prop · GL0344 · 1998-01-01 00:00:00 — Rätten att få information enligt andra stycket skall ha samma innebörd som artikel 12 a tredje strecksatsen i EG-direktivet, se bilaga 1. Begreppet logik har dock inte använts. Informationsskyldigheten avser bara vad som har styrt behandlingen, dvs. den tekniska processen, och inte t.ex. närmare information om bankers regler eller gränsvärden för kreditgivning. I punkt 41 i ingressen till direktivet framhålls att den aktuella rätten inte får inkräkta på några affärshemligheter eller på upphovsrätten till t.ex. programvaran. Enligt 50 § e får regeringen eller den myndighet som regeringen bestämmer meddela närmare föreskrifter om vilken information som skall lämnas till registrerade och hur informationen skall lämnas. Säkerheten vid behandling Frågan om säkerheten vid behandlingen har berörts i avsnitt 11.8. Enligt 50 § b får regeringen eller den myndighet som regeringen bestämmer meddela närmare föreskrifter om vilka krav som ställs på den personuppgiftsansvarige vid behandling av personuppgifter. Personer som behandlar personuppgifter 30 § Ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning får behandla personuppgifter bara i enlighet med instruktioner från den person- uppgiftsansvarige. Det skall finnas ett skriftligt avtal om personuppgiftsbiträdets behand- ling av personuppgifter för den personuppgiftsansvariges räkning. I det avtalet skall det särskilt föreskrivas att personuppgiftsbiträdet får behandla personuppgifterna bara i enlighet med instruktioner från den personuppgiftsansvarige och att personuppgiftsbiträdet är skyldigt att vidta de åtgärder som avses i 31 § första stycket. Om det i lag eller annan författning finns särskilda bestämmelser om behandlingen av personuppgifter i det allmännas verksamhet i frågor som avses i första stycket skall dessa gälla i stället för vad som sägs i första stycket. Paragrafen överensstämmer med förslag och har berörts i avsnitt 12.10.2 i kommitténs betänkande. Första stycket skall ha samma innebörd som artikel 16 i EG- direktivet, se bilaga 1. Andra stycket skall ha samma innebörd som artikel 17.3 och 17.4 i direktivet. Skriftlighetskravet innebär att avtalet måste vara uttryckt i text, men texten kan finnas på papper lika väl som i elektronisk form. Något krav på att avtalshandlingen skall vara undertecknad finns inte. Tredje stycket innebär att särskilda bestämmelser i andra författningar i de avseenden som berörs i första stycket tillämpas i stället för första stycket. Förhållandet följer i och för sig av lagens 2 § men det är av särskild betydelse att detta framgår direkt av bestämmelsen. Särskilt avses bestämmelser om tystnadsplikt och sekretess. Säkerhetsåtgärder 31 § Den personuppgiftsansvarige skall vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som be- handlas. Åtgärderna skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av a) de tekniska möjligheter som finns, b) vad det skulle kosta att genomföra åtgärderna, c) de särskilda risker som finns med behandlingen av personuppgifterna, och d) hur pass känsliga de behandlade personuppgifterna är. När den personuppgiftsansvarige anlitar ett personuppgiftsbiträde, skall den personuppgiftsansvarige förvissa sig om att person- uppgiftsbiträdet kan genomföra de säkerhetsåtgärder som måste vidtas och se till att personuppgiftsbiträdet verkligen vidtar åtgärderna. Paragrafen överensstämmer med förslag och har berörts i avsnitt 12.10.2 4 i kommitténs betänkande. Paragrafen skall ha samma innebörd som artikel 17.1 och 17.2 i EG- direktivet, se bilaga 1. får besluta om säkerhetsåtgärder 32 § får i enskilda fall besluta om vilka säkerhetsåtgärder som den personuppgiftsansvarige skall vidta enligt 31 §. I 45 § finns det bestämmelser om tillsynsmyndighetens möjligheter att förena beslutet med