allt från underrät- telseinformation och uppgifter om hemliga tvångsmedel till upp- gifter om hälsa eller andra känsliga personuppgifter. Ett undantag för kategorier av behandling kan därför inte vara generellt utan måste anpassas till den sekretess som kan gälla i de olika behöriga myndigheternas verksamhet. Det är framför allt i verksamheter där det förekommer många sekretessbelagda uppgifter som det skulle vara av intresse att peka ut sådana kategorier av behandling. De brottsbekämpande myn- digheternas personuppgiftsbehandling utförs numera i liten ut- sträckning i särskilda register. Uppgifterna är i stället gemensamt tillgängliga i myndigheternas verksamhetsstöd. Det gör att det är svårt att peka ut en viss kategori av behandling som i sin helhet kan undantas. För de register som är specialreglerade, som Polismyn- dighetens dna- och fingeravtrycksregister, finns det som regel sär- skilda sekretessbestämmelser, vilket skulle göra att undantag för de kategorierna får begränsat värde. En kategori kan enligt utredning- ens mening bara undantas om det är rättsligt möjligt att avgränsa den. När det t.ex. gäller underrättelseuppgifter är det enligt utred- ningens mening inte möjligt att att göra det, eftersom underrättel- severksamheten inte är reglerad och uppgifterna inte heller behand- las i särskilt reglerade register. Utredningen återkommer i slutbetänkandet till frågan om det, på samma sätt som , kan behövas undantag från informations- skyldigheten i vissa myndigheters registerförfattningar. 11.3.3Ofärdig text och minnesanteckningar Utredningens förslag: Rätten att få del av personrelaterad in- formation gäller inte personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckningar eller liknande. Den gäller dock om uppgif- terna har lämnats ut till tredje man, behandlas enbart för veten- skapliga, statistiska eller historiska ändamål eller arkivändamål av allmänt intresse eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats längre än . Tredje man ska definieras som någon annan än den registre- rade, den personuppgiftsansvarige, dataskyddsombudet, person- uppgiftsbiträdet och sådana personer som under den person- uppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har rätt att behandla personuppgifter. Skälen för utredningens förslag Innehållet i direktivet och nuvarande reglering Som framgår av avsnitt 11.3.1 ger artikel 15.1 e möjlighet att be- gränsa den registrerades rätt till information i syfte att skydda fri- och rättigheter. En motsvarande regel finns i artikel i det nu gällande direktivet. I förarbetena till personuppgiftslagen hänvisade regeringen till skyddet för fri- och rättigheter som motiv för att införa begränsningen av informationsskyldigheten i 26 § tredje stycket personuppgiftslagen (prop. 1997/98:44 s. 83). Undantaget gäller för personuppgifter i löpande text som inte fått sin slutliga utformning när begäran om information gjordes eller som utgör minnesanteckning eller liknande. Om uppgifterna redan har läm- nats ut till tredje man eller om uppgifterna i den löpande texten ännu inte fått sin slutliga utformning behandling, gäller inte undantaget. Det gäller inte heller om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga ändamål. Undantag för vissa typer av text Att enskilda inte har någon rätt till insyn i utkast och koncept till skrivelser, beslut och domar som arbetet pågår värnar myndigheternas verksamhet och skyddar andra enskilda. Av samma skäl är minnesanteckningar eller liknande, t.ex. promemorior eller andra anteckningar som används under handläggningen, fredade från insyn så länge den pågår. Utkast under arbete eller minnesanteckningar som inte ska be- varas för framtiden är inte allmänna handlingar enligt 2 kap. tryck- frihetsförordningen och lämnas därmed inte ut enligt offentlig- hetsprincipen. Det finns därför goda skäl att inte ge en sökande