Myndighetsdatalag

SlutbetÀnkande av Informationshanteringsutredningen

Stockholm 2015

SOU 2015:39

SOU och Ds kan köpas frÄn Fritzes kundtjÀnst.

BestÀllningsadress: Fritzes kundtjÀnst, 106 47 Stockholm

Ordertelefon: 08-598 191 90

E-post: order.fritzes@nj.se

Webbplats: fritzes.se

För remissutsÀndningar av SOU och Ds svarar Fritzes Offentliga Publikationer pÄ uppdrag av Regeringskansliets förvaltningsavdelning.

Svara pĂ„ remiss – hur och varför.

StatsrÄdsberedningen, SB PM 2003:2 (reviderad 2009-05-02)

En kort handledning för dem som ska svara pÄ remiss. HÀftet Àr gratis och kan laddas ner som pdf frÄn eller bestÀllas pÄ regeringen.se/remiss.

Layout: Kommittéservice, Regeringskansliet.

Omslag: Elanders Sverige AB.

Tryck: Elanders Sverige AB, Stockholm 2015.

ISBN 978-91-38-24277-3

ISSN 0375-250X

Till statsrÄdet och chefen för

Justitiedepartementet

Den 6 oktober 2011 bemyndigade regeringen chefen för Justitie- departementet att tillkalla en sÀrskild utredare med uppdrag att se över den s.k. registerlagstiftningen och vissa dÀrmed sammanhÀngande frÄgor. Regeringen beslutade samtidigt om direktiv för utredningen (dir. 2011:11).

Till sÀrskild utredare förordnades frÄn och med den 25 oktober 2011 justitierÄdet Henrik Jermsten.

Utredningen har antagit namnet Informationshanteringsutred- ningen (Ju 2011:11).

I januari 2013 lĂ€mnades delbetĂ€nkandet Överskottsinformation vid direktĂ„tkomst (SOU 2012:90).

Den 6 mars 2014 beslutade regeringen tillÀggsdirektiv med förÀnd- rad inriktning avseende metoden för översynen m.m. (dir. 2014:31). Nya tillÀggsdirektiv om viss förlÀngning av redovisningstiden be- slutades den 20 november 2014 (dir. 2014:147).

Utredaren har bitrÀtts av en sakkunnig, experter och ett sekretariat. Medverkande i den del av uppdraget som redovisas i detta betÀnkande anges pÄ omstÄende sidor.

HÀrmed överlÀmnas slutbetÀnkandet Myndighetsdatalag (SOU 2015:39).

Till betÀnkandet fogas ett sÀrskilt yttrande av experten Per Furberg.

Uppdraget Àr hÀrmed slutfört.

Stockholm i april 2015

Henrik Jermsten

/Elisabet Reimers

Anna Tansjö

Förteckning över sakkunnig, experter och sekreterare som deltagit i utredningsarbetet fr.o.m. januari 2013.

(förordnade fr.o.m. den 16 januari 2012 om inget annat anges)

Sakkunnig

Eva Lenberg, rÀttschef, Utbildningsdepartementet

Experter

Maria Arnell, dÄvarande rÀttssakkunnig, Justitiedepartementet (fr.o.m. 2013-01-12 t.o.m. 2013-07-31)

Malgorzata Drewniak, jurist, LantmÀteriet

Per Furberg, advokat, numera Advokataktiebolaget Per Furberg Anneli Hagdahl, Àmnessakkunnig, NÀringsdepartementet (t.o.m. 2013-11-04)

Per HultengÄrd, chefsjurist, Tidningsutgivarna Torbjörn Hörnfeldt, enhetschef, Riksarkivet

Linn Kempe, förvaltningsjurist, Bolagsverket, (med uppehÄll fr.o.m. 2013-01-12 t.o.m. 2014-09-30)

Hans-Olof Lindblom, chefsjurist, Datainspektionen Elisabet Reimers, kammarrÀttsrÄd, fr.o.m. 2015-02-01

Irene Reuterfors-Mattsson, förbundsjurist, Sveriges Kommuner och Landsting (t.o.m. 2013-12-31)

Svante Nygren, analytiker, Myndigheten för samhÀllsskydd och beredskap

Cecilia Magnusson Sjöberg, professor, Stockholms universitet Nils Sjöblom, rÀttssakkunnig, Justitiedepartementet

(fr.o.m. 2013-11-11)

Kjell-Åke Sjödin, omrĂ„desexpert, Transportstyrelsen

Per Trehörning, ombudsman, Svenska Journalistförbundet Monika Vestin, dÄvarande förvaltningsjurist, Bolagsverket (fr.o.m. 2013-01-12 t.o.m. 2014-09-30)

Mikael Westberg, numera chefsjurist, Pensionsmyndigheten, tidigare verksamhetsomrÄdeschef, FörsÀkringskassan (fr.o.m. 2013-11-11)

Staffan Wikell, förbundsjurist, Sveriges Kommuner och Landsting (fr.o.m. 2014-01-01)

Maria Östgren, rĂ€ttslig expert, Skatteverket

Sekreterare

Katarina Dunnington, dÄvarande kammarrÀttsassessor (t.o.m. 2013-06-30)

Elisabet Reimers, kammarrÀttsrÄd, (fr.o.m. 2013-10-01 t.o.m. 2015-01-31) Anna Tansjö, rÄdman

InnehÄll

Förkortningar m.m. ............................................................

17

Sammanfattning ................................................................

21

1

Författningsförslag......................................................

37

1.1

Förslag till myndighetsdatalag ................................................

37

1.2Förslag till lag om Àndring i offentlighets- och

 

sekretesslagen (2009:400)........................................................

45

2

VĂ„rt uppdrag och arbete..............................................

47

2.1

Uppdraget.................................................................................

47

2.2

Utredningsarbetet....................................................................

49

2.3

SlutbetÀnkandets disposition m.m..........................................

51

ALLMÄN BAKGRUND

 

3

AllmÀnna förutsÀttningar.............................................

55

3.1

It-politik m.m...........................................................................

55

 

3.1.1 InformationssamhÀllet och den offentliga

 

 

 

förvaltningen.................................................................

55

 

3.1.2 Aktuell it-politik och strategi ......................................

56

 

3.1.3

Förvaltningspolitik och e-förvaltning .........................

57

 

3.1.4

E-förvaltning inom EU ................................................

59

3.2

RÀttslig reglering till skydd för personuppgifter ...................

60

 

3.2.1 Internationella Ă„taganden avseende dataskydd ...........

60

 

3.2.2

Nationell reglering........................................................

66

 

 

 

7

InnehÄll

SOU 2015:39

3.3

PÄgÄende reformarbete inom EU ...........................................

72

 

3.3.1

AllmÀnt .........................................................................

72

 

3.3.2

Förslaget till uppgiftsskyddsförordning.....................

73

 

3.3.3

Förhandlingsarbetet .....................................................

80

4

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de............

83

4.1

Bakgrund..................................................................................

83

 

4.1.1

Registerförfattningarna och datalagen........................

83

 

4.1.2

Registerförfattningarna och personuppgiftslagen......

91

4.2

VÄr inventering av registerförfattningarna.............................

94

 

4.2.1

AllmÀnt .........................................................................

94

 

4.2.2

Tre kategorier registerförfattningar............................

96

4.3

En problembeskrivning.........................................................

106

 

4.3.1

Tidigare kritik.............................................................

106

 

4.3.2

NĂ„gra ytterligare iakttagelser ....................................

110

SÄRSKILDA FRÅGOR

 

5

Bör en Ätskillnad mellan olika former av elektroniskt

 

 

utlÀmnande behÄllas? ...............................................

115

5.1Problembild enligt direktiven och utredningens

delbetÀnkande ........................................................................

115

5.1.1

Direktiven...................................................................

115

5.1.2

Utredningens bedömning i delbetÀnkandet .............

115

5.2Nuvarande regler som i allmÀn mening styr

uppgiftsutbyte mellan myndigheter .....................................

116

5.2.1

Samverkan enligt förvaltningslagen...........................

116

5.2.2

Offentlighets- och sekretesslagen.............................

116

5.2.3

Personuppgiftslagen...................................................

120

5.3 Uppgiftsutbyte genom direktÄtkomst .................................

121

5.3.1

Begreppet direktÄtkomst ...........................................

121

5.3.2 Hur regleras en myndighets direktÄtkomst till en

 

 

annan myndighets informationssamlingar?..............

122

8

SOU 2015:39

InnehÄll

5.4Uppgiftsutbyte genom utlÀmnande pÄ medium för

 

automatiserad behandling......................................................

124

 

5.4.1

Begreppet ....................................................................

124

 

5.4.2 Hur regleras utlÀmnande pÄ medium för

 

 

 

automatiserad behandling?.........................................

126

5.5

Den tekniska utvecklingen ....................................................

127

 

5.5.1 Tidigare uttalanden om den tekniska

 

 

 

utvecklingens betydelse för begreppens innebörd....

127

 

5.5.2 Uppgiftsutbyte mellan FörsÀkringskassan och

 

 

 

kommunala nÀmnder..................................................

129

 

5.5.3

SjÀlvbetjÀningstjÀnster ................................................

130

5.6

Effektivitetsvinster och integritetsrisker..............................

131

 

5.6.1

Uppdraget ...................................................................

131

 

5.6.2

Effektivitetsvinster .....................................................

132

 

5.6.3

Integritetsrisker ..........................................................

134

5.7

VÄra övervÀganden .................................................................

135

 

5.7.1 Att enbart beskriva direktÄtkomst som en form

 

 

 

av elektroniskt utlÀmnande ger en otillrÀcklig bild

 

 

 

av vad Ätkomsten rÀttsligt innebÀr.............................

136

 

5.7.2 Annat utlÀmnande i elektronisk form ger inte i

 

 

 

sig upphov till att sÀrskilda ÄtgÀrder behöver

 

 

 

vidtas............................................................................

141

 

5.7.3 Vilken betydelse har den tekniska utvecklingen?.....

144

 

5.7.4

Effektivitetsvinster och integritetsrisker ..................

147

 

5.7.5 Principiella och rÀttsliga skÀl samt krav pÄ

 

 

 

förberedande analyser och ÄtgÀrder medför behov

 

 

 

av en fortsatt Ă„tskillnad ..............................................

149

6

Behöver 6 kap. 5 § offentlighets- och sekretesslagen

 

 

justeras för att undvika konflikt med internationella

 

 

Ă„taganden?..............................................................

153

6.1

Bakgrund ................................................................................

153

 

6.1.1

Uppdraget ...................................................................

153

 

6.1.2

Nuvarande bestÀmmelser ...........................................

154

6.2

VÄra övervÀganden .................................................................

159

 

6.2.1 Behovet av en ny bestÀmmelse...................................

159

9

InnehÄll

SOU 2015:39

 

6.2.2 Hur kan 6 kap. 5 § OSL justeras?..............................

163

 

6.2.3 VÄr bedömning ...........................................................

166

EN NY LAG OM MYNDIGHETERS BEHANDLING AV

 

PERSONUPPGIFTER

 

7

En generell reglering – utgĂ„ngspunkter och inledande

 

 

stÀllningstaganden....................................................

173

7.1

AllmÀnna utgÄngspunkter.....................................................

173

 

7.1.1 Uppdraget...................................................................

173

 

7.1.2 FörutsÀttningarna för en generell reglering..............

175

 

7.1.3 En generell reglering?.................................................

176

7.2En generell lag för myndigheters behandling av

 

personuppgifter .....................................................................

182

 

7.2.1 En generell reglering bör ha form av lag...................

182

 

7.2.2 Kort om lagens innehÄll och den lagtekniska

 

 

 

utformningen..............................................................

183

7.3

NormgivningsnivÄ för sÀrreglering ......................................

185

 

7.3.1

Bakgrund.....................................................................

185

 

7.3.2

VÄra övervÀganden .....................................................

198

8

AllmÀnna bestÀmmelser ............................................

217

8.1

En bestÀmmelse om lagens syfte ..........................................

217

 

8.1.1

Bakgrund.....................................................................

217

 

8.1.2 VÄra övervÀganden och förslag..................................

220

8.2

Lagens tillÀmpningsomrÄde ..................................................

222

 

8.2.1 Vilka myndigheter bör omfattas av lagens

 

 

 

tillÀmpningsomrÄde?..................................................

222

 

8.2.2 Vilka verksamheter bör omfattas av lagens

 

 

 

tillÀmpningsomrÄde?..................................................

223

 

8.2.3 Lagens förhÄllande till befintliga

 

 

 

registerförfattningar m.m. .........................................

228

 

8.2.4 Vilka slags behandlingar och uppgifter bör

 

 

 

omfattas av lagens tillÀmpningsomrÄde? ..................

230

10

SOU 2015:39 InnehÄll

8.3

Lagens förhÄllande till personuppgiftslagen

......................... 231

 

8.3.1

Bakgrund .....................................................................

231

 

8.3.2

VÄra övervÀganden och förslag ..................................

236

9

TillÄten behandling ..................................................

243

9.1Hur bestÀms vad som Àr en statlig eller kommunal

myndighets verksamhet? .......................................................

243

9.2 NÀr fÄr myndigheter behandla personuppgifter?.................

248

9.2.1

AllmÀnna dataskyddsrÀttsliga regler..........................

248

9.2.2

Reglering i registerförfattningar ................................

262

9.2.3

SÀrskilt om ÀndamÄlsbestÀmning...............................

263

9.2.4 VÄra övervÀganden och förslag ..................................

275

9.3TillÄten behandling av sÀrskilda kategorier av

 

personuppgifter......................................................................

297

 

9.3.1

KĂ€nsliga personuppgifter ...........................................

297

 

9.3.2 Personuppgifter om lagövertrÀdelser m.m................

309

 

9.3.3

Personnummer och samordningsnummer................

313

9.4

SökbegrÀnsningar...................................................................

321

 

9.4.1

AllmÀnna utgÄngspunkter..........................................

321

 

9.4.2

VÄra övervÀganden och förslag ..................................

323

10

Personuppgiftsansvar och sÀkerhet.............................

331

10.1

Personuppgiftsansvar.............................................................

331

 

10.1.1 AllmÀnna dataskyddsrÀttsliga regler..........................

331

 

10.1.2 AllmÀnt om personuppgiftsansvar och om

 

 

 

personuppgiftsbitrÀden ..............................................

333

 

10.1.3 Reglering i registerförfattningar ................................

345

 

10.1.4 VÄra övervÀganden och förslag ..................................

351

10.2

SĂ€kerhet vid behandling av personuppgifter ........................

365

 

10.2.1 AllmÀnna dataskyddsrÀttsliga regler..........................

365

 

10.2.2 Innebörden av kraven pÄ sÀkerhetsÄtgÀrder m.m.

 

 

 

vid personuppgiftsbehandling....................................

370

 

10.2.3 Reglering i registerförfattningar ................................

373

 

10.2.4 InformationssÀkerhet i ett vidare perspektiv ............

375

 

10.2.5 VÄra övervÀganden och förslag ..................................

381

11

InnehÄll

SOU 2015:39

11

Att lÀmna ut personuppgifter i elektronisk form ...........

389

11.1

Reglering av direktÄtkomst...................................................

389

 

11.1.1 Definition av begreppet direktÄtkomst ....................

389

 

11.1.2 Bör det finnas ett generellt krav pÄ

 

 

författningsstöd för direktÄtkomst? .........................

393

 

11.1.3 En ny regel som generellt bryter sekretess vid

 

 

direktÄtkomst för myndigheter.................................

403

 

11.1.4 Hur bestÀmmelser om direktÄtkomst med

 

 

sekretessbrytande effekt bör utformas .....................

411

 

11.1.5 Finns det anledning att begrÀnsa en myndighets

 

 

möjlighet att medge direktÄtkomst till offentliga

 

 

uppgifter?....................................................................

421

11.2 Behövs sÀrskilda regler för annat elektroniskt

 

 

utlÀmnande Àn direktÄtkomst? .............................................

429

 

11.2.1 Nuvarande bestÀmmelser om elektroniskt

 

 

utlÀmnande m.m.........................................................

429

 

11.2.2 Terminologin rörande annat elektroniskt

 

 

utlÀmnande .................................................................

441

 

11.2.3 Bör utlÀmnande i elektronisk form krÀva stöd i

 

 

lag eller förordning?...................................................

444

 

11.2.4 Behövs en sÀrskild bestÀmmelse som begrÀnsar

 

 

utlÀmnanden i elektronisk form? ..............................

446

11.3Bör sökbegrÀnsningar som tar sikte pÄ en utlÀmnande myndighet Àven gÀlla för en mottagande myndighet som

 

har direktÄtkomst? ................................................................

456

 

11.3.1 Bakgrund.....................................................................

456

 

11.3.2 Vad bör gÀlla i fortsÀttningen? ..................................

461

12

Överföring till tredjeland............................................

469

12.1

AllmÀnna dataskyddsrÀttsliga regler.....................................

469

12.2

Vad avses med begreppet överföring?..................................

478

12.3

Reglering i registerförfattningar...........................................

482

12.4

Sekretess och överföring till tredjeland m.m.......................

483

12.5

VÄra övervÀganden och förslag .............................................

486

12

SOU 2015:39

InnehÄll

13 Information till den registrerade.................................

493

13.1

AllmÀnna dataskyddsrÀttsliga regler.....................................

493

13.2

Reglering i registerförfattningar ...........................................

508

13.3

Andra bestÀmmelser om rÀtt till information pÄ begÀran ...

511

13.4

VÄra övervÀganden och förslag..............................................

513

 

13.4.1 Information som ska lÀmnas sjÀlvmant.....................

513

 

13.4.2 Information som ska lÀmnas efter ansökan ..............

517

 

13.4.3 BegrÀnsningar i informationsplikten pÄ grund av

 

 

sekretess ......................................................................

520

14

Bevarande och gallring .............................................

523

14.1

Arkivlagstiftningen ................................................................

523

14.2

AllmÀnna dataskyddsrÀttsliga regler.....................................

527

14.3

Reglering i registerförfattningar ...........................................

532

14.4

VÄra övervÀganden och förslag..............................................

542

 

14.4.1 AllmÀnna utgÄngspunkter..........................................

542

 

14.4.2 Vilken huvudprincip bör gÀlla?..................................

542

 

14.4.3 Regler om undantag frÄn huvudregeln om

 

 

bevarande.....................................................................

544

 

14.4.4 Utformningen av specifika gallringsbestÀmmelser...

546

 

14.4.5 ÅtgĂ€rder för att skydda bevarade personuppgifter...

547

 

14.4.6 Personuppgifter som ingÄr i handlingar som inte

 

 

Àr allmÀnna ..................................................................

549

15 Skyldighet att vidta ÄtgÀrder dÄ personuppgifter Àr

 

 

oriktiga eller behandlas otillÄtet.................................

551

15.1

AllmÀnna dataskyddsrÀttsliga regler.....................................

551

15.2

Reglering i registerförfattningar ...........................................

556

15.3

Förvaltningslagens bestÀmmelser om rÀttelse m.m. ............

559

13

InnehÄll

SOU 2015:39

15.4

VÄra övervÀganden och förslag .............................................

564

 

15.4.1 Det behövs bestÀmmelser om rÀttelse m.m. av

 

 

personuppgifter som kompletterar reglerna i

 

 

förvaltningslagen ........................................................

564

 

15.4.2 En Ätskillnad bör göras mellan korrigering i form

 

 

av rÀttelse av felaktiga personuppgifter och

 

 

korrigering nÀr uppgifter har behandlats pÄ ett

 

 

otillÄtet sÀtt.................................................................

566

 

15.4.3 En sÀrskild bestÀmmelse om skyldighet att rÀtta

 

 

felaktiga eller ofullstÀndiga personuppgifter ............

568

 

15.4.4 En sÀrskild bestÀmmelse om skyldighet att

 

 

korrigera en behandling som Àr otillÄten ..................

572

16

AnmÀlan till tillsynsmyndigheten m.m. .......................

581

16.1

AllmÀnna dataskyddsrÀttsliga regler.....................................

581

16.2

Reglering i registerförfattningar...........................................

595

16.3

Andra bestÀmmelser om information till allmÀnheten

 

 

m.m.........................................................................................

597

16.4

VÄra övervÀganden och förslag .............................................

600

 

16.4.1 AnmÀlningsskyldighet m.m.......................................

600

 

16.4.2 Personuppgiftsombud................................................

604

 

16.4.3 Upplysningar till allmÀnheten ...................................

606

17

Tillsynsmyndighetens befogenheter i förhÄllande till

 

 

myndigheter.............................................................

607

17.1

AllmÀnna dataskyddsrÀttsliga regler.....................................

607

17.2

Reglering i registerförfattningar...........................................

615

17.3

VÄra övervÀganden och förslag .............................................

618

 

17.3.1 UtgÄngspunkter för tillsynen pÄ

 

 

myndighetsomrÄdet ...................................................

618

 

17.3.2 Befogenheter för att undersöka om

 

 

personuppgifter behandlas pÄ ett tillÄtet sÀtt ...........

622

 

17.3.3 PÄpekanden eller andra ÄtgÀrder som inte Àr

 

 

tvingande i förebyggande syfte..................................

622

14

SOU 2015:39

InnehÄll

 

17.3.4 Tvingande ÄtgÀrder i form av förelÀggande eller

 

 

förbud..........................................................................

624

 

17.3.5 Befogenhet att besluta om vite ..................................

628

 

17.3.6 Befogenhet att ansöka hos allmÀn

 

 

förvaltningsdomstol om utplÄning av uppgifter .......

633

18

Övriga bestĂ€mmelser ................................................

635

18.1

SkadestÄnd och straff.............................................................

635

 

18.1.1 AllmÀnna dataskyddsrÀttsliga regler..........................

635

 

18.1.2 Reglering i registerförfattningar ................................

639

 

18.1.3 AllmÀnna regler om skadestÄnd och straff pÄ

 

 

myndighetsomrÄdet....................................................

641

 

18.1.4 Justitiekanslerns skadereglering pÄ grund av 48 §

 

 

personuppgiftslagen....................................................

643

 

18.1.5 VÄra övervÀganden och förslag ..................................

649

18.2

Bemyndiganden......................................................................

652

 

18.2.1 BestÀmmelser som avviker frÄn eller kompletterar

 

 

den nya lagen...............................................................

652

 

18.2.2 VÄra övervÀganden och förslag ..................................

653

18.3

Överklaganden .......................................................................

655

 

18.3.1 AllmÀnna dataskyddsrÀttsliga regler..........................

655

 

18.3.2 AllmÀnna bestÀmmelser om överklagande av

 

 

myndighetsbeslut........................................................

659

 

18.3.3 VÄra övervÀganden och förslag ..................................

659

19

Konsekvenser...........................................................

665

19.1

Det framtida lagstiftningsarbetet med utgÄngspunkt i en

 

 

ny lag om myndigheters behandling av personuppgifter ....

665

 

19.1.1 AllmÀnna konsekvenser..............................................

665

 

19.1.2 Vissa sÀrskilda konsekvenser......................................

668

19.2

Den nya lagen och ett införande av en unionsrÀttslig

 

 

uppgiftsskyddsförordning.....................................................

672

 

19.2.1 AllmÀnna iakttagelser .................................................

672

 

19.2.2 SĂ€rskilda iakttagelser...................................................

673

 

19.2.3 Konsekvenser för myndighetsverksamhet som

 

 

inte omfattas av förordningen....................................

676

15

InnehÄll

SOU 2015:39

19.3

Enligt kommittéförordning och direktiv.............................

677

20

IkrafttrÀdande och övergÄngsbestÀmmelser .................

681

20.1

Myndighetsdatalagen.............................................................

681

20.2

Lagen om Àndring i offentlighets- och sekretesslagen ........

684

21

Författningskommentar .............................................

687

21.1

Förslaget till myndighetsdatalag...........................................

687

21.2

Förslaget till lag om Àndring i offentlighets- och

 

 

sekretesslagen (2009:400) .....................................................

723

SĂ€rskilt yttrande...............................................................

725

Bilagor

 

 

Bilaga 1

Kommittédirektiv 2011:86.........................................

727

Bilaga 2

Kommittédirektiv 2014:31.........................................

751

Bilaga 3

Kommittédirektiv 2014:147.......................................

757

16

Förkortningar m.m.

Förkortningar

BrB

brottsbalken

 

dataskyddsdirektivet

Europaparlamentets och rÄdets

 

direktiv 95/46/EG av den 24 ok-

 

tober 1995 om skydd för en-

 

skilda personer med avseende pÄ

 

behandling

av

personuppgifter

 

och om det fria flödet av sÄdana

 

uppgifter

 

 

DIFS

Datainspektionens författnings-

 

samling

 

 

dir.

direktiv

 

 

dnr

diarienummer

 

Ds

Departementsserien

EU

Europeiska unionen

EU-domstolen

Europeiska unionens

 

domstol/Europeiska

 

gemenskapernas domstol

EU-fördraget

Fördraget om Europeiska

 

unionen

 

 

Europadomstolen

Europeiska domstolen för de

 

mÀnskliga rÀttigheterna

Europakonventionen

Europeiska konventionen den

 

4 november 1950 angÄende

 

skydd för de mÀnskliga rÀttig-

 

heterna och

de

grundlÀggande

 

friheterna

 

 

f.

följande sida/sidor

FL

förvaltningslagen (1986:223)

 

 

 

17

Förkortningar m.m.

SOU 2015:39

FPL

förvaltningsprocesslagen

 

(1971:291)

HFD

Högsta förvaltningsdomstolens

 

Ă„rsbok

JK

Justitiekanslern

Ju

Justitiedepartementet

JO

Riksdagens ombudsmÀn

KL

kommunallagen (1991:900)

kommissionen

Europeiska kommissionen

KU

konstitutionsutskottet

MSBFS

Myndigheten för samhÀllsskydd

 

och beredskaps författningssam-

 

ling

NJA

Nytt juridiskt arkiv, avdelning I

OSL

offentlighets- och sekretesslagen

 

(2009:400)

prop.

regeringens proposition

PuF

personuppgiftsförordningen

 

(1998:1191)

PuL

personuppgiftslagen (1998:204)

RA-FS

Riksarkivets

 

författningssamling

RB

rÀttegÄngsbalken

RF

regeringsformen

RO

riksdagsordningen

RÅ

RegeringsrÀttens Ärsbok

SekrL

sekretesslagen (1980:100)

SFB

socialförsÀkringsbalken

SkL

skadestÄndslagen (1972:207)

skr.

regeringens skrivelse

SOU

Statens offentliga utredningar

TU

trafikutskottet

TF

tryckfrihetsförordningen

18

SOU 2015:39 Förkortningar m.m.

uppgiftsskyddsförordningen

Europeiska

kommissionens för-

 

slag den 25 januari 2012 till

 

Europaparlamentets

och rÄdets

 

förordning om skydd för en-

 

skilda personer med avseende pÄ

 

behandling

av personuppgifter

 

och om det fria flödet av sÄdana

 

uppgifter

(allmÀn

uppgifts-

 

skyddsförordning)

 

Kortformer för viss citerad litteratur

Hellners/Malmqvist

Trygve Hellners, Bo Malmqvist,

 

Förvaltningslagen.

Med

kom-

 

mentarer, 31 maj 2010, Zeteo

Holmberg m.fl.

Erik Holmberg, Nils Stjernquist,

 

Magnus

Isberg,

Marianne

 

Eliason, Göran Regner, Grund-

 

lagarna. 1 januari 2012, Zeteo

Lenberg m.fl.

Eva Lenberg,

Ulrika

Geijer,

 

Anna Tansjö, Offentlighets- och

 

sekretesslagen.

En

kommentar,

 

2009, 1 juli 2014, Zeteo

 

Öman/Lindblom

Sören

Öman,

Hans-Olof

 

Lindblom, Personuppgiftslagen.

 

En kommentar, uppl. 4:1, 2011

19

Sammanfattning

VĂ„rt uppdrag

I detta slutbetĂ€nkande redovisar vi vĂ„rt övergripande uppdrag att se över den s.k. registerlagstiftningen, ett rĂ€ttsomrĂ„de som omfattar ett stort antal sektors- eller myndighetsspecifika lagar och förord- ningar som kompletterar personuppgiftslagen (1998:204) och inne- hĂ„ller bestĂ€mmelser om statliga och kommunala myndigheters be- handling av personuppgifter. Denna översyn ska ske genom att utreda förutsĂ€ttningarna för att skapa en generell, enhetlig och – helt eller i vart fall delvis – samlad reglering för myndigheternas behandling av personuppgifter (dir. 2014:31). Den brottsbekĂ€mp- ande verksamheten ingĂ„r dock inte i vĂ„rt uppdrag.

Det kan inledningsvis pÄpekas att vÄrt uppdrag i huvudsak Àr ett lagtekniskt reformarbete med inriktning pÄ att göra nu gÀllande rÀtt betrÀffande dataskydd tydligare pÄ myndighetsomrÄdet. NÄgra betydande förÀndringar vad gÀller om och hur myndigheter fÄr be- handla personuppgifter eller omprövningar av tidigare avvÀgningar mellan t.ex. effektivitetsstrÀvanden och skyddet för enskildas per- sonliga integritet ingÄr alltsÄ inte i uppdraget.

Problembild

VÄrt uppdrag har sin bakgrund i att det i olika sammanhang fram- förts kritik mot registerlagstiftningen för att vara ett svÄröverblick- bart och fragmenterat rÀttsomrÄde med bristande enhetlighet i struktur och normtekniska lösningar samt med, i en del fall, otill- rÀcklig anpassning till annan lagstiftning av central betydelse för myndigheternas informationshantering sÄsom tryckfrihetsförord- ningens bestÀmmelser om allmÀnna handlingar och offentlighets- och sekretesslagen (2009:400). Vi delar i stort denna problembild

21

Sammanfattning

SOU 2015:39

och har kunnat konstatera att problemen skapar osÀkerhet i tillÀmp- ningen, vilket bl.a. gör uppgiftsutbyte och annat samarbete mellan myndigheter onödigt komplicerat. Det försvÄrar ocksÄ för enskilda registrerade och allmÀnheten att förstÄ vad som egentligen gÀller för myndigheters informationshantering. Vidare Àr det ett problem i sig att registerlagar ofta behöver Àndras till följd av att myndig- heterna fÄr nya uppgifter.

Ett ytterligare problem som vi identifierat Àr att den allmÀnna regleringen i personuppgiftslagen har utformats utan hÀnsyn till de sÀrskilda förhÄllanden som gÀller för myndigheters personuppgifts- behandling. För myndigheter i allmÀnhet, dvs. inte bara för sÄdana som omfattas av sÀrskild registerlagstiftning, prÀglas personupp- giftsbehandlingen av att den sker i verksamheter som Àr författ- ningsreglerade, oftast i frÄga om sÄvÀl vad som ska göras som hur det ska göras. Den informationshantering som verksamheten gene- rerar styrs vidare av, utöver tidigare nÀmnda regelverk, annan cen- tral reglering, exempelvis förvaltningslagen (1986:223) och arkiv- lagen (1990:782) som alltsÄ gÀller utöver personuppgiftslagen. Detta förhÄllande innebÀr generellt sett en avgörande skillnad i jÀmförelse med personuppgiftsbehandling inom den enskilda sektorn.

Inledande stÀllningstaganden och utgÄngspunkter för en generell reglering

Mot bakgrund av bl.a. den beskrivna problembilden finns ett ange- lÀget behov av förÀndringar i den reglering som rör personuppgifts- behandling inom den offentliga sektorn. En samlad reglering i en lag om myndigheters behandling av personuppgifter gör det möj- ligt att Ästadkomma ett tydligt regelverk som Àr lÀttare att tillÀmpa och bÀttre anpassat till övrig reglering av betydelse för myndig- heters informationshantering. En sammanhÄllen lag ger ocksÄ bÀttre förutsÀttningar för allmÀnhetens insyn och för enskilda registrerades möjligheter att göra gÀllande sina rÀttigheter enligt det dataskydds- rÀttsliga regelverket. Till bilden hör vidare att en samlad reglering Àr mer ÀndamÄlsenlig för att möta den förÀndring som förvÀntas ske pÄ det unionsrÀttsliga omrÄdet genom en EU-förordning om allmÀnt uppgiftsskydd som ska ersÀtta det s.k. dataskyddsdirektivet.

22

SOU 2015:39

Sammanfattning

Vi föreslĂ„r dĂ€rför en ny lag – myndighetsdatalagen – som företer likheter med förekommande registerförfattningar men som inne- hĂ„ller bestĂ€mmelser som kan gĂ€lla generellt för alla statliga och kommunala myndigheters personuppgiftsbehandling frĂ„nsett den brottsbekĂ€mpande sektorn.

VÄrt förslag till ny lag har arbetats fram utifrÄn bl.a. följande utgÄngspunkter.

Regleringen bör utformas som en renodlad persondataskydds- reglering som bara tar sikte pÄ frÄgor om skydd för personupp- gifter som uppstÄr i myndigheternas elektroniska informationshante- ring, vilken Àr en integrerad del av myndigheternas verksamheter pÄ alla nivÄer. BestÀmmelserna i den nya lagen ska alltsÄ inte i nÄgot avseende syfta till att reglera en myndighets sakverksamhet.

Till den nya lagen ska det kunna finnas bilagor och en anslut- ande förordning. Efter hand som behov av sektors- eller myndig- hetsspecifika sĂ€rregler uppstĂ„r kan sĂ„dana tas in i en systematiskt ordnad reglering som kompletterar den nya lagen. PĂ„ sĂ„ sĂ€tt uppnĂ„s ett sammanhĂ„llet ramverk med enhetligt utformad reglering bĂ„de vad avser förhĂ„llanden som kan regleras generellt och förhĂ„llanden dĂ€r fortsatta sĂ€rregler – utifrĂ„n nĂ€rmare avvĂ€gningar mellan integri- tetsintressen och t.ex. effektivitetshĂ€nsyn pĂ„ omrĂ„det i frĂ„ga – behöver finnas. Det Ă€r dock vĂ„r bedömning att behovet av fortsatt sĂ€rreglering kommer att minska betydligt.

Det Àr vÄr uppfattning att den sÀrreglering av persondataskydds- frÄgor som Àven fortsÀttningsvis behöver finnas oftast ska kunna ges i förordning, vilket förenklar regelgivningen och underlÀttar nödvÀndiga förÀndringar vid Àndringar i myndigheternas uppgifter m.m. Normgivningsreglerna i regeringsformen krÀver normalt inte lagform för reglering av detta slag. Det sagda utesluter givetvis inte att lagnivÄ ibland krÀvs eller i vart fall framstÄr som lÀmplig av hÀn- syn till skyddet för enskildas integritet.

Den nya lagen utesluter inte att det Àven fortsÀttningsvis för vissa myndigheter eller verksamheter kan komma att bedömas vara mera lÀmpligt frÄn lagtekniska, systematiska eller andra synpunkter med sÀrreglering i separat författning som gÀller utöver den nya lagen, pÄ motsvarande sÀtt som mÄnga registerlagar i dag förhÄller sig till personuppgiftslagen.

Renodlade registerförfattningar om inrÀttandet och förandet av specifika register utgör ett slags verksamhetsreglering som Àven i

23

Sammanfattning

SOU 2015:39

fortsÀttningen bör regleras i sÀrskild ordning, dvs. utanför den sam- lade regleringen.

Eftersom en kommande EU-förordnings nĂ€rmare innehĂ„ll av betydelse pĂ„ myndighetsomrĂ„det – liksom ikrafttrĂ€dandetidpunkten

– fortfarande Ă€r i hög grad oklart bör den nya lagen vara anpassad till gĂ€llande rĂ€tt pĂ„ persondataskyddsomrĂ„det, dvs. till personuppgifts- lagen.

Om myndighetsdatalagens innehÄll

Lagens syfte och tillÀmpningsomrÄde

Lagens syfte ska vara att dels ge myndigheter möjlighet att behandla personuppgifter pÄ ett ÀndamÄlsenligt sÀtt i deras verksamheter, dels skydda mÀnniskor mot att deras personliga integritet krÀnks vid sÄdan behandling.

Lagen ska i princip tillÀmpas av alla statliga och kommunala myn- digheter vid behandling av personuppgifter som Àr helt eller delvis automatiserad eller avser manuell registerföring.

Vissa verksamheter undantas dock frÄn lagens tillÀmpnings- omrÄde nÀmligen 1) en myndighets administrativa verksamhet, 2) en myndighets verksamhet som personuppgiftsbitrÀde och 3) sÄdan verksamhet som bedrivs av behöriga myndigheter i syfte att före- bygga, förhindra eller upptÀcka brottslig verksamhet, utreda eller beivra brott eller verkstÀlla straffrÀttsliga pÄföljder.

FörhÄllandet till avvikande bestÀmmelser i annan lag eller förordning och till personuppgiftslagen

Lagen ska – med undantag för personuppgiftslagen och bestĂ€m- melser som meddelats med stöd av den lagen – vara subsidiĂ€r i förhĂ„llande till bestĂ€mmelser i annan lag eller förordning som av- viker frĂ„n lagens bestĂ€mmelser. Lagen har vidare konstruerats pĂ„ det sĂ€ttet att den gĂ€ller i stĂ€llet för personuppgiftslagen, dock att det sĂ€rskilt hĂ€nvisas till vissa bestĂ€mmelser i personuppgiftslagen som ska tillĂ€mpas pĂ„ motsvarande sĂ€tt vid myndigheters behand- ling av personuppgifter enligt den nya lagen. Enligt dessa hĂ€nvis- ningar ska alltsĂ„ personuppgiftslagens bestĂ€mmelser om defini-

24

SOU 2015:39

Sammanfattning

tioner (3 §), förhĂ„llandet till handlingsoffentligheten och arkivlag- stiftningen (8 §) och grundlĂ€ggande krav pĂ„ behandlingen (9 §) gĂ€lla. Dessutom hĂ€nvisas till personuppgiftslagens förbud mot behandling av sĂ„dana personuppgifter som definieras som kĂ€nsliga (13 §) samt till undantagen frĂ„n förbudet vid behandling med den registrerades uttryckliga samtycke (15 §), i vissa fall av nödvĂ€ndig behandling (16 §), för hĂ€lso- och sjukvĂ„rdsĂ€ndamĂ„l (18 §) samt för forsknings- eller statistikĂ€ndamĂ„l (19 §). Vidare ska, i huvudsak, personuppgiftslagens bestĂ€mmelser om information som ska lĂ€mnas till den registrerade – dels i samband med att uppgifter samlas in, dels pĂ„ begĂ€ran – tillĂ€mpas (23, 25 och 26 §) liksom bestĂ€mmelserna om överföring till tredjeland (33–35 §§) och om personuppgifts- ombud (38 och 40 §§). Slutligen ska personuppgiftslagens bestĂ€m- melser om skadestĂ„nd (48 §) tillĂ€mpas pĂ„ motsvarande sĂ€tt, dvs. en personuppgiftsanvarig myndighets skyldighet att följa bestĂ€mmel- serna i sĂ„vĂ€l den nya lagen som bestĂ€mmelser i personuppgiftslagen som den nya lagen hĂ€nvisar till ska vara skadestĂ„ndssanktionerad.

Den s.k. missbruksregeln i 5 a § PuL föreslÄs inte vara tillÀmplig pÄ myndighetsomrÄdet och nÄgot liknande generellt undantag frÄn personuppgiftslagens s.k. hanteringsregler införs inte i den nya lagen. VÄr analys av den frÄgan har resulterat i bedömningen att ett sÄdant generellt undantag frÄn hanteringsreglerna sÄvitt avser be- handling av personuppgifter i s.k. ostrukturerat material varken behövs pÄ myndighetsomrÄdet eller framstÄr som en rÀttsligt be- fogad begrÀnsning i förhÄllande till dataskyddsdirektivets krav. Endast i ett avseende innehÄller den nya lagen ett motsvarande undantag, nÀmligen i frÄga om information till den registrerade som ska lÀmnas efter ansökan (26 § PuL). SÄdan information be- höver inte omfatta personuppgifter som behandlas i ostrukturerat material.

Personuppgiftsansvar och personuppgiftsbitrÀden

I den nya lagen införs en generell regel som innebÀr att en myn- dighet alltid Àr personuppgiftsansvarig för den behandling som myn- digheten utför. Vidare klargörs att personuppgiftsansvaret Àven omfattar sÄdan behandling som en mottagande myndighet utför nÀr denna via direktÄtkomst hos en annan myndighet eller enskild i

25

Sammanfattning

SOU 2015:39

ett enskilt fall genom en överföring faktiskt behandlar en tillgÀnglig personuppgift.

Det som föreskrivs i personuppgiftslagen om att ett person- uppgiftsbitrÀde eller den som arbetar under bitrÀdets ledning bara fÄr behandla personuppgifter i enlighet med den personuppgifts- ansvariges instruktioner ska gÀlla genom att motsvarande bestÀm- melser tas in i den nya lagen. Detsamma gÀller kravet pÄ att det ska finnas ett skriftligt avtal med personuppgiftsbitrÀdet liksom kraven pÄ vad avtalet ska innehÄlla. Utöver detta införs ett krav pÄ att av- talet ska innehÄlla dokumentation om den personuppgiftsansvariga myndighetens instruktioner till bitrÀdet samt ett förbud mot att bitrÀdet anlitar ett annat bitrÀde, ett s.k. underbitrÀde, utan god- kÀnnande frÄn den personuppgiftsansvariga myndigheten. Samma villkor om avtal och instruktioner ska gÀlla för ett sÄdant under- bitrÀde.

NÀr behandling kan tillÄtas

I lagen införs en samlad rĂ€ttslig grund för behandling av person- uppgifter som ersĂ€tter bestĂ€mmelserna i 10 § a–f PuL om nĂ€r be- handling av personuppgifter Ă€r tillĂ„ten oberoende av den registre- rades samtycke. BestĂ€mmelsen innebĂ€r att en myndighet fĂ„r behandla personuppgifter om det Ă€r nödvĂ€ndigt för att myndigheten ska kunna utföra sin verksamhet. Vilken verksamhet en myndighet har som uppgift eller fĂ„tt befogenhet att utföra framgĂ„r av författnings- reglering eller sĂ€rskilda beslut i regleringsbrev m.m.

NĂ„gon begrĂ€nsning av för vilka Ă€ndamĂ„l som myndigheter fĂ„r behandla personuppgifter föreslĂ„s inte i den nya lagen. DĂ€rmed blir huvudregeln att det Ă€r den personuppgiftsansvariga myndigheten som, inom ramen för sitt uppdrag, har att nĂ€rmare specificera för vilket eller vilka Ă€ndamĂ„l personuppgifter behandlas i verksam- heten. Dessa Ă€ndamĂ„l mĂ„ste uppfylla det grundlĂ€ggande kravet pĂ„ att vara sĂ€rskilda och uttryckligt angivna redan vid insamlingen. Även framöver kan det dock pĂ„ vissa omrĂ„den, t.ex. i frĂ„ga om vissa sĂ€rskilt integritetskĂ€nsliga informationssamlingar, finnas anledning att genom sĂ€rskilda föreskrifter i lag eller förordning om Ă€ndamĂ„ls- begrĂ€nsningar ange ramar för myndigheters personuppgiftsbehand- ling. SĂ„dana föreskrifter kan tas in i den till lagen anslutande

26

SOU 2015:39

Sammanfattning

förordningen alternativt, för det fall lagnivÄ undantagsvis anses nöd- vÀndig eller lÀmplig, i bilaga till lagen.

SĂ€rskilda kategorier av personuppgifter

Ytterligare undantag frÄn förbudet att behandla kÀnsliga personuppgifter

Utöver vad som följer av 15, 16, 18 och 19 §§ PuL tillÄts myn- digheter att behandla kÀnsliga personuppgifter om uppgifterna har lÀmnats i ett Àrende eller Àr nödvÀndiga för handlÀggning av det. I annan verksamhet fÄr kÀnsliga personuppgifter behandlas endast i löpande text. Regeringen eller den myndighet som regeringen be- stÀmmer bemyndigas att medge ytterligare undantag, om det be- hövs med hÀnsyn till ett viktigt allmÀnt intresse.

Personnummer i beslut m.m.

Enligt en sÀrskild bestÀmmelse i lagen fÄr personnummer och sam- ordningsnummer tas in i en myndighets beslut endast om beslutet rör en enskilds identitet eller motsvarande personliga förhÄllanden. SÄdana uppgifter fÄr ocksÄ tas in i ett beslut om det Àr nödvÀndigt för att beslutet ska kunna verkstÀllas eller om det krÀvs med hÀnsyn till beslutande myndighets behov av identifieringsuppgifter. Vid övrig behandling, dvs. som inte avser beslut, sÀtter de grundlÀggande kraven enligt 9 § PuL grÀnserna för i vilken omfattning personnummer eller samordningsnummer fÄr behandlas.

Sökförbud

Enligt en bestÀmmelse i lagen ska gÀlla att myndigheter vid en sök- ning fÄr som sökbegrepp anvÀnda uppgifter som avslöjar ras eller etniskt ursprung, politiska Äsikter, religiös eller filosofisk övertyg- else eller medlemskap i fackförening eller uppgifter som rör hÀlsa eller sexualliv endast i den utstrÀckning som det finns sÀrskilt för- fattningsstöd för det. SÄdant stöd kan anges genom föreskrifter som tas in i bilaga till lagen, i annan lag eller i förordning. DÀrmed gÀller alltsÄ som huvudregel ett generellt förbud för myndigheter

27

Sammanfattning

SOU 2015:39

att som sökbegrepp anvÀnda uppgifter som leder till att kÀnsliga personuppgifter sammanstÀlls. Förbudet gÀller sÄvÀl sökningar i myndighetens egna informationssamlingar som i frÄga om person- uppgifter som myndigheten har tillgÄng till genom direktÄtkomst och har betydelse för vilka sammanstÀllningar, s.k. potentiella hand- lingar, som enligt 2 kap. 3 § andra stycket TF anses vara förvarade allmÀnna handlingar hos myndigheten. I bestÀmmelsen klargörs dock att förbudet inte gÀller vid sökning i en viss handling eller i ett visst Àrende. Regeringen bemyndigas att meddela föreskrifter om sökbegrÀnsningar i frÄga om andra uppgiftskategorier Àn de som förbjuds i lagen.

SÀkerhet till skydd för personuppgifter

Skyldigheterna i frĂ„ga om sĂ€kerhetsĂ„tgĂ€rder och lĂ€mplig sĂ€kerhets- nivĂ„ framgĂ„r genom en bestĂ€mmelse i lagen som ersĂ€tter 31 § första stycket PuL. Enligt bestĂ€mmelsen Ă€r myndigheter skyldiga att vidta lĂ€mpliga tekniska och organisatoriska Ă„tgĂ€rder för att skydda de personuppgifter som behandlas. ÅtgĂ€rderna ska Ă„stadkomma en lĂ€mplig sĂ€kerhetsnivĂ„ som ska bestĂ€mmas utifrĂ„n de risker som behandlingen medför och personuppgifternas karaktĂ€r. Vidare anges att sĂ€kerhetsarbetet ska omfatta förebyggande, löpande och upp- följande Ă„tgĂ€rder samt att sĂ€kerhetsarbetet ska ske med beaktande av andra föreskrifter om informationssĂ€kerhet i lag eller annan för- fattning. HĂ€rmed klargörs den nĂ€ra kopplingen mellan den person- dataskyddsrĂ€ttsliga regleringen av sĂ€kerheten för personuppgifter och det vidare regelverk om informationssĂ€kerhet som myndig- heterna ocksĂ„ Ă€r skyldiga att följa.

Vidare föreskrivs en skyldighet för varje myndighet att se till att anstÀllda bara ges tillgÄng till personuppgifter utifrÄn vad som krÀvs för arbetsuppgifterna. Detta ska gÀlla i frÄga om sÄvÀl personupp- gifter i myndighetens egna informationssamlingar som personupp- gifter som myndigheten fÄr tillgÄng till genom direktÄtkomst.

28

SOU 2015:39

Sammanfattning

Elektroniskt utlÀmnande

Åtskillnaden mellan direktĂ„tkomst och annat utlĂ€mnande i elektronisk form

En sĂ€rskild delfrĂ„ga i utredningsuppdraget har varit att övervĂ€ga om det finns anledning att behĂ„lla en rĂ€ttslig Ă„tskillnad mellan olika former av elektroniskt utlĂ€mnande av personuppgifter eller om denna Ă„tskillnad bör utmönstras. Vad detta handlar om Ă€r den i registerförfattningar vanliga Ă„tskillnaden mellan regler som gĂ€ller för direktĂ„tkomst och utlĂ€mnande pĂ„ medium för automatiserad be- handling – eller som vi kallar det – annat utlĂ€mnande i elektronisk form. Som regel föreskrivs betydligt snĂ€vare förutsĂ€ttningar för utlĂ€mnande genom direktĂ„tkomst.

Vi har ingÄende analyserat denna frÄga och kommit till slut- satsen att en begreppsmÀssig skillnad mellan Ä ena sidan direkt- Ätkomst och Ä andra sidan annat utlÀmnande i elektronisk form bör behÄllas. DirektÄtkomst innebÀr rÀttsligt sett att grÀnsen mellan de uppgiftsutbytande myndigheterna i viss omfattning tas bort, vilket inte Àr konsekvensen av ett annat elektroniskt utlÀmnande. Hur den mottagande myndigheten vÀljer att anvÀnda direktÄtkomsten har den utlÀmnande myndigheten inte nÄgon befogenhet att pÄ- verka, eftersom de handlingar som omfattas av Ätkomsten redan har lÀmnats ut. Korresponderande sekretessfrÄgor mÄste dÀrför vara lösta pÄ förhand liksom behov av sökbegrÀnsningar hos den mot- tagande myndigheten, vilket kan medföra krav pÄ lagstiftnings- ÄtgÀrder. BÄde principiella och rÀttsliga skÀl talar dÀrför för att en Ätskillnad görs. DirektÄtkomst medför ocksÄ krav pÄ förberedande analyser och ÄtgÀrder ur verksamhets- och personuppgiftsansvars- perspektiv, bl.a. i frÄga om tekniskt genomförande och sÀkerhet. Varken den tekniska utvecklingen eller effektivitetsvinster och integritetsrisker som kan förknippas med olika Ätkomstmetoder utgör vidare skÀl för att utmönstra den begreppsmÀssiga Ätskill- naden. Om en Ätskillnad inte görs mellan direktÄtkomst och annat elektroniskt utlÀmnande finns en risk för att de sÀrskilda frÄgor om skydd och ansvarsfördelning, som sammanhÀnger med att myndig- heternas grÀnser öppnas upp genom en direktÄtkomst, inte fÄr till- rÀcklig uppmÀrksamhet. En vÀl genomtÀnkt och genomförd direkt- Ätkomst behöver emellertid inte innebÀra större risker för den

29

Sammanfattning

SOU 2015:39

enskildes integritet Àn annat elektroniskt utlÀmnande av personupp- gifter.

Ett sĂ„dant utlĂ€mnande i elektronisk form som inte Ă€r direkt- Ă„tkomst innebĂ€r – oavsett pĂ„ vilket sĂ€tt det sker – inte i nĂ„got fall att myndigheternas verksamhet rĂ€ttsligt sett blandas samman. NĂ„got behov av att rĂ€ttsligt skilja olika sĂ„dana former Ă„t finns dĂ€rför inte. Skilda sĂ€tt att elektroniskt förmedla uppgifter frĂ„n en myndighet till en annan kan dock innebĂ€ra att olika slags sĂ€kerhetsrisker be- höver beaktas.

I konsekvens med vÄr bedömning i dessa frÄgor innehÄller den nya lagen olika reglering för direktÄtkomst respektive annat utlÀm- nande i elektronisk form.

DirektÄtkomst

Med begreppet direktÄtkomst avses, liksom hittills, en sÄdan tek- nisk tillgÄng till upptagningar hos annan som avses i 2 kap. 3 § andra stycket TF. Enligt den nya lagen gÀller inte nÄgot allmÀnt krav pÄ författningsstöd för att direktÄtkomst ska kunna före- komma. DÀremot föreskriver den nya lagen att direktÄtkomst till sekretessreglerade personuppgifter ska ha stöd i lag eller förord- ning. Undantag frÄn kravet pÄ författningsstöd sÄvitt gÀller sekre- tessreglerade personuppgifter gÀller dock för direktÄtkomst 1) som medges den registrerade eller dennes ombud och som tar sikte pÄ uppgifter som hÀnför sig till den registrerade, 2) som medges till uppgifter som Àr sekretessreglerade enligt 21 kap. 7 § OSL, 3) som medges ett personuppgiftsbitrÀde och 4) som medges en myndig- het endast för sÄdan teknisk bearbetning eller teknisk lagring som avses i 2 kap. 10 § TF för den utlÀmnande myndighetens rÀkning.

Överenskommelser vid direktĂ„tkomst m.m.

I linje med vÄr bedömning angÄende varför direktÄtkomst krÀver sÀrskilda övervÀganden och ÄtgÀrder föreskrivs i den nya lagen att en utlÀmnande myndighet ska göra en risk- och sÄrbarhetsanalys innan myndigheten medger en annan myndighet eller enskild aktör direktÄtkomst till personuppgifter. Vidare ska myndigheten komma överens med mottagaren hur behövligt skydd för personuppgift-

30

SOU 2015:39

Sammanfattning

erna ska sĂ€kerstĂ€llas. Av överenskommelsen ska ocksĂ„ framgĂ„ hur utövandet av de skyldigheter som personansvaret innefattar ska ske. Motsvarande ska gĂ€lla vid andra former av informations- utbyten som innebĂ€r behandling av personuppgifter i gemensamma eller annars integrerade informationssystem. Överenskommelsen i frĂ„ga om personuppgiftsansvarets utövande ska inte vara bindande utĂ„t sett utan i första hand syfta till att klargöra ansvarsförhĂ„llan- dena mellan samarbetsparterna. Kravet pĂ„ risk- och sĂ„rbarhets- analyser och överenskommelser omfattar direktĂ„tkomst m.m. i frĂ„ga om bĂ„de offentliga och sekretessreglerade personuppgifter.

SökbegrÀnsning vid direktÄtkomst

En sÀrskild delfrÄga i uppdraget har varit att ta stÀllning till om sökförbud för en utlÀmnande myndighet bör gÀlla vid direkt- Ätkomst för en mottagande myndighet. Vi har dock bedömt att det inte Àr ÀndamÄlsenligt att motverka eventuella risker för enskildas integritet i samband med direktÄtkomst genom att föreskriva att samma sökbegrÀnsningar alltid ska gÀlla för sÄvÀl den utlÀmnande myndigheten som den mottagande myndigheten. Det kan leda till att enskildas integritet inte skyddas i tillrÀcklig utstrÀckning, men ocksÄ att en mottagande myndighets berÀttigade behov av att an- vÀnda sig av de uppgifter som blir Ätkomliga genom direktÄtkomst inte kan tillgodoses. Enskildas integritet bör i stÀllet skyddas genom att en direktÄtkomst inte medges förrÀn noggranna övervÀganden har gjorts betrÀffande den mottagande myndighetens anvÀndning av direktÄtkomsten, bl.a. betrÀffande vilka sökbegrÀnsningar som den ska iaktta.

Annat utlÀmnande i elektronisk form

Enligt vÄr bedömning saknas det skÀl för att införa ett grund- lÀggande krav pÄ att utlÀmnanden av personuppgifter i elektronisk form ska ha stöd i författning för att vara tillÄtet. Vi har inte heller funnit skÀl att generellt begrÀnsa myndigheters möjlighet att lÀmna ut personuppgifter till andra myndigheter eller enskilda i elektronisk form. NÀr det gÀller utlÀmnanden till enskilda innehÄller emellertid den nya lagen en bestÀmmelse som erinrar om att om en person-

31

Sammanfattning

SOU 2015:39

uppgift fÄr lÀmnas ut till en enskild, kan det ske i elektronisk form om det inte Àr olÀmpligt med hÀnsyn till skyddet för personupp- giften. DÀrmed erinras myndigheterna om att det ankommer pÄ dem att först göra en prövning av om ett utlÀmnande, oavsett form, av personuppgifter Àr tillÄtet. Om sÄ Àr fallet, Àr utgÄngspunkten att det kan ske i elektronisk form.

Överföring till tredjeland

Den nya lagen innehĂ„ller tvĂ„ undantag frĂ„n förbudet mot över- föring av personuppgifter till tredjeland som saknar adekvat skydds- nivĂ„ – utöver de som följer av 34 och 35 §§ PuL – nĂ€mligen om överföringen krĂ€vs för myndighetens handlĂ€ggning av ett visst Ă€rende eller om överföringen Ă€r nödvĂ€ndig för att fullgöra en uppgifts- skyldighet som följer av lag eller förordning eller avtal med annan stat eller mellanfolklig organisation som Sverige har tilltrĂ€tt eller annars Ă€r förpliktat att följa.

Förteckning över behandlingar

Myndigheters behandling av personuppgifter enligt den nya lagen ska inte omfattas av anmÀlningsskyldighet till tillsynsmyndigheten. Varje myndighet ska i stÀllet föra en förteckning över de behand- lingar som utförs med stöd av lagen. Förteckningen avses innehÄlla motsvarande uppgifter som en anmÀlan till tillsynsmyndigheten enligt 36 § PuL skulle ha innehÄllit. NÀrmare föreskrifter om för- teckningens innehÄll meddelas av regeringen eller myndighet som regeringen bestÀmmer.

Korrigering av felaktig eller otillÄten behandling

Personuppgiftslagens bestÀmmelser om rÀttelse m.m. (28 §) Àr ett exempel pÄ bestÀmmelser som utformats utan hÀnsyn till de sÀr- skilda förhÄllanden som gÀller för myndigeters informations- hantering. I den nya lagen finns dÀrför en mer ÀndamÄlsenligt ut- formad reglering rörande korrigering genom dels en bestÀmmelse som tar sikte pÄ en myndighets skyldighet att rÀtta felaktiga eller

32

SOU 2015:39

Sammanfattning

ofullstÀndiga uppgifter, dels en bestÀmmelse som tar sikte pÄ skyldig- heten att korrigera en behandling som av andra skÀl inte Àr tillÄten enligt lagen.

Den förstnÀmnda bestÀmmelsen föreskriver en skyldighet för en myndighet att pÄ begÀran av den registrerade rÀtta eller komplet- tera en personuppgift som rör den registrerade, om uppgiften Àr felaktig eller ofullstÀndig till följd av en ÄtgÀrd som inte har sin grund i myndighetens eller nÄgons annans bedömning, exempelvis ett förbiseendefel eller ett tekniskt fel.

Den andra bestÀmmelsen föreskriver att en personuppgift pÄ be- gÀran av den registrerade ska avskiljas frÄn fortsatt behandling och inte lÀmnas ut till en enskild annat Àn med stöd av 2 kap. TF eller utplÄnas, om uppgiften rör honom eller henne och inte fÄr behand- las enligt den nya lagen eller föreskrifter som har meddelats med stöd av den. BestÀmmelsen tar sikte pÄ korrigeringar som begÀrs av en registrerad och som innebÀr att myndigheten behöver göra en bedömning av om behandlingen Àr tillÄten, exempelvis för att den registrerade gör gÀllande att uppgifter behandlas som inte Àr rele- vanta för ÀndamÄlet med behandlingen i frÄga. RÀtten att begÀra en korrigering av nu nÀmnt slag ska inte gÀlla personuppgifter i en myndighets beslut.

Tillsynsmyndighetens befogenheter

Enligt den nya lagen ska tillsynsmyndighetens ÄtgÀrder i form pÄ- pekanden eller liknande förfaranden som inte har tvingande karak- tÀr anvÀndas endast i förebyggande syfte, dvs. om tillsynsmyndig- heten konstaterat att en myndighet kan komma att behandla per- sonuppgifter pÄ ett olagligt sÀtt, och inte dÄ det har konstaterats att en behandling av personuppgifter utförs pÄ ett otillÄtet sÀtt.

Vidare föreskrivs att tillsynsmyndigheten ska kunna förelÀgga en myndighet att uppfylla sina skyldigheter om myndigheten inte uppfyller de krav som följer av den nya lagen eller föreskrifter som meddelats med stöd av den. I förelÀggandet ska anges vad tillsyns- myndigheten anser Àr nödvÀndigt för att avhjÀlpa de pÄtalade brist- erna.

Tillsynsmyndigheten ska ocksÄ ha befogenhet att förbjuda en myndighet att fortsÀtta en behandling av personuppgifter pÄ nÄgot

33

Sammanfattning

SOU 2015:39

annat sÀtt Àn att uppgifterna lagras. Ett sÄdant beslut förutsÀtter att myndigheten allvarligt brister i sin skyldighet att uppfylla de krav som gÀller för behandlingen. Ett beslut om förbud gÀller omedelbart.

NÄgon möjlighet för tillsynsmyndigheten att besluta om vite har inte införts i lagen.

I övrigt finns bestÀmmelser som motsvarar dels 43 § PuL om vilka befogenheter tillsynsmyndighetens har för att undersöka om en myndighet behandlar personuppgifter pÄ ett tillÄtet sÀtt, dels 47 § PuL om tillsynsmyndighetens möjlighet att hos förvaltnings- rÀtten ansöka om utplÄning av personuppgifter som har behandlats pÄ ett olagligt sÀtt.

Överklagande

I lagen finns bestĂ€mmelser om överklagande av tillsynsmyndig- hetens respektive personuppgiftsansvariga myndigheters beslut som i princip motsvarar personuppgiftslagens överklagandebestĂ€mmel- ser (51–53 §§ PuL).

SekretessfrÄgor

I 10 kap. OSL föreslÄs införas en generellt sekretessbrytande be- stÀmmelse som innebÀr att föreskrifter i lag eller förordning om direktÄtkomst för myndigheter i sig fÄr en sekretessbrytande effekt. DÀrigenom kommer det inte lÀngre att behövas sÀrskilda sekretess- brytande bestÀmmelser för att möjliggöra direktÄtkomst enligt den ordning som i dag vanligtvis tillÀmpas. För att en bestÀmmelse om direktÄtkomst ska ha sekretessbrytande effekt enligt den nya bestÀmmelsen krÀvs dock att den har en sÄdan konkretion att det framgÄr i frÄga om vilka uppgifter sekretessen bryts. Den sekretess- brytande bestÀmmelsen omfattar inte direktÄtkomst som medges utlÀndska myndigheter eller enskilda.

Vi har som en sĂ€rskild delfrĂ„ga haft att övervĂ€ga om det finns anledning att Ă€ndra 6 kap. 5 § OSL – som föreskriver en grund- lĂ€ggande skyldighet att pĂ„ begĂ€ran lĂ€mna uppgifter till andra myn- digheter – för att den ska stĂ„ i bĂ€ttre överensstĂ€mmelse med anvĂ€ndningsbegrĂ€nsningar som kan förekomma i samband med internationella Ă„taganden. Vi har dock vid vĂ„r analys av frĂ„gan inte

34

SOU 2015:39

Sammanfattning

funnit nÄgot tillrÀckligt stort praktiskt behov av en sÄdan Àndring. Vi har dÀrför inte föreslagit nÄgon Àndring i 6 kap. 5 § OSL.

Konsekvenser

Införandet av en samlad lag med anslutande reglering i bilaga eller förordning Àr ett lÄngsiktigt arbete. Regleringen kan inte i ett slag ersÀtta befintliga registerförfattningar vid införandet. Syftet Àr emellertid att ett antal registerförfattningar efter hand ska kunna upphÀvas eller i vart fall förenklas betydligt. Eventuella kvarstÄende behov av sÀrreglering ska vidare kunna infogas i den samlade regleringen. Det krÀver emellertid nÀrmare analyser och avvÀg- ningar angÄende behovet av fortsatta sÀrregler pÄ olika omrÄden och pÄ vilken normnivÄ dessa sÀrregler i förekommande fall bör ges.

Initialt kommer dÀrför lagen att vid ikrafttrÀdandet gÀlla fullt ut bara för de myndigheter eller i de verksamheter som dÄ endast behandlar personuppgifter med stöd av personuppgiftslagen. Detta innebÀr en viss omstÀllning för dessa myndigheter. Vi bedömer dock att denna omstÀllning inte Àr större eller krÀver mer anpass- ningar Àn att den kan mötas med en vÀl tilltagen tid för ikraft- trÀdandet och ett fÄtal övergÄngsbestÀmmelser. Enligt vÄrt förslag bör den nya lagen trÀda i kraft den 1 januari 2017.

NÀr den samlade regleringen vÀl Àr genomförd Àven betrÀffande översynen av de nuvarande registerförfattningarna bedömer vi att den samlade regelmassan kommer att minska betydligt. Genom att sÀrreglering i fortsÀttningen utformas enhetligt och samordnat ut- ifrÄn en gemensam systematik underlÀttas samarbete över myndig- hetsgrÀnser. Flexibiliteten i regleringen ökar vidare genom vÄr ambi- tion att fler frÄgor ska regleras i förordning. En pÄ detta sÀtt samlad och dÀrmed mer enhetlig och tydligare reglering kommer ocksÄ att vara till gagn för offentlighet och insyn och ökar förutsÀttningarna att anpassa offentlighetsprincipen till moderna tekniska kommu- nikationsformer. Anpassningen till en kommande uppgiftsskydds- förordning underlÀttas ocksÄ, dÄ vad som hittills Àr kÀnt om för- handlingarna inom unionen tyder pÄ att den samlade regleringen utan alltför genomgripande förÀndringar kan anpassas till att utgöra ett komplement till förordningen.

35

1 Författningsförslag

1.1Förslag till myndighetsdatalag

HÀrigenom föreskrivs följande.

Lagens syfte och tillÀmpningsomrÄde

1 § Syftet med denna lag Àr att ge myndigheter möjligheter att be- handla personuppgifter pÄ ett ÀndamÄlsenligt sÀtt i deras verksam- heter och att skydda mÀnniskor mot att deras personliga integritet krÀnks vid sÄdan behandling.

2 § Denna lag gÀller vid myndigheters behandling av personuppgifter. Lagen gÀller om behandlingen Àr helt eller delvis automatiserad eller om personuppgifterna ingÄr i eller Àr avsedda att ingÄ i en strukturerad samling av personuppgifter som Àr tillgÀngliga för sök-

ning eller sammanstÀllning enligt sÀrskilda kriterier.

3 § Lagen ska inte tillÀmpas vid behandling av personuppgifter i

1.en myndighets administrativa verksamhet,

2.en myndighets verksamhet som personuppgiftsbitrÀde, eller

3.den verksamhet som bedrivs av behöriga myndigheter i syfte att förebygga, förhindra eller upptÀcka brottslig verksamhet, utreda eller beivra brott eller verkstÀlla straffrÀttsliga pÄföljder.

37

Författningsförslag

SOU 2015:39

FörhÄllandet till annan författning

4 § Om det i en annan lag eller förordning Àn som avses i 5 § finns bestÀmmelser som avviker frÄn denna lag, ska de bestÀmmelserna gÀlla.

5 § Om inte annat anges i 6 § gÀller denna lag i stÀllet för person- uppgiftslagen (1998:204) eller föreskrifter som meddelats i anslut- ning till den lagen.

6 § Följande bestÀmmelser i personuppgiftslagen (1998:204) ska tillÀmpas pÄ motsvarande sÀtt nÀr personuppgifter behandlas enligt denna lag eller föreskrifter som meddelats med stöd av den:

1.3 § om definitioner,

2.8 § om förhÄllandet till offentlighetsprincipen m.m.,

3.9 § om grundlÀggande krav pÄ behandlingen,

4.13, 15, 16, 18 och 19 §§ om kÀnsliga personuppgifter,

5.23 och 25 §§ om information till den registrerade som ska lÀm- nas sjÀlvmant,

6.26 § om information till den registrerade som ska lÀmnas efter ansökan,

7.33–35 §§ om överföring av personuppgifter till tredjeland,

8.38 och 40 §§ om personuppgiftsombud, och

9.48 § om skadestÄnd.

I 23 § finns bestÀmmelser om undantag frÄn informationsskyldig- heten enligt första stycket 5 och 6.

Personuppgiftsansvar

7 § En myndighet Àr personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför.

Personuppgiftsansvaret enligt första stycket omfattar Àven behand- ling som en myndighet utför genom direktÄtkomst till personupp- gifter hos en annan myndighet eller enskild.

NÀr behandling kan tillÄtas

8 § Personuppgifter fÄr behandlas om det Àr nödvÀndigt för att en myndighet ska kunna utföra sin verksamhet.

38

SOU 2015:39

Författningsförslag

9 § Behandling som Àr tillÄten enligt denna lag eller föreskrifter som meddelats med stöd av den fÄr utföras Àven om den registrerade motsÀtter sig behandlingen.

SĂ€rskilda kategorier av personuppgifter

10 § Utöver vad som följer av 15, 16, 18 och 19 §§ personupp- giftslagen (1998:204) fÄr kÀnsliga personuppgifter behandlas om upp- gifterna har lÀmnats i ett Àrende eller Àr nödvÀndiga för handlÀgg- ning av det eller om uppgifterna behandlas endast i löpande text.

11 § Personnummer eller samordningsnummer fÄr tas in i ett beslut endast om beslutet rör en enskilds identitet eller motsvarande per- sonliga förhÄllanden, det Àr nödvÀndigt för att beslutet ska kunna verkstÀllas eller det krÀvs med hÀnsyn till beslutande myndighets behov av identifieringsuppgifter.

Sökförbud

12 § Uppgifter som avslöjar ras eller etniskt ursprung, politiska Äsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening liksom uppgifter som rör hÀlsa eller sexualliv fÄr anvÀndas som sökbegrepp endast om det Àr tillÄtet enligt föreskrifter som tagits in i bilaga till denna lag eller i annan lag eller förordning.

Vad som sÀgs i första stycket gÀller inte vid en sökning i en viss handling eller i ett visst Àrende.

Elektroniskt utlÀmnande

DirektÄtkomst

13 § DirektÄtkomst till personuppgifter som Àr sekretessreglerade Àr tillÄten endast i den utstrÀckning som anges i bilaga till denna lag eller i annan lag eller förordning. Med sekretessreglerade uppgifter avses detsamma som i offentlighets- och sekretesslagen (2009:400).

39

Författningsförslag

SOU 2015:39

Vad som sÀgs i första stycket gÀller inte direktÄtkomst som med- ges

1. den registrerade eller dennes ombud till uppgifter som hÀnför sig till den registrerade,

2. till personuppgifter som Àr sekretessreglerade enligt 21 kap.

7 § offentlighets- och sekretesslagen,

3.ett personuppgiftsbitrÀde, eller

4.en myndighet endast för sÄdan teknisk bearbetning eller tek- nisk lagring som avses i 2 kap. 10 § första stycket tryckfrihets- förordningen för den utlÀmnande myndighetens rÀkning.

14 § Innan en myndighet medger direktÄtkomst till personuppgifter ska myndigheten göra en risk- och sÄrbarhetsanalys och komma överens med mottagaren av personuppgifterna hur skyddet för per- sonuppgifterna ska sÀkerstÀllas. Av överenskommelsen ska ocksÄ framgÄ hur utövandet av de skyldigheter som personuppgiftsansvaret innefattar ska ske.

Vad som sÀgs i första stycket ska i tillÀmpliga delar Àven gÀlla dÄ en myndighet pÄ annat sÀtt Àn genom direktÄtkomst samarbetar med andra myndigheter eller enskilda pÄ sÀtt som innebÀr behand- ling av personuppgifter i gemensamma eller annars integrerade infor- mationssystem.

