prop · H503232 · 2018-04-19 00:00:00 — Sekretessregleringen syftar till att värna viktiga intressen, bl.a. det allmännas intresse av brottsbekämpning, lagföring och straffverkställighet. Sekretess värnar också enskildas intresse av att käns- liga uppgifter om deras personliga eller ekonomiska förhållanden inte sprids. De i sig mycket komplexa regelverken om tillgång till handlingar och begränsningen av rätten att ta del av dem har ett annat fokus än lag- stiftningen om personuppgiftsbehandling. Även om det finns en koppling mellan de båda regelsystemen genom att 27 § personuppgiftslagen knyter an till regleringen i offentlig- hets- och sekretesslagen, kan det ifrågasättas om det har varit lagstifta- rens avsikt att en begäran om personrelaterad information ska resultera i en formell prövning av om sekretessbelagda handlingar eller uppgifter ska kunna lämnas ut till personen i fråga. Beslut att inte lämna ut personrelaterad information får överklagas en- ligt 52 § personuppgiftslagen. I ett mål där klaganden hade nekats att få personrelaterad information prövade vil- ken överklagandebestämmelse som skulle tillämpas när beslutet hade motiverats med att det gällde sekretess enligt 18 kap. 1 och 2 §§ offent- lighets- och sekretesslagen. Domstolen fann att den ordning som gäller för överklagande i 6 kap. samma lag skulle tillämpas med motiveringen att i den utsträckning det gäller sekretess för personrelaterad information gäller inte den ordning för överklagande som föreskrivs i personupp- giftslagen (HFD 2014 ref. 55). Med den tolkning som gjorts i det målet väcks frågan om bestämmelsen i 52 § personuppgiftslagen angående överklagande av ett beslut enligt 26 § samma lag har någon funktion att fylla, vid sidan av de fall där den personuppgiftsansvarige inte lämnar ut uppgifterna inom de tidsfrister som anges i paragrafen eller inte lämnar ut uppgifter i text som inte har färdigställts. Det kan ifrågasättas om avsikten varit att överklagandebestämmelsen skulle ha ett så begränsat tillämpningsområde. Förekomsten av en särskild överklagandebestäm- melse i personuppgiftslagen talar i stället för att den prövning som görs vid en begäran enligt 26 § inte är en formell sekretessprövning enligt offentlighets- och sekretesslagen. Det är snarare en annan typ av pröv- ning där det materiella innehållet i sekretessreglerna är avgörande för resultatet men prövningen inte innefattar samma moment. Regeringen instämmer i utredningens bedömning att det inte är rimligt att likställa prövningen av om personrelaterad information kan lämnas ut med en prövning enligt offentlighets- och sekretesslagen. Bestämmelserna som ger enskilda rätt till information om huruvida deras personuppgifter behandlas skapades i en annan tid, då behandling- en av personuppgifter fortfarande till stor del ägde rum i enskilda regi- ster. I avgränsade register är möjligheterna att överblicka informationen och att snabbt få bekräftat om uppgifter om en viss person behandlas betydligt större än i dagens automatiserade behandlingssystem. nämnda kan det finnas mycket stora mängder av information som i och för sig är sökbar men där det inte går att lika enkelt överblicka i vilket sammanhang personuppgifterna förekommer. Som utredningen påpekar medför det att bestämmelser om rätt till personrelaterad information delvis måste ses i ett annat ljus än tidigare, trots att direktivet utgår från samma synsätt som dataskyddsdirektivet . Rätten till personrelaterad information ger enligt regeringen inte den registrerade någon rätt att få del av annat än information om just behand- lingen av personuppgifterna. Det handlar alltså inte om att pröva om den registrerade ska kunna få tillgång till all den information som finns i ett visst mål eller ärende. I stället ska det prövas om det förhållandet att per- sonuppgifter behandlas i ett visst sammanhang – t.ex. i underrättelseverk- samhet eller i förundersökningen om ett visst brott – kan avslöjas