rätt till information om hur hans eller hennes personuppgifter behand- las i ofärdiga texter och minnesanteckningar. Ett undantag för sådan text bör därför tas in i ramlagen. Artikel 15.1 e medger undantag från rätten till information för att skydda andra personers fri- och rättigheter. En begränsning enligt artikel 15.1 får dock endast göras i den utsträckning och så länge som den är nödvändig och proportionerlig. Vid bedömningen ska hänsyn tas till den berörda personens grundläggande rättigheter och berättigade intressen. Undantaget för handlingar som inte är färdigställda är av stor praktisk betydelse för myndigheterna. Det är också en förutsättning för ett fungerande rättsväsende – och för tilltron till det – att information om enskilda inte lämnas ut innan beslut och domar är färdigställda och meddelade, särskilt som de ofta innehåller personuppgifter om andra. Utredningens uppfatt- ning är därför att en sådan begränsning – som har sin motsvarighet i 26 § tredje stycket personuppgiftslagen – är nödvändig. När det gäller kravet på proportionalitet gör utredningen föl- jande överväganden. Om personuppgifterna i utkasten har be- handlats utan att texten färdigställts väger den registrerades intresse av att kunna ta del av hur personuppgif- terna behandlas tyngre än den personuppgiftsansvariges intresse av att fortsätta att behandla personuppgifterna utan insyn. Informa- tion om personuppgifterna bör därför lämnas till den registrerade, om inte den personuppgiftsansvarige väljer att i stället radera per- sonuppgifterna i den ofärdiga texten (jfr prop. 1997/98:44 s. 83 f.). Om ett ärende har avslutats och utkastet eller minnesanteck- ningen har arkiverats eller endast används vid statistikproduktion eller forskning bör information om personuppgiftsbehandlingen kunna lämnas. Undantaget bör därför inte gälla för personuppgifter i ofärdiga texter eller minnesanteckningar som enbart behandlas för vetenskapliga, statistiska eller historiska ändamål eller arkivändamål av allmänt intresse. Information bör också lämnas om uppgifterna i den ofärdiga texten redan har lämnats ut till tredje man. Information bör dock få lämnas till dataskyddsombud, personuppgiftsbiträden och andra personer som under den personuppgiftsanvariges eller personupp- giftsbiträdets direkta ansvar behandlar personuppgifter, utan att undantaget upphör att gälla (jfr 26 § tredje stycket andra meningen jämfört med 3 § personuppgiftslagen). För att det ska bli tydligt bör tredje man definieras i ramlagen som någon annan än den regi- strerade, den personuppgiftsansvarige, dataskyddsombudet, per- sonuppgiftsbiträdet och sådana personer som under den person- uppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har rätt att behandla personuppgifter. Det bör alltså tas in en regel i ramlagen om att information bör lämnas om uppgifter i ofärdig text eller minnesanteckningar har lämnats ut till tredje man, om uppgifterna behandlas enbart för vetenskapliga, statistiska eller historiska ändamål eller arkivändamål av allmänt intresse eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats längre än . Begränsningen av den registrerades rätt till information i ofärdiga texter och minnesanteckningar är då enligt utredningens uppfatt- ning såväl nödvändig som proportionerlig. Ett beslut om att begränsa tillgången till denna typ av informa- tion får enligt utredningens förslag överklagas till allmän förvalt- ningsdomstol (se avsnitt 14.4). 