Myndighetsdatalag
SlutbetÀnkande av Informationshanteringsutredningen
Stockholm 2015
SOU 2015:39
SOU och Ds kan köpas frÄn Fritzes kundtjÀnst.
BestÀllningsadress: Fritzes kundtjÀnst, 106 47 Stockholm
Ordertelefon:
Webbplats: fritzes.se
För remissutsÀndningar av SOU och Ds svarar Fritzes Offentliga Publikationer pÄ uppdrag av Regeringskansliets förvaltningsavdelning.
Svara pĂ„ remiss â hur och varför.
StatsrÄdsberedningen, SB PM 2003:2 (reviderad
En kort handledning för dem som ska svara pÄ remiss. HÀftet Àr gratis och kan laddas ner som pdf frÄn eller bestÀllas pÄ regeringen.se/remiss.
Layout: Kommittéservice, Regeringskansliet.
Omslag: Elanders Sverige AB.
Tryck: Elanders Sverige AB, Stockholm 2015.
ISBN
ISSN
Till statsrÄdet och chefen för
Justitiedepartementet
Den 6 oktober 2011 bemyndigade regeringen chefen för Justitie- departementet att tillkalla en sÀrskild utredare med uppdrag att se över den s.k. registerlagstiftningen och vissa dÀrmed sammanhÀngande frÄgor. Regeringen beslutade samtidigt om direktiv för utredningen (dir. 2011:11).
Till sÀrskild utredare förordnades frÄn och med den 25 oktober 2011 justitierÄdet Henrik Jermsten.
Utredningen har antagit namnet Informationshanteringsutred- ningen (Ju 2011:11).
I januari 2013 lĂ€mnades delbetĂ€nkandet Ăverskottsinformation vid direktĂ„tkomst (SOU 2012:90).
Den 6 mars 2014 beslutade regeringen tillÀggsdirektiv med förÀnd- rad inriktning avseende metoden för översynen m.m. (dir. 2014:31). Nya tillÀggsdirektiv om viss förlÀngning av redovisningstiden be- slutades den 20 november 2014 (dir. 2014:147).
Utredaren har bitrÀtts av en sakkunnig, experter och ett sekretariat. Medverkande i den del av uppdraget som redovisas i detta betÀnkande anges pÄ omstÄende sidor.
HÀrmed överlÀmnas slutbetÀnkandet Myndighetsdatalag (SOU 2015:39).
Till betÀnkandet fogas ett sÀrskilt yttrande av experten Per Furberg.
Uppdraget Àr hÀrmed slutfört.
Stockholm i april 2015
Henrik Jermsten
/Elisabet Reimers
Anna Tansjö
Förteckning över sakkunnig, experter och sekreterare som deltagit i utredningsarbetet fr.o.m. januari 2013.
(förordnade fr.o.m. den 16 januari 2012 om inget annat anges)
Sakkunnig
Eva Lenberg, rÀttschef, Utbildningsdepartementet
Experter
Maria Arnell, dÄvarande rÀttssakkunnig, Justitiedepartementet (fr.o.m.
Malgorzata Drewniak, jurist, LantmÀteriet
Per Furberg, advokat, numera Advokataktiebolaget Per Furberg Anneli Hagdahl, Àmnessakkunnig, NÀringsdepartementet (t.o.m.
Per HultengÄrd, chefsjurist, Tidningsutgivarna Torbjörn Hörnfeldt, enhetschef, Riksarkivet
Linn Kempe, förvaltningsjurist, Bolagsverket, (med uppehÄll fr.o.m.
Irene
Svante Nygren, analytiker, Myndigheten för samhÀllsskydd och beredskap
Cecilia Magnusson Sjöberg, professor, Stockholms universitet Nils Sjöblom, rÀttssakkunnig, Justitiedepartementet
(fr.o.m.
Per Trehörning, ombudsman, Svenska Journalistförbundet Monika Vestin, dÄvarande förvaltningsjurist, Bolagsverket (fr.o.m.
Mikael Westberg, numera chefsjurist, Pensionsmyndigheten, tidigare verksamhetsomrÄdeschef, FörsÀkringskassan (fr.o.m.
Staffan Wikell, förbundsjurist, Sveriges Kommuner och Landsting (fr.o.m.
Maria Ăstgren, rĂ€ttslig expert, Skatteverket
Sekreterare
Katarina Dunnington, dÄvarande kammarrÀttsassessor (t.o.m.
Elisabet Reimers, kammarrÀttsrÄd, (fr.o.m.
InnehÄll
1.2Förslag till lag om Àndring i offentlighets- och
InnehÄll |
SOU 2015:39 |
5.1Problembild enligt direktiven och utredningens
delbetÀnkande ........................................................................ |
||
Direktiven................................................................... |
||
5.2Nuvarande regler som i allmÀn mening styr
8
SOU 2015:39 |
InnehÄll |
5.4Uppgiftsutbyte genom utlÀmnande pÄ medium för
9
InnehÄll |
SOU 2015:39 |
7.2En generell lag för myndigheters behandling av
10
SOU 2015:39 InnehÄll
9.1Hur bestÀms vad som Àr en statlig eller kommunal
9.3TillÄten behandling av sÀrskilda kategorier av
11
InnehÄll |
SOU 2015:39 |
12
13
InnehÄll |
SOU 2015:39 |
14
15
InnehÄll |
SOU 2015:39 |
16
Förkortningar m.m.
Förkortningar
BrB |
brottsbalken |
 |
|
dataskyddsdirektivet |
Europaparlamentets och rÄdets |
||
 |
direktiv 95/46/EG av den 24 ok- |
||
 |
tober 1995 om skydd för en- |
||
 |
skilda personer med avseende pÄ |
||
 |
behandling |
av |
personuppgifter |
 |
och om det fria flödet av sÄdana |
||
 |
uppgifter |
 |
 |
DIFS |
Datainspektionens författnings- |
||
 |
samling |
 |
 |
dir. |
direktiv |
 |
 |
dnr |
diarienummer |
 |
|
Ds |
Departementsserien |
||
EU |
Europeiska unionen |
||
Europeiska unionens |
|||
 |
domstol/Europeiska |
||
 |
gemenskapernas domstol |
||
Fördraget om Europeiska |
|||
 |
unionen |
 |
 |
Europadomstolen |
Europeiska domstolen för de |
||
 |
mÀnskliga rÀttigheterna |
||
Europakonventionen |
Europeiska konventionen den |
||
 |
4 november 1950 angÄende |
||
 |
skydd för de mÀnskliga rÀttig- |
||
 |
heterna och |
de |
grundlÀggande |
 |
friheterna |
 |
 |
f. |
följande sida/sidor |
||
FL |
förvaltningslagen (1986:223) |
||
 |
 |
 |
17 |
Förkortningar m.m. |
SOU 2015:39 |
FPL |
förvaltningsprocesslagen |
 |
(1971:291) |
HFD |
Högsta förvaltningsdomstolens |
 |
Ă„rsbok |
JK |
Justitiekanslern |
Ju |
Justitiedepartementet |
JO |
Riksdagens ombudsmÀn |
KL |
kommunallagen (1991:900) |
kommissionen |
Europeiska kommissionen |
KU |
konstitutionsutskottet |
MSBFS |
Myndigheten för samhÀllsskydd |
 |
och beredskaps författningssam- |
 |
ling |
NJA |
Nytt juridiskt arkiv, avdelning I |
OSL |
offentlighets- och sekretesslagen |
 |
(2009:400) |
prop. |
regeringens proposition |
PuF |
personuppgiftsförordningen |
 |
(1998:1191) |
PuL |
personuppgiftslagen (1998:204) |
Riksarkivets |
|
 |
författningssamling |
RB |
rÀttegÄngsbalken |
RF |
regeringsformen |
RO |
riksdagsordningen |
RĂ |
RegeringsrÀttens Ärsbok |
SekrL |
sekretesslagen (1980:100) |
SFB |
socialförsÀkringsbalken |
SkL |
skadestÄndslagen (1972:207) |
skr. |
regeringens skrivelse |
SOU |
Statens offentliga utredningar |
TU |
trafikutskottet |
TF |
tryckfrihetsförordningen |
18
SOU 2015:39 Förkortningar m.m.
uppgiftsskyddsförordningen |
Europeiska |
kommissionens för- |
|
 |
slag den 25 januari 2012 till |
||
 |
Europaparlamentets |
och rÄdets |
|
 |
förordning om skydd för en- |
||
 |
skilda personer med avseende pÄ |
||
 |
behandling |
av personuppgifter |
|
 |
och om det fria flödet av sÄdana |
||
 |
uppgifter |
(allmÀn |
uppgifts- |
 |
skyddsförordning) |
 |
Kortformer för viss citerad litteratur
Hellners/Malmqvist |
Trygve Hellners, Bo Malmqvist, |
||||
 |
Förvaltningslagen. |
Med |
kom- |
||
 |
mentarer, 31 maj 2010, Zeteo |
||||
Holmberg m.fl. |
Erik Holmberg, Nils Stjernquist, |
||||
 |
Magnus |
Isberg, |
Marianne |
||
 |
Eliason, Göran Regner, Grund- |
||||
 |
lagarna. 1 januari 2012, Zeteo |
||||
Lenberg m.fl. |
Eva Lenberg, |
Ulrika |
Geijer, |
||
 |
Anna Tansjö, Offentlighets- och |
||||
 |
sekretesslagen. |
En |
kommentar, |
||
 |
2009, 1 juli 2014, Zeteo |
 |
|||
Ăman/Lindblom |
Sören |
Ăman, |
|||
 |
Lindblom, Personuppgiftslagen. |
||||
 |
En kommentar, uppl. 4:1, 2011 |
19
Sammanfattning
VĂ„rt uppdrag
I detta slutbetĂ€nkande redovisar vi vĂ„rt övergripande uppdrag att se över den s.k. registerlagstiftningen, ett rĂ€ttsomrĂ„de som omfattar ett stort antal sektors- eller myndighetsspecifika lagar och förord- ningar som kompletterar personuppgiftslagen (1998:204) och inne- hĂ„ller bestĂ€mmelser om statliga och kommunala myndigheters be- handling av personuppgifter. Denna översyn ska ske genom att utreda förutsĂ€ttningarna för att skapa en generell, enhetlig och â helt eller i vart fall delvis â samlad reglering för myndigheternas behandling av personuppgifter (dir. 2014:31). Den brottsbekĂ€mp- ande verksamheten ingĂ„r dock inte i vĂ„rt uppdrag.
Det kan inledningsvis pÄpekas att vÄrt uppdrag i huvudsak Àr ett lagtekniskt reformarbete med inriktning pÄ att göra nu gÀllande rÀtt betrÀffande dataskydd tydligare pÄ myndighetsomrÄdet. NÄgra betydande förÀndringar vad gÀller om och hur myndigheter fÄr be- handla personuppgifter eller omprövningar av tidigare avvÀgningar mellan t.ex. effektivitetsstrÀvanden och skyddet för enskildas per- sonliga integritet ingÄr alltsÄ inte i uppdraget.
Problembild
VÄrt uppdrag har sin bakgrund i att det i olika sammanhang fram- förts kritik mot registerlagstiftningen för att vara ett svÄröverblick- bart och fragmenterat rÀttsomrÄde med bristande enhetlighet i struktur och normtekniska lösningar samt med, i en del fall, otill- rÀcklig anpassning till annan lagstiftning av central betydelse för myndigheternas informationshantering sÄsom tryckfrihetsförord- ningens bestÀmmelser om allmÀnna handlingar och offentlighets- och sekretesslagen (2009:400). Vi delar i stort denna problembild
21
Sammanfattning |
SOU 2015:39 |
och har kunnat konstatera att problemen skapar osÀkerhet i tillÀmp- ningen, vilket bl.a. gör uppgiftsutbyte och annat samarbete mellan myndigheter onödigt komplicerat. Det försvÄrar ocksÄ för enskilda registrerade och allmÀnheten att förstÄ vad som egentligen gÀller för myndigheters informationshantering. Vidare Àr det ett problem i sig att registerlagar ofta behöver Àndras till följd av att myndig- heterna fÄr nya uppgifter.
Ett ytterligare problem som vi identifierat Àr att den allmÀnna regleringen i personuppgiftslagen har utformats utan hÀnsyn till de sÀrskilda förhÄllanden som gÀller för myndigheters personuppgifts- behandling. För myndigheter i allmÀnhet, dvs. inte bara för sÄdana som omfattas av sÀrskild registerlagstiftning, prÀglas personupp- giftsbehandlingen av att den sker i verksamheter som Àr författ- ningsreglerade, oftast i frÄga om sÄvÀl vad som ska göras som hur det ska göras. Den informationshantering som verksamheten gene- rerar styrs vidare av, utöver tidigare nÀmnda regelverk, annan cen- tral reglering, exempelvis förvaltningslagen (1986:223) och arkiv- lagen (1990:782) som alltsÄ gÀller utöver personuppgiftslagen. Detta förhÄllande innebÀr generellt sett en avgörande skillnad i jÀmförelse med personuppgiftsbehandling inom den enskilda sektorn.
Inledande stÀllningstaganden och utgÄngspunkter för en generell reglering
Mot bakgrund av bl.a. den beskrivna problembilden finns ett ange- lÀget behov av förÀndringar i den reglering som rör personuppgifts- behandling inom den offentliga sektorn. En samlad reglering i en lag om myndigheters behandling av personuppgifter gör det möj- ligt att Ästadkomma ett tydligt regelverk som Àr lÀttare att tillÀmpa och bÀttre anpassat till övrig reglering av betydelse för myndig- heters informationshantering. En sammanhÄllen lag ger ocksÄ bÀttre förutsÀttningar för allmÀnhetens insyn och för enskilda registrerades möjligheter att göra gÀllande sina rÀttigheter enligt det dataskydds- rÀttsliga regelverket. Till bilden hör vidare att en samlad reglering Àr mer ÀndamÄlsenlig för att möta den förÀndring som förvÀntas ske pÄ det unionsrÀttsliga omrÄdet genom en
22
SOU 2015:39 |
Sammanfattning |
Vi föreslĂ„r dĂ€rför en ny lag â myndighetsdatalagen â som företer likheter med förekommande registerförfattningar men som inne- hĂ„ller bestĂ€mmelser som kan gĂ€lla generellt för alla statliga och kommunala myndigheters personuppgiftsbehandling frĂ„nsett den brottsbekĂ€mpande sektorn.
VÄrt förslag till ny lag har arbetats fram utifrÄn bl.a. följande utgÄngspunkter.
Regleringen bör utformas som en renodlad persondataskydds- reglering som bara tar sikte pÄ frÄgor om skydd för personupp- gifter som uppstÄr i myndigheternas elektroniska informationshante- ring, vilken Àr en integrerad del av myndigheternas verksamheter pÄ alla nivÄer. BestÀmmelserna i den nya lagen ska alltsÄ inte i nÄgot avseende syfta till att reglera en myndighets sakverksamhet.
Till den nya lagen ska det kunna finnas bilagor och en anslut- ande förordning. Efter hand som behov av sektors- eller myndig- hetsspecifika sĂ€rregler uppstĂ„r kan sĂ„dana tas in i en systematiskt ordnad reglering som kompletterar den nya lagen. PĂ„ sĂ„ sĂ€tt uppnĂ„s ett sammanhĂ„llet ramverk med enhetligt utformad reglering bĂ„de vad avser förhĂ„llanden som kan regleras generellt och förhĂ„llanden dĂ€r fortsatta sĂ€rregler â utifrĂ„n nĂ€rmare avvĂ€gningar mellan integri- tetsintressen och t.ex. effektivitetshĂ€nsyn pĂ„ omrĂ„det i frĂ„ga â behöver finnas. Det Ă€r dock vĂ„r bedömning att behovet av fortsatt sĂ€rreglering kommer att minska betydligt.
Det Àr vÄr uppfattning att den sÀrreglering av persondataskydds- frÄgor som Àven fortsÀttningsvis behöver finnas oftast ska kunna ges i förordning, vilket förenklar regelgivningen och underlÀttar nödvÀndiga förÀndringar vid Àndringar i myndigheternas uppgifter m.m. Normgivningsreglerna i regeringsformen krÀver normalt inte lagform för reglering av detta slag. Det sagda utesluter givetvis inte att lagnivÄ ibland krÀvs eller i vart fall framstÄr som lÀmplig av hÀn- syn till skyddet för enskildas integritet.
Den nya lagen utesluter inte att det Àven fortsÀttningsvis för vissa myndigheter eller verksamheter kan komma att bedömas vara mera lÀmpligt frÄn lagtekniska, systematiska eller andra synpunkter med sÀrreglering i separat författning som gÀller utöver den nya lagen, pÄ motsvarande sÀtt som mÄnga registerlagar i dag förhÄller sig till personuppgiftslagen.
Renodlade registerförfattningar om inrÀttandet och förandet av specifika register utgör ett slags verksamhetsreglering som Àven i
23
Sammanfattning |
SOU 2015:39 |
fortsÀttningen bör regleras i sÀrskild ordning, dvs. utanför den sam- lade regleringen.
Eftersom en kommande
â fortfarande Ă€r i hög grad oklart bör den nya lagen vara anpassad till gĂ€llande rĂ€tt pĂ„ persondataskyddsomrĂ„det, dvs. till personuppgifts- lagen.
Om myndighetsdatalagens innehÄll
Lagens syfte och tillÀmpningsomrÄde
Lagens syfte ska vara att dels ge myndigheter möjlighet att behandla personuppgifter pÄ ett ÀndamÄlsenligt sÀtt i deras verksamheter, dels skydda mÀnniskor mot att deras personliga integritet krÀnks vid sÄdan behandling.
Lagen ska i princip tillÀmpas av alla statliga och kommunala myn- digheter vid behandling av personuppgifter som Àr helt eller delvis automatiserad eller avser manuell registerföring.
Vissa verksamheter undantas dock frÄn lagens tillÀmpnings- omrÄde nÀmligen 1) en myndighets administrativa verksamhet, 2) en myndighets verksamhet som personuppgiftsbitrÀde och 3) sÄdan verksamhet som bedrivs av behöriga myndigheter i syfte att före- bygga, förhindra eller upptÀcka brottslig verksamhet, utreda eller beivra brott eller verkstÀlla straffrÀttsliga pÄföljder.
FörhÄllandet till avvikande bestÀmmelser i annan lag eller förordning och till personuppgiftslagen
Lagen ska â med undantag för personuppgiftslagen och bestĂ€m- melser som meddelats med stöd av den lagen â vara subsidiĂ€r i förhĂ„llande till bestĂ€mmelser i annan lag eller förordning som av- viker frĂ„n lagens bestĂ€mmelser. Lagen har vidare konstruerats pĂ„ det sĂ€ttet att den gĂ€ller i stĂ€llet för personuppgiftslagen, dock att det sĂ€rskilt hĂ€nvisas till vissa bestĂ€mmelser i personuppgiftslagen som ska tillĂ€mpas pĂ„ motsvarande sĂ€tt vid myndigheters behand- ling av personuppgifter enligt den nya lagen. Enligt dessa hĂ€nvis- ningar ska alltsĂ„ personuppgiftslagens bestĂ€mmelser om defini-
24
SOU 2015:39 |
Sammanfattning |
tioner (3 §), förhĂ„llandet till handlingsoffentligheten och arkivlag- stiftningen (8 §) och grundlĂ€ggande krav pĂ„ behandlingen (9 §) gĂ€lla. Dessutom hĂ€nvisas till personuppgiftslagens förbud mot behandling av sĂ„dana personuppgifter som definieras som kĂ€nsliga (13 §) samt till undantagen frĂ„n förbudet vid behandling med den registrerades uttryckliga samtycke (15 §), i vissa fall av nödvĂ€ndig behandling (16 §), för hĂ€lso- och sjukvĂ„rdsĂ€ndamĂ„l (18 §) samt för forsknings- eller statistikĂ€ndamĂ„l (19 §). Vidare ska, i huvudsak, personuppgiftslagens bestĂ€mmelser om information som ska lĂ€mnas till den registrerade â dels i samband med att uppgifter samlas in, dels pĂ„ begĂ€ran â tillĂ€mpas (23, 25 och 26 §) liksom bestĂ€mmelserna om överföring till tredjeland
Den s.k. missbruksregeln i 5 a § PuL föreslÄs inte vara tillÀmplig pÄ myndighetsomrÄdet och nÄgot liknande generellt undantag frÄn personuppgiftslagens s.k. hanteringsregler införs inte i den nya lagen. VÄr analys av den frÄgan har resulterat i bedömningen att ett sÄdant generellt undantag frÄn hanteringsreglerna sÄvitt avser be- handling av personuppgifter i s.k. ostrukturerat material varken behövs pÄ myndighetsomrÄdet eller framstÄr som en rÀttsligt be- fogad begrÀnsning i förhÄllande till dataskyddsdirektivets krav. Endast i ett avseende innehÄller den nya lagen ett motsvarande undantag, nÀmligen i frÄga om information till den registrerade som ska lÀmnas efter ansökan (26 § PuL). SÄdan information be- höver inte omfatta personuppgifter som behandlas i ostrukturerat material.
Personuppgiftsansvar och personuppgiftsbitrÀden
I den nya lagen införs en generell regel som innebÀr att en myn- dighet alltid Àr personuppgiftsansvarig för den behandling som myn- digheten utför. Vidare klargörs att personuppgiftsansvaret Àven omfattar sÄdan behandling som en mottagande myndighet utför nÀr denna via direktÄtkomst hos en annan myndighet eller enskild i
25
Sammanfattning |
SOU 2015:39 |
ett enskilt fall genom en överföring faktiskt behandlar en tillgÀnglig personuppgift.
Det som föreskrivs i personuppgiftslagen om att ett person- uppgiftsbitrÀde eller den som arbetar under bitrÀdets ledning bara fÄr behandla personuppgifter i enlighet med den personuppgifts- ansvariges instruktioner ska gÀlla genom att motsvarande bestÀm- melser tas in i den nya lagen. Detsamma gÀller kravet pÄ att det ska finnas ett skriftligt avtal med personuppgiftsbitrÀdet liksom kraven pÄ vad avtalet ska innehÄlla. Utöver detta införs ett krav pÄ att av- talet ska innehÄlla dokumentation om den personuppgiftsansvariga myndighetens instruktioner till bitrÀdet samt ett förbud mot att bitrÀdet anlitar ett annat bitrÀde, ett s.k. underbitrÀde, utan god- kÀnnande frÄn den personuppgiftsansvariga myndigheten. Samma villkor om avtal och instruktioner ska gÀlla för ett sÄdant under- bitrÀde.
NÀr behandling kan tillÄtas
I lagen införs en samlad rÀttslig grund för behandling av person- uppgifter som ersÀtter bestÀmmelserna i 10 §
NĂ„gon begrĂ€nsning av för vilka Ă€ndamĂ„l som myndigheter fĂ„r behandla personuppgifter föreslĂ„s inte i den nya lagen. DĂ€rmed blir huvudregeln att det Ă€r den personuppgiftsansvariga myndigheten som, inom ramen för sitt uppdrag, har att nĂ€rmare specificera för vilket eller vilka Ă€ndamĂ„l personuppgifter behandlas i verksam- heten. Dessa Ă€ndamĂ„l mĂ„ste uppfylla det grundlĂ€ggande kravet pĂ„ att vara sĂ€rskilda och uttryckligt angivna redan vid insamlingen. Ăven framöver kan det dock pĂ„ vissa omrĂ„den, t.ex. i frĂ„ga om vissa sĂ€rskilt integritetskĂ€nsliga informationssamlingar, finnas anledning att genom sĂ€rskilda föreskrifter i lag eller förordning om Ă€ndamĂ„ls- begrĂ€nsningar ange ramar för myndigheters personuppgiftsbehand- ling. SĂ„dana föreskrifter kan tas in i den till lagen anslutande
26
SOU 2015:39 |
Sammanfattning |
förordningen alternativt, för det fall lagnivÄ undantagsvis anses nöd- vÀndig eller lÀmplig, i bilaga till lagen.
SĂ€rskilda kategorier av personuppgifter
Ytterligare undantag frÄn förbudet att behandla kÀnsliga personuppgifter
Utöver vad som följer av 15, 16, 18 och 19 §§ PuL tillÄts myn- digheter att behandla kÀnsliga personuppgifter om uppgifterna har lÀmnats i ett Àrende eller Àr nödvÀndiga för handlÀggning av det. I annan verksamhet fÄr kÀnsliga personuppgifter behandlas endast i löpande text. Regeringen eller den myndighet som regeringen be- stÀmmer bemyndigas att medge ytterligare undantag, om det be- hövs med hÀnsyn till ett viktigt allmÀnt intresse.
Personnummer i beslut m.m.
Enligt en sÀrskild bestÀmmelse i lagen fÄr personnummer och sam- ordningsnummer tas in i en myndighets beslut endast om beslutet rör en enskilds identitet eller motsvarande personliga förhÄllanden. SÄdana uppgifter fÄr ocksÄ tas in i ett beslut om det Àr nödvÀndigt för att beslutet ska kunna verkstÀllas eller om det krÀvs med hÀnsyn till beslutande myndighets behov av identifieringsuppgifter. Vid övrig behandling, dvs. som inte avser beslut, sÀtter de grundlÀggande kraven enligt 9 § PuL grÀnserna för i vilken omfattning personnummer eller samordningsnummer fÄr behandlas.
Sökförbud
Enligt en bestÀmmelse i lagen ska gÀlla att myndigheter vid en sök- ning fÄr som sökbegrepp anvÀnda uppgifter som avslöjar ras eller etniskt ursprung, politiska Äsikter, religiös eller filosofisk övertyg- else eller medlemskap i fackförening eller uppgifter som rör hÀlsa eller sexualliv endast i den utstrÀckning som det finns sÀrskilt för- fattningsstöd för det. SÄdant stöd kan anges genom föreskrifter som tas in i bilaga till lagen, i annan lag eller i förordning. DÀrmed gÀller alltsÄ som huvudregel ett generellt förbud för myndigheter
27
Sammanfattning |
SOU 2015:39 |
att som sökbegrepp anvÀnda uppgifter som leder till att kÀnsliga personuppgifter sammanstÀlls. Förbudet gÀller sÄvÀl sökningar i myndighetens egna informationssamlingar som i frÄga om person- uppgifter som myndigheten har tillgÄng till genom direktÄtkomst och har betydelse för vilka sammanstÀllningar, s.k. potentiella hand- lingar, som enligt 2 kap. 3 § andra stycket TF anses vara förvarade allmÀnna handlingar hos myndigheten. I bestÀmmelsen klargörs dock att förbudet inte gÀller vid sökning i en viss handling eller i ett visst Àrende. Regeringen bemyndigas att meddela föreskrifter om sökbegrÀnsningar i frÄga om andra uppgiftskategorier Àn de som förbjuds i lagen.
SÀkerhet till skydd för personuppgifter
Skyldigheterna i frÄga om sÀkerhetsÄtgÀrder och lÀmplig sÀkerhets- nivÄ framgÄr genom en bestÀmmelse i lagen som ersÀtter 31 § första stycket PuL. Enligt bestÀmmelsen Àr myndigheter skyldiga att vidta lÀmpliga tekniska och organisatoriska ÄtgÀrder för att skydda de personuppgifter som behandlas. à tgÀrderna ska Ästadkomma en lÀmplig sÀkerhetsnivÄ som ska bestÀmmas utifrÄn de risker som behandlingen medför och personuppgifternas karaktÀr. Vidare anges att sÀkerhetsarbetet ska omfatta förebyggande, löpande och upp- följande ÄtgÀrder samt att sÀkerhetsarbetet ska ske med beaktande av andra föreskrifter om informationssÀkerhet i lag eller annan för- fattning. HÀrmed klargörs den nÀra kopplingen mellan den person- dataskyddsrÀttsliga regleringen av sÀkerheten för personuppgifter och det vidare regelverk om informationssÀkerhet som myndig- heterna ocksÄ Àr skyldiga att följa.
Vidare föreskrivs en skyldighet för varje myndighet att se till att anstÀllda bara ges tillgÄng till personuppgifter utifrÄn vad som krÀvs för arbetsuppgifterna. Detta ska gÀlla i frÄga om sÄvÀl personupp- gifter i myndighetens egna informationssamlingar som personupp- gifter som myndigheten fÄr tillgÄng till genom direktÄtkomst.
28
SOU 2015:39 |
Sammanfattning |
Elektroniskt utlÀmnande
à tskillnaden mellan direktÄtkomst och annat utlÀmnande i elektronisk form
En sĂ€rskild delfrĂ„ga i utredningsuppdraget har varit att övervĂ€ga om det finns anledning att behĂ„lla en rĂ€ttslig Ă„tskillnad mellan olika former av elektroniskt utlĂ€mnande av personuppgifter eller om denna Ă„tskillnad bör utmönstras. Vad detta handlar om Ă€r den i registerförfattningar vanliga Ă„tskillnaden mellan regler som gĂ€ller för direktĂ„tkomst och utlĂ€mnande pĂ„ medium för automatiserad be- handling â eller som vi kallar det â annat utlĂ€mnande i elektronisk form. Som regel föreskrivs betydligt snĂ€vare förutsĂ€ttningar för utlĂ€mnande genom direktĂ„tkomst.
Vi har ingÄende analyserat denna frÄga och kommit till slut- satsen att en begreppsmÀssig skillnad mellan Ä ena sidan direkt- Ätkomst och Ä andra sidan annat utlÀmnande i elektronisk form bör behÄllas. DirektÄtkomst innebÀr rÀttsligt sett att grÀnsen mellan de uppgiftsutbytande myndigheterna i viss omfattning tas bort, vilket inte Àr konsekvensen av ett annat elektroniskt utlÀmnande. Hur den mottagande myndigheten vÀljer att anvÀnda direktÄtkomsten har den utlÀmnande myndigheten inte nÄgon befogenhet att pÄ- verka, eftersom de handlingar som omfattas av Ätkomsten redan har lÀmnats ut. Korresponderande sekretessfrÄgor mÄste dÀrför vara lösta pÄ förhand liksom behov av sökbegrÀnsningar hos den mot- tagande myndigheten, vilket kan medföra krav pÄ lagstiftnings- ÄtgÀrder. BÄde principiella och rÀttsliga skÀl talar dÀrför för att en Ätskillnad görs. DirektÄtkomst medför ocksÄ krav pÄ förberedande analyser och ÄtgÀrder ur verksamhets- och personuppgiftsansvars- perspektiv, bl.a. i frÄga om tekniskt genomförande och sÀkerhet. Varken den tekniska utvecklingen eller effektivitetsvinster och integritetsrisker som kan förknippas med olika Ätkomstmetoder utgör vidare skÀl för att utmönstra den begreppsmÀssiga Ätskill- naden. Om en Ätskillnad inte görs mellan direktÄtkomst och annat elektroniskt utlÀmnande finns en risk för att de sÀrskilda frÄgor om skydd och ansvarsfördelning, som sammanhÀnger med att myndig- heternas grÀnser öppnas upp genom en direktÄtkomst, inte fÄr till- rÀcklig uppmÀrksamhet. En vÀl genomtÀnkt och genomförd direkt- Ätkomst behöver emellertid inte innebÀra större risker för den
29
Sammanfattning |
SOU 2015:39 |
enskildes integritet Àn annat elektroniskt utlÀmnande av personupp- gifter.
Ett sĂ„dant utlĂ€mnande i elektronisk form som inte Ă€r direkt- Ă„tkomst innebĂ€r â oavsett pĂ„ vilket sĂ€tt det sker â inte i nĂ„got fall att myndigheternas verksamhet rĂ€ttsligt sett blandas samman. NĂ„got behov av att rĂ€ttsligt skilja olika sĂ„dana former Ă„t finns dĂ€rför inte. Skilda sĂ€tt att elektroniskt förmedla uppgifter frĂ„n en myndighet till en annan kan dock innebĂ€ra att olika slags sĂ€kerhetsrisker be- höver beaktas.
I konsekvens med vÄr bedömning i dessa frÄgor innehÄller den nya lagen olika reglering för direktÄtkomst respektive annat utlÀm- nande i elektronisk form.
DirektÄtkomst
Med begreppet direktÄtkomst avses, liksom hittills, en sÄdan tek- nisk tillgÄng till upptagningar hos annan som avses i 2 kap. 3 § andra stycket TF. Enligt den nya lagen gÀller inte nÄgot allmÀnt krav pÄ författningsstöd för att direktÄtkomst ska kunna före- komma. DÀremot föreskriver den nya lagen att direktÄtkomst till sekretessreglerade personuppgifter ska ha stöd i lag eller förord- ning. Undantag frÄn kravet pÄ författningsstöd sÄvitt gÀller sekre- tessreglerade personuppgifter gÀller dock för direktÄtkomst 1) som medges den registrerade eller dennes ombud och som tar sikte pÄ uppgifter som hÀnför sig till den registrerade, 2) som medges till uppgifter som Àr sekretessreglerade enligt 21 kap. 7 § OSL, 3) som medges ett personuppgiftsbitrÀde och 4) som medges en myndig- het endast för sÄdan teknisk bearbetning eller teknisk lagring som avses i 2 kap. 10 § TF för den utlÀmnande myndighetens rÀkning.
Ăverenskommelser vid direktĂ„tkomst m.m.
I linje med vÄr bedömning angÄende varför direktÄtkomst krÀver sÀrskilda övervÀganden och ÄtgÀrder föreskrivs i den nya lagen att en utlÀmnande myndighet ska göra en risk- och sÄrbarhetsanalys innan myndigheten medger en annan myndighet eller enskild aktör direktÄtkomst till personuppgifter. Vidare ska myndigheten komma överens med mottagaren hur behövligt skydd för personuppgift-
30
SOU 2015:39 |
Sammanfattning |
erna ska sĂ€kerstĂ€llas. Av överenskommelsen ska ocksĂ„ framgĂ„ hur utövandet av de skyldigheter som personansvaret innefattar ska ske. Motsvarande ska gĂ€lla vid andra former av informations- utbyten som innebĂ€r behandling av personuppgifter i gemensamma eller annars integrerade informationssystem. Ăverenskommelsen i frĂ„ga om personuppgiftsansvarets utövande ska inte vara bindande utĂ„t sett utan i första hand syfta till att klargöra ansvarsförhĂ„llan- dena mellan samarbetsparterna. Kravet pĂ„ risk- och sĂ„rbarhets- analyser och överenskommelser omfattar direktĂ„tkomst m.m. i frĂ„ga om bĂ„de offentliga och sekretessreglerade personuppgifter.
SökbegrÀnsning vid direktÄtkomst
En sÀrskild delfrÄga i uppdraget har varit att ta stÀllning till om sökförbud för en utlÀmnande myndighet bör gÀlla vid direkt- Ätkomst för en mottagande myndighet. Vi har dock bedömt att det inte Àr ÀndamÄlsenligt att motverka eventuella risker för enskildas integritet i samband med direktÄtkomst genom att föreskriva att samma sökbegrÀnsningar alltid ska gÀlla för sÄvÀl den utlÀmnande myndigheten som den mottagande myndigheten. Det kan leda till att enskildas integritet inte skyddas i tillrÀcklig utstrÀckning, men ocksÄ att en mottagande myndighets berÀttigade behov av att an- vÀnda sig av de uppgifter som blir Ätkomliga genom direktÄtkomst inte kan tillgodoses. Enskildas integritet bör i stÀllet skyddas genom att en direktÄtkomst inte medges förrÀn noggranna övervÀganden har gjorts betrÀffande den mottagande myndighetens anvÀndning av direktÄtkomsten, bl.a. betrÀffande vilka sökbegrÀnsningar som den ska iaktta.
Annat utlÀmnande i elektronisk form
Enligt vÄr bedömning saknas det skÀl för att införa ett grund- lÀggande krav pÄ att utlÀmnanden av personuppgifter i elektronisk form ska ha stöd i författning för att vara tillÄtet. Vi har inte heller funnit skÀl att generellt begrÀnsa myndigheters möjlighet att lÀmna ut personuppgifter till andra myndigheter eller enskilda i elektronisk form. NÀr det gÀller utlÀmnanden till enskilda innehÄller emellertid den nya lagen en bestÀmmelse som erinrar om att om en person-
31
Sammanfattning |
SOU 2015:39 |
uppgift fÄr lÀmnas ut till en enskild, kan det ske i elektronisk form om det inte Àr olÀmpligt med hÀnsyn till skyddet för personupp- giften. DÀrmed erinras myndigheterna om att det ankommer pÄ dem att först göra en prövning av om ett utlÀmnande, oavsett form, av personuppgifter Àr tillÄtet. Om sÄ Àr fallet, Àr utgÄngspunkten att det kan ske i elektronisk form.
Ăverföring till tredjeland
Den nya lagen innehĂ„ller tvĂ„ undantag frĂ„n förbudet mot över- föring av personuppgifter till tredjeland som saknar adekvat skydds- nivĂ„ â utöver de som följer av 34 och 35 §§ PuL â nĂ€mligen om överföringen krĂ€vs för myndighetens handlĂ€ggning av ett visst Ă€rende eller om överföringen Ă€r nödvĂ€ndig för att fullgöra en uppgifts- skyldighet som följer av lag eller förordning eller avtal med annan stat eller mellanfolklig organisation som Sverige har tilltrĂ€tt eller annars Ă€r förpliktat att följa.
Förteckning över behandlingar
Myndigheters behandling av personuppgifter enligt den nya lagen ska inte omfattas av anmÀlningsskyldighet till tillsynsmyndigheten. Varje myndighet ska i stÀllet föra en förteckning över de behand- lingar som utförs med stöd av lagen. Förteckningen avses innehÄlla motsvarande uppgifter som en anmÀlan till tillsynsmyndigheten enligt 36 § PuL skulle ha innehÄllit. NÀrmare föreskrifter om för- teckningens innehÄll meddelas av regeringen eller myndighet som regeringen bestÀmmer.
Korrigering av felaktig eller otillÄten behandling
Personuppgiftslagens bestÀmmelser om rÀttelse m.m. (28 §) Àr ett exempel pÄ bestÀmmelser som utformats utan hÀnsyn till de sÀr- skilda förhÄllanden som gÀller för myndigeters informations- hantering. I den nya lagen finns dÀrför en mer ÀndamÄlsenligt ut- formad reglering rörande korrigering genom dels en bestÀmmelse som tar sikte pÄ en myndighets skyldighet att rÀtta felaktiga eller
32
SOU 2015:39 |
Sammanfattning |
ofullstÀndiga uppgifter, dels en bestÀmmelse som tar sikte pÄ skyldig- heten att korrigera en behandling som av andra skÀl inte Àr tillÄten enligt lagen.
Den förstnÀmnda bestÀmmelsen föreskriver en skyldighet för en myndighet att pÄ begÀran av den registrerade rÀtta eller komplet- tera en personuppgift som rör den registrerade, om uppgiften Àr felaktig eller ofullstÀndig till följd av en ÄtgÀrd som inte har sin grund i myndighetens eller nÄgons annans bedömning, exempelvis ett förbiseendefel eller ett tekniskt fel.
Den andra bestÀmmelsen föreskriver att en personuppgift pÄ be- gÀran av den registrerade ska avskiljas frÄn fortsatt behandling och inte lÀmnas ut till en enskild annat Àn med stöd av 2 kap. TF eller utplÄnas, om uppgiften rör honom eller henne och inte fÄr behand- las enligt den nya lagen eller föreskrifter som har meddelats med stöd av den. BestÀmmelsen tar sikte pÄ korrigeringar som begÀrs av en registrerad och som innebÀr att myndigheten behöver göra en bedömning av om behandlingen Àr tillÄten, exempelvis för att den registrerade gör gÀllande att uppgifter behandlas som inte Àr rele- vanta för ÀndamÄlet med behandlingen i frÄga. RÀtten att begÀra en korrigering av nu nÀmnt slag ska inte gÀlla personuppgifter i en myndighets beslut.
Tillsynsmyndighetens befogenheter
Enligt den nya lagen ska tillsynsmyndighetens ÄtgÀrder i form pÄ- pekanden eller liknande förfaranden som inte har tvingande karak- tÀr anvÀndas endast i förebyggande syfte, dvs. om tillsynsmyndig- heten konstaterat att en myndighet kan komma att behandla per- sonuppgifter pÄ ett olagligt sÀtt, och inte dÄ det har konstaterats att en behandling av personuppgifter utförs pÄ ett otillÄtet sÀtt.
Vidare föreskrivs att tillsynsmyndigheten ska kunna förelÀgga en myndighet att uppfylla sina skyldigheter om myndigheten inte uppfyller de krav som följer av den nya lagen eller föreskrifter som meddelats med stöd av den. I förelÀggandet ska anges vad tillsyns- myndigheten anser Àr nödvÀndigt för att avhjÀlpa de pÄtalade brist- erna.
Tillsynsmyndigheten ska ocksÄ ha befogenhet att förbjuda en myndighet att fortsÀtta en behandling av personuppgifter pÄ nÄgot
33
Sammanfattning |
SOU 2015:39 |
annat sÀtt Àn att uppgifterna lagras. Ett sÄdant beslut förutsÀtter att myndigheten allvarligt brister i sin skyldighet att uppfylla de krav som gÀller för behandlingen. Ett beslut om förbud gÀller omedelbart.
NÄgon möjlighet för tillsynsmyndigheten att besluta om vite har inte införts i lagen.
I övrigt finns bestÀmmelser som motsvarar dels 43 § PuL om vilka befogenheter tillsynsmyndighetens har för att undersöka om en myndighet behandlar personuppgifter pÄ ett tillÄtet sÀtt, dels 47 § PuL om tillsynsmyndighetens möjlighet att hos förvaltnings- rÀtten ansöka om utplÄning av personuppgifter som har behandlats pÄ ett olagligt sÀtt.
Ăverklagande
I lagen finns bestÀmmelser om överklagande av tillsynsmyndig- hetens respektive personuppgiftsansvariga myndigheters beslut som i princip motsvarar personuppgiftslagens överklagandebestÀmmel- ser
SekretessfrÄgor
I 10 kap. OSL föreslÄs införas en generellt sekretessbrytande be- stÀmmelse som innebÀr att föreskrifter i lag eller förordning om direktÄtkomst för myndigheter i sig fÄr en sekretessbrytande effekt. DÀrigenom kommer det inte lÀngre att behövas sÀrskilda sekretess- brytande bestÀmmelser för att möjliggöra direktÄtkomst enligt den ordning som i dag vanligtvis tillÀmpas. För att en bestÀmmelse om direktÄtkomst ska ha sekretessbrytande effekt enligt den nya bestÀmmelsen krÀvs dock att den har en sÄdan konkretion att det framgÄr i frÄga om vilka uppgifter sekretessen bryts. Den sekretess- brytande bestÀmmelsen omfattar inte direktÄtkomst som medges utlÀndska myndigheter eller enskilda.
Vi har som en sĂ€rskild delfrĂ„ga haft att övervĂ€ga om det finns anledning att Ă€ndra 6 kap. 5 § OSL â som föreskriver en grund- lĂ€ggande skyldighet att pĂ„ begĂ€ran lĂ€mna uppgifter till andra myn- digheter â för att den ska stĂ„ i bĂ€ttre överensstĂ€mmelse med anvĂ€ndningsbegrĂ€nsningar som kan förekomma i samband med internationella Ă„taganden. Vi har dock vid vĂ„r analys av frĂ„gan inte
34
SOU 2015:39 |
Sammanfattning |
funnit nÄgot tillrÀckligt stort praktiskt behov av en sÄdan Àndring. Vi har dÀrför inte föreslagit nÄgon Àndring i 6 kap. 5 § OSL.
Konsekvenser
Införandet av en samlad lag med anslutande reglering i bilaga eller förordning Àr ett lÄngsiktigt arbete. Regleringen kan inte i ett slag ersÀtta befintliga registerförfattningar vid införandet. Syftet Àr emellertid att ett antal registerförfattningar efter hand ska kunna upphÀvas eller i vart fall förenklas betydligt. Eventuella kvarstÄende behov av sÀrreglering ska vidare kunna infogas i den samlade regleringen. Det krÀver emellertid nÀrmare analyser och avvÀg- ningar angÄende behovet av fortsatta sÀrregler pÄ olika omrÄden och pÄ vilken normnivÄ dessa sÀrregler i förekommande fall bör ges.
Initialt kommer dÀrför lagen att vid ikrafttrÀdandet gÀlla fullt ut bara för de myndigheter eller i de verksamheter som dÄ endast behandlar personuppgifter med stöd av personuppgiftslagen. Detta innebÀr en viss omstÀllning för dessa myndigheter. Vi bedömer dock att denna omstÀllning inte Àr större eller krÀver mer anpass- ningar Àn att den kan mötas med en vÀl tilltagen tid för ikraft- trÀdandet och ett fÄtal övergÄngsbestÀmmelser. Enligt vÄrt förslag bör den nya lagen trÀda i kraft den 1 januari 2017.
NÀr den samlade regleringen vÀl Àr genomförd Àven betrÀffande översynen av de nuvarande registerförfattningarna bedömer vi att den samlade regelmassan kommer att minska betydligt. Genom att sÀrreglering i fortsÀttningen utformas enhetligt och samordnat ut- ifrÄn en gemensam systematik underlÀttas samarbete över myndig- hetsgrÀnser. Flexibiliteten i regleringen ökar vidare genom vÄr ambi- tion att fler frÄgor ska regleras i förordning. En pÄ detta sÀtt samlad och dÀrmed mer enhetlig och tydligare reglering kommer ocksÄ att vara till gagn för offentlighet och insyn och ökar förutsÀttningarna att anpassa offentlighetsprincipen till moderna tekniska kommu- nikationsformer. Anpassningen till en kommande uppgiftsskydds- förordning underlÀttas ocksÄ, dÄ vad som hittills Àr kÀnt om för- handlingarna inom unionen tyder pÄ att den samlade regleringen utan alltför genomgripande förÀndringar kan anpassas till att utgöra ett komplement till förordningen.
35
1 Författningsförslag
1.1Förslag till myndighetsdatalag
HÀrigenom föreskrivs följande.
Lagens syfte och tillÀmpningsomrÄde
1 § Syftet med denna lag Àr att ge myndigheter möjligheter att be- handla personuppgifter pÄ ett ÀndamÄlsenligt sÀtt i deras verksam- heter och att skydda mÀnniskor mot att deras personliga integritet krÀnks vid sÄdan behandling.
2 § Denna lag gÀller vid myndigheters behandling av personuppgifter. Lagen gÀller om behandlingen Àr helt eller delvis automatiserad eller om personuppgifterna ingÄr i eller Àr avsedda att ingÄ i en strukturerad samling av personuppgifter som Àr tillgÀngliga för sök-
ning eller sammanstÀllning enligt sÀrskilda kriterier.
3 § Lagen ska inte tillÀmpas vid behandling av personuppgifter i
1.en myndighets administrativa verksamhet,
2.en myndighets verksamhet som personuppgiftsbitrÀde, eller
3.den verksamhet som bedrivs av behöriga myndigheter i syfte att förebygga, förhindra eller upptÀcka brottslig verksamhet, utreda eller beivra brott eller verkstÀlla straffrÀttsliga pÄföljder.
37
Författningsförslag |
SOU 2015:39 |
FörhÄllandet till annan författning
4 § Om det i en annan lag eller förordning Àn som avses i 5 § finns bestÀmmelser som avviker frÄn denna lag, ska de bestÀmmelserna gÀlla.
5 § Om inte annat anges i 6 § gÀller denna lag i stÀllet för person- uppgiftslagen (1998:204) eller föreskrifter som meddelats i anslut- ning till den lagen.
6 § Följande bestÀmmelser i personuppgiftslagen (1998:204) ska tillÀmpas pÄ motsvarande sÀtt nÀr personuppgifter behandlas enligt denna lag eller föreskrifter som meddelats med stöd av den:
1.3 § om definitioner,
2.8 § om förhÄllandet till offentlighetsprincipen m.m.,
3.9 § om grundlÀggande krav pÄ behandlingen,
4.13, 15, 16, 18 och 19 §§ om kÀnsliga personuppgifter,
5.23 och 25 §§ om information till den registrerade som ska lÀm- nas sjÀlvmant,
6.26 § om information till den registrerade som ska lÀmnas efter ansökan,
7.
8.38 och 40 §§ om personuppgiftsombud, och
9.48 § om skadestÄnd.
I 23 § finns bestÀmmelser om undantag frÄn informationsskyldig- heten enligt första stycket 5 och 6.
Personuppgiftsansvar
7 § En myndighet Àr personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför.
Personuppgiftsansvaret enligt första stycket omfattar Àven behand- ling som en myndighet utför genom direktÄtkomst till personupp- gifter hos en annan myndighet eller enskild.
NÀr behandling kan tillÄtas
8 § Personuppgifter fÄr behandlas om det Àr nödvÀndigt för att en myndighet ska kunna utföra sin verksamhet.
38
SOU 2015:39 |
Författningsförslag |
9 § Behandling som Àr tillÄten enligt denna lag eller föreskrifter som meddelats med stöd av den fÄr utföras Àven om den registrerade motsÀtter sig behandlingen.
SĂ€rskilda kategorier av personuppgifter
10 § Utöver vad som följer av 15, 16, 18 och 19 §§ personupp- giftslagen (1998:204) fÄr kÀnsliga personuppgifter behandlas om upp- gifterna har lÀmnats i ett Àrende eller Àr nödvÀndiga för handlÀgg- ning av det eller om uppgifterna behandlas endast i löpande text.
11 § Personnummer eller samordningsnummer fÄr tas in i ett beslut endast om beslutet rör en enskilds identitet eller motsvarande per- sonliga förhÄllanden, det Àr nödvÀndigt för att beslutet ska kunna verkstÀllas eller det krÀvs med hÀnsyn till beslutande myndighets behov av identifieringsuppgifter.
Sökförbud
12 § Uppgifter som avslöjar ras eller etniskt ursprung, politiska Äsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening liksom uppgifter som rör hÀlsa eller sexualliv fÄr anvÀndas som sökbegrepp endast om det Àr tillÄtet enligt föreskrifter som tagits in i bilaga till denna lag eller i annan lag eller förordning.
Vad som sÀgs i första stycket gÀller inte vid en sökning i en viss handling eller i ett visst Àrende.
Elektroniskt utlÀmnande
DirektÄtkomst
13 § DirektÄtkomst till personuppgifter som Àr sekretessreglerade Àr tillÄten endast i den utstrÀckning som anges i bilaga till denna lag eller i annan lag eller förordning. Med sekretessreglerade uppgifter avses detsamma som i offentlighets- och sekretesslagen (2009:400).
39
Författningsförslag |
SOU 2015:39 |
Vad som sÀgs i första stycket gÀller inte direktÄtkomst som med- ges
1. den registrerade eller dennes ombud till uppgifter som hÀnför sig till den registrerade,
2. till personuppgifter som Àr sekretessreglerade enligt 21 kap.
7 § offentlighets- och sekretesslagen,
3.ett personuppgiftsbitrÀde, eller
4.en myndighet endast för sÄdan teknisk bearbetning eller tek- nisk lagring som avses i 2 kap. 10 § första stycket tryckfrihets- förordningen för den utlÀmnande myndighetens rÀkning.
14 § Innan en myndighet medger direktÄtkomst till personuppgifter ska myndigheten göra en risk- och sÄrbarhetsanalys och komma överens med mottagaren av personuppgifterna hur skyddet för per- sonuppgifterna ska sÀkerstÀllas. Av överenskommelsen ska ocksÄ framgÄ hur utövandet av de skyldigheter som personuppgiftsansvaret innefattar ska ske.
Vad som sÀgs i första stycket ska i tillÀmpliga delar Àven gÀlla dÄ en myndighet pÄ annat sÀtt Àn genom direktÄtkomst samarbetar med andra myndigheter eller enskilda pÄ sÀtt som innebÀr behand- ling av personuppgifter i gemensamma eller annars integrerade infor- mationssystem.
Annat utlÀmnande i elektronisk form
15 § FÄr en personuppgift lÀmnas ut till en enskild, kan det ske i elektronisk form om det inte Àr olÀmpligt med hÀnsyn till skyddet för personuppgiften.
Ăverföring till tredjeland
16 § Utöver vad som följer av 34 § personuppgiftslagen (1998:204) eller av föreskrifter eller beslut som meddelats med stöd av 35 § samma lag fÄr personuppgifter överföras till tredjeland som saknar adekvat skyddsnivÄ, om
1.överföringen krÀvs för handlÀggningen av ett visst Àrende, eller
2.överföringen Àr nödvÀndig för att fullgöra en uppgiftsskyldig- het som följer av lag eller förordning eller avtal med annan stat eller
40
SOU 2015:39 |
Författningsförslag |
mellanfolklig organisation som Sverige har tilltrÀtt eller annars Àr förpliktat att följa.
SĂ€kerhet vid behandlingen
17 § En myndighet ska vidta lÀmpliga tekniska och organisatoriska sÀkerhetsÄtgÀrder för att skydda de personuppgifter som behandlas. SÀkerhetsarbetet ska omfatta förebyggande, löpande och uppfölj- ande ÄtgÀrder samt Ästadkomma en lÀmplig sÀkerhetsnivÄ i förhÄll- ande till de risker som behandlingen medför och karaktÀren hos de uppgifter som ska skyddas. Vid utformningen av sÀkerhetsÄtgÀrderna ska myndigheten Àven beakta bestÀmmelser om informations- sÀkerhet i annan författning som gÀller för myndigheten.
18 § TillgÄngen till personuppgifter ska begrÀnsas till vad varje anstÀlld behöver för att kunna fullgöra sina arbetsuppgifter.
PersonuppgiftsbitrÀde
19 § Ett personuppgiftsbitrÀde eller den som arbetar under bitrÀdets ledning fÄr behandla personuppgifter bara i enlighet med instruk- tioner frÄn den personuppgiftsansvariga myndigheten. Detta gÀller Àven för bitrÀden som anlitats av ett personuppgiftsbitrÀde.
20 § NÀr en myndighet anlitar ett personuppgiftsbitrÀde, ska myndig- heten förvissa sig om att bitrÀdet
1.ser till att personuppgifter behandlas bara i enlighet med instruk- tioner frÄn myndigheten,
2.kan genomföra de sÀkerhetsÄtgÀrder som avses i 17 § och som mÄste vidtas till skydd för de personuppgifter som bitrÀdet behand- lar,
3.fortlöpande vidtar sÀkerhetsÄtgÀrderna, och
4.inte anlitar annat bitrÀde utan godkÀnnande frÄn myndigheten.
21 § Det ska finnas ett skriftligt avtal om personuppgiftsbitrÀdets behandling av personuppgifter för myndighetens rÀkning. Avtalet ska innehÄlla instruktioner och villkor om personuppgiftsbitrÀdets
41
Författningsförslag |
SOU 2015:39 |
skyldigheter i frÄgor som avses i 19 och 20 §§. Motsvarande avtal ska finnas med ett bitrÀde som anlitats av ett personuppgiftsbitrÀde.
Förteckning över behandlingar
22 § En myndighet ska föra en förteckning över de behandlingar som myndigheten utför med stöd av denna lag.
Regeringen eller den myndighet som regeringen bestÀmmer kan med stöd av 8 kap. 7 § regeringsformen meddela nÀrmare föreskrifter om vilka uppgifter en sÄdan förteckning ska innehÄlla.
Undantag frÄn informationsskyldigheten
23 § BestÀmmelserna i 23, 25 och 26 §§ personuppgiftslagen (1998:204) ska inte tillÀmpas i den utstrÀckning som en uppgift inte fÄr lÀmnas ut till den registrerade pÄ grund av sekretess enligt offent- lighets- och sekretesslagen (2009:400) eller föreskrifter som med- delats med stöd av den lagen.
BestÀmmelserna i 26 § personuppgiftslagen behöver inte tillÀmpas vid behandling av personuppgifter som inte ingÄr i eller Àr avsedda att ingÄ i en samling av personuppgifter som har strukturerats för att pÄtagligt underlÀtta sökning efter eller sammanstÀllning av per- sonuppgifter.
Korrigering av felaktiga personuppgifter eller annars otillÄten behandling
24 § En personuppgift ska pÄ begÀran av den registrerade rÀttas eller kompletteras om uppgiften rör honom eller henne och den Àr fel- aktig eller ofullstÀndig till följd av en ÄtgÀrd som inte har sin grund i myndighetens eller nÄgon annans bedömning.
25§ En personuppgift ska pÄ begÀran av den registrerade avskiljas frÄn fortsatt behandling och inte lÀmnas ut till en enskild annat Àn med stöd av 2 kap. tryckfrihetsförordningen eller utplÄnas, om upp- giften rör honom eller henne och den inte fÄr behandlas enligt denna lag.
42
SOU 2015:39 |
Författningsförslag |
Vad som sÀgs i första stycket gÀller inte personuppgifter i ett beslut.
Tillsynsmyndighetens befogenheter
26 § Tillsynsmyndigheten har rÀtt att för sin tillsyn pÄ begÀran fÄ
1.tillgÄng till de personuppgifter som behandlas,
2.upplysningar om och dokumentation av behandlingen av per- sonuppgifter och sÀkerheten vid denna, och
3.tilltrÀde till sÄdana lokaler som har anknytning till behandlingen av personuppgifter.
27 § Om tillsynsmyndigheten konstaterar att en myndighet kan komma att behandla personuppgifter pÄ ett olagligt sÀtt, ska tillsyns- myndigheten genom pÄpekanden eller andra ÄtgÀrder som inte Àr tvingande försöka Ästadkomma att myndigheten uppfyller sina skyl- digheter enligt denna lag eller föreskrifter som meddelats med stöd av den.
28 § Tillsynsmyndigheten fÄr förelÀgga en myndighet att uppfylla sina skyldigheter, om myndigheten inte uppfyller de krav som följer av denna lag eller föreskrifter som meddelats med stöd av den.
Av förelÀggandet ska framgÄ vad tillsynsmyndigheten anser Àr nödvÀndigt för att avhjÀlpa de pÄtalade bristerna.
29 § Om en myndighet allvarligt brister i sin skyldighet att uppfylla de krav som gÀller för en behandling av personuppgifter som myn- digheten utför, fÄr tillsynsmyndigheten förbjuda myndigheten att fortsÀtta behandlingen pÄ nÄgot annat sÀtt Àn att personuppgifter lagras. Ett beslut om förbud mot fortsatt behandling gÀller omedel- bart.
30 § Tillsynsmyndigheten fÄr hos förvaltningsrÀtten inom vars dom- krets tillsynsmyndigheten Àr belÀgen ansöka om att sÄdana person- uppgifter som har behandlats pÄ ett olagligt sÀtt ska utplÄnas.
43
Författningsförslag |
SOU 2015:39 |
Bemyndiganden
31 § Regeringen eller den myndighet som regeringen bestÀmmer fÄr meddela föreskrifter om
1.nÀr behandling av personuppgifter Àr tillÄten,
2.vilka krav som stÀlls pÄ en personuppgiftsansvarig myndighet,
och
3.att kÀnsliga personuppgifter fÄr behandlas om det behövs med hÀnsyn till ett viktigt allmÀnt intresse.
Regeringen fÄr meddela föreskrifter om begrÀnsningar av möjlig- heterna att anvÀnda andra sökbegrepp Àn de som avses i 12 §.
Ăverklaganden
32 § Tillsynsmyndighetens beslut enligt denna lag om annat Àn före- skrifter fÄr överklagas till allmÀn förvaltningsdomstol.
Tillsynsmyndigheten fÄr bestÀmma att dess beslut ska gÀlla Àven om det överklagas.
33 § Beslut om rÀttelse eller komplettering enligt 24 §, om avskilj- ande eller utplÄning enligt 25 § och om information enligt 26 § per- sonuppgiftslagen (1998:204) fÄr överklagas till allmÀn förvaltnings- domstol.
Första stycket gÀller inte för beslut av regeringen, Högsta dom- stolen, Högsta förvaltningsdomstolen eller riksdagens ombudsmÀn.
34 § Andra beslut enligt denna lag Àn sÄdana som avses i 32 § och 33 § första stycket fÄr inte överklagas.
PrövningstillstÄnd krÀvs vid överklagande till kammarrÀtten.
ĂvergĂ„ngsbestĂ€mmelser
1.Denna lag trÀder i kraft den 1 januari 2017.
2.BestÀmmelserna i 21 § ska inte börja tillÀmpas förrÀn den 1 janu- ari 2019 i frÄga om avtal som ingÄtts före ikrafttrÀdandet.
3.BestÀmmelserna i 28 § personuppgiftslagen (1998:204) ska tillÀmpas i stÀllet för 24 och 25 §§ i frÄga om en begÀran som gjorts före ikrafttrÀdandet.
44
SOU 2015:39 |
Författningsförslag |
1.2Förslag till
lag om Àndring i offentlighets- och sekretesslagen (2009:400)
HÀrigenom föreskrivs att 10 kap. 28 § offentlighets- och sekretess- lagen ska ha följande lydelse.
Nuvarande lydelse |
Föreslagen lydelse |
10 kap.
28 §
Sekretess hindrar inte att en uppgift lÀmnas till en annan myn- dighet, om uppgiftsskyldighet följer av lag eller förordning.
Sekretess hindrar inte heller att en uppgift lÀmnas till en annan myndighet genom direktÄtkomst enligt vad som föreskrivs i lag eller förordning.