vite. Paragrafen överensstämmer med förslag och har berörts i avsnitt 12.10.3 i kommitténs betänkande. Paragrafen fastslår att tillsynsmyndigheten i enskilda fall kan bestämma vilka säkerhetsåtgärder som skall vidtas. Överföring av personuppgifter till tredje land Frågan om överföring av personuppgifter till tredje land har behandlats i avsnitt 11.9. Enligt 50 § a får regeringen eller den myndighet som regeringen bestämmer meddela närmare föreskrifter om i vilka fall behandling av personuppgifter är tillåten. Förbud mot överföring av personuppgifter till tredje land 33 § Det är förbjudet att till tredje land föra över personuppgifter som är under behandling. Förbudet gäller också överföring av personuppgifter för behandling i tredje land. Paragrafen överensstämmer med förslag och har berörts i avsnitt 12.11.2 i kommitténs betänkande. De överföringar som avses i paragrafen är desamma som avses i artikel 25.1 i EG-direktivet, se bilaga 1. Undantag från förbudet mot överföring av personuppgifter till tredje land 34 § Det är trots förbudet i 33 § tillåtet att föra över personuppgifter till tredje land, om den registrerade otvetydigt har samtyckt till överföringen eller när överföringen är nödvändig för att a) ett avtal mellan den registrerade och den personuppgiftsansvarige skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, b) ett sådant avtal mellan den personuppgiftsansvarige och tredje man som är i den registrerades intresse skall kunna ingås eller fullgöras, c) rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras, eller d) vitala intressen för den registrerade skall kunna skyddas. Det är också tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Paragrafen överensstämmer med förslag och har berörts i avsnitt 12.11.3 i kommitténs betänkande. Paragrafen innehåller en uppräkning av i vilka fall det är tillåtet att föra över personuppgifter till tredje land. För att personuppgifter skall få föras över till tredje land krävs dock inte bara att överföringen faller under något av fallen i uppräkningen. Den behandling som överföringen av personuppgifter till tredje land utgör måste också vara tillåten enligt 10 § och, om känsliga personuppgifter, uppgifter om lagöverträdelser m.m. eller personnummer skall föras över, även vara tillåten i enlighet med 13 22 §§. Första stycket skall ha samma innebörd som artikel 26.1 i EG- direktivet, se bilaga 1. I 12 § andra stycket regleras den situationen att den registrerade återkallar ett redan lämnat samtycke. Punkten a har utformats mot bakgrund av den engelska, franska och tyska versionen av EG-direktivet; i den svenska versionen står det innan avtalet träffas , dvs. det avtal i vilket den registrerade är part. Andra stycket innebär att personuppgifter fritt får föras över till stater som har anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. 35 § Regeringen får i fråga om automatiserad behandling av person- uppgifter meddela föreskrifter om undantag från förbudet i 33 § för överföring av personuppgifter till vissa stater. Regeringen får också i fråga om automatiserad behandling av personuppgifter meddela före- skrifter om att överföring av personuppgifter till tredje land är tillåten, om överföringen regleras av ett avtal som ger tillräckliga garantier till skydd för de registrerades rättigheter. Regeringen eller den myndighet som regeringen bestämmer får vidare i fråga om automatiserad behandling av personuppgifter meddela föreskrifter om undantag från förbudet i 33 §, om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Regeringen får under de förutsättningar som nämns i andra stycket i enskilda fall besluta om undantag från förbudet i 33 §. Regeringen får överlåta åt tillsynsmyndigheten att fatta sådana beslut. Frågan om normgivningsdelegation har behandlats i avsnitt 10. Para- grafens