sou · H5B329 · 2017-04-05 00:00:00 — När en ny sekretessbestämmelse införs måste därför ställning tas till om den tystnadsplikt som följer av den föreslagna sekretessbestämmelsen bör ges företräde framför meddelarfriheten enligt 1 kap. 1 § tredje stycket tryckfrihetsförordningen och 1 kap. 1 och 2 §§ yttrande- frihetsgrundlagen. Enligt förarbetena till sekretesslagen bör som grundprincip all- tid gälla stor återhållsamhet vid prövningen av om undantag ska göras från rätten att meddela och offentliggöra uppgifter. Den en- skilda sekretessbestämmelsens konstruktion kan ge viss vägledning. När det är fråga om bestämmelser om absolut sekretess kan det finnas större anledning att överväga undantag från rätten att med- dela och offentliggöra uppgifter än i andra fall (prop. 1979/80:2, Del A, s. 110 f.). Undantag från huvudregeln är framför allt aktuellt ifråga om sekretessregler utan skaderekvisit eller med omvänt ska- derekvisit. Att undantag görs med hänsyn till allmänna intressen är ovanligt. De undantag som finns rör särskilt viktiga skydds- intressen (prop. 2012/13:7 s. 18 f. och Sekretess i det internatio- nella samarbetet, prop. 2012/13:192, s. 38). Enligt utredningens mening bör något undantag från huvudregeln inte göras i detta fall. 16.3.4En sekretessbrytande regel för tillsynsverksamheten Utredningens förslag: får, om det är för- enligt med svenska intressen, lämna ut en uppgift till en behörig tillsynsmyndighet i annan medlemsstat, även om uppgiften är sekretessbelagd. Skälen för utredningens förslag Enligt 10 kap. 17 § offentlighets- och sekretesslagen hindrar sekre- tess inte att en uppgift lämnas till en myndighet, om uppgiften be- hövs där för tillsyn över eller revision hos den myndighet där upp- giften förekommer. Ordet myndighet syftar som tidigare nämnts på svenska myndigheter. Bestämmelsen möjliggör utlämnande till bl.a. JO, JK och Datainspektionen. Sekretess hindrar enligt 10 kap. 2 § offentlighets- och sekre- tesslagen inte heller att en uppgift lämnas till en enskild eller till en annan myndighet, om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet. Syftet med para- grafen är att förhindra att sekretessregleringen gör det omöjligt för en myndighet att sköta de uppgifter som den är skyldig att utföra. Enligt 8 kap. 3 § offentlighets- och sekretesslagen får en uppgift för vilken sekretess gäller inte röjas för en utländsk myndighet eller en mellanfolklig organisation, om inte utlämnande görs med stöd av en särskild föreskrift i lag eller förordning, eller uppgiften i mot- svarande fall skulle få lämnas ut till en svensk myndighet och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgiften lämnas till den ut- ländska myndigheten eller till den mellanfolkliga organisationen. Lagen (1978:801) om internationellt samarbete rörande kriminal- vård i frihet och lagen (2000:1219) om internationellt tullsamarbete är exempel på författningar med sådana särskilda föreskrifter. Det behövs en ny sekretessbrytande bestämmelse För att kunna utöva tillsyn behöver tillsynsmyndigheten få tillgång till all information som rör viss behandling av personuppgifter. För det ändamålet måste tillsynsmyndigheten inte sällan själv lämna ut sekretessbelagda uppgifter för att kunna få svar på förfrågningar. Regleringen i 10 kap. 2 § offentlighets- och sekretesslagen möj- liggör för tillsynsmyndigheten att lämna ut information till andra myndigheter, för att kunna få den information som behövs för tillsynen. När det gäller utlämnande till en utländsk tillsynsmyn- dighet ska emellertid även 8 kap. 3 § offentlighets- och sekretess- lagen beaktas. I avsnitt 12.10.1 föreslås att tillsynsmyndigheten på begäran ska bistå tillsynsmyndigheter i andra medlemsstater. På motsvarande sätt ska tillsynsmyndigheten, som framgår av avsnitt 12.10.2, kunna begära bistånd av en annan medlemsstat. Internationellt bistånd kan innefatta utbyte av information som omfattas av sekretess. Tillsynsuppgiften