YTTRANDE 2015-11-20 Dnr: 2015/1557 Regeringskansliet Justitiedepartementet Grundlagsenheten 103 33 Stockholm Skickas också med e-post till: nils.sjoblom@regeringskansliet.se Betänkandet SOU 2015:39 Myndighetsdatalag (Dnr Ju2015/3364/L6) Sammanfattning Patent- och registreringsverket (PRV) tillstyrker i huvudsak betänkandets förslag och anser att det är positivt att en gemensam myndighetsdatalag (MDL) införs som en förutsättning för att i framtiden ha möjlighet att skapa en gemensam och överskådlig reglering, vilken på sikt kan ersätta de särskilda registerförfattningarna. En generell reglering PRV delar utredningens bedömning att det finns förutsättningar för en samlad reglering beträffande myndigheters behandling av personuppgifter. Dock är området mycket svårreglerat och det finns givetvis en risk för att antalet särregleringar i framtiden kommer att öka. Vad som är positivt är att dessa enligt förslaget kan regleras i förordningar istället för i särskilda registerlagar. Dubbellagstiftning Myndigheter kommer delvis behöva tillämpa PuL avseende viss i 3 MDL angiven verksamhet. 1 PRV anser att det är problematiskt med dubbellagstiftning. PRV önskar om stadgandet ändå behålls ett förtydligande av gränsdragningen mot administrativ verksamhet i 3 1 p. MDL. Myndighetsbegreppet PRV har i huvudsak uppgifter inom myndighetsutövning, men har också rätt att bedriva viss uppdragsverksamhet avseende informationstjänster (3 förordningen 2007:1111 med instruktion för Patent- och registreringsverket). Detta gäller även andra myndigheter som bedriver uppdrags- 1 SOU 2015:39 Myndighetsdatalag, s 225. 1 (6)
eller annan affärsverksamhet. Ett förtydligande av om MDL är tillämplig även på denna typ av verksamheten bör därför göras. PRV är enligt 28 patentlagen avseende internationell patentansökan mottagande myndighet i enlighet med vad regeringen föreskriver. 1 förordningen (1978:218) om patent- och registreringsverkets verksamhet som internationell myndighet enligt konventionen om patentsamarbete anger att PRV ska anses vara internationell nyhetsgranskningsmyndighet och myndighet för internationell förberedande patenterbarhetsprövning enligt konventionen om patentsamarbete (Patent Cooperation Treaty, PCT). 2 i förordningen anger att ärenden ska handläggas enligt PCT. PRV önskar ett förtydligande av om MDL är tillämplig för denna typ av handläggning. Inom varumärkesrätten tillämpas Madridprotokollet internationellt (se 5 kap. varumärkeslagen och 6 kap. varumärkesförordningen). PRV anges i varumärkeslagen 5 kap. 1 vara varumärkesmyndighet i Sverige. PRV önskar dock motsvarande förtydligande om tillämplighet av MDL. Tillåten behandling av personuppgifter och förslaget om krav på nödvändighet Den personuppgiftsansvarige ansvarar för att all behandling av personuppgifter är lovlig och behöver därmed anpassa hanteringen till regler som gör behandlingen tillåten. Begreppen behandling av personuppgifter har getts en mycket vid omfattning, så att även mycket harmlös hantering av uppgifter som i princip saknar integritetsvärde faller in under begreppen. Personuppgiftslagen (PuL) är uppbyggd med ett antal ventiler som medför att hanteringen av personuppgifter är/blir tillåten. Några av dessa ventiler är för myndigheter missbruksregeln i 5 a och regler om journalistiska ändamål i 7 2 st., samtycke i 10 samt katalogen 10 a-f. I 6 MDL saknas hänvisning till 5 a, 7 2 st. och 10 PuL. PRV anser i denna del att dessa ventiler är vedertagna och till stor del underlättar myndigheters agerande utan att otillbörligt inskränka den personliga integriteten. Att ersätta dessa ventiler med 8 MDL medför enligt PRV flera problem. En stor del av myndigheters informationsverksamhet kan innehålla personuppgifter som saknar skyddsvärde utifrån ett integritetsperspektiv. Idag undantas dessa ageranden från den administrativa börda som PuL innebär p.g.a. de existerande ventilerna och skadar normalt inget reellt intresse av att skydda den personliga integriteten i de fallen. Ofta torde myndigheter i sådana fall inhämta samtycke för att vara på den säkra sidan. De som t.ex. lämnat sitt samtycke kan ta tillbaka det, vilket medför att personuppgiftsbehandlade personer idag som behandlats med stöd av samtycket har makten att välja om de vill delta i t ex informationskampanjer. Det framstår som tveksamt om sådant agerande av myndigheter kommer innefattas under begreppet nödvändigt i 8 MDL. Myndigheten står då inför valet att upphöra med all sådan verksamhet eller begära att sådant agerande uttryckligen framgår i myndighetsinstruktion eller annan författning. Båda dessa alternativ är sämre än nuvarande system. 2 (6)