för den registrerade. Det förhållandet att det avslöjas att personuppgifterna be- handlas kan i ett enskilt fall riskera att hindra underrättelseverksamheten eller förundersökningen i fråga och då bör informationen kunna begrän- sas. En sådan prövning kräver inte lika ingående överväganden som när det gäller att ta ställning till om en viss handling som innehåller sekre- tessbelagd information kan lämnas ut helt eller delvis utan att det vållar förundersökningen eller underrättelseverksamheten skada. Det innebär t.ex. att om en viss person pekas ut som gärningsman i en polisanmälan och det gäller sekretess för den uppgiften kommer personen i fråga – om han eller hon vänder sig till och begär besked om vilka personuppgifter som behandlas – inte att få någon upplysning om polis- anmälan. Ett sådant beslut får enligt regeringens förslag överklagas enligt ramlagens regler (se avsnitt 13.4). En begäran om att få besked om personuppgifter behandlas ska alltså besvaras utifrån regelverket om skydd för personuppgifter. I den pröv- ningen ingår inte att ta ställning till om uppgifterna finns i en allmän handling och om den kan lämnas ut. Det finns givetvis inget som hindrar att en behörig myndighet gör en formell prövning enligt offentlighets- och sekretesslagen när den registrerade begär att få personrelaterad information. Om det görs och myndigheten i sitt beslut att inte lämna information motiverar det med att det gäller sekretess enligt någon eller några bestämmelser i offentlighets- och sekretesslagen, ska beslutet överklagas enligt de särskilda reglerna i den lagen (HFD 2014 ref. 55). Mot denna bakgrund anser regeringen att hänvisningen till de olika intressena i den bestämmelse som föreslås inte bör uteslutas, som Kammarrätten i föreslår. Hänvisningen till de olika intressena tydliggör att det är den nu föreslagna bestämmelsen som ska tillämpas vid prövningen av om personrelaterad information kan lämnas ut och att det inte är fråga om någon formell prövning enligt offentlighets- och sekretesslagen. Eftersom ramlagen även kommer att vara tillämplig på andra aktörer än myndigheter bör även dessa kunna underlåta att lämna information till registrerade om behandlingen av deras personuppgifter (jfr 27 § andra meningen personuppgiftslagen och prop. 2017/18:105 sid. 103 f.). 2017/18:232 Vilken typ av information får begränsas? Frågan är vilken information som undantaget bör omfatta. Att den per- sonuppgiftsansvarige ska ha rätt att begränsa eller inte lämna ut person- relaterad information står klart. Det gäller både information som ska lämnas självmant och på begäran. Det finns även behov av att kunna begränsa underrättelser om skälen för beslut i fråga om rättelse, radering eller begränsning av behandlingen. Om skälen skulle riskera att röja information som hänför sig till något av nämnda intressen, t.ex. att rymning från ett fängelse planeras eller att hemlig avlyssning av elektro- nisk kommunikation pågår, bör underrättelsen till den registrerade kunna begränsas. Om så inte var fallet skulle enskilda kunna begära rättelse och därigenom få del av information som annars inte skulle lämnas ut. I avsnitt 10.5.7 och 10.5.8 behandlas de formella kraven på besluten. Rätten till kontroll när information inte har lämnats eller begränsats För att den registrerade ska kunna ta till vara sina rättigheter när informa- tion inte har lämnats ut eller begränsats på grund av de intressen som anges i artiklarna 13.3, 15.1 och 16.4, föreskrivs i artikel 17.1 att till- synsmyndigheten på den enskildes vägnar ska kunna kontrollera om personuppgifterna behandlas författningsenligt. Enskilda som har vänt sig till den personuppgiftsansvarige med en begäran om att få personrela- terad information eller att en korrigeringsåtgärd ska vidtas ska kunna vända sig till tillsynsmyndigheten med en begäran om kontroll. Kontrol- lerna behandlas i avsnitt 11.6.3. Regeringens bedömning: Möjligheten att fastställa kategorier