Ytterligare sekretessbrytande bestÀmmelser och bestÀmmelser om undantag frÄn sekretess finns i anslutning till berörda sekretess- bestÀmmelser i avdelning
Denna lag trÀder i kraft den 1 januari 2017.
45
2 VĂ„rt uppdrag och arbete
2.1Uppdraget
Vi har haft som övergripande uppdrag att se över den s.k. register- lagstiftningen, som kompletterar personuppgiftslagen (1998:204) och innehĂ„ller bestĂ€mmelser om statliga och kommunala myndig- heters behandling av personuppgifter. Detta ska ske genom att utreda förutsĂ€ttningarna för att skapa en generell, enhetlig och â helt eller i vart fall delvis â samlad reglering för myndigheternas personupp- giftsbehandling. Om vi bedömer att det finns sĂ„dana förutsĂ€ttningar ska vi lĂ€mna de författningsförslag som vi anser vara motiverade.
Det fastlagda mÄlet för vÄrt arbete Àr att regleringen ska utgöra en tydlig och lÀttillÀmpad helhet tillsammans med tryckfrihets- förordningen och offentlighets- och sekretesslagen. PÄ sÄ sÀtt skapas rÀttsliga förutsÀttningar för en mer effektiv
De förslag som lÀmnas ska vidare vara anpassade till det pÄgÄ- ende arbetet inom EU med att reformera den unionsrÀttsliga data- skyddsregleringen utifrÄn kommissionens förslag den 25 januari 2012 till Europaparlamentets och rÄdets förordning om skydd för enskilda personer med avseende pÄ behandling av personuppgifter och om det fria flödet av sÄdana uppgifter (allmÀn uppgiftsskyddsförordning). Personuppgiftsbehandling inom den brottsbekÀmpande verksamheten omfattas inte av vÄrt uppdrag.
I uppdraget ingÄr att göra en översiktlig inventering av register- författningarna. Vidare ingÄr ett antal sÀrskilda delfrÄgor. En av dessa
â om det finns anledning att Ă€ndra definitionen av begreppet allmĂ€n handling i tryckfrihetsförordningen i frĂ„ga om uppgifter som en myndighet har tillgĂ„ng till genom s.k. direktĂ„tkomst hos en annan myndighet eller genom liknande former av elektroniskt utlĂ€mnande â
47
VĂ„rt uppdrag och arbete |
SOU 2015:39 |
har vi redovisat genom delbetĂ€nkandet Ăverskottsinformation vid direktĂ„tkomst (SOU 2012:90). Bland Ă„terstĂ„ende delfrĂ„gor finns frĂ„gan om det finns skĂ€l att behĂ„lla den rĂ€ttsliga Ă„tskillnaden mellan olika former av elektroniskt utlĂ€mnande samt frĂ„gan om det finns anledning att justera 6 kap. 5 § OSL, som föreskriver en skyldighet att lĂ€mna uppgift till annan myndighet, sĂ„ att bestĂ€mmelsen stĂ„r i bĂ€ttre överensstĂ€mmelse med förekomsten av anvĂ€ndningsbegrĂ€ns- ningar i internationella avtal m.m.
Enligt vĂ„ra ursprungliga direktiv skulle vĂ„rt arbete med över- synen av registerförfattningarna utmynna i utarbetandet av en gene- rell regleringsmodell för hur registerförfattningar bör struktureras, vilka begrepp som bör anvĂ€ndas och hur begreppen bör definieras. Med en generell modell som mall skulle vi lĂ€mna konkreta förslag till registerförfattningar â modellregleringar â inom tre olika verk- samhetsomrĂ„den. Avsikten var att regeringen i tillĂ€ggsdirektiv, efter att ha inhĂ€mtat synpunkter frĂ„n utredaren, skulle nĂ€rmare ange vilka verksamhetsomrĂ„den som regleringsmodellen skulle appliceras pĂ„.
Hösten 2013 lÀmnade vi i en framstÀllning till regeringen nÄgra synpunkter pÄ inriktningen av det fortsatta arbetet. I framstÀllningen lyfte vi fram tvÄ faktorer som vi menade borde beaktas i vÄra kom- mande tillÀggsdirektiv.
Den första faktorn var att vi under vÄrt arbete med att inventera registerförfattningarna och identifiera vilka nÀrmare problemomrÄden som fanns hade uppmÀrksammat att den övergripande problem- bilden med registerförfattningarna inte bara sammanhÀngde med utformningen av författningarna utan ocksÄ med det förhÄllandet att den allmÀnna regleringen i personuppgiftslagen i ett flertal avseenden Àr utformad utan hÀnsyn till de sÀrskilda förhÄllanden som gÀller för myndigheternas personuppgiftsbehandling. Vi identifierade alltsÄ ett behov av att behandla frÄgor som inte Àr begrÀnsade till register- författningsreglerade omrÄden utan som gÀller generellt inom myn- dighetsomrÄdet.
Den andra faktorn var att det efter hand föreföll allt mer ange- lÀget att anpassa det fortsatta utredningsarbetet till det parallellt pÄ- gÄende reformarbetet betrÀffande den unionsrÀttsliga dataskyddsreg- leringen innefattande det förslag till ny förordning som kommissio- nen hade lÀmnat en tid efter det att vÄra första direktiv beslutats.
Den 6 mars 2014 beslutades tillÀggsdirektiv med bl.a. Àndrad in- riktning av uppdraget vad gÀller metoden för översynen och inrikt-
48
SOU 2015:39 |
VĂ„rt uppdrag och arbete |
ningen pÄ vad arbetet ska utmynna i. Direktiven till utredningen (dir. 2011:86, 2014:31 och 2014:147) finns intagna i betÀnkandet som bilagorna
2.2Utredningsarbetet
VÄrt delbetÀnkande
VĂ„rt arbete inleddes med att behandla delfrĂ„gan om en eventuell Ă€ndring av begreppet allmĂ€n handling i tryckfrihetsförordningen. Den nĂ€rmare frĂ„gestĂ€llningen gĂ€llde om det fanns anledning att inskrĂ€nka handlingsoffentligheten sĂ„vitt avsĂ„g överskottsinforma- tion vid direktĂ„tkomst. Med överskottsinformation avsĂ„gs i det sam- manhanget externt tillgĂ€ngliga personuppgifter som en mottagande myndighet vid direktĂ„tkomst till en annan myndighets elektroniska informationssamling tekniskt sett har tillgĂ„ng till men som den mottagande myndigheten antingen inte fĂ„r ta del av i ett enskilt fall, dĂ€rför att vissa rĂ€ttsliga förutsĂ€ttningar inte föreligger, eller fĂ„r men faktiskt Ă€nnu inte har tagit del av i sin verksamhet. FrĂ„gestĂ€ll- ningen bottnar i det förhĂ„llandet att det för frĂ„gan om vilka elek- troniska upptagningar som en myndighet förvarar, och dĂ€rmed vad som konstituerar en allmĂ€n handling, inte spelar nĂ„gon roll om en mottagande myndighet i ett enskilt fall faktiskt har utnyttjat möj- ligheten att söka fram en upptagning eller inte. Redan det förhĂ„ll- andet att det gĂ„r att göra detta rĂ€cker för att upptagningen ska bli en allmĂ€n handling hos den mottagande myndigheten. Ăverskotts- information uppstĂ„r dĂ€rför att det nĂ€r direktĂ„tkomst etableras inte gĂ„r att pĂ„ förhand avgöra exakt vilka specifika uppgifter i den utlĂ€m- nande myndighetens informationssamlingar som en mottagande myndighet i konkreta fall kommer att behöva ta del av.
VĂ„r samlade bedömning blev att en grundlagsĂ€ndring med sikte enbart pĂ„ överskottsinformation vid direktĂ„tkomst inte borde före- slĂ„s. DĂ€remot förordade vi â med anledning av ytterligare problem- stĂ€llningar som vi stötte pĂ„ vid sidan om den grundlagsfrĂ„ga som omfattades av vĂ„rt uppdrag â en allmĂ€n översyn av begreppet in- kommen allmĂ€n handling i den elektroniska miljön.
Mot bakgrund av att vi inte föreslog en grundlagsÀndring be- handlade vi i delbetÀnkandet frÄgan om sekretess för överskotts- information hos mottagande myndigheter. Vi fann dÀrvid att bestÀm-
49
VĂ„rt uppdrag och arbete |
SOU 2015:39 |
melsen om överföring av sekretess vid direktĂ„tkomst enligt 11 kap. 4 § OSL i och för sig Ă€r Ă€ndamĂ„lsenligt utformad men att kon- struktionen för konkurrensbestĂ€mmelsen i 11 kap. 8 § OSL â om att s.k. primĂ€r sekretess hos en mottagande myndighet ska tillĂ€mpas i stĂ€llet för en överförd sekretess â medför en risk för att över- skottsinformation fĂ„r ett försĂ€mrat sekretesskydd hos mottagande myndigheter. Vi fann ocksĂ„ att en sĂ„dan försĂ€mring inte Ă€r moti- verad utifrĂ„n nĂ„got insynsintresse. Vi föreslog dĂ€rför en justering av 11 kap. 8 § OSL av innebörd att en frĂ„n den utlĂ€mnande myn- digheten överförd sekretessreglering ska tillĂ€mpas pĂ„ överskotts- information om den mottagande myndigheten enligt lag eller för- ordning inte fĂ„r behandla informationen och en tillĂ€mpning av offent- lighets- och sekretesslagens huvudregel om konkurrens mellan sekre- tessbestĂ€mmelser i 7 kap. 3 § OSL leder till att uppgifterna i frĂ„ga Ă€r sekretessbelagda enligt den överförda sekretessregleringen.
Arbetet med grundlagsfrÄgan om överskottsinformation vid direktÄtkomst avslutades genom att vi i januari 2013 lÀmnade ovan nÀmnda delbetÀnkande. Under denna del av vÄrt arbete fanns det en parlamentarisk referensgrupp knuten till utredningen.
Arbetets bedrivande efter delbetÀnkandet
Utredningens fortsatta arbete har bedrivits pĂ„ sedvanligt sĂ€tt med regelbundna sammantrĂ€den med expertgruppen. Första sammantrĂ€det i det Ă„terstĂ„ende uppdraget hölls den 25 januari 2013. DĂ€refter har ytterligare tio sammantrĂ€den hĂ„llits. Ăven informella kontakter inom utredningen har förekommit.
Under den aktuella utredningstiden har utredaren samrÄtt med
Sekretariatet har besökt eller haft andra sÀrskilda möten med E- hÀlsomyndigheten, Justitiekanslern, LantmÀteriet, Myndigheten för samhÀllsskydd och beredskap, Skatteverket, Sveriges Kommuner och Landsting, samt Transportstyrelsen. Sekretariatet har ocksÄ trÀffat företrÀdare för nÀringslivet. NÀmnda möten har i allt vÀsentligt syftat
50
SOU 2015:39 |
VĂ„rt uppdrag och arbete |
till att inhÀmta information och synpunkter i frÄgor som rör utred- ningsuppdraget.
För att fÄ ytterligare underlag i vÄrt översynsarbete har vi in- bjudit myndigheter, enskilda företag och andra intressenter att lÀmna synpunkter och bidra med erfarenheter utifrÄn ett antal frÄgestÀll- ningar rörande registerförfattningar. Vi fick dÀrvid bistÄnd av
Datainspektionen och Myndigheten för samhÀllsskydd och bered- skap har bistÄtt utredningen med underlag angÄende frÄgor om in- formationssÀkerhet och skydd för personuppgifter.
HÀrutöver har sekretariatet haft samrÄd eller annan dialog med ett flertal andra utredningar, bl.a. Utredningen om rÀtt information i vÄrd och omsorg (S 2011:13), Statistikutredningen 2012 (Fi 2011:05), Utredningen om personuppgiftsbehandlingen vid ISF (S 2013:13),
Utredare och sekretariat har deltagit i olika konferenser och semi- narier med anknytning till utredningsuppdraget.
Arbetet har bedrivits med aktivt deltagande av och i samrÄd med experterna. Med hÀnsyn till detta redovisas arbetet i denna del av vÄrt uppdrag med anvÀndande av
2.3SlutbetÀnkandets disposition m.m.
FramstÀllningen i det följande inleds med en allmÀn bakgrund dÀr vi i kapitel 3 redogör kort för bl.a.
51
VĂ„rt uppdrag och arbete |
SOU 2015:39 |
komsten av anvÀndningsbegrÀnsningar i internationella avtal m.m. I ÄterstÄende kapitel, kapitel
I viss utstrÀckning förekommer en del upprepningar vad gÀller redovisning av gÀllande rÀtt m.m. Avsikten med detta Àr att under- lÀtta separat lÀsning av varje kapitel utan alltför omfattande hÀnvis- ningar till tidigare kapitel i betÀnkandet.
Det kan observeras att vi i det följande omvÀxlande anvÀnder termerna persondataskyddsreglering och dataskyddsreglering som benÀmning pÄ det rÀttsomrÄde med sÀrskild inriktning pÄ att reg- lera behandling av personuppgifter som Àr helt eller delvis auto- matiserad eller som ingÄr i manuella register. NÄgon betydelseskill- nad mellan termerna Àr inte avsedd.
Det kan ocksĂ„ noteras att vi i det följande anvĂ€nder benĂ€m- ningen âbrottsbekĂ€mpande verksamhetâ i en tĂ€mligen vidstrĂ€ckt bemĂ€rkelse. Vad som avses Ă€r sĂ„dan verksamhet som inte omfattas av kommissionens förslag till uppgiftsskyddsförordning utan av ett förslag till Europaparlamentets och rĂ„dets direktiv om skydd för enskilda personer med avseende pĂ„ behöriga myndigheters behand- ling av personuppgifter för att förebygga, utreda, avslöja eller lag- föra brott eller verkstĂ€lla straffrĂ€ttsliga pĂ„följder, och det fria flödet av sĂ„dana uppgifter.
52
ALLMĂN BAKGRUND
3 AllmÀnna förutsÀttningar
3.1
3.1.1InformationssamhÀllet och den offentliga förvaltningen
Elektronisk informationshantering infördes förhÄllandevis tidigt i den svenska offentliga förvaltningen. VÀlfÀrdsstatens socialförsÀk- ringsprogram förutsatte bl.a. en automatiserad registerföring av hög standard. Myndigheterna byggde dÀrför tidigt upp olika typer av dataregister som blev centrala i verksamheten. Utveckling av s.k. e- förvaltning blev ocksÄ tidigt ett viktigt medel för att genomföra besparingar och effektiviseringar i förvaltningen. NÀr internet introducerades pÄ
Vid tiden för millennieskiftet konstaterade regeringen att sam- hĂ€llet stod mitt uppe i en samhĂ€llsomvandling och man talade om âden digitala revolutionenâ eller
55
AllmÀnna förutsÀttningar |
SOU 2015:39 |
Flertalet myndigheter har numera webbaserade
3.1.2Aktuell
Ett nytt mÄl för
I september 2011 beslutade regeringen om en ny strategi för it- politiken, It i mĂ€nniskans tjĂ€nst â en digital agenda för Sverige (dnr N2011/342/ITP). Agendan Ă€r en sammanhĂ„llen strategi för it- politiken som syftar till att statens befintliga resurser ska utnyttjas
56
SOU 2015:39 |
AllmÀnna förutsÀttningar |
bÀttre. I den digitala agendan har regeringen presenterat ambitioner och insatser som tillvaratar de möjligheter som digitaliseringen ger. För att nÄ det ovannÀmnda
I juni 2012 tillsatte regeringen Digitaliseringskommissionen som har i uppdrag att verka för att det
3.1.3Förvaltningspolitik och
Hur den offentliga förvaltningen utvecklas, organiseras och styrs har stor betydelse för myndigheternas informationshantering. I 2010 Ärs förvaltningspolitiska proposition lade regeringen fram mÄl och riktlinjer för det fortsatta arbetet med i första hand den statliga förvaltningen. Det övergripande mÄlet för förvaltningspolitiken ska vara en innovativ och samverkande statsförvaltning som Àr rÀtts- sÀker och effektiv, har en vÀl utvecklad kvalitet, service och tillgÀng- lighet och dÀrigenom bidrar till Sveriges utveckling och ett effektivt
57
AllmÀnna förutsÀttningar |
SOU 2015:39 |
tive verksamheter. BenÀmningen
I januari 2008 faststÀllde regeringen en nationell handlingsplan för den svenska
Den 17 december 2012 presenterade regeringen en ny strategi: Med medborgaren i centrum â Regeringens strategi för en digitalt samverkande statsförvaltning (N2012/6402/ITP). I strategin beskrivs regeringens mĂ„lsĂ€ttningar för arbetet med att styra och förstĂ€rka myndigheternas förmĂ„ga att samverka digitalt i förvaltningsgemen- samma
58
SOU 2015:39 |
AllmÀnna förutsÀttningar |
informationshantering, förbÀttrad informationssÀkerhet och digi- taliserade processer. En viktig utgÄngspunkt i all utveckling av stats- förvaltningens tjÀnster Àr att effektivitet och service alltid mÄste vÀgas mot skyddet för den enskildes integritet och behov av sekre- tesskydd. MÄlen ska ligga till grund för regeringens koordinering och prioritering av förvaltningsgemensamma utvecklingsprojekt.
I budgetpropositionen för 2015 annonserade regeringen en för- stÀrkt styrning och samordning av den övergripande
I vĂ„rt delbetĂ€nkande Ăverskottsinformation vid direktĂ„tkomst (SOU 2012:90) har vi i korthet beskrivit nĂ„gra exempel pĂ„ aktuella aktörer och initiativ eller utvecklingsprojekt inom
3.1.4
Inom EU bedrivs ett aktivt arbete med att frĂ€mja utvecklingen av informationssamhĂ€llet inom Europa. Den 29 april 2010 lade Euro- peiska kommissionen fram en digital agenda för Europa som Ă€r ett av sju âflaggskeppsinitiativâ i EU:s övergripande strategi för tillvĂ€xt EU2020 (KOM[2010] 245 slutlig respektive KOM[2010] 2020 slutlig). Det huvudsakliga mĂ„let med agendan Ă€r att utveckla en digital inre marknad för att styra Europa mot en smart och hĂ„llbar tillvĂ€xt för alla. Utvecklandet av en modern
59
AllmÀnna förutsÀttningar |
SOU 2015:39 |
Den 15 december 2010 lade kommissionen fram en handlings- plan
Utöver den digitala agendan och handlingsplanen finns ett antal
3.2RÀttslig reglering till skydd för personuppgifter
3.2.1Internationella Ă„taganden avseende dataskydd
Förenta Nationernas allmÀnna förklaring om de mÀnskliga rÀttigheterna m.m.
Förenta nationernas (FN) generalförsamling antog Ă„r 1948 en uni- versell deklaration om de mĂ€nskliga rĂ€ttigheterna â Förenta Nationer- nas allmĂ€nna förklaring om de mĂ€nskliga rĂ€ttigheterna. Deklara- tionen Ă€r inte formellt bindande för medlemsstaterna, men har be- tydelse som ett uttryck för vad den internationella opinionen krĂ€ver. I artikel 12 sĂ€gs att ingen âmĂ„ utsĂ€ttas för godtyckliga ingripanden i frĂ„ga om privatliv, familj, hem eller korrespondens, ej heller angrepp pĂ„ heder och anseendeâ samt att envar har rĂ€tt till lagens skydd mot sĂ„dana ingripanden eller angrepp. Vidare sĂ€gs i artikel 29 att endast sĂ„dana inskrĂ€nkningar i de i deklarationen angivna fri- och rĂ€ttigheterna Ă€r tillĂ„tna som faststĂ€llts i lag i ute- slutande syfte att trygga tillbörlig hĂ€nsyn till och respekt för andras fri- och rĂ€ttigheter samt för att tillgodose det demokratiska sam- hĂ€llets rĂ€ttmĂ€tiga krav pĂ„ moral, allmĂ€n ordning och allmĂ€n vĂ€lfĂ€rd.
60
SOU 2015:39 |
AllmÀnna förutsÀttningar |
Inom FN har ocksÄ utarbetats en internationell konvention om medborgerliga och politiska rÀttigheter, som antogs av general- församlingen Är 1966. Sverige anslöt sig till konventionen Är 1971, varefter konventionen trÀdde i kraft Är 1976. I konventionen be- handlas vad som hör till skyddet för den personliga integriteten frÀmst i artikel 17. Enligt denna artikels punkt 1 bör ingen utsÀttas för godtyckliga eller olagliga ingripanden i sitt privat- och familje- liv, sitt hem eller sin korrespondens, ej heller för olagliga angrepp pÄ sin heder och sitt anseende. Vidare sÀgs i punkt 2 att envar har rÀtt till lagens skydd mot sÄdana ingripanden eller angrepp. De stater som har tilltrÀtt konventionen ÄlÀggs sÄledes vissa skyldig- heter. Ett sÀrskilt inrÀttat organ benÀmnt Kommittén för de mÀnsk- liga rÀttigheterna (Human Rights Committee) övervakar att de till konventionen anslutna staterna efterlever sina skyldigheter. Förenta nationernas generalförsamling antog Àven Är 1990 riktlinjer om datoriserade register med personuppgifter.
Europakonventionen
Den europeiska konventionen av den 4 november 1950 om skydd för de mÀnskliga rÀttigheterna och de grundlÀggande friheterna (Europakonventionen) Àr sedan den 1 januari 1995 inkorporerad i svensk rÀtt och gÀller hÀr i landet som lag (prop. 1993/94:117, 1993/94:KU24). Den har alltsÄ inte getts stÀllning som grundlag. I 2 kap. 19 § RF har emellertid införts en bestÀmmelse om att lag eller annan föreskrift inte fÄr meddelas i strid med Sveriges Ätagan- den pÄ grund av konventionen.
Av betydelse för skyddet för den personliga integriteten Àr framför allt artikel 8 i konventionen. DÀr stadgas att var och en har rÀtt till respekt för sitt privat- och familjeliv, sitt hem och sin korre- spondens. En offentlig myndighet fÄr inte inskrÀnka Ätnjutande av denna rÀttighet annat Àn med stöd av lag och om det i ett demo- kratiskt samhÀlle Àr nödvÀndigt med hÀnsyn till statens sÀkerhet, den allmÀnna sÀkerheten, landets ekonomiska vÀlstÄnd eller till förebyggande av oordning eller brott eller till skydd för hÀlsa eller moral eller för andra personers fri- och rÀttigheter.
Det stÄr klart att behandling av personuppgifter och t.ex. rÀtt till tillgÄng till registrerade personuppgifter i och för sig kan falla inom
61
AllmÀnna förutsÀttningar |
SOU 2015:39 |
tillĂ€mpningsomrĂ„det för artikel 8 i Europakonventionen. All slags behandling av personuppgifter omfattas dock inte, utan frĂ„gan mĂ„ste gĂ€lla privatliv, familjeliv, hem eller korrespondens. PrimĂ€rt innebĂ€r artikel 8 att staten ska avhĂ„lla sig frĂ„n ingrepp i den skyddade rĂ€ttig- heten. Artikeln innebĂ€r Ă€ven en skyldighet för staten att vidta posi- tiva Ă„tgĂ€rder för att skydda den enskildes privatsfĂ€r. SĂ„dana positiva Ă„tgĂ€rder kan utgöras av lagstiftning, men ocksĂ„ ha till Ă€ndamĂ„l att pĂ„ annat sĂ€tt tillförsĂ€kra medborgarna skydd mot övergrepp i sĂ€r- skilda situationer (Hans Danelius, MĂ€nskliga rĂ€ttigheter i europeisk praxis, 4 uppl. 2012, s. 347). I sin praxis har Europadomstolen ocksĂ„ framhĂ„llit att kravet pĂ„ att ingreppet ska vara nödvĂ€ndigt inte Ă€r synonymt med âoundgĂ€ngligtâ. Vad som krĂ€vs Ă€r dĂ€remot att det finns ett âangelĂ€get samhĂ€lleligt behovâ. InskrĂ€nkningen i den grundlĂ€ggande rĂ€ttigheten mĂ„ste vidare stĂ„ i rimlig proportion till det syfte som ska tillgodoses genom inskrĂ€nkningen. Varje konven- tionsstat har sjĂ€lv en viss frihet att avgöra om en inskrĂ€nkning Ă€r nödvĂ€ndig. Europadomstolen förbehĂ„ller sig dock rĂ€tten att över- vaka om denna frihet utnyttjas pĂ„ ett rimligt sĂ€tt.
EuroparÄdets dataskyddskonvention
EuroparÄdets ministerkommitté antog Är 1981 en konvention (nr 108) till skydd för enskilda vid automatisk databehandling av person- uppgifter, den s.k. dataskyddskonventionen (se prop. 1981/82:189). Konventionen trÀdde i kraft den 1 oktober 1985. Konventionens syfte Àr att sÀkerstÀlla respekten för grundlÀggande fri- och rÀttig- heter, sÀrskilt den enskildes rÀtt till personlig integritet i samband med automatisk databehandling av personuppgifter. UtgÄngspunkten Àr att vissa av den enskildes rÀttigheter kan behöva skyddas i för- hÄllande till den princip om fritt flöde av information, oberoende av grÀnser, som finns inskriven i internationella överenskommelser om mÀnskliga rÀttigheter. Konventionens tillÀmpningsomrÄde Àr enligt huvudregeln automatiserade personregister och automatisk
62
SOU 2015:39 |
AllmÀnna förutsÀttningar |
databehandling av personuppgifter i allmÀn och enskild verksam- het. I konventionen anges krav pÄ beskaffenheten av de person- uppgifter som undergÄr automatisk databehandling, bl.a. krav pÄ att uppgifterna ska inhÀmtas och behandlas pÄ ett korrekt sÀtt och vara relevanta med hÀnsyn till ÀndamÄlet, att vissa typer av uppgifter inte fÄr undergÄ automatisk databehandling om inte den nationella lagen ger ett ÀndamÄlsenligt skydd, samt att lÀmpliga sÀkerhets- ÄtgÀrder ska vidtas för att skydda personuppgifter gentemot oav- siktlig eller otillÄten förstörelse. Inom EuroparÄdet pÄgÄr en över- syn av konventionen.
Inom EuroparÄdet har vidare utarbetats ett flertal rekommenda- tioner pÄ dataskyddsomrÄdet.
Riktlinjer frÄn OECD
Inom Organisationen för ekonomiskt samarbete och utveckling, OECD, har en expertgrupp utarbetat vissa riktlinjer i frÄga om integritetsskyddet och persondataflödet över grÀnserna. Riktlinjerna antogs Är 1980 av OECD:s rÄd tillsammans med en rekommen- dation till medlemslÀndernas regeringar om att beakta riktlinjerna i nationell lagstiftning. Samtliga medlemslÀnder, dÀribland Sverige, har godtagit rekommendationen och Ätagit sig att följa denna. Rikt- linjerna Àr tillÀmpliga pÄ personuppgifter inom bÄde den offentliga och privata sektorn. De gÀller bÄde för uppgifter som lagras auto- matiskt och som förs manuellt. Syftet Àr emellertid att undvika de risker för personlig integritet och individens frihet som person- uppgifter kan utgöra pÄ grund av det sÀtt pÄ vilket de behandlas, pÄ grund av uppgifternas natur eller pÄ grund av de sammanhang i vilka de anvÀnds. à r 2013 reviderades riktlinjerna genom införan- det av vissa nyheter och förÀndringar.
EU:s stadga om de grundlÀggande rÀttigheterna
Lissabonfördraget innebÀr att Europeiska unionens stadga om de grundlÀggande rÀttigheterna, tillkÀnnagiven av parlamentet, rÄdet och kommissionen den 7 december 2000 och anpassad den 12 decem- ber 2007, numera Àr rÀttsligt bindande. En referens till stadgan har införts i artikel 6.1 i unionsfördraget. I stadgan bekrÀftas de rÀttig-
63
AllmÀnna förutsÀttningar |
SOU 2015:39 |
heter som har sin grund i medlemsstaternas gemensamma författ- ningstraditioner och internationella förpliktelser, Europakonven- tionen, unionens och EuroparÄdets sociala stadgor samt rÀttspraxis frÄn Europeiska unionens domstol och Europeiska domstolen för de mÀnskliga rÀttigheterna. Stadgans syfte Àr att kodifiera de grundlÀgg- ande fri- och rÀttigheter som EU redan erkÀnner.
I stadgans artikel 7 föreskrivs att var och en har rÀtt till respekt för sitt privatliv och familjeliv, sin bostad och sin korrespondens. I artikel 8 föreskrivs vidare att var och en har rÀtt till skydd av de personuppgifter som rör honom eller henne. Dessa uppgifter ska behandlas lagenligt för bestÀmda ÀndamÄl och pÄ grundval av den berörda personens samtycke eller nÄgon annan legitim och lagenlig grund. Var och en har rÀtt att fÄ tillgÄng till insamlade uppgifter som rör honom eller henne och att fÄ rÀttelse av dem.
Stadgan riktar sig till verksamhet som utförs av EU:s egna organ och institutioner och den blir tillÀmplig för medlemsstaterna endast i de fall dÀr de tillÀmpar
NÀr det gÀller de garanterade rÀttigheternas rÀckvidd följer av artikel 52 i stadgan att varje begrÀnsning i utövningen av de rÀttig- heter och friheter som erkÀnns i stadgan ska vara föreskriven i lag och vara förenlig med proportionalitetsprincipen och det vÀsentliga innehÄllet i fri- och rÀttigheterna. I den mÄn rÀttigheterna i stadgan motsvarar rÀttigheter som skyddas av Europakonventionen ska de ha samma innebörd och rÀckvidd som enligt konventionen. Stadgans artiklar fÄr inte tolkas som att de inskrÀnker eller inkrÀktar pÄ rÀttigheter enligt andra konventioner eller överenskommelser om fri- och rÀttigheter.
Dataskyddsdirektivet m.m.
Den 24 oktober 1995 antogs Europaparlamentets och rÄdets direk- tiv 95/46/EG om skydd för enskilda personer med avseende pÄ be- handling personuppgifter och om det fria flödet av sÄdana upp- gifter (dataskyddsdirektivet). Direktivet syftar till att garantera en hög och i alla medlemsstater likvÀrdig skyddsnivÄ nÀr det gÀller enskilda personers fri- och rÀttigheter med avseende pÄ behandling av personuppgifter och att frÀmja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Medlemsstaterna fÄr inom den ram
64
SOU 2015:39 |
AllmÀnna förutsÀttningar |
som anges i direktivet nÀrmare precisera villkoren för nÀr behand- ling av personuppgifter fÄr förekomma. SÄdana preciseringar fÄr dock inte hindra det fria flödet av personuppgifter inom unionen. Direktivet gÀller inte för behandling av personuppgifter pÄ omrÄden som faller utanför unionsrÀtten, t.ex. allmÀn sÀkerhet, försvar, statens sÀkerhet och statens verksamhet pÄ straffrÀttens omrÄde.
Dataskyddsdirektivet Àr endast tillÀmpligt pÄ behandling av upp- gifter om fysiska personer och berör alltsÄ inte skyddet för juri- diska personer. Direktivet omfattar inte bara automatiserad behand- ling, utan ocksÄ manuell behandling av personuppgifter som ingÄr eller kommer att ingÄ i ett register. Direktivet omfattar inte be- handling av personuppgifter för privat bruk.
Enligt dataskyddsdirektivet mĂ„ste all behandling av personupp- gifter vara laglig och korrekt. Uppgifterna mĂ„ste vara riktiga och aktuella samt adekvata, relevanta och nödvĂ€ndiga med hĂ€nsyn till de Ă€ndamĂ„l för vilka de behandlas. ĂndamĂ„len ska vara uttryckligt angivna vid tiden för insamling av uppgifterna. De Ă€ndamĂ„l för vilka uppgifterna senare behandlas fĂ„r inte vara oförenliga med de ursprungliga Ă€ndamĂ„len.
Personuppgifter fÄr enligt direktivet behandlas bara i vissa fall. Personuppgifter fÄr bl.a. behandlas om den registrerade otvetydigt har lÀmnat sitt samtycke, om behandlingen Àr nödvÀndig för att fullgöra en rÀttslig förpliktelse som Äligger den registeransvarige eller Àr nödvÀndig för att utföra en arbetsuppgift av allmÀnt intresse eller som Àr ett led i myndighetsutövning. Personuppgifter fÄr Àven behandlas om intresset av att den registeransvarige fÄr behandla uppgifterna vÀger tyngre Àn den registrerades intresse av att de inte behandlas.
Vissa sÀrskilda i direktivet angivna kategorier av uppgifter fÄr som huvudregel inte behandlas. Det gÀller uppgifter som avslöjar den enskildes ras eller etniska ursprung, politiska Äsikter, religiösa eller filosofiska övertygelse eller medlemskap i fackförening samt uppgifter som rör hÀlsa och sexualliv. I direktivet görs dock undan- tag frÄn denna regel i vissa sÀrskilt angivna situationer, bl.a. om det finns uttryckligt samtycke frÄn den registrerade.
Dataskyddsdirektivet föreskriver att den registeransvarige ska informera den registrerade om att personuppgifter Àr föremÄl för behandling och dÀrvid redogöra för ÀndamÄlet med behandlingen. Har uppgifterna inte samlats in frÄn den registrerade sjÀlv behöver
65
AllmÀnna förutsÀttningar |
SOU 2015:39 |
den registeransvarige dock inte lÀmna nÄgon information, om den registrerade redan kÀnner till informationen eller om det skulle visa sig vara omöjligt eller innebÀra en anstrÀngning som inte stÄr i proportion till nyttan. Den registrerade har dock rÀtt att pÄ begÀran fÄ information om de registrerade uppgifterna. Vidare har den regi- strerade rÀtt att fÄ sÄdana uppgifter som inte har behandlats i enlig- het med direktivet rÀttade, utplÄnade eller blockerade. Direktivet innehÄller Àven regler om sÀkerhet vid behandlingen.
PĂ„
För nÀrvarande pÄgÄr inom EU en övergripande översyn av bl.a. dataskyddsdirektivet, se avsnitt 3.3.
3.2.2Nationell reglering
Regeringsformen
GrundlÀggande bestÀmmelser om skydd för den personliga integri- teten finns i regeringsformen. I mÄlsÀttningsstadgandet i 1 kap. 2 § första stycket slÄs det fast att den offentliga makten ska utövas med respekt bl.a. för den enskilda mÀnniskans frihet och i fjÀrde stycket anges bl.a. att det allmÀnna ska vÀrna den enskildes privatliv och familjeliv. I 2 kap. 4 och 5 §§ finns bestÀmmelser om absolut skydd mot allvarliga fysiska integritetsintrÄng bl.a. döds- och kropps- straff. Enligt 6 § samma kapitel Àr var och en dÀrutöver skyddad gentemot det allmÀnna mot bl.a. pÄtvingande kroppsliga ingrepp.
Den 1 januari 2011 trÀdde en ny bestÀmmelse, 2 kap. 6 § andra stycket RF, i kraft. Enligt bestÀmmelsen Àr var och en gentemot det allmÀnna skyddad mot betydande intrÄng i den personliga integriteten, om det sker utan samtycke och innebÀr övervakning eller kartlÀggning av den enskildes personliga förhÄllanden. BestÀm- melsen innebÀr alltsÄ att enskilda Àr skyddade mot ÄtgÀrder frÄn det allmÀnnas sida men trÀffar inte ÄtgÀrder som en enskild vidtar i för- hÄllande till en annan enskild. Bakgrunden till bestÀmmelsen Àr att det ansÄgs finnas vissa brister i lagstiftning som innefattade intrÄng
66
SOU 2015:39 |
AllmÀnna förutsÀttningar |
i den enskildes personliga integritet. Dessa brister bestod i att de avvÀgningar mellan olika motstÄende intressen som normalt ska göras i lagstiftningsÀrenden i vissa fall var bristfÀlligt redovisade och att det i första hand var de negativa effekterna av olika integritets- begrÀnsande ÄtgÀrder som var knapphÀndigt belysta (prop. 2009/10:80 s. 175 f.). Av bl.a. dessa skÀl ansÄgs det dÀrför finnas ett behov av att stÀrka skyddet av den personliga integriteten i grund- lag. Det stÀrkta grundlagsskyddet bestÄr i att en begrÀnsning av det skydd som bestÀmmelsen föreskriver endast fÄr göras i form av lag och under de förutsÀttningar som anges 2 kap.
Personuppgiftslagen
Dataskyddsdirektivet har genomförts i svensk rÀtt genom person- uppgiftslagen (1998:204). BestÀmmelserna i personuppgiftslagen har till syfte att skydda mÀnniskor mot att deras personliga inte- gritet krÀnks genom behandling av personuppgifter. Liksom den tidigare datalagen (1973:289), vilken upphÀvdes i och med person- uppgiftslagens införande, Àr personuppgiftslagen generellt tillÀmp- lig och gÀller bÄde för myndigheter och enskilda som behandlar personuppgifter. Rent privat behandling av personuppgifter Àr dock undantagen.
Personuppgiftslagen Àr subsidiÀr i förhÄllande till annan lag eller förordning (2 §). Vid lagens införande anfördes att det traditionella svenska systemet med sÀrregler i sÀrskilda författningar var att föredra framför generella undantag frÄn den nya lagen (prop. 1997/98:44 s. 41).
Personuppgiftslagen, som i huvudsak följer dataskyddsdirektivets text och disposition, omfattar all helt eller delvis automatiserad be- handling av personuppgifter (5 § första stycket). Lagen Àr teknik- oberoende i den meningen att den i frÄga om automatiserad be- handling inte begrÀnsas till dataregister. All automatiserad behand- ling omfattas, alltsÄ Àven personuppgifter som framgÄr av bilder och ljud. Begreppet register saknar betydelse för lagens tillÀmp- ning. Det avgörande Àr att personuppgifterna Àr föremÄl för auto- matiserad behandling, inte om de Àr ordnade i ett register eller inte. Det Àr vidare tillrÀckligt att behandlingen av personuppgifter delvis Àr automatiserad för att den ska falla under lagens bestÀmmelser.
67
AllmÀnna förutsÀttningar |
SOU 2015:39 |
Om uppgifter samlas in manuellt och sedan behandlas automati- serat Àr Àven insamlandet en sorts behandling som omfattas av lagen. PÄ samma sÀtt faller t.ex. ett utlÀmnande genom manuella utskrifter frÄn ett automatiserat register in under lagens bestÀmmelser. Per- sonuppgiftslagen gÀller Àven för manuella register med personupp- gifter som Àr strukturerade eller ordnade sÄ att de Àr sökbara pÄ person (5 § andra stycket).
Med personuppgifter avses all slags information som direkt eller indirekt kan hÀnföras till en fysisk person som Àr i livet (3 §). Be- greppet behandling av personuppgift Àr ett vitt begrepp och om- fattar varje ÄtgÀrd eller serie av ÄtgÀrder som vidtas i frÄga om per- sonuppgifter, vare sig det sker pÄ automatisk vÀg eller inte. Exempel pÄ behandling av personuppgifter Àr insamling, registrering, organi- sering, lagring, bearbetning eller Àndring, Ätervinning, inhÀmtande, anvÀndning, utlÀmnande genom översÀndande, spridning eller annat tillhandahÄllande av uppgifter, sammanstÀllning eller samkörning, blockering, utplÄning eller förstöring (3 §).
Det finns nÄgra viktiga undantag frÄn personuppgiftslagens tillÀmpningsomrÄde. Lagen gÀller t.ex. inte vid behandling av per- sonuppgifter som en fysisk person utför som ett led i en verksam- het av rent privat natur (6 §). BestÀmmelserna i lagen tillÀmpas inte heller i den utstrÀckning det skulle strida mot grundlagsbestÀm- melserna om tryck- och yttrandefrihet (7 § första stycket). I prin- cip ska inte heller personuppgiftslagens bestÀmmelser tillÀmpas vid journalistisk, konstnÀrlig eller litterÀr verksamhet (7 § andra stycket). Vidare anges i personuppgiftslagen att lagen inte gÀller i den mÄn det skulle inskrÀnka offentlighetsprincipen (8 § första stycket).
Behandling av personuppgifter som inte ingÄr i eller Àr avsedda att ingÄ i en samling av personuppgifter som har strukturerats för att pÄtagligt underlÀtta sökningen efter eller sammanstÀllningen av personuppgifter omfattas inte av flertalet av de hanteringsregler som anges i personuppgiftslagen. Det som i stÀllet avgör om en sÄdan behandling Àr tillÄten eller inte Àr om behandlingen innebÀr en krÀnkning av den registrerades personliga integritet (5 a §).
I 9 § ges vissa grundlÀggande krav pÄ all behandling av person- uppgifter som omfattas av lagen. Den personuppgiftsansvarige, vilken oftast Àr det organ dÀr personuppgifterna behandlas, ska se till att personuppgifter behandlas bara om det Àr lagligt samt att personuppgifter alltid behandlas pÄ ett korrekt sÀtt och i enlighet
68
SOU 2015:39 |
AllmÀnna förutsÀttningar |
med god sed. Vidare ska personuppgifter samlas in bara för sĂ€r- skilda, uttryckligt angivna och berĂ€ttigade Ă€ndamĂ„l. ĂndamĂ„let med en behandling av personuppgifter mĂ„ste bestĂ€mmas redan nĂ€r upp- gifterna samlas in. Den personuppgiftsansvarige ska definiera avsik- ten med insamlingen och anvĂ€ndningen av personuppgifterna pĂ„ ett sĂ„ precist sĂ€tt som möjligt. Personuppgifterna fĂ„r inte sedan behandlas för nĂ„got Ă€ndamĂ„l som Ă€r oförenligt med det för vilket uppgifterna samlades in (finalitetsprincipen). Det sistnĂ€mnda kan bli aktuellt att pröva nĂ€r personuppgifter lĂ€mnas ut till tredje man. Ett sĂ„dant utlĂ€mnande fĂ„r alltsĂ„ inte vara oförenligt med det Ă€nda- mĂ„l för vilket uppgifterna ursprungligen samlades in. Om person- uppgifter lĂ€mnas ut i form av allmĂ€nna handlingar med stöd av bestĂ€mmelserna i 2 kap. TF blir en sĂ„dan prövning dock inte aktuell.
De personuppgifter som behandlas ska vara adekvata och rele- vanta i förhÄllande till ÀndamÄlen med behandlingen. Med detta krav avses att personuppgifterna ska vara av sÄdant slag att de hör till saken (relevanta) och Àr Àgnade att uppnÄ det mÄl man har med behandlingen (adekvata). Inte heller fÄr fler personuppgifter behand- las Àn vad som Àr nödvÀndigt med hÀnsyn till ÀndamÄlen med behandlingen. DÀrutöver ska de uppgifter som behandlas vara rik- tiga och, om det Àr nödvÀndigt, aktuella. Alla rimliga ÄtgÀrder ska vidtas för att rÀtta, blockera eller utplÄna sÄdana personuppgifter som Àr felaktiga eller ofullstÀndiga med hÀnsyn till ÀndamÄlen med behandlingen. Personuppgifter fÄr inte heller bevaras under lÀngre tid Àn vad som Àr nödvÀndigt med hÀnsyn till ÀndamÄlen med be- handlingen.
Varje behandling av personuppgifter mÄste kunna hÀnföras till nÄgon av de situationer som anges i personuppgiftslagens regler om nÀr behandling av personuppgifter Àr tillÄten. Av 10 § följer att personuppgifter fÄr behandlas bara om den registrerade har lÀmnat sitt samtycke till behandlingen, behandlingen Àr nödvÀndig för att ett avtal med den registrerade ska kunna fullgöras eller ÄtgÀrder som den registrerade begÀrt ska kunna vidtas innan ett avtal trÀffas, den personuppgiftsansvarige ska kunna fullgöra en rÀttslig skyldig- het, vitala intressen för den registrerade ska kunna skyddas, en arbetsuppgift av allmÀnt intresse ska kunna utföras, den person- uppgiftsansvarige eller en tredje man till vilken personuppgifter lÀmnas ut ska kunna utföra en arbetsuppgift i samband med myn- dighetsutövning, eller ett ÀndamÄl som rör ett berÀttigat intresse
69
AllmÀnna förutsÀttningar |
SOU 2015:39 |
hos den personuppgiftsansvarige eller hos en sÄdan tredje man till vilken personuppgifterna lÀmnas ut ska kunna tillgodoses, om detta intresse vÀger tyngre Àn den registrerades intresse av skydd mot krÀnkning av den personliga integriteten.
Enligt 11 § fÄr inte personuppgifter behandlas för ÀndamÄl som rör direkt marknadsföring, om den registrerade hos den person- uppgiftsansvarige skriftligen har anmÀlt att han eller hon motsÀtter sig sÄdan behandling. Inte heller fÄr personuppgifter behandlas i de fall dÀr behandling bara Àr tillÄten nÀr den registrerade har lÀmnat sitt samtycke och han eller hon har Äterkallat detta (12 §). Utöver vad som följer av 11 och 12 §§ har den enskilde ingen rÀtt att mot- sÀtta sig sÄdan behandling av personuppgifter som Àr tillÄten enligt lagen.
Enligt 13 § Àr det generellt sett förbjudet att behandla kÀnsliga personuppgifter. Med kÀnsliga personuppgifter avses sÄdana person- uppgifter som avslöjar ras eller etniskt ursprung, politiska Äsikter, religiös eller filosofisk övertygelse, medlemskap i en fackförening eller som rör hÀlsa eller sexualliv. FrÄn förbudet att behandla kÀns- liga personuppgifter finns, utöver nÀr den registrerade har lÀmnat sitt samtycke (15 §), vissa undantag
SÀrskilda bestÀmmelser om uppgifter om lagövertrÀdelser och behandling av personnummer finns i 21 och 22 §§.
BestÀmmelser om i vilka fall information om behandling av personuppgifter ska lÀmnas till den enskilde finns i
Enligt 33 § Àr det förbjudet att till tredjeland, dvs. ett land utan- för EU eller ESS, föra över personuppgifter som Àr under behand- ling, om landet inte har en adekvat nivÄ för skydd av personupp- gifter. Förbudet gÀller i princip alla slag av personuppgifter och Àr alltsÄ inte begrÀnsat till exempelvis kategorierna kÀnsliga person- uppgifter eller uppgifter om lagövertrÀdelser. Trots förbudet Àr det enligt 34 § tillÄtet att under vissa förutsÀttningar föra över uppgifter till tredjeland men det förutsÀtter antingen att den registrerade gett sitt samtycke till överföringen eller att överföringen Àr nödvÀndig bl.a. för att rÀttsliga ansprÄk ska kunna faststÀllas, göras gÀllande eller försvaras eller att vitala intressen för den registrerade ska kunna skyddas. Vidare Àr det tillÄtet att föra över personuppgifter för
70
SOU 2015:39 |
AllmÀnna förutsÀttningar |
anvÀndning enbart i en stat som har anslutit sig till EuroparÄdets dataskyddskonvention. Regeringen fÄr meddela föreskrifter om ytter- ligare undantag frÄn förbudet mot överföring (35 §).
Vidare finns det i lagen bl.a. bestÀmmelser om anmÀlan till tillsynsmyndigheten, tillsyn, skadestÄnd och straff.
Sekretess
I offentlighets- och sekretesslagen (2009:400) finns ett stort antal bestÀmmelser om sekretess till skydd för uppgift om enskilds per- sonliga förhÄllanden, vilka syftar till att skydda enskilds personliga integritet. Av dessa bör i detta sammanhang sÀrskilt nÀmnas 21 kap. 7 § OSL, den s.k.
Registerförfattningar
De s.k. registerförfattningarna har till huvudsakligt syfte att reglera inrÀttandet och anvÀndningen av viktigare register eller andra per- sonuppgiftssamlingar inom den offentliga sektorn.
Registerförfattningarna reglerar myndigheternas behandling av personuppgifter och Àr tÀnkta att ge ett anpassat integritetsskydd vid myndighetens hantering av personuppgifter dÄ behov finns att avvika frÄn eller komplettera det integritetsskydd som personuppgifts- lagen annars ger.
En utgÄngspunkt vid utarbetandet av registerförfattningar har varit att regleringen sÄ lÄngt som möjligt ska vara i överensstÀm-
71
AllmÀnna förutsÀttningar |
SOU 2015:39 |
melse med personuppgiftslagen och dĂ€rmed med dataskyddsdirek- tivets materiella bestĂ€mmelser samt att behovet av sĂ€rregler i för- hĂ„llande till personuppgiftslagen bör övervĂ€gas noga (prop. 1997/98:44 s. 41 och Sören Ăman, SĂ€rskilda registerförfattningar, Festskrift till Peter Seipel, s. 694 f.).
En omstÀndighet som ansetts tala för en sÀrreglering i förhÄll- ande till personuppgiftslagen Àr att en sÀrskild författning under vissa förutsÀttningar anses innebÀra en bÀttre garanti för utform- ningen av integritetsskyddet vad gÀller sÀrskilt kÀnsliga register eller andra personuppgiftssamlingar.
Exempel pÄ fall dÄ en sÀrskild författningsreglering i form av en registerförfattning har ansetts motiverad Àr vidare nÀr en nödvÀndig behandling av personuppgifter över huvud taget inte Àr tillÄten enligt personuppgiftslagen, nÀr personuppgiftslagen visserligen reglerar ett visst förhÄllande men det finns anledning att avvika frÄn eller precisera den regleringen, nÀr personuppgiftslagens bestÀmmelser kan ge upphov till tolkningsproblem och det finns anledning att ha tydliga bestÀmmelser, nÀr det finns anledning att begrÀnsa möjlig- heterna till behandling av uppgifter av integritetsskÀl i frÄga om myndigheters registrering och Ätkomst till stora och kÀnsliga upp- giftsmÀngder eller nÀr det finns anledning att vara sÀrskilt tydlig gentemot allmÀnheten, t.ex. i frÄga om vilka uppgifter om enskilda som en myndighet registrerar.
Registerförfattningar har ofta getts lagform trots att detta rent normgivningstekniskt inte har varit nödvÀndigt. Den bakomliggande tanken har emellertid varit att myndighetsregister med ett stort antal registrerade och med ett kÀnsligt innehÄll ska regleras sÀrskilt genom lag (prop. 1990/91:60 s. 50, KU 1990/91:11 s. 11, se Àven prop. 1997/98:44 s. 41).
3.3PÄgÄende reformarbete inom EU
3.3.1AllmÀnt
Den 25 januari 2012 presenterade kommissionen ett förslag till en genomgripande reform av EU:s regler om skydd för personupp- gifter. Förslaget omfattar dels en förordning med en generell reg- lering som ska ersÀtta dataskyddsdirektivet, kallad allmÀn uppgifts- skyddsförordning, dels ett nytt direktiv med sÀrregler för den brotts-
72
SOU 2015:39 |
AllmÀnna förutsÀttningar |
bekÀmpande sektorn som ska ersÀtta det gÀllande dataskyddsram- beslutet (rambeslut 2008/977/RIF). Det föreslagna direktivet Àr mera vidstrÀckt till sitt tillÀmpningsomrÄde Àn dataskyddsram- beslutet i det att direktivet inte bara omfattar utbyte av information över grÀnserna utan Àven nationell personuppgiftsbehandling inom den brottsbekÀmpande sektorn.
Det huvudsakliga syftet med kommissionens förslag till uppgifts- skyddsförordning Àr att ytterligare harmonisera och effektivisera skyddet av personuppgifter i syfte att förbÀttra den inre mark- nadens funktion och öka enskildas kontroll över sina personupp- gifter. Enligt kommissionen kommer förslaget att undanröja den fragmentariska dataskyddsreglering som nu finns inom EU, vilket bÄde förenklar för företagen och stÀrker den enskildes rÀtt till skydd för sina personuppgifter. Eftersom regleringen föreslÄs fÄ formen av en förordning blir den direkt tillÀmplig i medlemsstaterna nÀr den trÀtt i kraft.
Förslaget till uppgiftsskyddsförordning baseras till stor del pÄ den struktur och reglering som finns i det nu gÀllande dataskydds- direktivet. Den föreslagna förordningen Àr liksom dataskyddsdirek- tivet utformad enligt en hanteringsmodell som innebÀr att sjÀlva hanteringen av personuppgifter regleras frÄn det att uppgifterna samlas in till dess att de utplÄnas. Förordningen innehÄller dock Àven en rad nyheter jÀmfört med dataskyddsdirektivet.
3.3.2Förslaget till uppgiftsskyddsförordning
Syfte och tillÀmpningsomrÄde
I förordningens första kapitel slÄs syftet och tillÀmpningsomrÄdet fast, vilka Àr i princip desamma som dataskyddsdirektivets (artik- larna
I kapitlet finns ocksÄ en rad definitioner av begrepp som an- vÀnds i förordningen (artikel 4). MÄnga av definitionerna motsvarar vad som gÀller enligt dataskyddsdirektivet men vissa av defini- tionerna har Àndrats och andra har tillkommit, t.ex. definitioner av personuppgiftsbrott samt genetiska och biometriska uppgifter. Defi-
73
AllmÀnna förutsÀttningar |
SOU 2015:39 |
nitionen av samtycke har Àndrats pÄ sÄ sÀtt att ett samtycke alltid mÄste vara uttryckligt för att det ska anses utgöra ett giltigt sam- tycke i förordningens mening.
Principer och krav pÄ behandlingen av personuppgifter
Det andra kapitlet innehÄller de principer som ska styra behand- lingen av personuppgifter. Principerna motsvarar i stora drag de som redan gÀller enligt dataskyddsdirektivet vad gÀller t.ex. rÀttsliga grunder för behandling och behandling av kÀnsliga personupp- gifter. En nyhet Àr införandet av en princip om att behandling av personuppgifter mÄste ske pÄ ett öppet sÀtt (artikel 5). Det slÄs vidare fast att behandling efter en intresseavvÀgning inte kan Äbe- ropas som rÀttslig grund vid myndigheters behandling av person- uppgifter i deras myndighetsutövning (artikel 7.1 f). En ytterligare nyhet Àr att en registeransvarig inte Àr skyldig att skaffa fram ytterligare information för att kunna identifiera en registrerad en- bart för att kunna iaktta nÄgon bestÀmmelse i förordningen (arti- kel 10).
Den enskildes rÀttigheter
Det tredje kapitlet innehÄller bestÀmmelser om den enskildes rÀttig- heter. Först och frÀmst slÄs fast att den registeransvarige ska ha tydliga och lÀttillgÀngliga riktlinjer och vara skyldig att ge klar och tydlig information till den enskilde vad gÀller behandlingen av personuppgifter samt informera mottagare av uppgifter under vissa villkor (artiklarna
Den nuvarande rĂ€tten att fĂ„ uppgifter raderade vidareutvecklas genom förordningen till att Ă€ven avse en rĂ€tt att bli âglömdâ. Detta innebĂ€r att den registeransvarige inte endast ska radera person- uppgifter som inte lĂ€ngre fĂ„r behandlas. Om uppgifterna har gjorts offentliga ska den registeransvarige dessutom vidta alla rimliga Ă„tgĂ€rder för att informera dem som uppgifterna spridits till att den
74
SOU 2015:39 |
AllmÀnna förutsÀttningar |
enskilde vill bli glömd. En begÀran om att fÄ bli glömd innebÀr som huvudregel att uppgifterna ska raderas utan dröjsmÄl. Endast i vissa sÀrskilt upprÀknade undantagsfall fÄr uppgifter behÄllas trots den enskildes begÀran om att bli glömd (artikel 17).
I förordningen införs ocksÄ en rÀtt för den enskilde att fÄ en kopia av de personuppgifter som behandlas samt en rÀtt att fÄ person- uppgifter överförda frÄn en registeransvarig, t.ex. en tjÀnsteleveran- tör, till en annan, s.k. dataportabilitet (artikel 18).
Kapitlet innehÄller vidare bestÀmmelser som vidareutvecklar nu gÀllande reglering om den enskildes rÀtt att invÀnda mot uppgifts- behandling och att i viss utstrÀckning inte bli utsatt för s.k. profi- lering, dvs. automatisk behandling av uppgifter i syfte att bedöma personliga egenskaper hos den enskilde som exempelvis arbets- prestationer eller kreditvÀrdighet (artiklarna 19 och 20).
Slutligen ges medlemsstaterna befogenhet att för vissa sÀrskilt upprÀknade ÀndamÄl inskrÀnka vissa av rÀttigheterna och skyldig- heterna i förordningen genom nationell lagstiftning. En förutsÀtt- ning för att fÄ införa sÄdana inskrÀnkningar Àr dock att de Àr nöd- vÀndiga och proportionella i förhÄllande till det efterstrÀvade Ànda- mÄlet (artikel 21). BestÀmmelsen motsvarar artikel 13 i dataskydds- direktivet.
Skyldigheter för den som behandlar personuppgifter
Det fjÀrde kapitlet i förordningen innehÄller bestÀmmelser om vilka skyldigheter som den registeransvarige och den som behandlar upp- gifterna för dennes rÀkning, dvs. registerföraren (personuppgifts- bitrÀdet enligt personuppgiftslagen) har.
Ăven om mĂ„nga av skyldigheterna har motsvarigheter i data- skyddsdirektivet innebĂ€r förslaget att skyldigheterna utökas och vidareutvecklas. Exempelvis faststĂ€lls den registeransvariges skyldig- heter som följer av principerna om inbyggt uppgiftsskydd och upp- giftsskydd som standard (artikel 23). SĂ„ledes ska den personupp- giftsansvarige, bĂ„de i samband med att det bestĂ€ms hur behand- lingen ska utföras och vid tidpunkten för sjĂ€lva behandlingen, vidta Ă„tgĂ€rder för att sĂ€kerstĂ€lla att kraven i förordningen uppfylls (âdata protection by designâ). Den registeransvarige ska Ă€ven sĂ€kerstĂ€lla att behandlingen, som standard, endast fĂ„r avse de personuppgifter
75
AllmÀnna förutsÀttningar |
SOU 2015:39 |
som Ă€r nödvĂ€ndiga i förhĂ„llande till syftet med behandlingen (âdata protection by defaultâ).
Vidare klargörs gemensamma registeransvarigas ansvar vad gÀller förhÄllandena dem emellan och gentemot den registrerade (arti- kel 24).
Registerförarens stĂ€llning och skyldigheter regleras avsevĂ€rt mera utförligt i förordningen Ă€n i dataskyddsdirektivet (artikel 26). Exempelvis klargörs att en registerförare som behandlar andra uppgifter Ă€n de som anges i den registeransvariges instruktioner ska anses som gemensamt registeransvarig. Ăver huvud taget följer av flera bestĂ€mmelser i förordningen ett medansvar för registerförare som Ă€r nytt i förhĂ„llande till dataskyddsdirektivet. Exempelvis kan Ă€ven en registerförare bli skadestĂ„ndsskyldig gentemot den regi- strerade vid otillĂ„ten behandling (artikel 77).
Den registeransvarige och registerföraren Àr vidare skyldig, pÄ liknande sÀtt som gÀller enligt direktivet, att vidta lÀmpliga sÀkerhetsÄtgÀrder för att skydda de personuppgifter som behandlas (artikel 30). Det införs ocksÄ en skyldighet för den registeransva- rige att utan dröjsmÄl, om möjligt inom 24 timmar, underrÀtta till- synsmyndigheten om ett intrÀffat personuppgiftsbrott, t.ex. ett dataintrÄng (artikel 31). I vissa fall krÀvs det Àven att de enskilda som berörs av personuppgiftsbrottet underrÀttas (artikel 32).
Den registeransvarige ska dessutom i vissa fall lÄta göra en konsekvensanalys avseende integritetsriskerna med en planerad upp- giftsbehandling (artikel 33). Den generella skyldigheten enligt data- skyddsdirektivet att anmÀla behandling av personuppgifter till den nationella tillsynsmyndigheten har tagits bort. Enligt förordningen ska det endast finnas anmÀlningsskyldighet och krav pÄ förhands- tillstÄnd i frÄga om personuppgiftsbehandling som innebÀr sÀr- skilda risker (artikel 34). I stÀllet ska det föras och bevaras en detal- jerad dokumentation om den uppgiftsbehandling som genomförs (artikel 28). Denna dokumentation ska efter begÀran göras tillgÀng- lig för tillsynsmyndigheten.