två första stycken överensstämmer i huvudsak med Data- lagskommitténs förslag och har berörts i avsnitt 12.11.4 i kommitténs be- tänkande. I tredje stycket har förtydligats att regeringen, eller om rege- ringen så bestämmer, tillsynsmyndigheten, i enskilda fall kan besluta om undantag från förbudet i 33§ . Av förslaget till lag om ändring i personuppgiftslagen (avsnitt 15) framgår att paragrafen per ändras så att det blir möjligt att meddela föreskrifter även såvitt avser sådan behandling som omfattas av personuppgiftslagen. Anmälan till tillsynsmyndigheten bestämmelser som finns under denna rubrik har behandlats i av- snitt 12. Anmälningsskyldighet 36 § Behandling av personuppgifter som är helt eller delvis auto- matiserad omfattas av anmälningsskyldighet. Den personuppgiftsansva- rige skall göra en skriftlig anmälan till tillsynsmyndigheten innan en sådan behandling eller en serie av sådana behandlingar med samma eller liknande ändamål genomförs. Om den personuppgiftsansvarige utser ett personuppgiftsombud skall detta anmälas till tillsynsmyndigheten. Även ett entledigande av ett per- sonuppgiftsombud skall anmälas till tillsynsmyndigheten. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från anmälningsskyldigheten enligt första stycket för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integriteten. Paragrafen överensstämmer i stort med förslag och har berörts i avsnitt 12.12 i kommitténs betänkande. Första stycket skall ha samma innebörd som artikel 18.1 i EG- direktivet, se bilaga 1. Enligt 50 § f får regeringen eller den myndighet som regeringen bestämmer meddela närmare föreskrifter om anmälan till tillsynsmyndigheten och förfarandet när anmälda uppgifter har ändrats. Andra stycket anger att ett utseende och ett entledigande av ett person- uppgiftsombud skall anmälas till tillsynsmyndigheten. Tredje stycket innehåller ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om undantag från anmälningsskyldigheten. Bemyndigandet gäller sådana behandlingar som avses i artikel 18.2 första strecksatsen, 18.3 och 18.4 i EG-direktivet, se bilaga 1. Frågan om normgivningsdelegation har behandlats i avsnitt 10. Anmälan behöver inte göras om det finns ett personuppgiftsombud 37 § Om den personuppgiftsansvarige har anmält till tillsynsmyndigheten har anmält att ett personuppgiftsombud utsetts och vem det är, behöver anmälan enligt 36 § första stycket inte göras. Beteckningen personuppgiftsombud har behandlats i avsnitt 12. Para- grafen har berörts i avsnitt 12.12 i betänkande. Det är bara behandlingar som påbörjas efter det att personupp- giftsombudet har anmälts till tillsynsmyndigheten som är undantagna från anmälningsskyldigheten. Personuppgiftsombudet skall vara en fysisk person. Det finns inget som hindrar att den personuppgiftsansvarige utser flera personupp- giftsombud eller att flera personuppgiftsansvariga, t.ex. inom en viss bransch, utser en och samma person till personuppgiftsombud, t.ex. en advokat, en revisor eller någon som är anställd på en branschorganisation. Det är den personuppgiftsansvarige som entledigar ett utsett person- uppgiftsombud. Om det på grund av entledigande inte längre finns något anmält personuppgiftsombud, måste den personuppgiftsansvarige enligt 36 § anmäla behandlingar som påbörjas därefter. Enligt 50 § f får regeringen eller den myndighet som regeringen bestämmer meddela närmare föreskrifter om anmälan till tillsynsmyndig- heten och förfarandet när anmälda uppgifter har ändrats. Personuppgiftsombudets uppgifter 38 § Personuppgiftsombudet skall ha till uppgift att självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed samt påpeka eventuella brister för honom eller henne. Har personuppgiftsombudet anledning att misstänka att den person- uppgiftsansvarige bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och