sou · H6B343 · 2018-05-29 00:00:00 — Sådana föreskrifter finns i nämnda förordning meddelade för en rad olika handlingar som förekommer hos , och . Som exempel gäller för del undantaget för deklarationer, kontrolluppgifter och andra handlingar som avser taxering eller fastställande av skatt eller avgift eller som rör anstånd med eller krav på att lämna handlingar för dessa ändamål, m.fl. handlingar. Beträffande registreringsskyldigheten i fråga om allmänna hand- lingar har JO uttalat att den åvilar den myndighet till vilken en handling har kommit in eller där den har upprättats. JO har i ett fall uttalat att det genom registreringen därför måste framgå vilka hand- lingar som hör till respektive myndighet. I det granskade fallet som gällde handlingar hos en kommun och ett kommunalt bolag, uttalade JO att det är av stor betydelse att det vid förvaringen av handlingar säkerställs att de olika rättssubjektens handlingar hålls åtskilda från varandra, så att sammanblandning inte sker. Det gäller i synnerhet om handlingarna innehåller uppgifter som omfattas av sekretess. 15 , och (2017), Gemensam posthanterings- rutin för servicekontor, s. 2. Vidare påtalar JO att en framställan om att få ut handlingar naturligtvis ska prövas hos den myndighet dit framställningen om att få ut handlingar har riktats.16 Det nämnda uttalandet erinrar även om sambandet mellan den tidigare berörda frågan om vad som gäller för en handling som ges in på ett servicekontor med t.ex. som adressat och skyldigheten att registrera handlingar. Det kan dock konstateras att handlingar som ges in i pappersform på ett servicekontor, enligt nuvarande postrutiner skickas vidare enligt fastställda rutiner som skiljer sig något åt mellan modermyndigheterna. Meningen är inte att handlingarna ska förvaras på servicekontoren utan att de ska skickas vidare dagen efter att de har kommit in till servicekontoret.17 Ett alternativ till diarieföring som kan användas i vissa fall är att hålla handlingarna ordnade. Syftet med systematisk ordning är att det ska vara enkelt att hitta bland handlingarna, även för den som inte har ordnat handlingarna. Kravet på myndigheternas registrering av handlingar är inte sär- skilt höga, utan de har en betydande frihet att ordna registreringen efter vad som är lämpligast för den enskilda myndigheten. Det innebär inte något krav på central registrering och ålägger inte myn- digheterna att föra en daglig lista över inkomna handlingar. Regi- streringen kan ske såväl manuellt som automatiserat. Oavsett vilken metod som används, bör den dock användas konsekvent.18 Utredningen konstaterar att det råder flexibilitet vad gäller hur registrering av handlingar ska ske. Vidare anser vi att en rimlig utgångspunkt är att den nuvarande posthanteringsrutinen kommer att fortsätta och att inlämnade handlingar därför skickas vidare dagen efter att de har lämnats in. Handlingarna kom- mer därför att förvaras i servicekontorens lokaler ungefär . Med hänsyn till detta är det utredningens uppfattning att Statens servicecenter bör kunna finna en lösning på frågan som är rimlig och där den korta tid som handlingarna förvaras på servicekontoren får betydelse för vilken lösning som väljs. 16Riksdagens ombudsmän, 2003/04:JO1, s. 439. 17Försäkringskassan, och (2017), Gemensam posthanterings- rutin för servicekontor, och (2017), Posthanteringsrutin för servicekontor. 