JO dnr 2665-2009

I en anmälan, som kom in till JO den 12 maj 2009, klagade S.M. på anstalten Åbys handläggning av hans begäran om att få ”fullständiga registeruppgifter” ur Kriminalvårdens klientadministrativa system (KLAS) och kriminalvårdsregistret (KVR) angående sitt eget fall. Enligt S.M. hade anstalten hemlighållit vissa uppgifter. Han fick veta detta genom ett ”muntligt beslut” den 8 maj 2009.

Anstalten lämnade muntligen följande upplysningar. De uppgifter som S.M. inte har fått ta del av gäller målsägandeinformation och en sekretessmarkerad daganteckning upprättad i anstalten Kolmården. Dessa uppgifter har strukits över i det registerutdrag som S.M. har fått. Något formligt beslut härom fattades inte.

Kriminalvården anmodades att yttra sig över anmälan. I sitt remissvar anförde Kriminalvården (region Mitt), genom regionchefen Gunilla Ternert, följande.

Av upprättad tjänsteanteckning, aktbil. 2, framgår sakomständigheterna (avser de uppgifter som anstalten Åby har lämnat muntligen, JO:s anm.).

Författningsbestämmelser

Enligt 26 § personuppgiftslagen (1998:204) , PUL, är den personuppgiftsansvarige skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande behandlas eller ej. Behandlas sådana uppgifter skall skriftlig information lämnas också om 1. vilka uppgifter om den sökande som behandlas, 2. varifrån dessa uppgifter har hämtats, 3. ändamålen med behandlingen, och 4. till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut.

En ansökan enligt första stycket skall göras skriftligen hos den personuppgiftsansvarige och vara undertecknad av den sökande själv. Information enligt första stycket skall lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast fyra månader efter det att ansökan gjordes.

Enligt offentlighets- och sekretesslagen 6 kap. 3 § följer att om en anställd vid en myndighet, enligt arbetsordningen eller på grund av särskilt beslut, har ansvar för vården av en handling, är det i första hand han eller hon som ska pröva om handlingen ska lämnas ut. I tveksamma fall ska den anställde låta myndigheten göra prövningen, om det kan ske utan onödigt dröjsmål.

Myndigheten ska pröva om handlingen ska lämnas ut om den anställde vägrar att lämna ut handlingen eller lämnar ut den med förbehåll som inskränker en enskilds rätt att röja innehållet eller annars förfoga över handlingen, och den enskilde begär myndighetens prövning.

Den enskilde ska informeras om möjligheten att begära myndighetens prövning och att det krävs ett skriftligt beslut av myndigheten för att beslutet ska kunna överklagas.

Kriminalvårdens bedömning

I det fall uppgifter i utdraget maskas så skall sökanden underrättas om att han kan begära frågans hänskjutande till myndigheten och att ett beslut av myndigheten krävs för att ett avgörande skall kunna överklagas. Detta har inte skett i aktuellt fall.

Ett utdrag enligt 26 § ger inte den registrerade rätt att få ett registerutdrag med personuppgifter om någon annan än sig själv. Det kan därför vara klokt att före utlämnandet rensa registerutdraget från alla personuppgifter om andra än den som begärt utdraget. Det kan ifrågasättas om uppgifter om Kriminalvårdens underrättelseskyldighet till en målsägande verkligen är att hänföra till den intagne. Den intagne är i vart fall ingen part i ett dylikt ärende eftersom dokumentationen enbart rör målsäganden och Kriminalvården. Mot detta talar bestämmelsen i 5 § 6 p. förordningen ( 2001:682 ) om behandling av personuppgifter inom kriminalvården samt det faktum att den information som lämnas, direkt är kopplad till beslut som rör den enskilda intagne.

Oaktat detta spörsmål så har även andra uppgifter maskats. S.M. har inte informerats om möjligheten att begära myndighetens prövning och att det krävs ett skriftligt beslut av myndigheten för att beslutet ska kunna överklagas.

S.M. gavs tillfälle att yttra sig över remissvaret.

Kriminalvården, huvudkontoret anmodades därefter att avge yttrande i ärendet. I sitt yttrande anförde Kriminalvården, genom generaldirektören Lars Nylén, följande.

