bet · GL01KU18 · 1998-03-26 00:00:00 — Motionärerna menar att förslaget är alltförlångtgående och opreciserat och att det därför inte ligger i lagstiftarensintresse att ge bemyndigandet (yrkande 4).Utskottets bedömningRegeringens förslag till en personuppgiftslag innehåller bemyndiganden förregeringen eller den myndighet som regeringen bestämmer att meddelaföreskrifter om undantag från vissa bestämmelser och att precisera de generellaregler som finns i lagen. Bemyndigandena avser också att regeringen skall harätt att meddela föreskrifter om förhandskontroll av vissa behandlingar avpersonuppgifter och om undantag från förbudet mot överföring av person-uppgifter till tredje land.Utskottet delar regeringens bedömning att en generell lag som avser att iprincip reglera all icke privat användning av personuppgifter på automatisk vägeller i register inte gärna kan innehålla annat än generella principeroch de allra viktigaste undantagen från dessa. Lagen skulle i annat fall blialltför otymplig. Utskottet konstaterar vidare att behov av preciseringar ochundantag kan växla över tiden och hastigt uppstå. Att varje sådan justering avregelverket skulle kräva en lagstiftningsprocess med riksdagsbehandlingframstår enligt utskottet som onödigt omständligt. Utskottet delar såledesregeringens bedömning att det finns ett behov av att delegeranormgivningskompetens på området.Utskottet vill härefter framhålla att utskottet delar regeringens ochLagrådets bedömning att bestämmelsen i 2 kap. 3 § andra stycket RF inte hindraratt regeringen eller den myndighet som regeringen bestämmer ges behörighet attnärmare precisera och konkretisera regleringen i den föreslagna lagen.Utskottet kan vidare konstatera att flera av de bemyndiganden som regeringenföreslår går längre än att meddela verkställighetsföreskrifter (jfr 8 kap. 13 §RF). Av betydelse för delegationsmöjligheterna är därmed hur den föreslagnalagstiftningen förhåller sig till bestämmelserna i 8 kap. 2 och 3 §§ RF, dvs.om lagstiftningen skall anses vara av privaträttslig eller offentligrättsligkaraktär. Som framgår av redovisningen ovan skall enligt 8 kap. 2 § om enskildas personliga ställning samt om deras personliga ochekonomiska förhållanden inbördes meddelas genom lag. Beträffande sådanaföreskrifter är kravet på lagform undantagslöst. Föreskrifter om förhållandetmellan enskilda och det allmänna, som gäller åligganden för enskilda eller iövrigt avser ingrepp i enskildas personliga eller ekonomiska förhållanden,skall enligt 8 kap. 3 § RF meddelas genom lag. Av 8 kap. 7 § RF framgår dockatt regeringen utan hinder av 3 § kan, efter bemyndigande i lag, meddelaföreskrifter avseende vissa uppräknade ämnen. Bland dessa ämnen ingår skydd förpersonlig integritet vid registrering av uppgifter med hjälp av automatiskdatabehandling (p 8).När det gäller frågan om den nu föreslagna lagstiftningen är att hänföra tilldet privaträttsliga eller det offentligrättsliga området vill utskottetframhålla följande. Föreskrifter till skydd för den enskildes personligaintegritet utgör ett medel för det allmänna att bl.a. i enlighet med vad somanges i 2 kap. 3 § andra stycket RF skydda enskilda mot kränkning av deraspersonliga integritet genom olämplig behandling av personuppgifter. Utskottetdelar härvid regeringens uppfattning att sådana bestämmelser i grunden utgöroffentligrättsliga föreskrifter. Lagrådet har ansett att de aktuella normernabör hänföras till 8 kap. 2 § RF, eftersom en enskild kan förpliktas att betalaskadestånd till en annan enskild enligt den föreslagna lagen och bestämmelsernasåledes avser ?enskildas personliga och ekonomiska förhållanden inbördes?.Utskottet vill dock härvid, i likhet med regeringen, framhålla attbestämmelserna också kan föranleda en offentligrättslig sanktion i form avstraff eller vitesföreläggande. Bestämmelserna kan således åberopas och görasgällande såväl i tvister mellan enskilda som mellan enskilda och det allmänna.Det kan visserligen konstateras att skadeståndssanktionen