prop · G503189 · 1981-12-31 00:00:00 — Det ärdå heller inte fråga om något renodlat personligt bruk. I undantagsfallförekommer det dock att forskning bedrivs mera som hobbyverksamhet ochfinansieras med egna medel. Ett exempel är släktforskning. I sådana fall kanman tala om användning av personuppgifter uteslutande för personligt bruk.Villkoret för detta är dock att det inte till någon del är fråga om yrkes-eller näringsverksamhet. I den mån ett register har ändamål som kan hänföras bådetill personligt bruk och till annat blir undantagsregeln inte tillämplig. Detär då inte fråga om uteslutande personligt bruk. Om exempelvis en affärsidkareeller advokat för register över kunder eller klienter som hör tillbekantskapskretsen, blir undantagsregeln inte tillämplig. I fjärde stycket finns i oförändrad lydelse detförtydligande av vad som förstås med inrättande av personregister som år 1979infördes i 2 § första stycket. Tillståndav datainspektionen behövs inte för personregister vars inrättande beslutas avriksdagen eller regeringen. Innan sådant beslut fattas skall dock yttrandeinhämtas från datainspektionen, i fråga om register som skall innehållauppgifter som avses i 2 § andra stycket. Tillståndbehövs inte heller för personregister som har tagits emot för förvaring av enarkivmyndighet. Utan hinder av 2 § andra stycket 1 får 1. sammanslutningarinrätta och föra personregister som innehåller sådana uppgifter om medlemmarnaspolitiska uppfattning, religiösa tro eller övertygelse i övrigt som utgörgrunden för medlemskapet i sammanslutningen, 2. myndigheterinom hälso- och sjukvården för vård- eller behandlingsändamål inrätta och förapersonregister som innehåller uppgifter om någons sjukdom eller hälsotillståndi övrigt, 3. myndigheterinom socialljänsten inrätta och föra personregister som innehåller uppgifter omatt någon fått ekonomisk hjälp eller vård inom , 4. läkareoch tandläkare inrätta och föra personregister som innehåller Prop.1981/82:189 56 sådana uppgifter om någons sjukdom eller hälsotillstånd iövrigt som de har erfarit i sin yrkesverksamhet. Denna paragraf innehåller bestämmelser om undantag fråntillståndspUkten för vissa slag av personregister. Registeransvariga sominrättar eller för sådana register måste dock ha licens enligt huvudregeln i 2§ första stycket. I fråga om den allmänna motiveringen till bestämmelsernahänvisas till avsnitt 2.2.3 och 2.3.1. Enligt första stycket är liksom personregistervars inrättande beslutas av eller regeringen undantagna från kravetpå särskilt tillstånd. Innan beslut om att inrätta ett sådant register fattasskall dock yttrande inhämtas från datainspektionen, om registret innehålleruppgifter som i annat fall skulle ha medfört tillståndstvång, dvs. uppgiftersom anges i 2 § andra stycket. Av nya 6 a § följer att inspektionen också skallbesluta om föreskrifter för dessa register. Bakgrunden till undantaget i andra stycket är, såsomangetts i avsnitt 2.3.11 den allmänna motiveringen, datainspektionens skrivelsetill regeringen och uppfattningen att enbart förvaring avpersonregister hos en arkivmyndighet inte kan anses vara speciellt känslig frånintegritetssynpunkt. Reglerna om licensskyldighet liksom datalagens övrigaregler, bl. a. om de registeransvarigas förpliktelser, är dock tillämpliga ävenpå sådana register i den mån arkivmyndigheten enligt 1 § datalagen är registeransvarigför dessa. Undantaget i andra stycket avser sådana arkivmyndighetersom anges i allmänna arkivstadgan. Om uppgifter lämnas ut på medium förautomatisk databehandling eller eljest för automatisk databehandling till någonannan, följer av lagens bestämmelser i övrigt att mottagaren blir skyldig attha licens och, i vissa fall, tillstånd av datainspektionen. I tredje stycket föreskrivs undantag för vissaregisteransvariga från kravet på tUlstånd enUgl 2 § andra stycket 1. Enligt tredje stycket punkt 1 undantas sådanapersonregister som innehåller uppgifter om någons politiska uppfattning,religiösa tro eller övertygelse i övrigt och