Annat utlÀmnande i elektronisk form

15 § FÄr en personuppgift lÀmnas ut till en enskild, kan det ske i elektronisk form om det inte Àr olÀmpligt med hÀnsyn till skyddet för personuppgiften.

Överföring till tredjeland

16 § Utöver vad som följer av 34 § personuppgiftslagen (1998:204) eller av föreskrifter eller beslut som meddelats med stöd av 35 § samma lag fÄr personuppgifter överföras till tredjeland som saknar adekvat skyddsnivÄ, om

1.överföringen krÀvs för handlÀggningen av ett visst Àrende, eller

2.överföringen Àr nödvÀndig för att fullgöra en uppgiftsskyldig- het som följer av lag eller förordning eller avtal med annan stat eller

40

SOU 2015:39

Författningsförslag

mellanfolklig organisation som Sverige har tilltrÀtt eller annars Àr förpliktat att följa.

SĂ€kerhet vid behandlingen

17 § En myndighet ska vidta lÀmpliga tekniska och organisatoriska sÀkerhetsÄtgÀrder för att skydda de personuppgifter som behandlas. SÀkerhetsarbetet ska omfatta förebyggande, löpande och uppfölj- ande ÄtgÀrder samt Ästadkomma en lÀmplig sÀkerhetsnivÄ i förhÄll- ande till de risker som behandlingen medför och karaktÀren hos de uppgifter som ska skyddas. Vid utformningen av sÀkerhetsÄtgÀrderna ska myndigheten Àven beakta bestÀmmelser om informations- sÀkerhet i annan författning som gÀller för myndigheten.

18 § TillgÄngen till personuppgifter ska begrÀnsas till vad varje anstÀlld behöver för att kunna fullgöra sina arbetsuppgifter.

PersonuppgiftsbitrÀde

19 § Ett personuppgiftsbitrÀde eller den som arbetar under bitrÀdets ledning fÄr behandla personuppgifter bara i enlighet med instruk- tioner frÄn den personuppgiftsansvariga myndigheten. Detta gÀller Àven för bitrÀden som anlitats av ett personuppgiftsbitrÀde.

20 § NÀr en myndighet anlitar ett personuppgiftsbitrÀde, ska myndig- heten förvissa sig om att bitrÀdet

1.ser till att personuppgifter behandlas bara i enlighet med instruk- tioner frÄn myndigheten,

2.kan genomföra de sÀkerhetsÄtgÀrder som avses i 17 § och som mÄste vidtas till skydd för de personuppgifter som bitrÀdet behand- lar,

3.fortlöpande vidtar sÀkerhetsÄtgÀrderna, och

4.inte anlitar annat bitrÀde utan godkÀnnande frÄn myndigheten.

21 § Det ska finnas ett skriftligt avtal om personuppgiftsbitrÀdets behandling av personuppgifter för myndighetens rÀkning. Avtalet ska innehÄlla instruktioner och villkor om personuppgiftsbitrÀdets

41

Författningsförslag

SOU 2015:39

skyldigheter i frÄgor som avses i 19 och 20 §§. Motsvarande avtal ska finnas med ett bitrÀde som anlitats av ett personuppgiftsbitrÀde.

Förteckning över behandlingar

22 § En myndighet ska föra en förteckning över de behandlingar som myndigheten utför med stöd av denna lag.

Regeringen eller den myndighet som regeringen bestÀmmer kan med stöd av 8 kap. 7 § regeringsformen meddela nÀrmare föreskrifter om vilka uppgifter en sÄdan förteckning ska innehÄlla.

Undantag frÄn informationsskyldigheten

23 § BestÀmmelserna i 23, 25 och 26 §§ personuppgiftslagen (1998:204) ska inte tillÀmpas i den utstrÀckning som en uppgift inte fÄr lÀmnas ut till den registrerade pÄ grund av sekretess enligt offent- lighets- och sekretesslagen (2009:400) eller föreskrifter som med- delats med stöd av den lagen.

BestÀmmelserna i 26 § personuppgiftslagen behöver inte tillÀmpas vid behandling av personuppgifter som inte ingÄr i eller Àr avsedda att ingÄ i en samling av personuppgifter som har strukturerats för att pÄtagligt underlÀtta sökning efter eller sammanstÀllning av per- sonuppgifter.

Korrigering av felaktiga personuppgifter eller annars otillÄten behandling

24 § En personuppgift ska pÄ begÀran av den registrerade rÀttas eller kompletteras om uppgiften rör honom eller henne och den Àr fel- aktig eller ofullstÀndig till följd av en ÄtgÀrd som inte har sin grund i myndighetens eller nÄgon annans bedömning.

25§ En personuppgift ska pÄ begÀran av den registrerade avskiljas frÄn fortsatt behandling och inte lÀmnas ut till en enskild annat Àn med stöd av 2 kap. tryckfrihetsförordningen eller utplÄnas, om upp- giften rör honom eller henne och den inte fÄr behandlas enligt denna lag.

42

SOU 2015:39

Författningsförslag

Vad som sÀgs i första stycket gÀller inte personuppgifter i ett beslut.

Tillsynsmyndighetens befogenheter

26 § Tillsynsmyndigheten har rÀtt att för sin tillsyn pÄ begÀran fÄ

1.tillgÄng till de personuppgifter som behandlas,

2.upplysningar om och dokumentation av behandlingen av per- sonuppgifter och sÀkerheten vid denna, och

3.tilltrÀde till sÄdana lokaler som har anknytning till behandlingen av personuppgifter.

27 § Om tillsynsmyndigheten konstaterar att en myndighet kan komma att behandla personuppgifter pÄ ett olagligt sÀtt, ska tillsyns- myndigheten genom pÄpekanden eller andra ÄtgÀrder som inte Àr tvingande försöka Ästadkomma att myndigheten uppfyller sina skyl- digheter enligt denna lag eller föreskrifter som meddelats med stöd av den.

28 § Tillsynsmyndigheten fÄr förelÀgga en myndighet att uppfylla sina skyldigheter, om myndigheten inte uppfyller de krav som följer av denna lag eller föreskrifter som meddelats med stöd av den.

Av förelÀggandet ska framgÄ vad tillsynsmyndigheten anser Àr nödvÀndigt för att avhjÀlpa de pÄtalade bristerna.

29 § Om en myndighet allvarligt brister i sin skyldighet att uppfylla de krav som gÀller för en behandling av personuppgifter som myn- digheten utför, fÄr tillsynsmyndigheten förbjuda myndigheten att fortsÀtta behandlingen pÄ nÄgot annat sÀtt Àn att personuppgifter lagras. Ett beslut om förbud mot fortsatt behandling gÀller omedel- bart.

30 § Tillsynsmyndigheten fÄr hos förvaltningsrÀtten inom vars dom- krets tillsynsmyndigheten Àr belÀgen ansöka om att sÄdana person- uppgifter som har behandlats pÄ ett olagligt sÀtt ska utplÄnas.

43

Författningsförslag

SOU 2015:39

Bemyndiganden

31 § Regeringen eller den myndighet som regeringen bestÀmmer fÄr meddela föreskrifter om

1.nÀr behandling av personuppgifter Àr tillÄten,

2.vilka krav som stÀlls pÄ en personuppgiftsansvarig myndighet,

och

3.att kÀnsliga personuppgifter fÄr behandlas om det behövs med hÀnsyn till ett viktigt allmÀnt intresse.

Regeringen fÄr meddela föreskrifter om begrÀnsningar av möjlig- heterna att anvÀnda andra sökbegrepp Àn de som avses i 12 §.

Överklaganden

32 § Tillsynsmyndighetens beslut enligt denna lag om annat Àn före- skrifter fÄr överklagas till allmÀn förvaltningsdomstol.

Tillsynsmyndigheten fÄr bestÀmma att dess beslut ska gÀlla Àven om det överklagas.

33 § Beslut om rÀttelse eller komplettering enligt 24 §, om avskilj- ande eller utplÄning enligt 25 § och om information enligt 26 § per- sonuppgiftslagen (1998:204) fÄr överklagas till allmÀn förvaltnings- domstol.

Första stycket gÀller inte för beslut av regeringen, Högsta dom- stolen, Högsta förvaltningsdomstolen eller riksdagens ombudsmÀn.

34 § Andra beslut enligt denna lag Àn sÄdana som avses i 32 § och 33 § första stycket fÄr inte överklagas.

PrövningstillstÄnd krÀvs vid överklagande till kammarrÀtten.

ÖvergĂ„ngsbestĂ€mmelser

1.Denna lag trÀder i kraft den 1 januari 2017.

2.BestÀmmelserna i 21 § ska inte börja tillÀmpas förrÀn den 1 janu- ari 2019 i frÄga om avtal som ingÄtts före ikrafttrÀdandet.

3.BestÀmmelserna i 28 § personuppgiftslagen (1998:204) ska tillÀmpas i stÀllet för 24 och 25 §§ i frÄga om en begÀran som gjorts före ikrafttrÀdandet.

44

SOU 2015:39

Författningsförslag

1.2Förslag till

lag om Àndring i offentlighets- och sekretesslagen (2009:400)

HÀrigenom föreskrivs att 10 kap. 28 § offentlighets- och sekretess- lagen ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

10 kap.

28 §

Sekretess hindrar inte att en uppgift lÀmnas till en annan myn- dighet, om uppgiftsskyldighet följer av lag eller förordning.

Sekretess hindrar inte heller att en uppgift lÀmnas till en annan myndighet genom direktÄtkomst enligt vad som föreskrivs i lag eller förordning.

Ytterligare sekretessbrytande bestĂ€mmelser och bestĂ€mmelser om undantag frĂ„n sekretess finns i anslutning till berörda sekretess- bestĂ€mmelser i avdelning IV–VI.

Denna lag trÀder i kraft den 1 januari 2017.

45

2 VĂ„rt uppdrag och arbete

2.1Uppdraget

Vi har haft som övergripande uppdrag att se över den s.k. register- lagstiftningen, som kompletterar personuppgiftslagen (1998:204) och innehĂ„ller bestĂ€mmelser om statliga och kommunala myndig- heters behandling av personuppgifter. Detta ska ske genom att utreda förutsĂ€ttningarna för att skapa en generell, enhetlig och – helt eller i vart fall delvis – samlad reglering för myndigheternas personupp- giftsbehandling. Om vi bedömer att det finns sĂ„dana förutsĂ€ttningar ska vi lĂ€mna de författningsförslag som vi anser vara motiverade.

Det fastlagda mÄlet för vÄrt arbete Àr att regleringen ska utgöra en tydlig och lÀttillÀmpad helhet tillsammans med tryckfrihets- förordningen och offentlighets- och sekretesslagen. PÄ sÄ sÀtt skapas rÀttsliga förutsÀttningar för en mer effektiv e-förvaltning, dÀr sÄvÀl den enskildes rÀtt till personlig integritet som allmÀnhetens be- rÀttigade ansprÄk pÄ insyn i den offentliga verksamheten tillgodoses.

De förslag som lÀmnas ska vidare vara anpassade till det pÄgÄ- ende arbetet inom EU med att reformera den unionsrÀttsliga data- skyddsregleringen utifrÄn kommissionens förslag den 25 januari 2012 till Europaparlamentets och rÄdets förordning om skydd för enskilda personer med avseende pÄ behandling av personuppgifter och om det fria flödet av sÄdana uppgifter (allmÀn uppgiftsskyddsförordning). Personuppgiftsbehandling inom den brottsbekÀmpande verksamheten omfattas inte av vÄrt uppdrag.

I uppdraget ingÄr att göra en översiktlig inventering av register- författningarna. Vidare ingÄr ett antal sÀrskilda delfrÄgor. En av dessa

– om det finns anledning att Ă€ndra definitionen av begreppet allmĂ€n handling i tryckfrihetsförordningen i frĂ„ga om uppgifter som en myndighet har tillgĂ„ng till genom s.k. direktĂ„tkomst hos en annan myndighet eller genom liknande former av elektroniskt utlĂ€mnande –

47

VĂ„rt uppdrag och arbete

SOU 2015:39

har vi redovisat genom delbetĂ€nkandet Överskottsinformation vid direktĂ„tkomst (SOU 2012:90). Bland Ă„terstĂ„ende delfrĂ„gor finns frĂ„gan om det finns skĂ€l att behĂ„lla den rĂ€ttsliga Ă„tskillnaden mellan olika former av elektroniskt utlĂ€mnande samt frĂ„gan om det finns anledning att justera 6 kap. 5 § OSL, som föreskriver en skyldighet att lĂ€mna uppgift till annan myndighet, sĂ„ att bestĂ€mmelsen stĂ„r i bĂ€ttre överensstĂ€mmelse med förekomsten av anvĂ€ndningsbegrĂ€ns- ningar i internationella avtal m.m.

Enligt vĂ„ra ursprungliga direktiv skulle vĂ„rt arbete med över- synen av registerförfattningarna utmynna i utarbetandet av en gene- rell regleringsmodell för hur registerförfattningar bör struktureras, vilka begrepp som bör anvĂ€ndas och hur begreppen bör definieras. Med en generell modell som mall skulle vi lĂ€mna konkreta förslag till registerförfattningar – modellregleringar – inom tre olika verk- samhetsomrĂ„den. Avsikten var att regeringen i tillĂ€ggsdirektiv, efter att ha inhĂ€mtat synpunkter frĂ„n utredaren, skulle nĂ€rmare ange vilka verksamhetsomrĂ„den som regleringsmodellen skulle appliceras pĂ„.

Hösten 2013 lÀmnade vi i en framstÀllning till regeringen nÄgra synpunkter pÄ inriktningen av det fortsatta arbetet. I framstÀllningen lyfte vi fram tvÄ faktorer som vi menade borde beaktas i vÄra kom- mande tillÀggsdirektiv.

Den första faktorn var att vi under vÄrt arbete med att inventera registerförfattningarna och identifiera vilka nÀrmare problemomrÄden som fanns hade uppmÀrksammat att den övergripande problem- bilden med registerförfattningarna inte bara sammanhÀngde med utformningen av författningarna utan ocksÄ med det förhÄllandet att den allmÀnna regleringen i personuppgiftslagen i ett flertal avseenden Àr utformad utan hÀnsyn till de sÀrskilda förhÄllanden som gÀller för myndigheternas personuppgiftsbehandling. Vi identifierade alltsÄ ett behov av att behandla frÄgor som inte Àr begrÀnsade till register- författningsreglerade omrÄden utan som gÀller generellt inom myn- dighetsomrÄdet.

Den andra faktorn var att det efter hand föreföll allt mer ange- lÀget att anpassa det fortsatta utredningsarbetet till det parallellt pÄ- gÄende reformarbetet betrÀffande den unionsrÀttsliga dataskyddsreg- leringen innefattande det förslag till ny förordning som kommissio- nen hade lÀmnat en tid efter det att vÄra första direktiv beslutats.

Den 6 mars 2014 beslutades tillÀggsdirektiv med bl.a. Àndrad in- riktning av uppdraget vad gÀller metoden för översynen och inrikt-

48

SOU 2015:39

VĂ„rt uppdrag och arbete

ningen pĂ„ vad arbetet ska utmynna i. Direktiven till utredningen (dir. 2011:86, 2014:31 och 2014:147) finns intagna i betĂ€nkandet som bilagorna 1–3.

2.2Utredningsarbetet

VÄrt delbetÀnkande

VĂ„rt arbete inleddes med att behandla delfrĂ„gan om en eventuell Ă€ndring av begreppet allmĂ€n handling i tryckfrihetsförordningen. Den nĂ€rmare frĂ„gestĂ€llningen gĂ€llde om det fanns anledning att inskrĂ€nka handlingsoffentligheten sĂ„vitt avsĂ„g överskottsinforma- tion vid direktĂ„tkomst. Med överskottsinformation avsĂ„gs i det sam- manhanget externt tillgĂ€ngliga personuppgifter som en mottagande myndighet vid direktĂ„tkomst till en annan myndighets elektroniska informationssamling tekniskt sett har tillgĂ„ng till men som den mottagande myndigheten antingen inte fĂ„r ta del av i ett enskilt fall, dĂ€rför att vissa rĂ€ttsliga förutsĂ€ttningar inte föreligger, eller fĂ„r men faktiskt Ă€nnu inte har tagit del av i sin verksamhet. FrĂ„gestĂ€ll- ningen bottnar i det förhĂ„llandet att det för frĂ„gan om vilka elek- troniska upptagningar som en myndighet förvarar, och dĂ€rmed vad som konstituerar en allmĂ€n handling, inte spelar nĂ„gon roll om en mottagande myndighet i ett enskilt fall faktiskt har utnyttjat möj- ligheten att söka fram en upptagning eller inte. Redan det förhĂ„ll- andet att det gĂ„r att göra detta rĂ€cker för att upptagningen ska bli en allmĂ€n handling hos den mottagande myndigheten. Överskotts- information uppstĂ„r dĂ€rför att det nĂ€r direktĂ„tkomst etableras inte gĂ„r att pĂ„ förhand avgöra exakt vilka specifika uppgifter i den utlĂ€m- nande myndighetens informationssamlingar som en mottagande myndighet i konkreta fall kommer att behöva ta del av.

VĂ„r samlade bedömning blev att en grundlagsĂ€ndring med sikte enbart pĂ„ överskottsinformation vid direktĂ„tkomst inte borde före- slĂ„s. DĂ€remot förordade vi – med anledning av ytterligare problem- stĂ€llningar som vi stötte pĂ„ vid sidan om den grundlagsfrĂ„ga som omfattades av vĂ„rt uppdrag – en allmĂ€n översyn av begreppet in- kommen allmĂ€n handling i den elektroniska miljön.

Mot bakgrund av att vi inte föreslog en grundlagsÀndring be- handlade vi i delbetÀnkandet frÄgan om sekretess för överskotts- information hos mottagande myndigheter. Vi fann dÀrvid att bestÀm-

49

VĂ„rt uppdrag och arbete

SOU 2015:39

melsen om överföring av sekretess vid direktĂ„tkomst enligt 11 kap. 4 § OSL i och för sig Ă€r Ă€ndamĂ„lsenligt utformad men att kon- struktionen för konkurrensbestĂ€mmelsen i 11 kap. 8 § OSL – om att s.k. primĂ€r sekretess hos en mottagande myndighet ska tillĂ€mpas i stĂ€llet för en överförd sekretess – medför en risk för att över- skottsinformation fĂ„r ett försĂ€mrat sekretesskydd hos mottagande myndigheter. Vi fann ocksĂ„ att en sĂ„dan försĂ€mring inte Ă€r moti- verad utifrĂ„n nĂ„got insynsintresse. Vi föreslog dĂ€rför en justering av 11 kap. 8 § OSL av innebörd att en frĂ„n den utlĂ€mnande myn- digheten överförd sekretessreglering ska tillĂ€mpas pĂ„ överskotts- information om den mottagande myndigheten enligt lag eller för- ordning inte fĂ„r behandla informationen och en tillĂ€mpning av offent- lighets- och sekretesslagens huvudregel om konkurrens mellan sekre- tessbestĂ€mmelser i 7 kap. 3 § OSL leder till att uppgifterna i frĂ„ga Ă€r sekretessbelagda enligt den överförda sekretessregleringen.

Arbetet med grundlagsfrÄgan om överskottsinformation vid direktÄtkomst avslutades genom att vi i januari 2013 lÀmnade ovan nÀmnda delbetÀnkande. Under denna del av vÄrt arbete fanns det en parlamentarisk referensgrupp knuten till utredningen.

Arbetets bedrivande efter delbetÀnkandet

Utredningens fortsatta arbete har bedrivits pĂ„ sedvanligt sĂ€tt med regelbundna sammantrĂ€den med expertgruppen. Första sammantrĂ€det i det Ă„terstĂ„ende uppdraget hölls den 25 januari 2013. DĂ€refter har ytterligare tio sammantrĂ€den hĂ„llits. Även informella kontakter inom utredningen har förekommit.

Under den aktuella utredningstiden har utredaren samrÄtt med E-delegationen (N Fi 2009:01), UppgiftslÀmnarutredningen (N 2012:01) och PSI-utredningen (S 2013:02). SamrÄd har vidare Àgt rum med de myndigheter som anges i direktiven. Vi har ocksÄ sam- mantrÀffat med samtliga justitieombudsmÀn, Riksarkivet och För- sÀkringskassan.

Sekretariatet har besökt eller haft andra sÀrskilda möten med E- hÀlsomyndigheten, Justitiekanslern, LantmÀteriet, Myndigheten för samhÀllsskydd och beredskap, Skatteverket, Sveriges Kommuner och Landsting, samt Transportstyrelsen. Sekretariatet har ocksÄ trÀffat företrÀdare för nÀringslivet. NÀmnda möten har i allt vÀsentligt syftat

50

SOU 2015:39

VĂ„rt uppdrag och arbete

till att inhÀmta information och synpunkter i frÄgor som rör utred- ningsuppdraget.

För att fĂ„ ytterligare underlag i vĂ„rt översynsarbete har vi in- bjudit myndigheter, enskilda företag och andra intressenter att lĂ€mna synpunkter och bidra med erfarenheter utifrĂ„n ett antal frĂ„gestĂ€ll- ningar rörande registerförfattningar. Vi fick dĂ€rvid bistĂ„nd av E-dele- gationen och Sveriges Kommuner och Landsting med att sprida frĂ„gorna till möjliga intressenter. Svar inkom frĂ„n sĂ„vĂ€l statliga som kommunala myndigheter. Även ett antal nĂ€ringsidkare besvarade frĂ„gestĂ€llningarna, sĂ„som Bisnode och Upplysningscentralen (UC) vilka bĂ„da bedriver verksamhet med s.k. vidareutnyttjande av offent- lig information.

Datainspektionen och Myndigheten för samhÀllsskydd och bered- skap har bistÄtt utredningen med underlag angÄende frÄgor om in- formationssÀkerhet och skydd för personuppgifter.

HÀrutöver har sekretariatet haft samrÄd eller annan dialog med ett flertal andra utredningar, bl.a. Utredningen om rÀtt information i vÄrd och omsorg (S 2011:13), Statistikutredningen 2012 (Fi 2011:05), Utredningen om personuppgiftsbehandlingen vid ISF (S 2013:13), E-hÀlsokommittén (S 2013:17), Integritetskommittén (Ju 2014:09) och 2014 Ärs UtlÀnningsdatautredning (Ju 2014:11).

Utredare och sekretariat har deltagit i olika konferenser och semi- narier med anknytning till utredningsuppdraget.

Arbetet har bedrivits med aktivt deltagande av och i samrÄd med experterna. Med hÀnsyn till detta redovisas arbetet i denna del av vÄrt uppdrag med anvÀndande av vi-form, Àven om det inte funnits full- stÀndig samsyn i alla delar.

2.3SlutbetÀnkandets disposition m.m.

FramstÀllningen i det följande inleds med en allmÀn bakgrund dÀr vi i kapitel 3 redogör kort för bl.a. it-politik, gÀllande rÀtt och kom- missionens förslag till uppgiftsskyddsförordning. I kapitel 4 beskrivs översiktligt registerlagstiftningsomrÄdet och vÄr inventering av detta. I kapitel 5 redovisas vÄra övervÀganden angÄende delfrÄgan om det finns skÀl att behÄlla den rÀttsliga Ätskillnaden mellan olika former av elektroniskt utlÀmnande. I kapitel 6 behandlas delfrÄgan om det finns anledning att justera 6 kap. 5 § OSL med anledning av före-

51

VĂ„rt uppdrag och arbete

SOU 2015:39

komsten av anvĂ€ndningsbegrĂ€nsningar i internationella avtal m.m. I Ă„terstĂ„ende kapitel, kapitel 7–21, redovisas vĂ„ra övervĂ€ganden och förslag i frĂ„ga om en generell, enhetlig och samlad reglering för myndigheters behandling av personuppgifter.

I viss utstrÀckning förekommer en del upprepningar vad gÀller redovisning av gÀllande rÀtt m.m. Avsikten med detta Àr att under- lÀtta separat lÀsning av varje kapitel utan alltför omfattande hÀnvis- ningar till tidigare kapitel i betÀnkandet.

Det kan observeras att vi i det följande omvÀxlande anvÀnder termerna persondataskyddsreglering och dataskyddsreglering som benÀmning pÄ det rÀttsomrÄde med sÀrskild inriktning pÄ att reg- lera behandling av personuppgifter som Àr helt eller delvis auto- matiserad eller som ingÄr i manuella register. NÄgon betydelseskill- nad mellan termerna Àr inte avsedd.

Det kan ocksĂ„ noteras att vi i det följande anvĂ€nder benĂ€m- ningen ”brottsbekĂ€mpande verksamhet” i en tĂ€mligen vidstrĂ€ckt bemĂ€rkelse. Vad som avses Ă€r sĂ„dan verksamhet som inte omfattas av kommissionens förslag till uppgiftsskyddsförordning utan av ett förslag till Europaparlamentets och rĂ„dets direktiv om skydd för enskilda personer med avseende pĂ„ behöriga myndigheters behand- ling av personuppgifter för att förebygga, utreda, avslöja eller lag- föra brott eller verkstĂ€lla straffrĂ€ttsliga pĂ„följder, och det fria flödet av sĂ„dana uppgifter.

52

ALLMÄN BAKGRUND

3 AllmÀnna förutsÀttningar

3.1It-politik m.m.

3.1.1InformationssamhÀllet och den offentliga förvaltningen

Elektronisk informationshantering infördes förhÄllandevis tidigt i den svenska offentliga förvaltningen. VÀlfÀrdsstatens socialförsÀk- ringsprogram förutsatte bl.a. en automatiserad registerföring av hög standard. Myndigheterna byggde dÀrför tidigt upp olika typer av dataregister som blev centrala i verksamheten. Utveckling av s.k. e- förvaltning blev ocksÄ tidigt ett viktigt medel för att genomföra besparingar och effektiviseringar i förvaltningen. NÀr internet introducerades pÄ 1990-talet hade myndigheterna redan en relativt hög teknikmognad och e-tjÀnster blev ett sÀtt att underlÀtta kon- takten utÄt. Elektroniskt informationsutbyte kunde vidare ersÀtta andra metoder att utbyta information mellan myndigheter (se bl.a. SOU 2009:86 s. 33 f.).

Vid tiden för millennieskiftet konstaterade regeringen att sam- hĂ€llet stod mitt uppe i en samhĂ€llsomvandling och man talade om ”den digitala revolutionen” eller ”IT-revolutionen” (prop. 1999/2000:86 s. 13). Regeringen konstaterade vidare att informa- tionstekniken snart skulle komma att finnas representerad överallt i samhĂ€llet och ”informationssamhĂ€llet” blev ett begrepp. Som it- politiskt mĂ„l sattes att Sverige som första land skulle bli ett infor- mationssamhĂ€lle för alla. Vidare fastslogs strategin för 24-timmars- myndigheter som skulle vara elektroniskt tillgĂ€ngliga dygnet runt för informationsinhĂ€mtande, Ă€rendehantering eller annan service (a. prop. s. 24 och s. 100 f.). Syftet var att myndigheterna skulle öka tillgĂ€ngligheten av tjĂ€nsteutbudet. Strategin byggde pĂ„ en redan framgĂ„ngsrik tradition dĂ€r myndigheterna sjĂ€lva bestĂ€mde hur it bĂ€st skulle anvĂ€ndas för att utveckla verksamheten.

55

AllmÀnna förutsÀttningar

SOU 2015:39

Flertalet myndigheter har numera webbaserade e-tjÀnster som vÀnder sig till medborgare och företag. NÄgra exempel Àr Skatte- verkets och FörsÀkringskassans e-tjÀnster för skattedeklarationer, begÀran om sjukpenning m.m. Hos mÄnga kommuner kan invÄn- arna via internet ha kontakt med vÄrd och skola, ansöka om eko- nomiskt bistÄnd eller bygglov m.m. Vid Ärsskiftet 2013/14 hade ca 30 procent av myndigheterna s.k. mobila appar, drygt 70 procent anvÀnde sociala medier i kontakten med enskilda och över hÀlften av myndigheterna anvÀnde sig av s.k. molntjÀnster i nÄgon form (Skr. 2013/14:155 s. 27). Digitala Àrendehanteringssystem dÀr all information i ett Àrende samlas i en elektronisk akt blir allt van- ligare. Ett digitalt Àrendehanteringssystem bestÄr normalt av ett elektroniskt diarium, ett elektroniskt system för handlÀggning i elektroniska akter dÀr Àven skannade inlagor pÄ papper lagras och ett digitalt arkiv. I dag anvÀnds it bÄde för att hantera information om verksamheten och som en del i verksamheten som sÄdan. Inom exempelvis den offentliga hÀlso- och sjukvÄrden sker sÄvÀl vÄrd- dokumentation, patientjournalföring m.m. som faktiskt utförande av vÄrd, t.ex. vid ultraljudsundersökningar och operationer, med anvÀndning av it.

3.1.2Aktuell it-politik och strategi

Ett nytt mÄl för it-politiken beslutades av riksdagen 2011 (prop. 2011/2012:1, 2011/12:TU1). MÄlet Àr att Sverige ska vara bÀst i vÀrlden pÄ att anvÀnda digitaliseringens möjligheter. För att uppnÄ detta krÀvs ökad digital delaktighet sÄ att fler vill och vÄgar anvÀnda digitala tjÀnster. Det krÀvs Àven fler tjÀnster som gör att mÀnniskor upplever att de verkligen har nytta av att anvÀnda internet. Ett delmÄl Àr att Sverige ska ha bredband i vÀrldsklass. Alla hushÄll och företag bör ha goda möjligheter att anvÀnda sig av elektroniska samhÀllstjÀnster och service via bredband (prop. 2009/10:193). MÄlet gÀller fortfarande (2014/15:TU1 s. 15 f., jfr prop. 2014/15:1 utgiftsomrÄde 22 s. 126).

I september 2011 beslutade regeringen om en ny strategi för it- politiken, It i mĂ€nniskans tjĂ€nst – en digital agenda för Sverige (dnr N2011/342/ITP). Agendan Ă€r en sammanhĂ„llen strategi för it- politiken som syftar till att statens befintliga resurser ska utnyttjas

56

SOU 2015:39

AllmÀnna förutsÀttningar

bÀttre. I den digitala agendan har regeringen presenterat ambitioner och insatser som tillvaratar de möjligheter som digitaliseringen ger. För att nÄ det ovannÀmnda it-politiska mÄlet har med utgÄngs- punkt i it-anvÀndarens perspektiv fyra strategiska omrÄden identi- fierats i agendan: 1. lÀtt och sÀkert att anvÀnda, 2. tjÀnster som skapar nytta, 3. det behövs infrastruktur och 4. it:s roll för samhÀllsutveck- lingen.

I juni 2012 tillsatte regeringen Digitaliseringskommissionen som har i uppdrag att verka för att det it-politiska mÄlet i agendan uppnÄs och att regeringens ambitioner inom omrÄdet fullföljs (dir. 2012:61). En del av kommissionens uppdrag Àr att ta fram indika- torer för att mÀta mÄluppfyllelsen. Slutredovisning av uppdraget ska ske senast den 31 december 2015.

3.1.3Förvaltningspolitik och e-förvaltning

Hur den offentliga förvaltningen utvecklas, organiseras och styrs har stor betydelse för myndigheternas informationshantering. I 2010 Ärs förvaltningspolitiska proposition lade regeringen fram mÄl och riktlinjer för det fortsatta arbetet med i första hand den statliga förvaltningen. Det övergripande mÄlet för förvaltningspolitiken ska vara en innovativ och samverkande statsförvaltning som Àr rÀtts- sÀker och effektiv, har en vÀl utvecklad kvalitet, service och tillgÀng- lighet och dÀrigenom bidrar till Sveriges utveckling och ett effektivt EU-arbete. MÄlet har antagits av riksdagen och Àr alltjÀmt gÀllande (prop. 2009/10:175 samt prop. 2014/15:1 utgiftsomrÄde 2). Sam- verkan, inte minst myndigheter emellan, ska ytterligare utvecklas, dels av effektivitetsskÀl, dels för att medborgare, företagare och andra förvÀntar sig att staten upptrÀder samordnat. FörstÀrkt samverkan mellan statsförvaltningen och kommunerna inom vissa omrÄden finns ocksÄ pÄ den förvaltningspolitiska dagordningen. Elektronisk förvaltning (e-förvaltning) ska bidra till det förvaltningspolitiska mÄlet.

E-förvaltning Àr ett begrepp som anvÀnds för att beskriva en form av verksamhetsutveckling inom den offentliga förvaltningen som innebÀr att myndigheterna drar nytta av it och kombinerar den nya tekniken med organisatoriska förÀndringar och satsningar pÄ kompetensutveckling i syfte att förbÀttra effektiviteten i sina respek-

57

AllmÀnna förutsÀttningar

SOU 2015:39

tive verksamheter. BenĂ€mningen e-förvaltning anvĂ€nds ocksĂ„ för att beskriva statsförvaltningens anvĂ€ndning av it för utbyte av infor- mation och tjĂ€nster med medborgare, företag och andra delar av förvaltningen. E-förvaltning Ă€r ocksĂ„ en viktig del i den digitala agendans strategiska omrĂ„de 2. ”tjĂ€nster som skapar nytta”.

I januari 2008 faststÀllde regeringen en nationell handlingsplan för den svenska e-förvaltningen (Fi2008/491). I denna anges det övergripande mÄlet för e-förvaltningen vara att arbetet ska leda till att det ska vara sÄ enkelt som möjligt för sÄ mÄnga som möjligt att utöva sina rÀttigheter och fullgöra sina skyldigheter samt ta del av förvaltningens service. Service till medborgare och företag stÄr i fokus. Det övergripande mÄlet ska uppnÄs med hjÀlp av insatser inom följande fyra omrÄden; regelverk för myndighetsövergripande samverkan och informationshantering, tekniska förutsÀttningar och it-standardisering, gemensamma verksamhetsstöd, kompetens- försörjning och samlad uppföljning samt förvaltningens kontakter med medborgare och företag. Det gemensamma arbetet Àr inriktat mot tre mÄlbilder; en enklare vardag för företag och privatpersoner, en öppnare och smartare förvaltning som stödjer innovation och delaktighet samt en effektivare offentlig verksamhet (prop. 2011/12:1 utgiftsomrÄde 22 s. 85). I mars 2009 tillsattes E-delegationen som ett led i genomförandet av handlingsplanen för e-förvaltning.

Den 17 december 2012 presenterade regeringen en ny strategi: Med medborgaren i centrum – Regeringens strategi för en digitalt samverkande statsförvaltning (N2012/6402/ITP). I strategin beskrivs regeringens mĂ„lsĂ€ttningar för arbetet med att styra och förstĂ€rka myndigheternas förmĂ„ga att samverka digitalt i förvaltningsgemen- samma it-frĂ„gor. Den enskilda medborgarens och företagarens be- hov ska dĂ€rvid vara i centrum för utvecklingen av framtidens digi- tala samhĂ€llsservice. Fler förvaltningsgemensamma digitala tjĂ€nster ska bidra till att förenkla vardagen för privatpersoner och företag. De ska utformas efter anvĂ€ndarnas behov, vara enkla och sĂ€kra att anvĂ€nda och lĂ€tta för medborgare att hitta. Genom att göra det lĂ€ttare att hitta och anvĂ€nda sĂ„dan statlig information som kan vidareutnyttjas och sĂ„dana statliga tjĂ€nster som har grĂ€nssnitt som kan anvĂ€ndas av andra system ska innovation stödjas. Publicering av offentlig information via internet och anvĂ€ndning av sociala medier ska öka möjligheterna till insyn och delaktighet. Kvaliteten och effektiviteten i statsförvaltningen ska öka genom standardiserad

58

SOU 2015:39

AllmÀnna förutsÀttningar

informationshantering, förbÀttrad informationssÀkerhet och digi- taliserade processer. En viktig utgÄngspunkt i all utveckling av stats- förvaltningens tjÀnster Àr att effektivitet och service alltid mÄste vÀgas mot skyddet för den enskildes integritet och behov av sekre- tesskydd. MÄlen ska ligga till grund för regeringens koordinering och prioritering av förvaltningsgemensamma utvecklingsprojekt.

I budgetpropositionen för 2015 annonserade regeringen en för- stĂ€rkt styrning och samordning av den övergripande it-anvĂ€nd- ningen i statsförvaltningen genom en fyraĂ„rig satsning under Ă„ren 2015–2018. Syftet Ă€r att nĂ„ mĂ„len för e-förvaltningen samt frĂ€mja utvecklingen och anvĂ€ndningen av gemensamma lösningar. Sats- ningen omfattar ett flertal insatser, bl.a. avser regeringen öka styr- ningen av myndigheters anslutning till gemensamma e-tjĂ€nster och peka ut förvaltningsansvar för gemensamma lösningar och förmĂ„gor som krĂ€vs för en digitalt samverkande förvaltning. Vidare ska upp- följningen av myndigheternas it-anvĂ€ndning förstĂ€rkas. I december 2014 beslutade riksdagen tillföra ytterligare medel till satsningen (2014/15:TU1 s. 51 anslaget 2:6 Gemensamma e-förvaltningspro- jekt av strategisk betydelse, jfr prop. 2014/15:1 utgiftsomrĂ„de 2 s. 68 och utgiftsomrĂ„de 22 s. 148 f.).

I vĂ„rt delbetĂ€nkande Överskottsinformation vid direktĂ„tkomst (SOU 2012:90) har vi i korthet beskrivit nĂ„gra exempel pĂ„ aktuella aktörer och initiativ eller utvecklingsprojekt inom e-förvaltningen som pĂ„gĂ„tt parallellt med vĂ„rt arbete, vi hĂ€nvisar till den beskriv- ningen (a. bet. s. 29 f.).

3.1.4E-förvaltning inom EU

Inom EU bedrivs ett aktivt arbete med att frĂ€mja utvecklingen av informationssamhĂ€llet inom Europa. Den 29 april 2010 lade Euro- peiska kommissionen fram en digital agenda för Europa som Ă€r ett av sju ”flaggskeppsinitiativ” i EU:s övergripande strategi för tillvĂ€xt EU2020 (KOM[2010] 245 slutlig respektive KOM[2010] 2020 slutlig). Det huvudsakliga mĂ„let med agendan Ă€r att utveckla en digital inre marknad för att styra Europa mot en smart och hĂ„llbar tillvĂ€xt för alla. Utvecklandet av en modern e-förvaltning Ă€r en vik- tig del i den digitala agendan.

59

AllmÀnna förutsÀttningar

SOU 2015:39

Den 15 december 2010 lade kommissionen fram en handlings- plan 2011–2015 för e-förvaltning (KOM[2010] 743 slutlig). Syftet med planen Ă€r att frĂ€mja framvĂ€xten av en ny generation av öppna, flexibla och samverkande e-förvaltningstjĂ€nster för medborgare och företag. Dessa tjĂ€nster ska kunna öka medborgarnas och företagarnas egenmakt, öka rörligheten pĂ„ den inre marknaden och sörja för att den offentliga sektorn stödjer en ekonomi baserad pĂ„ framtida nĂ€tverk. Handlingsplanen identifierar fyra politiska prioriteringar. Medlemsstater ska anvĂ€nda e-förvaltning för följande Ă€ndamĂ„l: 1. öka medborgares och företags egenmakt, 2. öka rörligheten pĂ„ den inre marknaden, 3. öka effektiviteten i offentlig sektor och 4. skapa nödvĂ€ndiga möjliggörare och förutsĂ€ttningar för att detta ska kunna ske.

Utöver den digitala agendan och handlingsplanen finns ett antal EU-direktiv och andra rÀttsakter, ytterligare handlingsplaner eller rekommendationer och pÄgÄende projekt och andra samarbeten mellan EU:s medlemsstater.

3.2RÀttslig reglering till skydd för personuppgifter

3.2.1Internationella Ă„taganden avseende dataskydd

Förenta Nationernas allmÀnna förklaring om de mÀnskliga rÀttigheterna m.m.

Förenta nationernas (FN) generalförsamling antog Ă„r 1948 en uni- versell deklaration om de mĂ€nskliga rĂ€ttigheterna – Förenta Nationer- nas allmĂ€nna förklaring om de mĂ€nskliga rĂ€ttigheterna. Deklara- tionen Ă€r inte formellt bindande för medlemsstaterna, men har be- tydelse som ett uttryck för vad den internationella opinionen krĂ€ver. I artikel 12 sĂ€gs att ingen ”mĂ„ utsĂ€ttas för godtyckliga ingripanden i frĂ„ga om privatliv, familj, hem eller korrespondens, ej heller angrepp pĂ„ heder och anseende” samt att envar har rĂ€tt till lagens skydd mot sĂ„dana ingripanden eller angrepp. Vidare sĂ€gs i artikel 29 att endast sĂ„dana inskrĂ€nkningar i de i deklarationen angivna fri- och rĂ€ttigheterna Ă€r tillĂ„tna som faststĂ€llts i lag i ute- slutande syfte att trygga tillbörlig hĂ€nsyn till och respekt för andras fri- och rĂ€ttigheter samt för att tillgodose det demokratiska sam- hĂ€llets rĂ€ttmĂ€tiga krav pĂ„ moral, allmĂ€n ordning och allmĂ€n vĂ€lfĂ€rd.

60

SOU 2015:39

AllmÀnna förutsÀttningar

Inom FN har ocksÄ utarbetats en internationell konvention om medborgerliga och politiska rÀttigheter, som antogs av general- församlingen Är 1966. Sverige anslöt sig till konventionen Är 1971, varefter konventionen trÀdde i kraft Är 1976. I konventionen be- handlas vad som hör till skyddet för den personliga integriteten frÀmst i artikel 17. Enligt denna artikels punkt 1 bör ingen utsÀttas för godtyckliga eller olagliga ingripanden i sitt privat- och familje- liv, sitt hem eller sin korrespondens, ej heller för olagliga angrepp pÄ sin heder och sitt anseende. Vidare sÀgs i punkt 2 att envar har rÀtt till lagens skydd mot sÄdana ingripanden eller angrepp. De stater som har tilltrÀtt konventionen ÄlÀggs sÄledes vissa skyldig- heter. Ett sÀrskilt inrÀttat organ benÀmnt Kommittén för de mÀnsk- liga rÀttigheterna (Human Rights Committee) övervakar att de till konventionen anslutna staterna efterlever sina skyldigheter. Förenta nationernas generalförsamling antog Àven Är 1990 riktlinjer om datoriserade register med personuppgifter.

Europakonventionen

Den europeiska konventionen av den 4 november 1950 om skydd för de mÀnskliga rÀttigheterna och de grundlÀggande friheterna (Europakonventionen) Àr sedan den 1 januari 1995 inkorporerad i svensk rÀtt och gÀller hÀr i landet som lag (prop. 1993/94:117, 1993/94:KU24). Den har alltsÄ inte getts stÀllning som grundlag. I 2 kap. 19 § RF har emellertid införts en bestÀmmelse om att lag eller annan föreskrift inte fÄr meddelas i strid med Sveriges Ätagan- den pÄ grund av konventionen.

Av betydelse för skyddet för den personliga integriteten Àr framför allt artikel 8 i konventionen. DÀr stadgas att var och en har rÀtt till respekt för sitt privat- och familjeliv, sitt hem och sin korre- spondens. En offentlig myndighet fÄr inte inskrÀnka Ätnjutande av denna rÀttighet annat Àn med stöd av lag och om det i ett demo- kratiskt samhÀlle Àr nödvÀndigt med hÀnsyn till statens sÀkerhet, den allmÀnna sÀkerheten, landets ekonomiska vÀlstÄnd eller till förebyggande av oordning eller brott eller till skydd för hÀlsa eller moral eller för andra personers fri- och rÀttigheter.

Det stÄr klart att behandling av personuppgifter och t.ex. rÀtt till tillgÄng till registrerade personuppgifter i och för sig kan falla inom

61

AllmÀnna förutsÀttningar

SOU 2015:39

tillĂ€mpningsomrĂ„det för artikel 8 i Europakonventionen. All slags behandling av personuppgifter omfattas dock inte, utan frĂ„gan mĂ„ste gĂ€lla privatliv, familjeliv, hem eller korrespondens. PrimĂ€rt innebĂ€r artikel 8 att staten ska avhĂ„lla sig frĂ„n ingrepp i den skyddade rĂ€ttig- heten. Artikeln innebĂ€r Ă€ven en skyldighet för staten att vidta posi- tiva Ă„tgĂ€rder för att skydda den enskildes privatsfĂ€r. SĂ„dana positiva Ă„tgĂ€rder kan utgöras av lagstiftning, men ocksĂ„ ha till Ă€ndamĂ„l att pĂ„ annat sĂ€tt tillförsĂ€kra medborgarna skydd mot övergrepp i sĂ€r- skilda situationer (Hans Danelius, MĂ€nskliga rĂ€ttigheter i europeisk praxis, 4 uppl. 2012, s. 347). I sin praxis har Europadomstolen ocksĂ„ framhĂ„llit att kravet pĂ„ att ingreppet ska vara nödvĂ€ndigt inte Ă€r synonymt med ”oundgĂ€ngligt”. Vad som krĂ€vs Ă€r dĂ€remot att det finns ett ”angelĂ€get samhĂ€lleligt behov”. InskrĂ€nkningen i den grundlĂ€ggande rĂ€ttigheten mĂ„ste vidare stĂ„ i rimlig proportion till det syfte som ska tillgodoses genom inskrĂ€nkningen. Varje konven- tionsstat har sjĂ€lv en viss frihet att avgöra om en inskrĂ€nkning Ă€r nödvĂ€ndig. Europadomstolen förbehĂ„ller sig dock rĂ€tten att över- vaka om denna frihet utnyttjas pĂ„ ett rimligt sĂ€tt.

EU-domstolen har slagit fast att bestĂ€mmelserna i artikel 8 i Europakonventionen har betydelse vid sidan av det s.k. dataskydds- direktivet vid bedömningen av nationella regler som tillĂ„ter behand- ling av personuppgifter (dom den 20 maj 2003 i mĂ„l C-465/00, C- 138 och 139/01, Österreichiscer Rundfunk m.fl.)

EuroparÄdets dataskyddskonvention

EuroparÄdets ministerkommitté antog Är 1981 en konvention (nr 108) till skydd för enskilda vid automatisk databehandling av person- uppgifter, den s.k. dataskyddskonventionen (se prop. 1981/82:189). Konventionen trÀdde i kraft den 1 oktober 1985. Konventionens syfte Àr att sÀkerstÀlla respekten för grundlÀggande fri- och rÀttig- heter, sÀrskilt den enskildes rÀtt till personlig integritet i samband med automatisk databehandling av personuppgifter. UtgÄngspunkten Àr att vissa av den enskildes rÀttigheter kan behöva skyddas i för- hÄllande till den princip om fritt flöde av information, oberoende av grÀnser, som finns inskriven i internationella överenskommelser om mÀnskliga rÀttigheter. Konventionens tillÀmpningsomrÄde Àr enligt huvudregeln automatiserade personregister och automatisk

62

SOU 2015:39

AllmÀnna förutsÀttningar

databehandling av personuppgifter i allmÀn och enskild verksam- het. I konventionen anges krav pÄ beskaffenheten av de person- uppgifter som undergÄr automatisk databehandling, bl.a. krav pÄ att uppgifterna ska inhÀmtas och behandlas pÄ ett korrekt sÀtt och vara relevanta med hÀnsyn till ÀndamÄlet, att vissa typer av uppgifter inte fÄr undergÄ automatisk databehandling om inte den nationella lagen ger ett ÀndamÄlsenligt skydd, samt att lÀmpliga sÀkerhets- ÄtgÀrder ska vidtas för att skydda personuppgifter gentemot oav- siktlig eller otillÄten förstörelse. Inom EuroparÄdet pÄgÄr en över- syn av konventionen.

Inom EuroparÄdet har vidare utarbetats ett flertal rekommenda- tioner pÄ dataskyddsomrÄdet.

Riktlinjer frÄn OECD

Inom Organisationen för ekonomiskt samarbete och utveckling, OECD, har en expertgrupp utarbetat vissa riktlinjer i frĂ„ga om integritetsskyddet och persondataflödet över grĂ€nserna. Riktlinjerna antogs Ă„r 1980 av OECD:s rĂ„d tillsammans med en rekommen- dation till medlemslĂ€ndernas regeringar om att beakta riktlinjerna i nationell lagstiftning. Samtliga medlemslĂ€nder, dĂ€ribland Sverige, har godtagit rekommendationen och Ă„tagit sig att följa denna. Rikt- linjerna Ă€r tillĂ€mpliga pĂ„ personuppgifter inom bĂ„de den offentliga och privata sektorn. De gĂ€ller bĂ„de för uppgifter som lagras auto- matiskt och som förs manuellt. Syftet Ă€r emellertid att undvika de risker för personlig integritet och individens frihet som person- uppgifter kan utgöra pĂ„ grund av det sĂ€tt pĂ„ vilket de behandlas, pĂ„ grund av uppgifternas natur eller pĂ„ grund av de sammanhang i vilka de anvĂ€nds. År 2013 reviderades riktlinjerna genom införan- det av vissa nyheter och förĂ€ndringar.

EU:s stadga om de grundlÀggande rÀttigheterna

Lissabonfördraget innebÀr att Europeiska unionens stadga om de grundlÀggande rÀttigheterna, tillkÀnnagiven av parlamentet, rÄdet och kommissionen den 7 december 2000 och anpassad den 12 decem- ber 2007, numera Àr rÀttsligt bindande. En referens till stadgan har införts i artikel 6.1 i unionsfördraget. I stadgan bekrÀftas de rÀttig-

63

AllmÀnna förutsÀttningar

SOU 2015:39

heter som har sin grund i medlemsstaternas gemensamma författ- ningstraditioner och internationella förpliktelser, Europakonven- tionen, unionens och EuroparÄdets sociala stadgor samt rÀttspraxis frÄn Europeiska unionens domstol och Europeiska domstolen för de mÀnskliga rÀttigheterna. Stadgans syfte Àr att kodifiera de grundlÀgg- ande fri- och rÀttigheter som EU redan erkÀnner.

I stadgans artikel 7 föreskrivs att var och en har rÀtt till respekt för sitt privatliv och familjeliv, sin bostad och sin korrespondens. I artikel 8 föreskrivs vidare att var och en har rÀtt till skydd av de personuppgifter som rör honom eller henne. Dessa uppgifter ska behandlas lagenligt för bestÀmda ÀndamÄl och pÄ grundval av den berörda personens samtycke eller nÄgon annan legitim och lagenlig grund. Var och en har rÀtt att fÄ tillgÄng till insamlade uppgifter som rör honom eller henne och att fÄ rÀttelse av dem.

Stadgan riktar sig till verksamhet som utförs av EU:s egna organ och institutioner och den blir tillÀmplig för medlemsstaterna endast i de fall dÀr de tillÀmpar EU-rÀtten (artikel 51).

NÀr det gÀller de garanterade rÀttigheternas rÀckvidd följer av artikel 52 i stadgan att varje begrÀnsning i utövningen av de rÀttig- heter och friheter som erkÀnns i stadgan ska vara föreskriven i lag och vara förenlig med proportionalitetsprincipen och det vÀsentliga innehÄllet i fri- och rÀttigheterna. I den mÄn rÀttigheterna i stadgan motsvarar rÀttigheter som skyddas av Europakonventionen ska de ha samma innebörd och rÀckvidd som enligt konventionen. Stadgans artiklar fÄr inte tolkas som att de inskrÀnker eller inkrÀktar pÄ rÀttigheter enligt andra konventioner eller överenskommelser om fri- och rÀttigheter.

Dataskyddsdirektivet m.m.

Den 24 oktober 1995 antogs Europaparlamentets och rÄdets direk- tiv 95/46/EG om skydd för enskilda personer med avseende pÄ be- handling personuppgifter och om det fria flödet av sÄdana upp- gifter (dataskyddsdirektivet). Direktivet syftar till att garantera en hög och i alla medlemsstater likvÀrdig skyddsnivÄ nÀr det gÀller enskilda personers fri- och rÀttigheter med avseende pÄ behandling av personuppgifter och att frÀmja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Medlemsstaterna fÄr inom den ram

64

SOU 2015:39

AllmÀnna förutsÀttningar

som anges i direktivet nÀrmare precisera villkoren för nÀr behand- ling av personuppgifter fÄr förekomma. SÄdana preciseringar fÄr dock inte hindra det fria flödet av personuppgifter inom unionen. Direktivet gÀller inte för behandling av personuppgifter pÄ omrÄden som faller utanför unionsrÀtten, t.ex. allmÀn sÀkerhet, försvar, statens sÀkerhet och statens verksamhet pÄ straffrÀttens omrÄde.

Dataskyddsdirektivet Àr endast tillÀmpligt pÄ behandling av upp- gifter om fysiska personer och berör alltsÄ inte skyddet för juri- diska personer. Direktivet omfattar inte bara automatiserad behand- ling, utan ocksÄ manuell behandling av personuppgifter som ingÄr eller kommer att ingÄ i ett register. Direktivet omfattar inte be- handling av personuppgifter för privat bruk.

Enligt dataskyddsdirektivet mĂ„ste all behandling av personupp- gifter vara laglig och korrekt. Uppgifterna mĂ„ste vara riktiga och aktuella samt adekvata, relevanta och nödvĂ€ndiga med hĂ€nsyn till de Ă€ndamĂ„l för vilka de behandlas. ÄndamĂ„len ska vara uttryckligt angivna vid tiden för insamling av uppgifterna. De Ă€ndamĂ„l för vilka uppgifterna senare behandlas fĂ„r inte vara oförenliga med de ursprungliga Ă€ndamĂ„len.

Personuppgifter fÄr enligt direktivet behandlas bara i vissa fall. Personuppgifter fÄr bl.a. behandlas om den registrerade otvetydigt har lÀmnat sitt samtycke, om behandlingen Àr nödvÀndig för att fullgöra en rÀttslig förpliktelse som Äligger den registeransvarige eller Àr nödvÀndig för att utföra en arbetsuppgift av allmÀnt intresse eller som Àr ett led i myndighetsutövning. Personuppgifter fÄr Àven behandlas om intresset av att den registeransvarige fÄr behandla uppgifterna vÀger tyngre Àn den registrerades intresse av att de inte behandlas.

Vissa sÀrskilda i direktivet angivna kategorier av uppgifter fÄr som huvudregel inte behandlas. Det gÀller uppgifter som avslöjar den enskildes ras eller etniska ursprung, politiska Äsikter, religiösa eller filosofiska övertygelse eller medlemskap i fackförening samt uppgifter som rör hÀlsa och sexualliv. I direktivet görs dock undan- tag frÄn denna regel i vissa sÀrskilt angivna situationer, bl.a. om det finns uttryckligt samtycke frÄn den registrerade.

Dataskyddsdirektivet föreskriver att den registeransvarige ska informera den registrerade om att personuppgifter Àr föremÄl för behandling och dÀrvid redogöra för ÀndamÄlet med behandlingen. Har uppgifterna inte samlats in frÄn den registrerade sjÀlv behöver

65

AllmÀnna förutsÀttningar

SOU 2015:39

den registeransvarige dock inte lÀmna nÄgon information, om den registrerade redan kÀnner till informationen eller om det skulle visa sig vara omöjligt eller innebÀra en anstrÀngning som inte stÄr i proportion till nyttan. Den registrerade har dock rÀtt att pÄ begÀran fÄ information om de registrerade uppgifterna. Vidare har den regi- strerade rÀtt att fÄ sÄdana uppgifter som inte har behandlats i enlig- het med direktivet rÀttade, utplÄnade eller blockerade. Direktivet innehÄller Àven regler om sÀkerhet vid behandlingen.

PÄ EU-nivÄ finns Àven kompletterande rÀttsakter till dataskydds- direktivet, bl.a. det s.k. dataskyddsrambeslutet med sÀrskilda regler om skydd för personuppgifter i frÄgor som rör polisiÀrt och straff- rÀttsligt samarbete (rÄdets rambeslut 2008/977/RIF av den 27 novem- ber 2008 om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrÀttsligt samarbete).

För nÀrvarande pÄgÄr inom EU en övergripande översyn av bl.a. dataskyddsdirektivet, se avsnitt 3.3.

3.2.2Nationell reglering

Regeringsformen

GrundlÀggande bestÀmmelser om skydd för den personliga integri- teten finns i regeringsformen. I mÄlsÀttningsstadgandet i 1 kap. 2 § första stycket slÄs det fast att den offentliga makten ska utövas med respekt bl.a. för den enskilda mÀnniskans frihet och i fjÀrde stycket anges bl.a. att det allmÀnna ska vÀrna den enskildes privatliv och familjeliv. I 2 kap. 4 och 5 §§ finns bestÀmmelser om absolut skydd mot allvarliga fysiska integritetsintrÄng bl.a. döds- och kropps- straff. Enligt 6 § samma kapitel Àr var och en dÀrutöver skyddad gentemot det allmÀnna mot bl.a. pÄtvingande kroppsliga ingrepp.

Den 1 januari 2011 trÀdde en ny bestÀmmelse, 2 kap. 6 § andra stycket RF, i kraft. Enligt bestÀmmelsen Àr var och en gentemot det allmÀnna skyddad mot betydande intrÄng i den personliga integriteten, om det sker utan samtycke och innebÀr övervakning eller kartlÀggning av den enskildes personliga förhÄllanden. BestÀm- melsen innebÀr alltsÄ att enskilda Àr skyddade mot ÄtgÀrder frÄn det allmÀnnas sida men trÀffar inte ÄtgÀrder som en enskild vidtar i för- hÄllande till en annan enskild. Bakgrunden till bestÀmmelsen Àr att det ansÄgs finnas vissa brister i lagstiftning som innefattade intrÄng

66

SOU 2015:39

AllmÀnna förutsÀttningar

i den enskildes personliga integritet. Dessa brister bestod i att de avvĂ€gningar mellan olika motstĂ„ende intressen som normalt ska göras i lagstiftningsĂ€renden i vissa fall var bristfĂ€lligt redovisade och att det i första hand var de negativa effekterna av olika integritets- begrĂ€nsande Ă„tgĂ€rder som var knapphĂ€ndigt belysta (prop. 2009/10:80 s. 175 f.). Av bl.a. dessa skĂ€l ansĂ„gs det dĂ€rför finnas ett behov av att stĂ€rka skyddet av den personliga integriteten i grund- lag. Det stĂ€rkta grundlagsskyddet bestĂ„r i att en begrĂ€nsning av det skydd som bestĂ€mmelsen föreskriver endast fĂ„r göras i form av lag och under de förutsĂ€ttningar som anges 2 kap. 21–22 §§ RF.

Personuppgiftslagen

Dataskyddsdirektivet har genomförts i svensk rÀtt genom person- uppgiftslagen (1998:204). BestÀmmelserna i personuppgiftslagen har till syfte att skydda mÀnniskor mot att deras personliga inte- gritet krÀnks genom behandling av personuppgifter. Liksom den tidigare datalagen (1973:289), vilken upphÀvdes i och med person- uppgiftslagens införande, Àr personuppgiftslagen generellt tillÀmp- lig och gÀller bÄde för myndigheter och enskilda som behandlar personuppgifter. Rent privat behandling av personuppgifter Àr dock undantagen.

Personuppgiftslagen Àr subsidiÀr i förhÄllande till annan lag eller förordning (2 §). Vid lagens införande anfördes att det traditionella svenska systemet med sÀrregler i sÀrskilda författningar var att föredra framför generella undantag frÄn den nya lagen (prop. 1997/98:44 s. 41).

Personuppgiftslagen, som i huvudsak följer dataskyddsdirektivets text och disposition, omfattar all helt eller delvis automatiserad be- handling av personuppgifter (5 § första stycket). Lagen Àr teknik- oberoende i den meningen att den i frÄga om automatiserad be- handling inte begrÀnsas till dataregister. All automatiserad behand- ling omfattas, alltsÄ Àven personuppgifter som framgÄr av bilder och ljud. Begreppet register saknar betydelse för lagens tillÀmp- ning. Det avgörande Àr att personuppgifterna Àr föremÄl för auto- matiserad behandling, inte om de Àr ordnade i ett register eller inte. Det Àr vidare tillrÀckligt att behandlingen av personuppgifter delvis Àr automatiserad för att den ska falla under lagens bestÀmmelser.

67

AllmÀnna förutsÀttningar

SOU 2015:39

Om uppgifter samlas in manuellt och sedan behandlas automati- serat Àr Àven insamlandet en sorts behandling som omfattas av lagen. PÄ samma sÀtt faller t.ex. ett utlÀmnande genom manuella utskrifter frÄn ett automatiserat register in under lagens bestÀmmelser. Per- sonuppgiftslagen gÀller Àven för manuella register med personupp- gifter som Àr strukturerade eller ordnade sÄ att de Àr sökbara pÄ person (5 § andra stycket).

Med personuppgifter avses all slags information som direkt eller indirekt kan hÀnföras till en fysisk person som Àr i livet (3 §). Be- greppet behandling av personuppgift Àr ett vitt begrepp och om- fattar varje ÄtgÀrd eller serie av ÄtgÀrder som vidtas i frÄga om per- sonuppgifter, vare sig det sker pÄ automatisk vÀg eller inte. Exempel pÄ behandling av personuppgifter Àr insamling, registrering, organi- sering, lagring, bearbetning eller Àndring, Ätervinning, inhÀmtande, anvÀndning, utlÀmnande genom översÀndande, spridning eller annat tillhandahÄllande av uppgifter, sammanstÀllning eller samkörning, blockering, utplÄning eller förstöring (3 §).

Det finns nÄgra viktiga undantag frÄn personuppgiftslagens tillÀmpningsomrÄde. Lagen gÀller t.ex. inte vid behandling av per- sonuppgifter som en fysisk person utför som ett led i en verksam- het av rent privat natur (6 §). BestÀmmelserna i lagen tillÀmpas inte heller i den utstrÀckning det skulle strida mot grundlagsbestÀm- melserna om tryck- och yttrandefrihet (7 § första stycket). I prin- cip ska inte heller personuppgiftslagens bestÀmmelser tillÀmpas vid journalistisk, konstnÀrlig eller litterÀr verksamhet (7 § andra stycket). Vidare anges i personuppgiftslagen att lagen inte gÀller i den mÄn det skulle inskrÀnka offentlighetsprincipen (8 § första stycket).

Behandling av personuppgifter som inte ingÄr i eller Àr avsedda att ingÄ i en samling av personuppgifter som har strukturerats för att pÄtagligt underlÀtta sökningen efter eller sammanstÀllningen av personuppgifter omfattas inte av flertalet av de hanteringsregler som anges i personuppgiftslagen. Det som i stÀllet avgör om en sÄdan behandling Àr tillÄten eller inte Àr om behandlingen innebÀr en krÀnkning av den registrerades personliga integritet (5 a §).

I 9 § ges vissa grundlÀggande krav pÄ all behandling av person- uppgifter som omfattas av lagen. Den personuppgiftsansvarige, vilken oftast Àr det organ dÀr personuppgifterna behandlas, ska se till att personuppgifter behandlas bara om det Àr lagligt samt att personuppgifter alltid behandlas pÄ ett korrekt sÀtt och i enlighet

68

SOU 2015:39

AllmÀnna förutsÀttningar

med god sed. Vidare ska personuppgifter samlas in bara för sĂ€r- skilda, uttryckligt angivna och berĂ€ttigade Ă€ndamĂ„l. ÄndamĂ„let med en behandling av personuppgifter mĂ„ste bestĂ€mmas redan nĂ€r upp- gifterna samlas in. Den personuppgiftsansvarige ska definiera avsik- ten med insamlingen och anvĂ€ndningen av personuppgifterna pĂ„ ett sĂ„ precist sĂ€tt som möjligt. Personuppgifterna fĂ„r inte sedan behandlas för nĂ„got Ă€ndamĂ„l som Ă€r oförenligt med det för vilket uppgifterna samlades in (finalitetsprincipen). Det sistnĂ€mnda kan bli aktuellt att pröva nĂ€r personuppgifter lĂ€mnas ut till tredje man. Ett sĂ„dant utlĂ€mnande fĂ„r alltsĂ„ inte vara oförenligt med det Ă€nda- mĂ„l för vilket uppgifterna ursprungligen samlades in. Om person- uppgifter lĂ€mnas ut i form av allmĂ€nna handlingar med stöd av bestĂ€mmelserna i 2 kap. TF blir en sĂ„dan prövning dock inte aktuell.

De personuppgifter som behandlas ska vara adekvata och rele- vanta i förhÄllande till ÀndamÄlen med behandlingen. Med detta krav avses att personuppgifterna ska vara av sÄdant slag att de hör till saken (relevanta) och Àr Àgnade att uppnÄ det mÄl man har med behandlingen (adekvata). Inte heller fÄr fler personuppgifter behand- las Àn vad som Àr nödvÀndigt med hÀnsyn till ÀndamÄlen med behandlingen. DÀrutöver ska de uppgifter som behandlas vara rik- tiga och, om det Àr nödvÀndigt, aktuella. Alla rimliga ÄtgÀrder ska vidtas för att rÀtta, blockera eller utplÄna sÄdana personuppgifter som Àr felaktiga eller ofullstÀndiga med hÀnsyn till ÀndamÄlen med behandlingen. Personuppgifter fÄr inte heller bevaras under lÀngre tid Àn vad som Àr nödvÀndigt med hÀnsyn till ÀndamÄlen med be- handlingen.

Varje behandling av personuppgifter mÄste kunna hÀnföras till nÄgon av de situationer som anges i personuppgiftslagens regler om nÀr behandling av personuppgifter Àr tillÄten. Av 10 § följer att personuppgifter fÄr behandlas bara om den registrerade har lÀmnat sitt samtycke till behandlingen, behandlingen Àr nödvÀndig för att ett avtal med den registrerade ska kunna fullgöras eller ÄtgÀrder som den registrerade begÀrt ska kunna vidtas innan ett avtal trÀffas, den personuppgiftsansvarige ska kunna fullgöra en rÀttslig skyldig- het, vitala intressen för den registrerade ska kunna skyddas, en arbetsuppgift av allmÀnt intresse ska kunna utföras, den person- uppgiftsansvarige eller en tredje man till vilken personuppgifter lÀmnas ut ska kunna utföra en arbetsuppgift i samband med myn- dighetsutövning, eller ett ÀndamÄl som rör ett berÀttigat intresse

69

AllmÀnna förutsÀttningar

SOU 2015:39

hos den personuppgiftsansvarige eller hos en sÄdan tredje man till vilken personuppgifterna lÀmnas ut ska kunna tillgodoses, om detta intresse vÀger tyngre Àn den registrerades intresse av skydd mot krÀnkning av den personliga integriteten.

Enligt 11 § fÄr inte personuppgifter behandlas för ÀndamÄl som rör direkt marknadsföring, om den registrerade hos den person- uppgiftsansvarige skriftligen har anmÀlt att han eller hon motsÀtter sig sÄdan behandling. Inte heller fÄr personuppgifter behandlas i de fall dÀr behandling bara Àr tillÄten nÀr den registrerade har lÀmnat sitt samtycke och han eller hon har Äterkallat detta (12 §). Utöver vad som följer av 11 och 12 §§ har den enskilde ingen rÀtt att mot- sÀtta sig sÄdan behandling av personuppgifter som Àr tillÄten enligt lagen.

Enligt 13 § Ă€r det generellt sett förbjudet att behandla kĂ€nsliga personuppgifter. Med kĂ€nsliga personuppgifter avses sĂ„dana person- uppgifter som avslöjar ras eller etniskt ursprung, politiska Ă„sikter, religiös eller filosofisk övertygelse, medlemskap i en fackförening eller som rör hĂ€lsa eller sexualliv. FrĂ„n förbudet att behandla kĂ€ns- liga personuppgifter finns, utöver nĂ€r den registrerade har lĂ€mnat sitt samtycke (15 §), vissa undantag (16–20 §§).

SÀrskilda bestÀmmelser om uppgifter om lagövertrÀdelser och behandling av personnummer finns i 21 och 22 §§.

BestĂ€mmelser om i vilka fall information om behandling av personuppgifter ska lĂ€mnas till den enskilde finns i 23–27 §§, rĂ€tt att begĂ€ra rĂ€ttelse och omprövning av automatiserade beslut finns i 28 och 29 §§ och föreskrifter om sĂ€kerheten vid behandling av personuppgifter finns i 30–32 §§.

Enligt 33 § Àr det förbjudet att till tredjeland, dvs. ett land utan- för EU eller ESS, föra över personuppgifter som Àr under behand- ling, om landet inte har en adekvat nivÄ för skydd av personupp- gifter. Förbudet gÀller i princip alla slag av personuppgifter och Àr alltsÄ inte begrÀnsat till exempelvis kategorierna kÀnsliga person- uppgifter eller uppgifter om lagövertrÀdelser. Trots förbudet Àr det enligt 34 § tillÄtet att under vissa förutsÀttningar föra över uppgifter till tredjeland men det förutsÀtter antingen att den registrerade gett sitt samtycke till överföringen eller att överföringen Àr nödvÀndig bl.a. för att rÀttsliga ansprÄk ska kunna faststÀllas, göras gÀllande eller försvaras eller att vitala intressen för den registrerade ska kunna skyddas. Vidare Àr det tillÄtet att föra över personuppgifter för

70

SOU 2015:39

AllmÀnna förutsÀttningar

anvÀndning enbart i en stat som har anslutit sig till EuroparÄdets dataskyddskonvention. Regeringen fÄr meddela föreskrifter om ytter- ligare undantag frÄn förbudet mot överföring (35 §).

Vidare finns det i lagen bl.a. bestÀmmelser om anmÀlan till tillsynsmyndigheten, tillsyn, skadestÄnd och straff.

Sekretess

I offentlighets- och sekretesslagen (2009:400) finns ett stort antal bestÀmmelser om sekretess till skydd för uppgift om enskilds per- sonliga förhÄllanden, vilka syftar till att skydda enskilds personliga integritet. Av dessa bör i detta sammanhang sÀrskilt nÀmnas 21 kap. 7 § OSL, den s.k. PuL-sekretessen. Enligt bestÀmmelsen gÀller sekretess för personuppgift, om det kan antas att ett utlÀmnande skulle medföra att uppgiften behandlas i strid med personuppgifts- lagen. BestÀmmelsen tar inte sikte pÄ uppgifterna som sÄdana utan pÄ vad mottagaren tÀnker göra med dem. BestÀmmelsen avser alltsÄ att ge ett skydd mot otillÄten behandling av personuppgifter. Be- stÀmmelsen Àr tillÀmplig hos alla myndigheter och vid alla utlÀm- nanden som innefattar personuppgifter men den risk för skada som anges i bestÀmmelsen aktualiseras frÀmst vid utlÀmnanden av en större mÀngd uppgifter i form av massuttag av allmÀnna handlingar. OcksÄ ett utlÀmnande av selekterade uppgifter, t.ex. uppgifter om personer med viss inkomst eller med viss politisk tillhörighet, kan indikera risk för den skada som anges i bestÀmmelsen.

Registerförfattningar

De s.k. registerförfattningarna har till huvudsakligt syfte att reglera inrÀttandet och anvÀndningen av viktigare register eller andra per- sonuppgiftssamlingar inom den offentliga sektorn.

Registerförfattningarna reglerar myndigheternas behandling av personuppgifter och Àr tÀnkta att ge ett anpassat integritetsskydd vid myndighetens hantering av personuppgifter dÄ behov finns att avvika frÄn eller komplettera det integritetsskydd som personuppgifts- lagen annars ger.

