prop · GH03217 · 1994-01-01 00:00:00 — Bestämmelsen behandlas i avsnitt 5. Ändringarna är av redaktionell natur. De syftar till att klargöra skillnaden att föreskrifter som meddelas i ett enskilt tillståndsärende inte är normer, dvs. sådana dataskyddsföreskrifter som beslutats med stöd av 19 . Samma tillägg av redaktionell natur som införts i 6 . Dessutom har en ändring skett som följd av att skyldigheten att inhämta yttrande från Datainspektionen enligt 2 a avskaffas. Ändringen är en följd av att skyldigheten att inhämta yttrande från Datainspektionen enligt 2 a avskaffas. Bestämmelsen behandlas i avsnitt 7. Någon möjlighet att meddela interimistiskt vitesföreläggande har inte införts. Frågor om utdömande av vitet prövas av Länsrätten i på ansökan av Datainspektionen. Av 4 lagen (1985:206) om viten framgår att vite kan föreläggas som löpande vite. Det innebär att vitet bestäms till ett visst belopp för varje tidsperiod av viss längd under vilken föreläggandet har överträtts. Vitet kan också bestämmas så att vitet skall betalas varje gång ett förbud eller någon liknande föreskrift överträds. Det nya tredje stycket medför att Datainspektionen får möjlighet att förena en föreskrift enligt paragrafen med vite. Ett vite behöver naturligvis inte alltid föreläggas. Särskilt gäller detta när en föreskrift meddelas första gången (jfr prop. 1974:42 s. 114). Även ett förbud mot fortsatt förande av personregister kan förenas med vite. Den nya bestämmelsen behandlas i avsnitt 5. I bestämmelsen ges en möjlighet för regeringen eller, efter regeringens bemyndigande, Datainspektionen att meddela föreskrifter för personregister som förs inom en viss verksamhet, bransch eller sektor.En förutsättning för delegation är att det är fråga om personregister som ofta förekommer inom ett visst område eller en viss verksamhet. En reglering av endast enstaka personregister bör därför inte förekomma. Föreskrifterna skall utformas så att de faller inom ramarna för datalagens regler. Föreskrifterna skall säkerställa att inte otillbörligt intrång i den personliga integriteten uppkommer i samband med den avsedda registreringen och behandlingen av personuppgifter. Vid utformandet av föreskrifterna är således utgångspunkten att det inte blir ett sämre integritetsskydd än vid tillståndsprövningen för enskilda register. De bestämmelser i datalagen som i första hand blir tillämpliga vid utformandet av föreskrifterna är 5 och 6 . Registrens ändamål måste således preciseras och avgränsas väl. Det måste också noggrant prövas i vilken mån regleringen skall innefatta sådana föreskrifter som räknas upp i 6 . Även andra bestämmelser i datalagen kan komma i fråga för en mer generell reglering som t.ex. undantag från skyldigheten att tillhandahålla registerutdrag enligt 10 och utlämnande av personuppgifter till utlandet enligt 11 . Däremot skall, som nämnts i avsnitt 5, föreskrifterna inte omfatta gallring av allmänna handlingar. Det är emellertid av vikt att Datainspektionen och de statliga arkivmyndigheterna kan samråda om gallringsfrågor i anslutning till Datainspektionens generella föreskrifter. Som regeringen redogjort för i den allmänna motiveringen utesluter inte det förhållandet att föreskrifter meddelats för en viss bransch, att det hos skilda registeransvariga inom branschen undantagsvis ändå finns behov av register som inte täcks av föreskrifterna. I sådana fall kvarstår möjligheten att söka tillstånd för registret. Det nya andra stycket ger uttryck för principen att inte ingripa med båda sanktionerna straff och vite när fråga är om samma gärning (jfr NJA 1982 s. 633 och RÅ 1992 ref. 25). Av skäl som angetts i avsnitt 8, innebär ändringen i första stycket att Datainspektionens beslut skall överklagas till allmän förvaltningsdomstol i stället för till regeringen. Med allmän förvaltningsdomstol avses länsrätt enligt i prop. 1993/94:133 föreslagen lydelse av 14 lagen (1971:289) om allmänna förvaltningsdomstolar.Eftersom instansordningen ändras bör inte