Intresseavvägning vid utlämnande av uppgifter

Allmänna principer för intresseavvägning

En intresseavvägning, eller lämplighetsprövning, är ett krav i flera olika rättsliga sammanhang där offentliga aktörer överväger att dela information. Nya sekretessbrytande bestämmelser gör det möjligt för exempelvis socialtjänsten och Polismyndigheten att dela uppgifter med varandra och med kommunala verksamheter för att bland annat skydda barn och unga från organiserad brottslighet [1]. Ett sådant utlämnande måste dock föregås av en prövning där myndigheten väger intresset av att uppgiften lämnas ut mot det intresse som sekretessen ska skydda [1, 2]. Tunga allmänna intressen, som myndighetsutövning eller att socialtjänsten kan utföra sina uppgifter på ett tillfredsställande sätt, väger tungt i en sådan bedömning [3].

Särskilda överväganden vid säkerhetskänslig verksamhet

Vid hantering av säkerhetskänslig verksamhet ställs särskilt höga krav. Innan en verksamhetsutövare exponerar skyddsvärden för en extern aktör ska en lämplighetsprövning genomföras [4]. I denna prövning vägs behovet av att exponera verksamheten mot de sårbarheter som uppstår [4]. Sveriges säkerhet är ett mycket tungt vägande allmänt intresse som ofta ges företräde [4]. Ju högre säkerhetsskyddsklass uppgifterna har, desto mer restriktiv bör bedömningen vara [4]. Om ett förfarande bedöms som olämpligt får det inte inledas [4]. En grundprincip är att säkerhetsskyddet inte får försämras, och den utlämnande parten ansvarar för att den mottagande aktören uppfyller ställda krav, exempelvis genom ett säkerhetsskyddsavtal [4].

Lämplighetsprövning vid utkontraktering av IT-tjänster

Enligt offentlighets- och sekretesslagen (OSL) får en myndighet anlita en extern aktör för att tekniskt bearbeta eller lagra sekretessbelagda uppgifter, förutsatt att det inte bedöms som olämpligt med hänsyn till omständigheterna [3]. Myndigheten måste göra en lämplighetsbedömning i varje enskilt fall [3]. I denna bedömning ska en rad faktorer beaktas, såsom tekniska och organisatoriska skyddsåtgärder, avtalsregleringar, hur länge uppgifterna lagras, om mottagarens personal har tystnadsplikt och hur krypteringsnycklar hanteras [3]. Eftersom mottagaren och syftet är kända på förhand kan skadebedömningen göras på en övergripande nivå [3]. Ett exempel är när en socialnämnd bedömde det som lämpligt att anlita en leverantör inom EU, eftersom nationell lagstiftning där innebar en straffsanktionerad tystnadsplikt för leverantörens personal [3].

Individens intresse och rätt att yttra sig

Vid utlämnande av personuppgifter måste även den enskildes intressen beaktas. I samband med säkerhetsprövningar beslutar Registerkontrolldelegationen vid Säkerhets- och integritetsskyddsnämnden (SIN) om uppgifter från registerkontroller ska lämnas ut till en verksamhetsutövare [5]. Beslutet grundas på en relevansbedömning av uppgifternas betydelse för säkerhetsprövningen [5]. Den person som prövningen gäller har som huvudregel rätt att få ta del av och yttra sig över de uppgifter som övervägs att lämnas ut. Syftet är att säkerställa korrekthet och ge den enskilde möjlighet att bemöta uppgifterna. Denna rättighet kan dock begränsas om personens intresse av att yttra sig väger lättare än det intresse som en annan sekretessbestämmelse ska skydda [5].

Principen om ändamålsbegränsning och minimering

En central princip vid allt informationsutbyte är att begränsa exponeringen. När ett utlämnande är nödvändigt ska den mottagande aktören endast få tillgång till de uppgifter som krävs för att utföra det specifika uppdraget [4]. Detta gäller generellt för säkerhetsskydd och även i andra sammanhang, till exempel när myndigheter är skyldiga att lämna ut uppgifter till socialnämnden. Skyldigheten omfattar enbart sådant som har betydelse för den aktuella situationen [6]. En avvägning måste också göras vid spridning av kunskap om tillvägagångssätt för brott; nyttan av lärande måste balanseras mot risken att informationen utnyttjas av kriminella aktörer [7].