av be- handling som undantas från enskildas rätt till information bör inte ut- Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans yttrar sig om bedömningen. Skälen för regeringens bedömning: Av artiklarna 13.4 och 15.2 framgår att det är möjligt att fastställa kategorier av behandling som helt eller delvis kan omfattas av möjligheten att begränsa enskildas rätt till information enligt artiklarna 13.3 respektive 15.1. Det är oklart vad som avses med uttrycket ”kategori av behandling”. mening skulle det kunna vara behandling av personuppgifter i ett visst Det skulle också, enligt utredningen, kunna vara fråga om be- handling av en viss typ av personuppgifter, exempelvis dna-profiler, fordonsuppgifter eller fotografier. Regeringen har ingen annan uppfatt- Sekretessen varierar under de olika stadierna av brottsbekämpning, lag- föring och straffverkställighet. Normalt avklingar sekretessen till skydd för det allmänna ju längre utredningen når. En personuppgift som är före- mål för sekretess eller tystnadsplikt under förundersökningen kan bli offentlig vid åtalet, under domstolsförhandlingen eller i domen. gälla allt från underrättelseinformation och uppgifter om hemliga tvångs- medel till uppgifter om hälsa eller andra känsliga personuppgifter. undantag för kategorier av behandling kan därför inte vara generellt utan Prop. 2017/18:232 måste anpassas till den sekretess som kan gälla i de olika behöriga myn- Det är framför allt i verksamheter där det förekommer många sekre- tessbelagda uppgifter som det skulle vara av intresse att peka ut sådana kategorier av behandling. De brottsbekämpande myndigheternas person- uppgiftsbehandling utförs numera i liten utsträckning i särskilda register. Uppgifterna är i stället gemensamt tillgängliga i myndigheternas verk- samhetsstöd. Det gör att det är svårt att peka ut en viss kategori av be- handling som i sin helhet kan undantas. För de register som är special- reglerade, som dna- och fingeravtrycksregister, finns det som regel särskilda sekretessbestämmelser, vilket skulle göra att undantag för de kategorierna får begränsat värde. En kategori kan som utredningen anger bara undantas om det är rättsligt möjligt att avgränsa den. När det t.ex. gäller underrättelseuppgifter håller regeringen med utredningen om att det inte är möjligt att göra det, eftersom underrättel- severksamheten inte är reglerad och uppgifterna inte heller behandlas i särskilt reglerade register. 10.3.3Ofärdig text och minnesanteckningar Regeringens förslag: Rätten att få del av personrelaterad information ska inte gälla personuppgifter i löpande text som inte har fått sin slut- liga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande. Informationsskyldigheten ska dock gälla om uppgifterna 1.har lämnats ut till tredje man, med undantag för en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision, 2.behandlas enbart för vetenskapliga, statistiska eller historiska ändamål, eller 3.har behandlats i löpande text som inte har fått sin slutliga utformning. Tredje man ska definieras som någon annan än den registrerade, den personuppgiftsansvarige, dataskyddsombudet, personuppgiftsbiträdet och sådana personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har rätt att behandla personupp- gifter. Utredningens förslag stämmer i huvudsak överens med regeringens. Utredningen föreslår att informationsskyldigheten ska gälla när uppgif- terna har lämnats ut till myndighet som med stöd av författning utövar tillsyn, kontroll eller revision. Enligt utredningens förslag ska det även följa av bestämmelsen att informationsskyldigheten gäller om uppgif- terna behandlas enbart för arkivändamål av allmänt intresse. Remissinstanserna: efterfrågar ett förtydligande av från vilken tidpunkt ettårsfristen ska beräknas. Säkerhets- och integri- tetsskyddsnämnden påpekar att definitionen av tredje man inte undantar myndigheter som utövar tillsyn, kontroll eller revision. Skälen för regeringens