Justitiekanslerns möjlighet att föra talan vara begränsad till överklagande av Datainspektionens beslut. För att klargöra att Justitiekanslern kan överklaga förvaltningsdomstolarnas beslut anges i paragrafen att Justitiekanslern får föra talan för att tillvarata allmänna intressen. Justitiekanslerns möjligheter att föra talan oberoende av prövningstillstånd framgår av regeringens förslag till ändringar i 34 a och 35 förvaltningsprocesslagen (1971:291). Ändringen i andra stycket är en följd av beslutade ändringar i sekre- tesslagen (prop. 1993/94:48, bet. 1993/94:KU13, rskr. 1993/94:46, SFS 1993:1298). Det nya tredje stycket innebär att varken överklaganden av beslut om förelägganden av viten eller mål om utdömande av viten kan föras vidare från länsrätt till kammarrätt, såvida inte prövningstillstånd meddelas. 10.2 Förslaget till lag om ändring i förvaltningsprocesslagen (1971:291) Den nya meningen i första stycket innebär att och Justitie- kanslern alltid kan föra talan mot länsrättens beslut utan prövningstillstånd. Ändringen är föranledd av att prövningstillstånd införs i ledet länsrätt-kammarrätt såvitt avser mål om vite. Några andra situationer där bestämmelsen blir tillämplig finns inte. Ett överklagande av Justitiekanslern av ett beslut av en kammarrätt enligt datalagen skall prövas av Regeringsrätten utan prövningstillstånd. En ändring av denna innebörd har gjorts i denna paragraf. Sammanfattning av betänkande En ny datalag (SOU 1993:10) har haft i uppdrag att göra en översyn av datalagen (1973:289) från såväl saklig som lagteknisk synpunkt. Den svenska datalagen var den första nationella lagstiftningen i sitt slag och väckte berättigad uppmärk- samhet vid sin tillkomst. har gått, vilket i dessa sammanhang är en mycket , utan att lagens grundläggande struktur har ändrats. Lagen får såväl innehållsmässigt som till sin tekniska utformning anses vara ganska föråldrad. Den nuvarande datalagen reglerar användningen av personregister. Med personregister förstås register, förteckning eller andra anteckningar som förs med hjälp av automatisk databehandling (ADB) och som innehåller personuppgift som kan hänföras till den som avses med uppgiften. Avgörande för frågan om datalagen över huvud taget är tillämplig på ett register är således huruvida registret förs med ADB eller inte. Register som förs med hjälp av annan teknik än ADB faller utanför datalagens tillämpningsområde. För varje register skall finnas en registeransvarig. Därmed förstås den för vars verksamhet personregistret förs, om han förfogar över registret. Såväl fysiska som juridiska personer och myndigheter kan vara registeransvariga. Med att förfoga över ett register avses närmast en befogenhet att överföra registrets innehåll till läsbar form. En registeransvarig måste också kunna påverka innehållet i registret genom att tillföra eller ändra de uppgifter som ingår i registret för att anses förfoga över det. Personregister får inrättas och föras endast av den som efter anmälan har fått licens av Datainspektionen. En sådan licens berättigar den registeransvarige att föra ett eller flera personregister. För vissa register, som bedöms innebära särskilda risker för otillbörligt intrång i enskilds personliga integritet, krävs utöver licens även ett särskilt tillstånd från Datainspektionen. Tillstånd behövs i regel för att inrätta och föra ett personregister som innehåller 1) känsliga personuppgifter, 2) omdömen om den registrerade, 3) uppgifter om personer som saknar sådan anknytning till den registeransvarige som följer av medlemskap, anställning, kundförhållande eller något därmed jämförligt förhållande samt 4) personuppgifter som inhämtats från något annat personregister (s.k. samkörning). En grundläggande förutsättning för att Datainspektionen skall kunna ge tillstånd att inrätta och föra personregister är att det inte finns anledning att anta att registreringen medför otillbörligt intrång i de registrerades personliga integritet. Finns det anledning anta