har getts en störrebetydelse i den föreslagna lagstiftningen jämfört med vad som är fallet i dag.Utskottet delar emellertid regeringens bedömning att denna förändring inte ärav sådant avgörande slag att bestämmelserna förvandlas från i grundenoffentligrättsliga föreskrifter till privaträttsliga föreskrifter. Utskottetdelar således regeringens uppfattning att de bemyndiganden som föreslås i dennya lagen avser offentligrättsliga föreskrifter och inte privaträttsligaföreskrifter som hör till det obligatoriska lagområdet. Det är därför möjligtatt med stöd av 8 kap. 7 § RF lämna bemyndigandena.Som redogjorts för i det föregående kan enligt den nuvarande lydelsen av8 kap. 7 § 8 RF delegation av föreskriftsrätt ske i fråga om skydd förpersonlig integritet vid registrering av personuppgifter endast då den sker medhjälp av automatisk databehandling. Utskottet tillstyrker regeringens förslagatt bestämmelsen ändras så att det utan denna begränsning blir möjligt attdelegera föreskriftsrätt i fråga om skydd för personlig integritet vidbehandling av personuppgifter. Den nya bestämmelsen bör antas av somvilande. Motion 1997/98:K13 yrkande 7 vari föreslås att normgivningsdelegationpå detta område omöjliggörs genom att delegationsgrunden i 8 kap. 7 § RFupphävs avstyrks.I motion 1997/98:K17 yrkande 4 behandlas ett av de bemyndiganden somregeringen nu föreslår. Motionärerna avstyrker regeringens förslag till 20 § ipersonuppgiftslagen, som innebär att regeringen eller den myndighet somregeringen bestämmer bemyndigas att meddela undantag från förbudet motbehandling av känsliga personuppgifter om det behövs med hänsyn till ettviktigt allmänt intresse. Motionärerna anser att förslaget är alltförlångtgående och opreciserat. Utskottet vill härvid påpeka att i denutsträckning som det är befogat med ett ställningstagande från sida,finns det alltid möjlighet att ge regleringen på ett visst område i lag. Isådant fall är normgivning på lägre nivå i strid med lagregleringen utesluten,om inte annat följer av den aktuella lagen. Utskottet vill också för egen delframhålla att det saknas anledning att nu avvika från den tidigare fastlagdamålsättningen att myndighetsregister med ett stort antal registrerade och ettsärskilt känsligt innehåll skall regleras särskilt i lag (se bet. 1990/91:KU11,rskr. 1990/91:160). Mot denna bakgrund avstyrker utskottet motionen i dennadel.Utskottet tillstyrker även i övrigt regeringens förslag i den nya lagen ifråga om föreskriftsrätt för regeringen eller den myndighet som regeringenbestämmer.Utskottet vill härefter påpeka att ändringen av bemyndigandet i 8 kap. 7 §RF, som behandlats i det föregående, föreslås träda i kraft den 1 januari 1999.Regeringens förslag innebär därför att föreslagna bemyndiganden ipersonuppgiftslagen som skall träda i kraft endast avserbehandling av personuppgifter med hjälp av automatisk databehandling. Därutöverföreslår regeringen att bemyndigandena ändras till att avseäven sådan behandling av personuppgifter som omfattas av lagen.Utskottet tillstyrker nu förslaget i sak, men anser liksom regeringen attändringen av bemyndigandena bör beslutas av sedan grundlagsändringenbeslutats.Tillåten behandling på grund av samtyckeEG-direktivetI artikel 2 h ges en definition av vad som i direktivet avses med denregistrerades samtycke. Enligt definitionen avses härmed varje slag avfrivillig, särskild och informerad viljeyttring genom vilken den registreradegodtar behandling av personuppgifter som ingår i eller kommer att ingå i ettregister.I artikel 7 ges en uttömmande uppräkning av i vilka fall behandling avpersonuppgifter är tillåten. Enligt artikel 7 a får personuppgifter behandlasom den registrerade otvetydigt har lämnat sitt samtycke.Artikel 8 innehåller bestämmelser om behandlingen av särskilda kategorier avuppgifter. Av artikel 8.1 framgår att ett generellt förbud mot behandling avkänsliga personuppgifter skall gälla. Enligt artikel 8.2 a gäller inte punkt 1om den registrerade har