prop · GL0344 · 1998-01-01 00:00:00 — förslag överensstämmer med regeringens. Remissinstanserna: Arbetarskyddsstyrelsen, , Landsorga- nisationen i (LO) och tar upp frågor som rör bevisbördan och vad som skall gälla om det finns oenighet i fråga om t.ex. en uppgifts riktighet. Datainspektionen anser att det för korrigering inte skall krävas någon begäran av den registrerade. och anser att det bör anges i lagtexten att det är den personuppgiftsansvarige som väljer korrigeringsmetod. Skälen för regeringens förslag: I artikel 12 b och 12 c i EG- direktivet (se bilaga 1) finns det bestämmelser om korrigering m.m. Enligt dessa bestämmelser skall medlemsstaterna säkerställa att varje registrerad har rätt att i förekommande fall få sådana uppgifter som inte har behandlats i enlighet med bestämmelserna i direktivet rättade, utplånade eller blockerade. Detta skall gälla särskilt när uppgifterna är ofullständiga eller felaktiga. Varje registrerad skall vidare ha rätt att kräva att den personuppgiftsansvarige underrättar sådana tredje män till vilka berörda uppgifter har lämnats ut om genomförda rättelser, utplånanden och blockeringar. Denna underrättelseskyldighet gäller dock inte om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor ansträngning att underrätta. I avsnitt 8.1 berörs särskilt frågan om korrigering av uppgifter i allmänna handlingar hos myndigheter, och i avsnitt 13 tas upp frågan om tillsynsmyndighetens möjligheter att få personuppgifter utplånade. Korrigeringsskyldigheten Bestämmelserna om korrigering i artikel 12 b och 12 c i EG-direktivet måste införas i den nya lagen. Vi föreslår därför för det första en bestämmelse om att den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med den nya lagen eller föreskrifter som har utfärdats med stöd av lagen. Datainspektionen har vänt sig emot att det för korrigering enligt denna bestämmelse skall krävas en begäran från den registrerade. Enligt artikel 6.1 d i EG-direktivet är det ett grundläggande krav på den personuppgiftsansvarige vid behandling av personuppgifter att alla rimliga åtgärder vidtas för att utplåna eller rätta sådana personuppgifter som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka uppgifterna behandlas. Denna regel har införts i den nya lagen, liksom regler om krav på den personuppgiftsansvarige att se till att de person- uppgifter som behandlas är adekvata och relevanta i förhållande till ända- målen med behandlingen och att de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella, se avsnitt 11.2. Redan av de grundläggande kraven framgår således tydligt att den personupp- giftsansvarige på egen hand måste vara aktiv för att se till att de behand- lade uppgifterna är korrekta. Den nu aktuella bestämmelsen kan sägas innehålla regler om en rätt för den registrerade att påkalla den person- uppgiftsansvariges aktivitet för att korrigera uppgifter, som gäller utöver de grundläggande kraven på den personuppgiftsansvarige. Den ena bestämmelsen innehåller således regler om skyldigheter för den person- uppgiftsansvarige och den andra bestämmelsen regler om rättigheter för den registrerade, och båda bestämmelserna måste genomföras enligt EG- direktivet. Uppkommer oenighet mellan den personuppgiftsansvarige och den registrerade om uppgifterna skall korrigeras eller inte, kan den registrerade anmäla förhållandet till tillsynsmyndigheten, som har möj- lighet att förelägga vite om lagen inte följs och att ansöka om utplånande av uppgifterna (se avsnitt 13), eller själv väcka talan om saken vid allmän domstol. En personuppgiftsansvarig som efter utredning inte är över- tygad om att det är nödvändigt att korrigera uppgifterna behöver således inte självmant göra det. Av det förhållandet att det inte anges vilken av de alternativa metoderna rättelse, blockering och utplånande som skall väljas i olika situationer