att personuppgifter skall användas för ADB i utlandet, får uppgifterna lämnas ut endast efter medgivande av Datainspektionen. Sådant medgivande får lämnas endast om det kan antas att utlämnandet av uppgifterna inte kommer att medföra otillbörligt intrång i personlig integritet. Något medgivande behövs dock inte, om personuppgifter skall användas för ADB enbart i en stat som har anslutit sig till konvention om skydd för enskilda vid ADB-behandling av personuppgifter. I datalagen finns allmänna bestämmelser om gallring av personuppgifter. Datainspektionen utövar tillsyn över att automatisk databehandling inte medför otillbörligt intrång i registrerads personliga integritet. Har förande av personregister medfört eller kan antas medföra otillbörligt intrång i personlig integritet kan Datainspektionen meddela villkor eller, om rättelse inte på annat sätt kan åstadkommas, förbjuda fortsatt förande av personregister eller återkalla meddelat tillstånd. Datainspektionens beslut får överklagas hos regeringen genom besvär. Enligt förslag skall datalagen även i fortsättningen bara reglera sådan informationshantering som sker med hjälp av ADB. Liksom skall lagen gälla både för den privata och offentliga sektorn. I övrigt innebär den föreslagna lagen mycket betydande förändringar i förhållande till vad som gäller . De viktigaste förändringarna och nyheterna är följande. * Personregisterbegreppet, som har gett upphov till en hel del tolknings- problem, slopas. Den nya datalagen blir tillämplig på behandling av perso- nuppgifter. Med behandling förstås varje åtgärd som vidtas med perso- nuppgifter genom ADB. Vissa undantag görs från huvudregeln, bl.a. tas ordbehandling och behandling som sker uteslutande för personligt bruk undan från lagens tillämpningsområde. * Det blir lättare att avgöra vem som är registeransvarig, persondataansvarig enligt utredningens terminologi, i system som används av flera. Endast den är persondataansvarig som bestämmer ändamålet med behandlingen, vilka personupp- gifter som skall behandlas och hur de skall behandlas. * Systemet med licens och tillstånd avskaffas. Trots olika försök att rationalisera tillståndshanteringen och begränsa antalet tillståndsärenden är arbetet med dessa ärenden så omfattande att Datainspektionen i stort sett inte hinner ägna sig åt några inspektioner ute på fältet. Den uteblivna tillsynen medför en bristande respekt för datalagens regler. Det kan t.ex. nämnas att det f.n. finns omkring 50 000 meddelade licenser. Enligt ut- redningens beräkningar hade antalet bort vara mellan 500 000 och 1 milj. * De resurser som frigörs genom att systemet med licens och tillstånd avskaffas skall användas för en intensifierad tillsyn, särskilt inspektioner ute på fältet. En sådan tillsyn är enligt utredningens uppfattning det bästa sättet att upprätthålla ett gott integritetsskydd. * En förutsättning för att man skall kunna övergå till ett renodlat till- synsförfarande är att datalagen ger en så utförlig reglering som möjligt av de förutsättningar som gäller för ADB-hantering av personuppgifter. Det nuva- rande begreppet otillbörligt intrång i personlig integritet, som aldrig har kunnat ges ett någorlunda preciserat innehåll, avskaffas. I stället införs regler för de olika momenten i informationsbehandlingen. I den nya datalagen finns bestämmelser om bl.a. den nödvändiga anknytningen till ett ändamål, förutsättningarna för behandling av personuppgifter, vilka personuppgifter som får behandlas, formen för samtycke från den enskilde, säkerhet och gallring. * Regleringen i den nya datalagen skall kunna kompletteras med bestämmelser som utfärdas av Datainspektionen och som avser olika branscher eller sektorer. * Ett system med anmälningsskyldighet för vissa persondataansvariga införs. En anmälan skall göras till Datainspektionen när vissa känsliga uppgifter behandlas med ADB. Anmälningarna skall ligga till grund för Datainspektionens tillsyn. Anmälningsförfarandet blir betydligt enklare och riktar