sou · H9B357 · 2021-06-28 00:00:00 — Vid sådant förfarande är det den utlämnande myndigheten som rättsligt förfogar över frå- gan om och i så fall vilka uppgifter som ska lämnas ut genom att sändas över till den mottagande myndigheten. Utlämnandet skiljer sig alltså på detta sätt från direktåtkomst.6 Vid ett utlämnande på medium för automatiserad behandling får användaren fråga efter uppgiften som hämtas av utlämnaren och ges sedan till användaren. Det kan ske genom ett automatiserat förfarande. Vid ett utlämnande på medium för automatiserad behandling finns en möjlighet för den utlämnande parten att stoppa utlämnandet i det enskilda fallet. Även den möjlig- heten kan vara en del av det automatiserade förfarandet. Det är vanligt att det i registerlagstiftning regleras i vilka fall uppgifter ur ett register får lämnas ut till andra myndigheter eller till enskilda med hjälp automatiserad behandling. För myndigheter finns vanligtvis särskilda författningar som reglerar vilka automatiserade register eller andra personuppgiftssamlingar som får föras av myn- digheten eller annars på vilket sätt personuppgifter får behandlas (för folkbokföringsverksamheten gäller t.ex. lagen [2001:182] och förord- ningen [2001:589] om behandling av personuppgifter i folkbokföringsverksamhet, härefter folkbokföringsdatabaslagen och folkbokföringsdatabasförordningen). I dessa författningar regleras även ändamålen med behandlingen. En myndighet som tar emot uppgifter från andra myndigheter har vanligen inte rättsligt stöd för att behandla uppgifterna annat än i enlighet med de för myndigheten gällande för- fattningarna. Någon risk för att mottagande myndigheter ska behandla personuppgifter som hämtas in på medium för automatiserad behand- ling på ett sätt som inte är avsett har inte ansetts finnas. Om en myn- dighet får eller ska lämna ut uppgifter till annan myndighet bör det således vara upp till myndigheterna att avgöra på vilket sätt det ska göras. Någon reglering av möjligheterna för en myndighet att lämna ut uppgifter till andra myndigheter på medium för automatiserad behandling behövs inte.7 Trots detta är det dock inte ovanligt att myn- digheternas registerförfattningar innehåller bestämmelser som begrän- sar utlämnande på medium för automatiserad behandling (t.ex. register- 6Myndighetsdatalag (SOU 2015:39), s. 141 f. och jfr HFD 2015 ref. 61. 2000/01:33, Behandling av personuppgifter inom skatt, tull och exekution, s. 111 f. författningarna för () och ). Om en myndighet har en skyldighet att lämna ut vissa uppgifter enligt lag eller förordning hindrar sekretess inte att uppgifterna lämnas till en annan myndighet (10 kap. 28 § OSL). Fullgörande av sådan upp- giftsskyldighet kan alltså, utan särskild författningsreglering, ske på medium för automatiserad behandling. Till skillnad från vid direktåt- komst blir inte någon annan information än den som faktiskt lämnas över till den mottagande myndigheten allmän handling hos den mot- tagande myndigheten. 8.2Informationsutbytet mellan myndigheter har utökats 8.2.1Migrationsverket har fått tillgång till fler uppgifter via medium för automatiserad behandling beslut om uppehållstillstånd har stor betydelse för efterföljande bedömning av om den enskilde ska bli folk- bokförd. identitetsbedömningar blir ofta utslags- givande för identitetsbedömning i samband med att per- sonen folkbokförs. En höjd kvalitet i beslut inför uppehållstillstånd kan därför också medföra en höjd kvalitet i Skatte- verkets senare beslut om folkbokföring. Det har i tidigare utredningar föreslagits att ska ges direktåtkomst till vissa särskilt angivna uppgifter hos Skattever- ket (beskattningsdatabasen), , Försäkrings- kassan och som behövs för handläggning av ansökningar om uppehållstillstånd för att bedriva näringsverksamhet eller arbetstillstånd.8 Regeringen beslutade, efter begäran från , om förord- ningsändringar som syftar till att underlätta ett elektroniskt utlämnande av uppgifter från , och Pensionsmyn- digheten till i olika ärenden om uppehållstillstånd för arbete. Myndigheterna var överens om att informationsutbytet skulle ske genom att uppgifter lämnas på medium för automatiserad behand- 8Se t.ex. Personuppgiftsbehandling på utlännings- och medborgarskapsområdet (SOU 2015:73) och Kvalificerad välfärdsbrottslighet – förebygga, förhindra, upptäcka och beivra (SOU 2017:3) s. 315–318. För att detta skulle kunna ske har regeringen beslutat om sekre- tessbrytande förordningsbestämmelser som omfattar uppgifterna. Änd- ringarna trädde i kraft (3 § förordningen [1980:995] om skyldighet för och att lämna uppgifter till andra myndigheter9 och 8 a § förordningen [2001:588] om behandling av uppgifter i beskattnings- verksamhet, härefter skattedatabasförordningen).10 8.2.2Informationsutbytet inom har utökats ska vissa uppgifter lämnas ut från beskatt- ningsdatabasen på begäran av folkbokföringsverksam- het. Uppgifter ska endast lämnas ut i den utsträckning det behövs för handläggning av folkbokföringsärenden eller kontroll av uppgif- ter i folkbokföringsdatabasen. Uppgiftslämnandet sker på medium för automatiserad behandling och möjliggörs av en ny bestämmelse om uppgiftsskyldighet, 5 c §, i skattedatabasförordningen.11 Bestämmelsen infördes efter att lämnat förslag om att folkbokföringsverksamheten skulle få tillgång till upp- gifterna genom direktåtkomst.12 Efter att förslaget remissbehandlats inkom med en hemställan om författningsändring för att möjliggöra ett informationsutbyte genom medium för automati- serad behandling i stället för genom direktåtkomst.13 I sak skiljde sig detta författningsförslag i form av en sekretessbrytande bestämmelse på förordningsnivå endast marginellt mot förslaget i ovan nämnda redan remissbehandlade betänkande. har även vissa ömsesidiga uppgiftsskyldig- heter införts mellan olika verksamhetsgrenar. Enligt de nya bestämmelserna i 7–9 §§ lagen (1997:1024) om brotts- bekämpande verksamhet har verksamheter beskattning, folkbokföring och id-kort en skyldighet att lämna uppgifter till den 10Se SFS 2020:49 och jämför förslaget utlänningsdatautredning (SOU 2015:73), s. 64 som anslöt sig till (SOU 2017:37), s. 320. 12Kvalificerad välfärdsbrottslighet – förebygga, förhindra, upptäcka och beivra (SOU 2017:37) s. 13Skatteverkets promemoria Utlämnande av uppgifter från beskattningsdatabasen till folkbok- föringsverksamheten, , Fi2020/02020. brottsbekämpande verksamheten som bedrivs inom myndigheten.14 Uppgifter ska lämnas om de kan antas ha samband med viss misstänkt brottslig verksamhet och innefattar brott för vilket det är föreskrivet fängelse eller sker systematiskt. De nya bestämmel- serna innebär också att information ska lämnas i den andra riktningen, dvs. från den brottsbekämpande verksamheten till t.ex. folkbokför- ingsverksamheten, när uppgiften kan antas ha särskild betydelse för ett ärende i den mottagande verksamheten. 8.3Behovet av utökade uppgiftsskyldigheter Utredningens bedömning: har ett behov av att kunna hämta in uppgifter från andra myndigheter för handläggning av folkbokföringsärenden eller kontroll av uppgifter i folkbokförings- databasen på ett enklare sätt. En orsak till att uppgifter i register inte alltid speglar verkliga förhål- landen är att olika beslut fattas på beslutsunderlag som inte är full- ständiga eller korrekta. Beslut kan fattas på felaktigt eller ofullstän- digt underlag trots att en annan myndighet har tillgång till korrekt information. Beträffande folkbokföringen kan detta leda till att felak- tiga eller ofullständiga uppgifter förs in i folkbokföringsdatabasen. En viktig åtgärd för att förbättra detta är att ge bättre förutsättningar för att dela information mellan olika myndigheter. ansvarar för att uppgifterna i folkbokföringen ska spegla befolkningens bosättning, identitet och familjerättsliga förhål- landen så att olika samhällsfunktioner får ett korrekt underlag för be- slut och åtgärder. Det är viktigt att