följer att det i princip är den som skall göra korrigeringen, dvs. den personuppgiftsansvarige, som får välja själv. Underrättelseskyldigheten Vi föreslår för det andra att den nya lagen, för att uppfylla kraven i artikel 12 c i EG-direktivet, skall innehålla en bestämmelse om att den personuppgiftsansvarige på begäran av den registrerade skall underrätta de tredje män till vilka uppgifterna har lämnats ut om korri- geringsåtgärden. har, såsom en rent inhemsk reglering, föreslagit att den personuppgiftsansvarige därutöver skall vara skyldig att oavsett om den registrerade begärt underrättelse eller inte lämna sådan underrättelse om det skulle kunna undvika mera betydande skada eller olägenhet för den registrerade. Kommitténs förslag har lämnats utan erinran av remissinstanserna. Därför och eftersom det är viktigt att på alla sätt förhindra användning av felaktiga eller ofullstän- diga uppgifter, bör förslaget som inte kan anses oförenligt med EG- direktivet genomföras. Underrättelse skall dock i enlighet med direktivet inte i något fall behöva lämnas om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. 11.7 Automatiserade beslut Regeringens förslag: Om ett beslut som har rättsliga följder för en fysisk person eller annars har märkbara verkningar för personen, grundas enbart på automatiserad behandling av personuppgifter som är avsedda att bedöma egenskaper hos den berörda personen, skall den som berörs av beslutet har möjlighet att på begäran få beslutet omprövat av någon person. Var och en som varit föremål för ett sådant beslut har också rätt att på ansökan få information från den personuppgiftsansvarige om vad som har styrt den automatiserade behandling som lett fram till beslu- tet. förslag överensstämmer med regeringens. Remissinstanserna: Bara ett fåtal remissinstanser har berört förslaget. anser att det finns behov av ytterligare utredning av de rättsliga frågorna kring automatiserade beslut. Skälen för regeringens förslag: Artikel 15 i EG-direktivet (se bilaga 1) med underrubriken beslut innehåller bestämmelser om skydd för den registrerade mot vissa automatiserade beslut. Bestämmelserna i innebär att medlemsstaterna i princip skall ge var och en rätt att slippa bli föremål för vissa automatiserade beslut. Medlemsstaterna är dock förpliktade att om inte något annat följer av övriga regler i direktivet föreskriva att en person faktiskt får bli föremål för automatiserade beslut i två fall. De beslut som avses i artikel 15 är sådana som har rättsliga följder för någon eller som annars märkbart påverkar någon. Beslutet måste vidare grundas enbart på automatiserad behandling. Dessutom krävs att de uppgifter på vilka den automatiserade behandlingen grundas är sådana som är avsedda att bedöma vissa personliga egenskaper hos den som är föremål för beslutet, t.ex. arbetsprestationer, kreditvärdighet, pålitlighet och uppträdande. Det är bara sådana beslut som uppfyller samtliga rekvisit som här nämnts som omfattas av huvudregeln och som var och en skall ges en principiell rätt att slippa. Från den principiella huvudregeln skall medlemsstaterna i två fall föreskriva undantag, dvs. medge att en person i dessa fall faktiskt får utsättas för automatiserade beslut. Det första fallet (artikel 15.2 a) gäller sådana automatiserade beslut som fattas som ett led i ingåendet eller fullgörandet av ett avtal. Sådana beslut skall tillåtas om de är positiva för den registrerade dvs. när den registrerades begäran om ingående eller fullgörande av ett avtal har bi- fallits eller om det vidtas lämpliga åtgärder för att skydda den registrerades berättigade intressen. Som exempel på lämpliga åtgärder att vidta nämns i direktivet att den registrerade har möjlighet att göra sin uppfattning gällande. Det andra fallet (artikel 15.2 b) där automatiserade beslut skall godtas är när sådana beslut har tillåtits