18Lenberg, , m.fl. (2009). Offentlighets- och sekretesslagen, en kommentar till 5 kap. 1 § OSL. Utredningens förslag: Statens servicecenter ska få avhända sig allmänna handlingar till den myndighet som är angiven eller avsedd adressat för handlingen eller för vilkens räkning en hand- ling upprättats. I 3 § arkivlagen (1990:782) anges bl.a. att en myndighets arkiv bildas av de allmänna handlingarna från myndighetens verksamhet och sådana handlingar som avses i 2 kap. 9 § TF och som myndigheten beslutar ska tas om hand för arkivering. Upptagningar för auto- matisk databehandling som är tillgängliga för flera myndigheter, så att de där utgör allmänna handlingar, ska dock bilda arkiv endast hos en av dessa myndigheter, i första hand den myndighet som svarar för huvuddelen av upptagningen. Enligt 12 § samma lag får en statlig myndighet avhända sig allmänna handlingar endast genom sådant återlämnande eller överlämnande som sker med stöd av bl.a. lag eller föreskrift som meddelas av regeringen. Enligt utredningens mening är det inte behövligt att de hand- lingar som ges in på servicekontoren ska arkiveras såväl av den myndighet som är adressaten, som av Statens servicecenter. Det bör räcka att den av servicemyndigheterna som är avsedd adressat upp- fyller de krav som anges i arkivlagen (1990:782). Utredningen föreslår därför att det i enlighet med 12 § nämnda lag införs en bestämmelse i Statens servicecenters instruktion enligt vilken myn- digheten, på sätt som avses i nämnda bestämmelse, får avhända sig handlingar genom överlämnande till den myndighet som är angiven som mottagare. Bestämmelsen bör även omfatta handlingar som upprättas på servicekontoren för någon av de aktuella myndigheter- nas räkning. 4.5.1Användning av elektroniskt överförda personuppgifter på servicekontoren Enligt nuvarande ordning har servicehandläggarna på servicekon- toren tillgång till flera, automatiserade system med personuppgifter som hör till , och Skatte- verket. Vilka system detta gäller anges i servicekontorens gemen- samma rutindokument. Servicehandläggarna, som är anställda av antingen eller , knyts som anförts tidigare var och en, till de andra berörda myndigheterna genom indi- viduella uppdragsavtal och anses därigenom fullgöra uppgifter för myndigheten i fråga. Rättslig grund för tillgång till registren anses därmed finnas. Det saknas särskilda författningsbestämmelser beträff- ande tillgången till personuppgifterna i anledning av verksamheten på servicekontoren. Med den föreslagna ordningen kommer det att vara personal på Statens servicecenter som får tillgång till verksamhetsregister hos Arbetsförmedlingen, , re- spektive . Ytterligare myndigheter kan dessutom till- komma. Enligt vårt förslag i kapitel 3 ska ärendehanteringen även fortsättningsvis ske i dessa myndigheters namn. De ansvarar för ärendehanteringen. Uppdragsavtal ska träffas med var och en av de servicehandläggare som är anställda av Statens servicecenter. Frågan är dock vad det får för betydelse att tillgång till uppgifter ges på detta sätt till en verksamhet som bedrivs av en myndighet som inte utför några egna ärenden på servicekontoren utan är en form av uppdragstagare åt andra myndigheter. Är det tillräckligt att grunda sådan tillgång till registren, vilket skett, på de nämnda upp- dragsavtalen mellan respektive myndighet och en anställd på en annan myndighet, eller finns behov av författningsändringar som ger Statens servicecenter rätt till s.k. direktåtkomst? En genomgång behöver därför ske av vad som avses med direkt- åtkomst, vilka överväganden som bör göras samt om, och i så fall hur, en författningsreglering ska utformas. 4.5.2Vad avses med begreppen direktåtkomst respektive utlämnande på medium för automatiserad behandling? Elektronisk överföring av uppgifter mellan myndigheter sker i form av direktåtkomst eller genom utlämnande på medium för automati- serad behandling. Någon legaldefinition av dessa begrepp finns inte. Innebörden av begreppen har varierat och beroende på i vilken registerförfattning begreppen förekommer. Direktåtkomst har ansetts vara en integritetskänsligare form av utlämnande som kräver lagstiftningsåtgärder som uppväger riskerna för den person- liga integriteten. Med direktåtkomst har angetts att den som använder registret på egen hand kan söka i detta och få svar på frågor, dock utan att själv kunna bearbeta eller på annat sätt påverka innehållet, samt att upp- gifter i registret på det beskrivna sättet lämnas ut utan att den ansvariga myndigheten i det enskilda