registrerade uppgifter speglar verk- liga förhållanden. För att på ett effektivt sätt ska kunna uppfylla sitt ansvar i den delen krävs att myndigheten får del av upp- gifter från andra myndigheter. är informationsinhämtning från andra myndigheter ett viktigt verktyg i hantering av folkbokföringsärenden. Exempelvis kan i bosättningsutredningar behöva hämta in information från andra myndigheter. I vissa fall hämtar Skattever- ket information med stöd av författningsreglerade uppgiftsskyldig- 14Se SFS 2020:376 och prop. 2019/20:166, Extra ändringsbudget – Fler kraftfulla åtgärder med anledning av coronaviruset. heter medan informationsinhämtningen i andra fall sker utan uttryck- ligt författningsstöd (t.ex. med stöd av 6 kap. 5 § eller 10 kap. 27 § OSL). I de flesta fall kan få ut den informa- tion som begärs från andra myndigheter, men det tar ofta . I de fall begär ut sekretessreglerad information från andra myndigheter utan stöd av en uppgiftsskyldighet får begäran handläg- gas manuellt och utlämnandet ske efter sedvanlig sekretessprövning eller med stöd av sekretessbrytande bestämmelser, som t.ex. general- klausulen i 10 kap. 27 § OSL. Detta leder ofta till långa handlägg- ningstider som i sin tur kan få stora konsekvenser på andra plan. Den enskilde får vänta väldigt länge på beslut, kan eventuellt identitetsmissbruk och potentiell brottslig aktivitet som har sin grund i felaktiga uppgifter i folkbokföringsdatabasen fortgå. Hanteringen innebär också merkostnader för folkbokföringsverksam- het i form av ökade kontakter med den enskilde och fördröjd ärende- hantering. För de myndigheter som lämnar ut information innebär hanteringen också stora kostnader. En möjlighet till en snabb och effektiv informationsinhämtning avseende de uppgifter som vanligtvis efterfrågar hos andra myndigheter i folkbokföringsärenden är avgörande för att effek- tivisera handläggningen och på så sätt minska antalet felaktiga uppgif- ter i folkbokföringsdatabasen. har ett löpande behov av uppgifter från ett antal aktörer. Adress- och kontaktuppgifter är enligt den huvudsakliga uppgiften som eftersöks men myndig- heten är ofta i behov av mer information än så för att kunna utföra sitt uppdrag. Många uppgifter hämtas regelmässigt in från andra myndigheter. Ett sådant rutinmässigt uppgiftsutbyte ska i regel vara författnings- reglerat och inte ske med stöd av generalklausulen i 10 kap. 27 § OSL.15 En reglerad uppgiftsskyldighet skapar också förutsebarhet och tyd- lighet i fråga om vilka uppgifter som regelmässigt lämnas vidare till . På så sätt kan informationsutbytet också begränsas till uppgifter som är nödvändiga för att tillgodose behov. Det finns därför anledning att överväga utökade uppgiftsskyldigheter så att information kan lämnas till från andra myndigheter på ett enklare och mer effektivt sätt än . 1979/80:2 med förslag till sekretesslag m.m., s. 327. För att det ska vara möjligt att tillgodose behov av effektiv informationsinhämtning från andra myndigheter behöver fler sekretessbrytande uppgiftsskyldigheter införas. Detta gäller för de flesta uppgifter som har behov av att hämta in för hand- läggningen av folkbokföringsärenden. Samtliga uppgifter som föreslås omfattas av uppgiftsskyldighet är inte sekretessbelagda. En uppgifts- skyldighet gör det dock möjligt för de överlämnande myndigheterna att utföra den behandling av personuppgifter som är nödvändig. I myn- digheters registerförfattningar är det nämligen vanligt att det finns s.k. sekundära ändamål som ger stöd för att behandla uppgifter när det är nödvändigt för att tillhandahålla information till en annan myn- dighet om uppgifterna lämnas med stöd av lag eller förordning. Samtliga uppgifter som har behov av att hämta in behöver dock inte omfattas av uppgiftsskyldigheter för att Skattever- ket på ett effektivt sätt ska kunna ta del av dem. Det gäller t.ex. upp- gifter i offentliga register vars ändamålsbestämmelser ger stöd för utläm- nande till