bet · GL01KU18 · 1998-03-26 00:00:00 — Regeringen anser att den reglering somden föreslagna bestämmelsen innehåller dock är den enklaste och smidigaste.Regleringen ger enligt regeringen den som så önskar en möjlighet att undvikabehandling för ändamål som rör direkt marknadsföring och hindrar inte helleratt det på privat initiativ inrättas ett nationellt reservationsregister tillvilket enskilda kan anmäla att de inte önskar bli utsatta för direktmarknadsföring generellt eller bara i vissa fall.När det gäller rätten att motsätta sig behandling av personuppgifterkonstaterar regeringen att det enligt den nuvarande datalagen inte finns någongenerell rätt för den registrerade att motsätta sig en behandling som ärlaglig. Regeringen anför att på grund av utformningen av artikel 14 i EG-direktivet måste det i lagstiftningen slås fast i vilken utsträckning denregistrerade generellt har rätt att motsätta sig behandling av personuppgifter.Datalagskommittén har föreslagit att den registrerade, i de fall därbehandlingen bara är tillåten om den registrerade har lämnat sitt samtycke,skall ha rätt att när som helst återkalla ett lämnat samtycke med den verkanatt ytterligare uppgifter om den registrerade därefter inte får behandlas.Återkallelsen påverkar således inte behandlingen av de uppgifter som redan harhunnit samlas in med stöd av samtycket. Därutöver skall den registrerade,enligt kommitténs förslag, inte ha någon rätt att motsätta sig en behandlingsom är tillåten enligt den nya lagen. Regeringen påpekar att Datalagskommitténsförslag har lämnats utan invändningar av remissinstanserna. Regeringen anseratt förslaget bör genomföras. Därvid framhåller regeringen att huvudregeln omatt den registrerade inte har rätt att motsätta sig en enligt lagen tillåtenbehandling motsvarar vad som gäller . Regleringen av det fallet att ettlämnat samtycke återkallas innebär enligt regeringen en lämplig avvägningmellan den registrerades och den personuppgiftsansvariges intressen. Regeringenanför att regleringen innebär att den registrerades självbestämmanderättbeträffande vilka uppgifter som får samlas in respekteras som denperson-uppgiftsansvariges befogade anspråk på att få behandla färdigt deuppgifter som han eller hon har kommit över med stöd av ett frivilligt samtyckekan tillgodoses.MotionenI motion 1997/98:K13 av m.fl. (m) anförs att uppgifter om enskildamedborgare som hämtas ur de allmänna och offentliga registren säljsav myndigheterna själva. Enligt motionärena intar statens person- ochadressregister (SPAR) en särställning. Motionärerna påpekar att den som fårtillstånd att köpa uppgifter av SPAR kan skapa profiler om i princip allabosatta i . Ju fler personuppgifter som finns tillgängliga, destotydligare blir profilerna. Ett bevis på detta är de direktreklam-försändelsersom medborgarna får. Kommersialiseringen av offentliga uppgifter är enligtmotionärerna ett allvarligt integritetsproblem. Motionärerna anför att en sådanbehandling också strider mot grundtanken i EG-direktivet, som säger attbehandling av personuppgifter skall ske efter på förhand bestämda ändamål. Motbakgrund av EG-direktivets syfte är det enligt Moderata samlingspartietsuppfattning inte förenligt med direktivet att låta SPAR finnas kvar. Regeringenbör därför skyndsamt ta de initiativ som behövs för att avveckla SPAR (yrkande8).Reglering av det statliga person- och adressregistretGällande bestämmelserAv 26 § datalagen framgår att uppgifterna i det statliga person- ochadressregistret (SPAR) används för1. aktualisering, komplettering och kontroll av uppgifter i andrapersonregister,2. komplettering och kontroll av personuppgifter i övrigt,3. uttag av urval av personuppgifter (urvalsdragning).Vidare anges att SPAR får användas av myndigheter och enskilda.I 27 § anges att uppgifterna i SPAR hämtas från aviseringsregistret enligtlagen (1995:743) om aviseringsregister samt de statliga personregister somanvänds för inkomst- och