fallet har kontroll över vilka uppgifter som lämnas ut.19 Det utmärkande med direktåtkomst har ansetts vara att den sker snabbt och att en sekretessprövning görs när åtkomsten upprättas och inte varje gång en utomstående efter eget val tar del av en uppgift. Utlämnande på medium för auto- matiserad behandling anses kunna ske via nätverk. Det utmärkande för sådant utlämnande har ansetts vara att den ansvariga myndig- heten tar ställning till vilka uppgifter som ska lämnas ut och då gör sekretessprövningen. HFD prövade i rättsfallet 2015 ref. 61 vad som avses med direkt- åtkomst enligt socialförsäkringsbalken (2010:110). Frågan i målet var om socialnämndens tillgång till uppgifter i socialförsäkrings- balken genom datasystemet LEFI Online var att anse som direkt- åtkomst i socialförsäkringsbalkens mening. Datainspektionen ansåg att så var fallet och hade förelagt att upphöra med att ge socialnämnden åtkomst till uppgifterna till dess en försäkran som avses i 114 kap. 22 § socialförsäkringsbalken hade hämtats in. ansåg inte att det var fråga om direktåtkomst utan anförde att LEFI Online var ett system som innebar att uppgifter lämnas ut på medium. Som grund för sin inställning anfördes bl.a. att kassan hade full kontroll över vilka uppgifter som lämnas ut och 2002/03:135, Behandling av personuppgifter inom socialförsäkringens administration, s. 88. att det skedde en automatiserad prövning i varje enskilt fall innan uppgifterna lämnades ut. HFD ansåg att beskrivningarna i olika förarbeten av begreppen direktåtkomst och utlämnande på medium för automatiserad be- handling inte gav några tydliga hållpunkter för hur begreppen ska förstås när det gäller helt automatiserade system för utbyte av upp- gifter mellan myndigheter. I det aktuella fallet skickade socialnämnden en frågefil avseende en person i taget som innehöll personnummer och efterfrågade förmåner och fick automatiskt en svarsfil från som visade de efterfrågade uppgifterna. I kassans system gjordes innan svars- filen skickades automatiskt en behörighetskontroll av att det var en socialnämnd som frågade och en sekretesskontroll. HFD ansåg att den automatiserade prövningen som gjorde enbart var av formell art och att den enligt domstolens mening inte kunde ligga till grund för att ange en skiljelinje mellan direktåtkomst och utlämnande på medium för automatiserad behandling. I stället sökte HFD ledning i 2 kap. 3 § TF om att en upptagning anses förvarad hos myndighet om upptagningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas. De allmänna handlingar hos en myndighet som en annan myndighet genom direktåtkomst får tillgång till utgör allmänna handlingar även hos denna myndighet (prop. 2002/03:135 s. 90). Avgörandet var alltså enligt domstolen om upptagningen kunde anses förvarad hos socialnämnderna i TF:s mening. Enligt HFD kunde socialnämnderna inte på egen hand söka information i socialförsäkringsdatabasen, utan ett utlämnande genom LEFI Online förutsatte att Försäkrings- kassan reagerade på en begäran om att de efterfrågade uppgifterna skulle lämnas ut. fick därigenom anses förfoga över frågan om och i så fall vilka uppgifter som skulle lämnas ut. Någon sådan teknisk tillgång till upptagningar som avses i 2 kap. 3 § andra stycket TF kunde socialnämnderna således inte anses ha och det var därför inte fråga om direktåtkomst enligt socialförsäkrings- balken. 