prop · GL0344 · 1998-01-01 00:00:00 — Regeringens proposition 1997/98:44 Regeringen överlämnar denna proposition till . Propositionens huvudsakliga innehåll I propositionen föreslås en personuppgiftslag. Lagen ersätter den nuvarande datalagen (1973:289) och genomför och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Lagen, som i huvudsak följer EG-direktivets text och disposition, omfattar all automatiserad behandling av personuppgifter och behandling av personregister. Rent privat användning av personuppgifter är undantagen. Det görs även undantag med hänsyn till offentlighets- principen och tryck- och yttrandefriheten. Särregler i annan lagstiftning tar över bestämmelserna i personuppgiftslagen. Lagen innehåller bestämmelser om när behandling av personuppgifter är tillåten och när sådana uppgifter får föras över till en stat utanför EES. För behandling av känsliga personuppgifter gäller särskilt stränga regler. Även vissa grundläggande krav på den som behandlar personuppgifter regleras, t.ex. att personuppgifter som samlats in för ett ändamål inte får behandlas för något annat oförenligt ändamål. Det finns i lagen vidare bestämmelser om information till de registrerade, om korrigering av personuppgifter och om säkerheten vid behandlingen. Den enskilde skall i fråga om s.k. automatiserade beslut ha rätt att på begäran få omprövning av beslutet och information om den automatiserade behandling som ligger bakom det. Automatiserad behandling av person- uppgifter måste i princip anmälas till en tillsynsmyndighet, men omfattande undantag från denna anmälningsskyldighet medges, t.ex. när den ansvarige för behandlingen har tillsatt ett s.k. personuppgiftsombud med uppgift att självständigt kontrollera den ansvariges behandling. Den som bryter mot lagen kan drabbas av ingripanden från tillsynsmyn- digheten, t.ex. ett vitesföreläggande, eller skadestånd och straff. Personuppgiftslagen föreslås träda i kraft . Vissa bestämmelser i den nuvarande datalagen föreslås bli flyttade till annan lagstiftning, t.ex. bestämmelsen om straff för dataintrång som flyttas till . Vissa konsekvensändringar görs vidare i sekre- tesslagen (1980:100). Dessa ändringar föreslås träda i kraft med den nya lagen. är det möjligt för att delegera rätten att meddela föreskrifter om automatisk databehandling av personuppgifter. Det före- slås även att regeringsformen justeras så att det blir möjligt för att delegera rätten att meddela föreskrifter om behandling av personuppgifter. Den ändringen föreslås träda i kraft . Innehållsförteckning 1 Förslag till riksdagsbeslut 5 2 Lagtext 6 2.1 Förslag till personuppgiftslag 6 2.2 Förslag till lag om ändring i sekretesslagen (1980:100) 21 2.3 Förslag till lag om ändring i 24 2.4 Förslag till lag om ändring i regeringsformen 25 2.5 Förslag till lag om ändring i personuppgiftslagen (0000:000) 26 3 Ärendet och dess beredning 29 4 Bakgrund och utgångspunkter 30 4.1 Reformbehovet 30 4.2 Den nuvarande datalagen 31 4.3 EG-direktivet 34 5 Genomförandet av EG-direktivet 36 5.1 Lagens uppbyggnad hanteringsmodell eller missbruksmodell 36 5.2 Den nya lagen skall följa direktivets text och struktur 37 6 En teknikoberoende och generell lag 38 6.1 En teknikoberoende lag som omfattar automatiserad behandling och behandling av personuppgifter 38 6.2 En generellt tillämplig lag men särregler i andra författningar gäller framför den nya lagen 40 7 Lagens namn m.m. 42 8 Undantag från den nya lagen 43 8.1 Förhållandet till offentlighetsprincipen 43 8.2 Förhållandet till tryck- och yttrandefriheten 49 8.3 Undantag för rent privat användning av personuppgifter 53 8.4 Ord- och textbehandling kan inte generellt undantas 54 9 Det territoriella tillämpningsområdet för den nya lagen 55 10 Normgivningsdelegation 56 11 Den materiella regleringen 62 11.1 Huvudprinciper 62 11.2 Grundläggande krav på behandlingen av personuppgifter 63 11.3 När behandling av personuppgifter är tillåten 65 11.4 Behandling av särskilda kategorier av uppgifter 67 11.4.1 Behandling av känsliga personuppgifter 67 11.4.2 Behandling utan samtycke av känsliga personuppgifter för forskning och statistik 70 11.4.3 Behandling av uppgifter om