Varje myndighet samt alla företag med minst 250 anstÀllda eller vars huvudsakliga verksamhet Àr sÄdan att den krÀver regelbunden övervakning av enskilda ska Àven utse ett uppgiftsskyddsombud. Uppgiftsskyddsombudet ska utses för en period om minst tvÄ Är och ges möjlighet att pÄ ett sjÀlvstÀndigt sÀtt övervaka att myndig- heten eller företaget uppfyller förordningens krav (artiklarna
76
SOU 2015:39 |
AllmÀnna förutsÀttningar |
Ăverföring av uppgifter till lĂ€nder och internationella organisationer utanför EU
I förordningens femte kapitel regleras under vilka förutsÀttningar personuppgifter fÄr överföras till tredjeland eller till en internatio- nell organisation utanför EU. Den föreslagna regleringen innebÀr en vidareutveckling av motsvarande reglering i dataskyddsdirek- tivet. Liksom enligt direktivet Àr det ett grundlÀggande krav för sÄ- dan överföring att det mottagande tredjelandet sÀkerstÀller en adekvat skyddsnivÄ för uppgifterna. I regel Àr det kommissionen som ska besluta om ett tredjeland uppfyller detta krav eller inte (artiklarna 40 och 41). Om kommissionen har beslutat att ett tredjeland inte har en adekvat skyddsnivÄ sÄ innebÀr detta ett förbud för överföring av uppgifter dit. Har kommissionen inte fattat nÄgot beslut i frÄgan finns det möjlighet att överföra uppgifter till tredjeland om vissa juridiskt bindande skyddsÄtgÀrder vidtas, som t.ex. anvÀndandet av vissa godkÀnda standardavtalsklausuler, eller med stöd av vissa direkta undantag (artikel
Tillsynsmyndigheter
I det sjÀtte kapitlet finns bestÀmmelser om den nationella tillsyns- myndigheten. Reglerna pÄminner i stort om regleringen i data- skyddsdirektivet. Tillsynsmyndigheten ges dock vissa nya skyldig- heter och befogenheter, som t.ex. en skyldighet att pröva klagomÄl om uppgiftsbehandling och en befogenhet att vÀcka talan i domstol vid övertrÀdelser mot bestÀmmelserna i förordningen (artikel 52). Genom förslaget införs ocksÄ en befogenhet för de nationella till- synsmyndigheterna att besluta om administrativa sanktionsavgifter (artikel 53).
Tillsynsmyndigheternas samarbete och ÄtgÀrder för en konsekvent tillÀmpning
Genom bestÀmmelserna i det sjunde kapitlet i förordningen (artik- larna
77
AllmÀnna förutsÀttningar |
SOU 2015:39 |
kvent sĂ€tt i hela EU. För att uppnĂ„ detta syfte ska det bland annat inrĂ€ttas en europeisk dataskyddsstyrelse bestĂ„ende av representanter för de nationella dataskyddsmyndigheterna. Dataskyddsstyrelsen ersĂ€tter Arbetsgruppen för uppgiftsskydd, den s.k. Artikel 29- gruppen, som tillskapats enligt dataskyddsdirektivet. De nationella tillsynsmyndigheterna Ă€r skyldiga att samrĂ„da med dataskydds- styrelsen innan de vidtar nĂ„gon Ă„tgĂ€rd som kan fĂ„ effekter i flera medlemsstater. Dataskyddsstyrelsen ska i sĂ„dana fall utfĂ€rda ett yttrande som den nationella tillsynsmyndigheten mĂ„ste ta hĂ€nsyn till. Ăven kommissionen ges rĂ€tt att utfĂ€rda sĂ„dana yttranden som den nationella tillsynsmyndigheten mĂ„ste beakta.
RĂ€ttsmedel, ansvar och sanktioner
BestÀmmelserna i det Ättonde kapitlet bygger pÄ och utvecklar motsvarande reglering i dataskyddsdirektivet. I kapitlet slÄs fast att enskilda ska ha rÀtt att klaga hos en nationell tillsynsmyndighet om de anser att behandlingen av deras personuppgifter inte följt reg- leringen i förordningen (artikel 73).
Den enskilde ska dessutom ges rÀttsmedel för att kunna fÄ till- synsmyndigheten att agera utifrÄn ett klagomÄl som framförts till myndigheten (artikel 74). I likhet med vad som redan gÀller ska den enskilde Àven ha rÀtt att vÀcka talan vid domstol mot en register- ansvarig. En nyhet Àr att rÀtten gÀller Àven gentemot en register- förare (artikel 75).
Om en enskild har drabbats av en skada pÄ grund av en otillÄten behandling av personuppgifter ska denne ha rÀtt till skadestÄnd frÄn den som Àr ansvarig för behandlingen, den registeransvarige eller registerföraren (artikel 77). I övrigt Àr det medlemsstaterna som ska faststÀlla de sanktioner som ska komma i frÄga vid övertrÀdelser av förordningens bestÀmmelser. Sanktionerna mÄste dock vara effek- tiva, proportionerliga och avskrÀckande (artikel 78). En nyhet Àr att de nationella tillsynsmyndigheterna Àr skyldiga att besluta om admini- strativa sanktionsavgifter vid vissa övertrÀdelser av förordningen. De belopp som ska dömas ut anges i förordningen och kan uppgÄ till en miljon euro, eller tvÄ procent av ett företags globala omsÀtt- ning, vid de allvarligaste övertrÀdelserna av förordningens bestÀm- melser (artikel 79).
78
SOU 2015:39 |
AllmÀnna förutsÀttningar |
Behandling av personuppgifter för vissa sÀrskilda ÀndamÄl
I det nionde kapitlet finns bestÀmmelser om behandling av person- uppgifter för vissa sÀrskilda ÀndamÄl. För att skapa en balans mellan skyddet för personuppgifter och yttrandefriheten anges exempelvis att medlemsstaterna ska lagstifta om undantag frÄn vissa av förord- ningens bestÀmmelser för sÄdan behandling av personuppgifter som sker uteslutande för journalistiska ÀndamÄl eller för konst- nÀrligt eller litterÀrt skapande (artikel 80). Det finns Àven sÀrskilda bestÀmmelser som nÀrmare reglerar behandling av uppgifter om hÀlsa samt behandling för statistiska, historiska eller vetenskapliga forskningsÀndamÄl (artikel 81 respektive 83). Medlemsstaterna fÄr Àven lagstifta om sÄdan behandling av enskildas personuppgifter som har samband med anstÀllning (artikel 82).
Kommissionens rÀtt att utfÀrda delegerade akter och genomförandeakter
En betydelsefull skillnad i förhÄllande till dataskyddsdirektivet Àr att kommissionen i ett stort antal bestÀmmelser i förordningen föreslÄs ges rÀtt att anta delegerade akter och genomförandeakter. Det handlar exempelvis om att utfÀrda rÀttsakter som nÀrmare speci- ficerar innebörden av vissa krav som enligt förordningen stÀlls pÄ behandling av uppgifter samt rÀtt att utfÀrda olika standardformu- lÀr och procedurregler som ska gÀlla vid tillÀmpningen av förord- ningen. BestÀmmelserna i det tionde kapitlet reglerar de nÀrmare villkoren för dessa delegerade befogenheter.
IkrafttrÀdande m.m.
Det elfte kapitlet innehÄller förordningens avslutande bestÀmmelser. Det föreslÄs bland annat att kommissionen ska utvÀrdera förord- ningen och rapportera till ministerrÄdet och Europaparlamentet. För- ordningen ska enligt förslaget börja tillÀmpas tvÄ Är efter att den offentliggjorts (artikel 91).
79
AllmÀnna förutsÀttningar |
SOU 2015:39 |
3.3.3Förhandlingsarbetet
Europaparlamentet
I Europaparlamentet behandlas dataskyddsreformen i utskottet för medborgerliga fri- och rÀttigheter samt rÀttsliga och inrikes frÄgor
I resolutionen betrÀffande uppgiftsskyddsförordningen har Europaparlamentet föreslagit ett flertal Àndringar och tillÀgg. Gene- rellt föreslÄr parlamentet ett betydligt snÀvare utrymme för kom- missionen att anta delegerade akter och genomförandeakter.
MinisterrÄdet
Alltsedan Är 2012 har uppgiftsskyddsförordningen förhandlats i RÄdet för rÀttsliga och inrikes frÄgor,
Redan initialt i förhandlingarna om förordningen framkom att det tycktes föreligga relativt stor enighet inom rÄdet om att det finns behov av att skapa ytterligare flexibilitet för den offentliga sektorn. Detsamma gÀllde Àven för behovet av att införa en mer riskbaserad ansats. Vid ett möte i
80
SOU 2015:39 |
AllmÀnna förutsÀttningar |
kapitel V, som innehÄller bestÀmmelser om överföring av person- uppgifter till lÀnder och internationella organisationer utanför EU och EES. Vid
Vad hÀnder nu?
Den fortsatta processen med uppgiftsskyddsförordningen Àr alltsÄ beroende av att förhandlingarna inom rÄdet kan slutföras. EU:s nuvarande ordförandeland, Lettland, har som ambition att RIF- rÄdet i juni 2015 ska kunna besluta om en allmÀn inriktning om hela uppgiftsskyddsförordningen, dvs. rÄdets förslag till förord- ningstext. Det förslaget kommer sedan att vara utgÄngspunkten för rÄdets förhandlingar, trilogen, med Europaparlamentet och kom- missionen om uppgiftsskyddsförordningen. Europeiska rÄdet (stats- och regeringscheferna) har stÀllt i utsikt att man bör kunna nÄ fram till en överenskommelse mellan institutionerna under 2015.
Ett införande av förordningen har bedömts viktigt för att förverkliga ambitionen om en âdigital inre marknadâ (Digital Single Market), vilken Ă€r av pelarna i den gĂ€llande digitala agendan för EU samt ocksĂ„ en prioriterad frĂ„ga i kommissionens arbetsprogram för 2015. Ambitionen synes sĂ„ledes vara att lagstiftningsprocessen ska drivas med inriktning pĂ„ ett slutförande och ett beslut om införande av förordningen inom en inte alltför avlĂ€gsen tid. Enligt kom- missionens förslag ska uppgiftsskyddsförordningen börja tillĂ€mpas tvĂ„ Ă„r efter offentliggörandet. Europaparlamentet har inte föreslagit
81
AllmÀnna förutsÀttningar |
SOU 2015:39 |
nÄgon Àndring dÀrvidlag och frÄgan har, sÄvitt framkommit, inte blivit föremÄl för nÄgon delöverenskommelse inom rÄdet.
82
4Registerförfattningar â ett komplext rĂ€ttsomrĂ„de
VÄrt övergripande uppdrag Àr alltsÄ att se över den s.k. register- lagstiftningen. I denna översyn ingÄr att göra en översiktlig inven- tering av gÀllande registerförfattningar. I detta kapitel redovisar vi i huvuddrag vÄra iakttagelser frÄn inventeringen av registerförfatt- ningarna. Vi redogör ocksÄ för nÄgra generella problem med register- författningarna, dels sÄdana som framförts i tidigare sammanhang, dels sÄdana som vi sjÀlva identifierat i vÄrt arbete.
Kapitlet inleds med en beskrivning av framvÀxten av den i Sverige etablerade regleringsmodellen pÄ persondataskyddsomrÄdet som innebÀr att grundlÀggande regler ges i en generellt tillÀmplig lag och att specifika undantag eller andra sÀrbestÀmmelser tas in i sÄdana sÀrskilda lagar eller förordningar som kommit att kallas registerför- fattningar.
4.1Bakgrund
4.1.1Registerförfattningarna och datalagen
Viss registerföring som i dag Àr reglerad i registerförfattningar har lÄng historik. LantmÀteriets fastighetsregister och Skatteverkets folkbokföring Àr ett par exempel pÄ förande av förteckningar med mÄnghundraÄriga anor. Det har Àven förekommit författningsreg- lering av registerföring under lÄng tid i den meningen att det i för- fattning föreskrivits att vissa register med visst innehÄll ska föras och med en nÀrmare reglering av registerverksamheten. Exempelvis har den nuvarande lagen (1998:620) om belastningsregister före- gÄngare i lagen om allmÀnt kriminalregister frÄn Är 1963 som i sin tur föregicks av lagen om straffregister frÄn Är 1900. Det som
83
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
SOU 2015:39 |
emellertid i dag kallas registerförfattningar har sin bakgrund i sam- hÀllets tilltagande datorisering under
Redan pÄ
Offentlighets- och sekretesslagstiftningskommittén bedömde att
NÄgon enhetlig definition av vad som avses med personlig inte- gritet fanns inte dÄ och finns inte heller i dag. Begreppet har upp- mÀrksammats i flera statliga utredningar och blivit föremÄl för en del ingÄende analyser och attitydundersökningar (se bl.a. SOU 2007:22 s. 52 f. och 77 f.). Offentlighets- och sekretesslagstift- ningskommittén hÀnvisade som bakgrund till sina övervÀganden
84
SOU 2015:39 |
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
om en lagstiftning rörande personorienterad
Offentlighets- och sekretesslagstiftningskommittén bedömde att det fanns ett nÀra samband mellan ansprÄket pÄ en fredad sektor och kravet frÄn enskilda att bli bedömda efter relevanta kriterier. Om man vet att en myndighet har tillgÄng till omfattande infor- mation om enskildas personliga förhÄllanden ligger det nÀra till hands, menade kommittén, att misstÀnka att informationen utnyttjas till stÀllningstaganden som den inte Àr avsedd för. Vidare föreligger risk att ofördelaktiga uppgifter om en persons förflutna i otillbörlig grad kommer att pÄverka hans eller hennes möjligheter i framtiden. SamhÀllets krav pÄ solidaritet och ekonomisk effektivitet mÄste dÀrför begrÀnsas, bl.a. genom att övervakningen av den enskilde inte tillÄts bli fullstÀndigt effektiv (SOU 1972:47 s. 63 f.).
Kommittén konstaterade att det system av befintliga skydds- regler som fanns genom bl.a. bestÀmmelserna om offentlighet- och sekretess och vissa straffbestÀmmelser, t.ex. brott mot post- och telehemlighet, var anvÀndbart mot integritetsintrÄng vid manuell
85
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
SOU 2015:39 |
informationsbehandling. DÀremot ansÄgs dessa bestÀmmelser komma till korta gentemot den automatiska databehandlingen. SÀrskilda regler för att möta det nya hotet ansÄgs dÀrför pÄkallade. För att komma till rÀtta med riskerna med
Datalagen och statsmaktsregister
Datalagens syfte var att hindra att hanteringen av
Offentlighets- och sekretesslagstiftningskommittén hade före- slagit att Datainspektionens tillstÄndsprövning Àven skulle omfatta personregister vars inrÀttande beslutats av statsmakterna, dvs. av riksdagen eller regeringen. I motiven till datalagen uttalade emeller- tid departementschefen att det av flera skÀl torde vara nödvÀndigt att sÀrbehandla vissa statliga personregister och anförde vidare följ- ande (prop. 1973:33 s. 97).
För det första bör riksdagen kunna besluta om inrÀttande av person- register för riksdagens egen verksamhet eller verksamheten hos organ som Àr understÀllt riksdagen. Vidare förekommer pÄ den offentliga sek- torn personregistrering av sÄdan vikt frÄn allmÀn och enskild synpunkt att det Àr nödvÀndigt att frÄgan om registrens inrÀttande förbehÄlls statsmakterna sjÀlva. Ofta ges föreskrifter för registrering i form av lag
86
SOU 2015:39 |
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
eller annan författning som meddelas av riksdagen och Kungl. Maj:t eller endera av dem. Exempel pÄ register av denna typ finns bl.a. pÄ rÀttsvÀsendets omrÄde.
FrÄn datalagens krav pÄ tillstÄnd kom alltsÄ personregister vars in- rÀttande beslutats av riksdagen eller regeringen, s.k. statsmakts- register, att undantas (2 § datalagen, sedermera 2 a §). Enligt motiven gÀllde undantaget oberoende av om beslutet om registrets inrÀtt- ande gavs formen av lag eller annan författning eller kom till ut- tryck pÄ annat sÀtt (prop. 1973:33 s. 97). Innan sÄdant beslut fattades skulle dock yttrande inhÀmtas frÄn Datainspektionen. NÀr Datainspektionen avgav ett sÄdant yttrande skulle en bedömning av registret ske enligt samma grunder som vid prövning av ett till- stÄndsÀrende. Datainspektionen kunde Àven meddela föreskrifter för registret i den mÄn riksdagen eller regeringen inte hade gjort det, t.ex. om ÀndamÄl eller bevarande och gallring. Dessutom om- fattades Àven statsmaktsregister av Datainspektionens tillsyn enligt datalagen.
För övriga personregister som en kommunal eller statlig myn- dighet kunde inrÀtta krÀvdes tillstÄnd frÄn Datainspektionen. NÀr det gÀllde personregister som innehöll uppgifter om bl.a. straff- processuella eller administrativa frihetsberövanden eller nÄgons sjukdom eller hÀlsotillstÄnd, dvs. registrering av uppgifter som be- dömdes vara av sÀrskilt kÀnslig natur, infördes dock sÀrskilda restriktioner för att tillstÄnd till registerföringen skulle kunna med- ges annan Àn myndighet som enligt lag eller annan författning hade att föra förteckning över sÄdana uppgifter (4 § datalagen). Indirekt förutsattes alltsÄ redan vid datalagens tillkomst att förandet av per- sonregister med sÀrskilt integritetskÀnsligt innehÄll hade uttryck- ligt författningsstöd. Det kan pÄpekas att det redan innan data- lagens tillkomst fanns författningar med enstaka bestÀmmelser om t.ex. gallring, inhÀmtande och spridande av uppgifter i register som motiverades av hÀnsyn till de registrerades integritet. Exempel pÄ sÄdana registerförfattningar var lagen (1963:197) om allmÀnt krimi- nalregister och lagen (1965:94) om polisregister. I huvudsak hand- lade dock Àldre registerlagar om att ett register av visst innehÄll skulle föras för att tillgodose nÄgot allmÀnnyttigt syfte eller lik- nande. Det primÀra mÄlet i dessa Àldre författningar var sÄledes inte att vÀrna om integriteten.
87
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
SOU 2015:39 |
NÄgra förarbetsuttalanden frÄn datalagens tid
Ăven efter datalagens införande fortsatte datoranvĂ€ndningen och den personliga integriteten att debatteras i samhĂ€llet och nya utred- ningar tog vid efter Offentlighets- och sekretesslagstiftnings- kommittĂ©n.
DatalagstiftningskommittĂ©n fick 1976 uppdraget att göra en översyn av bl.a. datalagen. I sitt delbetĂ€nkande Personregister â datorer â integritet (SOU 1978:54) behandlade kommittĂ©n bl.a. frĂ„gor om samkörning av olika personregister och anvĂ€ndning av personnummer (s.
Datalagstiftningskommittén konstaterade att samkörningsfrÄgor alltmer aktualiserades vid myndigheternas handlÀggning av ansök- ningar frÄn enskilda om behovsprövade förmÄner och inom skatte- administrationen (a.a. s. 108 f.). Enligt kommittén vÀckte det frÄgor om vilka metoder att kontrollera enskildas uppgifter som var accep- tabla. Intressekonflikten mellan behovet av effektiva kontroller och enskildas krav pÄ personlig integritet medförde dock svÄra avvÀg- ningsproblem. Hur intresseavvÀgningen skulle utfalla kunde dock inte en gÄng för alla slÄs fast genom en regel i datalagen. Det var snarare en frÄga som mÄste avgöras frÄn fall till fall grundade pÄ politiska övervÀganden. Enligt kommittén var det vÀsentligt att be- slut om inrÀttandet och anvÀndandet av offentliga personregister, som gav en djupare inblick i enskilda medborgares privata förhÄll-
88
SOU 2015:39 |
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
anden, fattades av riksdag eller regering och inte av de myndigheter som skulle anvĂ€nda registren. Detta borde gĂ€lla Ă€ven ifrĂ„ga om anvĂ€ndning av register för nya Ă€ndamĂ„l. Ăver huvud taget för- ordade kommittĂ©n att Ă€ndamĂ„len för statliga register angavs sĂ„ tyd- ligt som möjligt av riksdag eller regering samt att det skulle klar- göras att registren inte fick anvĂ€ndas för andra Ă€ndamĂ„l utan med- givande av riksdag eller regering. KommittĂ©n uttalade vidare följ- ande (a.a. s. 110).
En metod att göra detta Àr att, sÄsom ibland redan skett, reglera registren genom lagar eller förordningar och att dÀrvid meddela sÄ lÄngt möjligt uttömmande föreskrifter om anvÀndningen. Man bör alltsÄ var för sig pÄ ett i vart fall nÄgot sÄnÀr enhetligt sÀtt författningsreglera alla stat- liga register av betydelse i sammanhanget. Om det dÀrefter uppkom- mer behov av att anvÀnda registren för andra syften Àn de som ur- sprungligen var aktuella fÄr sÄdana behov prövas och avgöras frÄn fall till fall enligt samma ordning. DALK [Datalagstiftningskommittén] för- ordar denna lösning.
Ăven Data- och offentlighetskommittĂ©n behandlade i delbetĂ€nk- andet Integritetsskyddet i informationssamhĂ€llet 4 (SOU 1987:31 s. 157 f.) frĂ„gor om samkörning, personnummeranvĂ€ndning samt författningsreglering av personregister. I en kartlĂ€ggning av person- registreringen konstaterade kommittĂ©n att register i en del fall har stöd i lag eller annan författning men att dessa ofta var förĂ„ldrade, t.ex. dĂ€rför att de skapats för manuell registerhantering, eller sak- nade mera detaljerad reglering. Vidare var det mindre vanligt med författningar som beslutats av riksdagen (a.a. s. 47). Enligt kom- mittĂ©n mĂ„ste mĂ„lsĂ€ttningen vara att personregister som Ă€r sĂ€rskilt kĂ€nsliga frĂ„n integritetssynpunkt regleras av riksdagen i syfte att stĂ€rka skyddet av enskilda registrerades integritet. Beslut om ny eller utökad personregistrering föregĂ„s dĂ„ av ordentlig utredning av konsekvenserna frĂ„n integritetssynpunkt, vilket Ă€r av betydelse för att en reell intresseavvĂ€gning ska kunna göras. De register som sĂ€r- skilt utpekades var socialstyrelsens register, landstingens register, kommunernas register inom socialtjĂ€nsten och skolhĂ€lsovĂ„rden samt RiksförsĂ€kringsverkets och försĂ€kringskassornas register. Vidare anfördes att Datainspektionen fortlöpande borde vara uppmĂ€rksam pĂ„ om ytterligare register behöver specialreglering i lag. Om helt nya register som omfattar stora delar av befolkningen och inne- hĂ„ller integritetskĂ€nsliga uppgifter skapas i framtiden borde dessa
89
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
SOU 2015:39 |
alltid lagregleras redan frÄn början, menade kommittén. NÀr det gÀllde frÄgan om lagstiftningsteknik anförde kommittén bl.a. följ- ande (a.a. s. 159).
Vi har övervÀgt möjligheten att sammanföra alla registerförfattningar under ett paraply. En sÄdan lösning skulle medverka till enhetlig utformning av lagstiftningen och ge utrymme för sÄvÀl behövlig modernisering av befintliga författningar som en ny reglering pÄ de omrÄden dÀr sÄdan behövs. I en gemensam registerlag blir det emeller- tid svÄrt att reglera sÄdana centrala frÄgor som de olika registrens ÀndamÄl och innehÄll. Det Àr ocksÄ troligt att en för alla special- reglerade register gemensam registerlag blir alltför svÄröverskÄdlig för att fylla sitt syfte. En möjlighet vore att ge registerlagen karaktÀren av ramlag och att komplettera med registerförordningar eller föreskrifter frÄn DI [Datainspektionen] för varje enskilt register. En sÄdan ramlag skulle t.ex. kunna innehÄlla föreskrifter om vilka frÄgor som skall regleras i olika registerförfattningar. I princip ger dock datalagen redan vÀgledning pÄ den punkten. Denna lösning ger ocksÄ riksdagen mindre inflytande Àn vad som har varit fallet vid tillkomsten av befintliga registerlagar.
Data- och offentlighetskommittén stannade sÄledes för att fortsatta sÀrförfattningar var att föredra samt att sÄdana skulle ges i lagform i frÄga om register med kvalificerat kÀnsliga personuppgifter som fÄr en extern spridning som inte Àr obetydlig. Dock varnades för register- lagar utformade efter mall. I varje enskilt fall, framhöll kommittén, krÀvs en noggrann och individuell prövning. En registerlag som enbart syftar till att fungera som ett alibi för att verksamheten Àr under kontroll löser inte integritetsproblemen menade kommittén (SOU 1987:31 s. 161 f.).
Data- och offentlighetskommitténs övervÀganden kom att i den fortsatta framvÀxten av registerlagstiftningen fÄ stor betydelse. I det efterföljande lagstiftningsarbetet anslöt sig regeringen liksom konstitutionsutskottet till kommitténs tankar om lÀmplig normgiv- ningsnivÄ och gjorde uttalanden som ofta Äberopats i senare lag- stiftningsÀrenden som vÀgledande för att vÀlja lagform för register- författningsreglering (prop. 1990/91:60 s. 58 och KU 1990/91:11 s. 11).
Under
90
SOU 2015:39 |
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
4.1.2Registerförfattningarna och personuppgiftslagen
Dataskyddsdirektivets genomförande
Dataskyddsdirektivets genomfördes i svensk lagstiftning genom personuppgiftslagen. Personuppgiftslagen trÀdde i kraft den 24 okto- ber 1998 och ersatte dÄ datalagen. Som har framgÄtt Àr person- uppgiftslagen till skillnad frÄn datalagen teknikoberoende i den meningen att den i frÄga om automatiserad behandling inte begrÀn- sas till dataregister. All automatiserad behandling omfattas, alltsÄ Àven personuppgifter som framgÄr av bild eller ljud. Det avgörande Àr att personuppgifterna Àr föremÄl för automatiserad behandling, inte om de Àr ordnade i ett register eller inte. Till skillnad frÄn datalagen innehÄller personuppgiftslagen vidare inget krav pÄ till- stÄnd för inrÀttande och förande av personregister. I stÀllet inne- hÄller lagen en rad hanteringsregler för behandling av personupp- gifter.
Liksom datalagen utgör personuppgiftslagen emellertid en gene- rellt tillÀmplig reglering som gÀller för sÄvÀl myndigheter som enskilda vilka behandlar personuppgifter. I motiven till personupp- giftslagen diskuterades om lagens tillÀmpningsomrÄde borde begrÀn- sas i nÄgra avseenden, bl.a. till att enbart omfatta verksamheter som omfattas av unionsrÀtten. En sÄdan begrÀnsning ansÄgs dock strida mot vad som tillÀmpats under lÄng tid i Sverige, nÀmligen ett system som utgÄr frÄn en generell lag kompletterad med sÀrregler i s.k. registerförfattningar för viktigare och kÀnsligare register. Person- uppgiftslagen Àr dÀrför generellt tillÀmplig och omfattar Àven verk- samheter som faller utanför unionsrÀttens omrÄde (prop. 1997/98:44 s. 40 f.).
Av 2 § PuL följer vidare att om det i en annan lag eller förord- ning finns bestĂ€mmelser som avviker frĂ„n lagen, ska de bestĂ€m- melserna gĂ€lla. Det Ă€r sĂ„ledes endast sĂ€rregler i lag eller förordning som tar över bestĂ€mmelserna i personuppgiftslagen. Inte bara sĂ€r- bestĂ€mmelser i registerförfattningar avses i 2 §. Ăven bestĂ€mmelser i andra slags lagar och förordningar om t.ex. uppgiftsskyldighet gĂ€ller före bestĂ€mmelserna i personuppgiftslagen (prop. 1997/98:44 s. 116).
91
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
SOU 2015:39 |
Fortsatt sÀrreglering i registerförfattningar
I motiven till personuppgiftslagen (prop. 1997/98:44 s. 40 f.) anförde regeringen bl.a. följande.
Registerförfattningarna innehĂ„ller mĂ„nga preciserade och viktiga regler som inte rimligen kan ersĂ€ttas av de generella bestĂ€mmelser som den nya lagen innehĂ„ller. Samtidigt stĂ„r det klart att det Ă€r nödvĂ€ndigt med sĂ€rregler i förhĂ„llande till den nya lagen pĂ„ flera viktiga omrĂ„den, t.ex. betrĂ€ffande polisens verksamhet. FrĂ„gan Ă€r dĂ€rför om det redan i den nya lagen skall göras undantag för vissa verksamheter eller om nöd- vĂ€ndiga sĂ€rregler för dessa verksamheter liksom hittills skall ges i sĂ€r- skilda författningar som fĂ„r gĂ€lla framför den nya lagen. [âŠ].
Vi anser att det traditionella svenska systemet med sÀrregler i sÀrskilda författningar Àr att föredra framför generella undantag frÄn den nya lagen. Det Àr i stort sett bara verksamhet inom den offentliga sektorn som med hÀnsyn till
Den nya lagen bör sÄledes vara generellt tillÀmplig och omfatta Àven sÄdan verksamhet som faller utanför
SÄsom Datalagskommittén och flera remissinstanser har pÄpekat krÀvs det en anpassning av befintliga registerförfattningar och en översyn av vilka sÀrregler som bör gÀlla i förhÄllande till den nya lagen. Vi avser att snarast pÄbörja ett sÄdant anpassnings- och översynsarbete.
92
SOU 2015:39 |
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
Under övergÄngsperioden fram till den 30 september 2001 dÄ per- sonuppgiftslagen trÀdde i full kraft antogs ett flertal nya register- författningar som kom till genom den i motiven aviserade över- synen. Vissa av dessa hade en annorlunda utformning jÀmfört med den som varit vanlig i tidigare registerförfattningar. Denna nya typ av registerförfattning har inte begrÀnsats till att reglera viss person- registerföring utan sÀrreglerar automatiserad personuppgiftsbehand- ling i viss verksamhet alldeles oavsett om den sker i register eller liknande informationssamlingar.
Offentlig verksamhet som inte Àr registerförfattningsreglerad
Det finns emellertid mĂ„nga myndigheter vars verksamhetsrela- terade personuppgiftsbehandling bara regleras genom personupp- giftslagen och inte sĂ€rskilt i nĂ„gon registerförfattning. Hur stor andel av den offentliga sektorns samlade personuppgiftsbehandling som inte Ă€r sĂ€rreglerad Ă€r svĂ„rt att kvantifiera men sĂ„ mycket stĂ„r klart att den âicke sĂ€rregleradeâ personuppgiftsbehandlingen sammantaget Ă€r omfattande.
PÄ det statliga omrÄdet finns t.ex. en förhÄllandevis stor mÀngd förvaltningsmyndigheter, i vart fall mer Àn hundratalet, som till övervÀgande del enbart tillÀmpar personuppgiftslagen i den behand- ling av personuppgifter som verksamheten föranleder. Till den kategorin hör stora myndigheter sÄsom universitet och högskolor. Visserligen finns sÀrregler om viss registerföring över studieresul- tat, antagningsförhÄllanden m.m. i förordningen (1993:1153) om redovisning av studier m.m. vid universitet och högskolor, men det Àr ingen heltÀckande författning för den behandling av person- uppgifter som förekommer inom omrÄdet och som inte bara avser studerande utan ocksÄ exempelvis forskningspersoner vars person- uppgifter, med eller utan den personens informerade samtycke, anvÀnds inom ramen för olika forskningsprojekt eller studentarbeten.
MÄnga statliga myndigheter som saknar registerförfattningar Àr jÀmförelsevis smÄ men kan behöva hantera ganska kÀnslig informa- tion i sin verksamhet. Inspektionen för vÄrd- och omsorg, som be- driver tillsyn över hÀlso- och sjukvÄrden och socialtjÀnsten och till vilken enskilda kan göra anmÀlningar om klagomÄl pÄ vÄrden m.m. liksom ErsÀttningsnÀmnden, som Àr tillfÀlligt inrÀttad för att han-
93
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
SOU 2015:39 |
tera vissa ansprÄk pÄ ersÀttning för vanvÄrd av fosterbarn, samt Diskrimineringsombudsmannen Àr exempel pÄ sÄdana myndig- heter. Exempel pÄ mycket smÄ myndigheter som knappast torde ha anledning att behandla personuppgifter annat Àn i klart begrÀnsad omfattning Àr NÀmnden för hemslöjdsfrÄgor och LagrÄdet.
PÄ det kommunala omrÄdet Àr skolverksamheten ett omrÄde som i stort sett saknar sÀrreglering i förhÄllande till personuppgifts- lagen men som sammantaget medför omfattande personuppgifts- behandlingar. Hit hör bÄde Àrendehantering och faktisk verksam- het som skolmyndigheter ansvarar för och som bl.a. sker inom för- skolan, fritidshemmen, grund- och gymnasieskolan och kommunal vuxenutbildning.
Kommunerna Ă€r vidare skyldiga enligt lag att bedriva vissa verk- samheter t.ex. rörande stadsplanering och byggfrĂ„gor, renhĂ„llning, rĂ€ddningstjĂ€nst och biblioteksverksamhet vilka alla föranleder viss personuppgiftsbehandling. Ăven kommunernas frivilliga verksam- het med kultur- och fritidsverksamhet kan nĂ€mnas som exempel pĂ„ verksamhet dĂ€r personuppgiftslagen tillĂ€mpas fullt ut.
4.2VÄr inventering av registerförfattningarna
4.2.1AllmÀnt
Registerförfattningar förekommer bÄde i form av lag och förordning. Som har framgÄtt har det lÀnge varit en ambition att sÀrskilt integritetskÀnslig registerföring ska regleras i lag, frÀmst dÀrför att en sÄdan normgivningsnivÄ borgar för att det görs en grundlig ut- redning och en ingÄende avvÀgning mellan integritetsintresset och de intressen som talar för registerföringen. Detta har gÀllt alldeles oavsett att lagform inte har varit nödvÀndig frÄn rent normgiv- ningsteknisk utgÄngpunkt. Det har emellertid framhÄllits att man inte har varit helt konsekvent vad gÀller valet av normgivningsnivÄn i det översyns- och anpassningsarbete som inleddes i samband med
personuppgiftslagens införande (Ăman/Lindblom, s. 33).
Ganska ofta kompletteras en registerlag med en förordning som innehÄller utfyllande bestÀmmelser. Vidare Àr det inte ovanligt att registerförfattningar innehÄller bemyndiganden för utpekade myndig- heter att meddela föreskrifter med nÀrmare bestÀmmelser i vissa
94
SOU 2015:39 |
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
frÄgor eller bestÀmmelser om undantag i olika avseenden. Myndig- hetsföreskrifter Àr alltsÄ en tredje förekommande normgivningsnivÄ.
Vi har i enlighet med uppdraget enligt vĂ„ra direktiv gjort en översiktlig inventering av gĂ€llande registerförfattningar. En inled- ande frĂ„ga vi stĂ€llde oss var hur mĂ„nga sĂ„dana författningar det finns. Den frĂ„gan kan förefalla vara enkel att besvara men vi har funnit att sĂ„ inte Ă€r fallet. Svaret Ă€r nĂ€mligen helt beroende av hur man vĂ€ljer att avgrĂ€nsa begreppet registerförfattning, vilket Ă€r en komplex frĂ„ga. Ăr det t.ex. en registerförfattning bara dĂ€rför att en myndighet Ă„lĂ€ggs att föra ett visst register oavsett om detta inne- hĂ„ller personuppgifter eller inte eller ska bara författningar med bestĂ€mmelser rörande ett register dĂ€r vissa personuppgifter kan förekomma omfattas av begreppet?
Ett exempel pÄ en svÄrklassificerad författning Àr förordningen (2011:93) om stöd till insatser pÄ livsmedelsomrÄdet som föreskriver att Jordbruksverket ska föra ett register över stödmottagare. Det sÀgs inget om att registret fÄr eller inte fÄr föras elektroniskt och specifika bestÀmmelser om dataskydd saknas helt. Samma förhÄll- ande gÀller för det centrala passregistret som Polismyndigheten ska föra enligt passförordningen (1979:664).
Det finns vidare mÄnga författningar vars enda inslag av data- skyddsreglering Àr att ange att personuppgiftslagens bestÀmmelser om skadestÄnd och rÀttelse gÀller Àven för informationshantering enligt författningen i frÄga eller att det föreskrivs ett undantag frÄn personuppgiftslagens grundlÀggande förbud mot överföring av per- sonuppgifter till tredje land. Det finns ocksÄ exempel pÄ författ- ningar dÀr det finns enstaka bestÀmmelser om personuppgifts- behandling, vilka dock inte riktar sig till myndigheter utan till enskilda aktörer, se t.ex. 6 kap.
Av huvudsakligt intresse för vÄrt arbete Àr regler om person- dataskydd vid helt eller delvis elektronisk informationshantering hos myndigheter. Vi har dÀrför valt att i vÄrt arbete lÄta begreppet registerförfattning omfatta författningar som i nÄgot avseende innehÄller sÀrbestÀmmelser i förhÄllande till eller hÀnvisningar till personuppgiftslagen alldeles oavsett om författningen i frÄga rör registerföring eller inte. Den avgrÀnsningen tycks ocksÄ stÄ bÀst i
95
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
SOU 2015:39 |
överensstÀmmelse med den allmÀnna uppfattningen rörande vad som numera utmÀrker en registerförfattning. Enbart det förhÄllan- det att en viss registerföring regleras i en författning innebÀr alltsÄ inte att författningen nödvÀndigtvis Àr att se som en registerförfatt- ning i nu aktuell mening.
Det Àr alltsÄ regler av dataskyddsrÀttslig natur, dvs. bestÀm- melser som avser att skydda enskildas personliga integritet, och som Àr föranledda av ett behov av att avvika frÄn eller komplettera det integritetsskydd som personuppgiftslagen annars ger som vi haft som frÀmsta urvalskriterium nÀr vi gjort vÄr inventering. Med detta kriterium omfattas bÄde sÄdana bestÀmmelser som syftar till ge författningsstöd Ät en personuppgiftsbehandling som inte hade varit tillÄten enligt personuppgiftslagen, t.ex. utökade möjligheter att behandla kÀnsliga personuppgifter, eller som syftar till att i för- hÄllande till personuppgiftslagen begrÀnsa myndigheternas möjlig- heter att behandla personuppgifter t.ex. genom att endast tillÄta registrering av vissa slags personuppgifter.
Initialt har vi gĂ„tt till vĂ€ga pĂ„ det viset att vi gjort sökningar i rĂ€ttsdatabaser med anvĂ€ndande av olika sökord för att fĂ„ fram för- fattningar som kan utgöra sĂ€rregleringar i förhĂ„llande till person- uppgiftslagen. Exempelvis har vi anvĂ€nt sökbegrepp sĂ„som â$registerâ, â$registretâ, âpersonuppgift$â, âdatabasâ, âdirektĂ„tkomstâ, âsök- begr$â, gallr$â m.fl. begrepp, för separat sökning eller i kombina- tioner.
Resultatet av vÄra sökningar bildar en brokig karta av författ- ningar i form av lagar eller förordningar som sinsemellan företer mer eller mindre stora likheter och olikheter, Àven efter det att alla trÀffar som helt saknar intresse för utredningsuppdraget sorterats bort. Bland bortsorterade författningar ingÄr dels sÄdana som helt saknar bestÀmmelser om behandling av personuppgifter eller annan reglering av dataskyddskaraktÀr, dels sÄdana som enbart reglerar förhÄllanden hos enskilda aktörer.
4.2.2Tre kategorier registerförfattningar
Vi har valt att sortera de författningar som vi har bedömt vara att betrakta som registerförfattningar i tre nÄgorlunda avgrÀnsade kategorier, nÀmligen som endera a) renodlade registerförfattningar,
96
SOU 2015:39 |
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
b) informationshanteringsförfattningar och c) annan reglering med inslag av dataskyddsbestÀmmelser. Vi har dÀremot inte sett det som meningsfullt att kategorisera författningarna utifrÄn normhierarkisk nivÄ, dvs. som lagar respektive förordningar eller utifrÄn olika sak- liga verksamhetssektorer exempelvis sÄsom rörande statlig respek- tive kommunal verksamhet osv. Det ska dock framhÄllas att vÄra sorteringskategorier Àr ganska trubbiga och att mÄnga författningar skulle kunna bedömas falla inom mer Àn en kategori.
Renodlade registerförfattningar
Den första kategorin registerförfattningar utmÀrks av att tillÀmp- ningsomrÄdet endast avser inrÀttandet, förandet och anvÀndningen av nÄgot enstaka register eller annan bestÀmd informationssamling. En del sÄdana registerförfattningar Àr förhÄllandevis gamla, ett exem- pel Àr förordningen (1970:517) om rÀttsvÀsendets informations- system, men det tillkommer fortlöpande nya författningar av detta slag. Förordningen (2014:885) om register över vigselförrÀttare, som förs av Kammarkollegiet, Àr ett sÄdant exempel.
Renodlade registerförfattningar handlar ofta om register som enligt statsmakterna ska föras och som ska ha ett visst obligatoriskt innehÄll. Genom en sÄdan registerförfattning ÄlÀggs en myndighet att föra ett visst register, registerföringen blir alltsÄ genom författ- ningsregleringen en del i myndighetens uppdrag. Den verksamhets- reglering som registerförfattningen dÀrigenom kan sÀgas avse kring- gÀrdas emellertid ofta av dataskyddsreglering som syftar till att garantera enskilda registrerade ett skydd för deras personliga inte- gritet i hanteringen av personuppgifter i samband med register- föringen. Lagen (2001:558) om vÀgtrafikregister med anknytande förordning Àr ett exempel hÀrpÄ. Det finns dock exempel pÄ för- fattningar i denna kategori dÀr anslaget Àr ett annat genom att det regleras att register fÄr, inte ska, föras eller vad de fÄr innehÄlla, se t.ex. lagen (1998:543) om hÀlsodataregister med anslutande för- ordningar för specifika hÀlsodataregister (t.ex. för Socialstyrelsens patientregister, cancerregister, lÀkemedelsregister m.fl.). Det hör dock till bilden att det i praktiken oftast tycks vara underförstÄtt att sÄdana register som det talas om att myndigheter fÄr föra, fak- tiskt ocksÄ ska föras. Detta kan t.ex. framgÄ av föreskrifter om
97
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
SOU 2015:39 |
skyldigheter för andra aktörer att inrapportera vissa uppgifter till den registerförande myndigheten. En skillnad mellan författningar som föreskriver att register ska föras i förhÄllande till sÄdana som talar om att register fÄr föras Àr att de senare normalt har en tyd- ligare prÀgel av att utgöra dataskyddsreglering snarare Àn verksam- hetsreglering.
Vi har identifierat uppemot ett
Variationerna inom sorteringskategorin renodlade registerförfatt- ningar Àr emellertid stora. I ganska mÄnga författningar spelar den dataskyddande regleringen inte nÄgon sÀrskilt framtrÀdande roll i jÀmförelse med den verksamhetsreglering som författningarnas bestÀmmelser i övrigt ger uttryck för, t.ex. i frÄga om anmÀlnings- eller ansökningsförfaranden och i frÄga om att det finns kataloger över vilka uppgifter som ska registreras. Exempel hÀrpÄ Àr författ- ningar för de s.k. publicitetsregistren som har till syfte att förse all- mÀnheten med information om vissa förhÄllanden, t.ex. rörande aktiebolag, fordon, patent m.m., och dÀr registreringen i sig medför vissa rÀttsverkningar. Dock Àr det vanligt att det sÄvitt avser person- uppgifter finns bestÀmmelser om registrets ÀndamÄl, personupp- giftsansvar, sökbegrÀnsningar, direktÄtkomst, utlÀmnande pÄ medium för automatiserad behandling, rÀttelse och skadestÄnd samt gall- ring. Det kan ocksÄ finnas bestÀmmelser om t.ex. vilka avgifter som fÄr eller ska tas ut vid utlÀmnande av uppgifter och handlingar i elektronisk form.
98
SOU 2015:39 |
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
Ett antal renodlade registerförfattningar har emellertid en tydlig prÀgel av att i allt vÀsentligt utgöra en dataskyddsreglering, dvs. dÀr inslaget av verksamhetsreglering m.m. inte dominerar utan dÀr det framgÄr att syftet med regleringen Àr att ge mer preciserade eller avvikande bestÀmmelser i förhÄllande till personuppgiftslagen. Den nyss nÀmnda lagen om register över nationella vaccinationsprogram Àr ett exempel pÄ en sÄdan författning liksom lagen om hÀlsodata- register. Andra exempel Àr lagen om receptregister och lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för mÀnniskors hÀlsa. Denna typ av registerförfattningar ligger till struktur och innehÄll relativt nÀra det vi kallar informa- tionshanteringsförfattningar. En skillnad gentemot informations- hanteringsförfattningarna Àr dock att registerförfattningar av detta sistnÀmnda slag genomgÄende konstruerats sÄ att det uttryckligen anges att personuppgiftslagen gÀller i den mÄn registerförfatt- ningen i frÄga inte innehÄller avvikande bestÀmmelser. I register- författningar som frÀmst syftar till att reglera en viss verksamhet, nÀmligen att bedriva ett visst register, förekommer dÀremot att förhÄllandet till personuppgiftslagen inte berörs alls. I sak torde detta dock inte innebÀra nÄgon egentlig skillnad.
Vissa myndigheters verksamheter Àr till stor del knutna till och styrda av renodlade registerförfattningar, t.ex. verksamheten hos LantmÀteriet (fastighetsregistret, pantbrevsregistret, lÀgenhetsregistret m.fl.), Bolagsverket (aktiebolagsregistret, handelsregistret m.fl.) och Transportstyrelsen (vÀgtrafikregistret m.fl.) För andra myn- digheter Àr registerförfattningar om förandet av vissa register mindre styrande för verksamheten som helhet, t.ex. för Finansinspek- tionen (insiderregistret, krigsskaderegistret m.fl.) eller Jordbruks- verket (djurskyddskontrollregistret m.fl.). Mellanformer finns dÀr tillÀmpning av registerförfattningar dominerar delar av en myndig- hets verksamhet sÄsom t.ex. Àr fallet med Socialstyrelsens verksam- het med hÀlsodataregister.
Som tidigare berörts Àr det inga vattentÀta skott mellan de sor- teringskategorier som vi anvÀnder oss av. Ett exempel pÄ detta Àr förordningen (2001:720) om behandling av personuppgifter i verk- samhet enligt utlÀnnings- och medborgarskapslagstiftningen. Den reglerar Migrationsverkets, Polismyndighetens, SÀkerhetspolisens och utlandsmyndigheternas personuppgiftsbehandling i verksam- het enligt den nÀmnda lagstiftningen. Förordningen reglerar en
99
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
SOU 2015:39 |
mycket omfattande personuppgiftsbehandling hos myndigheterna men Àr enligt sin ordalydelse begrÀnsad till att reglera vissa register, verksamhetsregister samt Migrationsverkets rÀttsfallsregister, finger- avtrycksregister samt landinformationsregister. Förordningen före- ter emellertid i realiteten starka drag av informationshanterings- författning.
Informationshanteringsförfattningar
Den andra sorteringskategorin började förekomma i samband med personuppgiftslagens införande. Dessa författningar har som över- gripande funktion att utöver eller i stÀllet för personuppgiftslagen sÀrreglera personuppgiftsbehandling i stort inom vissa utpekade verksamheter eller myndigheter. HÀr handlar det alltsÄ inte bara om att viss registerföring ska eller fÄr ske. Oftast omfattar regleringen sÄvÀl registerföring, Àrendehanteringssystem eller andra struktu- rerade personuppgiftssamlingar liksom annan slags behandling utan koppling till Àrendehanteringssystem, exempelvis behandling i löp- ande text. I och med att tillÀmpningsomrÄdet Àr vidare Àn att enbart reglera personuppgifter i register Àr det i egentlig mening miss- visande att kalla dem för registerförfattningar men uttryckssÀttet har levt kvar och kommit att omfatta Àven denna kategori författ- ningar.
UtmÀrkande för denna kategori Àr att de i huvudsak reglerar vilken personuppgiftsbehandling myndigheter fÄr utföra inom ramen för författningens tillÀmpningsomrÄde. Inte sÀllan finns dock sÀr- bestÀmmelser rörande vissa register, databaser eller gemensamt tillgÀngliga uppgiftssamlingar som fÄr eller ska finnas i den aktuella myndighetens verksamhet.
Informationshanteringsförfattningar har i allmÀnhet form av lag som kompletteras av förordningar med nÀrmare bestÀmmelser. Det finns ocksÄ fristÄende förordningar som Àr att betrakta som informa- tionshanteringsförfattningar. SÄ Àr t.ex. fallet nÀr det gÀller nu gÀll- ande registerförfattningar pÄ domstolarnas omrÄde respektive inom ÄklagarvÀsendet.
Till kategorin informationshanteringsförfattningar har vi, med bortseende frÄn den brottsbekÀmpande sektorn, bl.a. hÀnfört följ- ande författningar.
100
SOU 2015:39 |
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
âąLagen (1998:938) om behandling av personuppgifter om total- försvarspliktiga med förordning, gĂ€ller för Totalförsvarets plikt- verk
âąLagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet med förordning
âąLagen (2001:182) om behandling av personuppgifter i Skatte- verkets folkbokföringsverksamhet med förordning
âąLagen (2001:183) om behandling av personuppgifter i verksam- het med val och folkomröstningar med förordning, gĂ€ller för Valmyndigheten
âąLagen (2001:184) om behandling av uppgifter i Kronofogde- myndighetens verksamhet med förordning
âąLagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet med förordning
âąLagen om behandling av personuppgifter inom socialtjĂ€nsten (2001:454) med förordning, gĂ€ller för kommunala myndigheter, Statens Institutionsstyrelse samt enskilda aktörer
âąDe s.k. Veraförordningarna
âąLagen (2002:546) om behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten med förordning, gĂ€ller för Arbetsförmedlingen
âąLagen (2006:469) om behandling av personuppgifter vid Inspek- tionen för arbetslöshetsförsĂ€kringen med förordning
âąLagen (2007:258) om behandling av personuppgifter i Försvars- maktens försvarsunderrĂ€ttelseverksamhet och militĂ€ra sĂ€kerhets- tjĂ€nst med förordning
âąLagen (2007:259) om behandling av personuppgifter i Försva- rets radioanstalts försvarsunderrĂ€ttelse- och utvecklingsverk- samhet med förordning
âąPatientdatalagen (2008:355) med förordning, gĂ€ller för kommu- nala och landstingskommunala hĂ€lso- och sjukvĂ„rdsmyndigheter och andra sorters myndigheter som bedriver hĂ€lso- och sjuk-
101
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
SOU 2015:39 |
vÄrd, t.ex. inom skolhÀlsovÄrd, KriminalvÄrden, Försvarsmakten, Statens institutionsstyrelse m.fl. Lagen gÀller Àven för enskilda vÄrdgivare.
âąStudiestödsdatalagen (2009:287) med förordning, gĂ€ller för Centrala studiestödsnĂ€mnden
âąFörordningen (2011:306) om behandling av personuppgifter i TandvĂ„rds- och lĂ€kemedelsförmĂ„nsverkets verksamhet i frĂ„ga om det statliga tandvĂ„rdsstödet
âąKustbevakningsdatalagen (2012:145) i den mĂ„n lagen avser annat Ă€n brottsbekĂ€mpning, gĂ€ller för Kustbevakningen
âąLagen (2012:741) om behandling av personuppgifter vid Insti- tutet för arbetsmarknads- och utbildningspolitisk utvĂ€rdering med förordning
Ăven nĂ€r det gĂ€ller denna sorteringskategori förekommer relativt stora variationer. NĂ„got som har varit sĂ€rskilt omdiskuterat genom Ă„ren Ă€r att författningarna systematiskt har utformats pĂ„ olika sĂ€tt nĂ€r det gĂ€ller förhĂ„llandet till personuppgiftslagen. Ăven Ă€ndamĂ„ls- bestĂ€mmelser har utformats pĂ„ olika sĂ€tt och begrepp har anvĂ€nts med delvis olika innebörd m.m.
Dock finns Àven mÄnga likheter. SÀrskilt gÀller detta vilka slags frÄgor som i allmÀnhet regleras i författningarna, nÀmligen frÄgor om tillÀmpningsomrÄde, varvid det förekommer föreskrifter om att vissa bestÀmmelser ska gÀlla Àven vid hantering av uppgifter om avlidna eller juridiska personer, personuppgiftsansvar, tillÄtna Ànda- mÄl för dels insamling och myndighetens egen anvÀndning av per- sonuppgifter (primÀra ÀndamÄl) dels tillhandahÄllande av person- uppgifter till externa mottagare (sekundÀra ÀndamÄl), vilka person- uppgifter som fÄr behandlas, betydelsen av den registrerades instÀll- ning till behandlingen, sökbegrepp, specifika hanteringsregler för register, databaser eller andra uppgiftssamlingar, sÀkerhetfrÄgor sÄ- som begrÀnsningar av tillgÄngen till lagrade personuppgifter, direkt- Ätkomst och annat elektroniskt utlÀmnande, bevarande och gallring samt frÄgor om rÀttelse, skadestÄnd och överklagande. Detaljerings- graden varierar emellertid betydligt. Vissa författningar har mer har karaktÀren av ramlagar med generella bestÀmmelser, t.ex. patient- datalagen med anknytande förordning, medan andra har en jÀm-
102
SOU 2015:39 |
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
förelsevis detaljerad reglering rörande bl.a. vilka uppgifter om vilka kategorier av personer som fÄr behandlas, t.ex. lagen om behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten med anknytande förordning.
PÄ de omrÄden dÀr det finns mer eller mindre heltÀckande in- formationshanteringsförfattningar för berörda myndigheters verk- samhet brukar det indirekt av de beskrivna tillÀmpningsomrÄdena och genom förarbetsuttalanden framgÄ att myndigheternas personal- och ekonomiadministration inte omfattas av regleringen i frÄga. I den verksamheten ska i stÀllet personuppgiftslagen tillÀmpas. Ett exempel hÀrpÄ Àr 1 § studiestödsdatalagen enligt vilken lagen ska tillÀmpas vid behandling av personuppgifter i Centrala studiestöds- nÀmndens studiestödsverksamhet. I motiven har beskrivits vad som nÀrmare avses med studiestödsverksamheten. Vidare har angetts att behandling av personuppgifter som sker inom ramen för myndig- hetens interna administration inte omfattas av lagen (prop. 2008/09:96 s. 33 f.).
Det kan ibland förekomma ytterligare sÀrreglering av viss per- sonuppgiftsbehandling inom en myndighet parallellt med sÄdan mer övergripande sÀrreglering av myndighetens personuppgiftsbehand- ling genom en informationshanteringsförfattning. Exempel hÀrpÄ Àr Skatteverkets verksamheter med Àktenskapsregistret respektive med identitetskort för folkbokförda i Sverige som omfattas av sÀr- skilda registerförordningar samt med verksamheten rörande förmedlingen av elektroniska försÀndelser frÄn myndigheter till enskilda i
Annan reglering med inslag av dataskyddsbestÀmmelser
Den tredje sorteringskategorin Àr med vÄrt synsÀtt egentligen inte registerförfattningar alls. Till den kategorin hör olika slags författ- ningar som inte syftar till att frÀmst reglera ett visst register eller annan behandling av personuppgifter, utan bara till en mindre del innehÄller bestÀmmelser som rör personuppgiftsbehandling och i den delen utgör sÀrreglering i förhÄllande till personuppgiftslagen.
103
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
SOU 2015:39 |
SÄdan reglering kan t.ex. gÀlla förandet av ett visst register. Exem- pel hÀrpÄ Àr bestÀmmelser om viss registerföring i skogsvÄrdslagen (1979:429), vapenlagen (1996:67), konkurslagen (1987:672), bio- bankslagen (2002:297) och alkohollagen (2010:1622). Det kan ocksÄ handla om författningar med enstaka undantag frÄn personupp- giftslagens bestÀmmelser, t.ex. i frÄga om förbudet mot att överföra personuppgifter till tredjeland sÄsom i lagen (2012:318) om 1996 Ärs Haagkonvention. Den lagen hÀnvisar Àven till anvÀndnings- begrÀnsningar i konventionen ifrÄga.
Vi har identifierat mer Àn ett hundratal författningar som hör till denna kategori. Men vi utesluter inte att det finns ytterligare för- fattningar som Àr av det hÀr slaget. Vi har t.ex. bortsett frÄn sÄdana författningar som bara i nÄgot visst hÀnseende har relevans för myn- digheters personuppgiftsbehandling t.ex. författningar som före- skriver olika slags uppgiftsskyldigheter eller förfaranderegleringar. En författning av sistnÀmnt slag Àr rÀttegÄngsbalken som kan sÀgas innehÄlla en specifik reglering av dataskyddande karaktÀr i 27 kap. 24 § som avser bevarande respektive förstöring av upptagningar frÄn hemliga tvÄngsmedel.
Myndigheter sÄsom exempelvis Centrala studiestödsnÀmnden, FörsÀkringskassan och Pensionsmyndigheten Àr statistikansvariga myndigheter rörande officiell statistik och har i den verksamheten att följa de sÀrregler om behandling av personuppgifter som följer av lagen (2001:99) om officiell statistik med anknytande förord- ning. Den sistnÀmnda lagen och förordningen tillhör den kategori författningar som vÀsentligen utgör verksamhetsreglering men dÀr det finns vissa regler om personuppgiftsbehandling som gÀller för statistikansvariga myndigheter. Vad betrÀffar t.ex. FörsÀkrings- kassan och Centrala studiestödsnÀmnden omfattas sakverksamheten av annan sÀrreglering men sÄ Àr dock inte alltid fallet, t.ex. i frÄga om Brottsförebyggande rÄdet eller TillvÀxtverket. Det kan nÀmnas att det oftast Àr förutsatt att statistikansvariga myndigheters verk- samhet med den officiella statistiken ska vara en sjÀlvstÀndig verk- samhetsgren inom sÄdana myndigheter som bedriver annan huvud- saklig verksamhet Àn statistikverksamhet.
Lagen (1998:112) om ansvar för elektroniska anslagstavlor kan vidare nÀmnas i detta sammanhang eftersom den har betydelse för alla myndigheters verksamhet pÄ sociala medier. Bland annat inne- hÄller lagen sÀrskilda skyldigheter att informera och gallra pÄ myn-
104
SOU 2015:39 |
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
dighetens egna sociala medier, t.ex. om myndigheten har en inter- aktiv chattfunktion pÄ den egna webbplatsen. Detta torde utgöra en viss sÀrreglering i förhÄllande till personuppgiftslagen trots att det inte tycks ha varit ett uttalat syfte med lagen. HÀr kan Àven nÀmnas 6 kap. 18 § lagen (2003:389) om elektronisk kommunika- tion enligt vilken den som tillhandahÄller en webbplats Àr skyldig att informera om ÀndamÄlen med och inhÀmta samtycke till anvÀnd- ningen av s.k. cookies. Det kravet gÀller Àven för myndigheter.
Kameraövervakningslagen (2013:460) Ă€r en generellt tillĂ€mplig lag som uttryckligen gĂ€ller i stĂ€llet för personuppgiftslagen â vad avser behandling av personuppgifter i ljud och bild â och som kan bli tillĂ€mplig hos alla myndigheter förutsatt att myndigheten be- driver sĂ„dan kameraövervakning med övervakningsutrustning som avses i lagen.
Registerförfattningar â ett rörligt rĂ€ttsomrĂ„de
RegisterförfattningsbestĂ„ndet Ă€r i hög grad varierande Ă€ven i det avseendet att det fortsatt tillkommer nya registerförfattningar med sĂ€rregleringar för olika delar av den offentliga sektorn. Den anpass- ning och översyn av registerförfattningsomrĂ„det som vidtogs i samband med personuppgiftslagens införande har inneburit ett om- fattande arbete som kan sĂ€gas fortfarande pĂ„gĂ„. Det ligger i sakens natur att registerförfattningsbestĂ„ndet aldrig kan bli âfĂ€rdigtâ eftersom den offentliga verksamheten genomgĂ„r stĂ€ndiga förĂ€nd- ringar.
Bland registerförfattningar som införts parallellt med vÄrt utred- ningsarbete kan nÀmnas lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder för mÀnniskors hÀlsa med anknytande förordning. Denna författning hör till kategorin ren- odlade registerförfattningar. Under Är 2014 har vidare nÄgra för- fattningar beslutats vari bestÀmmelser om vissa myndigheters per- sonuppgiftsbehandling införts, nÀmligen lagen (2014:51) om infra- strukturavgifter pÄ vÀg, som gÀller viss registerföring m.m. hos Transportstyrelsen, och lagen (2014:105) om insyn i finansiering av partier, som medger Kammarkollegiet möjlighet att behandla kÀns- liga personuppgifter som lÀmnats i en intÀktsredovisning eller som annars Àr nödvÀndiga för att Kammarkollegiet ska kunna fullgöra
105
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
SOU 2015:39 |
sina skyldigheter enligt lagen. Dessa bÄda sistnÀmnda lagar tillhör det slags författningar som vi kategoriserar som annan reglering med inslag av dataskyddsbestÀmmelser.
Som exempel pÄ pÄgÄende lagstiftningsarbete kan nÀmnas 2014 Ärs utlÀnningsdatautredning (Ju 2014:11) som har i uppdrag att ut- arbeta förslag till en lag om behandling av personuppgifter i verk- samhet enligt utlÀnnings- och medborgarskapslagstiftningen som ska ersÀtta förordningen (2001:720) om behandling av personupp- gifter i verksamhet enligt utlÀnnings- och medborgarskapslagstift- ningen (dir. 2014:76).
4.3En problembeskrivning
4.3.1Tidigare kritik
De sÀrskilda registerförfattningarna har pÄ olika sÀtt kritiserats under ganska lÄng tid. Kritiken har riktats bÄde mot systemet med register- författningar som sÄdant och mot brister i författningarnas kon- struktion, val av begreppsapparat m.m. I vÄra direktiv anges som en bakgrund till vÄrt uppdrag att se över registerlagstiftningen att en sÄdan översyn har efterlysts av bl.a. flera utredningar. I det följande presenteras vissa synpunkter som har framförts tidigare i olika sammanhang.
