Bättre information om hyres­bostäder – kartläggning av andrahands­marknaden och ett förbättrat lägenhets­register

Integritetsskyddsmyndigheten (IMY) har granskat förslaget huvudsakligen utifrån myndighetens uppgift att arbeta för att människors grundläggande fri- och rättigheter skyddas i samband med behandling av personuppgifter.

IMY vill framhålla att utredningen i många delar av betänkandet har gjort noggranna och väl avvägda bedömningar när det gäller förslagens inverkan på den personliga integriteten och hur dessa förhåller sig till dataskyddsförordningen och kompletterande lagstiftning. IMY anser dock att förslagen i vissa delar behöver analyseras vidare och lämnar därför följande synpunkter.

Avsnitt 6.3 och 6.5 behöver analyseras tillsammans

Förslagen i utredningen presenteras i två delar. Den första delen, avsnitt 6.3, innehåller förslag som bland annat innebär att uppgifterna i lägenhetsregistret ska få användas för fler ändamål än tidigare och att fler aktörer ska få tillgång till uppgifterna. Lägenhetsregistret föreslås vidare tillföras uppgift om upplåtelseform och att kommunerna har i uppgift att föra in, ändra och ta bort sådana uppgifter. Det föreslås också utökade möjligheter till elektroniskt utlämnande av uppgifter. Den andra delen i betänkandet, avsnitt 6.5, innehåller förslag som innebär att uppgifter om förstahandshyresgäster, såsom namn och personnummer, samordningsnummer eller organisationsnummer ska samlas in och hållas uppdaterade i lägenhetsregistret.

I integritetsanalysen i betänkandets första del, avsnitt 6.3.13, framhålls att personuppgifternas karaktär och art har stor betydelse för vilka integritetsrisker en behandling av uppgifterna kan medföra. Det framhålls också att dagens lägenhetsregister inte innehåller namn eller personnummer och att utredningen inte föreslår någon ändring i det avseendet i den här delen. IMY konstaterar emellertid att de förslag som utredningen lämnar i del två innebär att direkta personuppgifter kommer att införas i lägenhetsregistret och att det då blir en tydlig koppling mellan lägenhetsinformationen och identifierbara personer.

Enligt utredningen kommer uppskattningsvis 1,9 miljoner personer påverkas om lägenhetsregistret tillförs uppgift om förstahandshyresgäst (s. 310). Från ett dataskyddsperspektiv innebär det en stor förändring i jämförelse med dagens reglering av lägenhetsregistret. Eftersom förutsättningarna ändras genom förslaget om att införa direkta personuppgifter i lägenhetsregistret och det saknas resonemang om hur förslagen i del ett och två förhåller sig till varandra uppstår det oklarheter gällande de personuppgiftsbehandlingar som blir aktuella. Det är exempelvis inte klarlagt om uppgifter – som i dagsläget inte kan knytas till en fysisk person och som således inte är personuppgifter – kommer att bli personuppgifter om uppgift om förstahandshyresgäst tillförs lägenhetsregistret i enlighet med förslaget i del två. Detta innebär att analysen av om uppgifterna ska få behandlas för fler ändamål än tidigare och att fler aktörer ska få tillgång till dem (del ett) behöver ske med beaktande av att fler personuppgifter tillförs registret genom förslagen i del två.

IMY anser sammanfattningsvis att det behöver göras en gemensam integritetsanalys av förslagen i del ett och två och att utgångspunkten för den analysen är att direkta personuppgifter om en stor mängd personer föreslås tillföras lägenhetsregistret.

Ändamålsbestämmelsen

IMY anser att den föreslagna lydelsen till 5 § 1 lag om ändring i lagen (2006:378) om lägenhetsregister inte utgör en godtagbar ändamålsbestämmelse eftersom den är för allmänt hållen och inte anger några specifika ändamål.

Såsom 5 § 1 är utformad är det inte möjligt att förutse omfattningen och konsekvenserna av personuppgiftsbehandlingen. Bestämmelsen ger inte heller någon förutsebarhet för de registrerade om ändamålen med behandlingen av personuppgifter.(1)

IMY anser att den föreslagna ändamålsbestämmelsen, såvitt avser 5 § 1, är alltför bred och därför bör ses över i det fortsatta lagstiftningsarbetet.

Direktåtkomst

Förslaget i 20 § i lag om ändring i lagen (2006:378) om lägenhetsregister möjliggör direktåtkomst i större omfattning än i dag. Detta motiveras i utredningen bland annat av effektivitetsvinster och minskad risk för att uppgifter som lämnas ut är inaktuella (s. 273). IMY anser dock att utredningen inte i tillräcklig grad redogör för de risker för den personliga integriteten som direktåtkomst medför i jämförelse med andra former av elektronisk åtkomst. Det saknas även tillräckliga överväganden i fråga om fördelarna med direktåtkomst motiverar de ökade riskerna. IMY vill här framhålla att direktåtkomst typiskt sett medför att den personuppgiftsansvariga myndigheten inte har kontroll över vilka uppgifter som mottagaren vid ett visst söktillfälle tar del av.(2)

Som framhålls i utredningen anses uppgifter förvarade hos den myndighet som har beviljats direktåtkomst.(3) Direktåtkomst till uppgifterna i lägenhetsregistret medför således att uppgifterna kommer att finnas hos flera aktörer, vilket i sig innebär en ökad risk för spridning. I avsnitt 6.3.10 (s. 276) resonerar utredningen bland annat kring riskerna med att vissa aktörer tillskansar sig uppgifter och nyttjar dessa för en webbplats med utgivningsbevis. Utredningen konstaterar att dessa risker inte ska underskattas, men utvecklar inte resonemanget vidare. I stället konstateras att man förutsätter att aktörer som ges direktåtkomst säkerställer att uppgifterna inte vidareförmedlas till andra aktörer. IMY är tveksam till ett sådant förhållningssätt och efterfrågar överväganden kring riskerna för ökad spridning av uppgifterna. Mot bakgrund av att direktåtkomst ofta medför ett överskott av uppgifter hos mottagaren efterfrågar IMY även överväganden kring hur förslaget förhåller sig till principen om uppgiftsminimering.(4)

Utredningen bedömer att det inte ska införas några särskilda begränsningar i lagen som reglerar under vilka förutsättningar som direktåtkomst får medges (s. 274). Med hänsyn till omfattningen av lägenhetsregistret och att det kan komma att tillföras särskilt skyddsvärda personuppgifter, anser IMY dock att det bör regleras vilka aktörer som ska kunna få direktåtkomst och även vilka aktörer som ska kunna söka på namn, personnummer och samordningsnummer. IMY anser att det är tillräckligt att en sådan reglering införs i förordning. Särskilda begränsningar i åtkomst och möjlighet att söka och sammanställa personuppgifter är ett sätt att säkerställa att personuppgiftsbehandlingen är proportionerlig och därmed tillåten.

Fotnoter

(1) Jfr artikel 6.3 i dataskyddsförordningen.
(2) Se prop. 2021/22:177 s. 46.
(3) Jfr även HFD 2020 not. 16 och HFD 2015 ref. 61.
(4) Jfr artikel 5.1 c i dataskyddsförordningen.

Detta yttrande har beslutats av vikarierande generaldirektören David Törngren efter föredragning av juristen Fredrika Evans. Vid den slutliga handläggningen har även tillförordnade rättschefen Cecilia Agnehall och enhetschefen Linn Sandmark medverkat.

David Törngren, 2024-03-14 (Det här är en elektronisk signatur)