prop · GA03116 · 1986-12-31 00:00:00 — Kontaktpersonen bör kunna uppdra åt någon annan att rentfaktiskt underrätta den enskilde på kontaktpersonens vägnar. Ytterst är det denregisteransvarige som svarar för att den enskilde verkligen underrättas. Närdet gäller kontaktpersoner föreslår jag alltså sammanfattningsvis att denregisteransvarige skall utse en eller flera personer, som bistår den registreradevid misstanke om att en personuppgift är oriktig eller missvisande och somunderrättar den registrerade om vilken åtgärd anmälan föranleder. Regeln in bland övriga föreskrifter om rättelse i 8 § datalagen. Mittförslag om kontaktpersoner ansluter ganska nära till DOK;s förslag att det hosvarje registeransvarig skall finnas en dataansvarig med uppgift bl.a. att biståde registrerade vid misstanke om fel i personuppgifterna i personregistret. Jaghar dock tagit intryck av kritik som framkommit under remissbehandlingen ochsom går ut på att förhällandet mellan den dataansvarige och denregisteransvarige inte var helt klarlagt. Bl.a. skulle själva benämningen dataansvarigkunna leda tanken till atl den dataansvarige har ett självständigt ansvar vidsidan om den registeransvarige för att datalagens regler följs. Jag har därförfunnit att termen dataansvarig inte bör användas som benämning i det sammanhangsom det här gäller. DOKhar föreslagit att den som är dataansvarig skall ha vissa ytteriigare uppgifter. Det gäller bevakningen av att lämpliga rättelseruliner utformas, 10 uppsiktenöver felfrekvens och tillämpningen av rättelserutiner, medver- Prop. 1986/87;116 kan vid information och utbildning hos den registeransvarige och allmäntbistånd åt allmänheten. kan naturligtvis delta vara lämpligt. Jaganser dock att några särskilda bestämmelser om detta inte bör meddelas utanatt den registeransvarige, med det ansvar som åvilar honom, själv bör få avgöraom dessa uppgifter skall läggas på kontaktpersonen eller på nägon annan lämpligperson. Förslaget om kontaktpersoner innebär inte att enkontaktperson själv skall bära ett straff- eller skadeslåndsrättsligt ansvar enligldatalagen. Kontaktpersonen bör ansvara för sina åtgärder enligl vanliga reglerom ansvar i arbetslagar- eller uppdragsförhållanden. Ansvaret enligt datalagenför att reglerna i den lagen följs i fräga om ett visst personregister bördäremot även i fortsättningen åvila den registeransvarige. Det ligger i sakens natur atl den registeransvarige ärskyldig att instruera sin personal så att en enskild som vill anmäla eltmisstänkt registerfel snabbt och enkelt kan fä kontakt med en kontaktperson.Särskilt viktigt är det givetvis att personalen i telefonväxeln och i eventuellreception eller motsvarande vet vem eller vilka som är kontaktpersoner. Oftakan det också vara lämpligt att sätta ut kontaktpersoners namn itelefonkatalogen och på registerutdrag eller andra handlingar som innehålleruppgifter från personregistret. En bestämmelse bör därför införas som åläggerden registeransvarige att hålla uppgiften om vem eller vilka som är kontaktpersonertillgänglig för allmänheten. Den blir då tillgänglig också för datainspektionenoch det behöver inle föreskrivas att uppgiften skall ingå i en sådanförteckning som avses i 7 a § datalagen. Datainspektionen bör kunna meddelaföreskrifter om detta inom ramen för sin föreslagna rätt att meddelaföreskrifter om rättelseförfarandet. Skyldighet att utreda och åtgärda felaktigheter i ettpersonregister Om det finns anledning atl misstänka att en personuppgiftär oriktig, är den registeransvarige skyldig att utan dröjsmål vidta skäligaåtgärder för att utröna om uppgiften är riktig. Om det föreligger skäl, skallden registeransvarige rätta eller utesluta uppgiften ur registret (8 § förstastycket datalagen). Den registeransvariges skyldigheter hänför sig alltså tilloriktiga personuppgifter. Innebörden av begreppet oriktig har inte berörts idatalagens förarbeten. Olika meningar om den rätta innebörden har framkommit,inte minst vid remissbehandlingen av DOK:s betänkande. a. om