lämnat sitt uttryckliga samtycke till en sådanbehandling, utom när det enligt medlemsstatens lagstiftning anges att förbudeti punkt 1 inte kan upphävas genom den registrerades samtycke.Enligt artikel 26.1 a skall medlemsstaterna med undantag från artikel 25 (medbestämmelser om överföring av personuppgifter till tredje land ) - om det intefinns tvingande regler om detta i deras lagstiftning - föreskriva attöverföring av personuppgifter till ett tredje land som inte har en adekvatskyddsnivå i den mening som avses i artikel 25.2 får ske om den registreradeotvetydigt har samtyckt till den planerade överföringen.PropositionenEnligt regeringens förslag skall beteckningen samtycke i den nya lagendefinieras som varje slag av frivillig, särskild och otvetydig viljeyttringgenom vilken den registrerade, efter att ha fått information, godtar behandlingav personuppgifter som rör honom eller henne (3 §).När det gäller regeringens förslag till materiell reglering ipersonuppgiftslagen återfinns beteckningen samtycke i flera sammanhang.Regeringen föreslår att personuppgifter får behandlas bara om den regi-strerade har lämnat sitt samtycke till behandlingen eller om behandlingen ärnödvändig av vissa angivna skäl (10 §).När det gäller känsliga personuppgifter föreslår regeringen att behandling avsådana uppgifter skall vara förbjuden (13 §). Från förbudet föreslås undantaggälla bl.a. vid uttryckligt samtycke (15 §).I fråga om behandling av personnummer föreslår regeringen att det skall angesi lagen i vilka fall en sådan behandling får ske utan samtycke (22 §).Regeringen föreslår därutöver att det i lagen införs ett principiellt förbudmot överföring av personuppgifter som är under behandling till tredje land.Förbudet skall också gälla överföring av personuppgifter för behandling itredje land (33 §). Från detta förbud föreslår regeringen att undantag skallgälla bl.a. om den registrerade otvetydigt har samtyckt till överföringen (34 §första stycket).I författningskommentaren till 3 § anför regeringen att definitionen avsamtycke skall ha samma innebörd som definitionen i artikel 2 i direktivet, medtillägget att det direkt i definitionen tas in ett krav på att samtycket skallvara otvetydigt, vilket framgår av andra artiklar i direktivet. Regeringenanför vidare att i de fall där samtycket dessutom enligt direktivet skall varauttryckligt anges detta direkt i lagtexten. Härvid påpekar regeringen attbegreppen ?otvetydig? har en EG-gemensam innebörd.När det gäller den generella bestämmelsen för när behandling av person-uppgifter är tillåten anför regeringen i skälen för sitt förslag attuppräkningen i den nya lagen av i vilka fall sådan behandling är tillåtenstämmer överens med uppräkningen i artikel 7 i EG-direktivet. Regeringen påpekar vidare att - såsom en del remissinstanserföreslagit - göra förtydliganden och kompletteringar i förhållande till EG-direktivets text inte är lämpligt och i vissa fall otillåtet enligt direktivet.Lagtexten bör i stället nära ansluta till direktivets text. Regeringen anföratt närmare preciseringar av när behandling är tillåten får - inom den ram EG-direktivet och lagtexten ger - göras i rättstillämpningen och i kompletterandeföreskrifter som utfärdas i anslutning till lagen.Vidare anger regeringen i författningskommentaren till 10 § att paragrafen äravsedd att ha samma innebörd som artikel 7 i direktivet.När det gäller det föreslagna undantaget från förbudet mot behandling avkänsliga personuppgifter vid uttryckligt samtycke konstaterar regeringen attdet enligt EG-direktivet är möjligt att bestämma att förbudet inte kan upphävasgenom den registrerades samtycke. Enligt regeringens mening kan det dock intefinnas något integritetsskyddsintresse som gör det befogat att förbjuda denbehandling som den registrerade och den personuppgiftsansvarige är överens om.Enligt den nya lagen bör således undantag gälla bl.a. vid samtycke.I författningskommentaren till 15 § anför regeringen att paragrafen skall hasamma innebörd