prop · G503189 · 1981-12-31 00:00:00 — Detta får såsomhittills avgöras med ledning av bestämmelserna om registeransvaret enligt 1 §datalagen. Som jag nämnt arbetar DALK med en översyn av reglerna inomdetta,område. Undantagsbestämmelserna såsom jag nu föreslår tar sikte på defall där en arkivmyndighet enligt lagens regler för registret och alltså på dengrunden skulle kunna vara skyldig att ha tillstånd, att upprätta förteckningeller att lämna uppgift enligt 10 §. Om registret inte förs, ärundantagsbestämmelserna alltså inte tillämpliga. Givetvis är de inte hellertillämpliga i sådana fall då ett arkiverat register tas fram och används på ettsådant sätt att någon annan, t. ex. en utomstående forskare eUer myndighet,blir registeransvarig. 2.3.2Generella undantag från tillståndskravet Idatainspektionens skrivelse har anmälts ett behov av en ändring i datalagenockså såvitt gäller undantag från kravet på tillstånd enligt lagen. Även idenna del har inspektionen åberopat en promemoria som har upprättats inominspektionen. Enligt2 § tredje stycket datalagen krävs f. n. inte tillstånd i fråga ompersonregister som förs med viss bestämd teknisk utrustning, om det med hänsyntill utrustningens art, till utförandet av den automatiska databehand-Ungen ochtill registrets utformning i övrigt framstår som uppenbart att OtiUbörligtintrång i registrerads personliga integritet inte skall uppkomma. Idatainspektionens promemoria framhålls att den tekniska utrustningen genomdenna bestämmelse ställs i centrum på ett sätt som är olyckUgt från principielloch praktisk synpunkt. Enligt inspektionen bör avgörande vikt läggas vid ettpersonregisters omfattning och utnyttjande och inte vid vilken tekniskutrustning som används. Det bör enligt promemorian övervägas att ändra 2 §datalagen så att inspektionen får en generell rätt att medge undantag fråntillståndskravet beträffande personregister med sådan utformning att det äruppenbart att otillbörligt intrång i registrerads personliga integritet inteskall uppkomma. DALKanmärker att inspektionens förslag inte utan vidare torde vara förenligt medbestämmelserna om lagar och andra föreskrifter i 8 kap. regeringsformen.Bortsett härifrån innebär emellertid enligt DALK de åtgärder som kommitténföreslår bl. a. att tillståndskravet begränsas till personregister som kanantas vara av särskilt intresse från integritetssyn- Prop.1981/82:189 39 Åtgärderna innebär också att nuvarande 2 §,tredjestycket datalagen upphör att gälla. Därmed tillgodoses i allt väsentligtdatainspektionens önskemål på denna punkt. Ytterligare åtgärder på kort siktanser DALK inte vara påkallade. Ingenremissinstans har gjort någon invändning mot DALK:s synpunkter i denna del ochockså jag kan ansluta mig till dessa. 2.3.3 Föreskrifter om registerinnehållet En tredje fråga som datainspektionen har tagit upp i sinskrivelse är om ett tillstånd enligt datalagen att föraett personregister Uksom nu alltid skall vara förenat med föreskrifteromregisterinnehållet (5 § datalagen). Frågan har behandlats i en promemoria somdatainspektionen har åberopat i skrivelsen och som har upprättats inominspektionen. Ipromemorian påpekas att ADB-teknik numera används också som hjälpmedel vidförfattande, lagring, överföring och utskrift av brev, telegram, remisshandlingarinom sjukvården och Uknande dokument. Eftersom namn eller personnummer påanvändare, mottagare, patient eller Uknande oftast är sorterings- ochsökbegrepp för dokumenten blir sådan användning i många fall att anse sompersonregistrering i datalagens mening. Enligt 5 § datalagen måste inspektioneni ett beslut om tillstånd för sådana personregister meddela en föreskrift omvilka uppgifter som får ingå i registren. Det kan dock enligt promemorian oftavara svårt att tillämpa den obligatoriska regeln om föreskrifter i 5 §datalagen på nu beskrivna personregister eftersom man inte i detalj kan ange iförväg vUka personuppgifter löpande text i olika dokument kan komma attinnehålla. DALKerinrar om att föreskrifterna