i sig innebär inte en sådan uppgiftsskyldighet som avses i 8 kap. 3 § offentlighets- och sekretesslagen. Om myn- digheten bedömer att den måste lämna ut sekretessbelagda uppgif- ter för att få internationellt bistånd kan det finnas grund för att bryta sekretessen med stöd av 10 kap. 2 § offentlighets- och sekre- tesslagen. Enligt förarbetena ska dock den paragrafen tillämpas restriktivt. Sekretessen får efterges bara när ett utlämnande av sekretessbelagda uppgifter är en nödvändig förutsättning för att en myndighet ska kunna fullgöra ett visst åliggande (prop. 1979/80:2, Del A, s. 465 och 494). För att genomföra direktivet och för att tillsynsmyndighetens internationella arbete ska underlättas bör det i ramlagen tas in en särskild bestämmelse som bryter sekretessen vid samarbete med en utländsk tillsynsmyndighet. Av bestämmelsen bör framgå att en sekretessbelagd uppgift får lämnas ut till en behörig tillsynsmyndighet i en annan medlemsstat om det är förenligt med svenska intressen. endast få göras av den som enligt myndighetens arbetsordning eller motsvarande har rätt att fatta sådana beslut på myndighetens väg- nar (jfr Lenberg m.fl., s. 8:3.1). Skulle det vid en sådan prövning bedömas vara oförenligt med svenska intressen att lämna ut upp- gifterna, bör begäran om bistånd vägras med hänvisning till att det skulle strida mot lag att tillmötesgå den. 16.3.5En hänvisningsbestämmelse bör införas Utredningens förslag: Det bör göras en hänvisning i offentlig- hets- och sekretesslagen till regeln om användningsbegränsning i ramlagen. Skälen för utredningens förslag: I avsnitt 12.10.2 föreslås en sär- skild regel om hur den information som tillsynsmyndigheten hämtar in från en tillsynsmyndighet i en annan medlemsstat får användas. En sådan användningsbegränsning har företräde framför andra författningsregler. I 9 kap. 2 § offentlighets- och sekretess- lagen räknas det upp ett antal sådana bestämmelser. En hänvisning till regeln i ramlagen bör införas i den paragrafen. 16.4Sekretess för sammanställningar av känsliga personuppgifter Utredningens förslag: Sekretess till skydd för enskild ska gälla hos en behörig myndighet för uppgift i en sammanställning av känsliga personuppgifter. Sekretessen ska gälla i högst . För sådana uppgifter ska meddelarfrihet inte gälla. Skälen för utredningens förslag Sekretessens föremål, styrka och räckvidd I avsnitt 9.2.4 föreslår utredningen ett generellt förbud mot vissa sökningar. Det ska vara förbjudet att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. kuteras också ingående om ett sådant förbud innebär att begräns- ningsregeln i 2 kap. 3 § tryckfrihetsförordningen blir tillämplig. Om så inte är fallet skulle någon som vill ta del av allmänna hand- lingar inte kunna hindras från att begära sökning på känsliga per- sonuppgifter för att få fram ett sådant personurval. För att allmän- heten inte med stöd av offentlighetsprincipen ska kunna få ut uppgifter i sammanställningar grundade på sådana sökningar, bör det enligt utredningens mening införas en sekretessregel som knyts till regeln om sökförbud i ramlagen. Sekretessen bör gälla hos be- höriga myndigheter till skydd för enskild för uppgifter i samman- ställningar av känsliga personuppgifter. Avsikten med sekretessbestämmelsen är att skydda enskildas integritet. Det rör sig om personuppgifter som omgärdas av starka dataskyddsregler. Även om det anses nödvändigt att i vissa fall medge myndigheter att göra sökningar som kan resultera i person- urval som grundar sig på känsliga personuppgifter är det svårt att se att det skulle finnas något allmänt intresse av att kunna ta del av sådana uppgifter. Syftet med bestämmelsen är att en behörig myn- dighet inte ska behöva göra en otillåten sökning för att kunna be- döma sekretessfrågan om uppgifterna begärs ut (jfr Sekretess i ut- ländska databaser, prop. 2011/12:157, s. 17). Mot den bakgrunden bör enligt utredningens mening sekretessen vara