vidtas inte rättelse så snart det kan ske efter påpekande, skall personuppgiftsombudet anmäla förhållandet till tillsynsmyndigheten. Personuppgiftsombudet skall även i övrigt samråda med tillsynsmyn- digheten vid tveksamhet om hur de bestämmelser som gäller för behandlingen av personuppgifter skall tillämpas. Paragrafen överensstämmer med förslag och har behandlats i avsnitt 12.12.2.4 i kommitténs betänkande. Första stycket motsvarar artikel 18.2 första strecksatsen i den andra strecksatsen i EG-direktivet, se bilaga 1. Personuppgiftsombudet skall se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed. Detta innebär att ombudet måste förvissa sig om att den personuppgiftsansvarige följer be- stämmelserna i personuppgiftslagen och anknytande lagstiftning. Hur pass omfattande kontrollen skall vara får avgöras efter omständigheterna i det enskilda fallet. Ombudet bör i vart fall granska rutinerna för be- handling av personuppgifter och de krav på kvalifikationer, lämplighet och kunskap som den personuppgiftsansvarige ställer på den personal som tillåts behandla sådana uppgifter. Enligt EG-direktivet skall personuppgiftsombudet på ett oberoende sätt kunna säkra den interna tillämpningen. Det är detta som avses med personuppgiftsombudets självständiga ställning. Den personuppgifts- ansvarige bör alltså inte utse ett ombud som har en alltför underordnad ställning. Ombudet kan vara en anställd hos den personuppgiftsansvarige, men måste då ges en sådan ställning att befogenheterna som person- uppgiftsombud kan utövas på ett självständigt sätt i förhållande till arbetsgivaren. Ett anlitat personuppgiftsbiträde eller någon anställd hos biträdet kan utses till personuppgiftsombud under förutsättning att den utsedde ges förutsättningar att utöva sitt uppdrag självständigt. Däremot kan en personuppgiftsansvarig inte utse sig själv till personuppgifts- ombud. I personuppgiftsombudets självständiga ställning ligger vidare att personuppgiftsombudet skall ha tillräckliga kvalifikationer och kun- skaper för att kunna utföra sina uppgifter. Andra stycket rör det fallet att det finns anledning att misstänka att den personuppgiftsansvarige i något avseende inte följer bestämmelserna om behandlingen. Om personuppgiftsombudet upptäcker brister i uppgifts- behandlingen, bör ombudet i första hand påpeka detta för den person- uppgiftsansvarige. Om den personuppgiftsansvarige inte därefter vidtar rättelse så snart det kan ske, är personuppgiftsombudet skyldigt att anmäla bristerna till tillsynsmyndigheten. Hur snart rättelse bör ske efter ett påpekande får bero av omständigheterna i det särskilda fallet. Att det kan ta någon tid att rätta till upptäckta brister bör i allmänhet accepteras, särskilt om det upprättas en konkret plan för hur bristerna skall kunna åtgärdas inom rimlig tid. Men dröjer det alltför länge innan något görs, bör ombudet göra en anmälan till tillsynsmyndigheten. Att ett anställt personuppgiftsombud i enlighet med paragrafen gör en anmälan kan som regel inte få några konsekvenser för ombudet i arbets- rättsligt hänseende. Enligt artikel 5 i konvention (nr 158) om uppsägning av anställningsavtal på arbetsgivarens initiativ utgör det inte ett giltigt skäl för uppsägning att någon gett in klagomål eller deltagit i ett rättsligt förfarande mot en arbetsgivare, vilket innebär påstående om överträdelse av lag eller annan författning, eller vänt sig till behörig myndighet . har ratificerat den konventionen, och det har ansetts att den artikeln är uppfylld genom 7 § lagen (1982:80) om anställ- ningsskydd jämte rättspraxis (prop. 1982/83:124 s. 5). Arbetsdomstolen har t.ex. uttalat att de förpliktelser som följer av anställningsavtalet inte innebär något avgörande hinder för en arbetstagare att hos behörig myndighet påtala missförhållanden som råder i arbetsgivarens verksamhet (AD 1986 nr 95). Tredje stycket rör personuppgiftsombudets övriga kontakter med till- synsmyndigheten och motsvarar artikel 20.2 i EG-direktivet, se bilaga 1. 