sou · H6B343 · 2018-05-29 00:00:00 — För att skydda den enskildes integritet kan de sekretessbrytande bestämmelserna kombineras med sådana bestämmelser om direkt- åtkomst enligt vilka handläggarna endast får ta del av uppgifter om personer som är aktuella i ärenden hos den mottagande myndig- heten. Vidare kan tekniska spärrar användas som medför att en hand- läggare är tekniskt förhindrad att söka på andra personer än sådana som är aktuella på myndigheten och begränsningar kan även föras in i en myndighets arbetsordning. Vad gäller de nu aktuella myndigheterna kan konstateras att de uppgifter till vilka direktåtkomst ska regleras återfinns flera olika databaser, varav socialförsäkringsdatabasen och beskattningsdata- basen är två. Hur författningsregleringen närmare sker, skiljer sig åt mellan de olika rättsområdena och författningarna. Någon enhetlig princip för hur regleringen ska ske finns inte. De allmänna handlingar hos en myndighet som en annan myn- dighet genom direktåtkomst får tillgång till utgör allmänna hand- lingar även hos denna myndighet (prop. 2002/03:135 s. 90). Av 2 kap. 3 § andra stycket TF framgår att en upptagning anses förvarad hos myndighet om upptagningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt upp- fattas.29 Som huvudregel blir även sådan överskottsinformation som en myndighet rent tekniskt har tillgång till hos en annan myndighet i samband med direktåtkomst att betrakta som en allmän handling hos den mottagande myndigheten, även om den mottagande myn- digheten inte har rätt att behandla uppgifterna för egen del.30 För uppgifterna kan dock sekretess gälla. Vad gäller uppgifter i exempelvis skattedatabasen gäller absolut sekretess enligt 27 kap. 1 § OSL hos de i bestämmelsen angivna mottagande myn- digheterna så länge uppgifterna inte används i den mottagande myndighetens egen verksamhet. Härigenom motverkas en spridning av sådana uppgifter som den mottagande myndigheten inte behöver för handläggning av de ärenden som direktåtkomsten får omfatta, men som gjorts tekniskt tillgängliga för myndigheten.31 I avsnitt 4.4.2 föreslås att en ny bestämmelse införs i 40 kap. OSL, enligt vilken motsvarande sekretess ska gälla hos Statens servicecenter för ärendehanteringen som gäller enligt OSL för hand- läggningen hos respektive myndighet. Det är utredningens avsikt att den föreslagna bestämmelsen även ska omfatta den beskrivna situationen med överskottsinformation i olika register som direkt- åtkomsten och de sekretessbrytande bestämmelserna ger upphov till. Med andra ord är avsikten med den föreslagna bestämmelsen i 40 kap. OSL att de sekretessbestämmelser som gäller för utläm- nande myndighet, i sin helhet även ska gälla hos Statens service- center. Någon reglering om databassekretess i olika kapitel i OSL behöver därför inte ske enligt utredningens bedömning.32 Utredningens förslag: Direktåtkomst för Statens servicecenter ska regleras i lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet och kompletterande sekre- tessbrytande bestämmelse ska införas i förordningen (2001:588) 29Se t.ex. HFD 2015 ref. 61. 2007/08:126, m.m., s. 120 f., samt prop. 2007/08:160, Utökat elektroniskt informationsutbyte, s. 66 f. 2016/17:58, Uppgifter på individnivå i arbetsgivardeklarationen, s. 128. 2016/17:58, Uppgifter på individnivå i arbetsgivardeklarationen, s. 128. om behandling av uppgifter i beskattningsverk- samhet. Vidare ska bestämmelser om direktåtkomst och sekre- tessbrytande bestämmelser införas i lagen (2015:899) om identi- tetskort för folkbokförda i respektive i förordningen (2015:904) om identitetskort för folkbokförda i samt i Utlänningsdatalagen (2016:27) och i utlänningsdataförordningen (2016:30). Bestämmelser om direktåtkomst för Statens service- center ska även införas i lagen (2015:898) om behandling av personuppgifter i äktenskapsregister- och boupp- teckningsverksamheter. För del finns