En utgÄngspunkt vid utarbetandet av registerförfattningar har varit att regleringen sÄ lÄngt som möjligt ska vara i överensstÀm-

71

AllmÀnna förutsÀttningar

SOU 2015:39

melse med personuppgiftslagen och dĂ€rmed med dataskyddsdirek- tivets materiella bestĂ€mmelser samt att behovet av sĂ€rregler i för- hĂ„llande till personuppgiftslagen bör övervĂ€gas noga (prop. 1997/98:44 s. 41 och Sören Öman, SĂ€rskilda registerförfattningar, Festskrift till Peter Seipel, s. 694 f.).

En omstÀndighet som ansetts tala för en sÀrreglering i förhÄll- ande till personuppgiftslagen Àr att en sÀrskild författning under vissa förutsÀttningar anses innebÀra en bÀttre garanti för utform- ningen av integritetsskyddet vad gÀller sÀrskilt kÀnsliga register eller andra personuppgiftssamlingar.

Exempel pÄ fall dÄ en sÀrskild författningsreglering i form av en registerförfattning har ansetts motiverad Àr vidare nÀr en nödvÀndig behandling av personuppgifter över huvud taget inte Àr tillÄten enligt personuppgiftslagen, nÀr personuppgiftslagen visserligen reglerar ett visst förhÄllande men det finns anledning att avvika frÄn eller precisera den regleringen, nÀr personuppgiftslagens bestÀmmelser kan ge upphov till tolkningsproblem och det finns anledning att ha tydliga bestÀmmelser, nÀr det finns anledning att begrÀnsa möjlig- heterna till behandling av uppgifter av integritetsskÀl i frÄga om myndigheters registrering och Ätkomst till stora och kÀnsliga upp- giftsmÀngder eller nÀr det finns anledning att vara sÀrskilt tydlig gentemot allmÀnheten, t.ex. i frÄga om vilka uppgifter om enskilda som en myndighet registrerar.

Registerförfattningar har ofta getts lagform trots att detta rent normgivningstekniskt inte har varit nödvÀndigt. Den bakomliggande tanken har emellertid varit att myndighetsregister med ett stort antal registrerade och med ett kÀnsligt innehÄll ska regleras sÀrskilt genom lag (prop. 1990/91:60 s. 50, KU 1990/91:11 s. 11, se Àven prop. 1997/98:44 s. 41).

3.3PÄgÄende reformarbete inom EU

3.3.1AllmÀnt

Den 25 januari 2012 presenterade kommissionen ett förslag till en genomgripande reform av EU:s regler om skydd för personupp- gifter. Förslaget omfattar dels en förordning med en generell reg- lering som ska ersÀtta dataskyddsdirektivet, kallad allmÀn uppgifts- skyddsförordning, dels ett nytt direktiv med sÀrregler för den brotts-

72

SOU 2015:39

AllmÀnna förutsÀttningar

bekÀmpande sektorn som ska ersÀtta det gÀllande dataskyddsram- beslutet (rambeslut 2008/977/RIF). Det föreslagna direktivet Àr mera vidstrÀckt till sitt tillÀmpningsomrÄde Àn dataskyddsram- beslutet i det att direktivet inte bara omfattar utbyte av information över grÀnserna utan Àven nationell personuppgiftsbehandling inom den brottsbekÀmpande sektorn.

Det huvudsakliga syftet med kommissionens förslag till uppgifts- skyddsförordning Àr att ytterligare harmonisera och effektivisera skyddet av personuppgifter i syfte att förbÀttra den inre mark- nadens funktion och öka enskildas kontroll över sina personupp- gifter. Enligt kommissionen kommer förslaget att undanröja den fragmentariska dataskyddsreglering som nu finns inom EU, vilket bÄde förenklar för företagen och stÀrker den enskildes rÀtt till skydd för sina personuppgifter. Eftersom regleringen föreslÄs fÄ formen av en förordning blir den direkt tillÀmplig i medlemsstaterna nÀr den trÀtt i kraft.

Förslaget till uppgiftsskyddsförordning baseras till stor del pÄ den struktur och reglering som finns i det nu gÀllande dataskydds- direktivet. Den föreslagna förordningen Àr liksom dataskyddsdirek- tivet utformad enligt en hanteringsmodell som innebÀr att sjÀlva hanteringen av personuppgifter regleras frÄn det att uppgifterna samlas in till dess att de utplÄnas. Förordningen innehÄller dock Àven en rad nyheter jÀmfört med dataskyddsdirektivet.

3.3.2Förslaget till uppgiftsskyddsförordning

Syfte och tillÀmpningsomrÄde

I förordningens första kapitel slĂ„s syftet och tillĂ€mpningsomrĂ„det fast, vilka Ă€r i princip desamma som dataskyddsdirektivets (artik- larna 1–3). Det territoriella tillĂ€mpningsomrĂ„det utvidgas dock till att Ă€ven omfatta uppgiftsbehandling som sker utanför EU sĂ„ lĂ€nge behandlingen utförs av företag som t.ex. erbjuder varor eller tjĂ€nster till EU-medborgare.

I kapitlet finns ocksÄ en rad definitioner av begrepp som an- vÀnds i förordningen (artikel 4). MÄnga av definitionerna motsvarar vad som gÀller enligt dataskyddsdirektivet men vissa av defini- tionerna har Àndrats och andra har tillkommit, t.ex. definitioner av personuppgiftsbrott samt genetiska och biometriska uppgifter. Defi-

73

AllmÀnna förutsÀttningar

SOU 2015:39

nitionen av samtycke har Àndrats pÄ sÄ sÀtt att ett samtycke alltid mÄste vara uttryckligt för att det ska anses utgöra ett giltigt sam- tycke i förordningens mening.

Principer och krav pÄ behandlingen av personuppgifter

Det andra kapitlet innehÄller de principer som ska styra behand- lingen av personuppgifter. Principerna motsvarar i stora drag de som redan gÀller enligt dataskyddsdirektivet vad gÀller t.ex. rÀttsliga grunder för behandling och behandling av kÀnsliga personupp- gifter. En nyhet Àr införandet av en princip om att behandling av personuppgifter mÄste ske pÄ ett öppet sÀtt (artikel 5). Det slÄs vidare fast att behandling efter en intresseavvÀgning inte kan Äbe- ropas som rÀttslig grund vid myndigheters behandling av person- uppgifter i deras myndighetsutövning (artikel 7.1 f). En ytterligare nyhet Àr att en registeransvarig inte Àr skyldig att skaffa fram ytterligare information för att kunna identifiera en registrerad en- bart för att kunna iaktta nÄgon bestÀmmelse i förordningen (arti- kel 10).

Den enskildes rÀttigheter

Det tredje kapitlet innehĂ„ller bestĂ€mmelser om den enskildes rĂ€ttig- heter. Först och frĂ€mst slĂ„s fast att den registeransvarige ska ha tydliga och lĂ€ttillgĂ€ngliga riktlinjer och vara skyldig att ge klar och tydlig information till den enskilde vad gĂ€ller behandlingen av personuppgifter samt informera mottagare av uppgifter under vissa villkor (artiklarna 11–13). Den enskildes rĂ€tt till information bygger i stor utstrĂ€ckning pĂ„ direktivets bestĂ€mmelser. I likhet med vad som redan gĂ€ller har den registrerade ocksĂ„ rĂ€tt att fĂ„ felaktiga uppgifter rĂ€ttade samt att fĂ„ ofullstĂ€ndiga uppgifter kompletterade (artiklarna 14–16).

Den nuvarande rĂ€tten att fĂ„ uppgifter raderade vidareutvecklas genom förordningen till att Ă€ven avse en rĂ€tt att bli ”glömd”. Detta innebĂ€r att den registeransvarige inte endast ska radera person- uppgifter som inte lĂ€ngre fĂ„r behandlas. Om uppgifterna har gjorts offentliga ska den registeransvarige dessutom vidta alla rimliga Ă„tgĂ€rder för att informera dem som uppgifterna spridits till att den

74

SOU 2015:39

AllmÀnna förutsÀttningar

enskilde vill bli glömd. En begÀran om att fÄ bli glömd innebÀr som huvudregel att uppgifterna ska raderas utan dröjsmÄl. Endast i vissa sÀrskilt upprÀknade undantagsfall fÄr uppgifter behÄllas trots den enskildes begÀran om att bli glömd (artikel 17).

I förordningen införs ocksÄ en rÀtt för den enskilde att fÄ en kopia av de personuppgifter som behandlas samt en rÀtt att fÄ person- uppgifter överförda frÄn en registeransvarig, t.ex. en tjÀnsteleveran- tör, till en annan, s.k. dataportabilitet (artikel 18).

Kapitlet innehÄller vidare bestÀmmelser som vidareutvecklar nu gÀllande reglering om den enskildes rÀtt att invÀnda mot uppgifts- behandling och att i viss utstrÀckning inte bli utsatt för s.k. profi- lering, dvs. automatisk behandling av uppgifter i syfte att bedöma personliga egenskaper hos den enskilde som exempelvis arbets- prestationer eller kreditvÀrdighet (artiklarna 19 och 20).

Slutligen ges medlemsstaterna befogenhet att för vissa sÀrskilt upprÀknade ÀndamÄl inskrÀnka vissa av rÀttigheterna och skyldig- heterna i förordningen genom nationell lagstiftning. En förutsÀtt- ning för att fÄ införa sÄdana inskrÀnkningar Àr dock att de Àr nöd- vÀndiga och proportionella i förhÄllande till det efterstrÀvade Ànda- mÄlet (artikel 21). BestÀmmelsen motsvarar artikel 13 i dataskydds- direktivet.

Skyldigheter för den som behandlar personuppgifter

Det fjÀrde kapitlet i förordningen innehÄller bestÀmmelser om vilka skyldigheter som den registeransvarige och den som behandlar upp- gifterna för dennes rÀkning, dvs. registerföraren (personuppgifts- bitrÀdet enligt personuppgiftslagen) har.

Även om mĂ„nga av skyldigheterna har motsvarigheter i data- skyddsdirektivet innebĂ€r förslaget att skyldigheterna utökas och vidareutvecklas. Exempelvis faststĂ€lls den registeransvariges skyldig- heter som följer av principerna om inbyggt uppgiftsskydd och upp- giftsskydd som standard (artikel 23). SĂ„ledes ska den personupp- giftsansvarige, bĂ„de i samband med att det bestĂ€ms hur behand- lingen ska utföras och vid tidpunkten för sjĂ€lva behandlingen, vidta Ă„tgĂ€rder för att sĂ€kerstĂ€lla att kraven i förordningen uppfylls (”data protection by design”). Den registeransvarige ska Ă€ven sĂ€kerstĂ€lla att behandlingen, som standard, endast fĂ„r avse de personuppgifter

75

AllmÀnna förutsÀttningar

SOU 2015:39

som Ă€r nödvĂ€ndiga i förhĂ„llande till syftet med behandlingen (”data protection by default”).

Vidare klargörs gemensamma registeransvarigas ansvar vad gÀller förhÄllandena dem emellan och gentemot den registrerade (arti- kel 24).

Registerförarens stĂ€llning och skyldigheter regleras avsevĂ€rt mera utförligt i förordningen Ă€n i dataskyddsdirektivet (artikel 26). Exempelvis klargörs att en registerförare som behandlar andra uppgifter Ă€n de som anges i den registeransvariges instruktioner ska anses som gemensamt registeransvarig. Över huvud taget följer av flera bestĂ€mmelser i förordningen ett medansvar för registerförare som Ă€r nytt i förhĂ„llande till dataskyddsdirektivet. Exempelvis kan Ă€ven en registerförare bli skadestĂ„ndsskyldig gentemot den regi- strerade vid otillĂ„ten behandling (artikel 77).

Den registeransvarige och registerföraren Àr vidare skyldig, pÄ liknande sÀtt som gÀller enligt direktivet, att vidta lÀmpliga sÀkerhetsÄtgÀrder för att skydda de personuppgifter som behandlas (artikel 30). Det införs ocksÄ en skyldighet för den registeransva- rige att utan dröjsmÄl, om möjligt inom 24 timmar, underrÀtta till- synsmyndigheten om ett intrÀffat personuppgiftsbrott, t.ex. ett dataintrÄng (artikel 31). I vissa fall krÀvs det Àven att de enskilda som berörs av personuppgiftsbrottet underrÀttas (artikel 32).

Den registeransvarige ska dessutom i vissa fall lÄta göra en konsekvensanalys avseende integritetsriskerna med en planerad upp- giftsbehandling (artikel 33). Den generella skyldigheten enligt data- skyddsdirektivet att anmÀla behandling av personuppgifter till den nationella tillsynsmyndigheten har tagits bort. Enligt förordningen ska det endast finnas anmÀlningsskyldighet och krav pÄ förhands- tillstÄnd i frÄga om personuppgiftsbehandling som innebÀr sÀr- skilda risker (artikel 34). I stÀllet ska det föras och bevaras en detal- jerad dokumentation om den uppgiftsbehandling som genomförs (artikel 28). Denna dokumentation ska efter begÀran göras tillgÀng- lig för tillsynsmyndigheten.

Varje myndighet samt alla företag med minst 250 anstĂ€llda eller vars huvudsakliga verksamhet Ă€r sĂ„dan att den krĂ€ver regelbunden övervakning av enskilda ska Ă€ven utse ett uppgiftsskyddsombud. Uppgiftsskyddsombudet ska utses för en period om minst tvĂ„ Ă„r och ges möjlighet att pĂ„ ett sjĂ€lvstĂ€ndigt sĂ€tt övervaka att myndig- heten eller företaget uppfyller förordningens krav (artiklarna 35–37).

76

SOU 2015:39

AllmÀnna förutsÀttningar

Överföring av uppgifter till lĂ€nder och internationella organisationer utanför EU

I förordningens femte kapitel regleras under vilka förutsĂ€ttningar personuppgifter fĂ„r överföras till tredjeland eller till en internatio- nell organisation utanför EU. Den föreslagna regleringen innebĂ€r en vidareutveckling av motsvarande reglering i dataskyddsdirek- tivet. Liksom enligt direktivet Ă€r det ett grundlĂ€ggande krav för sĂ„- dan överföring att det mottagande tredjelandet sĂ€kerstĂ€ller en adekvat skyddsnivĂ„ för uppgifterna. I regel Ă€r det kommissionen som ska besluta om ett tredjeland uppfyller detta krav eller inte (artiklarna 40 och 41). Om kommissionen har beslutat att ett tredjeland inte har en adekvat skyddsnivĂ„ sĂ„ innebĂ€r detta ett förbud för överföring av uppgifter dit. Har kommissionen inte fattat nĂ„got beslut i frĂ„gan finns det möjlighet att överföra uppgifter till tredjeland om vissa juridiskt bindande skyddsĂ„tgĂ€rder vidtas, som t.ex. anvĂ€ndandet av vissa godkĂ€nda standardavtalsklausuler, eller med stöd av vissa direkta undantag (artikel 42–44).

Tillsynsmyndigheter

I det sjÀtte kapitlet finns bestÀmmelser om den nationella tillsyns- myndigheten. Reglerna pÄminner i stort om regleringen i data- skyddsdirektivet. Tillsynsmyndigheten ges dock vissa nya skyldig- heter och befogenheter, som t.ex. en skyldighet att pröva klagomÄl om uppgiftsbehandling och en befogenhet att vÀcka talan i domstol vid övertrÀdelser mot bestÀmmelserna i förordningen (artikel 52). Genom förslaget införs ocksÄ en befogenhet för de nationella till- synsmyndigheterna att besluta om administrativa sanktionsavgifter (artikel 53).

Tillsynsmyndigheternas samarbete och ÄtgÀrder för en konsekvent tillÀmpning

Genom bestĂ€mmelserna i det sjunde kapitlet i förordningen (artik- larna 55–72) införs uttryckliga regler om tillsynsmyndigheternas samarbete över nationsgrĂ€nserna. Vidare föreslĂ„s en sĂ€rskild meka- nism som ska garantera att förordningen tillĂ€mpas pĂ„ ett konse-

77

AllmÀnna förutsÀttningar

SOU 2015:39

kvent sĂ€tt i hela EU. För att uppnĂ„ detta syfte ska det bland annat inrĂ€ttas en europeisk dataskyddsstyrelse bestĂ„ende av representanter för de nationella dataskyddsmyndigheterna. Dataskyddsstyrelsen ersĂ€tter Arbetsgruppen för uppgiftsskydd, den s.k. Artikel 29- gruppen, som tillskapats enligt dataskyddsdirektivet. De nationella tillsynsmyndigheterna Ă€r skyldiga att samrĂ„da med dataskydds- styrelsen innan de vidtar nĂ„gon Ă„tgĂ€rd som kan fĂ„ effekter i flera medlemsstater. Dataskyddsstyrelsen ska i sĂ„dana fall utfĂ€rda ett yttrande som den nationella tillsynsmyndigheten mĂ„ste ta hĂ€nsyn till. Även kommissionen ges rĂ€tt att utfĂ€rda sĂ„dana yttranden som den nationella tillsynsmyndigheten mĂ„ste beakta.

RĂ€ttsmedel, ansvar och sanktioner

BestÀmmelserna i det Ättonde kapitlet bygger pÄ och utvecklar motsvarande reglering i dataskyddsdirektivet. I kapitlet slÄs fast att enskilda ska ha rÀtt att klaga hos en nationell tillsynsmyndighet om de anser att behandlingen av deras personuppgifter inte följt reg- leringen i förordningen (artikel 73).

Den enskilde ska dessutom ges rÀttsmedel för att kunna fÄ till- synsmyndigheten att agera utifrÄn ett klagomÄl som framförts till myndigheten (artikel 74). I likhet med vad som redan gÀller ska den enskilde Àven ha rÀtt att vÀcka talan vid domstol mot en register- ansvarig. En nyhet Àr att rÀtten gÀller Àven gentemot en register- förare (artikel 75).

Om en enskild har drabbats av en skada pÄ grund av en otillÄten behandling av personuppgifter ska denne ha rÀtt till skadestÄnd frÄn den som Àr ansvarig för behandlingen, den registeransvarige eller registerföraren (artikel 77). I övrigt Àr det medlemsstaterna som ska faststÀlla de sanktioner som ska komma i frÄga vid övertrÀdelser av förordningens bestÀmmelser. Sanktionerna mÄste dock vara effek- tiva, proportionerliga och avskrÀckande (artikel 78). En nyhet Àr att de nationella tillsynsmyndigheterna Àr skyldiga att besluta om admini- strativa sanktionsavgifter vid vissa övertrÀdelser av förordningen. De belopp som ska dömas ut anges i förordningen och kan uppgÄ till en miljon euro, eller tvÄ procent av ett företags globala omsÀtt- ning, vid de allvarligaste övertrÀdelserna av förordningens bestÀm- melser (artikel 79).

78

SOU 2015:39

AllmÀnna förutsÀttningar

Behandling av personuppgifter för vissa sÀrskilda ÀndamÄl

I det nionde kapitlet finns bestÀmmelser om behandling av person- uppgifter för vissa sÀrskilda ÀndamÄl. För att skapa en balans mellan skyddet för personuppgifter och yttrandefriheten anges exempelvis att medlemsstaterna ska lagstifta om undantag frÄn vissa av förord- ningens bestÀmmelser för sÄdan behandling av personuppgifter som sker uteslutande för journalistiska ÀndamÄl eller för konst- nÀrligt eller litterÀrt skapande (artikel 80). Det finns Àven sÀrskilda bestÀmmelser som nÀrmare reglerar behandling av uppgifter om hÀlsa samt behandling för statistiska, historiska eller vetenskapliga forskningsÀndamÄl (artikel 81 respektive 83). Medlemsstaterna fÄr Àven lagstifta om sÄdan behandling av enskildas personuppgifter som har samband med anstÀllning (artikel 82).

Kommissionens rÀtt att utfÀrda delegerade akter och genomförandeakter

En betydelsefull skillnad i förhÄllande till dataskyddsdirektivet Àr att kommissionen i ett stort antal bestÀmmelser i förordningen föreslÄs ges rÀtt att anta delegerade akter och genomförandeakter. Det handlar exempelvis om att utfÀrda rÀttsakter som nÀrmare speci- ficerar innebörden av vissa krav som enligt förordningen stÀlls pÄ behandling av uppgifter samt rÀtt att utfÀrda olika standardformu- lÀr och procedurregler som ska gÀlla vid tillÀmpningen av förord- ningen. BestÀmmelserna i det tionde kapitlet reglerar de nÀrmare villkoren för dessa delegerade befogenheter.

IkrafttrÀdande m.m.

Det elfte kapitlet innehÄller förordningens avslutande bestÀmmelser. Det föreslÄs bland annat att kommissionen ska utvÀrdera förord- ningen och rapportera till ministerrÄdet och Europaparlamentet. För- ordningen ska enligt förslaget börja tillÀmpas tvÄ Är efter att den offentliggjorts (artikel 91).

79

AllmÀnna förutsÀttningar

SOU 2015:39

3.3.3Förhandlingsarbetet

Europaparlamentet

I Europaparlamentet behandlas dataskyddsreformen i utskottet för medborgerliga fri- och rÀttigheter samt rÀttsliga och inrikes frÄgor (LIBE-utskottet). Rapportören för uppgiftsskyddsförordningen, Jan Philipp Albrecht, lade fram ett förslag till betÀnkande i decem- ber 2012 och den 22 oktober 2013 röstade LIBE-utskottet fram ett förslag. Den 12 mars 2014 antog Europarlamentet en resolution efter en omröstning som resulterade i en mycket stark majoritet för förslaget till uppgiftsskyddsförordning, 621 ja-röster, 10 nej-röster och 22 nedlagda röster. Förslaget till direktiv för den brotts- bekÀmpande verksamheten antogs med 371 ja-röster, 276 nej-röster och 30 nedlagda röster.

I resolutionen betrÀffande uppgiftsskyddsförordningen har Europaparlamentet föreslagit ett flertal Àndringar och tillÀgg. Gene- rellt föreslÄr parlamentet ett betydligt snÀvare utrymme för kom- missionen att anta delegerade akter och genomförandeakter.

LIBE-utskottet, med rapportören Jan Philipp Albrecht, Àr Àven efter parlamentets resolution och EU-valet vÄren 2014 ansvarigt för uppgiftsskyddsförordningen i parlamentet. NÄgot nytt stÀllnings- tagande har emellertid inte gjorts efter valet utan man avvaktar att rÄdet ska bli klart med sina förhandlingar.

MinisterrÄdet

Alltsedan Är 2012 har uppgiftsskyddsförordningen förhandlats i RÄdet för rÀttsliga och inrikes frÄgor, RIF-rÄdet. Förhandlingarna pÄgÄr fortfarande. Hittills har emellertid tre delöverenskommelser uppnÄtts.

Redan initialt i förhandlingarna om förordningen framkom att det tycktes föreligga relativt stor enighet inom rÄdet om att det finns behov av att skapa ytterligare flexibilitet för den offentliga sektorn. Detsamma gÀllde Àven för behovet av att införa en mer riskbaserad ansats. Vid ett möte i RIF-rÄdet i juni 2013 infördes efter förslag frÄn bl.a. Sverige en sÀrskild artikel om tillgÄng till all- mÀnna handlingar. Vid RIF-rÄdet i juni 2014 trÀffades en överens- kommelse om partiell allmÀn inriktning nÀr det gÀller förordningens

80

SOU 2015:39

AllmÀnna förutsÀttningar

kapitel V, som innehÄller bestÀmmelser om överföring av person- uppgifter till lÀnder och internationella organisationer utanför EU och EES. Vid RIF-rÄdet i oktober 2014 trÀffades en överenskom- melse om partiell allmÀn inriktning nÀr det gÀller kapitel IV, som frÀmst innehÄller bestÀmmelser om de personuppgiftsansvarigas skyldigheter. Vid det senaste mötet i december 2014 uppnÄddes en överenskommelse om partiell allmÀn inriktning med Àndringar i artiklarna 1(2)a, 6(3) och 21 och hela kapitel 9. De aktuella Ànd- ringarna i bestÀmmelserna reglerar hur förordningens regelverk förhÄller sig till nationella regleringar om den offentliga sektorn och vilket utrymme medlemsstaterna ska ha att i vissa situationer och vid viss personuppgiftsbehandling anta specifika, och Àven i vissa fall avvikande, bestÀmmelser i förhÄllande till förordningens regelverk. Syftet med Àndringarna Àr att skapa ytterligare flexibilitet för den offentliga sektorns behandling av personuppgifter.

Vad hÀnder nu?

Den fortsatta processen med uppgiftsskyddsförordningen Àr alltsÄ beroende av att förhandlingarna inom rÄdet kan slutföras. EU:s nuvarande ordförandeland, Lettland, har som ambition att RIF- rÄdet i juni 2015 ska kunna besluta om en allmÀn inriktning om hela uppgiftsskyddsförordningen, dvs. rÄdets förslag till förord- ningstext. Det förslaget kommer sedan att vara utgÄngspunkten för rÄdets förhandlingar, trilogen, med Europaparlamentet och kom- missionen om uppgiftsskyddsförordningen. Europeiska rÄdet (stats- och regeringscheferna) har stÀllt i utsikt att man bör kunna nÄ fram till en överenskommelse mellan institutionerna under 2015.

Ett införande av förordningen har bedömts viktigt för att förverkliga ambitionen om en ”digital inre marknad” (Digital Single Market), vilken Ă€r av pelarna i den gĂ€llande digitala agendan för EU samt ocksĂ„ en prioriterad frĂ„ga i kommissionens arbetsprogram för 2015. Ambitionen synes sĂ„ledes vara att lagstiftningsprocessen ska drivas med inriktning pĂ„ ett slutförande och ett beslut om införande av förordningen inom en inte alltför avlĂ€gsen tid. Enligt kom- missionens förslag ska uppgiftsskyddsförordningen börja tillĂ€mpas tvĂ„ Ă„r efter offentliggörandet. Europaparlamentet har inte föreslagit

81

AllmÀnna förutsÀttningar

SOU 2015:39

nÄgon Àndring dÀrvidlag och frÄgan har, sÄvitt framkommit, inte blivit föremÄl för nÄgon delöverenskommelse inom rÄdet.

82

4Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

VÄrt övergripande uppdrag Àr alltsÄ att se över den s.k. register- lagstiftningen. I denna översyn ingÄr att göra en översiktlig inven- tering av gÀllande registerförfattningar. I detta kapitel redovisar vi i huvuddrag vÄra iakttagelser frÄn inventeringen av registerförfatt- ningarna. Vi redogör ocksÄ för nÄgra generella problem med register- författningarna, dels sÄdana som framförts i tidigare sammanhang, dels sÄdana som vi sjÀlva identifierat i vÄrt arbete.

Kapitlet inleds med en beskrivning av framvÀxten av den i Sverige etablerade regleringsmodellen pÄ persondataskyddsomrÄdet som innebÀr att grundlÀggande regler ges i en generellt tillÀmplig lag och att specifika undantag eller andra sÀrbestÀmmelser tas in i sÄdana sÀrskilda lagar eller förordningar som kommit att kallas registerför- fattningar.

4.1Bakgrund

4.1.1Registerförfattningarna och datalagen

Viss registerföring som i dag Àr reglerad i registerförfattningar har lÄng historik. LantmÀteriets fastighetsregister och Skatteverkets folkbokföring Àr ett par exempel pÄ förande av förteckningar med mÄnghundraÄriga anor. Det har Àven förekommit författningsreg- lering av registerföring under lÄng tid i den meningen att det i för- fattning föreskrivits att vissa register med visst innehÄll ska föras och med en nÀrmare reglering av registerverksamheten. Exempelvis har den nuvarande lagen (1998:620) om belastningsregister före- gÄngare i lagen om allmÀnt kriminalregister frÄn Är 1963 som i sin tur föregicks av lagen om straffregister frÄn Är 1900. Det som

83

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

SOU 2015:39

emellertid i dag kallas registerförfattningar har sin bakgrund i sam- hÀllets tilltagande datorisering under 1900-talets senare hÀlft och den integritetsdebatt som följde i spÄren pÄ denna utveckling.

Redan pĂ„ 1960-talet började datoriseringens inverkan pĂ„ sam- hĂ€llet debatteras i mĂ„nga lĂ€nder. Till en början handlade den svenska debatten om teknikens inverkan pĂ„ offentlighetsprincipen. Det var emellertid 1970 Ă„rs folk- och bostadsrĂ€kning som kom att spela rollen av utlösande faktor för en allmĂ€n debatt i Sverige om auto- matisk databehandling (ADB) och dess anvĂ€ndning för personregi- strering. Myndigheternas insamlande av uppgifter om mĂ€nniskor och deras levnadsförhĂ„llanden ansĂ„gs öka myndigheternas makt och möjlighet att styra enskildas handlingar. Även försĂ€ljningen av personuppgifter frĂ„n myndigheter till enskilda, som sedan anvĂ€ndes för selektiv reklam, utsattes för hĂ€ftig kritik. År 1971 fick Offent- lighets- och sekretesslagstiftningskommittĂ©n i uppdrag att behandla frĂ„gan om lagstiftning rörande personorienterad ADB-information. KommittĂ©n kom dĂ€rmed att bli den första integritetsutredningen pĂ„ dataomrĂ„det.

Offentlighets- och sekretesslagstiftningskommittén bedömde att ADB-teknikens utveckling, innebÀrande att stora mÀngder infor- mation kan föras samman i en enda enhet och dÀrur göras analyser och sammanstÀllningar, medförde nya faror för otillbörliga intrÄng i den personliga integritetssfÀren (SOU 1972:47 s. 56 ff.). Kom- mittén framhöll att det inte bara var betydelsefullt att förhindra reella risker för otillbörliga intrÄng. Beaktas borde Àven de psyko- logiska effekterna som vetskapen om ADB-anvÀndningen med- förde med Ätföljande behov hos enskilda av att kunna lita pÄ att det privata omrÄdet verkligen respekterades av myndigheter och orga- nisationer. I detta sammanhang pÄtalades dock att rÀdslan för miss- bruk av datalagrad information inte fick undanskymma det förhÄll- andet att ADB-teknikens utökade anvÀndning ocksÄ hade haft mycket positiva effekter, bÄde för samhÀllsekonomin och för samhÀlls- planeringen i stort.

NÄgon enhetlig definition av vad som avses med personlig inte- gritet fanns inte dÄ och finns inte heller i dag. Begreppet har upp- mÀrksammats i flera statliga utredningar och blivit föremÄl för en del ingÄende analyser och attitydundersökningar (se bl.a. SOU 2007:22 s. 52 f. och 77 f.). Offentlighets- och sekretesslagstift- ningskommittén hÀnvisade som bakgrund till sina övervÀganden

84

SOU 2015:39

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

om en lagstiftning rörande personorienterad ADB-information till det i amerikansk juridisk doktrin utbildade rĂ€ttsliga begreppet ”privacy” (SOU 1972 s. 56 f.). Grundtanken med begreppet Ă€r att den enskilde bör ha tillgĂ„ng till en fredad sektor inom vilken han eller hon kan avvisa sĂ„dan inblandning bĂ„de frĂ„n det allmĂ€nna och frĂ„n andra som uppfattas som otillbörlig. RĂ€tten att bli lĂ€mnad i fred kan dock aldrig vara absolut i ett samhĂ€lle. SamhĂ€llets krav pĂ„ insatser frĂ„n den enskilde i frĂ„ga om t.ex. arbete och skatter mĂ„ste begrĂ€nsa den privata sektorn. Att nĂ€rmare ange innehĂ„llet i den fredade sektorn ansĂ„g Offentlighets- och sekretesslagstiftnings- kommittĂ©n vara svĂ„rt att göra, bl.a. eftersom man mĂ„ste rĂ€kna med att det som bör skyddas efterhand kommer att förskjutas. Fakta om begĂ„ngna brott, sjukdomar, mottagen socialhjĂ€lp angavs som exempel pĂ„ typfall av information som det Ă€r ofrĂ„nkomligt att vissa myndigheter mĂ„ste registrera för att uppfylla sina arbetsuppgifter, men som ur den enskildes synpunkt upplevs som ömtĂ„lig. Även enskildas Ă„sikter gavs som exempel pĂ„ ömtĂ„lig information. Kom- mittĂ©n underströk att inte bara vilken typ av information som av- sĂ„gs var av betydelse utan Ă€ven insamlande och hantering av ett stort antal i och för sig banala uppgifter kunde i samband med ADB-teknikens möjligheter medföra negativa konsekvenser för den personliga integriteten (a.a. s. 60). Spridning och fortsatt anvĂ€nd- ning var ocksĂ„ av stor betydelse.

Offentlighets- och sekretesslagstiftningskommittén bedömde att det fanns ett nÀra samband mellan ansprÄket pÄ en fredad sektor och kravet frÄn enskilda att bli bedömda efter relevanta kriterier. Om man vet att en myndighet har tillgÄng till omfattande infor- mation om enskildas personliga förhÄllanden ligger det nÀra till hands, menade kommittén, att misstÀnka att informationen utnyttjas till stÀllningstaganden som den inte Àr avsedd för. Vidare föreligger risk att ofördelaktiga uppgifter om en persons förflutna i otillbörlig grad kommer att pÄverka hans eller hennes möjligheter i framtiden. SamhÀllets krav pÄ solidaritet och ekonomisk effektivitet mÄste dÀrför begrÀnsas, bl.a. genom att övervakningen av den enskilde inte tillÄts bli fullstÀndigt effektiv (SOU 1972:47 s. 63 f.).

Kommittén konstaterade att det system av befintliga skydds- regler som fanns genom bl.a. bestÀmmelserna om offentlighet- och sekretess och vissa straffbestÀmmelser, t.ex. brott mot post- och telehemlighet, var anvÀndbart mot integritetsintrÄng vid manuell

85

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

SOU 2015:39

informationsbehandling. DÀremot ansÄgs dessa bestÀmmelser komma till korta gentemot den automatiska databehandlingen. SÀrskilda regler för att möta det nya hotet ansÄgs dÀrför pÄkallade. För att komma till rÀtta med riskerna med ADB-teknikens utveckling och de dÀrmed sammanhÀngande riskerna för otillbörliga intrÄng i den personliga integriteten avseende registrering av personuppgifter lade kommittén fram ett förslag till en datalag. Förslaget ledde till genomförandet av den numera upphÀvda datalagen (1973:289).

Datalagen och statsmaktsregister

Datalagens syfte var att hindra att hanteringen av ADB-förda per- sonregister medförde otillbörliga intrĂ„ng i den personliga integri- teten. Registrering skulle fĂ„ förekomma, men det krĂ€vdes att vissa regler iakttogs. Lagen var tillĂ€mplig inom bĂ„de den offentliga och privata sektorn och byggde pĂ„ ett tillstĂ„ndssystem. Enligt lagens ursprungliga lydelse krĂ€vdes – med visst undantag – tillstĂ„nd av den dĂ„ nyinrĂ€ttade Datainspektionen för att starta eller föra ett person- register med ADB. Detta gĂ€llde register hos sĂ„vĂ€l myndigheter som privata aktörer. TillstĂ„ndskravet kom senare att i vissa fall ersĂ€ttas av ett anmĂ€lningsförfarande. Utöver tillstĂ„nd förutsattes Datainspek- tionen meddela föreskrifter om registrets Ă€ndamĂ„l, vilka person- uppgifter som fick ingĂ„ samt, vid behov, föreskrifter om bl.a. in- hĂ€mtandet av personuppgifter, tillĂ„tna ADB-bearbetningar, utlĂ€m- nande av personuppgifter, bevarande och gallring eller kontroll och sĂ€kerhet.

Offentlighets- och sekretesslagstiftningskommittén hade före- slagit att Datainspektionens tillstÄndsprövning Àven skulle omfatta personregister vars inrÀttande beslutats av statsmakterna, dvs. av riksdagen eller regeringen. I motiven till datalagen uttalade emeller- tid departementschefen att det av flera skÀl torde vara nödvÀndigt att sÀrbehandla vissa statliga personregister och anförde vidare följ- ande (prop. 1973:33 s. 97).

För det första bör riksdagen kunna besluta om inrÀttande av person- register för riksdagens egen verksamhet eller verksamheten hos organ som Àr understÀllt riksdagen. Vidare förekommer pÄ den offentliga sek- torn personregistrering av sÄdan vikt frÄn allmÀn och enskild synpunkt att det Àr nödvÀndigt att frÄgan om registrens inrÀttande förbehÄlls statsmakterna sjÀlva. Ofta ges föreskrifter för registrering i form av lag

86

SOU 2015:39

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

eller annan författning som meddelas av riksdagen och Kungl. Maj:t eller endera av dem. Exempel pÄ register av denna typ finns bl.a. pÄ rÀttsvÀsendets omrÄde.

FrÄn datalagens krav pÄ tillstÄnd kom alltsÄ personregister vars in- rÀttande beslutats av riksdagen eller regeringen, s.k. statsmakts- register, att undantas (2 § datalagen, sedermera 2 a §). Enligt motiven gÀllde undantaget oberoende av om beslutet om registrets inrÀtt- ande gavs formen av lag eller annan författning eller kom till ut- tryck pÄ annat sÀtt (prop. 1973:33 s. 97). Innan sÄdant beslut fattades skulle dock yttrande inhÀmtas frÄn Datainspektionen. NÀr Datainspektionen avgav ett sÄdant yttrande skulle en bedömning av registret ske enligt samma grunder som vid prövning av ett till- stÄndsÀrende. Datainspektionen kunde Àven meddela föreskrifter för registret i den mÄn riksdagen eller regeringen inte hade gjort det, t.ex. om ÀndamÄl eller bevarande och gallring. Dessutom om- fattades Àven statsmaktsregister av Datainspektionens tillsyn enligt datalagen.

För övriga personregister som en kommunal eller statlig myn- dighet kunde inrÀtta krÀvdes tillstÄnd frÄn Datainspektionen. NÀr det gÀllde personregister som innehöll uppgifter om bl.a. straff- processuella eller administrativa frihetsberövanden eller nÄgons sjukdom eller hÀlsotillstÄnd, dvs. registrering av uppgifter som be- dömdes vara av sÀrskilt kÀnslig natur, infördes dock sÀrskilda restriktioner för att tillstÄnd till registerföringen skulle kunna med- ges annan Àn myndighet som enligt lag eller annan författning hade att föra förteckning över sÄdana uppgifter (4 § datalagen). Indirekt förutsattes alltsÄ redan vid datalagens tillkomst att förandet av per- sonregister med sÀrskilt integritetskÀnsligt innehÄll hade uttryck- ligt författningsstöd. Det kan pÄpekas att det redan innan data- lagens tillkomst fanns författningar med enstaka bestÀmmelser om t.ex. gallring, inhÀmtande och spridande av uppgifter i register som motiverades av hÀnsyn till de registrerades integritet. Exempel pÄ sÄdana registerförfattningar var lagen (1963:197) om allmÀnt krimi- nalregister och lagen (1965:94) om polisregister. I huvudsak hand- lade dock Àldre registerlagar om att ett register av visst innehÄll skulle föras för att tillgodose nÄgot allmÀnnyttigt syfte eller lik- nande. Det primÀra mÄlet i dessa Àldre författningar var sÄledes inte att vÀrna om integriteten.

87

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

SOU 2015:39

NÄgra förarbetsuttalanden frÄn datalagens tid

Även efter datalagens införande fortsatte datoranvĂ€ndningen och den personliga integriteten att debatteras i samhĂ€llet och nya utred- ningar tog vid efter Offentlighets- och sekretesslagstiftnings- kommittĂ©n.

DatalagstiftningskommittĂ©n fick 1976 uppdraget att göra en översyn av bl.a. datalagen. I sitt delbetĂ€nkande Personregister – datorer – integritet (SOU 1978:54) behandlade kommittĂ©n bl.a. frĂ„gor om samkörning av olika personregister och anvĂ€ndning av personnummer (s. 85–112). I detta sammanhang redogjorde kom- mittĂ©n för de risker för otillbörligt intrĂ„ng i den personliga inte- griteten som kan uppkomma genom att uppgifter som ursprung- ligen samlats in för ett Ă€ndamĂ„l senare anvĂ€nds för ett annat Ă€nda- mĂ„l. Ett sĂ„dant utnyttjande ansĂ„gs i otillbörlig grad minska den enskildes möjligheter att överblicka hur uppgifter som den enskilde sjĂ€lv en gĂ„ng lĂ€mnat kan komma att anvĂ€ndas. Även information som var harmlös i sig ansĂ„gs kunna innebĂ€ra intrĂ„ng i den enskildes integritet eftersom sammanstĂ€llningar frĂ„n olika register kunde leda till en kartlĂ€ggning av en persons enskilda förhĂ„llanden. LikasĂ„ pĂ„talades risken för utlĂ€mnande av den enskilde individen. Vidare framfördes farhĂ„gor om att det vid samkörning av register kunde vara svĂ„rt att kontrollera att uppgifterna var korrekta och aktuella. DĂ€rutöver aktualiserades mera abstrakta integritetsintrĂ„ng, t.ex. att bara vetskapen om att de uppgifter man lĂ€mnat till en myndighet överförs mellan olika register kunde vĂ€cka obehag.

Datalagstiftningskommittén konstaterade att samkörningsfrÄgor alltmer aktualiserades vid myndigheternas handlÀggning av ansök- ningar frÄn enskilda om behovsprövade förmÄner och inom skatte- administrationen (a.a. s. 108 f.). Enligt kommittén vÀckte det frÄgor om vilka metoder att kontrollera enskildas uppgifter som var accep- tabla. Intressekonflikten mellan behovet av effektiva kontroller och enskildas krav pÄ personlig integritet medförde dock svÄra avvÀg- ningsproblem. Hur intresseavvÀgningen skulle utfalla kunde dock inte en gÄng för alla slÄs fast genom en regel i datalagen. Det var snarare en frÄga som mÄste avgöras frÄn fall till fall grundade pÄ politiska övervÀganden. Enligt kommittén var det vÀsentligt att be- slut om inrÀttandet och anvÀndandet av offentliga personregister, som gav en djupare inblick i enskilda medborgares privata förhÄll-

88

SOU 2015:39

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

anden, fattades av riksdag eller regering och inte av de myndigheter som skulle anvĂ€nda registren. Detta borde gĂ€lla Ă€ven ifrĂ„ga om anvĂ€ndning av register för nya Ă€ndamĂ„l. Över huvud taget för- ordade kommittĂ©n att Ă€ndamĂ„len för statliga register angavs sĂ„ tyd- ligt som möjligt av riksdag eller regering samt att det skulle klar- göras att registren inte fick anvĂ€ndas för andra Ă€ndamĂ„l utan med- givande av riksdag eller regering. KommittĂ©n uttalade vidare följ- ande (a.a. s. 110).

En metod att göra detta Àr att, sÄsom ibland redan skett, reglera registren genom lagar eller förordningar och att dÀrvid meddela sÄ lÄngt möjligt uttömmande föreskrifter om anvÀndningen. Man bör alltsÄ var för sig pÄ ett i vart fall nÄgot sÄnÀr enhetligt sÀtt författningsreglera alla stat- liga register av betydelse i sammanhanget. Om det dÀrefter uppkom- mer behov av att anvÀnda registren för andra syften Àn de som ur- sprungligen var aktuella fÄr sÄdana behov prövas och avgöras frÄn fall till fall enligt samma ordning. DALK [Datalagstiftningskommittén] för- ordar denna lösning.

Även Data- och offentlighetskommittĂ©n behandlade i delbetĂ€nk- andet Integritetsskyddet i informationssamhĂ€llet 4 (SOU 1987:31 s. 157 f.) frĂ„gor om samkörning, personnummeranvĂ€ndning samt författningsreglering av personregister. I en kartlĂ€ggning av person- registreringen konstaterade kommittĂ©n att register i en del fall har stöd i lag eller annan författning men att dessa ofta var förĂ„ldrade, t.ex. dĂ€rför att de skapats för manuell registerhantering, eller sak- nade mera detaljerad reglering. Vidare var det mindre vanligt med författningar som beslutats av riksdagen (a.a. s. 47). Enligt kom- mittĂ©n mĂ„ste mĂ„lsĂ€ttningen vara att personregister som Ă€r sĂ€rskilt kĂ€nsliga frĂ„n integritetssynpunkt regleras av riksdagen i syfte att stĂ€rka skyddet av enskilda registrerades integritet. Beslut om ny eller utökad personregistrering föregĂ„s dĂ„ av ordentlig utredning av konsekvenserna frĂ„n integritetssynpunkt, vilket Ă€r av betydelse för att en reell intresseavvĂ€gning ska kunna göras. De register som sĂ€r- skilt utpekades var socialstyrelsens register, landstingens register, kommunernas register inom socialtjĂ€nsten och skolhĂ€lsovĂ„rden samt RiksförsĂ€kringsverkets och försĂ€kringskassornas register. Vidare anfördes att Datainspektionen fortlöpande borde vara uppmĂ€rksam pĂ„ om ytterligare register behöver specialreglering i lag. Om helt nya register som omfattar stora delar av befolkningen och inne- hĂ„ller integritetskĂ€nsliga uppgifter skapas i framtiden borde dessa

89

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

SOU 2015:39

alltid lagregleras redan frÄn början, menade kommittén. NÀr det gÀllde frÄgan om lagstiftningsteknik anförde kommittén bl.a. följ- ande (a.a. s. 159).

Vi har övervÀgt möjligheten att sammanföra alla registerförfattningar under ett paraply. En sÄdan lösning skulle medverka till enhetlig utformning av lagstiftningen och ge utrymme för sÄvÀl behövlig modernisering av befintliga författningar som en ny reglering pÄ de omrÄden dÀr sÄdan behövs. I en gemensam registerlag blir det emeller- tid svÄrt att reglera sÄdana centrala frÄgor som de olika registrens ÀndamÄl och innehÄll. Det Àr ocksÄ troligt att en för alla special- reglerade register gemensam registerlag blir alltför svÄröverskÄdlig för att fylla sitt syfte. En möjlighet vore att ge registerlagen karaktÀren av ramlag och att komplettera med registerförordningar eller föreskrifter frÄn DI [Datainspektionen] för varje enskilt register. En sÄdan ramlag skulle t.ex. kunna innehÄlla föreskrifter om vilka frÄgor som skall regleras i olika registerförfattningar. I princip ger dock datalagen redan vÀgledning pÄ den punkten. Denna lösning ger ocksÄ riksdagen mindre inflytande Àn vad som har varit fallet vid tillkomsten av befintliga registerlagar.

Data- och offentlighetskommittén stannade sÄledes för att fortsatta sÀrförfattningar var att föredra samt att sÄdana skulle ges i lagform i frÄga om register med kvalificerat kÀnsliga personuppgifter som fÄr en extern spridning som inte Àr obetydlig. Dock varnades för register- lagar utformade efter mall. I varje enskilt fall, framhöll kommittén, krÀvs en noggrann och individuell prövning. En registerlag som enbart syftar till att fungera som ett alibi för att verksamheten Àr under kontroll löser inte integritetsproblemen menade kommittén (SOU 1987:31 s. 161 f.).

Data- och offentlighetskommitténs övervÀganden kom att i den fortsatta framvÀxten av registerlagstiftningen fÄ stor betydelse. I det efterföljande lagstiftningsarbetet anslöt sig regeringen liksom konstitutionsutskottet till kommitténs tankar om lÀmplig normgiv- ningsnivÄ och gjorde uttalanden som ofta Äberopats i senare lag- stiftningsÀrenden som vÀgledande för att vÀlja lagform för register- författningsreglering (prop. 1990/91:60 s. 58 och KU 1990/91:11 s. 11).

Under 1990-talet tillkom, mot bakgrund av nyss nÀmnda lag- stiftningsÀrende, allt fler registerlagar. Det finns fortfarande register- lagar i kraft som tillkom som sÀrlagstiftning i förhÄllande till data- lagen. Lagen (1996:1156) om receptregister Àr ett exempel.

90

SOU 2015:39

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

4.1.2Registerförfattningarna och personuppgiftslagen

Dataskyddsdirektivets genomförande

Dataskyddsdirektivets genomfördes i svensk lagstiftning genom personuppgiftslagen. Personuppgiftslagen trÀdde i kraft den 24 okto- ber 1998 och ersatte dÄ datalagen. Som har framgÄtt Àr person- uppgiftslagen till skillnad frÄn datalagen teknikoberoende i den meningen att den i frÄga om automatiserad behandling inte begrÀn- sas till dataregister. All automatiserad behandling omfattas, alltsÄ Àven personuppgifter som framgÄr av bild eller ljud. Det avgörande Àr att personuppgifterna Àr föremÄl för automatiserad behandling, inte om de Àr ordnade i ett register eller inte. Till skillnad frÄn datalagen innehÄller personuppgiftslagen vidare inget krav pÄ till- stÄnd för inrÀttande och förande av personregister. I stÀllet inne- hÄller lagen en rad hanteringsregler för behandling av personupp- gifter.

Liksom datalagen utgör personuppgiftslagen emellertid en gene- rellt tillÀmplig reglering som gÀller för sÄvÀl myndigheter som enskilda vilka behandlar personuppgifter. I motiven till personupp- giftslagen diskuterades om lagens tillÀmpningsomrÄde borde begrÀn- sas i nÄgra avseenden, bl.a. till att enbart omfatta verksamheter som omfattas av unionsrÀtten. En sÄdan begrÀnsning ansÄgs dock strida mot vad som tillÀmpats under lÄng tid i Sverige, nÀmligen ett system som utgÄr frÄn en generell lag kompletterad med sÀrregler i s.k. registerförfattningar för viktigare och kÀnsligare register. Person- uppgiftslagen Àr dÀrför generellt tillÀmplig och omfattar Àven verk- samheter som faller utanför unionsrÀttens omrÄde (prop. 1997/98:44 s. 40 f.).

Av 2 § PuL följer vidare att om det i en annan lag eller förord- ning finns bestĂ€mmelser som avviker frĂ„n lagen, ska de bestĂ€m- melserna gĂ€lla. Det Ă€r sĂ„ledes endast sĂ€rregler i lag eller förordning som tar över bestĂ€mmelserna i personuppgiftslagen. Inte bara sĂ€r- bestĂ€mmelser i registerförfattningar avses i 2 §. Även bestĂ€mmelser i andra slags lagar och förordningar om t.ex. uppgiftsskyldighet gĂ€ller före bestĂ€mmelserna i personuppgiftslagen (prop. 1997/98:44 s. 116).

91

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

SOU 2015:39

Fortsatt sÀrreglering i registerförfattningar

I motiven till personuppgiftslagen (prop. 1997/98:44 s. 40 f.) anförde regeringen bl.a. följande.

Registerförfattningarna innehĂ„ller mĂ„nga preciserade och viktiga regler som inte rimligen kan ersĂ€ttas av de generella bestĂ€mmelser som den nya lagen innehĂ„ller. Samtidigt stĂ„r det klart att det Ă€r nödvĂ€ndigt med sĂ€rregler i förhĂ„llande till den nya lagen pĂ„ flera viktiga omrĂ„den, t.ex. betrĂ€ffande polisens verksamhet. FrĂ„gan Ă€r dĂ€rför om det redan i den nya lagen skall göras undantag för vissa verksamheter eller om nöd- vĂ€ndiga sĂ€rregler för dessa verksamheter liksom hittills skall ges i sĂ€r- skilda författningar som fĂ„r gĂ€lla framför den nya lagen. [
].

Vi anser att det traditionella svenska systemet med sÀrregler i sÀrskilda författningar Àr att föredra framför generella undantag frÄn den nya lagen. Det Àr i stort sett bara verksamhet inom den offentliga sektorn som med hÀnsyn till EG-direktivet skulle kunna undantas frÄn den nya lagen. Inom den sektorn förekommer det t.ex. ofta stora mÀngder kÀnsliga uppgifter och uppgifter som har hÀmtats in med stöd av straffsanktionerad uppgiftsplikt. DÀrför Àr det sÀrskilt viktigt med ett starkt integritetsskydd nÀr det gÀller uppgifter inom all offentlig verk- samhet. Om viss offentlig verksamhet skulle generellt undantas frÄn lagen, finns det risk för att viss behandling inom den sektorn inte kommer att omfattas av nÄgon lagstiftning med motsvarande syfte som den nya lagen. Genom att det krÀvs en sÀrskild författning för att av- vika frÄn det integritetsskydd som den nya lagen ger, garanteras dÀremot att behovet av sÀrregler alltid övervÀgs noga i den ordning som gÀller för författningsgivning. MÄlet har ocksÄ varit att myndig- hetsregister med ett stort antal registrerade och ett sÀrskilt kÀnsligt innehÄll skall regleras sÀrskilt i lag (prop. 1990/91:60 s. 50 och KU 1990/91:11 s. 11). Det finns inte anledning att nu avvika frÄn det mÄlet.

Den nya lagen bör sÄledes vara generellt tillÀmplig och omfatta Àven sÄdan verksamhet som faller utanför EG-rÀtten samtidigt som avvik- ande bestÀmmelser i lag eller förordning skall gÀlla framför den nya lagen. Detta innebÀr ocksÄ att den nya lagen i princip bara bör inne- hÄlla generella regler och att behovet av undantag och sÀrregler för mer speciella omrÄden fÄr tillgodoses genom andra författningar.

SÄsom Datalagskommittén och flera remissinstanser har pÄpekat krÀvs det en anpassning av befintliga registerförfattningar och en översyn av vilka sÀrregler som bör gÀlla i förhÄllande till den nya lagen. Vi avser att snarast pÄbörja ett sÄdant anpassnings- och översynsarbete.

92

SOU 2015:39

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

Under övergÄngsperioden fram till den 30 september 2001 dÄ per- sonuppgiftslagen trÀdde i full kraft antogs ett flertal nya register- författningar som kom till genom den i motiven aviserade över- synen. Vissa av dessa hade en annorlunda utformning jÀmfört med den som varit vanlig i tidigare registerförfattningar. Denna nya typ av registerförfattning har inte begrÀnsats till att reglera viss person- registerföring utan sÀrreglerar automatiserad personuppgiftsbehand- ling i viss verksamhet alldeles oavsett om den sker i register eller liknande informationssamlingar.

Offentlig verksamhet som inte Àr registerförfattningsreglerad

Det finns emellertid mĂ„nga myndigheter vars verksamhetsrela- terade personuppgiftsbehandling bara regleras genom personupp- giftslagen och inte sĂ€rskilt i nĂ„gon registerförfattning. Hur stor andel av den offentliga sektorns samlade personuppgiftsbehandling som inte Ă€r sĂ€rreglerad Ă€r svĂ„rt att kvantifiera men sĂ„ mycket stĂ„r klart att den ”icke sĂ€rreglerade” personuppgiftsbehandlingen sammantaget Ă€r omfattande.

PÄ det statliga omrÄdet finns t.ex. en förhÄllandevis stor mÀngd förvaltningsmyndigheter, i vart fall mer Àn hundratalet, som till övervÀgande del enbart tillÀmpar personuppgiftslagen i den behand- ling av personuppgifter som verksamheten föranleder. Till den kategorin hör stora myndigheter sÄsom universitet och högskolor. Visserligen finns sÀrregler om viss registerföring över studieresul- tat, antagningsförhÄllanden m.m. i förordningen (1993:1153) om redovisning av studier m.m. vid universitet och högskolor, men det Àr ingen heltÀckande författning för den behandling av person- uppgifter som förekommer inom omrÄdet och som inte bara avser studerande utan ocksÄ exempelvis forskningspersoner vars person- uppgifter, med eller utan den personens informerade samtycke, anvÀnds inom ramen för olika forskningsprojekt eller studentarbeten.

MÄnga statliga myndigheter som saknar registerförfattningar Àr jÀmförelsevis smÄ men kan behöva hantera ganska kÀnslig informa- tion i sin verksamhet. Inspektionen för vÄrd- och omsorg, som be- driver tillsyn över hÀlso- och sjukvÄrden och socialtjÀnsten och till vilken enskilda kan göra anmÀlningar om klagomÄl pÄ vÄrden m.m. liksom ErsÀttningsnÀmnden, som Àr tillfÀlligt inrÀttad för att han-

93

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

SOU 2015:39

tera vissa ansprÄk pÄ ersÀttning för vanvÄrd av fosterbarn, samt Diskrimineringsombudsmannen Àr exempel pÄ sÄdana myndig- heter. Exempel pÄ mycket smÄ myndigheter som knappast torde ha anledning att behandla personuppgifter annat Àn i klart begrÀnsad omfattning Àr NÀmnden för hemslöjdsfrÄgor och LagrÄdet.

PÄ det kommunala omrÄdet Àr skolverksamheten ett omrÄde som i stort sett saknar sÀrreglering i förhÄllande till personuppgifts- lagen men som sammantaget medför omfattande personuppgifts- behandlingar. Hit hör bÄde Àrendehantering och faktisk verksam- het som skolmyndigheter ansvarar för och som bl.a. sker inom för- skolan, fritidshemmen, grund- och gymnasieskolan och kommunal vuxenutbildning.

Kommunerna Ă€r vidare skyldiga enligt lag att bedriva vissa verk- samheter t.ex. rörande stadsplanering och byggfrĂ„gor, renhĂ„llning, rĂ€ddningstjĂ€nst och biblioteksverksamhet vilka alla föranleder viss personuppgiftsbehandling. Även kommunernas frivilliga verksam- het med kultur- och fritidsverksamhet kan nĂ€mnas som exempel pĂ„ verksamhet dĂ€r personuppgiftslagen tillĂ€mpas fullt ut.

4.2VÄr inventering av registerförfattningarna

4.2.1AllmÀnt

Registerförfattningar förekommer bÄde i form av lag och förordning. Som har framgÄtt har det lÀnge varit en ambition att sÀrskilt integritetskÀnslig registerföring ska regleras i lag, frÀmst dÀrför att en sÄdan normgivningsnivÄ borgar för att det görs en grundlig ut- redning och en ingÄende avvÀgning mellan integritetsintresset och de intressen som talar för registerföringen. Detta har gÀllt alldeles oavsett att lagform inte har varit nödvÀndig frÄn rent normgiv- ningsteknisk utgÄngpunkt. Det har emellertid framhÄllits att man inte har varit helt konsekvent vad gÀller valet av normgivningsnivÄn i det översyns- och anpassningsarbete som inleddes i samband med

personuppgiftslagens införande (Öman/Lindblom, s. 33).

Ganska ofta kompletteras en registerlag med en förordning som innehÄller utfyllande bestÀmmelser. Vidare Àr det inte ovanligt att registerförfattningar innehÄller bemyndiganden för utpekade myndig- heter att meddela föreskrifter med nÀrmare bestÀmmelser i vissa

94

SOU 2015:39

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

frÄgor eller bestÀmmelser om undantag i olika avseenden. Myndig- hetsföreskrifter Àr alltsÄ en tredje förekommande normgivningsnivÄ.

Vi har i enlighet med uppdraget enligt vĂ„ra direktiv gjort en översiktlig inventering av gĂ€llande registerförfattningar. En inled- ande frĂ„ga vi stĂ€llde oss var hur mĂ„nga sĂ„dana författningar det finns. Den frĂ„gan kan förefalla vara enkel att besvara men vi har funnit att sĂ„ inte Ă€r fallet. Svaret Ă€r nĂ€mligen helt beroende av hur man vĂ€ljer att avgrĂ€nsa begreppet registerförfattning, vilket Ă€r en komplex frĂ„ga. Är det t.ex. en registerförfattning bara dĂ€rför att en myndighet Ă„lĂ€ggs att föra ett visst register oavsett om detta inne- hĂ„ller personuppgifter eller inte eller ska bara författningar med bestĂ€mmelser rörande ett register dĂ€r vissa personuppgifter kan förekomma omfattas av begreppet?

Ett exempel pÄ en svÄrklassificerad författning Àr förordningen (2011:93) om stöd till insatser pÄ livsmedelsomrÄdet som föreskriver att Jordbruksverket ska föra ett register över stödmottagare. Det sÀgs inget om att registret fÄr eller inte fÄr föras elektroniskt och specifika bestÀmmelser om dataskydd saknas helt. Samma förhÄll- ande gÀller för det centrala passregistret som Polismyndigheten ska föra enligt passförordningen (1979:664).

Det finns vidare mĂ„nga författningar vars enda inslag av data- skyddsreglering Ă€r att ange att personuppgiftslagens bestĂ€mmelser om skadestĂ„nd och rĂ€ttelse gĂ€ller Ă€ven för informationshantering enligt författningen i frĂ„ga eller att det föreskrivs ett undantag frĂ„n personuppgiftslagens grundlĂ€ggande förbud mot överföring av per- sonuppgifter till tredje land. Det finns ocksĂ„ exempel pĂ„ författ- ningar dĂ€r det finns enstaka bestĂ€mmelser om personuppgifts- behandling, vilka dock inte riktar sig till myndigheter utan till enskilda aktörer, se t.ex. 6 kap. 1–8 §§ lagen (2010:751) om betaltjĂ€nster. Vidare finns författningar som innehĂ„ller bestĂ€mmelser om person- uppgiftsbehandling men som helt saknar reglering av registerföring som sĂ„dan.

Av huvudsakligt intresse för vÄrt arbete Àr regler om person- dataskydd vid helt eller delvis elektronisk informationshantering hos myndigheter. Vi har dÀrför valt att i vÄrt arbete lÄta begreppet registerförfattning omfatta författningar som i nÄgot avseende innehÄller sÀrbestÀmmelser i förhÄllande till eller hÀnvisningar till personuppgiftslagen alldeles oavsett om författningen i frÄga rör registerföring eller inte. Den avgrÀnsningen tycks ocksÄ stÄ bÀst i

95

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

SOU 2015:39

överensstÀmmelse med den allmÀnna uppfattningen rörande vad som numera utmÀrker en registerförfattning. Enbart det förhÄllan- det att en viss registerföring regleras i en författning innebÀr alltsÄ inte att författningen nödvÀndigtvis Àr att se som en registerförfatt- ning i nu aktuell mening.

Det Àr alltsÄ regler av dataskyddsrÀttslig natur, dvs. bestÀm- melser som avser att skydda enskildas personliga integritet, och som Àr föranledda av ett behov av att avvika frÄn eller komplettera det integritetsskydd som personuppgiftslagen annars ger som vi haft som frÀmsta urvalskriterium nÀr vi gjort vÄr inventering. Med detta kriterium omfattas bÄde sÄdana bestÀmmelser som syftar till ge författningsstöd Ät en personuppgiftsbehandling som inte hade varit tillÄten enligt personuppgiftslagen, t.ex. utökade möjligheter att behandla kÀnsliga personuppgifter, eller som syftar till att i för- hÄllande till personuppgiftslagen begrÀnsa myndigheternas möjlig- heter att behandla personuppgifter t.ex. genom att endast tillÄta registrering av vissa slags personuppgifter.

Initialt har vi gĂ„tt till vĂ€ga pĂ„ det viset att vi gjort sökningar i rĂ€ttsdatabaser med anvĂ€ndande av olika sökord för att fĂ„ fram för- fattningar som kan utgöra sĂ€rregleringar i förhĂ„llande till person- uppgiftslagen. Exempelvis har vi anvĂ€nt sökbegrepp sĂ„som ”$register”, ”$registret”, ”personuppgift$”, ”databas”, ”direktĂ„tkomst”, ”sök- begr$”, gallr$” m.fl. begrepp, för separat sökning eller i kombina- tioner.

Resultatet av vÄra sökningar bildar en brokig karta av författ- ningar i form av lagar eller förordningar som sinsemellan företer mer eller mindre stora likheter och olikheter, Àven efter det att alla trÀffar som helt saknar intresse för utredningsuppdraget sorterats bort. Bland bortsorterade författningar ingÄr dels sÄdana som helt saknar bestÀmmelser om behandling av personuppgifter eller annan reglering av dataskyddskaraktÀr, dels sÄdana som enbart reglerar förhÄllanden hos enskilda aktörer.

4.2.2Tre kategorier registerförfattningar

Vi har valt att sortera de författningar som vi har bedömt vara att betrakta som registerförfattningar i tre nÄgorlunda avgrÀnsade kategorier, nÀmligen som endera a) renodlade registerförfattningar,

96

SOU 2015:39

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

b) informationshanteringsförfattningar och c) annan reglering med inslag av dataskyddsbestÀmmelser. Vi har dÀremot inte sett det som meningsfullt att kategorisera författningarna utifrÄn normhierarkisk nivÄ, dvs. som lagar respektive förordningar eller utifrÄn olika sak- liga verksamhetssektorer exempelvis sÄsom rörande statlig respek- tive kommunal verksamhet osv. Det ska dock framhÄllas att vÄra sorteringskategorier Àr ganska trubbiga och att mÄnga författningar skulle kunna bedömas falla inom mer Àn en kategori.

Renodlade registerförfattningar

Den första kategorin registerförfattningar utmÀrks av att tillÀmp- ningsomrÄdet endast avser inrÀttandet, förandet och anvÀndningen av nÄgot enstaka register eller annan bestÀmd informationssamling. En del sÄdana registerförfattningar Àr förhÄllandevis gamla, ett exem- pel Àr förordningen (1970:517) om rÀttsvÀsendets informations- system, men det tillkommer fortlöpande nya författningar av detta slag. Förordningen (2014:885) om register över vigselförrÀttare, som förs av Kammarkollegiet, Àr ett sÄdant exempel.

Renodlade registerförfattningar handlar ofta om register som enligt statsmakterna ska föras och som ska ha ett visst obligatoriskt innehÄll. Genom en sÄdan registerförfattning ÄlÀggs en myndighet att föra ett visst register, registerföringen blir alltsÄ genom författ- ningsregleringen en del i myndighetens uppdrag. Den verksamhets- reglering som registerförfattningen dÀrigenom kan sÀgas avse kring- gÀrdas emellertid ofta av dataskyddsreglering som syftar till att garantera enskilda registrerade ett skydd för deras personliga inte- gritet i hanteringen av personuppgifter i samband med register- föringen. Lagen (2001:558) om vÀgtrafikregister med anknytande förordning Àr ett exempel hÀrpÄ. Det finns dock exempel pÄ för- fattningar i denna kategori dÀr anslaget Àr ett annat genom att det regleras att register fÄr, inte ska, föras eller vad de fÄr innehÄlla, se t.ex. lagen (1998:543) om hÀlsodataregister med anslutande för- ordningar för specifika hÀlsodataregister (t.ex. för Socialstyrelsens patientregister, cancerregister, lÀkemedelsregister m.fl.). Det hör dock till bilden att det i praktiken oftast tycks vara underförstÄtt att sÄdana register som det talas om att myndigheter fÄr föra, fak- tiskt ocksÄ ska föras. Detta kan t.ex. framgÄ av föreskrifter om

97

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

SOU 2015:39

skyldigheter för andra aktörer att inrapportera vissa uppgifter till den registerförande myndigheten. En skillnad mellan författningar som föreskriver att register ska föras i förhÄllande till sÄdana som talar om att register fÄr föras Àr att de senare normalt har en tyd- ligare prÀgel av att utgöra dataskyddsreglering snarare Àn verksam- hetsreglering.

Vi har identifierat uppemot ett 70-tal författningar som vi hÀn- fört till kategorin renodlade registerförfattningar. I de allra flesta fall Àr det frÄga om förordningar. I de fall sÄdana författningar har lagform sÄ har i allmÀnhet Äberopats riksdagens och regeringens stÀllningstagande i början av 1990-talet om att myndighetsregister med ett stort antal registrerade och ett sÀrskilt kÀnsligt innehÄll bör regleras sÀrskilt i lag i syfte att stÀrka skyddet för de registrerades integritet. Exempel pÄ detta Àr lagen om vÀgtrafikregister och lagen (2009:619) om djurskyddskontrollregister (prop. 2000/01:95 s. 55 och prop. 2008/09:143 s. 18 f.). Av nyare datum Àr lagen (2012:453) om register över nationella vaccinationsprogram (vaccinations- registret). I motiven till den sistnÀmnda lagen motiverades lag- formen för registret med att det dÀrigenom upprÀttades ett starkare skydd för hanteringen av data som Àr av stor betydelse för den personliga integriteten (prop. 2011/12:123 s. 67).

Variationerna inom sorteringskategorin renodlade registerförfatt- ningar Àr emellertid stora. I ganska mÄnga författningar spelar den dataskyddande regleringen inte nÄgon sÀrskilt framtrÀdande roll i jÀmförelse med den verksamhetsreglering som författningarnas bestÀmmelser i övrigt ger uttryck för, t.ex. i frÄga om anmÀlnings- eller ansökningsförfaranden och i frÄga om att det finns kataloger över vilka uppgifter som ska registreras. Exempel hÀrpÄ Àr författ- ningar för de s.k. publicitetsregistren som har till syfte att förse all- mÀnheten med information om vissa förhÄllanden, t.ex. rörande aktiebolag, fordon, patent m.m., och dÀr registreringen i sig medför vissa rÀttsverkningar. Dock Àr det vanligt att det sÄvitt avser person- uppgifter finns bestÀmmelser om registrets ÀndamÄl, personupp- giftsansvar, sökbegrÀnsningar, direktÄtkomst, utlÀmnande pÄ medium för automatiserad behandling, rÀttelse och skadestÄnd samt gall- ring. Det kan ocksÄ finnas bestÀmmelser om t.ex. vilka avgifter som fÄr eller ska tas ut vid utlÀmnande av uppgifter och handlingar i elektronisk form.

98

SOU 2015:39

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

Ett antal renodlade registerförfattningar har emellertid en tydlig prÀgel av att i allt vÀsentligt utgöra en dataskyddsreglering, dvs. dÀr inslaget av verksamhetsreglering m.m. inte dominerar utan dÀr det framgÄr att syftet med regleringen Àr att ge mer preciserade eller avvikande bestÀmmelser i förhÄllande till personuppgiftslagen. Den nyss nÀmnda lagen om register över nationella vaccinationsprogram Àr ett exempel pÄ en sÄdan författning liksom lagen om hÀlsodata- register. Andra exempel Àr lagen om receptregister och lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för mÀnniskors hÀlsa. Denna typ av registerförfattningar ligger till struktur och innehÄll relativt nÀra det vi kallar informa- tionshanteringsförfattningar. En skillnad gentemot informations- hanteringsförfattningarna Àr dock att registerförfattningar av detta sistnÀmnda slag genomgÄende konstruerats sÄ att det uttryckligen anges att personuppgiftslagen gÀller i den mÄn registerförfatt- ningen i frÄga inte innehÄller avvikande bestÀmmelser. I register- författningar som frÀmst syftar till att reglera en viss verksamhet, nÀmligen att bedriva ett visst register, förekommer dÀremot att förhÄllandet till personuppgiftslagen inte berörs alls. I sak torde detta dock inte innebÀra nÄgon egentlig skillnad.

Vissa myndigheters verksamheter Àr till stor del knutna till och styrda av renodlade registerförfattningar, t.ex. verksamheten hos LantmÀteriet (fastighetsregistret, pantbrevsregistret, lÀgenhetsregistret m.fl.), Bolagsverket (aktiebolagsregistret, handelsregistret m.fl.) och Transportstyrelsen (vÀgtrafikregistret m.fl.) För andra myn- digheter Àr registerförfattningar om förandet av vissa register mindre styrande för verksamheten som helhet, t.ex. för Finansinspek- tionen (insiderregistret, krigsskaderegistret m.fl.) eller Jordbruks- verket (djurskyddskontrollregistret m.fl.). Mellanformer finns dÀr tillÀmpning av registerförfattningar dominerar delar av en myndig- hets verksamhet sÄsom t.ex. Àr fallet med Socialstyrelsens verksam- het med hÀlsodataregister.