folkbokföringsverksamhet. Som exempel kan nämnas fastighetsregistret och aktiebolagsregistret.16 Fastighetsregist- ret och aktiebolagsregistret ska ge offentlighet åt den information som ingår i registret, se 1 § lagen (2000:224) om fastighetsregister och 2 kap. 1 § aktiebolagsförordningen (2005:559). I fråga om person- uppgifter ska registren ha till ändamål att tillhandahålla uppgifter för bl.a. verksamhet för vilken staten ansvarar och som för att kunna ut- föras förutsätter tillgång till fastighetsanknuten respektive företags- anknuten information (2 § 1 b lagen om fastighetsregister och 2 kap. 1 § andra stycket 5 b aktiebolagsförordningen). I de fall folkbokför- ingsverksamheten har behov av tillgång till uppgifter ur registren bör det därför enligt vår bedömning redan finnas stöd för att uppgifterna lämnas ut. I de nämnda fallen bedömer vi att nuvarande reglering inte hind- rar att på ett effektivt sätt kan få del av uppgifterna på medium för automatiserad behandling även i avsaknad av uttryckliga uppgiftsskyldigheter. Dessa exempel är givetvis inte heltäckande utan 16I fastighetsregistret gäller dock sekretess för uppgift om en enskilds personliga förhållanden, om det av särskild anledning kan antas att den enskilde eller någon närstående till honom eller henne lider men om uppgiften röjs, se 6 § offentlighets- och sekretessförordningen. syftar endast till att ge exempel på sådana uppgifter som inom ramen för denna utredning efterfrågat utökade uppgiftsskyl- digheter för som vi bedömer att de redan kan ta del av. Det ska också framhållas att det knappast låter sig göras att föreslå heltäckande uppgiftsskyldigheter för alla uppgifter som kan ha behov av vid handläggning av ett folkbokföringsärende. Behovet i varje enskilt ärende kan givetvis variera. Syftet med förslagen i detta kapitel är att underlätta informationsutbytet i de fall där regelmässigt har behov av att ta del av uppgifter från andra myndig- heter. har efterfrågat ett effektivare informationsutbyte med bl.a. , , , , och Arbetsförmedlingen. Det är be- träffande dessa myndigheter vi också föreslår uppgiftsskyldigheter. De närmare övervägandena kring vilka uppgifter som bör omfattas av utvidgade uppgiftsskyldigheter följer i kommande avsnitt. Utgångs- punkten för vilka uppgifter som ska omfattas har varit det behov av uppgifter som framfört till oss. Utredningens bedömning: Uppgiftsskyldigheten ska begränsas till uppgifter som behövs för handläggning av folkbokföringsären- den eller kontroll av uppgifter i folkbokföringsdatabasen. Att i detalj reglera vilka uppgifter behöver ta del av låter sig som nämnts inte göras utan vidare. Behovet kan variera mellan olika ärenden men också . Vissa uppgiftsskyldigheter som vi före- slår behöver givetvis inte användas i alla ärenden. Det är viktigt att inte hämtar in fler uppgifter än vad som är nödvändigt i det enskilda fallet. Detta följer också av principen om uppgiftsmini- mering i dataskyddsförordningen (artikel 5.1 c). En sådan begränsning finns t.ex. när det gäller uppgifter som på begäran av folkbokföringsverksamheten ska lämnas ut från beskattningsverksam- heten (5 c § skattedatabasförordningen). I de fallen ska uppgifter endast lämnas ut i den utsträckning det behövs för handläggning av folkbokföringsärenden eller kontroll av uppgifter i folkbokförings- databasen. Bestämmelserna om uppgiftsskyldigheter som vi föreslår i följande avsnitt bör också begränsas på ett sådant sätt. finns det också redan med stöd av befintliga ändamålsbestämmelser möjlighet för att behandla de inhämtade uppgifterna (jfr 1 kap. 4 § folkbokföringsdatabaslagen vari anges bl.a. att uppgif- ter får behandlas för att tillhandahålla information som behövs för handläggning av folkbokföringsärenden). Vissa uppgifter som vi föreslår uppgiftsskyldigheter för ska även kunna lämnas om de behövs i verksamheten med dataanalyser och urval för att upptäcka och förhindra felaktigheter i folkbokföringsdata- basen (se mer om detta i 9 kap.). 