en uppgift skall anses oriklig på grund av förhållanden, som inträttefter del att uppgiften registrerades. Det har även diskuterats om en uppgiftskall anses oriktig om den visserligen är riktig i och för sig men förekommer iett sammanhang där den gör etl missvisande intryck. Utredningsmaterialet tillåter inte någon säker slutsats omden exakta innebörden av begreppet oriktig uppgift. Rättsläget synes varaoklart. Även om oklarheten inte tycks ha lett till nägra allvarligare problemfinns det enligt min mening skäl atl precisera lagen på denna punkt. Man bördärvid utforma lagtexten sä att den täcker inte bara det fallet att en uppgift i sig är felaktig ulan även det fallet atl intrycket blirmissvisande på grund Prop. 1986/87; 116 av det sammanhang i vilket uppgiftenförekommer. Delta har betydelse inle minst med tanke på de tillfällen då enuppgift förs över till ett nytt register med annal ändamål än del register, däruppgiften ursprungligen förekom. Den önskvärda klarheten bör uppnås, om mankompletterar det redan befintliga begreppet oriktig uppgift med ett nyttbegrepp, missvisande uppgift. Den regisieransvariges skyldigheter enligt 8 §första stycket datalagen bör alltså i fortsättningen hänföra sig lill de falldå en uppgift i ett personregister är eller misslänks vara oriktig ellermissvisande. Om en uppgift skall anses vara oriktig eller missvisande, fårbedömas från fall till fall mol bakgrund bl.a. av registrets ändamål. Det bör iprincip vara likgiliigi om de förhållanden, som gör en uppgift oriktig ellermissvisande, förelåg redan då uppgiften registrerades eller har inträtt förstdärefter. Ett undantag kan givetvis vara om registrets ändamål är att avspeglaförhållanden som rådde eller att återge det exaktainnehållet i etl vissl dokumenl. Förhållanden som inträtt därefter bör i såfall i regel inte göra atl de registrerade uppgifterna anses oriktiga ellermissvisande. Med atl en uppgift är oriklig bör i första hand avses altuppgiften i sig är felaktig. Begreppet missvisande tar däremot främst sikte pådet intryck som uppgiften skapar i sill sammanhang. Eftersom rättsföljderna som strax skall framgå - enligt mitt förslag i princip är lika oavsett om enuppgift är oriktig eller missvisande finns dock i regel inte. skäl att meraexakt de*finiera gränsen mellan vad som är en oriktig och vad som är enmissvisande uppgift. Enligt min mening går det inte heller i praktiken att draen klar gräns mellan dessa två begrepp. Ändringen får alltså till följd atl den registeransvarigeblir skyldig att företa skälig utredning om det finns anledning att misstänkaatt en personuppgift i elt personregister är oriktig eller missvisande. I fråga om den registeransvariges skyldigheter att rättaen uppgift som har visat sig oriktig eller missvisande finns det enligt minmening skäl att göra ytterligare lagändringar i syfte att stärka den enskildesställning. Den regisleransvarige skall rätta eller utesluta en oriktigpersonuppgift om skäl föreligger. Skyldigheten är alltså villkorlig. Avgörandebör enligt lagförarbetena vara bl.a. uppgiftens betydelse frånintegritetssynpunkt. Om uppgiften saknar belydelse från integritetssynpunkt börrättelse eller uteslutning kunna underlåtas, även om uppgiften är oriktig. Detbör också vara av viss betydelse om den registrerade begärt att uppgiften skallrättas eller uteslutas (prop. 1973:33 s. 132). Den registeransvariges skyldigheter omfattar alltså nudels rättning, dels uteslutning av uppgiften. Till detta bör enligt min meningfogas en skyldighet alt vid behov ändra uppgiften. Ändringen kan t.ex.innebära att en missvisande uppgift ges ett innehåll eller kompletteras så inte längre får ett missvisande intryck. Rälielseåigärder skall enligt lagens nuvarande lydelsevidtas när skäl föreligger. Delta innebär att presumtionen är att rättelse inte skall ske. Om utredningen inte visar atl skäl föreligger, behöver uppgiften alltså inte rättas eller uteslutas. Detta tycks ha medfört att rättelse inte alltid harskett i önskvärd utsträckning. Datainspektionens rekommendationer i ämnet 12 har enliglDOK inte alltid fungerat hos de regisleransvariga. Detta förhål- Prop.1986/87; 116 lande bör enligt min mening inte längre godtas. Regeln om rättelseskyl-dighelbör därför skärpas. En möjlighet kunde därvid vara all göra räiielseobligatorisk. Delta vore dock enligl min mening atl skjuta över målel. Delfinns fall då det uppenbarligen saknar belydelse ur integrilelssynpunkl alt enregisteruppgift är oriktig eller missvisande. En regel om obligatorisk rättelseskulle också passa mindre väl för missvisande uppgifter. 