Toppledarforum
Redan pĂ„ datalagens tid pĂ„talade Toppledarforum â ett samarbets- organ som under mitten av
106
SOU 2015:39 |
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
modellen borde inte införas, Ă€ven om undantag kunde tĂ€nkas för mycket speciella verksamheter sĂ„som sĂ€kerhetspolisen och delar av sjukvĂ„rden (Toppledaforum, LEXIT â förstudie, 1995 s. 37 f.).
Massmedia
Journalistförbundet har i en framstĂ€llan till regeringen (Ju2006/4517/L6) anfört att den omfattande regleringen i register- författningar medför att undersökningar av stora material försvĂ„ras eller omöjliggörs, vilket hotar medias möjligheter att granska hur makten utövas och förvaltas. FramstĂ€llan gjordes bl.a. mot bakgrund av förbundets egen utredning Registerlagarna â den absoluta sekre- tessen
Offentlighets- och sekretesskommittén
I sitt huvudbetÀnkande Ny sekretesslag (SOU 2003:99) berörde Offentlighets- och sekretesskommittén förhÄllandet mellan sekre- tesslagstiftningen och förekomsten i registerförfattningar av bestÀm- melser om tillÄtna ÀndamÄl för personuppgiftsbehandlingen. Enligt kommittén finns det oklarheter angÄende sambandet mellan register- författningar och den s.k. finalitetsprincipen enligt dataskydds- direktivet nÀr det gÀller uppgiftslÀmnande mellan myndigheter.
Integritetsskyddskommittén
Integritetsskyddskommittén kritiserade registerförfattningarna pÄ ett antal punkter i sitt delbetÀnkande Skyddet för den personliga integriteten (SOU 2007:22 s. 461 f.). Bland annat pekade kom- mittén pÄ att den reformering av registerförfattningarna som har skett efter personuppgiftslagens ikrafttrÀdande har skett utan egent- lig samordning. Skiftande lagstiftningsteknik har anvÀnts för att reglera registerförfattningarnas förhÄllande till personuppgiftslagen. Det förekommer att olika begrepp anvÀnds för att beskriva samma
107
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
SOU 2015:39 |
företeelser. Exempelvis anvÀnds begreppet databas i en del författ- ningar, medan man i andra har hÄllit fast vid det sedan tidigare etablerade begreppet register. Det förekommer dessutom att samma begrepp anvÀnds i olika betydelser i skilda författningar, t.ex. begreppet direktÄtkomst som inte alltid avser utlÀmnande pÄ elek- troniskt medium. Vidare har skilda tekniker anvÀnts för att be- skriva de ÀndamÄl för vilka verksamheten, och dÀrigenom behand- lingen av personuppgifter, bedrivs. I en del registerförfattningar har ÀndamÄlen delats upp i primÀra och sekundÀra registerförfattningar dÀr de sistnÀmnda syftar till att bl.a. beskriva de ÀndamÄl för vilka uppgifter fÄr lÀmnas ut frÄn den aktuella verksamheten. Detta har i sin tur medfört att oklarheter har uppstÄtt bl.a. om hur sÄdana bestÀmmelser förhÄller sig till finalitetsprincipen. Dessa brister i samordning och enhetlighet har lett till oklarheter i tillÀmpningen och svÄrigheter att överblicka regelverket, vilket i sin tur innebÀr en risk för onödiga integritetsförluster.
Kommittén framhöll ocksÄ att i den mÄn det finns bestÀmmelser i en registerförfattning som inskrÀnker integritetsskyddet borde det framgÄ av reglerna vari inskrÀnkningen bestÄr och hur stor den Àr. SÄ Àr dock inte alltid fallet. Ett exempel pÄ detta var regleringen av direktÄtkomst.
Enligt kommitténs sammanfattande analys skulle skyddet för den personliga integriteten vÀsentligt förbÀttras om registerförfatt- ningarna utformades enhetligare, tydligare och mer i överensstÀm- melse med sekretesslagstiftningen.
2005 Ă„rs informationsutbytesutredning
Ăven 2005 Ă„rs informationsutbytesutredning riktade i sitt betĂ€nk- ande Utökat elektroniskt informationsutbyte (SOU 2007:45) kritik mot registerförfattningarna. Utredningen konstaterade att register- författningarna bör ses över för att skapa förutsĂ€ttningar för ett samordnat och enhetligt regelverk som frĂ€mjar utvecklingen av elektronisk förvaltning och minskar riskerna för oacceptabla intrĂ„ng i den personliga integriteten. Utredningen anförde bl.a. följande (a. bet. s. 394).
Begreppsbildningen pÄ omrÄdet Àr oklar och framtagen under en tid av helt andra och mer begrÀnsade möjligheter till elektroniskt informa- tionsutbyte. Dessa förhÄllanden skapar onödiga hinder för utveck-
108
SOU 2015:39 |
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
lingen. Enligt vĂ„r mening Ă€r det en avgörande förutsĂ€ttning för ett vĂ€l fungerande elektroniskt informationsutbyte och elektronisk förvaltning överhuvudtaget att det finns ett samordnat regelverk med enhetlig struktur för alla myndigheter, utan otydliga begrepp och andra onödiga hinder för önskvĂ€rd utveckling. Ăven frĂ„n integritetsskyddssynpunkt medför den bristande strukturen i författningarna och den oklara begreppsbildningen tillĂ€mpningssvĂ„righeter som innebĂ€r ökade risker för oacceptabla intrĂ„ng i den personliga integriteten.
109
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
SOU 2015:39 |
Det var framför allt tvÄ slags brister som pÄtalades. För det första konstaterade kommittén att registerförfattningars sökbegrÀnsningar i vissa fall inte utformats pÄ sÀtt som gjorde att de trÀffas av den s.k. begrÀnsningsregeln i 2 kap. 3 § tredje stycket TF trots att avsikten torde ha varit att sÄ skulle ske. De begrÀnsningar som finns var dessutom svÄra att överblicka. För det andra fann kommittén ett flertal brister eller oklarheter i registerförfattningars bestÀmmelser om utlÀmnande av allmÀnna handlingar i elektronisk form, i den mÄn sÄdana alls förekom. Enligt kommitténs bedömning fanns det troligen mÄnga fall dÀr förbud mot elektroniskt utlÀmnande inte har ansetts motiverat, eller helt enkelt förbisetts, men dÀr det i specifika fall inte borde ske utlÀmnande i elektronisk form (a. bet. s. 293). I övrigt instÀmde kommittén med de kritiska pÄpekanden som framförts av bl.a. Integritetsskyddskommittén och framhöll för egen del det angelÀgna i en allmÀn översyn av gÀllande register- författningar och av begreppsbildningen pÄ omrÄdet för att komma till rÀtta med de problem som regleringen innebÀr.
4.3.2NĂ„gra ytterligare iakttagelser
Vi Äterkommer i det följande till redan pÄtalade specifika problem liksom till problem som vi sjÀlva iakttagit och som hÀnger samman med den befintliga registerförfattningsregleringen.
Vi vill emellertid redan hĂ€r framhĂ„lla att vĂ„r inventering av gĂ€ll- ande registerförfattningar och vĂ„rt övriga arbete â bl.a. i form av kontakter med olika myndigheter och enskilda aktörer â har bekrĂ€ftat bilden av registerlagstiftningen som ett svĂ„röverblickbart och frag- menterat rĂ€ttsomrĂ„de. Redan begreppet registerförfattning, oavsett hur det avgrĂ€nsas, Ă€r tvetydigt. Det som avses utgörs av en tĂ€m- ligen brokig samling författningar som spĂ€nner över disparata verk- samhetsomrĂ„den inom hela den offentliga sektorn.
Komplexiteten i regleringen Àr generellt sett hög, vilket bl.a. be- ror pÄ att registerförfattningsregleringen bara Àr en del av det regel- verk som styr en myndighets informationshantering. Parallellt med registerförfattningar mÄste myndigheterna Àven följa 2 kap. TF, sekretesslagstiftningen liksom förvaltningslagen, arkivlagstiftningen samt annan generell eller myndighetsspecifik reglering som direkt eller indirekt har betydelse för informationshanteringen. Som an-
110
SOU 2015:39 |
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
förs i vÄra direktiv Àr det för effektiviseringen av förvaltningen med hjÀlp av modern informationsteknik viktigt dels att respektive regel- verk Àr vÀl genomtÀnkt och sÄ enkelt som möjligt att tillÀmpa, dels att dessa regelverk Àr förenliga med varandra. Det Àr emellertid uppenbart att en anpassning till andra parallella och för informa- tionshanteringen centrala regelverk inte alltid getts tillrÀcklig upp- mÀrksamhet i lagstiftningsarbetet. Resultatet Àr bl.a. förekomsten av överlappningar och verkliga eller uppfattade motstridigheter i regleringen vilket medför risk för tillÀmpningsproblem. Det upp- levs dessutom förekomma glapp i regleringen utifrÄn de behov av informationshantering som finns, vilket leder till osÀkerhet och dÀrmed knappast frÀmjar servicen eller effektiviteten i förvalt- ningen. Det sagda gÀller bÄde myndighetsintern informations- hantering och vid olika slags informationsutbyten.
Komplexiteten i registerförfattningsregleringen beror emellertid ocksÄ pÄ inkonsekvenser i regeltekniska strukturer och begrepps- anvÀndning m.m. Samarbeten som myndigheterna ÄlÀggs av stats- makterna kan försvÄras av olikheter i registerförfattningar som inte Àr, eller i vart fall inte förefaller vara, kompatibla med varandra.
Till detta kommer att den befintliga regleringen â som alltsĂ„ Ă€r svĂ„röverskĂ„dlig redan för lagstiftare och tillĂ€mpare â för den en- skilde registrerade torde framstĂ„ som i det nĂ€rmaste ogenom- trĂ€nglig. Möjligheten för den enskilde att kunna förstĂ„ vilka data- skyddsregler som styr informationshanteringen av uppgifter om honom eller henne hos respektive myndighet Ă€r central. ĂverskĂ„d- lighet och begriplighet Ă€r viktiga komponenter för enskilda regi- strerade som vill göra gĂ€llande sina rĂ€ttigheter enligt det dataskydds- rĂ€ttsliga regelverket. Ăven i detta avseende finns uppenbara brister.
Den splittrade och ibland inkonsekventa regleringen försvÄrar ocksÄ för allmÀnheten att sÀtta sig in i vad som gÀller pÄ olika omrÄden, vilket Àr sÀrskilt olyckligt nÀr det handlar om utövandet av den grundlagsskyddade rÀtten till insyn i myndigheternas all- mÀnna handlingar. Vi har t.ex. erfarit att det Àr ett problem vid s.k. vidareutnyttjande av offentlig information att det splittrade sÀttet att reglera myndigheters registerföring gör att det krÀvs resurser att sÀtta sig in i nya förutsÀttningar varje gÄng en ny myndighet ska kontaktas.
Utöver de problem med registerförfattningar som beskrivits ovan har vi i vÄrt arbete kunnat konstatera att det finns en sÀrskild
111
Registerförfattningar â ett komplext rĂ€ttsomrĂ„de |
SOU 2015:39 |
problembild som hör samman med att den allmĂ€nna regleringen i personuppgiftslagen har utformats utan nĂ€rmare hĂ€nsyn till de för- hĂ„llanden som gĂ€ller för myndigheternas personuppgiftsbehand- ling. Personuppgiftslagen Ă€r vĂ€sentligen utformad som en civilrĂ€tts- lig reglering. För myndigheter i allmĂ€nhet, alltsĂ„ inte bara sĂ„dana som omfattas av sĂ€rskild registerförfattningsreglering, prĂ€glas person- uppgiftsbehandlingen emellertid av att den sker i författnings- reglerade verksamheter med skyldigheter för myndigheterna och rĂ€ttigheter för enskilda. Personuppgiftslagen Ă€r dock â med vissa undantag â i grunden inte anpassad till detta.
112
SĂRSKILDA FRĂ GOR
5Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas?
5.1Problembild enligt direktiven och utredningens delbetÀnkande
5.1.1Direktiven
Vi ska övervĂ€ga om det finns skĂ€l att i registerförfattningar behĂ„lla Ă„tskillnaden mellan olika former av elektroniskt utlĂ€mnande. Som bakgrund till uppdraget i denna del anförs bl.a. följande i vĂ„ra direktiv. Den tekniska utvecklingen har inneburit att det numera finns be- tydligt fler sĂ€tt att överföra uppgifter elektroniskt Ă€n tidigare och att nya Ă„tkomstmetoder alltjĂ€mt tillkommer. Detta har medfört att det uppfattas som oklart hur begreppen direktĂ„tkomst och utlĂ€m- nande pĂ„ medium för automatiserad behandling ska tillĂ€mpas pĂ„ modernare metoder för informationsutbyte. De aktuella begreppen anvĂ€nds inte heller pĂ„ ett enhetligt sĂ€tt i de olika registerförfatt- ningarna och utöver nu nĂ€mnda begrepp förekommer andra, t.ex. âelektronisk Ă„tkomstâ.
5.1.2Utredningens bedömning i delbetÀnkandet
I delbetĂ€nkandet Ăverskottsinformation vid direktĂ„tkomst (SOU 2012:90) uttalade vi att det stĂ„r klart att begreppsapparaten vad av- ser reglering i registerförfattningar av elektroniska utlĂ€mnande- former mĂ„ste bli tydligare och vara enhetlig (s. 212 f.). Det finns sĂ„ledes ett behov av reformer pĂ„ omrĂ„det. Vi föreslog inte nĂ„gon grundlagsĂ€ndring i delbetĂ€nkandet i syfte att undanta överskotts- information vid direktĂ„tkomst frĂ„n begreppet allmĂ€n handling.
115
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
SOU 2015:39 |
DÀrför var det inte pÄkallat att redan i delbetÀnkandet, innan vÄrt arbete med en samlad översyn av registerlagstiftningen var klart, göra nÄgra slutgiltiga stÀllningstaganden eller lÀgga fram nÄgra kon- kreta förslag till ny regleringsmodell pÄ omrÄdet. Vi avsÄg dÀrför att Äterkomma till frÄgan i slutbetÀnkandet.
5.2Nuvarande regler som i allmÀn mening styr uppgiftsutbyte mellan myndigheter
5.2.1Samverkan enligt förvaltningslagen
Enligt 6 § FL, ska varje myndighet lÀmna andra myndigheter hjÀlp inom ramen för den egna verksamheten.
Ytterligare bestÀmmelser om samverkan mellan förvaltnings- myndigheter under regeringen finns i 6 § myndighetsförordningen (2007:515). Enligt stadgandets andra stycke ska en myndighet verka för att genom samarbete med myndigheter och andra ta till vara de fördelar som kan vinnas för enskilda samt för staten som helhet. Vidare sÀgs i tredje stycket att myndigheten ska tillhandahÄlla infor- mation om myndighetens verksamhet.
Utrymmet för samverkan mellan myndigheterna enligt de ovan nÀmnda bestÀmmelserna pÄverkas av innehÄllet i annan lagstiftning, exempelvis regler om sekretess. En samverkan fÄr inte heller ta sig sÄdana former att de medverkande myndigheternas olika funktioner blandas samman och inte klart kan urskiljas (se JO 1993/94 s. 458).
5.2.2Offentlighets- och sekretesslagen
I offentlighets- och sekretesslagen finns flera regler som pÄverkar möjligheterna för myndigheter att utbyta uppgifter med varandra. I vissa fall innebÀr dessa regler ocksÄ rÀttigheter respektive skyldigheter för myndigheter vid sÄdant utbyte. Nedan redogörs för de regler i offentlighets- och sekretesslagen som har betydelse för ett uppgiftsutbyte, nÀmligen bestÀmmelser om informations- skyldighet, sekretess mellan myndigheter, i vilka fall sekretess bryts och överföring av sekretess.
116
SOU 2015:39 |
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
Informationsskyldighet mellan myndigheter
Enligt 6 kap. 5 § OSL ska en myndighet pÄ begÀran av en annan myndighet lÀmna uppgift som den förfogar över, om inte uppgiften Àr sekretessbelagd eller det skulle hindra arbetets behöriga gÄng.
BestÀmmelsen kan ses som en precisering av myndigheters skyldighet att samverka enligt 6 § FL. Den skyldighet att lÀmna information till andra myndigheter som bestÀmmelsen föreskriver avser varje uppgift som myndigheten förfogar över och alltsÄ inte bara uppgifter ur allmÀnna handlingar. Skyldigheten Àr sÄledes mer vidstrÀckt Àn den som gÀller gentemot allmÀnheten (Lenberg m.fl., kommentaren till 6 kap. 5 §).
I vissa fall kan en mer lÄngtgÄende skyldighet att lÀmna upp- gifter gÀlla gentemot andra myndigheter enligt sÀrskilda före- skrifter, s.k. sekretessbrytande bestÀmmelser (jfr 10 kap. 15 § och 28 § första stycket).
Sekretess mellan myndigheter
Enligt 8 kap. 1 § OSL fÄr en uppgift för vilken sekretess gÀller en- ligt den lagen inte röjas för andra myndigheter, om inte annat anges i den lagen eller i lag eller förordning som lagen hÀnvisar till.
Av 8 kap. 2 § följer att vad som föreskrivs om sekretess mot andra myndigheter i 1 § och vad som föreskrivs i andra bestÀm- melser om uppgiftslÀmnande till andra myndigheter och överföring av sekretess mellan myndigheter, gÀller ocksÄ mellan olika verk- samhetsgrenar inom en myndighet nÀr de Àr att betrakta som sjÀlv- stÀndiga i förhÄllande till varandra.
BestÀmmelsen har sin motsvarighet i 2 kap. 8 § TF om nÀr en handling blir allmÀn nÀr den överlÀmnats mellan organ inom samma myndighetsorganisation. Det avgörande Àr Àven i detta fall att organen upptrÀder som sjÀlvstÀndiga i förhÄllande till varandra.
FrÄgan om nÀr organ eller verksamhetsgrenar inom samma myn- dighetsorganisation Àr att betrakta som sjÀlvstÀndiga i förhÄllande till varandra kan vara svÄrbedömd. Den har diskuterats bÄde i lagstiftningsarbetet (se exempelvis prop. 2007/08:126 s. 162 f. om kommunal hÀlso- och sjukvÄrd) och i rÀttspraxis (HFD 2013 ref. 40) samt inom ramen för JO:s tillsyn (se exempelvis JO 1995/96 s. 431
117
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
SOU 2015:39 |
om stöd och service till funktionshindrade kunde ses som en sjÀlv- stÀndig verksamhetsgren i förhÄllande till socialtjÀnsten).
Sekretessbrytande bestÀmmelser
Enligt 12 kap. 2 § andra stycket OSL kan en enskild helt eller delvis hÀva sekretess som gÀller till skydd för honom eller henne, om inte annat anges i den lagen. I 10 kap. 1 § samma lag erinras om att sekretess till skydd för enskild alltsÄ inte hindrar att en uppgift lÀmnas till en annan enskild eller en myndighet, om den enskilde samtycker till det.
Av 10 kap. 2 § OSL följer att sekretess inte hindrar att en upp- gift lÀmnas till en enskild eller en annan myndighet, om det Àr nöd- vÀndigt för att den utlÀmnande myndigheten ska kunna fullgöra sin verksamhet. BestÀmmelsen bör tillÀmpas restriktivt (prop. 1979/80:2 Del A s. 465 och 494). Avsikten Àr inte att rena effektivitetsskÀl ska utgöra tillrÀckliga skÀl att bryta sekretessen. Det Àr ett behov hos den utlÀmnande myndigheten som kan utgöra skÀl att bryta sekre- tessen, dÀremot inte att den mottagande myndigheten behöver uppgiften för sin verksamhet.
I 10 kap. 27 § OSL finns en bestÀmmelse, den s.k. general- klausulen, som enbart tar sikte pÄ att i visst fall bryta sekretess mellan myndigheter. Den kan sÄledes inte tillÀmpas vid utlÀmnande till en enskild. Enligt bestÀmmelsen fÄr en sekretessbelagd uppgift lÀmnas till en myndighet, om det Àr uppenbart att intresset av att uppgiften lÀmnas har företrÀde framför det intresse som sekretessen ska skydda. Viss sekretess har undantagits frÄn bestÀmmelsens tillÀmpningsomrÄde (se andra stycket), exempelvis sekretess inom hÀlso- och sjukvÄrden och socialtjÀnsten.
Har det i lag eller förordning föreskrivits att uppgifter âbörâ eller âfĂ„râ lĂ€mnas frĂ„n en myndighet till en annan, finns det sĂ€rskild anledning att anse att generalklausulen Ă€r tillĂ€mplig. Riksdagens eller regeringens föreskrifter med en sĂ„dan innebörd bör ju vara grundade pĂ„ den bedömningen att intresset av att ett uppgifts- utbyte sker har företrĂ€de framför sekretessintresset (Lenberg m.fl., kommentaren till 10 kap. 27 §). Ăven om utgĂ„ngspunkten Ă€r att ett rutinmĂ€ssigt uppgiftsutbyte ska vara författningsreglerat hindrar inte generalklausulen att sĂ„dant utbyte sker Ă€ven utan stöd av en
118
SOU 2015:39 |
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
sÀrskild författningsreglering. I de undantagsfall nÀr rutinmÀssigt uppgiftsutlÀmnande inte Àr författningsreglerat men likvÀl kan an- ses tillrÀckligt motiverat mÄste den intresseavvÀgning som ska göras enligt generalklausulen ske pÄ förhand och behöver inte avse en prövning i enskilda fall (prop. 1979/80:2 Del A s. 326).
Om det finns förutsÀttningar att lÀmna ut en sekretessbelagd uppgift med stöd av generalklausulen Àr den myndighet som för- varar uppgiften enligt 6 kap. 5 § OSL skyldig att lÀmna ut den.
I 10 kap. 28 § första stycket OSL stadgas att sekretess inte hindrar att en uppgift lÀmnas till en annan myndighet, om uppgifts- skyldighet följer av lag eller förordning.
Det finns inte nÄgot konstitutionellt hinder mot att regeringen medger att annars sekretessbelagda uppgifter lÀmnas mellan myn- digheter eller sjÀlvstÀndiga verksamhetsgrenar inom en myndighet. I förarbetena till motsvarande bestÀmmelse i den tidigare sekretess- lagen (1980:100) anfördes att det dÀremot frÄn saklig synpunkt i vissa fall kan te sig tveksamt att regeringen kan tunna ut en av riks- dagen i lag beslutad sekretess till skydd för enskilda genom före- skrifter som medger att information lÀmnas frÄn en myndighet till en annan eller mellan sjÀlvstÀndiga verksamhetsgrenar inom en myndighet (a. prop. s. 322). Regeringen kan dock inte genom före- skrifter i en förordning sÀtta Ät sidan bestÀmmelser i lag som exklu- sivt reglerar uppgiftsutbytet mellan myndigheter.
För att det ska vara frÄga om uppgiftsskyldighet i den mening som avses i paragrafen krÀvs att bestÀmmelsen i frÄga uppfyller vissa krav pÄ konkretion. Den kan ta sikte pÄ utlÀmnande av upp- gifter av ett speciellt slag, gÀlla en viss myndighets rÀtt att fÄ del av uppgifter i allmÀnhet eller avse en skyldighet för en viss myndighet att lÀmna andra myndigheter information (Lenberg m.fl., kommen- taren till 10 kap. 28 §).
En föreskrift som mera generellt anbefaller samverkan mellan myndigheter Àr dÀremot inte av sÄdant slag att den kan anses ÄlÀgga en uppgiftsskyldighet i den mening som avses i paragrafen. Exem- pelvis Àr bestÀmmelserna i 6 kap. 5 § OSL och 6 § FL inte av det slaget.
Ytterligare sekretessbrytande bestĂ€mmelser som tar sikte pĂ„ upp- giftsutbyte mellan myndigheter i vissa fall finns ocksĂ„ i 10 kap. 15â 26 §§ OSL, bl.a. för brottsbekĂ€mpande Ă€ndamĂ„l.
119
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
SOU 2015:39 |
Ăverföring av sekretess
NÀr en sekretessbelagd uppgift lÀmnas frÄn en myndighet till en annan Àr huvudregeln att sekretessen inte följer med uppgiften. Det har emellertid införts bestÀmmelser om överföring av sekretess inom vissa omrÄden.
Ett exempel pÄ en bestÀmmelse om överföring av sekretess Àr 11 kap. 4 § OSL. DÀr föreskrivs i första stycket att om en myn- dighet har elektronisk tillgÄng till en upptagning för automatiserad behandling hos en annan myndighet och en uppgift i denna upptag- ning Àr sekretessreglerad, blir sekretessbestÀmmelsen tillÀmplig Àven hos den mottagande myndigheten. Enligt andra stycket ska första stycket inte tillÀmpas pÄ en uppgift som ingÄr i ett beslut hos den mottagande myndigheten.
Bakgrunden till bestÀmmelsen i 11 kap. 4 § första stycket OSL Àr att en myndighet som medgetts direktÄtkomst kan behöva fÄ teknisk tillgÄng till fler uppgifter Àn de uppgifter som myndigheten behöver och dÀrmed har rÀtt att behandla, s.k. överskottsinforma- tion (prop. 2007/08:160 s. 75).
Av 11 kap. 8 § följer att 4 § inte ska tillĂ€mpas om det finns en s.k. primĂ€r sekretessbestĂ€mmelse som redan Ă€r tillĂ€mplig pĂ„ upp- gifterna hos den mottagande myndigheten. Vi har i vĂ„rt delbetĂ€nk- ande Ăverskottsinformation vid direktĂ„tkomst (SOU 2012:90) före- slagit att det ska införas ett andra stycke i 11 kap. 8 §, dĂ€r det före- skrivs att första stycket inte ska tillĂ€mpas pĂ„ en uppgift som Ă€r till- gĂ€nglig för en myndighet pĂ„ sĂ€tt som anges i 11 kap. 4 § första stycket och som den mottagande myndigheten enligt lag eller för- ordning inte fĂ„r behandla.
5.2.3Personuppgiftslagen
I personuppgiftslagen finns inga bestĂ€mmelser som direkt tar sikte pĂ„ uppgiftsutbyte mellan myndigheter. Flera av bestĂ€mmelserna i lagen har dock betydelse för i vilken omfattning ett utbyte av per- sonuppgifter mellan myndigheter Ă€r möjligt. BĂ„de bestĂ€mmelserna med grundlĂ€ggande krav pĂ„ personuppgiftsbehandling i 9 § och regler om vilka typer av behandlingar som Ă€r tillĂ„tna i 10 § och 13â 22 §§ pĂ„verkar möjligheterna till sĂ„dant utbyte. Dessa krav gĂ€ller dock inte enligt det allmĂ€nt gĂ€llande undantaget i 5 a § â den s.k.
120
SOU 2015:39 |
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
missbruksregeln â som tar sikte pĂ„ behandling i ostrukturerat mate- rial. Detta undantag har dock genom en inkonsekvent reglering i sĂ€rskilda registerförfattningar kommit att gĂ€lla för vissa myndig- heter men inte för andra.
5.3Uppgiftsutbyte genom direktÄtkomst
5.3.1Begreppet direktÄtkomst
Det finns ingen legaldefinition av begreppet direktÄtkomst. I tidi- gare registerförfattningar anvÀndes begreppet terminalÄtkomst. Exempelvis föreskrevs i 10 och 12 §§ i den numera upphÀvda skatte- registerlagen (1980:343) vilka myndigheter som skulle fÄ ha ter- minalÄtkomst till det centrala skatteregistret respektive ett regionalt skatteregister.
Sedan slutet av
I förarbetena till 11 kap. 4 § OSL, som alltsÄ reglerar överföring av sekretess vid direktÄtkomst, uttalade sig regeringen om hur direkt- Ätkomst bör definieras (prop. 2007/08:160 s. 164). Med en sÄdan Ätkomst avsÄgs enligt regeringen att en upptagning Àr tillgÀnglig hos den mottagande myndigheten pÄ ett sÄdant sÀtt som avses i 2 kap. 3 § andra stycket första meningen TF, dvs. upptagningen ska vara tillgÀnglig med tekniska hjÀlpmedel som myndigheten sjÀlv ut- nyttjar för överföring i sÄdan form att den kan lÀsas, avlyssnas eller pÄ annat sÀtt uppfattas.
121
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
SOU 2015:39 |
Högsta förvaltningsdomstolen fann i rÀttsfallet HFD 2011 ref. 52 att det förhÄllandet att handlingar i en databas gjorts tekniskt tillgÀngliga för en annan myndighet för bl.a. statistikframstÀllning innebar att handlingarna mÄste anses expedierade i den mening som avses i 2 kap. 7 § TF. Av rÀttsfallet framgÄr att det Àr sjÀlva till- gÄngen till handlingarna som innebÀr att de anses expedierade till den andra myndigheten. Huruvida den myndigheten i nÄgot kon- kret fall faktiskt hade anvÀnt sig av tillgÄngen har sÄledes inte nÄgon betydelse för bedömningen av om handlingarna var att anse som expedierade.
Den i rÀttsfallet aktuella begÀran om att fÄ ta del av allmÀnna handlingar gÀllde uppgifter som förts in i databasen frÄn en myn- dighet. FrÄgan var om uppgifterna ingick i allmÀnna handlingar hos den myndigheten. Högsta förvaltningsdomstolen hade inte anled- ning att uttala sig betrÀffande frÄgan om det ocksÄ var en allmÀn handling hos den mottagande myndigheten. Av domstolens slut- sats att handlingarna gjorts tillgÀngliga för den myndigheten pÄ ett sÄdant sÀtt att de hade expedierats, följer emellertid att de dÀrmed Àr att anse som förvarade hos den mottagande myndigheten i den mening som avses i 2 kap. 3 § andra stycket TF.
Den omstÀndigheten att direktÄtkomst till en viss mÀngd upp- gifter innebÀr att de handlingar i vilka uppgifterna ingÄr anses expedierade till den mottagande myndigheten medför alltsÄ i sin tur att handlingarna Àr att anse som förvarade, och dÀrmed ocksÄ som huvudregel som inkomna, hos den myndigheten i den mening som avses i 2 kap. 3 och 6 §§ TF. Handlingarna utgör genom direkt- Ätkomsten sÄledes allmÀnna handlingar Àven hos den mottagande myndigheten. En direktÄtkomst till sekretessreglerade uppgifter inne- bÀr vidare att det krÀvs en sekretessbrytande regel för att utlÀm- nandet av uppgifterna inte ska innebÀra ett brott mot den sekretess som annars gÀller.
5.3.2Hur regleras en myndighets direktÄtkomst till en annan myndighets informationssamlingar?
Vid vÄr genomgÄng av registerförfattningar har det kommit fram att utlÀmnande i form av direktÄtkomst regleras pÄ i huvudsak tre olika sÀtt. Ett sÀtt Àr att i författning beskriva nÄgra fall dÄ direkt- Ätkomst fÄr medges. Ett exempel pÄ detta förfaringssÀtt Àr den
122
SOU 2015:39 |
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
direktÄtkomst som fÄr medges till Skatteverkets beskattningsdata- bas. I
I förordningen (2001:588) om behandling av uppgifter i Skatte- verkets beskattningsverksamhet finns i
Ett annat sÀtt Àr att uttömmande reglera i vilka fall direkt- Ätkomst fÄr medges. Denna lagstiftningsteknik har anvÀnts exem- pelvis i frÄga om socialförsÀkringsdatabasen som innehÄller person- uppgifter i FörsÀkringskassans och Pensionsmyndighetens verk- samhet. I 114 kap.
Enligt 18 § Ă€r direktĂ„tkomst till socialförsĂ€kringsdatabasen endast tillĂ„ten i den utstrĂ€ckning som anges i lag eller förordning. I 19â 23 §§ finns dĂ€refter bestĂ€mmelser om vissa myndigheter eller organ med myndighetsuppgifter som, förutom FörsĂ€kringskassan och Pensionsmyndigheten, fĂ„r ha sĂ„dan direktĂ„tkomst och att det gĂ€ller i den utstrĂ€ckning det behövs för sĂ€rskilt nĂ€mnda Ă€rendeslag eller Ă€ndamĂ„l. Vad gĂ€ller Ă€ndamĂ„len hĂ€nvisas till 8 § dĂ€r s.k. sekundĂ€ra Ă€ndamĂ„l rĂ€knas upp, dvs. som tar sikte pĂ„ tillhandahĂ„llande av in- formation som behövs i annan verksamhet Ă€n den som bedrivs av FörsĂ€kringskassan och Pensionsmyndigheten. I
123
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
SOU 2015:39 |
FörsÀkringskassan och Pensionsmyndigheten att lÀmna uppgifter till andra myndigheter, den s.k. uppgiftslÀmnarförordningen. SÄdana bestÀmmelser finns ocksÄ i vissa fall i författningar som gÀller den myndighet som medgetts direktÄtkomst till socialförsÀkringsdata- basen.
DirektÄtkomst kan ocksÄ regleras pÄ det sÀttet att författningen ger uttryck för nÀr direktÄtkomst inte fÄr förekomma, dvs. i form av förbud mot direktÄtkomst. SÄ Àr fallet med direktÄtkomst till personuppgifter inom socialtjÀnsten. Enligt 11 § lagen (2001:454) om behandling av personuppgifter inom socialtjÀnsten bemyndigas regeringen att meddela föreskrifter om bl.a. direktÄtkomst. I 24 § förordningen (2001:637) om behandling av personuppgifter inom socialtjÀnsten föreskrivs att Socialstyrelsen fÄr i verksamhet som avses i lagen (2007:606) om utredningar avseende vissa dödsfall inte medge andra myndigheter eller enskilda direktÄtkomst till person- uppgifter. I övrigt saknas bestÀmmelser om direktÄtkomst. I den nya lagen (2014:484) om en databas för övervakning av och tillsyn över finansmarknaderna finns bestÀmmelser som innebÀr att vissa myndigheter inte bara fÄr, utan ska, medges direktÄtkomst (6 och 7 §§). Att man reglerar direktÄtkomsten pÄ ett sÄdant sÀtt hör emellertid till undantagen.
Det finns ocksÄ exempel pÄ att en myndighet har gett en annan myndighet direktÄtkomst utan att det sÀrskilt har reglerats. Ett sÄdant exempel Àr att Transportstyrelsen, efter samrÄd med Data- inspektionen, har gett bl.a. Luftfartsverket direktÄtkomst till luft- fartsregistret. Det finns ingen sÀrskild registerförfattning som reg- lerar behandling av personuppgifter i det registret, utan i stÀllet gÀller personuppgiftslagen. Att registret ska föras framgÄr dock av 2 kap. 1 § luftfartslagen (2010:500).
5.4Uppgiftsutbyte genom utlÀmnande pÄ medium för automatiserad behandling
5.4.1Begreppet
Begreppet utlĂ€mnande pĂ„ medium för automatiserad behandling anvĂ€nds i registerförfattningar utan att begreppet har getts nĂ„gon legaldefinition. Uttrycket âautomatiserad behandlingâ finns i flera paragrafer i personuppgiftslagen, t.ex. 5 §. I den tidigare datalagen
124
SOU 2015:39 |
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
(1973:289) anvĂ€ndes begreppet automatisk databehandling. Vid per- sonuppgiftslagens införande konstaterade LagrĂ„det att det begrep- pet var vĂ€l inarbetat, men att ett sĂ„dant uttryckssĂ€tt förde tanken till en behandling som sker automatiskt efter en viss hĂ€ndelse eller tidpunkt e.d. oavsett hur behandlingen utförs. I stĂ€llet borde ut- trycket âautomatiserad behandlingâ anvĂ€ndas. Regeringen instĂ€mde i denna bedömning (prop. 1997/98:44 s. 38 f. och 240). Begreppet automatiserad behandling har sedan kommit att anvĂ€ndas i de registerförfattningar som tillkommit efter personuppgiftslagens införande. Ăven i 2 kap. TF anvĂ€nds begreppet automatiserad be- handling, i t.ex. 3 och 13 §§ talas om âupptagning för automatiserad behandlingâ. SkĂ€let Ă€r att man velat ansluta till terminologin i register- författningarna (prop. 2001/02:70 s. 23).
Vad som avses med ett medium för automatiserad behandling som kan anvÀndas för utlÀmnande av information har varierat bero- ende pÄ informationsteknikens utveckling. I Àldre förarbeten talades det exempelvis om magnetband, skivminnen eller en handling med visuellt lÀsbar text, om texten var maskinlÀsbar och avsikten var att avlÀsning skulle ske maskinellt (prop. 1979/80:146 s. 48). I senare motivuttalanden anfördes att utlÀmnande kunde ske genom filöver- föring, pÄ diskett eller pÄ annat sÀtt med hjÀlp av automatisk data- behandling (prop. 1995/96:201 s. 31).
Med dagens teknik kan utlÀmnande av information ske exem- pelvis genom
I studiestödsdatalagen skiljer man pÄ begreppen utlÀmnanden pÄ medium för automatiserad behandling och utlÀmnanden via elek- tronisk kommunikation (se 13 §). Med medium för automatiserad behandling avses ett fysiskt medium sÄsom diskett,
125
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
SOU 2015:39 |
5.4.2Hur regleras utlÀmnande pÄ medium för automatiserad behandling?
FrĂ„gan om utlĂ€mnande pĂ„ medium för automatiserad behandling har behandlats pĂ„ olika sĂ€tt i registerförfattningarna. I vissa för- fattningar har man uttryckligen reglerat nĂ€r ett sĂ„dant utlĂ€mnande fĂ„r ske. Ett sĂ„dant exempel Ă€r utlĂ€mnanden frĂ„n socialförsĂ€krings- databasen, som regleras i 114 kap. 24 § SFB. Enligt den bestĂ€m- melsen fĂ„r personuppgifter i socialförsĂ€kringsdatabasen som fĂ„r lĂ€mnas ut till den registrerade lĂ€mnas ut till denne pĂ„ medium för automatiserad behandling. I övrigt fĂ„r personuppgifter ur data- basen lĂ€mnas ut pĂ„ sĂ„dant medium endast om det behövs för nĂ„got av de Ă€ndamĂ„l som anges i 8 och 9 §§, dvs. för ett av de dĂ€r upp- rĂ€knade tillĂ„tna Ă€ndamĂ„len för att tillhandahĂ„lla information â s.k. sekundĂ€ra Ă€ndamĂ„l. Ett annat exempel dĂ€r lagstiftaren har valt att reglera i vilka fall utlĂ€mnande pĂ„ medium för automatiserad be- handling ska vara tillĂ„tet Ă€r studiestödsdatalagen (2009:287). Enligt 10 § Ă€r elektroniskt utlĂ€mnande tillĂ„tet bara i den utstrĂ€ckning som anges i lag eller förordning. Som ytterligare förutsĂ€ttningar gĂ€ller att bestĂ€mmelserna om tillĂ„tna Ă€ndamĂ„l i 4 § följs. Detsamma gĂ€ller bestĂ€mmelserna om sĂ€rskilda begrĂ€nsningar, samtycke och sök- begrepp i
I andra författningar saknas det regler om utlÀmnande pÄ medium för automatiserad behandling. Av förarbetena framgÄr att man dÄ ansett att en sÄdan reglering inte Àr nödvÀndig för att ett utlÀm- nande ska kunna ske. Som exempel kan nÀmnas utlÀmnanden frÄn beskattningsdatabasen. Enligt 2 kap. 6 § lagen om behandling av uppgifter i Skatteverkets beskattningsverksamhet fÄr uppgifter i databasen lÀmnas ut till enskild pÄ medium för automatiserad be- handling endast om regeringen har meddelat föreskrifter om det. För sÄdant utlÀmnande till en myndighet saknas dÀremot regler. Ett annat exempel dÀr det inte bedömts nödvÀndigt att sÀrskilt reglera utlÀmnanden pÄ medium för automatiserad behandling för att det ska vara tillÄtet Àr patientdatalagen (2008:355). I lagen har i stÀllet införts en bestÀmmelse, 5 kap. 6 §, som föreskriver att om en
126
SOU 2015:39 |
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
personuppgift fÄr lÀmnas ut, kan det ske pÄ medium för automati- serad behandling. Det uppstÀllda villkoret syftar pÄ att uppgiften inte kan lÀmnas ut om utlÀmnandet inte Àr en tillÄten behandling av personuppgifter eller sekretess hindrar utlÀmnandet (prop. 2007/08:126 s. 77 och 246 f.).
Ett fÄtal författningar innehÄller förbud mot utlÀmnanden pÄ medium för automatiserad behandling. Ett sÄdant exempel Àr utlÀm- nanden frÄn passagerarregistret. Enligt 7 § lagen (2006:444) om passagerarregister Àr det förbjudet att lÀmna ut personuppgifter ur registret pÄ medium för automatiserad behandling. Bakgrunden till bestÀmmelsen behandlas inte nÀrmare i förarbetena (prop. 2005/06:129). Det konstateras emellertid att en myndighet som begÀr att fÄ ut uppgifter ur registret med stöd av den s.k. general- klausulen i 10 kap. 27 § OSL sÄledes inte kan fÄ uppgifterna ut- lÀmnande pÄ medium för automatiserad behandling (a. prop. s. 79).
5.5Den tekniska utvecklingen
5.5.1Tidigare uttalanden om den tekniska utvecklingens betydelse för begreppens innebörd
I vÄra direktiv anförs att den tekniska utvecklingen har inneburit att det numera finns betydligt fler sÀtt att överföra uppgifter elek- troniskt Àn tidigare och att nya Ätkomstmetoder alltjÀmt tillkom- mer. Detta har medfört att det uppfattas som oklart hur begreppen direktÄtkomst och utlÀmnande pÄ medium för automatiserad be- handling ska tillÀmpas pÄ modernare metoder för informations- utbyte.
I prop. 2007/08:160 behandlades frÄgan om ett utökat elektroniskt informationsutbyte mellan Migrationsverket, FörsÀkringskassan, Skatteverket, Kronofogdemyndigheterna, Statens Pensionsverk, Centrala studiestödsnÀmnden, Arbetsförmedlingen, arbetslöshets- kassorna och kommunernas socialnÀmnder. Regeringen drog hÀr slutsatsen att utgÄngspunkten för det utökade elektroniska infor- mationsutbytet bör vara att utlÀmnandet av uppgifter ska ske genom att direktÄtkomst medges (a. prop. s. 56 f.). NÀr det gÀllde utlÀm- nande som inte sker genom direktÄtkomst utan pÄ medium för automatiserad behandling anförde regeringen att den teknik som i dag anvÀnds för sÄdan elektronisk informationsöverföring nor-
127
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
SOU 2015:39 |
malt innebÀr att data utbyts nattetid och att begÀrd information skickas frÄn de interna registren till en brevlÄda hos den myndighet som ska lÀmna ut uppgifterna (a. prop. s. 58). Regeringen pÄpekade att den fördröjning i uppgiftslÀmnandet som Àr inbyggd i tekniken innebÀr en teoretisk möjlighet för utlÀmnaren att kontrollera vilken information som ska lÀmnas ut. Sekretessprövningen sker dock i praktiken i samband med att förbindelsen upprÀttas. NÄgon ytter- ligare prövning av uppgifterna i samband med utlÀmnandet sker inte vid överföringar via telenÀtet, Àven om det pÄ grund av fördröj- ningen i systemen Àr teoretiskt möjligt att göra en sÄdan prövning. Regeringen ansÄg att den tekniska utvecklingen har lett till att skill- naderna mellan direktÄtkomst och annat utlÀmnande pÄ automati- serad vÀg har blivit sÄ smÄ att det kan vara svÄrt att dra en grÀns mellan direktÄtkomst och andra former för utlÀmnande.
I samma proposition pÄpekade regeringen vidare att s.k. batch- körningar, som ofta anvÀndes för utlÀmnande pÄ medium för auto- matiserad behandling, har en tidsfördröjning pÄ ett dygn (prop. 2007/08:160 s. 60). Detta innebÀr att de uppgifter som hÀmtats in frÄn en annan myndighets system Àr i vart fall en dag gamla nÀr handlÀggaren av ett Àrende fattar beslut med stöd av dessa.
Vi har i vÄrt delbetÀnkande berört frÄgan om vilka begrepp som anvÀnds vid elektroniska utlÀmnandeformer och konstaterade dÀr att begreppet utlÀmnande pÄ medium för automatiserad behandling i takt med att tekniken utvecklats har getts en vidare innebörd Àn att avse ett överlÀmnande av elektroniskt lagrade uppgifter via nÄgot slags medium för lagring eller överföring (SOU 2012:90 s. 198 f.). Med hÀnvisning till uttalanden i förarbeten nÀmnde vi som exempel pÄ detta s.k.
128
SOU 2015:39 |
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
författning som gÀller för direktÄtkomst, uppfylla erforderliga krav pÄ persondataskydd och informationssÀkerhet och inte leda till att överskottsinformation hos mottagande myndighet uppstÄr. Expert- gruppen anför i rapporten att den snabba tekniska utvecklingen har möjliggjort att nya metoder för utlÀmnanden av myndighets- information kan innefatta reella och automatiserade kontroller som görs i varje enskilt fall, i likhet med vad som sker vid automati- serade beskattningsbeslut. Enligt expertgruppens bedömning kan ett fullt utvecklat stöd för automatiserade beslut, som leder till reella prövningar och individuella förvaltningsbeslut i varje enskilt fall innan uppgifter lÀmnas ut, ges en sÄdan utformning att infor- mationsutbytet inte bör anses utgöra direktÄtkomst.
5.5.2Uppgiftsutbyte mellan FörsÀkringskassan och kommunala nÀmnder
För nÀrvarande pÄgÄr en process i allmÀn förvaltningsdomstol mellan FörsÀkringskassan och Datainspektionen dÀr frÄgan berörs om ett uppgiftsutbyte mellan FörsÀkringskassan och kommunala nÀmnder Àr att anse som direktÄtkomst eller utlÀmnande pÄ medium för automatiserad behandling. Uppgiftsutbytet sker genom datasystemet LEFI Online, som Àr en automatiserad onlinetjÀnst som bl.a. ger socialnÀmnder Ätkomst till viss information. Det Àr en frÄga/svars- tjÀnst med fördefinierade frÄgor och svar. Mottagaren skickar en frÄgefil avseende en viss person i taget som innehÄller uppgifter om personnummer och efterfrÄgade förmÄner för en viss period. För- sÀkringskassans
I sak rör mÄlet om Datainspektionen, som anser att det upp- giftsutbyte som sker genom
I en dom den 19 december 2012 (mÄl nr
129
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
SOU 2015:39 |
frÄga om utlÀmnande pÄ medium för automatiserad behandling och inte direktÄtkomst. Det bör enligt förvaltningsrÀtten krÀvas att en sÄdan prövning inte endast innebÀr i princip detsamma som en pÄ förhand genomförd prövning vid direktÄtkomst till fördefinierade uppgifter. Domstolen instÀmde dÀrför i Datainspektionens bedöm- ning att det var frÄga om direktÄtkomst och ansÄg att det dÀrmed saknades anledning att invÀnda mot Datainspektionens förelÀgg- ande.
FörsÀkringskassan överklagade domen till KammarrÀtten i Stockholm, som i en dom den 14 februari 2014 avslog överklag- andet (mÄl nr
FörsÀkringskassan har överklagat kammarrÀttens dom till Högsta förvaltningsdomstolen som beslutade att meddela prövningstill- stÄnd den 21 januari 2015 (mÄl nr
5.5.3SjÀlvbetjÀningstjÀnster
En del myndigheter har infört servicesystem som innebÀr att myn- digheter och enskilda medges en automatiserad tillgÄng till upp- gifter hos myndigheten som inte Àr sekretessreglerade, dvs. som inte omfattas av nÄgon sekretessbestÀmmelse. Ett exempel Àr att man kan fÄ tillgÄng till uppgifter i vÀgtrafikregistret genom sjÀlv-
130
SOU 2015:39 |
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
betjÀningstjÀnster via Transportstyrelsens hemsida. Möjligheten för Transportstyrelsen att medge direktÄtkomst till registret Àr begrÀn- sad enligt sÀrskilda bestÀmmelser i lagen (2001:558) om vÀgtrafik- register och den anknytande förordningen (2001:650). Transport- styrelsen har i en framstÀllan till regeringen den 16 juni 2014 uppmÀrksammat att det nuvarande regelverket inte ger ett tydligt stöd för de redan befintliga servicetjÀnsterna och Àr ett hinder för fortsatt utveckling av dessa (dnr TSV
MĂ„nga myndigheter ger enskilda möjlighet att via en âallmĂ€n- hetens terminalâ sjĂ€lva söka i myndighetens diarier och andra infor- mationssamlingar med offentliga uppgifter som myndigheten gjort tillgĂ€ngliga för sökning i terminalen. En sĂ„dan âallmĂ€nhetens ter- minalâ kan ses som ett praktiskt sĂ€tt att lösa den skyldighet för myndigheten som följer av 6 kap. 6 § OSL och som innebĂ€r att en myndighet som huvudregel ska ge enskilda tillfĂ€lle att sjĂ€lva an- vĂ€nda tekniska hjĂ€lpmedel för att kunna ta del av myndighetens elektroniska handlingar. Detta sĂ€tt att erbjuda enskilda en teknisk möjlighet att direkt hos myndigheten ta del av elektroniska hand- lingar har ibland inte ansetts utgöra direktĂ„tkomst (se t.ex. Ds 2013:10 s. 138). I andra sammanhang har âallmĂ€nhetens termi- nalâ emellertid betraktats som direktĂ„tkomst (se t.ex. JK:s beslut den 20 januari 2010, dnr
5.6Effektivitetsvinster och integritetsrisker
5.6.1Uppdraget
I vÄra direktiv sÀgs att vi mot bakgrund av grÀnsdragningsproble- matiken i frÄga om direktÄtkomst och utlÀmnande pÄ medium för automatiserad behandling ska analysera vilka effektivitetsvinster och integritetsrisker som Àr förknippade med olika former av elek- troniskt informationsutbyte.
131
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
SOU 2015:39 |
5.6.2Effektivitetsvinster
I syfte att effektivisera förvaltningen har riksdag och regering Äter- kommande i olika lagstiftningsÀrenden infört bestÀmmelser som ska möjliggöra ett utökat elektroniskt informationsutbyte mellan olika myndigheter. En utgÄngspunkt har dÀrvid ofta varit att det utökade elektroniska utbytet ska ske i form av direktÄtkomst. I exempelvis prop. 2007/08:160 s. 56 f. om ett utökat elektroniskt informationsutbyte mellan Migrationsverket, FörsÀkringskassan, Skatteverket, Kronofogdemyndigheten, Statens pensionsverk, Cen- trala studiestödsnÀmnen, Arbetsförmedlingen, arbetslöshetskassorna och socialnÀmnder bedömdes att enbart den föreslagna elektro- niska hanteringen av informationsutbytet mellan FörsÀkringskassan och Migrationsverket skulle frigöra ca 15 Ärsarbetskrafter frÄn ett rutinbetonat uppgiftsinhÀmtande över telefon till mer kvalificerade arbetsuppgifter.
Riksrevisionen har i sin rapport RiR 2010:18 redovisat sin gransk- ning av om möjligheterna till effektivisering har utnyttjats nÀr det gÀller informationsutbytet mellan myndigheter med ansvar för trygghetssystem. Enligt Riksrevisionens bedömning hade myndig- heterna inte utnyttjat alla möjligheter som lag och teknik erbjuder. Ett införande av elektroniskt informationsutbyte mellan kommu- ner och myndigheter skulle kunna medföra en Ärlig nettobesparing pÄ 150 miljoner kronor per Är. Granskningen visade att det fort- farande fanns en stor utvecklingspotential i informationsutbytet mellan myndigheterna och att regeringens insatser pÄ omrÄdet inte hade nÄtt Ànda fram. Enligt Riksrevisionen utgör den svÄröver- skÄdliga strukturen i lagstiftningen ett hinder för utbytet eftersom den skapar en osÀkerhet hos myndigheterna om vilken information som fÄr utbytas. De Àr vidare svÄrt att bedöma om det finns restrik- tioner i lagstiftningen nÀr det gÀller pÄ vilket sÀtt det elektroniska utbytet fÄr ske. Modellen med förvaltningsmyndigheter under regeringen och kommunalt sjÀlvstyre innebar enligt Riksrevisionens bedömning att regeringen behövde bli bÀttre pÄ att samordna re- surser och att skapa ekonomiska incitament för myndigheterna. Elektroniskt informationsutbyte bör ske enligt gemensam standard sÄ att sÀkerhet och dÀrmed integritetsskyddet sÀkerstÀlls i informa- tionsöverföringen. En standardiserad kommunikationslösning bör bygga pÄ modern och kostnadseffektiv teknik.
132
SOU 2015:39 |
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
Riksrevisionen konstaterade vidare att det fanns exempel pÄ att informationsutbyten inte har blivit av pÄ grund av att myndig- heterna hade problem med att tolka lagstiftningen om hur informa- tion fÄr överföras, men att myndigheterna inte hade informerat regeringen om vÀsentliga problem med lagstiftning och resurser. En annan anledning till uteblivet informationsutbyte var kommu- nernas bristande samordning. Enligt Riksrevisionens uppfattning har myndigheterna ett gemensamt ansvar för att se till att viktiga informationsutbyten kommer till stÄnd samt att de bör skapa direktÄtkomst för att effektivisera elektroniska utbyten i de fall det Àr ekonomiskt lönsamt. NÀr det gÀllde problem i de elektroniska informationsutbyten som myndigheterna redan hade skapat visade granskningen att det förekom att informationen kunde utebli eller innehÄlla fel. Utbyte av information genom översÀndningar av batchfiler en gÄng per dygn medförde vidare en fördröjning av vik- tig information som behövs i handlÀggningen. Enligt Riksrevi- sionen borde sÄdana brister i det befintliga elektroniska informa- tionsutbytet kunna ÄtgÀrdas genom en uppgradering av de tekniska systemen sÄ att aktörerna fÄr direktÄtkomst till informationen.
I sin uppföljningsrapport Är 2013 redovisade Riksrevisionen vilka ÄtgÀrder som vidtagits efter 2010 Ärs granskning av informations- utbytet mellan myndigheter med ansvar för trygghetssystem. Riks- revisionen konstaterade bl.a. att regeringen i budgetpropositionen för Är 2013 delade revisionens slutsats att myndigheternas hand- lÀggning kan effektiviseras, att regeringen under 2011 och 2012 tillsatt tvÄ utredningar med koppling till informationsutbytet (bl.a. Informationshanteringsutredningen), att
I rapporten ESV 2014:2 redovisade Ekonomistyrningsverket sitt regeringsuppdrag att följa upp realiseringen av ekonomiska nyttor frÄn
133
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
SOU 2015:39 |
nomiska nyttor frÄn de fyra initiativ som uppdraget omfattat. Den viktigaste orsaken var att initiativen fortfarande befann sig i en genomförandefas. MÄnga myndigheter saknade vidare mÀtningar för genomförandet. Flera myndigheter hade ocksÄ lyft fram att det saknades tillrÀckliga incitament för samverkan över myndighets- grÀnserna och för att mÀta de ekonomiska nyttorna frÄn dessa gemensamma satsningar.
PĂ„ uppdrag av
5.6.3Integritetsrisker
Som vi har redovisat i vÄrt delbetÀnkande Àr det ett sÀrskilt problem att s.k. överskottsinformation kan uppstÄ vid direktÄtkomst. Detta beror pÄ att nÀr direktÄtkomsten etableras det ofta inte gÄr att av- göra exakt vilka specifika uppgifter i en vÀrdmyndighets informa- tionssamlingar som en mottagarmyndighet kan komma att ha an- ledning att ta del av. En sÄdan myndighet kan alltsÄ behöva ha tillgÄng till uppgifter om personer som visar sig aldrig bli aktuella i myndighetens verksamhet. Detta kan redan i sig innebÀra vissa integritetsrisker. Det kan ocksÄ fÄ negativa konsekvenser för enskildas personliga integritet att överskottsinformation pÄ detta sÀtt blir allmÀn handling hos mottagarmyndigheter redan dÄ den tekniska möjligheten att ta del av informationen etableras.
134
SOU 2015:39 |
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
En direktÄtkomst kan ocksÄ upplevas utgöra en risk för enskildas integritet i ett mer övergripande perspektiv, eftersom en sÄdan Ät- komst aktualiserar sÀrskilda frÄgor om informationssÀkerhet pÄ grund av att de inblandade aktörernas informationssystem i viss utstrÀck- ning kopplas samman.
UtlÀmnanden av personuppgifter i elektronisk form pÄ annat sÀtt Àn genom direktÄtkomst innebÀr dÀremot inte i sig att det upp- stÄr vare sig problem med s.k. överskottsinformation eller sÄdana sÀkerhetsrisker som har samband med att informationssystemen kopplas samman. DÀremot finns det integritetsrisker förknippade Àven med sÄdana former av informationsutbyte som bl.a. innebÀr att övervÀganden behöver göras sÄ att information som behöver skyddas kan förmedlas pÄ ett sÀkert sÀtt.
5.7VÄra övervÀganden
Bedömning: DirektÄtkomst innebÀr rÀttsligt att grÀnsen mellan de uppgiftsutbytande myndigheterna i viss omfattning tas bort, vilket inte Àr en konsekvens av annat elektroniskt utlÀmnande. Hur den mottagande myndigheten vÀljer att anvÀnda direkt- Ätkomsten har den utlÀmnande myndigheten inte nÄgon befogen- het att pÄverka, eftersom de handlingar som omfattas av Ätkomsten redan har lÀmnats ut. Korresponderande sekretessfrÄgor mÄste dÀrför vara lösta pÄ förhand liksom behov av sökbegrÀnsningar hos den mottagande myndigheten, vilket kan medföra krav pÄ lagstiftningsÄtgÀrder. BÄde principiella och rÀttsliga skÀl talar dÀrför för att en Ätskillnad mellan direktÄtkomst och annat utlÀmnande i elektronisk form görs.
Vidare utgör varken den tekniska utvecklingen eller effektivi- tetsvinster och integritetsrisker som kan förknippas med olika Ätkomstmetoder skÀl för att utmönstra den begreppsmÀssiga Ätskillnaden.
Ett sĂ„dant utlĂ€mnande i elektronisk form som inte Ă€r direkt- Ă„tkomst innebĂ€r â oavsett pĂ„ vilket sĂ€tt det sker â alltsĂ„ inte att myndigheternas verksamhet rĂ€ttsligt sett blandas samman. NĂ„got behov av att rĂ€ttsligt skilja olika sĂ„dana former Ă„t finns dĂ€rför inte.
135
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
SOU 2015:39 |
I vÄra direktiv sÀgs att vi ska ta stÀllning till om det finns skÀl för att i registerförfattningar upprÀtthÄlla en skillnad mellan direkt- Ätkomst och andra former av elektroniskt utlÀmnande eller om denna skillnad bör utmönstras. Vi uppfattar vÄrt uppdrag i denna del som att en analys bör göras av om det i lagstiftningssamman- hang finns anledning att ocksÄ i fortsÀttningen skilja pÄ begreppen, dvs. att analysen bör ta sikte pÄ begreppens rÀttsliga innebörd.
5.7.1Att enbart beskriva direktÄtkomst som en form av elektroniskt utlÀmnande ger en otillrÀcklig bild av vad Ätkomsten rÀttsligt innebÀr
Visserligen kan direktĂ„tkomst kort och gott beskrivas som en form av elektroniskt utlĂ€mnande. PĂ„ detta sĂ€tt beskrivs begreppen ocksĂ„ i flera förarbeten, exempelvis i motiven till studiestödsdatalagen (prop. 2008/09:96 s. 57 f.). FrĂ„n en principiell och rĂ€ttslig utgĂ„ngs- punkt ger den beskrivningen enligt vĂ„r mening emellertid en otill- rĂ€cklig och alltför begrĂ€nsad bild av vad en sĂ„dan Ă„tkomst innebĂ€r. Termen direktĂ„tkomst som sĂ„dan beskriver pĂ„ ett bĂ€ttre sĂ€tt vad det Ă€r frĂ„gan om, varvid nyckelordet Ă€r âdirektâ. Det tar sikte pĂ„ att den utlĂ€mnande myndigheten bildligt talat öppnar sina dörrar för den mottagande myndigheten. Den mottagande myndigheten tillĂ„ts trĂ€da in innanför dörrarna och sjĂ€lv fĂ„, i den omfattning som med- getts, söka fritt i den utlĂ€mnande myndighetens informationssam- lingar. FrĂ„n ett principiellt perspektiv Ă€r den omstĂ€ndigheten att Ă„tkomsten Ă€r direkt, dvs. att âdörrarna öppnasâ, det mest betydelse- fulla, eftersom det innebĂ€r att den utlĂ€mnande myndigheten redan vid den tidpunkt dĂ„ Ă„tkomsten etableras har lĂ€mnat ut berörda uppgifter till den mottagande myndigheten. Denna omstĂ€ndighet gör att direktĂ„tkomst Ă€r en betydligt mer vittomfattande form av elektroniskt utlĂ€mnande Ă€n andra sĂ„dana former av utlĂ€mnanden. Att direktĂ„tkomsten Ă€r en speciell företeelse visas av att det uppstĂ„r bĂ„de rĂ€ttsliga och sakliga konsekvenser som inte uppkommer vid andra former av utlĂ€mnanden.