Kompletterande yttrande med anledning av en intagens klagomål

JO har begärt att Kriminalvårdens huvudkontor ska yttra sig över två frågor:

1. hur beslut om s.k. registerutdrag, som innebär att viss information inte lämnas ut, ska överklagas, samt

2. om uppgifter om andra personer än den intagne, som är antecknade i den intagnes journal, är att betrakta som personuppgifter om den intagne.

2.1 Författningsbestämmelser m.m. Enligt 26 § PUL är den personuppgiftsansvarige skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande behandlas eller ej. Behandlas sådana uppgifter skall skriftlig information lämnas också om vilka uppgifter om den sökande som behandlas, varifrån dessa uppgifter har hämtats, ändamålen med behandlingen samt till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut.

Enligt 27 § PUL gäller inte bestämmelserna i bl.a. 26 § i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller annars framgår avbeslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade.

Enligt 52 § PUL får en myndighets beslut om information enligt 26 §, om rättelse och underrättelse till tredje man enligt 28 §, om information enligt 29 § andra stycket och om upplysningar enligt 42 § med vissa angivna undantag överklagas hos allmän förvaltningsdomstol.

Enligt 2 § lagen ( 2001:617 ) om behandling av personuppgifter inom kriminalvården (KV-PUL) tillämpas, om inte annat följer av lagen eller föreskrifter som har meddelats med stöd av den, personuppgiftslagen vid behandling av personuppgifter inom kriminalvården.

Enligt 12 § KV-PUL får Kriminalvårdens beslut om rättelse och om information enligt 26 § personuppgiftslagen överklagas hos allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Vissa ytterligare regler om överklagande, som inte är aktuella här, finns i 13–16 §§.

En myndighets beslut att inte lämna ut en allmän handling på grund av att den omfattas av sekretess överklagas enligt 6 kap. 8 § offentlighets- och sekretesslagen (2009:400, OSL) till kammarrätt.

2.2 Förarbeten m.m. I såväl 52 § PUL som 12 § KV-PUL anges att beslut enligt 26 § får överklagas hos allmän förvaltningsdomstol. Någon hänvisning till 27 § PUL , som innehåller bestämmelser om under vilka förutsättningar information kan nekas, görs dock inte i någon av bestämmelserna. Frågan om i vilken ordning en inskränkning i utlämnandet som sker med stöd av 27 § PUL ska överklagas uppkommer därmed. Förarbetena till KV-PUL ( prop. 2000/01:126 ) ger inget svar på frågan.

Bestämmelsen om överklagande av vissa beslut enligt PUL i 52 § infördes 2007 (SFS 2006:398). I utredningen som ligger till grund för lagstiftningen anfördes bl.a. följande: ”Utredningen ställer sig bakom principen att myndighetsbeslut som direkt berör den enskilde ska kunna överklagas och att andra myndighetsbeslut, som kan betecknas som interna eller administrativa, inte bör få överklagas. Utredningen har med den utgångspunkten gått igenom bestämmelserna i personuppgiftslagen för att finna de bestämmelser enligt vilka myndigheter kan fatta beslut som direkt berör den enskilde.” Utredningen uppger därefter vilka bestämmelser som avses, nämligen 26, 28, 29 och 42 §§ PUL och anför vidare att ”övriga myndighetsbeslut enligt personuppgiftslagen är enligt utredningens mening interna eller administrativa på ett sådant sätt att besluten inte direkt berör den enskilde och därmed inte kan – eller i vart fall inte bör kunna – överklagas” ( SOU 2004:6 sid. 219). Regeringen delade den bedömningen ( prop. 2005/06:173 sid. 51 f.).

Frågan hur ett beslut att inte lämna ut vissa uppgifter med stöd av 27 § PUL har också behandlats i samband med stiftandet av andra myndigheters registerförfattningar. Av förarbetena till lagen ( 2001:181 ) om behandling av uppgifter i Skatteverkets beskattningsverksamhet m.fl. lagar framgår följande.