regleringar av behandling av person- uppgifter i flera olika s.k. registerförfattningar beroende på vilken del av verksamhet som det är fråga om. Vid behandling av personuppgifter i beskattnings- verksamhet tillämpas lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet och förordningen (2001:588) om behandling av uppgifter i beskattningsverksamhet. Bestämmelsen om direktåtkomst för Statens servicecenter bör enligt utredningen utformas efter det mönster som använts beträff- ande övriga sådana bestämmelser i den nämnda lagen. För vissa myndigheter anges i vilken typ av ärenden hos myndig- heten och för vilka slag av uppgifter i databasen som direktåtkomst är tillåten. När det gäller Statens servicecenter kan konstateras att den inte har egna ärenden för vilka direktåtkomst ska tillåtas och att behovet av uppgifter för verksamheten på servicekontoren styrs av det slag av uppgifter som respektive myndighet anser att personalen ska kunna bistå besökarna med. I nuvarande samtjänstavtal anges 35 data- system hos som används för informationssökning vid servicekontoren. Dessutom anges tre ytterligare system för de service- handläggare som har s.k. id-kortsutbildning och handlägger ansökan om id-kort för folkbokförda. Utredningen föreslår att en ny bestämmelse införs i nämnda lag i 2 kap. 8 e § enligt vilken Statens servicecenter medges direktåtkomst för att fullgöra det uppdrag som följer av lagen (2004:543) om sam- tjänst vid medborgarkontor och förordningen (2009:315) om sam- tjänst vid medborgarkontor. När det gäller vilka ytterligare begräns- ningar som bör föreskrivas konstaterar utredningen att det är en stor bredd på de ärenden som aktualiseras på servicekontoren, vilket med tydlighet visas av att det är totalt 38 system som får användas enligt nu gällande samtjänstavtal. Ett syfte med reformen av verksamheten vid servicekontoren är, att den nuvarande servicenivån åtminstone ska bibehållas. Det bör alltså vara så att direktåtkomst medges till de uppgifter som används. Med hänsyn till detta föreslås att direktåtkomst ska medges för uppgifter i databasen om en fysisk persons identitet, med- borgarskap, bosättning och familjeförhållanden, en juridisk persons identitet, säte, ägarförhållanden samt firmatecknare och andra före- trädare. Det ska även omfatta uppgifter om registrering för skatter och avgifter, underlag för fastställande av skatter och avgifter, bestäm- mande av skatter och avgifter, underlag för fastighetstaxering, avgiftsskyldighet till ett registrerat trossamfund och medlemskap i fackförening, yrkanden och grunder i ett ärende samt beslut, betal- ning, redovisning och övriga åtgärder i ett ärende. Detta motsvarar 2 kap. 3 § 1–6 samt 9–11 i lagen (2001:181) om behandling av upp- gifter i beskattningsverksamhet. Bestämmelsen om direktåtkomst till beskattningsdatabasen be- höver kompletteras med en sekretessbrytande bestämmelse i förord- ningen (2001:588) om behandling av uppgifter i be- skattningsverksamhet. Bestämmelserna i förordningen är utformade som en uppgiftsskyldighet för . Den sekretessbrytande bestämmelsen avseende Statens servicecenter bör utformas enligt samma mönster och således utformas som en uppgiftsskyldighet för gentemot Statens servicecenter. Uppgiftsskyldigheten består i att lämna ut vissa i författningen angivna uppgifter från beskattningsdatabasen i den utsträckning det behövs för att fullföra uppdraget enligt lagen (2004:543) om samtjänst vid medborgar- kontor och förordningen (2009:315) om samtjänst vid medborgar- kontor. Utfärdande av id-kort för folkbokförda i Eftersom utredningen föreslår att den ordning för utfärdande av id- kort för folkbokförda i som sker på servicekontoren i avvaktan på utfallet av en annan utredares arbete ska fortsätta, be- hövs en reglering även beträffande de register som används i detta sammanhang. Av nu gällande samtjänstavtal framgår att de service- handläggare