136
SOU 2015:39 |
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
Konsekvenser sÄvitt avser allmÀnna handlingar och sekretess
En rÀttslig konsekvens Àr, som framgÄtt ovan (avsnitt 5.3.1), att de upptagningar/handlingar hos den utlÀmnande myndigheten som direktÄtkomsten omfattar blir expedierade i den mening som avses i 2 kap. 7 § TF redan i och med att Ätkomsten etablerats, dvs. i den stund dÄ upptagningarna Àr tekniskt tillgÀngliga för den mottag- ande myndigheten sÄ att de kan lÀsas, avlyssnas eller pÄ annat sÀtt uppfattas. Att en expediering sker innebÀr att handlingarna Àr att anse som allmÀnna bÄde hos den utlÀmnande och mottagande myn- digheten. Huruvida den mottagande myndigheten genom nÄgon Ät- gÀrd faktiskt har anvÀnt sig av direktÄtkomsten har ingen betydelse för denna frÄga. Genom att Ätkomsten etablerats Àr handlingarna alltsÄ att anse som inkomna till och förvarade hos den mottagande myndigheten.
I och med att den mottagande myndigheten Ă€r inslĂ€ppt och Ă€r âinnanför dörrarnaâ hos den utlĂ€mnande myndigheten kan den bland de uppgifter som direktĂ„tkomsten omfattar sjĂ€lv vĂ€lja om och i sĂ„ fall vilka uppgifter den vill hĂ€mta hem till sina egna informations- samlingar genom nĂ„gon form av faktiskt överföring för att dĂ€refter bearbeta uppgifterna dĂ€r. Vad myndigheten vĂ€ljer att göra har den utlĂ€mnande myndigheten inte nĂ„gon rĂ€ttslig befogenhet att pĂ„ver- ka, eftersom handlingarna redan har lĂ€mnats ut till den mottagande myndigheten i 2 kap. TF:s mening genom att Ă„tkomsten etablerats.
Till detta kommer att om man planerar att en direktÄtkomst ska omfatta uppgifter hos en myndighet som Àr sekretessreglerade, Àr det nödvÀndigt att i förvÀg fÄ klarlagt att Ätkomsten Àr förenlig med den sekretess som gÀller för respektive myndighets omrÄde. Dessa frÄgor mÄste alltsÄ vara lösta innan direktÄtkomsten etableras. För det första behöver det bedömas om det finns ett tillfredsstÀllande sekretesskydd för uppgifterna hos den mottagande myndigheten eller om ett sÄdant skydd behöver införas. Det mÄste i sÄ fall ske genom reglering i offentlighets- och sekretesslagen, dvs. genom lag. För det andra behöver det bedömas om det finns en sekretess- brytande regel som möjliggör att de sekretessreglerade uppgifterna lÀmnas ut till den mottagande myndigheten. Om inte, mÄste Àven en sÄdan föreskrift införas. Det kan ske i form av lag eller förord- ning. Eftersom en sekretessbrytande regel ska syfta till att göra direktÄtkomsten möjlig mÄste en sÄdan regel ta sikte pÄ direkt-
137
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
SOU 2015:39 |
Ätkomsten i dess hela vidd. Eftersom ett utlÀmnande sker av samt- liga uppgifter som omfattas av direktÄtkomsten i det ögonblick Ätkomsten etableras, mÄste den sekretessbrytande regeln alltsÄ möj- liggöra hela detta utlÀmnande. Det Àr m.a.o. inte tillrÀckligt att en sekretessbrytande regel möjliggör ett utlÀmnande i de enskilda fall dÄ den mottagande myndigheten genom en faktisk överföring anvÀnder sig av direktÄtkomsten och hÀmtar vissa av de uppgifter som Ätkomsten omfattar. Samtliga uppgifter har ju redan lÀmnats ut till den myndigheten i och med att direktÄtkomsten har etable- rats.
En rÀttslig konsekvens av en direktÄtkomst Àr alltsÄ att korren- sponderande sekretessfrÄgor mÄste vara lösta i förvÀg, dvs. innan Ätkomsten faktiskt etableras, vilket i sin tur i förekommande fall kan krÀva författningsÀndringar.
I underlaget för bedömningen av vilken omfattning en sekre- tessbrytande regel ska ha, dvs. vilka uppgifter som ska lÀmnas ut genom direktÄtkomsten utan hinder av sekretess, torde det i de flesta fall Àven behöva finnas med en analys av hur direktÄtkomsten kan ordnas rent tekniskt. Först nÀr en sÄdan analys Àr gjord torde man kunna ta stÀllning till hur omfattande direktÄtkomsten behöver vara för att det planerade uppgiftsutbytet ska vara möjligt.
Konsekvenser sÄvitt avser behandling av personuppgifter och personuppgiftsansvar
Det finns ocksÄ anledning att analysera vad en planerad direkt- Ätkomst innebÀr i frÄga om vilka behandlingar av personuppgifter som behöver ske samt nÀr personuppgiftsansvaret aktualiseras och vad det tar sikte pÄ. En direktÄtkomst innebÀr att en rad förbered- ande ÄtgÀrder behöver vidtas som bl.a. inbegriper behandling av personuppgifter redan innan utlÀmnandet av uppgifterna sker. Det Àr en avgörande skillnad i förhÄllande till ett utlÀmnande av person- uppgifter pÄ automatiserat medium, som Àr begrÀnsat till en behand- ling som innebÀr att uppgifter sÀnds över elektroniskt till mottag- aren.
Vid en direktĂ„tkomst behöver förberedande tekniska Ă„tgĂ€rder vidtas för att direktĂ„tkomsten, nĂ€r den vĂ€l etableras, ska ta sikte pĂ„ endast de personuppgifter som Ă„tkomsten fĂ„r omfatta. Det utgör en form av behandling av personuppgifter. Ăven andra förbered-
138
SOU 2015:39 |
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
ande ÄtgÀrder behöver vidtas som har samband med inblandade myndigheters personuppgiftsansvar, Àven om de inte i sig innebÀr en behandling av personuppgifter. Det behöver exempelvis göras sÀkerhetsanalyser och krÀvs att eventuella behövliga ÄtgÀrder dÀr- efter vidtas för att motverka de risker för myndigheternas informa- tion som kan uppstÄ pÄ grund av att deras tekniska system, och dÀrmed verksamheter, i viss mÄn kopplas ihop genom direkt- Ätkomsten. Andra förberedande ÄtgÀrder som den mottagande myn- digheten behöver Àgna sig Ät i egenskap av personuppgiftsansvarig Àr att vidta tekniska och andra ÄtgÀrder, t.ex. fördelning av behörig- het och ÄtkomstbegrÀnsningar, för att sÀkerstÀlla att endast de tjÀnstemÀn som har behörighet att anvÀnda sig av direktÄtkomsten kommer att kunna göra det och att det kan kontrolleras och följas upp hur Ätkomsten anvÀnds. De inblandade myndigheterna har alltsÄ ett gemensamt ansvar för att de sÀkerhets- och kontrollfrÄgor som direktÄtkomsten ger upphov till Àr pÄ ömse hÄll analyserade och lösta innan direktÄtkomsten etableras. FrÄgor av dessa slag behandlas nÀrmare i avsnitt 10.1.4 och 10.2.5.
NÀr direktÄtkomsten vÀl etableras sker ocksÄ en behandling av personuppgifter, nÀmligen att samtliga uppgifter som omfattas av Ätkomsten lÀmnas ut till den mottagande myndigheten genom att de vid etableringen blir tillgÀngliga för den myndigheten. Det Àr alltsÄ nÄgot annat Àn den behandling av personuppgifter som sker nÀr uppgifterna rent faktiskt förs över till den myndigheten. I den mÄn sÄdana faktiska överföringar sker Àr det behandlingar som utförs av den mottagande myndigheten nÀr den anvÀnder sig av sin direktÄtkomst. Det Àr ocksÄ den myndigheten som enligt vad vi föreslÄr ska vara personuppgiftsansvarig för dessa behandlingar, se avsnitt 10.1.4. Detta Àr ocksÄ en viktig skillnad i förhÄllande till hur ett s.k. utlÀmnande pÄ automatiserat medium gÄr till, dÄ det Àr den utlÀmnande myndigheten som genomför och ansvarar för att per- sonuppgifter faktiskt sÀnds över till den mottagande myndigheten.
En direktÄtkomst som Àr igÄng innebÀr att de myndigheter som ingÄr i uppgiftsutbytet kommer att samtidigt utföra behandlingar av personuppgifter i den informationssamling som genom Ätkomsten i viss mÄn blir gemensam. BÄde den utlÀmnande och mottagande myndigheten kommer alltsÄ i olika delar och pÄ olika nivÄer att vara personuppgiftsansvariga för behandlingar som utförs. Den utlÀm- nande myndigheten ansvarar exempelvis för innehÄllet i databasen
139
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
SOU 2015:39 |
och för att kontrollera att det Àr rÀtt mottagande myndighet som anvÀnder direktÄtkomsten. Den mottagande myndigheten i sin tur har t.ex. att svara för att det Àr en behörig handlÀggare som anvÀn- der sig av Ätkomsten för att hÀmta hem personuppgifter till de egna informationssamlingarna.
FrÄgor av detta slag krÀver i allmÀnhet inte sÀrskilt författ- ningsstöd för att möjliggöra en direktÄtkomst. Av 31 § PuL följer emellertid ett krav pÄ den personuppgiftsansvarige att skydda de personuppgifter som ska behandlas genom ÄtgÀrder som ger en lÀmplig sÀkerhetsnivÄ. I samband med direktÄtkomst mÄste alltsÄ stÀllningstaganden och behövliga ÄtgÀrder av detta slag vidtas i förvÀg pÄ myndighetsnivÄ. I den enskilde registrerades perspektiv Àr det vidare av stor vikt att det alltid ska vara tydligt vem som Àr personuppgiftsansvarig för en viss behandling. Den informationen ska vara lÀtt tillgÀnglig för den enskilde registrerade som alltid ska kunna veta vart man ska vÀnda sig för att göra ansprÄk pÄ sina rÀttigheter, exempelvis i form av rÀttelse eller skadestÄnd.
Konsekvenser sÄvitt avser anvÀndningen av sökbegrepp
Genom direktÄtkomst blir den utlÀmnande myndighetens informa- tionssamlingar i viss omfattning tillgÀngliga för den mottagande myndigheten pÄ sÄ sÀtt att den fritt kan söka och föra över upp- gifter för att anvÀndas i den egna verksamheten. Dessa aktiviteter sker i den mottagande myndighetens verksamhet och omfattas sÄ- ledes av de regler som gÀller för den verksamheten och inte för den utlÀmnande myndighetens verksamhet. Det innebÀr vanligtvis att de eventuella sökbegrÀnsningar som styr vilka sökningar och samman- stÀllningar som kan göras i samband med den utlÀmnande myndig- hetens behandling av personuppgifter inte gÀller för den mottag- ande myndigheten trots att denna genom direktÄtkomsten fÄr Ätkomst till samma uppgifter. En frÄga som dÀrför ocksÄ behöver analyseras i förvÀg innan en direkÄtkomst medges Àr om det behövs regler som begrÀnsar anvÀndningen av sökbegrepp för att uppnÄ ett tillfredsstÀllande skydd för personuppgifter Àven hos den mottag- ande myndigheten. Det Àr ytterligare en rÀttslig konsekvens av direkt- Ätkomst som inte uppstÄr i samband med ett utlÀmnande pÄ medium för automatiserad behandling. I avsnitt 9.4 behandlar vi vilka sök-
140
SOU 2015:39 |
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
begrÀnsningar som generellt bör gÀlla vid myndigheters behandling av personuppgifter. FrÄgan om hur sökbegrÀnsningar bör regleras vid direktÄtkomst övervÀgs nÀrmare i avsnitt 11.3.
Sammanfattning
I samband med direktĂ„tkomst vĂ€cks alltsĂ„ bĂ„de principiella och rĂ€ttsliga frĂ„gor som har sin grund i att grĂ€nsen mellan de uppgifts- utbytande myndigheterna i viss utstrĂ€ckning tas bort. I förekom- mande fall krĂ€vs dĂ€rför att ny sekretess respektive att en sekretess- brytande regel införs. En annan rĂ€ttslig frĂ„ga Ă€r att det behöver övervĂ€gas om den mottagande myndighetens anvĂ€ndning av de personuppgifter som blir Ă„tkomliga genom direktĂ„tkomst behöver begrĂ€nsas genom förbud att anvĂ€nda vissa sökbegrepp. Inför eta- bleringen av en direktĂ„tkomst uppstĂ„r ocksĂ„ ett behov av att in- blandade myndigheter, i egenskap av verksamhets- och personupp- giftsansvariga, analyserar det tekniska genomförandet av Ă„tkomsten samt vidtar förberedande Ă„tgĂ€rder bl.a. för att Ă„stadkomma en lĂ€mplig sĂ€kerhetsnivĂ„ pĂ„ ömse hĂ„ll. Samtliga dessa frĂ„gor, som alltsĂ„ innebĂ€r att Ă„tgĂ€rder behöver vidtas i vart fall pĂ„ myndighetsnivĂ„ och eventuellt Ă€ven av lagstiftaren, mĂ„ste sĂ„ledes vara lösta innan den mottagande myndigheten âslĂ€pps inâ hos den utlĂ€mnande myn- digheten genom att direktĂ„tkomsten etableras. Detta Ă€r en avgör- ande skillnad i förhĂ„llande till annat utlĂ€mnande som sker genom att uppgifter förmedlas i elektronisk form till mottagaren.
5.7.2Annat utlÀmnande i elektronisk form ger inte i sig upphov till att sÀrskilda ÄtgÀrder behöver vidtas
Vid utlĂ€mnanden i elektronisk form som inte sker genom direkt- Ă„tkomst Ă€r det hela tiden den utlĂ€mnande myndigheten som rĂ€tts- ligt förfogar över frĂ„gan om och i sĂ„ fall vilka uppgifter som ska lĂ€mnas ut genom att sĂ€ndas över till den mottagande myndigheten. PĂ„ detta sĂ€tt skiljer sig sĂ„dana utlĂ€mnanden i principiell mening frĂ„n direktĂ„tkomst. Bildligt talat kan det sĂ€gas innebĂ€ra att den utlĂ€m- nande myndigheten inte slĂ€pper in den mottagande myndigheten. Den mottagande myndigheten fĂ„r i stĂ€llet vĂ€nta âutanför dörrarnaâ tills begĂ€rda uppgifter lĂ€mnas ut.
141
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
SOU 2015:39 |
Konsekvenser sÄvitt avser allmÀnna handlingar och sekretess
I och med att den mottagande myndigheten inte slÀpps in till den utlÀmnande myndigheten uppstÄr inget behov av att analysera och eventuellt införa nya sekretessbestÀmmelser pÄ grund av att grÀnsen mellan myndigheterna öppnas upp. UtlÀmnandet Àr alltsÄ inte av ett sÄdant ingripande slag att det i sig, sÄsom vid direktÄtkomst, medför ett behov av att i förvÀg analysera om författningsÀndringar behövs. Ett utlÀmnande sker i stÀllet efter att den utlÀmnande myn- digheten gjort en bedömning med utgÄngspunkt i de bestÀmmelser som Àr tillÀmpliga i det enskilda fallet. En helt annan sak Àr att det mÄhÀnda kan finnas sekretessbestÀmmelser som kan tyckas i en oönskad utstrÀckning hindra ett visst uppgiftsutbyte mellan myn- digheter.
Vid ett uppgiftsutbyte mellan tvÄ myndigheter som avses ha en nÄgorlunda stor omfattning vÀcks den mer grundlÀggande frÄgan om det behövs regler för att styra huruvida sekretessreglerade upp- gifter rutinmÀssigt kan lÀmnas ut till en annan myndighet. Den frÄgan bör övervÀgas skild frÄn frÄgan om pÄ vilket sÀtt uppgifter kan lÀmnas ut. FrÄgorna har emellertid ett samband pÄ det sÀttet att om det finns behov av ett rutinmÀssigt uppgiftsutbyte, torde det utbytet kunna effektiviseras genom att utlÀmnandet sker i elek- tronisk form.
Ett rutinmĂ€ssigt utlĂ€mnande av uppgifter till en annan myndig- het kan regleras pĂ„ sĂ„ sĂ€tt att det införs en sĂ€rskild sekretess- brytande regel för de myndigheter som ska utbyta information. Om sĂ„ inte sker kan ett rutinmĂ€ssigt utlĂ€mnande i stĂ€llet Ă€ga rum med stöd av den s.k. generalklausulen i 10 kap. 27 § OSL, dvs. efter en avvĂ€gning mellan intresset av att skydda uppgifterna hos den utlĂ€mnande myndigheten och intresset hos den mottagande myn- digheten av att fĂ„ ut uppgifterna. Det krĂ€ver i sig alltsĂ„ ingen sĂ€rskild författningsreglering. BestĂ€mmelserna i 10 kap. 27 § OSL bygger emellertid pĂ„ att ett rutinmĂ€ssigt utlĂ€mnande av sekretess- reglerade uppgifter ska vara författningsreglerat (se avsnitt 5.2.2). Har det i en lag eller författning föreskrivits att uppgifter âbörâ eller âfĂ„râ lĂ€mnas ut fĂ„r det antas att lagstiftaren har bedömt att intresset av att uppgifter lĂ€mnas mellan myndigheter har företrĂ€de framför sekretessintresset. Ăven om det inte Ă€r frĂ„gan om en sĂ„dan absolut uppgiftsskyldighet som avses i 10 kap. 28 § OSL, torde det
142
SOU 2015:39 |
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
finnas ett relativt begrĂ€nsat utrymme för den utlĂ€mnande myndig- heten att i en konkret utlĂ€mnandesituation göra en annan bedöm- ning. I rĂ€ttslig mening Ă€r det dock den utlĂ€mnande myndigheten som förfogar över och beslutar om uppgifterna faktiskt ska lĂ€mnas ut. Ăven vid ett rutinmĂ€ssigt utlĂ€mnande som fĂ„r stöd i en författ- ningsbestĂ€mmelse som föreskriver att uppgifter âfĂ„râ lĂ€mnas ut, Ă€r det alltsĂ„ den utlĂ€mnande myndigheten som hela tiden rĂ€ttsligt förfogar över frĂ„gan om uppgifterna ska lĂ€mnas ut.
I den hĂ€ndelse avsikten Ă€r att ett rutinmĂ€ssigt uppgiftsutbyte ska Ă€ga rum mellan myndigheter och detta avser sekretessreglerade uppgifter, bör sĂ„ledes utgĂ„ngspunkten vara att uppgiftsutbytet bör komma till uttryck genom föreskrifter i lag eller förordning dĂ€r det uttrycks att en myndighet âbörâ eller âfĂ„râ lĂ€mna ut uppgifter till en annan myndighet. Ett sĂ„dant behov av en författningsreglering har emellertid, som redan pĂ„pekats, inte nĂ„got egentligt samband med frĂ„gan om pĂ„ vilket sĂ€tt utlĂ€mnandet avses ske.
Konsekvenser sÄvitt avser behandling av personuppgifter och personuppgiftsansvar
Ett utlÀmnande i elektronisk form, som inte sker genom direkt- Ätkomst utan genom att uppgifter elektroniskt sÀnds över till den mottagande myndigheten, medför inte samma krav pÄ att förbered- ande analyser och ÄtgÀrder vidtas. Det enda som ska ske rent tek- niskt Àr att uppgifterna i nÄgon form sÀnds över frÄn den utlÀm- nande till den mottagande myndigheten. NÄgra förberedande behand- lingar av personuppgifter behöver alltsÄ inte ske. Det Àr ocksÄ endast översÀndandet som behöver analyseras frÄn sÀkerhetssynpunkt och det resultatet kan styra i vilken form översÀndandet bör ske för att inga sÀkerhetsrisker ska uppstÄ för vare sig uppgifterna eller myn- digheten. Det kan exempelvis innebÀra att uppgifter som avses sÀndas över via
Den utlÀmnande och den mottagande myndigheten behandlar inte heller vid nÄgot tillfÀlle de aktuella personuppgifterna samtidigt sÄsom Àr fallet vid direktÄtkomst. Det uppstÄr alltsÄ inte heller nÄgra frÄgor om hur personuppgiftsansvaret ska eller bör fördelas vid sÄdan samtidig behandling.
143
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
SOU 2015:39 |
Konsekvenser sÄvitt avser anvÀndningen av sökbegrepp
Som redan pÄpekats Àr ett annat utlÀmnande i elektronisk form Àn genom direktÄtkomst endast att se som en frÄga om pÄ vilket sÀtt uppgifter ska sÀndas över frÄn en myndighet till en annan. I sig pÄkallar alltsÄ inte utlÀmnandet nÄgra övervÀganden om vilka sök- begrepp den mottagande myndigheten ska fÄ anvÀnda dÄ den be- handlar de uppgifter som hÀmtas in.
Sammanfattning
De frÄgor som vÀcks i samband med ett utlÀmnande i elektronisk form, som inte sker genom direktÄtkomst, Àr vÀsentligen av annat slag och pÄkallar normalt sett inte ÄtgÀrder frÄn lagstiftaren i det enskilda fallet. De frÄgor som uppstÄr begrÀnsar sig till vad som har samband med det som saken rent faktiskt rör, nÀmligen att pÄ ett eller annat sÀtt förmedla eller vidaresÀnda personuppgifter elektro- niskt. NÄgra förberedande analyser och ÄtgÀrder behöver alltsÄ inte vidtas annat Àn för att den utlÀmnande myndigheten ska kunna för- sÀkra sig om att översÀndandet sker pÄ ett sÀkert sÀtt. De rÀttsliga frÄgor som uppstÄr Àr vidare av ett mer allmÀnt slag. Det kan exempelvis röra förvaltningsrÀttsliga frÄgor om vem som Àr behörig att pÄ myndighetens vÀgnar fatta beslut om utlÀmnande, motivering av beslut om en begÀran helt eller delvis inte bifalls och möjlighet för den myndighet som nekas att fÄ ut uppgifter att överklaga (jfr 6 kap. 7 § andra stycket OSL).
5.7.3Vilken betydelse har den tekniska utvecklingen?
Av 8 kap. 1 § OSL följer att sekretess gÀller Àven mellan myndig- heter. Vidare framgÄr av 2 § att detsamma gÀller ocksÄ mellan olika verksamhetsgrenar inom en myndighet nÀr de Àr att betrakta som sjÀlvstÀndiga i förhÄllande till varandra. Dessa bestÀmmelser innebÀr att det finns grÀnser myndigheterna emellan, och vissa fall ocksÄ inom myndigheterna, som begrÀnsar deras möjligheter att fritt ut- byta sekretessreglerade uppgifter. Att motsvarande grÀnser i prin- cip gÀller Àven vid överlÀmnande av handlingar mellan och inom myndigheter pÄ sÄ sÀtt att ett överlÀmnande över myndighetsgrÀns-
144
SOU 2015:39 |
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
erna innebÀr att handlingarna anses inkomna och upprÀttade och dÀrmed som allmÀnna framgÄr av 2 kap. 8 § TF.
I rĂ€ttsfallet HFD 2011 ref. 52 kom alltsĂ„ Högsta förvaltnings- domstolen fram till att en myndighets tillgĂ„ng till en annan myn- dighets databas pĂ„ sĂ„ sĂ€tt att den förstnĂ€mnda myndigheten dĂ€r kunde ta del av uppgifter âi lĂ€sbart skickâ innebar att uppgifterna skulle anses expedierade i den mening som avses i 2 kap. 7 § TF och dĂ€rmed utgöra en upprĂ€ttad allmĂ€n handling. Den omstĂ€ndigheten att den mottagande myndigheten har getts en tillgĂ„ng som innebĂ€r att den kunde lĂ€sa uppgifter i databasen innebĂ€r i sin tur att hand- lingar hade överlĂ€mnats till den myndigheten och dĂ€rmed finns i dess förvar. Högsta förvaltningsdomstolen anvĂ€nder inte begreppet direktĂ„tkomst, men kan anses indirekt konstatera att en direkt- Ă„tkomst Ă€r för handen nĂ€r det finns en sĂ„dan teknisk tillgĂ„ng som avses i 2 kap. 3 § andra stycket TF. Domstolen fĂ„r dĂ€rmed upp- fattas ha bekrĂ€ftat den definition av direktĂ„tkomst som getts i för- arbetena till 11 kap. 4 § OSL, som reglerar överföring av sekretess vid direktĂ„tkomst. DĂ€r anförde regeringen (prop. 2007/08:160 s. 164) att med sĂ„dan Ă„tkomst avses att en upptagning Ă€r tillgĂ€nglig hos den mottagande myndigheten pĂ„ ett sĂ„dant sĂ€tt som avses i 2 kap. 3 § andra stycket första meningen TF, dvs. upptagningen ska vara tillgĂ€nglig med tekniska hjĂ€lpmedel som myndigheten sjĂ€lv ut- nyttjar för överföring i sĂ„dan form att den kan lĂ€sas, avlyssnas eller pĂ„ annat sĂ€tt uppfattas. RĂ€ttsfallet kan ocksĂ„ sĂ€gas bekrĂ€fta det som enligt andra förarbetsuttalanden anses kĂ€nneteckna en direktĂ„tkomst, nĂ€mligen att den mottagande myndigheten har en direkt tillgĂ„ng till nĂ„gon annans register eller databas och pĂ„ egen hand kan söka information och att den utlĂ€mnande myndigheten inte har nĂ„gon kontroll över vad mottagaren vid ett visst söktillfĂ€lle tar del av (se t.ex. prop. 2011/12:45 s. 133). BĂ„da dessa omstĂ€ndigheter kan sĂ€gas vara ett resultat av att de upptagningar som omfattas av direkt- Ă„tkomsten finns i den mottagande myndighetens förvar i den stund Ă„tkomsten etableras.
De uttalanden som gjorts i förarbetena till 11 kap. 4 § OSL, vilka som vi ser det fÄr anses ha bekrÀftats i rÀttsfallet HFD 2011 ref. 52, kan sÄledes sÀgas ge en definition av direktÄtkomst, dvs. att en sÄdan Ätkomst Àr för handen nÀr den mottagande myndigheten har en sÄdan teknisk tillgÄng till den utlÀmnande myndighetens upp- tagningar som avses i 2 kap. 3 § andra stycket TF.
145
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
SOU 2015:39 |
RĂ€ttspraxis ger dĂ€remot inte nĂ„got omedelbart svar pĂ„ hur man bör se pĂ„ sĂ„dana former av elektroniskt utlĂ€mnande som ansetts befinna sig i en âgrĂ„zonâ mellan direktĂ„tkomst och annat elektroniskt utlĂ€mnande, exempelvis s.k.
Det Ă€r alltsĂ„ inte givet i vilken utstrĂ€ckning detta slags omstĂ€n- digheter har betydelse för frĂ„gan om den mottagande myndigheten har en sĂ„dan teknisk tillgĂ„ng till uppgifter som avses i 2 kap. 3 § andra stycket TF, dvs. vad de betyder för frĂ„gan om en upptagning Ă€r att anse som förvarad hos den mottagande myndigheten genom att den kan lĂ€sas, avlyssnas eller pĂ„ annat sĂ€tt uppfattas. Med andra ord stĂ„r det inte helt klart vilka krav som formuleringen âlĂ€sas, avlyssnas eller pĂ„ annat sĂ€tt uppfattasâ innefattar för att en teknisk Ă„tkomst ska anses âdirektâ.
Den tekniska utvecklingen har Àven inneburit att myndigheterna har utvecklat tjÀnster som ger enskilda möjligheter att genom ett automatiserat förfarande ta del av myndigheternas informations- samlingar. Som exempel kan nÀmnas s.k. sjÀlvbetjÀningstjÀnster via myndigheternas hemsidor. SÄdana former av tillgÄng till myndig- heters uppgifter har ibland inte betecknats som direktÄtkomst, trots att det i praktiken knappast kan vara frÄgan om nÄgot annat. En
146
SOU 2015:39 |
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
möjlig förklaring kan vara att det dÄ Àr frÄga om offentliga upp- gifter medan begreppet direktÄtkomst har tenderat att förbehÄllas de fall dÀr en automatiserad Ätkomst kan anses sÀrskilt kÀnslig, t.ex. om en Ätkomst tar sikte pÄ sekretessreglerade uppgifter eller av annat skÀl anses kÀnslig frÄn integritetsskyddssynpunkt.
BÄde den rÀttsliga och den tekniska utvecklingen kan sÄledes eventuellt komma att innebÀra att begreppet direktÄtkomst inte kan göras liktydigt med automatiserat uppgiftsutlÀmnande, utan att begreppet bör ges en snÀvare innebörd. Oavsett hur denna frÄga kan komma att besvaras i praxis kan det konstateras att det ÀndÄ kommer att finnas former av uppgiftsutbyte som tveklöst Àr att betrakta som direktÄtkomst. I frÄga om sÄdant uppgiftsutbyte finns det alltsÄ anledning att ocksÄ i fortsÀttningen principiellt och rÀtts- ligt skilja direktÄtkomst frÄn andra former av elektroniskt utlÀm- nande. Det finns ocksÄ i fortsÀttningen behov av att skilja pÄ den ingripande form av utlÀmnande som en direktÄtkomst innebÀr, som principiellt och rÀttsligt innebÀr att grÀnsen mellan de inblandade myndigheterna i viss mÄn försvinner, frÄn andra elektroniska utlÀm- nanden som inte har samma ingripande rÀttsliga konsekvenser och som inte i sig medför att det uppstÄr rÀttsliga frÄgor som mÄste lösas pÄ förhand. Den tekniska utvecklingen utgör alltsÄ i sig inget skÀl för att utmönstra begreppet direktÄtkomst.
5.7.4Effektivitetsvinster och integritetsrisker
I flera lagstiftningsĂ€renden som syftat till att utöka informations- utbytet mellan myndigheter har framhĂ„llits att utbytet kan effek- tiviseras om utbytet sker elektroniskt och i synnerhet om det sker genom direktĂ„tkomst. Ăven Riksrevisionen bedömde i sin gransk- ningsrapport frĂ„n Ă„r 2010 (RiR 2010: 18) om informationsutbytet mellan myndigheter med ansvar för trygghetssystem att direkt- Ă„tkomst medförde en större effektivisering Ă€n det elektroniska informationsutbyte som vid denna tid redan Ă€gde rum i andra for- mer.
Arbetet med att effektivisera myndigheternas verksamhet genom elektroniskt informationsutbyte har fortskridit och pÄgÄr alltjÀmt, bl.a. genom
147
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
SOU 2015:39 |
frÄga om direktÄtkomst eller inte, innebÀr effektiviseringar i för- hÄllande till hur utbytet tidigare Àgde rum.
Mot bakgrund av de utredningar som har gjorts i frÄga om hur myndigheternas informationsutbyte kan effektiviseras och om eko- nomiska nyttoeffekter av sÄdana projekt synes frÄgan om hur den bÀsta effektiviteten kan uppnÄs för nÀrvarande inte handla sÄ mycket om vilken elektronisk utlÀmnandeform som bör vÀljas utan mer om myndigheternas möjlighet att över huvud taget Ästadkomma det informationsutbyte som regeringen eller de sjÀlva vill ska ske. Problem med att Ästadkomma en önskad effektivisering förefaller till viss del handla om legala förutsÀttningar för ett visst infor- mationsutbyte, men det kan ocksÄ handla om brist pÄ resurser i frÄga om medel och kompetens samt att nödvÀndig samverkan inte kan Ästadkommas.
En vanlig utgÄngspunkt Àr att direktÄtkomst antas vara det mest effektiva sÀttet att utbyta information. Huruvida det ocksÄ Àr det mest kostnadseffektiva sÀttet att utbyta information kan emellertid endast bedömas utifrÄn omstÀndigheterna i det enskilda fallet. I frÄga om ett visst informationsutbyte kan alltsÄ andra former av elektroniskt informationsutbyte Àn direktÄtkomst vara det mest effektiva. Vilken form av elektroniskt informationsutbyte som Àr mest effektiv, inbegripet ett kostnadsperspektiv, behöver alltsÄ be- dömas utifrÄn vilket konkret informationsutbyte det handlar om och i vilka former detta sker. Av betydelse Àr vidare vilken förmÄga inblandade myndigheter har att Ästadkomma det som faktiskt önskas av dem, det gÀller inte minst i form av medel och resurser i övrigt. Till detta kommer att, Àven i de fall lagstiftaren vÀljer att i författ- ning reglera ett visst informationsutbyte, det i slutÀndan regel- mÀssigt stÄr den enskilda myndigheten fritt att bestÀmma vilken utlÀmnandeform som ska vÀljas inom ramen för befintliga legala och andra förutsÀttningar.
Enligt vÄr bedömning gÄr det inte att generellt uttala sig om vilken form av elektroniskt informationsutbyte som Àr det mest effektiva. Vi ser alltsÄ ingen anledning att frÄn ren effektivitets- synpunkt förorda nÄgon viss metod.
De sÀrskilda integritetsrisker som anses förknippade med direkt- Ätkomst har samband med vilka tekniska ÄtgÀrder som vidtas för att sÄ lÄngt som möjligt minimera s.k. överskottsinformation, att övervÀga behovet av sekretesskydd i tillrÀcklig utstrÀckning och att
148
SOU 2015:39 |
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
övervÀga vilka sökbegrÀnsningar som bör gÀlla hos den myndighet som tar emot information genom sÄdan Ätkomst. Vi redovisar i avsnitt 11.1 och 11.3 vÄra övervÀganden om hur sÄdana frÄgor bör regleras. I avsnitt 11.2 finns vÄra övervÀganden i frÄgan om andra elektroniska utlÀmnanden behöver en sÀrskild reglering för att ge personuppgifter ett tillfredsstÀllande skydd.
Sammanfattningsvis bedömer vi att det kan finnas effektivitets- vinster och integritetsrisker med alla former av elektroniskt utlÀm- nande. Vilka vinster eller risker som uppstÄr hör emellertid inte sÄ mycket samman med vilken form som vÀljs, utan vilket konkret informationsutbyte det Àr frÄgan om samt vilka förutsÀttningar det finns för aktuella myndigheter att över huvud taget vÀlja utlÀm- nandeform och att Ästadkomma det informationsutbyte som till- godoser krav pÄ bÄde effektivitet, Àven ur ett kostnadsperspektiv, och integritetsskydd. Varken effektivitetsvinster eller integritets- risker utgör sÄledes skÀl för att utmönstra en Ätskillnad mellan olika elektroniska utlÀmnandeformer eller att förorda att ett elek- troniskt informationsutbyte generellt bör ske i en viss form.
5.7.5Principiella och rÀttsliga skÀl samt krav pÄ förberedande analyser och ÄtgÀrder medför behov av en fortsatt Ätskillnad
En utgÄngspunkt för utredningens samtliga övervÀganden i de rÀtts- liga frÄgor som ingÄr i uppdraget Àr bl.a. att sÄ lÄngt som möjligt underlÀtta en mer effektiv förvaltning, dvs. att sÄ lÄngt det Àr möj- ligt och lÀmpligt undanröja onödiga legala hinder.
Behovet av att rÀttsligt upprÀtthÄlla grÀnserna mellan myndigheter
Som har framgÄtt Àr det med hÀnsyn till bestÀmmelserna i 2 kap. TF och offentlighets- och sekretesslagen av stor betydelse att det klargörs att direktÄtkomst har omedelbara konsekvenser för frÄgor som rör myndigheternas grÀnser, vilken myndighet som förfogar över vilka uppgifter och problemet med överskottsinformation. Samma frÄgestÀllningar har ocksÄ stor betydelse frÄn en rent förvalt- ningsrÀttslig utgÄngspunkt. Det Àr bl.a. av vikt att det alltid stÄr klart vad som hör till den verksamhet som en viss myndighet
149
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
SOU 2015:39 |
ansvarar för. Att myndigheternas grÀnser i rÀttslig mening upprÀtt- hÄlls Àr sÄledes ett starkt rÀttssÀkerhetskrav. Det kravet stÀller i sin tur krav pÄ inblandade myndigheter att pÄ ömse hÄll agera i förvÀg och vidta nödvÀndiga ÄtgÀrder innan en direktÄtkomst faktiskt med- ges, bl.a. för att sÀkerstÀlla att en sÄdan Ätkomst Àr förenlig med bestÀmmelser om sekretess.
DirektÄtkomst medför krav pÄ förberedande ÄtgÀrder ur verksamhets- och personuppgiftsansvarsperspektiv
DirektĂ„tkomst innebĂ€r att viss behandling av personuppgifter be- höver ske inför den faktiska etableringen och att inblandade myn- digheter analyserar och löser de sĂ€rskilda sĂ€kerhets- och kontroll- frĂ„gor som direktĂ„tkomst frĂ„n ett dataskyddsperspektiv ger upp- hov till. Ăven myndighetens personuppgiftsansvar innebĂ€r sĂ„ledes att det stĂ€lls krav pĂ„ att inblandade myndigheter gör klart för sig vilka Ă„tgĂ€rder som behöver vidtas pĂ„ ömse hĂ„ll och hur ansvaret fördelar sig mellan dem. Detta utgör ocksĂ„ skĂ€l för att behĂ„lla en Ă„tskillnad mellan direktĂ„tkomst och annat elektroniskt utlĂ€mnande. Hur ett ansvar för skydd av personuppgifter ska fördelas mellan inblandade myndigheter vad gĂ€ller de olika Ă„tgĂ€rder som behöver vidtas inom ramen för en direktĂ„tkomst Ă€r emellertid inte givet. Denna frĂ„ga behandlas dock inte vidare hĂ€r. Vi Ă„terkommer till den i kapitel 10.
Varken den tekniska utvecklingen eller effektivitetsvinster eller integritetsrisker utgör skÀl för att utmönstra begreppet direktÄtkomst
Som framgÄtt anser vi att inte heller att den tekniska utvecklingen som sÄdan innebÀr att det finns skÀl för att utmönstra begreppet direktÄtkomst för att i stÀllet generellt tala om elektroniskt utlÀm- nande.
Inte heller de effektivitetsvinster eller integritetsrisker som kan uppstÄ vid olika former av elektroniska utlÀmnanden utgör skÀl för att utmönstra begreppet direktÄtkomst.
DirektÄtkomst brukar beskrivas som en sÀrskilt kÀnslig form av uppgiftsutbyte, eftersom den anses innebÀra större risker för den enskildes integritet Àn dÄ uppgifter lÀmnas ut efter en bedömning i
150
SOU 2015:39 |
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
enskilda fall. Vi menar dock att en vÀl analyserad och förberedd direktÄtkomst dÀr man övervÀgt och löst frÄgor som rör sekre- tesskydd pÄ ömse hÄll, vidtagit behövliga sÀkerhetsÄtgÀrder, begrÀnsat överskottsinformationen samt övervÀgt frÄgan om eventuella begrÀns- ningar i den mottagande myndighetens möjlighet att anvÀnda sig av de uppgifter som blir Ätkomliga, inte behöver innebÀra större risker för den enskildes integritet Àn ett annat elektroniskt utlÀmnande av personuppgifter.
Vad som dÀremot kan innebÀra risker för den enskildes integri- tet i samband med direktÄtkomst Àr att man inte beaktar de sÀrskilda frÄgor och krav pÄ skydd som den ger upphov till samt att man inte Àgnar uppmÀrksamhet Ät frÄgor som sammanhÀnger med att myn- digheternas grÀnser öppnas upp och att dÀrmed inblandade myn- digheters ansvar för bÄde verksamhet, sÀkerhet och personupp- gifter behöver klargöras. Om man inte behÄller en Ätskillnad mellan begreppen direktÄtkomst och annat elektroniskt utlÀmnande finns det enligt vÄr mening en risk för att dessa frÄgor inte fÄr den upp- mÀrksamhet som behövs för att pÄ ett tillfredsstÀllande sÀtt skydda den enskildes integritet.
Annat elektroniskt utlÀmnande Àn direktÄtkomst medför inte behov av att klargöra myndigheters förhÄllande till varandra
Enligt vÄr uppfattning Àr det alltsÄ den rÀttsliga skiljelinjen mellan direktÄtkomst och annat elektroniskt utlÀmnande som Àr betydelse- full att behÄlla, eftersom den tydliggör vikten av att det ska stÄ klart i vilket förhÄllande de myndigheter som ingÄr i ett visst uppgifts- utbyte stÄr till varandra. Utan den distinktionen riskerar myndig- heternas respektive ansvar i olika hÀnseenden att bli otydligt. NÀr det gÀller olika former av andra elektroniska utlÀmnanden, dvs. vad som i dag betecknas som utlÀmnanden pÄ medium för automati- serad behandling och som innebÀr att uppgifter i nÄgon form sÀnds över eller förmedlas elektroniskt, uppstÄr inte samma behov av att klargöra frÄgor av det slaget. Ett sÄdant utlÀmnande innebÀr ju inte att myndigheternas verksamhet blandas samman rÀttsligt sett, oav- sett pÄ vilket sÀtt uppgifterna distribueras. De skillnader betrÀff- ande sÀkerhetsrisker som olika sÀtt att sÀnda över uppgifter elek- troniskt kan innebÀra utgör enligt vÄr mening inte nÄgot skÀl till att göra nÄgon rÀttslig Ätskillnad mellan dem.
151
Bör en Ätskillnad mellan olika former av elektroniskt utlÀmnande behÄllas? |
SOU 2015:39 |
VÄr bedömning Àr alltsÄ att det frÄn bÄde principiella och rÀtts- liga synpunkter finns starkt vÀgande skÀl för att behÄlla en begrepps- mÀssig skillnad mellan Ä ena sidan direktÄtkomst och Ä andra sidan annat utlÀmnande i elektronisk form. BÄde principiella och rÀttsliga skÀl samt konkreta krav pÄ förberedande analyser och ÄtgÀrder talar med styrka för detta.
Som framgÄtt har vi redan ovan redovisat en viss uppfattning för hur begreppet direktÄtkomst bör avgrÀnsas i förhÄllande till annat elektroniskt utlÀmnande. Vi Äterkommer i avsnitt 11.1 och 11.2 till hur begreppet direktÄtkomst bör definieras och hur en generell reg- lering pÄ myndighetsomrÄdet rörande elektroniskt utlÀmnande bör se ut.
152
6Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras för att undvika konflikt med internationella Ätaganden?
6.1Bakgrund
6.1.1Uppdraget
Internationella avtal och sektorsspecifika rÀttsakter innehÄller ibland artiklar om att en myndighet bara fÄr anvÀnda uppgifter som erhÄlls enligt avtalet respektive rÀttsakten för vissa angivna ÀndamÄl eller i viss verksamhet. SÄdana bestÀmmelser kan avse Àven andra upp- gifter Àn personuppgifter. I Sverige anses en sÄdan bestÀmmelse inte utgöra ett hinder mot utlÀmnande av uppgifter med stöd av offentlighetsprincipen. DÀremot kan en sÄdan anvÀndningsbegrÀns- ning anses stÄ i konflikt med en myndighets skyldighet att överlÀmna uppgifter till andra myndigheter enligt 6 kap. 5 § OSL. I vÄra direktiv framhÄller regeringen att nÄgon generellt tillÀmplig eller konsekvent genomförd lösning pÄ sistnÀmnda typ av regel- konflikt saknas i lagstiftningen. I 9 kap. 2 § OSL ges visserligen en upplysning om att anvÀndningsbegrÀnsningar införts i vissa andra författningar. UpprÀkningen Àr emellertid inte heltÀckande och det finns inte nÄgon formell koppling mellan den bestÀmmelsen och 6 kap. 5 § OSL (jfr prop. 1990/91:131 s. 25). De författningar som avses i 9 kap. 2 § OSL utgör visserligen inte registerförfattningar. Enligt regeringen har den beskrivna frÄgestÀllningen dock en sÄdan betydelse för uppgiftsutbytet mellan myndigheter att den ÀndÄ bör utredas i detta sammanhang.
Vi har dÀrför fÄtt i uppgift att övervÀga om 6 kap. 5 § OSL bör justeras sÄ att den stÄr i bÀttre överensstÀmmelse med förekomsten
153
Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras⊠|
SOU 2015:39 |
av nu nÀmnda anvÀndningsbegrÀnsningar. Om vi finner att en sÄ- dan justering bör ske, ska författningsförslag lÀmnas.
6.1.2Nuvarande bestÀmmelser
Informationsskyldigheten enligt 6 kap. 5 § OSL
Enligt 6 kap. 5 § OSL ska en myndighet pÄ begÀran av en annan myndighet lÀmna uppgift som den förfogar över, om inte uppgiften Àr sekretessbelagd eller det skulle hindra arbetets behöriga gÄng.
BestÀmmelsen har redan behandlats i avsnitt 5.2, bl.a. vad avser förhÄllandet mellan informationsskyldigheten enligt paragrafen och föreskrifter om uppgiftsutlÀmnande enligt bl.a. 10 kap.
Informationsskyldigheten enligt 6 kap. 5 § OSL gÀller för en uppgift som inte Àr sekretessbelagd, dvs. en uppgift för vilken sekretess inte gÀller i den aktuella situationen. En myndighet kan alltsÄ vara skyldig att lÀmna en uppgift till en annan myndighet som begÀr att fÄ den om uppgiften inte alls Àr sekretessreglerad, dvs. om det inte finns nÄgon bestÀmmelse om sekretess som Àr tillÀmplig pÄ uppgiften. En skyldighet att lÀmna ut uppgiften finns ocksÄ om den i och för sig Àr sekretessreglerad, men det inte innebÀr nÄgon skada eller nÄgot men att lÀmna uppgiften till myndigheten i frÄga. Det kan ocksÄ finnas en skyldighet att lÀmna ut uppgiften till den andra myndigheten Àven om sekretess gÀller för uppgiften under förut- sÀttning att det finns en sekretessbrytande regel som Àr tillÀmplig i förhÄllande till den myndigheten.
Om man vill förhindra ett uppgiftsutbyte mellan myndigheter, Àr det alltsÄ inte tillrÀckligt att införa en ny sekretessbestÀmmelse. Det mÄste ocksÄ införas bestÀmmelser som föreskriver att de sekre- tessbrytande reglerna i 10 kap. OSL inte ska gÀlla.
BegrÀnsningar i lag om en myndighets möjlighet att anvÀnda uppgifter frÄn en myndighet i en annan stat
I 9 kap. 2 § OSL rÀknas ett antal lagar upp som innehÄller bestÀm- melser som begrÀnsar möjligheterna att anvÀnda vissa uppgifter som en svensk myndighet har fÄtt frÄn en myndighet i annan stat. Det rör sig bl.a. om lagen (1990:314) om ömsesidig handrÀckning i
154
SOU 2015:39 |
Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras⊠|
skatteÀrenden, lagen (2000:343) om internationellt polisiÀrt sam- arbete och lagen (2000:344) om Schengens informationssystem.
BestÀmmelsen utgjorde tidigare tredje stycket i dÄvarande 1 kap. 4 § SekrL (numera 7 kap. 1 § OSL). I första stycket samma paragraf föreskrevs att om förbud gÀller enligt denna lag mot att röja upp- gift, fÄr uppgiften inte heller i övrigt utnyttjas utanför den verk- samhet i vilken sekretess gÀller för uppgiften. I andra och tredje styckena fanns hÀnvisningar till olika lagar med bestÀmmelser om förbud mot eller begrÀnsningar i möjligheten att utnyttja vissa uppgifter. Det tredje stycket infördes i samband med att lagen (1991:1342) med vissa bestÀmmelser om internationellt samarbete pÄ brottmÄlsomrÄdet infördes. I den lagen fanns bestÀmmelser som begrÀnsade möjligheterna att utnyttja vissa uppgifter som en svensk myndighet har fÄtt frÄn en annan stat. I specialmotiveringen till bestÀmmelsen i det dÄ nya tredje stycket i 1 kap. 4 § SekrL anfördes (prop. 1990/91:131 s. 26) att en av principerna bakom regleringen i sekretesslagen Àr att alla tystnadsplikter inom det allmÀnnas verk- samhet ska framgÄ av lagen antingen direkt eller genom en hÀn- visning till en annan lag. Myndigheterna skulle komma att omfattas av begrÀnsningar i möjligheterna att utnyttja information enligt be- stÀmmelserna i den nu föreslagna lagen om internationellt sam- arbete pÄ brottmÄlsomrÄdet. Det var dÀrför naturligt att det av 1 kap. 4 § SekrL, dÀr det redan fanns en hÀnvisning till insiderlagen och dess regler om förbud att utnyttja information, skulle framgÄ att ett förbud för myndigheter att utnyttja uppgifter ocksÄ fanns i lagen med vissa bestÀmmelser om internationellt samarbete pÄ brott- mÄlsomrÄdet.
Det kan konstateras att det ovan Ätergivna uttalandet Àr nÄgot missvisande i sÄ mÄtto att bestÀmmelsen inte i sig innebÀr nÄgon tystnadsplikt i den meningen att den föreskriver sekretess för vissa uppgifter, Àven om bestÀmmelsen i och för sig finns i offentlighets- och sekretesslagen. DÀremot erinrar bestÀmmelsen om att det i andra lagar finns bestÀmmelser som begrÀnsar svenska myndigheters möj- lighet att anvÀnda vissa uppgifter. Dessa begrÀnsningar gÀller alltsÄ oavsett om de omnÀmns i 9 kap. 2 § OSL. Det Àr sÄledes inte frÄga om nÄgon sÄdan hÀnvisning i offentlighets- och sekretesslagen till en annan lag som enligt 2 kap. 2 § TF kan utgöra hinder mot att lÀmna ut uppgiften enligt rÀtten att ta del av allmÀnna handlingar. SÄdana begrÀnsningar i möjligheten att anvÀnda vissa uppgifter som avses i
155
Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras⊠|
SOU 2015:39 |
de lagar som rÀknas upp i 9 kap. 2 § OSL innebÀr alltsÄ inte nÄgon begrÀnsning i den enskildes rÀtt att enligt 2 kap. TF att ta del av allmÀnna handlingar (Lenberg m.fl., kommentaren till 9 kap. 2 §).
Eftersom 9 kap. 2 § inte innebÀr att nÄgon sekretess gÀller utan enbart upplyser om att anvÀndningsbegrÀnsningar finns i andra lagar, utgör sÄdana begrÀnsningar inte heller nÄgot sekretesshinder som kan begrÀnsa en myndighets informationsskyldighet gentemot en annan myndighet enligt 6 kap. 5 § OSL. Om det inte finns nÄgon sekretessbestÀmmelse som Àr tillÀmplig pÄ en uppgift som begÀrs ut av en annan myndighet eller om det finns en sekretessbrytande regel som kan tillÀmpas i förhÄllande till den myndigheten, ska uppgift- erna alltsÄ lÀmnas ut enligt 6 kap. 5 § OSL, sÄvida inte utlÀmnandet hindrar arbetets behöriga gÄng.
BegrÀnsningar i att utnyttja vissa uppgifter enligt de lagar som rÀknas upp i 9 kap. 2 § OSL Àr emellertid i allmÀnhet utformade sÄ att de inte enbart tar sikte pÄ den svenska myndighet som tar emot uppgifter frÄn en myndighet i en annan stat. I regel har bestÀm- melsen i den aktuella lagen utformats sÄ att begrÀnsningarna gÀller för alla svenska myndigheter. Det fÄr till följd att inte heller en annan svensk myndighet Àn den som fÄtt uppgifterna frÄn den ut- lÀndska myndigheten kan utnyttja uppgifterna i sin verksamhet, Àven om myndigheten i och för skulle ha rÀtt att fÄ ut dem efter en begÀran enligt 6 kap. 5 § OSL. Det torde dÀrför i praktiken bli aktuellt för en svensk myndighet att begÀra ut uppgifter som om- fattas av anvÀndningsbegrÀnsningar frÄn en annan myndighet bara nÀr myndigheten behöver ta del av uppgifterna för ett ÀndamÄl som inte omfattas av begrÀnsningarna (jfr prop. 2012/13:4 s. 90 f.). I praktiken uppstÄr dÀrför inte nÄgon konflikt mellan lagbestÀmmelser om anvÀndningsbegrÀnsningar och informationsskyldigheten enligt 6 kap. 5 § OSL.
Sammanfattningsvis kan det alltsÄ konstateras att 9 kap. 2 § OSL inte i sig innebÀr nÄgot hinder mot att lÀmna ut uppgifter till en annan myndighet. I bestÀmmelsen erinras emellertid om att det i andra lagar finns bestÀmmelser som begrÀnsar möjligheterna för svenska myndigheter att anvÀnda sig av uppgifter som ursprungligen kom- mer frÄn en myndighet i en annan stat.
I sammanhanget kan pÄpekas att 9 kap. 2 § OSL enbart upplyser om anvÀndningsbegrÀnsningar som finns i andra lagar. Det finns i och för sig inget som hindrar att regeringen meddelar föreskrifter
156
SOU 2015:39 |
Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras⊠|
om begrÀnsningar i möjligheterna att anvÀnda vissa uppgifter som en svensk myndighet har fÄtt frÄn en utlÀndsk myndighet och som i sÄ fall, pÄ samma sÀtt som en bestÀmmelse i lag, blir bindande för alla myndigheter. I vilken utstrÀckning regeringen har meddelat sÄ- dana föreskrifter Àr inte kÀnt för utredningen.
Den nya bestÀmmelsen om sekretess i det internationella samarbetet
Den 1 januari 2014 trÀdde en ny sekretessbestÀmmelse i kraft i syfte att utgöra en generellt tillÀmplig bestÀmmelse till skydd för uppgifter som utbyts inom ramen för Sveriges internationella rela- tioner. BestÀmmelsen har förts in i 15 kap. 1 a § OSL och innebÀr att sekretess gÀller för en uppgift som en myndighet har fÄtt frÄn ett utlÀndskt organ pÄ grund av en bindande
Om sekretess gÀller enligt bestÀmmelsen, fÄr de sekretessbryt- ande bestÀmmelserna i 10 kap.
BestÀmmelsens tillÀmpningsomrÄde Àr alltsÄ begrÀnsat till upp- gifter som en myndighet antingen har fÄtt frÄn ett utlÀndskt organ eller har inhÀmtat i syfte att överlÀmna till ett sÄdant organ pÄ grund av en bindande
157
Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras⊠|
SOU 2015:39 |
remissinstanser hade ifrÄgasatt om en sÄdan bestÀmmelse hade varit förenlig med lagkravet i 2 kap. 2 § TF.
I offentlighets- och sekretesslagen finns flera bestÀmmelser som föreskriver sekretess i samband med vissa internationella sam- arbeten dÀr nÄgot traditionellt skaderekvisit inte finns (se t.ex. 17 kap. 7 § andra stycket, 17 kap. 7 a § och 18 kap. 17 §). Enligt den nya bestÀmmelsen i 15 kap. 1 a § gÀller emellertid ett rakt skade- rekvisit. Den svenska myndigheten ska alltsÄ göra en sjÀlvstÀndig bedömning av om ett utlÀmnande i det enskilda fallet kan antas försÀmra Sveriges möjligheter att delta i det aktuella samarbetet. I förarbetena pÄpekas att det inte finns nÄgot som hindrar den svenska myndigheten att vid sekretessprövningen kontakta den utlÀmnande utlÀndska myndigheten för att utreda om sekretess bör gÀlla i det enskilda fallet. Om sekretess gÀller för uppgifterna hos den ut- lÀndska myndigheten Àr utgÄngspunkten typiskt sett att skaderekvi- sititet Àr uppfyllt (a. prop. s. 34 f.). Enligt regeringen kommer en tillÀmpning av sekretessbestÀmmelsen normalt inte att aktualiseras i sÄdana situationer dÄ avtalet eller
I förarbetena till den nya sekretessbestÀmmelsen för informa- tionsutbyte vid internationellt samarbete i 15 kap. 1 a § OSL finns en utförlig beskrivning av överenskommelser om sÄdant utbyte som kan finnas i avtal och
158
SOU 2015:39 |
Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras⊠|
6.2VÄra övervÀganden
Bedömning: Det finns inte nÄgot tillrÀckligt stort behov av att Àndra 6 kap. 5 § OSL sÄ att paragrafen stÄr i bÀttre överens- stÀmmelse med anvÀndningsbegrÀnsningar som kan förekomma i samband med internationella Ätaganden.
6.2.1Behovet av en ny bestÀmmelse
I vÄra direktiv konstateras att 9 kap. 2 § OSL visserligen ger en upplysning om att anvÀndningsbegrÀnsningar införts i vissa andra författningar. Det pÄpekas att upprÀkningen emellertid inte Àr hel- tÀckande och att det inte finns nÄgon formell koppling mellan den bestÀmmelsen och 6 kap. 5 § OSL (jfr prop. 1990/91:131 s. 25). Den beskrivna frÄgestÀllningen har enligt regeringen en sÄdan betyd- else för uppgiftsutbytet mellan myndigheter att det bör övervÀgas om 6 kap. 5 § OSL bör justeras sÄ att den stÄr i bÀttre överens- stÀmmelse med förekomsten av nu nÀmnda anvÀndningsbegrÀns- ningar.
VÄr uppgift i denna del Àr inte att övervÀga behovet av en ny sekretessbestÀmmelse som kan hindra utlÀmnanden bÄde till enskilda, med stöd av 2 kap. TF eller pÄ annan grund, och till myndigheter. Uppdraget avser enbart att övervÀga en eventuell begrÀnsning som kan utgöra hinder för en myndighet att lÀmna uppgifter till en annan myndighet.
Betydelsen av upprÀkningen i 9 kap. 2 § OSL
BestÀmmelsen i 9 kap. 2 § OSL erinrar om att det i andra lagar finns bestÀmmelser som begrÀnsar en svensk myndighets anvÀndning av vissa uppgifter. UpprÀkningen i paragrafen av lagar dÀr sÄdana anvÀndningsbegrÀnsningar finns utgör alltsÄ en upplysning och syftar inte till att i sig reglera nÄgot. SÄdana begrÀnsningar gÀller alltsÄ för svenska myndigheter till följd av regleringen i den sÀrskilda lagen och inte pÄ grund av att sÄdana lagar rÀknas upp i 9 kap. 2 § OSL. Att upprÀkningen i 9 kap. 2 § OSL inte Àr uttömmande har sÄledes inte nÄgon betydelse för om en myndighet Àr skyldig att följa en sÄdan anvÀndningsbegrÀnsning eller inte. DÀremot kan det vara svÄrt
159
Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras⊠|
SOU 2015:39 |
för myndigheter att hÄlla reda pÄ de anvÀndningsbegrÀnsningar som gÀller enligt sÀrskilda lagar, om de inte finns samlade pÄ nÄgot sÀtt.
Det kan emellertid konstateras att om en anvÀndningsbegrÀns- ning har reglerats i en lag pÄ ett sÄdant sÀtt att den gÀller för alla svenska myndigheter, förefaller det knappast finnas nÄgot praktiskt behov av att justera 6 kap. 5 § OSL sÄ att den paragrafen ocksÄ hindrar ett utlÀmnande av uppgifter till en annan myndighet pÄ grund av en sÄdan anvÀndningsbegrÀnsning. Som pÄpekats i flera lagstift- ningsÀrenden torde det inte bli aktuellt för en myndighet att begÀra ut uppgifter frÄn en annan myndighet med stöd av 6 kap. 5 § OSL om man ÀndÄ inte fÄr anvÀnda sig av uppgifterna. I dessa fall har det ansetts tillrÀckligt i praktiken att anvÀndningsbegrÀnsningen gÀller enligt den sÀrskilda lagen. NÄgot faktiskt behov av att justera 6 kap. 5 § OSL sÄ att paragrafen kan sÀgas bÀttre stÄ i överensstÀmmelse med förekomsten av sÄdana sÀrskilt reglerade anvÀndningsbegrÀns- ningar förefaller alltsÄ inte finnas. DÀremot saknas alltsÄ, som pÄ- pekas i vÄra direktiv, en formell koppling mellan 6 kap. 5 § OSL och sÄdana svenska författningsbestÀmmelser som begrÀnsar en myndig- hets möjlighet att anvÀnda vissa uppgifter som inhÀmtats genom ett internationellt informationsutbyte.
Som redan pÄpekats har det ingen betydelse för frÄgan om en anvÀndningsbegrÀnsning gÀller för en myndighet eller inte om den sÀrskilda lag dÀr begrÀnsningen föreskrivs rÀknas upp i 9 kap. 2 § OSL. DÀremot skulle en komplett sÄdan upprÀkning naturligtvis innebÀra en bÀttre möjlighet för myndigheter att sjÀlva hÄlla reda pÄ i vilka situationer anvÀndningsbegrÀnsningar gÀller.
AnvÀndningsbegrÀnsningar i
I vÄra direktiv nÀmns att sektorspecifika
Om det Àr frÄgan om en
160
SOU 2015:39 |
Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras⊠|
begrÀnsningar i sÀrskilda lagar, nÄgot praktiskt behov av att göra en justering av 6 kap. 5 § OSL. Inte heller i dessa fall torde det ju bli aktuellt för en myndighet att begÀra ut uppgifter som omfattas av en sÄdan anvÀndningsbegrÀnsning, eftersom myndigheten ÀndÄ inte fÄr anvÀnda sig av uppgifterna.