sig mot betydligt färre persondataansvariga än det nuvarande tillståndssystemet. * Liksom skall personuppgifter få ADB-behandlas bara för bestämda ändamål. Ändamålet skall dock enligt utredningens förslag anges med större precision än enligt nuvarande datalag. Möjligheterna begränsas att använda personuppgifter som samlats in för ett ändamål för andra ändamål. * I den föreslagna lagen anges i sex olika punkter de alternativa grunder som ger rätt att ADB-behandla personuppgifter. En av grunderna är samtycke från dem som berörs av behandlingen. * När den enskildes samtycke behövs för en viss ADB-behandling skall det vara ett uttryckligt samtycke. Passivitet eller s.k. konkludent handlande kommer inte att vara tillräckligt. * För känsliga personuppgifter, t.ex. politisk uppfattning, sjukdom, hälsotill- stånd eller olika slags omdömen, kommer särskilda regler att gälla. Enligt dessa bestämmelser får de känsliga uppgifterna ADB-behandlas bara om, när samtycke inte föreligger, det finns särskilt stöd i författning för be- handlingen. Det kommer att behövas åtskilliga sådana författningar, särskilt på den offentliga sidan. * I några paragrafer i den föreslagna datalagen ges sådant särskilt för- fattningsstöd i fråga om behandling av känsliga uppgifter på forskningsom- rådet och hos arbetsgivare. Dessa bestämmelser anger alltså de förutsättningar som måste föreligga för att känsliga uppgifter, utan samtycke från de berörda enskilda, skall få ADB-behandlas för forskningsändamål och i förhållandet mellan arbetsgivare samt arbetstagare och arbetssökande. På forskningsområdet avses bestämmelserna tillgodose den viktiga register- forskningen. * En uttrycklig regel om förbud för den persondataansvarige att ADB-behandla personuppgifter för direktreklamändamål i strid med den enskildes önskan tas in i datalagen. * Särskilda regler införs i datalagen som klargör hur de intressen som följer av tryckfrihetsförordningen och yttrandefrihetsgrundlagen skall avvägas mot integritetsintressena. * Vid gallring av personuppgifter som utgör allmän handling hos myndigheter kan integritetsintressena komma i konflikt med intresset att bevara uppgifterna, t.ex. för framtida användning inom forskningen. En särskild bestämmelse i utredningens förslag till datalag anger hur den avvägningen skall ske. * Bestämmelserna i den gällande datalagen om överföring av personuppgifter till utlandet för ADB-behandling av uppgifterna där har berörts i det föregående. Enligt utredningens förslag skall överföring utan särskilt medgivande kunna ske till en stat som visserligen inte har anslutit sig till konvention men som har ett integritetsskydd som motsvarar det som följer av konventionens regler. Den nya bestämmelsen bör få ganska stor praktisk be- tydelse. * Datainspektionens beslut skall i fortsättningen överklagas till domstol, inte som till regeringen. antog ett förslag till direktiv om skydd för enskilda vid behandling av personuppgifter och om det fria flödet av sådana uppgifter. Sedan förslaget behandlats i och har antagit ett nytt förslag till direktiv. Detta förslag har förelagts och enligt tidsplanen skall Rådet ta slutlig ställning till det nya förslaget . Åtskillig diskussion om hur integritetsskyddet skall vara utformat har förekommit i anslutning till det tidigare utkastet till direktiv från Kommissio- nen och EG-parlamentets behandling av detta utkast. förekommer inom EG, såvitt man kan bedöma, oenighet om hur ett framtida direktiv skall vara utformat. Detta har bl.a. lett till att tidsplanen för antagandet av direktivet har förskjutits. Enligt företrädare för Kommissionen kommer troligen inte att kunna ta slutlig ställning till förslaget . I den debatt som förts efter det Kommissionen presenterade sitt reviderade förslag har vissa bl.a. pekat på den s.k. subsidiari- tetsprincipen. Vidare kan nämnas att vid i den 11 - har Kommissionen förklarat att den avser att revidera ett antal förslag i syfte att göra dem mindre detaljerade. i ljuset av att samtliga