i lagstiftning som innehåller bestäm- melser till skydd för den registrerades berättigade intressen. I artikel 12 a tredje strecksatsen i EG-direktivet föreskrivs att med- lemsstaterna skall säkerställa att varje registrerad har rätt att från den personuppgiftsansvarige utan hinder och med rimliga intervall samt utan större tidsutdräkt eller kostnader få kännedom om den logik som används när uppgifter som rör den registrerade behandlas på automatisk väg. Av bestämmelsen framgår vidare att den rätten får begränsas till att avse bara sådana automatiserade beslut som berörs i artikel 15.1. I punkt 41 i ingressen till direktivet framhålls att den nu aktuella rätten inte får inkräkta på några affärshemligheter eller på upphovsrätten till t.ex. programvaran. Den registrerade bör dock inte nekas all information. Bestämmelserna i innebär att det i måste införas en reglering av automatiserade beslut. Definitionen av automatiserade beslut i EG-direktivet är generellt utformad, och det är svårt att ha någon föreställning om alla de olika beslut som och kan komma att omfattas. Enligt vår mening bör man därför inrikta sig på en generell lösning som ställer upp ett minimiskydd för den som blir utsatt för ett automatiserat beslut. har föreslagit att den en- skilde skall ha rätt att på begäran dels få reda på vilka regler som har styrt den automatiska behandling som har lett fram till beslutet, dels få beslutet omprövat av en person. Det förslaget har i huvudsak lämnats utan erinran av remissinstanserna och bör därför genomföras. Bestämmelserna i den nya lagen är sådana bestämmelser i den svenska lagstiftningen som i enlighet med vad som krävs enligt artikel 15.2 b dels tillåter automatiserade beslut, dels föreskriver lämpliga åtgärder till skydd för den registrerades berättigade intressen. I fråga om den registrerades ansökan och den personuppgifts- ansvariges lämnande av information bör i tillämpliga delar gälla samma procedurregler som beträffande övrig information som skall lämnas på begäran (se avsnitt 11.5.2). Detta innebär bl.a. att informationen som huvudregel skall lämnas skriftligen inom efter ansökan. Enligt EG-direktivet är det tillåtet att införa en rätt för den registrerade att på begäran få kännedom om den logik som ligger bakom även annan automatiserad behandling än sådan som har lett fram till ett automatiserat beslut. Vi anser emellertid i likhet med att det inte är nödvändigt att införa en sådan generell rätt. Ingen remissinstans har föreslagit att en sådan generell rätt skall införas, och den registrerade har för övrigt enligt den nya lagen redan rätt att få veta vilka uppgifter som behandlas och för vilka ändamål behandlingen äger rum (se avsnitt 11.5.2). 11.8 Säkerheten vid behandlingen Regeringens förslag: Den som arbetar med personuppgifter får bara behandla dessa i enlighet med instruktioner från den person- uppgiftsansvarige. Om det i lag eller annan författning finns särskilda bestämmelser om behandlingen av personuppgifter i det allmännas verksamhet i sådana frågor, skall dessa gälla. Den personuppgiftsansvarige är skyldig att vidta tekniska och organisatoriska åtgärder för att skydda personuppgifterna. Åtgärderna skall åstadkomma en lämplig säkerhetsnivå. När den personuppgiftsansvarige anlitar ett personuppgiftsbiträde för att utföra behandling av personuppgifter, skall det finnas ett skriftligt avtal som särskilt reglerar säkerhetsfrågorna. Den person- uppgiftsansvarige skall också vara skyldig att se till att person- uppgiftsbiträdet verkligen vidtar nödvändiga säkerhetsåtgärder. förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Bara ett fåtal remissinstanser har berört förslaget. Skälen för regeringens förslag: I artikel 16 och 17 i EG-direktivet (se bilaga 1) finns det bestämmelser om säkerhet och sekretess vid behandling av personuppgifter. Bestämmelserna i