absolut. Sekretessbestämmelsens placering och sekretesstiden Eftersom det är en sekretessbestämmelse till skydd för enskild i verksamhet som syftar till att förebygga eller beivra brott bör den placeras i 35 kap. offentlighets- och sekretesslagen. Vid sekretess till skydd för enskild i 35 kap. varierar sekretessti- den mellan femtio och . Den kortare sekretesstiden gäller bl.a. inom medan den längre gäller för flertalet bestämmelser i kapitlet. Utredningen anser att den längre sekre- tesstiden bör gälla i detta fall. Rätten att meddela och offentliggöra uppgifter I avsnitt 16.3.3 påpekas att när en ny sekretessbestämmelse införs ska även behovet av eventuellt undantag från meddelarfriheten prö- vas. Syftet med sekretessbestämmelsen är att komplettera förbudet mot sammanställningar grundade på känsliga personuppgifter. Det föreslås därför att sekretessen ska vara absolut. Därmed talar också starka skäl för att undantag från meddelarfriheten bör göras i detta fall. Mot det skulle kunna invändas att det är viktigt att anställda kan slå larm om regelverket skulle missbrukas genom systematiska otillåtna sökningar. Utredningen anser att det får förutsättas att myndigheterna tillämpar en så viktig bestämmelse på rätt sätt. Skälen för att begränsa meddelarfriheten väger därför tyngre. En bestämmelse som begränsar meddelarfriheten bör därför införas. 16.5Sekretess för rapporter om personuppgiftsincidenter En nyhet i direktivet är kravet på rapportering av personuppgifts- incidenter till tillsynsmyndigheten. Det väcker frågan om det krä- ver någon justering i sekretessregleringen. gäller viss sekretess för rapporter om it-incidenter. Enligt 18 kap. 3 § offentlighets- och sekretesslagen gäller sekretes- sen för bl.a. brottsanmälningar och förundersökning i 18 kap. 1 och 2 §§ offentlighets- och sekretesslagen inte bara hos de brottsbe- kämpande myndigheterna utan även hos andra myndigheter när de biträder en brottsbekämpande myndighet. Myndigheter som står i begrepp att göra en anmälan till en brottsbekämpande myndighet förfogar över det underlag som utgör grunden för anmälan. Sekre- tessen i 18 kap. 3 § kompletterar den sekretess som gäller enligt 18 kap. 1 och 2 §§. Sekretessen gäller såväl hos myndigheter som har anmälningsskyldighet som hos andra. Om en personuppgiftsin- cident leder till en brottsanmälan skyddas alltså det underlag som en behörig myndighet eller tillsynsmyndigheten tar fram genom regleringen i 18 kap. 3 §. Den sekretessen är enligt utredningens mening tillräcklig för att tillgodose behovet av att skydda uppgifter om sådana personuppgiftsincidenter som kan utgöra brott. Enligt 18 kap. 8 § 3 offentlighets- och sekretesslagen gäller vidare sekretess för uppgift som lämnar eller kan bidra till upplys- ning om säkerhets- eller bevakningsåtgärd, om det kan antas att syftet med åtgärden motverkas om uppgiften röjs och åtgärden av- ser telekommunikation eller system för automatiserad behandling av information. Sekretess gäller oavsett var uppgiften finns. Upp- gifter om de tekniska system som en personuppgiftsincident berör skyddas genom den sekretessbestämmelsen, som har ett rakt ska- derekvisit. Det har kritiserats i olika sammanhang. Utredningen om genomförande av NIS-direktivet har i uppdrag att överväga om sekretesskyddet för rapportering av it-incidenter i 18 kap. 8 § 3 är tillräckligt (dir. 2016:29). Den utredningen ska redovisa sitt upp- drag . Mot bakgrund av att frågan om sekretess för rapportering av it- incidenter utreds, anser utredningen att det inte finns skäl att nu behandla frågan om det krävs någon ytterligare sekretess för rapporter om personuppgiftsincidenter. Beroende på vad Utredningen om genomförande av NIS-direktivet kommer att föreslå, kan det eventuellt finnas anledning att återkomma till frå- gan i slutbetänkandet. 