prop · GL0344 · 1998-01-01 00:00:00 — Regler om sekretess och tystnadsplikt går före informationsskyldigheten. förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Flera remissinstanser noterar att skyldigheterna att informera kommer att öka med den nya lagen och poängterar vikten av att skyldigheterna hålls på en rimlig nivå. En del instanser på lands- tingsområdet efterlyser klarlägganden av förhållandet mellan informa- tionsskyldigheten enligt den nya lagen och likartade skyldigheter att informera enligt lagstiftning på hälso- och sjukvårdsområdet. Skälen för regeringens förslag: I artikel 10 11 i EG-direktivet (se bilaga 1) finns det bestämmelser om den information som en person- uppgiftsansvarig skall lämna självmant till den registrerade i samband med att han eller hon samlar in personuppgifter. Artikel 10 rör den situationen att uppgifterna samlas in från den registrerade själv, medan artikel 11 gäller när uppgifterna hämtas in från något annat håll. I båda fallen skall den personuppgiftsansvarige lämna informationen självmant. Det krävs alltså inte att den registrerade begär att få information. Samlas personuppgifterna in från den registrerade själv, skall informa- tionen alltid lämnas i samband därmed. Samlar den personupp- giftsansvarige in uppgifter från de registrerade utan att då berätta vad uppgifterna skall användas till, kan behandlingen av personuppgifterna inte anses ha gått korrekt till. När personuppgifterna hämtas in från något annat håll, skall informa- tionen enligt direktivet lämnas vid registreringen . Kan det vid detta till- fälle förutses att uppgifterna kommer att lämnas ut till tredje man, är det dock tillåtet att vänta med informationen ända till dess att uppgifterna lämnas ut . Av EG-direktivet följer att informationen skall avse den person- uppgiftsansvariges och dennes eventuella företrädares identitet, ändamålen med den behandling för vilka uppgifterna är avsedda, och all ytterligare information i den utsträckning informationen med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in är nödvändig för att tillförsäkra den registrerade en korrekt behandling. Den personuppgiftsansvarige är dock aldrig skyldig att lämna information om sådant som den registrerade redan känner till. För det fallet att personuppgifterna hämtas in från något annat håll än den registrerade själv finns det i artikel 11.2 i EG-direktivet vissa undantag från skyldigheten att informera. Undantagen gäller när det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor ansträngning att lämna information och när registreringen eller utläm- nandet uttryckligen föreskrivs i författning. För dessa undantagsfall skall medlemsstaterna föreskriva lämpliga skyddsåtgärder. Enligt punkt 40 i ingressen till EG-direktivet kan vid bedömningen av om informa- tionslämnandet skulle innebära en oproportionerligt stor ansträngning beaktas bl.a. antalet registrerade, uppgifternas ålder och de kompen- satoriska åtgärder som kan vidtas . De nu redovisade bestämmelserna i måste genomföras i svensk lagstiftning. Vi föreslår att så sker genom att bestämmelserna förs över till den nya lagen. Den nya lagen går alltså inte längre än vad som krävs enligt EG-direktivet. Den skyldighet att informera som föreskrivs i den nya lagen gäller i princip utöver den informationsskyldighet som kan vara föreskriven enligt annan lagstiftning, t.ex. på hälso- och sjukvårdsområdet. Emellertid gäller enligt den nya lagen att information aldrig behöver lämnas om sådant som den registrerade redan känner till, t.ex. på grund av att han eller hon redan har fått informationen i enlighet med annan lagstiftning. Bestämmelsen om att information aldrig behöver lämnas om sådant som den registrerade redan känner till kan vidare ha särskild betydelse när den personuppgiftsansvarige avser att fortlöpande samla in uppgifter om den registrerade. Information behöver då inte lämnas varje gång nya uppgifter samlas in, om den registrerade en gång har fått fullständig information och således redan känner till informationen. Lämpliga skyddsåtgärder när information inte behöver lämnas måste enligt EG-direktivet föreskriva lämpliga skyddsåtgärder för de fall där information inte behöver lämnas därför att registreringen eller utlämnandet uttryckligen föreskrivs i författning eller därför att det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor ansträngning att lämna information. När det finns bestämmelser om registreringen eller utlämnandet i en författning, finns det som regel mekanismer eller föreskrifter i den aktuella författningen som förhindrar missbruk och som får anses vara tillräckliga för att uppfylla