lagöverträdelser 75 11.4.4 Behandling av personnummer 76 11.5 Information till den registrerade 78 11.5.1 Information som skall lämnas när uppgifterna samlas in 78 11.5.2 Information som skall lämnas efter ansökan 81 11.6 Korrigering av personuppgifter 86 11.7 Automatiserade beslut 88 11.8 Säkerheten vid behandlingen 90 11.9 Överföring av personuppgifter utanför EES 93 12 Anmälningsskyldighet och upplysningar till allmänheten om behandlingar 97 13 befogenheter 100 14 Skadestånd och straff 105 15 Ikraftträdande- och övergångsbestämmelser 109 16 Övriga frågor 112 16.1 Regler i den nuvarande datalagen som flyttas till andra lagar 112 16.2 Följdändringar 113 17 Ekonomiska konsekvenser av förslaget 114 18 Författningskommentar 115 18.1 Förslaget till personuppgiftslag 115 18.2 Förslaget till lag om ändring i sekretesslagen (1980:100) 147 18.3 Förslaget till lag om ändring i 149 18.4 Förslaget till lag om ändring i regeringsformen 149 18.5 Förslaget till lag om ändring i personuppgiftslagen (0000:000) 149 Bilaga 1 EG-direktivet om personuppgifter 151 Bilaga 2 sammanfattning av sitt betänkande Integritet Offentlighet Informationsteknik (SOU 1997:39) såvitt avser frågan om en ny datalag 183 Bilaga 3 förslag till lagtext 187 Bilaga 4 Sammanfattning av Statskontorets rapport analys av betänkande SOU 1997:39 (Rapport 1997:11) 204 Bilaga 5 Förteckning över remissinstanser 206 Bilaga 6 Lagrådsremissens lagförslag 208 Bilaga 7 Lagrådets yttrande 231 Utdrag ur protokoll vid regeringssammanträde 246 Rättsdatablad 247 1 Förslag till riksdagsbeslut Regeringen föreslår att antar regeringens förslag till 1. personuppgiftslag, 2. lag om ändring i sekretesslagen (1980:100), 3. lag om ändring i , 4. lag om ändring i regeringsformen, 5. lag om ändring i personuppgiftslagen (0000:0000). 2 Lagtext Regeringen har följande förslag till lagtext. 2.1 Förslag till personuppgiftslag Härigenom föreskrivs1 följande. Allmänna bestämmelser Syftet med lagen 1 § Syftet med denna lag är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Avvikande bestämmelser i annan författning 2 § Om det i en annan lag eller i en förordning finns bestämmelser som avviker från denna lag, skall de bestämmelserna gälla. Definitioner 3 § I denna lag används följande beteckningar med nedan angiven bety- delse. Beteckning Betydelse Behandling (av person- uppgifter) Varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, an- vändning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Blockering (av person- uppgifter) En åtgärd som vidtas för att personuppgifterna skall vara förknippade med information om att de är spärrade och om anledningen till spärren och för att personuppgifterna inte skall lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen. Mottagare Den till vilken personuppgifter lämnas ut. När personuppgifter lämnas ut för att en myndighet skall kunna utföra sådan tillsyn, kontroll eller revision som den är skyldig att sköta, anses dock inte myndigheten som mottagare. Personuppgifter All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i li- vet. Personuppgiftsansvarig Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Personuppgiftsbiträde Den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Personuppgiftsombud Den fysiska person som, efter förordnande av den personuppgiftsansvarige, självständigt skall se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Den registrerade Den som en personuppgift avser. Samtycke Varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Den myndighet som regeringen utser för att utöva tillsyn. Tredje land En stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska samarbetsområdet. Tredje man Någon annan än den registrerade, den person- uppgiftsansvarige, personuppgiftsombudet, personuppgiftsbiträdet och sådana personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har befogenhet att behandla personuppgifter. Tillämpningsområde Det territoriella tillämpningsområdet 4 § Denna lag gäller för sådana personuppgiftsansvariga som är etable- rade i . Lagen tillämpas också när den personuppgiftsansvarige är etablerad i tredje land men för behandlingen av personuppgifter använder sig av utrustning