17.1Få helt nya krav eller arbetsuppgifter men skärpta krav i vissa fall Förslaget till ramlag och förordning genomför dataskyddsdirekti- vet. En allmän utgångspunkt för uppdraget har varit att sträva efter lösningar som ansluter till nuvarande systematik för reglering av personuppgiftsbehandling. Utredningen har också strävat efter att ligga så nära dataskyddsförordningen som möjligt, när samma fråga behandlas i båda instrumenten och det inte finns sakliga skäl att välja en annan lösning för ramlagens tillämpningsområde. Direktivet innebär framför allt en harmonisering inom EU. De flesta bestämmelserna i ramlagen motsvarar i större eller mindre utsträckning regler i personuppgiftslagen eller i myndigheternas registerförfattningar. Utredningens förslag ansluter nära till direk- tivet, men på ett fåtal punkter föreslås regler som ger ett starkare skydd för enskilda än vad som krävs enligt direktivet. I de flesta fall hör det samman med att den svenska lagstiftningen redan ger ett motsvarande skydd. Förslagen i kapitlen 6, 7 och 9 har till stor del motsvarigheter i dagens lagstiftning. Kraven blir dock i vissa fall tydligare, vilket bör bidra till att lagstiftningen blir mer lättillämpad. I vissa avseenden ställs dock något högre krav på de personuppgiftsansvariga. Det gäller bl.a. att ytterligare kategorier av personuppgifter ska betrak- tas som känsliga personuppgifter. Kraven på hur personuppgifter- nas kvalitet ska säkerställas blir också tydligare. Även om många av kraven i kapitel 10 följer redan av dagens lag- stiftning ställs det också vissa nya krav på de personuppgiftsansva- riga. Det införs t.ex. skyldighet att dokumentera och rapportera personuppgiftsincidenter och kraven på organisatoriska och tekni- ska åtgärder blir tydligare och mera detaljerade än . också nya krav på att de personuppgiftsansvariga ska genomföra och dokumentera konsekvensbedömningar och ha förhandssamråd med tillsynsmyndigheten. Den skyldighet som flertalet av myndig- heterna i rättskedjan har att utse personuppgiftsombud (i ramlagen dataskyddsombud) blir generell. Kraven på personuppgiftsbiträden skärps och blir tydligare. De skyldigheter för personuppgiftsansvariga som föreslås i kapi- tel 11 motsvaras till största delen av dagens krav, men enskildas rättigheter stärks genom att informationsskyldigheten utvidgas och förtydligas i viss utsträckning. I kapitel 13 föreslås ett system med sanktionsavgifter för över- trädelser av bestämmelser i ramlagen. Det motsvarar det sanktions- system som kommer att gälla för överträdelser av bestämmelser i dataskyddsförordningen. Det blir en ny arbetsuppgift för tillsyns- myndigheten att besluta om sanktionsavgifter, men antalet ärenden förväntas inte bli särskilt stort inom ramlagens tillämpningsom- råde. Det beror bl.a. på att de som ska tillämpa ramlagen till största delen är myndigheter, som i regel kan förväntas följa tillsynsmyn- dighetens synpunkter utan att det krävs repressiva åtgärder. En annan nyhet är möjligheten för enskilda att föra dröjsmåls- talan, som behandlas i kapitel 14. Om tillsynsmyndigheten dröjer med att ge en klagande besked om huruvida ett klagomål gör att myndigheten kommer att utöva tillsyn, ska klaganden kunna väcka talan om dröjsmålet i allmän förvaltningsdomstol. Övriga förslag beträffande rättsmedel i kapitel 14 motsvarar i allt väsentligt det som gäller . Reglerna om överföring till tredjeland och internationella orga- nisationer i kapitel 15 motsvarar till stor del dem som finns lag. Grunderna för överföring har dock blivit fler och reg- lerna mer detaljerade. I några avseenden skärps också reglerna, bl.a. införs det krav på dokumentation och underrättelser till tillsyns- myndigheten. Reglerna kommer också att vara tillämpliga i många fler fall än eftersom ramlagen har ett vidare tillämpningsom- råde än lag. När det gäller kapitel 12, som behandlar tillsyn, har Utred- ningen om tillsynen över den personliga integriteten haft i uppdrag att överväga konsekvenserna av EU:s dataskyddsreform för tillsy- nen över personuppgiftsbehandling även när det gäller direktivet. Frågan