11.3.4Orimliga eller uppenbart ogrundade framställningar Utredningens förslag: Om en begäran om personrelaterad in- formation är orimlig eller uppenbart ogrundad får den person- uppgiftsansvarige avslå den. Om någon begär sådan information eller uppgifter oftare än en gång , får den personuppgiftsansvarige ta ut en rimlig avgift eller avslå begäran. Skälen för utredningens förslag Om en registrerads begäran om information är uppenbart ogrun- dad eller orimlig, särskilt på grund av att den är repetitiv, får den personuppgiftsansvarige enligt artikel 12.4 antingen ta ut en rimlig avgift för de administrativa kostnaderna för att tillhandahålla infor- mationen eller vägra att tillmötesgå begäran. Den personuppgifts- ansvarige har bevisbördan för att en begäran är uppenbart ogrundad eller orimlig. En begäran som är orimlig eller uppenbart ogrundad ska avslås Av skäl 40 framgår att en begäran om information kan vara orimlig om en sökande utan skäl och vid upprepade tillfällen begär uppgif- ter och uppenbart ogrundad om en sökande missbrukar sin rätt till information genom att exempelvis lämna felaktiga eller missvisande uppgifter i sin begäran. Enligt utredningens mening kan begäran också vara orimlig om sökanden inte lämnar sådana uppgifter om sin identitet att det blir möjligt att söka efter informationen utan ytterligare efterforskningar. Andra omständigheter som enligt utredningen kan göra att en begäran anses vara orimlig är att den är så oprecis att det skulle vara närmast omöjligt att besvara den. Det kan vara fallet t.ex. om begä- ran avser en större myndighets hela verksamhet, särskilt om den har många olika arbetsuppgifter. Normalt bör i sådana fall begäran kunna preciseras till viss verksamhet, visst ärende eller någon annan liknande avgränsning. En myndighet bör enligt utredningens mening aldrig vara skyl- dig att tillgodose en begäran om information som är uppenbart ogrundad. Detsamma bör gälla en begäran som är orimlig av något annat skäl än att den är repetitiv, dvs. Möjligheten att mot avgift besvara en begäran som är uppenbart ogrundad eller orimlig på annat sätt än att den är återkommande, bör därför inte utnyttjas. I stället bör begäran om information avslås. En bestäm- melse om det bör tas in i ramlagen. Upprepad begäran ska besvaras mot avgift eller avslås En begäran om information som är orimlig på grund av att den återupprepas bör antingen besvaras mot avgift eller avslås. Ut- gångspunkten bör vara att den personuppgiftsansvarige i första hand tar ut en rimlig avgift för de kostnader som begäran förorsa- kar och i andra hand vägrar att lämna den begärda informationen. Om en myndighet avser att ta ut avgift för informationen bör den först underrätta sökanden om det och förhöra sig om han eller hon vidhåller sin begäran. Frågan är hur ofta det är rimligt att sökanden ska kunna få in- formation utan att betala avgift för det. har den registrerade enligt 26 § personuppgiftslagen rätt till gratis information om be- handlingen av hans eller hennes personuppgifter högst en gång per kalenderår. Paragrafen genomför artikel 12 a i det nu gällande direktivet, som föreskriver att den registrerade med rimliga inter- vall ska få viss information. Samma uttryck finns i skäl 43 i det nya direktivet, där det framgår att fysiska personer med rimliga intervall bör ha rätt att få tillgång till insamlade uppgifter som rör dem för att kunna kontrollera att behandlingen är laglig. Utredningen anser att dagens ordning med avgiftsfri informa- tion en gång tillgodoser den enskildes rätt att med rimliga intervall hålla sig underrättad om hans eller hennes personuppgifter behandlas och om behandlingen är författningsenlig. Tidsintervallet är anpassat så att den personuppgiftsansvariges arbetsin- sats inte blir orimligt betungande. Om information begärs oftare än en gång bör det däremot anses som orimligt på grund av att begäran är återkommande. En bestämmelse om att den personupp- giftsansvarige i dessa fall får ta ut rimlig avgift eller avslå begäran bör därför tas in i ramlagen. Det ger den enskilde möjlighet att begära information så ofta han eller hon önskar, men tvingar inte den personuppgiftsansvarige att behandla alla framställningar på samma sätt. Den personuppgiftsansvarige får med utgångspunkt i begäran avgöra om den ska besvaras mot avgift eller avslås. När- mare anvisningar för vad som gäller i fråga om avgifter bör kunna meddelas av regeringen eller den myndighet som regeringen be- stämmer. Vad som kan vara en rimlig avgift för att lämna informa- tion kan regleras t.ex. i avgiftsförordningen (1992:191). Utredningen återkommer i avsnitt 11.5.7 och 11.5.8 till de formella kraven på besluten. 