direktivets krav på lämpliga skyddsåtgärder. Eventuella tillkommande lämpliga skyddsåtgärder får tas in i den författ- ning som föreskriver registreringen eller utlämnandet. Några generella föreskrifter om lämpliga skyddsåtgärder för det fallet att registreringen eller utlämnandet är författningsreglerat behöver således inte tas in i den nya lagen. Frågan om författningsstöd för utlämnande av personuppgifter för forskning och statistik har berörts i avsnitt 11.4.2. När det sedan gäller det fallet att det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats att lämna information, är det nödvändigt att i den nya lagen ta in bestämmelser om sådana lämpliga skyddsåtgärder som krävs enligt EG-direktivet. Enligt vår mening är det i detta hänseende tillräckligt att i den nya lagen föreskriva att information alltid skall lämnas senast i samband med att de aktuella uppgifterna används för att vidta åtgärder beträffande de registrerade. Därmed finns det en garanti för att den registrerade inte utsätts för en åtgärd utan att få reda på vilken uppgiftsbehandling som ligger bakom den. Om en personuppgiftsansvarig för utskick för direkt marknadsföring hämtat in uppgifter om så många personer att det skulle innebära en oproportionerligt stor arbetsinsats att informera dem alla redan när uppgifterna registreras, måste således information lämnas senast i de handlingar som sänds ut. Undantag vid sekretess och tystnadsplikt I den utsträckning det i en lag eller någon annan författning eller i ett beslut som har meddelats med stöd av en författning är särskilt föreskrivet att uppgifter inte får lämnas ut till den registrerade, behöver information inte lämnas. Denna undantagsregel, som är gemensam för den nu berörda skyldigheten att självmant lämna information när person- uppgifterna samlas in och skyldigheten att efter ansökan av den registrerade lämna information, berörs närmare i nästa avsnitt. 11.5.2 Information som skall lämnas efter ansökan Regeringens förslag: Den personuppgiftsansvarige är skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked i frågan om personuppgifter som rör sökanden behandlas eller ej. Behandlas sådana uppgifter skall skriftlig information lämnas också om vilka uppgifter om sökanden som behandlas, varifrån dessa uppgifter har hämtats, vilka ändamålen med behandlingen är och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Ansökan om information skall göras skriftligen hos den person- uppgiftsansvarige och vara undertecknad av den sökande själv. Informationen skall lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får informationen dock lämnas senast efter det att ansökan gjordes. Information behöver emellertid inte lämnas om personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Detta gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats . Regler om sekretess och tystnadsplikt går också före informa- tionsskyldigheten. förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Flera remissinstanser noterar att skyldigheterna att informera kommer att öka med den nya lagen och poängterar vikten av att skyldigheterna hålls på en rimlig nivå, särskilt när det gäller personuppgifter i löpande text. Skälen för regeringens förslag: Enligt artikel 12 a i EG-direktivet (se bilaga 1) skall medlemsstaterna säkerställa att varje registrerad har rätt att från den personuppgiftsansvarige få viss information. Informationen behöver såsom direktivet måste tolkas lämnas bara efter begäran från den registrerade. Informationen skall då lämnas utan hinder, med rimliga intervall, utan större tidsutdräkt och utan större kostnader. Den registrerade har för det första rätt att få bekräftelse på om uppgifter som rör honom eller henne behandlas eller inte. I övrigt naturligen bara för det fallet att uppgifter om den registrerade behandlas skall information lämnas om åtminstone ändamålen med behandlingen, de berörda uppgiftskategorierna, mottagarna eller till vilka kategorier av mottagare som uppgifterna lämnas ut, vilka uppgifter som behandlas och varifrån uppgifterna kommer. Informationen om vilka uppgifter som behandlas skall vara begriplig för den registrerade. När det gäller information om varifrån uppgifterna kommer, behöver den personuppgiftsansvarige bara lämna all den information som finns tillgänglig för honom eller henne. Den person- uppgiftsansvarige behöver således inte hålla reda på varifrån uppgifterna har hämtats, men vet han eller hon det när den registrerade begär information skall det uppges. Bestämmelserna i , som motsvarar reglerna i 10 § i den nuvarande datalagen om registerutdrag, måste föras över till den nya lagen. Vi föreslår att så