enligt 5 § datalagen enligt förarbetena tilldatalagen i många fall måste utformas tämligen generellt (prop. Särskilt svårt är det naturligtvis att på förhand ange vilkapersonuppgifter som skall få ingå i ett register. Här får enligt förarbetenabeaktas bl. a. vilken allmän kategori av uppgifter det är fråga om. Gäller detuppgifter som får anses mindre känsliga från integritetssynpunkt, bör denregistrerade ges ett tämligen stort spelrum. Om registreringen avser en merömtålig kategori av uppgifter, blir det däremot ofta nödvändigt att göraföreskrifterna mer detaljerade. Även ändamålet med registreringen bör kunnatillmätas betydelse när det gäller att ange vilka personuppgifter som skall fåregistreras. Sålunda bör enligt förarbetena tillstånd kunna ges inom en vidareram, om registret skall användas för vetenskapliga eller statistiska ändamål. Dessauttalanden i datalagens förarbeten, som har lämnats utan erinran av ,bör enligt DALK:s mening redan nu ge möjligheter för datainspektionen att i detenskilda fallet komma till rätta med de svårigheter inspektionen har tagit upp.Vidare kommer antalet tillståndspliktiga personregister att minska, om DALK:sförslag om ett nytt licens- och 1981/82:189 40 DALK ifrågasätter trots dettainte att det ibland ändå kan bli svårt att uppfylla det relativt stränga kravsom 5 § datalagen och förarbetena ställer när det gäller föreskrift omregisterinnehållet i personregister. DALK kan därför tänka sig att regelnmjukas upp, om det kan ske utan att integritetsskyddet försämras, DALK anser att det nuvarande obligatoriska kravet i 5 §datalagen på föreskrift om regislerinnehållet i stället kan göras fakultativtoch flyttas över till 6 §. Bestämmelsen blir då, utan att integritetsskyddetförsämras, mer flexibel. För bedömning att detta inte försämrarintegritetsskyddet talar enUgt kommittén att en föreskrift enligt 6 § datalagenalltid skall meddelas i den mån det behövs för att förebygga risk förotillbörligt intrång i personlig integritet. En föreskrift omregisterinnehållet måste således även efter den föreslagna ändringen meddelas,om det krävs med hänsyn härtill. Kan den registeransvarige i ett sådant fallinte ange registerinnehållet så detaljerat som datainspektionen ansernödvändigt, kan inspektionen i sista hand avslå tillståndsansökningen. Att den föreslagna ändringen inte försämrarintegritetsskyddet får enligt DALK stöd också av att datainspektionen även ifortsättningen på ett oförändrat sätt i tillståndsbesluten alltid enligt 5 § skallmeddela föreskrift om ändamålet med personregister. Detta verkar styrande ävenpå personregistrets innehåll. Dämtöver kan datainspektionen i fortsättningenliksom också föreskriva att vissa personuppgifter inte får ingå i detaktuella registret, t. ex. uppgifter som anges i 4 § datalagen. DALK:s förslag i fråga om föreskrifter om registerinnehålltillstyrks av de två remissinstanser som yttrar sig särskilt om det. För min del vill jag liksom DALK peka på att redannuvarande bestämmelser i 5 § datalagen ger ett visst utrymme fördatainspektionen att uppfylla paragrafens krav på föreskrifter omregisterinnehållet, även när det på förhand är svårt att ange vUka uppgiftersom skaU ingå i ett personregister. Men jag kan också hålla med om att man intepå denna väg kan komma till rätta med svårigheterna i alla situationer. Jag kandärför ansluta mig till DALK:s förslag att föreskrifter om registerinnehållinte bör vara obligatoriska utan fakultativa. Jag delar också DALK:suppfattning att en sådan ändring inte innebär någon försvagning av skyddet mototillbörligt intrång i enskilds integritet. Lagtekniskt innebär mittställningstagande att bestämmelser om föreskrifter om registerinnehåll bör tasin i 6 § i stället för som i 5 § dalalagen. Kvar i 5 § står då kravet attett tillståndsbeslul skaU förenas med en föreskrift om ändamålet med registret. Den ökande användningen av ADB inom näringsliv ochadministration är en internationell företeelse. Det förekommer i stor utsträckning att 1981/82:189 41 ADB-baserad information förs från ett land till ett annat.Sådan överföring underlättas genom användning av telekommunikationer. Detinternationella dataflödet ger upphov till vissa problem. När det gällerpersonuppgifter är det framför allt risken för s. k. dataflykt som haruppmärksammats, dvs. risken för att databehandling flyttas över från det egnalandet till ett annat för att man skall undgå integritetsskyddslagstiftningen ihemlandet. Frånlagstiftarens synpunkt är det givetvis angeläget att vidta åtgärder för atthindra dataflykt, så att inte skyddet för den personliga integritetenförsämras. Å andra sidan är det önskvärt att man inte försvårar sådanöverföring av information som är ofarlig från integritetssynpunkt. Detta ärviktigt inte minst med tanke på den betydelse som det internationellainformationsutbytet har för ett land som . Jag vill idetta sammanhang erinra om att datalagen har en spärr mot utlämnande av uppgifterur personregister, om det finns anledning anta att uppgifterna skall användasför automatisk databehandling i utlandet. Enligt 11 § datalagen krävs i sådanafall särskilt medgivande av datainspektionen. Motsvarande bestämmelse förmyndigheternas verksamhet finns i 7 kap. 16 § sekretesslagen. Av motiven tillbestämmelserna (prop. 1973:33 s. 101) framgår att syftet med dem är att hindraatt tillståndssystemet kringgås genom att dataregister upprättas utomlands.Föredragande statsrådet framhöll att inskränkningen visserligen knappast skullemedföra något effektivt skydd mot att personregister upprättas obehörigen iutlandet. Detta ansågs emellertid vara en fråga som inte kunde lösas annat ängenom internationella överenskommelser. I avvaktan på sådana ansåg föredragandenatt ett förbud ändå kunde ha ett visst värde. Inom flera internationella organisationer har man underdet bedrivit arbete för att utveckla principer för dataflödetöver gränserna och skyddet för den personliga integriteten vid överföring avuppgifter mellan länderna. Det internationella arbetet har ägt rum mot bakgrundav att skyddet för den personliga integriteten vid användningen av ADB anseskunna härledas från överenskommelser om mänskliga rättigheter. antog således rådets ministerkommitté 1973 och 1974 tvåresolutioner om dataskydd. I den första, resolution (73)22, gavs vissariktlinjer för databanker på den enskilda sektorn och i den andra, resolution(74)29, gavs motsvarande riktlinjer för den offentliga sektorn. I dessaresolutioner åberopades artikel 8 i den Europeiska konventionen den 4 november1950 angående skydd för de mänskliga rättigheterna och de grundläggandefriheterna. Enligt denna artikel har envar rätt till skydd för sitt privat- ochfamiljeliv, sitt hem och sin korrespondens. Det internationella samarbetet på dataskyddsområdet inomEuroparådet har senare resulterat i en konvention till skydd för enskilda vidautomatisk databehandling av personuppgifter. Inom har man utarbetat vissariktlinjer beträffande integritetsskyddet och persondataflödet över gränserna. Prop.1981/82:189 42 Som jag inledningsvis har nämnt antog en konvention till skydd för enskilda vid automatiskdatabehandling av personuppgifter (dataskyddskonventionen). Vid konventionenhar fogats en förklarande rapport av den expertgrupp inom som harutarbetat konventionstexten. Konventionen har öppnats för undertecknande i januari1981. Den har undertecknats av samt av , ,, , , , ,, och . Konventionen har ännu inte trätt i kraft. För att denskall träda i kraft fordras att fem medlemsländer har tillträtt konventionen.För att den skall bli bindande för krävs godkännande. Konventionens syfte är att säkerställa respekten förgrundläggande fri- och rättigheter, särskilt den enskildes rätt till personligintegritet i samband med automatisk databehandling av personuppgifter. Enligtexpertgruppens förklarande rapport är utgångspunkten att vissa av den enskildesrättigheter kan behöva skyddas i förhållande till den princip om fritt flöde avinformation, oberoende av gränser, som finns inskriven i internationellaöverenskommelser om mänskliga rättigheter. Konventionens tillämpningsområde är enligt huvudregeln(artikel 3) automatiserade personregister och automatisk databehandling avpersonuppgifter i allmän och enskild verksamhet. Varje konventionsstat kandock göra vissa allmänna inskränkningar eller utvidgningar itillämpningsområdet för konventionen i dess helhet. Därutöver finns (artikel 9)viss möjlighet till undantag från några enskilda bestämmelser. Reservationermot bestämmelserna i övrigt får inte göras (artikel 25). Däremot är detingenting som hindrar att registrerade personer tillerkänns ett mer omfattandeskydd än som föreskrivs i konventionen (artikel 11). Konventionen har fem kapitel. Den centrala delen ärkapitel II (artiklarna 4-11) som innehåller degrundläggande principerna för dataskydd. Varje konventionspart skall vidta deåtgärder som behövs för att dess nationella lagstiftning skall innehålla dennas. k, gemensamma kärna. Åtgärderna skall vara vidtagna senast vid den tidpunktdå konventionen träder i kraft för parten (artikel 4), Den gemensamma kärnanskall garantera registrerade personer i alla länder där konventionen gäller ettvisst minimiskydd i samband med automatisk databehandling av personuppgifter.Detta skall göra det möjligt för konventionsparterna att ömsesidigt avstå frånatt begränsa dataflödet över gränserna. På så sätt undviker man enligtexpertgruppen att principen om fritt informationsflöde äventyras genom olikaformer av protektionism. Kapitel II innehållerkrav på beskaffenheten av de personuppgifter som undergår automatiskdatabehandling (artikel 5), Dessa krav innebär bl, a. att 1981/82:189 43 uppgifterna skall inhämtas och behandlas på ett korrektsätt och vara relevanta med hänsyn till ändamålet. Vissa typer av uppgifter fårinte undergå automatisk databehandling, om inte den nationella lagen ger ettändamålsenligt skydd (artikel 6), Det gäller uppgifter om ras, politiskaåsikter, religiös tro eller annan övertygelse, hälsa, sexualliv samt brott.Vidare föreskrivs bl. a. att alla som är registrerade i ett personregisterskall ha möjlighet till insyn i registret och möjlighet att få felaktigauppgifter rättade. Vissaundantag får enligt konventionen göras i fråga om kraven på uppgifternasbeskaffenhet o.d. (artikel 9). För sådana avvikelser krävs dock dels att de harstöd i nationell lagstiftning, dels att de är nödvändiga i ett demokratisktsamhälle för att skydda statens säkerhet e. d. eller för att skydda den registreradepersonen eller andra personers fri- och rättigheter. Rätten till insyn ochrättelse m, m. får också i vissa fall inskränkas i fråga om personregister förstatistikändamål eller vetenskapliga forskningsändamål. KapitelIII, som rör dataflödet över gränserna, syftar till att förena kraven på frittinformationsflöde och dataskydd. Det är enligt expertgruppen viktigt att manser bestämmelserna i kapitel III i samband med den gemensamma kärnan i kapitel II, som garanterar att databehandlingenav personuppgifter i alla berörda länder är föremål för samma grundläggandereglering. Kapitel III innehåller bestämmelser om behandlingen i nationell lagav flödet av personuppgifter över gränserna (artikel 12). Bestämmelsernagäller, oavsett vilket medium som används, vid överföring över nationsgränserav personuppgifter som undergår eller skall undergå automatisk databehandlingeller som samlas in för det ändamålet. Huvudregeln är att överföring mellankonvéntionsstater skall vara fri. Det är inte tillåtet att ställa upp vare sigförbud eller krav på särskilt medgivande uteslutande i syfte att skydda denpersonliga integriteten. I två fallär det emellertid tillåtet att göra undantag från huvudregeln. Den ena grundenför undantag är att avsändarlandets lagstiftning innehåller särskildabestämmelser för vissa kategorier av personuppgifter men mottagarlandetslagstiftning inte ger ett likvärdigt skydd. Den andra grunden är att detegentliga mottagarlandet står utanför konventionen men överföringen dit skervia en konventionsstat, I ett sådant fall är det alltså möjligt föravsändarlandet att, för att undvika att dess lagstiftning kringgås, t, ex.kräva särskilt tillstånd för överföringen. Kapitel IV ochV reglerar formerna för samarbetet mellan konventionsstaterna. Genomkonstruktionen av konventionen har det blivit möjligt att begränsa innehållet ikonventionen till de grundläggande principerna och att lita till samarbetemellan konventionsstaterna, bl, a, inom ramen för en rådgivande kommitté, närdet gäller att införa och harmonisera dessa principer i de olika staternaslagstiftning, I kapitel IV finnsbestämmelser om att varje konventionspart skall utse en eller flera myndigheterför samarbetet mellan parterna och även ange varje 1981/82:189 44 myndighets behörighet (artikel 13), De myndigheter somutses i de olika länderna skall tiUhandahålla upplysningar om lagstiftning ochadministrativt förfarande på dataskyddsområdet m, m. Vidare behandlas frågor ombistånd till registrerade personer som är bosatta utomlands (artikel 14). som utses i ett visst land skall hjälpa personer i utlandet med attutöva sina rättigheter till insyn och rättelse m. m. Sådan hjälp skall lämnasoavsett om personen är bosatt i en annan konventionsstat eller i ett land somstår utanför konventionen, I kapitel V finns bestämmelser om den rådgivandekommittén, dess sammansättning (artikel 18) och uppgifter (artikel 19) m, m, DALK har funnit att de begrepp som används i konventionenväl stämmer överens med datalagens definitioner. Enligt DALK finns det intenågot behov av att inskränka konventionens tillämpningsområde för svensktvidkommande. Inte heller finns det f, n, någon anledning att utvidga desstillämpningsområde. En utvidgning kan emellertid tänkas bli aktuell i sambandmed övervägandena om en generell personregisterlagstiftning, DALK anser att de grundläggande krav för dataskydd somkonventionen föreskriver i huvudsak är tillgodosedda för svensk del genomdatalagen. Detta gäller också om de åtgärder genomförs som DALK har föreslagiti sin promemoria. För att uppfylla konventionens krav föreslår DALK emellertidvissa mindre ändringar i datalagen och sekretesslagen. Enligtkonventionen får vissa angivna slag av uppgifter inte undergå automatiskdatabehandling, såvida inte nationell lag ger ett ändamålsenligt skydd, DALKframhåller att konventionens uppräkning av dessa uppgifter i huvudsak stämmeröverens med uppräkningen i 4 § datalagen om vilka uppgifter som enligtdatalagen skall anses vara särskilt känsliga och som därför inte får ingå ipersonregister, om inte synnerliga eller särskilda skäl föreligger. Vissauppgifter som anges i artikel 6 i konventionen saknas dock i 4 § datalagen. Detgäller uppgifter som avslöjar ras, annan övertygelse än religiös tro samtuppgifter som rör sexualliv. Kommittén förslår därför att 4 § datalagenkompletteras så att paragrafen omfattar även sådana uppgifter. När det gäller dataflödet över gränserna påpekar DALK attdet enligt 11 § datalagen och 7 kap, 16 § sekretesslagen krävsdatainspektionens medgivande för att personuppgifter skall få lämnas ut, omdet finns anledning anta att de skall användas för automatisk databehandling iutlandet. Enligt konventionen får emellertid en part inte, uteslutande i syfteatt skydda den personliga integriteten, förbjuda eller kräva särskiltbemyndigande för överföring av personuppgifter över gränsen till en annan partsterritorium. För att detta krav skall tillgodoses föreslår DALK att 11 §datalagen och 7 kap, 16 § sekretesslagen ändras så att datainspektionensmedgivande inte behövs för utlämnande till länder som har anslutit sig tillkonventionen. 