39 § Personuppgiftsombudet skall föra en förteckning över de be- handlingar som den personuppgiftsansvarige genomför och som skulle ha omfattats av anmälningsskyldighet om ombudet inte hade funnits. Förteckningen skall omfatta åtminstone de uppgifter som en anmälan enligt 36 § skulle ha innehållit. Paragrafen överensstämmer med förslag och har berörts i avsnitt 12.12.2.4 i kommitténs betänkande. Paragrafen skall ha samma innebörd som artikel 18.2 andra streck- satsen i andra strecksatsen i EG-direktivet, se bilaga 1. 40 § Personuppgiftsombudet skall hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. Paragrafen överensstämmer med förslag och har berörts i avsnitt 12.12.2.4 i kommitténs betänkande. Paragrafen motsvarar 8 § fjärde stycket i den nuvarande datalagen. Obligatorisk anmälan av särskilt integritetskänsliga behandlingar 41 § Regeringen får meddela föreskrifter om att sådana automatiserade behandlingar av personuppgifter som innebär särskilda risker för otillbörligt intrång i den personliga integriteten skall för förhandskontroll anmälas till tillsynsmyndigheten enligt 36 § i förväg. Om regeringen har meddelat sådana föreskrifter, gäller inte undantaget från anmälningsskyldigheten enligt 37 §. Frågan om normgivningsdelegation har berörts i avsnitt 10. Paragrafen överensstämmer med förslag och har berörts i avsnitt 12.12.2.5 i kommitténs betänkande. Av förslaget till lag om ändring i personuppgiftslagen (avsnitt 15) framgår att paragrafen per ändras så att det blir möjligt att meddela föreskrifter även såvitt avser sådan behandling som omfattas av personuppgiftslagen. Paragrafen har införts mot bakgrund av artikel 20.1 i EG-direktivet, se bilaga 1. Upplysningar till allmänheten om behandlingar som inte anmälts 42 § Den personuppgiftsansvarige skall till var och en som begär det skyndsamt och på lämpligt sätt lämna upplysningar om sådana automatiska eller andra behandlingar av personuppgifter som inte har anmälts till tillsynsmyndigheten. Upplysningarna skall omfatta det som en anmälan enligt 36 § första stycket skulle ha omfattat. Den person- uppgiftsansvarige är dock inte skyldig att lämna ut sekretessbelagda uppgifter eller uppgifter om vilka säkerhetsåtgärder som har vidtagits. En personuppgiftsansvarig som inte är myndighet får därvid i motsvarande fall som avses i sekretesslagen (1980:100) vägra att lämna ut uppgifter. Frågan om upplysningar till allmänheten om behandlingar har behandlats i avsnitt 12. Paragrafen överensstämmer delvis med förslag och har berörts i avsnitt 12.12.2.6 i kommitténs betänkande. Paragrafen skall ha samma innebörd som artikel 21.3 första stycket i EG-direktivet, se bilaga 1. Frågor om sekretess har behandlats i avsnitt 11.5.2. befogenheter 43 § har rätt att för sin tillsyn på begäran få a) tillgång till de personuppgifter som behandlas, b) upplysningar om och dokumentation av behandlingen av personupp- gifter och säkerheten vid denna, och c) tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. 44 § Om tillsynsmyndigheten inte efter begäran enligt 43 § kan få tillräckligt underlag för att konstatera att behandlingen av person- uppgifter är laglig, får myndigheten vid vite förbjuda den person- uppgiftsansvarige att behandla personuppgifter på något annat sätt än genom att lagra dem. 45 § Om tillsynsmyndigheten konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt, skall myndigheten ge- nom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. Går det inte att få rättelse på något annat sätt eller är saken brådskande, får myndigheten vid vite förbjuda den personuppgiftsansvarige att