sker. I enlighet med vad som gäller beträffande registerutdrag bör det därvid föreskrivas att en ansökan om information skall göras skriftligen och vara undertecknad av den sökande själv. Det är enligt vår mening rimligt att den enskilde har rätt att en gång per kalenderår få skriftlig information gratis. Informationen bör i enlighet med vad som gäller enligt Datainspektionens föreskrift 1982:2 som huvudregel lämnas inom en månad från det att ansökan gjordes. Informationen bör dock få lämnas senast efter det att ansökan gjordes, om det finns särskilda skäl för det. Sådana särskilda skäl kan vara att personuppgifterna är krypterade, att sök- möjligheterna annars är begränsade eller att den personuppgiftsansvarige har många personuppgifter uppdelade på olika register eller andra data- samlingar. Personuppgifter i löpande text Den nya lagen omfattar till skillnad från den nuvarande datalagen även behandling av personuppgifter som finns i löpande text, t.ex. i ett ord- behandlingsdokument (se avsnitt 8.4). Beträffande sådana person- uppgifter finns det särskilda svårigheter att söka fram alla uppgifter om en och samma person som behandlas. I vissa fall har en personuppgifts- ansvarig så många olika samlingar av personuppgifter och så dåliga sökmöjligheter att det i praktiken är omöjligt att få fram alla uppgifter om den registrerade som behandlas. Arkivmyndigheterna, som tar emot samlingar av uppgifter med olikartad struktur från många håll, kan vara ett exempel. I EG-direktivet finns det ingen uttrycklig bestämmelse som gör det möjligt att göra undantag från skyldigheten att efter ansökan lämna begriplig information om vilka uppgifter som behandlas, när det är omöjligt eller skulle innebära en oproportionerligt stor ansträngning att söka fram alla uppgifter om en person som behandlas. har berört problemet på följande sätt. EG-direktivet kan inte anses kräva att en persondataansvarig ordnar sina uppgiftssamlingar på ett sådant sätt att det är möjligt att söka fram alla uppgifter om en registrerad som behandlas. Ett införande eller tillåtande av sådana sök- och sammanställningsmöjligheter, som inte behövs av något annat skäl, skulle i själva verket kunna hota den personliga integriteten; det skulle då bli enkelt att kartlägga en person. Enligt vår mening är det inte rimligt att utforma informations- skyldigheten på ett sådant sätt att den tvingar fram förfaranden som i själva verket kan hota den personliga integriteten. Den person- dataansvarige bör, som vi ser det, bara vara skyldig att utnyttja alla de sök- och sammanställningsmöjligheter som han eller hon faktiskt och rättsligt har tillgång till för att få fram information att lämna till den registrerade. Därmed garanteras att den registrerade får tillgång till all information som den persondataansvarige faktiskt kan få fram om den registrerade, vilket måste anses tillräckligt; inte ens EG- rätten kan tvinga någon att göra det som i praktiken är omöjligt. Den som har en stor mängd ordbehandlingsdokument och som bara har en funktion för att söka i öppnade dokument kan exempelvis i praktiken inte få fram alla uppgifter om en person som kan finnas i dokumenten. En persondataansvarig med hundratals anställda med persondatorer vilka kan sökas igenom en och en kan inte heller i praktiken söka fram de personuppgifter som kan finnas i alla datorerna, om det inte finns några mera centraliserade sök- möjligheter. Möjligheterna att söka bland datorlagrade uppgifter utvecklas dock ständigt, och det finns i standardprogram funktioner för att snabbt söka igenom alla dokument på en hårddisk eller via nät efter viss text, t.ex. ett namn eller personnummer. Med den föreslagna ordningen kommer den registrerades rätt att få information att utvidgas i precis samma takt som de per- sondataansvarigas möjligheter att göra integritetskänsliga sökningar och sammanställningar utvecklas. Det finns inte anledning att driva på utvecklingen och användningen av möjligheterna att göra känsliga sammanställningar. En persondataansvarig som behandlar många personuppgifter i olika konstellationer, exempelvis , kan med den föreslagna ordningen ändå behöva göra stora ansträngningar för att pröva alla sök- och sammanställningsmöjligheter som faktiskt finns. Men den som samlar på sig stora mängder personuppgifter får som regel finna sig i att också behöva göra stora ansträngningar för att kunna tillgodose de registrerades grundläggande rättigheter. Enligt vår mening är det rimligt att utgå från att slutsats att EG-direktivet innebär att den personuppgiftsansvarige bara är skyldig att utnyttja alla de sök- och sammanställningsmöjligheter som han eller