fastighetstaxering. Till dessa uppgifter får fogasanteckning om att en enskild person inte önskar adresserad direktreklam.Enligt 28 § skall den som begär att få uppgift ur en myndighets personregisterför ett sådant ändamål som avses i 26 § andra stycket 1 och 3 och som kantillgodoses genom SPAR eller aviseringsregistret hänvisas till dessa register.Därutöver anges att föreskrifterna i denna paragraf inte inskränkermyndigheternas skyldigheter enligt reglerna om allmänna handlingarsoffentlighet i tryckfrihetsförordningen.Proposition 1997/98:136 Statlig förvaltning i medborgarnas tjänstRegeringen har lagt fram propositionen 1997/98:136 i medborgarnas tjänst i vilken föreslås en särskild lagreglering avdet statliga person- och adressregistret (SPAR). Anledningen till detta är attdatalagen, som innehåller den nuvarande lagregleringen av SPAR, föreslås bliupphävd och ersatt av personuppgiftslagen.Enligt regeringens förslag skall SPAR finnas kvar tills vidare i avvaktan påen anpassning av 2 kap. tryckfrihetsförordningen till moderninformationsteknik. De ändringar som föreslås är enligt regeringen påkalladeav en direkt anpassning till personuppgiftslagen. Ändringarna innebär en vissbegränsning i nuvarande användningsmöjligheter, bl.a. när det gällerurvalsdragningar.Den nya lagen om SPAR föreslås träda i kraft medpersonuppgiftslagen, dvs. den 24 oktober 1998.Förslaget innehåller också en ändring i lagen (1995:743) omaviseringsregister, som föreslås träda i kraft den 1 juli 1998.Utskottets bedömningUtskottet tillstyrker regeringens förslag om att personuppgifter inte fårbehandlas för ändamål som rör direkt marknadsföring, om den registrerade hosden personuppgiftsansvarige skriftligen har anmält att han eller hon motsättersig sådan behandling. Även när det gäller den registrerades möjligheter iövrigt att motsätta sig behandling av personuppgifter godtar utskottetregeringens förslag.När det gäller SPAR konstaterar utskottet att regeringen har lagtfram ett förslag om en ny, särskild lagreglering av registret som skall träda ikraft . Förslaget innebär bl.a. att uppgifter i registretefter nämnda datum skall behandlas i enlighet med registrets nya och, iförhållande till nuvarande reglering, mer begränsade ändamål. Regleringen avSPAR behandlas dock inte i den nu aktuella propositionen. kommer inomkort att få ta ställning till förslaget om en särskild lagreglering av SPAR.Enligt utskottets mening bör därför inte nu ta ställning till vad sombegärs i motion 1997/98:K13 yrkande 8. Motionen avstyrks.Behandling av personnummerEG-direktivetEnligt artikel 8.7 skall medlemsstaterna bestämma på vilka villkor ettnationellt identifikationsnummer eller något annat vedertaget sätt föridentifiering får behandlas.PropositionenRegeringen föreslår att reglerna om användning av personnummer i den nuvarandedatalagen i princip oförändrade förs över till den nya lagen. Förslaget innebäratt uppgifter om personnummer får behandlas utan samtycke bara när det är klartmotiverat med hänsyn till ändamålet med behandlingen, vikten av säkeridentifiering eller något annat beaktansvärt skäl (22 §).I skälen för sitt förslag konstaterar regeringen att det av EG-direktivetföljer att det i måste finnas en reglering av användningen avpersonnummer. Regeringen konstaterar vidare att frågan om användningen avpersonnummer har utretts. överlämnade våren1994 betänkandet Personnummer - integritet och effektivitet (SOU 1994:63) medförslag till lagstiftning om personnummer. Den tillträdda socialdemokratiskaregeringen anförde i budgetpropositionen för /96 att det intevar aktuellt att införa någon förändrad lagstiftning om användningen avpersonnummer (prop. 1994/95:100 bil. 3 s. 14). Regeringen finner inteanledning att nu göra något annat ställningstagande. De bestämmelser omanvändningen av personnummer som redan finns i den nuvarande datalagen börenligt regeringen således i sak oförändrade föras över till den nya lagen.Regeringen påpekar att lagrådsremissens lagtextsförslag har kompletterats i detavseendet att personnummer får behandlas om någon ger sitt samtycke. Vidareanför regeringen att den omständigheten att den uttryckliga regeln i datalagenom återgivande av personnummer på datautskrifter inte har förts över inteinnebär någon ändring i sak. Redan den överförda huvudregeln innebär enligtregeringen nämligen att en uppgift om personnummer får behandlas t.ex. genomatt fästas på en utskrift eller visas upp på en datorskärm bara när denbehandlingen är klart motiverad. Att ha en särskild reglering med annatrekvisit - särskilda skäl - om just den behandling själva återgivandet utgör,skulle enligt regeringens uppfattning vara att grumla regleringen.MotionenI en motion från allmänna motionstiden , motion 1996/97:K411 av MajléneWesterlund Panke (s), konstateras att användandet av personnummer iregistersammanhang är begränsat genom nuvarande lagstiftning. Motionären anföratt koncentrationen på begränsning av person-nummeranvändningen som ett medelatt öka integritetsskyddet i vissa fall i stället kan öka riskerna för att enpersons integritet kan kränkas. Handläggare och andra måste enligt motionärenvara säkra på att de uppgifter som används verkligen gäller rätt person. Somexempel nämner motionären att om personnummeranvändningen hos enregisteransvarig förbjuds i syfte att försvåra viss samkörning av register,finns det ändå möjlighet att samköra på andra personuppgifter. Samkörningenblir då inte så exakt och kan leda till sammanblandningar och felaktigheter.Personnummer skulle enligt motionären kunna utgöra en viktig del av detpersonliga integritetsskyddet genom att det ger en säker identifieringinnebärande att sammanblandningar och felaktigheter kan undvikas. Motionärenanför att lagstiftningen därför bör koncentreras på persondatabehandlingen isig. Om denna bedöms som nödvändig och väsentlig måste personnummer kunnaanvändas för att ge en säkrare persondatahantering. Regeringen bör därför seöver bestämmelserna vad gäller användandet av personnummer för att lätta på derestriktioner som finns för sådant användande. Detta bör ges regeringentill känna.Utskottets bedömningUtskottet konstaterar att det av artikel 8.7 i EG-direktivet följer att det iSverige måste finnas en reglering av användningen av personnummer. Liksomregeringen anser utskottet att det inte finns anledning att nu införa någonförändrad lagstiftning när det gäller denna fråga. Utskottet godtar därförregeringens förslag att den nuvarande datalagens bestämmelser om användning avpersonnummer i sak oförändrade förs över till den nya lagen. I enlighet meddetta avstyrker utskottet motion 1996/97:K411.Säkerheten vid behandlingenEG-direktivetEnligt artikel 16 får den som utför arbete under den registeransvarige ellerregisterföraren, liksom registerföraren själv, och som får tillgång tillperson-uppgifter, behandla dem endast enligt instruktion från denregisteransvarige, om han inte är skyldig att göra det enligt lag.I artikel 17 finns bestämmelser om säkerhet vid behandling. I artikel 17.1anges allmänt hållna regler om de säkerhetsåtgärder som skall vidtas. Reglernainnebär i korthet följande. Den personuppgiftsansvarige skall vidta lämpligatekniska och organisatoriska åtgärder för att skydda de personuppgifter sombehandlas. Dessa åtgärder skall åstadkomma en säkerhetsnivå som är lämplig medbeaktande av de tekniska möjligheter som finns, vad det skulle kosta attgenomföra åtgärderna, de särskilda risker som finns med behandlingen avpersonuppgifterna och hur pass känsliga de behandlade personuppgifterna är.Artikel 17.2-4 innehåller bestämmelser i fråga om säkerhet för den situationenatt den personuppgiftsansvarige anlitar ett personuppgiftsbiträde.Bestämmelserna innebär i korthet följande. När den personuppgiftsansvarigeanlitar ett personuppgiftsbiträde, skall den personuppgiftsansvarige förvissasig om att personuppgiftsbiträdet kan genomföra de säkerhetsåtgärder som måstevidtas och se till att personuppgiftsbiträdet verkligen vidtar åtgärderna. Detskall vidare finnas ett skriftligt avtal om personuppgiftsbiträdets behandlingav personuppgifter för den personuppgiftsansvariges räkning. I det avtaletskall det särskilt föreskrivas dels att personuppgiftsbiträdet får behandlapersonuppgifterna bara i enlighet med instruktioner från den person-uppgiftsansvarige, dels att personuppgiftsbiträdet är skyldigt att vidta desäkerhetsåtgärder som den personuppgiftsansvarige är skyldig att vidta.PropositionenRegeringen föreslår (30 §) att den som arbetar med personuppgifter bara fårbehandla dessa i enlighet med instruktionen från den personuppgiftsansvarige.Om det i lag eller annan författning finns särskilda bestämmelser ombehandlingen av personuppgifter i det allmännas verksamhet i sådana frågor,skall dessa gälla.Enligt förslaget skall vidare gälla att när den personuppgiftsansvarigeanlitar ett personuppgiftsbiträde för att utföra behandling av personuppgifter,skall det finnas ett skriftligt avtal som särskilt reglerar säkerhetsfrågorna.Den personuppgiftsansvarige skall också vara skyldig att se till att person-uppgiftsbiträdet verkligen vidtar nödvändiga säkerhetsåtgärder.Därutöver föreslår regeringen att den personuppgiftsansvarige skall varaskyldig att vidta tekniska och orgnisatoriska åtgärder för att skydda person-uppgifterna. Åtgärderna skall åstadkomma en lämplig säkerhetsnivå (31 §).Genom en uttrycklig bestämmelse föreslås tillsynsmyndigheten i enskilda fallfå besluta om vilka säkerhetsåtgärder som den personuppgiftsansvarige skallvidta enligt 31 §.När det gäller åtgärder för att uppnå en lämplig säkerhetsnivå anför regeringeni skälen för sitt förslag att regeln i EG-direktivet om att den person-uppgiftsansvarige skall vidta lämpliga, tekniska och organisatoriska åtgärderför att skydda de personuppgifter som behandlas förs över till den nya lagen,jämte uppräkningen i direktivet av de faktorer som därvid skall beaktas. Enligtregeringens mening beskriver dessa allmänt hållna regler på ett kortfattat ochbra sätt de överväganden som måste göras i fråga om säkerhetsåtgärder.Regeringen påpekar att reglerna dock som regel inte ger tillräcklig vägledningför den personuppgiftsansvarige för att avgöra vilka säkerhetsåtgärder som börvidtas i det enskilda fallet för att nå upp till en lämplig säkerhetsnivå.Avsikten är att regeringen eller den myndighet som regeringen bestämmer skallmeddela de närmare föreskrifter om säkerhetsåtgärder som behövs.Tillsynsmyndigheten bör också enligt regeringen i rimlig utsträckning lämnaråd i säkerhetsfrågor.Regeringen anför vidare att säkerhetsbrister i princip är oacceptabla, ochatt det är viktigt att tillsynsmyndigheten har tydliga befogenheter just närdet gäller säkerheten. Regeringen har därför valt att ta med en uttryckligbestämmelse i den nya lagen om att tillsynsmyndigheten får meddela beslut omsäkerhetsåtgärder i enskilda fall. Genom ett beslut i det enskilda fallet fården personuppgiftsansvarige preciserat exakt vilka åtgärder han eller hon måstevidta för att uppfylla säkerhetskraven. Regeringen påpekar att bestämmelser omsäkerhetsåtgärder även kan finnas i annan lagstiftning, t.ex. i arkivlagen(1990:782) med anknytande författningar. Den personuppgiftsansvarige måstesåledes uppfylla alla de regler om säkerhetsåtgärder som kan ha meddelats förhans eller hennes verksamhet.MotionenI motion 1997/98:T911 av () från allmänna motionstiden anförsatt EG-direktivet om skydd för personuppifter kräver att persondata skallskyddas även mot icke-auktoriserad access. Det skall alltså inte gå att läsa urdatabasen vilken kontoinnehavare som har vilket bankkonto eller vilken patientsom har vilken sjukjournal om inte användaren är auktoriserad. Om en icke-auktoriserad person får tillgång till databasen skall denne enligt motionäreninte kunna se sambandet mellan person och uppgifter. Motionären framhåller attEU kräver att persondata skall skyddas mot all form av illegal databehandling.Enligt motionären kräver detta att persondata lagras krypterat eller på annatsätt görs otillgängliga för alla utom den auktoriserade användaren. Motionärenanför att detta sannolikt innebär att de flesta svenska personregister blirolagliga då EG-direktivet träder i kraft. Detta är ett problem som kräver snarlösning. Vad som anförts i motionen bör ges regeringen till känna (yrkande 4).Utskottets bedömningRegeringen föreslår att det i den nya lagen införs bestämmelser som syftar tillatt uppnå en tillfredsställande säkerhetsnivå vid behandlingen av person-uppgifter. Bland annat föreslår regeringen att den personuppgiftsansvarigeskall vara skyldig att vidta lämpliga tekniska och organisatoriska åtgärder föratt skydda de personuppgifter som behandlas. Åtgärderna skall åstadkomma enlämplig säkerhetsnivå. Härvid skall beaktas de tekniska möjligheter som finns,vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finnsmed behandlingen av uppgifterna och hur pass känsliga de behandladepersonuppgifterna är. I propositionen anges att avsikten är att regeringeneller den myndighet som regeringen bestämmer skall meddela de närmareföreskrifter om säkerhetsåtgärder som behövs. Regeringen anser vidare atttillsynsmyndigheten bör bistå med råd i säkerhetsfrågor. Tillsynsmyndighetenföreslås därutöver genom en uttrycklig bestämmelse i den nya lagen få möjlighetatt i enskilda fall besluta om vilka säkerhetsåtgärder som denpersonuppgiftsansvarige skall vidta för att uppfylla säkerhetskraven. Utskottettillstyrker regeringens förslag när det gäller säkerheten vid behandlingen avpersonuppgifter. Enligt utskottets mening torde vad som efterfrågas i motion1997/98:T911 yrkande 4 tillgodoses genom den föreslagna ordningen. Motionenavstyrks därför.Ikraftträdande- och övergångsbestämmelserPropositionenRegeringen föreslår att den nya lagen träder i kraft . Förbehandlingar som påbörjats då börjar dock den nya lagen enligt regeringensförslag att tillämpas först . Detsamma gäller en behandlingsom utförs för ett visst bestämt ändamål där behandling för ändamålet påbörjatsvid ikraftträdandet. Regeringen föreslår vidare att vissa bestämmelser i dennya lagen emellertid inte tillämpas på påbörjad behandling avpersonuppgifter förrän . Dessa bestämmelser tillämpas inteheller på pågående lagring av personuppgifter för historisk forskning förränuppgifterna börjar behandlas på något annat sätt.Därutöver föreslår regeringen att ändringen i regeringsformen, som innebäratt det blir möjligt för att delegera rätten att meddela föreskrifterom behandling av personuppgifter, skall träda i kraft den 1 januari1999. bör delegationsbestämmelserna i den nya lagen ändras i enlighetmed detta.I skälen för sitt förslag konstaterar regeringen att de bestämmelser i svensklagstiftning som genomför EG-direktivet måste finnas senast den 24 oktober1998. Någon möjlighet att senarelägga genomförandet av bestämmelserna finnsinte enligt direktivet. Däremot är det möjligt att för vissa behandlingarfördröja tillämpningen av alla eller vissa av dessa bestämmelser.Regeringen anför vidare att de möjligheter att för vissa behandlingarfördröja ikraftträdandet av den nya lagen som EG-direktivet medger börutnyttjas genom övergångsbestämmelser.MotionenI motion 1997/98:K17 av m.fl. (fp) påpekas att enligt 35 § iden nya lagen kan regeringen eller den myndighet som regeringen bestämmer ivissa fall medge undantag från förbudet i 33 § om överföring av uppgifter tilltredje land. Om många väljer att söka efterleva lagen kan detta enligtmotionärerna bli besvärande och resurskrävande för Datainspektionen. Det kanbli fråga om en stor mängd enskilda bedömningsärenden som t.ex. rör användningav vanlig e-post. Motionärerna påpekar att en treårig övergångs-period, då tvåolika lagar skall tillämpas, är en för både medborgare och Datainspektionenlång och krävande tid. Enligt motionärerna bör räcka. bördärför besluta att den nya lagen tillämpas i stället (yrkande 6).Utskottets bedömningUtskottet delar regeringens uppfattning att de möjligheter som EG-direktivetmedger när det gäller att för vissa behandlingar av personuppgifter dröja medikraftträdandet av den nya lagen bör utnyttjas. Härvid bör framhållas att underövergångsperioden skall en anpassning av befintliga registerförfattningar hinnagenomföras och en översyn göras av vilka särregler som bör gälla i förhållandetill den nya lagen. Utskottet avstyrker därför motion 1997/98:K17 yrkande 6.Övriga lagförslagPersonuppgiftslagenPropositionenRegeringens förslag till personuppgiftslag har i det föregående redovisats ochbehandlats i vissa delar. Utöver vad som där framkommit redovisar regeringen ipropositionen sitt förslag såvitt avser bl.a. lagens namn (avsnitt 7), undantagför privat användning av personuppgifter (avsnitt 8.3), det territoriellatillämpningsområdet för den nya lagen (avsnitt 9), grundläggande krav påbehandlingen av personuppgifter (avsnitt 11.2), information till denregistrerade (avsnitt 11.5), korrigering av personuppgifter (avsnitt 11.6),automatiserade beslut (avsnitt 11.7), anmälningsskyldighet och upplysningartill allmänheten (avsnitt 12), tillsynsmyndighetens befogenheter (avsnitt 13)och skadestånd och straff (avsnitt 14).Utskottets bedömningUtskottet tillstyrker regeringens förslag till personuppgiftslag även i dedelar som inte har behandlats i det föregående.Förslagen i övriga lagarPropositionenRegeringen föreslår att regeln om viss dokumentationsskyldighet för myndigheteri 14 § datalagen flyttas till 15 kap. sekretesslagen. Enligt regeringensförslag bör vidare regeln om straff för dataintrång i 21 § datalagen flyttastill . Regeringen föreslår också att det görs vissa följdändringari sekretesslagen med anledning av att den nuvarande datalagen ersätts av dennya lagen. Enligt regeringen är följdändringarna i huvudsak av formellkaraktär. Ändringarna föreslås träda i kraft den 24 oktober 1998.Utskottets bedömningUtskottet tillstyrker regeringens förslag. beträffande avslag på propositionenatt avslår motionerna 1997/98:K14 och 1997/98:K16 yrkande 1,2. beträffande valet av lagstiftningsmodellatt avslår motion 1997/98:K13 yrkande 1,res. 1 (m)3. beträffande ett nytt EG-direktiv om skydd för personuppgifteratt avslår motionerna 1997/98:K16 yrkande 2 samt 1997/98:K17yrkandena 1 och 5,res. 2 (fp, mp)4. beträffande kommande datalagstiftningsarbeteatt avslår motion 1997/98:K16 yrkandena 3 och 4,5. beträffande generell integritetslagstiftningatt avslår motionerna 1997/98:K13 yrkandena 2 och 3, 1997/98:K304yrkande 1 samt 1997/98:K333 yrkande 12,res. 3 (m)6. beträffande lag om skydd för privatlivets helgdatt avslår motion 1997/98:K304 yrkande 2,7. beträffande internationellt regelverk om skydd av personuppgifterinom ITatt avslår motion 1997/98:T815 yrkande 11,8. beträffande översyn av offentlighetslagstiftningenatt avslår motion 1997/98:K13 yrkande 5,res. 4 (m)9. beträffande ändrat EG-direktiv med hänsyn tilloffentlighetsprincipenatt avslår motion 1997/98:K15,res. 5 (fp, v, mp)10. beträffande förhållandet till offentlighetsprincipenatt med avslag på motion 1997/98:K13 yrkande 6, delvis, antar 8 §förslaget till personuppgiftslag,res. 6 (m)11. beträffande offentlighetsprincipen och datalagenatt avslår motionerna 1997/98:K404 och 1997/98:K412,12. beträffande förhållandet till tryck- och yttrandefrihetenatt med avslag på motion 1997/98:K13 yrkande 6, delvis, antar 7 §förslaget till personuppgiftslag,res. 7 (m)13. beträffande ändring i regeringsformenatt med avslag på motion 1997/98:K13 yrkande 7 som vilande antarförslaget till lag om ändring i regeringsformen,res. 8 (m)14. beträffande bemyndigande om behandling av känsliga person-uppgifteratt med avslag på motion 1997/98:K17 yrkande 4 antar 20 § förslagettill personuppgiftslag,res. 9 (fp)15. beträffande övriga bemyndigandenatt antar 21, 35, 36, 41 och 50 §§ förslaget till personuppgiftslag,16.