förslag Innehållet i direktivet och nuvarande reglering Som framgår av avsnitt 10.3.1 ger artikel 15.1 möjlighet att begränsa den registrerades rätt till information i syfte att skydda rättigheter och frihe- ter. En motsvarande regel finns i artikel dataskydds- direktiv. I förarbetena till personuppgiftslagen hänvisade regeringen till skyddet för fri- och rättigheter som motiv för att införa begränsningen av informationsskyldigheten i 26 § tredje stycket personuppgiftslagen (prop. 1997/98:44 s. 83). Undantaget gäller för personuppgifter i löpande text som inte fått sin slutliga utformning när begäran om information gjordes eller som utgör minnesanteckning eller liknande. Om uppgifterna redan har lämnats ut till tredje man eller om uppgifterna i den löpande texten ännu inte fått sin slutliga utformning behandling, gäller inte undantaget. Det gäller inte heller om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga ändamål. Undantag för vissa typer av text Att enskilda inte har någon rätt till insyn i utkast och koncept till skrivel- ser, beslut och domar som arbetet pågår värnar myndighe- ternas verksamhet och skyddar andra enskilda. Av samma skäl är min- nesanteckningar eller liknande, t.ex. promemorior eller andra anteck- ningar som används under handläggningen, fredade från insyn så länge handläggningen pågår. Utkast under arbete eller minnesanteckningar som inte ska bevaras för framtiden är inte allmänna handlingar enligt 2 kap. tryckfrihetsförord- ningen och lämnas därmed inte ut enligt offentlighetsprincipen. Det finns därför goda skäl att inte ge en sökande rätt till information om hur hans eller hennes personuppgifter behandlas i ofärdiga texter och minnesan- teckningar. Ett undantag för sådan text bör därför tas in i ramlagen. Artikel 15.1 e medger undantag från rätten till information för att skydda andra personers rättigheter och friheter. En begränsning enligt artikel 15.1 får dock endast göras i den utsträckning och så länge som den är nödvändig och proportionerlig. Vid bedömningen ska hänsyn tas till den berörda personens grundläggande rättigheter och berättigade intressen. Undantaget för handlingar som inte är färdigställda är av stor praktisk betydelse för myndigheterna. Det är också en förutsättning för ett fungerande rättsväsende – och för tilltron till det – att information om enskilda inte lämnas ut innan beslut och domar är färdigställda och med- delade, särskilt som de ofta innehåller personuppgifter om andra. I likhet med utredningen anser regeringen därför att en sådan begränsning – som har sin motsvarighet i 26 § tredje stycket personuppgiftslagen – är nöd- vändig. När det gäller kravet på proportionalitet instämmer regeringen i föl- jande överväganden som utredningen gör. Om personuppgifterna i utkas- ten har behandlats utan att texten färdigställts väger den registrerades intresse av att kunna ta del av hur personuppgif- terna behandlas tyngre än den personuppgiftsansvariges intresse av att fortsätta att behandla personuppgifterna utan insyn. Information om per- sonuppgifterna bör därför lämnas till den registrerade, om inte den per- sonuppgiftsansvarige väljer att i stället radera personuppgifterna i den ofärdiga texten (jfr prop. 1997/98:44 s. 83 f.). Med anledning av . 2017/18:232 universitets förfrågan om ettårsfristen kan tydliggöras att om personupp- gifterna har behandlats i utkastet , räknat bakåt från den tidpunkt då begäran om information gjordes, så gäller inte undantaget för uppgifter i löpande text som inte fått sin slutliga utform- ning. Om ett utkast eller en minnesanteckning endast används vid statistik- produktion eller för vetenskapliga eller historiska ändamål inom ram- lagens tillämpningsområde bör information om personuppgiftsbehand- lingen kunna lämnas. Undantaget bör därför inte gälla för personuppgif- ter i ofärdiga texter eller minnesanteckningar som enbart behandlas för vetenskapliga, statistiska eller historiska ändamål för