som har s.k. id-kortsutbildning har tillgång till uppgifter enligt följande: , och Fråga Migrationsverket.33 När det gäller utfärdande av id-kort regleras behand- lingen av personuppgifter och direktåtkomst i lagen (2015:899) om identitetskort för folkbokförda i och i förordningen (2015:904) om identitetskort för folkbokförda i . Vidare finns i utlänningsdatalagen (2016:27) en reglering om direktåtkomst till personuppgifter hos för , vilken är avsedd för handläggning av ärenden om utfärdande av id-korten.34 I utlänningsdataförordningen (2016:30) finns komplet- terande sekretessbrytande bestämmelse i vilken anges hur Skatte- verkets direktåtkomst är begränsad.35 Det är som av regeringen givits uppgiften att utfärda id-kort för folkbokförda i Sverige.36 Vissa anställda på särskilt ut- sedda servicekontor utför uppgiften på uppdrag av . Uppgiften utförs med uppdragsavtalen som grund. I enlighet med utredningens tidigare resonemang om den osäkerhet om uppdrags- avtalens rättsliga innebörd i det nya sammanhanget med Statens servicecenter, föreslår utredningen att en reglering om direktåtkomst för Statens servicecenter ska införas. Det bör dock uppmärksammas att den föreslagna regleringen av direktåtkomst, i den mån den anses behövlig, endast krävs då utfärdande av dessa id-kort är en uppgift för och till viss del utförs på servicekontoren. Utredningen föreslår att direktåtkomst regleras i lagen (2015:899) om identitetskort för folkbokförda i och sekretessbrytande regler i förordningen (2015:904) om identitetskort för folkbokförda 33Försäkringskassan, och (2017), Samtjänstavtal. Avtalet gäller fr.o.m. tills vidare. 2015:16:65, Utlänningsdatalag, s. 93. 2015/16:65, Utlänningsdatalag, s. 93, 123 f. 36Förordningen (2017:154) med instruktion för 3 §, och förordningen (2015:904) om identitetskort för folkbokförda i 2 §. Tillgången till uppgifter bör enligt vår mening omfatta de uppgifter som anges 11 § nämnda förordning, vilket innebär tillgång till samtliga uppgifter som den aktuella databasen ska innehålla enligt nämnda bestämmelse. 1.sökandens fullständiga namn, personnummer, födelsetid, post- adress och andra behövliga kontaktuppgifter, längd och kön, 2.dag för utfärdandet av identitetskortet, kortnummer och giltig- hetstid, 3.sökandens namnteckning eller, i förekommande fall, anteckning om anledningen till att namnteckning saknas, 4.kopia av den ansiktsbild som identitetskortet har försetts med, 5.uppgift om hur sökanden har styrkt sin identitet, 6.beslut om att ansökan har avslagits och skälen för detta beslut, och 7.uppgift om att identitetskortet har förlustanmälts eller återkallats och vad som har utgjort skäl för beslutet om återkallelse. Vidare får en handling som har kommit in eller upprättats i ett ärende behandlas. I sistnämnda förordning, 14 §, finns även en sekretess- brytande bestämmelse avseende vissa uppgifter som behandlas av och som gäller till förmån för . Ut- redningen bedömer att en motsvarande bestämmelse till förmån för Statens servicecenter ska införas i förordningen. handläggning av id-kort har även ansetts kräva bestämmelser om direktåtkomst till uppgifter hos enligt andra författningar. Motsvarande bestämmelser föreslås in- föras för Statens servicecenter. Utredningen föreslår därför att mot- svarande reglering i Utlänningsdatalagen (2016:27) och utlännings- dataförordningen (2016:30) som avser direktåtkomst för respektive sekretessbrytande bestämmelser ska införas avseende Sta- tens servicecenter. För en annan del av verksamhet som också omfattas av direktservice på servicekontoren regleras behandlingen av person- uppgifter i lagen (2015:898) om behandling av personuppgifter i äktenskapsregister- och bouppteckningsverksamheter, respektive förordningen (2015:905) om behandling av personupp- gifter i äktenskaps- och bouppteckningsverksamheter. I den nämnda lagen saknas bestämmelser om direktåtkomst, men