bet · GL01KU18 · 1998-03-26 00:00:00 — I detta betänkande behandlas regeringens proposition 1997/98:44 Person-uppgiftslag jämte följdmotioner. I betänkandet behandlas också en motion frånallmänna motionstiden och sex motioner från allmänna motionstiden 1997.I propositionen föreslås en personuppgiftslag som skall ersätta den nuvarandedatalagen. Lagen skall också genomföra och rådets direktiv95/46/EG av om skydd för enskilda med avseende påbehandling av personuppgifter och om det fria flödet av sådana uppgifter.Förslaget till lag följer i huvudsak EG-direktivets text och disposition. Lagenföreslås omfatta all automatiserad behandling av personuppgifter och manuellbehandling av personregister. Enligt förslaget skall rent privat användning avpersonuppgifter vara undantagen från lagens tillämpningsområde. Regeringenföreslår också att det i lagen införs bestämmelser om undantag med hänsyn tilloffentlighetsprincipen och tryck- och yttrandefriheten. Därutöver föreslårregeringen bl.a. att det i lagen införs bemyndiganden för regeringen eller denmyndighet som regeringen bestämmer att meddela föreskrifter om undantag frånvissa bestämmelser och att precisera de generella regler som finns i lagen.Regeringen skall också ha rätt att meddela föreskrifter om förhandskontroll avvissa behandlingar av personuppgifter och om undantag från förbudet att föraöver personuppgifter till tredje land. Förslaget innebär vidare att den sombryter mot lagen skall kunna drabbas av ingripanden från tillsynsmyndigheten,t.ex. Andra sanktioner som kan komma i fråga ärskadestånd eller straff.Regeringen föreslår att personuppgiftslagen skall träda i kraft den 24oktober 1998.Enligt regeringens förslag bör vidare en ändring göras i regeringsformen såatt det blir möjligt för att delegera rätten att meddela föreskrifterom behandling av personuppgifter. Denna ändring föreslås träda i kraftden 1 januari 1999.Utskottet tillstyrker regeringens förslag, dock med en viss mindre språkligändring av 34 § förslaget till personuppgiftslag.Samtliga motionsyrkanden avslås.Till betänkandet har fogats 13 reservationer (m, fp, v och mp). 1997/98:44 vari yrkas att antar regeringens förslag till1. personuppgiftslag,2. lag om ändring i sekretesslagen (1980:100),3. lag om ändring i ,4. lag om ändring i regeringsformen,5. lag om ändring i personuppgiftslagen (0000:0000).Lagförslagen framgår av bilaga. Motioner med anledning av propositionen1997/98:K13 av m.fl. (m) vari yrkas1. att som sin mening ger regeringen till känna vad i motionenanförts om regeringens agerande i fråga om att införliva EG-direktivet genomlagstiftning baserad på en missbruksmodell,2. att hos regeringen begär utredning och förslag rörande enmissbruksbaserad, generell integritetsskyddslagstiftning i enlighet med vad somanförts i motionen,3. att som sin mening ger regeringen till känna vad i motionenanförts om att regeringen bör verka för en revidering av EG-direktivet om skyddför enskilda personer med avseende på behandling av personuppgifter,4. att hos regeringen begär förslag i syfte att klargörabestämmelserna om behandling av känsliga uppgifter vid opinions- ochmarknadsundersökningar i enlighet med vad som anförts i motionen,5. att hos regeringen begär utredning och förslag rörande enomprövning av den nuvarande offentlighetslagstiftningen i enlighet med vad somanförts i motionen,6. att antar regeringens förslag till personuppgiftslag med denändringen att 7 och 8 §§ i lagstiftningen utgår i enlighet med vad som anförtsi motionen,7. att beslutar upphäva 8 kap. 7 § första stycket punkt 8regeringsformen i enlighet med vad som anförts i motionen,8. att som sin mening ger regeringen till känna vad i motionenanförts om avveckling av Statens person- och adressregisternämnd.1997/98:K14 av () vari yrkas att avslårpropositionen om personuppgiftslag.1997/98:K15 av () vari yrkas att som sin mening gerregeringen till känna vad i motionen anförts om att regeringen bör ta initiativtill ändring av och rådets direktiv /46/EG av den 24oktober 1995 om skydd för enskilda personer med avseende på behandling avpersonuppgifter och om det fria flödet av sådana uppgifter så att ingatveksamheter råder om offentlighetsprincipens förenlighet med EG-direktivet.1997/98:K16 av m.fl. (fp, c, kd) vari yrkas1. att avslår propositionen om personuppgiftslagen,2. att som sin mening ger regeringen till känna vad i motionenanförts om ett nytt EG-direktiv,3. att som sin mening ger regeringen till känna vad i motionenanförts om nödvändigheten av problem- och kostnadsanalys för berörda företag,4. att som sin mening ger regeringen till känna vad i motionenanförts om förenklingar av nödvändig datalagstiftning.1997/98:K17 av m.fl. (fp) vari yrkas1. att som sin mening ger regeringen till känna vad i motionenanförts om att förhandlingar om direktiv för en missbruksmodell för en nypersonuppgiftslag inleds inom EU,2. att som sin mening ger regeringen till känna vad i motionenanförts om en begäran att införa begreppet informerat samtycke i stället förendast samtycke,3. att beslutar att "ras" i förslaget till personuppgiftslag 13 §skall utgå,4. att avslår förslaget om bemyndiganden enligt 20 §,5. att som sin mening ger regeringen till känna vad i motionenanförts om behovet av att förhandlingar om direktiv till en personuppgiftslagsom är anpassad till ett modernt kommunikationssamhälle, som bl.a.uppmärksammar Internet, inleds inom EU,6. att beslutar att den nya lagen tillämpas i ställetför efter tre år.Motion från allmänna motionstiden 19961996/97:K411 av () vari yrkas att som sinmening ger regeringen till känna vad i motionen anförts om behovet av översynav bestämmelserna vad gäller användande av personnummer.Motioner från allmänna motionstiden 19971997/98:K304 av () vari yrkas1. att som sin mening ger regeringen till känna vad i motionenanförts om generell integritetslagstiftning,2. att som sin mening ger regeringen till känna vad i motionenanförts om särskild lag om skydd för privatlivets helgd.1997/98:K333 av m.fl. (m) vari yrkas12. att som sin mening ger regeringen till känna vad i motionenanförts om inriktningen av arbetet med den enskildes integritetsskydd,1997/98:K404 av Tom () vari yrkas att som sin mening gerregeringen till känna vad i motionen anförts om en översyn av datalagen ochdess tillämpningsbestämmelser.1997/98:K412 av m.fl. (s) vari yrkas att som sinmening ger regeringen till känna vad i motionen anförts om ändring i datalagen.1997/98:T815 av m.fl. (c) vari yrkas11. att som sin mening ger regeringen till känna vad i motionenanförts om personlig integritet och skydd av uppgifter,1997/98:T911 av () vari yrkas4. att som sin mening ger regeringen till känna vad i motionenanförts om direktivet 95/46/EG och bristande svenska personregister. Propositionens huvudsakliga innehållRegeringen föreslår en personuppgiftslag som skall ersätta den nuvarandedatalagen (1973:289) och genomföra och rådets direktiv95/46/EG av om skydd för enskilda med avseende påbehandling av personuppgifter och om det fria flödet av sådana uppgifter.Den föreslagna lagen följer i huvudsak EG-direktivets text och disposition.Lagen omfattar all automatiserad behandling av personuppgifter och manuellbehandling av personregister.Regeringen föreslår att rent privat användning av personuppgifter skall varaundantagen från lagens tillämpningsområde. Enligt regeringens förslag skall iden nya lagen även införas bestämmelser om undantag med hänsyn tilloffentlighetsprincipen och tryck- och yttrandefriheten. Regeringens förslaginnebär vidare att särregler i annan lagstiftning tar över bestämmelserna ipersonuppgiftslagen.Enligt regeringens förslag skall den nya lagen innehålla bestämmelser ombehandling av personuppgifter och överföring av sådana uppgifter till en statutanför EES. I lagen föreslås även regleras vissa grundläggande krav på den sombehandlar personuppgifter, t.ex. att personuppgifter som samlats in för ettändamål inte får behandlas för något annat oförenligt ändamål. Regeringenföreslår vidare att lagen skall innehålla bestämmelser om information till deregistrerade, om korrigering av personuppgifter och om säkerheten vidbehandlingen. Enligt regeringens förslag skall den enskilde i fråga om s.k.automatiserade beslut ha rätt att på begäran få omprövning av beslutetoch information om den automatiserade behandling som ligger bakom det.Regeringen föreslår att det i personuppgiftslagen införs bestämmelser sominnebär att automatiserad behandling av personuppgifter i princip måste anmälastill en tillsynsmyndighet. Omfattande undantag från denna anmälningsskyldighetbör dock medges, t.ex. när den ansvarige för behandlingen har tillsatt ett s.k.personuppgiftsombud med uppgift att självständigt kontrollera den ansvarigesbehandling.Enligt regeringens förslag skall den som bryter mot lagen kunna drabbas avingripanden från tillsynsmyndigheten. t.ex. ett vitesföreläggande, eller avskadestånd och straff.Regeringen föreslår att personuppgiftslagen skall träda i kraft den 24oktober 1998.I propositionen föreslår regeringen därutöver att vissa bestämmelser i dennuvarande datalagen skall flyttas äver till annan lagstiftning, t.ex.bestämmelsen om straff för dataintrång som föreslås flyttas till brottsbalken.Vissa konsekvensändringar föreslås vidare göras i sekretesslagen (1980:100).Regeringen föreslår att dessa ändringar skall träda i kraft medperson-uppgiftslagen.Enligt regeringens förslag bör vidare en ändring göras i regeringsformen såatt det blir möjligt för att delegera rätten att meddela föreskrifterom behandling av personuppgifter. Regeringen föreslår att den ändringenskall träda i kraft den 1 januari 1999.BakgrundÄrendet och dess beredningEuropaparlamentet och Europeiska unionens råd antog ettdirektiv (95/46/EG) om skydd för enskilda personer med avseende på behandlingav personuppgifter och om det fria flödet av sådana uppgifter.Regeringen beslutade att tillkalla en parlamentarisktsammansatt kommitté med uppift att dels göra en total revision av datalagen(1973:289) och analysera på vilket sätt EG-direktivet om personuppgifter skallgenomföras i svensk lagstiftning, dels lämna förslag till anpassning till dennya tekniken av grundlagsreglerna om allmänna handlingars offentlighet.Kommittén, som antog namnet , avlämnade sittbetänkande Integritet - Offentlighet - Informationsteknik (SOU 1997:39).Betänkandet innehåller förslag till en ny persondatalag tillsammans med vissakonsekvensändringar i sekretesslagen (1980:100). Därutöver innehållerbetänkandet förslag till ändringar i 2 kap. tryckfrihetsförordningen (TF) samtviss anknytande lagstiftning.Den 17 april 1997 beslutade regeringen att ge Statskontoret i uppdrag attanalysera de ekonomiska konsekvenserna av förslag och att, ide fall förslagen leder till utgiftsökningar, lämna förslag till finansiering.Uppdraget var främst föranlett av kommitténs förslag till ändringar i 2 kap.TF. avgav Statskontoret rapporten avDatalagskommitténs betänkande SOU 1997:39 (Rapport 1997:11).Datalagskommitténs betänkande och Statskontorets rapport harremissbehandlats.Regeringen tar i detta ärende upp frågan om en ny datalag och vissa därmedsammanhängande frågor. Enligt regeringens mening kräver frågan om en anpassningav 2 kap. TF till den nya tekniken ytterligare överväganden. Enligt uppgiftfrån kommer direktiv att fastställas fören utredning som skall ha till uppgift att dels ånyo överväga frågan om enanpassning av 2 kap. TF till den nya tekniken, dels göra en översyn avsekretesslagen.Arbetet med att anpassa ett stort antal författningar, t.ex.kreditupplysningslagen (1973:1173), till EG-direktivet och den nyapersonuppgiftslagen bereds vidare inom Regeringskansliet.Rättslig reglering till skydd för personuppgifterNationell regleringDet grundläggande skyddet för den enskildes personliga integritet återfinns iregeringsformen (RF). I 1 kap. 2 § tredje stycket RF anges att det allmännaskall värna den enskildes privatliv och familjeliv. En särskild bestämmelse omden personliga integriteten och automatisk databehandling finns i 2 kap. 3 §andra stycket RF. Enligt denna bestämmelse skall varje medborgare i denutsträckning som närmare anges i lag skyddas mot att hans personliga integritetkränks genom att uppgifter om honom registreras med hjälp av automatiskdatabehandling.Datalagen (1973:289) har till syfte att skydda den enskilde mot sådantotillbörligt intrång i den personliga integriteten som kan bli följden avdataregistrering. Lagen gäller för såväl offentliga som privata register, dockinte fullt ut för ett register som inrättats av en enskild person förpersonligt bruk. Ett personregister får inrättas och föras av den som anmältsig till Datainspektionen och erhållit licens.Vid sidan av datalagen finns en mängd särskilda registerförfattningar. Enligtdatalagen behövs inte tillstånd av Datainspektionen för personregister som harinrättats genom beslut av eller regeringen. Sådana register brukarkallas statsmaktsregister.Enligt 7 kap. 16 § första stycket sekretesslagen (1980:100) gäller sekretessför uppgift i personregister som avses i datalagen, om det kan antas attutlämnande skulle medföra att uppgiften används för automatisk databehandling istrid med datalagen.I andra stycket anges att sekretess enligt första stycket också gäller, omdet kan antas att utlämnande skulle medföra att uppgiften används förautomatisk databehandling i utlandet och att detta medför otillbörligt intrångi personlig integritet. Vid tillämpning av denna bestämmelse ankommer det påDatainspektionen att pröva frågan om utlämnande. Sekretess enligt detta styckegäller dock ej, om uppgiften skall användas för automatisk databehandlingenbart i en stat som har anslutit sig till konvention om skydd förenskilda vid automatisk databehandling av personuppgifter.Internationell regleringDet har inom EU ansetts nödvändigt att det råder en hög och för medlemsländernagemensam nivå på skyddet mot integritetskränkningar i samband med behandling avpersonuppgifter för att därmed skapa förutsättningar för ett fritt flöde avinformation mellan medlemsstaterna. antogs, som redovisatsovan, och rådets direktiv /46/EG om skydd för enskildapersoner med avseende på behandling av personuppgifter och om det fria flödetav sådana uppgifter.Den 15 december 1997 antogs och rådets direktiv (97/66/EG)om behandling av personuppgifter och skydd för privatlivet inomtelekommunikationsområdet. Direktivet skall vara genomfört i medlemsstaternasenast . Enligt uppgift från hargenomförandetiden dock förlängts i ett visst avseende. Direktivet kan försvenskt vidkommande föranleda ändringar i framför allt telelagen.Den 26 november 1997 avgav ett meddelande till rådet,, och och sominnehöll en handlingsplan för att stödja en säker användning av Internet.Samtidigt föreslog kommissionen rådet att anta en flerårig handlingsplan pågemenskapsnivå för att stödja en säker användning av antog en konvention till skydd förenskilda vid automatisk databehandling av personuppgifter, den s.k.dataskyddskonventionen. Konventionens syfte är att säkerställa respekten förgrundläggande fri- och rättigheter, särskilt den enskildes rätt till personligintegritet i samband med automatisk databehandling av personuppgifter.Utgångspunkten är att vissa av den enskildes rättigheter kan behöva skyddas iförhållande till den princip om fritt flöde av information, oberoende avgränser, som finns inskriven i internationella överenskommelser om mänskligarättigheter.Inom har utarbetats ett flertal rekommendationer pådataskyddsområdet. I detta sammanhang kan nämnas rekommendationen om skydd förpersonuppgifter som används för anställningsändamål (No. R (89) 2),rekommendationen om skydd för personuppgifter som används för forskning ochstatistik (No. (83) 10), rekommendationen om skydd för personuppgifter somanvänds för direktreklamändamål (No. R (85) 20 samt rekommendationen ompersondataskydd vid telekommunikation (No R. (95) 4).Enligt uppgift pågår arbete inom för att ta fram en rekommendationangående användningen av personuppgifter på Internet. Vidare finns inom EU enarbetsgrupp som arbetar med frågor om skydd för personuppgifter. En uppgift fördenna arbetsgrupp är att samordna medlemsstaternas uppfattningnär det gäller användningen av personuppgifter på Internet i syfte attmedlemsstaterna genom rådet skall besluta att ge mandat attförhandla med angående utformningen av den nämnda rekommendationen.Inom Organisationen för ekonomiskt samarbete och utveckling, , har enexpertgrupp utarbetat vissa riktlinjer i fråga om integritetsskyddet ochpersondataflödet över gränserna. Riktlinjerna antogs av rådtillsammans med en rekommendation till medlemsländernas regeringar om attbeakta riktlinjerna i nationell lagstiftning. Samtliga medlemsländer, däriblandSverige, har godtagit rekommendationen och därmed åtagit sig att följa denna.En ny lag till skydd för personuppgifterPropositionenNär det gäller reformbehovet på det aktuella lagstiftningsområdet anförregeringen att det är många svåra avvägningar som måste göras vid utformningenav en lagstiftning till skydd för den personliga integriteten i fråga ompersonuppgifter. Härtill kommer att lagstiftningen inte i onödan bör hindraanvändningen av ny teknik. Regeringen påpekar att den nya tekniken inte baraför med sig risker utan också många obestridliga fördelar. Enligt regeringenmåste dessa fördelar tas till vara om skall kunna behålla och förstärkasin framskjutna position bland industrinationerna. Regeringen konstaterarvidare att den nya tekniken redan har inneburit en höjning av livskvalitetenoch en ökad frihet för många människor. Det gryende informationssamhället kaninnebära förbättrade möjligheter till ökad jämställdhet och ett förverkligandeav angelägna regionalpolitiska mål.Vidare konstaterar regeringen att det är uppenbart att den nu föråldradedatalagen inte uppfyller de krav som bör ställas på en lagstiftningtill skydd för den personliga integriteten i fråga om personuppgifter i dagensoch morgondagens samhälle. Det finns enligt regeringen således starka skäl föratt nu införa en ny lagstiftning på området. Den nya lagstiftningen måsteemellertid utformas med hänsyn till skyldigheter gentemot EU, särskiltEG-direktivet om personuppgifter.MotionernaI motion 1997/98:K14 av () hemställs att avslårpropositionen. Motionären anför att en översyn av det svenska skyddet förenskilda personers privatliv ligger helt i linje med FN:s förklaring ochEuroparådets konvention om de mänskliga rättigheterna. Enligt motionären bör iSverige införas en generell integritetslagstiftning för att förstärka skyddetför den personliga integriteten. I avvaktan därpå är det orimligt att införadelreformer som verkar i motsatt riktning. Motionären anser att regeringensförslag om en personuppgiftslag därför bör avlås av . Därefter börregeringen återkomma med en övergripande lagstiftning och sedan, vid behov, meddetaljreglering.Också i motion 1997/98:K16 av m.fl. (fp, c, kd) hemställsatt avslår propositionen. Motionärerna anför att det nu aktuellalagförslaget är onödigt omfattande och utomordentligt svårtillgängligt.Dessutom tas inte hänsyn till de företag som i sin verksamhet kommer attberöras av en eventuell ny lagstiftning. Enligt motionärerna åläggs företagenen informationsskyldighet som blir orimligt kostnadskrävande. Kritik kanframföras mot regeringens förslag, som inte har föregåtts av några åtgärder föratt analysera vilka effekter reglerna får för berörda företag. Mot bakgrund avdet anförda bör förslaget avslås (yrkande 1).Utskottets bedömningUtskottet delar regeringens bedömning att den nuvarande datalagen varken förnärvarande eller för framtiden kan anses uppfylla de krav som bör ställas på enlagstiftning till skydd för den personliga integriteten i fråga om person-uppgifter. Starka skäl talar således för att det nu införs en ny lagstiftningpå det aktuella området. Vid utformningen av en sådan lagstiftning måsteSverige beakta EG-direktivet (95/46/EG) om skydd för enskilda personer medavseende på behandling av personuppgifter och om det fria flödet av sådanauppgifter. Av artikel 32 i direktivet följer att senast den 24 oktober1998 skall ha genomfört direktivet. Enligt utskottets mening bör det nu införasen ny lag till skydd för personuppgifter som bygger på EG-direktivet. Förslageni motionerna 1997/98:K14 och 1997/98:K16 yrkande 1 om avslag på propositionenavstyrks därför.Genomförandet av EG-direktivetPropositionenRegeringen bedömer att en lagstiftning som reglerar själva hanteringen avpersonuppgifter bör införas, eftersom det inte synes möjligt att genomföra EG-direktivet på något annat sätt.Därutöver bedömer regeringen att på ett lämpligt sätt bör verka föratt det blir möjligt att i stället för en hanteringsmodell använda enlagstiftning som mera koncentrerar sig på vad som karakteriseras som ettmissbruk av personuppgifter.I skälen för sin bedömning anger regeringen att bestämmelserna i att själva hanteringen av personuppgifter regleras, oavsett omhanteringen kan sägas utgöra ett missbruk. Direktivet bygger således på enhanteringsmodell. Regeringen anför att såsom medlem i EU har att isvensk lagstiftning genomföra de hanteringsregler som direktivet innehåller. Iartikel 5 anges att inom den ram direktivet ställer upp därvid skallprecisera på vilka villkor behandling av personuppgifter är tillåten.Regeringen anser att det nu inte är möjligt att uppfylla skyldigheten attgenomföra direktivet på annat sätt än genom att införa en lagstiftning avhanteringsmodell.Därutöver framhåller regeringen att en sådan lagstiftning som måsteinföras på grund av EG-direktivet, dvs. som reglerar i princip all hantering avpersonuppgifter, inte framstår som särskilt modern. Regeringen påpekar attmycket av den användning av personuppgifter som den alltmer genomgripandedatoriseringen har medfört måste betraktas som harmlös. Allt fler medborgarehar också tillgång till dator, elektronisk post och annan kommunikation ivärldsomspännande nätverk. Det finns enligt regeringen därför starka skäl föratt verka för att det blir möjligt att gå ifrån en vittomfattandehanteringsmodell. Regeringen avser att på lämpligt sätt utnyttja Sverigesinflytande i EU för att påverka i denna riktning. Vidare påpekar regeringen attmöjligheterna till påverkan är beroende av att det går att visa på användbaraalternativ till hanteringsmodell. Det är därför viktigt att diskussionen om ocharbetet med möjliga utformningar av alternativa modeller fortsätter.MotionernaMotioner med anledning av propositionenI motion 1997/98:K13 av m.fl. (m) anförs att regeringens val avmodell för den nya personuppgiftslagens uppbyggnad framstår som föråldrad ochmindre väl anpassad till den snabba, tekniska utvecklingen på dataområdet. Denalltmer genomgripande datoriseringen har i väsentliga delar gjort EG-direktivetomodernt, vilket i sin tur har fått återverkningar på regeringens lagförslagsom inte tillåtits avvika från direktivets hanteringsmodell. Motionärernaframhåller att det inte finns något som säger att eller något annatmedlemsland är bundet av den lagtekniska modell som ett visst EG-direktivbygger på. Vad gäller det nu aktuella direktivet är det kravet på godtagbarskyddsnivå för den personliga integriteten som skall få genomslag i den svenskalagstiftningen. Moderata samlingspartiets uppfattning är att skyddsnivån bättreskulle tillgodoses med en missbruksmodell som tar sikte på vad som kankaraktäriseras som ett missbruk av personuppgifter. Enligt Moderatasamlingspartiet hade det varit möjligt att inom EG-direktivets ramatt införa en nationell lagstiftning som bygger på själva missbruket avpersonuppgifter. Regeringen borde ha varit mer pådrivande i frågan och hadeexempelvis kunnat utfärda tilläggsdirektiv till meduppmaningen att särskilt överväga ett lagförslag baserat på missbruksmodellen.Vidare framstår det enligt motionärerna som anmärkningsvärt att tiden från detatt utredningen avgav sitt betänkande tills propositionen lades fram inteutnyttjades till att arbeta fram ett lagförslag inom i linjemed regeringens eget och flertalet remissinstansers önskemål.