som en sammanslutning förbeträffande sina egna medlemmar. En förutsättning för att tillstånd inte skall krävas idetta fall är att de uppgifter som registreras utgör grunden för medlemskapet isammanslutningen. Vad som åsyftas är t. ex. att en politisk föreningregistrerar sina medlemmar och att det därigenom direkt eller indirekt framgåratt medlemmen delar föreningens politiska mål. Bestämmelserna medger såledesinte registrering av andra uppgifter om politisk eller religiös uppfattning änsådana som avser grunden för medlemskapet. En facklig sammanslutning fårsåledes inte utan tillstånd registrera medlemmarnas politiska uppfattning. Inteheller får en sammanslutning registrera uppgift om att en viss person tidigarehar tillhört en annan politisk sammanslutning eller har varit medlem i ettannat religiöst samfund. Med hänsyn till att de 1981/82:189 57 uppgifter som avses med bestämmelsen genomgående är mycketkänsliga från integritetsskyddssynpunkt bör utrymmet för befrielse fråntillståndsplikten vara mycket begränsat. Bestämmelsen i punkt 2 är tillämplig på både statliga ochkommunala myndigheter som för register angående sjuk- och hälsovård. Undantagetfrån tillståndsplikten avser endast uppgifter om någons sjukdom eller hälsotillstånd.Om registret kommer att innehålla sådana uppgifter som avses i 6 §, omdömen ochvärderingar, följer av 2 § andra stycket 2 att tillstånd för registret behövs.Undantaget omfattar endast sådana register som förs för vård- ellerbehandlingsändamål. Andra register som förs inom hälso- och sjukvården, såsomforskningsregister, omfattas inte av bestämmelsen. Bestämmelsen i punkt 3 är tillämplig på de kommunalamyndigheter som för register inom ram. I dessa register kanfinnas uppgifter som behövs för de verksamheter som regleras avsocialtjänstlagen (1980:620), lagen (1980:621) med särskilda bestämmelser omvård av unga och lagen (1981:343) om vård av missbrukare i vissa fall. Enligt punkt 4 görs undantag från tillståndskravet förläkare och tandläkare som för patientregister. Med stöd av 2 § tredje stycketdatalagen och 1980:4 faller flertalet av dessa register nu utanförtillståndsplikten. Undantaget har utvidgats till att gälla utan de förbehållsom f. n. anges i 1980:4. Personregister, vilka som ett normalt led i denyrkesmässiga verksamheten inrättas av läkare och tandläkare, får alltså ifortsättningen föras utan tillstånd oavsett vilken ADB-teknisk utrustning somanvänds. Tillstånd att inrätta och föra personregister sominnehåller uppgift om att någon misstankes eller dömts för brott eller avtjänatstraff eller undergått annan påföljd för brott eller varit föremål förtvångsingripande enligt lagen (1980:621) med särskilda bestämmelser om värd avunga, lagen (1981:1243) om vård av missbrukare i vissa fall, lagen (1966:293)om beredande av sluten psykiatrisk vård i vissa fall, lagen (1967:940) angåendeomsorger om vissa psykiskt utvecklingsstörda eller utlänningslagen (1980:376)får endast om synnerliga skäl föreligger meddelas annan än myndighet som enligtlag eller annan författning har att föra förteckning över sådana uppgifter. Tillståndatt inrätta och föra personregister som i övrigt innehåller uppgift om någonssjukdom, hälsotillstånd eller sexualliv eller uppgift om att någon fåttekonomisk hjälp eller vård inom eller varit föremål för åtgärdenligt utiänningslagen får endast om särskilda skäl föreligger meddelas annanän myndighet som enligt lag eller annan författning har att föra förteckningöver sådana uppgifter. Tillstånd att inrätta och föra personregister sominnehåller uppgift om någons ras, politiska uppfattning, reUgiösa tro ellerövertygelse i övrigt får meddelas endast om särskilda skäl föreligger. Som framgår av avsnitt 2,4,2 i den allmänna motiveringenkräver en svensk anslutning till dataskyddskonvention vissakompletteringar av 4 §, Denna paragraf innehåller en uppräkning av uppgiftersom har ansetts 1981/82:189 58 vara särskilt känsliga och som därför inte får ingå ipersonregister, om inte synnerliga