4.5.3Integritetsrisker och integritetsskydd vid direktåtkomst Direktåtkomst innebär rättsligt sett att gränsen mellan de uppgifts- lämnande myndigheterna i viss omfattning tas bort, vilket inte är konsekvensen av annat elektroniskt utlämnande. Hur den mottag- ande myndigheten väljer att använda direktåtkomsten har den ut- lämnande myndigheten inte någon befogenhet att påverka, eftersom de handlingar som omfattas av åtkomsten redan har lämnats ut. Korresponderande sekretessfrågor måste därför vara lösta på för- hand liksom behov av sökbegränsningar hos den mottagande myn- digheten, vilket kan medföra krav på lagstiftningsåtgärder. Regeringen har uttalat att när det övervägs om bestämmelser om utökat informationsutbyte bör införas måste de samhällsintressen som talar för att införa sådana bestämmelser vägas mot de integri- tetsskäl som talar däremot. Ett omfattande elektroniskt utlämnande av personuppgifter innebär vidare att uppgifter får en större sprid- ning. Det ger också möjligheter för mottagaren att t.ex. samköra den med sina egna register. Uppgifter som samlas tillsammans med andra uppgifter kan skapa en totalbild av en människas enskilda förhåll- anden och leda till att statens kännedom om personens privata för- hållanden ökar, vilket kan innebära intrång i den enskildes personliga integritet.20 Frågan om elektroniskt informationsutbyte mellan myndigheter har varit föremål för flera olika utredningar som har behandlat de avvägningar som behöver göras vid ett utökat elektroniskt uppgifts- lämnande. I dessa sammanhang har bl.a. framhållits att skyddet för den personliga integriteten måste vägas mot de viktiga allmän- intressen som kan motivera ett utökat informationsutbyte, såsom att informationsutbytet kan leda till en ökad effektivitet hos myndig- heter, ge den enskilde bättre service och behövas för att genom bättre kontrollmöjligheter undvika att välfärdssystemen undergrävs av bidragsbrott och felaktiga utbetalningar.21 Regeringen har i tidigare lagstiftningsärenden, som gällde direkt- åtkomst till register hos , uttalat att det generellt kan sägas att möjligheten till direktåtkomst ökar riskerna för intrång i den personliga integriteten. Detta eftersom det typiskt sett innebär 2016/17:58, Uppgifter på individnivå i arbetsgivardeklarationen, s. 124. 2016/17:58, Uppgifter på individnivå i arbetsgivardeklarationen, s. 124. att uppgifter blir tillgängliga för fler personer och att den utläm- nande myndighetens möjligheter att kontrollera användningen av uppgifterna minskar. konstaterade regeringen att flera myndigheter deltar i elektroniska utbyten med och att det har ansetts vara förenligt med kraven på skydd mot oacceptabla intrång i den personliga integriteteten att tillåta dessa utbyten. Enligt sekretessbrytande bestämmelser ska t.ex. lämna ut vissa uppgifter från beskattningsdatabasen till i den utsträckning det behövs bl.a. för beräkning och kontroll av sjuk- penninggrundande inkomst eller bostadsbidrag.22 Det avgörande från HFD som redogjorts för (HFD 2015 ref. 61) kan tolkas så att den tekniska utformningen av en myndig- hets system för utlämnande av uppgifter kan bli avgörande för om utlämnandet ska anses som direktåtkomst eller som utlämnande på medium för automatiserad behandling. Regeringen har tidigare uttalat att den lagstiftning som införs bör vara teknikneutral och flexibel. Den bör enligt regeringen utformas på ett sådant sätt att den inte behöver förändras i takt med den tekniska utvecklingen och myndigheternas behov av att behandla personuppgifter.23 4.5.4Bestämmelser om direktåtkomst införs Utredningens förslag: Statens servicecenter ska medges direkt- åtkomst till vissa uppgifter i flera automatiserade register hos de myndigheter vars service utförs, om uppgifterna behövs vid genomförande av uppdrag enligt lagen (2004:543) om samtjänst vid medborgarkontor och förordningen (2009:315) om samtjänst vid medborgarkontor. När bestämmelser som ger ett utökat informationsutbyte övervägs, måste de samhällsintressen som talar för att införa sådana bestäm- melser vägas mot de integritetsskäl som talar emot. I tidigare utred- ningar har framhållits att skyddet för den personliga integriteten måste vägas mot de viktiga allmänintressen som kan motivera ett utökat informationsutbyte, t.ex. att det kan leda till ökad effektivitet 2016/17:58, Uppgifter på individnivå i arbetsgivardeklarationen, s. 125 ff. 2015/16:125, Utlänningsdatalag, s. 95. hos myndigheter och ge den enskilde bättre service och behövas för att erhålla bättre