fortsätta att behandla personuppgifterna på något annat sätt än genom att lagra dem. Om den personuppgiftsansvarige inte frivilligt följer ett beslut om säkerhetsåtgärder enligt 32 §, som vunnit laga kraft, får tillsynsmyn- digheten föreskriva vite. 46 § Innan tillsynsmyndigheten beslutar om vite enligt 44 eller 45 §, skall den personuppgiftsansvarige ha fått tillfälle att yttra sig. Om saken är brådskande, får myndigheten dock i avvaktan på yttrandet meddela ett tillfälligt beslut om vite. Det tillfälliga beslutet skall omprövas, när yttrandetiden har gått ut. Ett vitesföreläggande skall delges den personuppgiftsansvarige. Del- givning enligt 12 § delgivningslagen (1970:428) får användas bara om det finns skäl att anta att den personuppgiftsansvarige har avvikit eller på annat sätt håller sig undan. 47 § får hos länsrätten i det län där myndigheten är belägen ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt skall utplånas. Beslut om utplånande får inte meddelas om det är oskäligt. Frågan om tillsynsmyndighetens befogenheter har behandlats i avsnitt 13. Bestämmelserna i 43 47 §§ överensstämmer i huvudsak med Data- lagskommitténs förslag och har berörts i avsnitt 12.14.1 i kommitténs betänkande. Det bör betonas att möjligheten enligt 46 § att meddela ett tillfälligt beslut om vite är avsedd att utnyttjas bara i undantagsfall när saken är klar och så brådskande att ett yttrande från den personuppgiftsansvarige inte kan avvaktas. Möjligheten enligt 47 § att ansöka om utplånande av personuppgifter bör bara användas i sådana fall där det inte genom andra åtgärder är möjligt att förena behandlingen av uppgifterna med de regler som gäller. Frågan om ett beslut om utplånande är oskäligt får avgöras mot bakgrund av samtliga omständigheter i det aktuella fallet. Vid bedömningen kan beaktas sådana faktorer som att ett utplånande för den personuppgifts- ansvarige skulle innebära stora praktiska svårigheter eller ett svårt ekonomiskt avbräck. Enligt 51 § andra stycket krävs det prövnings- tillstånd vid överklagande till kammarrätten. Skadestånd 48 § Den personuppgiftsansvarige skall ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med denna lag vid behandling av personuppgifter har orsakat. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas, om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Frågan om skadestånd har behandlats i avsnitt 14. Paragrafen överens- stämmer i huvudsak med förslag, dock att kom- mittén föreslog att skadestånd även kunde utgå vid behandling i strid med föreskrifter som meddelats med stöd av lagen, och har även berörts i avsnitt 12.13.2.1 3 i kommitténs betänkande. Bestämmelserna i paragrafen är sådana specialbestämmelser om skadestånd som tar över de allmänna skadeståndsreglerna i skadeståndslagen (1972:207), se 1 kap. 1 § i den lagen. I den utsträckning en ersättningsfråga inte berörs i paragrafen t.ex. frågan om hur ersättningen för en personskada eller sakskada skall beräknas (5 kap. skadeståndslagen) eller frågan om ansvaret när det finns flera skadeståndsskyldiga (6 kap. 3 § skadeståndslagen) tillämpas de all- männa reglerna i skadeståndslagen. I den utsträckning ett förfarande i strid med lagen eller god sed vid behandling av personuppgifter ingår som ett led i ett sådant brott som avses i 1 kap. 3 § skadeståndslagen, kan däremot ideellt skadestånd för lidande respektive ersättning för kränkning utgå enligt såväl den nämnda bestämmelsen som denna paragraf. Som Lagrådet påpekat innebär detta inte att kränkningen ersätts med ett högre belopp enbart därför att flera bestämmelser kan vara tillämpliga. Av första stycket framgår att den personuppgiftsansvarige är ersättningsskyldig gentemot den registrerade så snart behandling har skett i strid med någon bestämmelse i lagen vid behandling av person- uppgifter.