Om anvÀndningsbegrÀnsningar finns i ett
Det förtjÀnar att pÄpekas att nÄgra av de sÀrskilda lagar som rÀk- nas upp i 9 kap. 2 § OSL Àr lagar som har införts för att genomföra ett
AnvÀndningsbegrÀnsningar som inte Àr författningsreglerade
Det förekommer att EU beslutar andra bindande rÀttsakter Àn lag- stiftningsakter i form av delegerade akter och genomförandeakter (se t.ex. prop. 2012/13:192 s. 43). EU ingÄr ocksÄ avtal med tredje land för medlemsstaternas rÀkning genom sin pÄ vissa omrÄden exklusiva kompetens, exempelvis pÄ det handelspolitiska omrÄdet. I andra fall ingÄr respektive land för egen del bilaterala avtal med en utlÀndsk aktör. Ibland Àr det dÄ frÄga om s.k. blandade avtal, dÀr EU ocksÄ för egen del har trÀffat avtal. SÄ Àr fallet exempelvis nÀr det gÀller avtal som trÀffas inom ramen för WTO, dÀr bÄde med- lemsstaterna och EU Àr medlemmar. Ett annat exempel Àr fri- handelsavtal som trÀffas med en del tredjelÀnder (se vidare a. prop. s. 10). Svenska myndigheter kan ocksÄ trÀffa internationella avtal som behandlar frÄgor om informationsutbyte.
En bindande
161
Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras⊠|
SOU 2015:39 |
trÀffar kan innehÄlla bestÀmmelser som reglerar frÄgor om informa- tionsutbyte. Om bestÀmmelser som reglerar informationsutbyte i ett avtal inte har kommit till uttryck i nÄgon svensk föreskrift utan endast i avtalet, kan de bestÀmmelserna inte binda nÄgon annan Àn den som har ingÄtt avtalet. Det innebÀr att om EU har ingÄtt avtalet Àr det bindande för Sverige antingen direkt eller efter att det ratificerats av Sverige, eventuellt efter godkÀnnande av riksdagen. Det Àr dÄ bindande för Sverige som stat i folkrÀttslig bemÀrkelse, men gÀller inte direkt för svenska myndigheter. Detsamma gÀller för sÄdana internationella avtal som Sverige för egen del ingÄr. Om ett avtal har ingÄtts av en svensk myndighet Àr avtalet enbart bind- ande för den myndigheten. Ett avtal som har ingÄtts av EU, av Sverige som stat eller av en svensk myndighet Àr alltsÄ inte bind- ande för samtliga svenska myndigheter. Om det innehÄller bestÀm- melser som innebÀr begrÀnsningar i att anvÀnda uppgifter, Àr andra svenska myndigheter Àn den som mottagit uppgiftena frÄn den utlÀndska aktören sÄledes inte skyldiga att följa bestÀmmelserna.
Eftersom alla myndigheter inte Àr skyldiga att iaktta anvÀnd- ningsbegrÀnsningar som enbart kommit till uttryck i en bindande
162
SOU 2015:39 |
Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras⊠|
6.2.2Hur kan 6 kap. 5 § OSL justeras?
BestÀmmelser om anvÀndningsbegrÀnsningar i föreskrifter som svenska myndigheter Àr skyldiga att följa
I vÄra direktiv pÄtalas att det Àr ett problem att det inte finns nÄgon formell koppling mellan 6 kap. 5 § och 9 kap. 2 § OSL. Tanken bakom detta synes vara att om en sÄdan formell koppling kan Ästadkommas skulle anvÀndningsbegrÀnsningar som finns i de lagar som rÀknas upp i paragrafen begrÀnsa, liksom sekretess, den infor- mationsskyldighet i förhÄllande till en annan myndighet som annars gÀller enligt 6 kap. 5 § OSL.
Om syftet Àr att alla anvÀndningsbegrÀnsningar som kommit till uttryck i en svensk lag ocksÄ ska innebÀra att det finns ett hinder mot att lÀmna ut uppgifterna enligt 6 kap. 5 § OSL kan man emellertid sÀtta i frÄga om det Àr tillrÀckligt att Ästadkomma en formell kopp- ling mellan 6 kap. 5 § och 9 kap. 2 §. Som framgÄr av redovisningen ovan reglerar inte 9 kap. 2 § i sig frÄgan om en uppgift kan anvÀndas eller inte i en viss verksamhet. Den bestÀmmelsen innehÄller enbart upplysningar om att det finns andra lagar som innehÄller bestÀm- melser om sÄdana anvÀndningsbegrÀnsningar. I vÄra direktiv kon- stateras att upprÀkningen inte Àr uttömmande. Vi har för egen del inte undersökt i vilken omfattning det förekommer lagar med be- stÀmmelser om sÄdana anvÀndningsbegrÀnsningar som inte finns med i upprÀkningen i 9 kap. 2 § OSL.
Ett annat problem med 9 kap. 2 § OSL, dvs. förutom att para- grafen inte pÄ ett fullstÀndigt sÀtt rÀknar upp de lagar dÀr bestÀm- melser om anvÀndningsbegrÀnsningar finns, Àr att den inte heller upplyser om att anvÀndningsbegrÀnsningar finns i vissa
Som framgÄr av redovisningen ovan kan det inte anses innebÀra nÄgot praktiskt problem att det saknas en formell koppling mellan 6 kap. 5 § och 9 kap. 2 § OSL, eftersom det saknas skÀl för en myn- dighet att begÀra ut uppgifter frÄn en annan myndighet som den ÀndÄ inte fÄr anvÀnda. I dessa fall uppstÄr det alltsÄ normalt inte nÄgon sÄdan situation dÀr en myndighet mÄste uppfylla sin infor- mationsskyldighet enligt 6 kap. 5 § OSL. Om man ÀndÄ anser att
163
Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras⊠|
SOU 2015:39 |
det finns ett behov av att formellt sÀkerstÀlla att en myndighet inte ska behöva lÀmna ut uppgifter i de fall dÄ anvÀndningsbegrÀns- ningar finns enligt upprÀkningen i 9 kap. 2 § OSL och inför en sÄdan bestÀmmelse i 6 kap. 5 §, innebÀr det att en konflikt mellan dessa bestÀmmelser inte lÀngre finns. DÀremot skulle en regelkon- flikt kvarstÄ mellan 6 kap. 5 § OSL och övriga föreskrifter som innebÀr att svenska myndigheter Àr skyldiga att följa anvÀndnings- begrÀnsningar, dvs. dÄ sÄdana föreskrifter finns i
Att Ästadkomma en formell koppling mellan 6 kap. 5 § och 9 kap. 2 § OSL leder alltsÄ endast till en viss förbÀttrad systematik i formellt hÀnseende. Det löser emellertid inte hela den konflikt som kan uppfattas finnas mellan svenska regler som Ä ena sidan sÀger att en myndighet har rÀtt att fÄ ut uppgifter frÄn en annan myndighet, medan andra regler föreskriver att myndigheten inte fÄr anvÀnda uppgifterna. För att denna konflikt helt ska lösas bör i stÀllet 6 kap. 5 § OSL formellt kopplas direkt till bestÀmmelser om anvÀndnings- begrÀnsningar snarare Àn till 9 kap. 2 § OSL. Om man ÀndÄ skulle övervÀga en koppling till den senare bestÀmmelsen mÄste para- grafen kompletteras sÄ att den pÄ ett uttömmande sÀtt upplyser om samtliga anvÀndningsbegrÀnsningar som svenska myndigheter Àr skyl- diga att följa.
BestÀmmelser om anvÀndningsbegrÀnsningar som inte Àr bindande för alla myndigheter
Som har framgÄtt finns det
164
SOU 2015:39 |
Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras⊠|
sÄ fall inte för alla svenska myndigheter, utan endast för den svenska myndighet som tar emot uppgifter frÄn den utlÀndska aktören.
NÀr det gÀller denna typ av anvÀndningsbegrÀnsningar finns det alltsÄ inte nÄgon konflikt mellan svenska författningsbestÀmmelser som Ä ena sidan sÀger att uppgifter ska lÀmnas ut till en annan myndighet och Ä andra sidan att den myndigheten inte fÄr anvÀnda uppgifterna. I detta fall finns ju inte nÄgra svenska bestÀmmelser som innebÀr begrÀnsningar i möjligheterna för alla myndigheter att anvÀnda sig av uppgifter som hÀrrör frÄn det internationella infor- mationsutbytet. DÀremot kan det uppfattas finnas en konflikt mellan informationsskyldigheten enligt 6 kap. 5 § OSL och de Ätaganden som Sverige som stat eller som medlemsstat i EU eller som en svensk myndighet har gjort i ett internationellt samarbete, om den svenska parten i ett sÄdant samarbete har Ätagit sig att se till att uppgifter som en svensk myndighet kan fÄ genom samarbetet endast ska anvÀndas för vissa ÀndamÄl.
Ett sÀtt att lagstiftningsvÀgen lösa den konflikt som nu Àr i frÄga skulle kunna vara att föra in en bestÀmmelse i 6 kap. 5 § OSL som innebÀr att en myndighet Àr förhindrad att lÀmna ut en uppgift till en annan myndighet, om myndigheten har fÄtt uppgiften genom ett internationellt samarbete pÄ villkor att uppgifterna endast fÄr an- vÀndas för vissa ÀndamÄl. Det som skiljer detta fall frÄn situationen ovan Àr att den myndighet som begÀr att fÄ uppgifter med stöd av 6 kap. 5 § OSL inte Àr förbjuden att anvÀnda sig av uppgifterna enligt nÄgon författningsbestÀmmelse. En ny föreskrift i 6 kap. 5 § OSL som hindrar ett utlÀmnande i dessa situationer skulle alltsÄ inte enbart ta sikte pÄ den formella frÄgan utan skulle innebÀra en reell inskrÀnkning i myndigheters informationsskyldighet enligt 6 kap. 5 § OSL.
Om det införs en föreskrift i 6 kap. 5 § OSL som generellt hÀnvisar till anvÀndningsbegrÀnsningar som har kommit till uttryck i ett internationellt samarbete som Sverige som stat eller en svensk myndighet deltar i, dvs. oavsett om begrÀnsningarna ocksÄ kommit till uttryck i en föreskrift som alla myndigheter Àr skyldiga att följa, innebÀr det exempelvis att en svensk myndighet skulle kunna avtala om villkor som fÄr till effekt att informationsskyldigheten i 6 kap. 5 § OSL inskrÀnks. En sÄdan ordning kan anses problematisk frÄn principiella utgÄngspunkter. I sammanhanget kan nÀmnas att den nya generella sekretessbestÀmmelsen i 15 kap. 1 a § OSL om sekre-
165
Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras⊠|
SOU 2015:39 |
tess i det internationella samarbetet har avgrÀnsats sÄ att om en myndighet har fÄtt en uppgift pÄ grund av ett internationellt avtal, Àr bestÀmmelsen endast tillÀmplig om avtalet har ingÄtts av EU eller godkÀnts av riksdagen. I förarbetena anfördes att detta innebar en vÀsentlig inskrÀnkning av bestÀmmelsens tillÀmpningsomrÄde och skulle i praktiken göra att sekretess för uppgifter som utbyts enligt ett visst avtal endast skulle primÀrt komma att gÀlla hos ett begrÀnsat och överblickbart antal myndigheter (prop. 2012/13:192 s. 32). Det finns emellertid Àven bestÀmmelser om sekretess till följd av internationella avtal som inte uppstÀller nÄgot krav pÄ att avtalet ska ha godkÀnts av riksdagen. Enligt exempelvis 30 kap. 7 § första stycket andra meningen OSL gÀller sekretess hos Finans- inspektionen för uppgifter som inspektionen har fÄtt frÄn en ut- lÀndsk myndighet eller ett utlÀndskt organ enligt ett avtal. Som förutsÀttning gÀller emellertid att regeringen har meddelat före- skrifter om detta (se 8 § offentlighets- och sekretessförordningen).
6.2.3VÄr bedömning
I de fall det finns bestÀmmelser om anvÀndningsbegrÀnsningar en- ligt en
Det förefaller dÀremot inte ÀndamÄlsenligt att Ästadkomma en formell koppling mellan 6 kap. 5 § och 9 kap. 2 § OSL, eftersom det inte skulle innebÀra att samtliga fall dÄ det finns bestÀmmelser som begrÀnsar myndigheters möjlighet att anvÀnda vissa uppgifter fÄngas upp.
166
SOU 2015:39 |
Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras⊠|
Den nya bestÀmmelsen om sekretess i samband med internatio- nellt samarbete i 15 kap. 1 a § OSL har avgrÀnsats sÄ att den enbart ska tillÀmpas pÄ uppgifter som utbyts pÄ grund av en bindande EU- rÀttsakt eller ett avtal som har ingÄtts av EU eller av riksdagen godkÀnt avtal med en annan stat eller en mellanfolklig organisation. Som har framgÄtt anfördes som skÀl för denna avgrÀnsning bl.a. att en ordning dÀr uppgifter som finns hos en myndighet pÄ grund av andra internationella avtal Àn sÄdana som har godkÀnts av riksdagen ocksÄ skulle omfattas av den nya sekretessbestÀmmelsen skulle vara problematisk ur ett principiellt perspektiv för en bestÀmmelse med generell rÀckvidd. NÄgra remissinstanser hade ocksÄ satt i frÄga om en sÄdan bestÀmmelse hade varit förenlig med lagkravet enligt 2 kap. 2 § TF.
Den bestÀmmelse som nu Àr i frÄga i 6 kap. 5 § OSL innebÀr visserligen inte nÄgra begrÀnsningar av den grundlagsstadgade rÀtten för var och en att ta del av allmÀnna handlingar utan reglerar enbart utbytet av uppgifter mellan myndigheter. Det kan emellertid kon- stateras att det svenska förvaltningsrÀttsliga systemet bygger pÄ att myndigheter sÄ lÄngt möjligt ska samverka, Àven nÀr det gÀller utbyte av information (jfr 6 § FL). Regleringen bygger pÄ principen att det Àr en frÄga för lagstiftaren att avgöra nÀr en sÄdan skyldighet ska finnas. Det bör sÄledes inte vara upp till den enskilda myn- digheten att bedöma nÀr information som myndigheten har tillgÄng till ska utbytas med en annan myndighet. Om 6 kap. 5 § OSL skulle justeras pÄ ett sÄdant sÀtt att det generellt skulle finnas ett hinder mot att lÀmna ut uppgifter till andra myndigheter dÄ det inom ramen för ett internationellt informationsutbyte har uppstÀllts villkor om anvÀndningsbegrÀnsningar, dvs. Àven om dessa begrÀns- ningar inte har kommit till uttryck i en föreskrift utan enbart i ett avtal som en enskild myndighet har slutit, skulle emellertid en enskild myndighet ha befogenhet att sjÀlv styra över vad den ska dela med sig av till andra myndigheter av den information som den fÄtt genom ett internationellt avtal. Enligt vÄr uppfattning skulle en sÄdan ordning fÄ alltför lÄngtgÄende och principiellt betÀnkliga effekter. En bestÀmmelse med en sÄdan innebörd bör alltsÄ inte in- föras. I sammanhanget kan det konstateras att det i och för sig saknas hinder för regeringen att genom en föreskrift bestÀmma att anvÀndningsbegrÀnsningar som enbart kommit till uttryck i ett
167
Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras⊠|
SOU 2015:39 |
internationellt avtal mellan exempelvis en svensk myndighet och en utlÀndsk myndighet ocksÄ ska gÀlla för andra myndigheter.
NÀr det gÀller andra bindande
Sammanfattningsvis kan alltsÄ konstateras att i frÄga om bestÀm- melser om anvÀndningsbegrÀnsningar i en
Vi lÀmnar dÀrför inte nÄgot förslag till en Àndring av 6 kap. 5 § OSL.
I den hÀndelse det ÀndÄ bedöms finnas ett behov av en sÄdan Àndring förordar vi att den enbart tar sikte pÄ att ÄtgÀrda det formella behov av en Àndring som kan uppfattas finnas i frÄga om bestÀmmelser om anvÀndningsbegrÀnsningar i en
En myndighet ska pÄ begÀran av en annan myndighet lÀmna uppgift som den förfogar över, om inte uppgiften Àr sekretessbelagd eller inte fÄr anvÀndas av den andra myndigheten enligt lag eller förordning. En uppgift behöver inte heller lÀmnas om det skulle hindra arbetets be- höriga gÄng.
Med uttrycket att en myndighet inte fÄr anvÀnda uppgiften enligt lag avses ocksÄ en bestÀmmelse i en
Vi vill avslutningsvis framhÄlla att det under alla förhÄllanden inte kan anses vara en tillfredsstÀllande ordning att upprÀkningen av lagar med bestÀmmelser om anvÀndningsbegrÀnsningar i 9 kap. 2 § OSL inte Àr fullstÀndig. Om bestÀmmelsen ska kunna fylla sin funk- tion att upplysa om sÄdana anvÀndningsbegrÀnsningar bör upprÀk-
168
SOU 2015:39 |
Behöver 6 kap. 5 § offentlighets- och sekretesslagen justeras⊠|
ningen givetvis vara komplett. Vi har emellertid inte sett det som en uppgift för oss att komplettera upprÀkningen i bestÀmmelsen.
169
EN NY LAG OM MYNDIGHETERS BEHANDLING AV PERSONUPPGIFTER
7En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden
7.1AllmÀnna utgÄngspunkter
7.1.1Uppdraget
Det övergripande uppdraget enligt vÄra direktiv (dir. 2011:86) Àr alltsÄ att se över den s.k. registerlagstiftningen i syfte att skapa rÀttsliga förutsÀttningar för en mer effektiv
I direktiven pekas vidare pÄ det problematiska i om de grund- lÀggande reglerna i tryckfrihetsförordningen och offentlighets- och sekretesslagen samt den principiella uppbyggnaden av register- författningarna inte Àr anpassade till varandra. Det blir dÄ svÄrt att i ett enskilt lagstiftningsÀrende om elektronisk informationsöver- föring mellan tvÄ eller flera myndigheter hitta en lösning som Àr tillfredsstÀllande frÄn
Den anvisade metoden för att Ästadkomma genomtÀnkta regel- verk som Àr lÀtta att tillÀmpa och som sinsemellan sÄ lÄngt möjligt Àr förenliga Àr enligt tillÀggsdirektiv (dir. 2014:31) att utreda förut-
173
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
sĂ€ttningarna för att skapa en generell, enhetlig och â helt eller i vart fall delvis â samlad reglering för myndigheternas behandling av personuppgifter. Tanken Ă€r att en sĂ„dan samlad reglering ocksĂ„ Ă€r mer Ă€ndamĂ„lsenlig för att kunna möta den förĂ€ndring som förmod- ligen kommer att ske inom EU genom en förordning som ersĂ€tter dataskyddsdirektivet. En samlad reglering kan fungera som ett komplement till eller, vid behov, genomföra delar av den unions- rĂ€ttsliga regleringen pĂ„ omrĂ„det. Vidare framhĂ„lls i direktiven att det ocksĂ„ behöver göras en bedömning av vilket utrymme förord- ningen ger för att i nationell rĂ€tt göra undantag frĂ„n förordningens bestĂ€mmelser för myndigheternas personuppgiftsbehandling.
Om vi bedömer att det finns förutsÀttningar att skapa en sÄdan samlad reglering, ska vi enligt direktiven lÀmna de författnings- förslag som kan anses motiverade. Personuppgiftsbehandlingen inom den brottsbekÀmpande sektorn omfattas inte av utrednings- uppdraget, eftersom den behandlingen inte omfattas av kommis- sionens förslag till en allmÀn uppgiftsskyddsförordning utan av ett förslag till ett direktiv.
Av vÄra direktiv följer vidare att vi ska övervÀga hur en generell reglering bör utformas utifrÄn vad som Àr lÀmpligt frÄn bl.a. norm- givningstekniska och systematiska utgÄngspunkter. I direktiven pÄ- pekas att Àven om personuppgiftsbehandling inom den brotts- bekÀmpande verksamheten undantagits frÄn utredningens arbete, behöver man vid utformningen av en ny reglering emellertid ta hÀnsyn till hur regleringen pÄ sÄvÀl detta som andra omrÄden Àr utformad för att regelverken inte ska komma i konflikt med var- andra. Den generella regleringen bör om möjligt vara utformad sÄ att den kan tillÀmpas pÄ ett enhetligt sÀtt av myndigheter vars verksamhet i vissa delar kommer att omfattas av tillÀmpnings- omrÄdet för uppgiftsskyddsförordningen och i andra delar omfattas av tillÀmpningsomrÄdet för
Av direktiven framgÄr slutligen att vi i vÄrt arbete noga ska följa den fortsatta behandlingen inom EU av förslaget till reformerad dataskyddsreglering. De förslag till författningsreglering som lÀm- nas ska vara vÀl anpassade till denna översyn och dess resultat.
174
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
7.1.2FörutsÀttningarna för en generell reglering
Automatiserad behandling Àr en integrerad del av myndigheters verksamhet
NÀr personuppgiftslagen trÀdde i kraft den 24 oktober 1998 var den elektroniska förvaltningen fortfarande i början av sin uppbyggnad. I prop. 1997/98:136 En statlig förvaltning i medborgarnas tjÀnst redovisade regeringen ett handlingsprogram för bl.a. förvaltningens informationsförsörjning. Enligt detta program borde förvaltningen, med beaktande av integritets- och sÀkerhetsaspekter ta tillvara in- formationsteknikens möjligheter att förenkla och förbÀttra kon- takterna för medborgare och företag med myndigheterna, öka all- mÀnhetens insyn i och kontroll av myndigheternas verksamhet, effektivisera samverkan mellan myndigheter, med övrig offentlig sektor samt med
I dag Ă€r en elektronisk förvaltning en sjĂ€lvklarhet för varje myn- dighet, statlig som kommunal. Handlingar framstĂ€lls inom en myn- dighets verksamhet i princip uteslutande i elektronisk form och lagring sker pĂ„ bĂ„de kort och pĂ„ lĂ„ng sikt elektroniskt, Ă€ven om det ocksĂ„ förekommer lagring i pappersform. Ărenden handlĂ€ggs elek- troniskt och beslut fattas inom vissa myndigheters verksamhet, t.ex. FörsĂ€kringskassan och Skatteverket, i stor omfattning med beslutsstöd i automatiserad form. Handlingar kommer ocksĂ„ in till myndigheterna pĂ„ elektronisk vĂ€g i stor omfattning och expedieras frĂ„n myndigheterna pĂ„ samma sĂ€tt i allt högre grad. Arbetet med att öka effektiviteten i myndigheternas verksamhet och samverkan mellan myndigheterna samt att ge medborgarna en förbĂ€ttrad ser- vice Ă€r i princip helt inriktat pĂ„ att detta ska ske pĂ„ elektronisk vĂ€g.
175
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
Det finns dÀrför anledning att frÄga sig om det fortfarande finns skÀl att tala om en elektronisk förvaltning. Den elektroniska för- valtningen Àr ju inte lÀngre nÄgon sÀrskild del av myndigheternas verksamhet, utan utgör i sjÀlva verket förvaltningen.
AnvÀndning av it genomsyrar i dag en myndighets hela verk- samhet och utgör sÄledes basen för framstÀllning av dokument, Àrendehantering, lagring, kommunikation och samverkan. PÄ mot- svarande sÀtt kan myndigheternas automatiserade behandling av personuppgifter beskrivas, dvs. sÄdan behandling utgör det sÀtt pÄ vilket myndigheterna hanterar personuppgifter. Vid tiden för person- uppgiftslagens införande fanns det emellertid fortfarande anledning att tala om s.k. manuell hantering av personuppgifter, t.ex. för att handlÀgga ett Àrende, som ett alternativ till automatiserad behand- ling. Detta betraktelsesÀtt har lÀnge prÀglat lagstiftning som rör be- handling av personuppgifter. I dag Àr den automatiserade behand- lingen av personuppgifter alltsÄ inte en del av en myndighets verk- samhet som utförs Ätskild frÄn verksamheten i övrigt och dÀrför krÀver andra regler Àn de som i övrigt reglerar verksamheten. DÀr- emot Àr det sjÀlvfallet sÄ att anvÀndningen av it fortfarande innebÀr att sÀrskilda integritetsaspekter mÄste beaktas, bl.a. i form av regler om skydd för personuppgifter. Den elektroniska hanteringen med- för ocksÄ att myndigheterna behöver ta sÀrskild hÀnsyn till sÀker- hetsaspekter, betrÀffande sÄvÀl personuppgifter som annan infor- mation som finns hos myndigheterna.
7.1.3En generell reglering?
Bedömning: Vi menar att det finns förutsÀttningar för en sam- lad reglering betrÀffande myndigheters behandling av person- uppgifter och vi kan inte se nÄgra bÀrande skÀl som talar emot att en sÄdan nu införs.
Det brukar anföras som skÀl för att införa sÀrskilda registerlagar att man pÄ sÄ sÀtt Ästadkommer en heltÀckande, tydlig och uttöm- mande reglering av vad som ska gÀlla i frÄga om personuppgifts- behandling hos en viss myndighet eller inom en viss samhÀlls- sektor. Det ligger uppenbarligen ett vÀrde i detta. Samtidigt Àr det
176
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
tydligt att det finns klara nackdelar förenade med den reglerings- modellen.
Som vi har berört i avsnitt 4.3.2 â och som vi nĂ€rmare kommer att redovisa i följande kapitel â finns det ett antal generella problem förenade med det svĂ„röverblickbara och fragmenterade rĂ€ttsomrĂ„de som registerlagstiftningen har kommit att bli. Registerförfattning- arna har kommit att utformas utan tillrĂ€cklig inre konsekvens och enhetlighet i frĂ„ga om struktur, normtekniska lösningar eller be- trĂ€ffande hur enskilda kategorier av bestĂ€mmelser har utformats. Med tiden har detta bl.a. medfört relativt stora tillĂ€mpningsproblem i olika avseenden, inte minst vid uppgiftsutbyten mellan myndig- heter. Samtidigt finns det pĂ„fallande mĂ„nga likheter mellan register- författningarna â inte minst betrĂ€ffande de vi kallar informations- hanteringsförfattningar â nĂ€r det t.ex. gĂ€ller vilka slags frĂ„gor som regleras, varianter pĂ„ begrepp och normtekniska lösningar. Det Ă€r i hög grad frĂ„ga om âdubbelregleringâ i den meningen att likartade bestĂ€mmelser finns intagna i ett stort antal författningar.
Ett annat problem med den nuvarande dataskyddsregleringen â och som gĂ€ller i lika hög grad Ă€ven för de myndigheter som inte omfattas av nĂ„gon registerförfattning utan enbart tillĂ€mpar person- uppgiftslagen â Ă€r att tillrĂ€cklig uppmĂ€rksamhet inte Ă€gnats Ă„t anpass- ningen av dataskyddsregleringen till annan central reglering för myndigheters verksamhet och informationshantering. Myndig- heters personuppgiftsbehandling skiljer sig nĂ€mligen pĂ„ ett markant sĂ€tt frĂ„n vad som normalt gĂ€ller i enskilda verksamheter. En myn- dighet som behandlar personuppgifter i sin verksamhet har inte bara att följa personuppgiftslagen eller en eventuell registerförfatt- ning i sin informationshantering. Myndigheters personuppgifts- behandling sker i verksamheter som Ă€r författningsreglerade, oftast i frĂ„ga om sĂ„vĂ€l vad som ska göras som hur det ska göras. Dess- utom styrs personuppgiftsbehandlingen parallellt av annan central reglering för myndigheternas informationshantering Ă€n den data- skyddsrĂ€ttsliga, bl.a. reglerna om handlingsoffentlighet och sekre- tess samt förvaltningslagen. Med ett fĂ„tal undantag Ă€r personupp- giftslagens bestĂ€mmelser inte anpassade till dessa sĂ€rskilda förhĂ„ll- anden.
Inom ramen för en samlad reglering skulle det finnas förutsÀtt- ningar att Ästadkomma den enhetlighet och konsekvens i regle- ringen av myndigheternas personuppgiftsbehandling som den nuvar-
177
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
ande splittrade regleringen saknar. Genom en samlad reglering skulle det vidare finnas förutsÀttningar att pÄ ett betydligt mer ÀndamÄls- enligt sÀtt beakta de sÀrskilda förutsÀttningar som gÀller betrÀffande personuppgiftsbehandling pÄ myndighetsomrÄdet. DÀrtill kommer att en samlad reglering skulle i betydande mÄn minska det framtida behovet av att behÄlla eller införa nya sektorspecifika bestÀmmel- ser. Viss sÀrreglering kommer givetvis att behövas Àven med en generell reglering men kan dÄ utformas som sÀrbestÀmmelser som innehÄller undantag frÄn huvudregler. Regelmassan vad gÀller data- skyddsbestÀmmelser skulle alltsÄ totalt sett minska vÀsentligt.
Genom att regelverket blir tydligare i den meningen att det klargörs vad som utgör ett berÀttigat dataskydd och hur detta ska Ästadkommas pÄ myndighetsomrÄdet, frÀmjas skyddet för person- uppgifter. Samtidigt ger ett sÄdant regelverk klarare besked om i vilken utstrÀckning dataskyddshÀnsyn inte pÄverkar övriga regelverk som reglerar myndigheternas verksamhet och de intressen som dÀr vÀrnas. En tydligare dataskyddsreglering pÄ myndighetsomrÄdet innebÀr t.ex. att förhÄllandet mellan dataskyddsregler och regler om sekretess blir klarare, vilket som vi ser det kommer att vara till gagn för offentlighet och insyn. En tydligare reglering ökar ocksÄ i betydande grad förutsÀttningarna för att anpassa offentlighets- principen till moderna elektroniska kommunikationsformer. Huvud- ambitionen att pÄ ett mer effektivt sÀtt tillgodose allmÀnhetens berÀttigade ansprÄk pÄ insyn i den offentliga förvaltningen uppfylls dÀrför ocksÄ genom den generella regleringen.
Vi kan för vÄr del inte se nÄgra bÀrande skÀl som talar mot en generell reglering betrÀffande myndigheters behandling av person- uppgifter. Vi menar alltsÄ att det finns förutsÀttningar för en sÄdan samlad reglering.
En utgÄngspunkt för arbetet med en generell reglering om myn- digheters behandling av personuppgifter bör vara att den inte till nÄgon del ska syfta till att reglera en myndighets verksamhet. Reg- leringen bör i stÀllet utformas sÄ att den enbart tar sikte pÄ att reg- lera dataskyddsrÀttsliga frÄgor, dvs. i första hand frÄgor rörande det behov av skydd för enskilda registrerades personliga integritet som den automatiserade behandlingen av personuppgifter ger upphov till. FörÀndringar som sker betrÀffande myndigheters faktiska, organisatoriska eller rÀttsliga förutsÀttningar ska dÀrmed inte ha betydelse pÄ det sÀttet att innehÄllet i den generella lagen behöver
178
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
Àndras. Vidare ska regleringen vara helt teknikneutral. Den ska ute- slutande bygga pÄ rÀttsliga grÀnsdragningar, inte tekniska sÄdana. Som vi ser det Àr det bara pÄ det sÀttet det Àr möjligt att Ästad- komma en reglering som blir hÄllbar över tid.
Vilka regelverk ska bilda en fungerande helhet?
I vÄra direktiv framhÄlls att de grundlÀggande reglerna i tryckfri- hetsförordningen och offentlighets- och sekretesslagen samt den principiella uppbyggnaden av registerförfattningarna bör vara an- passade till varandra för att möjliggöra en ytterligare effektivisering av
Som framgÄtt ovan Àr en generell utgÄngspunkt för vÄrt arbete att myndigheters behandling av personuppgifter inte lÀngre kan betraktas som en separat del av en myndighets verksamhet av det enda skÀlet att behandlingen Àr automatiserad. Det innebÀr att vi i arbetet med att principiellt bygga upp den generella regleringen för att Ästadkomma en fungerande helhet tillsammans med andra regel- verk inte enbart kan ta hÀnsyn till att reglerna ska vara anpassade till tryckfrihetsförordningen och offentlighets- och sekretesslagen. De behöver alltsÄ ocksÄ vara anpassade till de regler som pÄ ett mer allmÀnt plan styr en myndighets verksamhet. För att Ästadkomma en fungerande helhet behöver Àven t.ex. förvaltningslagen, arkiv- lagen, myndighetsförordningen m.m. samt andra regelverk och dokument som i olika hÀnseenden styr myndigheternas verksamhet beaktas. NÀr det övervÀgs i vilken mÄn en tÀnkt generell reglering i ett visst avseende behöver innehÄlla regler för att ge person- uppgifter det skydd som den elektroniska hanteringen ger upphov till, behöver detta alltsÄ ske ocksÄ mot bakgrund av sÄdana regler om rÀttigheter för enskilda och skyldigheter för myndigheter som finns i det förvaltningsrÀttsliga regelverket i stort.
Att behovet av regler till skydd för personuppgifter pÄ myndig- hetsomrÄdet övervÀgs i förhÄllande till hur myndigheters verksam- het Àr reglerade i övrigt och de intressen som bÀr upp sÄdana regler Àr helt i överensstÀmmelse med de grunder som dataskyddsdirek- tivet bygger pÄ och ger uttryck för. Exempelvis innebÀr de grund- lÀggande krav som alltid ska iakttas i samband med en viss enskild behandling, krav pÄ lÀmpliga sÀkerhetsÄtgÀrder och reglerna om
179
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
behandling av kÀnsliga personuppgifter att frÄgan om en viss behand- ling Àr tillÄten ska avgöras mot bakgrund av vilken verksamhet det rör och vilka avvÀgningar mellan olika intressen som behöver göras i den verksamheten och i det konkreta fallet. Vilka resultat sÄdana avvÀgningar kan fÄ pÄ myndighetsomrÄdet kommer dÀremot inte till uttryck i direktivet. Arbetet med att ta fram en generell reg- lering för myndigheters behandling av personuppgifter innebÀr emellertid att dataskyddsdirektivets implementering kan konkreti- seras och förtydligas pÄ hela myndighetsomrÄdet. DÀrmed minskar behovet av sÀrskilda registerförfattningar i motsvarande mÄn.
En ambition med den generella regleringen Àr alltsÄ att i sÄ hög grad som möjligt fÄnga upp och formulera regler till skydd för personuppgifter som generellt utgör en ÀndamÄlsenlig reglering för myndigheters verksamhet, för att i sÄ stor utstrÀckning som möjligt minska behovet av sÀrreglering. PÄ sÄ sÀtt, och genom att den gene- rella regleringen anpassas till samtliga relevanta regelverk pÄ myndig- hetsomrÄdet, skapas en tydligare och mer lÀttillÀmpad helhet nÀr det gÀller hantering av personuppgifter pÄ hela myndighetsomrÄdet.
Hur bör förslaget till uppgiftsskyddsförordning beaktas vid utformningen av en generell reglering?
Som redovisats ovan Àr ett av skÀlen till utredningens uppdrag att försöka skapa en samlad reglering för myndigheternas behandling av personuppgifter att en sÄdan kommer att vara mer ÀndamÄlsenlig för att möta den förÀndring som kan antas komma att ske pÄ det unionsrÀttsliga omrÄdet genom en förordning som ersÀtter data- skyddsdirektivet. En samlad reglering kan fungera som ett komple- ment till eller, vid behov, genomföra delar av den unionsrÀttsliga regleringen pÄ omrÄdet.
I skrivande stund pÄgÄr arbetet fortfarande med att inom EU förhandla fram förslaget till en uppgiftsskyddsförordning och det gÄr knappast att göra nÄgra sÀkra prognoser om nÀr det arbetet kommer att vara slutfört. Det förefaller mot den bakgrunden inte vara lÀmpligt att utforma den nya regleringen sÄ att den nu utgör ett komplement till en kommande uppgiftsskyddsförordning. I sÄ fall skulle vÀsentliga delar av personuppgiftsskyddet som kan för- vÀntas komma att exklusivt regleras i förordningen, exempelvis de grundlÀggande krav som ska gÀlla vid all behandling av person-
180
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
uppgifter och tillsynsmyndighetens befogenheter, inte kunna reg- leras i den generella lagen. Ett förslag till en ny reglering skulle i sÄ fall inte kunna innehÄlla nÄgot förslag om en tidpunkt för ikraft- trÀdande, utan den tidpunkten skulle fÄ göras beroende av om och nÀr en uppgiftsskyddsförordning beslutas. Det skulle i sin tur kunna leda till att nÄgon ny generell reglering om myndigheters behand- ling av personuppgifter inte kan införas förrÀn i en obestÀmd framtid. Vad som nu sagts talar för att införandet av en generell reglering inte bör göras beroende av om en uppgiftsskyddsförord- ning införs.
Vi ser det inte heller som möjligt att nu utforma ett förslag till en reglering som skulle kunna utgöra ett komplement till en kom- mande uppgiftsskyddsförordning, eftersom förordningens innehĂ„ll i skrivande stund inte i alla delar fullt ut kan överblickas, i synner- het inte pĂ„ myndighetsomrĂ„det. Det kan emellertid redan nu konstateras att förordningen kan antas lĂ€mna öppningar för med- lemsstaterna att pĂ„ myndighetsomrĂ„det införa en sĂ€rreglering betrĂ€ffande frĂ„gor som dĂ„ kan utformas mot bakgrund av natio- nella regelverk och andra speciella förutsĂ€ttningar för de egna myn- digheternas verksamhet. Om och nĂ€r en förordning införs kan det dĂ€rför antas inte behöva göras nĂ„gra genomgripande Ă€ndringar i en ny generell reglering. Ăven denna omstĂ€ndighet talar alltsĂ„ för att det saknas tillrĂ€ckliga skĂ€l för att lĂ„ta införandet av en generell reg- lering vĂ€nta pĂ„ att en förordning trĂ€der i kraft. TvĂ€rtom kommer det nödvĂ€ndiga anpassningsarbetet att bli betydligt enklare om en sĂ„dan reglering redan finns pĂ„ plats.
VÄr ambition vid utformningen av den generella regleringen har dÀrför varit att i stÀllet relatera vÄra förslag till det som hittills Àr kÀnt om uppgiftsskyddsförordningens föreslagna innehÄll och redo- visa ett resonemang om hur en reglering utifrÄn gÀllande rÀtt kan komma att te sig vid ett införande av förordningen. Vi kommer ocksÄ att i samband med att vi redovisar konsekvenserna av vÄrt förslag beskriva hur en anpassning av regleringen kan göras dÄ förord- ningen införs (se avsnitt 19.2).
För att förverkliga en tydligare och mer ÀndamÄlsenlig reglering av myndigheters behandling av personuppgifter bör utgÄngspunk- ten sÄledes vara att den generella regleringen ska kunna trÀda i kraft sÄ snart som möjligt. Detta talar, menar vi, för att vÄrt förslag bör ta sikte pÄ att den generella regleringen till form och innehÄll ska
181
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
förhÄlla sig till gÀllande rÀtt pÄ omrÄdet, dvs. dataskyddsdirektivet och personuppgiftslagen.
7.2En generell lag för myndigheters behandling av personuppgifter
7.2.1En generell reglering bör ha form av lag
Förslag: Den nya generella regleringen bör ha form av lag. Lagen bör heta myndighetsdatalagen.
En generell reglering av vad som ska gÀlla betrÀffande myndig- heters personuppgiftsbehandling bör ges form av lag. Detta följer redan av att tillÀmpningsomrÄdet för en sÄdan reglering bör vara i princip detsamma som förvaltningslagens, dvs. Àven kommunala förvaltningsmyndigheter bör omfattas liksom myndigheterna under riksdagen. Till detta kommer att lagformen av flera skÀl framstÄr som det naturliga för en reglering av nu aktuellt slag.
Vi redovisar nedan hur vi ser pÄ den lagtekniska utformningen av den generella lagen och hur den förhÄller sig till de sÀrregler som kan behövas för vissa myndigheters behandling av personuppgifter. I ett dÀrpÄ följande avsnitt lÀmnar vi en utförlig redovisning av vÄr bedömning nÀr det gÀller frÄgan om pÄ vilken normgivningsnivÄ en sÀrreglering kan ges, dvs. om sÀrregler kan ges i förordning eller om de behöver ha form av lag.
En allmĂ€n utgĂ„ngspunkt för vĂ„ra övervĂ€ganden Ă€r, som framgĂ„tt av avsnitt 7.1, att den generella lagen enbart ska innehĂ„lla regler om persondataskydd. Vi föreslĂ„r dĂ€rför att den nya lagen benĂ€mns âmyn- dighetsdatalagâ. Namnet Ă€r ocksĂ„ kort, vilket Ă€r Ă€ndamĂ„lsenligt med tanken pĂ„ att lagen avses vara tillĂ€mplig för i princip alla myndig- heter.
Vid personuppgiftslagens införande övervÀgdes Àven namnet persondatalag. SkÀlet till att det namnet inte valdes var bl.a. att det pÄ ett missvisande sÀtt kunde leda tanken till enbart datorlagrade personuppgifter, trots att lagen inte bara omfattar automatiserad behandling i datorer utan Àven viss manuell behandling av person- uppgifter (prop. 1997/98:44 s. 42). Eftersom myndigheterna i dag i
182
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
princip uteslutande hanterar personuppgifter med
7.2.2Kort om lagens innehÄll och den lagtekniska utformningen
Vilka frÄgor bör regleras i lagen?
Vi har ovan redovisat att utgÄngspunkten för vÄrt arbete med den generella lagen Àr att den enbart ska ta sikte pÄ att reglera frÄgor om det behov av skydd som den automatiserade behandlingen av per- sonuppgifter ger upphov till nÀr myndigheterna hanterar person- uppgifter i sin verksamhet. Lagen ska alltsÄ enbart innehÄlla be- stÀmmelser som utgör dataskyddsregler.
Det innebÀr att lagen för det första bör innehÄlla regler som rör frÄgor dÀr personuppgiftslagens bestÀmmelser inte pÄ ett tillrÀck- ligt tydligt sÀtt uttrycker vad som gÀller för myndigheters behand- ling av personuppgifter. Det handlar alltsÄ om bestÀmmelser som sÀrskilt reglerar vad som gÀller för myndigheter i en viss frÄga till skillnad frÄn vad enskilda personuppgiftsansvariga har att iaktta.
I registerförfattningarna förekommer Àven bestÀmmelser som reglerar behandling av personuppgifter utan att de syftar till att införliva dataskyddsdirektivet i nÄgot visst avseende. Det Àr alltsÄ bestÀmmelser som inte har nÄgon motsvarighet i personuppgifts- lagen. Det har ÀndÄ ansetts finnas ett behov av att denna typ av bestÀmmelser för att tydliggöra vad som gÀller i förhÄllande till andra regelverk, framför allt betrÀffande offentlighets- och sekre- tesslagens bestÀmmelser om utbyte av uppgifter i förhÄllande till bÄde enskilda och andra myndigheter. Som exempel pÄ sÄdana bestÀmmelser kan nÀmnas regler om utlÀmnande av personupp- gifter i elektronisk form, bl.a. genom direktÄtkomst. Som har fram- gÄtt av kapitel 5 menar vi att det finns skÀl att upprÀtthÄlla den rÀttsliga skillnaden mellan direktÄtkomst och andra former av elek- troniskt utlÀmnande. BestÀmmelser rörande detta bör alltsÄ införas Àven i den generella lagen.
Ett annat exempel pÄ en typ av bestÀmmelser som vanligen före- kommer i registerförfattningar och som inte kan sÀgas ha sin omedelbara motsvarighet i dataskyddsdirektivet Àr s.k. sökbegrÀns- ningar. SÄdana bestÀmmelser ger emellertid uttryck för den pro-
183
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
portionalitetsprincip som alltid mĂ„ste iakttas nĂ€r det gĂ€ller behand- ling av personuppgifter och inte minst pĂ„ myndighetsomrĂ„det. Ăven regler om sökbegrĂ€nsningar har dĂ€rför sin plats i en generell lag.
Det kan konstateras att lagen sĂ„ledes kommer att fĂ„ en utform- ning som i hög grad liknar en författning av den kategori vi be- nĂ€mnt informationshanteringsförfattning, lĂ„t vara att denna âregister- författningâ syftar till att generellt reglera myndigheters behandling av personuppgifter.
Den lagtekniska utformningen
Vi har ovan redovisat vĂ„r huvudambition med den generella lagen att i sĂ„ hög grad som möjligt fĂ„nga upp och uttrycka regler till skydd för personuppgifter som generellt utgör en Ă€ndamĂ„lsenlig reglering för myndigheterna, för att i motsvarande mĂ„n minska behovet av sĂ€rreglering. Det innebĂ€r att vi ser framför oss ett rela- tivt begrĂ€nsat behov av sĂ€rreglering som kommer att avse för- hĂ„llandevis fĂ„ frĂ„gor i jĂ€mförelse med den regelmassa som i dag finns i registerförfattningarna. Vi bedömer att det dĂ€rför â pĂ„ sikt â inte alls kommer att behövas fullstĂ€ndiga registerförfattningar i den utstrĂ€ckning som Ă€r fallet i dag. Författningar som syftar till att reglera regelrĂ€tta register, exempelvis fastighetsregistret och aktie- bolagsregistret, pĂ„verkas dock endast delvis eftersom de typiskt sett syftar till att reglera annat Ă€n dataskydd, nĂ€mligen verksam- hetsfrĂ„gor kring ett visst register. SĂ„dana verksamhetsregler utgör ingen sĂ€rreglering i förhĂ„llande till personuppgiftslagen och pĂ„ver- kas dĂ€rmed inte av den nya lagen. Detta slags registerförfattningar kan alltsĂ„ inte ersĂ€ttas av den nya lagen. Inget hindrar dock att dataskyddsregleringen i den nĂ€mnda sortens registerförfattning â som efter en översyn fortfarande anses behövas â separeras frĂ„n författningen och sĂ€rregleras i anslutning till den nya lagen. Vi Ă„ter- kommer till denna frĂ„ga i kapitel 8.
Den generella lagen bör lagtekniskt utformas sĂ„ att den i sin huvuddel innehĂ„ller de bestĂ€mmelser som generellt reglerar myndig- heternas behandling av personuppgifter i olika avseenden. I en eller flera bilagor till lagen kan dĂ€refter tabellvis redovisas sĂ„dana sĂ€r- regler för enskilda myndigheter som bör â eller undantagvis behöver
184
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
â ges i form av lag. Det kan exempelvis handla om vissa fall av direktĂ„tkomst eller mer tillĂ„tande regler för att behandla kĂ€nsliga personuppgifter som kan behövas pĂ„ vissa myndighetsomrĂ„den och som bedöms krĂ€va lagstöd. Till lagen bör det ocksĂ„ finnas en anslutande förordning som innehĂ„ller de sĂ€rregler som kan ges pĂ„ förordningsnivĂ„. Vi bedömer att den helt övervĂ€gande delen av sĂ„dan utfyllande reglering kan ges i förordning. I avsnittet nedan redogör vi mer utförligt för vĂ„r bedömning av vilken normgiv- ningsnivĂ„ som normalt krĂ€vs för de sĂ€rregler som kan behövas.
7.3NormgivningsnivÄ för sÀrreglering
7.3.1Bakgrund
Av 8 kap. 1 § första stycket RF framgÄr att föreskrifter meddelas av riksdagen genom lag och av regeringen genom förordning. Före- skrifter ska meddelas genom lag om de avser bl.a. skyldigheter för enskilda eller ingrepp i enskildas personliga eller ekonomiska för- hÄllanden (8 kap. 2 § första stycket 2). Kravet pÄ att en sÄdan före- skrift ska ha form av lag Àr emellertid inte obligatoriskt, utan riks- dagen kan bemyndiga regeringen att meddela den typen av före- skrifter (8 kap. 3 §).
Enligt 8 kap. 7 § RF fÄr regeringen bl.a. meddela föreskrifter som inte enligt grundlag ska meddelas av riksdagen. Att regeringen meddelar föreskrifter i ett visst Àmne hindrar inte att riksdagen meddelar föreskrifter i samma Àmne (8 kap. 8 §).
Av 8 kap. 10 och 11 §§ RF följer att en vidaredelegation till en förvaltningsmyndighet att meddela föreskrifter ocksÄ kan medges av riksdagen eller, i frÄga om regeringens primÀromrÄde, av rege- ringen sjÀlv.
De s.k. registerförfattningarna Ă€r ett exempel pĂ„ en grupp författ- ningar dĂ€r lagformen ofta valts trots att detta enligt regerings- formen rent normgivningstekniskt i allmĂ€nhet inte har varit nöd- vĂ€ndigt. Att det allmĂ€nna registrerar personuppgifter om enskilda innebĂ€r ingen skyldighet för den enskilde. Det har heller normalt sett inte ansetts som ett ingrepp i enskildas personliga förhĂ„llanden i den mening som avses i 8 kap. 2 § första stycket 2 RF (Anders Eka m.fl., Regeringsformen â med kommentarer, 2012, s. 311). Registerförfattningarna har dĂ€rmed i princip ansetts höra till rege-
185
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
ringens primĂ€romrĂ„de â i vart fall sĂ„vitt avser myndigheter under regeringen â och sĂ„ledes kunnat regleras i förordningsform. Som har berörts tidigare har det under Ă„ren emellertid i ett antal olika lagstiftningsĂ€renden som rört myndigheters personuppgiftsbehand- ling framhĂ„llits att mĂ„lsĂ€ttningen bör vara att myndighetsregister med ett stort antal registrerade och ett sĂ€rskilt kĂ€nsligt innehĂ„ll ska regleras i lag (se t.ex. prop. 1997/98:44 s. 41, 1997/98:KU18 s. 43 och prop. 1999/2000:39 s. 78).
Enligt 8 kap. 18 § RF fÄr en lag inte Àndras eller upphÀvas pÄ annat sÀtt Àn genom lag. Det Àr den formella lagkraftens princip som pÄ sÄ sÀtt kommer till uttryck i regeringsformen. Den formella lagkraftens princip innebÀr att en föreskrift som en gÄng beslutats som lag inte kan Àndras eller upphÀvas pÄ annat sÀtt Àn genom en ny lag. Regeln om den formella lagkraften fÄr bl.a. den effekten att regeringen inte kan hindra eller upphÀva en lag som riksdagen stiftat inom ett omrÄde som annars enligt grundlag primÀrt faller inom regeringens kompetensomrÄde. Inte heller kan regeringen sÄ lÀnge lagen gÀller meddela föreskrifter i Àmnet i strid med lagen. Riksdagen tar pÄ sÄ vis i ansprÄk en del av regeringens primÀr- omrÄde. Detta innebÀr att i den mÄn myndigheters personuppgifts- behandling har reglerats genom lag sÄ krÀvs lagstiftning ocksÄ för att Àndra regleringen.
Enligt 2 kap. 6 § andra stycket RF Àr var och en gentemot det allmÀnna skyddad mot betydande intrÄng i den personliga integri- teten, om det sker utan samtycke och innebÀr övervakning eller kartlÀggning av den enskildes personliga förhÄllanden. Av 2 kap. 20 § följer att skyddet mot övervakning och kartlÀggning av den enskildes personliga förhÄllanden fÄr begrÀnsas genom lag i den utstrÀckning det Àr tillÄtet enligt de allmÀnna förutsÀttningarna för begrÀnsning av fri- och rÀttigheter som anges i 21 §. Vid antagande av sÄdan lag som avses i 20 § Àr enligt 22 § det s.k. kvalificerade förfarandet tillÀmpligt. Detta innebÀr att ett förslag till rÀttighets- begrÀnsande lag ska, om det inte avslÄs av riksdagen, pÄ yrkande av lÀgst tio av dess ledamöter vila i minst tolv mÄnader frÄn det att det första utskottsyttrandet över förslaget anmÀldes i riksdagens kam- mare.
186
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
Motivuttalanden pÄ registerförfattningsomrÄdet rörande normgivningsnivÄ
De ovan berörda motivuttalandena om att mÄlsÀttningen bör vara att myndighetsregister med ett stort antal registrerade och ett sÀr- skilt kÀnsligt innehÄll ska regleras i lag tillkom i samband med det grundlagstiftningsÀrende dÀr bl.a. Data- och offentlighetskommitténs slutbetÀnkande behandlades.
Prop. 1990/91:60 innehöll förslag som syftade till att stÀrka offentlighetsprincipen i frÄga om
Vid den aktuella tidpunkten krÀvdes alltsÄ normalt tillstÄnd frÄn Datainspektionen för att inrÀtta och föra sÀrskilt integritetskÀnsliga
I prop. 1990/91:60 gjorde föredragande statsrĂ„det â i likhet med Data- och offentlighetskommittĂ©n â bedömningen att som ett led i en allmĂ€n strĂ€van att stĂ€rka skyddet för de registrerades integritet i samband med nödvĂ€ndig registrering av kĂ€nsliga personuppgifter i vissa myndighetsregister pĂ„ sikt vissa register hos Socialstyrelsen, landstingen, kommunerna och dĂ„varande RiksförsĂ€kringsverket borde regleras i sĂ€rskilda registerlagar. Vidare uttalades följande (a. prop. s. 57 f.).
Som framgÄtt av min redovisning Àr redan i dag vissa stora person- register med integritetskÀnsligt innehÄll inom den offentliga sektorn författningsreglerade i större eller mindre mÄn. Flera av de viktigaste
187
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
registren saknar emellertid författningsstöd och nÄgra av dem har inte heller tillstÄnd frÄn datainspektionen eftersom de Àr undantagna frÄn tillstÄndsplikt till följd av 2 a § tredje stycket datalagen.
Bland de register som sĂ„lunda undantagits frĂ„n tillstĂ„ndsplikt kan nĂ€m- nas personregister som förs av myndigheter inom hĂ€lso- och sjuk- vĂ„rden för vĂ„rd- eller behandlingsĂ€ndamĂ„l. I dessa register finns upp- gifter om enskildas sjukdomar och hĂ€lsotillstĂ„nd [âŠ]. Vidare kan nĂ€mnas de sociala myndigheternas personregister som innehĂ„ller uppgifter om att nĂ„gon fĂ„tt ekonomisk hjĂ€lp eller vĂ„rd inom social- tjĂ€nsten [âŠ]. OcksĂ„ dessa personregister har generellt sett ett mycket integritetskĂ€nsligt innehĂ„ll.
I likhet med [kommittén] och remissinstanserna anser jag att en mÄlsÀttning bör vara att i de fall ett register med ett stort antal regi- strerade och ett sÀrskilt kÀnsligt innehÄll inrÀttas, bestÀmmelser ska meddelas i form av lag. Detta gÀller sÀrskilt i de fall uppgifterna i registret sprids externt i icke obetydlig omfattning.
Om uppgifter anvÀnds för strikt avgrÀnsade ÀndamÄl i ett register dÀr de primÀrt har registrerats, t.ex. inom försvaret eller arbetsmarknads- utbildningen och i mÄnga kommunala sammanhang behövs dÀremot i regel ingen specialreglering. I dessa register kan integritetsskyddet, enligt min mening, tillgodoses genom datainspektionens tillstÄnds- prövning. Om de uppgifter som ingÄr i registret i sÄdana fall inte Àr sekretesskyddade, kan det övervÀgas om en utvidgning av bestÀmmel- serna i sekretesslagen Àr en vÀg att uppnÄ ett bÀttre integritetsskydd.
Vidare fördes i propositionen resonemang om behovet av reglering pÄ vissa angivna omrÄden sÄsom landstingens och kommunernas barnavÄrds- och skolhÀlsoregister, RiksförsÀkringsverkets och de dÄvarande försÀkringskassornas register, det s.k. FAS 90 m.fl., samt konstaterades att en reglering var möjlig bara pÄ sikt och att det Äterstod att nÀrmare övervÀga vilka register inom de angivna om- rÄdena som borde regleras.
Konstitutionsutskottet uttalade som sin mening att det allmÀnt sett var av stor betydelse att en författningsreglering av
188
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
övervÀganden i frÄga om vilka register inom dessa omrÄden som borde regleras (1990/91:KU11 s. 11).
I lagstiftningsÀrendet rörande personuppgiftslagen fördes ett resonemang betrÀffande registerförfattningarna. Det konstaterades att dessa innehöll mÄnga preciserade och viktiga regler som inte rimligen kunde ersÀttas av de generella bestÀmmelser som den nya lagen innehöll. Samtidigt stod det klart att det var nödvÀndigt med sÀrregler i förhÄllande till den nya lagen pÄ flera viktiga omrÄden, t.ex. betrÀffande polisens verksamhet. FrÄgan var dÀrför om det redan i den nya lagen skulle göras undantag för vissa verksamheter eller om nödvÀndiga sÀrregler för dessa verksamheter liksom dittills skulle ges i sÀrskilda författningar som fick gÀlla framför den nya lagen.
Regeringen fann att det traditionella svenska systemet med sĂ€r- regler i sĂ€rskilda författningar var att föredra framför generella undantag frĂ„n den nya lagen. Eftersom det skulle krĂ€vas en sĂ€rskild författning för att avvika frĂ„n det integritetsskydd som den nya lagen skulle ge, garanterades att behovet av sĂ€rregler alltid övervĂ€gs noga i den ordning som gĂ€ller för författningsgivning. Vidare ut- talades â med hĂ€nvisning till de uttalanden som gjorts i 1991 Ă„rs grundlagsstiftningsĂ€rende (prop. 1990/91:60 s. 50 och 1990/91:KU11 s. 11) â att mĂ„let ocksĂ„ har varit att myndighetsregister med ett stort antal registrerade och ett sĂ€rskilt kĂ€nsligt innehĂ„ll ska regleras sĂ€rskilt i lag. Det fanns inte anledning att nu avvika frĂ„n det mĂ„let (prop. 1997/98:44 s. 41).
I konstitutionsutskottets betÀnkande rörande personuppgifts- lagen pÄpekades med anledning av en motion att i den utstrÀckning som det Àr befogat med ett stÀllningstagande frÄn riksdagens sida, finns det alltid möjlighet att ge regleringen pÄ ett visst omrÄde i lag. I sÄdant fall Àr normgivning pÄ lÀgre nivÄ i strid med lagregleringen utesluten, om inte annat följer av den aktuella lagen. Utskottet ville ocksÄ för egen del framhÄlla att det saknades anledning att nu avvika frÄn den tidigare fastlagda mÄlsÀttningen att myndighets- register med att stort antal registrerade och ett sÀrskilt kÀnsligt inne- hÄll ska regleras sÀrskilt i lag (1997/98:KU18 s. 43).
De uttalanden som gjordes betrÀffande behovet av lagform vid 1991 Ärs grundlagsstiftningsÀrende och som bekrÀftades i samband med införandet av personuppgiftslagen har alltsÄ under Ären Äbe- ropats i ett stort antal lagstiftningsÀrenden i samband med över- vÀganden kring frÄgan varför en viss registerförfattning borde ges
189
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
lagform (se t.ex. prop. 1999/2000:39 s. 78, prop. 2000/01:80 s. 131, prop. 2000/01:95 s. 55 och prop. 2002/03:135 s. 39).
Den tidigare grundlagsregleringen betrÀffande skyddet för den personliga integriteten
Under
Den Ă„r 1984 tillkallade Data- och offentlighetskommittĂ©n sökte fĂ„nga upp den utbredda oro för myndigheternas registerutnyttjande som fanns vid denna tid genom att i delbetĂ€nkandet Integritets- skyddet i informationssamhĂ€llet 3, GrundlagsfrĂ„gor (Ds Ju 1987:8) föreslĂ„ en ny regel i regeringsformens fri- och rĂ€ttighetskapitel av innebörd att varje medborgare skulle vara âtillförsĂ€krad skydd mot registrering av uppgifter om honom med hjĂ€lp av automatisk data- behandling enligt bestĂ€mmelser som meddelas i lagâ. Av delbetĂ€nk- andet framgĂ„r att kommittĂ©n var vĂ€l medveten om att ett sĂ„dant lagstadgat skydd redan fanns, frĂ€mst genom datalagen och sekre- tesslagen, och att det föreslagna stadgandet i regeringsformen dĂ€rför inte syftade till att stĂ€rka det materiella skyddet för den personliga integriteten utan i stĂ€llet borde ses som en markering av vilken vikt samhĂ€llet tillmĂ€tte sjĂ€lva frĂ„gan. Regeringen instĂ€mde i allt vĂ€sentligt i Data- och offentlighetskommittĂ©ns bedömningar. Föredragande statsrĂ„det anförde att regeringens utgĂ„ngspunkt var att âge grundlagsförankring Ă„t det skydd för medborgarna som redan finns genom vanlig lagstiftning och pĂ„ detta sĂ€tt befĂ€sta det rĂ„dande rĂ€ttslĂ€getâ. Den reella innebörden var enligt förarbetena att riksdagen mĂ„ste vara aktiv genom att stifta och vidmakthĂ„lla en datalagstiftning (prop. 1987/88:57 s. 9 och 11).
190
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
Lagförslaget antogs av riksdagen och innebar att, med ikraft- trÀdande den 1 januari 1989, ett nytt andra stycke infördes i 2 kap. 3 § RF med följande lydelse.
Varje medborgare skall i den utstrÀckning som nÀrmare angives i lag skyddas mot att hans personliga integritet krÀnkes genom att uppgifter om honom registreras med hjÀlp av automatisk databehandling.