eller särskilda skäl föreligger. Depersonuppgifter som nämns i konventionen men som saknas i uppräkningen i 4 § idess nuvarande lydelse är uppgifter som rör sexualliv, uppgifter som avslöjarras och uppgifter om annan övertygelse än religiös tro. Uppgifter om sexualliv anges i uppräkningen i andrastycket. Enligt denna bestämmelse krävs det - för annan än myndighet som enligtlag eller annan författning har att föra förteckning över sådana uppgifter-särskilda skäl för att få tillstånd att inrätta och föra personregister sominnehåller uppgifter om sexualliv. Härmed avses i detta sammanhang uppgiftsåväl om rent medicinska förhållanden som om sexualvanor o. d. Uppgifter om ras och om annan övertygelse än religiös trohar tagits med i uppräkningen i tredje stycket. Enligt denna bestämmelse krävssärskilda skäl för att få tillstånd att inrätta och föra personregister sominnehåller sådana uppgifter. Bakgrunden till att begreppet annan övertygelse änreligiös tro har förts in i bestämmelsen är att man i konventionen har tagithänsyn till att övertygelser som inte är av religiös art kan vara lika skyddsvärdasom religiösa uppfattningar. Med det nya begreppet avses bl. a. uppgift om attnågon omfattar en filosofisk lära eller är ateist. I samband med att tillstånd lämnas till inrättande ochförande av personregister, skall datainspektionen meddela föreskrift omändamålet med registret. Föreligger särskilda skäl, får tillståndet begränsastill . Lämnas tillstånd till inrättande och förande avpersonregister, skall datainspektionen, i den mån det behövs för att förebyggarisk för otillbörligt intrång i personlig integritet, meddela föreskrift om 1. inhämtande avuppgifter för personregistret, 2. vUkapersonuppgifter som får ingå i personregistret, 3. utförandet avden automatiska databehandUngen, 4. den tekniskautrustningen, 5. debearbetningar av personuppgifterna i registret som får göras med automatiskdatabehandling, 6. underrättelsetill berörda personer, 7. depersonuppgifter som får göras tillgängliga, 8. utlämnande ochannan användning av personuppgift, 9. bevarande ochgallring av personuppgifter, 10. kontroll och säkerhet. Vid bedömandet av om föreskrift behövs skall särskiltbeaktas huruvida registret innehåller personuppgift som utgör omdöme ellerannan värderande upplysning om den registrerade. rörande utlämnande av personuppgift får ickeinskränka myndighets skyldigheter enligt tryckfrihetsförordningen. 1981/82:189 59 Som framgår av avsnitt 2,3,3 i den allmänna motiveringenföreslås att det hittillsvarande obligatoriska kravet i 5 § på föreskrift omregisterinnehållet skall göras fakultativt. En bestämmelse om möjlighet förinspektionen att meddela en sådan föreskrift har därför tagits in som punkt 2 i6 §, Den enda föreskrift som inspektionen härefter alltid skall besluta enligt5 § i samband med ett tillstånd avser registrets ändamål, Bestämmelsernai 5 och 6 §§ om skyldighet för datainspektionen att meddela föreskrift gälleräven i fråga om personregister som avses i 2 a § första stycket andra meningen,i den mån icke regeringen eller har meddelat föreskrift i sammahänseende. I paragrafen, som i sak överensstämmer med den tidigare 7§, har endast gjorts en redaktionell ändring. Personregister skall inrättas och föras så att inteotillbörligt intrång i registrerads personliga integritet uppkommer. 1. attregistret förs för ett bestämt ändamål, 2. att inteandra uppgifter registreras än som står i överensstämmelse med registretsändamål, 3. attuppgifter inte samlas in, lämnas ut eller används annat än i överensstämmelsemed registrets ändamål eller vad som gäller enligt lag eller annan författningeller i enlighet med den registrerades medgivande, 4. attuppgifterna i registret skyddas mot oavsiktlig eller otillåten förstörelseeller mot otillåten ändring eller spridning. Denna bestämmelse, som är ny, är tillämplig på alla slagav personregister, oavsett om de kräver tillstånd eller ej. Den gäller ocksåsådana personregister som får föras utan licens, dvs. sådana