om resurser ligger enligt direktiven till vår utredning utan- för vårt uppdrag (dir. 2016:21 s. 6). Det bör dock anmärkas att sys- temet med sanktionsavgifter, som innebär en ny arbetsuppgift för tillsynsmyndigheten, inte var känd när Utredningen om tillsynen över den personliga integriteten presenterade sitt betänkande. Det kan också ifrågasättas om konsekvenserna av att laglighetskontrol- ler ska omfatta hela ramlagens tillämpningsområde fullt ut kunde överblickas då. I kapitel 16 föreslås vissa ändringar i sekretessregleringen. De kan inte förväntas öka arbetsbördan för berörda myndigheter. Den största förändringen som följer av EU:s dataskyddsreform är inte utredningens förslag utan det faktum att de som ska till- lämpa ramlagen med kompletterande lagstiftning även i varierande utsträckning ska tillämpa dataskyddsförordningen med komplette- rande lagstiftning. Båda regelverken kommer att tillämpas parallellt, men inte på samma behandling, t.ex. när en personuppgift vid ett visst tillfälle ska behandlas både för ändamål inom och utanför ramlagens tillämpningsområde. Tillämparna måste således behärska dubbla regelverk. Utredningen har försökt illustrera vad det kan innebära genom redovisningen i kapitel 8, som inte innehåller några förslag. Det ankommer inte på utredningen att överväga de samlade konsekvenserna av EU:s dataskyddsreform. Utredningens bedömning: För de behöriga myndigheterna kommer förslaget till ramlag att kräva utbildning. Kostnaderna för det bör rymmas inom befintliga anslag. Förslaget kommer också att innebära att de allmänna förvaltningsdomstolarna får något fler arbetsuppgifter, men kostnadsökningarna kommer inte att bli större än att de ryms inom de befintliga ekonomiska ramarna. Skälen för utredningens bedömning: De förslag utredningen läg- ger fram innebär inga skyldigheter för myndigheterna att inrätta nya it-system. Några kostnader för det bör således inte beräknas med anledning av förslagen. När det gäller de ökade kraven på loggning föreslår utredningen att ska utnyttja möjligheten att skjuta upp tidpunkten när de förändringar som kan krävas ska vara genomförda . Anledningen till det är som utvecklas i avsnitt 18.2.4 att myndigheterna behöver ha tid för att analysera vad de nya kraven innebär. Det är därför för tidigt att ta ställning till eventuella konsekvenser i den delen. När ny lagstiftning införs krävs det normalt utbildningsinsatser. Det är inte unikt för de förslag som utredningen presenterar utan uppkommer regelmässigt i olika lagstiftningsärenden. Att det krävs utbildning i detta fall beror inte heller enbart på den lagstiftning som utredningen föreslår utan på den samlade reformen. Kostnader för utbildning täcks normalt av myndigheternas anslag och utred- ningen noterar att det vid genomförandet av betydligt större refor- mer, t.ex. när offentlighets- och sekretesslagen infördes, inte ansågs nödvändigt att tillföra särskilda medel för utbildning. Kostnaderna för utbildning bör därför rymmas inom befintliga ramar. Ny lagstiftning kräver normalt också nya interna föreskrifter och styrande dokument. Det får anses ingå i de normala uppgif- terna för myndigheterna. Förslagen medför vissa nya arbetsuppgifter för de allmänna för- valtningsdomstolarna. Med hänsyn till att den fråga som dröjs- målstalan gäller – om det förhållandet att tillsynsmyndigheten underlåtit att ge besked om tillsyn ska utövas har inneburit ett onödigt dröjsmål – i de flesta fall inte torde vara komplicerad, be- dömer utredningen att sådan talan kommer att väckas bara i ett fåtal fall . Kostnaderna bör således rymmas inom befintliga ramar. Antalet beslut om sanktionsavgift beräknas av de skäl som nämnts bli få. Det bör därför inte påverka tillsynsmyndighetens arbetsbörda i någon större utsträckning. Eftersom sanktionsav- gifterna kan vara kännbara ekonomiskt är det rimligt att utgå från att tillsynsmyndighetens beslut kommer att överklagas till allmän förvaltningsdomstol i relativt stor utsträckning. Det faktum att sådana beslut förväntas bli ovanliga innebär att även överklagan- dena bör stanna vid ett litet antal . Kostnaderna för de all- männa förvaltningsdomstolarna bör därför rymmas inom befintliga anslagsramar. 