BestÀmmelsen kom att gÀlla oförÀndrad fram till den 1 januari 2011. à r 1994 infördes i regeringsformen (dÄvarande 8 kap. 7 §) en
möjlighet för riksdagen att till regeringen eller den myndighet som regeringen bestÀmmer delegera rÀtten att meddela föreskrifter om skydd för personlig integritet vid registrering av uppgifter med hjÀlp av automatisk databehandling, varvid regeln i 2 kap. 3 § andra stycket inte ansÄgs hindra sÄdan delegation (prop. 1993/94:116 s. 15). I samband med införandet av personuppgiftslagen Àndrades delegationsbestÀmmelsen i 8 kap. RF. DÀremot gjordes alltsÄ inga Àndringar i 2 kap. 3 §.
Den nu gÀllande regleringen
VĂ„ren 2004 tillkallades en parlamentariskt sammansatt kommittĂ© â IntegritetsskyddskommittĂ©n â som bl.a. fick i uppgift att kartlĂ€gga och analysera sĂ„dan lagstiftning som rör den personliga integri- teten, övervĂ€ga om regeringsformens bestĂ€mmelse om skyddet för den personliga integriteten i dĂ„varande 2 kap. 3 § andra stycket RF borde Ă€ndras och i sĂ„ fall föreslĂ„ en ny grundlagsreglering.
I januari 2008 överlĂ€mnade IntegritetsskyddskommittĂ©n sitt slut- betĂ€nkande SOU 2008:3. I betĂ€nkandet uttalades bl.a. att kom- mittĂ©ns kartlĂ€ggning och analys hade visat att lagstiftaren inte lĂ€gger tillrĂ€cklig vikt vid integritetsskyddsaspekter nĂ€r ny lagstiftning arbetas fram. Ăven rent allmĂ€nt vĂ€rderades integritetsskyddet förhĂ„llandevis lĂ„gt i lagstiftningen. En bidragande orsak till detta fick anses vara att det i grundlagen inte fanns nĂ„gon rĂ€ttsligt verk- ande bestĂ€mmelse om medborgarnas rĂ€tt till skydd för personlig integritet som balanserar de övriga fri- och rĂ€ttigheter som med- borgarna Ă€r tillförsĂ€krade. Enligt kommittĂ©n var det sammanfatt- ningsvis tydligt att det pĂ„ grundlagsnivĂ„ behövde ges uttryck för en större respekt Ă€n för nĂ€rvarande för den enskildes rĂ€tt till personlig integritet. BestĂ€mmelser som ger ett utvidgat materiellt integritets-
191
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
skydd borde dÀrför införas i regeringsformens kapitel om grund- lÀggande fri- och rÀttigheter (SOU 2008:3 s. 255 f.).
Integritetsskyddskommittén föreslog att ett nytt andra stycke av följande lydelse skulle införas i 2 kap. 6 §:
Ăven i annat fall Ă€n som avses i första stycket Ă€r varje medborgare gentemot det allmĂ€nna skyddad mot intrĂ„ng, om det sker i hemlighet eller utan samtycke och i betydande mĂ„n innebĂ€r övervakning eller kartlĂ€ggning av den enskildes personliga förhĂ„llanden.
BetrÀffande den föreslagna bestÀmmelsens tillÀmpning pÄ hantering av personuppgifter i omfattande informationssamlingar gjorde kom- mittén följande uttalanden (a. a. s. 271).
Det allmÀnnas hantering av uppgifter om enskilds personliga förhÄll- anden sker inte sÀllan utan samtycke frÄn den enskilde och kan till och med ske i hemlighet. SÄdan hantering kan ha som uttalat syfte att kartlÀgga den enskildes personliga förhÄllanden. Som exempel pÄ en hantering som rör uppgifter om enskilda personer som bÄde sker i hemlighet och innebÀr en kartlÀggning av den enskildes personliga förhÄllanden av sÄdan omfattning att den bör omfattas av det nya grundlagsskyddet kan nÀmnas SÀkerhetspolisens hantering av person- uppgifter. Som ett annat exempel kan nÀmnas polisens personuppgifts- hantering i underrÀttelseverksamhet och under en brottsutredning.
[âŠ]
Som exempel pÄ myndigheter eller myndighetsomrÄden som har informationssamlingar betrÀffande enskildas personliga förhÄllanden som kan sÀgas ha en sÄdan omfattning att de i praktiken innebÀr en kartlÀggning, och i hög utstrÀckning bestÄr av uppgifter som ansetts sÀrskilt skyddsvÀrda, kan nÀmnas Skatteverket, Kronofogdemyndig- heten, FörsÀkringskassan och socialtjÀnsten. En personuppgiftshante- ring som uteslutande sker av administrativa skÀl, vilken regelmÀssigt brukar omfattas av svag eller ingen sekretess, kan dÀremot inte anses ha ett sÄdant skyddsvÀrde att den bör omfattas av ett grundlagsskydd för den personliga integriteten.
NÀr det gÀller hantering av personuppgifter i de informationssamlingar som kommer att omfattas av det utvidgade grundlagsskyddet Àr det sjÀlvfallet sÄ att inte alla led i hanteringen Àr att betrakta som sÄdana intrÄng som behöver omfattas av de sÀrskilda förutsÀttningar som gÀller för att intrÄng i den grundlagsskyddade rÀttigheten skall vara tillÄtet. De frÄn integritetsskyddssynpunkt viktigaste momenten i hanteringen handlar om hur uppgifter om enskilda fÄr samlas in, Ànda- mÄlet med behandlingen och i vilken utstrÀckning uppgifter pÄ grund av uppgiftsskyldighet, som alltsÄ bryter sekretess som gÀller för
192
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
uppgifterna, skall lÀmnas ut till andra för samkörning med uppgifter i andra myndighetsregister eller av andra skÀl.
2010 Ärs Àndringar av regeringsformen
I prop. 2009/10:80 lade regeringen fram förslag till omfattande Ă€nd- ringar av regeringsformen som vĂ€sentligen byggde pĂ„ Grundlags- utredningens förslag. I samma lagstiftningsĂ€rende föreslog rege- ringen en ny bestĂ€mmelse i 2 kap. RF som vĂ€sentligen byggde pĂ„ IntegritetsskyddskommittĂ©ns förslag. Förslaget antogs av riksdagen och den nya bestĂ€mmelsen i 2 kap. 6 § andra stycket RF trĂ€dde â liksom övriga grundlagsĂ€ndringar â i kraft den 1 januari 2011.
Den nya bestÀmmelsen Àr utformad sÄ att den reglerar förhÄll- andet mellan den enskilde och det allmÀnna och sÀgs utgöra en be- grÀnsning av statsmakternas normgivningsbefogenheter inom ramen för rÀttighetsskyddet (prop. 2009/10:80 s. 176). Den Àr alltsÄ av- sedd att fÄ sin huvudsakliga innebörd genom de begrÀnsningar som gÀller för riksdagen att inskrÀnka fri- och rÀttigheter
BestÀmmelsen innebÀr enligt sin ordalydelse att enskilda Àr skyddade mot ÄtgÀrder frÄn det allmÀnnas sida som innefattar be- tydande intrÄng i den personliga integriteten, om intrÄnget sker utan samtycke och innebÀr övervakning eller kartlÀggning av den enskildes personliga förhÄllanden. I motiven förs resonemang om hur dessa olika kriterier Àr avsedda att förstÄs (prop. 2009/10:80 s. 177 f.).
Uttrycket âpersonliga förhĂ„llandenâ avses ha samma innebörd som i tryckfrihetsförordningen och offentlighets- och sekretess- lagen (2009:400). Det innebĂ€r att regleringen kan komma att om- fatta vitt skilda slag av information som Ă€r knuten till den enskildes person, t.ex. uppgifter om namn och andra personliga identifika- tionsuppgifter, adress, familjeförhĂ„llanden, hĂ€lsa och vandel. Ăven fotografisk bild samt uppgifter som inte Ă€r direkt knutna till den enskildes privata sfĂ€r, t.ex. uppgift om anstĂ€llning, omfattas av ut- trycket. Liksom vid tillĂ€mpningen av offentlighets- och sekretess- lagstiftningen fĂ„r vid prövningen av uttryckets nĂ€rmare innebörd
193
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
vÀgledning hÀmtas frÄn vad som enligt normalt sprÄkbruk kan lÀggas i dess betydelse.
Vid behandlingen av uppgifter som rör den enskilde fĂ„r ett inte- gritetsintrĂ„ng normalt anses större om behandlingen sker utan den enskildes samtycke Ă€n om det sker efter dennes medgivande. Inne- börden av kravet pĂ„ samtycke bör enligt motiven bedömas pĂ„ samma sĂ€tt som motsvarande krav enligt bestĂ€mmelsen om förbud mot Ă„siktsregistrering i regeringsformen (2 kap. 3 §). Avgörande för om en Ă„tgĂ€rd ska anses innebĂ€ra övervakning eller kartlĂ€ggning Ă€r inte dess huvudsakliga syfte utan vilken effekt Ă„tgĂ€rden har. Vad som avses med övervakning respektive kartlĂ€ggning fĂ„r bedömas med utgĂ„ngspunkt frĂ„n vad som enligt normalt sprĂ„kbruk lĂ€ggs i dessa begrepp (prop. 2009/10:80 s. 250). BetrĂ€ffande âkartlĂ€ggningâ görs i motiven vidare följande uttalande (a. prop. s. 180).
En Ă„tgĂ€rd frĂ„n det allmĂ€nnas sida som vidtas primĂ€rt i syfte att ge myndigheterna underlag för beslutsfattande i enskilda fall, exempelvis insamling av uppgifter av visst slag för beslut om t.ex. beskattning eller liknande, kan â Ă€ven om avsikten inte Ă€r att kartlĂ€gga enskilda â i mĂ„nga fall anses innebĂ€ra kartlĂ€ggning av enskildas förhĂ„llanden. SĂ„ torde fallet vara i frĂ„ga om ett stort antal uppgiftssamlingar som det allmĂ€nna förfogar över. En mycket stor mĂ€ngd information som rör enskildas personliga förhĂ„llanden finns t.ex. lagrad i Skatteverkets, Tullverkets, FörsĂ€kringskassans och Kronofogdemyndighetens olika databaser. Ăven Statistiska centralbyrĂ„n och andra statistikansvariga myndigheter, t.ex. Socialstyrelsen och Brottsförebyggande rĂ„det, lagrar och bearbetar stora mĂ€ngder uppgifter om enskildas personliga förhĂ„llanden i sina databaser. Flera av dessa uppgiftssamlingar omfattar en stor andel av landets hela befolkning och flera av dem innehĂ„ller ocksĂ„ till viss del mycket integritetskĂ€nsliga uppgifter. Myndighets- specifika verksamhetsregister och databaser med information som Ă€r knuten till en myndighets Ă€rendehantering förekommer inom i stort sett all statlig och kommunal förvaltning. SĂ€rskilda föreskrifter som anger de nĂ€rmare förutsĂ€ttningarna för informationshanteringen finns för t.ex. socialtjĂ€nsten, studiestödsverksamheten, KriminalvĂ„rden och den brottsbekĂ€mpande verksamheten hos sĂ„vĂ€l polismyndigheterna, Tullverket och Ă„klagarmyndigheterna som Skatteverket och Kust- bevakningen samt hos domstolarna. I flertalet fall Ă€r uppgifterna till- gĂ€ngliga för myndigheterna pĂ„ sĂ„dant sĂ€tt att lagringen och behand- lingen av uppgifterna kan sĂ€gas innebĂ€ra att enskilda kartlĂ€ggs, Ă€ven om det huvudsakliga Ă€ndamĂ„let med behandlingen Ă€r ett helt annat. Det förekommer Ă€ven att uppgiftssamlingar inrĂ€ttas och utformas i syfte att fungera som mer utprĂ€glade personregister. Som exempel kan nĂ€mnas polisens belastningsregister. Registreringen av personuppgifter i registret kan sĂ€gas innebĂ€ra en kartlĂ€ggning av alla dem som har
194
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
dömts eller pÄ annat sÀtt lagförts för brott, Àven om registrets uttalade ÀndamÄl Àr att ge information Ät olika myndigheter om belastnings- uppgifter som behövs bl.a. för att utreda brott och bestÀmma straff samt vid lÀmplighets- och tillstÄndsprövning av skilda slag. PÄ liknande sÀtt förhÄller det sig med mÄnga andra register som anvÀnds i den brottsbekÀmpande verksamheten, t.ex. polisens misstankeregister, finger- avtrycks- och
Vid bedömning av vilka Ă„tgĂ€rder som kan anses utgöra ett âbetyd- ande intrĂ„ngâ ska enligt motiven bĂ„de Ă„tgĂ€rdens omfattning och arten av det intrĂ„ng Ă„tgĂ€rden innebĂ€r beaktas. Ăven Ă„tgĂ€rdens Ă€nda- mĂ„l och andra omstĂ€ndigheter kan ha betydelse.
NÄgra exempel pÄ tillÀmpningen
Datalagringsdirektivet
I prop. 2010/11:46 lÀmnades förslag till genomförande av Europa- parlamentets och rÄdets direktiv 2006/24/EG om lagring av uppgifter som genererats eller behandlats i samband med tillhandahÄllande av allmÀnt tillgÀngliga elektroniska kommunikationstjÀnster eller all- mÀnna kommunikationsnÀt och om Àndring av direktiv 2002/58/EG. Direktivet syftade till att harmonisera medlemsstaternas regler om skyldigheter för leverantörer av allmÀnt tillgÀngliga elektroniska kommunikationstjÀnster eller allmÀnna kommunikationsnÀt att lagra trafik- och lokaliseringsuppgifter samt uppgifter som behövs för att identifiera en abonnent eller anvÀndare för att sÀkerstÀlla att uppgifterna finns tillgÀngliga för avslöjande, utredning och Ätal av allvarliga brott.
Direktivet föreslogs bli genomfört i svensk rÀtt genom regler intagna i lagen (2003:389) om elektronisk kommunikation, LEK. Lagringsskyldig skulle enligt 6 kap. 16 a § LEK den vara som be- driver anmÀlningspliktig verksamhet enligt 2 kap. 1 § samma lag. DÀrigenom omfattas leverantörer av allmÀnt tillgÀngliga kommu- nikationsnÀt.
I yttrande till justitieutskottet gjorde konstitutionsutskottet be- dömningen att det var frÄga om mycket omfattande informations-
195
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
samlingar som delvis avser integritetskÀnsliga uppgifter, nÀmligen om vem som kommunicerade med vem, nÀr det skedde, var de som kommunicerade befann sig och vilken typ av kommunikation som anvÀndes. Enligt utskottets mening sker ett integritetsintrÄng redan genom att uppgifterna lagras, Àven om merparten av de uppgifter som föreslÄs ska lagras troligen aldrig kommer att begÀras ut för brottsutredningar. I likhet med regeringen ansÄg dÀrför utskottet att lagringen av trafikuppgifter medför ett intrÄng i enskildas per- sonliga integritet. IntrÄnget mÄste, mot bakgrund av den mÀngd trafikuppgifter om en enskild som kan komma att lagras, anses vara betydande. Den lagring av trafikuppgifter som föreslogs i proposi- tionen omfattades dÀrför enligt utskottets mening av regerings- formens skydd i 2 kap. 6 § andra stycket för den personliga inte- griteten (2010/11:JuU14).
Det aktuella lagförslaget förklarades i mars 2011 vilande enligt 2 kap. 22 § RF. I mars 2012 avgav justitieutskottet i enlighet med dÄvarande 4 kap. 9 § RO ett nytt betÀnkande i Àrendet (2011/12:JuU28). Utskottet fann vid sin förnyade beredning av Àrendet inte skÀl att frÄngÄ den bedömning som gjordes i betÀnk- ande 2010/11:JuU14. LagÀndringarna trÀdde i kraft den 1 maj 2012 (SFS 2012:126 och 127).
Den 8 april 2014 meddelade
Kustbevakningsdatalagen
I prop. 2011/12:45 lade regeringen fram förslag till en lag om be- handling av personuppgifter i Kustbevakningens verksamhet, en kustbevakningsdatalag. Syftet med den föreslagna lagen var att ge Kustbevakningen möjlighet att behandla personuppgifter pÄ ett effektivt och ÀndamÄlsenligt sÀtt i sin verksamhet och att skydda mÀnniskor mot att deras personliga integritet krÀnks vid sÄdan behandling. Den föreslagna lagen reglerar, med nÄgra fÄ undantag, all behandling av personuppgifter i Kustbevakningens operativa
196
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
verksamhet. Lagen ersatte förordningen (2003:188) om behandling av personuppgifter inom kustbevakningen.
Kustbevakningens verksamhet kan, nÄgot förenklat, delas in under de tvÄ huvudrubrikerna sjöövervakning och rÀddningstjÀnst. Kust- bevakningens uppgifter regleras primÀrt i förordningen (2007:853) med instruktion för Kustbevakningen, men Àven i de sÀrskilda lagar och förordningar som innehÄller bestÀmmelser om verksamheten samt i regleringsbrev och enskilda regeringsbeslut. NÀmnas kan t.ex. lagen (1982:395) om Kustbevakningens medverkan vid polisiÀr övervakning, lagen (2000:1225) om straff för smuggling, narkotika- strafflagen (1968:64), sjölagen (1994:1009), lagen (2003:778) om skydd mot olyckor och fartygssÀkerhetslagen (2003:364).
BetrÀffande behovet av en ny lagstiftning rörande Kustbevak- ningens personuppgiftsbehandling gjordes bl.a. följande uttalande (prop. 2011/12:45 s. 62).
Personuppgiftslagen gÀller generellt för all behandling av personupp- gifter, sÄvida det inte finns avvikande regler i lag eller förordning. I det lagstiftningsÀrende som föregick personuppgiftslagen uttalade rege- ringen att lagen i princip bara bör innehÄlla generella regler och att behovet av undantag och sÀrregler för mer speciella omrÄden fÄr till- godoses genom andra författningar (prop. 1997/98:44 s. 40 f.). SÄdan författningsreglering, frÀmst i form av s.k. registerlagar, har skett utifrÄn det principiella stÀllningstagandet att myndighetsregister med ett stort antal registrerade personer och ett integritetskÀnsligt innehÄll bör regleras i lag.
Sedan den 1 januari 2011 Àr enskilda skyddade gentemot det allmÀnna mot betydande intrÄng i den personliga integriteten, om det sker utan samtycke och innebÀr kartlÀggning eller övervakning av personliga förhÄllanden (2 kap. 6 § RF). InskrÀnkningar i detta skydd kan enbart ske i lag och bara för att tillgodose ÀndamÄl som Àr godtagbara i ett demokratiskt samhÀlle (2 kap. 20 och 21 §§ RF). UtgÄngspunkten för behovet av och villkoren för lagregleringen av behandling av person- uppgifter som utförs av myndigheter bör sÄledes numera tas i rege- ringsformens bestÀmmelser om integritetsskydd. Med hÀnsyn till omfattningen och arten av Kustbevakningens verksamhet, den ingrip- ande myndighetsutövning som ingÄr i uppgiften samt behovet av att kunna behandla personuppgifter Àven av kÀnsligare slag inom frÀmst den brottsbekÀmpande verksamheten anser regeringen att stora delar av Kustbevakningens personuppgiftsbehandling innefattar sÄdan inte- gritetskÀnslig informationshantering som enskilda Àr skyddade mot enligt 2 kap. 6 § andra stycket RF. Det finns dÀrför ett behov av en sÀrskild författningsreglering i lag av behandlingen av personuppgifter i Kustbevakningens verksamhet.
197
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
UppgiftsutlÀmnande till utlandet m.m.
I prop. 2010/11:129 lÀmnades förslag pÄ de lagÀndringar som krÀvdes för att genomföra det automatiserade utbyte av
Medlemsstaterna ska enligt rÄdsbeslutet ge varandra tillgÄng till uppgifter i de nationella
Mot bakgrund av 2 kap. 6 § andra stycket RF gjordes i proposi- tionen den bedömningen att utlÀndska myndigheters direktÄtkomst till svenska register och svenska myndigheters direktÄtkomst till utlÀndska register bör regleras i lag (prop. 2010/11:129 s. 49 f).
BetrÀffande frÄgan om hur utbyte av uppgifter ur kriminal- register mellan EU:s medlemsstater i olika hÀnseenden förhÄller sig till kravet pÄ lagform enligt 2 kap. 6 § andra stycket RF, se prop. 2011/12:163 s. 26 f.
7.3.2VÄra övervÀganden
Bedömning: Det torde höra till undantagen att en behandling av personuppgifter sedd för sig kan anses utgöra ett ingrepp i enskildas personliga förhÄllanden och dÀrför krÀver stöd i lag enligt 8 kap. 2 § första stycket 2 RF för att vara tillÄten. FrÄn normgivningssynpunkt saknas det dÀrför som huvudregel hinder mot att bestÀmmelser som avviker frÄn eller kompletterar inne- hÄllet i den generella lagen i form av t.ex. myndighetsspecifika föreskrifter om sökbegrÀnsningar, direktÄtkomst, behandling av kÀnsliga personuppgifter m.m. ges i förordningsform.
I den mÄn sÄdana myndighetsspecifika föreskrifter av nÄgot skÀl ÀndÄ bedöms utgöra ingrepp i enskilds personliga förhÄllan- den och dÀrför krÀver lagform kan de tas in i bilaga till den generella lagen eller i annan lag.
Bortsett frÄn de brottsbekÀmpande myndigheterna torde det bara vara i rena undantagsfall som behandling av personuppgifter
198
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
hos myndigheter kan anses innehÄlla nÄgra sÄdana sÀrskilda moment som Àr av det slaget att behandlingen mÄste ha stöd i en sÄdan lag som endast fÄr beslutas enligt reglerna i 2 kap. RF.
Den nya grundlagsbestÀmmelsen med ett kompletterande skydd för den personliga integriteten i 2 kap. 6 § andra stycket RF om- fattar ett skydd mot betydande intrÄng. En frÄga i detta samman- hang Àr dÀrför vad som över huvud taget Àr att betrakta som in- trÄng i den personliga integriteten nÀr det gÀller automatiserad behandling av personuppgifter. Den frÄgan har inte behandlats nÀr- mare i förarbetena till bestÀmmelsen. BestÀmmelsen tar inte heller sikte specifikt pÄ sÄdan behandling, utan i allmÀn mening anvÀnd- ning av information som rör vars och ens personliga förhÄllanden. I förarbetena anförs att grundlagsbestÀmmelsen Àr tillÀmplig nÀr det Àr frÄgan om ett betydande ingrepp i den enskildes privata sfÀr (prop. 2009/10:80 s. 250). Vi har alltsÄ anledning att inledningsvis stÀlla oss frÄgan nÀr en automatiserad behandling alls kan utgöra ett ingrepp i den enskildes privata sfÀr. Först dÀrefter kan stÀllning tas till nÀr en behandling av personuppgifter ocksÄ Àr att anse som ett betydande ingrepp.
UtgÄngspunkten i flera av de internationella konventioner och andra dokument som Sverige har förbundit sig att följa pÄ data- skyddets omrÄde Àr att den enskildes rÀtt till sin personliga inte- gritet kan behöva skyddas i förhÄllande till principen om ett fritt flöde av information, oberoende av grÀnser, som ocksÄ finns in- skriven i mÄnga internationella överenskommelser om fri- och rÀttig- heter. SÄ Àr exempelvis fallet med EuroparÄdets konvention om skydd för enskilda vid automatisk databehandling (CETS 108) och dataskyddsdirektivet.
För svenskt vidkommande Ă€r utgĂ„ngspunkten i normgivnings- hĂ€nseende â i vart fall sĂ„vitt avser myndigheter under regeringen â att det förhĂ„llandet att det allmĂ€nna registrerar personuppgifter om enskilda inte innebĂ€r nĂ„gra skyldigheter för den enskilde och inte heller i övrigt avser ingrepp i enskildas personliga förhĂ„llanden i den mening som avses i 8 kap. 2 § första stycket 2 RF. BestĂ€m- melser om behandling av personuppgifter Ă€r i stĂ€llet i princip att anse som bestĂ€mmelser som införs för att skydda den enskilde. Registerförfattningar som reglerar behandling av personuppgifter hos de statliga myndigheter som lyder under regeringen anses
199
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
dÀrför i princip kunna ha form av förordning enligt 8 kap. 7 § första stycket 2, dvs. de hör till regeringens primÀromrÄde.
Föreskrifter om behandling av personuppgifter anses alltsĂ„ i princip ha till effekt att skydda den enskilde frĂ„n en annars fri anvĂ€ndning av uppgifterna. FrĂ„gan om nĂ€r en automatiserad be- handling av personuppgifter kan utgöra ett intrĂ„ng i den enskildes personliga integritet kan emellertid inte besvaras sĂ„ enkelt som att sĂ„ Ă€r fallet om behandlingen strider mot meddelade dataskydds- bestĂ€mmelser. Ăven bestĂ€mmelser som tillĂ„ter en viss behandling kan i princip innebĂ€ra ett intrĂ„ng i den enskildes personliga inte- gritet. Det hör samman med att varken vars och ens rĂ€tt till respekt för sitt privat- och familjeliv enligt artikel 8 i Europakonventionen eller den mer begrĂ€nsade rĂ€tten till grundlagsskydd för den per- sonliga integriteten i 2 kap. RF utgör nĂ„gra absoluta rĂ€ttigheter. De Ă€r i stĂ€llet att betrakta som s.k. relativa rĂ€ttigheter, eftersom de kan inskrĂ€nkas i de fall och pĂ„ det sĂ€tt som anges i respektive regelverk. Man mĂ„ste alltsĂ„ skilja pĂ„ tillĂ„tna och otillĂ„tna intrĂ„ng i den en- skildes personliga integritet.
Av Europadomstolens praxis rörande artikel 8 kan lÀsas ut att behandling av personuppgifter som Àr av kÀnslig art i mÄnga fall kan anses beröra rÀtten till respekt för privatlivet. Beroende pÄ omstÀndigheterna kan artikeln anses stÀlla krav pÄ behandlingen av sÄdana uppgifter i tre avseenden; dels i frÄga om det berÀttigade i att alls registrera dem, dels i frÄga om rÀtt för den enskilde att sjÀlv fÄ ta del av uppgifterna och dels slutligen i frÄga om skydd mot att andra fÄr tillgÄng till uppgifterna (SOU 2008:3 s. 78 f.). I sina avgör- anden har domstolen först tagit stÀllning till om behandlingen av personuppgifter i sig har utgjort ett intrÄng i den enskildes privat- liv. Om ett intrÄng föreligger, har domstolen dÀrefter bedömt om intrÄnget har haft ett legitimt intresse och i övrigt uppfyllt förut- sÀttningarna för att intrÄnget ska anses förenligt med konventio- nen. Först om det har varit frÄgan om ett intrÄng som inte upp- fyller konventionens krav har intrÄnget varit att anse som ett brott mot konventionen, varmed den enskilde har rÀtt till kompensation för krÀnkningen (se t.ex. mÄlet
Europakonventionen utgör sedan Är 1995 svensk lag. RÀttigheterna i konventionen har vidare bekrÀftats i EU:s rÀttighetsstadga, som gjorts bindande för medlemsstaterna genom att en hÀnvisning till
200
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
stadgan har införts i artikel 6.1 i
Sett i perspektivet av den enskildes numera lagstadgade rĂ€tt till skydd för sitt privatliv i samband med behandling av personupp- gifter kan en bestĂ€mmelse som exempelvis tillĂ„ter det allmĂ€nna att utan samtycke frĂ„n den enskilde behandla kĂ€nsliga personuppgifter utgöra ett intrĂ„ng i den enskildes personliga integritet. En sĂ„dan bestĂ€mmelse Ă€r alltsĂ„ inte nĂ„gon skyddsbestĂ€mmelse, utan skyddet i det fallet ligger i rĂ€ttighetsbestĂ€mmelsen. En helt annan sak Ă€r att det Ă€ndĂ„ kan vara frĂ„gan om ett tillĂ„tet intrĂ„ng, om det uppfyller Europakonventionens krav pĂ„ legitimitet och proportionalitet. Samma resonemang torde exempelvis kunna föras i frĂ„ga om dataskydds- direktivets möjlighet för medlemsstaterna att besluta om undantag frĂ„n förbudet mot att utan samtycke behandla kĂ€nsliga personupp- gifter om det finns ett viktigt allmĂ€nt intresse. Om ett undantag beslutas, torde det alltsĂ„ i och för sig utgöra ett intrĂ„ng i den enskildes rĂ€tt till en privat sfĂ€r, men det kan vara ett tillĂ„tet intrĂ„ng. I detta fall Ă€r det alltsĂ„ bestĂ€mmelsen i direktivet â införlivad i den nationella lagstiftningen â som utgör skyddsbestĂ€mmelsen, medan den bestĂ€mmelse som medger ett undantag med hĂ€nsyn till ett viktigt allmĂ€nt intresse Ă€r att se som ett intrĂ„ng i den enskildes rĂ€tt.
En föreskrift som tillÄter ett intrÄng i den enskildes rÀtt till per- sonlig integritet, exempelvis genom att kÀnsliga personuppgifter fÄr behandlas utan samtycke, Àr rimligen ocksÄ att se som ett ingrepp i enskilds personliga förhÄllanden. Det följer dÀrmed av 8 kap. 2 § första stycket 2 RF att en sÄdan föreskrift ska ha form av lag eller i vart fall stöd av lag (jfr 8 kap. 3 § RF).
NÀr registerlagar beslutas har det i allmÀnhet inte diskuterats i förarbetena huruvida lagnivÄn har betingats av att regleringen inte bara innehÄller renodlade skyddsbestÀmmelser, som i och för sig
201
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
skulle kunna meddelas i form av en förordning, utan för att den ocksÄ innehÄller bestÀmmelser som tillÄter ett ingrepp i den enskil- des personliga förhÄllanden. Vanligt Àr i stÀllet att den ovan redo- visade motivledes uttalade ambitionen frÄn tidigt
Som exempel pÄ de resonemang i normgivningsfrÄgan som brukar föras i lagstiftningsÀrenden om nya registerförfattningar kan nÀmnas att LagrÄdet i samband med införandet av registerförfatt- ningar för Skatteverket, Kronofogdemyndigheten och Tullverket uttalade att svensk rÀtt i och för sig inte fordrar att föreskrifter av det slag som fanns i de föreslagna lagarna ges form av lag. Det medförde att de normgivningsbemyndiganden som kunde finnas i förslagen i princip var onödiga (prop. 2000/01:33 s. 345). Rege- ringen kommenterade inte LagrÄdets uttalande pÄ annat sÀtt Àn att bestÀmmelser i de olika lagarna om att regeringen meddelar nÀr- mare föreskrifter hade utformats i enlighet med LagrÄdets syn- punkter (se t.ex. a. prop. s. 202). Det innebÀr emellertid att rege- ringen i och för sig fÄr anses ha instÀmt i bedömningen att bestÀm- melserna inte till nÄgon del omfattades av ett krav enligt 8 kap. RF pÄ att vÀlja lagformen för de aktuella författningarna, men att den formen ÀndÄ valdes (jfr a. prop. s. 121). NÀr nya registerförfatt- ningar införs handlar resonemangen kring normnivÄ ocksÄ vanligt- vis om vad författningen som sÄdan anses krÀva, i stÀllet för vilka enskilda föreskrifter som eventuellt ska meddelas i form av lag.
Att resonemangen om normnivÄ för registerförfattningar har en politisk snarare Àn en rÀttslig prÀgel torde ha sin bakgrund i att de
202
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
första uttalandena om denna politiska ambition gjordes vid en tid dÄ skyddet för den enskildes integritet hade fÄtt en ökad aktualitet genom en allmÀn debatt dÀr myndigheternas anvÀndning av person- uppgifter i vissa register kritiserades. DÄ fanns emellertid Ànnu inte nÄgon rÀttsligt bindande regel som innebar ett allmÀnt skydd för personlig integritet i svensk lagstiftning, eftersom Europakonven- tionen Ànnu inte var inkorporerad. Det som fanns i form av en generell regel var mÄlsÀttningsstadgandet i 1 kap. 2 § fjÀrde stycket RF som föreskriver att det allmÀnna ska verka för att demokratins idéer blir vÀgledande inom samhÀllets alla omrÄden samt vÀrna den enskildes privatliv och familjeliv.
Den nya bestÀmmelsen i 2 kap. 6 § andra stycket RF om ett generellt, om Àn begrÀnsat, skydd för den personliga integriteten syftar alltsÄ inte till att ange vilka föreskrifter om exempelvis be- handling av personuppgifter som ska ha form av lag i stÀllet för förordning. Snarare torde bestÀmmelsen, som vi ser det, sÄvitt avser behandling av personuppgifter primÀrt ha funktionen att bland sÄdana intrÄng som omfattas av lagkravet enligt 8 kap. 2 § första stycket 2 RF skilja ut de intrÄng som Àr sÄ kvalificerade att de ska omfattas av de sÀrskilda begrÀnsningar som enligt 2 kap.
â att lagstiftaren har utgĂ„tt frĂ„n att det kan finnas regler som omfattas av bestĂ€mmelsen utan att för den skull ocksĂ„ omfattas av nĂ„got lagkrav enligt 8 kap. RF.
UtgÄngspunkten Àr emellertid att integritetsintressen som faller utanför grundlagsbestÀmmelsens tillÀmpningsomrÄde, exempelvis vid behandling av personuppgifter, alltsÄ inte behöver sakna skydd utan att dÀr ÀndÄ kan gÀlla ett krav pÄ att ett intrÄng tillÄts enbart i form av lag (jfr prop. 2009/10:80 s. 177). Utrymmet för ÄtgÀrder som innebÀr begrÀnsningar i den enskildes rÀtt till respekt för privatlivet begrÀnsas vidare genom de krav som följer av Europakonventionen.
203
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
Vad fÄr den höga detaljeringsgraden pÄ lagnivÄ för konsekvenser?
Det kan visserligen hÀvdas att den uttalade ambitionen att myndig- hetsregister med ett stort antal registrerade och ett sÀrskilt kÀnsligt innehÄll ska regleras i lag i principiell mening har varit en god sak frÄn integritetsskyddssynpunkt. Emellertid torde det enbart vara ett fÄtal föreskrifter om myndigheters behandling av personupp- gifter som i rÀttslig mening krÀver lagstöd. I stÀllet torde merparten kunna meddelas i form av förordning. Vi Äterkommer till denna frÄga nedan.
Ambitionen att ha samtliga de föreskrifter som behövs för ett visst verksamhetsomrÄde eller en viss myndighets behandling av personuppgifter i en sÀrskild författning pÄ lagnivÄ har emellertid medfört uppenbara olÀgenheter för utvecklingen av en effektiv för- valtning eftersom det har inneburit en onödigt hög detaljeringsgrad pÄ lagnivÄ. Reformarbeten som syftar till att effektivisera myndig- heternas hantering av sina Àrenden, att ge en förbÀttrad service nÀr det gÀller enskildas insyn allmÀnt och i egna Àrenden och att sam- verka med myndigheter och andra aktörer, och som inte i nÄgot avseende innebÀr ett intrÄng i de registrerades integritet, kompli- ceras av eller riskerar att inte alls bli av pÄ grund av att den aktuella registerlagen i alltför hög grad detaljstyr behandlingen av person- uppgifter.
Att bedöma vilken normnivÄ som krÀvs för föreskrifter om behandling av personuppgifter utifrÄn den uttalade politiska ambi- tionen kan, som redan pÄpekats, i principiell mening vara bra för skyddet av enskildas personliga integritet. Den omstÀndigheten att resonemang om normnivÄ enbart har denna utgÄngspunkt, och att de dessutom snarare handlar om att ha en uppfattning om författ- ningen som sÄdan Àn om de enskilda frÄgor den reglerar, riskerar enligt vÄr mening emellertid att leda till att de integritetsfrÄgor som skulle behöva bli belysta frÄn ett rÀttighetsperspektiv inte fÄr den uppmÀrksamhet de förtjÀnar. Det leder i sin tur till att det blir Àn svÄrare att identifiera i vilka fall det sÀrskilda skyddet i 2 kap. 6 § andra stycket RF verkligen ska tillÀmpas.
Den uttalade ambitionen att vissa registerförfattningar ska ha form av lag kan alltsÄ paradoxalt nog leda till en sÀmre rÀttslig ana-
204
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
lys av vilka intrÄng i den enskildes personliga integritet som en viss behandling av personuppgifter faktiskt kan innebÀra.
Finns det nÄgra typfall dÄ en behandling av personuppgifter kan anses utgöra ett intrÄng och dÀrför krÀva stöd i lag?
AllmÀnt
Den omstÀndigheten att personuppgifter behandlas pÄ ett sÀtt som omfattas av dataskyddsdirektivet kan inte i sig anses utgöra ett intrÄng. Det Àr det sammanhang dÀr behandlingen sker som avgör om behandlingen sedd för sig kan anses utgöra ett intrÄng i den enskildes rÀtt till en privat sfÀr. Föreskrifter om myndigheters behandling av personuppgifter reglerar i allmÀnhet inte vad en myndighet ska eller tillÄts göra i sin verksamhet. Detta regleras i andra regelverk som föreskriver exempelvis vilka uppgifter och vilka befogenheter myndigheten har, vilka personuppgifter och andra uppgifter som ska samlas in och frÄn vem samt vilka uppgifter som ska lÀmnas till andra utanför myndighetens verksamhet. Före- skrifter om behandling av personuppgifter handlar i stÀllet i allmÀn- het om vilka krav som ska stÀllas pÄ sÄdan behandling nÀr myndig- heten utför sina uppgifter. I den mÄn det allmÀnna tillÄts att göra intrÄng i enskildas privata sfÀr för att en myndighet ska kunna utföra en viss uppgift, exempelvis genom att enskilda ÄlÀggs en skyldighet att lÀmna uppgifter om personliga förhÄllanden till myn- digheten, regleras detta alltsÄ i allmÀnhet i nÄgot annat regelverk Àn i en renodlad registerförfattning. Det innebÀr att föreskrifter om hur behandling av personuppgifter ska gÄ till i allmÀnhet kan med- delas i form av förordning genom regeringens egen rÀtt att besluta föreskrifter enligt 8 kap. 7 § RF, dvs. utan att nÄgot bemyndigande om detta i lag krÀvs.
Det torde alltsÄ höra till undantagen att en behandling av per- sonuppgifter sedd för sig kan anses utgöra ett ingrepp i enskildas personliga förhÄllanden och dÀrför krÀver stöd i lag enligt 8 kap. 2 § första stycket 2 RF för att behandlingen ska vara tillÄten.
Vad som nu sagts gÀller normalt ocksÄ i de fall en behandling fÄr ske utan samtycke frÄn den enskilde. Det finns emellertid nÄgra typsituationer dÀr det kan finnas anledning att sÀrskilt övervÀga om
205
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
det behövs stöd i lag för den avsedda behandlingen av personupp- gifter.
Som redan framgÄtt Àr behandling av kÀnsliga personuppgifter utan samtycke frÄn den enskilde ett omrÄde som enligt Europa- domstolens praxis kan aktualisera frÄgor om intrÄng i den enskildes rÀtt till en privat sfÀr. BetrÀffande sÄdana uppgifter krÀvs dÀrför sÀrskilt noggranna övervÀganden i frÄgan om det behövs ett ut- tryckligt stöd i lag för den avsedda behandlingen. Det kan vidare konstateras att uppgiftsutbyte genom direktÄtkomst, som alltsÄ normalt medför krav pÄ en sekretessbrytande regel som möjliggör Ätkomsten, vanligtvis hÀmtar sitt stöd i en författning som reglerar behandling av personuppgifter. BestÀmmelser som uttryckligen medger utökade befogenheter att sammanstÀlla kÀnsliga person- uppgifter eller uppgifter om brottslighet hÀmtar ocksÄ vanligtvis sitt stöd i en s.k. registerförfattning. Nedan behandlas mer utförligt dessa typsituationer med avseende pÄ nÀr det kan vara frÄgan om ett intrÄng i den enskildes personliga integritet.
Personuppgifter med ett kÀnsligt innehÄll
Behandling av kÀnsliga personuppgifter och Àven uppgifter om brottslighet kan i mÄnga fall anses beröra rÀtten till respekt för privatlivet enligt artikel 8 i Europakonventionen. Av dataskydds- direktivet följer att behandling av kÀnsliga personuppgifter i princip Àr förbjuden, om inte den enskilde har samtyckt till behandlingen. Denna huvudregel gÀller Àven myndigheter. I direktivet rÀknas upp vissa undantagsfall dÄ en behandling utan samtycke emellertid kan vara tillÄten. Vidare ger direktivet medlemsstaterna möjlighet att i sin nationella lagstiftning eller genom beslut av tillsynsmyndigheten besluta om ytterligare undantag med hÀnsyn till ett viktigt allmÀnt intresse.
I 20 § PuL har det tagits in ett bemyndigande för regeringen eller den myndighet som regeringen bestÀmmer att meddela undan- tag frÄn förbudet att behandla kÀnsliga personuppgifter om det behövs med hÀnsyn till ett viktigt allmÀnt intresse. Det kan konsta- teras att bestÀmmelsen utgör ett sÄdant bemyndigande i lag som krÀvs enligt 8 kap. 3 och 10 §§ RF i den mÄn den avsedda behand-
206
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
lingen av kÀnsliga personuppgifter utgör ett sÄdant ingrepp i en- skilds personliga förhÄllanden som avses i 2 § första stycket 2.
Genom 20 § PuL Àr det alltsÄ möjligt att meddela bestÀmmelser som tillÄter en myndighet att behandla kÀnsliga personuppgifter med hÀnsyn till ett viktigt allmÀnt intresse i form av förordning.
Som kommer att framgÄ i det följande föreslÄr vi att det i den generella lagen ges ett generellt stöd för myndigheter att behandla kÀnsliga personuppgifter som motiveras med att det behövs med hÀnsyn till ett viktigt allmÀnt intresse. Det kommer alltsÄ att finnas ett uttryckligt stöd för alla myndigheter att i viss omfattning behandla kÀnsliga personuppgifter utan samtycke frÄn den enskilde. BestÀmmelsen kompletteras med ett bemyndigande för regeringen eller den myndighet som regeringen bestÀmmer att meddela före- skrifter om ytterligare undantag i de fall det behövs för en viss myndighet eller en viss sektorsvis verksamhet. Det kan dÀrför hÀr finnas anledning att övervÀga i vilken utstrÀckning en sÄdan bestÀm- melse faktiskt innebÀr ett sÄdant intrÄng i enskilds personliga för- hÄllanden som avses i 8 kap. 2 § första stycket 2 RF.
Det kan dÄ inledningsvis konstateras att det inte kan anses givet att en behandling av kÀnsliga personuppgifter som tillÄts med hÀn- syn till ett viktigt allmÀnt intresse utgör ett intrÄng i den enskildes personliga integritet. I vilken mÄn sÄ Àr fallet fÄr bedömas utifrÄn det sammanhang dÀr föreskriften ges. Om myndighetens verksam- het i övrigt Àr reglerad sÄ att det redan finns bestÀmmelser som förutsÀtter eller tillÄter att myndigheten anvÀnder sig av kÀnsliga personuppgifter för att den ska kunna utföra sina uppgifter, kan det inte behövas nÄgot ytterligare stöd för det genom en bestÀm- melse i lag som tillÄter att uppgifterna hanteras genom automati- serad behandling, dvs. elektroniskt. Exempelvis torde den behand- ling av kÀnsliga personuppgifter som sker hos FörsÀkringskassan vara en nödvÀndig följd av den verksamhet som myndigheten genom andra regelverk Àr Älagd att utföra. Den omstÀndigheten att uppgifterna hanteras automatiserat torde alltsÄ inte i sig innebÀra ett ingrepp i enskilds personliga förhÄllanden. Det förhÄllandet att FörsÀkringskassans verksamhet innebÀr att myndigheten samlar in och bevarar kÀnsliga personuppgifter om en stor del av befolk- ningen torde emellertid innebÀra att sÀrskilda övervÀganden be- höver göras betrÀffande ingrepp i enskilds personliga förhÄllanden om det exempelvis skulle bli aktuellt att ge en annan myndighet,
207
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
som inte tidigare har haft befogenhet att sjÀlv samla in den typen av uppgifter, en omfattande tillgÄng till FörsÀkringskassans informa- tionssamlingar.
Till skillnad frÄn det som vi betecknar som informationshante- ringsförfattningar innehÄller regelrÀtta registerförfattningar ofta en bestÀmmelse som föreskriver att registret i frÄga ska föras. Stödet att fÄ behandla personuppgifter i registret ges alltsÄ i samma för- fattning som registret har inrÀttats genom. Om registret innehÄller kÀnsliga personuppgifter kan dÀrmed de föreskrifter som innebÀr stöd för att föra registret i sig utgöra ett ingrepp i enskilds per- sonliga förhÄllanden. Ett exempel pÄ ett sÄdant register med ett kÀnsligt innehÄll Àr belastningsregistret. BestÀmmelserna i lagen (1998:620) om belastningsregister som reglerar registrets ÀndamÄl, innehÄll och vilka som har rÀtt att fÄ uppgifter frÄn registret torde vara att anse som ingrepp i enskilds personliga förhÄllanden som krÀver stöd i lag enligt 8 kap. 2 § första stycket 2 RF, medan bestÀmmelserna om gallring, tystnadsplikt, rÀtt till skadestÄnd m.m. syftar till att skydda den enskilde.
Andra myndigheter Àn den som har till uppgift att föra belast- ningsregistret torde sÀllan ha nÄgot behov av att pÄ motsvarande sÀtt samla uppgifter om brottslighet. Enligt dataskyddsdirektivet Àr det, till skillnad frÄn vad som gÀller i frÄga om kÀnsliga person- uppgifter, inte förbjudet för myndigheter att behandla personupp- gifter som rör lagövertrÀdelser. Av de grundlÀggande kraven som ska vara uppfyllda vid behandling av personuppgifter torde det emellertid i allmÀnhet följa begrÀnsningar i myndigheters möjlig- heter att i den omfattning som Àr syftet med belastningsregistret sammanstÀlla den typen av uppgifter. Om nÄgon annan myndighet Àn den som för belastningsregistret ska tillÄtas att i en större omfatt- ning sammanstÀlla uppgifter om brottslighet torde det alltsÄ behöva övervÀgas om det innebÀr ett ingrepp i enskilds personliga förhÄll- anden som i sÄ fall krÀver stöd i lag. Av dataskyddsdirektivet följer vidare att det Àr förbjudet för medlemsstaterna att tillÄta att ett fullstÀndigt register över brottmÄlsdomar förs under kontroll av nÄgon annan Àn en myndighet (artikel 8.5).
208
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
DirektÄtkomst
BestÀmmelser som medger direktÄtkomst till kÀnsliga personupp- gifter förutsÀtter i allmÀnhet att det finns en sekretessbrytande bestÀmmelse som medger att uppgifterna utan nÄgon ytterligare prövning kan lÀmnas ut till den som medgetts en sÄdan Ätkomst. En sÄdan sekretessbrytande bestÀmmelse kan dÀrför beroende pÄ omstÀndigheterna i det enskilda fallet utgöra ett ingrepp i den en- skildes personliga förhÄllanden, eftersom den innebÀr att den sekre- tess som normalt ska skydda uppgifterna inte lÀngre ska gÀlla i för- hÄllande till en viss aktör som befinner sig utanför myndighetens verksamhet.
En direktĂ„tkomst medges ofta för att effektivisera ett uppgifts- utbyte mellan myndigheter som redan Ă€ger rum. Om det tidigare uppgiftsutbytet sker med stöd av en sekretessbrytande bestĂ€m- melse som medger att uppgifter lĂ€mnas ut utan hinder av sekretess, torde den omstĂ€ndigheten att uppgiftsutbytet nu ska ske genom direktĂ„tkomst inte i sig innebĂ€ra att det sker nĂ„got ingrepp i enskilds personliga förhĂ„llanden. Att direktĂ„tkomst fĂ„r anses vara en mer ingripande form av uppgiftsutbyte Ă€n annat elektroniskt utlĂ€mnande hĂ€nger samman med att den vĂ€cker mer allmĂ€nna frĂ„gor om verksamhetsansvar och rĂ€ttsĂ€kerhet samt â beroende pĂ„ omstĂ€ndig- heterna â i ett mer övergripande perspektiv kan sĂ€gas pĂ„verka den enskildes rĂ€tt till skydd för sina personuppgifter dĂ€rför att sĂ€rskilda frĂ„gor om informationssĂ€kerhet aktualiseras (se vidare kapitel 5).
Ett uppgiftsutbyte av sekretessreglerade uppgifter som sker med stöd av den s.k. generalklausulen i 10 kap. 27 OSL, dvs. efter en avvÀgning mellan intresset av sekretess och den mottagande myn- dighetens behov av uppgifter, torde ofta inte kunna effektiviseras genom direktÄtkomst utan att en ny mer definitivt sekretessbryt- ande bestÀmmelse införs som möjliggör sÄdan Ätkomst. Eftersom en sÄdan sekretessbrytande bestÀmmelse innebÀr att nÄgon intresse- avvÀgning i det enskilda fallet inte lÀngre ska göras, kan det upp- fattas innebÀra en försvagning av sekretesskyddet vilket i sin tur kan utgöra ett ingrepp i enskilds personliga förhÄllanden. Ett upp- giftsutbyte mellan myndigheter med stöd av 10 kap. 27 § OSL kan emellertid ofta vara av sÄdant slag att det redan finns författnings- stöd för det genom en bestÀmmelse i lag eller förordning som med- ger att uppgifter rutinmÀssigt fÄr lÀmnas ut. Utbytet kan ocksÄ ha
209
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
sÄdan karaktÀr att uppgifter efter en intresseavvÀgning i praktiken alltid kan lÀmnas ut. Den omstÀndigheten att en ny sekretess- brytande bestÀmmelse behöver införas för att möjliggöra att utbytet effektiviseras genom direktÄtkomst behöver i ett sÄdant fall inte heller innebÀra ett ingrepp i enskildas personliga förhÄllanden.
Den omstÀndigheten att direktÄtkomst medges torde alltsÄ mÄnga gÄnger inte i sig innebÀra att det sker nÄgot ingrepp i enskilds personliga förhÄllanden i den mening som avses i 8 kap. 2 § första stycket 2 RF. Föreskrifter om att direktÄtkomst fÄr medges torde dÀrför som huvudregel kunna ges i förordning. Om direkt- Ätkomsten emellertid förutsÀtter att enskildas sekretesskydd i reali- teten försvagas pÄ sÄ sÀtt att kÀnsliga personuppgifter kan lÀmnas ut i betydligt större omfattning Àn vad som annars hade varit möjligt kan den emellertid vara att anse som ett sÄdant ingrepp i enskildas personliga förhÄllanden som förutsÀtter stöd i lag.
Av betydelse för om en direktÄtkomst kan anses utgöra ett ingrepp i enskilds personliga förhÄllanden eller inte Àr naturligtvis ocksÄ vilket förhÄllande de myndigheter har till varandra mellan vilket uppgiftsutbytet sker. Om myndigheternas verksamheter har nÀra anknytning till varandra och förutsÀtter att ett visst uppgifts- utbyte sker för att respektive myndighet ska kunna utföra sina uppgifter talar detta för att en direktÄtkomst mellan dessa myndig- heter inte i sig utgör ett ingrepp i enskilds personliga förhÄllanden. Som exempel kan nÀmnas det uppgiftsutbyte som sker mellan Skatte- verkets beskattningsverksamhet, Kronofogdemyndigheten och Tull- verket, med bortseende frÄn deras brottsutredande verksamhet. Om dÀremot brottsbekÀmpande myndigheter medges direktÄtkomst till sekretessreglerade personuppgifter hos myndigheter som inte Àgnar sig Ät brottsbekÀmpning torde det regelmÀssigt vara frÄgan om ett ingrepp i enskilds personliga förhÄllanden som krÀver stöd i lag, sÄvida inte uppgiftsutbytet Àr av ringa omfattning.
SammanstÀllningar av kÀnsliga personuppgifter
I mÄnga registerförfattningar finns bestÀmmelser som begrÀnsar myndigheters möjligheter att söka efter och sammanstÀlla kÀnsliga personuppgifter, s.k. sökbegrÀnsningar. Redan av dataskyddsdirek- tivets regler om vilka grundlÀggande krav som ska uppfyllas vid en
210
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
behandling av personuppgifter följer visserligen begrĂ€nsningar i möjligheterna att sammanstĂ€lla personuppgifter pĂ„ sĂ„ sĂ€tt att sam- manstĂ€llningen ska vara förenlig med det Ă€ndamĂ„l för vilket upp- gifterna samlades in. Uppgifterna ska ocksĂ„ vara relevanta i förhĂ„ll- ande till Ă€ndamĂ„let med sammanstĂ€llningen och inte fler Ă€n vad som Ă€r nödvĂ€ndigt för Ă€ndamĂ„let. I en myndighets verksamhet Ă„ligger det alltsĂ„ den som behandlar personuppgifter att göra dessa övervĂ€ganden innan en sammanstĂ€llning görs. Genom en bestĂ€m- melse som föreskriver vissa sökförbud har emellertid lagstiftaren som vi ser det gjort denna bedömning âpĂ„ förhandâ och klargjort att vissa sammanstĂ€llningar inte ska fĂ„ ske hos myndigheten. SĂ„dana sökförbud innebĂ€r ocksĂ„ begrĂ€nsningar i enskildas möjlig- het att fĂ„ en sammanstĂ€llning gjord med stöd av reglerna om allmĂ€nna handlingar i 2 kap. TF (jfr 2 kap. 3 § tredje stycket). Om en myndighet dĂ€remot bedöms ha behov av att kunna göra sĂ„dana sammanstĂ€llningar för att utföra sina uppgifter och att det dĂ€rför behöver införas en uttrycklig bestĂ€mmelse som tillĂ„ter det, kan detta beroende pĂ„ omstĂ€ndigheterna mĂ„hĂ€nda anses utgöra ett ingrepp i enskilds personliga förhĂ„llanden. Det Ă€ndamĂ„l för vilket samman- stĂ€llningen tillĂ„ts ske torde vara avgörande för om det ska vara att anse som ett ingrepp i enskilds personliga förhĂ„llanden eller inte.
NÀr kan behandling av personuppgifter vara ett betydande intrÄng?
Ovan har vi behandlat frĂ„gan om nĂ€r behandling av personupp- gifter i sig kan anses utgöra ett sĂ„dant ingrepp i enskilds personliga förhĂ„llanden att det enligt 8 kap. 2 § första stycket 2 RF krĂ€ver stöd i lag. NĂ€sta frĂ„ga blir dĂ„ i vilken mĂ„n sĂ„dan behandling ocksĂ„ eller dĂ€rutöver kan anses utgöra ett betydande intrĂ„ng i den mening som avses i 2 kap. 6 § andra stycket RF och i övrigt uppfyller de förutsĂ€ttningar som anges i stadgandet, dvs. sker utan samtycke och innebĂ€r kartlĂ€ggning eller övervakning av den enskildes per- sonliga förhĂ„llanden. Om grundlagsstadgandet Ă€r tillĂ€mpligt inne- bĂ€r det att kravet pĂ„ lagform Ă€r obligatoriskt â dvs. bemyndiganden Ă€r uteslutna â och att de sĂ€rskilda begrĂ€nsningarna enligt 2 kap. 20â 22 §§ RF rörande förutsĂ€ttningarna för riksdagen att besluta lagen gĂ€ller.
211
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
I 2 kap. 6 § första stycket RF rÀknas upp ett antal fall av intrÄng i den enskildes personliga integritet som ansetts krÀva sÀrskilt begrÀnsande regler för att de ska kunna tillÄtas genom lag. Det handlar exempelvis om kroppsvisitation, husrannsakan och hemlig avlyssning. I dessa fall Àr det alltsÄ frÄgan om metoder för insamling av uppgifter om personliga eller ekonomiska förhÄllanden som ansetts utgöra sÀrskilt svÄra intrÄng i vars och ens rÀtt till en privat sfÀr. Vi har ovan konstaterat att behandling av personuppgifter dÀremot inte utgör en metod eller teknik som i sig innebÀr intrÄng i en- skildas personliga integritet, utan att det Àr det sammanhang dÀr behandlingen sker som avgör om sÄ Àr fallet.
Inledningsvis kan pĂ„pekas att 2 kap. 6 § andra stycket RF till sin ordalydelse inte sĂ€rskilt tar sikte pĂ„ behandling av personuppgifter. TillĂ€mpningsomrĂ„det avser, liksom 8 kap. 2 § första stycket 2 RF, âpersonliga förhĂ„llandenâ. Ordalydelsen saknar referenser till inrĂ€tt- andet och förandet av personregister Ă€ven om det av motiven framgĂ„r att det Ă€r ett slag av verksamhet som har avsetts trĂ€ffas av bestĂ€mmelsen. I motiven framhĂ„lls att vad som ska avses med âkartlĂ€ggningâ och âövervakningâ fĂ„r bedömas med vad som enligt normalt sprĂ„kbruk lĂ€ggs i dessa begrepp. Det leder knappast tanken till personuppgiftsbehandling som sĂ„dan. Samtidigt finns det, som har framgĂ„tt, motivuttalanden som kan sĂ€gas ge uttryck för att redan det förhĂ„llandet att omfattande eller kĂ€nsliga informations- mĂ€ngder hanteras hos en viss myndighet kan ses som ett slags kart- lĂ€ggning som Ă€r av det slaget att grundlagsbestĂ€mmelsen ska anses vara tillĂ€mplig.
Det gÄr alltsÄ knappast att utifrÄn grundlagsstadgandets orda- lydelse avgöra i vilken mÄn stadgandet Àr tillÀmpligt pÄ person- uppgiftsbehandling sedd för sig. Vad som kan komma att anses gÀlla hÀr lÀr fÄ utmejslas i det framtida lagstiftningsarbetet. Ytterst avgörs saken av konstitutionsutskottet som för riksdagens del prövar om ett visst lagförslag utgör en fri- och rÀttighetsbegrÀnsning eller inte (jfr 2 kap. 22 § tredje stycket RF).
Av stÀllningstaganden som hittills gjorts i vissa lagstiftnings- Àrenden rörande tillÀmpningen av stadgandet kan emellertid den slutsatsen dras att nÀr en ny uppgift ÄlÀggs en myndighet uppgiften, beroende pÄ omstÀndigheterna, kan uppfattas som en sÄdan inte- gritetskrÀnkande behandling som omfattas av grundlagsbestÀmmel- sen. En viss skyldighet för en brottsbekÀmpande myndighet att
212
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
lĂ€mna uppgifter till en annan sĂ„dan myndighet har t.ex. ansetts inte vara omfattat av grundlagsstadgandet sĂ„ lĂ€nge de bĂ„da myndig- heterna Ă€r svenska. FörhĂ„llandet har emellertid ansetts vara det motsatta om uppgifterna ska lĂ€mnas till en brottsbekĂ€mpande myndighet i utlandet. I bĂ„da fallen Ă€r frĂ„ga om en behandling av personuppgifter men det Ă€r alltsĂ„ inte denna omstĂ€ndighet utan snarare den sakliga innebörden av Ă„tgĂ€rden â att uppgifter ska ut- bytas â som har ansetts utslagsgivande för om det ska vara frĂ„gan om ett betydande intrĂ„ng.
Enligt vÄr mening förefaller det naturligt att vid bedömningen av om grundlagsstadgandet Àr tillÀmpligt eller inte pÄ det sÀttet utgÄ frÄn den sakliga innebörden av en viss tÀnkt reglering. Lagstiftaren fÄr sÄledes stÀlla sig frÄgan vad det Àr som avses ska ske. Om bedömningen dÄ blir att en viss myndighetsuppgift trÀffas av grund- lagsstadgandet innebÀr detta att den uppgiften behöver regleras i lag och att de sÀrskilda förutsÀttningarna för rÀttighetsbegrÀnsade lagstiftning i 2 kap. RF dÄ gÀller. Det innebÀr dÀremot inte att all personuppgiftsbehandling som sker vid myndigheten i frÄga nöd- vÀndigtvis krÀver lagstöd. Det Àr alltsÄ, som vi ser det, frÄga om samma slags bedömning som behöver göras för att avgöra om en behandling av personuppgifter i sig utgör ett sÄdant ingrepp i en- skilds personliga förhÄllanden som avses i 8 kap. 2 § första stycket 2 RF, dock att det nu ocksÄ ska bedömas om det Àr frÄgan om ett betydande intrÄng.
Som framgĂ„tt har det emellertid förekommit att lagstiftaren intagit den positionen att den behandling av personuppgifter som sker vid en viss myndighet till âstora delarâ Ă€r av det slaget att grundlagstadgandet blir tillĂ€mpligt och att dĂ€rför all den person- uppgiftsbehandling som sker vid myndigheten har reglerats i lag, dvs. utöver det författningsstöd som redan finns för den faktiska verksamhet som myndigheten bedriver.