som försuteslutande för personligt bruk. Föreskrifterna i punkt 1-4 anger en minimistandard förpersondataskyddet. Datainspektionen är oförhindrad att besluta om föreskriftersom innebär ytterligare skyldigheter för de registeransvariga i de avseendensom nämns i bestämmelsen. Sådana föreskrifter kan beslutas såväl med stöd av 5och 6 §§ i samband med att tillstånd meddelas för ett tillståndspliktigtregister som med stöd av 18 §. I övrigt hänvisas till avsnitt 2.2,4 i den allmännamotiveringen, Hos den registeransvarige skall finnas en aktuellförteckning över de personregister som han är ansvarig för. Förteckningen skallinnehålla uppgift om: 1981/82:189 60 7, registrets benämning, 2. registretsändamål, 3. lokalendär den automatiska databehandlingen huvudsakUgen utförs, 4. numretpå den registeransvariges licens hos datainspektionen, 5. i vadmån personuppgifter lämnas ut för automatisk databehandling i utlandet. Förteckningen skaU hållas tillgänglig för datainspektionenoch på begäran av denna ges in till inspektionen. När en registeransvarig sänder en handling som innehållerpersonuppgifter ur ett personregister den registrerade, skaU upplysningsamtidigt lämnas om vem som är avsändare eller om den registeransvarigeslicensnummer hos datainspektionen. Bestämmelserna i denna paragraf gäller inte personregistersom en enskild person för uteslutande för personligt bruk eller som enarkivmyndighet har tagit emot för förvaring. I denna paragraf har tagits in de nya bestämmelserna omförteckningsskyldighet. I fråga om de allmänna övervägandena hänvisas tillavsnitt 2.2.2 i den allmänna motiveringen. Enligt/ör5r« stycket skall hos varje registeransvarigfinnas en förteckning över de register han är ansvarig för. Bestämmelsen gälleralla registeransvariga och alla former av register oavsett om dessa omfattasav licens- eller tillståndspUkl eller faller utanför dessa kategorier. Avkravet på att förteckningen skall vara aktuell följer att ändringar beträffandesådana uppgifter som skall finnas i förteckningen genast skall föras in idenna. Paragrafen innehåller inte några närmare föreskrifter omutformningen av förteckningen. Det får ankomma på den registeransvarige självatt bestämma utformningen, inen det kan antas att datainspektionen finner detlämpligt att tillhandahålla särskilda formulär för ändamålet. Det förekommer normalt att en registeransvarig harupprättat dokumentation över sin ADB-användning för något annat ändamål än föratt uppfylla vad som krävs enligt denna paragraf, t. ex. systemdokumentationför registeranvändningen eller annan dokumentation som följer av någon annanförfattning eller av myndighets beslut. För att en förteckning som harupprättats för något annat ändamål skall kunna godtas enligt 7 a § bör krävasatt de uppgifter som anges i paragrafen är tydligt angivna. I flertalet falltorde det vara lämpligt att ha en särskild förteckning för att uppfylla kraveti denna paragraf. Det bör tilläggas att en förteckning som finns upprättadenligt denna paragraf inte ersätter den mera fullständiga systemdokumentationrörande personregister som datainspektionen kan begära med stöd av 17 §. Enligt andra stycket skall förteckningen hållastillgänglig för datainspektionen och på begäran av denna ges in tillinspektionen. Någon rätt enligt denna bestämmelse för den registrerade att tadel av förteckningen finns inte. En annan sak är att förteckningar som förs hosregisteransvariga myndigheter eller som har getts in till datainspektionen ärallmänna handlingar och 1981/82:189 61 därmed blir tillängliga för envar enligttryckfrihetsförordningens bestämmelser, om de inte är föremål för sekretess. Datainspektionen kan med stöd av bestämmelsen begära in enförteckning i ett särskilt tillsynsärende, men inspektionen har också möjlighetatt begära in förteckningar stickprovsvis eller från ett flertalregisteransvariga, t. ex. från alla registeransvariga i en viss bransch ellerinom ett visst område. EnUgt tredje stycket skall den registeransvarige, när hansänder