däremot finns en bestämmelse enligt vilken personuppgifter får läm- nas ut på medium för automatiserad behandling om det inte är olämpligt. Av nu gällande samtjänstavtal framgår att flera system, t.ex. Bouppteckning Intern Terminalåtkomst, avseende denna typ av ären- den, används för informationssökning. För att tillgången till service inte ska försämras jämfört med nuvarande verksamhet, föreslår utred- ningen att en bestämmelse om direktåtkomst till verksamhetsregister som förs med stöd av denna lag ska medges Statens servicecenter om uppgifterna behövs vid handläggning av ärende som utförs enligt samtjänstlagen och samtjänstförordningen. Utredningens bedömning är att det inte finns behov av att föreslå några sekretessbrytande bestämmelser. Utredningen föreslår inte några författningsändringar vad gäller detta område. En bestämmelse om direktåtkomst för myndigheter finns redan i 2 kap. 8 § lagen (2001:182) om behandling av person- uppgifter i folkbokföringsverksamhet. Några sekretess- brytande bestämmelser har inte ansetts nödvändiga. Folkbokföringsuppgifter är normalt offentliga. Genom folkbok- föringen får hela samhället tillgång till uppgifter om befolkningen. Uppgifter från folkbokföringen sprids till myndigheter och övriga delar av samhället genom Navet och SPAR.37 37 Genom Navet sprider folkbokföringsuppgifter till andra myndigheter. Ändrade uppgifter i Navet överförs eller till andra myndigheter. I SPAR finns även uppgifter om personer som har ett samordningsnummer vars identitet är fastställd. SPAR uppdateras med nya uppgifter från folkbokföringen. För att kunna ta del av upp- gifterna från folkbokföringen genom SPAR krävs att man är kund hos . Kunder hos SPAR är exempelvis banker, försäkringsbolag och postorderföretag. Folkbokföringsuppgifter kan i särskilda fall beläggas med sekre- tess, exempelvis när det rör sig om känsliga uppgifter. Det finns möjligheter till sekretessmarkering, vilket innebär att för in en markering vid personuppgifterna i fråga som anger att ingen får lämna ut uppgifterna utan tillstånd och säkerhetskontroll. En sekretessmarkering innebär inte någon absolut sekretess. Vid en begäran om utlämnande av personuppgifter ska myndigheten göra en självständig sekretessbedömning. Utredningens förslag: Direktåtkomst för Statens servicecenter ska regleras i socialförsäkringsbalken. En sekretessbrytande be- stämmelse med uppgiftsskyldighet för och ska införas i förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens admini- stration. När det gäller tillgång till personuppgifter i verksamhet som gäller förmåner enligt socialförsäkringsbalken samt andra förmåner och ersättningar som enligt lag, förordning eller särskilt beslut av reger- ingen handläggs av eller finns bestämmelser i 114 kap. socialförsäkringsbalken. I 3–4 §§ för- ordningen (2003:766) om behandling av personuppgifter inom social- försäkringens administration finns ytterligare föreskrifter om direkt- åtkomst. Bestämmelser om uppgiftsskyldighet på socialförsäkrings- området som knyter an till bestämmelserna om direktåtkomst i 114 kap. socialförsäkringsbalken finns vidare i förordningen (1980:995) om skyldighet för och att lämna uppgifter till andra myndigheter, den s.k. uppgiftslämnar- förordningen. Dessutom finns uppgiftsskyldighet reglerad i en rad materiella författningar som gäller den myndighet som medgetts direktåtkomst till socialförsäkringsdatabasen t.ex. författningar om vårdnadsbidrag och socialtjänst. I 114 kap. 18 § socialförsäkringsbalken anges att direktåtkomst endast är tillåten i den utsträckning som anges i lag eller förordning. Bestämmelser om direktåtkomst finns i 114 kap. 18–22 §§ och med- ger olika myndigheter samt kommuner och landsting direktåtkomst i olika omfattning enligt vad som närmare regleras i de olika bestäm- melserna. Bestämmelserna är utformade så att det anges för vilket ändamål uppgifterna ska