som bl.a. artikel 8.2 a.I fråga om de föreslagna undantagen från förbudet mot överföring avpersonuppgifter till tredje land framhåller regeringen iförfattningskommentaren till 34 § att det för överföring av personuppgiftertill tredje land dock inte bara krävs att överföringen faller under något av deuppräknade undantagen. Den behandling som överföringen av personuppgifter tilltredje land utgör måste också vara tillåten enligt 10 § och, om känsligapersonuppgifter, uppgifter om lagöverträdelser eller personnummer skall förasöver, även vara tillåten i enlighet med 13-22 §§. Regeringen anger vidare att34 § första stycket skall ha samma innebörd som artikel 26.1 i EG-direktivet.MotionernaI motion 1997/98:K13 av m.fl. (m) anförs att de restriktioner somföreslås vad gäller hantering av personuppgifter utan tvekan är välbehövligaoch eftertraktade. Moderata samlingspartiet ser dock ett fall för vilket kravetpå uttryckligt samtycke kan leda till oönskade konsekvenser. Motionärernapåpekar att undersökningar som utförs av opinions- och marknadsinstitut intesällan omfattar uppgifter som enligt lagförslaget utgör känsliga uppgifter.Dessa uppgifter måste ofta redovisas i åldersgrupper för att opinions- ochmarknadsundersökningarna skall fullgöra sitt syfte. Om propositionens krav vadgäller uttryckligt samtycke från den tillfrågade parten skall tolkas strikttorde enligt motionärerna opinions- och marknadsundersökningar avsevärtförsvåras, bl.a. därför att undersökningar per telefon i praktiken skulle bliomöjliga att genomföra. Motionärerna framhåller att undersökningar av dettaslag har stor betydelse som beslutsunderlag inom både politiken ochnäringslivet och att lagstiftningen därför ytterst kan komma att inverkanegativt på såväl demokratin som de svenska företagens konkurrenskraft. Enligtmotionärerna bör det tydligt klargöras i personuppgiftslagen att kravet pådessa typer av behandling av personuppgifter som regel skall anses varauppfyllt genom intervjupersonens frivilliga besvarande av ställda frågor.Riksdagen bör således uppdra åt regeringen att se över bestämmelserna rörandebehandling av känsliga uppgifter efter de riktlinjer som angivits i motionen(yrkande 4).I motion 1997/98:K17 av m.fl. (fp) anförs att termen?informerat samtycke? Motionärerna påpekar att det i EG-direktivet finns förtydligande ord som ?otvetydigt? och ?uttryckligt?, vilkainte beaktats av . Enligt motionärerna anger informeratsamtycke vad som menas, dvs. att medborgaren har haft tillgång till fullständiginformation och även har tagit del av denna information och därvid fått klartför sig vad den betyder. Motionärerna anser att informerat samtycke innebär enstörre insikt i vad man gett sitt samtycke till. Detta bör ges regeringen tillkänna (yrkande 2).Utskottets bedömningUtskottet konstaterar att regeringens förslag innebär att det i en inledandeparagraf i personuppgiftslagen införs en definition av begreppet samtycke.Enligt denna definition skall med samtycke förstås varje slag av frivillig,särskild och otvetydig viljeyttring genom vilken den registrerade, efter att hafått information, godtar behandling av personuppgifter som rör honom ellerhenne. I de fall där samtycket dessutom skall vara uttryckligt föreslås dettaanges särskilt i respektive lagrum. Enligt regeringens förslag skalluttryckligt samtycke krävas för behandling av känsliga personuppgifter.Utskottet konstaterar att det av den föreslagna definitionen i 3 § framgår attsamtycke i lagens mening skall vara ?otvetydigt?. Att ha med ordet ?otvetydig ?i lagtexten till 34 § första stycket är därmed enligt utskottets mening onödigtoch ordet bör utgå. Utskottet anser att en viss språklig ändring därutöver börgöras av 34 § första stycket före punkten a. Med nämnda ändringar tillstyrkerutskottet regeringens förslag i nu aktuella delar. Regleringen för behandlingav personnummer tar utskottet dock upp i ett senare avsnitt.När det gäller vad som anförs i motion 1997/98:K13 yrkande 4 vill utskottetframhålla