artikel 16 innebär att de personer som arbetar med personuppgifter får behandla uppgifterna bara enligt instruktioner från den personuppgiftsansvarige. Här gäller dock ett undantag som innebär att om någon enligt lag är skyldig att behandla personuppgifter, får han eller hon göra det även utan instruktioner från den personuppgiftsansva- rige. I artikel 17.1 finns det allmänt hållna regler om de säkerhetsåtgärder som skall vidtas. Reglerna innebär i korthet följande. Den person- uppgiftsansvarige skall vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Dessa åtgärder skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga de behandlade personuppgifterna är. I artikel 17.2 4 finns det bestämmelser i fråga om säkerhet för den situationen att den personuppgiftsansvarige anlitar ett personuppgiftsbi- träde. Bestämmelserna kan i korthet sägas innebära följande. När den personuppgiftsansvarige anlitar ett personuppgiftsbiträde, skall den personuppgiftsansvarige förvissa sig om att personuppgiftsbiträdet kan genomföra de säkerhetsåtgärder som måste vidtas och se till att person- uppgiftsbiträdet verkligen vidtar åtgärderna. Det skall vidare finnas ett skriftligt avtal om personuppgiftsbiträdets behandling av personuppgifter för den personuppgiftsansvariges räkning. I det avtalet skall det särskilt föreskrivas dels att personuppgiftsbiträdet får behandla person- uppgifterna bara i enlighet med instruktioner från den person- uppgiftsansvarige, dels att personuppgiftsbiträdet är skyldigt att vidta de säkerhetsåtgärder som den personuppgiftsansvarige är skyldig att vidta. Bestämmelserna i måste införas i den nya lagen. Data- lagskommitténs förslag till överförande av bestämmelserna har lämnats i huvudsak utan erinran av remissinstanserna. Förslaget bör enligt vår mening genomföras. Behandling bara enligt instruktioner från den personuppgiftsansvarige föreslår således för det första att det införs en bestämmelse om att personuppgiftsbiträdet eller den eller de personer som arbetar under dennes eller den personuppgiftsansvariges ledning får behandla person- uppgifter bara i enlighet med instruktioner från den personupp- giftsansvarige. Om det finns avvikande regler i annan lagstiftning om att någon är skyldig att utföra en behandling, får behandlingen dock utföras utan särskilda instruktioner. Avvikande regler i annan lagstiftning skall ju generellt sett ta över reglerna i den nya lagen (se avsnitt 6.2). Eftersom utlämnande av personuppgifter till tredje man innefattas i begreppet behandling, innebär bestämmelsen ett slags tystnadsplikt. Särskilt med hänsyn till att det redan gäller särskilda regler om sekretess och tystnadsplikt i det allmännas verksamhet, vilka bl.a. innebär att den grundlagsfästa s.k. meddelarfriheten ibland tar över tystnadsplikten, bör det föreskrivas att särskilda bestämmelser i lag eller annan författning skall tillämpas i stället för bestämmelsen om hantering av personuppgifter i enlighet med instruktioner. Den personuppgiftsansvarige får lämna ut personuppgifter bara om utlämnandet inte är oförenligt med de ändamål för vilka uppgifterna samlades in (se avsnitt 11.2). I vissa fall får känsliga personuppgifter bara lämnas ut med stöd av den registrerades samtycke (se avsnitt 11.4.1). Skulle någon som arbetar för den personuppgiftsansvarige lämna ut personuppgifter i strid med vad som sålunda gäller, är det den person- uppgiftsansvarige som bär det rättsliga ansvaret gentemot den registrerade (se avsnitt 14 om skadeståndsskyldighet). I vilken utsträck- ning den personuppgiftsansvarige i sin tur kan vidta någon åtgärd mot den som lämnade ut uppgiften i strid med givna instruktioner framgår av de bestämmelser som reglerar förhållandet mellan den person- uppgiftsansvarige och medhjälparen, t.ex. avtalet med ett person- uppgiftsbiträde eller arbetsrättsliga bestämmelser (jfr