vara nödvändiga. Handläggarna på servicekontoren ska, i enlighet med vad som gäller , kunna erbjuda både service av allmän och fördjupad karaktär. Det ska dock inte vara fråga om mer kvalificerad handläggning. Utformningen av bestämmelserna om direktåtkomst ska alltså spegla detta förhållande och påverka hur bestämmelserna ska formuleras. Statens servicecenter behöver därför inte ha direkt- åtkomst i den omfattning som motsvarar samtliga uppgifter som personalen på och har till- gång till. Enligt nuvarande samtjänstavtal har handläggarna på ser- vicekontoren tillgång till sex system hos och till sju system hos . De bestämmelser som före- slås bör alltså medföra att servicehandläggarna på servicekontoren även fortsättningsvis får ha tillgång till uppgifterna i dessa system i samma omfattning som . Syftet med reformen med ny drift av servicekontoren måste anses vara att servicen inte ska försämras jämfört med nuvarande ordning och då är tillgången till uppgifter central. Utredningen föreslår att en ny bestämmelse införs i 114 kap. 23 § socialförsäkringsbalken enligt vilken Statens servicecenter medges direktåtkomst för att genomföra sitt uppdrag enligt lagen (2004:543) om samtjänst vid medborgarkontor och förordningen (2009:315) om samtjänst vid medborgarkontor i den utsträckning det behövs för ändamål som anges i 7 § 1–4. Ändamålet omfattar att återsöka vägledande avgöranden, tillgodose behov av underlag som krävs för att den registrerades eller annans rättigheter eller skyldigheter ifråga om förmåner och ersättningar som avses i 2 § ska kunna bedömas eller fastställas, informera om sådana förmåner och ersättningar som avses i 2 § eller handlägga ärenden. Direktåtkomst ska vara för- behållen de personkategorier som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna. Det sätt på vilken reglering av dessa frågor i vissa fall sker beträffande nu aktuella myndigheter är att föreskriva direktåtkomst även i förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration samt föreskriva uppgiftsskyl- dighet i en materiell författning. finns t.ex. i materiella författningar om vårdnadsbidrag och social- tjänst. Statens servicecenter har ju dock inte några egna ärenden enligt materiella författningar i vilka sekretessbrytande bestämmel- ser kan anges. Ordningen med en myndighet med de uppgifter som Statens servicecenter ska ha passar alltså inte in rent författnings- tekniskt, på så sätt att sekretessbrytande bestämmelser inte kan ges i en författning om t.ex. viss socialförsäkringsförmån. Utredningen föreslår därför att det införs en ny bestämmelse i förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration och att bestämmelsen, till skill- nad mot hur bestämmelserna i förordningen vanligen utformas, även ska föreskriva en uppgiftsskyldighet för respek- tive Utredningens överväganden och förslag rörande Arbetsförmedlingens lokala service återfinns i kapitel 7 och i det kapitlet berörs frågan om reglering av direktåtkomst närmare. 4.6Användning av register på servicekontoren En fråga med anknytning till vilka register som det ska finnas tillgång till för personal på servicekontoren, är vilken behörighet som bör tillkomma dem. Det verkar som om behörigheten mellan myndig- heterna skiljer sig åt på så sätt att medger s.k. ”titt- behörighet”, dvs. servicehandläggaren har tillgång till personregister och ärenden på så sätt att han eller hon får se vad som anges för en viss person. medger dock en form av behörighet som innebär att servicehandläggare även får tillföra ett ärende upp- gifter som tillförts vid ett besök genom att digitalt skriva in tjänste- anteckningar i ärendet. Frågan är om det är förenligt med förvaltningslagen att endast ge behörighet att se innehållet i register och ärenden. Enligt 27 § nya förvaltningslagen ska en myndighet som får uppgifter på något annat sätt än genom en handling dokumentera dem, om de kan ha betydelse för ett beslut i ärendet. Det ska framgå av dokumenta- tionen när den gjorts och av vem. myndigheter för underlåten eller otillräcklig dokumentation (se t.ex. JO:s beslut, dnr 6156-2011, som rörde ). Anteck- ningar i ett ärende kan dock föras på annat sätt än genom att digitalt föra anteckningar. Enligt utredningens mening är frågan om be- hörighet i register en fråga som lämpligen bör övervägas närmare av berörda myndigheter. 