Vidare anges 8 MDL stämma överens med 10 a-f PuL och nödvändighetsbegreppet ska också tolkas snävare än enligt OSL. 2 Detta framgår inte av lagtexten. Nödvändigt är i sig ett kraftfullt uttryck. Kan uppgiften utföras nästan lika bra eller billigt utan behandling av personuppgifter är nödvändighetskravet inte uppfyllt och behandlingen är därmed inte tillåten. 3 PRV befarar att mycket harmlös hantering kommer att träffas av förbudet och inte ens samtycke kommer kunna göra hanteringen tillåten. Utan rimliga ventiler kan kravet på nödvändigt framstå som absurt. PRV delar utredningens uppfattning om att myndigheter inte ska hitta på egna uppgifter utanför de som ålagts dem, men anser att förslaget inte tar tillräcklig hänsyn till behovet av viss flexibilitet, något som dagens ventiler möjliggör. 4 PRV har ett brett informationsuppdrag från regeringen (2 a förordning (2007:1111) med instruktion för Patent- och registreringsverket) som går ut på att informera om och bidra till ökad förståelse för hanteringen av immateriella tillgångar hos företag och aktörer inom det offentliga innovationssystemet. Detta sker idag bl. a. genom bloggar, webseminarier som sparas och överförs on-demand samt utskick med information om hur entreprenörer har agerat som ofta innehåller personuppgifter. Dessa sätt att agera kan knappast anses vara nödvändigt, men de är ändå effektiva åtgärder som inspirationskällor för framtida entreprenörer. All sådan verksamhet kommer vara tveksam om utredningens förslag genomförs. 5 PRV delar inte utredningens uppfattning att det saknas behov av samtycke som rättsligt godtagbar grund. 6 PRV delar inte heller utredningens bedömning av missbruksregeln. 7 Missbruksregeln har enligt PRV:s uppfattning inte som enda syfte att myndigheter ska slippa göra rättsliga bedömningar eftersom regeln också har ett andra stycke. Däremot rensar missbruksregeln enligt PRV:s mening bort ovidkommande byråkrati som inte bidrar till ökat skydd för den personliga integriteten. Sammanfattningsvis så anser PRV att dagens ventiler bör vara fortsatt tillämpliga om MDL införs. Känsliga personuppgifter Samtycke räcker inte enligt författningskommentaren, trots att 15 PuL är tillämplig enligt 6 MDL. 8 PRV anser att det bör förtydligas i lagtext att även nödvändighetsrekvisitet i 8 MDL ska vara uppfyllt. PRV anser att myndigheterna genom den föreslagna regleringen i 10 MDL ges ett alltför stort utrymme att behandla känsliga personuppgifter i löpande text. Om syftet är att känsliga personuppgifter får behandlas i 2 A a s 290 och 699 f. 3 Jfr A a s 290 och 700. 4 Jfr A a s 288 f. 5 Visst stöd ges dock i A a s 296 f, vilket dock bör förtydligas. 6 A a s 296 f. 7 A a s 240. 8 A a s 695. 3 (6)
löptext endast avser situationer när myndigheten fått information skickad till sig, bör det framgå av lagtexten. 9 Personnummer 11 MDL reglerar hantering av personnummer i samband med beslut. Ett förtydligande avseende hantering av personnummer som inte avser beslut bör göras. Av utredningen följer att ärendesystem kan vara uppbyggda på personnummer och dess behandling i ärenden är därmed lovlig om 11 MDL är uppfylld. 