AD 1996 nr 23 i vilket rättsfall Arbetsdomstolen kom fram till att det inte fanns grund för att avskeda en polisman som dömts för tjänstefel och dataintrång för det att han upprepade gånger gjort obefogade registerslagningar). De allmänt hållna bestämmelserna i den nya lagen innebär inte en sådan plikt att hemlighålla uppgifter som medför att straffstadgandet om brott mot tystnadsplikt i 20 kap. 3 § kan bli tillämpligt. Bestämmelsen om behandling bara enligt den personuppgifts- ansvariges instruktioner skulle kunna strida mot meddelarfriheten, dvs. rätten för var och en att meddela uppgifter och underrättelser för offent- liggörande i tryckt skrift till massmedierepresentanter. Av det undantag för tryck- och yttrandefriheten som finns i 7 § första stycket och som berörts i avsnitt 8.2 följer att bestämmelsen i ett sådant fall inte kan tillämpas. Åtgärder för att uppnå en lämplig säkerhetsnivå Vi föreslår för det andra att regeln i EG-direktivet om att den person- uppgiftsansvarige skall vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas förs över till den nya lagen, jämte uppräkningen i direktivet av de faktorer som därvid skall beaktas. Dessa allmänt hållna regler beskriver enligt vår mening på ett kortfattat och bra sätt de överväganden som måste göras i fråga om säkerhetsåtgärder. Reglerna ger dock som regel inte tillräcklig vägledning för den personuppgiftsansvarige för att avgöra vilka säkerhetsåtgärder som bör vidtas i det enskilda fallet för att nå upp till en lämplig säkerhetsnivå. Avsikten är att regeringen eller den myndighet som regeringen bestämmer skall meddela de närmare föreskrifter om säkerhetsåtgärder som behövs. bör också i rimlig utsträckning lämna råd i säkerhetsfrågor. får besluta om säkerhetsåtgärder Säkerhetsbrister är i princip oacceptabla, och det är viktigt att tillsynsmyndigheten har tydliga befogenheter just när det gäller säkerhe- ten. Vi har därför valt att i enlighet med förslag ta med en uttrycklig bestämmelse i den nya lagen om att tillsyns- myndigheten får meddela beslut om säkerhetsåtgärder i enskilda fall (se avsnitt 13). Genom ett beslut i det enskilda fallet får den person- uppgiftsansvarige preciserat exakt vilka åtgärder han eller hon måste vidta för att uppfylla säkerhetskraven. Följs inte beslutet frivilligt i det enskilda fallet, bör tillsynsmyndigheten ha möjlighet att förelägga vite för att få den genomförd, se närmare avsnitt 13 om tillsynsmyndighetens befogenheter. beslut om säkerhetsåtgärder i det enskilda fallet skall riktas mot den personuppgiftsansvarige även när ett personuppgiftsbiträde har anlitats. Bestämmelser om säkerhetsåtgärder kan även finnas i annan lagstift- ning, t.ex. i arkivlagen (1990:782) med anknytande författningar. Sådana bestämmelser kommer att gälla vid sidan av de bestämmelser om skyddsåtgärder som gäller enligt den nya lagen med anknytande författ- ningar och beslut. Den personuppgiftsansvarige måste således uppfylla alla de regler om säkerhetsåtgärder som kan ha meddelats för hans eller hennes verksamhet. Skriftligt avtal med personuppgiftsbiträden För det tredje har regeln i EG-direktivet om att det skriftliga avtalet mellan den personuppgiftsansvarige och personuppgiftsbiträdet skall innehålla föreskrifter om att biträdet bara får behandla personuppgifterna i enlighet med instruktioner från den ansvarige förts över till den nya lagen. I den utsträckning det är otillåtet enligt grundlag med sådana avtalsföreskrifter, vilka till viss del kan ses som en avtalad tystnadsplikt, tar grundlagen över bestämmelserna i nya lagen, se avsnitt 8.2. Även regeln i EG-direktivet om att det skriftliga avtalet skall innehålla en föreskrift om att personuppgiftsbiträdet skall vidta säkerhetsåtgärder har förts över till den nya lagen. Den personuppgiftsansvarige skall kontrollera anlitade person- uppgiftsbiträden Vi