1 fråga om dessa börfinnas etl visst utrymme för olika bedömningar i fråga om åtgärder. Jag föreslår i stället att regeln om rältelseskyldighetändras så. all en oriktig eller missvisande uppgift skall rättas, ändras elleruteslutas, om del inle saknas anledning att anta att otillbörligt intrång i denregistrerades personliga integritet skall uppkomma. Detta innebär en presumtionför all rätlelse skall ske. Rättelse får alltså underlåtas endast omutredningen eller omständigheterna i övrigt klart visar att detta kan ske utanotillbörlig! intrång i personlig integritet. Möjligheten att underlåta atl räiia en felaktig uppgiftbör i första hand kunna användas när del gäller stavfel och andra liknandemisskrivningar. Beträffande felaktigheter som rör sakförhållanden finns däremotmera sällan grund för att med säkerhet konstatera atl uppgiften saknarbetydelse från integritetssynpunkt. En sådan felaktighet bör därför rättas utomi undantagsfall, såsom då den felaktiga uppgiften finns i ett tillfälligtregister och uppgiften dessutom framstår som helt harmlös. Rättelse bör i. ex.kunna underlåtas när del gäller en oriktig adressuppgift i elt register förforsknings- eller statistikändamäl eller en oriklig uppgift om bilinnehav i etltillfälligt direktreklamregister. Om den registrerade har begärt all en uppgiftskall rättas, ändras eller uteslutas, bör den registeransvarige endast i ännumer utpräglade undantagsfall kunna underlåta atl vidta rälielseåigärder ifråga om en uppgift som befunnits oriktig eller missvisande. I detta sammanhang vill jag beröra frågan om en rätielseåtgärdbör dokumenteras, t. ex. genom en aktanteckning eller liknande. Rätlelse avsakuppgifter av betydelse ur integrilelssynpunkl bör enligl min mening i regeldokumenteras. Sä torde ocksä ske . Jag instämmer i DOK:s bedömning attnågon uttrycklig regel om saken i dalalagen inte behövs. När del gällerrättelse i myndigheters register följer dokumentalionsskyl-digheten i de flestafall redan av allmänna regler (jfr KU 1982/83:12 s. 22). För övrigt bördatainspektionen vid behov kunna meddela föreskrifter omdokumentationsskyldighet inom ramen för den tidigare föreslagna befogenhetenatt meddela föreskrifter om rättelseförfarandel. Underrättelse lill annan än den registrerade Om en personuppgift, som rättas eller utesluts, harlämnats ut till nägon annan än den registrerade, skall den registeransvarige påbegäran av den registrerade underrätta mottagaren om rättelsen elleruteslutningen (8 § andra slycket datalagen). Den föreskrivna underrättelseskyldigheten skall ses motbakgrund av att uppgifter i ett personregister i vissa fall kan lämnas ut för att användas i etl 13 annalpersonregister eller på annat sålt. En felaktighet i fråga om en viss Prop.1986/87:116 registeruppgift kan på så sätt följa med till den som uppgiftenlämnas ut till. En underrättelse om atl en utlämnad uppgift är felaktig gör attäven mottagaren kan rätta uppgiften. Underrättelseskyldigheten enligt datalagen gäller endastom den registrerade har begärt all mollagaren av uppgiften skall underrättas.1 datainspektionens allmänna råd för myndigheter vid tillämpningen av 8 §datalagen rekommenderas myndigheterna alt vid behov lämna underrättelse ävenom den registrerade inte har begärt detta. Det föreliggande utredningsmaterialet utvisar inte atlnuvarande ordning skulle ha gett upphov lill några egentliga missförhållanden.Den av mig föreslagna regeln om alt