17.2.2Konsekvenser för kommuner och landsting Utredningens bedömning: Att ramlagen i vissa fall ska tilläm- pas i verksamhet som bedrivs av kommuner eller landsting in- nebär inga ökade kostnader för dem. Skälen för utredningens bedömning: Ramlagens tillämpningsom- råde omfattar bl.a. myndigheter och andra aktörer som verkställer straffrättsliga påföljder. Viss vård, t.ex. ungdomsvård och vård för missbrukare, kan utdömas som en straffrättslig påföljd. Som fram- går av avsnitt 8.4.5 kommer det att innebära att ramlagen blir till- lämplig i viss verksamhet där man tillämpar personuppgiftsl- agen eller lagen (2001:454) om behandling av personuppgifter inom . Att ramlagen ska tillämpas i stället för dataskydds- förordningen innebär i sig inga ökade kostnader för dataskyddet. Det som har sagts i avsnitt 17.2.1 om konsekvenserna för staten i fråga om it-system, utbildning och interna styrdokument har gil- tighet även för kommuner eller landsting. Att ramlagen i viss ut- sträckning ska tillämpas av kommuner ochlandsting medför alltså inte några ökade kostnader för dem. Utredningens bedömning: Förslagen förbättrar skyddet för enskildas integritet och ger dem bättre förutsättningar att kunna ta tillvara sina rättigheter. De medför inga ökade kostnader för enskilda. Skälen för utredningens bedömning: Förslagen syftar till att stärka integritetsskyddet för enskilda och att ge dem bättre möjlig- heter att kunna kontrollera hur deras personuppgifter behandlas. Enskilda får också ökade möjligheter att reagera om tillsynsmyn- digheten inte behandlar deras klagomål i rimlig tid. Förslagen förväntas inte leda till några kostnadsökningar för en- skilda. Visserligen föreslås att de personuppgiftsansvariga i vissa fall ska kunna ta ut avgift för information som begärs, men det är i situationer där den enskilde alltför ofta återkommer med begäran Den personuppgiftsansvarige kan då ge den en- skilde informationen mot avgift i stället för att avslå begäran. Det kan finnas fall där enskilda i egenskap av personuppgiftsan- svariga ska tillämpa ramlagen i stället för dataskyddsförordningen. Det torde röra sig om få fall och av de skäl som angetts tidigare finns det inte anledning att räkna med att de kommer att drabbas av några ökade kostnader. 17.3Konsekvenser för brottsligheten och det brottsförebyggande arbetet Utredningens bedömning: Förbättrat dataskydd ger möjlighet till ökat informationsutbyte mellan brottsbekämpande myndig- heter, vilket är positivt för det brottsförebyggande arbetet. För- slagen förväntas inte få några direkta effekter på brottsligheten. Skälen för utredningens bedömning: Förslagen kan inte förväntas få några direkta effekter på brottsligheten, eftersom det handlar om en administrativ reform. När det gäller det brottsförebyggande arbetet kan däremot ett ökat informationsflöde både inom och mellan medlems- staterna förväntas få positiv inverkan. Särskilt för Polismyndighe- ten har olika initiativ till utökat utbyte av information inom EU och med de andra nordiska länderna visat sig ha en positiv effekt för brottsbekämpningen. Det gäller exempelvis det utökade utbytet av dna-uppgifter, fingeravtrycksuppgifter och kriminalregisterut- drag. Informationsutbytet bör enligt utredningens mening kunna förbättras ytterligare genom de nya dataskyddsreglerna. Harmoni- serade regler om dataskydd underlättar också på annat sätt utbytet av information mellan brottsbekämpande myndigheter både inom och utom landet. Utredningens bedömning: Förslagen förväntas inte få några andra konsekvenser. Skälen för utredningens bedömning: Förslagen får inte några samhällsekonomiska konsekvenser eller några konsekvenser för den kommunala självstyrelsen.