kontrollmöjligheter till skydd för det allmänna välfärdssystemet.24 Syftet med verksamheten på servicekontoren är att medborgarna ska få bra och effektiv service från olika statliga myndigheter. Verksamheten bedrivs och det är egentligen inte fråga om att införa ett mer omfattande utökat informationsutbyte mellan myndigheterna, förutom att det kan bli fråga om flera myndigheter och därför ett utökat informationsutbyte. Servicekontoren har redan tillgång till respektive myndighets register i en relativt stor omfatt- ning. De berörda myndigheterna deltar vidare i elektroniska informa- tionsutbyten genom direktåtkomst med varandra och med flera andra myndigheter. I dessa fall har det ansetts vara förenligt med kraven på skydd mot oacceptabla intrång i den personliga integriteten att tillåta dessa utbyten. Utredningen har redan i delbetänkandet anfört att tillgång till verksamhetssystem är en förutsättning för att servicekontoren ska kunna ge tillräcklig service utifrån enskildas behov av hjälp.25 Service- kontorens tillgång till registren är inte av den art att ett utlämnande förutsätter en reaktion hos registerinnehavaren. Det är rimligt att utgå från att ordningen framöver kommer att vara densamma. Det förefaller alltså som om det med HFD:s synsätt kommer att vara fråga om direktåtkomst om utlämnande av upp- gifter från register ska ske på det sätt som görs . I de samtjänstavtal som ingås samt i kompletterande handlingar anges vilka system som personalen som tjänstgör på servicekontoren har tillgång till. Genom de tidigare nämnda uppdragsavtalen knyts en servicehandläggare anställd på genom avtal till eller och på så sätt anses det rättsligt möjligt att personen får behörighet till även sistnämnda myndigheters register. För en anställd på gäller mot- svarande beträffande och . Frågan är om uppdragsavtalen utgör tillräcklig grund för att tillgång till registren ska anses ske i den respektive egna myndig- hetens verksamhet eller om en reglering av direktåtkomst för Statens 2016/17:58, Uppgifter på individnivå i arbetsgivardeklarationen, s. 125 f. 25SOU 2017:109, Servicekontor i ny regim, s. 14. servicecenter bör ske. I likhet med dagens ordning kommer upp- gifter att hanteras av tjänstemän med uppdragsavtal. Till skillnad mot hur det fungerar kommer tjänstemännen dock vara anställda av en myndighet som bedriver verksamheten på ser- vicekontoren, utan att ha någon egentlig egen handläggande verk- samhet. Det är en form av uppdragstjänst för Statens ser- vicecenter. Utredningens mening är att uppdragsavtalens rättsliga innebörd i detta hänseende eventuellt medför att en reglering om direktåtkomst inte krävs utan att tillgången till personuppgifter, på det sätt som sker , kan grundas enbart på respektive myndighets uppdragsavtal med servicehandläggarna. Utredningen är dock inte helt säker på att det är en rättsligt hållbar lösning. Det saknas möjlighet att inom ramen för utredningens uppdrag närmare utreda frågan om hur uppdragsavtalen ska bedömas i förhållande till direktåtkomst när personalen är anställd av en annan myndighet som driver verksamheten. Med hänsyn till detta, och även med beaktande av vad som framkommit vid underhandskontakter med tjänstemän på berörda myndigheter, anser utredningen att bestämmelser om direktåtkomst ska föreslås.26 I detta sammanhang finns anledning att påpeka att det återigen är fråga om hur uppdragsavtalens rättsliga verkningar ska bedömas, precis som vid bedömningen av behovet av bestämmelser enligt OSL. Uppdragsavtalen har, som framgår av kapitel 3, använts men dess rättsverkningar har inte varit föremål för pröv- ning i någon större utsträckning enligt vad utredningen har funnit. Än mindre kan rättsverkningarna av dessa avtal säkert bedömas när verksamheten ska bedrivas av en myndighet som inte själv har någon ärendehantering. Det kommer inte längre vara fråga om myndig- heter som bistår varandra på det sätt som sker enligt nuvarande ordning. Vid en eventuell uppföljning framöver kan uppdragsavtalens rättsliga status och eventuella alternativ till dessa avtal vara en fråga som enligt utredningens mening bör utredas närmare. 