som finns i . Vad som sagts gäller dock inte om utrustningen bara används för att överföra uppgifter mellan ett tredje land och ett annat sådant land. I det fall som avses i andra stycket första meningen skall den person- uppgiftsansvarige utse en företrädare för sig som är etablerad i . Vad som anges i denna lag om den personuppgiftsansvarige skall också gälla för företrädaren. Behandling av personuppgifter som omfattas av lagen 5 § Denna lag gäller för sådan behandling av personuppgifter som helt eller delvis är automatiserad. Lagen gäller även för annan behandling av personuppgifter, om upp- gifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Undantag för privat behandling av personuppgifter 6 § Denna lag gäller inte för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur. Förhållandet till tryck- och yttrandefriheten 7 § Bestämmelserna i denna lag tillämpas inte i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryck- frihetsförordningen eller yttrandefrihetsgrundlagen. Bestämmelserna i 9 29 och 33 44 §§ samt 45 § första stycket och 47 49 §§ skall inte tillämpas på sådan behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. Förhållandet till offentlighetsprincipen 8 § Bestämmelserna i denna lag tillämpas inte i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsför- ordningen att lämna ut personuppgifter. Bestämmelserna hindrar inte heller att en myndighet arkiverar och be- varar allmänna handlingar eller att arkivmaterial tas om hand av en arkiv- myndighet. Bestämmelsen i 9 § fjärde stycket gäller inte för en myn- dighets användning av personuppgifter i allmänna handlingar. Grundläggande krav på behandlingen av personuppgifter 9 § Den personuppgiftsansvarige skall se till att a) personuppgifter behandlas bara om det är lagligt, b) personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed, c) personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, d) personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, e) de personuppgifter som behandlas är adekvata och relevanta i för- hållande till ändamålen med behandlingen, f) inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen, g) de personuppgifter som behandlas är riktiga och, om det är nöd- vändigt, aktuella, h) alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen, och i) personuppgifter inte bevaras än vad som är nöd- vändigt med hänsyn till ändamålen med behandlingen. I fråga om första stycket d gäller dock att en behandling av person- uppgifter för historiska, statistiska eller vetenskapliga ändamål inte skall anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Personuppgifter får bevaras för historiska, statistiska eller veten- skapliga ändamål än som sagts i första stycket i. Personuppgifterna får dock i sådana fall inte bevaras än vad som behövs för dessa ändamål. Personuppgifter som behandlas för historiska, statistiska eller veten- skapliga ändamål får användas för att vidta åtgärder i fråga om den registrerade bara om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. När behandling av personuppgifter är tillåten 10 § Personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för att a) ett avtal med den registrerade skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, b) den personuppgiftsansvarige skall kunna fullgöra en rättslig skyl- dighet, c) vitala intressen för den registrerade skall kunna skyddas, d) en arbetsuppgift av allmänt intresse skall kunna utföras, e) den personuppgiftsansvarige eller en tredje man till vilken person- uppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller f) ett ändamål som rör ett berättigat intresse hos den personuppgifts- ansvarige eller hos en sådan tredje man till vilken personuppgifterna läm- nas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Direkt marknadsföring 11 § Personuppgifter får inte behandlas för ändamål som rör direkt mark- nadsföring, om den registrerade hos den personuppgiftsansvarige skriftli- gen har anmält att han eller hon motsätter sig sådan behandling. Samtycke återkallas 12 § I de fall då behandling av personuppgifter bara är tillåten när den registrerade har lämnat sitt samtycke enligt 10, 15 eller 34 § har den