1981/82:189 45 DALK framhåller att man i de flesta länder i , somhar antagit eller håller på att utarbeta nationella datalagar, har bestämmelsermed helt eller delvis samma innebörd som 11 § i den svenska datalagen. Dettainnebär enligt DALK att personuppgifter, som i enlighet med konventionen utansärskilt medgivande enligt 11 § datalagen lämnas ut från till en annankonventionsstat, inte obehindrat får lämnas vidare från den mottagande statentill en stat som inte är ansluten till konventionen, DALK föreslår att dettaskall komma till uttryck i lagtexten. Med hänvisning till konventionens bestämmelser omömsesidigt bistånd föreslår DALK att datainspektionen anförtros uppgiften attlämna sådant bistånd och att en föreskrift härom tas in i instruktionen(1973:292) för datainspektionen. Dessutom föreslår kommittén en kompletteringav bestämmelserna i 9 kap, 6 § sekretesslagen om sekretess hos datainspektionen. I övrigt krävs enligt DALK inga lagstiftningsåtgärder föratt skall kunna godta konventionen. Endast ett mindre antal remissinstanser har kommenteratDALK:s överväganden rörande konventionen. Dessa har genomgående godtagit DALK:sförslag i denna del. För egen del vill jag understryka att det är av stortvärde att överläggningarna om dataskyddsfrågor inom har lett framtill en konvention om skydd för enskilda vid automatisk databehandling avpersonuppgifter. För svenskt vidkommande är det betydelsefullt att konventionenföljer samma mönster som den svenska datalagen. Det materiella innehållet ikonventionens bestämmelser överensstämmer i stor utsträckning med datalagensregler till skydd för den enskildes integritet. För att skall kunnatillträda konventionen krävs endast några smärre ändringar i datalagen ochsekretesslagen. På grund av det anförda förordar jag liksom DALK attriksdagen beslutar att skall ansluta sig till konventionen. Jagtillstyrker också kommitténs förslag till ändringar i 4 och 11 §§ datalagen och7 kap, 16 § sekretesslagen. Jag avser att i ett senare sammanhang återkomma tillregeringen med förslag som gäller konventionens bestämmelser om ömsesidigtbistånd m. m. Detta är nämligen frågor som det i första hand ankommer påregeringen att besluta om. Jag vill emellertid redan nu ange att jag ser detsom naturligt att datainspektionen anförtros dessa uppgifter. Som DALK harföreslagit bör därför den bestämmelse i sekretesslagen som avser sekretess hosdatainspek- Prop.1981/82:189 46 tionen, 9 kap. 6 §, kompletteras så att sekretess gälleräven i ärenden om bistånd enligt konventionen. Inom har en expertgrupp utarbetat vissa riktlinjer ifråga om integritetsskyddet och persondataflödet över gränserna (Guidelinesgoverning the protection of privacy and transborder flows of personal data).Riktlinjerna har antagits av tillsammans med en rekommendationtill medlemsländernas regeringar om att beakta riktlinjerna i nationelllagstiftning. Ett 20-tal medlemsländer, däribland , har godtagitrekommendationen och därmed åtagit sig att följa denna. Ytterligare åtgärdersom t. ex, ratifikation av medlemsländerna krävs inte. Riktlinjerna har alltsåträtt i kraft. Någon preciserad tidpunkt för när kraven enligt riktlinjernafullt ut skall vara genomförda finns dock inte. Rekommendationen från :s råd innehåller utöver vadsom nämndes att medlemsländerna skall - sträva efteratt ta bort eller undvika att skapa - i integritetsskyddets namn - opåkalladehinder för persondataflödet över gränserna, - samarbeta förgenomförandet av riktlinjerna samt - komma överensså snart som möjligt om speciella former för samråd och samarbete vidtillämpningen av riktlinjerna. Riktlinjerna består av fem avdelningar. I den förstaavdelningen finns ett antal definitioner och en precisering av riktlinjernastillämpningsområde. Den andra avdelningen, som utgör kärnan i riktlinjerna,innehåller åtta grundläggande principer rörande skyddet för personligintegritet på det nationella planet. I den tredje avdelningen behandlasprinciperna för internationell tillämpning av riktlinjerna, dvs. principer somhuvudsakligen avser förhållandet mellan medlemsländerna. De fjärde och femteavdelningarna innehåller regler om ömsesidigt bistånd mellan medlemsländernam. Av första avdelningen framgår att riktlinjerna ärtillämpliga på personuppgifter såväl inom den offentliga som inom den enskildasektorn och oavsett om de lagras automatiskt eller manuellt.