medlemsländer snart kommer att ha nationella dataskyddslagar och anslutit sig till dataskyddskonvention har det från vissa håll ifrågasatts om behovet av att anta direktivförslaget kommer att kvarstå. Redovisningen i det följande bygger på det nuvarande direktivförslagets lydelse. Direktiv som beslutas av behöriga EG-organ är bindande i fråga om det resultat som skall uppnås men överlämnar åt medlemsländerna att välja form och metod för detta. I förslaget till EG-direktiv har man beaktat den utveckling på data-skyddsom- rådet som har skett och förslaget bygger på de integritetsskyddslagar och den internationella reglering som har kommit fram . I förhållande till den svenska datalagen innefattar direktivförslaget i en hel del hänseenden en önskvärd skärpning av reglerna för integritetsskyddet. Av dessa och andra skäl, särskilt det intensifierade europeiska samarbetet, har utredningen eftersträvat att få i huvudsak samma regler för integritetsskyddet som de som kan komma att gälla inom EG. Utredningens förslag till materiella regler för dataskyddet ligger också nära motsvarande bestämmelser i direktivför- slaget. Det gäller bl.a. sådana frågor som ändamålsanknytning och byte av ändamål, förutsättningar för behandling av personuppgifter, hur samtycke från den enskilde skall lämnas, vilka personuppgifter som får behandlas, säkerhet, gallring och regleringen av känsliga personuppgifter. Vissa avvikelser förekommer emellertid i förhållande till förslaget till EG-direktiv. Som har nämnts i det föregående skall datalagen i motsats till vad som gäller enligt direktivförslaget även i fortsättningen bara reglera sådan informationshantering som sker med hjälp av ADB. Såvitt utredningen känner till är nämligen varken omfattningen av eller innehållet i den registre- ringen av någon betydenhet och innebär inte några mera påtagliga in- tegritetsrisker. Vidare berör en del föreskrifter i direktivförslaget den svenska offentlighetsprincipen. De bestämmelser i förslaget till EG-direktiv som reglerar utlämnande av personuppgifter tillåter enligt utredningen inte något utlämnande enligt offentlighetsprincipen. Ett utlämnande av personuppgifter med stöd av offentlighetsprincipen kan heller inte anses förenlig med det sätt på vilket ändamålet för en viss ADB-behandling skall anges enligt direktivför- slaget. Förslaget till EG-direktiv påverkar vidare principen i tryckfrihets- förordningen att en sökande som begär att få ut en handling har rätt att vara anonym. Slutligen innehåller inte direktivförslaget något undantag från huvud- regeln om gallring som gör det möjligt att bevara personuppgifter med hänsyn till offentlighetsprincipen. I de hänseenden som har nämnts innebär utredningens lagförslag avvikelser från det föreslagna EG-direktivet för att offentlighetsprincipen skall lämnas orörd. Avvikelser i förhållande till förslaget till EG-direktiv förekommer också när det gäller information till den enskilde och underrättelser till dataskyddsmyn- digheten. Kraven på information till den enskilde är långtgående. Enligt direktivför- slaget skall den enskilde ha rätt att på begäran bli informerad om förekomsten av en viss ADB-behandling och om olika uppgifter som hänför sig till ADB-behandlingen. När en persondataansvarig lämnar ut personuppgifter skall vidare den enskilde vars personuppgifter det är fråga om i princip underrättas om utlämnandet. Tanken bakom dessa bestämmelser i direktivförslaget är att den enskilde skall bli medveten om att personuppgifter som rör honom ADB-behandlas och kunna göra sina rättigheter enligt dataskyddslagstiftningen gällande. Ett iakttagande av bestämmelserna skulle emellertid innebära en betungande in- formationsskyldighet för de persondataansvariga och en ganska betydande byråkratisering av kontrollsystemet. Utredningen har kommit till den slutsatsen att de skäl som från integritets- synpunkt talar för den angivna ordningen inte är tillräckligt starka för att väga över den byråkrati som skulle bli