föreslår för det fjärde ett överförande till den nya lagen av regeln i EG-direktivet om att den personuppgiftsansvarige skall förvissa sig om att ett anlitat personuppgiftsbiträde kan genomföra de säkerhetsåtgärder som måste vidtas och se till att biträdet verkligen vidtar åtgärderna. Det är dock den personuppgiftsansvarige som har ansvaret gentemot den registrerade avseende behandlingen även när ett personuppgiftsbiträde har anlitats. I vilken utsträckning den personuppgiftsansvarige i sin tur kan utkräva ansvar av ett anlitat personuppgiftsbiträde följer av avtalet med denne och allmänna bestämmelser. 11.9 Överföring av personuppgifter utanför EES Regeringens förslag: Det är i princip förbjudet att till tredje land föra över personuppgifter som är under behandling. Det är dock trots förbudet tillåtet att föra över personuppgifter till tredje land, om den registrerade har samtyckt till överföringen eller när överföringen är nödvändig för att a) ett avtal mellan den registrerade och den personuppgiftsansvarige skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, b) ett sådant avtal mellan den personuppgiftsansvarige och tredje man som är i den registrerades intresse skall kunna ingås eller fullgöras, c) rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras, eller d) vitala intressen för den registrerade skall kunna skyddas. Det är också tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om ytterligare undantag från förbudet mot överföring. förslag överensstämmer med regeringens. Remissinstanserna: Några remissinstanser pekar på att det enligt förslaget blir svårigheter med att sprida personuppgifter på Internet. Datainspektionen anser att inte ensidigt bör införa ett generellt undantag beträffande stater som har anslutit sig till kon- vention. Skälen för regeringens förslag: Bestämmelser rörande utlämnande av personuppgifter till utlandet finns i 11 § i den nuvarande datalagen för privat verksamhet och i 7 kap. 16 § andra stycket sekretesslagen (1980:100) för verksamhet inom det allmänna. Bestämmelserna innebär bl.a. att det för ett utlämnande alltid krävs ett medgivande från Datainspektionen, om det kan antas att de utlämnade uppgifterna kommer att användas för automatisk databehandling i en stat som inte har anslutit sig till konvention om skydd för en- skilda vid automatisk databehandling av personuppgifter. I artikel 25 och 26 i EG-direktivet (se bilaga 1) finns det bestämmelser om överföring av personuppgifter till tredje land, dvs. en stat utanför EES. Bestämmelserna innebär följande. Medlemsstaterna skall föreskriva att överföring av personuppgifter, som är under behandling eller som är avsedda att behandlas efter överföring till tredje land, bara får ske om ifrågavarande tredje land säkerställer en adekvat skyddsnivå. Detta skall dock inte påverka tillämp- ningen av de nationella bestämmelser som har antagits till följd av andra bestämmelser i direktivet Bedömningen av om skyddsnivån i ett tredje land är adekvat skall ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter. Härvid skall särskilt beaktas uppgifternas art, den eller de avsedda behandlingarnas ändamål, den eller de avsedda behandlingarnas varaktighet, ursprungslandet, det slutliga bestämmelselandet, de allmänna respektive särskilda rättsregler som gäller i ifrågavarande tredje land och de regler för yrkesverksamhet och säkerhet som gäller i ifrågavarande tredje land. Medlemsstaterna och kommissionen skall informera varandra när de anser att ett tredje land inte erbjuder en sådan adekvat skyddsnivå. Om kommissionen i enlighet med den särskilda beslutsprocedur som före- skrivs i direktivet kommer fram till att ett tredje land inte erbjuder en sådan adekvat skyddsnivå, är medlemsstaterna skyldiga att vidta de åtgärder som är nödvändiga för att hindra överföring av uppgifter av samma slag till detta land.