Lagrådet påpekade att en följd av den föreslagna uppdelningen i överklagbara och icke överklagbara beslut – som överensstämmer med den senare föreslagna

Frågan diskuterades även i förarbetena till lagen ( 2007:258 ) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst och lagen ( 2007:259 ) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet. Av Lagrådets yttrande framgår följande. Försvarsmaktens beslut om den information som skall lämnas enligt 2 kap. 1 och 2 §§ skall enligt överklagandebestämmelsen i paragrafen kunna överklagas hos allmän förvaltningsdomstol. Då information enligt 2 kap. 4 § inte behöver lämnas i de fall sekretess hindrar att uppgifterna lämnas ut till den registrerade kommer ett överklagande av ett avslag enligt sekretessbestämmelsen i 4 § på en ansökan om besked huruvida personuppgifter rörande den sökande finns att prövas av länsrätt. En motsvarande sekretessprövning kommer däremot att prövas av kammarrätt som första instans vid ett överklagande av ett avslag på en begäran om utfående av en allmän handling med de uppgifter om den sökande som behandlas av Försvarsmakten. – Oaktat att – som anförts i lagrådsremissen – en liknade reglering av överklagandemöjligheterna skett i personuppgiftslagen och olika registerförfattningar vill Lagrådet ändå ifrågasätta det lämpliga i att en enahanda sekretessprövning kan komma i fråga med olika utgångspunkter hos såväl länsrätt som kammarrätt som första instans. Regleringen medför också att såvida sökanden inte i sin framställning klart anger på vad denna grundas tveksamhet kan uppkomma om fråga är om en begäran om utlämnande av allmän handling eller en ansökan om information enligt den nu föreslagna registerlagen. Denna osäkerhet kompliceras också av att endast i sist nämnda fall en så lång väntetid på att beslut som anges i 2 kap. 2 § lagen kan accepteras. Lagrådet vill mot nu angiven bakgrund i allt fall ifrågasätta om inte prövningen av ett beslut om information som innebär att sekretess hindrar ett utlämnande av den begärda informationen bör prövas av kammarrätt som första instans och om inte frågan om instansordningen vid överklagande bör bli föremål för förnyade överväganden med avseende på såväl personuppgiftslagen som de olika registerlagarna ( prop. 2006/07:46 sid. 196). – Regeringen anförde häremot följande. Den aktuella frågeställningen berördes inte av regeringen i anslutning till den ändring i personuppgiftslagen som trädde i kraft den 1 januari 2007 och som bl.a. innebär att en myndighets beslut om information enligt 26 § personuppgiftslagen får överklagas hos allmän förvaltningsdomstol ( prop. 2005/06:173 sid. 50 ff.). Personuppgiftslagsutredningen konstaterade emellertid att i de överklagandebestämmelser som intagits i nyare registerförfattningar har man inte anknutit till ordningen för överklagande av beslut att avslå en begäran om utfående av allmän handling, utan i stället utgått från 22 a § förvaltningslagen ( SOU 2004:6 s. 220 ). Det bör enligt regeringens uppfattning eftersträvas att personuppgiftslagen och andra författningar som reglerar behandling av personuppgifter i offentlig verksamhet så långt möjligt har enhetliga regleringar av sådana frågeställningar som är gemensamma, i synnerhet när det gäller processuella frågor. Det finns enligt regeringens mening inte anledning att i det här lagstiftningsärendet avvika från den ordning som enligt bl.a. personuppgiftslagen gäller för överklagande av beslut. Frågeställningen, som inte behandlas i promemorian, kräver ytterligare överväganden och får därför behandlas i ett annat sammanhang.

Sören Öman och Hans-Olof Lindblom har i sin kommentar till 27 § PUL ( Personuppgiftslagen . En kommentar. Fjärde upplagan på Internet, version den 1 oktober 2009) anslutit sig till den ståndpunkt Lagrådet framförde i prop. 2006/07:46 och uppger att möjligheten att enligt 52 § PUL överklaga en myndighets beslut även gäller när ansökan om registerutdrag avslås helt eller delvis på grund av att sekretess gäller mot den registrerade för uppgifterna.

En begäran från en enskild att få ett registerutdrag är inte detsamma som en begäran om att få ut en allmän handling. En begäran om registerutdrag kan nämligen – i alla fall teoretiskt – innebära att andra handlingar än allmänna sådana lämnas ut (jfr 26 § tredje stycket första meningen PUL och 2 kap. 7 § TF ). Den kan vidare ställas till andra subjekt som behandlar personuppgifter än myndigheter och andra organ som omfattas av skyldigheten att lämna ut allmänna handlingar.