8.4.3Uppgifterna bör lämnas på medium för automatiserad behandling Utredningens bedömning: Uppgiftslämnandet bör i regel ske genom utlämnande på medium för automatiserad behandling. Ett elektroniskt utlämnande av uppgifter kan som tidigare beskrivits ske genom direktåtkomst eller genom utlämnande på medium för automatiserad behandling. Frågan om vilken lösning som ska användas för infor- mationsinhämtning har diskuterats tidigare. I samband med att Väl- färdbrottsutredningen lämnade förslag om att genom direktåtkomst skulle få tillgång till uppgifter från var de båda myndigheterna överens om att utlämnandet borde ske genom att bereddes tillgång till uppgifterna.17 Välfärds- brottsutredningens förslag, som vi återkommer till i avsnitt 8.4.6, har ännu inte lett till författningsändringar. och Migrations- verket anser dock numera att ett utlämnande på medium för automa- tiserad behandling fyller det behov som finns av ett effektivt sätt att hantera informationsutbytet. utvecklar numera alltid sys- tem för utlämnande av uppgifter som utlämnande på medium för auto- matiserad behandling. Om den tekniska lösningen utformas på ett bra sätt kan även utlämnande på medium för automatiserad behandling bli mycket arbets- och resursbesparande. Det kan inte antas leda till nämnvärt 17Se Kvalificerad välfärdsbrottslighet – förebygga, förhindra, upptäcka och beivra (SOU 2017:37), s. 320–332. mycket mer arbete i samband med utlämnandet jämfört med direkt- åtkomst. Ett utlämnande på medium för automatiserad behandling kan också tillgodose behov av uppgifter på ett lika bra sätt som direktåtkomst. Eftersom vid utlämnande på medium för automatiserad behandling, till skillnad från vid direktåt- komst, inte självständigt kan söka andra myndigheters verksamhets- register får ett sådant utlämnande generellt sett anses orsaka ett mindre integritetsintrång. Det innebär också, till skillnad från direktåtkomst, att endast de uppgifter som faktiskt begärs och lämnas ut till Skatte- verket blir allmänna handlingar hos . Den utlämnande myndigheten kan vid utlämnande på medium för automatiserad be- handling också fortfarande i ett enskilt fall stoppa utlämningen av uppgifter. Vi anser mot bakgrund av det anförda att utlämnandet i regel bör ske på medium för automatiserad behandling och inte genom direkt- åtkomst. Någon särskild reglering av möjligheten att lämna ut uppgif- ter till på medium för automatiserad behandling behövs som tidigare konstaterats inte. Vissa myndigheters registerförfattningar innehåller dock bestämmelser som begränsar utlämnande på medium för automatiserad behandling (t.ex. registerförfattningarna för CSN och Arbetsförmedlingen). I dessa fall finns våra överväganden i anslut- ning till uppgiftsskyldigheten som föreslås nedan. Med en bestäm- melse om uppgiftsskyldighet bryts eventuell sekretess (se 10 kap. 28 § OSL) och möjliggör på så sätt att myndigheter lämnar information till på medium för automatiserad behandling. 8.4.4Allmänt om dataskyddsreglering och personuppgiftsbehandling Laglig behandling av personuppgifter enligt dataskyddsförordningen Varje gång någon lämnar ut uppgifter på medium för automatiserad behandling ger det upphov till en sådan personuppgiftsbehandling som omfattas av dataskyddsförordningen. Förslagen om att Skattever- ket ska få del av uppgifter från andra myndigheter ger alltså upphov till sådan personuppgiftsbehandling hos både och den utlämnande myndigheten. Varje personuppgiftsbehandling ska enligt dataskyddsförordningen vila på åtminstone någon av de rättsliga grunder som framgår av arti- kel 6.1 a–f. I annat fall är personuppgiftsbehandlingen inte laglig och får inte utföras. Dataskyddsförordningen kompletteras av dataskydds- lagen och, för folkbokföringsverksamhetens personuppgiftsbehand- ling, av folkbokföringsdatabaslagen och folkbokföringsdatabasför- ordningen. För folkbokföringsverksamhetens del är främst artikel 6.1 e av intresse (jfr prop. 