en handling som innehåller personuppgifter ur ett personregister tillden registrerade, lämna upplysning om vem som är avsändare. Syftetmed bestämmelsen är att den registrerade skall få veta varifrån uppgifter omhonom härrör, bl. a. för att han skall kunna vidta åtgärder om uppgifternaskulle vara oriktiga eller innehålla otillåten information e. d. Upplysning omavsändare kan lämnas på olika sätt. Antingen kan det av försändelsens yttreframgå varifrån den kommer eller också kan uppgift om avsändare finnas på dehandlingar som översänds eller i ett bifogat brev. Den registeransvarige kanockså välja att lämna uppgifter om sitt licensnummer hos datainspektionen, seavsnitt 2.2.2. A\ fjärde stycket framgår att personregister som förs aven enskild person uteslutande för personligt bruk har undantagits både frånförteckningsskyldigheten och från skyldigheten att lämna upplysning omavsändare. Även personregister som har mottagits för förvaring avarkivmyndighet undantas från dessa krav. Den registeransvarige skall på begäran av enskild så snartdet kan ske underrätta denne antingen om innehållet i personuppgift som ingår ipersonregistret och innefattar upplysning om honom eller om att sådan uppgiftej förekommer i registret. Sådan begäran skall framställas skriftligen och varaegenhändigt undertecknad av den enskilde. Har underrättelse lämnats, behöver nyunderrättelse icke lämnas till samme enskilde förrän därefter. Underrättelse enligt första stycket skall lämnas utankostnad för den enskilde. Föreligger särskilda skäl, får dock datainspektioneni fråga om visst slag av personuppgifter eller i fråga om underrättelse om attpersonuppgift om enskild ej förekommer i registret medge att avgift tages ut. Förstastycket gäller inte uppgifter i personregister som har tagits emot förförvaring av en arkivmyndighet och inte heller uppgifter som enligt lag ellerannan författning eller enligt myndighets beslut som meddelats med stöd avförfattning ej får lämnas ut till den registrerade. Första stycket gäller icke heller, om det i fråga om visstslag av personuppgifter är uppenbart att underrättelse kan underlåtas på grundav att det inte föreligger någon risk för otillbörligt intrång i registreradspersonliga integritet. Underrättelse får dock underlåtas endast efter medgivandefrån datainspektionen. I fråga om motiven till den ändrade bestämmelsen hänvisastill avsnitt Prop.1981/82:189 62 Personuppgift som ingår i personregister får ej lämnas ut,om det finns anledning antaga att uppgiften skall användas för automatiskdatabehandling i strid med denna lag. Finns det anledning antaga attpersonuppgift skall användas för automatisk databehandling i utlandet, fåruppgiften lämnas ut endast efter medgivande av datainspektionen. Sådantmedgivande får lämnas endast om det kan antagas att utlämnandet av uppgiftenicke kommer att medföra otillbörligt intrång i personlig integritet. Någotmedgivande behövs dock inte, om personuppgift skall användas för automatiskdatabehandling enbart i en stat som har anslutU sig om skydd för enskUda vid automatisk databehandling av personuppgifter. I det allmännas verksamhet tillämpas i ställetbestämmelserna i sekretesslagen (1980:100), F. n. krävs enligt 11 § datalagen och 7 kap. 16 §sekretesslagen datainspektionens medgivande till utlämnande av personuppgift,om det finns anledning anta att uppgiften skall användas för automatiskdatabehandUng i utlandet. Enligt dataskyddskonvention fåremellertid en konventionspart inte, uteslutande i syfte att skydda denpersonliga integriteten, förbjuda eller kräva särskilt bemyndigande föröverföring av personuppgifter över gränsen till en annan parts territorium. Föratt tillgodose detta krav i konventionen har i 11 § datalagen liksom i 7 kap.16 § sekretesslagen förts in en bestämmelse om att datainspektionens medgivandeinte behövs för utlämnande av personuppgift som skall användas för automatiskdatabehandling enbart i en stat som har anslutit sig till konventionen. Av bestämmelsens utformning följer