en registrerad som anmält ett felskall få besked om vilken åtgärd som anmälan föranleder bör också förbättraförutsättningarna för de registrerade att kunna utnyttja rätten att begära attmottagaren av registeruppgifter underrättas om företagna rättelser. Trots detta instämmer jag i DOK;s bedömning all denregistrerades ställning bör stärkas ytterligare även på denna punkt. Det utbyteav uppgifter mellan olika register som förekommer i inte obetydlig omfattninghar enligt min mening ökat behovet av atl felaktigheter som upptäcks i ettregister rättas även i andra register eller i andra sammanhang där uppgifternaförekommer. Jag anser att det är rimligt att datalagen kräver enåtgärd från den registrerade för atl så skall ske. Dalainspektionensrekommendation till myndigheterna att vid integritetsrisk självmant underrättamottagare av registeruppgifter om rättelsen ligger bättre i linje med de kravjag anser att man måste ställa på integritetsskyddet. Jag förordar därför atl en regel som molsvarardatainspektionens rekommendation tas in i dalalagen. Regeln bör gälla allaregister, oberoende av om de förs av en myndighet eller av en enskildregisteransvarig. Datalagen innehåller en regel som gör det möjligtför datainspektionen att ge dispens från skyldigheten atl underrätta en uppgiflsmottagareom alt en uppgift rättas. DOK har funnit att dispensregeln aldrig utnyttjas ipraktiken och därför kan upphävas. För min del anser jag, som strax kommer allframgå, alt det behövs en möjlighet för datainspektionen att medge undantagfrån bestämmelserna om rättelse m. m. i 8 § datalagen. Bestämmelsen bör omfattaockså underrättelseskyldigheten. Undantag från rättelseskyldighet m. m. Reglerna i 8 § datalagen om rättelse av oriktigapersonuppgifter gäller för alla personregister. De träffar därmed också register, som har överläm nats lill en arkivmyndighet för förvaring. Sådana register skiljer sig dock från andra personregister genom att de inte används för sitt ursprungliga ändamål utan för mer begränsade syften. Detta har föranlett att register som överiämnats till arkivmyndighet redan i tidigare sammanhang har undantagils från lillslåndsplikl (2 a §), förteckningsskyldighel (7 a §) och skyldighet att lämna underrättelse om registerinnehållet enligt 10 § data lagen. I samband med dessa bestämmelsers tillkomst förklarade sig före- 14 dragandestatsrådet inle beredd att föreslå att arkivregister borde undantas Prop.1986/87:116 från dalalagens tillämpning i ytterligare några avseenden (prop. 1981/82; 189 s. 38), DOK har föreslagil atl register som har överlämnats tillarkivmyndighet för förvaring skall undantas även från tillämpningen avreglerna i 8 § dalalagen om rättelse m,m. Jag instämmer i detta. Genom attregister av delta slag är "aktiva" är risken för atl enfelaktig registeruppgift skulle vålla etl otillbörligt iniegritetsintrångliten. Det skulle också te sig främmande för en arkivmyndighets funktion att ändrai det historiska material som tagits emot för förvaring. En undantagsregel försådana register bör därför tas in i 8 § dalalagen. Det bör emellertid betonas att datalagen avses gälla fulltut för t. ex. register som för särskilda forskningsprojekt byggs upp med hjälpav uppgifter från arkivregister. Begreppet arkivmyndighet är inte preciserat vare sig idalalagen eller dess förarbeten Ofr prop, 1981/82:189 s, 35 ff). Del får dockanses klart att begreppet innefattar åtminstone , krigsarkivet ochlandsarkiven saml stadsarkiven i och (6 och 810 §§ allmännaarkivstadgan 1961:590, 8 § ändrad senast 1978:778). Under remissbehandlingen har från olika håll tagits uppfrågan om undantaget i 8 § datalagen bör omfatta även vissa andra register, säsomregister som överlämnats till etl annat kommunalt arkiv. Även register somanvänds endast för statislikframslällning eller forskning har nämnts i dettasammanhang. Jag är emellertid inte beredd att nu föreslå ett generellt undantagför andra register än dem som överlämnats till arkivmyndigheter (jft prop.1984/85:133 s. 