hon har tillgång till för att få fram information att lämna till den registrerade är riktig. När det gäller skyldigheten att efter ansökan lämna information om bl.a. vilka uppgifter om sökanden som behandlas, skall bestämmelserna i den nya lagen ha samma innebörd som enligt direktivet och inte gå längre än vad direktivet kräver. Även en annan aspekt på det förhållandet att den nya lagen omfattar behandling av personuppgifter i löpande text bör tas upp. När det gäller personuppgifter i löpande text som inte har fått sin slutliga utformning, t.ex. i ett ordbehandlingsdokument under arbete, och personuppgifter i löpande text som utgör minnesanteckning eller liknande, finns det nämligen enligt vår mening anledning att ha särskilda regler i den nya lagen. Regleringen i 2 kap. tryckfrihetsförordningen innebär att en myndighet inte är skyldig att på grund av offentlighetsprincipen lämna ut t.ex. utkast under arbete och minnesanteckningar eller liknande som inte skall bevaras för framtiden. Det är tydligt att en ordning som innebär att ofärdiga alster och minnesanteckningar eller liknande inte behöver lämnas ut har goda skäl för sig på såväl den offentliga som den privata sidan. Att få ha sina ofärdiga alster och minnesanteckningar i fred kan enligt regeringens mening anses som en sådan fri- och rättighet som enligt artikel 13.1 i EG-direktivet berättigar till en begränsning av informationsskyldigheten. Vi föreslår därför för det första att information inte skall behöva lämnas beträffande personuppgifter i löpande text som när ansökan om information gjordes inte har fått sin slutliga utformning. Har uppgifterna i den löpande texten behandlats som utan att texten färdigställts, får dock den registrerades intresse av att få ta del av sina uppgifter anses väga tyngre än den personuppgiftsansvariges intresse av att utan insyn få ytterligare fördröja färdigställandet av texten. Personuppgifter i löpande text som, när ansökan gjordes, har behandlats utan att texten har fått sin slutliga utformning bör därför lämnas ut, om inte den personuppgiftsansvarige väljer att i stället utplåna personuppgifterna i den ofärdiga texten. Den registrerade bör också ha rätt att få reda på uppgifterna, om den person- uppgiftsansvarige har spritt dem till utomstående. Information bör således lämnas om uppgifterna i den ofärdiga löpande texten redan har lämnats ut till tredje man när ansökan om information gjordes. Har den personuppgiftsansvarige när ansökan görs inte längre kvar de utlämnade uppgifterna, kan information givetvis inte lämnas. Vi föreslår för det andra att information inte skall behöva lämnas be- träffande personuppgifter i löpande text som utgör minnesanteckning eller liknande, t.ex. en föredragningspromemoria, under förutsättning att personuppgifterna, när ansökan gjordes, inte har lämnats ut till tredje man. De minnesanteckningar eller liknande som det finns goda skäl för att undanta från den registrerades insyn är sådana som används för att förbereda ett ärende eller liknande för avgörande. Sparas sådana hand- läggningshjälpmedel sedan ärendet har avgjorts eller annars slut- behandlats, bör den registrerade få ta del av uppgifterna på motsvarande sätt som allmänheten har rätt att ta del av uppgifter i myndigheters minnesanteckningar eller liknande vilka tagits om hand för arkivering. Information bör således lämnas beträffande personuppgifter i minnes- anteckningar eller liknande som, när ansökan gjordes, bara behandlas för historiska, statistiska eller vetenskapliga ändamål. Det bör påpekas att informationsskyldigheten innebär att en registrerad i vissa fall kan ha rätt att med stöd av den nya lagen få ta del av uppgifter om sig själv som allmänheten inte har rätt att få ta del av med stöd av offentlighetsprincipen enligt 2 kap. tryckfrihetsförordningen. Den registrerade har i viss utsträckning rätt att få ta del av uppgifter i handlingar som inte är allmänna. Det kan t.ex. gälla uppgifter i utkast som har behandlats . Men när handlingen med informationen om uppgifterna har expedierats till den registrerade, blir handlingen å andra sidan genast allmän och tillgänglig för var och en i den utsträckning sekretess inte gäller. Det kan inte anses obefogat att den som uppgifterna rör i vissa fall har rätt att få ta del av dessa tidigare än allmänheten. Förhållandet till bestämmelser om sekretess och tystnadsplikt Enligt artikel 13 i EG-direktivet (se bilaga 1) får medlemsstaterna i sin lagstiftning göra nödvändiga begränsningar i rätten för den registrerade att få information med hänsyn till skyddet av den registrerades eller andras fri- och rättigheter. Skyldigheten enligt 