att datainspektionensmedgivande kan undvaras bara om uppgifter skall lämnas ut för automatiskdatabehandling enbart i en konventionsstat. Om uppgifter skall föras via enkonventionsstat till en stat som inte har anslutit sig till konventionenfordras alltså fortfarande medgivande av datainspektionen. Nationella bestämmelser som begränsar registeransvarigasmöjlighet att över huvud taget lämna ut personuppgifter från personregisterberörs inle av åtagandena enligt konventionen och är därför tillämpliga även ifortsättningen. Sådana begränsande bestämmelser finns i sekretesslagen.Begränsning i utlämnandet kan också följa av bestämmelsen i 7 § eller avföreskrifter som datainspektionen med stöd av 6 § datalagen har meddelat i ettsärskilt tillståndsbeslut. Givetvis gäller också bestämmelserna om tillstånd i2 § andra stycket oavsett om automatisk databehandling skall utföras i Sverigeeller i något annat land. Av ett tillstånd kan framgå att databehandUngen avett register skall ske vid en viss anläggning inom landet. Uppgifterna får isådant fall inte föras över till någon annan datoranläggning - vare sig dennaligger inom eller utom landet. Det bör observeras att konventionen endast behandlarrestriktioner som görs med hänvisning till skyddet för personlig integritet.Konventionen 1981/82:189 63 hindrar alltså inte att lagbestämmelser av andraanledningar förbjuder att uppgifter förs över till utlandet, t, ex, av hänsyntill försvaret eller den nationella säkerheten. Det böranmärkas att 11 § Uksom medför skyldighet för den registeransvarigeatt vid utlämnande av personuppgifter för automatisk databehandling hosmottagaren kontrollera att denne har licens eller särskilt tillstånd. Personuppgift som kan hänföras till den som avses meduppgiften skall utgå ur personregistret då uppgiften inte längre behövs med hänsyntill ändamålet med registret, om inte uppgiften även därefter skall bevaras pågrund av bestämmelse i lag eller annan författning eller enligt myndighetsbeslut som meddelats med stöd av författning. Detsamma gäller då denregisteransvarige upphör alt föra personregistret. Upphören registeransvarig att föra ett personregister för vUket datainspektionen harmeddelat tillstånd, skaU han anmäla delta tiU inspektionen. Detsamma gäller ifråga om sådant personregister som avses i 2 a § första stycket andra meningen. Datainspektionen meddelar enligt 12 § i desshittillsvarande lydelse särskilda beslut om hur det skall förfaras medpersonregister som registeransvarig anmält att han upphör att föra.Motsvarande föreskrifter i form av generella regler har tagits in i förstastycket. Dessa föreskrifter gäller alla personregister. I fortsättningen krävsdärför inte några individuella beslut av datainspektionen rörande detta. De nyagenerella reglerna innebär att uppgifter i personregister som inte längre behövsför registerändamålet skall förstöras, om de inte skall bevaras på grund avbestämmelse i författning eller myndighets beslut som meddelats med stöd avförfattning, t. ex. arkivförfattningar eller beslut av . Vidaregäller med samma förbehåll att personregistret som sädant skall förstöras närden registeransvarige upphör att föra registret. Grundläggande föreskrifter om bevarande och gallring hosstatliga myndigheter finns i allmänna arkivstadgan (1961:590). Där föreskrivsatt utgallring endast får ske med stöd av stadgans bestämmelser eller med stödav bestämmelser som har meddelats av regeringen eller . Kompletterandebestämmelser finns i cirkulär (1968:473) om tillämpningen avallmänna arkivstadgan. Om gallring finns vidare allmänna bestämmelser iförordningen (1953:716) angående utgallring av handlingar hos vissastatsmyndigheter samt i förordningen (1974:648) om utgallring ur upptagning förautomatisk databehandling. Även i en rad andra författningar, t. ex. lagen(1963:197) om allmänt kriminalregister, finns särskilda bestämmelser ombevarande och gallring. För kommuner och landstingskommuner finns bestämmelserom arkivvården i kommunallagen (1977:179).