16). Detta utesluter emellertid inle alt ett undantag kan vara miotiverati fråga om enstaka andra register. En möjlighet bör därför öppnas för datainspektionenatt medge undanlag från tillämpningen av 8 § datalagen för ett visst register.Denna dispensmöjlighet bör kunna utnyttjas då ett undantag frän rätlelseskyldighetenframstår som lika motiverat som i fråga om register som har överlämnats lill enarkivmyndighet. Datainspektionens uppgifter Ifråga om rättelse Mina förslag i det föregående innefattar vissa nyauppgifter för datainspektionen. Inspektionen skall kunna meddela föreskrifterom rättelse och andra åtgärder i fråga om oriktiga eller missvisande uppgifter.Föreskrifterna kan t. ex. avse kontaktmännens uppgifter och befogenheter ellerförfarandel i övrigt vid utredning, rättelse eller underrättelse enligt 8 §datalagen. En bestämmelse om sådan föreskriftsrätt bör tas in i 6 § datalagenbland övriga regler om datainspektionens föreskriftsrätt. Det ankommer naturligtvis också på dalainspektionen atlliksom i sin tillsynsverksamhet kontrollera att reglerna om rättelse efterlevs av de regisleransvariga. I första hand bör inspektionen givetvis söka åstadkom ma efterrättelse på frivillig väg. Om förandet av ett personregister har lett till etl otillbörligt iniegriletsintrång eller om det finns anledning att antaatt ett sådant intrång skall uppkomma, får dock inspektionen tillgripa de 15 åtgärder som avses i 18 §datalagen. Dessa åtgärder är att meddela föreskrifter för registret eller attändra tidigare meddelade föreskrifter. Under vissa förutsättningar får inspektionenockså förbjuda fortsatt förande av registret eller återkalla ett meddelattillstånd för registret. Mittförslag: Skadeståndsskyldigheten enligt datalagen utvidgas till att avse skadasom vållats genom att ett personregister innehåller missvisande personuppgift.En särskild föreskrift införs om atl ersättning för ideell skada skall kunnautdömas vid brott som avses i datalagen. Utredningensförslag överensstämmer i huvudsak med mitt. Remissinstanserna:Förslager om utvidgning av skadeståndsansvaret till fall där en personuppgiftvarit missvisande tillstyrks av drygt hälften av de instanser som uttalat sig.JK menar dock att datalagens skadeståndsregel skulle kunna upphävas eftersomskadeståndslagen ger tillräckligt skydd. Några remissinstanser anser att denföreslagna utvidgningen är oacceptabel. De flesta som uttalat sig om attersättning för ideell skada skall kunna utdömas vid brott mot datalagen ärpositiva till förslaget. Skälen för mittförslag: I 23 § datalagen finns regler om skadestånd för skada som tillfogasgenom att ett personregister innehåller en oriktig uppgift. Vid brott enligt 20§ datalagen aktualiseras frågan om skadestånd enligt allmänna regler iskadeståndslagen (1972:207, omtryckt 1975:404, ändrad senast 1986:445) omskadestånd på grund av brott. Detsamma gäller beträffande dataintrång (21 §datalagen). Jag skall i det följande behandla behovet av ändringar i reglernaför bägge dessa former av skadestånd i datasammanhang. Skadestånd enligl 23 §datalagen Omen registrerad tillfogas skada genom att ett personregister innehåller oriktiguppgift om honom skall den registeransvarige enligt 23 § datalagen ersätta skadan.Vid bedömande om och i vad mån skada har uppstått skall man ta hänsyn även tilllidande och andra omständigheter av annan än rent ekonomisk betydelse. En liknandeskadeståndsregel finns i 21 § kreditupplysningslagen (1973:1173, omtryckt1981:737). I de fall eU kreditupplysningsregister förs med hjälp av ADB blirdock även skadeståndsregeln i datalagen tillämplig (jfr prop. 1973:155 s. 122). Skadeståndsregeln i 23 §datalagen innebär att skadeståndsskyldighet föreligger även om denskadeståndsansvarige inte har orsakat skadan avsiktligt eller genomvårdslöshet. Ett sådant s. k. strikt skadeståndsansvar går utöver vad somgäller i allmänhet enligt skadeståndslagen, enligt vilken skadeståndsskyldighetsom huvudregel förutsätter att skadan orsa- kals avsiktligt eller genom