Som tidigare berörts Àr det inga vattentÀta skott mellan de sor- teringskategorier som vi anvÀnder oss av. Ett exempel pÄ detta Àr förordningen (2001:720) om behandling av personuppgifter i verk- samhet enligt utlÀnnings- och medborgarskapslagstiftningen. Den reglerar Migrationsverkets, Polismyndighetens, SÀkerhetspolisens och utlandsmyndigheternas personuppgiftsbehandling i verksam- het enligt den nÀmnda lagstiftningen. Förordningen reglerar en

99

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

SOU 2015:39

mycket omfattande personuppgiftsbehandling hos myndigheterna men Àr enligt sin ordalydelse begrÀnsad till att reglera vissa register, verksamhetsregister samt Migrationsverkets rÀttsfallsregister, finger- avtrycksregister samt landinformationsregister. Förordningen före- ter emellertid i realiteten starka drag av informationshanterings- författning.

Informationshanteringsförfattningar

Den andra sorteringskategorin började förekomma i samband med personuppgiftslagens införande. Dessa författningar har som över- gripande funktion att utöver eller i stÀllet för personuppgiftslagen sÀrreglera personuppgiftsbehandling i stort inom vissa utpekade verksamheter eller myndigheter. HÀr handlar det alltsÄ inte bara om att viss registerföring ska eller fÄr ske. Oftast omfattar regleringen sÄvÀl registerföring, Àrendehanteringssystem eller andra struktu- rerade personuppgiftssamlingar liksom annan slags behandling utan koppling till Àrendehanteringssystem, exempelvis behandling i löp- ande text. I och med att tillÀmpningsomrÄdet Àr vidare Àn att enbart reglera personuppgifter i register Àr det i egentlig mening miss- visande att kalla dem för registerförfattningar men uttryckssÀttet har levt kvar och kommit att omfatta Àven denna kategori författ- ningar.

UtmÀrkande för denna kategori Àr att de i huvudsak reglerar vilken personuppgiftsbehandling myndigheter fÄr utföra inom ramen för författningens tillÀmpningsomrÄde. Inte sÀllan finns dock sÀr- bestÀmmelser rörande vissa register, databaser eller gemensamt tillgÀngliga uppgiftssamlingar som fÄr eller ska finnas i den aktuella myndighetens verksamhet.

Informationshanteringsförfattningar har i allmÀnhet form av lag som kompletteras av förordningar med nÀrmare bestÀmmelser. Det finns ocksÄ fristÄende förordningar som Àr att betrakta som informa- tionshanteringsförfattningar. SÄ Àr t.ex. fallet nÀr det gÀller nu gÀll- ande registerförfattningar pÄ domstolarnas omrÄde respektive inom ÄklagarvÀsendet.

Till kategorin informationshanteringsförfattningar har vi, med bortseende frÄn den brottsbekÀmpande sektorn, bl.a. hÀnfört följ- ande författningar.

100

SOU 2015:39

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

‱Lagen (1998:938) om behandling av personuppgifter om total- försvarspliktiga med förordning, gĂ€ller för Totalförsvarets plikt- verk

‱Lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet med förordning

‱Lagen (2001:182) om behandling av personuppgifter i Skatte- verkets folkbokföringsverksamhet med förordning

‱Lagen (2001:183) om behandling av personuppgifter i verksam- het med val och folkomröstningar med förordning, gĂ€ller för Valmyndigheten

‱Lagen (2001:184) om behandling av uppgifter i Kronofogde- myndighetens verksamhet med förordning

‱Lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet med förordning

‱Lagen om behandling av personuppgifter inom socialtjĂ€nsten (2001:454) med förordning, gĂ€ller för kommunala myndigheter, Statens Institutionsstyrelse samt enskilda aktörer

‱De s.k. Veraförordningarna (2001:639–642), gĂ€ller för dom- stolarna och hyres- och arrendenĂ€mnderna

‱Lagen (2002:546) om behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten med förordning, gĂ€ller för Arbetsförmedlingen

‱Lagen (2006:469) om behandling av personuppgifter vid Inspek- tionen för arbetslöshetsförsĂ€kringen med förordning

‱Lagen (2007:258) om behandling av personuppgifter i Försvars- maktens försvarsunderrĂ€ttelseverksamhet och militĂ€ra sĂ€kerhets- tjĂ€nst med förordning

‱Lagen (2007:259) om behandling av personuppgifter i Försva- rets radioanstalts försvarsunderrĂ€ttelse- och utvecklingsverk- samhet med förordning

‱Patientdatalagen (2008:355) med förordning, gĂ€ller för kommu- nala och landstingskommunala hĂ€lso- och sjukvĂ„rdsmyndigheter och andra sorters myndigheter som bedriver hĂ€lso- och sjuk-

101

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

SOU 2015:39

vÄrd, t.ex. inom skolhÀlsovÄrd, KriminalvÄrden, Försvarsmakten, Statens institutionsstyrelse m.fl. Lagen gÀller Àven för enskilda vÄrdgivare.

‱Studiestödsdatalagen (2009:287) med förordning, gĂ€ller för Centrala studiestödsnĂ€mnden

‱Förordningen (2011:306) om behandling av personuppgifter i TandvĂ„rds- och lĂ€kemedelsförmĂ„nsverkets verksamhet i frĂ„ga om det statliga tandvĂ„rdsstödet

‱Kustbevakningsdatalagen (2012:145) i den mĂ„n lagen avser annat Ă€n brottsbekĂ€mpning, gĂ€ller för Kustbevakningen

‱Lagen (2012:741) om behandling av personuppgifter vid Insti- tutet för arbetsmarknads- och utbildningspolitisk utvĂ€rdering med förordning

Även nĂ€r det gĂ€ller denna sorteringskategori förekommer relativt stora variationer. NĂ„got som har varit sĂ€rskilt omdiskuterat genom Ă„ren Ă€r att författningarna systematiskt har utformats pĂ„ olika sĂ€tt nĂ€r det gĂ€ller förhĂ„llandet till personuppgiftslagen. Även Ă€ndamĂ„ls- bestĂ€mmelser har utformats pĂ„ olika sĂ€tt och begrepp har anvĂ€nts med delvis olika innebörd m.m.

Dock finns Àven mÄnga likheter. SÀrskilt gÀller detta vilka slags frÄgor som i allmÀnhet regleras i författningarna, nÀmligen frÄgor om tillÀmpningsomrÄde, varvid det förekommer föreskrifter om att vissa bestÀmmelser ska gÀlla Àven vid hantering av uppgifter om avlidna eller juridiska personer, personuppgiftsansvar, tillÄtna Ànda- mÄl för dels insamling och myndighetens egen anvÀndning av per- sonuppgifter (primÀra ÀndamÄl) dels tillhandahÄllande av person- uppgifter till externa mottagare (sekundÀra ÀndamÄl), vilka person- uppgifter som fÄr behandlas, betydelsen av den registrerades instÀll- ning till behandlingen, sökbegrepp, specifika hanteringsregler för register, databaser eller andra uppgiftssamlingar, sÀkerhetfrÄgor sÄ- som begrÀnsningar av tillgÄngen till lagrade personuppgifter, direkt- Ätkomst och annat elektroniskt utlÀmnande, bevarande och gallring samt frÄgor om rÀttelse, skadestÄnd och överklagande. Detaljerings- graden varierar emellertid betydligt. Vissa författningar har mer har karaktÀren av ramlagar med generella bestÀmmelser, t.ex. patient- datalagen med anknytande förordning, medan andra har en jÀm-

102

SOU 2015:39

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

förelsevis detaljerad reglering rörande bl.a. vilka uppgifter om vilka kategorier av personer som fÄr behandlas, t.ex. lagen om behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten med anknytande förordning.

PÄ de omrÄden dÀr det finns mer eller mindre heltÀckande in- formationshanteringsförfattningar för berörda myndigheters verk- samhet brukar det indirekt av de beskrivna tillÀmpningsomrÄdena och genom förarbetsuttalanden framgÄ att myndigheternas personal- och ekonomiadministration inte omfattas av regleringen i frÄga. I den verksamheten ska i stÀllet personuppgiftslagen tillÀmpas. Ett exempel hÀrpÄ Àr 1 § studiestödsdatalagen enligt vilken lagen ska tillÀmpas vid behandling av personuppgifter i Centrala studiestöds- nÀmndens studiestödsverksamhet. I motiven har beskrivits vad som nÀrmare avses med studiestödsverksamheten. Vidare har angetts att behandling av personuppgifter som sker inom ramen för myndig- hetens interna administration inte omfattas av lagen (prop. 2008/09:96 s. 33 f.).

Det kan ibland förekomma ytterligare sÀrreglering av viss per- sonuppgiftsbehandling inom en myndighet parallellt med sÄdan mer övergripande sÀrreglering av myndighetens personuppgiftsbehand- ling genom en informationshanteringsförfattning. Exempel hÀrpÄ Àr Skatteverkets verksamheter med Àktenskapsregistret respektive med identitetskort för folkbokförda i Sverige som omfattas av sÀr- skilda registerförordningar samt med verksamheten rörande förmedlingen av elektroniska försÀndelser frÄn myndigheter till enskilda i e-tjÀnsten Mina meddelanden (förordningen [1987:1022] om Àktenskapsregistret, förordningen [2009:284] om identitetskort för folkbokförda i Sverige samt förordningen [2003:770] om stat- liga myndigheters elektroniska informationsutbyte).

Annan reglering med inslag av dataskyddsbestÀmmelser

Den tredje sorteringskategorin Àr med vÄrt synsÀtt egentligen inte registerförfattningar alls. Till den kategorin hör olika slags författ- ningar som inte syftar till att frÀmst reglera ett visst register eller annan behandling av personuppgifter, utan bara till en mindre del innehÄller bestÀmmelser som rör personuppgiftsbehandling och i den delen utgör sÀrreglering i förhÄllande till personuppgiftslagen.

103

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

SOU 2015:39

SÄdan reglering kan t.ex. gÀlla förandet av ett visst register. Exem- pel hÀrpÄ Àr bestÀmmelser om viss registerföring i skogsvÄrdslagen (1979:429), vapenlagen (1996:67), konkurslagen (1987:672), bio- bankslagen (2002:297) och alkohollagen (2010:1622). Det kan ocksÄ handla om författningar med enstaka undantag frÄn personupp- giftslagens bestÀmmelser, t.ex. i frÄga om förbudet mot att överföra personuppgifter till tredjeland sÄsom i lagen (2012:318) om 1996 Ärs Haagkonvention. Den lagen hÀnvisar Àven till anvÀndnings- begrÀnsningar i konventionen ifrÄga.

Vi har identifierat mer Àn ett hundratal författningar som hör till denna kategori. Men vi utesluter inte att det finns ytterligare för- fattningar som Àr av det hÀr slaget. Vi har t.ex. bortsett frÄn sÄdana författningar som bara i nÄgot visst hÀnseende har relevans för myn- digheters personuppgiftsbehandling t.ex. författningar som före- skriver olika slags uppgiftsskyldigheter eller förfaranderegleringar. En författning av sistnÀmnt slag Àr rÀttegÄngsbalken som kan sÀgas innehÄlla en specifik reglering av dataskyddande karaktÀr i 27 kap. 24 § som avser bevarande respektive förstöring av upptagningar frÄn hemliga tvÄngsmedel.

Myndigheter sÄsom exempelvis Centrala studiestödsnÀmnden, FörsÀkringskassan och Pensionsmyndigheten Àr statistikansvariga myndigheter rörande officiell statistik och har i den verksamheten att följa de sÀrregler om behandling av personuppgifter som följer av lagen (2001:99) om officiell statistik med anknytande förord- ning. Den sistnÀmnda lagen och förordningen tillhör den kategori författningar som vÀsentligen utgör verksamhetsreglering men dÀr det finns vissa regler om personuppgiftsbehandling som gÀller för statistikansvariga myndigheter. Vad betrÀffar t.ex. FörsÀkrings- kassan och Centrala studiestödsnÀmnden omfattas sakverksamheten av annan sÀrreglering men sÄ Àr dock inte alltid fallet, t.ex. i frÄga om Brottsförebyggande rÄdet eller TillvÀxtverket. Det kan nÀmnas att det oftast Àr förutsatt att statistikansvariga myndigheters verk- samhet med den officiella statistiken ska vara en sjÀlvstÀndig verk- samhetsgren inom sÄdana myndigheter som bedriver annan huvud- saklig verksamhet Àn statistikverksamhet.

Lagen (1998:112) om ansvar för elektroniska anslagstavlor kan vidare nÀmnas i detta sammanhang eftersom den har betydelse för alla myndigheters verksamhet pÄ sociala medier. Bland annat inne- hÄller lagen sÀrskilda skyldigheter att informera och gallra pÄ myn-

104

SOU 2015:39

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

dighetens egna sociala medier, t.ex. om myndigheten har en inter- aktiv chattfunktion pÄ den egna webbplatsen. Detta torde utgöra en viss sÀrreglering i förhÄllande till personuppgiftslagen trots att det inte tycks ha varit ett uttalat syfte med lagen. HÀr kan Àven nÀmnas 6 kap. 18 § lagen (2003:389) om elektronisk kommunika- tion enligt vilken den som tillhandahÄller en webbplats Àr skyldig att informera om ÀndamÄlen med och inhÀmta samtycke till anvÀnd- ningen av s.k. cookies. Det kravet gÀller Àven för myndigheter.

Kameraövervakningslagen (2013:460) Ă€r en generellt tillĂ€mplig lag som uttryckligen gĂ€ller i stĂ€llet för personuppgiftslagen – vad avser behandling av personuppgifter i ljud och bild – och som kan bli tillĂ€mplig hos alla myndigheter förutsatt att myndigheten be- driver sĂ„dan kameraövervakning med övervakningsutrustning som avses i lagen.

Registerförfattningar – ett rörligt rĂ€ttsomrĂ„de

RegisterförfattningsbestĂ„ndet Ă€r i hög grad varierande Ă€ven i det avseendet att det fortsatt tillkommer nya registerförfattningar med sĂ€rregleringar för olika delar av den offentliga sektorn. Den anpass- ning och översyn av registerförfattningsomrĂ„det som vidtogs i samband med personuppgiftslagens införande har inneburit ett om- fattande arbete som kan sĂ€gas fortfarande pĂ„gĂ„. Det ligger i sakens natur att registerförfattningsbestĂ„ndet aldrig kan bli ”fĂ€rdigt” eftersom den offentliga verksamheten genomgĂ„r stĂ€ndiga förĂ€nd- ringar.

Bland registerförfattningar som införts parallellt med vÄrt utred- ningsarbete kan nÀmnas lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för mÀnniskors hÀlsa med anknytande förordning. Denna författning hör till kategorin ren- odlade registerförfattningar. Under Är 2014 har vidare nÄgra för- fattningar beslutats vari bestÀmmelser om vissa myndigheters per- sonuppgiftsbehandling införts, nÀmligen lagen (2014:51) om infra- strukturavgifter pÄ vÀg, som gÀller viss registerföring m.m. hos Transportstyrelsen, och lagen (2014:105) om insyn i finansiering av partier, som medger Kammarkollegiet möjlighet att behandla kÀns- liga personuppgifter som lÀmnats i en intÀktsredovisning eller som annars Àr nödvÀndiga för att Kammarkollegiet ska kunna fullgöra

105

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

SOU 2015:39

sina skyldigheter enligt lagen. Dessa bÄda sistnÀmnda lagar tillhör det slags författningar som vi kategoriserar som annan reglering med inslag av dataskyddsbestÀmmelser.

Som exempel pÄ pÄgÄende lagstiftningsarbete kan nÀmnas 2014 Ärs utlÀnningsdatautredning (Ju 2014:11) som har i uppdrag att ut- arbeta förslag till en lag om behandling av personuppgifter i verk- samhet enligt utlÀnnings- och medborgarskapslagstiftningen som ska ersÀtta förordningen (2001:720) om behandling av personupp- gifter i verksamhet enligt utlÀnnings- och medborgarskapslagstift- ningen (dir. 2014:76).

4.3En problembeskrivning

4.3.1Tidigare kritik

De sÀrskilda registerförfattningarna har pÄ olika sÀtt kritiserats under ganska lÄng tid. Kritiken har riktats bÄde mot systemet med register- författningar som sÄdant och mot brister i författningarnas kon- struktion, val av begreppsapparat m.m. I vÄra direktiv anges som en bakgrund till vÄrt uppdrag att se över registerlagstiftningen att en sÄdan översyn har efterlysts av bl.a. flera utredningar. I det följande presenteras vissa synpunkter som har framförts tidigare i olika sammanhang.

Toppledarforum

Redan pĂ„ datalagens tid pĂ„talade Toppledarforum – ett samarbets- organ som under mitten av 1990-talet sysslade med verksamhets- utveckling i offentlig verksamhet med stöd av informationsteknik – att systemet med registerförfattningar medförde vissa problem. Bland annat anfördes att författningsmetodiken var ologisk, om- stĂ€ndlig och tidsödande. Vidare framhölls att systemĂ€ndringar Ă€ven av detaljkaraktĂ€r, t.ex. pĂ„ grund av Ă€ndringar i en verksamhet eller den tekniska utvecklingen, ofta mĂ„ste föregĂ„s av Ă€ndringar i register- författningar, vilket tar tid och krĂ€ver resurser inom riksdag, rege- ringen och den berörda myndigheten. AngelĂ€gna projekt försenas eller blir inte av. Behovet av befintliga registerförfattningar borde dĂ€rför omprövas och nya registerförfattningar enligt den gamla

106

SOU 2015:39

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

modellen borde inte införas, Ă€ven om undantag kunde tĂ€nkas för mycket speciella verksamheter sĂ„som sĂ€kerhetspolisen och delar av sjukvĂ„rden (Toppledaforum, LEXIT – förstudie, 1995 s. 37 f.).

Massmedia

Journalistförbundet har i en framstĂ€llan till regeringen (Ju2006/4517/L6) anfört att den omfattande regleringen i register- författningar medför att undersökningar av stora material försvĂ„ras eller omöjliggörs, vilket hotar medias möjligheter att granska hur makten utövas och förvaltas. FramstĂ€llan gjordes bl.a. mot bakgrund av förbundets egen utredning Registerlagarna – den absoluta sekre- tessen (2006-04-19). Enligt förbundet Ă€r det frĂ€mst registerförfatt- ningarnas bestĂ€mmelser om sökförbud och begrĂ€nsningar i frĂ„ga om utlĂ€mnande pĂ„ medium för automatiserad behandling som har dessa effekter.

Offentlighets- och sekretesskommittén

I sitt huvudbetÀnkande Ny sekretesslag (SOU 2003:99) berörde Offentlighets- och sekretesskommittén förhÄllandet mellan sekre- tesslagstiftningen och förekomsten i registerförfattningar av bestÀm- melser om tillÄtna ÀndamÄl för personuppgiftsbehandlingen. Enligt kommittén finns det oklarheter angÄende sambandet mellan register- författningar och den s.k. finalitetsprincipen enligt dataskydds- direktivet nÀr det gÀller uppgiftslÀmnande mellan myndigheter.

Integritetsskyddskommittén

Integritetsskyddskommittén kritiserade registerförfattningarna pÄ ett antal punkter i sitt delbetÀnkande Skyddet för den personliga integriteten (SOU 2007:22 s. 461 f.). Bland annat pekade kom- mittén pÄ att den reformering av registerförfattningarna som har skett efter personuppgiftslagens ikrafttrÀdande har skett utan egent- lig samordning. Skiftande lagstiftningsteknik har anvÀnts för att reglera registerförfattningarnas förhÄllande till personuppgiftslagen. Det förekommer att olika begrepp anvÀnds för att beskriva samma

107

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

SOU 2015:39

företeelser. Exempelvis anvÀnds begreppet databas i en del författ- ningar, medan man i andra har hÄllit fast vid det sedan tidigare etablerade begreppet register. Det förekommer dessutom att samma begrepp anvÀnds i olika betydelser i skilda författningar, t.ex. begreppet direktÄtkomst som inte alltid avser utlÀmnande pÄ elek- troniskt medium. Vidare har skilda tekniker anvÀnts för att be- skriva de ÀndamÄl för vilka verksamheten, och dÀrigenom behand- lingen av personuppgifter, bedrivs. I en del registerförfattningar har ÀndamÄlen delats upp i primÀra och sekundÀra registerförfattningar dÀr de sistnÀmnda syftar till att bl.a. beskriva de ÀndamÄl för vilka uppgifter fÄr lÀmnas ut frÄn den aktuella verksamheten. Detta har i sin tur medfört att oklarheter har uppstÄtt bl.a. om hur sÄdana bestÀmmelser förhÄller sig till finalitetsprincipen. Dessa brister i samordning och enhetlighet har lett till oklarheter i tillÀmpningen och svÄrigheter att överblicka regelverket, vilket i sin tur innebÀr en risk för onödiga integritetsförluster.

Kommittén framhöll ocksÄ att i den mÄn det finns bestÀmmelser i en registerförfattning som inskrÀnker integritetsskyddet borde det framgÄ av reglerna vari inskrÀnkningen bestÄr och hur stor den Àr. SÄ Àr dock inte alltid fallet. Ett exempel pÄ detta var regleringen av direktÄtkomst.

Enligt kommitténs sammanfattande analys skulle skyddet för den personliga integriteten vÀsentligt förbÀttras om registerförfatt- ningarna utformades enhetligare, tydligare och mer i överensstÀm- melse med sekretesslagstiftningen.

2005 Ă„rs informationsutbytesutredning

Även 2005 Ă„rs informationsutbytesutredning riktade i sitt betĂ€nk- ande Utökat elektroniskt informationsutbyte (SOU 2007:45) kritik mot registerförfattningarna. Utredningen konstaterade att register- författningarna bör ses över för att skapa förutsĂ€ttningar för ett samordnat och enhetligt regelverk som frĂ€mjar utvecklingen av elektronisk förvaltning och minskar riskerna för oacceptabla intrĂ„ng i den personliga integriteten. Utredningen anförde bl.a. följande (a. bet. s. 394).

Begreppsbildningen pÄ omrÄdet Àr oklar och framtagen under en tid av helt andra och mer begrÀnsade möjligheter till elektroniskt informa- tionsutbyte. Dessa förhÄllanden skapar onödiga hinder för utveck-

108

SOU 2015:39

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

lingen. Enligt vĂ„r mening Ă€r det en avgörande förutsĂ€ttning för ett vĂ€l fungerande elektroniskt informationsutbyte och elektronisk förvaltning överhuvudtaget att det finns ett samordnat regelverk med enhetlig struktur för alla myndigheter, utan otydliga begrepp och andra onödiga hinder för önskvĂ€rd utveckling. Även frĂ„n integritetsskyddssynpunkt medför den bristande strukturen i författningarna och den oklara begreppsbildningen tillĂ€mpningssvĂ„righeter som innebĂ€r ökade risker för oacceptabla intrĂ„ng i den personliga integriteten.

E-delegationen

E-delegationen föreslog i delbetÀnkandet Strategi för myndigheter- nas arbete med e-förvaltning (SOU 2009:86) att regeringen skulle tillsÀtta en utredning med uppdrag att göra en översyn av register- författningarna och lÀmna förslag till bestÀmmelser som Àr samord- nade, enhetliga och tydliga och dÀr det ingÄr att lÀmna förslag till hur regelkonflikter inom register- och sekretesslagstiftningen ska lösas. En sÄdan reform av registerförfattningarna krÀvs, pÄpekade E-delegationen, för att möjliggöra en utveckling i riktning mot en flexibel e-förvaltning. E-delegationen framhöll att i en elektronisk förvaltning mÄste olika intressen balanseras mot varandra, nÀmligen intresset av effektivitet, integritet och öppenhet. Dessa tre begrepp borde enligt E-delegationen vara ledord för översynen av register- författningarna (a. bet. s. 65 f.).

E-offentlighetskommittén

E-offentlighetskommittĂ©n hade bl.a. i uppdrag att övervĂ€ga om det i sekretesslagstiftningen eller i annan lag skulle införas en skyldig- het för myndigheter att lĂ€mna ut elektroniskt lagrade allmĂ€nna hand- lingar i elektronisk form. I sitt slutbetĂ€nkande AllmĂ€nna handlingar i elektronisk form – offentlighet och integritet (SOU 2010:4) gjorde kommittĂ©n bedömningen att det befintliga regelverket till skydd för den personliga integriteten i samband med utlĂ€mnande av all- mĂ€nna handlingar inte sĂ€kerstĂ€ller en godtagbar skyddsnivĂ„ i frĂ„ga om intrĂ„ng i enskildas personliga integritet vid ett införande en elektronisk offentlighetsprincip. Den frĂ€msta orsaken till det var, menade kommittĂ©n, de brister som finns inbyggda i det omfattande regelverk som registerförfattningarna utgör (a. bet. s. 15 f. och 290 f.).

109

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

SOU 2015:39

Det var framför allt tvÄ slags brister som pÄtalades. För det första konstaterade kommittén att registerförfattningars sökbegrÀnsningar i vissa fall inte utformats pÄ sÀtt som gjorde att de trÀffas av den s.k. begrÀnsningsregeln i 2 kap. 3 § tredje stycket TF trots att avsikten torde ha varit att sÄ skulle ske. De begrÀnsningar som finns var dessutom svÄra att överblicka. För det andra fann kommittén ett flertal brister eller oklarheter i registerförfattningars bestÀmmelser om utlÀmnande av allmÀnna handlingar i elektronisk form, i den mÄn sÄdana alls förekom. Enligt kommitténs bedömning fanns det troligen mÄnga fall dÀr förbud mot elektroniskt utlÀmnande inte har ansetts motiverat, eller helt enkelt förbisetts, men dÀr det i specifika fall inte borde ske utlÀmnande i elektronisk form (a. bet. s. 293). I övrigt instÀmde kommittén med de kritiska pÄpekanden som framförts av bl.a. Integritetsskyddskommittén och framhöll för egen del det angelÀgna i en allmÀn översyn av gÀllande register- författningar och av begreppsbildningen pÄ omrÄdet för att komma till rÀtta med de problem som regleringen innebÀr.

4.3.2NĂ„gra ytterligare iakttagelser

Vi Äterkommer i det följande till redan pÄtalade specifika problem liksom till problem som vi sjÀlva iakttagit och som hÀnger samman med den befintliga registerförfattningsregleringen.

Vi vill emellertid redan hĂ€r framhĂ„lla att vĂ„r inventering av gĂ€ll- ande registerförfattningar och vĂ„rt övriga arbete – bl.a. i form av kontakter med olika myndigheter och enskilda aktörer – har bekrĂ€ftat bilden av registerlagstiftningen som ett svĂ„röverblickbart och frag- menterat rĂ€ttsomrĂ„de. Redan begreppet registerförfattning, oavsett hur det avgrĂ€nsas, Ă€r tvetydigt. Det som avses utgörs av en tĂ€m- ligen brokig samling författningar som spĂ€nner över disparata verk- samhetsomrĂ„den inom hela den offentliga sektorn.

Komplexiteten i regleringen Àr generellt sett hög, vilket bl.a. be- ror pÄ att registerförfattningsregleringen bara Àr en del av det regel- verk som styr en myndighets informationshantering. Parallellt med registerförfattningar mÄste myndigheterna Àven följa 2 kap. TF, sekretesslagstiftningen liksom förvaltningslagen, arkivlagstiftningen samt annan generell eller myndighetsspecifik reglering som direkt eller indirekt har betydelse för informationshanteringen. Som an-

110

SOU 2015:39

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

förs i vÄra direktiv Àr det för effektiviseringen av förvaltningen med hjÀlp av modern informationsteknik viktigt dels att respektive regel- verk Àr vÀl genomtÀnkt och sÄ enkelt som möjligt att tillÀmpa, dels att dessa regelverk Àr förenliga med varandra. Det Àr emellertid uppenbart att en anpassning till andra parallella och för informa- tionshanteringen centrala regelverk inte alltid getts tillrÀcklig upp- mÀrksamhet i lagstiftningsarbetet. Resultatet Àr bl.a. förekomsten av överlappningar och verkliga eller uppfattade motstridigheter i regleringen vilket medför risk för tillÀmpningsproblem. Det upp- levs dessutom förekomma glapp i regleringen utifrÄn de behov av informationshantering som finns, vilket leder till osÀkerhet och dÀrmed knappast frÀmjar servicen eller effektiviteten i förvalt- ningen. Det sagda gÀller bÄde myndighetsintern informations- hantering och vid olika slags informationsutbyten.

Komplexiteten i registerförfattningsregleringen beror emellertid ocksÄ pÄ inkonsekvenser i regeltekniska strukturer och begrepps- anvÀndning m.m. Samarbeten som myndigheterna ÄlÀggs av stats- makterna kan försvÄras av olikheter i registerförfattningar som inte Àr, eller i vart fall inte förefaller vara, kompatibla med varandra.

Till detta kommer att den befintliga regleringen – som alltsĂ„ Ă€r svĂ„röverskĂ„dlig redan för lagstiftare och tillĂ€mpare – för den en- skilde registrerade torde framstĂ„ som i det nĂ€rmaste ogenom- trĂ€nglig. Möjligheten för den enskilde att kunna förstĂ„ vilka data- skyddsregler som styr informationshanteringen av uppgifter om honom eller henne hos respektive myndighet Ă€r central. ÖverskĂ„d- lighet och begriplighet Ă€r viktiga komponenter för enskilda regi- strerade som vill göra gĂ€llande sina rĂ€ttigheter enligt det dataskydds- rĂ€ttsliga regelverket. Även i detta avseende finns uppenbara brister.

Den splittrade och ibland inkonsekventa regleringen försvÄrar ocksÄ för allmÀnheten att sÀtta sig in i vad som gÀller pÄ olika omrÄden, vilket Àr sÀrskilt olyckligt nÀr det handlar om utövandet av den grundlagsskyddade rÀtten till insyn i myndigheternas all- mÀnna handlingar. Vi har t.ex. erfarit att det Àr ett problem vid s.k. vidareutnyttjande av offentlig information att det splittrade sÀttet att reglera myndigheters registerföring gör att det krÀvs resurser att sÀtta sig in i nya förutsÀttningar varje gÄng en ny myndighet ska kontaktas.

Utöver de problem med registerförfattningar som beskrivits ovan har vi i vÄrt arbete kunnat konstatera att det finns en sÀrskild

111

Registerförfattningar – ett komplext rĂ€ttsomrĂ„de

SOU 2015:39

problembild som hör samman med att den allmĂ€nna regleringen i personuppgiftslagen har utformats utan nĂ€rmare hĂ€nsyn till de för- hĂ„llanden som gĂ€ller för myndigheternas personuppgiftsbehand- ling. Personuppgiftslagen Ă€r vĂ€sentligen utformad som en civilrĂ€tts- lig reglering. För myndigheter i allmĂ€nhet, alltsĂ„ inte bara sĂ„dana som omfattas av sĂ€rskild registerförfattningsreglering, prĂ€glas person- uppgiftsbehandlingen emellertid av att den sker i författnings- reglerade verksamheter med skyldigheter för myndigheterna och rĂ€ttigheter för enskilda. Personuppgiftslagen Ă€r dock – med vissa undantag – i grunden inte anpassad till detta.

112

SÄRSKILDA FRÅGOR

5Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

5.1Problembild enligt direktiven och utredningens delbetÀnkande

5.1.1Direktiven

Vi ska övervĂ€ga om det finns skĂ€l att i registerförfattningar behĂ„lla Ă„tskillnaden mellan olika former av elektroniskt utlĂ€mnande. Som bakgrund till uppdraget i denna del anförs bl.a. följande i vĂ„ra direktiv. Den tekniska utvecklingen har inneburit att det numera finns be- tydligt fler sĂ€tt att överföra uppgifter elektroniskt Ă€n tidigare och att nya Ă„tkomstmetoder alltjĂ€mt tillkommer. Detta har medfört att det uppfattas som oklart hur begreppen direktĂ„tkomst och utlĂ€m- nande pĂ„ medium för automatiserad behandling ska tillĂ€mpas pĂ„ modernare metoder för informationsutbyte. De aktuella begreppen anvĂ€nds inte heller pĂ„ ett enhetligt sĂ€tt i de olika registerförfatt- ningarna och utöver nu nĂ€mnda begrepp förekommer andra, t.ex. ”elektronisk Ă„tkomst”.

5.1.2Utredningens bedömning i delbetÀnkandet

I delbetĂ€nkandet Överskottsinformation vid direktĂ„tkomst (SOU 2012:90) uttalade vi att det stĂ„r klart att begreppsapparaten vad av- ser reglering i registerförfattningar av elektroniska utlĂ€mnande- former mĂ„ste bli tydligare och vara enhetlig (s. 212 f.). Det finns sĂ„ledes ett behov av reformer pĂ„ omrĂ„det. Vi föreslog inte nĂ„gon grundlagsĂ€ndring i delbetĂ€nkandet i syfte att undanta överskotts- information vid direktĂ„tkomst frĂ„n begreppet allmĂ€n handling.

115

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

SOU 2015:39

DÀrför var det inte pÄkallat att redan i delbetÀnkandet, innan vÄrt arbete med en samlad översyn av registerlagstiftningen var klart, göra nÄgra slutgiltiga stÀllningstaganden eller lÀgga fram nÄgra kon- kreta förslag till ny regleringsmodell pÄ omrÄdet. Vi avsÄg dÀrför att Äterkomma till frÄgan i slutbetÀnkandet.

5.2Nuvarande regler som i allmÀn mening styr uppgiftsutbyte mellan myndigheter

5.2.1Samverkan enligt förvaltningslagen

Enligt 6 § FL, ska varje myndighet lÀmna andra myndigheter hjÀlp inom ramen för den egna verksamheten.

Ytterligare bestÀmmelser om samverkan mellan förvaltnings- myndigheter under regeringen finns i 6 § myndighetsförordningen (2007:515). Enligt stadgandets andra stycke ska en myndighet verka för att genom samarbete med myndigheter och andra ta till vara de fördelar som kan vinnas för enskilda samt för staten som helhet. Vidare sÀgs i tredje stycket att myndigheten ska tillhandahÄlla infor- mation om myndighetens verksamhet.

Utrymmet för samverkan mellan myndigheterna enligt de ovan nÀmnda bestÀmmelserna pÄverkas av innehÄllet i annan lagstiftning, exempelvis regler om sekretess. En samverkan fÄr inte heller ta sig sÄdana former att de medverkande myndigheternas olika funktioner blandas samman och inte klart kan urskiljas (se JO 1993/94 s. 458).

5.2.2Offentlighets- och sekretesslagen

I offentlighets- och sekretesslagen finns flera regler som pÄverkar möjligheterna för myndigheter att utbyta uppgifter med varandra. I vissa fall innebÀr dessa regler ocksÄ rÀttigheter respektive skyldigheter för myndigheter vid sÄdant utbyte. Nedan redogörs för de regler i offentlighets- och sekretesslagen som har betydelse för ett uppgiftsutbyte, nÀmligen bestÀmmelser om informations- skyldighet, sekretess mellan myndigheter, i vilka fall sekretess bryts och överföring av sekretess.

116

SOU 2015:39

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

Informationsskyldighet mellan myndigheter

Enligt 6 kap. 5 § OSL ska en myndighet pÄ begÀran av en annan myndighet lÀmna uppgift som den förfogar över, om inte uppgiften Àr sekretessbelagd eller det skulle hindra arbetets behöriga gÄng.

BestÀmmelsen kan ses som en precisering av myndigheters skyldighet att samverka enligt 6 § FL. Den skyldighet att lÀmna information till andra myndigheter som bestÀmmelsen föreskriver avser varje uppgift som myndigheten förfogar över och alltsÄ inte bara uppgifter ur allmÀnna handlingar. Skyldigheten Àr sÄledes mer vidstrÀckt Àn den som gÀller gentemot allmÀnheten (Lenberg m.fl., kommentaren till 6 kap. 5 §).

I vissa fall kan en mer lÄngtgÄende skyldighet att lÀmna upp- gifter gÀlla gentemot andra myndigheter enligt sÀrskilda före- skrifter, s.k. sekretessbrytande bestÀmmelser (jfr 10 kap. 15 § och 28 § första stycket).

Sekretess mellan myndigheter

Enligt 8 kap. 1 § OSL fÄr en uppgift för vilken sekretess gÀller en- ligt den lagen inte röjas för andra myndigheter, om inte annat anges i den lagen eller i lag eller förordning som lagen hÀnvisar till.

Av 8 kap. 2 § följer att vad som föreskrivs om sekretess mot andra myndigheter i 1 § och vad som föreskrivs i andra bestÀm- melser om uppgiftslÀmnande till andra myndigheter och överföring av sekretess mellan myndigheter, gÀller ocksÄ mellan olika verk- samhetsgrenar inom en myndighet nÀr de Àr att betrakta som sjÀlv- stÀndiga i förhÄllande till varandra.

BestÀmmelsen har sin motsvarighet i 2 kap. 8 § TF om nÀr en handling blir allmÀn nÀr den överlÀmnats mellan organ inom samma myndighetsorganisation. Det avgörande Àr Àven i detta fall att organen upptrÀder som sjÀlvstÀndiga i förhÄllande till varandra.

FrÄgan om nÀr organ eller verksamhetsgrenar inom samma myn- dighetsorganisation Àr att betrakta som sjÀlvstÀndiga i förhÄllande till varandra kan vara svÄrbedömd. Den har diskuterats bÄde i lagstiftningsarbetet (se exempelvis prop. 2007/08:126 s. 162 f. om kommunal hÀlso- och sjukvÄrd) och i rÀttspraxis (HFD 2013 ref. 40) samt inom ramen för JO:s tillsyn (se exempelvis JO 1995/96 s. 431

117

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

SOU 2015:39

om stöd och service till funktionshindrade kunde ses som en sjÀlv- stÀndig verksamhetsgren i förhÄllande till socialtjÀnsten).

Sekretessbrytande bestÀmmelser

Enligt 12 kap. 2 § andra stycket OSL kan en enskild helt eller delvis hÀva sekretess som gÀller till skydd för honom eller henne, om inte annat anges i den lagen. I 10 kap. 1 § samma lag erinras om att sekretess till skydd för enskild alltsÄ inte hindrar att en uppgift lÀmnas till en annan enskild eller en myndighet, om den enskilde samtycker till det.

Av 10 kap. 2 § OSL följer att sekretess inte hindrar att en upp- gift lÀmnas till en enskild eller en annan myndighet, om det Àr nöd- vÀndigt för att den utlÀmnande myndigheten ska kunna fullgöra sin verksamhet. BestÀmmelsen bör tillÀmpas restriktivt (prop. 1979/80:2 Del A s. 465 och 494). Avsikten Àr inte att rena effektivitetsskÀl ska utgöra tillrÀckliga skÀl att bryta sekretessen. Det Àr ett behov hos den utlÀmnande myndigheten som kan utgöra skÀl att bryta sekre- tessen, dÀremot inte att den mottagande myndigheten behöver uppgiften för sin verksamhet.

I 10 kap. 27 § OSL finns en bestÀmmelse, den s.k. general- klausulen, som enbart tar sikte pÄ att i visst fall bryta sekretess mellan myndigheter. Den kan sÄledes inte tillÀmpas vid utlÀmnande till en enskild. Enligt bestÀmmelsen fÄr en sekretessbelagd uppgift lÀmnas till en myndighet, om det Àr uppenbart att intresset av att uppgiften lÀmnas har företrÀde framför det intresse som sekretessen ska skydda. Viss sekretess har undantagits frÄn bestÀmmelsens tillÀmpningsomrÄde (se andra stycket), exempelvis sekretess inom hÀlso- och sjukvÄrden och socialtjÀnsten.

Har det i lag eller förordning föreskrivits att uppgifter ”bör” eller ”fĂ„r” lĂ€mnas frĂ„n en myndighet till en annan, finns det sĂ€rskild anledning att anse att generalklausulen Ă€r tillĂ€mplig. Riksdagens eller regeringens föreskrifter med en sĂ„dan innebörd bör ju vara grundade pĂ„ den bedömningen att intresset av att ett uppgifts- utbyte sker har företrĂ€de framför sekretessintresset (Lenberg m.fl., kommentaren till 10 kap. 27 §). Även om utgĂ„ngspunkten Ă€r att ett rutinmĂ€ssigt uppgiftsutbyte ska vara författningsreglerat hindrar inte generalklausulen att sĂ„dant utbyte sker Ă€ven utan stöd av en

118

SOU 2015:39

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

sÀrskild författningsreglering. I de undantagsfall nÀr rutinmÀssigt uppgiftsutlÀmnande inte Àr författningsreglerat men likvÀl kan an- ses tillrÀckligt motiverat mÄste den intresseavvÀgning som ska göras enligt generalklausulen ske pÄ förhand och behöver inte avse en prövning i enskilda fall (prop. 1979/80:2 Del A s. 326).

Om det finns förutsÀttningar att lÀmna ut en sekretessbelagd uppgift med stöd av generalklausulen Àr den myndighet som för- varar uppgiften enligt 6 kap. 5 § OSL skyldig att lÀmna ut den.

I 10 kap. 28 § första stycket OSL stadgas att sekretess inte hindrar att en uppgift lÀmnas till en annan myndighet, om uppgifts- skyldighet följer av lag eller förordning.

Det finns inte nÄgot konstitutionellt hinder mot att regeringen medger att annars sekretessbelagda uppgifter lÀmnas mellan myn- digheter eller sjÀlvstÀndiga verksamhetsgrenar inom en myndighet. I förarbetena till motsvarande bestÀmmelse i den tidigare sekretess- lagen (1980:100) anfördes att det dÀremot frÄn saklig synpunkt i vissa fall kan te sig tveksamt att regeringen kan tunna ut en av riks- dagen i lag beslutad sekretess till skydd för enskilda genom före- skrifter som medger att information lÀmnas frÄn en myndighet till en annan eller mellan sjÀlvstÀndiga verksamhetsgrenar inom en myndighet (a. prop. s. 322). Regeringen kan dock inte genom före- skrifter i en förordning sÀtta Ät sidan bestÀmmelser i lag som exklu- sivt reglerar uppgiftsutbytet mellan myndigheter.

För att det ska vara frÄga om uppgiftsskyldighet i den mening som avses i paragrafen krÀvs att bestÀmmelsen i frÄga uppfyller vissa krav pÄ konkretion. Den kan ta sikte pÄ utlÀmnande av upp- gifter av ett speciellt slag, gÀlla en viss myndighets rÀtt att fÄ del av uppgifter i allmÀnhet eller avse en skyldighet för en viss myndighet att lÀmna andra myndigheter information (Lenberg m.fl., kommen- taren till 10 kap. 28 §).

En föreskrift som mera generellt anbefaller samverkan mellan myndigheter Àr dÀremot inte av sÄdant slag att den kan anses ÄlÀgga en uppgiftsskyldighet i den mening som avses i paragrafen. Exem- pelvis Àr bestÀmmelserna i 6 kap. 5 § OSL och 6 § FL inte av det slaget.

Ytterligare sekretessbrytande bestĂ€mmelser som tar sikte pĂ„ upp- giftsutbyte mellan myndigheter i vissa fall finns ocksĂ„ i 10 kap. 15– 26 §§ OSL, bl.a. för brottsbekĂ€mpande Ă€ndamĂ„l.

119

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

SOU 2015:39

Överföring av sekretess

NÀr en sekretessbelagd uppgift lÀmnas frÄn en myndighet till en annan Àr huvudregeln att sekretessen inte följer med uppgiften. Det har emellertid införts bestÀmmelser om överföring av sekretess inom vissa omrÄden.

Ett exempel pÄ en bestÀmmelse om överföring av sekretess Àr 11 kap. 4 § OSL. DÀr föreskrivs i första stycket att om en myn- dighet har elektronisk tillgÄng till en upptagning för automatiserad behandling hos en annan myndighet och en uppgift i denna upptag- ning Àr sekretessreglerad, blir sekretessbestÀmmelsen tillÀmplig Àven hos den mottagande myndigheten. Enligt andra stycket ska första stycket inte tillÀmpas pÄ en uppgift som ingÄr i ett beslut hos den mottagande myndigheten.

Bakgrunden till bestÀmmelsen i 11 kap. 4 § första stycket OSL Àr att en myndighet som medgetts direktÄtkomst kan behöva fÄ teknisk tillgÄng till fler uppgifter Àn de uppgifter som myndigheten behöver och dÀrmed har rÀtt att behandla, s.k. överskottsinforma- tion (prop. 2007/08:160 s. 75).

Av 11 kap. 8 § följer att 4 § inte ska tillĂ€mpas om det finns en s.k. primĂ€r sekretessbestĂ€mmelse som redan Ă€r tillĂ€mplig pĂ„ upp- gifterna hos den mottagande myndigheten. Vi har i vĂ„rt delbetĂ€nk- ande Överskottsinformation vid direktĂ„tkomst (SOU 2012:90) före- slagit att det ska införas ett andra stycke i 11 kap. 8 §, dĂ€r det före- skrivs att första stycket inte ska tillĂ€mpas pĂ„ en uppgift som Ă€r till- gĂ€nglig för en myndighet pĂ„ sĂ€tt som anges i 11 kap. 4 § första stycket och som den mottagande myndigheten enligt lag eller för- ordning inte fĂ„r behandla.

5.2.3Personuppgiftslagen

I personuppgiftslagen finns inga bestĂ€mmelser som direkt tar sikte pĂ„ uppgiftsutbyte mellan myndigheter. Flera av bestĂ€mmelserna i lagen har dock betydelse för i vilken omfattning ett utbyte av per- sonuppgifter mellan myndigheter Ă€r möjligt. BĂ„de bestĂ€mmelserna med grundlĂ€ggande krav pĂ„ personuppgiftsbehandling i 9 § och regler om vilka typer av behandlingar som Ă€r tillĂ„tna i 10 § och 13– 22 §§ pĂ„verkar möjligheterna till sĂ„dant utbyte. Dessa krav gĂ€ller dock inte enligt det allmĂ€nt gĂ€llande undantaget i 5 a § – den s.k.

120

SOU 2015:39

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

missbruksregeln – som tar sikte pĂ„ behandling i ostrukturerat mate- rial. Detta undantag har dock genom en inkonsekvent reglering i sĂ€rskilda registerförfattningar kommit att gĂ€lla för vissa myndig- heter men inte för andra.

5.3Uppgiftsutbyte genom direktÄtkomst

5.3.1Begreppet direktÄtkomst

Det finns ingen legaldefinition av begreppet direktÄtkomst. I tidi- gare registerförfattningar anvÀndes begreppet terminalÄtkomst. Exempelvis föreskrevs i 10 och 12 §§ i den numera upphÀvda skatte- registerlagen (1980:343) vilka myndigheter som skulle fÄ ha ter- minalÄtkomst till det centrala skatteregistret respektive ett regionalt skatteregister.

Sedan slutet av 1990-talet anvÀnds i stÀllet begreppet direkt- Ätkomst, eftersom terminaler hade kommit att anvÀndas alltmer sÀllan och begreppet terminalÄtkomst dÀrför ansÄgs förÄldrat (se t.ex. prop. 1997/98:97 s. 88). Med direktÄtkomst avses vanligtvis att nÄgon har direkt tillgÄng till nÄgon annans register eller databas och pÄ egen hand kan söka efter information, dock utan att kunna pÄverka innehÄllet i registret eller databasen (se bl.a. prop. 2009/10:85 s. 168). I begreppet ligger ocksÄ att den som Àr personuppgifts- ansvarig för registret eller databasen inte har nÄgon kontroll över vilka uppgifter som mottagaren vid ett visst söktillfÀlle tar del av (prop. 2011/12:45 s. 133). Den myndighet som lÀmnar ut uppgifter genom direktÄtkomst fattar sÄledes inte nÄgot beslut om utlÀm- nande av de uppgifter som den som har direktÄtkomst tar del av i varje enskilt fall.

I förarbetena till 11 kap. 4 § OSL, som alltsÄ reglerar överföring av sekretess vid direktÄtkomst, uttalade sig regeringen om hur direkt- Ätkomst bör definieras (prop. 2007/08:160 s. 164). Med en sÄdan Ätkomst avsÄgs enligt regeringen att en upptagning Àr tillgÀnglig hos den mottagande myndigheten pÄ ett sÄdant sÀtt som avses i 2 kap. 3 § andra stycket första meningen TF, dvs. upptagningen ska vara tillgÀnglig med tekniska hjÀlpmedel som myndigheten sjÀlv ut- nyttjar för överföring i sÄdan form att den kan lÀsas, avlyssnas eller pÄ annat sÀtt uppfattas.

121

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

SOU 2015:39

Högsta förvaltningsdomstolen fann i rÀttsfallet HFD 2011 ref. 52 att det förhÄllandet att handlingar i en databas gjorts tekniskt tillgÀngliga för en annan myndighet för bl.a. statistikframstÀllning innebar att handlingarna mÄste anses expedierade i den mening som avses i 2 kap. 7 § TF. Av rÀttsfallet framgÄr att det Àr sjÀlva till- gÄngen till handlingarna som innebÀr att de anses expedierade till den andra myndigheten. Huruvida den myndigheten i nÄgot kon- kret fall faktiskt hade anvÀnt sig av tillgÄngen har sÄledes inte nÄgon betydelse för bedömningen av om handlingarna var att anse som expedierade.

Den i rÀttsfallet aktuella begÀran om att fÄ ta del av allmÀnna handlingar gÀllde uppgifter som förts in i databasen frÄn en myn- dighet. FrÄgan var om uppgifterna ingick i allmÀnna handlingar hos den myndigheten. Högsta förvaltningsdomstolen hade inte anled- ning att uttala sig betrÀffande frÄgan om det ocksÄ var en allmÀn handling hos den mottagande myndigheten. Av domstolens slut- sats att handlingarna gjorts tillgÀngliga för den myndigheten pÄ ett sÄdant sÀtt att de hade expedierats, följer emellertid att de dÀrmed Àr att anse som förvarade hos den mottagande myndigheten i den mening som avses i 2 kap. 3 § andra stycket TF.

Den omstÀndigheten att direktÄtkomst till en viss mÀngd upp- gifter innebÀr att de handlingar i vilka uppgifterna ingÄr anses expedierade till den mottagande myndigheten medför alltsÄ i sin tur att handlingarna Àr att anse som förvarade, och dÀrmed ocksÄ som huvudregel som inkomna, hos den myndigheten i den mening som avses i 2 kap. 3 och 6 §§ TF. Handlingarna utgör genom direkt- Ätkomsten sÄledes allmÀnna handlingar Àven hos den mottagande myndigheten. En direktÄtkomst till sekretessreglerade uppgifter inne- bÀr vidare att det krÀvs en sekretessbrytande regel för att utlÀm- nandet av uppgifterna inte ska innebÀra ett brott mot den sekretess som annars gÀller.

5.3.2Hur regleras en myndighets direktÄtkomst till en annan myndighets informationssamlingar?

Vid vÄr genomgÄng av registerförfattningar har det kommit fram att utlÀmnande i form av direktÄtkomst regleras pÄ i huvudsak tre olika sÀtt. Ett sÀtt Àr att i författning beskriva nÄgra fall dÄ direkt- Ätkomst fÄr medges. Ett exempel pÄ detta förfaringssÀtt Àr den

122

SOU 2015:39

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

direktĂ„tkomst som fĂ„r medges till Skatteverkets beskattningsdata- bas. I 7–8 a §§ lagen (2001:181) om behandling av uppgifter i Skatte- verkets beskattningsverksamhet regleras vilka myndigheter, eller sjĂ€lvstĂ€ndiga verksamhetsgrenar inom Skatteverket, som fĂ„r ha direkt- Ă„tkomst till beskattningsdatabasen. Förutom att föreskriva vilka myndigheter som ”fĂ„r ha” direktĂ„tkomst, anges ocksĂ„ vilka upp- gifter som direktĂ„tkomsten fĂ„r omfatta. Det anges ocksĂ„ att rege- ringen meddelar nĂ€rmare föreskrifter om vilka uppgifter och hand- lingar direktĂ„tkomsten fĂ„r omfatta.

I förordningen (2001:588) om behandling av uppgifter i Skatte- verkets beskattningsverksamhet finns i 4–8 §§ bestĂ€mmelser om nĂ€r uppgiftsskyldighet finns i förhĂ„llande till upprĂ€knade myndig- heter. I 8 a § erinras vidare om att uppgiftsskyldighet föreskrivs ocksĂ„ i vissa omnĂ€mnda författningar.

Ett annat sĂ€tt Ă€r att uttömmande reglera i vilka fall direkt- Ă„tkomst fĂ„r medges. Denna lagstiftningsteknik har anvĂ€nts exem- pelvis i frĂ„ga om socialförsĂ€kringsdatabasen som innehĂ„ller person- uppgifter i FörsĂ€kringskassans och Pensionsmyndighetens verk- samhet. I 114 kap. 18–23 §§ SFB finns bestĂ€mmelser om direkt- Ă„tkomst till socialförsĂ€kringsdatabasen. Av 2 och 5 §§ framgĂ„r att socialförsĂ€kringsdatabasen utgörs av den samling av uppgifter som med hjĂ€lp av automatiserad behandling anvĂ€nds gemensamt för handlĂ€ggning av förmĂ„ner m.m. som utförs av FörsĂ€kringskassan och Pensionsmyndigheten.

Enligt 18 § Ă€r direktĂ„tkomst till socialförsĂ€kringsdatabasen endast tillĂ„ten i den utstrĂ€ckning som anges i lag eller förordning. I 19– 23 §§ finns dĂ€refter bestĂ€mmelser om vissa myndigheter eller organ med myndighetsuppgifter som, förutom FörsĂ€kringskassan och Pensionsmyndigheten, fĂ„r ha sĂ„dan direktĂ„tkomst och att det gĂ€ller i den utstrĂ€ckning det behövs för sĂ€rskilt nĂ€mnda Ă€rendeslag eller Ă€ndamĂ„l. Vad gĂ€ller Ă€ndamĂ„len hĂ€nvisas till 8 § dĂ€r s.k. sekundĂ€ra Ă€ndamĂ„l rĂ€knas upp, dvs. som tar sikte pĂ„ tillhandahĂ„llande av in- formation som behövs i annan verksamhet Ă€n den som bedrivs av FörsĂ€kringskassan och Pensionsmyndigheten. I 3–4 §§ förordningen (2003:766) om behandling av personuppgifter i socialförsĂ€kringens administration finns ytterligare föreskrifter om direktĂ„tkomst. Be- stĂ€mmelser om uppgiftsskyldighet pĂ„ socialförsĂ€kringsomrĂ„det som knyter an till bestĂ€mmelserna om direktĂ„tkomst i 114 kap. SFB finns vidare i förordningen (1980:995) om skyldighet för

123

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

SOU 2015:39

FörsÀkringskassan och Pensionsmyndigheten att lÀmna uppgifter till andra myndigheter, den s.k. uppgiftslÀmnarförordningen. SÄdana bestÀmmelser finns ocksÄ i vissa fall i författningar som gÀller den myndighet som medgetts direktÄtkomst till socialförsÀkringsdata- basen.

DirektÄtkomst kan ocksÄ regleras pÄ det sÀttet att författningen ger uttryck för nÀr direktÄtkomst inte fÄr förekomma, dvs. i form av förbud mot direktÄtkomst. SÄ Àr fallet med direktÄtkomst till personuppgifter inom socialtjÀnsten. Enligt 11 § lagen (2001:454) om behandling av personuppgifter inom socialtjÀnsten bemyndigas regeringen att meddela föreskrifter om bl.a. direktÄtkomst. I 24 § förordningen (2001:637) om behandling av personuppgifter inom socialtjÀnsten föreskrivs att Socialstyrelsen fÄr i verksamhet som avses i lagen (2007:606) om utredningar avseende vissa dödsfall inte medge andra myndigheter eller enskilda direktÄtkomst till person- uppgifter. I övrigt saknas bestÀmmelser om direktÄtkomst. I den nya lagen (2014:484) om en databas för övervakning av och tillsyn över finansmarknaderna finns bestÀmmelser som innebÀr att vissa myndigheter inte bara fÄr, utan ska, medges direktÄtkomst (6 och 7 §§). Att man reglerar direktÄtkomsten pÄ ett sÄdant sÀtt hör emellertid till undantagen.

Det finns ocksÄ exempel pÄ att en myndighet har gett en annan myndighet direktÄtkomst utan att det sÀrskilt har reglerats. Ett sÄdant exempel Àr att Transportstyrelsen, efter samrÄd med Data- inspektionen, har gett bl.a. Luftfartsverket direktÄtkomst till luft- fartsregistret. Det finns ingen sÀrskild registerförfattning som reg- lerar behandling av personuppgifter i det registret, utan i stÀllet gÀller personuppgiftslagen. Att registret ska föras framgÄr dock av 2 kap. 1 § luftfartslagen (2010:500).

5.4Uppgiftsutbyte genom utlÀmnande pÄ medium för automatiserad behandling

5.4.1Begreppet

Begreppet utlĂ€mnande pĂ„ medium för automatiserad behandling anvĂ€nds i registerförfattningar utan att begreppet har getts nĂ„gon legaldefinition. Uttrycket ”automatiserad behandling” finns i flera paragrafer i personuppgiftslagen, t.ex. 5 §. I den tidigare datalagen

124

SOU 2015:39

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

(1973:289) anvĂ€ndes begreppet automatisk databehandling. Vid per- sonuppgiftslagens införande konstaterade LagrĂ„det att det begrep- pet var vĂ€l inarbetat, men att ett sĂ„dant uttryckssĂ€tt förde tanken till en behandling som sker automatiskt efter en viss hĂ€ndelse eller tidpunkt e.d. oavsett hur behandlingen utförs. I stĂ€llet borde ut- trycket ”automatiserad behandling” anvĂ€ndas. Regeringen instĂ€mde i denna bedömning (prop. 1997/98:44 s. 38 f. och 240). Begreppet automatiserad behandling har sedan kommit att anvĂ€ndas i de registerförfattningar som tillkommit efter personuppgiftslagens införande. Även i 2 kap. TF anvĂ€nds begreppet automatiserad be- handling, i t.ex. 3 och 13 §§ talas om ”upptagning för automatiserad behandling”. SkĂ€let Ă€r att man velat ansluta till terminologin i register- författningarna (prop. 2001/02:70 s. 23).

Vad som avses med ett medium för automatiserad behandling som kan anvÀndas för utlÀmnande av information har varierat bero- ende pÄ informationsteknikens utveckling. I Àldre förarbeten talades det exempelvis om magnetband, skivminnen eller en handling med visuellt lÀsbar text, om texten var maskinlÀsbar och avsikten var att avlÀsning skulle ske maskinellt (prop. 1979/80:146 s. 48). I senare motivuttalanden anfördes att utlÀmnande kunde ske genom filöver- föring, pÄ diskett eller pÄ annat sÀtt med hjÀlp av automatisk data- behandling (prop. 1995/96:201 s. 31).

Med dagens teknik kan utlÀmnande av information ske exem- pelvis genom e-post, pÄ ett usb-minne eller genom direkt över- föring frÄn ett datorsystem till ett annat via ett elektroniskt kom- munikationsnÀt. Vid ett mer omfattande uppgiftsutbyte mellan myn- digheter Àr det ofta den senare metoden som anvÀnds.

I studiestödsdatalagen skiljer man pÄ begreppen utlÀmnanden pÄ medium för automatiserad behandling och utlÀmnanden via elek- tronisk kommunikation (se 13 §). Med medium för automatiserad behandling avses ett fysiskt medium sÄsom diskett, usb-minne eller cd-skiva, medan utlÀmnanden via elektronisk kommunikation tar sikte pÄ exempelvis e-post, sms eller skriftlig dialog i realtid via internet (prop. 2008/09:96).

125

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

SOU 2015:39

5.4.2Hur regleras utlÀmnande pÄ medium för automatiserad behandling?

FrĂ„gan om utlĂ€mnande pĂ„ medium för automatiserad behandling har behandlats pĂ„ olika sĂ€tt i registerförfattningarna. I vissa för- fattningar har man uttryckligen reglerat nĂ€r ett sĂ„dant utlĂ€mnande fĂ„r ske. Ett sĂ„dant exempel Ă€r utlĂ€mnanden frĂ„n socialförsĂ€krings- databasen, som regleras i 114 kap. 24 § SFB. Enligt den bestĂ€m- melsen fĂ„r personuppgifter i socialförsĂ€kringsdatabasen som fĂ„r lĂ€mnas ut till den registrerade lĂ€mnas ut till denne pĂ„ medium för automatiserad behandling. I övrigt fĂ„r personuppgifter ur data- basen lĂ€mnas ut pĂ„ sĂ„dant medium endast om det behövs för nĂ„got av de Ă€ndamĂ„l som anges i 8 och 9 §§, dvs. för ett av de dĂ€r upp- rĂ€knade tillĂ„tna Ă€ndamĂ„len för att tillhandahĂ„lla information – s.k. sekundĂ€ra Ă€ndamĂ„l. Ett annat exempel dĂ€r lagstiftaren har valt att reglera i vilka fall utlĂ€mnande pĂ„ medium för automatiserad be- handling ska vara tillĂ„tet Ă€r studiestödsdatalagen (2009:287). Enligt 10 § Ă€r elektroniskt utlĂ€mnande tillĂ„tet bara i den utstrĂ€ckning som anges i lag eller förordning. Som ytterligare förutsĂ€ttningar gĂ€ller att bestĂ€mmelserna om tillĂ„tna Ă€ndamĂ„l i 4 § följs. Detsamma gĂ€ller bestĂ€mmelserna om sĂ€rskilda begrĂ€nsningar, samtycke och sök- begrepp i 6–8 §§. Av 13 § följer emellertid att nĂ€r personuppgifter fĂ„r lĂ€mnas ut till nĂ„gon genom direktĂ„tkomst, fĂ„r de ocksĂ„ pĂ„ nĂ„got annat sĂ€tt lĂ€mnas ut elektroniskt till mottagaren. Vidare fĂ„r per- sonuppgifter Ă€ven i andra fall lĂ€mnas ut pĂ„ medium för automati- serad behandling eller via elektronisk kommunikation i enskilda fall.

I andra författningar saknas det regler om utlÀmnande pÄ medium för automatiserad behandling. Av förarbetena framgÄr att man dÄ ansett att en sÄdan reglering inte Àr nödvÀndig för att ett utlÀm- nande ska kunna ske. Som exempel kan nÀmnas utlÀmnanden frÄn beskattningsdatabasen. Enligt 2 kap. 6 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet fÄr uppgifter i databasen lÀmnas ut till enskild pÄ medium för automatiserad be- handling endast om regeringen har meddelat föreskrifter om det. För sÄdant utlÀmnande till en myndighet saknas dÀremot regler. Ett annat exempel dÀr det inte bedömts nödvÀndigt att sÀrskilt reglera utlÀmnanden pÄ medium för automatiserad behandling för att det ska vara tillÄtet Àr patientdatalagen (2008:355). I lagen har i stÀllet införts en bestÀmmelse, 5 kap. 6 §, som föreskriver att om en

126

SOU 2015:39

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

personuppgift fÄr lÀmnas ut, kan det ske pÄ medium för automati- serad behandling. Det uppstÀllda villkoret syftar pÄ att uppgiften inte kan lÀmnas ut om utlÀmnandet inte Àr en tillÄten behandling av personuppgifter eller sekretess hindrar utlÀmnandet (prop. 2007/08:126 s. 77 och 246 f.).

Ett fÄtal författningar innehÄller förbud mot utlÀmnanden pÄ medium för automatiserad behandling. Ett sÄdant exempel Àr utlÀm- nanden frÄn passagerarregistret. Enligt 7 § lagen (2006:444) om passagerarregister Àr det förbjudet att lÀmna ut personuppgifter ur registret pÄ medium för automatiserad behandling. Bakgrunden till bestÀmmelsen behandlas inte nÀrmare i förarbetena (prop. 2005/06:129). Det konstateras emellertid att en myndighet som begÀr att fÄ ut uppgifter ur registret med stöd av den s.k. general- klausulen i 10 kap. 27 § OSL sÄledes inte kan fÄ uppgifterna ut- lÀmnande pÄ medium för automatiserad behandling (a. prop. s. 79).

5.5Den tekniska utvecklingen

5.5.1Tidigare uttalanden om den tekniska utvecklingens betydelse för begreppens innebörd

I vÄra direktiv anförs att den tekniska utvecklingen har inneburit att det numera finns betydligt fler sÀtt att överföra uppgifter elek- troniskt Àn tidigare och att nya Ätkomstmetoder alltjÀmt tillkom- mer. Detta har medfört att det uppfattas som oklart hur begreppen direktÄtkomst och utlÀmnande pÄ medium för automatiserad be- handling ska tillÀmpas pÄ modernare metoder för informations- utbyte.

I prop. 2007/08:160 behandlades frÄgan om ett utökat elektroniskt informationsutbyte mellan Migrationsverket, FörsÀkringskassan, Skatteverket, Kronofogdemyndigheterna, Statens Pensionsverk, Centrala studiestödsnÀmnden, Arbetsförmedlingen, arbetslöshets- kassorna och kommunernas socialnÀmnder. Regeringen drog hÀr slutsatsen att utgÄngspunkten för det utökade elektroniska infor- mationsutbytet bör vara att utlÀmnandet av uppgifter ska ske genom att direktÄtkomst medges (a. prop. s. 56 f.). NÀr det gÀllde utlÀm- nande som inte sker genom direktÄtkomst utan pÄ medium för automatiserad behandling anförde regeringen att den teknik som i dag anvÀnds för sÄdan elektronisk informationsöverföring nor-

127

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

SOU 2015:39

malt innebÀr att data utbyts nattetid och att begÀrd information skickas frÄn de interna registren till en brevlÄda hos den myndighet som ska lÀmna ut uppgifterna (a. prop. s. 58). Regeringen pÄpekade att den fördröjning i uppgiftslÀmnandet som Àr inbyggd i tekniken innebÀr en teoretisk möjlighet för utlÀmnaren att kontrollera vilken information som ska lÀmnas ut. Sekretessprövningen sker dock i praktiken i samband med att förbindelsen upprÀttas. NÄgon ytter- ligare prövning av uppgifterna i samband med utlÀmnandet sker inte vid överföringar via telenÀtet, Àven om det pÄ grund av fördröj- ningen i systemen Àr teoretiskt möjligt att göra en sÄdan prövning. Regeringen ansÄg att den tekniska utvecklingen har lett till att skill- naderna mellan direktÄtkomst och annat utlÀmnande pÄ automati- serad vÀg har blivit sÄ smÄ att det kan vara svÄrt att dra en grÀns mellan direktÄtkomst och andra former för utlÀmnande.

I samma proposition pÄpekade regeringen vidare att s.k. batch- körningar, som ofta anvÀndes för utlÀmnande pÄ medium för auto- matiserad behandling, har en tidsfördröjning pÄ ett dygn (prop. 2007/08:160 s. 60). Detta innebÀr att de uppgifter som hÀmtats in frÄn en annan myndighets system Àr i vart fall en dag gamla nÀr handlÀggaren av ett Àrende fattar beslut med stöd av dessa.

E-offentlighetskommittĂ©n pĂ„pekade i sitt betĂ€nkande AllmĂ€nna handlingar i elektronisk form – offentlighet och integritet (SOU 2010:4) att den tekniska utvecklingen har fört med sig att grĂ€nsen mellan de metoder för utlĂ€mnande i elektronisk form som före- kommer i registerförfattningarna i viss mĂ„n har suddats ut (s. 366). KommittĂ©n hĂ€nvisade i denna del till SAMSET-rapport 2006:1, Elektroniskt informationsutbyte – myndighetsgemensamma rĂ€tts- frĂ„gor, s. 78 ff.

Vi har i vÄrt delbetÀnkande berört frÄgan om vilka begrepp som anvÀnds vid elektroniska utlÀmnandeformer och konstaterade dÀr att begreppet utlÀmnande pÄ medium för automatiserad behandling i takt med att tekniken utvecklats har getts en vidare innebörd Àn att avse ett överlÀmnande av elektroniskt lagrade uppgifter via nÄgot slags medium för lagring eller överföring (SOU 2012:90 s. 198 f.). Med hÀnvisning till uttalanden i förarbeten nÀmnde vi som exempel pÄ detta s.k. batch-körningar.

E-delegationens expertgrupp för rÀttsliga frÄgor har i en rapport frÄn mars 2012 presenterat en juridisk modell för on-lineliknande utlÀmnanden som syftar till att inte komma i konflikt med de krav i

128

SOU 2015:39

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

författning som gÀller för direktÄtkomst, uppfylla erforderliga krav pÄ persondataskydd och informationssÀkerhet och inte leda till att överskottsinformation hos mottagande myndighet uppstÄr. Expert- gruppen anför i rapporten att den snabba tekniska utvecklingen har möjliggjort att nya metoder för utlÀmnanden av myndighets- information kan innefatta reella och automatiserade kontroller som görs i varje enskilt fall, i likhet med vad som sker vid automati- serade beskattningsbeslut. Enligt expertgruppens bedömning kan ett fullt utvecklat stöd för automatiserade beslut, som leder till reella prövningar och individuella förvaltningsbeslut i varje enskilt fall innan uppgifter lÀmnas ut, ges en sÄdan utformning att infor- mationsutbytet inte bör anses utgöra direktÄtkomst.

5.5.2Uppgiftsutbyte mellan FörsÀkringskassan och kommunala nÀmnder

För nÀrvarande pÄgÄr en process i allmÀn förvaltningsdomstol mellan FörsÀkringskassan och Datainspektionen dÀr frÄgan berörs om ett uppgiftsutbyte mellan FörsÀkringskassan och kommunala nÀmnder Àr att anse som direktÄtkomst eller utlÀmnande pÄ medium för automatiserad behandling. Uppgiftsutbytet sker genom datasystemet LEFI Online, som Àr en automatiserad onlinetjÀnst som bl.a. ger socialnÀmnder Ätkomst till viss information. Det Àr en frÄga/svars- tjÀnst med fördefinierade frÄgor och svar. Mottagaren skickar en frÄgefil avseende en viss person i taget som innehÄller uppgifter om personnummer och efterfrÄgade förmÄner för en viss period. För- sÀkringskassans it-system hÀmtar in informationen frÄn olika interna kÀllor och sammanstÀller ett svar. En behörighetskontroll och tvÄ sekretesskontroller genomförs automatiserat under processen. En svarsfil skickas sedan till mottagaren.

I sak rör mÄlet om Datainspektionen, som anser att det upp- giftsutbyte som sker genom LEFI-Online Àr direktÄtkomst, haft fog för ett förelÀggande mot FörsÀkringskassan att upphöra med att ge socialnÀmnder Ätkomst till uppgifter i socialförsÀkringsdata- basen till dess att en sÄdan försÀkran som avses i 114 kap. 22 § SFB har hÀmtats in frÄn socialnÀmnderna.

I en dom den 19 december 2012 (mÄl nr 9049-11) fann Förvalt- ningsrÀtten i Stockholm att det mÄste vara frÄga om ett beslut som baseras pÄ en reell prövning i det enskilda fallet för att det ska vara

129

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

SOU 2015:39

frÄga om utlÀmnande pÄ medium för automatiserad behandling och inte direktÄtkomst. Det bör enligt förvaltningsrÀtten krÀvas att en sÄdan prövning inte endast innebÀr i princip detsamma som en pÄ förhand genomförd prövning vid direktÄtkomst till fördefinierade uppgifter. Domstolen instÀmde dÀrför i Datainspektionens bedöm- ning att det var frÄga om direktÄtkomst och ansÄg att det dÀrmed saknades anledning att invÀnda mot Datainspektionens förelÀgg- ande.