26 Se även vad uttalade om att registerförfattningar är ett komplext rättsområde, SOU 2015:39, Myndighetsdatalag, s. 83 ff. 4.5.5Utformning av bestämmelser om direktåtkomst Bestämmelser om direktåtkomst brukar formuleras så att en myn- dighet har rätt att få ha direktåtkomst till vissa uppgifter hos en annan myndighet. En sådan bestämmelse innebär dock bara att lagstiftaren eller regeringen ger den utlämnande myndigheten rätt att bevilja den mottagande myndigheten direktåtkomst till de nämnda uppgifterna om den förstnämnda myndigheten bedömer att säker- hetsfrågor m.m. kan lösas på ett tillfredsställande sätt.27 I begreppet direktåtkomst ligger att den utlämnande myndig- heten i det enskilda fallet inte har någon kontroll över vilka uppgifter mottagaren vid ett visst tillfälle tar del av. Den myndighet som lämnar ut uppgifter fattar således inte beslut om utlämnande i varje enskilt fall. Prövningen av om ett utlämnande är förenligt med OSL måste därför ske redan då uppgifterna görs tillgängliga genom direktåtkomst, oavsett om någon mottagare tar del av dem. En bestämmelse om direktåtkomst anses inte ha någon sekretessbrytande verkan (se t.ex. prop. 2004/05:164 s. 83). Det be- ror på att bestämmelser om direktåtkomst bara tar sikte på formen för utlämnande. En förutsättning för att direktåtkomst ska kunna tillåtas är därför att åtkomsten antingen avser offentliga uppgifter eller den avser sådana sekretessbelagda uppgifter som enligt lag eller förordning får lämnas ut till den som har direktåtkomst.28 Om avsikten är att en myndighet ska få ha direktåtkomst till uppgifter som omfattas av sekretess hos en annan myndighet måste bestämmelsen om direktåtkomst därför kompletteras med en sekre- tessbrytande bestämmelse, som anger i vilken mån sekretessbelagda uppgifter överhuvudtaget får lämnas från den ena myndigheten till den andra. Av 10 kap. 28 § OSL följer att sekretess inte hindrar att uppgift lämnas till annan myndighet, om uppgiftsskyldighet framgår av lag eller förordning. Behövliga sekretessbrytande bestämmelser kan därför formuleras som en uppgiftsskyldighet för den uppgifts- lämnande myndigheten (se prop. 2016/17:58, s. 126). I andra lagstift- ningssammanhang finns dock exempel på att de sekretessbrytande bestämmelserna formulerats som en rätt för mottagande myndighet att ta del av uppgifter (se prop. 2015/16:65, s. 93: ”formuleras ofta som en rätt för mottagande myndighet”). 27Se t.ex. prop. 2004/05:164, brottsbekämpning – Effektivare uppgiftsbehandling, s. 83. 2016/17:58, Uppgifter på individnivå i arbetsgivardeklarationen, s. 112 f. Om en myndighet har rätt att genom direktåtkomst ta del av vissa typer av personuppgifter hos en annan myndighet beträffande per- soner som är aktuella i ärenden hos den mottagande myndigheten, måste den sistnämnda myndigheten normalt, rent tekniskt, ha möjlighet att ta del av sådana uppgifter beträffande alla personer som är aktuella hos den utlämnande myndigheten. Det beror på att den mottagande myndigheten inte kan veta i förväg vilka personer som kan bli aktuella i ärenden hos myndigheten (se t.ex. prop. 2010/11:78 s. 14). De sekretessbrytande regler som ska möjliggöra ett uppgifts- utbyte mellan två myndigheter genom direktåtkomst måste därför omfatta alla uppgifter som den utlämnande myndigheten rent tek- niskt gör tillgängliga för den mottagande myndigheten. De sekre- tessbrytande reglerna kan därför oftast inte begränsas till de upp- gifter som handläggare hos den mottagande myndigheten i konkreta fall har rätt att ta del av enligt bestämmelsen om direktåtkomst och enligt ändamålsbestämmelserna iden mottagande myndighetens regis- terförfattning (se t.ex. prop. 2010/11:78 s. 14 f.). Sekretessbrytande bestämmelser har därför ofta ett relativt omfattande tillämpnings- område.