vårdslöshet. Som motiv för attinföra ett strikt Prop. 1986/87; 116 skadeståndsansvar anfördes vid dalalagenstillkomst bl.a. att skadeverkningarna av en oriklig registeruppgift kan blibetydande genom den stora spridning av en uppgift som datatekniken möjliggöroch den särskilda tilltro som datauppgifter i många fall åtnjuter. Som ett ytteriigaremotiv anfördes att faktiska fel kan uppkomma i elt dataregister genom missödensom inte kan låggas någon till last som vållande (prop. 1973:33 s. 148). Kritik framfördes vid datalagens tillkomst mot att införaen så långt gående skadeståndsskyldighel för den regisleransvarige. Bl.a.framhölls alt det kan inträffa att en viss oriklighet i etl personregister inteär hänförlig till den registeransvariges handläggning utan härstammar frånannat håll, t. ex. från elt annat personregister. Föredragande statsrådet ansågdock att skadeståndsansvaret gentemot den enskilde borde åvila den som sisthaft hand om uppgiften, dvs. den registeransvarige som lämnat ut den oriktigauppgiften eller på annal sätl orsakat skadan. En sådan registeransvarig kundeenligt föredraganden i vissa fall ha rätt att regressvis återkräva utgivenersättning av annan (prop. 1973:33 s. 149). Under de år som datalagen funnits synes skadeståndsregelni 23 § ha tillämpats ganska sällan. Viss kritik har i olika sammanhang riktatsmot regeln och dess tillämpning. Kritiken är dock inte entydig utan går i bådeskärpande och lindrande riktning. En del av kritiken går ut på att deskadeståndsbelopp som dömts ut varil alltför låga. Å andra sidan har rösterhöjts för att skadeståndsregeln är alltför sträng mot en registeransvarig somendast vidarebefordrat en oriklig uppgift från ett annat register. Jag kan för min del inte finna att den framförda kritikeneller utredningen i övrigt ger underiag för några genomgripande ändringar iparagrafen. De motiv som åberopades vid datalagens tillkomst till stöd förparagrafen har enligt min mening alltjäm.t bärkraft. På en punkt finns dock skäl att komplettera reglerna omersättning för skada som tillfogas genom att en personuppgift är oriktig. Jaghar tidigare (avsnitt 2.2) föreslagit atl reglerna i 8 § datalagen om rättelseändras bl.a. så alt rätlelseskyldigheten omfattar både orikliga och missvisandeuppgifter. Mot bakgrund härav skulle skadeståndsregeln i 23 § datalagen blihallande om skadestånd endast skulle utgå för skada som orsakats av att enuppgift är oriktig. Jag föreslår därför att regeln ändras sä, att denregisteransvarige skall ersätta skada som en registrerad tillfogats genom atlett personregister innehåller oriktig eller missvisande uppgift om den registrerade. Skadestånd vid brott mot dalalagen I 20 § datalagen finns regler om straff för överträdelserav vissa bestämmelser i datalagen. Enligl första stycket döms till böter ellerfängelse den som uppsåtligen eller av oaktsamhel 1. inrättar eller för personregister utan licens ellertillstånd enligt datala gen, när detta erfordras, 2. bryter mot föreskrift eller förbud som datainspektionenhar meddelat enligl 5,6 eller 18 §, 17 3. lämnar enpersonuppgift i strid mot ullämnandeförbudet i 11 §, Prop. 1986/87; 116 4. bryter molgallringsregeln i 12 §, 5. lämnar en osannuppgift vid fullgörande av skyldigheten atl lämna underrättelse enligl 10 §, 6. lämnar en osannuppgift i sådana fall som avses i 17 §. Enligt andra stycket döms till böter den som uppsåtligeneller av oaktsamhel bryter mot 7 a § första eller tredje stycket. En straffbestämmelse finns också i 21 § dalalagen. Därföreskrivs att den som olovligen bereder sig tillgång till en upptagning förautomatisk databehandling eller olovligen ändrar eller utplånar eller i ettregister för in en sådan upptagning skall dömas för dataintrång till bötereller fängelse i högst tvä är, om inle gärningen är belagd med straff ibrottsbalken. Med upptagning avses här sedan den (SFS 1986; 122)även uppgifter som är under befordran via elektroniskt eller annat liknandehjälpmedel för att användas vid automatisk dalabehandling.