att den omständigheten att ett samtycke skall vara uttryckligt inteförutsätter att samtycket är skriftligt. Vad som begärs i motionen tillgodosesdärför enligt utskottets mening genom regeringens förslag. Motionen avstyrksdärmed i denna del.Utskottet anser att även vad som begärs i motion 1997/98:K17 yrkande 2tillgodoses genom regeringens förslag.Känsliga personuppgifterEG-direktivetArtikel 8 innehåller bestämmelser för behandlingen av särskilda kategorier avuppgifter. Enligt artikel 8.1 skall medlemsstaterna förbjuda behandling avpersonuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter,religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgiftersom rör hälsa och sexualliv.I artikel 8 anges också i vilka fall undantag mot förbudet skall gälla.Vidare anges att medlemsstaterna har möjlighet att föreskriva om ytterligareundantag från förbudet med hänsyn till ett viktigt allmänt intresse. Dettaförutsätter dock att det finns lämpliga skyddsåtgärder.PropositionenRegeringen föreslår att det skall vara förbjudet att behandla personuppgiftersom avslöjar ras eller etniskt ursprung, politiska åsikter, religiös ellerfilosofisk övertygelse, eller medlemskap i fackförening. Förbudet gäller ocksåbehandling av personuppgifter som rör hälsa eller sexualliv (13 §).Regeringen föreslår också att från förbudet skall gälla undantag vid samtyckeeller offentliggörande (15 §), nödvändig behandling (16 §), behandling inomideella organisationer (17 §), inom hälso- och sjukvården (18 §) eller vidbehandling för forsknings- och statistikändamål (19 §).Enligt förslaget skall vidare regeringen eller den myndighet regeringenbestämmer få möjlighet att meddela ytterligare undantag från förbudet i 13 §,om det behövs med hänsyn till ett viktigt allmänt intresse (20 §).I skälen för sitt förslag anför regeringen att definitionen av känsligapersonuppgifter stämmer överens med den definition som finns i artikel 8.1 iEG-direktivet. Regeringen konstaterar att en del av det som omfattas avsärskilda regler enligt den nuvarande datalagen alltså inte kommer att omfattasav bestämmelserna om känsliga personuppgifter i den nya lagen.Datalagskommittén har ansett att det skulle vara oförenligt med EG-direktivetatt utvidga tillämpningsområdet för direktivets bestämmelser om känsligauppgifter till att omfatta allt det som regleras enligt särskilda regler enligtdatalagen. Regeringen påpekar att den bedömningen inte verkar ha ifrågasatts avnågon remissinstans. Även regeringen anser att det inte är tillåtet enligt EG-direktivet att i nationell lagstiftning ha en annan definition, som t.ex.omfattar uppgifter som är helt artskilda i förhållande till dem som idirektivet definieras som känsliga. Att göra så skulle enligt regeringen hindradet fria flödet av sådana uppgifter inom EU och därmed strida mot direktivet.MotionenI motion 1997/98:K17 av m.fl. (fp) anförs att ordet ?ras? böravlägsnas ur den föreslagna definitionen av känsliga personuppgifter. Enligtmotionärerna finns det ingen gemensam definition av vad ordet står för och detkan därför missförstås. Dessutom säger begreppet ?etniskt ursprung? mer korrektvarifrån personen i fråga härstammar. Motionärerna hemställer att riksdagenbeslutar att "ras" i förslaget till 13 § personuppgiftslagen skall utgå(yrkande 3).Utskottets bedömningUtskottet delar regeringens bedömning att man i den svenska lagstiftningeninte skall ha en annan definition av känsliga personuppgifter än den som finnsi EG-direktivet. Det kan inte anses tillåtet enligt direktivet att, såsombegärs i motion 1997/98:K17 yrkande 3, ta bort ordet ras ur definitionen.Utskottet vill härvid erinra om vad utskottet anfört i betänkande 1997/98: KU29med anledning av en motion med yrkande om att skulle besluta attutmönstra ordet ras ur all lagstiftning. I sin bedömning konstaterade utskottetatt ordet ras förekommer i svensk lagstiftning så gott som uteslutande när dethandlar om författningar som grundas på internationella konventioner ellerförfattningar som