Ett beslut att inte lämna ut vissa uppgifter med stöd av 27 § PUL kan svårligen ses som ett beslut som inte direkt berör en enskild. Det utredningen och regeringen anförde i förarbetena till 52 § PUL talar därför för att en tillämpning av 27 § PUL bör ses som en del i tillämpningen av 26 § och därmed vara överklagbart i den ordningen. Enligt Kriminalvårdens uppfattning talar även formuleringen i 27 § PUL för denna slutsats – informationsskyldigheten enligt 26 § gäller inte om annat följer av 27 §. Möjligen talar också utredningens uttalande om att beslut av sådana formellt privaträttsliga organ som avses i 1 kap. 8 och 9 §§ sekretesslagen (1980:100) och som har allmänna handlingar inte bör jämställas med myndighetsbeslut ( SOU 2004:6 sid. 220) för denna slutsats; uttalandet kan tolkas som att en myndighets sekretessprövning av ett registerutdrag ska överklagas enligt bestämmelserna i PUL.

Det kan slutligen noteras att det med en annan tolkning är oklart exakt vilka beslut som skulle vara överklagbara enligt 52 § PUL , förutom rena formaliabeslut av typen att en myndighet vägrar lämna ett begärt registerutdrag varpå domstolen beslutar att myndigheten är skyldig att göra det (dvs. i princip vid rent lagtrots). Detta blir särskilt tydligt vid en jämförelse med lagen ( 2007:258 ) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst. 2 kap. 2 § den lagen motsvarar 26 § första och andra styckena PUL, 2 kap. 3 § motsvarar 26 § tredje stycket PUL och 2 kap. 4 § motsvarar i stort 27 § PUL . Enligt 6 kap. 3 § lagen får av dessa bestämmelser endast 2 kap. 2 § överklagas. Med en annan tolkning än den Kriminalvården gör skulle enbart beslut enligt motsvarande 26 § första och andra styckena PUL i den lagen vara överklagbara. Värdet av en sådan möjlighet till överklagande kan starkt ifrågasättas.

Kriminalvården gör sålunda sammanfattningsvis bedömningen att ett beslut, som innebär att information om vissa registrerade uppgifter inte lämnas ut med stöd av 27 § PUL , överklagas i den ordning som anges i 12 § KV-PUL, dvs. hos allmän förvaltningsdomstol. Ytterst ankommer det dock på domstolen att göra den bedömningen.

2. Personuppgifter om andra än den intagne

2.1 Författningsbestämmelser m.m. Med personuppgift förstås enligt 3 § PUL all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Definitionen är avsedd att ha samma innebörd som i det bakomliggande direktivet (95/46/EG) ( prop. 1997/98:44 sid. 117). Någon närmre ledning ges dock inte i förarbetena. Av Datalagskommitténs betänkande Integritet Offentlighet Informationsteknik ( SOU 1997:39 ) framgår dock att en viss uppgift i och för sig kan utgöra en personuppgift avseende flera personer (betänkandet sid. 338). Detsamma framgår av den ovan nämnda kommentaren till PUL.

Enligt 20 § Kriminalvårdens föreskrifter och allmänna råd om journal (KVFS 2008:11, journalföreskrifterna) ska anteckningar föras löpande. I journalen ska införas alla beslut som har fattats, viktiga händelser samt väsentliga uppgifter om vidtagna eller planerade åtgärder om klienten. Av de allmänna råden till bestämmelsen framgår att bl.a. uppgifter om besök till klienten samt uppgifter om målsägandeinformation förs i journalen.

2.2 Kriminalvårdens bedömning En viss uppgift som utgör en personuppgift kan naturligtvis isoleras så att den i sig inte ger information om mer än en person. En sådan isolerad uppgift om t.ex. en besökare till en intagen utgör naturligtvis inte en personuppgift om någon annan än besökaren. Frågan här är dock om det är rimligt att anlägga ett sådant snävt perspektiv.

En förutsättning för att Kriminalvården ska ha rätt att behandla personuppgifter om en person som inte är myndighetens klient är att personen i fråga har någon relation till en klient. Detta framgår redan av ordalydelsen i KV-PUF: ”I fråga om personer som är [häktade/dömda till fängelse etc.] får […] följande personuppgifter behandlas […]”. Uppgifterna förs i en klientjournal. Den enda vägen att komma åt uppgiften är således att nå den via en sådan journal. Redan dessa omständigheter talar enligt Kriminalvårdens uppfattning för att en uppgift i en intagens journal om en annan person än den intagne utgör en uppgift om såväl den intagne som den andra personen.