10 Ärendesystemet i sig borde enligt PRV:s uppfattning utgöra hantering av personnummer och PRV kan inte se vilket stadgande som reglerar detta. PRV hanterar namnärenden enligt namnlagen (1982:670). Till ansökan ska bifogas personbevis, vilka innehåller personnummer (se 39 ). Ärendesystemet innehåller personnummer och PRV önskar ett förtydligande av tillåtligheten om MDL införs. Ett förtydligande om hantering av personnummer som enskilda skickar in, när den enskilda själv vill ha med dessa, t ex för en säker identifiering bör också göras. Inom staten pågår samarbeten om att kunna skapa en infrastruktur om säkra försändelser från myndigheter till enskilda (Mina meddelanden, se Regeringsbeslut 2015-04-30, N2015/3779/EF). Det behövs därför ett förtydligande om i vilken utsträckning sådana system som idag bygger på att personnummer används går att använda med den i MDL föreslagna regleringen. Sökförbud Regleringen i 12 MDL avser enligt ordalydelsen uppgifter i sig, inte personuppgifter. I utredningen nämns att det avser situationer när det finns ett syfte att sammanställa personuppgifter genom att använda sökord på t.ex. sjukdomstillstånd. 11 Detta bör enligt PRV komma till uttryck i lagtexten. Dessutom är det oklart vilken form av syfte som är otillåtet (jfr diskussionen om olika varianter av uppsåt). PRV utför sökningar utifrån ett patentperspektiv, vilket betyder att PRV eftersträvar att ta reda på vilken samlad teknisk kunskap som globalt finns/fanns tillgänglig vid en viss tidpunkt. PRV:s syfte är aldrig att koppla informationen till enskilda personuppgifter i sig. Däremot kan sådan information hittas ofrivilligt genom de sökningar som verket genomför. PRV tolkar andra stycket så att så länge sökningen är knuten till ett specifikt ärende så är sökningen tillåten, även om det första stycket skulle anses vara uppfyllt. PRV har också som uppgift enligt myndighetsinstruktionen att utföra vissa uppdragstjänster inom myndighetens verksamhetsområde. Anses 9 Jfr A a s 701. 10 A a s 702. 11 A a s 324. 4 (6)
första stycket vara uppfyllt så kommer PRV att behöva tillåtande föreskrifter för att kunna utföra vissa av de uppdrag myndigheten har, eftersom uppdragen inte innebär ärendehantering i traditionell mening. För att kunna fortsätta med denna verksamhet är det viktigt att bilagan till MDL reglerar denna verksamhet hos PRV och andra myndigheter som bedriver liknande verksamhet. Överföring till tredje land PRV välkomnar 16 MDL och hänvisar också upplysningsvis till 4 i förordningen (2007:1111) med instruktion för Patent- och registreringsverket. PRV önskar också ett förtydligande av hur förslaget kommer påverka uppdragsverksamheten. Relevanta registerförfattningar för PRV PRV har identifierat nedanstående registerförfattningar som är tillämpliga på myndighetens verksamhet: Förordningen 2007:1111 med instruktion för Patent- och registreringsverket 4 reglerar viss överföring av personuppgifter till tredje land. Patentkungörelsen (1967:838) 38 c och möjligen e-g bör justeras i enlighet med förslaget. Varumärkesförordning (2011:594) 1:3-6 bör justeras i enlighet med förslaget. Mönsterskyddsförordningen (1970:486) 20 a-20 f reglerar personuppgifter. Vissa bestämmelser bör justeras. Upphovsrättslagen (1960:729) och upphovsrättsförordningen (1993:1212) 16 a-d URL kan generera personuppgifter (t.ex. kända rättighetshavare och kontaktpersoner). 3 UF anger PRV:s rätt att agera. PRV medges rätt att överföra uppgifterna till OHIM. Namnlagen (1982:670) PRV hanterar också personuppgifter i ärendehantering av periodiska skrifter enligt tryckfrihetsförordningen och lagen (1991:1559) med föreskrifter på tryckfrihetsförordningens och yttrandefrihetsgrundlagens område (se 2 kap.). Dessutom hanterar PRV ärenden enligt bl. a. lagen (1970:498) om skydd för vapen och vissa andra officiella beteckningar Vissa av författningarna som anges ovan anger inte uttryckligen att PRV är ansvarig enligt bestämmelser om hantering av personuppgifter. 5 (6)
PRV förutsätter att myndigheten för det fall MDL genomförs kommer involveras i arbetet med att ytterligare inventera de bestämmelser som kan behöva ändras. Detta yttrande har beslutats av generaldirektören Susanne Ås Sivborg. I den slutliga handläggningen har även chefsjuristen Karin Bergh, patentavdelningens juristchef Marie Eriksson, design- och varumärkesavdelningens juristchef Magnus Ahlgren och juristen Mats Nordenborg (föredragande) deltagit. Susanne Ås Sivborg Mats Nordenborg 6 (6)