genomför EG-direktiv. Det var därför enligt utskottet intemöjligt att nu besluta att utmönstra ras ur all lagstiftning. Utskottet deladedock motionärernas uppfattning att användningen av ordet ras iförfattningstexter riskerar att underblåsa fördomar. Regeringen borde därför iinternationella sammanhang verka för att ordet ras, använt om människor, i såstor utsträckning som möjligt undviks i officiella texter, i likhet med vad somockså förordas i en resolution från . borde regeringen också göra en genomgång av i vilken utsträckningordet ras förekommer i svenska författningar som inte grundas påinternationella texter och där så är möjligt föreslå en annan definition.Utskottet ansåg att detta borde ges regeringen till känna.Mot bakgrund av vad som anförts ovan avstyrker utskottet motion 1997/98:K17yrkande 3.Rätten att motsätta sig behandling av personuppgifterEG-direktivetArtikel 14 innehåller bestämmelser om den registrerades rätt att görainvändningar.I artikel 14 a anges att medlemsstaterna skall tillförsäkra den registreraderätten att åtminstone i de fall som avses i artikel 7 e och f när som helst avavgörande och berättigade skäl som rör hans personliga situation motsätta sigbehandling av uppgifter som rör honom, utom när den nationella lagstiftningenföreskriver något annat. När invändningen är berättigad får den behandling sompåbörjats av den registeransvarige inte längre avse dessa uppgifter.Enligt artikel 14 b skall den registrerade ha rätt att efter anmodan och utankostnader motsätta sig behandling av personuppgifter som rör honom och som denregisteransvarige bedömer kan komma att behandlas för ändamål som rör direktmarknadsföring, eller att bli informerad innan personuppgifter för förstagången lämnas ut till tredje man eller används för tredje mans räkning förändamål som rör direkt marknadsföring, och att uttryckligen få erbjudande omatt utan kostnader motsätta sig ett sådant utlämnande eller sådan användning.I artikel 14 nämns avslutningsvis att medlemsstaterna skall vidta nödvändigaåtgärder för att säkerställa att de registrerade känner till den rättighet somanges i första stycket b.PropositionenRegeringen föreslår att personuppgifter inte får behandlas för ändamål som rördirekt marknadsföring, om den registrerade hos den personuppgifts-ansvarigeskriftligen har anmält att han eller hon motsätter sig sådan behandling (11 §).Regeringen föreslår vidare att när en behandling är tillåten med samtycke, fårytterligare personuppgifter inte behandlas sedan den registrerade haråterkallat sitt samtycke. Enligt regeringens förslag har den registrerade iövrigt inte rätt att motsätta sig behandling av personuppgifter som är tillåtenenligt den nya lagen (12 §).I skälen för sitt förslag konstaterar regeringen när det gäller behandling förändamål som rör direkt marknadsföring att sådan behandling kan vara tillåtent.ex. efter en sådan intresseavvägning som anvisas i 10 § fpersonuppgiftslagen. Regeringen föreslår dock en uttrycklig bestämmelse i dennya lagen enligt vilken personuppgifter inte får behandlas för ändamål som rördirekt marknadsföring, om den registrerade hos den personuppgifts-ansvarigeskriftligen har anmält att han eller hon motsätter sig en sådan behandling. Denbestämmelsen uppfyller enligt regeringen kravet i artikel 14 i EG-direktivetatt medlemsstaterna skall tillförsäkra den registrerade rätten att efteranmodan och utan kostnader motsätta sig behandling av personuppgifter som rörden registrerade och som den personuppgifts-ansvarige bedömer kan komma attbehandlas för ändamål som rör direkt marknadsföring. Regeringen påpekar att ettenligt EG-direktivet tillåtet alternativ till en sådan bestämmelse som denföreslagna är att ge den registrerade rätt att bli informerad innanpersonuppgifter lämnas ut till tredje man eller används förtredje mans räkning för ändamål som rör direkt marknadsföring och attuttryckligen få erbjudande om att utan kostnader motsätta sig ett sådantutlämnande eller en sådan användning.