FörsÀkringskassan överklagade domen till KammarrÀtten i Stockholm, som i en dom den 14 februari 2014 avslog överklag- andet (mÄl nr 189-13). Som skÀl för sitt avgörande anförde kam- marrÀtten bl.a. följande. För att det ska vara frÄga om ett utlÀm- nande pÄ medium för automatiserad behandling krÀvs antingen att det Àr frÄga om en s.k. batch-körning eller att utlÀmnandet baseras pÄ en reell prövning i det enskilda fallet. Med en reell prövning avses att den utlÀmnande myndigheten i varje enskilt fall gör en sekretessprövning av om uppgifter kan lÀmnas ut. I mÄlet var det inte frÄga om en batch-körning. Vad gÀllde frÄgan om en reell sekretessprövning görs vid utlÀmnande av uppgifterna, framgick av handlingarna i mÄlet att FörsÀkringskassan inte fattar nÄgot indi- viduellt beslut, automatiserat eller inte, för varje enskild begÀran. Vid en sammantagen bedömning av de behörighets- och sekretess- kontroller som utförs i systemet LEFI Online av de fördefinierade uppgifterna fann kammarrÀtten att de inte kan anses tillrÀckliga för att det ska anses som att det sker ett utlÀmnande pÄ medium för automatiserad behandling, utan att utlÀmnandet som sker genom systemet sker genom direktÄtkomst.

FörsÀkringskassan har överklagat kammarrÀttens dom till Högsta förvaltningsdomstolen som beslutade att meddela prövningstill- stÄnd den 21 januari 2015 (mÄl nr 1356-14).

5.5.3SjÀlvbetjÀningstjÀnster

En del myndigheter har infört servicesystem som innebÀr att myn- digheter och enskilda medges en automatiserad tillgÄng till upp- gifter hos myndigheten som inte Àr sekretessreglerade, dvs. som inte omfattas av nÄgon sekretessbestÀmmelse. Ett exempel Àr att man kan fÄ tillgÄng till uppgifter i vÀgtrafikregistret genom sjÀlv-

130

SOU 2015:39

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

betjÀningstjÀnster via Transportstyrelsens hemsida. Möjligheten för Transportstyrelsen att medge direktÄtkomst till registret Àr begrÀn- sad enligt sÀrskilda bestÀmmelser i lagen (2001:558) om vÀgtrafik- register och den anknytande förordningen (2001:650). Transport- styrelsen har i en framstÀllan till regeringen den 16 juni 2014 uppmÀrksammat att det nuvarande regelverket inte ger ett tydligt stöd för de redan befintliga servicetjÀnsterna och Àr ett hinder för fortsatt utveckling av dessa (dnr TSV 2014-1642). Myndigheten föreslÄr dÀrför vissa Àndringar i nÀmnda registerförfattningar, bl.a. att direktÄtkomst till enstaka personuppgifter som gÀller registrering av fordon, felparkeringsavgifter samt trÀngselskatt och som inte Àr integritetskÀnsliga ska vara tillÄtna utan nÄgot sÀrskilt medgivande och utan att ÀndamÄlen med Ätkomsten behöver prövas.

MĂ„nga myndigheter ger enskilda möjlighet att via en ”allmĂ€n- hetens terminal” sjĂ€lva söka i myndighetens diarier och andra infor- mationssamlingar med offentliga uppgifter som myndigheten gjort tillgĂ€ngliga för sökning i terminalen. En sĂ„dan ”allmĂ€nhetens ter- minal” kan ses som ett praktiskt sĂ€tt att lösa den skyldighet för myndigheten som följer av 6 kap. 6 § OSL och som innebĂ€r att en myndighet som huvudregel ska ge enskilda tillfĂ€lle att sjĂ€lva an- vĂ€nda tekniska hjĂ€lpmedel för att kunna ta del av myndighetens elektroniska handlingar. Detta sĂ€tt att erbjuda enskilda en teknisk möjlighet att direkt hos myndigheten ta del av elektroniska hand- lingar har ibland inte ansetts utgöra direktĂ„tkomst (se t.ex. Ds 2013:10 s. 138). I andra sammanhang har ”allmĂ€nhetens termi- nal” emellertid betraktats som direktĂ„tkomst (se t.ex. JK:s beslut den 20 januari 2010, dnr 7004-13-28).

5.6Effektivitetsvinster och integritetsrisker

5.6.1Uppdraget

I vÄra direktiv sÀgs att vi mot bakgrund av grÀnsdragningsproble- matiken i frÄga om direktÄtkomst och utlÀmnande pÄ medium för automatiserad behandling ska analysera vilka effektivitetsvinster och integritetsrisker som Àr förknippade med olika former av elek- troniskt informationsutbyte.

131

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

SOU 2015:39

5.6.2Effektivitetsvinster

I syfte att effektivisera förvaltningen har riksdag och regering Äter- kommande i olika lagstiftningsÀrenden infört bestÀmmelser som ska möjliggöra ett utökat elektroniskt informationsutbyte mellan olika myndigheter. En utgÄngspunkt har dÀrvid ofta varit att det utökade elektroniska utbytet ska ske i form av direktÄtkomst. I exempelvis prop. 2007/08:160 s. 56 f. om ett utökat elektroniskt informationsutbyte mellan Migrationsverket, FörsÀkringskassan, Skatteverket, Kronofogdemyndigheten, Statens pensionsverk, Cen- trala studiestödsnÀmnen, Arbetsförmedlingen, arbetslöshetskassorna och socialnÀmnder bedömdes att enbart den föreslagna elektro- niska hanteringen av informationsutbytet mellan FörsÀkringskassan och Migrationsverket skulle frigöra ca 15 Ärsarbetskrafter frÄn ett rutinbetonat uppgiftsinhÀmtande över telefon till mer kvalificerade arbetsuppgifter.

Riksrevisionen har i sin rapport RiR 2010:18 redovisat sin gransk- ning av om möjligheterna till effektivisering har utnyttjats nÀr det gÀller informationsutbytet mellan myndigheter med ansvar för trygghetssystem. Enligt Riksrevisionens bedömning hade myndig- heterna inte utnyttjat alla möjligheter som lag och teknik erbjuder. Ett införande av elektroniskt informationsutbyte mellan kommu- ner och myndigheter skulle kunna medföra en Ärlig nettobesparing pÄ 150 miljoner kronor per Är. Granskningen visade att det fort- farande fanns en stor utvecklingspotential i informationsutbytet mellan myndigheterna och att regeringens insatser pÄ omrÄdet inte hade nÄtt Ànda fram. Enligt Riksrevisionen utgör den svÄröver- skÄdliga strukturen i lagstiftningen ett hinder för utbytet eftersom den skapar en osÀkerhet hos myndigheterna om vilken information som fÄr utbytas. De Àr vidare svÄrt att bedöma om det finns restrik- tioner i lagstiftningen nÀr det gÀller pÄ vilket sÀtt det elektroniska utbytet fÄr ske. Modellen med förvaltningsmyndigheter under regeringen och kommunalt sjÀlvstyre innebar enligt Riksrevisionens bedömning att regeringen behövde bli bÀttre pÄ att samordna re- surser och att skapa ekonomiska incitament för myndigheterna. Elektroniskt informationsutbyte bör ske enligt gemensam standard sÄ att sÀkerhet och dÀrmed integritetsskyddet sÀkerstÀlls i informa- tionsöverföringen. En standardiserad kommunikationslösning bör bygga pÄ modern och kostnadseffektiv teknik.

132

SOU 2015:39

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

Riksrevisionen konstaterade vidare att det fanns exempel pÄ att informationsutbyten inte har blivit av pÄ grund av att myndig- heterna hade problem med att tolka lagstiftningen om hur informa- tion fÄr överföras, men att myndigheterna inte hade informerat regeringen om vÀsentliga problem med lagstiftning och resurser. En annan anledning till uteblivet informationsutbyte var kommu- nernas bristande samordning. Enligt Riksrevisionens uppfattning har myndigheterna ett gemensamt ansvar för att se till att viktiga informationsutbyten kommer till stÄnd samt att de bör skapa direktÄtkomst för att effektivisera elektroniska utbyten i de fall det Àr ekonomiskt lönsamt. NÀr det gÀllde problem i de elektroniska informationsutbyten som myndigheterna redan hade skapat visade granskningen att det förekom att informationen kunde utebli eller innehÄlla fel. Utbyte av information genom översÀndningar av batchfiler en gÄng per dygn medförde vidare en fördröjning av vik- tig information som behövs i handlÀggningen. Enligt Riksrevi- sionen borde sÄdana brister i det befintliga elektroniska informa- tionsutbytet kunna ÄtgÀrdas genom en uppgradering av de tekniska systemen sÄ att aktörerna fÄr direktÄtkomst till informationen.

I sin uppföljningsrapport Är 2013 redovisade Riksrevisionen vilka ÄtgÀrder som vidtagits efter 2010 Ärs granskning av informations- utbytet mellan myndigheter med ansvar för trygghetssystem. Riks- revisionen konstaterade bl.a. att regeringen i budgetpropositionen för Är 2013 delade revisionens slutsats att myndigheternas hand- lÀggning kan effektiviseras, att regeringen under 2011 och 2012 tillsatt tvÄ utredningar med koppling till informationsutbytet (bl.a. Informationshanteringsutredningen), att E-delegationen i betÀnk- andet VÀgen till en effektivare e-förvaltning (SOU 2011:67) tagit fram en juridisk modell för en on-lineliknande Ätkomst samt att Sveriges Kommuner och Landsting hade tagit fram ett strategi- dokument i syfte att stödja kommuner och landstings utveckling av e-förvaltning samt skapat ett programkontor med samordnings- ansvar.

I rapporten ESV 2014:2 redovisade Ekonomistyrningsverket sitt regeringsuppdrag att följa upp realiseringen av ekonomiska nyttor frÄn e-förvaltningsprojekten Elektroniska fakturor, Elektroniska bestÀllningar, Elektroniska legitimationer och SÀker myndighets- gemensam meddelandeförmedling. Ekonomistyrningsverket redo- visade i rapporten att det inte varit möjligt att sammanstÀlla eko-

133

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

SOU 2015:39

nomiska nyttor frÄn de fyra initiativ som uppdraget omfattat. Den viktigaste orsaken var att initiativen fortfarande befann sig i en genomförandefas. MÄnga myndigheter saknade vidare mÀtningar för genomförandet. Flera myndigheter hade ocksÄ lyft fram att det saknades tillrÀckliga incitament för samverkan över myndighets- grÀnserna och för att mÀta de ekonomiska nyttorna frÄn dessa gemensamma satsningar.

PÄ uppdrag av E-delegationen bedriver Centrala studiestöds- nÀmnden projektet Effektiv informationsförsörjning. Projektets syfte Àr att ta fram en tjÀnst som möjliggör för kommuner att via en anslutning elektroniskt inhÀmta information frÄn flera myndigheter samt Arbetslöshetskassornas samorganisation. Med den nya tjÀnsten kommer handlÀggaren att i stÀllet för manuellt via brev, fax eller telefon kunna inhÀmta uppgifter frÄn myndigheter och a-kassor pÄ elektronisk vÀg. TjÀnsten sattes i produktion i maj 2014 och bygger pÄ FörsÀkringskassans befintliga it-tjÀnst LEFI-Online. Sveriges Kommuner och Landsting kommer att förvalta tjÀnsten. Utveck- lingen sker i etapper och en pilotverksamhet startade vÄren 2014.

E-delegationen har utarbetat en vÀgledning för digital samver- kan (uppdaterad senast i september 2014) som Àr ett första steg i att stödja organisationer som samverkar vid utveckling av gemen- samma lösningar för informationssystem.

5.6.3Integritetsrisker

Som vi har redovisat i vÄrt delbetÀnkande Àr det ett sÀrskilt problem att s.k. överskottsinformation kan uppstÄ vid direktÄtkomst. Detta beror pÄ att nÀr direktÄtkomsten etableras det ofta inte gÄr att av- göra exakt vilka specifika uppgifter i en vÀrdmyndighets informa- tionssamlingar som en mottagarmyndighet kan komma att ha an- ledning att ta del av. En sÄdan myndighet kan alltsÄ behöva ha tillgÄng till uppgifter om personer som visar sig aldrig bli aktuella i myndighetens verksamhet. Detta kan redan i sig innebÀra vissa integritetsrisker. Det kan ocksÄ fÄ negativa konsekvenser för enskildas personliga integritet att överskottsinformation pÄ detta sÀtt blir allmÀn handling hos mottagarmyndigheter redan dÄ den tekniska möjligheten att ta del av informationen etableras.

134

SOU 2015:39

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

En direktÄtkomst kan ocksÄ upplevas utgöra en risk för enskildas integritet i ett mer övergripande perspektiv, eftersom en sÄdan Ät- komst aktualiserar sÀrskilda frÄgor om informationssÀkerhet pÄ grund av att de inblandade aktörernas informationssystem i viss utstrÀck- ning kopplas samman.

UtlÀmnanden av personuppgifter i elektronisk form pÄ annat sÀtt Àn genom direktÄtkomst innebÀr dÀremot inte i sig att det upp- stÄr vare sig problem med s.k. överskottsinformation eller sÄdana sÀkerhetsrisker som har samband med att informationssystemen kopplas samman. DÀremot finns det integritetsrisker förknippade Àven med sÄdana former av informationsutbyte som bl.a. innebÀr att övervÀganden behöver göras sÄ att information som behöver skyddas kan förmedlas pÄ ett sÀkert sÀtt.

5.7VÄra övervÀganden

Bedömning: DirektÄtkomst innebÀr rÀttsligt att grÀnsen mellan de uppgiftsutbytande myndigheterna i viss omfattning tas bort, vilket inte Àr en konsekvens av annat elektroniskt utlÀmnande. Hur den mottagande myndigheten vÀljer att anvÀnda direkt- Ätkomsten har den utlÀmnande myndigheten inte nÄgon befogen- het att pÄverka, eftersom de handlingar som omfattas av Ätkomsten redan har lÀmnats ut. Korresponderande sekretessfrÄgor mÄste dÀrför vara lösta pÄ förhand liksom behov av sökbegrÀnsningar hos den mottagande myndigheten, vilket kan medföra krav pÄ lagstiftningsÄtgÀrder. BÄde principiella och rÀttsliga skÀl talar dÀrför för att en Ätskillnad mellan direktÄtkomst och annat utlÀmnande i elektronisk form görs.

Vidare utgör varken den tekniska utvecklingen eller effektivi- tetsvinster och integritetsrisker som kan förknippas med olika Ätkomstmetoder skÀl för att utmönstra den begreppsmÀssiga Ätskillnaden.

Ett sĂ„dant utlĂ€mnande i elektronisk form som inte Ă€r direkt- Ă„tkomst innebĂ€r – oavsett pĂ„ vilket sĂ€tt det sker – alltsĂ„ inte att myndigheternas verksamhet rĂ€ttsligt sett blandas samman. NĂ„got behov av att rĂ€ttsligt skilja olika sĂ„dana former Ă„t finns dĂ€rför inte.

135

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

SOU 2015:39

I vÄra direktiv sÀgs att vi ska ta stÀllning till om det finns skÀl för att i registerförfattningar upprÀtthÄlla en skillnad mellan direkt- Ätkomst och andra former av elektroniskt utlÀmnande eller om denna skillnad bör utmönstras. Vi uppfattar vÄrt uppdrag i denna del som att en analys bör göras av om det i lagstiftningssamman- hang finns anledning att ocksÄ i fortsÀttningen skilja pÄ begreppen, dvs. att analysen bör ta sikte pÄ begreppens rÀttsliga innebörd.

5.7.1Att enbart beskriva direktÄtkomst som en form av elektroniskt utlÀmnande ger en otillrÀcklig bild av vad Ätkomsten rÀttsligt innebÀr

Visserligen kan direktĂ„tkomst kort och gott beskrivas som en form av elektroniskt utlĂ€mnande. PĂ„ detta sĂ€tt beskrivs begreppen ocksĂ„ i flera förarbeten, exempelvis i motiven till studiestödsdatalagen (prop. 2008/09:96 s. 57 f.). FrĂ„n en principiell och rĂ€ttslig utgĂ„ngs- punkt ger den beskrivningen enligt vĂ„r mening emellertid en otill- rĂ€cklig och alltför begrĂ€nsad bild av vad en sĂ„dan Ă„tkomst innebĂ€r. Termen direktĂ„tkomst som sĂ„dan beskriver pĂ„ ett bĂ€ttre sĂ€tt vad det Ă€r frĂ„gan om, varvid nyckelordet Ă€r ”direkt”. Det tar sikte pĂ„ att den utlĂ€mnande myndigheten bildligt talat öppnar sina dörrar för den mottagande myndigheten. Den mottagande myndigheten tillĂ„ts trĂ€da in innanför dörrarna och sjĂ€lv fĂ„, i den omfattning som med- getts, söka fritt i den utlĂ€mnande myndighetens informationssam- lingar. FrĂ„n ett principiellt perspektiv Ă€r den omstĂ€ndigheten att Ă„tkomsten Ă€r direkt, dvs. att ”dörrarna öppnas”, det mest betydelse- fulla, eftersom det innebĂ€r att den utlĂ€mnande myndigheten redan vid den tidpunkt dĂ„ Ă„tkomsten etableras har lĂ€mnat ut berörda uppgifter till den mottagande myndigheten. Denna omstĂ€ndighet gör att direktĂ„tkomst Ă€r en betydligt mer vittomfattande form av elektroniskt utlĂ€mnande Ă€n andra sĂ„dana former av utlĂ€mnanden. Att direktĂ„tkomsten Ă€r en speciell företeelse visas av att det uppstĂ„r bĂ„de rĂ€ttsliga och sakliga konsekvenser som inte uppkommer vid andra former av utlĂ€mnanden.

136

SOU 2015:39

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

Konsekvenser sÄvitt avser allmÀnna handlingar och sekretess

En rÀttslig konsekvens Àr, som framgÄtt ovan (avsnitt 5.3.1), att de upptagningar/handlingar hos den utlÀmnande myndigheten som direktÄtkomsten omfattar blir expedierade i den mening som avses i 2 kap. 7 § TF redan i och med att Ätkomsten etablerats, dvs. i den stund dÄ upptagningarna Àr tekniskt tillgÀngliga för den mottag- ande myndigheten sÄ att de kan lÀsas, avlyssnas eller pÄ annat sÀtt uppfattas. Att en expediering sker innebÀr att handlingarna Àr att anse som allmÀnna bÄde hos den utlÀmnande och mottagande myn- digheten. Huruvida den mottagande myndigheten genom nÄgon Ät- gÀrd faktiskt har anvÀnt sig av direktÄtkomsten har ingen betydelse för denna frÄga. Genom att Ätkomsten etablerats Àr handlingarna alltsÄ att anse som inkomna till och förvarade hos den mottagande myndigheten.

I och med att den mottagande myndigheten Ă€r inslĂ€ppt och Ă€r ”innanför dörrarna” hos den utlĂ€mnande myndigheten kan den bland de uppgifter som direktĂ„tkomsten omfattar sjĂ€lv vĂ€lja om och i sĂ„ fall vilka uppgifter den vill hĂ€mta hem till sina egna informations- samlingar genom nĂ„gon form av faktiskt överföring för att dĂ€refter bearbeta uppgifterna dĂ€r. Vad myndigheten vĂ€ljer att göra har den utlĂ€mnande myndigheten inte nĂ„gon rĂ€ttslig befogenhet att pĂ„ver- ka, eftersom handlingarna redan har lĂ€mnats ut till den mottagande myndigheten i 2 kap. TF:s mening genom att Ă„tkomsten etablerats.

Till detta kommer att om man planerar att en direktÄtkomst ska omfatta uppgifter hos en myndighet som Àr sekretessreglerade, Àr det nödvÀndigt att i förvÀg fÄ klarlagt att Ätkomsten Àr förenlig med den sekretess som gÀller för respektive myndighets omrÄde. Dessa frÄgor mÄste alltsÄ vara lösta innan direktÄtkomsten etableras. För det första behöver det bedömas om det finns ett tillfredsstÀllande sekretesskydd för uppgifterna hos den mottagande myndigheten eller om ett sÄdant skydd behöver införas. Det mÄste i sÄ fall ske genom reglering i offentlighets- och sekretesslagen, dvs. genom lag. För det andra behöver det bedömas om det finns en sekretess- brytande regel som möjliggör att de sekretessreglerade uppgifterna lÀmnas ut till den mottagande myndigheten. Om inte, mÄste Àven en sÄdan föreskrift införas. Det kan ske i form av lag eller förord- ning. Eftersom en sekretessbrytande regel ska syfta till att göra direktÄtkomsten möjlig mÄste en sÄdan regel ta sikte pÄ direkt-

137

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

SOU 2015:39

Ätkomsten i dess hela vidd. Eftersom ett utlÀmnande sker av samt- liga uppgifter som omfattas av direktÄtkomsten i det ögonblick Ätkomsten etableras, mÄste den sekretessbrytande regeln alltsÄ möj- liggöra hela detta utlÀmnande. Det Àr m.a.o. inte tillrÀckligt att en sekretessbrytande regel möjliggör ett utlÀmnande i de enskilda fall dÄ den mottagande myndigheten genom en faktisk överföring anvÀnder sig av direktÄtkomsten och hÀmtar vissa av de uppgifter som Ätkomsten omfattar. Samtliga uppgifter har ju redan lÀmnats ut till den myndigheten i och med att direktÄtkomsten har etable- rats.

En rÀttslig konsekvens av en direktÄtkomst Àr alltsÄ att korren- sponderande sekretessfrÄgor mÄste vara lösta i förvÀg, dvs. innan Ätkomsten faktiskt etableras, vilket i sin tur i förekommande fall kan krÀva författningsÀndringar.

I underlaget för bedömningen av vilken omfattning en sekre- tessbrytande regel ska ha, dvs. vilka uppgifter som ska lÀmnas ut genom direktÄtkomsten utan hinder av sekretess, torde det i de flesta fall Àven behöva finnas med en analys av hur direktÄtkomsten kan ordnas rent tekniskt. Först nÀr en sÄdan analys Àr gjord torde man kunna ta stÀllning till hur omfattande direktÄtkomsten behöver vara för att det planerade uppgiftsutbytet ska vara möjligt.

Konsekvenser sÄvitt avser behandling av personuppgifter och personuppgiftsansvar

Det finns ocksÄ anledning att analysera vad en planerad direkt- Ätkomst innebÀr i frÄga om vilka behandlingar av personuppgifter som behöver ske samt nÀr personuppgiftsansvaret aktualiseras och vad det tar sikte pÄ. En direktÄtkomst innebÀr att en rad förbered- ande ÄtgÀrder behöver vidtas som bl.a. inbegriper behandling av personuppgifter redan innan utlÀmnandet av uppgifterna sker. Det Àr en avgörande skillnad i förhÄllande till ett utlÀmnande av person- uppgifter pÄ automatiserat medium, som Àr begrÀnsat till en behand- ling som innebÀr att uppgifter sÀnds över elektroniskt till mottag- aren.

Vid en direktĂ„tkomst behöver förberedande tekniska Ă„tgĂ€rder vidtas för att direktĂ„tkomsten, nĂ€r den vĂ€l etableras, ska ta sikte pĂ„ endast de personuppgifter som Ă„tkomsten fĂ„r omfatta. Det utgör en form av behandling av personuppgifter. Även andra förbered-

138

SOU 2015:39

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

ande ÄtgÀrder behöver vidtas som har samband med inblandade myndigheters personuppgiftsansvar, Àven om de inte i sig innebÀr en behandling av personuppgifter. Det behöver exempelvis göras sÀkerhetsanalyser och krÀvs att eventuella behövliga ÄtgÀrder dÀr- efter vidtas för att motverka de risker för myndigheternas informa- tion som kan uppstÄ pÄ grund av att deras tekniska system, och dÀrmed verksamheter, i viss mÄn kopplas ihop genom direkt- Ätkomsten. Andra förberedande ÄtgÀrder som den mottagande myn- digheten behöver Àgna sig Ät i egenskap av personuppgiftsansvarig Àr att vidta tekniska och andra ÄtgÀrder, t.ex. fördelning av behörig- het och ÄtkomstbegrÀnsningar, för att sÀkerstÀlla att endast de tjÀnstemÀn som har behörighet att anvÀnda sig av direktÄtkomsten kommer att kunna göra det och att det kan kontrolleras och följas upp hur Ätkomsten anvÀnds. De inblandade myndigheterna har alltsÄ ett gemensamt ansvar för att de sÀkerhets- och kontrollfrÄgor som direktÄtkomsten ger upphov till Àr pÄ ömse hÄll analyserade och lösta innan direktÄtkomsten etableras. FrÄgor av dessa slag behandlas nÀrmare i avsnitt 10.1.4 och 10.2.5.

NÀr direktÄtkomsten vÀl etableras sker ocksÄ en behandling av personuppgifter, nÀmligen att samtliga uppgifter som omfattas av Ätkomsten lÀmnas ut till den mottagande myndigheten genom att de vid etableringen blir tillgÀngliga för den myndigheten. Det Àr alltsÄ nÄgot annat Àn den behandling av personuppgifter som sker nÀr uppgifterna rent faktiskt förs över till den myndigheten. I den mÄn sÄdana faktiska överföringar sker Àr det behandlingar som utförs av den mottagande myndigheten nÀr den anvÀnder sig av sin direktÄtkomst. Det Àr ocksÄ den myndigheten som enligt vad vi föreslÄr ska vara personuppgiftsansvarig för dessa behandlingar, se avsnitt 10.1.4. Detta Àr ocksÄ en viktig skillnad i förhÄllande till hur ett s.k. utlÀmnande pÄ automatiserat medium gÄr till, dÄ det Àr den utlÀmnande myndigheten som genomför och ansvarar för att per- sonuppgifter faktiskt sÀnds över till den mottagande myndigheten.

En direktÄtkomst som Àr igÄng innebÀr att de myndigheter som ingÄr i uppgiftsutbytet kommer att samtidigt utföra behandlingar av personuppgifter i den informationssamling som genom Ätkomsten i viss mÄn blir gemensam. BÄde den utlÀmnande och mottagande myndigheten kommer alltsÄ i olika delar och pÄ olika nivÄer att vara personuppgiftsansvariga för behandlingar som utförs. Den utlÀm- nande myndigheten ansvarar exempelvis för innehÄllet i databasen

139

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

SOU 2015:39

och för att kontrollera att det Àr rÀtt mottagande myndighet som anvÀnder direktÄtkomsten. Den mottagande myndigheten i sin tur har t.ex. att svara för att det Àr en behörig handlÀggare som anvÀn- der sig av Ätkomsten för att hÀmta hem personuppgifter till de egna informationssamlingarna.

FrÄgor av detta slag krÀver i allmÀnhet inte sÀrskilt författ- ningsstöd för att möjliggöra en direktÄtkomst. Av 31 § PuL följer emellertid ett krav pÄ den personuppgiftsansvarige att skydda de personuppgifter som ska behandlas genom ÄtgÀrder som ger en lÀmplig sÀkerhetsnivÄ. I samband med direktÄtkomst mÄste alltsÄ stÀllningstaganden och behövliga ÄtgÀrder av detta slag vidtas i förvÀg pÄ myndighetsnivÄ. I den enskilde registrerades perspektiv Àr det vidare av stor vikt att det alltid ska vara tydligt vem som Àr personuppgiftsansvarig för en viss behandling. Den informationen ska vara lÀtt tillgÀnglig för den enskilde registrerade som alltid ska kunna veta vart man ska vÀnda sig för att göra ansprÄk pÄ sina rÀttigheter, exempelvis i form av rÀttelse eller skadestÄnd.

Konsekvenser sÄvitt avser anvÀndningen av sökbegrepp

Genom direktÄtkomst blir den utlÀmnande myndighetens informa- tionssamlingar i viss omfattning tillgÀngliga för den mottagande myndigheten pÄ sÄ sÀtt att den fritt kan söka och föra över upp- gifter för att anvÀndas i den egna verksamheten. Dessa aktiviteter sker i den mottagande myndighetens verksamhet och omfattas sÄ- ledes av de regler som gÀller för den verksamheten och inte för den utlÀmnande myndighetens verksamhet. Det innebÀr vanligtvis att de eventuella sökbegrÀnsningar som styr vilka sökningar och samman- stÀllningar som kan göras i samband med den utlÀmnande myndig- hetens behandling av personuppgifter inte gÀller för den mottag- ande myndigheten trots att denna genom direktÄtkomsten fÄr Ätkomst till samma uppgifter. En frÄga som dÀrför ocksÄ behöver analyseras i förvÀg innan en direkÄtkomst medges Àr om det behövs regler som begrÀnsar anvÀndningen av sökbegrepp för att uppnÄ ett tillfredsstÀllande skydd för personuppgifter Àven hos den mottag- ande myndigheten. Det Àr ytterligare en rÀttslig konsekvens av direkt- Ätkomst som inte uppstÄr i samband med ett utlÀmnande pÄ medium för automatiserad behandling. I avsnitt 9.4 behandlar vi vilka sök-

140

SOU 2015:39

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

begrÀnsningar som generellt bör gÀlla vid myndigheters behandling av personuppgifter. FrÄgan om hur sökbegrÀnsningar bör regleras vid direktÄtkomst övervÀgs nÀrmare i avsnitt 11.3.

Sammanfattning

I samband med direktĂ„tkomst vĂ€cks alltsĂ„ bĂ„de principiella och rĂ€ttsliga frĂ„gor som har sin grund i att grĂ€nsen mellan de uppgifts- utbytande myndigheterna i viss utstrĂ€ckning tas bort. I förekom- mande fall krĂ€vs dĂ€rför att ny sekretess respektive att en sekretess- brytande regel införs. En annan rĂ€ttslig frĂ„ga Ă€r att det behöver övervĂ€gas om den mottagande myndighetens anvĂ€ndning av de personuppgifter som blir Ă„tkomliga genom direktĂ„tkomst behöver begrĂ€nsas genom förbud att anvĂ€nda vissa sökbegrepp. Inför eta- bleringen av en direktĂ„tkomst uppstĂ„r ocksĂ„ ett behov av att in- blandade myndigheter, i egenskap av verksamhets- och personupp- giftsansvariga, analyserar det tekniska genomförandet av Ă„tkomsten samt vidtar förberedande Ă„tgĂ€rder bl.a. för att Ă„stadkomma en lĂ€mplig sĂ€kerhetsnivĂ„ pĂ„ ömse hĂ„ll. Samtliga dessa frĂ„gor, som alltsĂ„ innebĂ€r att Ă„tgĂ€rder behöver vidtas i vart fall pĂ„ myndighetsnivĂ„ och eventuellt Ă€ven av lagstiftaren, mĂ„ste sĂ„ledes vara lösta innan den mottagande myndigheten ”slĂ€pps in” hos den utlĂ€mnande myn- digheten genom att direktĂ„tkomsten etableras. Detta Ă€r en avgör- ande skillnad i förhĂ„llande till annat utlĂ€mnande som sker genom att uppgifter förmedlas i elektronisk form till mottagaren.

5.7.2Annat utlÀmnande i elektronisk form ger inte i sig upphov till att sÀrskilda ÄtgÀrder behöver vidtas

Vid utlĂ€mnanden i elektronisk form som inte sker genom direkt- Ă„tkomst Ă€r det hela tiden den utlĂ€mnande myndigheten som rĂ€tts- ligt förfogar över frĂ„gan om och i sĂ„ fall vilka uppgifter som ska lĂ€mnas ut genom att sĂ€ndas över till den mottagande myndigheten. PĂ„ detta sĂ€tt skiljer sig sĂ„dana utlĂ€mnanden i principiell mening frĂ„n direktĂ„tkomst. Bildligt talat kan det sĂ€gas innebĂ€ra att den utlĂ€m- nande myndigheten inte slĂ€pper in den mottagande myndigheten. Den mottagande myndigheten fĂ„r i stĂ€llet vĂ€nta ”utanför dörrarna” tills begĂ€rda uppgifter lĂ€mnas ut.

141

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

SOU 2015:39

Konsekvenser sÄvitt avser allmÀnna handlingar och sekretess

I och med att den mottagande myndigheten inte slÀpps in till den utlÀmnande myndigheten uppstÄr inget behov av att analysera och eventuellt införa nya sekretessbestÀmmelser pÄ grund av att grÀnsen mellan myndigheterna öppnas upp. UtlÀmnandet Àr alltsÄ inte av ett sÄdant ingripande slag att det i sig, sÄsom vid direktÄtkomst, medför ett behov av att i förvÀg analysera om författningsÀndringar behövs. Ett utlÀmnande sker i stÀllet efter att den utlÀmnande myn- digheten gjort en bedömning med utgÄngspunkt i de bestÀmmelser som Àr tillÀmpliga i det enskilda fallet. En helt annan sak Àr att det mÄhÀnda kan finnas sekretessbestÀmmelser som kan tyckas i en oönskad utstrÀckning hindra ett visst uppgiftsutbyte mellan myn- digheter.

Vid ett uppgiftsutbyte mellan tvÄ myndigheter som avses ha en nÄgorlunda stor omfattning vÀcks den mer grundlÀggande frÄgan om det behövs regler för att styra huruvida sekretessreglerade upp- gifter rutinmÀssigt kan lÀmnas ut till en annan myndighet. Den frÄgan bör övervÀgas skild frÄn frÄgan om pÄ vilket sÀtt uppgifter kan lÀmnas ut. FrÄgorna har emellertid ett samband pÄ det sÀttet att om det finns behov av ett rutinmÀssigt uppgiftsutbyte, torde det utbytet kunna effektiviseras genom att utlÀmnandet sker i elek- tronisk form.

Ett rutinmĂ€ssigt utlĂ€mnande av uppgifter till en annan myndig- het kan regleras pĂ„ sĂ„ sĂ€tt att det införs en sĂ€rskild sekretess- brytande regel för de myndigheter som ska utbyta information. Om sĂ„ inte sker kan ett rutinmĂ€ssigt utlĂ€mnande i stĂ€llet Ă€ga rum med stöd av den s.k. generalklausulen i 10 kap. 27 § OSL, dvs. efter en avvĂ€gning mellan intresset av att skydda uppgifterna hos den utlĂ€mnande myndigheten och intresset hos den mottagande myn- digheten av att fĂ„ ut uppgifterna. Det krĂ€ver i sig alltsĂ„ ingen sĂ€rskild författningsreglering. BestĂ€mmelserna i 10 kap. 27 § OSL bygger emellertid pĂ„ att ett rutinmĂ€ssigt utlĂ€mnande av sekretess- reglerade uppgifter ska vara författningsreglerat (se avsnitt 5.2.2). Har det i en lag eller författning föreskrivits att uppgifter ”bör” eller ”fĂ„r” lĂ€mnas ut fĂ„r det antas att lagstiftaren har bedömt att intresset av att uppgifter lĂ€mnas mellan myndigheter har företrĂ€de framför sekretessintresset. Även om det inte Ă€r frĂ„gan om en sĂ„dan absolut uppgiftsskyldighet som avses i 10 kap. 28 § OSL, torde det

142

SOU 2015:39

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

finnas ett relativt begrĂ€nsat utrymme för den utlĂ€mnande myndig- heten att i en konkret utlĂ€mnandesituation göra en annan bedöm- ning. I rĂ€ttslig mening Ă€r det dock den utlĂ€mnande myndigheten som förfogar över och beslutar om uppgifterna faktiskt ska lĂ€mnas ut. Även vid ett rutinmĂ€ssigt utlĂ€mnande som fĂ„r stöd i en författ- ningsbestĂ€mmelse som föreskriver att uppgifter ”fĂ„r” lĂ€mnas ut, Ă€r det alltsĂ„ den utlĂ€mnande myndigheten som hela tiden rĂ€ttsligt förfogar över frĂ„gan om uppgifterna ska lĂ€mnas ut.

I den hĂ€ndelse avsikten Ă€r att ett rutinmĂ€ssigt uppgiftsutbyte ska Ă€ga rum mellan myndigheter och detta avser sekretessreglerade uppgifter, bör sĂ„ledes utgĂ„ngspunkten vara att uppgiftsutbytet bör komma till uttryck genom föreskrifter i lag eller förordning dĂ€r det uttrycks att en myndighet ”bör” eller ”fĂ„r” lĂ€mna ut uppgifter till en annan myndighet. Ett sĂ„dant behov av en författningsreglering har emellertid, som redan pĂ„pekats, inte nĂ„got egentligt samband med frĂ„gan om pĂ„ vilket sĂ€tt utlĂ€mnandet avses ske.

Konsekvenser sÄvitt avser behandling av personuppgifter och personuppgiftsansvar

Ett utlÀmnande i elektronisk form, som inte sker genom direkt- Ätkomst utan genom att uppgifter elektroniskt sÀnds över till den mottagande myndigheten, medför inte samma krav pÄ att förbered- ande analyser och ÄtgÀrder vidtas. Det enda som ska ske rent tek- niskt Àr att uppgifterna i nÄgon form sÀnds över frÄn den utlÀm- nande till den mottagande myndigheten. NÄgra förberedande behand- lingar av personuppgifter behöver alltsÄ inte ske. Det Àr ocksÄ endast översÀndandet som behöver analyseras frÄn sÀkerhetssynpunkt och det resultatet kan styra i vilken form översÀndandet bör ske för att inga sÀkerhetsrisker ska uppstÄ för vare sig uppgifterna eller myn- digheten. Det kan exempelvis innebÀra att uppgifter som avses sÀndas över via e-post bör krypteras.

Den utlÀmnande och den mottagande myndigheten behandlar inte heller vid nÄgot tillfÀlle de aktuella personuppgifterna samtidigt sÄsom Àr fallet vid direktÄtkomst. Det uppstÄr alltsÄ inte heller nÄgra frÄgor om hur personuppgiftsansvaret ska eller bör fördelas vid sÄdan samtidig behandling.

143

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

SOU 2015:39

Konsekvenser sÄvitt avser anvÀndningen av sökbegrepp

Som redan pÄpekats Àr ett annat utlÀmnande i elektronisk form Àn genom direktÄtkomst endast att se som en frÄga om pÄ vilket sÀtt uppgifter ska sÀndas över frÄn en myndighet till en annan. I sig pÄkallar alltsÄ inte utlÀmnandet nÄgra övervÀganden om vilka sök- begrepp den mottagande myndigheten ska fÄ anvÀnda dÄ den be- handlar de uppgifter som hÀmtas in.

Sammanfattning

De frÄgor som vÀcks i samband med ett utlÀmnande i elektronisk form, som inte sker genom direktÄtkomst, Àr vÀsentligen av annat slag och pÄkallar normalt sett inte ÄtgÀrder frÄn lagstiftaren i det enskilda fallet. De frÄgor som uppstÄr begrÀnsar sig till vad som har samband med det som saken rent faktiskt rör, nÀmligen att pÄ ett eller annat sÀtt förmedla eller vidaresÀnda personuppgifter elektro- niskt. NÄgra förberedande analyser och ÄtgÀrder behöver alltsÄ inte vidtas annat Àn för att den utlÀmnande myndigheten ska kunna för- sÀkra sig om att översÀndandet sker pÄ ett sÀkert sÀtt. De rÀttsliga frÄgor som uppstÄr Àr vidare av ett mer allmÀnt slag. Det kan exempelvis röra förvaltningsrÀttsliga frÄgor om vem som Àr behörig att pÄ myndighetens vÀgnar fatta beslut om utlÀmnande, motivering av beslut om en begÀran helt eller delvis inte bifalls och möjlighet för den myndighet som nekas att fÄ ut uppgifter att överklaga (jfr 6 kap. 7 § andra stycket OSL).

5.7.3Vilken betydelse har den tekniska utvecklingen?

Av 8 kap. 1 § OSL följer att sekretess gÀller Àven mellan myndig- heter. Vidare framgÄr av 2 § att detsamma gÀller ocksÄ mellan olika verksamhetsgrenar inom en myndighet nÀr de Àr att betrakta som sjÀlvstÀndiga i förhÄllande till varandra. Dessa bestÀmmelser innebÀr att det finns grÀnser myndigheterna emellan, och vissa fall ocksÄ inom myndigheterna, som begrÀnsar deras möjligheter att fritt ut- byta sekretessreglerade uppgifter. Att motsvarande grÀnser i prin- cip gÀller Àven vid överlÀmnande av handlingar mellan och inom myndigheter pÄ sÄ sÀtt att ett överlÀmnande över myndighetsgrÀns-

144

SOU 2015:39

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

erna innebÀr att handlingarna anses inkomna och upprÀttade och dÀrmed som allmÀnna framgÄr av 2 kap. 8 § TF.

I rĂ€ttsfallet HFD 2011 ref. 52 kom alltsĂ„ Högsta förvaltnings- domstolen fram till att en myndighets tillgĂ„ng till en annan myn- dighets databas pĂ„ sĂ„ sĂ€tt att den förstnĂ€mnda myndigheten dĂ€r kunde ta del av uppgifter ”i lĂ€sbart skick” innebar att uppgifterna skulle anses expedierade i den mening som avses i 2 kap. 7 § TF och dĂ€rmed utgöra en upprĂ€ttad allmĂ€n handling. Den omstĂ€ndigheten att den mottagande myndigheten har getts en tillgĂ„ng som innebĂ€r att den kunde lĂ€sa uppgifter i databasen innebĂ€r i sin tur att hand- lingar hade överlĂ€mnats till den myndigheten och dĂ€rmed finns i dess förvar. Högsta förvaltningsdomstolen anvĂ€nder inte begreppet direktĂ„tkomst, men kan anses indirekt konstatera att en direkt- Ă„tkomst Ă€r för handen nĂ€r det finns en sĂ„dan teknisk tillgĂ„ng som avses i 2 kap. 3 § andra stycket TF. Domstolen fĂ„r dĂ€rmed upp- fattas ha bekrĂ€ftat den definition av direktĂ„tkomst som getts i för- arbetena till 11 kap. 4 § OSL, som reglerar överföring av sekretess vid direktĂ„tkomst. DĂ€r anförde regeringen (prop. 2007/08:160 s. 164) att med sĂ„dan Ă„tkomst avses att en upptagning Ă€r tillgĂ€nglig hos den mottagande myndigheten pĂ„ ett sĂ„dant sĂ€tt som avses i 2 kap. 3 § andra stycket första meningen TF, dvs. upptagningen ska vara tillgĂ€nglig med tekniska hjĂ€lpmedel som myndigheten sjĂ€lv ut- nyttjar för överföring i sĂ„dan form att den kan lĂ€sas, avlyssnas eller pĂ„ annat sĂ€tt uppfattas. RĂ€ttsfallet kan ocksĂ„ sĂ€gas bekrĂ€fta det som enligt andra förarbetsuttalanden anses kĂ€nneteckna en direktĂ„tkomst, nĂ€mligen att den mottagande myndigheten har en direkt tillgĂ„ng till nĂ„gon annans register eller databas och pĂ„ egen hand kan söka information och att den utlĂ€mnande myndigheten inte har nĂ„gon kontroll över vad mottagaren vid ett visst söktillfĂ€lle tar del av (se t.ex. prop. 2011/12:45 s. 133). BĂ„da dessa omstĂ€ndigheter kan sĂ€gas vara ett resultat av att de upptagningar som omfattas av direkt- Ă„tkomsten finns i den mottagande myndighetens förvar i den stund Ă„tkomsten etableras.

De uttalanden som gjorts i förarbetena till 11 kap. 4 § OSL, vilka som vi ser det fÄr anses ha bekrÀftats i rÀttsfallet HFD 2011 ref. 52, kan sÄledes sÀgas ge en definition av direktÄtkomst, dvs. att en sÄdan Ätkomst Àr för handen nÀr den mottagande myndigheten har en sÄdan teknisk tillgÄng till den utlÀmnande myndighetens upp- tagningar som avses i 2 kap. 3 § andra stycket TF.

145

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

SOU 2015:39

RĂ€ttspraxis ger dĂ€remot inte nĂ„got omedelbart svar pĂ„ hur man bör se pĂ„ sĂ„dana former av elektroniskt utlĂ€mnande som ansetts befinna sig i en ”grĂ„zon” mellan direktĂ„tkomst och annat elektroniskt utlĂ€mnande, exempelvis s.k. batch-körningar och olika former av frĂ„ga/svar-tjĂ€nster. De nĂ€mnda företeelserna kan sĂ€gas vara kĂ€nne- tecknade av att den mottagande myndigheten har getts en möjlig- het att tekniskt ansluta sig till den utlĂ€mnande myndighetens infor- mationssamlingar, men möjligheten att genom en faktisk över- föring hĂ€mta hem uppgifter Ă€r i nĂ„gon mening inte direkt. Exem- pelvis sker ett utlĂ€mnande av begĂ€rda uppgifter först efter en viss tidsfördröjning eller efter att vissa automatiserade kontroller gjorts. Denna typ av omstĂ€ndigheter har ibland ansetts tala för att det inte Ă€r frĂ„gan om direktĂ„tkomst utan om annat elektroniskt utlĂ€m- nande, Ă€ven om det Ă€r frĂ„ga om helt automatiserade system för utbyte av uppgifter mellan myndigheter. I den mĂ„n sĂ„ skulle vara fallet, Ă€r det alltsĂ„ endast den mĂ€ngd uppgifter som överförs i de enskilda fallen som anses utlĂ€mnade till och dĂ€rmed utgör allmĂ€nna handlingar hos den mottagande myndigheten. Att den mottagande myndigheten tekniskt sett har ”kopplat upp sig” mot den andra myndighetens uppgiftssamlingar och dĂ€rigenom getts möjlighet att genom ett tekniskt förfarande begĂ€ra ut uppgifter skulle vid ett sĂ„dant synsĂ€tt inte i sig anses innebĂ€ra nĂ„got utlĂ€mnande av upp- gifter i tryckfrihetsförordningens mening.

Det Ă€r alltsĂ„ inte givet i vilken utstrĂ€ckning detta slags omstĂ€n- digheter har betydelse för frĂ„gan om den mottagande myndigheten har en sĂ„dan teknisk tillgĂ„ng till uppgifter som avses i 2 kap. 3 § andra stycket TF, dvs. vad de betyder för frĂ„gan om en upptagning Ă€r att anse som förvarad hos den mottagande myndigheten genom att den kan lĂ€sas, avlyssnas eller pĂ„ annat sĂ€tt uppfattas. Med andra ord stĂ„r det inte helt klart vilka krav som formuleringen ”lĂ€sas, avlyssnas eller pĂ„ annat sĂ€tt uppfattas” innefattar för att en teknisk Ă„tkomst ska anses ”direkt”.

Den tekniska utvecklingen har Àven inneburit att myndigheterna har utvecklat tjÀnster som ger enskilda möjligheter att genom ett automatiserat förfarande ta del av myndigheternas informations- samlingar. Som exempel kan nÀmnas s.k. sjÀlvbetjÀningstjÀnster via myndigheternas hemsidor. SÄdana former av tillgÄng till myndig- heters uppgifter har ibland inte betecknats som direktÄtkomst, trots att det i praktiken knappast kan vara frÄgan om nÄgot annat. En

146

SOU 2015:39

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

möjlig förklaring kan vara att det dÄ Àr frÄga om offentliga upp- gifter medan begreppet direktÄtkomst har tenderat att förbehÄllas de fall dÀr en automatiserad Ätkomst kan anses sÀrskilt kÀnslig, t.ex. om en Ätkomst tar sikte pÄ sekretessreglerade uppgifter eller av annat skÀl anses kÀnslig frÄn integritetsskyddssynpunkt.

BÄde den rÀttsliga och den tekniska utvecklingen kan sÄledes eventuellt komma att innebÀra att begreppet direktÄtkomst inte kan göras liktydigt med automatiserat uppgiftsutlÀmnande, utan att begreppet bör ges en snÀvare innebörd. Oavsett hur denna frÄga kan komma att besvaras i praxis kan det konstateras att det ÀndÄ kommer att finnas former av uppgiftsutbyte som tveklöst Àr att betrakta som direktÄtkomst. I frÄga om sÄdant uppgiftsutbyte finns det alltsÄ anledning att ocksÄ i fortsÀttningen principiellt och rÀtts- ligt skilja direktÄtkomst frÄn andra former av elektroniskt utlÀm- nande. Det finns ocksÄ i fortsÀttningen behov av att skilja pÄ den ingripande form av utlÀmnande som en direktÄtkomst innebÀr, som principiellt och rÀttsligt innebÀr att grÀnsen mellan de inblandade myndigheterna i viss mÄn försvinner, frÄn andra elektroniska utlÀm- nanden som inte har samma ingripande rÀttsliga konsekvenser och som inte i sig medför att det uppstÄr rÀttsliga frÄgor som mÄste lösas pÄ förhand. Den tekniska utvecklingen utgör alltsÄ i sig inget skÀl för att utmönstra begreppet direktÄtkomst.

5.7.4Effektivitetsvinster och integritetsrisker

I flera lagstiftningsĂ€renden som syftat till att utöka informations- utbytet mellan myndigheter har framhĂ„llits att utbytet kan effek- tiviseras om utbytet sker elektroniskt och i synnerhet om det sker genom direktĂ„tkomst. Även Riksrevisionen bedömde i sin gransk- ningsrapport frĂ„n Ă„r 2010 (RiR 2010: 18) om informationsutbytet mellan myndigheter med ansvar för trygghetssystem att direkt- Ă„tkomst medförde en större effektivisering Ă€n det elektroniska informationsutbyte som vid denna tid redan Ă€gde rum i andra for- mer.

Arbetet med att effektivisera myndigheternas verksamhet genom elektroniskt informationsutbyte har fortskridit och pÄgÄr alltjÀmt, bl.a. genom E-delegationens arbete. Under senare Är har nya tek- niska former för sÄdant utbyte tagits fram som, oavsett om det Àr

147

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

SOU 2015:39

frÄga om direktÄtkomst eller inte, innebÀr effektiviseringar i för- hÄllande till hur utbytet tidigare Àgde rum.

Mot bakgrund av de utredningar som har gjorts i frÄga om hur myndigheternas informationsutbyte kan effektiviseras och om eko- nomiska nyttoeffekter av sÄdana projekt synes frÄgan om hur den bÀsta effektiviteten kan uppnÄs för nÀrvarande inte handla sÄ mycket om vilken elektronisk utlÀmnandeform som bör vÀljas utan mer om myndigheternas möjlighet att över huvud taget Ästadkomma det informationsutbyte som regeringen eller de sjÀlva vill ska ske. Problem med att Ästadkomma en önskad effektivisering förefaller till viss del handla om legala förutsÀttningar för ett visst infor- mationsutbyte, men det kan ocksÄ handla om brist pÄ resurser i frÄga om medel och kompetens samt att nödvÀndig samverkan inte kan Ästadkommas.

En vanlig utgÄngspunkt Àr att direktÄtkomst antas vara det mest effektiva sÀttet att utbyta information. Huruvida det ocksÄ Àr det mest kostnadseffektiva sÀttet att utbyta information kan emellertid endast bedömas utifrÄn omstÀndigheterna i det enskilda fallet. I frÄga om ett visst informationsutbyte kan alltsÄ andra former av elektroniskt informationsutbyte Àn direktÄtkomst vara det mest effektiva. Vilken form av elektroniskt informationsutbyte som Àr mest effektiv, inbegripet ett kostnadsperspektiv, behöver alltsÄ be- dömas utifrÄn vilket konkret informationsutbyte det handlar om och i vilka former detta sker. Av betydelse Àr vidare vilken förmÄga inblandade myndigheter har att Ästadkomma det som faktiskt önskas av dem, det gÀller inte minst i form av medel och resurser i övrigt. Till detta kommer att, Àven i de fall lagstiftaren vÀljer att i författ- ning reglera ett visst informationsutbyte, det i slutÀndan regel- mÀssigt stÄr den enskilda myndigheten fritt att bestÀmma vilken utlÀmnandeform som ska vÀljas inom ramen för befintliga legala och andra förutsÀttningar.

Enligt vÄr bedömning gÄr det inte att generellt uttala sig om vilken form av elektroniskt informationsutbyte som Àr det mest effektiva. Vi ser alltsÄ ingen anledning att frÄn ren effektivitets- synpunkt förorda nÄgon viss metod.

De sÀrskilda integritetsrisker som anses förknippade med direkt- Ätkomst har samband med vilka tekniska ÄtgÀrder som vidtas för att sÄ lÄngt som möjligt minimera s.k. överskottsinformation, att övervÀga behovet av sekretesskydd i tillrÀcklig utstrÀckning och att

148

SOU 2015:39

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

övervÀga vilka sökbegrÀnsningar som bör gÀlla hos den myndighet som tar emot information genom sÄdan Ätkomst. Vi redovisar i avsnitt 11.1 och 11.3 vÄra övervÀganden om hur sÄdana frÄgor bör regleras. I avsnitt 11.2 finns vÄra övervÀganden i frÄgan om andra elektroniska utlÀmnanden behöver en sÀrskild reglering för att ge personuppgifter ett tillfredsstÀllande skydd.

Sammanfattningsvis bedömer vi att det kan finnas effektivitets- vinster och integritetsrisker med alla former av elektroniskt utlÀm- nande. Vilka vinster eller risker som uppstÄr hör emellertid inte sÄ mycket samman med vilken form som vÀljs, utan vilket konkret informationsutbyte det Àr frÄgan om samt vilka förutsÀttningar det finns för aktuella myndigheter att över huvud taget vÀlja utlÀm- nandeform och att Ästadkomma det informationsutbyte som till- godoser krav pÄ bÄde effektivitet, Àven ur ett kostnadsperspektiv, och integritetsskydd. Varken effektivitetsvinster eller integritets- risker utgör sÄledes skÀl för att utmönstra en Ätskillnad mellan olika elektroniska utlÀmnandeformer eller att förorda att ett elek- troniskt informationsutbyte generellt bör ske i en viss form.

5.7.5Principiella och rÀttsliga skÀl samt krav pÄ förberedande analyser och ÄtgÀrder medför behov av en fortsatt Ätskillnad

En utgÄngspunkt för utredningens samtliga övervÀganden i de rÀtts- liga frÄgor som ingÄr i uppdraget Àr bl.a. att sÄ lÄngt som möjligt underlÀtta en mer effektiv förvaltning, dvs. att sÄ lÄngt det Àr möj- ligt och lÀmpligt undanröja onödiga legala hinder.

Behovet av att rÀttsligt upprÀtthÄlla grÀnserna mellan myndigheter

Som har framgÄtt Àr det med hÀnsyn till bestÀmmelserna i 2 kap. TF och offentlighets- och sekretesslagen av stor betydelse att det klargörs att direktÄtkomst har omedelbara konsekvenser för frÄgor som rör myndigheternas grÀnser, vilken myndighet som förfogar över vilka uppgifter och problemet med överskottsinformation. Samma frÄgestÀllningar har ocksÄ stor betydelse frÄn en rent förvalt- ningsrÀttslig utgÄngspunkt. Det Àr bl.a. av vikt att det alltid stÄr klart vad som hör till den verksamhet som en viss myndighet

149

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

SOU 2015:39

ansvarar för. Att myndigheternas grÀnser i rÀttslig mening upprÀtt- hÄlls Àr sÄledes ett starkt rÀttssÀkerhetskrav. Det kravet stÀller i sin tur krav pÄ inblandade myndigheter att pÄ ömse hÄll agera i förvÀg och vidta nödvÀndiga ÄtgÀrder innan en direktÄtkomst faktiskt med- ges, bl.a. för att sÀkerstÀlla att en sÄdan Ätkomst Àr förenlig med bestÀmmelser om sekretess.

DirektÄtkomst medför krav pÄ förberedande ÄtgÀrder ur verksamhets- och personuppgiftsansvarsperspektiv

DirektĂ„tkomst innebĂ€r att viss behandling av personuppgifter be- höver ske inför den faktiska etableringen och att inblandade myn- digheter analyserar och löser de sĂ€rskilda sĂ€kerhets- och kontroll- frĂ„gor som direktĂ„tkomst frĂ„n ett dataskyddsperspektiv ger upp- hov till. Även myndighetens personuppgiftsansvar innebĂ€r sĂ„ledes att det stĂ€lls krav pĂ„ att inblandade myndigheter gör klart för sig vilka Ă„tgĂ€rder som behöver vidtas pĂ„ ömse hĂ„ll och hur ansvaret fördelar sig mellan dem. Detta utgör ocksĂ„ skĂ€l för att behĂ„lla en Ă„tskillnad mellan direktĂ„tkomst och annat elektroniskt utlĂ€mnande. Hur ett ansvar för skydd av personuppgifter ska fördelas mellan inblandade myndigheter vad gĂ€ller de olika Ă„tgĂ€rder som behöver vidtas inom ramen för en direktĂ„tkomst Ă€r emellertid inte givet. Denna frĂ„ga behandlas dock inte vidare hĂ€r. Vi Ă„terkommer till den i kapitel 10.

Varken den tekniska utvecklingen eller effektivitetsvinster eller integritetsrisker utgör skÀl för att utmönstra begreppet direktÄtkomst

Som framgÄtt anser vi att inte heller att den tekniska utvecklingen som sÄdan innebÀr att det finns skÀl för att utmönstra begreppet direktÄtkomst för att i stÀllet generellt tala om elektroniskt utlÀm- nande.

Inte heller de effektivitetsvinster eller integritetsrisker som kan uppstÄ vid olika former av elektroniska utlÀmnanden utgör skÀl för att utmönstra begreppet direktÄtkomst.

DirektÄtkomst brukar beskrivas som en sÀrskilt kÀnslig form av uppgiftsutbyte, eftersom den anses innebÀra större risker för den enskildes integritet Àn dÄ uppgifter lÀmnas ut efter en bedömning i

150

SOU 2015:39

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

enskilda fall. Vi menar dock att en vÀl analyserad och förberedd direktÄtkomst dÀr man övervÀgt och löst frÄgor som rör sekre- tesskydd pÄ ömse hÄll, vidtagit behövliga sÀkerhetsÄtgÀrder, begrÀnsat överskottsinformationen samt övervÀgt frÄgan om eventuella begrÀns- ningar i den mottagande myndighetens möjlighet att anvÀnda sig av de uppgifter som blir Ätkomliga, inte behöver innebÀra större risker för den enskildes integritet Àn ett annat elektroniskt utlÀmnande av personuppgifter.

Vad som dÀremot kan innebÀra risker för den enskildes integri- tet i samband med direktÄtkomst Àr att man inte beaktar de sÀrskilda frÄgor och krav pÄ skydd som den ger upphov till samt att man inte Àgnar uppmÀrksamhet Ät frÄgor som sammanhÀnger med att myn- digheternas grÀnser öppnas upp och att dÀrmed inblandade myn- digheters ansvar för bÄde verksamhet, sÀkerhet och personupp- gifter behöver klargöras. Om man inte behÄller en Ätskillnad mellan begreppen direktÄtkomst och annat elektroniskt utlÀmnande finns det enligt vÄr mening en risk för att dessa frÄgor inte fÄr den upp- mÀrksamhet som behövs för att pÄ ett tillfredsstÀllande sÀtt skydda den enskildes integritet.

Annat elektroniskt utlÀmnande Àn direktÄtkomst medför inte behov av att klargöra myndigheters förhÄllande till varandra

Enligt vÄr uppfattning Àr det alltsÄ den rÀttsliga skiljelinjen mellan direktÄtkomst och annat elektroniskt utlÀmnande som Àr betydelse- full att behÄlla, eftersom den tydliggör vikten av att det ska stÄ klart i vilket förhÄllande de myndigheter som ingÄr i ett visst uppgifts- utbyte stÄr till varandra. Utan den distinktionen riskerar myndig- heternas respektive ansvar i olika hÀnseenden att bli otydligt. NÀr det gÀller olika former av andra elektroniska utlÀmnanden, dvs. vad som i dag betecknas som utlÀmnanden pÄ medium för automati- serad behandling och som innebÀr att uppgifter i nÄgon form sÀnds över eller förmedlas elektroniskt, uppstÄr inte samma behov av att klargöra frÄgor av det slaget. Ett sÄdant utlÀmnande innebÀr ju inte att myndigheternas verksamhet blandas samman rÀttsligt sett, oav- sett pÄ vilket sÀtt uppgifterna distribueras. De skillnader betrÀff- ande sÀkerhetsrisker som olika sÀtt att sÀnda över uppgifter elek- troniskt kan innebÀra utgör enligt vÄr mening inte nÄgot skÀl till att göra nÄgon rÀttslig Ätskillnad mellan dem.

151

Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?

SOU 2015:39

VÄr bedömning Àr alltsÄ att det frÄn bÄde principiella och rÀtts- liga synpunkter finns starkt vÀgande skÀl för att behÄlla en begrepps- mÀssig skillnad mellan Ä ena sidan direktÄtkomst och Ä andra sidan annat utlÀmnande i elektronisk form. BÄde principiella och rÀttsliga skÀl samt konkreta krav pÄ förberedande analyser och ÄtgÀrder talar med styrka för detta.

Som framgÄtt har vi redan ovan redovisat en viss uppfattning för hur begreppet direktÄtkomst bör avgrÀnsas i förhÄllande till annat elektroniskt utlÀmnande. Vi Äterkommer i avsnitt 11.1 och 11.2 till hur begreppet direktÄtkomst bör definieras och hur en generell reg- lering pÄ myndighetsomrÄdet rörande elektroniskt utlÀmnande bör se ut.

152

6Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras för att undvika konflikt med internationella Ätaganden?

6.1Bakgrund

6.1.1Uppdraget

Internationella avtal och sektorsspecifika rÀttsakter innehÄller ibland artiklar om att en myndighet bara fÄr anvÀnda uppgifter som erhÄlls enligt avtalet respektive rÀttsakten för vissa angivna ÀndamÄl eller i viss verksamhet. SÄdana bestÀmmelser kan avse Àven andra upp- gifter Àn personuppgifter. I Sverige anses en sÄdan bestÀmmelse inte utgöra ett hinder mot utlÀmnande av uppgifter med stöd av offentlighetsprincipen. DÀremot kan en sÄdan anvÀndningsbegrÀns- ning anses stÄ i konflikt med en myndighets skyldighet att överlÀmna uppgifter till andra myndigheter enligt 6 kap. 5 § OSL. I vÄra direktiv framhÄller regeringen att nÄgon generellt tillÀmplig eller konsekvent genomförd lösning pÄ sistnÀmnda typ av regel- konflikt saknas i lagstiftningen. I 9 kap. 2 § OSL ges visserligen en upplysning om att anvÀndningsbegrÀnsningar införts i vissa andra författningar. UpprÀkningen Àr emellertid inte heltÀckande och det finns inte nÄgon formell koppling mellan den bestÀmmelsen och 6 kap. 5 § OSL (jfr prop. 1990/91:131 s. 25). De författningar som avses i 9 kap. 2 § OSL utgör visserligen inte registerförfattningar. Enligt regeringen har den beskrivna frÄgestÀllningen dock en sÄdan betydelse för uppgiftsutbytet mellan myndigheter att den ÀndÄ bör utredas i detta sammanhang.

Vi har dÀrför fÄtt i uppgift att övervÀga om 6 kap. 5 § OSL bör justeras sÄ att den stÄr i bÀttre överensstÀmmelse med förekomsten

153

Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras


SOU 2015:39

av nu nÀmnda anvÀndningsbegrÀnsningar. Om vi finner att en sÄ- dan justering bör ske, ska författningsförslag lÀmnas.

6.1.2Nuvarande bestÀmmelser

Informationsskyldigheten enligt 6 kap. 5 § OSL

Enligt 6 kap. 5 § OSL ska en myndighet pÄ begÀran av en annan myndighet lÀmna uppgift som den förfogar över, om inte uppgiften Àr sekretessbelagd eller det skulle hindra arbetets behöriga gÄng.

BestĂ€mmelsen har redan behandlats i avsnitt 5.2, bl.a. vad avser förhĂ„llandet mellan informationsskyldigheten enligt paragrafen och föreskrifter om uppgiftsutlĂ€mnande enligt bl.a. 10 kap. 16–27 §§ OSL.

Informationsskyldigheten enligt 6 kap. 5 § OSL gÀller för en uppgift som inte Àr sekretessbelagd, dvs. en uppgift för vilken sekretess inte gÀller i den aktuella situationen. En myndighet kan alltsÄ vara skyldig att lÀmna en uppgift till en annan myndighet som begÀr att fÄ den om uppgiften inte alls Àr sekretessreglerad, dvs. om det inte finns nÄgon bestÀmmelse om sekretess som Àr tillÀmplig pÄ uppgiften. En skyldighet att lÀmna ut uppgiften finns ocksÄ om den i och för sig Àr sekretessreglerad, men det inte innebÀr nÄgon skada eller nÄgot men att lÀmna uppgiften till myndigheten i frÄga. Det kan ocksÄ finnas en skyldighet att lÀmna ut uppgiften till den andra myndigheten Àven om sekretess gÀller för uppgiften under förut- sÀttning att det finns en sekretessbrytande regel som Àr tillÀmplig i förhÄllande till den myndigheten.

Om man vill förhindra ett uppgiftsutbyte mellan myndigheter, Àr det alltsÄ inte tillrÀckligt att införa en ny sekretessbestÀmmelse. Det mÄste ocksÄ införas bestÀmmelser som föreskriver att de sekre- tessbrytande reglerna i 10 kap. OSL inte ska gÀlla.

BegrÀnsningar i lag om en myndighets möjlighet att anvÀnda uppgifter frÄn en myndighet i en annan stat

I 9 kap. 2 § OSL rÀknas ett antal lagar upp som innehÄller bestÀm- melser som begrÀnsar möjligheterna att anvÀnda vissa uppgifter som en svensk myndighet har fÄtt frÄn en myndighet i annan stat. Det rör sig bl.a. om lagen (1990:314) om ömsesidig handrÀckning i

154

SOU 2015:39

Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras


skatteÀrenden, lagen (2000:343) om internationellt polisiÀrt sam- arbete och lagen (2000:344) om Schengens informationssystem.

BestÀmmelsen utgjorde tidigare tredje stycket i dÄvarande 1 kap. 4 § SekrL (numera 7 kap. 1 § OSL). I första stycket samma paragraf föreskrevs att om förbud gÀller enligt denna lag mot att röja upp- gift, fÄr uppgiften inte heller i övrigt utnyttjas utanför den verk- samhet i vilken sekretess gÀller för uppgiften. I andra och tredje styckena fanns hÀnvisningar till olika lagar med bestÀmmelser om förbud mot eller begrÀnsningar i möjligheten att utnyttja vissa uppgifter. Det tredje stycket infördes i samband med att lagen (1991:1342) med vissa bestÀmmelser om internationellt samarbete pÄ brottmÄlsomrÄdet infördes. I den lagen fanns bestÀmmelser som begrÀnsade möjligheterna att utnyttja vissa uppgifter som en svensk myndighet har fÄtt frÄn en annan stat. I specialmotiveringen till bestÀmmelsen i det dÄ nya tredje stycket i 1 kap. 4 § SekrL anfördes (prop. 1990/91:131 s. 26) att en av principerna bakom regleringen i sekretesslagen Àr att alla tystnadsplikter inom det allmÀnnas verk- samhet ska framgÄ av lagen antingen direkt eller genom en hÀn- visning till en annan lag. Myndigheterna skulle komma att omfattas av begrÀnsningar i möjligheterna att utnyttja information enligt be- stÀmmelserna i den nu föreslagna lagen om internationellt sam- arbete pÄ brottmÄlsomrÄdet. Det var dÀrför naturligt att det av 1 kap. 4 § SekrL, dÀr det redan fanns en hÀnvisning till insiderlagen och dess regler om förbud att utnyttja information, skulle framgÄ att ett förbud för myndigheter att utnyttja uppgifter ocksÄ fanns i lagen med vissa bestÀmmelser om internationellt samarbete pÄ brott- mÄlsomrÄdet.

Det kan konstateras att det ovan Ätergivna uttalandet Àr nÄgot missvisande i sÄ mÄtto att bestÀmmelsen inte i sig innebÀr nÄgon tystnadsplikt i den meningen att den föreskriver sekretess för vissa uppgifter, Àven om bestÀmmelsen i och för sig finns i offentlighets- och sekretesslagen. DÀremot erinrar bestÀmmelsen om att det i andra lagar finns bestÀmmelser som begrÀnsar svenska myndigheters möj- lighet att anvÀnda vissa uppgifter. Dessa begrÀnsningar gÀller alltsÄ oavsett om de omnÀmns i 9 kap. 2 § OSL. Det Àr sÄledes inte frÄga om nÄgon sÄdan hÀnvisning i offentlighets- och sekretesslagen till en annan lag som enligt 2 kap. 2 § TF kan utgöra hinder mot att lÀmna ut uppgiften enligt rÀtten att ta del av allmÀnna handlingar. SÄdana begrÀnsningar i möjligheten att anvÀnda vissa uppgifter som avses i

155

Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras


SOU 2015:39

de lagar som rÀknas upp i 9 kap. 2 § OSL innebÀr alltsÄ inte nÄgon begrÀnsning i den enskildes rÀtt att enligt 2 kap. TF att ta del av allmÀnna handlingar (Lenberg m.fl., kommentaren till 9 kap. 2 §).

Eftersom 9 kap. 2 § inte innebÀr att nÄgon sekretess gÀller utan enbart upplyser om att anvÀndningsbegrÀnsningar finns i andra lagar, utgör sÄdana begrÀnsningar inte heller nÄgot sekretesshinder som kan begrÀnsa en myndighets informationsskyldighet gentemot en annan myndighet enligt 6 kap. 5 § OSL. Om det inte finns nÄgon sekretessbestÀmmelse som Àr tillÀmplig pÄ en uppgift som begÀrs ut av en annan myndighet eller om det finns en sekretessbrytande regel som kan tillÀmpas i förhÄllande till den myndigheten, ska uppgift- erna alltsÄ lÀmnas ut enligt 6 kap. 5 § OSL, sÄvida inte utlÀmnandet hindrar arbetets behöriga gÄng.

BegrÀnsningar i att utnyttja vissa uppgifter enligt de lagar som rÀknas upp i 9 kap. 2 § OSL Àr emellertid i allmÀnhet utformade sÄ att de inte enbart tar sikte pÄ den svenska myndighet som tar emot uppgifter frÄn en myndighet i en annan stat. I regel har bestÀm- melsen i den aktuella lagen utformats sÄ att begrÀnsningarna gÀller för alla svenska myndigheter. Det fÄr till följd att inte heller en annan svensk myndighet Àn den som fÄtt uppgifterna frÄn den ut- lÀndska myndigheten kan utnyttja uppgifterna i sin verksamhet, Àven om myndigheten i och för skulle ha rÀtt att fÄ ut dem efter en begÀran enligt 6 kap. 5 § OSL. Det torde dÀrför i praktiken bli aktuellt för en svensk myndighet att begÀra ut uppgifter som om- fattas av anvÀndningsbegrÀnsningar frÄn en annan myndighet bara nÀr myndigheten behöver ta del av uppgifterna för ett ÀndamÄl som inte omfattas av begrÀnsningarna (jfr prop. 2012/13:4 s. 90 f.). I praktiken uppstÄr dÀrför inte nÄgon konflikt mellan lagbestÀmmelser om anvÀndningsbegrÀnsningar och informationsskyldigheten enligt 6 kap. 5 § OSL.

Sammanfattningsvis kan det alltsÄ konstateras att 9 kap. 2 § OSL inte i sig innebÀr nÄgot hinder mot att lÀmna ut uppgifter till en annan myndighet. I bestÀmmelsen erinras emellertid om att det i andra lagar finns bestÀmmelser som begrÀnsar möjligheterna för svenska myndigheter att anvÀnda sig av uppgifter som ursprungligen kom- mer frÄn en myndighet i en annan stat.

I sammanhanget kan pÄpekas att 9 kap. 2 § OSL enbart upplyser om anvÀndningsbegrÀnsningar som finns i andra lagar. Det finns i och för sig inget som hindrar att regeringen meddelar föreskrifter

156

SOU 2015:39

Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras


om begrÀnsningar i möjligheterna att anvÀnda vissa uppgifter som en svensk myndighet har fÄtt frÄn en utlÀndsk myndighet och som i sÄ fall, pÄ samma sÀtt som en bestÀmmelse i lag, blir bindande för alla myndigheter. I vilken utstrÀckning regeringen har meddelat sÄ- dana föreskrifter Àr inte kÀnt för utredningen.

Den nya bestÀmmelsen om sekretess i det internationella samarbetet

Den 1 januari 2014 trÀdde en ny sekretessbestÀmmelse i kraft i syfte att utgöra en generellt tillÀmplig bestÀmmelse till skydd för uppgifter som utbyts inom ramen för Sveriges internationella rela- tioner. BestÀmmelsen har förts in i 15 kap. 1 a § OSL och innebÀr att sekretess gÀller för en uppgift som en myndighet har fÄtt frÄn ett utlÀndskt organ pÄ grund av en bindande EU-rÀttsakt eller ett av EU ingÄnget eller av riksdagen godkÀnt avtal med en annan stat eller mellanfolklig organisation. Som en förutsÀttning för sekretess gÀller att det kan antas att Sveriges möjlighet att delta i det inter- nationella samarbete som avses i rÀttsakten eller avtalet försÀmras om uppgiften röjs. Motsvarande sekretess ska gÀlla för en uppgift som en myndighet har inhÀmtat i syfte att överlÀmna den till ett ut- lÀndskt organ i enlighet med en sÄdan rÀttsakt eller ett sÄdant avtal.

Om sekretess gĂ€ller enligt bestĂ€mmelsen, fĂ„r de sekretessbryt- ande bestĂ€mmelserna i 10 kap. 15–27 §§ och 28 § första stycket inte tillĂ€mpas (15 kap. 1 a § tredje stycket).

BestÀmmelsens tillÀmpningsomrÄde Àr alltsÄ begrÀnsat till upp- gifter som en myndighet antingen har fÄtt frÄn ett utlÀndskt organ eller har inhÀmtat i syfte att överlÀmna till ett sÄdant organ pÄ grund av en bindande EU-rÀttsakt eller ett avtal som har ingÄtts av EU eller av Sverige med en annan stat eller en mellanfolklig orga- nisation. I det sistnÀmnda fallet gÀller emellertid som förutsÀttning att riksdagen har godkÀnt avtalet. SekretessbestÀmmelsen Àr sÄledes inte tillÀmplig pÄ uppgifter som finns hos en myndighet pÄ grund av internationella avtal som ingÄtts av en förvaltningsmyndighet eller av regeringen utan godkÀnnande av riksdagen. I förarbetena anför- des att en sÄdan ordning hade varit problematisk ur ett principiellt perspektiv för en sekretessbestÀmmelse med generell rÀckvidd (prop. 2012/13:192 s. 31). Regeringen hÀnvisade ocksÄ till att nÄgra

157

Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras


SOU 2015:39

remissinstanser hade ifrÄgasatt om en sÄdan bestÀmmelse hade varit förenlig med lagkravet i 2 kap. 2 § TF.

I offentlighets- och sekretesslagen finns flera bestÀmmelser som föreskriver sekretess i samband med vissa internationella sam- arbeten dÀr nÄgot traditionellt skaderekvisit inte finns (se t.ex. 17 kap. 7 § andra stycket, 17 kap. 7 a § och 18 kap. 17 §). Enligt den nya bestÀmmelsen i 15 kap. 1 a § gÀller emellertid ett rakt skade- rekvisit. Den svenska myndigheten ska alltsÄ göra en sjÀlvstÀndig bedömning av om ett utlÀmnande i det enskilda fallet kan antas försÀmra Sveriges möjligheter att delta i det aktuella samarbetet. I förarbetena pÄpekas att det inte finns nÄgot som hindrar den svenska myndigheten att vid sekretessprövningen kontakta den utlÀmnande utlÀndska myndigheten för att utreda om sekretess bör gÀlla i det enskilda fallet. Om sekretess gÀller för uppgifterna hos den ut- lÀndska myndigheten Àr utgÄngspunkten typiskt sett att skaderekvi- sititet Àr uppfyllt (a. prop. s. 34 f.). Enligt regeringen kommer en tillÀmpning av sekretessbestÀmmelsen normalt inte att aktualiseras i sÄdana situationer dÄ avtalet eller EU-rÀttsakten inte innehÄller nÄgon tydlig sekretessbestÀmmelse, Àven om en sÄdan inte utesluts av dess ordalydelse. Regeringen anser att det dÄ ligger nÀrmare till hands att tillÀmpa bestÀmmelsen om utrikessekretess i 15 kap. 1 § OSL. BestÀmmelser i EU-rÀttsakter eller internationella avtal om begrÀnsningar i för vilka ÀndamÄl uppgifter fÄr anvÀndas, dvs. den typen av begrÀnsningar som 9 kap. 2 § OSL tar sikte pÄ, bör enligt regeringen inte heller aktualisera en tillÀmpning av den nya sekre- tessbestÀmmelsen (a. prop. s. 35).

I förarbetena till den nya sekretessbestÀmmelsen för informa- tionsutbyte vid internationellt samarbete i 15 kap. 1 a § OSL finns en utförlig beskrivning av överenskommelser om sÄdant utbyte som kan finnas i avtal och EU-rÀttsakter (prop. 2012/13:192 s. 10 f.). Vi hÀnvisar till den redovisningen och lÀmnar alltsÄ inte nÄgon egen redovisning hÀr.

158

SOU 2015:39

Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras


6.2VÄra övervÀganden

Bedömning: Det finns inte nÄgot tillrÀckligt stort behov av att Àndra 6 kap. 5 § OSL sÄ att paragrafen stÄr i bÀttre överens- stÀmmelse med anvÀndningsbegrÀnsningar som kan förekomma i samband med internationella Ätaganden.

6.2.1Behovet av en ny bestÀmmelse

I vÄra direktiv konstateras att 9 kap. 2 § OSL visserligen ger en upplysning om att anvÀndningsbegrÀnsningar införts i vissa andra författningar. Det pÄpekas att upprÀkningen emellertid inte Àr hel- tÀckande och att det inte finns nÄgon formell koppling mellan den bestÀmmelsen och 6 kap. 5 § OSL (jfr prop. 1990/91:131 s. 25). Den beskrivna frÄgestÀllningen har enligt regeringen en sÄdan betyd- else för uppgiftsutbytet mellan myndigheter att det bör övervÀgas om 6 kap. 5 § OSL bör justeras sÄ att den stÄr i bÀttre överens- stÀmmelse med förekomsten av nu nÀmnda anvÀndningsbegrÀns- ningar.

VÄr uppgift i denna del Àr inte att övervÀga behovet av en ny sekretessbestÀmmelse som kan hindra utlÀmnanden bÄde till enskilda, med stöd av 2 kap. TF eller pÄ annan grund, och till myndigheter. Uppdraget avser enbart att övervÀga en eventuell begrÀnsning som kan utgöra hinder för en myndighet att lÀmna uppgifter till en annan myndighet.

Betydelsen av upprÀkningen i 9 kap. 2 § OSL

BestÀmmelsen i 9 kap. 2 § OSL erinrar om att det i andra lagar finns bestÀmmelser som begrÀnsar en svensk myndighets anvÀndning av vissa uppgifter. UpprÀkningen i paragrafen av lagar dÀr sÄdana anvÀndningsbegrÀnsningar finns utgör alltsÄ en upplysning och syftar inte till att i sig reglera nÄgot. SÄdana begrÀnsningar gÀller alltsÄ för svenska myndigheter till följd av regleringen i den sÀrskilda lagen och inte pÄ grund av att sÄdana lagar rÀknas upp i 9 kap. 2 § OSL. Att upprÀkningen i 9 kap. 2 § OSL inte Àr uttömmande har sÄledes inte nÄgon betydelse för om en myndighet Àr skyldig att följa en sÄdan anvÀndningsbegrÀnsning eller inte. DÀremot kan det vara svÄrt

159

Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras


SOU 2015:39

för myndigheter att hÄlla reda pÄ de anvÀndningsbegrÀnsningar som gÀller enligt sÀrskilda lagar, om de inte finns samlade pÄ nÄgot sÀtt.

Det kan emellertid konstateras att om en anvÀndningsbegrÀns- ning har reglerats i en lag pÄ ett sÄdant sÀtt att den gÀller för alla svenska myndigheter, förefaller det knappast finnas nÄgot praktiskt behov av att justera 6 kap. 5 § OSL sÄ att den paragrafen ocksÄ hindrar ett utlÀmnande av uppgifter till en annan myndighet pÄ grund av en sÄdan anvÀndningsbegrÀnsning. Som pÄpekats i flera lagstift- ningsÀrenden torde det inte bli aktuellt för en myndighet att begÀra ut uppgifter frÄn en annan myndighet med stöd av 6 kap. 5 § OSL om man ÀndÄ inte fÄr anvÀnda sig av uppgifterna. I dessa fall har det ansetts tillrÀckligt i praktiken att anvÀndningsbegrÀnsningen gÀller enligt den sÀrskilda lagen. NÄgot faktiskt behov av att justera 6 kap. 5 § OSL sÄ att paragrafen kan sÀgas bÀttre stÄ i överensstÀmmelse med förekomsten av sÄdana sÀrskilt reglerade anvÀndningsbegrÀns- ningar förefaller alltsÄ inte finnas. DÀremot saknas alltsÄ, som pÄ- pekas i vÄra direktiv, en formell koppling mellan 6 kap. 5 § OSL och sÄdana svenska författningsbestÀmmelser som begrÀnsar en myndig- hets möjlighet att anvÀnda vissa uppgifter som inhÀmtats genom ett internationellt informationsutbyte.

Som redan pÄpekats har det ingen betydelse för frÄgan om en anvÀndningsbegrÀnsning gÀller för en myndighet eller inte om den sÀrskilda lag dÀr begrÀnsningen föreskrivs rÀknas upp i 9 kap. 2 § OSL. DÀremot skulle en komplett sÄdan upprÀkning naturligtvis innebÀra en bÀttre möjlighet för myndigheter att sjÀlva hÄlla reda pÄ i vilka situationer anvÀndningsbegrÀnsningar gÀller.

AnvÀndningsbegrÀnsningar i EU-rÀttsliga lagstiftningsakter

I vÄra direktiv nÀmns att sektorspecifika EU-rÀttsakter kan inne- hÄlla artiklar om att en myndighet bara fÄr anvÀnda uppgifter som erhÄlls enligt rÀttsakten för vissa angivna ÀndamÄl eller i viss verk- samhet.

Om det Àr frÄgan om en EU-förordning gÀller den för svenska myndigheter utan att dess artiklar behöver genomföras i svensk rÀtt genom inhemsk lagstiftning. I den mÄn en EU-förordning inne- hÄller sÄdana anvÀndningsbegrÀnsningar som gÀller för alla myndig- heter finns sÄledes inte, i likhet med vad som gÀller anvÀndnings-

160

SOU 2015:39

Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras


begrÀnsningar i sÀrskilda lagar, nÄgot praktiskt behov av att göra en justering av 6 kap. 5 § OSL. Inte heller i dessa fall torde det ju bli aktuellt för en myndighet att begÀra ut uppgifter som omfattas av en sÄdan anvÀndningsbegrÀnsning, eftersom myndigheten ÀndÄ inte fÄr anvÀnda sig av uppgifterna.

Om anvÀndningsbegrÀnsningar finns i ett EU-direktiv i stÀllet för i en förordning, mÄste direktivet genomföras i svensk rÀtt genom inhemsk lagstiftning i den mÄn direktivet inte kan anses gÀlla redan enligt svenska regler. AnvÀndningsbegrÀnsningar som gÀller enligt ett EU-direktiv kommer alltsÄ till uttryck genom en svensk för- fattning. SÄdana anvÀndningsbegrÀnsningar kan dÀrigenom komma att gÀlla för alla svenska myndigheter. Inte heller i ett sÄdant fall finns det alltsÄ nÄgot praktiskt behov av att justera 6 kap. 5 § OSL.

Det förtjÀnar att pÄpekas att nÄgra av de sÀrskilda lagar som rÀk- nas upp i 9 kap. 2 § OSL Àr lagar som har införts för att genomföra ett EU-direktiv. Som exempel kan nÀmnas lagen (2012:843) om admi- nistrativt samarbete inom Europeiska unionen i frÄga om beskattning.

AnvÀndningsbegrÀnsningar som inte Àr författningsreglerade

Det förekommer att EU beslutar andra bindande rÀttsakter Àn lag- stiftningsakter i form av delegerade akter och genomförandeakter (se t.ex. prop. 2012/13:192 s. 43). EU ingÄr ocksÄ avtal med tredje land för medlemsstaternas rÀkning genom sin pÄ vissa omrÄden exklusiva kompetens, exempelvis pÄ det handelspolitiska omrÄdet. I andra fall ingÄr respektive land för egen del bilaterala avtal med en utlÀndsk aktör. Ibland Àr det dÄ frÄga om s.k. blandade avtal, dÀr EU ocksÄ för egen del har trÀffat avtal. SÄ Àr fallet exempelvis nÀr det gÀller avtal som trÀffas inom ramen för WTO, dÀr bÄde med- lemsstaterna och EU Àr medlemmar. Ett annat exempel Àr fri- handelsavtal som trÀffas med en del tredjelÀnder (se vidare a. prop. s. 10). Svenska myndigheter kan ocksÄ trÀffa internationella avtal som behandlar frÄgor om informationsutbyte.

En bindande EU-rÀttsakt som inte Àr en lagstiftningsakt Àr bind- ande för Sverige sÄsom medlemsstat, men innebÀr inte i sig att rÀttsakten mÄste komma till uttryck i svensk lagstiftning eller pÄ annan grund tillÀmpas av svenska myndigheter. Ett internationellt avtal som EU eller Sverige för egen del eller en svensk myndighet

161

Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras


SOU 2015:39

trÀffar kan innehÄlla bestÀmmelser som reglerar frÄgor om informa- tionsutbyte. Om bestÀmmelser som reglerar informationsutbyte i ett avtal inte har kommit till uttryck i nÄgon svensk föreskrift utan endast i avtalet, kan de bestÀmmelserna inte binda nÄgon annan Àn den som har ingÄtt avtalet. Det innebÀr att om EU har ingÄtt avtalet Àr det bindande för Sverige antingen direkt eller efter att det ratificerats av Sverige, eventuellt efter godkÀnnande av riksdagen. Det Àr dÄ bindande för Sverige som stat i folkrÀttslig bemÀrkelse, men gÀller inte direkt för svenska myndigheter. Detsamma gÀller för sÄdana internationella avtal som Sverige för egen del ingÄr. Om ett avtal har ingÄtts av en svensk myndighet Àr avtalet enbart bind- ande för den myndigheten. Ett avtal som har ingÄtts av EU, av Sverige som stat eller av en svensk myndighet Àr alltsÄ inte bind- ande för samtliga svenska myndigheter. Om det innehÄller bestÀm- melser som innebÀr begrÀnsningar i att anvÀnda uppgifter, Àr andra svenska myndigheter Àn den som mottagit uppgiftena frÄn den utlÀndska aktören sÄledes inte skyldiga att följa bestÀmmelserna.

Eftersom alla myndigheter inte Ă€r skyldiga att iaktta anvĂ€nd- ningsbegrĂ€nsningar som enbart kommit till uttryck i en bindande EU-rĂ€ttsakt som inte Ă€r en lagstiftningsakt eller i ett avtal, finns det inget praktiskt hinder för en myndighet att begĂ€ra ut uppgifter frĂ„n en annan myndighet som för egen del har att iaktta sĂ„dana begrĂ€ns- ningar enligt EU-rĂ€ttsakten eller det internationella avtalet. I det fallet finns det alltsĂ„ i praktiken inget som hindrar den myndighet som begĂ€r ut uppgifterna att ocksĂ„ anvĂ€nda dem. Det kan dĂ„ upp- fattas som ett problem att en myndighet, som eventuellt sjĂ€lv har ingĂ„tt avtalet i frĂ„ga, och tagit emot uppgifter frĂ„n en utlĂ€ndsk aktör pĂ„ de villkor som angetts i ett internationellt avtal, saknar möjlighet att iaktta de anvĂ€ndningsbegrĂ€nsningar som angetts i avtalet om en annan myndighet begĂ€r ut uppgifter med stöd av 6 kap. 5 § OSL. För denna situation kan det alltsĂ„ anses finnas ett praktiskt behov – inte bara ett formellt sĂ„dant – av att justera 6 kap. 5 § OSL sĂ„ att den bestĂ€mmelsen generellt kan förhindra att uppgifter lĂ€mnas ut till en myndighet i sĂ„dana situationer dĂ€r anvĂ€ndningsbegrĂ€nsningar av det nu aktuella slaget föreligger.

162

SOU 2015:39

Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras


6.2.2Hur kan 6 kap. 5 § OSL justeras?

BestÀmmelser om anvÀndningsbegrÀnsningar i föreskrifter som svenska myndigheter Àr skyldiga att följa

I vÄra direktiv pÄtalas att det Àr ett problem att det inte finns nÄgon formell koppling mellan 6 kap. 5 § och 9 kap. 2 § OSL. Tanken bakom detta synes vara att om en sÄdan formell koppling kan Ästadkommas skulle anvÀndningsbegrÀnsningar som finns i de lagar som rÀknas upp i paragrafen begrÀnsa, liksom sekretess, den infor- mationsskyldighet i förhÄllande till en annan myndighet som annars gÀller enligt 6 kap. 5 § OSL.

Om syftet Àr att alla anvÀndningsbegrÀnsningar som kommit till uttryck i en svensk lag ocksÄ ska innebÀra att det finns ett hinder mot att lÀmna ut uppgifterna enligt 6 kap. 5 § OSL kan man emellertid sÀtta i frÄga om det Àr tillrÀckligt att Ästadkomma en formell kopp- ling mellan 6 kap. 5 § och 9 kap. 2 §. Som framgÄr av redovisningen ovan reglerar inte 9 kap. 2 § i sig frÄgan om en uppgift kan anvÀndas eller inte i en viss verksamhet. Den bestÀmmelsen innehÄller enbart upplysningar om att det finns andra lagar som innehÄller bestÀm- melser om sÄdana anvÀndningsbegrÀnsningar. I vÄra direktiv kon- stateras att upprÀkningen inte Àr uttömmande. Vi har för egen del inte undersökt i vilken omfattning det förekommer lagar med be- stÀmmelser om sÄdana anvÀndningsbegrÀnsningar som inte finns med i upprÀkningen i 9 kap. 2 § OSL.

Ett annat problem med 9 kap. 2 § OSL, dvs. förutom att para- grafen inte pÄ ett fullstÀndigt sÀtt rÀknar upp de lagar dÀr bestÀm- melser om anvÀndningsbegrÀnsningar finns, Àr att den inte heller upplyser om att anvÀndningsbegrÀnsningar finns i vissa EU-förord- ningar. Om bestÀmmelser om anvÀndningsbegrÀnsningar finns i sÄdana förordningar kan svenska myndigheter vara skyldiga att följa dem nÀr det gÀller uppgiftsutbyte med andra myndigheter pÄ samma sÀtt som anvÀndningsbegrÀnsningar som föreskrivits i en svensk lag.

Som framgÄr av redovisningen ovan kan det inte anses innebÀra nÄgot praktiskt problem att det saknas en formell koppling mellan 6 kap. 5 § och 9 kap. 2 § OSL, eftersom det saknas skÀl för en myn- dighet att begÀra ut uppgifter frÄn en annan myndighet som den ÀndÄ inte fÄr anvÀnda. I dessa fall uppstÄr det alltsÄ normalt inte nÄgon sÄdan situation dÀr en myndighet mÄste uppfylla sin infor- mationsskyldighet enligt 6 kap. 5 § OSL. Om man ÀndÄ anser att

163

Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras


SOU 2015:39

det finns ett behov av att formellt sÀkerstÀlla att en myndighet inte ska behöva lÀmna ut uppgifter i de fall dÄ anvÀndningsbegrÀns- ningar finns enligt upprÀkningen i 9 kap. 2 § OSL och inför en sÄdan bestÀmmelse i 6 kap. 5 §, innebÀr det att en konflikt mellan dessa bestÀmmelser inte lÀngre finns. DÀremot skulle en regelkon- flikt kvarstÄ mellan 6 kap. 5 § OSL och övriga föreskrifter som innebÀr att svenska myndigheter Àr skyldiga att följa anvÀndnings- begrÀnsningar, dvs. dÄ sÄdana föreskrifter finns i EU-förordningar samt i lagar som inte rÀknas upp i 9 kap. 2 § OSL. Detsamma gÀller för det fall det skulle vara sÄ att regeringen i nÄgot eller nÄgra fall har meddelat föreskrifter om sÄdana anvÀndningsbegrÀnsningar.

Att Ästadkomma en formell koppling mellan 6 kap. 5 § och 9 kap. 2 § OSL leder alltsÄ endast till en viss förbÀttrad systematik i formellt hÀnseende. Det löser emellertid inte hela den konflikt som kan uppfattas finnas mellan svenska regler som Ä ena sidan sÀger att en myndighet har rÀtt att fÄ ut uppgifter frÄn en annan myndighet, medan andra regler föreskriver att myndigheten inte fÄr anvÀnda uppgifterna. För att denna konflikt helt ska lösas bör i stÀllet 6 kap. 5 § OSL formellt kopplas direkt till bestÀmmelser om anvÀndnings- begrÀnsningar snarare Àn till 9 kap. 2 § OSL. Om man ÀndÄ skulle övervÀga en koppling till den senare bestÀmmelsen mÄste para- grafen kompletteras sÄ att den pÄ ett uttömmande sÀtt upplyser om samtliga anvÀndningsbegrÀnsningar som svenska myndigheter Àr skyl- diga att följa.

BestÀmmelser om anvÀndningsbegrÀnsningar som inte Àr bindande för alla myndigheter

Som har framgÄtt finns det EU-rÀttsakter som visserligen Àr bind- ande för Sverige som medlemsstat, men inte Àr lagstiftningsakter som mÄste tillÀmpas av svenska myndigheter pÄ grund av att de genomförts i svensk lagstiftning eller pÄ annan grund. Om de inne- hÄller bestÀmmelser om anvÀndningsbegrÀnsningar gÀller de alltsÄ inte för alla myndigheter. Ett internationellt avtal som EU eller Sverige för egen del eller en svensk myndighet trÀffar kan ocksÄ innehÄlla bestÀmmelser som reglerar frÄgor om informationsutbyte. Om sÄdana bestÀmmelser inte har kommit till uttryck i nÄgon svensk föreskrift utan endast i avtalet, kan de bestÀmmelserna inte binda nÄgon annan Àn den som har ingÄtt avtalet. De gÀller alltsÄ i

164

SOU 2015:39

Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras


sÄ fall inte för alla svenska myndigheter, utan endast för den svenska myndighet som tar emot uppgifter frÄn den utlÀndska aktören.

NÀr det gÀller denna typ av anvÀndningsbegrÀnsningar finns det alltsÄ inte nÄgon konflikt mellan svenska författningsbestÀmmelser som Ä ena sidan sÀger att uppgifter ska lÀmnas ut till en annan myndighet och Ä andra sidan att den myndigheten inte fÄr anvÀnda uppgifterna. I detta fall finns ju inte nÄgra svenska bestÀmmelser som innebÀr begrÀnsningar i möjligheterna för alla myndigheter att anvÀnda sig av uppgifter som hÀrrör frÄn det internationella infor- mationsutbytet. DÀremot kan det uppfattas finnas en konflikt mellan informationsskyldigheten enligt 6 kap. 5 § OSL och de Ätaganden som Sverige som stat eller som medlemsstat i EU eller som en svensk myndighet har gjort i ett internationellt samarbete, om den svenska parten i ett sÄdant samarbete har Ätagit sig att se till att uppgifter som en svensk myndighet kan fÄ genom samarbetet endast ska anvÀndas för vissa ÀndamÄl.

Ett sÀtt att lagstiftningsvÀgen lösa den konflikt som nu Àr i frÄga skulle kunna vara att föra in en bestÀmmelse i 6 kap. 5 § OSL som innebÀr att en myndighet Àr förhindrad att lÀmna ut en uppgift till en annan myndighet, om myndigheten har fÄtt uppgiften genom ett internationellt samarbete pÄ villkor att uppgifterna endast fÄr an- vÀndas för vissa ÀndamÄl. Det som skiljer detta fall frÄn situationen ovan Àr att den myndighet som begÀr att fÄ uppgifter med stöd av 6 kap. 5 § OSL inte Àr förbjuden att anvÀnda sig av uppgifterna enligt nÄgon författningsbestÀmmelse. En ny föreskrift i 6 kap. 5 § OSL som hindrar ett utlÀmnande i dessa situationer skulle alltsÄ inte enbart ta sikte pÄ den formella frÄgan utan skulle innebÀra en reell inskrÀnkning i myndigheters informationsskyldighet enligt 6 kap. 5 § OSL.

Om det införs en föreskrift i 6 kap. 5 § OSL som generellt hÀnvisar till anvÀndningsbegrÀnsningar som har kommit till uttryck i ett internationellt samarbete som Sverige som stat eller en svensk myndighet deltar i, dvs. oavsett om begrÀnsningarna ocksÄ kommit till uttryck i en föreskrift som alla myndigheter Àr skyldiga att följa, innebÀr det exempelvis att en svensk myndighet skulle kunna avtala om villkor som fÄr till effekt att informationsskyldigheten i 6 kap. 5 § OSL inskrÀnks. En sÄdan ordning kan anses problematisk frÄn principiella utgÄngspunkter. I sammanhanget kan nÀmnas att den nya generella sekretessbestÀmmelsen i 15 kap. 1 a § OSL om sekre-

165

Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras


SOU 2015:39

tess i det internationella samarbetet har avgrÀnsats sÄ att om en myndighet har fÄtt en uppgift pÄ grund av ett internationellt avtal, Àr bestÀmmelsen endast tillÀmplig om avtalet har ingÄtts av EU eller godkÀnts av riksdagen. I förarbetena anfördes att detta innebar en vÀsentlig inskrÀnkning av bestÀmmelsens tillÀmpningsomrÄde och skulle i praktiken göra att sekretess för uppgifter som utbyts enligt ett visst avtal endast skulle primÀrt komma att gÀlla hos ett begrÀnsat och överblickbart antal myndigheter (prop. 2012/13:192 s. 32). Det finns emellertid Àven bestÀmmelser om sekretess till följd av internationella avtal som inte uppstÀller nÄgot krav pÄ att avtalet ska ha godkÀnts av riksdagen. Enligt exempelvis 30 kap. 7 § första stycket andra meningen OSL gÀller sekretess hos Finans- inspektionen för uppgifter som inspektionen har fÄtt frÄn en ut- lÀndsk myndighet eller ett utlÀndskt organ enligt ett avtal. Som förutsÀttning gÀller emellertid att regeringen har meddelat före- skrifter om detta (se 8 § offentlighets- och sekretessförordningen).

6.2.3VÄr bedömning

I de fall det finns bestÀmmelser om anvÀndningsbegrÀnsningar en- ligt en EU-förordning eller en svensk författningsbestÀmmelse sker i normalfallet i praktiken inte nÄgot uppgiftsutbyte pÄ grund av informationsskyldigheten enligt 6 kap. 5 § OSL. SkÀlet till det Àr, som redovisats ovan, att myndigheter inte begÀr ut uppgifter frÄn en annan myndighet med stöd av den bestÀmmelsen om de ÀndÄ inte fÄr anvÀnda uppgifterna. I dessa fall förefaller det alltsÄ inte finnas nÄgot reellt behov av att justera 6 kap. 5 § OSL för att und- vika en konflikt med internationella Ätaganden. Vi kan emellertid inte se att det skulle finnas nÄgra systematiska eller liknande skÀl som talar emot att 6 kap. 5 § OSL justeras sÄ att man Ästadkommer en formell koppling mellan den bestÀmmelsen och andra bestÀm- melser om anvÀndningsbegrÀnsningar, vilka myndigheterna ÀndÄ Àr skyldiga att följa.

Det förefaller dÀremot inte ÀndamÄlsenligt att Ästadkomma en formell koppling mellan 6 kap. 5 § och 9 kap. 2 § OSL, eftersom det inte skulle innebÀra att samtliga fall dÄ det finns bestÀmmelser som begrÀnsar myndigheters möjlighet att anvÀnda vissa uppgifter fÄngas upp.

166

SOU 2015:39

Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras


Den nya bestÀmmelsen om sekretess i samband med internatio- nellt samarbete i 15 kap. 1 a § OSL har avgrÀnsats sÄ att den enbart ska tillÀmpas pÄ uppgifter som utbyts pÄ grund av en bindande EU- rÀttsakt eller ett avtal som har ingÄtts av EU eller av riksdagen godkÀnt avtal med en annan stat eller en mellanfolklig organisation. Som har framgÄtt anfördes som skÀl för denna avgrÀnsning bl.a. att en ordning dÀr uppgifter som finns hos en myndighet pÄ grund av andra internationella avtal Àn sÄdana som har godkÀnts av riksdagen ocksÄ skulle omfattas av den nya sekretessbestÀmmelsen skulle vara problematisk ur ett principiellt perspektiv för en bestÀmmelse med generell rÀckvidd. NÄgra remissinstanser hade ocksÄ satt i frÄga om en sÄdan bestÀmmelse hade varit förenlig med lagkravet enligt 2 kap. 2 § TF.

Den bestÀmmelse som nu Àr i frÄga i 6 kap. 5 § OSL innebÀr visserligen inte nÄgra begrÀnsningar av den grundlagsstadgade rÀtten för var och en att ta del av allmÀnna handlingar utan reglerar enbart utbytet av uppgifter mellan myndigheter. Det kan emellertid kon- stateras att det svenska förvaltningsrÀttsliga systemet bygger pÄ att myndigheter sÄ lÄngt möjligt ska samverka, Àven nÀr det gÀller utbyte av information (jfr 6 § FL). Regleringen bygger pÄ principen att det Àr en frÄga för lagstiftaren att avgöra nÀr en sÄdan skyldighet ska finnas. Det bör sÄledes inte vara upp till den enskilda myn- digheten att bedöma nÀr information som myndigheten har tillgÄng till ska utbytas med en annan myndighet. Om 6 kap. 5 § OSL skulle justeras pÄ ett sÄdant sÀtt att det generellt skulle finnas ett hinder mot att lÀmna ut uppgifter till andra myndigheter dÄ det inom ramen för ett internationellt informationsutbyte har uppstÀllts villkor om anvÀndningsbegrÀnsningar, dvs. Àven om dessa begrÀns- ningar inte har kommit till uttryck i en föreskrift utan enbart i ett avtal som en enskild myndighet har slutit, skulle emellertid en enskild myndighet ha befogenhet att sjÀlv styra över vad den ska dela med sig av till andra myndigheter av den information som den fÄtt genom ett internationellt avtal. Enligt vÄr uppfattning skulle en sÄdan ordning fÄ alltför lÄngtgÄende och principiellt betÀnkliga effekter. En bestÀmmelse med en sÄdan innebörd bör alltsÄ inte in- föras. I sammanhanget kan det konstateras att det i och för sig saknas hinder för regeringen att genom en föreskrift bestÀmma att anvÀndningsbegrÀnsningar som enbart kommit till uttryck i ett

167

Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras


SOU 2015:39

internationellt avtal mellan exempelvis en svensk myndighet och en utlÀndsk myndighet ocksÄ ska gÀlla för andra myndigheter.

NÀr det gÀller andra bindande EU-rÀttsakter Àn lagstiftnings- akter samt avtal som ingÄtts av EU eller Sverige har vi inte erfarit att det i sÄdana sammanhang förekommer regler eller villkor om anvÀndningsbegrÀnsningar i en sÄdan omfattning att detta pÄkallar en begrÀnsning av informationsskyldigheten enligt 6 kap. 5 § OSL.

Sammanfattningsvis kan alltsÄ konstateras att i frÄga om bestÀm- melser om anvÀndningsbegrÀnsningar i en EU-förordning eller en svensk författningsbestÀmmelse det saknas ett praktiskt behov av att Àndra 6 kap. 5 § OSL. Det finns vidare principiella betÀnklig- heter mot att Àndra 6 kap. 5 § OSL sÄ att anvÀndningsbegrÀns- ningar som inte kommit till uttryck i en föreskrift utan enbart i ett avtal som en enskild myndighet har slutit skulle begrÀnsa informa- tionsskyldigheten i förhÄllande till andra myndigheter. NÀr det gÀller andra bindande EU-rÀttsakter Àn lagstiftningsakter samt avtal som EU eller Sverige ingÄr har vi inte erfarit att det finns nÄgot pÄtagligt behov av en lagÀndring.

Vi lÀmnar dÀrför inte nÄgot förslag till en Àndring av 6 kap. 5 § OSL.

I den hÀndelse det ÀndÄ bedöms finnas ett behov av en sÄdan Àndring förordar vi att den enbart tar sikte pÄ att ÄtgÀrda det formella behov av en Àndring som kan uppfattas finnas i frÄga om bestÀmmelser om anvÀndningsbegrÀnsningar i en EU-förordning eller en svensk författningsbestÀmmelse. I sÄ fall skulle 6 kap. 5 § OSL kunna ges följande lydelse:

En myndighet ska pÄ begÀran av en annan myndighet lÀmna uppgift som den förfogar över, om inte uppgiften Àr sekretessbelagd eller inte fÄr anvÀndas av den andra myndigheten enligt lag eller förordning. En uppgift behöver inte heller lÀmnas om det skulle hindra arbetets be- höriga gÄng.

Med uttrycket att en myndighet inte fÄr anvÀnda uppgiften enligt lag avses ocksÄ en bestÀmmelse i en EU-förordning (se prop. 1999/2000:126 s. 272 och 283).

Vi vill avslutningsvis framhÄlla att det under alla förhÄllanden inte kan anses vara en tillfredsstÀllande ordning att upprÀkningen av lagar med bestÀmmelser om anvÀndningsbegrÀnsningar i 9 kap. 2 § OSL inte Àr fullstÀndig. Om bestÀmmelsen ska kunna fylla sin funk- tion att upplysa om sÄdana anvÀndningsbegrÀnsningar bör upprÀk-

168

SOU 2015:39

Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras


ningen givetvis vara komplett. Vi har emellertid inte sett det som en uppgift för oss att komplettera upprÀkningen i bestÀmmelsen.

169

EN NY LAG OM MYNDIGHETERS BEHANDLING AV PERSONUPPGIFTER

7En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

7.1AllmÀnna utgÄngspunkter

7.1.1Uppdraget

Det övergripande uppdraget enligt vÄra direktiv (dir. 2011:86) Àr alltsÄ att se över den s.k. registerlagstiftningen i syfte att skapa rÀttsliga förutsÀttningar för en mer effektiv e-förvaltning, dÀr sÄvÀl den enskildes rÀtt till personlig integritet som allmÀnhetens be- rÀttigade ansprÄk pÄ insyn i den offentliga förvaltningen tillgodo- ses. Utredningens förslag ska syfta till att regleringen i tryckfri- hetsförordningen och offentlighets- och sekretesslagen (2009:400) samt registerregleringen tillsammans inom respektive omrÄde ska utgöra en tydligare och mer lÀttillÀmpad helhet.

I direktiven pekas vidare pÄ det problematiska i om de grund- lÀggande reglerna i tryckfrihetsförordningen och offentlighets- och sekretesslagen samt den principiella uppbyggnaden av register- författningarna inte Àr anpassade till varandra. Det blir dÄ svÄrt att i ett enskilt lagstiftningsÀrende om elektronisk informationsöver- föring mellan tvÄ eller flera myndigheter hitta en lösning som Àr tillfredsstÀllande frÄn integritets-, effektivitets- och öppenhetssyn- punkt. För att ytterligare kunna effektivisera förvaltningen med modern informationsteknik Àr det dÀrför viktigt dels att respektive regelverk bör vara vÀl genomtÀnkta och sÄ enkla som möjligt att tillÀmpa, dels att regelverken bör vara förenliga med varandra.

Den anvisade metoden för att Ästadkomma genomtÀnkta regel- verk som Àr lÀtta att tillÀmpa och som sinsemellan sÄ lÄngt möjligt Àr förenliga Àr enligt tillÀggsdirektiv (dir. 2014:31) att utreda förut-

173

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

sĂ€ttningarna för att skapa en generell, enhetlig och – helt eller i vart fall delvis – samlad reglering för myndigheternas behandling av personuppgifter. Tanken Ă€r att en sĂ„dan samlad reglering ocksĂ„ Ă€r mer Ă€ndamĂ„lsenlig för att kunna möta den förĂ€ndring som förmod- ligen kommer att ske inom EU genom en förordning som ersĂ€tter dataskyddsdirektivet. En samlad reglering kan fungera som ett komplement till eller, vid behov, genomföra delar av den unions- rĂ€ttsliga regleringen pĂ„ omrĂ„det. Vidare framhĂ„lls i direktiven att det ocksĂ„ behöver göras en bedömning av vilket utrymme förord- ningen ger för att i nationell rĂ€tt göra undantag frĂ„n förordningens bestĂ€mmelser för myndigheternas personuppgiftsbehandling.

Om vi bedömer att det finns förutsÀttningar att skapa en sÄdan samlad reglering, ska vi enligt direktiven lÀmna de författnings- förslag som kan anses motiverade. Personuppgiftsbehandlingen inom den brottsbekÀmpande sektorn omfattas inte av utrednings- uppdraget, eftersom den behandlingen inte omfattas av kommis- sionens förslag till en allmÀn uppgiftsskyddsförordning utan av ett förslag till ett direktiv.

Av vÄra direktiv följer vidare att vi ska övervÀga hur en generell reglering bör utformas utifrÄn vad som Àr lÀmpligt frÄn bl.a. norm- givningstekniska och systematiska utgÄngspunkter. I direktiven pÄ- pekas att Àven om personuppgiftsbehandling inom den brotts- bekÀmpande verksamheten undantagits frÄn utredningens arbete, behöver man vid utformningen av en ny reglering emellertid ta hÀnsyn till hur regleringen pÄ sÄvÀl detta som andra omrÄden Àr utformad för att regelverken inte ska komma i konflikt med var- andra. Den generella regleringen bör om möjligt vara utformad sÄ att den kan tillÀmpas pÄ ett enhetligt sÀtt av myndigheter vars verksamhet i vissa delar kommer att omfattas av tillÀmpnings- omrÄdet för uppgiftsskyddsförordningen och i andra delar omfattas av tillÀmpningsomrÄdet för EU-direktivet för den brottsbekÀmpande sektorn.

Av direktiven framgÄr slutligen att vi i vÄrt arbete noga ska följa den fortsatta behandlingen inom EU av förslaget till reformerad dataskyddsreglering. De förslag till författningsreglering som lÀm- nas ska vara vÀl anpassade till denna översyn och dess resultat.

174

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

7.1.2FörutsÀttningarna för en generell reglering

Automatiserad behandling Àr en integrerad del av myndigheters verksamhet

NÀr personuppgiftslagen trÀdde i kraft den 24 oktober 1998 var den elektroniska förvaltningen fortfarande i början av sin uppbyggnad. I prop. 1997/98:136 En statlig förvaltning i medborgarnas tjÀnst redovisade regeringen ett handlingsprogram för bl.a. förvaltningens informationsförsörjning. Enligt detta program borde förvaltningen, med beaktande av integritets- och sÀkerhetsaspekter ta tillvara in- formationsteknikens möjligheter att förenkla och förbÀttra kon- takterna för medborgare och företag med myndigheterna, öka all- mÀnhetens insyn i och kontroll av myndigheternas verksamhet, effektivisera samverkan mellan myndigheter, med övrig offentlig sektor samt med EU-institutioner och andra lÀnders förvaltning (a. prop. s. 54 f.). I programmet slogs vidare fast att den tekniska infrastrukturen för statsförvaltningens kommunikation med med- borgare och företag borde bygga pÄ internet, statliga myndigheter borde anvÀnda sÀker överföring av dokument och meddelanden i den öppna it-infrastrukturen samt att myndigheter vars verksamhet riktar sig frÀmst till företag och medborgare borde erbjuda elek- troniska tjÀnster för sjÀlvbetjÀning som komplement till traditio- nella tjÀnster. Regeringen uttalade ocksÄ att en enkel, sÀker och kostnadseffektiv tillgÄng till samhÀllets grundlÀggande information Àr ett offentligt Ätagande av vÀsentlig betydelse för den offentliga förvaltningen, för medborgarna och för företagen.

I dag Ă€r en elektronisk förvaltning en sjĂ€lvklarhet för varje myn- dighet, statlig som kommunal. Handlingar framstĂ€lls inom en myn- dighets verksamhet i princip uteslutande i elektronisk form och lagring sker pĂ„ bĂ„de kort och pĂ„ lĂ„ng sikt elektroniskt, Ă€ven om det ocksĂ„ förekommer lagring i pappersform. Ärenden handlĂ€ggs elek- troniskt och beslut fattas inom vissa myndigheters verksamhet, t.ex. FörsĂ€kringskassan och Skatteverket, i stor omfattning med beslutsstöd i automatiserad form. Handlingar kommer ocksĂ„ in till myndigheterna pĂ„ elektronisk vĂ€g i stor omfattning och expedieras frĂ„n myndigheterna pĂ„ samma sĂ€tt i allt högre grad. Arbetet med att öka effektiviteten i myndigheternas verksamhet och samverkan mellan myndigheterna samt att ge medborgarna en förbĂ€ttrad ser- vice Ă€r i princip helt inriktat pĂ„ att detta ska ske pĂ„ elektronisk vĂ€g.

175

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

Det finns dÀrför anledning att frÄga sig om det fortfarande finns skÀl att tala om en elektronisk förvaltning. Den elektroniska för- valtningen Àr ju inte lÀngre nÄgon sÀrskild del av myndigheternas verksamhet, utan utgör i sjÀlva verket förvaltningen.

AnvÀndning av it genomsyrar i dag en myndighets hela verk- samhet och utgör sÄledes basen för framstÀllning av dokument, Àrendehantering, lagring, kommunikation och samverkan. PÄ mot- svarande sÀtt kan myndigheternas automatiserade behandling av personuppgifter beskrivas, dvs. sÄdan behandling utgör det sÀtt pÄ vilket myndigheterna hanterar personuppgifter. Vid tiden för person- uppgiftslagens införande fanns det emellertid fortfarande anledning att tala om s.k. manuell hantering av personuppgifter, t.ex. för att handlÀgga ett Àrende, som ett alternativ till automatiserad behand- ling. Detta betraktelsesÀtt har lÀnge prÀglat lagstiftning som rör be- handling av personuppgifter. I dag Àr den automatiserade behand- lingen av personuppgifter alltsÄ inte en del av en myndighets verk- samhet som utförs Ätskild frÄn verksamheten i övrigt och dÀrför krÀver andra regler Àn de som i övrigt reglerar verksamheten. DÀr- emot Àr det sjÀlvfallet sÄ att anvÀndningen av it fortfarande innebÀr att sÀrskilda integritetsaspekter mÄste beaktas, bl.a. i form av regler om skydd för personuppgifter. Den elektroniska hanteringen med- för ocksÄ att myndigheterna behöver ta sÀrskild hÀnsyn till sÀker- hetsaspekter, betrÀffande sÄvÀl personuppgifter som annan infor- mation som finns hos myndigheterna.

7.1.3En generell reglering?

Bedömning: Vi menar att det finns förutsÀttningar för en sam- lad reglering betrÀffande myndigheters behandling av person- uppgifter och vi kan inte se nÄgra bÀrande skÀl som talar emot att en sÄdan nu införs.

Det brukar anföras som skÀl för att införa sÀrskilda registerlagar att man pÄ sÄ sÀtt Ästadkommer en heltÀckande, tydlig och uttöm- mande reglering av vad som ska gÀlla i frÄga om personuppgifts- behandling hos en viss myndighet eller inom en viss samhÀlls- sektor. Det ligger uppenbarligen ett vÀrde i detta. Samtidigt Àr det

176

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

tydligt att det finns klara nackdelar förenade med den reglerings- modellen.

Som vi har berört i avsnitt 4.3.2 – och som vi nĂ€rmare kommer att redovisa i följande kapitel – finns det ett antal generella problem förenade med det svĂ„röverblickbara och fragmenterade rĂ€ttsomrĂ„de som registerlagstiftningen har kommit att bli. Registerförfattning- arna har kommit att utformas utan tillrĂ€cklig inre konsekvens och enhetlighet i frĂ„ga om struktur, normtekniska lösningar eller be- trĂ€ffande hur enskilda kategorier av bestĂ€mmelser har utformats. Med tiden har detta bl.a. medfört relativt stora tillĂ€mpningsproblem i olika avseenden, inte minst vid uppgiftsutbyten mellan myndig- heter. Samtidigt finns det pĂ„fallande mĂ„nga likheter mellan register- författningarna – inte minst betrĂ€ffande de vi kallar informations- hanteringsförfattningar – nĂ€r det t.ex. gĂ€ller vilka slags frĂ„gor som regleras, varianter pĂ„ begrepp och normtekniska lösningar. Det Ă€r i hög grad frĂ„ga om ”dubbelreglering” i den meningen att likartade bestĂ€mmelser finns intagna i ett stort antal författningar.

Ett annat problem med den nuvarande dataskyddsregleringen – och som gĂ€ller i lika hög grad Ă€ven för de myndigheter som inte omfattas av nĂ„gon registerförfattning utan enbart tillĂ€mpar person- uppgiftslagen – Ă€r att tillrĂ€cklig uppmĂ€rksamhet inte Ă€gnats Ă„t anpass- ningen av dataskyddsregleringen till annan central reglering för myndigheters verksamhet och informationshantering. Myndig- heters personuppgiftsbehandling skiljer sig nĂ€mligen pĂ„ ett markant sĂ€tt frĂ„n vad som normalt gĂ€ller i enskilda verksamheter. En myn- dighet som behandlar personuppgifter i sin verksamhet har inte bara att följa personuppgiftslagen eller en eventuell registerförfatt- ning i sin informationshantering. Myndigheters personuppgifts- behandling sker i verksamheter som Ă€r författningsreglerade, oftast i frĂ„ga om sĂ„vĂ€l vad som ska göras som hur det ska göras. Dess- utom styrs personuppgiftsbehandlingen parallellt av annan central reglering för myndigheternas informationshantering Ă€n den data- skyddsrĂ€ttsliga, bl.a. reglerna om handlingsoffentlighet och sekre- tess samt förvaltningslagen. Med ett fĂ„tal undantag Ă€r personupp- giftslagens bestĂ€mmelser inte anpassade till dessa sĂ€rskilda förhĂ„ll- anden.

Inom ramen för en samlad reglering skulle det finnas förutsÀtt- ningar att Ästadkomma den enhetlighet och konsekvens i regle- ringen av myndigheternas personuppgiftsbehandling som den nuvar-

177

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

ande splittrade regleringen saknar. Genom en samlad reglering skulle det vidare finnas förutsÀttningar att pÄ ett betydligt mer ÀndamÄls- enligt sÀtt beakta de sÀrskilda förutsÀttningar som gÀller betrÀffande personuppgiftsbehandling pÄ myndighetsomrÄdet. DÀrtill kommer att en samlad reglering skulle i betydande mÄn minska det framtida behovet av att behÄlla eller införa nya sektorspecifika bestÀmmel- ser. Viss sÀrreglering kommer givetvis att behövas Àven med en generell reglering men kan dÄ utformas som sÀrbestÀmmelser som innehÄller undantag frÄn huvudregler. Regelmassan vad gÀller data- skyddsbestÀmmelser skulle alltsÄ totalt sett minska vÀsentligt.

Genom att regelverket blir tydligare i den meningen att det klargörs vad som utgör ett berÀttigat dataskydd och hur detta ska Ästadkommas pÄ myndighetsomrÄdet, frÀmjas skyddet för person- uppgifter. Samtidigt ger ett sÄdant regelverk klarare besked om i vilken utstrÀckning dataskyddshÀnsyn inte pÄverkar övriga regelverk som reglerar myndigheternas verksamhet och de intressen som dÀr vÀrnas. En tydligare dataskyddsreglering pÄ myndighetsomrÄdet innebÀr t.ex. att förhÄllandet mellan dataskyddsregler och regler om sekretess blir klarare, vilket som vi ser det kommer att vara till gagn för offentlighet och insyn. En tydligare reglering ökar ocksÄ i betydande grad förutsÀttningarna för att anpassa offentlighets- principen till moderna elektroniska kommunikationsformer. Huvud- ambitionen att pÄ ett mer effektivt sÀtt tillgodose allmÀnhetens berÀttigade ansprÄk pÄ insyn i den offentliga förvaltningen uppfylls dÀrför ocksÄ genom den generella regleringen.

Vi kan för vÄr del inte se nÄgra bÀrande skÀl som talar mot en generell reglering betrÀffande myndigheters behandling av person- uppgifter. Vi menar alltsÄ att det finns förutsÀttningar för en sÄdan samlad reglering.

En utgÄngspunkt för arbetet med en generell reglering om myn- digheters behandling av personuppgifter bör vara att den inte till nÄgon del ska syfta till att reglera en myndighets verksamhet. Reg- leringen bör i stÀllet utformas sÄ att den enbart tar sikte pÄ att reg- lera dataskyddsrÀttsliga frÄgor, dvs. i första hand frÄgor rörande det behov av skydd för enskilda registrerades personliga integritet som den automatiserade behandlingen av personuppgifter ger upphov till. FörÀndringar som sker betrÀffande myndigheters faktiska, organisatoriska eller rÀttsliga förutsÀttningar ska dÀrmed inte ha betydelse pÄ det sÀttet att innehÄllet i den generella lagen behöver

178

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

Àndras. Vidare ska regleringen vara helt teknikneutral. Den ska ute- slutande bygga pÄ rÀttsliga grÀnsdragningar, inte tekniska sÄdana. Som vi ser det Àr det bara pÄ det sÀttet det Àr möjligt att Ästad- komma en reglering som blir hÄllbar över tid.

Vilka regelverk ska bilda en fungerande helhet?

I vÄra direktiv framhÄlls att de grundlÀggande reglerna i tryckfri- hetsförordningen och offentlighets- och sekretesslagen samt den principiella uppbyggnaden av registerförfattningarna bör vara an- passade till varandra för att möjliggöra en ytterligare effektivisering av e-förvaltningen.

Som framgÄtt ovan Àr en generell utgÄngspunkt för vÄrt arbete att myndigheters behandling av personuppgifter inte lÀngre kan betraktas som en separat del av en myndighets verksamhet av det enda skÀlet att behandlingen Àr automatiserad. Det innebÀr att vi i arbetet med att principiellt bygga upp den generella regleringen för att Ästadkomma en fungerande helhet tillsammans med andra regel- verk inte enbart kan ta hÀnsyn till att reglerna ska vara anpassade till tryckfrihetsförordningen och offentlighets- och sekretesslagen. De behöver alltsÄ ocksÄ vara anpassade till de regler som pÄ ett mer allmÀnt plan styr en myndighets verksamhet. För att Ästadkomma en fungerande helhet behöver Àven t.ex. förvaltningslagen, arkiv- lagen, myndighetsförordningen m.m. samt andra regelverk och dokument som i olika hÀnseenden styr myndigheternas verksamhet beaktas. NÀr det övervÀgs i vilken mÄn en tÀnkt generell reglering i ett visst avseende behöver innehÄlla regler för att ge person- uppgifter det skydd som den elektroniska hanteringen ger upphov till, behöver detta alltsÄ ske ocksÄ mot bakgrund av sÄdana regler om rÀttigheter för enskilda och skyldigheter för myndigheter som finns i det förvaltningsrÀttsliga regelverket i stort.

Att behovet av regler till skydd för personuppgifter pÄ myndig- hetsomrÄdet övervÀgs i förhÄllande till hur myndigheters verksam- het Àr reglerade i övrigt och de intressen som bÀr upp sÄdana regler Àr helt i överensstÀmmelse med de grunder som dataskyddsdirek- tivet bygger pÄ och ger uttryck för. Exempelvis innebÀr de grund- lÀggande krav som alltid ska iakttas i samband med en viss enskild behandling, krav pÄ lÀmpliga sÀkerhetsÄtgÀrder och reglerna om

179

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

behandling av kÀnsliga personuppgifter att frÄgan om en viss behand- ling Àr tillÄten ska avgöras mot bakgrund av vilken verksamhet det rör och vilka avvÀgningar mellan olika intressen som behöver göras i den verksamheten och i det konkreta fallet. Vilka resultat sÄdana avvÀgningar kan fÄ pÄ myndighetsomrÄdet kommer dÀremot inte till uttryck i direktivet. Arbetet med att ta fram en generell reg- lering för myndigheters behandling av personuppgifter innebÀr emellertid att dataskyddsdirektivets implementering kan konkreti- seras och förtydligas pÄ hela myndighetsomrÄdet. DÀrmed minskar behovet av sÀrskilda registerförfattningar i motsvarande mÄn.

En ambition med den generella regleringen Àr alltsÄ att i sÄ hög grad som möjligt fÄnga upp och formulera regler till skydd för personuppgifter som generellt utgör en ÀndamÄlsenlig reglering för myndigheters verksamhet, för att i sÄ stor utstrÀckning som möjligt minska behovet av sÀrreglering. PÄ sÄ sÀtt, och genom att den gene- rella regleringen anpassas till samtliga relevanta regelverk pÄ myndig- hetsomrÄdet, skapas en tydligare och mer lÀttillÀmpad helhet nÀr det gÀller hantering av personuppgifter pÄ hela myndighetsomrÄdet.

Hur bör förslaget till uppgiftsskyddsförordning beaktas vid utformningen av en generell reglering?

Som redovisats ovan Àr ett av skÀlen till utredningens uppdrag att försöka skapa en samlad reglering för myndigheternas behandling av personuppgifter att en sÄdan kommer att vara mer ÀndamÄlsenlig för att möta den förÀndring som kan antas komma att ske pÄ det unionsrÀttsliga omrÄdet genom en förordning som ersÀtter data- skyddsdirektivet. En samlad reglering kan fungera som ett komple- ment till eller, vid behov, genomföra delar av den unionsrÀttsliga regleringen pÄ omrÄdet.

I skrivande stund pÄgÄr arbetet fortfarande med att inom EU förhandla fram förslaget till en uppgiftsskyddsförordning och det gÄr knappast att göra nÄgra sÀkra prognoser om nÀr det arbetet kommer att vara slutfört. Det förefaller mot den bakgrunden inte vara lÀmpligt att utforma den nya regleringen sÄ att den nu utgör ett komplement till en kommande uppgiftsskyddsförordning. I sÄ fall skulle vÀsentliga delar av personuppgiftsskyddet som kan för- vÀntas komma att exklusivt regleras i förordningen, exempelvis de grundlÀggande krav som ska gÀlla vid all behandling av person-

180

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

uppgifter och tillsynsmyndighetens befogenheter, inte kunna reg- leras i den generella lagen. Ett förslag till en ny reglering skulle i sÄ fall inte kunna innehÄlla nÄgot förslag om en tidpunkt för ikraft- trÀdande, utan den tidpunkten skulle fÄ göras beroende av om och nÀr en uppgiftsskyddsförordning beslutas. Det skulle i sin tur kunna leda till att nÄgon ny generell reglering om myndigheters behand- ling av personuppgifter inte kan införas förrÀn i en obestÀmd framtid. Vad som nu sagts talar för att införandet av en generell reglering inte bör göras beroende av om en uppgiftsskyddsförord- ning införs.

Vi ser det inte heller som möjligt att nu utforma ett förslag till en reglering som skulle kunna utgöra ett komplement till en kom- mande uppgiftsskyddsförordning, eftersom förordningens innehĂ„ll i skrivande stund inte i alla delar fullt ut kan överblickas, i synner- het inte pĂ„ myndighetsomrĂ„det. Det kan emellertid redan nu konstateras att förordningen kan antas lĂ€mna öppningar för med- lemsstaterna att pĂ„ myndighetsomrĂ„det införa en sĂ€rreglering betrĂ€ffande frĂ„gor som dĂ„ kan utformas mot bakgrund av natio- nella regelverk och andra speciella förutsĂ€ttningar för de egna myn- digheternas verksamhet. Om och nĂ€r en förordning införs kan det dĂ€rför antas inte behöva göras nĂ„gra genomgripande Ă€ndringar i en ny generell reglering. Även denna omstĂ€ndighet talar alltsĂ„ för att det saknas tillrĂ€ckliga skĂ€l för att lĂ„ta införandet av en generell reg- lering vĂ€nta pĂ„ att en förordning trĂ€der i kraft. TvĂ€rtom kommer det nödvĂ€ndiga anpassningsarbetet att bli betydligt enklare om en sĂ„dan reglering redan finns pĂ„ plats.

VÄr ambition vid utformningen av den generella regleringen har dÀrför varit att i stÀllet relatera vÄra förslag till det som hittills Àr kÀnt om uppgiftsskyddsförordningens föreslagna innehÄll och redo- visa ett resonemang om hur en reglering utifrÄn gÀllande rÀtt kan komma att te sig vid ett införande av förordningen. Vi kommer ocksÄ att i samband med att vi redovisar konsekvenserna av vÄrt förslag beskriva hur en anpassning av regleringen kan göras dÄ förord- ningen införs (se avsnitt 19.2).

För att förverkliga en tydligare och mer ÀndamÄlsenlig reglering av myndigheters behandling av personuppgifter bör utgÄngspunk- ten sÄledes vara att den generella regleringen ska kunna trÀda i kraft sÄ snart som möjligt. Detta talar, menar vi, för att vÄrt förslag bör ta sikte pÄ att den generella regleringen till form och innehÄll ska

181

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

förhÄlla sig till gÀllande rÀtt pÄ omrÄdet, dvs. dataskyddsdirektivet och personuppgiftslagen.

7.2En generell lag för myndigheters behandling av personuppgifter

7.2.1En generell reglering bör ha form av lag

Förslag: Den nya generella regleringen bör ha form av lag. Lagen bör heta myndighetsdatalagen.

En generell reglering av vad som ska gÀlla betrÀffande myndig- heters personuppgiftsbehandling bör ges form av lag. Detta följer redan av att tillÀmpningsomrÄdet för en sÄdan reglering bör vara i princip detsamma som förvaltningslagens, dvs. Àven kommunala förvaltningsmyndigheter bör omfattas liksom myndigheterna under riksdagen. Till detta kommer att lagformen av flera skÀl framstÄr som det naturliga för en reglering av nu aktuellt slag.

Vi redovisar nedan hur vi ser pÄ den lagtekniska utformningen av den generella lagen och hur den förhÄller sig till de sÀrregler som kan behövas för vissa myndigheters behandling av personuppgifter. I ett dÀrpÄ följande avsnitt lÀmnar vi en utförlig redovisning av vÄr bedömning nÀr det gÀller frÄgan om pÄ vilken normgivningsnivÄ en sÀrreglering kan ges, dvs. om sÀrregler kan ges i förordning eller om de behöver ha form av lag.

En allmĂ€n utgĂ„ngspunkt för vĂ„ra övervĂ€ganden Ă€r, som framgĂ„tt av avsnitt 7.1, att den generella lagen enbart ska innehĂ„lla regler om persondataskydd. Vi föreslĂ„r dĂ€rför att den nya lagen benĂ€mns ”myn- dighetsdatalag”. Namnet Ă€r ocksĂ„ kort, vilket Ă€r Ă€ndamĂ„lsenligt med tanken pĂ„ att lagen avses vara tillĂ€mplig för i princip alla myndig- heter.

Vid personuppgiftslagens införande övervÀgdes Àven namnet persondatalag. SkÀlet till att det namnet inte valdes var bl.a. att det pÄ ett missvisande sÀtt kunde leda tanken till enbart datorlagrade personuppgifter, trots att lagen inte bara omfattar automatiserad behandling i datorer utan Àven viss manuell behandling av person- uppgifter (prop. 1997/98:44 s. 42). Eftersom myndigheterna i dag i

182

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

princip uteslutande hanterar personuppgifter med it-stöd, anser vi att namnet myndighetsdatalag inte gÀrna kan uppfattas som missvisande.

7.2.2Kort om lagens innehÄll och den lagtekniska utformningen

Vilka frÄgor bör regleras i lagen?

Vi har ovan redovisat att utgÄngspunkten för vÄrt arbete med den generella lagen Àr att den enbart ska ta sikte pÄ att reglera frÄgor om det behov av skydd som den automatiserade behandlingen av per- sonuppgifter ger upphov till nÀr myndigheterna hanterar person- uppgifter i sin verksamhet. Lagen ska alltsÄ enbart innehÄlla be- stÀmmelser som utgör dataskyddsregler.

Det innebÀr att lagen för det första bör innehÄlla regler som rör frÄgor dÀr personuppgiftslagens bestÀmmelser inte pÄ ett tillrÀck- ligt tydligt sÀtt uttrycker vad som gÀller för myndigheters behand- ling av personuppgifter. Det handlar alltsÄ om bestÀmmelser som sÀrskilt reglerar vad som gÀller för myndigheter i en viss frÄga till skillnad frÄn vad enskilda personuppgiftsansvariga har att iaktta.

I registerförfattningarna förekommer Àven bestÀmmelser som reglerar behandling av personuppgifter utan att de syftar till att införliva dataskyddsdirektivet i nÄgot visst avseende. Det Àr alltsÄ bestÀmmelser som inte har nÄgon motsvarighet i personuppgifts- lagen. Det har ÀndÄ ansetts finnas ett behov av att denna typ av bestÀmmelser för att tydliggöra vad som gÀller i förhÄllande till andra regelverk, framför allt betrÀffande offentlighets- och sekre- tesslagens bestÀmmelser om utbyte av uppgifter i förhÄllande till bÄde enskilda och andra myndigheter. Som exempel pÄ sÄdana bestÀmmelser kan nÀmnas regler om utlÀmnande av personupp- gifter i elektronisk form, bl.a. genom direktÄtkomst. Som har fram- gÄtt av kapitel 5 menar vi att det finns skÀl att upprÀtthÄlla den rÀttsliga skillnaden mellan direktÄtkomst och andra former av elek- troniskt utlÀmnande. BestÀmmelser rörande detta bör alltsÄ införas Àven i den generella lagen.

Ett annat exempel pÄ en typ av bestÀmmelser som vanligen före- kommer i registerförfattningar och som inte kan sÀgas ha sin omedelbara motsvarighet i dataskyddsdirektivet Àr s.k. sökbegrÀns- ningar. SÄdana bestÀmmelser ger emellertid uttryck för den pro-

183

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

portionalitetsprincip som alltid mĂ„ste iakttas nĂ€r det gĂ€ller behand- ling av personuppgifter och inte minst pĂ„ myndighetsomrĂ„det. Även regler om sökbegrĂ€nsningar har dĂ€rför sin plats i en generell lag.

Det kan konstateras att lagen sĂ„ledes kommer att fĂ„ en utform- ning som i hög grad liknar en författning av den kategori vi be- nĂ€mnt informationshanteringsförfattning, lĂ„t vara att denna ”register- författning” syftar till att generellt reglera myndigheters behandling av personuppgifter.

Den lagtekniska utformningen

Vi har ovan redovisat vĂ„r huvudambition med den generella lagen att i sĂ„ hög grad som möjligt fĂ„nga upp och uttrycka regler till skydd för personuppgifter som generellt utgör en Ă€ndamĂ„lsenlig reglering för myndigheterna, för att i motsvarande mĂ„n minska behovet av sĂ€rreglering. Det innebĂ€r att vi ser framför oss ett rela- tivt begrĂ€nsat behov av sĂ€rreglering som kommer att avse för- hĂ„llandevis fĂ„ frĂ„gor i jĂ€mförelse med den regelmassa som i dag finns i registerförfattningarna. Vi bedömer att det dĂ€rför – pĂ„ sikt – inte alls kommer att behövas fullstĂ€ndiga registerförfattningar i den utstrĂ€ckning som Ă€r fallet i dag. Författningar som syftar till att reglera regelrĂ€tta register, exempelvis fastighetsregistret och aktie- bolagsregistret, pĂ„verkas dock endast delvis eftersom de typiskt sett syftar till att reglera annat Ă€n dataskydd, nĂ€mligen verksam- hetsfrĂ„gor kring ett visst register. SĂ„dana verksamhetsregler utgör ingen sĂ€rreglering i förhĂ„llande till personuppgiftslagen och pĂ„ver- kas dĂ€rmed inte av den nya lagen. Detta slags registerförfattningar kan alltsĂ„ inte ersĂ€ttas av den nya lagen. Inget hindrar dock att dataskyddsregleringen i den nĂ€mnda sortens registerförfattning – som efter en översyn fortfarande anses behövas – separeras frĂ„n författningen och sĂ€rregleras i anslutning till den nya lagen. Vi Ă„ter- kommer till denna frĂ„ga i kapitel 8.

Den generella lagen bör lagtekniskt utformas sĂ„ att den i sin huvuddel innehĂ„ller de bestĂ€mmelser som generellt reglerar myndig- heternas behandling av personuppgifter i olika avseenden. I en eller flera bilagor till lagen kan dĂ€refter tabellvis redovisas sĂ„dana sĂ€r- regler för enskilda myndigheter som bör – eller undantagvis behöver

184

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

– ges i form av lag. Det kan exempelvis handla om vissa fall av direktĂ„tkomst eller mer tillĂ„tande regler för att behandla kĂ€nsliga personuppgifter som kan behövas pĂ„ vissa myndighetsomrĂ„den och som bedöms krĂ€va lagstöd. Till lagen bör det ocksĂ„ finnas en anslutande förordning som innehĂ„ller de sĂ€rregler som kan ges pĂ„ förordningsnivĂ„. Vi bedömer att den helt övervĂ€gande delen av sĂ„dan utfyllande reglering kan ges i förordning. I avsnittet nedan redogör vi mer utförligt för vĂ„r bedömning av vilken normgiv- ningsnivĂ„ som normalt krĂ€vs för de sĂ€rregler som kan behövas.

7.3NormgivningsnivÄ för sÀrreglering

7.3.1Bakgrund

Av 8 kap. 1 § första stycket RF framgÄr att föreskrifter meddelas av riksdagen genom lag och av regeringen genom förordning. Före- skrifter ska meddelas genom lag om de avser bl.a. skyldigheter för enskilda eller ingrepp i enskildas personliga eller ekonomiska för- hÄllanden (8 kap. 2 § första stycket 2). Kravet pÄ att en sÄdan före- skrift ska ha form av lag Àr emellertid inte obligatoriskt, utan riks- dagen kan bemyndiga regeringen att meddela den typen av före- skrifter (8 kap. 3 §).

Enligt 8 kap. 7 § RF fÄr regeringen bl.a. meddela föreskrifter som inte enligt grundlag ska meddelas av riksdagen. Att regeringen meddelar föreskrifter i ett visst Àmne hindrar inte att riksdagen meddelar föreskrifter i samma Àmne (8 kap. 8 §).

Av 8 kap. 10 och 11 §§ RF följer att en vidaredelegation till en förvaltningsmyndighet att meddela föreskrifter ocksÄ kan medges av riksdagen eller, i frÄga om regeringens primÀromrÄde, av rege- ringen sjÀlv.

De s.k. registerförfattningarna Ă€r ett exempel pĂ„ en grupp författ- ningar dĂ€r lagformen ofta valts trots att detta enligt regerings- formen rent normgivningstekniskt i allmĂ€nhet inte har varit nöd- vĂ€ndigt. Att det allmĂ€nna registrerar personuppgifter om enskilda innebĂ€r ingen skyldighet för den enskilde. Det har heller normalt sett inte ansetts som ett ingrepp i enskildas personliga förhĂ„llanden i den mening som avses i 8 kap. 2 § första stycket 2 RF (Anders Eka m.fl., Regeringsformen – med kommentarer, 2012, s. 311). Registerförfattningarna har dĂ€rmed i princip ansetts höra till rege-

185

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

ringens primĂ€romrĂ„de – i vart fall sĂ„vitt avser myndigheter under regeringen – och sĂ„ledes kunnat regleras i förordningsform. Som har berörts tidigare har det under Ă„ren emellertid i ett antal olika lagstiftningsĂ€renden som rört myndigheters personuppgiftsbehand- ling framhĂ„llits att mĂ„lsĂ€ttningen bör vara att myndighetsregister med ett stort antal registrerade och ett sĂ€rskilt kĂ€nsligt innehĂ„ll ska regleras i lag (se t.ex. prop. 1997/98:44 s. 41, 1997/98:KU18 s. 43 och prop. 1999/2000:39 s. 78).

Enligt 8 kap. 18 § RF fÄr en lag inte Àndras eller upphÀvas pÄ annat sÀtt Àn genom lag. Det Àr den formella lagkraftens princip som pÄ sÄ sÀtt kommer till uttryck i regeringsformen. Den formella lagkraftens princip innebÀr att en föreskrift som en gÄng beslutats som lag inte kan Àndras eller upphÀvas pÄ annat sÀtt Àn genom en ny lag. Regeln om den formella lagkraften fÄr bl.a. den effekten att regeringen inte kan hindra eller upphÀva en lag som riksdagen stiftat inom ett omrÄde som annars enligt grundlag primÀrt faller inom regeringens kompetensomrÄde. Inte heller kan regeringen sÄ lÀnge lagen gÀller meddela föreskrifter i Àmnet i strid med lagen. Riksdagen tar pÄ sÄ vis i ansprÄk en del av regeringens primÀr- omrÄde. Detta innebÀr att i den mÄn myndigheters personuppgifts- behandling har reglerats genom lag sÄ krÀvs lagstiftning ocksÄ för att Àndra regleringen.

Enligt 2 kap. 6 § andra stycket RF Àr var och en gentemot det allmÀnna skyddad mot betydande intrÄng i den personliga integri- teten, om det sker utan samtycke och innebÀr övervakning eller kartlÀggning av den enskildes personliga förhÄllanden. Av 2 kap. 20 § följer att skyddet mot övervakning och kartlÀggning av den enskildes personliga förhÄllanden fÄr begrÀnsas genom lag i den utstrÀckning det Àr tillÄtet enligt de allmÀnna förutsÀttningarna för begrÀnsning av fri- och rÀttigheter som anges i 21 §. Vid antagande av sÄdan lag som avses i 20 § Àr enligt 22 § det s.k. kvalificerade förfarandet tillÀmpligt. Detta innebÀr att ett förslag till rÀttighets- begrÀnsande lag ska, om det inte avslÄs av riksdagen, pÄ yrkande av lÀgst tio av dess ledamöter vila i minst tolv mÄnader frÄn det att det första utskottsyttrandet över förslaget anmÀldes i riksdagens kam- mare.

186

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

Motivuttalanden pÄ registerförfattningsomrÄdet rörande normgivningsnivÄ

De ovan berörda motivuttalandena om att mÄlsÀttningen bör vara att myndighetsregister med ett stort antal registrerade och ett sÀr- skilt kÀnsligt innehÄll ska regleras i lag tillkom i samband med det grundlagstiftningsÀrende dÀr bl.a. Data- och offentlighetskommitténs slutbetÀnkande behandlades.

Prop. 1990/91:60 innehöll förslag som syftade till att stĂ€rka offentlighetsprincipen i frĂ„ga om ADB-upptagningar och till att förbĂ€ttra integritetsskyddet för uppgifter i personregister. DĂ€r före- slogs vissa Ă€ndringar i tryckfrihetsförordningens bestĂ€mmelser om allmĂ€nna handlingars offentlighet – bl.a. betrĂ€ffande den s.k. biblio- teksregeln – samt Ă€ndringar i sekretesslagstiftningen som innebar preciseringar av det krav pĂ„ ”god offentlighetsstruktur” som gĂ€llde för myndigheternas ADB-verksamhet. Vidare föreslogs bl.a. Ă€ndringar i datalagen (1973:289) i syfte att reglera och begrĂ€nsa anvĂ€ndningen av personnummer i personregister. Propositionen behandlades av konstitutionsutskottet i betĂ€nkandet 1990/91:KU11.

Vid den aktuella tidpunkten krĂ€vdes alltsĂ„ normalt tillstĂ„nd frĂ„n Datainspektionen för att inrĂ€tta och föra sĂ€rskilt integritetskĂ€nsliga ADB-register, dvs. personregister som innehöll ömtĂ„liga uppgifter om enskilda personer. Om inrĂ€ttandet av ett sĂ„dant register beslu- tades av riksdagen eller regeringen – s.k. statsmaktsregister – rĂ€ckte det dock med att beslutet föregicks av ett yttrande frĂ„n Data- inspektionen. I debatten hade dĂ„ och dĂ„ rests krav pĂ„ att register av detta slag borde vara lagreglerade, vilket skulle innebĂ€ra att det skulle krĂ€vas ett sĂ€rskilt riksdagsbeslut för att en myndighet skulle fĂ„ föra ett personregister som innehöll sĂ€rskilt integritetskĂ€nsliga uppgifter.

I prop. 1990/91:60 gjorde föredragande statsrĂ„det – i likhet med Data- och offentlighetskommittĂ©n – bedömningen att som ett led i en allmĂ€n strĂ€van att stĂ€rka skyddet för de registrerades integritet i samband med nödvĂ€ndig registrering av kĂ€nsliga personuppgifter i vissa myndighetsregister pĂ„ sikt vissa register hos Socialstyrelsen, landstingen, kommunerna och dĂ„varande RiksförsĂ€kringsverket borde regleras i sĂ€rskilda registerlagar. Vidare uttalades följande (a. prop. s. 57 f.).

Som framgÄtt av min redovisning Àr redan i dag vissa stora person- register med integritetskÀnsligt innehÄll inom den offentliga sektorn författningsreglerade i större eller mindre mÄn. Flera av de viktigaste

187

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

registren saknar emellertid författningsstöd och nÄgra av dem har inte heller tillstÄnd frÄn datainspektionen eftersom de Àr undantagna frÄn tillstÄndsplikt till följd av 2 a § tredje stycket datalagen.

Bland de register som sĂ„lunda undantagits frĂ„n tillstĂ„ndsplikt kan nĂ€m- nas personregister som förs av myndigheter inom hĂ€lso- och sjuk- vĂ„rden för vĂ„rd- eller behandlingsĂ€ndamĂ„l. I dessa register finns upp- gifter om enskildas sjukdomar och hĂ€lsotillstĂ„nd [
]. Vidare kan nĂ€mnas de sociala myndigheternas personregister som innehĂ„ller uppgifter om att nĂ„gon fĂ„tt ekonomisk hjĂ€lp eller vĂ„rd inom social- tjĂ€nsten [
]. OcksĂ„ dessa personregister har generellt sett ett mycket integritetskĂ€nsligt innehĂ„ll.

I likhet med [kommittén] och remissinstanserna anser jag att en mÄlsÀttning bör vara att i de fall ett register med ett stort antal regi- strerade och ett sÀrskilt kÀnsligt innehÄll inrÀttas, bestÀmmelser ska meddelas i form av lag. Detta gÀller sÀrskilt i de fall uppgifterna i registret sprids externt i icke obetydlig omfattning.

Om uppgifter anvÀnds för strikt avgrÀnsade ÀndamÄl i ett register dÀr de primÀrt har registrerats, t.ex. inom försvaret eller arbetsmarknads- utbildningen och i mÄnga kommunala sammanhang behövs dÀremot i regel ingen specialreglering. I dessa register kan integritetsskyddet, enligt min mening, tillgodoses genom datainspektionens tillstÄnds- prövning. Om de uppgifter som ingÄr i registret i sÄdana fall inte Àr sekretesskyddade, kan det övervÀgas om en utvidgning av bestÀmmel- serna i sekretesslagen Àr en vÀg att uppnÄ ett bÀttre integritetsskydd.

Vidare fördes i propositionen resonemang om behovet av reglering pÄ vissa angivna omrÄden sÄsom landstingens och kommunernas barnavÄrds- och skolhÀlsoregister, RiksförsÀkringsverkets och de dÄvarande försÀkringskassornas register, det s.k. FAS 90 m.fl., samt konstaterades att en reglering var möjlig bara pÄ sikt och att det Äterstod att nÀrmare övervÀga vilka register inom de angivna om- rÄdena som borde regleras.

Konstitutionsutskottet uttalade som sin mening att det allmÀnt sett var av stor betydelse att en författningsreglering av ADB-register kommer till stÄnd i syfte att stÀrka skyddet för de registrerades integritet i samband med nödvÀndig registrering av kÀnsliga upp- gifter i myndighetsregister. Som anförts i propositionen borde register hos Socialstyrelsen, landstingskommunerna, kommunerna och RiksförsÀkringsverket regleras i sÀrskilda registerlagar. Utskottet delade departementschefens uppfattning att det krÀvdes ingÄende

188

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

övervÀganden i frÄga om vilka register inom dessa omrÄden som borde regleras (1990/91:KU11 s. 11).

I lagstiftningsÀrendet rörande personuppgiftslagen fördes ett resonemang betrÀffande registerförfattningarna. Det konstaterades att dessa innehöll mÄnga preciserade och viktiga regler som inte rimligen kunde ersÀttas av de generella bestÀmmelser som den nya lagen innehöll. Samtidigt stod det klart att det var nödvÀndigt med sÀrregler i förhÄllande till den nya lagen pÄ flera viktiga omrÄden, t.ex. betrÀffande polisens verksamhet. FrÄgan var dÀrför om det redan i den nya lagen skulle göras undantag för vissa verksamheter eller om nödvÀndiga sÀrregler för dessa verksamheter liksom dittills skulle ges i sÀrskilda författningar som fick gÀlla framför den nya lagen.

Regeringen fann att det traditionella svenska systemet med sĂ€r- regler i sĂ€rskilda författningar var att föredra framför generella undantag frĂ„n den nya lagen. Eftersom det skulle krĂ€vas en sĂ€rskild författning för att avvika frĂ„n det integritetsskydd som den nya lagen skulle ge, garanterades att behovet av sĂ€rregler alltid övervĂ€gs noga i den ordning som gĂ€ller för författningsgivning. Vidare ut- talades – med hĂ€nvisning till de uttalanden som gjorts i 1991 Ă„rs grundlagsstiftningsĂ€rende (prop. 1990/91:60 s. 50 och 1990/91:KU11 s. 11) – att mĂ„let ocksĂ„ har varit att myndighetsregister med ett stort antal registrerade och ett sĂ€rskilt kĂ€nsligt innehĂ„ll ska regleras sĂ€rskilt i lag. Det fanns inte anledning att nu avvika frĂ„n det mĂ„let (prop. 1997/98:44 s. 41).

I konstitutionsutskottets betÀnkande rörande personuppgifts- lagen pÄpekades med anledning av en motion att i den utstrÀckning som det Àr befogat med ett stÀllningstagande frÄn riksdagens sida, finns det alltid möjlighet att ge regleringen pÄ ett visst omrÄde i lag. I sÄdant fall Àr normgivning pÄ lÀgre nivÄ i strid med lagregleringen utesluten, om inte annat följer av den aktuella lagen. Utskottet ville ocksÄ för egen del framhÄlla att det saknades anledning att nu avvika frÄn den tidigare fastlagda mÄlsÀttningen att myndighets- register med att stort antal registrerade och ett sÀrskilt kÀnsligt inne- hÄll ska regleras sÀrskilt i lag (1997/98:KU18 s. 43).

De uttalanden som gjordes betrÀffande behovet av lagform vid 1991 Ärs grundlagsstiftningsÀrende och som bekrÀftades i samband med införandet av personuppgiftslagen har alltsÄ under Ären Äbe- ropats i ett stort antal lagstiftningsÀrenden i samband med över- vÀganden kring frÄgan varför en viss registerförfattning borde ges

189

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

lagform (se t.ex. prop. 1999/2000:39 s. 78, prop. 2000/01:80 s. 131, prop. 2000/01:95 s. 55 och prop. 2002/03:135 s. 39).

Den tidigare grundlagsregleringen betrÀffande skyddet för den personliga integriteten

Under 1980-talet intrĂ€ffade en rad hĂ€ndelser som vĂ€ckte misstro mot den dĂ„ Ă€nnu förhĂ„llandevis nya datatekniken och det sĂ€tt pĂ„ vilket staten anvĂ€nde sig av denna för att registrera medborgarna. Exempelvis orsakade planer pĂ„ en ny typ av folk- och bostads- rĂ€kning, benĂ€mnt Fobalt, byggd pĂ„ samkörning av redan befintliga register, sĂ„ hĂ€ftiga protester att projektet inte kunde genomföras. År 1986 avslöjades att det sociologiska forskningsprojektet Metro- polit med Datainspektionens medgivande under lĂ„ng tid hade sam- lat in och registrerat stora mĂ€ngder kĂ€nsliga persondata avseende cirka 15 000 utvalda svenskar och deras familjer. Avslöjandet ledde till ytterst skarp kritik i medierna och fick ocksĂ„ politiska Ă„terverk- ningar.

Den Ă„r 1984 tillkallade Data- och offentlighetskommittĂ©n sökte fĂ„nga upp den utbredda oro för myndigheternas registerutnyttjande som fanns vid denna tid genom att i delbetĂ€nkandet Integritets- skyddet i informationssamhĂ€llet 3, GrundlagsfrĂ„gor (Ds Ju 1987:8) föreslĂ„ en ny regel i regeringsformens fri- och rĂ€ttighetskapitel av innebörd att varje medborgare skulle vara ”tillförsĂ€krad skydd mot registrering av uppgifter om honom med hjĂ€lp av automatisk data- behandling enligt bestĂ€mmelser som meddelas i lag”. Av delbetĂ€nk- andet framgĂ„r att kommittĂ©n var vĂ€l medveten om att ett sĂ„dant lagstadgat skydd redan fanns, frĂ€mst genom datalagen och sekre- tesslagen, och att det föreslagna stadgandet i regeringsformen dĂ€rför inte syftade till att stĂ€rka det materiella skyddet för den personliga integriteten utan i stĂ€llet borde ses som en markering av vilken vikt samhĂ€llet tillmĂ€tte sjĂ€lva frĂ„gan. Regeringen instĂ€mde i allt vĂ€sentligt i Data- och offentlighetskommittĂ©ns bedömningar. Föredragande statsrĂ„det anförde att regeringens utgĂ„ngspunkt var att ”ge grundlagsförankring Ă„t det skydd för medborgarna som redan finns genom vanlig lagstiftning och pĂ„ detta sĂ€tt befĂ€sta det rĂ„dande rĂ€ttslĂ€get”. Den reella innebörden var enligt förarbetena att riksdagen mĂ„ste vara aktiv genom att stifta och vidmakthĂ„lla en datalagstiftning (prop. 1987/88:57 s. 9 och 11).

190

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

Lagförslaget antogs av riksdagen och innebar att, med ikraft- trÀdande den 1 januari 1989, ett nytt andra stycke infördes i 2 kap. 3 § RF med följande lydelse.

Varje medborgare skall i den utstrÀckning som nÀrmare angives i lag skyddas mot att hans personliga integritet krÀnkes genom att uppgifter om honom registreras med hjÀlp av automatisk databehandling.

BestĂ€mmelsen kom att gĂ€lla oförĂ€ndrad fram till den 1 januari 2011. År 1994 infördes i regeringsformen (dĂ„varande 8 kap. 7 §) en

möjlighet för riksdagen att till regeringen eller den myndighet som regeringen bestÀmmer delegera rÀtten att meddela föreskrifter om skydd för personlig integritet vid registrering av uppgifter med hjÀlp av automatisk databehandling, varvid regeln i 2 kap. 3 § andra stycket inte ansÄgs hindra sÄdan delegation (prop. 1993/94:116 s. 15). I samband med införandet av personuppgiftslagen Àndrades delegationsbestÀmmelsen i 8 kap. RF. DÀremot gjordes alltsÄ inga Àndringar i 2 kap. 3 §.

Den nu gÀllande regleringen

VĂ„ren 2004 tillkallades en parlamentariskt sammansatt kommittĂ© – IntegritetsskyddskommittĂ©n – som bl.a. fick i uppgift att kartlĂ€gga och analysera sĂ„dan lagstiftning som rör den personliga integri- teten, övervĂ€ga om regeringsformens bestĂ€mmelse om skyddet för den personliga integriteten i dĂ„varande 2 kap. 3 § andra stycket RF borde Ă€ndras och i sĂ„ fall föreslĂ„ en ny grundlagsreglering.

I januari 2008 överlĂ€mnade IntegritetsskyddskommittĂ©n sitt slut- betĂ€nkande SOU 2008:3. I betĂ€nkandet uttalades bl.a. att kom- mittĂ©ns kartlĂ€ggning och analys hade visat att lagstiftaren inte lĂ€gger tillrĂ€cklig vikt vid integritetsskyddsaspekter nĂ€r ny lagstiftning arbetas fram. Även rent allmĂ€nt vĂ€rderades integritetsskyddet förhĂ„llandevis lĂ„gt i lagstiftningen. En bidragande orsak till detta fick anses vara att det i grundlagen inte fanns nĂ„gon rĂ€ttsligt verk- ande bestĂ€mmelse om medborgarnas rĂ€tt till skydd för personlig integritet som balanserar de övriga fri- och rĂ€ttigheter som med- borgarna Ă€r tillförsĂ€krade. Enligt kommittĂ©n var det sammanfatt- ningsvis tydligt att det pĂ„ grundlagsnivĂ„ behövde ges uttryck för en större respekt Ă€n för nĂ€rvarande för den enskildes rĂ€tt till personlig integritet. BestĂ€mmelser som ger ett utvidgat materiellt integritets-

191

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

skydd borde dÀrför införas i regeringsformens kapitel om grund- lÀggande fri- och rÀttigheter (SOU 2008:3 s. 255 f.).

Integritetsskyddskommittén föreslog att ett nytt andra stycke av följande lydelse skulle införas i 2 kap. 6 §:

Även i annat fall Ă€n som avses i första stycket Ă€r varje medborgare gentemot det allmĂ€nna skyddad mot intrĂ„ng, om det sker i hemlighet eller utan samtycke och i betydande mĂ„n innebĂ€r övervakning eller kartlĂ€ggning av den enskildes personliga förhĂ„llanden.

BetrÀffande den föreslagna bestÀmmelsens tillÀmpning pÄ hantering av personuppgifter i omfattande informationssamlingar gjorde kom- mittén följande uttalanden (a. a. s. 271).

Det allmÀnnas hantering av uppgifter om enskilds personliga förhÄll- anden sker inte sÀllan utan samtycke frÄn den enskilde och kan till och med ske i hemlighet. SÄdan hantering kan ha som uttalat syfte att kartlÀgga den enskildes personliga förhÄllanden. Som exempel pÄ en hantering som rör uppgifter om enskilda personer som bÄde sker i hemlighet och innebÀr en kartlÀggning av den enskildes personliga förhÄllanden av sÄdan omfattning att den bör omfattas av det nya grundlagsskyddet kan nÀmnas SÀkerhetspolisens hantering av person- uppgifter. Som ett annat exempel kan nÀmnas polisens personuppgifts- hantering i underrÀttelseverksamhet och under en brottsutredning.

[
]

Som exempel pÄ myndigheter eller myndighetsomrÄden som har informationssamlingar betrÀffande enskildas personliga förhÄllanden som kan sÀgas ha en sÄdan omfattning att de i praktiken innebÀr en kartlÀggning, och i hög utstrÀckning bestÄr av uppgifter som ansetts sÀrskilt skyddsvÀrda, kan nÀmnas Skatteverket, Kronofogdemyndig- heten, FörsÀkringskassan och socialtjÀnsten. En personuppgiftshante- ring som uteslutande sker av administrativa skÀl, vilken regelmÀssigt brukar omfattas av svag eller ingen sekretess, kan dÀremot inte anses ha ett sÄdant skyddsvÀrde att den bör omfattas av ett grundlagsskydd för den personliga integriteten.

NÀr det gÀller hantering av personuppgifter i de informationssamlingar som kommer att omfattas av det utvidgade grundlagsskyddet Àr det sjÀlvfallet sÄ att inte alla led i hanteringen Àr att betrakta som sÄdana intrÄng som behöver omfattas av de sÀrskilda förutsÀttningar som gÀller för att intrÄng i den grundlagsskyddade rÀttigheten skall vara tillÄtet. De frÄn integritetsskyddssynpunkt viktigaste momenten i hanteringen handlar om hur uppgifter om enskilda fÄr samlas in, Ànda- mÄlet med behandlingen och i vilken utstrÀckning uppgifter pÄ grund av uppgiftsskyldighet, som alltsÄ bryter sekretess som gÀller för

192

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

uppgifterna, skall lÀmnas ut till andra för samkörning med uppgifter i andra myndighetsregister eller av andra skÀl.

2010 Ärs Àndringar av regeringsformen

I prop. 2009/10:80 lade regeringen fram förslag till omfattande Ă€nd- ringar av regeringsformen som vĂ€sentligen byggde pĂ„ Grundlags- utredningens förslag. I samma lagstiftningsĂ€rende föreslog rege- ringen en ny bestĂ€mmelse i 2 kap. RF som vĂ€sentligen byggde pĂ„ IntegritetsskyddskommittĂ©ns förslag. Förslaget antogs av riksdagen och den nya bestĂ€mmelsen i 2 kap. 6 § andra stycket RF trĂ€dde – liksom övriga grundlagsĂ€ndringar – i kraft den 1 januari 2011.

Den nya bestĂ€mmelsen Ă€r utformad sĂ„ att den reglerar förhĂ„ll- andet mellan den enskilde och det allmĂ€nna och sĂ€gs utgöra en be- grĂ€nsning av statsmakternas normgivningsbefogenheter inom ramen för rĂ€ttighetsskyddet (prop. 2009/10:80 s. 176). Den Ă€r alltsĂ„ av- sedd att fĂ„ sin huvudsakliga innebörd genom de begrĂ€nsningar som gĂ€ller för riksdagen att inskrĂ€nka fri- och rĂ€ttigheter (20–22 §§). Det finns dĂ€remot inte nĂ„gra sĂ„dana sĂ€rskilda begrĂ€nsningsförutsĂ€ttningar som finns för bl.a. begrĂ€nsningar av yttrande- och informations- friheten (jfr 2 kap. 23 och 24 §§).

BestÀmmelsen innebÀr enligt sin ordalydelse att enskilda Àr skyddade mot ÄtgÀrder frÄn det allmÀnnas sida som innefattar be- tydande intrÄng i den personliga integriteten, om intrÄnget sker utan samtycke och innebÀr övervakning eller kartlÀggning av den enskildes personliga förhÄllanden. I motiven förs resonemang om hur dessa olika kriterier Àr avsedda att förstÄs (prop. 2009/10:80 s. 177 f.).

Uttrycket ”personliga förhĂ„llanden” avses ha samma innebörd som i tryckfrihetsförordningen och offentlighets- och sekretess- lagen (2009:400). Det innebĂ€r att regleringen kan komma att om- fatta vitt skilda slag av information som Ă€r knuten till den enskildes person, t.ex. uppgifter om namn och andra personliga identifika- tionsuppgifter, adress, familjeförhĂ„llanden, hĂ€lsa och vandel. Även fotografisk bild samt uppgifter som inte Ă€r direkt knutna till den enskildes privata sfĂ€r, t.ex. uppgift om anstĂ€llning, omfattas av ut- trycket. Liksom vid tillĂ€mpningen av offentlighets- och sekretess- lagstiftningen fĂ„r vid prövningen av uttryckets nĂ€rmare innebörd

193

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

vÀgledning hÀmtas frÄn vad som enligt normalt sprÄkbruk kan lÀggas i dess betydelse.

Vid behandlingen av uppgifter som rör den enskilde fĂ„r ett inte- gritetsintrĂ„ng normalt anses större om behandlingen sker utan den enskildes samtycke Ă€n om det sker efter dennes medgivande. Inne- börden av kravet pĂ„ samtycke bör enligt motiven bedömas pĂ„ samma sĂ€tt som motsvarande krav enligt bestĂ€mmelsen om förbud mot Ă„siktsregistrering i regeringsformen (2 kap. 3 §). Avgörande för om en Ă„tgĂ€rd ska anses innebĂ€ra övervakning eller kartlĂ€ggning Ă€r inte dess huvudsakliga syfte utan vilken effekt Ă„tgĂ€rden har. Vad som avses med övervakning respektive kartlĂ€ggning fĂ„r bedömas med utgĂ„ngspunkt frĂ„n vad som enligt normalt sprĂ„kbruk lĂ€ggs i dessa begrepp (prop. 2009/10:80 s. 250). BetrĂ€ffande ”kartlĂ€ggning” görs i motiven vidare följande uttalande (a. prop. s. 180).

En Ă„tgĂ€rd frĂ„n det allmĂ€nnas sida som vidtas primĂ€rt i syfte att ge myndigheterna underlag för beslutsfattande i enskilda fall, exempelvis insamling av uppgifter av visst slag för beslut om t.ex. beskattning eller liknande, kan – Ă€ven om avsikten inte Ă€r att kartlĂ€gga enskilda – i mĂ„nga fall anses innebĂ€ra kartlĂ€ggning av enskildas förhĂ„llanden. SĂ„ torde fallet vara i frĂ„ga om ett stort antal uppgiftssamlingar som det allmĂ€nna förfogar över. En mycket stor mĂ€ngd information som rör enskildas personliga förhĂ„llanden finns t.ex. lagrad i Skatteverkets, Tullverkets, FörsĂ€kringskassans och Kronofogdemyndighetens olika databaser. Även Statistiska centralbyrĂ„n och andra statistikansvariga myndigheter, t.ex. Socialstyrelsen och Brottsförebyggande rĂ„det, lagrar och bearbetar stora mĂ€ngder uppgifter om enskildas personliga förhĂ„llanden i sina databaser. Flera av dessa uppgiftssamlingar omfattar en stor andel av landets hela befolkning och flera av dem innehĂ„ller ocksĂ„ till viss del mycket integritetskĂ€nsliga uppgifter. Myndighets- specifika verksamhetsregister och databaser med information som Ă€r knuten till en myndighets Ă€rendehantering förekommer inom i stort sett all statlig och kommunal förvaltning. SĂ€rskilda föreskrifter som anger de nĂ€rmare förutsĂ€ttningarna för informationshanteringen finns för t.ex. socialtjĂ€nsten, studiestödsverksamheten, KriminalvĂ„rden och den brottsbekĂ€mpande verksamheten hos sĂ„vĂ€l polismyndigheterna, Tullverket och Ă„klagarmyndigheterna som Skatteverket och Kust- bevakningen samt hos domstolarna. I flertalet fall Ă€r uppgifterna till- gĂ€ngliga för myndigheterna pĂ„ sĂ„dant sĂ€tt att lagringen och behand- lingen av uppgifterna kan sĂ€gas innebĂ€ra att enskilda kartlĂ€ggs, Ă€ven om det huvudsakliga Ă€ndamĂ„let med behandlingen Ă€r ett helt annat. Det förekommer Ă€ven att uppgiftssamlingar inrĂ€ttas och utformas i syfte att fungera som mer utprĂ€glade personregister. Som exempel kan nĂ€mnas polisens belastningsregister. Registreringen av personuppgifter i registret kan sĂ€gas innebĂ€ra en kartlĂ€ggning av alla dem som har

194

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

dömts eller pÄ annat sÀtt lagförts för brott, Àven om registrets uttalade ÀndamÄl Àr att ge information Ät olika myndigheter om belastnings- uppgifter som behövs bl.a. för att utreda brott och bestÀmma straff samt vid lÀmplighets- och tillstÄndsprövning av skilda slag. PÄ liknande sÀtt förhÄller det sig med mÄnga andra register som anvÀnds i den brottsbekÀmpande verksamheten, t.ex. polisens misstankeregister, finger- avtrycks- och DNA-register m.m. I detta sammanhang kan Àven nÀm- nas de olika associationsrÀttsliga register som Bolagsverket ansvarar för, bl.a. aktiebolagsregistret, handelsregistret och föreningsregistret. En omfattande behandling av personuppgifter sker vidare inom t.ex. hÀlso- och sjukvÄrden.

Vid bedömning av vilka Ă„tgĂ€rder som kan anses utgöra ett ”betyd- ande intrĂ„ng” ska enligt motiven bĂ„de Ă„tgĂ€rdens omfattning och arten av det intrĂ„ng Ă„tgĂ€rden innebĂ€r beaktas. Även Ă„tgĂ€rdens Ă€nda- mĂ„l och andra omstĂ€ndigheter kan ha betydelse.

NÄgra exempel pÄ tillÀmpningen

Datalagringsdirektivet

I prop. 2010/11:46 lÀmnades förslag till genomförande av Europa- parlamentets och rÄdets direktiv 2006/24/EG om lagring av uppgifter som genererats eller behandlats i samband med tillhandahÄllande av allmÀnt tillgÀngliga elektroniska kommunikationstjÀnster eller all- mÀnna kommunikationsnÀt och om Àndring av direktiv 2002/58/EG. Direktivet syftade till att harmonisera medlemsstaternas regler om skyldigheter för leverantörer av allmÀnt tillgÀngliga elektroniska kommunikationstjÀnster eller allmÀnna kommunikationsnÀt att lagra trafik- och lokaliseringsuppgifter samt uppgifter som behövs för att identifiera en abonnent eller anvÀndare för att sÀkerstÀlla att uppgifterna finns tillgÀngliga för avslöjande, utredning och Ätal av allvarliga brott.

Direktivet föreslogs bli genomfört i svensk rÀtt genom regler intagna i lagen (2003:389) om elektronisk kommunikation, LEK. Lagringsskyldig skulle enligt 6 kap. 16 a § LEK den vara som be- driver anmÀlningspliktig verksamhet enligt 2 kap. 1 § samma lag. DÀrigenom omfattas leverantörer av allmÀnt tillgÀngliga kommu- nikationsnÀt.

I yttrande till justitieutskottet gjorde konstitutionsutskottet be- dömningen att det var frÄga om mycket omfattande informations-

195

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

samlingar som delvis avser integritetskÀnsliga uppgifter, nÀmligen om vem som kommunicerade med vem, nÀr det skedde, var de som kommunicerade befann sig och vilken typ av kommunikation som anvÀndes. Enligt utskottets mening sker ett integritetsintrÄng redan genom att uppgifterna lagras, Àven om merparten av de uppgifter som föreslÄs ska lagras troligen aldrig kommer att begÀras ut för brottsutredningar. I likhet med regeringen ansÄg dÀrför utskottet att lagringen av trafikuppgifter medför ett intrÄng i enskildas per- sonliga integritet. IntrÄnget mÄste, mot bakgrund av den mÀngd trafikuppgifter om en enskild som kan komma att lagras, anses vara betydande. Den lagring av trafikuppgifter som föreslogs i proposi- tionen omfattades dÀrför enligt utskottets mening av regerings- formens skydd i 2 kap. 6 § andra stycket för den personliga inte- griteten (2010/11:JuU14).

Det aktuella lagförslaget förklarades i mars 2011 vilande enligt 2 kap. 22 § RF. I mars 2012 avgav justitieutskottet i enlighet med dÄvarande 4 kap. 9 § RO ett nytt betÀnkande i Àrendet (2011/12:JuU28). Utskottet fann vid sin förnyade beredning av Àrendet inte skÀl att frÄngÄ den bedömning som gjordes i betÀnk- ande 2010/11:JuU14. LagÀndringarna trÀdde i kraft den 1 maj 2012 (SFS 2012:126 och 127).

Den 8 april 2014 meddelade EU-domstolen dom i de förenade mÄlen C-293/12 och C594/12, Digital Rights Ireland m.fl. I domen förklarade EU-domstolen datalagringsdirektivet ogiltigt. I Ds 2014:23 har gjorts en analys av vad domen fÄr för konsekvenser för svensk rÀtt.

Kustbevakningsdatalagen

I prop. 2011/12:45 lade regeringen fram förslag till en lag om be- handling av personuppgifter i Kustbevakningens verksamhet, en kustbevakningsdatalag. Syftet med den föreslagna lagen var att ge Kustbevakningen möjlighet att behandla personuppgifter pÄ ett effektivt och ÀndamÄlsenligt sÀtt i sin verksamhet och att skydda mÀnniskor mot att deras personliga integritet krÀnks vid sÄdan behandling. Den föreslagna lagen reglerar, med nÄgra fÄ undantag, all behandling av personuppgifter i Kustbevakningens operativa

196

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

verksamhet. Lagen ersatte förordningen (2003:188) om behandling av personuppgifter inom kustbevakningen.

Kustbevakningens verksamhet kan, nÄgot förenklat, delas in under de tvÄ huvudrubrikerna sjöövervakning och rÀddningstjÀnst. Kust- bevakningens uppgifter regleras primÀrt i förordningen (2007:853) med instruktion för Kustbevakningen, men Àven i de sÀrskilda lagar och förordningar som innehÄller bestÀmmelser om verksamheten samt i regleringsbrev och enskilda regeringsbeslut. NÀmnas kan t.ex. lagen (1982:395) om Kustbevakningens medverkan vid polisiÀr övervakning, lagen (2000:1225) om straff för smuggling, narkotika- strafflagen (1968:64), sjölagen (1994:1009), lagen (2003:778) om skydd mot olyckor och fartygssÀkerhetslagen (2003:364).

BetrÀffande behovet av en ny lagstiftning rörande Kustbevak- ningens personuppgiftsbehandling gjordes bl.a. följande uttalande (prop. 2011/12:45 s. 62).

Personuppgiftslagen gÀller generellt för all behandling av personupp- gifter, sÄvida det inte finns avvikande regler i lag eller förordning. I det lagstiftningsÀrende som föregick personuppgiftslagen uttalade rege- ringen att lagen i princip bara bör innehÄlla generella regler och att behovet av undantag och sÀrregler för mer speciella omrÄden fÄr till- godoses genom andra författningar (prop. 1997/98:44 s. 40 f.). SÄdan författningsreglering, frÀmst i form av s.k. registerlagar, har skett utifrÄn det principiella stÀllningstagandet att myndighetsregister med ett stort antal registrerade personer och ett integritetskÀnsligt innehÄll bör regleras i lag.

Sedan den 1 januari 2011 Àr enskilda skyddade gentemot det allmÀnna mot betydande intrÄng i den personliga integriteten, om det sker utan samtycke och innebÀr kartlÀggning eller övervakning av personliga förhÄllanden (2 kap. 6 § RF). InskrÀnkningar i detta skydd kan enbart ske i lag och bara för att tillgodose ÀndamÄl som Àr godtagbara i ett demokratiskt samhÀlle (2 kap. 20 och 21 §§ RF). UtgÄngspunkten för behovet av och villkoren för lagregleringen av behandling av person- uppgifter som utförs av myndigheter bör sÄledes numera tas i rege- ringsformens bestÀmmelser om integritetsskydd. Med hÀnsyn till omfattningen och arten av Kustbevakningens verksamhet, den ingrip- ande myndighetsutövning som ingÄr i uppgiften samt behovet av att kunna behandla personuppgifter Àven av kÀnsligare slag inom frÀmst den brottsbekÀmpande verksamheten anser regeringen att stora delar av Kustbevakningens personuppgiftsbehandling innefattar sÄdan inte- gritetskÀnslig informationshantering som enskilda Àr skyddade mot enligt 2 kap. 6 § andra stycket RF. Det finns dÀrför ett behov av en sÀrskild författningsreglering i lag av behandlingen av personuppgifter i Kustbevakningens verksamhet.

197

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

UppgiftsutlÀmnande till utlandet m.m.

I prop. 2010/11:129 lĂ€mnades förslag pĂ„ de lagĂ€ndringar som krĂ€vdes för att genomföra det automatiserade utbyte av DNA-profiler, fingeravtryck och fordonsuppgifter som föreskrivs i EU:s rĂ„ds- beslut om ett fördjupat grĂ€nsöverskridande samarbete, sĂ€rskilt för bekĂ€mpning av terrorism och annan grĂ€nsöverskridande brottslig- het, det s.k. PrĂŒmrĂ„dsbeslutet.

Medlemsstaterna ska enligt rÄdsbeslutet ge varandra tillgÄng till uppgifter i de nationella DNA-, fingeravtrycks- och fordonsregistren. Uppgifterna ska utbytas via nationella kontaktstÀllen som ska kunna göra automatiska sökningar i övriga medlemsstaters register.

Mot bakgrund av 2 kap. 6 § andra stycket RF gjordes i proposi- tionen den bedömningen att utlÀndska myndigheters direktÄtkomst till svenska register och svenska myndigheters direktÄtkomst till utlÀndska register bör regleras i lag (prop. 2010/11:129 s. 49 f).

BetrÀffande frÄgan om hur utbyte av uppgifter ur kriminal- register mellan EU:s medlemsstater i olika hÀnseenden förhÄller sig till kravet pÄ lagform enligt 2 kap. 6 § andra stycket RF, se prop. 2011/12:163 s. 26 f.

7.3.2VÄra övervÀganden

Bedömning: Det torde höra till undantagen att en behandling av personuppgifter sedd för sig kan anses utgöra ett ingrepp i enskildas personliga förhÄllanden och dÀrför krÀver stöd i lag enligt 8 kap. 2 § första stycket 2 RF för att vara tillÄten. FrÄn normgivningssynpunkt saknas det dÀrför som huvudregel hinder mot att bestÀmmelser som avviker frÄn eller kompletterar inne- hÄllet i den generella lagen i form av t.ex. myndighetsspecifika föreskrifter om sökbegrÀnsningar, direktÄtkomst, behandling av kÀnsliga personuppgifter m.m. ges i förordningsform.

I den mÄn sÄdana myndighetsspecifika föreskrifter av nÄgot skÀl ÀndÄ bedöms utgöra ingrepp i enskilds personliga förhÄllan- den och dÀrför krÀver lagform kan de tas in i bilaga till den generella lagen eller i annan lag.

Bortsett frÄn de brottsbekÀmpande myndigheterna torde det bara vara i rena undantagsfall som behandling av personuppgifter

198

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

hos myndigheter kan anses innehÄlla nÄgra sÄdana sÀrskilda moment som Àr av det slaget att behandlingen mÄste ha stöd i en sÄdan lag som endast fÄr beslutas enligt reglerna i 2 kap. RF.

Den nya grundlagsbestÀmmelsen med ett kompletterande skydd för den personliga integriteten i 2 kap. 6 § andra stycket RF om- fattar ett skydd mot betydande intrÄng. En frÄga i detta samman- hang Àr dÀrför vad som över huvud taget Àr att betrakta som in- trÄng i den personliga integriteten nÀr det gÀller automatiserad behandling av personuppgifter. Den frÄgan har inte behandlats nÀr- mare i förarbetena till bestÀmmelsen. BestÀmmelsen tar inte heller sikte specifikt pÄ sÄdan behandling, utan i allmÀn mening anvÀnd- ning av information som rör vars och ens personliga förhÄllanden. I förarbetena anförs att grundlagsbestÀmmelsen Àr tillÀmplig nÀr det Àr frÄgan om ett betydande ingrepp i den enskildes privata sfÀr (prop. 2009/10:80 s. 250). Vi har alltsÄ anledning att inledningsvis stÀlla oss frÄgan nÀr en automatiserad behandling alls kan utgöra ett ingrepp i den enskildes privata sfÀr. Först dÀrefter kan stÀllning tas till nÀr en behandling av personuppgifter ocksÄ Àr att anse som ett betydande ingrepp.

UtgÄngspunkten i flera av de internationella konventioner och andra dokument som Sverige har förbundit sig att följa pÄ data- skyddets omrÄde Àr att den enskildes rÀtt till sin personliga inte- gritet kan behöva skyddas i förhÄllande till principen om ett fritt flöde av information, oberoende av grÀnser, som ocksÄ finns in- skriven i mÄnga internationella överenskommelser om fri- och rÀttig- heter. SÄ Àr exempelvis fallet med EuroparÄdets konvention om skydd för enskilda vid automatisk databehandling (CETS 108) och dataskyddsdirektivet.

För svenskt vidkommande Ă€r utgĂ„ngspunkten i normgivnings- hĂ€nseende – i vart fall sĂ„vitt avser myndigheter under regeringen – att det förhĂ„llandet att det allmĂ€nna registrerar personuppgifter om enskilda inte innebĂ€r nĂ„gra skyldigheter för den enskilde och inte heller i övrigt avser ingrepp i enskildas personliga förhĂ„llanden i den mening som avses i 8 kap. 2 § första stycket 2 RF. BestĂ€m- melser om behandling av personuppgifter Ă€r i stĂ€llet i princip att anse som bestĂ€mmelser som införs för att skydda den enskilde. Registerförfattningar som reglerar behandling av personuppgifter hos de statliga myndigheter som lyder under regeringen anses

199

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

dÀrför i princip kunna ha form av förordning enligt 8 kap. 7 § första stycket 2, dvs. de hör till regeringens primÀromrÄde.

Föreskrifter om behandling av personuppgifter anses alltsĂ„ i princip ha till effekt att skydda den enskilde frĂ„n en annars fri anvĂ€ndning av uppgifterna. FrĂ„gan om nĂ€r en automatiserad be- handling av personuppgifter kan utgöra ett intrĂ„ng i den enskildes personliga integritet kan emellertid inte besvaras sĂ„ enkelt som att sĂ„ Ă€r fallet om behandlingen strider mot meddelade dataskydds- bestĂ€mmelser. Även bestĂ€mmelser som tillĂ„ter en viss behandling kan i princip innebĂ€ra ett intrĂ„ng i den enskildes personliga inte- gritet. Det hör samman med att varken vars och ens rĂ€tt till respekt för sitt privat- och familjeliv enligt artikel 8 i Europakonventionen eller den mer begrĂ€nsade rĂ€tten till grundlagsskydd för den per- sonliga integriteten i 2 kap. RF utgör nĂ„gra absoluta rĂ€ttigheter. De Ă€r i stĂ€llet att betrakta som s.k. relativa rĂ€ttigheter, eftersom de kan inskrĂ€nkas i de fall och pĂ„ det sĂ€tt som anges i respektive regelverk. Man mĂ„ste alltsĂ„ skilja pĂ„ tillĂ„tna och otillĂ„tna intrĂ„ng i den en- skildes personliga integritet.

Av Europadomstolens praxis rörande artikel 8 kan lÀsas ut att behandling av personuppgifter som Àr av kÀnslig art i mÄnga fall kan anses beröra rÀtten till respekt för privatlivet. Beroende pÄ omstÀndigheterna kan artikeln anses stÀlla krav pÄ behandlingen av sÄdana uppgifter i tre avseenden; dels i frÄga om det berÀttigade i att alls registrera dem, dels i frÄga om rÀtt för den enskilde att sjÀlv fÄ ta del av uppgifterna och dels slutligen i frÄga om skydd mot att andra fÄr tillgÄng till uppgifterna (SOU 2008:3 s. 78 f.). I sina avgör- anden har domstolen först tagit stÀllning till om behandlingen av personuppgifter i sig har utgjort ett intrÄng i den enskildes privat- liv. Om ett intrÄng föreligger, har domstolen dÀrefter bedömt om intrÄnget har haft ett legitimt intresse och i övrigt uppfyllt förut- sÀttningarna för att intrÄnget ska anses förenligt med konventio- nen. Först om det har varit frÄgan om ett intrÄng som inte upp- fyller konventionens krav har intrÄnget varit att anse som ett brott mot konventionen, varmed den enskilde har rÀtt till kompensation för krÀnkningen (se t.ex. mÄlet Segerstedt-Wiberg m.fl. mot Sverige, dom den 6 juni 2006).

Europakonventionen utgör sedan Är 1995 svensk lag. RÀttigheterna i konventionen har vidare bekrÀftats i EU:s rÀttighetsstadga, som gjorts bindande för medlemsstaterna genom att en hÀnvisning till

200

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

stadgan har införts i artikel 6.1 i EU-fördraget. I rÀttighetsstadgan anges i artikel 7 att var och en har rÀtt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer. Vidare före- skrivs i artikel 8 att var och en har rÀtt till skydd för de person- uppgifter som rör honom eller henne. Dessa uppgifter ska behand- las lagenligt för bestÀmda ÀndamÄl och pÄ grundval av den berörda personens samtycke eller nÄgon annan legitim eller lagenlig grund. Var och en har rÀtt att fÄ tillgÄng till insamlade uppgifter som rör honom eller henne och att fÄ rÀttelse av dem. I artikeln anges ocksÄ att en oberoende tillsynsmyndighet ska se till att dessa regler efter- levs.

Sett i perspektivet av den enskildes numera lagstadgade rĂ€tt till skydd för sitt privatliv i samband med behandling av personupp- gifter kan en bestĂ€mmelse som exempelvis tillĂ„ter det allmĂ€nna att utan samtycke frĂ„n den enskilde behandla kĂ€nsliga personuppgifter utgöra ett intrĂ„ng i den enskildes personliga integritet. En sĂ„dan bestĂ€mmelse Ă€r alltsĂ„ inte nĂ„gon skyddsbestĂ€mmelse, utan skyddet i det fallet ligger i rĂ€ttighetsbestĂ€mmelsen. En helt annan sak Ă€r att det Ă€ndĂ„ kan vara frĂ„gan om ett tillĂ„tet intrĂ„ng, om det uppfyller Europakonventionens krav pĂ„ legitimitet och proportionalitet. Samma resonemang torde exempelvis kunna föras i frĂ„ga om dataskydds- direktivets möjlighet för medlemsstaterna att besluta om undantag frĂ„n förbudet mot att utan samtycke behandla kĂ€nsliga personupp- gifter om det finns ett viktigt allmĂ€nt intresse. Om ett undantag beslutas, torde det alltsĂ„ i och för sig utgöra ett intrĂ„ng i den enskildes rĂ€tt till en privat sfĂ€r, men det kan vara ett tillĂ„tet intrĂ„ng. I detta fall Ă€r det alltsĂ„ bestĂ€mmelsen i direktivet – införlivad i den nationella lagstiftningen – som utgör skyddsbestĂ€mmelsen, medan den bestĂ€mmelse som medger ett undantag med hĂ€nsyn till ett viktigt allmĂ€nt intresse Ă€r att se som ett intrĂ„ng i den enskildes rĂ€tt.

En föreskrift som tillÄter ett intrÄng i den enskildes rÀtt till per- sonlig integritet, exempelvis genom att kÀnsliga personuppgifter fÄr behandlas utan samtycke, Àr rimligen ocksÄ att se som ett ingrepp i enskilds personliga förhÄllanden. Det följer dÀrmed av 8 kap. 2 § första stycket 2 RF att en sÄdan föreskrift ska ha form av lag eller i vart fall stöd av lag (jfr 8 kap. 3 § RF).

NÀr registerlagar beslutas har det i allmÀnhet inte diskuterats i förarbetena huruvida lagnivÄn har betingats av att regleringen inte bara innehÄller renodlade skyddsbestÀmmelser, som i och för sig

201

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

skulle kunna meddelas i form av en förordning, utan för att den ocksĂ„ innehĂ„ller bestĂ€mmelser som tillĂ„ter ett ingrepp i den enskil- des personliga förhĂ„llanden. Vanligt Ă€r i stĂ€llet att den ovan redo- visade motivledes uttalade ambitionen frĂ„n tidigt 1990-tal Ă„beropas, som innebĂ€r att myndighetsregister med ett stort antal registrerade och ett sĂ€rskilt kĂ€nsligt innehĂ„ll ska regleras i lag. Denna uttalade ambition har med Ă„ren kommit att appliceras inte bara pĂ„ förandet av regelrĂ€tta register, utan i vissa fall ocksĂ„ pĂ„ myndigheters per- sonuppgiftsbehandling som sĂ„dan. Om behandlingen t.ex. har innefattat stora mĂ€ngder uppgifter eller sĂ€rskilt kĂ€nsliga uppgifter har det ofta ansetts föreligga ett behov av lagstöd Ă€ven utan nĂ„gon koppling till företeelsen ”register”. NĂ„got klart uttalande om huru- vida det finns moment i författningen som innebĂ€r att det enligt 8 kap. RF krĂ€vs lagstöd eller om det snarare Ă€r frĂ„gan om en poli- tisk ambition att skyddsregler i dessa fall bör finnas pĂ„ denna nivĂ„ har sĂ„ledes i allmĂ€nhet inte lĂ€mnats. Efter personuppgiftslagens införande har det inte heller förts nĂ„gra resonemang om huruvida den lagen skulle kunna anses utgöra ett tillrĂ€ckligt lagstöd.

Som exempel pÄ de resonemang i normgivningsfrÄgan som brukar föras i lagstiftningsÀrenden om nya registerförfattningar kan nÀmnas att LagrÄdet i samband med införandet av registerförfatt- ningar för Skatteverket, Kronofogdemyndigheten och Tullverket uttalade att svensk rÀtt i och för sig inte fordrar att föreskrifter av det slag som fanns i de föreslagna lagarna ges form av lag. Det medförde att de normgivningsbemyndiganden som kunde finnas i förslagen i princip var onödiga (prop. 2000/01:33 s. 345). Rege- ringen kommenterade inte LagrÄdets uttalande pÄ annat sÀtt Àn att bestÀmmelser i de olika lagarna om att regeringen meddelar nÀr- mare föreskrifter hade utformats i enlighet med LagrÄdets syn- punkter (se t.ex. a. prop. s. 202). Det innebÀr emellertid att rege- ringen i och för sig fÄr anses ha instÀmt i bedömningen att bestÀm- melserna inte till nÄgon del omfattades av ett krav enligt 8 kap. RF pÄ att vÀlja lagformen för de aktuella författningarna, men att den formen ÀndÄ valdes (jfr a. prop. s. 121). NÀr nya registerförfatt- ningar införs handlar resonemangen kring normnivÄ ocksÄ vanligt- vis om vad författningen som sÄdan anses krÀva, i stÀllet för vilka enskilda föreskrifter som eventuellt ska meddelas i form av lag.

Att resonemangen om normnivÄ för registerförfattningar har en politisk snarare Àn en rÀttslig prÀgel torde ha sin bakgrund i att de

202

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

första uttalandena om denna politiska ambition gjordes vid en tid dÄ skyddet för den enskildes integritet hade fÄtt en ökad aktualitet genom en allmÀn debatt dÀr myndigheternas anvÀndning av person- uppgifter i vissa register kritiserades. DÄ fanns emellertid Ànnu inte nÄgon rÀttsligt bindande regel som innebar ett allmÀnt skydd för personlig integritet i svensk lagstiftning, eftersom Europakonven- tionen Ànnu inte var inkorporerad. Det som fanns i form av en generell regel var mÄlsÀttningsstadgandet i 1 kap. 2 § fjÀrde stycket RF som föreskriver att det allmÀnna ska verka för att demokratins idéer blir vÀgledande inom samhÀllets alla omrÄden samt vÀrna den enskildes privatliv och familjeliv.

Den nya bestĂ€mmelsen i 2 kap. 6 § andra stycket RF om ett generellt, om Ă€n begrĂ€nsat, skydd för den personliga integriteten syftar alltsĂ„ inte till att ange vilka föreskrifter om exempelvis be- handling av personuppgifter som ska ha form av lag i stĂ€llet för förordning. Snarare torde bestĂ€mmelsen, som vi ser det, sĂ„vitt avser behandling av personuppgifter primĂ€rt ha funktionen att bland sĂ„dana intrĂ„ng som omfattas av lagkravet enligt 8 kap. 2 § första stycket 2 RF skilja ut de intrĂ„ng som Ă€r sĂ„ kvalificerade att de ska omfattas av de sĂ€rskilda begrĂ€nsningar som enligt 2 kap. 20–22 §§ gĂ€ller för riksdagens möjligheter att besluta om en rĂ€ttighets- inskrĂ€nkande lag. Samtidigt följer det av regleringen rörande ikraft- trĂ€dandet av 2 kap. 6 andra stycket RF – Ă€ldre föreskrifter som ger stöd för Ă„tgĂ€rder som innebĂ€r betydande intrĂ„ng i den personliga integriteten behĂ„ller under en övergĂ„ngsperiod sin giltighet Ă€ven om föreskrifterna inte uppfyller regeringsformens krav pĂ„ lagform

– att lagstiftaren har utgĂ„tt frĂ„n att det kan finnas regler som omfattas av bestĂ€mmelsen utan att för den skull ocksĂ„ omfattas av nĂ„got lagkrav enligt 8 kap. RF.

UtgÄngspunkten Àr emellertid att integritetsintressen som faller utanför grundlagsbestÀmmelsens tillÀmpningsomrÄde, exempelvis vid behandling av personuppgifter, alltsÄ inte behöver sakna skydd utan att dÀr ÀndÄ kan gÀlla ett krav pÄ att ett intrÄng tillÄts enbart i form av lag (jfr prop. 2009/10:80 s. 177). Utrymmet för ÄtgÀrder som innebÀr begrÀnsningar i den enskildes rÀtt till respekt för privatlivet begrÀnsas vidare genom de krav som följer av Europakonventionen.

203

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

Vad fÄr den höga detaljeringsgraden pÄ lagnivÄ för konsekvenser?

Det kan visserligen hÀvdas att den uttalade ambitionen att myndig- hetsregister med ett stort antal registrerade och ett sÀrskilt kÀnsligt innehÄll ska regleras i lag i principiell mening har varit en god sak frÄn integritetsskyddssynpunkt. Emellertid torde det enbart vara ett fÄtal föreskrifter om myndigheters behandling av personupp- gifter som i rÀttslig mening krÀver lagstöd. I stÀllet torde merparten kunna meddelas i form av förordning. Vi Äterkommer till denna frÄga nedan.

Ambitionen att ha samtliga de föreskrifter som behövs för ett visst verksamhetsomrÄde eller en viss myndighets behandling av personuppgifter i en sÀrskild författning pÄ lagnivÄ har emellertid medfört uppenbara olÀgenheter för utvecklingen av en effektiv för- valtning eftersom det har inneburit en onödigt hög detaljeringsgrad pÄ lagnivÄ. Reformarbeten som syftar till att effektivisera myndig- heternas hantering av sina Àrenden, att ge en förbÀttrad service nÀr det gÀller enskildas insyn allmÀnt och i egna Àrenden och att sam- verka med myndigheter och andra aktörer, och som inte i nÄgot avseende innebÀr ett intrÄng i de registrerades integritet, kompli- ceras av eller riskerar att inte alls bli av pÄ grund av att den aktuella registerlagen i alltför hög grad detaljstyr behandlingen av person- uppgifter.

Att bedöma vilken normnivÄ som krÀvs för föreskrifter om behandling av personuppgifter utifrÄn den uttalade politiska ambi- tionen kan, som redan pÄpekats, i principiell mening vara bra för skyddet av enskildas personliga integritet. Den omstÀndigheten att resonemang om normnivÄ enbart har denna utgÄngspunkt, och att de dessutom snarare handlar om att ha en uppfattning om författ- ningen som sÄdan Àn om de enskilda frÄgor den reglerar, riskerar enligt vÄr mening emellertid att leda till att de integritetsfrÄgor som skulle behöva bli belysta frÄn ett rÀttighetsperspektiv inte fÄr den uppmÀrksamhet de förtjÀnar. Det leder i sin tur till att det blir Àn svÄrare att identifiera i vilka fall det sÀrskilda skyddet i 2 kap. 6 § andra stycket RF verkligen ska tillÀmpas.

Den uttalade ambitionen att vissa registerförfattningar ska ha form av lag kan alltsÄ paradoxalt nog leda till en sÀmre rÀttslig ana-

204

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

lys av vilka intrÄng i den enskildes personliga integritet som en viss behandling av personuppgifter faktiskt kan innebÀra.

Finns det nÄgra typfall dÄ en behandling av personuppgifter kan anses utgöra ett intrÄng och dÀrför krÀva stöd i lag?

AllmÀnt

Den omstÀndigheten att personuppgifter behandlas pÄ ett sÀtt som omfattas av dataskyddsdirektivet kan inte i sig anses utgöra ett intrÄng. Det Àr det sammanhang dÀr behandlingen sker som avgör om behandlingen sedd för sig kan anses utgöra ett intrÄng i den enskildes rÀtt till en privat sfÀr. Föreskrifter om myndigheters behandling av personuppgifter reglerar i allmÀnhet inte vad en myndighet ska eller tillÄts göra i sin verksamhet. Detta regleras i andra regelverk som föreskriver exempelvis vilka uppgifter och vilka befogenheter myndigheten har, vilka personuppgifter och andra uppgifter som ska samlas in och frÄn vem samt vilka uppgifter som ska lÀmnas till andra utanför myndighetens verksamhet. Före- skrifter om behandling av personuppgifter handlar i stÀllet i allmÀn- het om vilka krav som ska stÀllas pÄ sÄdan behandling nÀr myndig- heten utför sina uppgifter. I den mÄn det allmÀnna tillÄts att göra intrÄng i enskildas privata sfÀr för att en myndighet ska kunna utföra en viss uppgift, exempelvis genom att enskilda ÄlÀggs en skyldighet att lÀmna uppgifter om personliga förhÄllanden till myn- digheten, regleras detta alltsÄ i allmÀnhet i nÄgot annat regelverk Àn i en renodlad registerförfattning. Det innebÀr att föreskrifter om hur behandling av personuppgifter ska gÄ till i allmÀnhet kan med- delas i form av förordning genom regeringens egen rÀtt att besluta föreskrifter enligt 8 kap. 7 § RF, dvs. utan att nÄgot bemyndigande om detta i lag krÀvs.

Det torde alltsÄ höra till undantagen att en behandling av per- sonuppgifter sedd för sig kan anses utgöra ett ingrepp i enskildas personliga förhÄllanden och dÀrför krÀver stöd i lag enligt 8 kap. 2 § första stycket 2 RF för att behandlingen ska vara tillÄten.

Vad som nu sagts gÀller normalt ocksÄ i de fall en behandling fÄr ske utan samtycke frÄn den enskilde. Det finns emellertid nÄgra typsituationer dÀr det kan finnas anledning att sÀrskilt övervÀga om

205

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

det behövs stöd i lag för den avsedda behandlingen av personupp- gifter.

Som redan framgÄtt Àr behandling av kÀnsliga personuppgifter utan samtycke frÄn den enskilde ett omrÄde som enligt Europa- domstolens praxis kan aktualisera frÄgor om intrÄng i den enskildes rÀtt till en privat sfÀr. BetrÀffande sÄdana uppgifter krÀvs dÀrför sÀrskilt noggranna övervÀganden i frÄgan om det behövs ett ut- tryckligt stöd i lag för den avsedda behandlingen. Det kan vidare konstateras att uppgiftsutbyte genom direktÄtkomst, som alltsÄ normalt medför krav pÄ en sekretessbrytande regel som möjliggör Ätkomsten, vanligtvis hÀmtar sitt stöd i en författning som reglerar behandling av personuppgifter. BestÀmmelser som uttryckligen medger utökade befogenheter att sammanstÀlla kÀnsliga person- uppgifter eller uppgifter om brottslighet hÀmtar ocksÄ vanligtvis sitt stöd i en s.k. registerförfattning. Nedan behandlas mer utförligt dessa typsituationer med avseende pÄ nÀr det kan vara frÄgan om ett intrÄng i den enskildes personliga integritet.

Personuppgifter med ett kÀnsligt innehÄll

Behandling av kÀnsliga personuppgifter och Àven uppgifter om brottslighet kan i mÄnga fall anses beröra rÀtten till respekt för privatlivet enligt artikel 8 i Europakonventionen. Av dataskydds- direktivet följer att behandling av kÀnsliga personuppgifter i princip Àr förbjuden, om inte den enskilde har samtyckt till behandlingen. Denna huvudregel gÀller Àven myndigheter. I direktivet rÀknas upp vissa undantagsfall dÄ en behandling utan samtycke emellertid kan vara tillÄten. Vidare ger direktivet medlemsstaterna möjlighet att i sin nationella lagstiftning eller genom beslut av tillsynsmyndigheten besluta om ytterligare undantag med hÀnsyn till ett viktigt allmÀnt intresse.

I 20 § PuL har det tagits in ett bemyndigande för regeringen eller den myndighet som regeringen bestÀmmer att meddela undan- tag frÄn förbudet att behandla kÀnsliga personuppgifter om det behövs med hÀnsyn till ett viktigt allmÀnt intresse. Det kan konsta- teras att bestÀmmelsen utgör ett sÄdant bemyndigande i lag som krÀvs enligt 8 kap. 3 och 10 §§ RF i den mÄn den avsedda behand-

206

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

lingen av kÀnsliga personuppgifter utgör ett sÄdant ingrepp i en- skilds personliga förhÄllanden som avses i 2 § första stycket 2.

Genom 20 § PuL Àr det alltsÄ möjligt att meddela bestÀmmelser som tillÄter en myndighet att behandla kÀnsliga personuppgifter med hÀnsyn till ett viktigt allmÀnt intresse i form av förordning.

Som kommer att framgÄ i det följande föreslÄr vi att det i den generella lagen ges ett generellt stöd för myndigheter att behandla kÀnsliga personuppgifter som motiveras med att det behövs med hÀnsyn till ett viktigt allmÀnt intresse. Det kommer alltsÄ att finnas ett uttryckligt stöd för alla myndigheter att i viss omfattning behandla kÀnsliga personuppgifter utan samtycke frÄn den enskilde. BestÀmmelsen kompletteras med ett bemyndigande för regeringen eller den myndighet som regeringen bestÀmmer att meddela före- skrifter om ytterligare undantag i de fall det behövs för en viss myndighet eller en viss sektorsvis verksamhet. Det kan dÀrför hÀr finnas anledning att övervÀga i vilken utstrÀckning en sÄdan bestÀm- melse faktiskt innebÀr ett sÄdant intrÄng i enskilds personliga för- hÄllanden som avses i 8 kap. 2 § första stycket 2 RF.

Det kan dÄ inledningsvis konstateras att det inte kan anses givet att en behandling av kÀnsliga personuppgifter som tillÄts med hÀn- syn till ett viktigt allmÀnt intresse utgör ett intrÄng i den enskildes personliga integritet. I vilken mÄn sÄ Àr fallet fÄr bedömas utifrÄn det sammanhang dÀr föreskriften ges. Om myndighetens verksam- het i övrigt Àr reglerad sÄ att det redan finns bestÀmmelser som förutsÀtter eller tillÄter att myndigheten anvÀnder sig av kÀnsliga personuppgifter för att den ska kunna utföra sina uppgifter, kan det inte behövas nÄgot ytterligare stöd för det genom en bestÀm- melse i lag som tillÄter att uppgifterna hanteras genom automati- serad behandling, dvs. elektroniskt. Exempelvis torde den behand- ling av kÀnsliga personuppgifter som sker hos FörsÀkringskassan vara en nödvÀndig följd av den verksamhet som myndigheten genom andra regelverk Àr Älagd att utföra. Den omstÀndigheten att uppgifterna hanteras automatiserat torde alltsÄ inte i sig innebÀra ett ingrepp i enskilds personliga förhÄllanden. Det förhÄllandet att FörsÀkringskassans verksamhet innebÀr att myndigheten samlar in och bevarar kÀnsliga personuppgifter om en stor del av befolk- ningen torde emellertid innebÀra att sÀrskilda övervÀganden be- höver göras betrÀffande ingrepp i enskilds personliga förhÄllanden om det exempelvis skulle bli aktuellt att ge en annan myndighet,

207

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

som inte tidigare har haft befogenhet att sjÀlv samla in den typen av uppgifter, en omfattande tillgÄng till FörsÀkringskassans informa- tionssamlingar.

Till skillnad frÄn det som vi betecknar som informationshante- ringsförfattningar innehÄller regelrÀtta registerförfattningar ofta en bestÀmmelse som föreskriver att registret i frÄga ska föras. Stödet att fÄ behandla personuppgifter i registret ges alltsÄ i samma för- fattning som registret har inrÀttats genom. Om registret innehÄller kÀnsliga personuppgifter kan dÀrmed de föreskrifter som innebÀr stöd för att föra registret i sig utgöra ett ingrepp i enskilds per- sonliga förhÄllanden. Ett exempel pÄ ett sÄdant register med ett kÀnsligt innehÄll Àr belastningsregistret. BestÀmmelserna i lagen (1998:620) om belastningsregister som reglerar registrets ÀndamÄl, innehÄll och vilka som har rÀtt att fÄ uppgifter frÄn registret torde vara att anse som ingrepp i enskilds personliga förhÄllanden som krÀver stöd i lag enligt 8 kap. 2 § första stycket 2 RF, medan bestÀmmelserna om gallring, tystnadsplikt, rÀtt till skadestÄnd m.m. syftar till att skydda den enskilde.

Andra myndigheter Àn den som har till uppgift att föra belast- ningsregistret torde sÀllan ha nÄgot behov av att pÄ motsvarande sÀtt samla uppgifter om brottslighet. Enligt dataskyddsdirektivet Àr det, till skillnad frÄn vad som gÀller i frÄga om kÀnsliga person- uppgifter, inte förbjudet för myndigheter att behandla personupp- gifter som rör lagövertrÀdelser. Av de grundlÀggande kraven som ska vara uppfyllda vid behandling av personuppgifter torde det emellertid i allmÀnhet följa begrÀnsningar i myndigheters möjlig- heter att i den omfattning som Àr syftet med belastningsregistret sammanstÀlla den typen av uppgifter. Om nÄgon annan myndighet Àn den som för belastningsregistret ska tillÄtas att i en större omfatt- ning sammanstÀlla uppgifter om brottslighet torde det alltsÄ behöva övervÀgas om det innebÀr ett ingrepp i enskilds personliga förhÄll- anden som i sÄ fall krÀver stöd i lag. Av dataskyddsdirektivet följer vidare att det Àr förbjudet för medlemsstaterna att tillÄta att ett fullstÀndigt register över brottmÄlsdomar förs under kontroll av nÄgon annan Àn en myndighet (artikel 8.5).

208

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

DirektÄtkomst

BestÀmmelser som medger direktÄtkomst till kÀnsliga personupp- gifter förutsÀtter i allmÀnhet att det finns en sekretessbrytande bestÀmmelse som medger att uppgifterna utan nÄgon ytterligare prövning kan lÀmnas ut till den som medgetts en sÄdan Ätkomst. En sÄdan sekretessbrytande bestÀmmelse kan dÀrför beroende pÄ omstÀndigheterna i det enskilda fallet utgöra ett ingrepp i den en- skildes personliga förhÄllanden, eftersom den innebÀr att den sekre- tess som normalt ska skydda uppgifterna inte lÀngre ska gÀlla i för- hÄllande till en viss aktör som befinner sig utanför myndighetens verksamhet.

En direktĂ„tkomst medges ofta för att effektivisera ett uppgifts- utbyte mellan myndigheter som redan Ă€ger rum. Om det tidigare uppgiftsutbytet sker med stöd av en sekretessbrytande bestĂ€m- melse som medger att uppgifter lĂ€mnas ut utan hinder av sekretess, torde den omstĂ€ndigheten att uppgiftsutbytet nu ska ske genom direktĂ„tkomst inte i sig innebĂ€ra att det sker nĂ„got ingrepp i enskilds personliga förhĂ„llanden. Att direktĂ„tkomst fĂ„r anses vara en mer ingripande form av uppgiftsutbyte Ă€n annat elektroniskt utlĂ€mnande hĂ€nger samman med att den vĂ€cker mer allmĂ€nna frĂ„gor om verksamhetsansvar och rĂ€ttsĂ€kerhet samt – beroende pĂ„ omstĂ€ndig- heterna – i ett mer övergripande perspektiv kan sĂ€gas pĂ„verka den enskildes rĂ€tt till skydd för sina personuppgifter dĂ€rför att sĂ€rskilda frĂ„gor om informationssĂ€kerhet aktualiseras (se vidare kapitel 5).

Ett uppgiftsutbyte av sekretessreglerade uppgifter som sker med stöd av den s.k. generalklausulen i 10 kap. 27 OSL, dvs. efter en avvÀgning mellan intresset av sekretess och den mottagande myn- dighetens behov av uppgifter, torde ofta inte kunna effektiviseras genom direktÄtkomst utan att en ny mer definitivt sekretessbryt- ande bestÀmmelse införs som möjliggör sÄdan Ätkomst. Eftersom en sÄdan sekretessbrytande bestÀmmelse innebÀr att nÄgon intresse- avvÀgning i det enskilda fallet inte lÀngre ska göras, kan det upp- fattas innebÀra en försvagning av sekretesskyddet vilket i sin tur kan utgöra ett ingrepp i enskilds personliga förhÄllanden. Ett upp- giftsutbyte mellan myndigheter med stöd av 10 kap. 27 § OSL kan emellertid ofta vara av sÄdant slag att det redan finns författnings- stöd för det genom en bestÀmmelse i lag eller förordning som med- ger att uppgifter rutinmÀssigt fÄr lÀmnas ut. Utbytet kan ocksÄ ha

209

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

sÄdan karaktÀr att uppgifter efter en intresseavvÀgning i praktiken alltid kan lÀmnas ut. Den omstÀndigheten att en ny sekretess- brytande bestÀmmelse behöver införas för att möjliggöra att utbytet effektiviseras genom direktÄtkomst behöver i ett sÄdant fall inte heller innebÀra ett ingrepp i enskildas personliga förhÄllanden.

Den omstÀndigheten att direktÄtkomst medges torde alltsÄ mÄnga gÄnger inte i sig innebÀra att det sker nÄgot ingrepp i enskilds personliga förhÄllanden i den mening som avses i 8 kap. 2 § första stycket 2 RF. Föreskrifter om att direktÄtkomst fÄr medges torde dÀrför som huvudregel kunna ges i förordning. Om direkt- Ätkomsten emellertid förutsÀtter att enskildas sekretesskydd i reali- teten försvagas pÄ sÄ sÀtt att kÀnsliga personuppgifter kan lÀmnas ut i betydligt större omfattning Àn vad som annars hade varit möjligt kan den emellertid vara att anse som ett sÄdant ingrepp i enskildas personliga förhÄllanden som förutsÀtter stöd i lag.

Av betydelse för om en direktÄtkomst kan anses utgöra ett ingrepp i enskilds personliga förhÄllanden eller inte Àr naturligtvis ocksÄ vilket förhÄllande de myndigheter har till varandra mellan vilket uppgiftsutbytet sker. Om myndigheternas verksamheter har nÀra anknytning till varandra och förutsÀtter att ett visst uppgifts- utbyte sker för att respektive myndighet ska kunna utföra sina uppgifter talar detta för att en direktÄtkomst mellan dessa myndig- heter inte i sig utgör ett ingrepp i enskilds personliga förhÄllanden. Som exempel kan nÀmnas det uppgiftsutbyte som sker mellan Skatte- verkets beskattningsverksamhet, Kronofogdemyndigheten och Tull- verket, med bortseende frÄn deras brottsutredande verksamhet. Om dÀremot brottsbekÀmpande myndigheter medges direktÄtkomst till sekretessreglerade personuppgifter hos myndigheter som inte Àgnar sig Ät brottsbekÀmpning torde det regelmÀssigt vara frÄgan om ett ingrepp i enskilds personliga förhÄllanden som krÀver stöd i lag, sÄvida inte uppgiftsutbytet Àr av ringa omfattning.

SammanstÀllningar av kÀnsliga personuppgifter

I mÄnga registerförfattningar finns bestÀmmelser som begrÀnsar myndigheters möjligheter att söka efter och sammanstÀlla kÀnsliga personuppgifter, s.k. sökbegrÀnsningar. Redan av dataskyddsdirek- tivets regler om vilka grundlÀggande krav som ska uppfyllas vid en

210

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

behandling av personuppgifter följer visserligen begrĂ€nsningar i möjligheterna att sammanstĂ€lla personuppgifter pĂ„ sĂ„ sĂ€tt att sam- manstĂ€llningen ska vara förenlig med det Ă€ndamĂ„l för vilket upp- gifterna samlades in. Uppgifterna ska ocksĂ„ vara relevanta i förhĂ„ll- ande till Ă€ndamĂ„let med sammanstĂ€llningen och inte fler Ă€n vad som Ă€r nödvĂ€ndigt för Ă€ndamĂ„let. I en myndighets verksamhet Ă„ligger det alltsĂ„ den som behandlar personuppgifter att göra dessa övervĂ€ganden innan en sammanstĂ€llning görs. Genom en bestĂ€m- melse som föreskriver vissa sökförbud har emellertid lagstiftaren som vi ser det gjort denna bedömning ”pĂ„ förhand” och klargjort att vissa sammanstĂ€llningar inte ska fĂ„ ske hos myndigheten. SĂ„dana sökförbud innebĂ€r ocksĂ„ begrĂ€nsningar i enskildas möjlig- het att fĂ„ en sammanstĂ€llning gjord med stöd av reglerna om allmĂ€nna handlingar i 2 kap. TF (jfr 2 kap. 3 § tredje stycket). Om en myndighet dĂ€remot bedöms ha behov av att kunna göra sĂ„dana sammanstĂ€llningar för att utföra sina uppgifter och att det dĂ€rför behöver införas en uttrycklig bestĂ€mmelse som tillĂ„ter det, kan detta beroende pĂ„ omstĂ€ndigheterna mĂ„hĂ€nda anses utgöra ett ingrepp i enskilds personliga förhĂ„llanden. Det Ă€ndamĂ„l för vilket samman- stĂ€llningen tillĂ„ts ske torde vara avgörande för om det ska vara att anse som ett ingrepp i enskilds personliga förhĂ„llanden eller inte.

NÀr kan behandling av personuppgifter vara ett betydande intrÄng?