de syften som om- fattas av ramlagen. Som utredningen föreslår bör undantaget inte heller gälla för personuppgifter i utkast eller minnesanteckningar som enbart behandlas för arkivändamål av allmänt intresse. Till skillnad från ut- redningen anser regeringen dock inte att det behöver framgå av bestäm- melsen i ramlagen. Som anges i avsnitt 8.2.2 faller behandling av person- uppgifter för arkivändamål in under dataskyddsförordningen. Att person- uppgifter i arkiverade utkast eller minnesanteckningar bör kunna lämnas ut följer av förslaget till en ny dataskyddslag (prop. s.103 f). Information bör också lämnas om uppgifterna i den ofärdiga texten eller minnesanteckningen har lämnats ut till tredje man. Information bör dock få lämnas till dataskyddsombud, personuppgiftsbiträden och andra personer som under den personuppgiftsansvariges eller personuppgifts- biträdets direkta ansvar behandlar personuppgifter, utan att undantaget upphör att gälla (jfr 26 § tredje stycket andra meningen jämfört med 3 § personuppgiftslagen). För att det ska bli tydligt bör tredje man definieras i ramlagen som någon annan än den registrerade, den personuppgiftsan- svarige, dataskyddsombudet, personuppgiftsbiträdet och sådana personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har rätt att behandla personuppgifter. Som påpekar bör information även få lämnas till myndigheter som utövar tillsyn, kontroll eller revision utan att undan- taget upphör att gälla. Enligt regeringen bör det framgå tydligt av lag- texten. Det bör alltså tas in en regel i ramlagen om att information bör lämnas om uppgifter i ofärdig text eller minnesanteckningar har lämnats ut till tredje man, med undantag för myndighet som med stöd av författning ut- övar tillsyn, kontroll eller revision, om uppgifterna behandlas enbart för vetenskapliga, statistiska eller historiska ändamål eller om uppgifterna har behandlats i löpande text som inte har fått sin slutliga utformning. Begränsningen av den registrerades rätt till in- formation i ofärdiga texter och minnesanteckningar är då enligt rege- ringen såväl nödvändig som proportionerlig. Ett beslut om att begränsa tillgången till denna typ av information får enligt regeringens förslag överklagas till allmän förvaltningsdomstol (se avsnitt 13.4). 2017/18:232 10.3.4 Orimliga eller uppenbart ogrundade framställningar Regeringens förslag: Om en begäran om personrelaterad information är orimlig eller uppenbart ogrundad får den personuppgiftsansvarige avslå den. Om någon begär sådan information eller sådana uppgifter oftare än en gång , får den personuppgiftsansvarige ta ut en rimlig avgift eller avslå begäran. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: ser framtida utmaningar i form av ett ökat antal framställningar om att få del av personrelaterad in- formation och tillstyrker därför förslaget. Datainspektionen delar inte ut- redningens bedömning att en begäran om information kan anses orimlig på den grunden att den avser en större myndighets hela verksamhet. anser att avslagsgrunderna bör tydliggöras. Enligt tings- rätten ger det inte mycket ledning för beslutet att som avslagskriterium ange att en begäran är orimlig. Tingsrätten ifrågasätter också varför det måste vara uppenbart att ansökan är ogrundad. Övriga remissinstanser har inget att invända mot förslaget. Skälen för regeringens förslag Om en registrerads begäran om information är uppenbart ogrundad eller orimlig, särskilt på grund av att den är repetitiv, får den personuppgifts- ansvarige enligt artikel 12.4 antingen ta ut en rimlig avgift för de admi- nistrativa kostnaderna för att tillhandahålla informationen eller vägra att tillmötesgå begäran. Den personuppgiftsansvarige har bevisbördan för att en begäran är uppenbart ogrundad eller orimlig. En begäran som är orimlig eller uppenbart ogrundad ska avslås Av skäl 40 framgår att en begäran om information kan vara orimlig om en sökande utan skäl och vid upprepade tillfällen