följden. Utredningen har då också beaktat att det finns goda möjligheter till insyn genom andra regler i den föreslagna datalagen och i sekretesslagen. Liksom kommer den enskilde att få möjlighet att kontrollera om uppgifter som hänför sig till honom är föremål för ADB-behandling och, om så är fallet, att kontrollera om uppgifterna är riktiga, fullständiga och aktuella. Information om vilka känsliga personuppgifter som ADB-behandlas kan man vidare få hos Datainspektionen. Den persondataansvarige skall nämligen, innan han får börja att behandla sådana personuppgifter, göra en anmälan till Datainspektionen om ADB-behandlingen. Slutligen finns i sekretesslagen särskilda regler om dokumentationsskyldighet beträffande datasam- lingar som en myndighet har tillgång till. Reglerna syftar till att tillgodose allmänhetens intresse av överblick över och orientering i det ADB-material som finns hos myndigheterna. När det gäller underrättelser till dataskyddsmyndigheten är utgångspunkten i förslaget till EG-direktiv att all ADB-behandling skall anmälas. Vad som får tas undan från anmälningsskyldigheten är vissa slag av behandling som inte menligt påverkar de enskildas integritet. Åtgärder för att göra undantag från anmälningsskyldigheten förutsätter dataskyddsmyndighetens medverkan. Utredningen konstaterar att, även om många undantag görs från huvudregeln om anmälningsskyldighet, det finns en betydande risk för att ett mycket stort antal datasamlingar måste anmälas till dataskyddsmyndigheten, bl.a. beroende på den höga takten i datoriseringen här i landet. Antalet kan bli så stort att den överblick över den integritetskänsliga databehandlingen som dataskyddsmyndigheten bör ha helt går förlorad. De åtgärder som behövs för att göra undantag från anmälningsskyldigheten kommer vidare att innebära en betydande belastning på dataskyddsmyndigheten. Utredningen har samman- fattningsvis kommit till den slutsatsen att det sätt på vilket avgränsningen av anmälningsskyldigheten har gjorts och det förfarande för att göra undantag från anmälningsskyldigheten som anges i direktivförslaget är förenade med så betydande olägenheter att någon harmonisering med förslaget till EG-direktiv inte bör ske i denna del. I stället har i den nya datalagen anmälningsskyldig- heten avgränsats på samma sätt som tillståndsplikten enligt den gällande datalagen, dvs. det anges uttryckligen i lagen vilken behandling som måste anmälas till Datainspektionen. Anmälningsskyldigheten har begränsats till att avse ADB-behandling av i sig känsliga personuppgifter. Även i övrigt görs i olika frågor avvikelser från direktivförslaget. Den nya datalagen är avsedd att träda i kraft . Förteckning över remissinstanser som yttrat sig över förslag Remissyttranden över betänkandet har avgetts av ombudsmän, , över och , Kammar-rätten i , Kammarrätten i , Länsrätten i , , Riksåklagaren, , , Datainspektionen, Överbefälhavaren, , , , , , , , Statskontoret, Statens person- och adressregisternämnd (), , , , , , , , , , , , , , , , , , , Skogs- och jordbrukets forskningsråd, Arbetarskyddsstyrelsen, , Arbetsmiljöfonden, Arbetslivscentrum, , , , , , , , , , , i län, Stiftelsen , , , , , , , , Tjänstemännens Cen- tralorganisation , Akademikers Centralorganisation , i , Tidningarnas Telegrambyrå, , , , i , , Företagens Uppgiftslämnardelegation, (numera ), Medborgarrättsrörelsen i , , , , , , , arkivverksamma i landsting och kommun, , Statens löne- och pensionsverk, , , , Kungl. Vitterhets Historie och Antikvitets , , , , Läkemedelsindustrins branschorganisationer och industrier samt AB Bonnierföretagen. och har avgett ett gemensamt yttrande. Detsamma gäller och Föreningen . Även , , , , , , , och har avgett ett gemensamt yttrande. Riksåklagaren har överlämnat yttranden från överåklagaren vid Åkla- garmyndigheten i samt överåklagarna vid Regionåklagarmyndigheterna i , och . har bifogat yttranden från polismyndigheterna i , och . har till sitt yttrande bifogat ett utlåtande från Skatte- myndigheten i .