Det ska dock framhÄllas att grundlagstadgandet knappast krÀver att lagstiftaren pÄ detta sÀtt gör en avvÀgning av om en hel reglering för en viss verksamhet ska ha form av lag eller förordning. Det Àr som vi ser det endast de moment i verksamheten som utgör ett betydande intrÄng och i övrigt uppfyller förutsÀttningarna enligt stadgandet som mÄste ha stöd i lag. Det lagstiftningsÀrende dÀr datalagringsdirektivet infördes i svensk rÀtt innebar inte nÄgon ny skyldighet för en myndighet nÀr det gÀller behandling av uppgifter
213
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
SOU 2015:39 |
som rör enskilds personliga förhÄllanden, utan skyldigheten tog sikte pÄ leverantörer av elektroniska kommunikationstjÀnster, dvs. enskilda aktörer. Emellertid syftade skyldigheten att lagra s.k. trafikuppgifter till att brottsbekÀmpande myndigheter skulle ha till- gÄng till uppgifterna för sin verksamhet. PÄ sÄ sÀtt rörde skyldig- heten förhÄllandet mellan enskilda och det allmÀnna. Redan den lagring av vars och ens trafikuppgifter som leverantörerna blev Älagda att utföra ansÄgs utgöra ett intrÄng i enskildas personliga integritet. Mot bakgrund av den mÀngd trafikuppgifter om en enskild som kunde komma att lagras, ansÄgs intrÄnget ocksÄ vara betydande.
Datalagringen torde utgöra ett tydligt exempel pÄ ett fall dÄ grundlagsstadgandet blir tillÀmpligt med hÀnsyn till bÄde det sÀtt som valdes för att brottsbekÀmpande myndigheter skulle ha möjlig- het att fÄ tillgÄng till trafikuppgifter, nÀmligen att enskilda aktörer Älades att för brottsbekÀmpande ÀndamÄl lagra de uppgifter som de ursprungligen samlat in för att kunna utföra tjÀnster i förhÄllande till sina kunder, samt omfattningen av lagringen och uppgifternas integritetskÀnsliga karaktÀr.
Vi har för vĂ„r del svĂ„rt att se att grundlagsstadgandet kan ges den innebörden att det â bortsett frĂ„n de brottsbekĂ€mpande myn- digheterna â kan finnas myndigheter eller kategorier av myndig- heter vilkas verksamhet Ă€r av det slaget att all den behandling av personuppgifter som Ă€ger rum dĂ€r mĂ„ste ha stöd i en sĂ„dan lag som endast fĂ„r beslutas enligt reglerna i 2 kap. RF. Det förefaller ocksĂ„ vara i rena undantagsfall som behandling av personuppgifter hos icke brottsbekĂ€mpande myndigheter kan anses innehĂ„lla nĂ„gra sĂ€r- skilda moment av personuppgiftsbehandling som typiskt sett kan ses som en sĂ„dan kartlĂ€ggning eller övervakning som innebĂ€r ett betydande intrĂ„ng i den personliga integriteten och dĂ€rför omfattas av grundlagsstadgandet.
Sammanfattning
FrÄn allmÀn normgivningssynpunkt ser vi inga hinder mot att bestÀmmelser som avviker frÄn eller kompletterar innehÄllet i den generella lagen i form av t.ex. myndighetsspecifika föreskrifter om sökbegrÀnsningar, direktÄtkomst, behandling av kÀnsliga personupp- gifter m.m. ges i förordningsform. I den mÄn sÄdana bestÀmmelser
214
SOU 2015:39 |
En generell reglering â utgĂ„ngspunkter och inledande stĂ€llningstaganden |
innebÀr Äligganden för de kommunala myndigheterna krÀvs emeller- tid att bemyndiganden tas in i lagen (jfr 8 kap. 2 § första stycket 3 RF). Detsamma gÀller förstÄs ocksÄ betrÀffande sÄdana regleringar som Àr att se som ingrepp i enskilds personliga förhÄllanden. Vi Äterkommer till frÄgan om hur erforderliga bemyndiganden bör utformas i avsnitt 18.2.
Det torde bara vara i rena undantagsfall som nÄgot visst moment av behandling av personuppgifter i sig Àr att se som ett sÄdant betydande intrÄng att grundlagsstadgandet om skydd för den per- sonliga integriteten blir tillÀmpligt och regleringen dÀrför mÄste ges i lag och beslutas i enlighet med 2 kap. RF. I den mÄn det finns sÄdana moment i myndighets- eller sektorsspecifik behandling av personuppgifter som anses utgöra ett sÄdant betydande intrÄng kan bestÀmmelser om detta ges lagform genom att tas in i bilaga till den generella lagen. Om det skulle anses mer ÀndamÄlsenligt att behand- lingen regleras i en egen författning, t.ex. för att det Àr frÄgan om hur ett visst integritetskÀnsligt register ska fÄ föras snarare Àn att reglera hur personuppgifter fÄr behandlas i en viss myndighets- verksamhet, kan regleringen givetvis ocksÄ ges i en sÀrskild lag som dÀrmed gÀller före den generella lagens bestÀmmelser.
Oavsett hur en viss reglering ska bedömas i normgivnings- hĂ€nseende Ă€r det naturligtvis inget som hindrar att myndighets- specifika föreskrifter av lĂ€mplighetsskĂ€l eller andra skĂ€l Ă€ndĂ„ be- döms bör ges i lag. SĂ„dana föreskrifter â liksom föreskrifter som faktiskt krĂ€ver lagstöd och dĂ€r den bedömningen görs att det av nĂ„got skĂ€l inte Ă€r lĂ€mpligt att utnyttja ett bemyndigande â kan ocksĂ„ tas in i bilaga till den generella lagen.
215
8 AllmÀnna bestÀmmelser
8.1En bestÀmmelse om lagens syfte
8.1.1Bakgrund
BÄde i dataskyddsdirektivet och i personuppgiftslagen finns inled- ande bestÀmmelser om vilket övergripande syfte respektive regle- ring har. SÄdana syftesbestÀmmelser förekommer Àven i en del registerförfattningar.
Dataskyddsdirektivet
I artikel 1 i direktivet föreskrivs under rubriken Direktivets syfte att medlemsstaterna ska i enlighet med direktivet skydda fysiska personers grundlÀggande fri- och rÀttigheter, sÀrskilt rÀtten till privatliv, i samband med behandling av personuppgifter. Vidare fÄr medlemsstaterna varken begrÀnsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna av skÀl som har samband med det nyss nÀmnda föreskrivna skyddet. Det bakomliggande syftet med dataskyddsdirektivet brukar anges vara att Ästadkomma ett fritt flöde av personuppgifter inom Europeiska unionen. Det syftet ska uppnÄs genom en harmonisering av medlemsstaternas lagstiftning för att fÄ en likvÀrdig skyddsnivÄ för enskilda personers fri- och rÀttigheter, sÀrskilt rÀtten till privatliv, med avseende pÄ behandling av personuppgifter.
Personuppgiftslagen
I 1 § anges att personuppgiftslagens syfte Àr att skydda mÀnniskor mot att deras personliga integritets krÀnks genom behandling av personuppgifter. Eftersom ett fritt flöde av personuppgifter mellan
217
AllmÀnna bestÀmmelser |
SOU 2015:39 |
medlemsstaterna i Europeiska unionen Ästadkoms genom en Ätmin- stone delvis harmoniserad lagstiftning till skydd mot krÀnkning av personlig integritet genom behandling av personuppgifter, ansÄgs det vid personuppgiftslagens införande inte motiverat att sÀrskilt upp- lysa Àven om det fria flödet som ett sÀrskilt syfte (prop. 1997/98:44 s. 115).
Förslaget till uppgiftsskyddsförordning
Det pĂ„gĂ„ende reformarbetet syftar inte till nĂ„got avsteg frĂ„n vad som slogs fast om det grundlĂ€ggande syftet med dataskydds- direktivet. Förordningens artikel 1 â med rubriken Syfte och mĂ„l â har visserligen modifierats nĂ„got i struktur och ordalydelse i jĂ€m- förelse med artikel 1 i direktivet. NĂ„gon Ă€ndring i sak torde detta inte innebĂ€ra.
I förordningsförslaget (bl.a. motiveringen s. 1 och punkterna 5 och 6 i ingressen) framhĂ„lls att den snabba utvecklingen av infor- mationstekniken har omvandlat sĂ„vĂ€l ekonomin som samhĂ€llslivet inom EU. Vidare framhĂ„lls att förĂ€ndringarna krĂ€ver en stark och mer sammanhĂ€ngande ram för uppgiftsskyddet, uppbackad av ett kraftfullt tillsynsarbete, eftersom det Ă€r viktigt att skapa den tillit som behövs för att utveckla den digitala ekonomin över hela den inre marknaden. Enskilda bör ha kontroll över sina egna person- uppgifter och rĂ€ttssĂ€kerheten och smidigheten för enskilda, eko- nomiska operatörer och myndigheter bör stĂ€rkas. Enligt kom- missionen Ă€r det avgörande för den ekonomiska utvecklingen att bygga upp förtroendet för nĂ€tmiljön. Bristande förtroende gör att konsumenter tvekar att âköpa pĂ„ nĂ€tetâ och att anvĂ€nda nya tjĂ€nster. Detta kan hĂ€mma utvecklingen av innovativa anvĂ€ndningar av ny teknik. Skydd av personuppgifter spelar dĂ€rför en central roll i den digitala agendan för Europa och mer allmĂ€nt i Europa
Det kan sÄledes konstateras att informationstekniken ges en fram- skjuten betydelse för en önskvÀrd samhÀllsutveckling pÄ bred front. En robust dataskyddsreglering Àr inte bara ett mÄl i sig utan ocksÄ ett medel att uppnÄ en önskad samhÀllsutveckling i ett lÀngre perspektiv.
218
SOU 2015:39 |
AllmÀnna bestÀmmelser |
Registerförfattningar
I registerförfattningar förekommer ibland bestÀmmelser som anger lagens övergripande syfte.
NÀr det gÀller informationshanteringsförfattningar förekommer syftesbestÀmmelser framför allt i sÄdana författningar som ersÀtter personuppgiftslagen och sedan hÀnvisar till olika bestÀmmelser i per- sonuppgiftslagen som ska ha motsvarande tillÀmpning dÄ person- uppgifter behandlas inom ramen för informationshanteringsförfatt- ningens tillÀmpningsomrÄde.
I exempelvis 1 kap. 1 § polisdatalagen (2010:361) anges det över- gripande syftet med lagen vara att ge polisen möjlighet att behandla personuppgifter pÄ ett ÀndamÄlsenligt sÀtt i sin brottsbekÀmpande verksamhet och att skydda mÀnniskor mot att deras personliga inte- gritet krÀnks vid sÄdan behandling. Enligt motiven (prop. 2009/10:85 s. 66 f.) avspeglar utformningen av bestÀmmelserna den avvÀgning mellan Ä ena sidan intresset av en effektiv brottsbekÀmpning och Ä andra sidan intresset av skydd för den personliga integriteten som gjorts i lagstiftningsÀrendet. I 1 kap. 1 § kustbevakningsdatalagen (2012:145) finns en motsvarande bestÀmmelse om lagens syfte. Det finns dock exempel pÄ informationshanteringsförfattningar med samma lagtekniska konstruktion vad avser förhÄllandet till person- uppgiftslagen som varken hÀnvisar till 1 § PuL eller har en egen syftes- bestÀmmelse.
I sÄdana informationshanteringsförfattningar som Àr konstruerade pÄ det sÀttet att personuppgiftslagen gÀller i den mÄn författningen i frÄga inte innehÄller avvikande bestÀmmelser förekommer i all- mÀnhet inte nÄgon sÀrskild syftesbestÀmmelse som ersÀtter eller gÀller utöver vad som sÀgs i 1 § PuL.
BetrĂ€ffande renodlade registerförfattningar förekommer bestĂ€m- melser som anger författningens syfte eller ett visst registers syfte. För de sĂ„ kallade publicitetsregistren anges ofta att registret ska âge offentlighet Ă„tâ ett visst förhĂ„llande, se t.ex. 1 § lagen (2000:224) om fastighetsregister eller 2 kap. 1 § aktiebolagsförordningen (2005:559).
219
AllmÀnna bestÀmmelser |
SOU 2015:39 |
8.1.2VÄra övervÀganden och förslag
Förslag: I den nya lagen införs en bestÀmmelse som anger vilket syfte lagen har. Detta Àr tudelat. Syftet Àr att dels ge myndig- heter möjlighet att behandla personuppgifter pÄ ett ÀndamÄls- enligt sÀtt i deras verksamheter, dels skydda mÀnniskor mot att deras personliga integritet krÀnks vid sÄdan behandling.
BestÀmmelser om lagars syfte saknar normalt egentligt materiellt innehÄll utan framstÄr mer som ett slags deklaration av de bakom- liggande och övergripande mÄlen med de efterföljande lagbestÀm- melserna med mer konkret reglering. Man kan dÀrför frÄga sig om det verkligen behövs en syftesbestÀmmelse av detta slag i den nya lagen. Onekligen har emellertid en syftesbestÀmmelse en informa- tiv och pedagogisk betydelse.
Ett uttryckligt fastslÄende av lagens syfte har emellertid inte enbart en symbolisk eller informativ betydelse. Att en lags syfte an- ges i lagen kan fÄ relevans i rÀttstillÀmpningen genom att ge vÀg- ledning för tolkningen av de materiella bestÀmmelserna i lagen. Vidare klargör en sÄdan bestÀmmelse att lagen enbart innehÄller sÄdana bestÀmmelser som Àr av dataskyddsrÀttslig karaktÀr.
Sammanfattningsvis anser vi sÄledes att det finns skÀl att ta in en bestÀmmelse om lagens syfte i den nya lagen.
Hur bör lagens syfte anges?
En syftesbestÀmmelse mÄste av naturliga skÀl vara övergripande. Vi bedömer att en bestÀmmelse som föreskriver att lagens syfte Àr att dels ge myndigheterna möjlighet att behandla personuppgifter pÄ ett ÀndamÄlsenligt sÀtt, dels skydda mÀnniskor mot att deras person- liga integritet krÀnks vid myndigheternas informationshantering vÀl fÄngar regleringens mÄlsÀttning pÄ ett sÀtt som passar för alla myn- digheter oavsett vad för slags verksamhet de bedriver.
Syftet att ge möjligheter till en ÀndamÄlsenlig personuppgifts- behandling Àr viktigt att framhÄlla. För myndigheter Àr det av helt avgörande betydelse att kunna behandla personuppgifter genom elektronisk informationshantering för att utföra sina uppgifter i överensstÀmmelse med de krav som stÀlls pÄ bl.a. rÀttssÀkerhet,
220
SOU 2015:39 |
AllmÀnna bestÀmmelser |
effektivitet och en önskvÀrd servicenivÄ. Detta kan inte sÀllan inne- bÀra att myndigheter exempelvis mÄste ges större förutsÀttningar att behandla personuppgifter utan den registrerades samtycke Àn vad som gÀller utanför den offentliga sektorn. Den nya lagen med anknytande föreskrifter kommer att innehÄlla bestÀmmelser som skapar sÄdana förutsÀttningar.
Vad som Àr en ÀndamÄlsenlig personuppgiftsbehandling kan inte slÄs fast i generella termer utan varierar i hög grad beroende pÄ vad för slags verksamhet det handlar om.
Det andra ledet i den föreslagna syftesbestĂ€mmelsen â att lagens syfte Ă€r att skydda mĂ€nniskor mot att deras personliga integritet krĂ€nks vid myndigheters personuppgiftsbehandling â Ă€r av central betydelse. Genom syftesbestĂ€mmelsen kommer detta till uttryck i lagen. HĂ€rigenom framgĂ„r vidare indirekt att verksamhetsreglering av olika slag faller utanför lagens syfte. Lagens bestĂ€mmelser ska enbart inriktas pĂ„ att reglera informationshanteringen i förhĂ„llande till det skydd som personuppgiftsbehandling pĂ„kallar.
Att myndigheters behandling av personuppgifter inte medför krĂ€nkningar av mĂ€nniskors personliga integritet Ă€r alltsĂ„ en central mĂ„lsĂ€ttning för regleringen. Samtidigt Ă€r vissa intrĂ„ng nödvĂ€ndiga för att myndigheterna ska kunna utföra sina uppgifter. Regleringen bör dĂ€rför ge uttryck för en vĂ€l avvĂ€gd balans och proportionalitet mellan, Ă„ ena sidan, samhĂ€llets behov av att myndigheter kan be- handla personuppgifter i sin verksamhet och, Ă„ andra sidan, skyddet för den personliga integriteten. Ett gott integritetsskydd Ă€r av funda- mental betydelse för att myndigheterna alls ska kunna ges förut- sĂ€ttningar att behandla personuppgifter med ett bevarat förtroende frĂ„n allmĂ€nhetens sida. PĂ„ ett övergripande plan kan det alltsĂ„ sĂ€gas finnas ett samspel mellan integritetsskydd och förutsĂ€ttningar för en Ă€ndamĂ„lsenlig informationshantering. Detta tydliggörs genom den tudelade syftesbestĂ€mningen â Ă€ndamĂ„lsenlighet respektive inte- gritetsskydd â och illustrerar att de bĂ„da mĂ„len gĂ€ller parallellt.
221
AllmÀnna bestÀmmelser |
SOU 2015:39 |
8.2Lagens tillÀmpningsomrÄde
8.2.1Vilka myndigheter bör omfattas av lagens tillÀmpningsomrÄde?
Förslag: Lagen ska i princip tillÀmpas av alla myndigheter. Med myndigheter avses i lagen detsamma som i regeringsformen, dvs. alla statliga och kommunala organ utom riksdagen och de beslut- ande kommunala församlingarna.
Vi har i avsnitt 7.2 redogjort för varför det bör införas en samlad lag för myndigheterna med generella bestÀmmelser till skydd för personuppgifter.
Enligt vÄr mening talar övervÀgande skÀl för att lagen bör vara tillÀmplig hos alla slags myndigheter och inte t.ex. bara sÄdana som i dag omfattas av sÀrskilda registerförfattningar. Det Àr enligt vÄr mening angelÀget att ett och samma grundlÀggande regelverk gÀller inom hela myndighetssektorn. Att samma grundlÀggande regler för behandling av personuppgifter gÀller för alla myndigheter ger ökad tydlighet och transparens. Det ger ocksÄ bÀst förutsÀttningar för effektivitetshöjande myndighetsgemensamma lösningar, exempelvis uppgiftsbyte myndigheter emellan.
Att alla myndigheter kommer att omfattas av lagens tillÀmpnings- omrÄde Àr ocksÄ Àgnat att vÀsentligt underlÀtta den reformering av regelverket som kommer att behöva göras som ett resultat av det pÄgÄende reformarbetet inom EU som kan förvÀntas leda till att dataskyddsdirektivet ersÀtts av en allmÀn uppgiftsskyddsförordning.
Med myndigheter avses hÀr detsamma som i regeringsformen, dvs. alla statliga och kommunala organ utom riksdagen och de be- slutande kommunala församlingarna.
222
SOU 2015:39 |
AllmÀnna bestÀmmelser |
8.2.2Vilka verksamheter bör omfattas av lagens tillÀmpningsomrÄde?
Förslag: Vissa verksamheter undantas frÄn lagens tillÀmpnings- omrÄde nÀmligen
âen myndighets administrativa verksamhet,
âen myndighets verksamhet som personuppgiftsbitrĂ€de, och
âsĂ„dan verksamhet som bedrivs av behöriga myndigheter i syfte att förebygga, förhindra eller upptĂ€cka brottslig verksamhet, utreda eller beivra brott eller verkstĂ€lla straffrĂ€ttsliga pĂ„följ- der.
VĂ„ra direktiv Ă€r öppna i frĂ„ga om tillĂ€mpningsomrĂ„det. I direktiven klargörs emellertid att den brottsbekĂ€mpande verksamheten inte omfattas av utredningsuppdraget. Ett skĂ€l till detta Ă€r att den verk- samheten inte omfattas av förslaget till allmĂ€n uppgiftsskydds- förordning utan av ett förslag till direktiv om uppgiftsskydd i den brottsbekĂ€mpande verksamheten. HĂ€rmed avses verksamhet som bedrivs av behöriga myndigheter i syfte att förebygga, utreda, av- slöja eller lagföra brott eller verkstĂ€lla straffrĂ€ttsliga pĂ„följder (se artikel 2.2 e i uppgiftsskyddsförordningen, jfr Ă€ven artikel 1.2 i gĂ€llande dataskyddsrambeslut). För Polismyndigheten, SĂ€kerhets- polisen, Ekobrottsmyndigheten, Ă klagarmyndigheten, Kriminal- vĂ„rden och ĂvervakningsnĂ€mnderna Ă€r brottsbekĂ€mpande verk- samhet den dominerande uppgiften. Ăven Kustbevakningen, Skatte- verket och Tullverket har uppdrag att bedriva brottsbekĂ€mpande verksamhet. De allmĂ€nna domstolarnas verksamhet pĂ„ det straff- rĂ€ttsliga och straffprocessuella omrĂ„det hör ocksĂ„ till den brotts- bekĂ€mpande verksamheten i hĂ€r aktuell bemĂ€rkelse.
Den brottsbekÀmpande verksamheten ska alltsÄ inte omfattas av lagens tillÀmpningsomrÄde. Till bilden hör vidare att den brotts- bekÀmpande verksamheten till stora delar nyligen genomgÄtt eller genomgÄr en översyn av regleringen av personuppgiftsbehandling. Polisdatalagen och kustbevakningsdatalagen Àr tÀmligen nya för- fattningar och det pÄgÄr lagstiftningsarbete bl.a. sÄvitt avser à klagar- myndigheten samt betrÀffande Tullverkets brottsbekÀmpande verk- samhet. Registerförfattningsregleringen av den brottsbekÀmpande
223
AllmÀnna bestÀmmelser |
SOU 2015:39 |
verksamheten Àr emellertid inte i alla delar heltÀckande. Exempelvis förekommer behandling av personuppgifter med stöd av person- uppgiftslagen i brottsbekÀmpande verksamhet vid Nationellt foren- siskt centrum, en enhet inom Polismyndigheten.
NÀsta frÄga blir dÄ om personuppgiftsbehandling i all slags övrig myndighetsverksamhet Àn den som uttryckligen undantagits frÄn utredningsuppdraget bör omfattas av den nya lagens tillÀmpnings- omrÄde.
Det sĂ€ger sig sjĂ€lvt att myndigheters behandling av person- uppgifter sker i varierande och mĂ„ngfacetterade verksamheter. Redan de registerförfattningar som finns i dag spĂ€nner över en mycket brokig verksamhetskarta som innefattar myndighetsverk- samhet inom sĂ„vĂ€l staten som landstingen och kommunerna. BĂ„de myndigheters handlĂ€ggning av Ă€renden samt s.k. faktiskt handlande (t.ex. vĂ„rd av en patient eller en myndighets serviceverksamhet enligt 4 § FL) omfattas inte sĂ€llan av informationshanteringsförfatt- ningar. BĂ„da slagen av verksamhet, som inte alltid Ă€r sĂ„ lĂ€tta att avgrĂ€nsa, bör enligt vĂ„r mening omfattas av den nya lagens tillĂ€mp- ningsomrĂ„de. Behandling av personuppgifter behövs emellertid inte bara i den egentliga sakverksamheten utan Ă€ven för t.ex. övergrip- ande planering, verksamhetsuppföljning och egentillsyn. Normalt handlar det dĂ„ om âĂ„teranvĂ€ndningâ genom olika slags bearbetning av personuppgifter som redan samlats in i den löpande verksam- heten. Ăven sĂ„dan behandling bör omfattas av lagen, eftersom det ingĂ„r i myndigheternas ansvar att planera, administrera och kvali- tetssĂ€kra sin verksamhet. Det Ă€r vĂ„r uppfattning att utgĂ„ngspunk- ten bör vara att den nya lagen ska gĂ€lla, om det inte föreskrivits nĂ„got undantag eller annat följer av avvikande bestĂ€mmelser. I linje hĂ€rmed anser vi att det inte bör införas nĂ„gon beskrivning av vilka verksamhetsomrĂ„den som omfattas av lagens tillĂ€mpningsomrĂ„de. VerksamhetsomrĂ„det ska i stĂ€llet framgĂ„ motsatsvis.
I frÄga om vilka undantag som uttryckligen bör föreskrivas, ut- över den brottsbekÀmpande verksamheten, gör vi följande övervÀg- anden.
Generellt gÀller pÄ registerlagstiftningsomrÄdet att den person- uppgiftsbehandling som sker i myndigheternas rent administrativa verksamhet med t.ex. personal- och lokalfrÄgor, materialförsörj- ning och ekonomiadministrativa göromÄl utan nÀrmare koppling till sakverksamheten faller utanför den sÀrreglering som register-
224
SOU 2015:39 |
AllmÀnna bestÀmmelser |
författningarna omfattar. Detta brukar framgÄ indirekt av det sÀtt som registerförfattningens tillÀmpningsomrÄde beskrivs pÄ samt av förarbetsuttalanden (se t.ex. 1 § studiestödsdatalagen och prop. 2008/09:96 s. 76). Vi menar att det Àr naturligt att den rent intern- administrativa verksamheten med t.ex.
Av stor vikt för den samlade regleringens konsekvens och begrip- lighet Àr att bestÀmmelserna har en tydlig adressat. Det förekom- mer registerförfattningar som Àr otydliga pÄ den punkten. Ett exempel Àr studiestödsdatalagen som enligt lagens bestÀmmelse om tillÀmpningsomrÄde bara gÀller för Centrala studiestödsnÀmndens verksamhet (1 § studiestödslagen). Dock Àr lagens bestÀmmelse om direktÄtkomst sÄ avfattad att den tycks rikta sig till mottagande myndigheter genom att reglera hur deras direktÄtkomst till nÀmndens personuppgiftssamlingar fÄr anvÀndas. Den samlade reglering som vi föreslÄr bör vara tydlig pÄ denna punkt. Lagen ska i allt vÀsentligt dÀrför enbart ta sikte pÄ de förutsÀttningar och skyldigheter som gÀller för en personuppgiftsansvarig myndighet. BestÀmmelsernas adressat ska alltsÄ genomgÄende vara den myndighet som Àr per- sonuppgiftsansvarig.
Som nÀrmare kommer att behandlas i avsnitt 10.1 förekommer emellertid att myndigheter behandlar personuppgifter sÄsom person- uppgiftsbitrÀde till en personuppgiftsansvarig, vilken kan vara sÄvÀl en annan myndighet som en enskild. För att uppnÄ den efter- strÀvade tydligheten angÄende vem som Àr skyldig att följa lagens bestÀmmelser, eller se till att lagens bestÀmmelser följs, bör per-
225
AllmÀnna bestÀmmelser |
SOU 2015:39 |
sonuppgiftsbehandling som en myndighet utför i egenskap av per- sonuppgiftsbitrÀde dÀrför undantas frÄn lagens tillÀmpningsomrÄde. Det Àr sedan en annan sak att lagens bestÀmmelser i praktiken ÀndÄ kommer att gÀlla Àven för en myndighet som Àr personuppgifts- bitrÀde om den personuppgiftsansvarige Àr en myndighet vars be- handling omfattas av lagen. FörhÄllandet blir dock ett annat dÄ den personuppgiftsansvarige Àr en enskild aktör.
Det förekommer ibland att en myndighet utan att vara person- uppgiftsbitrÀde behandlar personuppgifter genom sÄdan teknisk lagring eller teknisk bearbetning för annan myndighets rÀkning som avses i 2 kap. 10 § första stycket TF. Det kan vara frÄga om sÄvÀl en begrÀnsad
I vÄra direktiv berörs inte frÄgan om vad som bör gÀlla betrÀffande personuppgiftsbehandlingar inom de delar av den offent- liga sektorn som inte omfattas av den unionsrÀttsliga regleringen, t.ex. inom försvarsomrÄdet. FrÄn det materiella tillÀmpningsomrÄdet för uppgiftsskyddsförordningen undantas, utöver brottsbekÀmpande verksamhet, enligt artikel 2 bl.a. behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unions- lagstiftningen, sÀrskilt avseende nationell sÀkerhet, eller som medlems- staterna utför nÀr de bedriver verksamhet som omfattas av kapitel 2 i
Dataskyddsdirektivets materiella tillÀmpningsomrÄde Àr pÄ mot- svarande sÀtt begrÀnsat (artikel 3).
Personuppgiftslagen Àr dÀremot tillÀmplig Àven pÄ verksamheter som inte omfattas av unionsrÀtten. I förarbetena anfördes bl.a. att en begrÀnsning av lagens tillÀmpningsomrÄde till vad som krÀvs enligt direktivet skulle strida mot vad som tillÀmpats under lÄng tid i Sverige, nÀmligen ett system som utgÄr frÄn en generell lag kompletterad med sÀrregler i s.k. registerförfattningar. Om viss offentlig verksamhet skulle generellt undantas frÄn personuppgiftslagen, fanns det risk
226
SOU 2015:39 |
AllmÀnna bestÀmmelser |
för att viss behandling inom den offentliga sektorn inte skulle komma att omfattas av nÄgon lagstiftning med motsvarande syfte som den lagen. Personuppgiftslagen gjordes dÀrför generellt tillÀmplig till att omfatta Àven verksamhet utanför det som numera benÀmns unionsrÀtten (prop. 1997/98:44 s. 40).
VĂ„rt uppdrag innebĂ€r, som tidigare framgĂ„tt, att utforma en reglering som Ă€r vĂ€l anpassad till den pĂ„gĂ„ende dataskyddsreformen inom EU. Om möjligt ska vi skapa en reglering som kan fungera som ett komplement till den unionsrĂ€ttsliga regleringen pĂ„ om- rĂ„det. Detta skulle kunna tala för att en kommande anpassning av den föreslagna lagen till uppgiftsskyddsförordningen underlĂ€ttas om lagens tillĂ€mpningsomrĂ„de överensstĂ€mmer med uppgiftsskydds- förordningens. DĂ€rmed skulle det inte finnas nĂ„gon risk för att ett inordnande i den föreslagna lagen av verksamhet som faller utanför unionsrĂ€tten bara blir en temporĂ€r ordning. Genomförandet av uppgiftsskyddsförordningen förefaller emellertid inte vara nĂ€ra före- stĂ„ende och under alla förhĂ„llanden kan det antas, mot bakgrund av vad som nu Ă€r kĂ€nt om innehĂ„llet i den kommande förordningen, att det kommer att finnas ett tĂ€mligen stort utrymme för nationell reglering av myndigheters behandling av personuppgifter. Det finns dĂ€rmed, menar vi, goda förutsĂ€ttningar för att finna en lös- ning för hur lagen bör anpassas till den kommande uppgiftsskydds- förordningen utan hinder av att Ă€ven verksamhet som inte omfattas av unionslagstiftningen ingĂ„r i lagens tillĂ€mpningsomrĂ„de. Vi anser dĂ€rför att det stora vĂ€rde ur tillĂ€mpningssynpunkt som finns i en sĂ„ lĂ„ngt möjligt samlad reglering för enskilda myndigheters behand- ling av personuppgifter â alldeles oavsett om verksamheten om- fattas av unionsrĂ€tten eller inte â vĂ€ger tyngre Ă€n de komplika- tioner som mĂ„hĂ€nda kan uppstĂ„ i samband med ett införande av uppgiftsskyddsförordningen. Vi bedömer dĂ€rför att tillĂ€mpnings- omrĂ„det inte bör begrĂ€nsas till myndighetsverksamhet som om- fattas av unionsrĂ€tten. I avsnitt 19.2.3 Ă„terkommer vi till frĂ„gan om lagens tillĂ€mpningsomrĂ„de.
227
AllmÀnna bestÀmmelser |
SOU 2015:39 |
8.2.3Lagens förhÄllande till befintliga registerförfattningar m.m.
Förslag och bedömning: Lagen ska â med undantag för person- uppgiftslagen och bestĂ€mmelser som meddelats med stöd av den lagen â vara subsidiĂ€r i förhĂ„llande till bestĂ€mmelser i annan lag eller förordning som avviker frĂ„n lagens bestĂ€mmelser. Befint- liga registerförfattningar fortsĂ€tter dĂ€rför att vara tillĂ€mpliga Ă€ven efter lagens införande. Lagens tillĂ€mpningsomrĂ„de vid ikraft- trĂ€dandet blir dĂ€rmed sĂ„dan personuppgiftsbehandling hos myn- digheter som sker med stöd av personuppgiftslagen. Avsikten Ă€r emellertid att dataskyddsrĂ€ttslig sĂ€rreglering i form av register- författningar efter hand bör upphĂ€vas eller i vart fall förenklas och att den nya lagen dĂ€rmed blir tillĂ€mplig i stĂ€llet. Eventuella behov av fortsatt sĂ€rreglering kan tillgodoses genom att sĂ„dana bestĂ€mmelser tas in i en till lagen anslutande förordning eller vid behov, i bilaga till lagen.
Flertalet regelrÀtta registerförfattningar innehÄller verksamhetsreg- lering i det avseendet att de tilldelar en myndighet uppgiften att vara registerhÄllare och dÀrutöver innehÄller nÀrmare regler om uppgifter som ska hÀmtas in, registreras osv., dvs. regler som inte tar sikte pÄ personuppgiftsbehandling som sÄdan. Som har framgÄtt av avsnitt 7.2 menar vi att den nya lagen enbart bör innehÄlla be- stÀmmelser som utgör dataskyddsregler och att nyss nÀmnda register- författningar inte bör beröras förutom i de delar som avser data- skyddsreglering. Det finns ett flertal sÄdana reglerade register inom olika sektorer, t.ex. receptregistret, fastighetsregistret, handelsbolags- registret, olika hÀlsodataregister m.m. Nya sÄdana register kommer att behöva inrÀttas och dÀrmed regleras. Vi ser, som redan sagts, ingen anledning att ha som ambition att försöka ersÀtta den typen av regelrÀtta registerförfattningar genom att i stÀllet reglera verk- samhetsspecifika registerfrÄgor i anslutning till den nya lagen. Som har framgÄtt talar sakliga skÀl med styrka emot detta.
De bestÀmmelser som finns i sÄdana författningar om person- dataskydd sÄsom t.ex. regler om personuppgiftsansvar, sökbegrÀns- ningar m.m. kommer emellertid att efter hand kunna anpassas för att harmoniera med den nya lagen. Huruvida den nya lagen ska ersÀtta sÄdana bestÀmmelser eller inte fÄr bedömas frÄn fall till fall.
228
SOU 2015:39 |
AllmÀnna bestÀmmelser |
Att det Ă€ven i fortsĂ€ttningen kommer att finnas renodlade register- författningar utesluter alltsĂ„ pĂ„ inget sĂ€tt att sĂ„dana författningar ârensasâ frĂ„n dataskyddsbestĂ€mmelser varefter författningen bara innehĂ„ller de verksamhetsregler m.m. som bör gĂ€lla för registret. SĂ„dana bestĂ€mmelser som utgör sĂ€rreglering i förhĂ„llande till den av oss föreslagna lagen och som alltjĂ€mt anses behövas, skulle dĂ„ kunna föras in i den till lagen anslutande förordningen. Huruvida en sĂ„dan ordning bör tillĂ€mpas för ett enskilt register eller om det Ă€r mera lĂ€mpligt att sĂ€rregleringen finns kvar i den sĂ€rskilda register- författningen mĂ„ste dock avgöras i det sĂ€rskilda fallet. Vi Ă„terkom- mer till detta i avsnitt 19.1.
PÄ motsvarande sÀtt förhÄller det sig betrÀffande andra typer av författningar som varken Àr renodlade registerförfattningar eller informationshanteringsförfattningar utan tillhör den kategori författ- ningar som har inslag av bestÀmmelser om behandling av person- uppgifter bland annan slags reglering. En sÄdan författning Àr kamera- övervakningslagen (2013:416). Ett annat exempel Àr lagen (2001:99) om officiell statistik med anknytande förordning som innehÄller sÀrreglering om behandling av personuppgifter i sÄdan sÀrskild statistikverksamhet som bedrivs av statistikansvariga myndigheter, t.ex. FörsÀkringskassan och Centrala studiestödsnÀmnden.
DÀremot Àr det vÄr ambition att de registerförfattningar som har karaktÀr av informationshanteringsförfattningar efter hand avveck- las och ersÀtts av den nya lagen, eventuellt med viss fortsatt sÀr- reglering i anslutande förordning eller, vid behov, i bilaga till lagen.
Den nya lagen bör alltsÄ inte redan genom ikrafttrÀdandet ersÀtta nÄgra befintliga registerförfattningar. För detta krÀvs anpassningar som krÀver en analys och avvÀgning av vilka behov av sÀrregler det finns pÄ olika omrÄden och pÄ vilken normnivÄ dessa sÀrregler i sÄ fall bör ges.
För att fÄ en fungerande omstÀllningsprocess och för att pÄ lÀngre sikt öppna för flexibilitet nÀr det gÀller utrymme för att, efter en nÀrmare analys, lÄta viss reglering helt eller delvis kvarstÄ eller införas helt Ätskild frÄn den samlade regleringen bedömer vi alltsÄ att den nya lagen mÄste göras subsidiÀr i förhÄllande till annan sÀrreglering i lag eller förordning med undantag för personupp- giftslagen och personuppgiftsförordningen. Vi föreslÄr dÀrför att en sÄdan bestÀmmelse tas in i lagen.
229
AllmÀnna bestÀmmelser |
SOU 2015:39 |
8.2.4Vilka slags behandlingar och uppgifter bör omfattas av lagens tillÀmpningsomrÄde?
Förslag: Lagen ska tillÀmpas vid sÄdan behandling av person- uppgifter som Àr helt eller delvis automatiserad. Lagen gÀller Àven för manuell behandling av personuppgifter om uppgifterna ingÄr i eller Àr avsedda att ingÄ i en strukturerad samling av per- sonuppgifter som Àr tillgÀngliga för sökning eller sammanstÀll- ning enligt sÀrskilda kriterier. TillÀmpningsomrÄdet motsvarar alltsÄ personuppgiftslagens tillÀmpningsomrÄde.
En frÄga rörande tillÀmpningsomrÄdet Àr vilka slags behandlingar som ska omfattas av regleringen. Dataskyddsdirektivet liksom personuppgiftslagen gÀller för sÄdan behandling av personuppgifter som Àr helt eller delvis automatiserad samt Àven annan behandling av personuppgifter om uppgifterna ingÄr i eller Àr avsedda att ingÄ i en strukturerad samling av personuppgifter som Àr tillgÀngliga för sökning eller sammanstÀllning enligt sÀrskilda kriterier (artikel 2 c och 3.1 i direktivet och 5 § PuL). Man brukar beskriva det sist- nÀmnda med att det syftar pÄ manuella register. Uppgiftsskydds- förordningens tillÀmpningsomrÄde Àr i detta hÀnseende detsamma som dataskyddsdirektivets (artikel 2.1 och 4.4).
Det normala för befintliga informationshanteringsförfattningar Àr att de i detta avseende har samma tillÀmpningsomrÄde som personuppgiftslagen. NÄgot skÀl till varför den nya lagen skulle av- vika frÄn denna ordning kan vi inte se. Vi föreslÄr dÀrför en bestÀm- melse med en med dataskyddsdirektivet överensstÀmmande defini- tion av vad för slags behandling som lagen Àr tillÀmplig pÄ.
En annan frÄga som ibland regleras i registerförfattningar Àr om Àven andra uppgifter Àn personuppgifter ska omfattas av regleringen.
Med personuppgifter avses all slags information som direkt eller indirekt kan hÀnföras till en fysisk person som Àr i livet (3 § PuL, se Àven dataskyddsdirektivet artikel 2). Ibland utstrÀcks en reglering i en registerförfattning till att Àven avse uppgifter om avlidna (t.ex. patientdatalagen) eller juridiska personer (t.ex. lagen om behand- ling av uppgifter i Skatteverkets beskattningsverksamhet). Detta har dÄ föranletts av sÀrskilda förhÄllanden inom de reglerade verk- samheterna.
230
SOU 2015:39 |
AllmÀnna bestÀmmelser |
De regler som den nya lagen ska innehÄlla ska gÀlla generellt. Det ter sig mot den bakgrunden inte lÀmpligt att utvidga regle- ringen till att omfatta andra kategorier av registrerade Àn vad som följer av den unionsrÀttsliga dataskyddsregleringen. Förslaget till uppgiftsskyddsförordning innehÄller ingen förÀndring pÄ denna punkt i förhÄllande till dataskyddsdirektivet. De generella bestÀm- melserna i lagen bör sÄledes endast gÀlla för behandling av person- uppgifter i den mening som avses i 3 § PuL.
Det Àr en annan sak att det fortsatt pÄ vissa omrÄden kan finnas anledning att lÄta vissa sÀrbestÀmmelser omfatta Àven uppgifter om avlidna personer eller juridiska personer.
8.3Lagens förhÄllande till personuppgiftslagen
Som har framgÄtt av avsnitt 7.1.3 anser vi alltsÄ att det inte finns skÀl att invÀnta resultatet av reformarbetet inom EU utan att den nya lagen bör ges en utformning som Àr förenlig med gÀllande rÀtt. Den nya lagen mÄste dÀrför förhÄlla sig till personuppgiftslagen. FrÄgan Àr pÄ vilket sÀtt det bör ske.
8.3.1Bakgrund
Tre regleringsmodeller
Enligt 2 § PuL gÀller avvikande bestÀmmelser i annan lag eller för- ordning framför personuppgiftslagens bestÀmmelser. Personuppgifts- lagen Àr sÄledes subsidiÀr i förhÄllande till andra författningar i lag eller förordning.
Vid dataskyddsdirektivets genomförande förutsattes att det skulle finnas ett fortsatt behov, framför allt inom den offentliga sektorn, av sektorspecifik sÀrreglering i sÀrskilda författningar som skulle gÀlla före personuppgiftslagen. Traditionen frÄn datalagens tid med en generellt tillÀmplig lag som kompletteras av specifika register- författningar borde dÀrför fortsÀtta (prop. 1997/98:44 s. 40 f.). Med personuppgiftslagen kom emellertid den lagtekniska konstruktionen för sÀrregleringens förhÄllande till den generella regleringen i per- sonuppgiftslagen att bli en komplex och omdiskuterad frÄga. Olika mer eller mindre parallella lagstiftningsÀrenden ledde till att det
231
AllmÀnna bestÀmmelser |
SOU 2015:39 |
ganska snart efter personuppgiftslagens införande utformades olik- artade konstruktioner. Detta förhÄllande prÀglar Àn i dag register- lagstiftningen och utgör en av delförklaringarna till varför rÀtts- omrÄdet kommit att uppfattas som svÄrtillgÀngligt. Tre förekom- mande varianter eller modeller kan urskiljas, den kompletterande, den hÀnvisande och den heltÀckande modellen.
De flesta registerförfattningar Àr utformade i enlighet med den kompletterande modellen. Den tekniken kÀnnetecknas av att sÀr- regleringen endast kompletterar eller ersÀtter personuppgiftslagen i frÄgor som Àr specifika för de verksamheter som omfattas av sÀrlagstiftningen. Detta innebÀr att den myndighet som berörs mÄste tillÀmpa sÄvÀl den sÀrskilda registerförfattningen som person- uppgiftslagen vid sin behandling av personuppgifter. Personupp- giftslagen ska alltsÄ tillÀmpas om inte annat följer av registerförfatt- ningen eller av föreskrifter som meddelats med stöd av register- författningen. Detta gÀller alldeles oavsett om registerförfattningen i frÄga innehÄller eller inte innehÄller nÄgon bestÀmmelse som anger vilket förhÄllande som gÀller mellan författningen och personupp- giftslagen. FrÄgan om en viss bestÀmmelse innefattar en avvikelse frÄn vad som ska gÀlla enligt personuppgiftslagen fÄr avgöras med tillÀmpning av sedvanliga metoder för tolkning av författningar (prop. 1997/98:44 s. 115 f.). Trots att det i teknisk mening alltsÄ inte mÄste regleras att registerförfattningen och personuppgifts- lagen kompletterar varandra pÄ detta sÀtt innehÄller registerförfatt- ningar ofta bestÀmmelser som ger uttryck för förhÄllandet till per- sonuppgiftslagen, dvs. det anges pÄ ett eller annat sÀtt att person- uppgiftslagen gÀller utöver registerförfattningen.
Den kompletterande modellen, som alltsÄ Àr den vanligaste, gÀller för bl.a. Arbetsförmedlingen, Centrala studiestödsnÀmnden, För- sÀkringskassan, KriminalvÄrden, Skatteverkets skattebrottsenheter, Totalförsvarets rekryteringsmyndighet samt myndigheter inom hÀlso- och sjukvÄrden och socialtjÀnsten. I författningar med denna kon- struktion brukar det uttryckas sÀrskilt hur lagen förhÄller sig till personuppgiftslagen, som regel under en sÀrskild rubrik, exempel- vis FörhÄllandet till personuppgiftslagen eller nÄgot liknande, se t.ex. 2 § lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten, 1 kap. 4 § patientdatalagen (2008:355) och 2 § studiestödsdatalagen (2009:287).
232
SOU 2015:39 |
AllmÀnna bestÀmmelser |
Ăven i renodlade registerförfattningar förekommer att förhĂ„ll- andet till personuppgiftslagen klargörs genom uttryckliga bestĂ€m- melser. I 3 § lagen om receptregister (1996:1156) och i 2 § lagen (2001:558) om vĂ€gtrafikregister finns exempelvis uttryckliga bestĂ€m- melser av innebörd att personuppgiftslagen gĂ€ller utöver författ- ningen i frĂ„ga. Lagen (2000:224) om fastighetsregister och handels- registerlagen (1974:157) utgör exempel pĂ„ motsatsen.
Enligt den hĂ€nvisande modellen anges i registerförfattningen att den gĂ€ller i stĂ€llet för personuppgiftslagen, om inte annat anges i bestĂ€mmelser i registerförfattningen som hĂ€nvisar till sĂ€rskilt ut- pekade bestĂ€mmelser i personuppgiftslagen som ska vara tillĂ€mp- liga Ă€ven vid behandling av personuppgifter enligt registerförfatt- ningen i frĂ„ga. Ăven vid den hĂ€nvisande modellen mĂ„ste alltsĂ„ myndigheten tillĂ€mpa sĂ„vĂ€l den sĂ€rskilda registerförfattningen som personuppgiftslagen vid sin behandling av personuppgifter. DĂ€remot behöver man inte jĂ€mföra bestĂ€mmelserna i de bĂ„da författningarna för att komma fram till vad som gĂ€ller. Den hĂ€nvisande modellen anvĂ€nds bl.a. i de informationshanteringsförfattningar som gĂ€ller för behandling av personuppgifter i Skatteverkets beskattnings- och folkbokföringsverksamhet, Kronofogdemyndighetens verksamhet och i Tullverkets verksamhet. Tekniken anvĂ€nds Ă€ven i bl.a. polis- datalagen (2010:361) och i kustbevakningsdatalagen (2012:145) samt föreslĂ„s i en ny lag för personuppgiftsbehandlingen i dom- stolarnas rĂ€ttskipande och rĂ€ttsvĂ„rdande verksamhet (Ds 2013:10).
Vid registerförfattningar som Ă€r konstruerade enligt den hel- tĂ€ckande modellen Ă€r personuppgiftslagen över huvud taget inte tillĂ€mplig betrĂ€ffande den behandling av personuppgifter som reg- leras genom författningen. De bestĂ€mmelser i personuppgiftslagen som trots detta ska tillĂ€mpas i den aktuella verksamheten upprepas i stĂ€llet i registerförfattningen, vilket i praktiken innebĂ€r ett slags dubbelreglering. Fördelen Ă€r att tillĂ€mparen inte behöver lĂ€sa i tvĂ„ olika lagar â registerförfattningen respektive personuppgiftslagen â för att konstatera vilka bestĂ€mmelser som reglerar den aktuella per- sonuppgiftsbehandlingen. Registerförfattningen Ă€r sĂ„ledes heltĂ€ck- ande i det avseendet att den helt ersĂ€tter personuppgiftslagen. Denna modell anvĂ€nds i lagen (2007:258) om behandling av person- uppgifter i Försvarsmaktens försvarsunderrĂ€ttelseverksamhet och militĂ€ra sĂ€kerhetstjĂ€nst samt i lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrĂ€ttelse-
233
AllmÀnna bestÀmmelser |
SOU 2015:39 |
och utvecklingsverksamhet. Den heltÀckande modellen anvÀnds ocksÄ i kameraövervakningslagen (2013:460).
Vissa motivuttalanden rörande regleringsmodell
Man kan frÄga sig av vilka skÀl det har valts olika lösningar för relationen mellan personuppgiftslagen och den aktuella sÀrregleringen. NÄgot givet svar pÄ den frÄgan finns dock inte. För- och nackdelar med de olika modellerna har emellertid diskuterats i förarbeten, en diskussion som hÀr kort ska redogöras för.
En av de första informationshanteringsförfattningar som inför- des efter personuppgiftslagens ikrafttrÀdande var dÄvarande polisdata- lagen (1998:622) som utformades i enlighet med den komplette- rande modellen. Flera remissinstanser, bl.a. JO, hade i stÀllet för- ordat en mer fullstÀndig lösning med en inarbetning i polisdata- lagen av tillÀmpliga bestÀmmelser i personuppgiftslagen. Regeringen avvisade emellertid en sÄdan lösning och anförde att ett system som upprepar personuppgiftslagens bestÀmmelser i polisdatalagen och i de övriga registerförfattningar som mÄste anpassas till personupp- giftslagens bestÀmmelser skulle bli vÀldigt tungrott. Regeringen an- sÄg dÀrför att man borde undvika en dubbelreglering. DÀremot framhölls vikten av att behovet av sÀrreglering noga övervÀgs och att registerlagstiftningen görs sÄ tydlig att det inte rÄder nÄgon tvekan om vilka regler i personuppgiftslagen som gÀller trots sÀr- regleringen (prop. 1997/98:97 s. 97).
Registerförfattningsutredningen kom strax dÀrefter att, i sina förslag rörande personuppgiftsbehandlingen inom bl.a.
234
SOU 2015:39 |
AllmÀnna bestÀmmelser |
stÀllande. Den var ocksÄ enligt LagrÄdet riskfylld, med hÀnsyn sÄvÀl till svÄrigheten att överblicka om dataskyddsdirektivet blir till fullo genomfört i registerlagarna som till möjligheten att, vid kommande lagÀndringar, hÀnvisningarna till personuppgiftslagen blir felaktiga eller ofullstÀndiga. Tekniken synes ha tillkommit av hÀnsyn till myn- digheternas bekvÀmlighet men detta syfte skulle enligt LagrÄdet lika gÀrna ha kunnat vinnas genom administrativa anvisningar (prop. 2000/01:33 s. 345). Regeringen valde dock, trots LagrÄdets invÀndningar, att anvÀnda den av utredningen föreslagna hÀnvis- ande modellen och anförde, utöver de skÀl utredningen hade fram- hÄllit, att lagen dÀrmed blir överskÄdlig och tydlig för tillÀmparen. Den medför ocksÄ överskÄdlighet för den enskilde som dÀrigenom lÀttare kan utnyttja de rÀttigheter som tillerkÀnns denne (a. prop. s. 88).
Efter lagstiftningsÀrendet rörande
Vid valet av den heltÀckande modellen för informationshante- ringsförfattningarna för Försvarsmaktens underrÀttelsetjÀnst respek- tive Försvarets radioanstalt framhölls som en viktig faktor att data- skyddsdirektivet inte Àr tillÀmpligt pÄ den aktuella personupp- giftsbehandlingen. Det fanns sÄledes inte nÄgot behov av att kunna överblicka om direktivet blivit korrekt genomfört pÄ det aktuella omrÄdet (prop. 2006/07:46 s. 45).
Genom den nu gĂ€llande polisdatalagen kom den hĂ€nvisande modellen att pĂ„ nytt genomföras i en större reform för dataskydds- regleringen inom polisvĂ€sendet. Ăven kustbevakningsdatalagen Ă€r utformad enligt den hĂ€nvisande modellen. Inte i nĂ„got av dessa fall framförde LagrĂ„det nĂ„gra förnyade invĂ€ndningar. I allt vĂ€sentligt anförde regeringen samma skĂ€l för att vĂ€lja den hĂ€nvisande modellen som i samband med lagstiftningsĂ€rendet för
235
AllmÀnna bestÀmmelser |
SOU 2015:39 |
omfattning samarbetar Àr uppbyggda enligt samma lagstiftnings- teknik (jfr lagen om behandling av uppgifter i Tullverkets brotts- bekÀmpande verksamhet). Liknande argument för en hÀnvisande lösning anförs i promemorian med förslag till domstolsdatalag (Ds 2013:10 s. 54 f.).
8.3.2VÄra övervÀganden och förslag
Förslag och bedömning: Lagen ska gÀlla i stÀllet för personupp- giftslagen. Den ska dock sÀrskilt hÀnvisa till vissa bestÀmmelser i personuppgiftslagen som ska tillÀmpas pÄ motsvarande sÀtt vid myndigheters behandling av personuppgifter enligt den nya lagen. SÄdana hÀnvisningar ska bl.a. göras till bestÀmmelserna om defi- nitioner och om förhÄllandet till offentlighetsprincipen.
Det finns ett antal bestÀmmelser i personuppgiftslagen som över huvud taget inte Àr aktuella att tillÀmpa pÄ myndighets- omrÄdet. Det finns vidare ett antal regler i personuppgiftslagen som visserligen skulle kunna sÀgas ha relevans Àven vid myndig- heters behandling av personuppgifter men som ÀndÄ inte bör vara tillÀmpliga vid personuppgiftsbehandling enligt den nya lagen. Det gÀller bl.a. den s.k. missbruksregeln i 5 a §, bestÀmmelsen om personuppgiftsbehandling för direkt marknadsföring i 11 § och bestÀmmelsen om automatiserade beslut i 29 §.
FörhÄllandet till personuppgiftslagen
Det Àr vÀsentligt att den lagtekniska konstruktionen för hur för- hÄllandet mellan den nya lagen och personuppgiftslagen ska reg- leras blir ÀndamÄlsenlig. I det ligger framför allt en ambition att regleringen ska vara tydlig, lÀtt att tillÀmpa och inte riskera att ge upphov till osÀkerhet. De redovisade modeller som förekommer bland gÀllande registerförfattningar Àr, som framgÄtt, alla förenade med vissa nackdelar. Vi har emellertid inte funnit nÄgon ytterligare regleringsteknik som eliminerar samtliga dessa nackdelar. NÄgon av de nÀmnda modellerna bör dÀrför vÀljas.
Vid valet av modell bör beaktas att lagen kommer att ha en mycket brett tillÀmpningsomrÄde, i vart fall efter hand. Det Àr
236
SOU 2015:39 |
AllmÀnna bestÀmmelser |
dĂ€rför Ă€ndamĂ„lsenligt med en reglering som Ă€r sĂ„ âsjĂ€lvbĂ€randeâ som möjligt, dvs. som inte i nĂ„gon större omfattning förutsĂ€tter att det ska göras komplicerade analyser av relationen mellan bestĂ€m- melser i den nya lagen respektive personuppgiftslagen. Detta skulle kunna sĂ€gas tala för att utforma lagen i enlighet med den heltĂ€ck- ande modellen dĂ€r man alltsĂ„ inför bestĂ€mmelser som motsvarar sĂ„dana bestĂ€mmelser i personuppgiftslagen som ska vara tillĂ€mp- liga. En sĂ„dan lösning skulle emellertid bli mycket tungrodd och resultera i en omotiverad dubbelreglering. Till detta kommer att den nya lagen inte syftar till en ny implementering av dataskydds- direktivet pĂ„ myndighetsomrĂ„det utan till att skapa en för myndig- heter bĂ€ttre anpassad reglering avseende de sĂ€rförhĂ„llanden som inte pĂ„ ett adekvat sĂ€tt kunnat tas om hand genom personupp- giftslagens generella reglering. En heltĂ€ckande lag torde vidare göra nödvĂ€ndiga reformer i samband med införandet av den allmĂ€nna uppgiftsskyddsförordningen avsevĂ€rt mer komplicerade. En hel- tĂ€ckande modell bör dĂ€rför inte vĂ€ljas.
Vi instĂ€mmer i de invĂ€ndningar mot den kompletterande modellen som framförts genom Ă„ren om att det inte sĂ€llan uppstĂ„r svĂ„rig- heter att bedöma vilka bestĂ€mmelser i personuppgiftslagen som fortfarande Ă€r tillĂ€mpliga vid behandling av personuppgifter enligt en informationshanteringsförfattning. FrĂ„ga kan t.ex. uppstĂ„ huru- vida en bestĂ€mmelse i författningen helt eller delvis ersĂ€tter en viss bestĂ€mmelse i personuppgiftslagen eller om den âbaraâ komplette- rar bestĂ€mmelsen som alltsĂ„ fortfarande skulle kunna vara tillĂ€mp- lig i och för sig. Det Ă€r ocksĂ„ svĂ„rt att bedöma vilka konsekvenser Ă€ndringar i personuppgiftslagen fĂ„r pĂ„ tillĂ€mpningsomrĂ„det för registerförfattningar utformade enligt den kompletterande modellen. Ett exempel Ă€r införandet av den s.k. missbruksregeln (5 a § PuL). Enligt den bestĂ€mmelsen behöver vissa centrala bestĂ€mmelser i per- sonuppgiftslagen inte tillĂ€mpas vid behandling av personuppgifter i s.k. ostrukturerat material. I förarbetena till missbruksregeln berördes inte vilka konsekvenser den nya bestĂ€mmelsen skulle fĂ„ för dĂ„ gĂ€llande informationshanteringsförfattningar vars tillĂ€mpnings- omrĂ„de omfattar personuppgiftsbehandling i bĂ„de strukturerat och ostrukturerat material. Ofta har dessa sĂ€rlagar, sĂ„vitt kan förstĂ„s av deras förarbeten, utformats med den förutsĂ€ttningen att exempel- vis de grundlĂ€ggande kraven i 9 § PuL alltid ska gĂ€lla. Det kan alltsĂ„ konstateras att den farhĂ„ga LagrĂ„det förde fram rörande den hĂ€n-
237
AllmÀnna bestÀmmelser |
SOU 2015:39 |
visande modellen, om att svÄrigheter kan uppstÄ genom att hÀnvis- ningar blir felaktiga om personuppgiftslagen Àndras, har ett slags mot- svarighet betrÀffande vilka konsekvenser Àndringar i personuppgifts- lagen fÄr för registerförfattningar utformade enligt den komplette- rande modellen.
Vi menar att övervÀgande skÀl talar för att den hÀnvisande modellen Àr den mest lÀmpliga lagtekniska konstruktionen betrÀff- ande den nya lagens förhÄllande till personuppgiftslagen. DÀrigenom blir regleringen tydlig och lÀttillÀmpad. Vi menar ocksÄ att den modellen erfarenhetsmÀssigt skapar bÀst förutsÀttningar för att undvika att oklara rÀttslÀgen uppstÄr. Vidare bedömer vi att den hÀnvisande modellen Àr avgjort bÀst lÀmpad för att möta de för- Àndringar som kan antas komma att behöva ske som ett resultat av ett införande av en unionsrÀttslig uppgiftsskyddsförordning.
Vi föreslĂ„r dĂ€rför en bestĂ€mmelse som innebĂ€r att den nya lagen ska gĂ€lla i stĂ€llet för personuppgiftslagen och att det sĂ€rskilt hĂ€nvisas till vissa bestĂ€mmelser i personuppgiftslagen som ska tillĂ€mpas pĂ„ motsvarande sĂ€tt vid myndigheters behandling av per- sonuppgifter enligt den nya lagen. Anledningen till uttrycket âpĂ„ motsvarande sĂ€ttâ Ă€r att flertalet bestĂ€mmelser i personuppgifts- lagen avser situationer dĂ„ nĂ„got görs âenligt lagenâ eller sĂ„ refereras pĂ„ annat sĂ€tt till âlagenâ. Med lagen avses i dessa bestĂ€mmelser personuppgiftslagen. Meningen Ă€r emellertid att syftningen, i de fall en hĂ€nvisning görs frĂ„n den nya lagen, ska avse den lagen och inte personuppgiftslagen (jfr prop. 2012/13:163 s. 47 f. och 109).
Nedan gör vi vissa allmÀnna övervÀganden rörande vissa bestÀm- melser som vi föreslÄr att den nya lagen ska hÀnvisa till eller som vi föreslÄr inte ska vara tillÀmpliga vid behandling av personuppgifter enligt lagen. BetrÀffande flertalet bestÀmmelser i personuppgifts- lagen kommer det att i kapitel
238
SOU 2015:39 |
AllmÀnna bestÀmmelser |
Vissa bestÀmmelser i personuppgiftslagen som bör gÀlla enligt den nya lagen
I 3 § PuL definieras ett antal begrepp â behandling (av personupp- gifter), blockering (av personuppgifter), mottagare, personuppgifter, personuppgiftsansvarig, personuppgiftsbitrĂ€de, personuppgifts- ombud, den registrerade, samtycke, tillsynsmyndighet, tredjeland och tredje man â som har sin motsvarighet i artikel 2 i dataskydds- direktivet. I ett flertal fall anvĂ€nds motsvarande begrepp i den nya lagen. Dessa bör g