10 § i den nuvarande datalagen att lämna register- utdrag gäller inte uppgifter som enligt lag eller annan författning eller enligt myndighets beslut som har meddelats med stöd av författning inte får lämnas ut till den registrerade. De bestämmelser om sekretess och tystnadsplikt som finns i får anses vara uppställda till skydd för sådana fri- och rättigheter som avses i direktivet. hindrar sådana bestämmelser att den registrerade får tillgång till vissa uppgifter om sig själv, se t.ex. 7 kap. 3 § sekretesslagen (1980:100). Enligt regeringens mening är det nödvän- digt att dessa särskilda bestämmelser om att den registrerade i undantags- fall inte har rätt till viss information får gälla framför den generella rätt till information om behandlade uppgifter som annars skall gälla enligt EG-direktivet och den nya lagen. Vi anser således att det i den nya lagen bör införas en bestämmelse om att rätten att få information i samband med insamling av uppgifter och efter ansökan inte gäller i den utsträck- ning det finns en föreskrift om att uppgifterna inte får lämnas ut till den registrerade. Sådana föreskrifter kan finnas i lag eller annan författning eller i beslut som har meddelats med stöd av författning, t.ex. ett beslut om förbehåll enligt 14 kap. 9 och 10 §§ sekretesslagen. Med stöd av bestämmelserna i sekretesslagen kan det allmänna på grund av bl.a. sina ekonomiska intressen under vissa förutsättningar hemlighålla uppgifter bl.a. i samband med rättsliga tvister och fackliga förhandlingar. På den privata sidan, där offentlighetsprincipen inte gäller, finns det däremot i allmänhet inte några författningsbestämmelser om sekretess och tystnadsplikt som motsvarar de bestämmelser som finns i sekretesslagen, se dock t.ex. 7 kap. 20 § försäkringsrörelselagen (1982:713) som innebär att förmånstagare till försäkring i vissa fall inte har rätt att i förväg av försäkringsbolaget få veta att han eller hon verkligen är förmånstagare. Reglerna om information i den nya lagen innebär att ett slags offentlighetsprincip gentemot den registrerade kommer att gälla i vissa avseenden även på den privata sidan. Den nya lagen omfattar vidare till skillnad från datalagen i princip alla datorlagrade personuppgifter, t.ex. sådana som finns i löpande text (se avsnitt 6.1 och 8.4). Även på den privata sida finns det därför behov av bestämmelser som gör det möjligt att i vissa fall vägra att lämna information till den registrerade. Enskilda kan exempelvis i lika hög grad som myndigheter ha ett befogat intresse av att kunna hemlighålla personanknuten infor- mation som samlats in inför en domstolsprocess, om det kan antas att ett utlämnande av informationen skulle försämra den enskildes ställning som part i rättegången. I försäkringsverksamhet registreras inte sällan uppgifter om att en person misstänks för försäkringsbedrägeri eller annan brottslig verksamhet. Internationella organisationer kan ha samman- ställningar av uppgifter om personer som misstänks ha gjort sig skyldiga till brott mot de mänskliga rättigheterna. Uppgifterna bör inte behöva lämnas ut medan utredning pågår. I avsnitt 11.4.3 berörs vidare behand- ling av personuppgifter om lagöverträdelser som innefattar brott m.m. Vi föreslår därför att den nya lagen skall innehålla en regel om att även en personuppgiftsansvarig som inte är en myndighet får i motsvarande fall som avses i sekretesslagen (1980:100) vägra att lämna ut uppgifter till den registrerade. Lagrådet har anfört att föreskriften enskilda blir skyldiga att sätta sig in i en omfattande och komplicerad lagstiftning som är utformad med tanke på myndigheters verksamhet och vid prövning av informationsskyldigheten försöka dra paralleller till den egna verksamheten. Lagrådet ifrågasätter om inte någon annan lösning som tillgodoser behovet kan åstadkommas, och frågan bör enligt Lagrådet beredas ytterligare. Vi kan hålla med Lagrådet om att det inte alltid blir helt lätt att tillämpa bestämmelsen. Man måste dock märka att det bara är i situationer då någon vill underlåta att lämna information som en tillämpning kan ge stöd för en sådan vägran. Huvudprincipen är att information skall ges, och den som lämnar ut information behöver aldrig tillämpa undantagsbestämmelsen. 11.6 Korrigering av personuppgifter Regeringens förslag: Den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med den nya lagen eller föreskrifter som har utfärdats med stöd av lagen. Den person- uppgiftsansvarige skall också underrätta tredje man som uppgifterna har lämnats ut till om åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte lämnas, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats.