prop · GL0344 · 1998-01-01 00:00:00 — Det är i första hand den personuppgiftsansvarige som har att på eget ansvar tillämpa avvägningsnormen. Om behandlingen inom ett aktuellt projektet godkänts av en forsk- ningsetisk kommitté, behöver den personuppgiftsansvarige inte göra någon egen avvägning enligt första stycket. Då skall nämligen enligt andra stycket förutsättningarna enligt avvägningsnormen i första stycket anses uppfyllda. Med en forskningsetisk kommitté avses en sådan kommitté eller liknande som motsvarar de kommittéer som finns knutna till de medicinska fakulteterna, Humanistisk-samhällsvetenskapliga forsknings- rådet och . I andra stycket finns det en generell definition av forskningsetisk kommitté. Det måste vara fråga om ett särskilt organ. Den instans som gör den forskningsetiska prövningen måste således vara särskilt inrättat för att göra prövningen. Det är därför inte tillräckligt att styrelsen för en institution eller en forskningsstiftelse eller något annat befintligt organ med andra uppgifter än forskningsetiska bedömningar ges i uppdrag att göra prövningen. I organet skall det vidare finnas företrädare för såväl det allmänna som forskningen. Det finns inget krav på hur företrädarna skall utses, men de måste i någon mening kunna anses representera allmänna samhällsintressen respektive forskningsintressen. Organet skall dessutom vara knutet till ett universitet eller en högskola eller till någon annan betydande forskningsfinansiär, t.ex. ett forskningsråd eller en forskningsstiftelse. Det finns dock inget som hindrar att organet prövar även forskning som finansieras eller bedrivs av någon annan instans än den som organet är knutet till. I förslag och i lagrådsremissen angavs att projektet skulle godkännas av den forskningsetiska kommittén. Vi har här i stället valt att knyta bestämmelsen till om behandlingen godkänts, vilket är den avgörande frågan vad avser skydd av personuppgifter. Om behandlingen i forsknings- eller statistikprojektet har godkänts av en forskningsetisk kommitté, är behandlingen således tillåten enligt lagen. Om den forskningsetiska kommittén har villkorat sitt godkännande, måste villkoren, t.ex. om information till de registrerade och rätt att på begäran få bli struken, följas för att behandlingen skall vara tillåten. I tredje stycket finns det en bestämmelse om utlämnande av person- uppgifter för användning i forsknings- och statistikprojekt. Bestämmelsen är en sådan bestämmelse om utlämnande av person- uppgifter som avses i 24 § andra stycket och som för med sig att den forskare eller statistiker som i enlighet med bestämmelsen hämtar in personuppgifter från något annat håll än de registrerade inte automatiskt behöver informera de registrerade om sin behandling (se också artikel 11.2 i EG-direktivet). Däremot kan den forskningsetiska granskningen enligt andra stycket eller en tillämpning av avvägningsnormen i första stycket leda till att information ändå skall lämnas. Bestämmelsen avser utlämnande av både känsliga och icke känsliga personuppgifter. Bestämmelsen träffar bara utlämnande av personuppgifter för använd- ning i sådana projekt som avses i första stycket. Har en behandling god- känts av en forskningsetisk kommitté enligt andra stycket, skall förutsätt- ningarna enligt första stycket anses uppfyllda, varför utlämnande får ske för en godkänd behandling i ett projekt. Bestämmelsen innebär inte någon skyldighet att lämna ut person- uppgifter. Den tillåter bara att den som innehar uppgifterna lämnar ut dem om han eller hon vill det. Om något annat följer av regler om sekretess och tystnadsplikt, får uppgifterna dock inte lämnas ut. Regler om sekretess eller tystnadsplikt finns t.ex. i sekretesslagen (1980:100), lagen (1994:953) om åligganden för personal inom hälso- och sjukvården och lagen (1996:786) om tillsyn över hälso- och sjukvården. Bemyndigande att föreskriva ytterligare undantag 20 § Regeringen eller den myndighet som regeringen bestämmer får i fråga om automatiserad behandling av personuppgifter meddela föreskrifter om ytterligare undantag från förbudet i 13 §, om det behövs med hänsyn till ett viktigt allmänt intresse. Paragrafen innehåller ett bemyndigande för regeringen eller den myndig- het som regeringen bestämmer att meddela föreskrifter. Frågan om norm- givningsdelegation har behandlats i avsnitt 10. Paragrafen överensstäm- mer med förslag och har berörts i avsnitt 12.5.3.3 i kommitténs betänkande. Av förslaget till lag om ändring i personuppgiftslagen (avsnitt 15) framgår att paragrafen per ändras så att det blir möjligt att meddela föreskrifter även såvitt avser sådan behandling som omfattas av personuppgiftslagen. Uttrycket viktigt allmänt intresse skall ha samma innebörd som enligt artikel 8.4 i EG-direktivet, se bilaga 1. Uppgifter om lagöverträdelser m.m. 21 § Det är förbjudet för andra än myndigheter att behandla person- uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Regeringen eller den myndighet som regeringen bestämmer får i fråga om automatiserad behandling av personuppgifter meddela föreskrifter om undantag från förbudet i första stycket. Regeringen får i enskilda fall besluta om undantag från förbudet i första stycket. Regeringen får överlåta åt tillsynsmyndigheten att fatta sådana beslut. Frågan om behandling av uppgifter om lagöverträdelser har behandlats i avsnitt 11.4.3. Paragrafens två första stycken överensstämmer i huvudsak med förslag och har berörts i avsnitt 12.5.3.4 i kommitténs betänkande. Uttrycken myndighet , lagöverträdelser och domar i brottmål skall ha samma innebörd som motsvarande uttryck i artikel 8.5 första stycket i EG-direktivet, se bilaga 1. Efter påpekande av Lagrådet har det preciserats att med lagöverträdelser avses sådana lagöverträdelser som innefattar brott. I stället för direktivets begrepp säkerhetsåtgärder som föreslagits av används begreppet straffprocessuella tvångsmedel eftersom det tidigare begreppets innehåll är oklart. Som framgår av avsnitt 11.4.3 torde administrativa frihetsberövanden omfattas av regleringen, varför detta uttryckligen lagts till. Andra stycket innehåller ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om un- dantag. Frågan om normgivningsdelegation har berörts i avsnitt 10. Genom tredje stycket har förtydligats att regeringen eller, om rege- ringen så bestämmer, tillsynsmyndigheten i enskilda fall kan besluta om undantag från förbudet i första stycket. Av förslaget till lag om ändring i personuppgiftslagen (avsnitt 15) framgår att paragrafen per ändras så att det blir möjligt att meddela föreskrifter även såvitt avser sådan behandling som omfattas av personuppgiftslagen. Enligt 50 § a får regeringen eller den myndighet som regeringen bestämmer meddela närmare föreskrifter om i vilka fall behandling av personuppgifter är tillåten enligt första stycket. Behandling av personnummer 22 § Uppgifter om personnummer får utan samtycke behandlas bara när det är klart motiverat med hänsyn till a) ändamålet med behandlingen, b) vikten av en säker identifiering, eller c) något annat beaktansvärt skäl. Frågan om behandling av personnummer har behandlats i avsnitt 11.4.4. Paragrafen överensstämmer i stort med förslag och har berörts i avsnitt 12.6 i kommitténs betänkande. Till paragrafen har utan någon betydande ändring i sak förts över de bestämmelser som finns i 7 § andra stycket i den nuvarande datalagen. Om någon lämnat sitt samtycke är det självklart att en uppgift om person- nummer skall få behandlas. Den uttryckliga bestämmelsen i den nu- varande datalagen om att personuppgifter får återges på datautskrifter endast när det finns särskilda skäl har inte förts över. Det innebär dock inte någon ändring i sak, eftersom redan den överförda huvudregeln innebär att en uppgift om personnummer får behandlas t.ex. genom att fästas på en utskrift eller visas upp på en datorskärm bara när den behandlingen är klart motiverad med hänsyn till något beaktansvärt skäl. Enligt 50 § a får regeringen eller den myndighet som regeringen bestämmer meddela närmare föreskrifter om i vilka fall användning av personnummer är tillåten. Information till den registrerade Frågan om information till den registrerade har behandlats i avsnitt 11.5. Enligt 50 § e får regeringen eller den myndighet som regeringen bestämmer meddela närmare föreskrifter om vilken information som skall lämnas till registrerade och hur informationen skall lämnas. Information skall lämnas självmant 23 § Om uppgifter om en person samlas in från personen själv, skall den personuppgiftsansvarige i samband därmed självmant lämna den registrerade information om behandlingen av uppgifterna. Paragrafen överensstämmer med förslag och har berörts i avsnitt 12.7.2 i kommitténs betänkande. Paragrafen skall ha samma innebörd som artikel 10 i EG-direktivet, se bilaga 1. I 25 § finns det bestämmelser om vilken information som skall lämnas, och i 27 § finns det bestämmelser om vissa undantag från informationsskyldigheten. 24 § Om personuppgifterna har samlats in från någon annan källa än den registrerade, skall den personuppgiftsansvarige självmant lämna den registrerade information om behandlingen av uppgifterna när de registreras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver informationen dock inte ges förrän uppgifterna lämnas ut . Information enligt första stycket behöver inte lämnas, om det finns be- stämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. Information behöver inte heller lämnas enligt första stycket, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor ar- betsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall dock information lämnas senast i samband med att så sker. Paragrafen överensstämmer med förslag och har berörts i avsnitt 12.7.2 i kommitténs betänkande. Paragrafen skall ha samma innebörd som artikel 11 i EG-direktivet, se bilaga 1. I 25 § finns det bestämmelser om vilken information som skall lämnas, och i 27 § finns det bestämmelser om vissa undantag från informationsskyldigheten. Bestämmelsen i sista meningen i tredje stycket utgör en sådan lämplig skyddsåtgärd som avses i artikel 11.2 sista meningen i EG-direktivet. Bestämmelsen utgör en garanti för att den registrerade inte utsätts för en åtgärd utan att få reda på vilken uppgiftsbehandling som ligger bakom den. Om exempelvis en personuppgiftsansvarig för utskick för direkt marknadsföring hämtat in uppgifter om så många personer att det skulle innebära en oproportionerligt stor arbetsinsats att informera dem alla redan när uppgifterna registreras, måste således information lämnas senast i de handlingar som sänds ut. Den information som skall lämnas självmant 25 § Information enligt 23 eller 24 § skall omfatta a) uppgift om den personuppgiftsansvariges identitet, b) uppgift om ändamålen med behandlingen, och c) all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Paragrafen överensstämmer i huvudsak med förslag och har berörts i avsnitt 12.7.2.3 i kommitténs betänkande. Paragrafen skall ha samma innebörd som artikel 10 och 11.1 i EG- direktivet, se bilaga 1. I 27 § finns det bestämmelser om vissa undantag från informations- skyldigheten. Information skall lämnas efter ansökan 26 § Den personuppgiftsansvarige är skyldig att till var och en som an- söker om det en gång per kalenderår gratis lämna besked om person- uppgifter som rör den sökande behandlas eller ej. Behandlas sådana uppgifter skall skriftlig information lämnas också om a) vilka uppgifter om den sökande som behandlas, b) varifrån dessa uppgifter har hämtats, c) ändamålen med behandlingen, och d) till vilka mottagare eller kategorier av mottagare som uppgifterna läm- nas ut. En ansökan enligt första stycket skall göras skriftligen hos den person- uppgiftsansvarige och vara undertecknad av den sökande själv. Information enligt första stycket skall lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast efter det att ansökan gjordes. Information enligt första stycket behöver inte lämnas om person- uppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Vad som sagts gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats . Paragrafen överensstämmer i huvudsak med förslag och har berörts i avsnitt 12.7.3 och 11.6.7 i kommitténs betänkande. I 27 § finns det bestämmelser om vissa undantag från informations- skyldigheten. Första stycket i paragrafen skall i tillämpliga delar ha samma innebörd som artikel 12 a i EG-direktivet, se bilaga 1. En och samma person har rätt att högst en gång per kalenderår få sådan information som avses i paragrafen. Personen måste varje kalenderår göra en särskild ansökan om information. Informationen skall vara gratis för den som ansöker om det. Skriftlighetskravet innebär att informationen måste vara uttryckt i text, men texten kan finnas på papper lika väl som i elektronisk form. Enligt andra stycket skall ansökan göras skriftligen och vara under- tecknad av den sökande själv. Det innebär att ansökan måste göras på papper. Enligt 50 § d får regeringen eller den myndighet som regeringen bestämmer meddela närmare föreskrifter om innehållet i en ansökan till en personuppgiftsansvarig. Huvudregeln är att information skall lämnas inom en månad från det att ansökan gjordes. Informationen får dock lämnas senast efter det att ansökan gjordes, under förutsättning att det finns särskilda skäl för det. Sådana särskilda skäl kan vara att personuppgifterna är kryp- terade, att sökmöjligheterna annars är begränsade eller att den person- uppgiftsansvarige har många personuppgifter uppdelade på olika register eller andra datasamlingar. Bestämmelserna i 10 § förvaltningslagen (1986:223), 44 § förvaltningsprocesslagen (1971:291) och 33 kap. 3 § kan vara till ledning vid avgörande av frågan när en ansökan skall anses ha gjorts. Det är bara de behandlade uppgifter som den personuppgiftsansvarige har i behåll när han eller hon lämnar informationen som måste lämnas ut. Det finns alltså inget som hindrar att den personuppgiftsansvarige från ansökan till utlämnandet utplånar uppgifter eller slutar med att behandla dem på ett sätt som omfattas av lagen. Det är vid tvist den sökande som har bevisbördan för att en ansökan gjorts och tidpunkten för denna och den personuppgiftsansvarige som har bevisbördan för att informationen lämnats i rätt tid och i förekommande fall att det funnits sådana omständigheter som utgjort särskilda skäl. I tredje stycket finns det vissa undantagsbestämmelser beträffande personuppgifter i löpande text. Med löpande text avses information som inte har strukturerats så att sökning av personuppgifter underlättas. Med text som inte har fått sin slutliga utformning avses koncept och utkast och liknande. Text som är avsedd att tid efter annan ändras eller kompletteras och således aldrig kommer att få någon slutlig utformning omfattas inte. Med text som utgör minnesanteckning avses promemorior och liknande som har kommit till bara för att förbereda något slags ärende. Med behandling för historiska, statistiska och vetenskapliga ändamål avses detsamma som enligt artikel 6 i EG-direktivet, se bilaga 1. Huvudfallet är här att ett utkast eller en minnesanteckning i ett avslutat ärende har tagits om hand för arkivering. Undantag från informationsskyldigheten vid sekretess och tystnadsplikt 27 § I den utsträckning det är särskilt föreskrivet i lag eller annan författ- ning eller i beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade gäller inte bestämmelserna i 23 26 §§. En personuppgiftsansvarig som inte är en myndighet får därvid i motsvarande fall som avses i sekretesslagen (1980:100) vägra att lämna ut uppgifter till den registrerade. Paragrafen har behandlats i avsnitt 11.5.2. har berört frågan i avsnitt 12.7.4 i sitt betänkande. Första meningen motsvarar delvis 10 § tredje stycket i den nuvarande datalagen. Meningen överensstämmer med förslag. Andra meningen innebär att även en personuppgiftsansvarig som inte är en myndighet får använda bestämmelserna i sekretesslagen för att vägra att lämna ut information till den registrerade. Meningen ersätter förslag till en bestämmelse med ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att föreskriva undantag från informationsskyldigheten, om det behövs för att skydda grundläggande intressen för enskilda eller för att förebygga, undersöka eller avslöja brott. Rättelse 28 § Den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har utfärdats med stöd av lagen. Den personuppgiftsansvarige skall också underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte lämnas om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Frågan om korrigering av personuppgifter har behandlats i avsnitt 11.6. Korrigering av personuppgifter hos myndigheter har berörts i avsnitt 8.1. Paragrafen överensstämmer i huvudsak med förslag och har berörts i avsnitt 12.8 och 11.6.7 i kommitténs betänkande. Paragrafen är avsedd att ha samma innebörd som artikel 12 b och c i EG-direktivet, se bilaga 1. Den registrerades begäran om korrigering eller underrättelse till tredje man kan framställas formlöst till den personuppgiftsansvarige eller någon som företräder denne. Det räcker att det av begäran framgår att den registrerade är missnöjd med behandlingen i något visst avseende och vill att korrigering skall vidtas. Framställs en sådan begäran bör den personuppgiftsansvarige skyndsamt utreda om de framförda anmärkningarna är befogade och, om så skulle vara fallet, vidta korrigering. Omfattningen av utredningen får bero av de anmärkningar den registrerade framställt. Uppkommer oenighet mellan den person- uppgiftsansvarige och den registrerade om uppgifterna skall korrigeras eller inte, kan den registrerade anmäla förhållandet till tillsynsmyndigheten, som har möjlighet att förelägga vite om lagen inte följs och att ansöka om utplånande av uppgifterna, eller själv väcka talan om saken vid allmän domstol. Det är i princip den personuppgiftsansvarige som själv väljer korri- geringsmetod, dvs. om de aktuella personuppgifterna skall rättas, blockeras eller utplånas. Av annan lagstiftning eller av sakens natur kan dock följa att vissa korrigeringsmetoder inte kan användas i vissa fall, t.ex. när det gäller korrigering av