re- gistrerade rätt att när som helst återkalla ett lämnat samtycke. Ytterligare personuppgifter om den registrerade får därefter inte behandlas. En registrerad har utöver vad som följer av första stycket och 11 § inte rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt denna lag. Förbud mot behandling av känsliga personuppgifter 13 § Det är förbjudet att behandla personuppgifter som avslöjar a) ras eller etniskt ursprung, b) politiska åsikter, c) religiös eller filosofisk övertygelse, eller d) medlemskap i fackförening. Det är också förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. Uppgifter av den art som anges i första och andra styckena betecknas i denna lag som känsliga personuppgifter. Undantag från förbudet mot behandling av känsliga personuppgifter 14 § Det är trots förbudet i 13 § tillåtet att behandla känsliga person- uppgifter i de fall som anges i 15 19 §§. I 10 § finns det bestämmelser om i vilka fall behandling av personupp- gifter över huvud taget är tillåten. Samtycke eller offentliggörande 15 § Känsliga personuppgifter får behandlas, om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna. Nödvändig behandling 16 § Känsliga personuppgifter får behandlas om behandlingen är nödvän- dig för att a) den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, b) den registrerades eller någon annans vitala intressen skall kunna skyddas och den registrerade inte kan lämna sitt samtycke, eller c) rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. Uppgifter som behandlas med stöd av första stycket a får lämnas ut till tredje man bara om det inom arbetsrätten finns en skyldighet för den personuppgiftsansvarige att göra det eller den registrerade uttryckligen har samtyckt till utlämnandet. Ideella organisationer 17 § Ideella organisationer med politiskt, filosofiskt, religiöst eller fackligt syfte får inom ramen för sin verksamhet behandla känsliga personuppgifter om organisationens medlemmar och sådana andra personer som på grund av organisationens syfte har regelbunden kontakt med den. Känsliga personuppgifter får dock lämnas ut till tredje man bara om den registrerade uttryckligen har samtyckt till det. Hälso- och sjukvård 18 § Känsliga personuppgifter får behandlas för hälso- och sjuk- vårdsändamål, om behandlingen är nödvändig för a) förebyggande hälso- och sjukvård, b) medicinska diagnoser, c) vård eller behandling, eller d) administration av hälso- och sjukvård. Den som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och har tystnadsplikt får även behandla känsliga personuppgifter som omfattas av tystnadsplikten. Detsamma gäller den som är underkastad en liknande tystnadsplikt och som har fått känsliga personuppgifter från verksamhet inom hälso- och sjukvårdsområdet. Forskning och statistik 19 § Känsliga personuppgifter får behandlas för forsknings- och statistik- ändamål, om behandlingen är nödvändig på sätt som sägs i 10 § och om samhällsintresset av det forsknings- eller statistikprojekt där behand- lingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Har behandlingen godkänts av en forskningsetisk kommitté, skall förutsättningarna enligt första stycket anses uppfyllda. Med forskningsetisk kommitté avses ett sådant särskilt organ för prövning av forskningsetiska frågor som har företrädare för såväl det allmänna som forskningen och som är knutet till ett universitet eller en högskola eller till någon annan instans som i mera betydande omfattning finansierar forskning. Personuppgifter får lämnas ut för att användas i sådana projekt som avses i första stycket, om inte något annat följer av regler om sekretess och tystnadsplikt. Bemyndigande att föreskriva ytterligare undantag 20 § Regeringen eller den myndighet som regeringen bestämmer får i fråga om automatiserad behandling av personuppgifter meddela före- skrifter om ytterligare undantag från förbudet i 13 §, om det behövs med hänsyn till ett viktigt allmänt intresse. Uppgifter om lagöverträdelser m.m. 21 § Det är förbjudet för andra än myndigheter att behandla person- uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Regeringen eller den myndighet som regeringen bestämmer får i fråga om automatiserad