begär uppgifter och uppenbart ogrundad om en sökande missbrukar sin rätt till information genom att exempelvis lämna felaktiga eller missvisande uppgifter i sin begäran. Regeringen håller med utredningen om att en begäran också kan vara orimlig om sökanden inte lämnar sådana uppgifter om sin identitet att det blir möjligt att söka efter informationen utan ytterligare efter- forskningar. Andra omständigheter som enligt utredningen kan göra att en begäran anses vara orimlig är att den är så oprecis att det skulle vara närmast omöjligt att besvara den. Det kan enligt utredningen vara fallet t.ex. om begäran avser en större myndighets hela verksamhet, särskilt om myn- digheten har många olika arbetsuppgifter. Utredningen menar att begäran i sådana fall normalt bör kunna preciseras till viss verksamhet, visst ärende eller någon annan liknande avgränsning. Till skillnad från Data- inspektionen instämmer regeringen i utredningens överväganden i denna del. Det är av stor praktisk betydelse att myndigheterna inte åläggs att besvara framställningar som är så obegränsade att det i princip är omöj- ligt att besvara dem. Regeringen håller också med utredningen om att en myndighet aldrig bör vara skyldig att tillgodose en begäran om information som är uppen- bart ogrundad. Detsamma bör gälla en begäran som är orimlig av något annat skäl än att den är repetitiv, dvs. Möjligheten att mot avgift besvara en begäran som är uppenbart ogrundad eller orimlig på annat sätt än att den är återkommande, bör därför inte utnyttjas. I stället bör begäran om information avslås. En bestämmelse om det bör tas in i ramlagen. anser att lagtexten bör innehålla tydli- gare avslagsgrunder än uppenbart ogrundad eller orimlig. Mot bakgrund av att formuleringen ”uppenbart ogrundad eller orimlig” används i direktivet, vilket även tingsrätten konstaterar, anser regeringen att den formuleringen bör användas i ramlagens bestämmelse. Avslagskriterierna enligt ramlagen kommer då också att överensstämma med de som anges i artikel 12.5 i dataskyddsförordningen. Närmare ledning för hur uttrycket ”uppenbart ogrundad eller orimlig” ska tolkas får utvecklas i rättstillämp- ningen. Upprepad begäran kan besvaras mot avgift eller avslås En begäran om information som är orimlig på grund av att den återuppre- pas kan antingen besvaras mot avgift eller avslås. Utgångspunkten bör vara att den personuppgiftsansvarige i första hand tar ut en rimlig avgift för de kostnader som begäran förorsakar och i andra hand vägrar att lämna den begärda informationen. Om en myndighet avser att ta ut avgift för informationen bör den först underrätta sökanden om det och förhöra sig om han eller hon vidhåller sin begäran. Frågan är hur ofta det är rimligt att sökanden ska kunna få information utan att betala avgift för det. har den registrerade enligt 26 § per- sonuppgiftslagen rätt till gratis information om behandlingen av hans eller hennes personuppgifter högst en gång per kalenderår. Paragrafen genomför artikel 12 a dataskyddsdirektiv, som föreskriver att den registrerade med rimliga intervall ska få viss information. Samma uttryck finns i skäl 43 i direktivet, där det framgår att fysiska personer med rimliga intervall bör ha rätt att få tillgång till insamlade uppgifter som rör dem för att kunna kontrollera att behandlingen är laglig. I likhet med utredningen anser regeringen att dagens ordning med av- giftsfri information en gång tillgodoser den enskildes rätt att med rimliga intervall hålla sig underrättad om hans eller hennes personuppgif- ter behandlas och om behandlingen är författningsenlig. Tidsintervallet är anpassat så att den personuppgiftsansvariges arbetsinsats inte blir orimligt betungande. Om information begärs oftare än en gång kan det däremot anses som orimligt på grund av att begäran är återkom- mande. En bestämmelse om att den personuppgiftsansvarige i dessa fall får ta ut rimlig avgift eller avslå begäran bör därför tas in i ramlagen.