2017/18:105, s. 57). Enligt denna artikel ska behand- lingen vara nödvändig för att fullgöra en uppgift av allmänt intresse eller som ett led i den personuppgiftsskyldiges myndighetsutövning. För de utlämnande myndigheternas del blir främst artikel 6.1 c aktuell. Enligt denna artikel ska behandlingen vara nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Begreppet nödvändig i artikel 6 dataskyddsförordningen har i detta sammanhang en mindre strikt betydelse än vad som normalt kan anses ligga i ordet. En behandling ska ses som nödvändig t.ex. om den bidrar till att effektivisera tillämpningen av relevanta bestämmelser. Även om exempelvis en uppgift av allmänt intresse skulle kunna utfö- ras utan att personuppgifter behandlas på visst sätt, kan behandlingen anses vara nödvändig och därmed tillåten enligt artikel 6, om behand- lingen leder till effektivitetsvinster.18 Det kan vidare mer eller mindre regelmässigt anses vara nödvändigt att använda tekniska hjälpmedel och därmed behandla personuppgifter på automatisk väg, eftersom en informationshantering inte utgör ett realistiskt alternativ för vare sig myndigheter eller företag.19 I artikel 6.3 första stycket i dataskyddsförordningen anges vidare att den grund för behandlingen som avses i artikel 6.1 c och e ska fast- ställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. För behandling som är nödvändig för att fullgöra en rättslig förpliktelse (artikel 6.1 c), som ett led i myndighetsutövning eller för att utföra en uppgift av allmänt intresse (artikel 6.1 e) måste det därför även finnas ett annat stöd i rätts- ordningen än det som ges i dataskyddsförordningen.20 I artikel 6.3 andra stycket anges vidare att syftet med behandlingen enligt arti- kel 6.1 c ska fastställas i den rättsliga grunden. 18Se t.ex. prop. 2017/18:105 Ny dataskyddslag, s. 188 f. 19A.a., s. 46 f. 20A.a., s. 49. som sker i myndighetsutövning och för att utföra uppgifter av allmänt intresse (artikel 6.1 e) anges i stället att syftet med behandlingen ska vara nödvändigt för att utföra uppgiften eller myndighetsutövningen. Unionsrätten eller medlemsstaternas nationella rätt ska dessutom upp- fylla ett mål av allmänt intresse och vara proportionell mot det legi- tima mål som eftersträvas. Principer för behandling av personuppgifter enligt dataskyddsförordningen Utöver det grundläggande kravet på att all behandling måste vara lag- lig, i betydelsen att någon av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen är tillämplig, omgärdas varje behandling av personuppgifter också av andra krav. I artikel 5.1 i dataskyddsförord- ningen anges vilka allmänna krav som gäller för all personuppgifts- behandling. Den första principen som läggs fast i artikel 5.1 är att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Vidare anges i artikel 5.1 att person- uppgifterna ska samlas in för särskilda, uttryckligt angivna och berät- tigade ändamål och att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål (ändamålsbegränsning). Ett tydligt angi- vet ändamål är som regel en förutsättning för att man ska kunna bedöma om en viss behandling är laglig, dvs. om den är nödvändig i något av de sammanhang som räknas upp i artikel 6.1 b–f. Vidare ska personuppgifter som behandlas enligt artikel 5.1 bl.a. vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas och inte heller förvaras än vad som är nödvändigt (uppgifts- och lagringsminimering). Andra viktiga utgångspunkter i dataskyddsförordningen är att uppgifterna ska vara effektiva i förhållande till syftet med behandlingen och att integritets- intrånget ska minimeras. I folkbokföringsverksamhet gäller folkbokförings- databaslagen och folkbokföringsdatabasförordningen. Författningarna innehåller bestämmelser som kompletterar dataskyddsförordningen. I 1 kap. 4 § i lagen anges för vilka ändamål uppgifter får behandlas. Uppgifter får bl.a. behandlas för att tillhandahålla information som behövs för handläggning av folkbokföringsärenden.