personuppgifter i bokföring. Den personuppgiftsansvarige är såsom framgår av paragrafen under alla förhållanden skyldig att underrätta tredje man om en korrigering, om det kan antas att en underrättelse skulle kunna undvika mera betydande skada eller olägenhet för den registrerade. En felaktig, känslig person- uppgift, t.ex. om att den registrerade är sjuk eller har en extrem politisk eller religiös övertygelse, kan regelmässigt antas föranleda sådan skada eller olägenhet som avses, om de tredje män som fått den felaktiga uppgiften inte underrättas. Gäller det däremot en mera harmlös uppgift, t.ex. om den registrerades adress, bör det som regel krävas någon särskild omständighet för att man skall kunna anta att en underrättelse skulle kunna undvika sådan skada eller olägenhet som avses. Det måste vidare kunna antas att underrättelsen medför att skadan eller olägenheten kan undvikas. Detta är inte fallet när det är känt att aktuella tredje män redan har korrigerat uppgiften. Det finns inte något formkrav beträffande den personuppgiftsansva- riges underrättelse till dem som mottagit personuppgifterna. I under- rättelsen skall anges den åtgärd som den personuppgiftsansvarige har vidtagit beträffande personuppgifterna. I detta krav på att åtgärden skall anges innefattas att information skall lämnas om anledningen till åt- gärden, t.ex. att de tidigare uppgifterna var felaktiga eller ofullständiga. Har en felaktig uppgift rättats måste vidare, om det är nödvändigt, under- rättelse lämnas om såväl den tidigare, felaktiga uppgiften som den nya, riktiga uppgiften. Avsikten med underrättelseskyldigheten är att de som har tagit emot en uppgift som har korrigerats i sin tur skall kunna på lämpligt sätt korrigera den mottagna uppgiften och eventuella åtgärder som har vidtagits med ledning av uppgiften. Underrättelsen bör därför innehålla sådan information som gör detta möjligt. Rör felaktigheten exempelvis en uppgift som mottagaren kan antas använda som enda sök- begrepp, t.ex. namn eller personnummer, är det nödvändigt att den felaktiga uppgiften anges för att mottagaren i praktiken skall kunna göra en rättelse i sin tur. Det finns inte någon formell skyldighet att självmant underrätta i flera led. En tredje man som fått en underrättelse och som själv är person- uppgiftsansvarig, är således inte rättsligt förpliktad att underrätta de tredje män till vilka han eller hon i sin tur kan ha lämnat ut uppgiften bara på grund av att han eller hon till följd av en underrättelse självmant har rättat uppgiften. Det får dock förutsättas att de person- uppgiftsansvariga frivilligt på lämpligt sätt ser till att mildra skadeverkningarna av felaktiga eller ofullständiga uppgifter som självmant rättats. Automatiserade beslut 29 § Om ett beslut som har rättsliga följder för en fysisk person eller annars har märkbara verkningar för den fysiska personen, grundas enbart på automatiserad behandling av sådana personuppgifter som är avsedda att bedöma egenskaper hos personen, skall den som berörs av beslutet ha möjlighet att på begäran få beslutet omprövat av någon person. Var och en som varit föremål för ett sådant beslut som avses i första stycket har rätt att på ansökan få information från den person- uppgiftsansvarige om vad som har styrt den automatiserade behandling som lett fram till beslutet. I fråga om ansökan och lämnandet av information gäller i tillämpliga delar bestämmelserna i 26 §. Frågan om automatiserade beslut har behandlats i avsnitt 11.7. Paragrafen överensstämmer i huvudsak med förslag och har berörts i avsnitt 12.9 i kommitténs betänkande. Definitionen av de beslut som avses i paragrafen skall ha samma innebörd som enligt artikel 15.1 i EG-direktivet, se bilaga 1. Första stycket innebär att det skall finnas en rätt att på begäran få ett automatiserat beslut omprövat. Det finns inget formkrav för den registre- rades begäran om omprövning. Att den registrerade skall ha rätt att på begäran få det automatiserade beslutet omprövat innebär en rätt att få beslutet granskat av en människa som har makt att ersätta det auto- matiserade beslutet med ett annat. Rätten till omprövning innebär däremot inte att det automatiserade beslutet måste ersättas av ett nytt beslut. För den offentliga förvaltningen finns det ofta redan föreskrifter om en rätt till omprövning av beslut, se t.ex. 27 § förvaltningslagen. I den utsträckning det i lag eller förordning finns särskilda regler om t.ex. för- farandet vid omprövning, gäller dessa föreskrifter framför person- uppgiftslagen, se 2 §.