11.4Rättelse, radering och begränsning av behandlingen 11.4.1Rätten till rättelse och komplettering Utredningens förslag: Den personuppgiftsansvarige ska på be- gäran av den registrerade utan onödigt dröjsmål rätta eller kom- plettera personuppgifter som rör honom eller henne om de är felaktiga eller ofullständiga med hänsyn till ändamålet med be- handlingen. Skälen för utredningens förslag Artikel 16.1 reglerar den registrerades rätt att utan onödigt dröjs- mål få felaktiga personuppgifter rättade och – med beaktande av ändamålet med behandlingen – att få ofullständiga personuppgifter kompletterade. Enligt skäl 47 ska särskilt felaktiga faktauppgifter rättas. Rätten gäller oberoende av det grundläggande kravet i arti- kel 4.1 d att den personuppgiftsansvarige på eget initiativ ska rätta felaktiga personuppgifter. I personuppgiftslagen finns det både en regel om skyldigheten för den personuppgiftsansvarige att självmant rätta felaktiga person- uppgifter och en regel om rätten för den registrerade att begära rättelse. Enligt 28 § personuppgiftslagen, som genomför arti- kel 12 b i det nu gällande direktivet, är den personuppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i en- lighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen. Det finns även regler om rättelse i 26 § förvaltningslagen, 30 kap. 13 § och 48 kap. 12 a § och 32 § förvalt- ningsprocesslagen. Reglerna om rättelse i förvaltningslagen och de processrättsliga regelverken medför emellertid, till skillnad från regeln om rättelse i personuppgiftslagen, ingen skyldighet för myn- digheten att rätta eller någon rätt för enskilda att begära rättelse. Reglerna gäller dessutom enbart rättelse av uppgifter i beslut och domar eller motsvarande (jfr SOU 2015:39 s. 564 f. och 569 f.). Rätten att begära rättelse Att de personuppgifter som behandlas är korrekta är av grundläg- gande betydelse både för myndigheternas verksamhet och för en- skilda. I ramlagen bör det därför finnas en regel om rätt för den registrerade att begära rättelse. Skyldigheten för den personupp- giftsansvarige att självmant vidta åtgärder när det upptäcks att per- sonuppgifter är felaktiga, ofullständiga eller inaktuella behandlas i avsnitt 9.2.6. Här diskuteras således enbart rätten för registrerade att begära att den personuppgiftsansvarige rättar felaktiga eller ofullständiga uppgifter. Om en registrerad har begärt att få en ofullständig uppgift kompletterad ska han eller hon enligt direktivet ha rätt att lämna en kompletterande inlaga. Enligt utredningens mening är det oklart vad bestämmelsen syftar på. En möjlig tolkning är att den registre- rade ska ha rätt att ge in en skrivelse till den personuppgiftsansva- rige där den registrerade utvecklar skälen för begäran. Den rätten följer redan av förvaltningslagen och de processrättsliga regelver- ken och behöver därför inte regleras. Den personuppgiftsansvarige ska enligt direktivet vidta den be- gärda åtgärden utan onödigt dröjsmål. Enligt utredningens mening bör den personuppgiftsansvarige skyndsamt utreda frågan och, om det är motiverat, så fort som möjligt genomföra rättelse eller korri- gering. Den personuppgiftsansvarige får således inte av bekvämlig- hetsskäl vänta med att rätta och korrigera uppgifter till dess att de ändå ska uppdateras, om det är möjligt att göra det tidigare (jfr m.fl. s. 417). Felaktiga och ofullständiga uppgifter I avsnitt 9.2.2 diskuteras vad som avses med att en personuppgift är korrekt.