Ovan har vi behandlat frĂ„gan om nĂ€r behandling av personupp- gifter i sig kan anses utgöra ett sĂ„dant ingrepp i enskilds personliga förhĂ„llanden att det enligt 8 kap. 2 § första stycket 2 RF krĂ€ver stöd i lag. NĂ€sta frĂ„ga blir dĂ„ i vilken mĂ„n sĂ„dan behandling ocksĂ„ eller dĂ€rutöver kan anses utgöra ett betydande intrĂ„ng i den mening som avses i 2 kap. 6 § andra stycket RF och i övrigt uppfyller de förutsĂ€ttningar som anges i stadgandet, dvs. sker utan samtycke och innebĂ€r kartlĂ€ggning eller övervakning av den enskildes per- sonliga förhĂ„llanden. Om grundlagsstadgandet Ă€r tillĂ€mpligt inne- bĂ€r det att kravet pĂ„ lagform Ă€r obligatoriskt – dvs. bemyndiganden Ă€r uteslutna – och att de sĂ€rskilda begrĂ€nsningarna enligt 2 kap. 20– 22 §§ RF rörande förutsĂ€ttningarna för riksdagen att besluta lagen gĂ€ller.

211

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

I 2 kap. 6 § första stycket RF rÀknas upp ett antal fall av intrÄng i den enskildes personliga integritet som ansetts krÀva sÀrskilt begrÀnsande regler för att de ska kunna tillÄtas genom lag. Det handlar exempelvis om kroppsvisitation, husrannsakan och hemlig avlyssning. I dessa fall Àr det alltsÄ frÄgan om metoder för insamling av uppgifter om personliga eller ekonomiska förhÄllanden som ansetts utgöra sÀrskilt svÄra intrÄng i vars och ens rÀtt till en privat sfÀr. Vi har ovan konstaterat att behandling av personuppgifter dÀremot inte utgör en metod eller teknik som i sig innebÀr intrÄng i en- skildas personliga integritet, utan att det Àr det sammanhang dÀr behandlingen sker som avgör om sÄ Àr fallet.

Inledningsvis kan pĂ„pekas att 2 kap. 6 § andra stycket RF till sin ordalydelse inte sĂ€rskilt tar sikte pĂ„ behandling av personuppgifter. TillĂ€mpningsomrĂ„det avser, liksom 8 kap. 2 § första stycket 2 RF, ”personliga förhĂ„llanden”. Ordalydelsen saknar referenser till inrĂ€tt- andet och förandet av personregister Ă€ven om det av motiven framgĂ„r att det Ă€r ett slag av verksamhet som har avsetts trĂ€ffas av bestĂ€mmelsen. I motiven framhĂ„lls att vad som ska avses med ”kartlĂ€ggning” och â€Ă¶vervakning” fĂ„r bedömas med vad som enligt normalt sprĂ„kbruk lĂ€ggs i dessa begrepp. Det leder knappast tanken till personuppgiftsbehandling som sĂ„dan. Samtidigt finns det, som har framgĂ„tt, motivuttalanden som kan sĂ€gas ge uttryck för att redan det förhĂ„llandet att omfattande eller kĂ€nsliga informations- mĂ€ngder hanteras hos en viss myndighet kan ses som ett slags kart- lĂ€ggning som Ă€r av det slaget att grundlagsbestĂ€mmelsen ska anses vara tillĂ€mplig.

Det gÄr alltsÄ knappast att utifrÄn grundlagsstadgandets orda- lydelse avgöra i vilken mÄn stadgandet Àr tillÀmpligt pÄ person- uppgiftsbehandling sedd för sig. Vad som kan komma att anses gÀlla hÀr lÀr fÄ utmejslas i det framtida lagstiftningsarbetet. Ytterst avgörs saken av konstitutionsutskottet som för riksdagens del prövar om ett visst lagförslag utgör en fri- och rÀttighetsbegrÀnsning eller inte (jfr 2 kap. 22 § tredje stycket RF).

Av stÀllningstaganden som hittills gjorts i vissa lagstiftnings- Àrenden rörande tillÀmpningen av stadgandet kan emellertid den slutsatsen dras att nÀr en ny uppgift ÄlÀggs en myndighet uppgiften, beroende pÄ omstÀndigheterna, kan uppfattas som en sÄdan inte- gritetskrÀnkande behandling som omfattas av grundlagsbestÀmmel- sen. En viss skyldighet för en brottsbekÀmpande myndighet att

212

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

lĂ€mna uppgifter till en annan sĂ„dan myndighet har t.ex. ansetts inte vara omfattat av grundlagsstadgandet sĂ„ lĂ€nge de bĂ„da myndig- heterna Ă€r svenska. FörhĂ„llandet har emellertid ansetts vara det motsatta om uppgifterna ska lĂ€mnas till en brottsbekĂ€mpande myndighet i utlandet. I bĂ„da fallen Ă€r frĂ„ga om en behandling av personuppgifter men det Ă€r alltsĂ„ inte denna omstĂ€ndighet utan snarare den sakliga innebörden av Ă„tgĂ€rden – att uppgifter ska ut- bytas – som har ansetts utslagsgivande för om det ska vara frĂ„gan om ett betydande intrĂ„ng.

Enligt vÄr mening förefaller det naturligt att vid bedömningen av om grundlagsstadgandet Àr tillÀmpligt eller inte pÄ det sÀttet utgÄ frÄn den sakliga innebörden av en viss tÀnkt reglering. Lagstiftaren fÄr sÄledes stÀlla sig frÄgan vad det Àr som avses ska ske. Om bedömningen dÄ blir att en viss myndighetsuppgift trÀffas av grund- lagsstadgandet innebÀr detta att den uppgiften behöver regleras i lag och att de sÀrskilda förutsÀttningarna för rÀttighetsbegrÀnsade lagstiftning i 2 kap. RF dÄ gÀller. Det innebÀr dÀremot inte att all personuppgiftsbehandling som sker vid myndigheten i frÄga nöd- vÀndigtvis krÀver lagstöd. Det Àr alltsÄ, som vi ser det, frÄga om samma slags bedömning som behöver göras för att avgöra om en behandling av personuppgifter i sig utgör ett sÄdant ingrepp i en- skilds personliga förhÄllanden som avses i 8 kap. 2 § första stycket 2 RF, dock att det nu ocksÄ ska bedömas om det Àr frÄgan om ett betydande intrÄng.

Som framgĂ„tt har det emellertid förekommit att lagstiftaren intagit den positionen att den behandling av personuppgifter som sker vid en viss myndighet till ”stora delar” Ă€r av det slaget att grundlagstadgandet blir tillĂ€mpligt och att dĂ€rför all den person- uppgiftsbehandling som sker vid myndigheten har reglerats i lag, dvs. utöver det författningsstöd som redan finns för den faktiska verksamhet som myndigheten bedriver.

Det ska dock framhÄllas att grundlagstadgandet knappast krÀver att lagstiftaren pÄ detta sÀtt gör en avvÀgning av om en hel reglering för en viss verksamhet ska ha form av lag eller förordning. Det Àr som vi ser det endast de moment i verksamheten som utgör ett betydande intrÄng och i övrigt uppfyller förutsÀttningarna enligt stadgandet som mÄste ha stöd i lag. Det lagstiftningsÀrende dÀr datalagringsdirektivet infördes i svensk rÀtt innebar inte nÄgon ny skyldighet för en myndighet nÀr det gÀller behandling av uppgifter

213

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

SOU 2015:39

som rör enskilds personliga förhÄllanden, utan skyldigheten tog sikte pÄ leverantörer av elektroniska kommunikationstjÀnster, dvs. enskilda aktörer. Emellertid syftade skyldigheten att lagra s.k. trafikuppgifter till att brottsbekÀmpande myndigheter skulle ha till- gÄng till uppgifterna för sin verksamhet. PÄ sÄ sÀtt rörde skyldig- heten förhÄllandet mellan enskilda och det allmÀnna. Redan den lagring av vars och ens trafikuppgifter som leverantörerna blev Älagda att utföra ansÄgs utgöra ett intrÄng i enskildas personliga integritet. Mot bakgrund av den mÀngd trafikuppgifter om en enskild som kunde komma att lagras, ansÄgs intrÄnget ocksÄ vara betydande.

Datalagringen torde utgöra ett tydligt exempel pÄ ett fall dÄ grundlagsstadgandet blir tillÀmpligt med hÀnsyn till bÄde det sÀtt som valdes för att brottsbekÀmpande myndigheter skulle ha möjlig- het att fÄ tillgÄng till trafikuppgifter, nÀmligen att enskilda aktörer Älades att för brottsbekÀmpande ÀndamÄl lagra de uppgifter som de ursprungligen samlat in för att kunna utföra tjÀnster i förhÄllande till sina kunder, samt omfattningen av lagringen och uppgifternas integritetskÀnsliga karaktÀr.

Vi har för vĂ„r del svĂ„rt att se att grundlagsstadgandet kan ges den innebörden att det – bortsett frĂ„n de brottsbekĂ€mpande myn- digheterna – kan finnas myndigheter eller kategorier av myndig- heter vilkas verksamhet Ă€r av det slaget att all den behandling av personuppgifter som Ă€ger rum dĂ€r mĂ„ste ha stöd i en sĂ„dan lag som endast fĂ„r beslutas enligt reglerna i 2 kap. RF. Det förefaller ocksĂ„ vara i rena undantagsfall som behandling av personuppgifter hos icke brottsbekĂ€mpande myndigheter kan anses innehĂ„lla nĂ„gra sĂ€r- skilda moment av personuppgiftsbehandling som typiskt sett kan ses som en sĂ„dan kartlĂ€ggning eller övervakning som innebĂ€r ett betydande intrĂ„ng i den personliga integriteten och dĂ€rför omfattas av grundlagsstadgandet.

Sammanfattning

FrÄn allmÀn normgivningssynpunkt ser vi inga hinder mot att bestÀmmelser som avviker frÄn eller kompletterar innehÄllet i den generella lagen i form av t.ex. myndighetsspecifika föreskrifter om sökbegrÀnsningar, direktÄtkomst, behandling av kÀnsliga personupp- gifter m.m. ges i förordningsform. I den mÄn sÄdana bestÀmmelser

214

SOU 2015:39

En generell reglering – utgĂ„ngspunkter och inledande stĂ€llningstaganden

innebÀr Äligganden för de kommunala myndigheterna krÀvs emeller- tid att bemyndiganden tas in i lagen (jfr 8 kap. 2 § första stycket 3 RF). Detsamma gÀller förstÄs ocksÄ betrÀffande sÄdana regleringar som Àr att se som ingrepp i enskilds personliga förhÄllanden. Vi Äterkommer till frÄgan om hur erforderliga bemyndiganden bör utformas i avsnitt 18.2.

Det torde bara vara i rena undantagsfall som nÄgot visst moment av behandling av personuppgifter i sig Àr att se som ett sÄdant betydande intrÄng att grundlagsstadgandet om skydd för den per- sonliga integriteten blir tillÀmpligt och regleringen dÀrför mÄste ges i lag och beslutas i enlighet med 2 kap. RF. I den mÄn det finns sÄdana moment i myndighets- eller sektorsspecifik behandling av personuppgifter som anses utgöra ett sÄdant betydande intrÄng kan bestÀmmelser om detta ges lagform genom att tas in i bilaga till den generella lagen. Om det skulle anses mer ÀndamÄlsenligt att behand- lingen regleras i en egen författning, t.ex. för att det Àr frÄgan om hur ett visst integritetskÀnsligt register ska fÄ föras snarare Àn att reglera hur personuppgifter fÄr behandlas i en viss myndighets- verksamhet, kan regleringen givetvis ocksÄ ges i en sÀrskild lag som dÀrmed gÀller före den generella lagens bestÀmmelser.

Oavsett hur en viss reglering ska bedömas i normgivnings- hĂ€nseende Ă€r det naturligtvis inget som hindrar att myndighets- specifika föreskrifter av lĂ€mplighetsskĂ€l eller andra skĂ€l Ă€ndĂ„ be- döms bör ges i lag. SĂ„dana föreskrifter – liksom föreskrifter som faktiskt krĂ€ver lagstöd och dĂ€r den bedömningen görs att det av nĂ„got skĂ€l inte Ă€r lĂ€mpligt att utnyttja ett bemyndigande – kan ocksĂ„ tas in i bilaga till den generella lagen.

215

8 AllmÀnna bestÀmmelser

8.1En bestÀmmelse om lagens syfte

8.1.1Bakgrund

BÄde i dataskyddsdirektivet och i personuppgiftslagen finns inled- ande bestÀmmelser om vilket övergripande syfte respektive regle- ring har. SÄdana syftesbestÀmmelser förekommer Àven i en del registerförfattningar.

Dataskyddsdirektivet

I artikel 1 i direktivet föreskrivs under rubriken Direktivets syfte att medlemsstaterna ska i enlighet med direktivet skydda fysiska personers grundlÀggande fri- och rÀttigheter, sÀrskilt rÀtten till privatliv, i samband med behandling av personuppgifter. Vidare fÄr medlemsstaterna varken begrÀnsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna av skÀl som har samband med det nyss nÀmnda föreskrivna skyddet. Det bakomliggande syftet med dataskyddsdirektivet brukar anges vara att Ästadkomma ett fritt flöde av personuppgifter inom Europeiska unionen. Det syftet ska uppnÄs genom en harmonisering av medlemsstaternas lagstiftning för att fÄ en likvÀrdig skyddsnivÄ för enskilda personers fri- och rÀttigheter, sÀrskilt rÀtten till privatliv, med avseende pÄ behandling av personuppgifter.

Personuppgiftslagen

I 1 § anges att personuppgiftslagens syfte Àr att skydda mÀnniskor mot att deras personliga integritets krÀnks genom behandling av personuppgifter. Eftersom ett fritt flöde av personuppgifter mellan

217

AllmÀnna bestÀmmelser

SOU 2015:39

medlemsstaterna i Europeiska unionen Ästadkoms genom en Ätmin- stone delvis harmoniserad lagstiftning till skydd mot krÀnkning av personlig integritet genom behandling av personuppgifter, ansÄgs det vid personuppgiftslagens införande inte motiverat att sÀrskilt upp- lysa Àven om det fria flödet som ett sÀrskilt syfte (prop. 1997/98:44 s. 115).

Förslaget till uppgiftsskyddsförordning

Det pĂ„gĂ„ende reformarbetet syftar inte till nĂ„got avsteg frĂ„n vad som slogs fast om det grundlĂ€ggande syftet med dataskydds- direktivet. Förordningens artikel 1 – med rubriken Syfte och mĂ„l – har visserligen modifierats nĂ„got i struktur och ordalydelse i jĂ€m- förelse med artikel 1 i direktivet. NĂ„gon Ă€ndring i sak torde detta inte innebĂ€ra.

I förordningsförslaget (bl.a. motiveringen s. 1 och punkterna 5 och 6 i ingressen) framhĂ„lls att den snabba utvecklingen av infor- mationstekniken har omvandlat sĂ„vĂ€l ekonomin som samhĂ€llslivet inom EU. Vidare framhĂ„lls att förĂ€ndringarna krĂ€ver en stark och mer sammanhĂ€ngande ram för uppgiftsskyddet, uppbackad av ett kraftfullt tillsynsarbete, eftersom det Ă€r viktigt att skapa den tillit som behövs för att utveckla den digitala ekonomin över hela den inre marknaden. Enskilda bör ha kontroll över sina egna person- uppgifter och rĂ€ttssĂ€kerheten och smidigheten för enskilda, eko- nomiska operatörer och myndigheter bör stĂ€rkas. Enligt kom- missionen Ă€r det avgörande för den ekonomiska utvecklingen att bygga upp förtroendet för nĂ€tmiljön. Bristande förtroende gör att konsumenter tvekar att ”köpa pĂ„ nĂ€tet” och att anvĂ€nda nya tjĂ€nster. Detta kan hĂ€mma utvecklingen av innovativa anvĂ€ndningar av ny teknik. Skydd av personuppgifter spelar dĂ€rför en central roll i den digitala agendan för Europa och mer allmĂ€nt i Europa 2020-stra- tegin (se avsnitt 3.1.4).

Det kan sÄledes konstateras att informationstekniken ges en fram- skjuten betydelse för en önskvÀrd samhÀllsutveckling pÄ bred front. En robust dataskyddsreglering Àr inte bara ett mÄl i sig utan ocksÄ ett medel att uppnÄ en önskad samhÀllsutveckling i ett lÀngre perspektiv.

218

SOU 2015:39

AllmÀnna bestÀmmelser

Registerförfattningar

I registerförfattningar förekommer ibland bestÀmmelser som anger lagens övergripande syfte.

NÀr det gÀller informationshanteringsförfattningar förekommer syftesbestÀmmelser framför allt i sÄdana författningar som ersÀtter personuppgiftslagen och sedan hÀnvisar till olika bestÀmmelser i per- sonuppgiftslagen som ska ha motsvarande tillÀmpning dÄ person- uppgifter behandlas inom ramen för informationshanteringsförfatt- ningens tillÀmpningsomrÄde.

I exempelvis 1 kap. 1 § polisdatalagen (2010:361) anges det över- gripande syftet med lagen vara att ge polisen möjlighet att behandla personuppgifter pÄ ett ÀndamÄlsenligt sÀtt i sin brottsbekÀmpande verksamhet och att skydda mÀnniskor mot att deras personliga inte- gritet krÀnks vid sÄdan behandling. Enligt motiven (prop. 2009/10:85 s. 66 f.) avspeglar utformningen av bestÀmmelserna den avvÀgning mellan Ä ena sidan intresset av en effektiv brottsbekÀmpning och Ä andra sidan intresset av skydd för den personliga integriteten som gjorts i lagstiftningsÀrendet. I 1 kap. 1 § kustbevakningsdatalagen (2012:145) finns en motsvarande bestÀmmelse om lagens syfte. Det finns dock exempel pÄ informationshanteringsförfattningar med samma lagtekniska konstruktion vad avser förhÄllandet till person- uppgiftslagen som varken hÀnvisar till 1 § PuL eller har en egen syftes- bestÀmmelse.

I sÄdana informationshanteringsförfattningar som Àr konstruerade pÄ det sÀttet att personuppgiftslagen gÀller i den mÄn författningen i frÄga inte innehÄller avvikande bestÀmmelser förekommer i all- mÀnhet inte nÄgon sÀrskild syftesbestÀmmelse som ersÀtter eller gÀller utöver vad som sÀgs i 1 § PuL.

BetrĂ€ffande renodlade registerförfattningar förekommer bestĂ€m- melser som anger författningens syfte eller ett visst registers syfte. För de sĂ„ kallade publicitetsregistren anges ofta att registret ska ”ge offentlighet Ă„t” ett visst förhĂ„llande, se t.ex. 1 § lagen (2000:224) om fastighetsregister eller 2 kap. 1 § aktiebolagsförordningen (2005:559).

219

AllmÀnna bestÀmmelser

SOU 2015:39

8.1.2VÄra övervÀganden och förslag

Förslag: I den nya lagen införs en bestÀmmelse som anger vilket syfte lagen har. Detta Àr tudelat. Syftet Àr att dels ge myndig- heter möjlighet att behandla personuppgifter pÄ ett ÀndamÄls- enligt sÀtt i deras verksamheter, dels skydda mÀnniskor mot att deras personliga integritet krÀnks vid sÄdan behandling.

BestÀmmelser om lagars syfte saknar normalt egentligt materiellt innehÄll utan framstÄr mer som ett slags deklaration av de bakom- liggande och övergripande mÄlen med de efterföljande lagbestÀm- melserna med mer konkret reglering. Man kan dÀrför frÄga sig om det verkligen behövs en syftesbestÀmmelse av detta slag i den nya lagen. Onekligen har emellertid en syftesbestÀmmelse en informa- tiv och pedagogisk betydelse.

Ett uttryckligt fastslÄende av lagens syfte har emellertid inte enbart en symbolisk eller informativ betydelse. Att en lags syfte an- ges i lagen kan fÄ relevans i rÀttstillÀmpningen genom att ge vÀg- ledning för tolkningen av de materiella bestÀmmelserna i lagen. Vidare klargör en sÄdan bestÀmmelse att lagen enbart innehÄller sÄdana bestÀmmelser som Àr av dataskyddsrÀttslig karaktÀr.

Sammanfattningsvis anser vi sÄledes att det finns skÀl att ta in en bestÀmmelse om lagens syfte i den nya lagen.

Hur bör lagens syfte anges?

En syftesbestÀmmelse mÄste av naturliga skÀl vara övergripande. Vi bedömer att en bestÀmmelse som föreskriver att lagens syfte Àr att dels ge myndigheterna möjlighet att behandla personuppgifter pÄ ett ÀndamÄlsenligt sÀtt, dels skydda mÀnniskor mot att deras person- liga integritet krÀnks vid myndigheternas informationshantering vÀl fÄngar regleringens mÄlsÀttning pÄ ett sÀtt som passar för alla myn- digheter oavsett vad för slags verksamhet de bedriver.

Syftet att ge möjligheter till en ÀndamÄlsenlig personuppgifts- behandling Àr viktigt att framhÄlla. För myndigheter Àr det av helt avgörande betydelse att kunna behandla personuppgifter genom elektronisk informationshantering för att utföra sina uppgifter i överensstÀmmelse med de krav som stÀlls pÄ bl.a. rÀttssÀkerhet,

220

SOU 2015:39

AllmÀnna bestÀmmelser

effektivitet och en önskvÀrd servicenivÄ. Detta kan inte sÀllan inne- bÀra att myndigheter exempelvis mÄste ges större förutsÀttningar att behandla personuppgifter utan den registrerades samtycke Àn vad som gÀller utanför den offentliga sektorn. Den nya lagen med anknytande föreskrifter kommer att innehÄlla bestÀmmelser som skapar sÄdana förutsÀttningar.

Vad som Àr en ÀndamÄlsenlig personuppgiftsbehandling kan inte slÄs fast i generella termer utan varierar i hög grad beroende pÄ vad för slags verksamhet det handlar om.

Det andra ledet i den föreslagna syftesbestĂ€mmelsen – att lagens syfte Ă€r att skydda mĂ€nniskor mot att deras personliga integritet krĂ€nks vid myndigheters personuppgiftsbehandling – Ă€r av central betydelse. Genom syftesbestĂ€mmelsen kommer detta till uttryck i lagen. HĂ€rigenom framgĂ„r vidare indirekt att verksamhetsreglering av olika slag faller utanför lagens syfte. Lagens bestĂ€mmelser ska enbart inriktas pĂ„ att reglera informationshanteringen i förhĂ„llande till det skydd som personuppgiftsbehandling pĂ„kallar.

Att myndigheters behandling av personuppgifter inte medför krĂ€nkningar av mĂ€nniskors personliga integritet Ă€r alltsĂ„ en central mĂ„lsĂ€ttning för regleringen. Samtidigt Ă€r vissa intrĂ„ng nödvĂ€ndiga för att myndigheterna ska kunna utföra sina uppgifter. Regleringen bör dĂ€rför ge uttryck för en vĂ€l avvĂ€gd balans och proportionalitet mellan, Ă„ ena sidan, samhĂ€llets behov av att myndigheter kan be- handla personuppgifter i sin verksamhet och, Ă„ andra sidan, skyddet för den personliga integriteten. Ett gott integritetsskydd Ă€r av funda- mental betydelse för att myndigheterna alls ska kunna ges förut- sĂ€ttningar att behandla personuppgifter med ett bevarat förtroende frĂ„n allmĂ€nhetens sida. PĂ„ ett övergripande plan kan det alltsĂ„ sĂ€gas finnas ett samspel mellan integritetsskydd och förutsĂ€ttningar för en Ă€ndamĂ„lsenlig informationshantering. Detta tydliggörs genom den tudelade syftesbestĂ€mningen – Ă€ndamĂ„lsenlighet respektive inte- gritetsskydd – och illustrerar att de bĂ„da mĂ„len gĂ€ller parallellt.

221

AllmÀnna bestÀmmelser

SOU 2015:39

8.2Lagens tillÀmpningsomrÄde

8.2.1Vilka myndigheter bör omfattas av lagens tillÀmpningsomrÄde?

Förslag: Lagen ska i princip tillÀmpas av alla myndigheter. Med myndigheter avses i lagen detsamma som i regeringsformen, dvs. alla statliga och kommunala organ utom riksdagen och de beslut- ande kommunala församlingarna.

Vi har i avsnitt 7.2 redogjort för varför det bör införas en samlad lag för myndigheterna med generella bestÀmmelser till skydd för personuppgifter.

Enligt vÄr mening talar övervÀgande skÀl för att lagen bör vara tillÀmplig hos alla slags myndigheter och inte t.ex. bara sÄdana som i dag omfattas av sÀrskilda registerförfattningar. Det Àr enligt vÄr mening angelÀget att ett och samma grundlÀggande regelverk gÀller inom hela myndighetssektorn. Att samma grundlÀggande regler för behandling av personuppgifter gÀller för alla myndigheter ger ökad tydlighet och transparens. Det ger ocksÄ bÀst förutsÀttningar för effektivitetshöjande myndighetsgemensamma lösningar, exempelvis uppgiftsbyte myndigheter emellan.

Att alla myndigheter kommer att omfattas av lagens tillÀmpnings- omrÄde Àr ocksÄ Àgnat att vÀsentligt underlÀtta den reformering av regelverket som kommer att behöva göras som ett resultat av det pÄgÄende reformarbetet inom EU som kan förvÀntas leda till att dataskyddsdirektivet ersÀtts av en allmÀn uppgiftsskyddsförordning.

Med myndigheter avses hÀr detsamma som i regeringsformen, dvs. alla statliga och kommunala organ utom riksdagen och de be- slutande kommunala församlingarna.

222

SOU 2015:39

AllmÀnna bestÀmmelser

8.2.2Vilka verksamheter bör omfattas av lagens tillÀmpningsomrÄde?

Förslag: Vissa verksamheter undantas frÄn lagens tillÀmpnings- omrÄde nÀmligen

–en myndighets administrativa verksamhet,

–en myndighets verksamhet som personuppgiftsbitrĂ€de, och

–sĂ„dan verksamhet som bedrivs av behöriga myndigheter i syfte att förebygga, förhindra eller upptĂ€cka brottslig verksamhet, utreda eller beivra brott eller verkstĂ€lla straffrĂ€ttsliga pĂ„följ- der.

VĂ„ra direktiv Ă€r öppna i frĂ„ga om tillĂ€mpningsomrĂ„det. I direktiven klargörs emellertid att den brottsbekĂ€mpande verksamheten inte omfattas av utredningsuppdraget. Ett skĂ€l till detta Ă€r att den verk- samheten inte omfattas av förslaget till allmĂ€n uppgiftsskydds- förordning utan av ett förslag till direktiv om uppgiftsskydd i den brottsbekĂ€mpande verksamheten. HĂ€rmed avses verksamhet som bedrivs av behöriga myndigheter i syfte att förebygga, utreda, av- slöja eller lagföra brott eller verkstĂ€lla straffrĂ€ttsliga pĂ„följder (se artikel 2.2 e i uppgiftsskyddsförordningen, jfr Ă€ven artikel 1.2 i gĂ€llande dataskyddsrambeslut). För Polismyndigheten, SĂ€kerhets- polisen, Ekobrottsmyndigheten, Åklagarmyndigheten, Kriminal- vĂ„rden och ÖvervakningsnĂ€mnderna Ă€r brottsbekĂ€mpande verk- samhet den dominerande uppgiften. Även Kustbevakningen, Skatte- verket och Tullverket har uppdrag att bedriva brottsbekĂ€mpande verksamhet. De allmĂ€nna domstolarnas verksamhet pĂ„ det straff- rĂ€ttsliga och straffprocessuella omrĂ„det hör ocksĂ„ till den brotts- bekĂ€mpande verksamheten i hĂ€r aktuell bemĂ€rkelse.

Den brottsbekĂ€mpande verksamheten ska alltsĂ„ inte omfattas av lagens tillĂ€mpningsomrĂ„de. Till bilden hör vidare att den brotts- bekĂ€mpande verksamheten till stora delar nyligen genomgĂ„tt eller genomgĂ„r en översyn av regleringen av personuppgiftsbehandling. Polisdatalagen och kustbevakningsdatalagen Ă€r tĂ€mligen nya för- fattningar och det pĂ„gĂ„r lagstiftningsarbete bl.a. sĂ„vitt avser Åklagar- myndigheten samt betrĂ€ffande Tullverkets brottsbekĂ€mpande verk- samhet. Registerförfattningsregleringen av den brottsbekĂ€mpande

223

AllmÀnna bestÀmmelser

SOU 2015:39

verksamheten Àr emellertid inte i alla delar heltÀckande. Exempelvis förekommer behandling av personuppgifter med stöd av person- uppgiftslagen i brottsbekÀmpande verksamhet vid Nationellt foren- siskt centrum, en enhet inom Polismyndigheten.

NÀsta frÄga blir dÄ om personuppgiftsbehandling i all slags övrig myndighetsverksamhet Àn den som uttryckligen undantagits frÄn utredningsuppdraget bör omfattas av den nya lagens tillÀmpnings- omrÄde.

Det sĂ€ger sig sjĂ€lvt att myndigheters behandling av person- uppgifter sker i varierande och mĂ„ngfacetterade verksamheter. Redan de registerförfattningar som finns i dag spĂ€nner över en mycket brokig verksamhetskarta som innefattar myndighetsverk- samhet inom sĂ„vĂ€l staten som landstingen och kommunerna. BĂ„de myndigheters handlĂ€ggning av Ă€renden samt s.k. faktiskt handlande (t.ex. vĂ„rd av en patient eller en myndighets serviceverksamhet enligt 4 § FL) omfattas inte sĂ€llan av informationshanteringsförfatt- ningar. BĂ„da slagen av verksamhet, som inte alltid Ă€r sĂ„ lĂ€tta att avgrĂ€nsa, bör enligt vĂ„r mening omfattas av den nya lagens tillĂ€mp- ningsomrĂ„de. Behandling av personuppgifter behövs emellertid inte bara i den egentliga sakverksamheten utan Ă€ven för t.ex. övergrip- ande planering, verksamhetsuppföljning och egentillsyn. Normalt handlar det dĂ„ om â€Ă„teranvĂ€ndning” genom olika slags bearbetning av personuppgifter som redan samlats in i den löpande verksam- heten. Även sĂ„dan behandling bör omfattas av lagen, eftersom det ingĂ„r i myndigheternas ansvar att planera, administrera och kvali- tetssĂ€kra sin verksamhet. Det Ă€r vĂ„r uppfattning att utgĂ„ngspunk- ten bör vara att den nya lagen ska gĂ€lla, om det inte föreskrivits nĂ„got undantag eller annat följer av avvikande bestĂ€mmelser. I linje hĂ€rmed anser vi att det inte bör införas nĂ„gon beskrivning av vilka verksamhetsomrĂ„den som omfattas av lagens tillĂ€mpningsomrĂ„de. VerksamhetsomrĂ„det ska i stĂ€llet framgĂ„ motsatsvis.

I frÄga om vilka undantag som uttryckligen bör föreskrivas, ut- över den brottsbekÀmpande verksamheten, gör vi följande övervÀg- anden.

Generellt gÀller pÄ registerlagstiftningsomrÄdet att den person- uppgiftsbehandling som sker i myndigheternas rent administrativa verksamhet med t.ex. personal- och lokalfrÄgor, materialförsörj- ning och ekonomiadministrativa göromÄl utan nÀrmare koppling till sakverksamheten faller utanför den sÀrreglering som register-

224

SOU 2015:39

AllmÀnna bestÀmmelser

författningarna omfattar. Detta brukar framgÄ indirekt av det sÀtt som registerförfattningens tillÀmpningsomrÄde beskrivs pÄ samt av förarbetsuttalanden (se t.ex. 1 § studiestödsdatalagen och prop. 2008/09:96 s. 76). Vi menar att det Àr naturligt att den rent intern- administrativa verksamheten med t.ex. personal-, lokal- och ekonomi- administration Àven framgent regleras av personuppgiftslagen i stÀllet för av den nya lagen. I myndigheternas administration behandlas nÀmligen inte personuppgifter som samlats in dÄ myndigheterna fullgör de uppgifter som de Àr Älagda att utföra inom ramen för deras verksamhet. Myndigheternas administration Àr dÀrmed i prin- cip likstÀlld den som sker hos enskilda personuppgiftsansvariga i rollen som t.ex. arbetsgivare och pÄkallar inte en sÀrreglering i för- hÄllande till den allmÀngiltiga regleringen i personuppgiftslagen. Visserligen finns det skillnader, hos myndigheter genereras exem- pelvis allmÀnna handlingar Àven inom personaladministrationen, men de skillnader som finns utgör enligt vÄr mening knappast till- rÀckliga skÀl för att avvika frÄn den ordning som hittills gÀllt. Det sagda innebÀr att myndigheternas administrativa verksamhet bör undantas frÄn den nya lagens tillÀmpningsomrÄde.

Av stor vikt för den samlade regleringens konsekvens och begrip- lighet Àr att bestÀmmelserna har en tydlig adressat. Det förekom- mer registerförfattningar som Àr otydliga pÄ den punkten. Ett exempel Àr studiestödsdatalagen som enligt lagens bestÀmmelse om tillÀmpningsomrÄde bara gÀller för Centrala studiestödsnÀmndens verksamhet (1 § studiestödslagen). Dock Àr lagens bestÀmmelse om direktÄtkomst sÄ avfattad att den tycks rikta sig till mottagande myndigheter genom att reglera hur deras direktÄtkomst till nÀmndens personuppgiftssamlingar fÄr anvÀndas. Den samlade reglering som vi föreslÄr bör vara tydlig pÄ denna punkt. Lagen ska i allt vÀsentligt dÀrför enbart ta sikte pÄ de förutsÀttningar och skyldigheter som gÀller för en personuppgiftsansvarig myndighet. BestÀmmelsernas adressat ska alltsÄ genomgÄende vara den myndighet som Àr per- sonuppgiftsansvarig.

Som nÀrmare kommer att behandlas i avsnitt 10.1 förekommer emellertid att myndigheter behandlar personuppgifter sÄsom person- uppgiftsbitrÀde till en personuppgiftsansvarig, vilken kan vara sÄvÀl en annan myndighet som en enskild. För att uppnÄ den efter- strÀvade tydligheten angÄende vem som Àr skyldig att följa lagens bestÀmmelser, eller se till att lagens bestÀmmelser följs, bör per-

225

AllmÀnna bestÀmmelser

SOU 2015:39

sonuppgiftsbehandling som en myndighet utför i egenskap av per- sonuppgiftsbitrÀde dÀrför undantas frÄn lagens tillÀmpningsomrÄde. Det Àr sedan en annan sak att lagens bestÀmmelser i praktiken ÀndÄ kommer att gÀlla Àven för en myndighet som Àr personuppgifts- bitrÀde om den personuppgiftsansvarige Àr en myndighet vars be- handling omfattas av lagen. FörhÄllandet blir dock ett annat dÄ den personuppgiftsansvarige Àr en enskild aktör.

Det förekommer ibland att en myndighet utan att vara person- uppgiftsbitrÀde behandlar personuppgifter genom sÄdan teknisk lagring eller teknisk bearbetning för annan myndighets rÀkning som avses i 2 kap. 10 § första stycket TF. Det kan vara frÄga om sÄvÀl en begrÀnsad it-tjÀnst som överlÀmnande av hela it-driften. Vi ser dock inte anledning att föreslÄ nÄgot undantag för en myndig- hets verksamhet med att lagra eller bearbeta upptagningar med personuppgifter för annans rÀkning som motsvarar undantaget för myndigheters personuppgiftsbehandling sÄsom personuppgifts- bitrÀde. Den nya lagens tillÀmpningsomrÄde kommer sÄledes att omfatta en myndighets behandling bestÄende av lagring eller bearbet- ning för annans rÀkning som avses i 2 kap. 10 § första stycket TF.

I vÄra direktiv berörs inte frÄgan om vad som bör gÀlla betrÀffande personuppgiftsbehandlingar inom de delar av den offent- liga sektorn som inte omfattas av den unionsrÀttsliga regleringen, t.ex. inom försvarsomrÄdet. FrÄn det materiella tillÀmpningsomrÄdet för uppgiftsskyddsförordningen undantas, utöver brottsbekÀmpande verksamhet, enligt artikel 2 bl.a. behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unions- lagstiftningen, sÀrskilt avseende nationell sÀkerhet, eller som medlems- staterna utför nÀr de bedriver verksamhet som omfattas av kapitel 2 i EU-fördraget (som innehÄller sÀrskilda bestÀmmelser om den gemensamma utrikes- och sÀkerhetspolitiken).

Dataskyddsdirektivets materiella tillÀmpningsomrÄde Àr pÄ mot- svarande sÀtt begrÀnsat (artikel 3).

Personuppgiftslagen Àr dÀremot tillÀmplig Àven pÄ verksamheter som inte omfattas av unionsrÀtten. I förarbetena anfördes bl.a. att en begrÀnsning av lagens tillÀmpningsomrÄde till vad som krÀvs enligt direktivet skulle strida mot vad som tillÀmpats under lÄng tid i Sverige, nÀmligen ett system som utgÄr frÄn en generell lag kompletterad med sÀrregler i s.k. registerförfattningar. Om viss offentlig verksamhet skulle generellt undantas frÄn personuppgiftslagen, fanns det risk

226

SOU 2015:39

AllmÀnna bestÀmmelser

för att viss behandling inom den offentliga sektorn inte skulle komma att omfattas av nÄgon lagstiftning med motsvarande syfte som den lagen. Personuppgiftslagen gjordes dÀrför generellt tillÀmplig till att omfatta Àven verksamhet utanför det som numera benÀmns unionsrÀtten (prop. 1997/98:44 s. 40).

VĂ„rt uppdrag innebĂ€r, som tidigare framgĂ„tt, att utforma en reglering som Ă€r vĂ€l anpassad till den pĂ„gĂ„ende dataskyddsreformen inom EU. Om möjligt ska vi skapa en reglering som kan fungera som ett komplement till den unionsrĂ€ttsliga regleringen pĂ„ om- rĂ„det. Detta skulle kunna tala för att en kommande anpassning av den föreslagna lagen till uppgiftsskyddsförordningen underlĂ€ttas om lagens tillĂ€mpningsomrĂ„de överensstĂ€mmer med uppgiftsskydds- förordningens. DĂ€rmed skulle det inte finnas nĂ„gon risk för att ett inordnande i den föreslagna lagen av verksamhet som faller utanför unionsrĂ€tten bara blir en temporĂ€r ordning. Genomförandet av uppgiftsskyddsförordningen förefaller emellertid inte vara nĂ€ra före- stĂ„ende och under alla förhĂ„llanden kan det antas, mot bakgrund av vad som nu Ă€r kĂ€nt om innehĂ„llet i den kommande förordningen, att det kommer att finnas ett tĂ€mligen stort utrymme för nationell reglering av myndigheters behandling av personuppgifter. Det finns dĂ€rmed, menar vi, goda förutsĂ€ttningar för att finna en lös- ning för hur lagen bör anpassas till den kommande uppgiftsskydds- förordningen utan hinder av att Ă€ven verksamhet som inte omfattas av unionslagstiftningen ingĂ„r i lagens tillĂ€mpningsomrĂ„de. Vi anser dĂ€rför att det stora vĂ€rde ur tillĂ€mpningssynpunkt som finns i en sĂ„ lĂ„ngt möjligt samlad reglering för enskilda myndigheters behand- ling av personuppgifter – alldeles oavsett om verksamheten om- fattas av unionsrĂ€tten eller inte – vĂ€ger tyngre Ă€n de komplika- tioner som mĂ„hĂ€nda kan uppstĂ„ i samband med ett införande av uppgiftsskyddsförordningen. Vi bedömer dĂ€rför att tillĂ€mpnings- omrĂ„det inte bör begrĂ€nsas till myndighetsverksamhet som om- fattas av unionsrĂ€tten. I avsnitt 19.2.3 Ă„terkommer vi till frĂ„gan om lagens tillĂ€mpningsomrĂ„de.

227

AllmÀnna bestÀmmelser

SOU 2015:39

8.2.3Lagens förhÄllande till befintliga registerförfattningar m.m.

Förslag och bedömning: Lagen ska – med undantag för person- uppgiftslagen och bestĂ€mmelser som meddelats med stöd av den lagen – vara subsidiĂ€r i förhĂ„llande till bestĂ€mmelser i annan lag eller förordning som avviker frĂ„n lagens bestĂ€mmelser. Befint- liga registerförfattningar fortsĂ€tter dĂ€rför att vara tillĂ€mpliga Ă€ven efter lagens införande. Lagens tillĂ€mpningsomrĂ„de vid ikraft- trĂ€dandet blir dĂ€rmed sĂ„dan personuppgiftsbehandling hos myn- digheter som sker med stöd av personuppgiftslagen. Avsikten Ă€r emellertid att dataskyddsrĂ€ttslig sĂ€rreglering i form av register- författningar efter hand bör upphĂ€vas eller i vart fall förenklas och att den nya lagen dĂ€rmed blir tillĂ€mplig i stĂ€llet. Eventuella behov av fortsatt sĂ€rreglering kan tillgodoses genom att sĂ„dana bestĂ€mmelser tas in i en till lagen anslutande förordning eller vid behov, i bilaga till lagen.

Flertalet regelrÀtta registerförfattningar innehÄller verksamhetsreg- lering i det avseendet att de tilldelar en myndighet uppgiften att vara registerhÄllare och dÀrutöver innehÄller nÀrmare regler om uppgifter som ska hÀmtas in, registreras osv., dvs. regler som inte tar sikte pÄ personuppgiftsbehandling som sÄdan. Som har framgÄtt av avsnitt 7.2 menar vi att den nya lagen enbart bör innehÄlla be- stÀmmelser som utgör dataskyddsregler och att nyss nÀmnda register- författningar inte bör beröras förutom i de delar som avser data- skyddsreglering. Det finns ett flertal sÄdana reglerade register inom olika sektorer, t.ex. receptregistret, fastighetsregistret, handelsbolags- registret, olika hÀlsodataregister m.m. Nya sÄdana register kommer att behöva inrÀttas och dÀrmed regleras. Vi ser, som redan sagts, ingen anledning att ha som ambition att försöka ersÀtta den typen av regelrÀtta registerförfattningar genom att i stÀllet reglera verk- samhetsspecifika registerfrÄgor i anslutning till den nya lagen. Som har framgÄtt talar sakliga skÀl med styrka emot detta.

De bestÀmmelser som finns i sÄdana författningar om person- dataskydd sÄsom t.ex. regler om personuppgiftsansvar, sökbegrÀns- ningar m.m. kommer emellertid att efter hand kunna anpassas för att harmoniera med den nya lagen. Huruvida den nya lagen ska ersÀtta sÄdana bestÀmmelser eller inte fÄr bedömas frÄn fall till fall.

228

SOU 2015:39

AllmÀnna bestÀmmelser

Att det Ă€ven i fortsĂ€ttningen kommer att finnas renodlade register- författningar utesluter alltsĂ„ pĂ„ inget sĂ€tt att sĂ„dana författningar ”rensas” frĂ„n dataskyddsbestĂ€mmelser varefter författningen bara innehĂ„ller de verksamhetsregler m.m. som bör gĂ€lla för registret. SĂ„dana bestĂ€mmelser som utgör sĂ€rreglering i förhĂ„llande till den av oss föreslagna lagen och som alltjĂ€mt anses behövas, skulle dĂ„ kunna föras in i den till lagen anslutande förordningen. Huruvida en sĂ„dan ordning bör tillĂ€mpas för ett enskilt register eller om det Ă€r mera lĂ€mpligt att sĂ€rregleringen finns kvar i den sĂ€rskilda register- författningen mĂ„ste dock avgöras i det sĂ€rskilda fallet. Vi Ă„terkom- mer till detta i avsnitt 19.1.

PÄ motsvarande sÀtt förhÄller det sig betrÀffande andra typer av författningar som varken Àr renodlade registerförfattningar eller informationshanteringsförfattningar utan tillhör den kategori författ- ningar som har inslag av bestÀmmelser om behandling av person- uppgifter bland annan slags reglering. En sÄdan författning Àr kamera- övervakningslagen (2013:416). Ett annat exempel Àr lagen (2001:99) om officiell statistik med anknytande förordning som innehÄller sÀrreglering om behandling av personuppgifter i sÄdan sÀrskild statistikverksamhet som bedrivs av statistikansvariga myndigheter, t.ex. FörsÀkringskassan och Centrala studiestödsnÀmnden.

DÀremot Àr det vÄr ambition att de registerförfattningar som har karaktÀr av informationshanteringsförfattningar efter hand avveck- las och ersÀtts av den nya lagen, eventuellt med viss fortsatt sÀr- reglering i anslutande förordning eller, vid behov, i bilaga till lagen.

Den nya lagen bör alltsÄ inte redan genom ikrafttrÀdandet ersÀtta nÄgra befintliga registerförfattningar. För detta krÀvs anpassningar som krÀver en analys och avvÀgning av vilka behov av sÀrregler det finns pÄ olika omrÄden och pÄ vilken normnivÄ dessa sÀrregler i sÄ fall bör ges.

För att fÄ en fungerande omstÀllningsprocess och för att pÄ lÀngre sikt öppna för flexibilitet nÀr det gÀller utrymme för att, efter en nÀrmare analys, lÄta viss reglering helt eller delvis kvarstÄ eller införas helt Ätskild frÄn den samlade regleringen bedömer vi alltsÄ att den nya lagen mÄste göras subsidiÀr i förhÄllande till annan sÀrreglering i lag eller förordning med undantag för personupp- giftslagen och personuppgiftsförordningen. Vi föreslÄr dÀrför att en sÄdan bestÀmmelse tas in i lagen.

229

AllmÀnna bestÀmmelser

SOU 2015:39

8.2.4Vilka slags behandlingar och uppgifter bör omfattas av lagens tillÀmpningsomrÄde?

Förslag: Lagen ska tillÀmpas vid sÄdan behandling av person- uppgifter som Àr helt eller delvis automatiserad. Lagen gÀller Àven för manuell behandling av personuppgifter om uppgifterna ingÄr i eller Àr avsedda att ingÄ i en strukturerad samling av per- sonuppgifter som Àr tillgÀngliga för sökning eller sammanstÀll- ning enligt sÀrskilda kriterier. TillÀmpningsomrÄdet motsvarar alltsÄ personuppgiftslagens tillÀmpningsomrÄde.

En frÄga rörande tillÀmpningsomrÄdet Àr vilka slags behandlingar som ska omfattas av regleringen. Dataskyddsdirektivet liksom personuppgiftslagen gÀller för sÄdan behandling av personuppgifter som Àr helt eller delvis automatiserad samt Àven annan behandling av personuppgifter om uppgifterna ingÄr i eller Àr avsedda att ingÄ i en strukturerad samling av personuppgifter som Àr tillgÀngliga för sökning eller sammanstÀllning enligt sÀrskilda kriterier (artikel 2 c och 3.1 i direktivet och 5 § PuL). Man brukar beskriva det sist- nÀmnda med att det syftar pÄ manuella register. Uppgiftsskydds- förordningens tillÀmpningsomrÄde Àr i detta hÀnseende detsamma som dataskyddsdirektivets (artikel 2.1 och 4.4).

Det normala för befintliga informationshanteringsförfattningar Àr att de i detta avseende har samma tillÀmpningsomrÄde som personuppgiftslagen. NÄgot skÀl till varför den nya lagen skulle av- vika frÄn denna ordning kan vi inte se. Vi föreslÄr dÀrför en bestÀm- melse med en med dataskyddsdirektivet överensstÀmmande defini- tion av vad för slags behandling som lagen Àr tillÀmplig pÄ.

En annan frÄga som ibland regleras i registerförfattningar Àr om Àven andra uppgifter Àn personuppgifter ska omfattas av regleringen.

Med personuppgifter avses all slags information som direkt eller indirekt kan hÀnföras till en fysisk person som Àr i livet (3 § PuL, se Àven dataskyddsdirektivet artikel 2). Ibland utstrÀcks en reglering i en registerförfattning till att Àven avse uppgifter om avlidna (t.ex. patientdatalagen) eller juridiska personer (t.ex. lagen om behand- ling av uppgifter i Skatteverkets beskattningsverksamhet). Detta har dÄ föranletts av sÀrskilda förhÄllanden inom de reglerade verk- samheterna.

230

SOU 2015:39

AllmÀnna bestÀmmelser

De regler som den nya lagen ska innehÄlla ska gÀlla generellt. Det ter sig mot den bakgrunden inte lÀmpligt att utvidga regle- ringen till att omfatta andra kategorier av registrerade Àn vad som följer av den unionsrÀttsliga dataskyddsregleringen. Förslaget till uppgiftsskyddsförordning innehÄller ingen förÀndring pÄ denna punkt i förhÄllande till dataskyddsdirektivet. De generella bestÀm- melserna i lagen bör sÄledes endast gÀlla för behandling av person- uppgifter i den mening som avses i 3 § PuL.

Det Àr en annan sak att det fortsatt pÄ vissa omrÄden kan finnas anledning att lÄta vissa sÀrbestÀmmelser omfatta Àven uppgifter om avlidna personer eller juridiska personer.

8.3Lagens förhÄllande till personuppgiftslagen

Som har framgÄtt av avsnitt 7.1.3 anser vi alltsÄ att det inte finns skÀl att invÀnta resultatet av reformarbetet inom EU utan att den nya lagen bör ges en utformning som Àr förenlig med gÀllande rÀtt. Den nya lagen mÄste dÀrför förhÄlla sig till personuppgiftslagen. FrÄgan Àr pÄ vilket sÀtt det bör ske.

8.3.1Bakgrund

Tre regleringsmodeller

Enligt 2 § PuL gÀller avvikande bestÀmmelser i annan lag eller för- ordning framför personuppgiftslagens bestÀmmelser. Personuppgifts- lagen Àr sÄledes subsidiÀr i förhÄllande till andra författningar i lag eller förordning.

Vid dataskyddsdirektivets genomförande förutsattes att det skulle finnas ett fortsatt behov, framför allt inom den offentliga sektorn, av sektorspecifik sÀrreglering i sÀrskilda författningar som skulle gÀlla före personuppgiftslagen. Traditionen frÄn datalagens tid med en generellt tillÀmplig lag som kompletteras av specifika register- författningar borde dÀrför fortsÀtta (prop. 1997/98:44 s. 40 f.). Med personuppgiftslagen kom emellertid den lagtekniska konstruktionen för sÀrregleringens förhÄllande till den generella regleringen i per- sonuppgiftslagen att bli en komplex och omdiskuterad frÄga. Olika mer eller mindre parallella lagstiftningsÀrenden ledde till att det

231

AllmÀnna bestÀmmelser

SOU 2015:39

ganska snart efter personuppgiftslagens införande utformades olik- artade konstruktioner. Detta förhÄllande prÀglar Àn i dag register- lagstiftningen och utgör en av delförklaringarna till varför rÀtts- omrÄdet kommit att uppfattas som svÄrtillgÀngligt. Tre förekom- mande varianter eller modeller kan urskiljas, den kompletterande, den hÀnvisande och den heltÀckande modellen.

De flesta registerförfattningar Àr utformade i enlighet med den kompletterande modellen. Den tekniken kÀnnetecknas av att sÀr- regleringen endast kompletterar eller ersÀtter personuppgiftslagen i frÄgor som Àr specifika för de verksamheter som omfattas av sÀrlagstiftningen. Detta innebÀr att den myndighet som berörs mÄste tillÀmpa sÄvÀl den sÀrskilda registerförfattningen som person- uppgiftslagen vid sin behandling av personuppgifter. Personupp- giftslagen ska alltsÄ tillÀmpas om inte annat följer av registerförfatt- ningen eller av föreskrifter som meddelats med stöd av register- författningen. Detta gÀller alldeles oavsett om registerförfattningen i frÄga innehÄller eller inte innehÄller nÄgon bestÀmmelse som anger vilket förhÄllande som gÀller mellan författningen och personupp- giftslagen. FrÄgan om en viss bestÀmmelse innefattar en avvikelse frÄn vad som ska gÀlla enligt personuppgiftslagen fÄr avgöras med tillÀmpning av sedvanliga metoder för tolkning av författningar (prop. 1997/98:44 s. 115 f.). Trots att det i teknisk mening alltsÄ inte mÄste regleras att registerförfattningen och personuppgifts- lagen kompletterar varandra pÄ detta sÀtt innehÄller registerförfatt- ningar ofta bestÀmmelser som ger uttryck för förhÄllandet till per- sonuppgiftslagen, dvs. det anges pÄ ett eller annat sÀtt att person- uppgiftslagen gÀller utöver registerförfattningen.

Den kompletterande modellen, som alltsÄ Àr den vanligaste, gÀller för bl.a. Arbetsförmedlingen, Centrala studiestödsnÀmnden, För- sÀkringskassan, KriminalvÄrden, Skatteverkets skattebrottsenheter, Totalförsvarets rekryteringsmyndighet samt myndigheter inom hÀlso- och sjukvÄrden och socialtjÀnsten. I författningar med denna kon- struktion brukar det uttryckas sÀrskilt hur lagen förhÄller sig till personuppgiftslagen, som regel under en sÀrskild rubrik, exempel- vis FörhÄllandet till personuppgiftslagen eller nÄgot liknande, se t.ex. 2 § lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten, 1 kap. 4 § patientdatalagen (2008:355) och 2 § studiestödsdatalagen (2009:287).

232

SOU 2015:39

AllmÀnna bestÀmmelser

Även i renodlade registerförfattningar förekommer att förhĂ„ll- andet till personuppgiftslagen klargörs genom uttryckliga bestĂ€m- melser. I 3 § lagen om receptregister (1996:1156) och i 2 § lagen (2001:558) om vĂ€gtrafikregister finns exempelvis uttryckliga bestĂ€m- melser av innebörd att personuppgiftslagen gĂ€ller utöver författ- ningen i frĂ„ga. Lagen (2000:224) om fastighetsregister och handels- registerlagen (1974:157) utgör exempel pĂ„ motsatsen.

Enligt den hĂ€nvisande modellen anges i registerförfattningen att den gĂ€ller i stĂ€llet för personuppgiftslagen, om inte annat anges i bestĂ€mmelser i registerförfattningen som hĂ€nvisar till sĂ€rskilt ut- pekade bestĂ€mmelser i personuppgiftslagen som ska vara tillĂ€mp- liga Ă€ven vid behandling av personuppgifter enligt registerförfatt- ningen i frĂ„ga. Även vid den hĂ€nvisande modellen mĂ„ste alltsĂ„ myndigheten tillĂ€mpa sĂ„vĂ€l den sĂ€rskilda registerförfattningen som personuppgiftslagen vid sin behandling av personuppgifter. DĂ€remot behöver man inte jĂ€mföra bestĂ€mmelserna i de bĂ„da författningarna för att komma fram till vad som gĂ€ller. Den hĂ€nvisande modellen anvĂ€nds bl.a. i de informationshanteringsförfattningar som gĂ€ller för behandling av personuppgifter i Skatteverkets beskattnings- och folkbokföringsverksamhet, Kronofogdemyndighetens verksamhet och i Tullverkets verksamhet. Tekniken anvĂ€nds Ă€ven i bl.a. polis- datalagen (2010:361) och i kustbevakningsdatalagen (2012:145) samt föreslĂ„s i en ny lag för personuppgiftsbehandlingen i dom- stolarnas rĂ€ttskipande och rĂ€ttsvĂ„rdande verksamhet (Ds 2013:10).

Vid registerförfattningar som Ă€r konstruerade enligt den hel- tĂ€ckande modellen Ă€r personuppgiftslagen över huvud taget inte tillĂ€mplig betrĂ€ffande den behandling av personuppgifter som reg- leras genom författningen. De bestĂ€mmelser i personuppgiftslagen som trots detta ska tillĂ€mpas i den aktuella verksamheten upprepas i stĂ€llet i registerförfattningen, vilket i praktiken innebĂ€r ett slags dubbelreglering. Fördelen Ă€r att tillĂ€mparen inte behöver lĂ€sa i tvĂ„ olika lagar – registerförfattningen respektive personuppgiftslagen – för att konstatera vilka bestĂ€mmelser som reglerar den aktuella per- sonuppgiftsbehandlingen. Registerförfattningen Ă€r sĂ„ledes heltĂ€ck- ande i det avseendet att den helt ersĂ€tter personuppgiftslagen. Denna modell anvĂ€nds i lagen (2007:258) om behandling av person- uppgifter i Försvarsmaktens försvarsunderrĂ€ttelseverksamhet och militĂ€ra sĂ€kerhetstjĂ€nst samt i lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrĂ€ttelse-

233

AllmÀnna bestÀmmelser

SOU 2015:39

och utvecklingsverksamhet. Den heltÀckande modellen anvÀnds ocksÄ i kameraövervakningslagen (2013:460).

Vissa motivuttalanden rörande regleringsmodell

Man kan frÄga sig av vilka skÀl det har valts olika lösningar för relationen mellan personuppgiftslagen och den aktuella sÀrregleringen. NÄgot givet svar pÄ den frÄgan finns dock inte. För- och nackdelar med de olika modellerna har emellertid diskuterats i förarbeten, en diskussion som hÀr kort ska redogöras för.

En av de första informationshanteringsförfattningar som inför- des efter personuppgiftslagens ikrafttrÀdande var dÄvarande polisdata- lagen (1998:622) som utformades i enlighet med den komplette- rande modellen. Flera remissinstanser, bl.a. JO, hade i stÀllet för- ordat en mer fullstÀndig lösning med en inarbetning i polisdata- lagen av tillÀmpliga bestÀmmelser i personuppgiftslagen. Regeringen avvisade emellertid en sÄdan lösning och anförde att ett system som upprepar personuppgiftslagens bestÀmmelser i polisdatalagen och i de övriga registerförfattningar som mÄste anpassas till personupp- giftslagens bestÀmmelser skulle bli vÀldigt tungrott. Regeringen an- sÄg dÀrför att man borde undvika en dubbelreglering. DÀremot framhölls vikten av att behovet av sÀrreglering noga övervÀgs och att registerlagstiftningen görs sÄ tydlig att det inte rÄder nÄgon tvekan om vilka regler i personuppgiftslagen som gÀller trots sÀr- regleringen (prop. 1997/98:97 s. 97).

Registerförfattningsutredningen kom strax dÀrefter att, i sina förslag rörande personuppgiftsbehandlingen inom bl.a. skatte-, exekution- och tullvÀsendet, föreslÄ en hÀnvisande modell dÀr det angavs vilka bestÀmmelser i personuppgiftslagen som skulle vara tillÀmpliga. Enligt utredningen fanns ett stort vÀrde i att inte lÀmna lagtillÀmparen utan vÀgledning nÀr det gÀller tolkningen av vilka be- stÀmmelser i personuppgiftslagen som Àr tillÀmpliga inom de om- rÄden som regleras i speciallagarna. Utredningen framhöll att Àven om detta innebÀr att det Àr nödvÀndigt för lagtillÀmparen att ha personuppgiftslagen till hands, undanröjs en hel del av det merarbete det innebÀr för denne att gÄ igenom lagarna parallellt och jÀmföra olika bestÀmmelser (SOU 1999:105 s. 204). LagrÄdet fann dock i det aktuella lagstiftningsÀrendet att lagstiftningstekniken var otillfreds-

234

SOU 2015:39

AllmÀnna bestÀmmelser

stÀllande. Den var ocksÄ enligt LagrÄdet riskfylld, med hÀnsyn sÄvÀl till svÄrigheten att överblicka om dataskyddsdirektivet blir till fullo genomfört i registerlagarna som till möjligheten att, vid kommande lagÀndringar, hÀnvisningarna till personuppgiftslagen blir felaktiga eller ofullstÀndiga. Tekniken synes ha tillkommit av hÀnsyn till myn- digheternas bekvÀmlighet men detta syfte skulle enligt LagrÄdet lika gÀrna ha kunnat vinnas genom administrativa anvisningar (prop. 2000/01:33 s. 345). Regeringen valde dock, trots LagrÄdets invÀndningar, att anvÀnda den av utredningen föreslagna hÀnvis- ande modellen och anförde, utöver de skÀl utredningen hade fram- hÄllit, att lagen dÀrmed blir överskÄdlig och tydlig för tillÀmparen. Den medför ocksÄ överskÄdlighet för den enskilde som dÀrigenom lÀttare kan utnyttja de rÀttigheter som tillerkÀnns denne (a. prop. s. 88).

Efter lagstiftningsÀrendet rörande skatte-, exekution- och tull- vÀsendet utformades i stort sett alla nya informationshanterings- författningar enligt den kompletterande modellen, frÄnsett den för Tullverkets brottsbekÀmpande verksamhet frÄn Är 2005. I olika för- arbeten och i utredningsdirektiv uttalade regeringen att de sÀrskilda registerförfattningarna som huvudregel bör gÀlla utöver person- uppgiftslagen och begrÀnsas till att avse frÄgor som Àr specifika för den verksamhet som regleras av lagstiftningen (se t.ex. prop. 2008/09:96 s. 30 f. och dir. 2004:95).

Vid valet av den heltÀckande modellen för informationshante- ringsförfattningarna för Försvarsmaktens underrÀttelsetjÀnst respek- tive Försvarets radioanstalt framhölls som en viktig faktor att data- skyddsdirektivet inte Àr tillÀmpligt pÄ den aktuella personupp- giftsbehandlingen. Det fanns sÄledes inte nÄgot behov av att kunna överblicka om direktivet blivit korrekt genomfört pÄ det aktuella omrÄdet (prop. 2006/07:46 s. 45).

Genom den nu gĂ€llande polisdatalagen kom den hĂ€nvisande modellen att pĂ„ nytt genomföras i en större reform för dataskydds- regleringen inom polisvĂ€sendet. Även kustbevakningsdatalagen Ă€r utformad enligt den hĂ€nvisande modellen. Inte i nĂ„got av dessa fall framförde LagrĂ„det nĂ„gra förnyade invĂ€ndningar. I allt vĂ€sentligt anförde regeringen samma skĂ€l för att vĂ€lja den hĂ€nvisande modellen som i samband med lagstiftningsĂ€rendet för skatte-, exekution- och tullvĂ€sendet (se prop. 2009/10:85 s. 79 f.). Dessutom anfördes att det Ă€r av vĂ€rde att lagar för myndigheter som i allt ökande

235

AllmÀnna bestÀmmelser

SOU 2015:39

omfattning samarbetar Àr uppbyggda enligt samma lagstiftnings- teknik (jfr lagen om behandling av uppgifter i Tullverkets brotts- bekÀmpande verksamhet). Liknande argument för en hÀnvisande lösning anförs i promemorian med förslag till domstolsdatalag (Ds 2013:10 s. 54 f.).

8.3.2VÄra övervÀganden och förslag

Förslag och bedömning: Lagen ska gÀlla i stÀllet för personupp- giftslagen. Den ska dock sÀrskilt hÀnvisa till vissa bestÀmmelser i personuppgiftslagen som ska tillÀmpas pÄ motsvarande sÀtt vid myndigheters behandling av personuppgifter enligt den nya lagen. SÄdana hÀnvisningar ska bl.a. göras till bestÀmmelserna om defi- nitioner och om förhÄllandet till offentlighetsprincipen.

Det finns ett antal bestÀmmelser i personuppgiftslagen som över huvud taget inte Àr aktuella att tillÀmpa pÄ myndighets- omrÄdet. Det finns vidare ett antal regler i personuppgiftslagen som visserligen skulle kunna sÀgas ha relevans Àven vid myndig- heters behandling av personuppgifter men som ÀndÄ inte bör vara tillÀmpliga vid personuppgiftsbehandling enligt den nya lagen. Det gÀller bl.a. den s.k. missbruksregeln i 5 a §, bestÀmmelsen om personuppgiftsbehandling för direkt marknadsföring i 11 § och bestÀmmelsen om automatiserade beslut i 29 §.

FörhÄllandet till personuppgiftslagen

Det Àr vÀsentligt att den lagtekniska konstruktionen för hur för- hÄllandet mellan den nya lagen och personuppgiftslagen ska reg- leras blir ÀndamÄlsenlig. I det ligger framför allt en ambition att regleringen ska vara tydlig, lÀtt att tillÀmpa och inte riskera att ge upphov till osÀkerhet. De redovisade modeller som förekommer bland gÀllande registerförfattningar Àr, som framgÄtt, alla förenade med vissa nackdelar. Vi har emellertid inte funnit nÄgon ytterligare regleringsteknik som eliminerar samtliga dessa nackdelar. NÄgon av de nÀmnda modellerna bör dÀrför vÀljas.

Vid valet av modell bör beaktas att lagen kommer att ha en mycket brett tillÀmpningsomrÄde, i vart fall efter hand. Det Àr

236

SOU 2015:39

AllmÀnna bestÀmmelser

dĂ€rför Ă€ndamĂ„lsenligt med en reglering som Ă€r sĂ„ ”sjĂ€lvbĂ€rande” som möjligt, dvs. som inte i nĂ„gon större omfattning förutsĂ€tter att det ska göras komplicerade analyser av relationen mellan bestĂ€m- melser i den nya lagen respektive personuppgiftslagen. Detta skulle kunna sĂ€gas tala för att utforma lagen i enlighet med den heltĂ€ck- ande modellen dĂ€r man alltsĂ„ inför bestĂ€mmelser som motsvarar sĂ„dana bestĂ€mmelser i personuppgiftslagen som ska vara tillĂ€mp- liga. En sĂ„dan lösning skulle emellertid bli mycket tungrodd och resultera i en omotiverad dubbelreglering. Till detta kommer att den nya lagen inte syftar till en ny implementering av dataskydds- direktivet pĂ„ myndighetsomrĂ„det utan till att skapa en för myndig- heter bĂ€ttre anpassad reglering avseende de sĂ€rförhĂ„llanden som inte pĂ„ ett adekvat sĂ€tt kunnat tas om hand genom personupp- giftslagens generella reglering. En heltĂ€ckande lag torde vidare göra nödvĂ€ndiga reformer i samband med införandet av den allmĂ€nna uppgiftsskyddsförordningen avsevĂ€rt mer komplicerade. En hel- tĂ€ckande modell bör dĂ€rför inte vĂ€ljas.

Vi instĂ€mmer i de invĂ€ndningar mot den kompletterande modellen som framförts genom Ă„ren om att det inte sĂ€llan uppstĂ„r svĂ„rig- heter att bedöma vilka bestĂ€mmelser i personuppgiftslagen som fortfarande Ă€r tillĂ€mpliga vid behandling av personuppgifter enligt en informationshanteringsförfattning. FrĂ„ga kan t.ex. uppstĂ„ huru- vida en bestĂ€mmelse i författningen helt eller delvis ersĂ€tter en viss bestĂ€mmelse i personuppgiftslagen eller om den ”bara” komplette- rar bestĂ€mmelsen som alltsĂ„ fortfarande skulle kunna vara tillĂ€mp- lig i och för sig. Det Ă€r ocksĂ„ svĂ„rt att bedöma vilka konsekvenser Ă€ndringar i personuppgiftslagen fĂ„r pĂ„ tillĂ€mpningsomrĂ„det för registerförfattningar utformade enligt den kompletterande modellen. Ett exempel Ă€r införandet av den s.k. missbruksregeln (5 a § PuL). Enligt den bestĂ€mmelsen behöver vissa centrala bestĂ€mmelser i per- sonuppgiftslagen inte tillĂ€mpas vid behandling av personuppgifter i s.k. ostrukturerat material. I förarbetena till missbruksregeln berördes inte vilka konsekvenser den nya bestĂ€mmelsen skulle fĂ„ för dĂ„ gĂ€llande informationshanteringsförfattningar vars tillĂ€mpnings- omrĂ„de omfattar personuppgiftsbehandling i bĂ„de strukturerat och ostrukturerat material. Ofta har dessa sĂ€rlagar, sĂ„vitt kan förstĂ„s av deras förarbeten, utformats med den förutsĂ€ttningen att exempel- vis de grundlĂ€ggande kraven i 9 § PuL alltid ska gĂ€lla. Det kan alltsĂ„ konstateras att den farhĂ„ga LagrĂ„det förde fram rörande den hĂ€n-

237

AllmÀnna bestÀmmelser

SOU 2015:39

visande modellen, om att svÄrigheter kan uppstÄ genom att hÀnvis- ningar blir felaktiga om personuppgiftslagen Àndras, har ett slags mot- svarighet betrÀffande vilka konsekvenser Àndringar i personuppgifts- lagen fÄr för registerförfattningar utformade enligt den komplette- rande modellen.

Vi menar att övervÀgande skÀl talar för att den hÀnvisande modellen Àr den mest lÀmpliga lagtekniska konstruktionen betrÀff- ande den nya lagens förhÄllande till personuppgiftslagen. DÀrigenom blir regleringen tydlig och lÀttillÀmpad. Vi menar ocksÄ att den modellen erfarenhetsmÀssigt skapar bÀst förutsÀttningar för att undvika att oklara rÀttslÀgen uppstÄr. Vidare bedömer vi att den hÀnvisande modellen Àr avgjort bÀst lÀmpad för att möta de för- Àndringar som kan antas komma att behöva ske som ett resultat av ett införande av en unionsrÀttslig uppgiftsskyddsförordning.

Vi föreslĂ„r dĂ€rför en bestĂ€mmelse som innebĂ€r att den nya lagen ska gĂ€lla i stĂ€llet för personuppgiftslagen och att det sĂ€rskilt hĂ€nvisas till vissa bestĂ€mmelser i personuppgiftslagen som ska tillĂ€mpas pĂ„ motsvarande sĂ€tt vid myndigheters behandling av per- sonuppgifter enligt den nya lagen. Anledningen till uttrycket ”pĂ„ motsvarande sĂ€tt” Ă€r att flertalet bestĂ€mmelser i personuppgifts- lagen avser situationer dĂ„ nĂ„got görs ”enligt lagen” eller sĂ„ refereras pĂ„ annat sĂ€tt till ”lagen”. Med lagen avses i dessa bestĂ€mmelser personuppgiftslagen. Meningen Ă€r emellertid att syftningen, i de fall en hĂ€nvisning görs frĂ„n den nya lagen, ska avse den lagen och inte personuppgiftslagen (jfr prop. 2012/13:163 s. 47 f. och 109).

Nedan gör vi vissa allmĂ€nna övervĂ€ganden rörande vissa bestĂ€m- melser som vi föreslĂ„r att den nya lagen ska hĂ€nvisa till eller som vi föreslĂ„r inte ska vara tillĂ€mpliga vid behandling av personuppgifter enligt lagen. BetrĂ€ffande flertalet bestĂ€mmelser i personuppgifts- lagen kommer det att i kapitel 9–18 nĂ€rmare behandlas huruvida vi föreslĂ„r hĂ€nvisningar eller om ersĂ€ttande bestĂ€mmelser innehĂ„ll- ande motsvarigheter till bestĂ€mmelser i personuppgiftslagen i stĂ€llet föreslĂ„s. I detta kapitel behandlas bara de bestĂ€mmelser som rör mer allmĂ€nna frĂ„gor eller som inte anknyter till nĂ„got av de följ- ande kapitlen.

238

SOU 2015:39

AllmÀnna bestÀmmelser

Vissa bestÀmmelser i personuppgiftslagen som bör gÀlla enligt den nya lagen

I 3 § PuL definieras ett antal begrepp – behandling (av personupp- gifter), blockering (av personuppgifter), mottagare, personuppgifter, personuppgiftsansvarig, personuppgiftsbitrĂ€de, personuppgifts- ombud, den registrerade, samtycke, tillsynsmyndighet, tredjeland och tredje man – som har sin motsvarighet i artikel 2 i dataskydds- direktivet. I ett flertal fall anvĂ€nds motsvarande begrepp i den nya lagen. Dessa bör g