4.7Betydelsen av dataskyddsförordningen i detta sammanhang 4.7.1Nya regleringar rörande användande av personuppgifter Dataskyddsförordningen, GDPR38, gäller som lag i samtliga EU:s medlemsländer . Dataskyddsförord- ningen, som reglerar behandlingen av personuppgifter, tillåter och ibland förutsätter att medlemsstaterna kompletterar förordningen med nationell lagstiftning. För del innebär dataskydds- förordningen bl.a. att nya författningar införts. Nya författningar är lagen (2018:218) med kompletterande bestämmelser till EU:s data- skyddsförordning och förordningen (2018:219) med kompletterande bestämmelser till EU:s dataskyddsförordning. Vidare genomförs en rad författningsändringar, bl.a. i OSL till följd av den nya EU- förordningen. Dataskyddsförordningen ersätter dataskyddsdirek- tivet39 som i svensk rätt huvudsakligen genomfördes genom den numera upphävda personuppgiftslagen (1998:204), PuL. Datainspektionen anger bl.a. att ett av syftena med dataskydds- förordningen är att skydda enskildas grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Rätten till privatliv uttrycks i den Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (EKMR). Även i artikel 7 i EU:s stadga om grundläggande rättigheter uttrycks rätten till respekt för privat- och familjeliv. I artikel 8 finns också en 38General , och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av person- nummer och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). 39Europaparlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende behandling av personuppgifter och om det fria flödet av så- dana uppgifter. särskild bestämmelse om rätt till skydd för personuppgifter. Stadgan är rättsligt bindande för EU:s medlemsstater. På svensk nivå finns en grundlagsstadgad rätt till skydd för den personliga integriteten i samband med behandling av personupp- gifter i 2 kap. 6 § andra stycket regeringsformen. Dataskyddsför- ordningen har också till syfte att skapa en enhetlig och likvärdig nivå för skyddet av personuppgifter inom EU så att det fria flödet av uppgifter inom unionen inte hindras. Detta uppnås genom att för- ordningen är direkt tillämplig i de olika medlemsstaterna och att samma regler gäller inom hela unionen. Andra syften med att ta fram en ny dataskyddsförordning har varit att modernisera dataskydds- direktivets regler och att anpassa dessa till det nya digitala samhället. Dataskyddsförordningen är tillämplig på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.40 Dataskyddsförordningen base- ras till stor del på dataskyddsdirektivets struktur och innehåll, men innebär även vissa förändringar. Den registrerades rättigheter för- stärks i syfte att ge den registrerade ökad kontroll över sina person- uppgifter.41 Dataskyddsförordningen hindrar inte den personuppgiftsbehand- ling som är nödvändig för att myndigheter ska kunna uppfylla skyl- digheten att lämna ut allmänna handlingar enligt offentlighetsprin- cipen. Det bör vidare beaktas att det i svensk rätt inte finns någon skyldighet att lämna ut handlingar i elektronisk form. 4.7.2De nya regleringarnas betydelse för verksamheten vid servicekontoren Dataskyddsförordningen kommer att medföra stora förändringar för de som behandlar personuppgifter för annans räkning. Den som behandlar personuppgifter för den personuppgiftsansvariges räkning kommer, i likhet med vad som gäller , att vara personuppgifts- biträde. I den nya dataskyddsförordningen förändras dock denna roll.