behandling av personuppgifter meddela föreskrifter om undantag från förbudet i första stycket. Regeringen får i enskilda fall besluta om undantag från förbudet i första stycket. Regeringen får överlåta åt tillsynsmyndigheten att fatta sådana beslut. Behandling av personnummer 22 § Uppgifter om personnummer får utan samtycke behandlas bara när det är klart motiverat med hänsyn till a) ändamålet med behandlingen, b) vikten av en säker identifiering, eller c) något annat beaktansvärt skäl. Information till den registrerade Information skall lämnas självmant 23 § Om uppgifter om en person samlas in från personen själv, skall den personuppgiftsansvarige i samband därmed självmant lämna den re- gistrerade information om behandlingen av uppgifterna. 24 § Om personuppgifterna har samlats in från någon annan källa än den registrerade, skall den personuppgiftsansvarige självmant lämna den registrerade information om behandlingen av uppgifterna när de registreras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver informationen dock inte ges förrän uppgifterna lämnas ut . Information enligt första stycket behöver inte lämnas, om det finns be- stämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. Information behöver inte heller lämnas enligt första stycket, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor ar- betsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall dock information lämnas senast i samband med att så sker. Den information som skall lämnas självmant 25 § Information enligt 23 eller 24 § skall omfatta a) uppgift om den personuppgiftsansvariges identitet, b) uppgift om ändamålen med behandlingen, och c) all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Information skall lämnas efter ansökan 26 § Den personuppgiftsansvarige är skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om person- uppgifter som rör den sökande behandlas eller ej. Behandlas sådana upp- gifter skall skriftlig information lämnas också om a) vilka uppgifter om den sökande som behandlas, b) varifrån dessa uppgifter har hämtats, c) ändamålen med behandlingen, och d) till vilka mottagare eller kategorier av mottagare som uppgifterna läm- nas ut. En ansökan enligt första stycket skall göras skriftligen hos den person- uppgiftsansvarige och vara undertecknad av den sökande själv. Infor- mation enligt första stycket skall lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast efter det att ansökan gjordes. Information enligt första stycket behöver inte lämnas om person- uppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Vad som sagts gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller veten- skapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats . Undantag från informationsskyldigheten vid sekretess och tystnadsplikt 27 § I den utsträckning det är särskilt föreskrivet i lag eller annan författ- ning eller i beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade gäller inte bestämmelserna i 23 26 §§. En personuppgiftsansvarig som inte är en myndighet får därvid i motsvarande fall som avses i sekretesslagen (1980:100) vägra att lämna ut uppgifter till den registrerade. Rättelse 28 § Den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har utfärdats med stöd av lagen. Den personuppgiftsansvarige skall också underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en under- rättelse. Någon sådan underrättelse behöver dock inte lämnas, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Automatiserade beslut 29 § Om ett beslut som har rättsliga följder för en fysisk person eller annars har märkbara verkningar för den fysiska personen, grundas enbart på automatiserad behandling av sådana personuppgifter som är avsedda att bedöma egenskaper hos personen, skall den som berörs av beslutet ha möjlighet att på begäran få beslutet omprövat av någon person. Var och en som varit föremål för ett sådant beslut som avses i första stycket har rätt att på ansökan få information från den personupp- giftsansvarige om vad som har styrt den automatiserade behandling som lett fram till beslutet. I fråga om ansökan och lämnandet av information gäller i tillämpliga delar bestämmelserna i 26 §.