Man kan härutöver ifrågasätta värdet av uppgifter som inte förekommer i en kontext. Inom Kriminalvården förekommer att intagna begär att beviljas t.ex. telefontillstånd till en viss person. Kriminalvården har då rätt att göra vissa kontroller av personen i fråga och registrerar, till följd av den intagnes begäran, uppgifter om personen i fråga i den intagnes journal. Om denne då begär ett registerutdrag är det naturligtvis intressant att få veta i vilket sammanhang uppgiften förekommer, inte bara att Kriminalvården behandlar den. Även detta talar enligt Kriminalvårdens uppfattning för att man inte bör se personuppgiften helt isolerad utan i sin kontext.

Kriminalvården anser sålunda att det finns starka skäl som talar för att betrakta uppgifter om andra personer än den intagne, som är antecknade i den intagnes journal, som personuppgifter även avseende den intagne.

Kriminalvården kan dock avslutningsvis notera att det praktiska värdet av hur man ser på frågan torde vara av mindre betydelse. Om uppgifter om andra personer än den intagne inte är att betrakta som uppgifter om honom eller henne kommer de inte att lämnas ut med stöd av 26 § PUL . Om uppgifterna å andra sidan ses som personuppgifter avseende såväl den intagne som den andra personen kommer de i och för sig att omfattas av en begäran enligt 26 § PUL men i de flesta fall inte lämnas ut med hänsyn till regleringen i 27 §.

I ett beslut den 30 december 2010 anförde JO Nordenfelt följande.

Enligt 26 § personuppgiftslagen (1998:204) är den personuppgiftsansvarige skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande behandlas eller ej.

Frågan är om uppgifter om en målsägande, som har registrerats för att Kriminalvården ska kunna fullgöra sin skyldighet att lämna målsägandeinformation enligt 35 § lagen ( 1974:203 ) om kriminalvård i anstalt, är att betrakta som uppgifter som rör den intagne. Huvudkontoret har i remissvaret anfört att starka skäl talar för att uppgifter om andra personer än den intagne, som är antecknade i den intagnes journal, ska betraktas som personuppgifter även avseende den intagne. Jag delar den uppfattningen men noterar samtidigt att Kriminalvårdens möjlighet att registrera personupppgifter begränsas genom regleringen i förordningen ( 2001:682 ) om behandling av personuppgifter inom kriminalvården. Därmed inte sagt att den intagne har rätt att ta del av sådana uppgifter. Enligt 35 kap. 15 § offentlighets- och sekretesslagen (2009:400) gäller sekretess inom kriminalvården för uppgift om en enskilds personliga förhållanden, om det kan antas att den enskilde eller någon närstående till denne lider men eller att fara uppkommer för att någon utsätts för våld eller lider annat allvarligt men om uppgiften röjs. Det ankommer på Kriminalvården att pröva om ett registerutdrag innehåller uppgifter som omfattas av sekretess. JO avstår i regel från att uttala sig om sådana bedömningar.

Om en intagen begär att få ett registerutdrag, och ett fullständigt utdrag inte kan lämnas ut på grund av sekretess, måste emellertid den intagne ges möjlighet att få frågan prövad i domstol. Huruvida överprövningen ska ske i den ordning som anges i 12 § lagen ( 2001:617 ) om behandling av personuppgifter inom kriminalvården eller enligt bestämmelserna i tryckfrihetsförordningen och offentlighets- och sekretesslagen är en fråga som bör avgöras i domstolarna och som jag därför inte vill anlägga några synpunkter på. Jag noterar i sammanhanget att Kammarrätten i Stockholm i en dom den 15 december 2010 (målnummer 6554-2010) i sak prövat ett överklagande av ett beslut varigenom Kriminalvården sekretessbelagt vissa partier i ett registerutdrag. Från JO:s perspektiv är det viktiga att den intagne faktiskt ges möjlighet att gå vidare med saken till domstol.

När det gäller anstalten Åbys handläggning av S.M:s begäran kan jag konstatera att anstalten varken meddelade ett överklagbart beslut eller informerade S.M. om hur han skulle gå till väga för att få till stånd ett sådant beslut. Det är jag kritisk till.

Vad som övrigt framkommit i ärendet föranleder inte något uttalande från min sida.

Ärendet avslutas med den kritik som ligger i det ovan sagda.