prop · GL0344 · 1998-01-01 00:00:00 — Det tillägg till delegationsgrunderna i 8 kap. 7 § regeringsformen som på den dåvarande regeringens förslag infördes i anslutning till val bygger också på denna förutsättning. Det förhållande att bestämmelserna är förknippade med skadeståndssanktion kan enligt vår mening inte förta bestämmelserna deras offentligrättsliga karaktär (jfr t.ex. järnvägs- trafiklagen [1985:192], särskilt 3 § och Lagrådets yttrande i prop. 1996/97:65 om ändringar i kreditupplysningslagen angående 7 § denna lag). Vi anser inte heller att den större betydelse som skadestånds- sanktionen får i den nya lagen jämfört med är av så avgörande betydelse att bestämmelserna i grunden förvandlas till privaträttsliga i stället för offentligrättsliga. Lagstiftningen erbjuder flera exempel på att offentligrättsliga bestämmelser kan ha privaträttsliga inslag utan att reglernas karaktär bedöms vara annat än offentligrättslig. Av 8 kap. 7 § andra stycket regeringsformen framgår att offentligrättsliga föreskrifter som meddelats av regeringen med stöd av delegation enligt första stycket kan förknippas med straffsanktioner, och huvudregeln är ju att skadestånd skall betalas för skada som vållats genom brott, se t.ex. 1 kap. 3 § och 2 kap. 5 § skadeståndslagen (1972:207). Från EG-direktivets synpunkt saknar distinktionen mellan civilrättslig och offentligrättslig lagstiftning betydelse. Medlemsstaterna har skyl- dighet att införliva dataskyddsreglerna i sin nationella lagstiftning men har frihet att välja metod för hur det skall ske. Vår slutsats är att de bemyndiganden som föreslås i den nya lagen avser offentligrättsliga föreskrifter och inte sådana privaträttsliga före- skrifter som hör till det obligatoriska lagområdet. Det är således möjligt att i de ämnen som anges i 8 kap. 7 § 8 regeringsformen lämna bemyn- digandena. Enligt bestämmelsen i 8 kap. 7 § 8 regeringsformen kan delegation av föreskriftsrätt ske i fråga om skydd för personlig integritet vid registrering av personuppgifter med hjälp av automatisk databehandling . Lagrådet har som konsekvens av ställningstagandet att föreskrifterna är av privaträttslig karaktär förordat att punkt 8 i det akuella lagrummet skall upphävas. Vi har som framgår ovan kommit till en annan slutsats vad gäller bestämmelsernas karaktär. Föreskrifter bör kunna ges av regeringen eller den myndighet som regeringen bestämmer på hela det område som omfattas av den nya lagen, dvs. även när det gäller sådan behandling av personuppgifter som omfattas av den nya lagen (se avsnitt 6.1). Vi föreslår därför i likhet med att den bestämmelsen ändras så att det blir möjligt att i enlighet med tillämp- ningsområdet för den nya lagen och EG-direktivet delegera föreskriftsrätt i fråga om skydd för personlig integritet vid behandling av personuppgifter . I avsnitt 15 berörs frågan om när den nya lagen, inklusive föreslagna bemyndiganden, och ändringen i regeringsformen skall träda i kraft. 11 Den materiella regleringen 11.1 Huvudprinciper Regeringens förslag: Den nya lagen skall innehålla de generella regler som följer av EG-direktivet i fråga om vilka krav som ställs vid behandling av personuppgifter, när sådan behandling är tillåten, information till den registrerade, korrigering av personuppgifter, rättigheter vid automatiserade beslut, säkerheten vid behandlingen och överföring av personuppgifter till s.k. tredje land. förslag överensstämmer i huvudsak med re- geringens. Remissinstanserna: De allra flesta remissinstanser accepterar att de regler som följer av EG-direktivet införs i den nya lagen. Flera föreslår dock förtydliganden, kompletteringar eller undantagsregler i olika hänseenden. Skälen för regeringens förslag: EG-direktivet innehåller en rad materiella regler om hanteringen av personuppgifter. Det gäller generella regler om vilka krav som ställs vid behandling av personuppgifter, när sådan behandling är tillåten, information till den registrerade, korrigering av personuppgifter, rättigheter vid automatiserade beslut, säkerheten vid behandlingen och överföring av personuppgifter till s.k. tredje land, dvs. till en stat utanför EES. En sammanfattning av reglerna i direktivet finns i avsnitt 4.3. De materiella reglerna i direktivet måste införas i den nya lagen. I enlighet med vad som anges i avsnitt 5.2 bör den nya lagen därvid i huvudsak följa direktivets text och struktur och i princip bara innehålla de generella regler som följer av direktivet. Behovet av undantag och sär- regler för mer speciella områden får tillgodoses genom andra författ- ningar, se avsnitt 6.2. Förslagen från remissinstanserna till utformning av lagtexten har följts i flera fall. I författningskommentaren berörs vissa andra förslag i den utsträckning de inte bedömts stå i strid med direktivet. I det följande berörs närmare de materiella regler som den nya lagen innehåller. 11.2 Grundläggande krav på behandlingen av person- uppgifter Regeringens förslag: Den personuppgiftsansvarige skall se till att a) personuppgifter behandlas bara om det är lagligt, b) personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed, c) personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, d) personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, e) de personuppgifter som behandlas är adekvata och relevanta i för- hållande till ändamålen med behandlingen, f) inte fler personuppgifter behandlas än som är nödvändigt med hän- syn till ändamålen med behandlingen, g) de personuppgifter som behandlas är riktiga och, om det är nöd- vändigt, aktuella, h) alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna så- dana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen, och i) personuppgifter inte bevaras än vad som är nöd- vändigt med hänsyn till ändamålen med behandlingen. För behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål gäller vissa särregler. förslag stämmer i huvudsak överens med regeringens. Kommittén föreslår dock att skyldigheten att vidta åtgärder för att rätta, blockera eller utplåna skall gälla inte bara felaktiga eller ofullständiga personuppgifter utan också missvisande personuppgifter. Remissinstanserna: Länsrätten i anser att ändamålen med en behandling skall nedtecknas och avstyrker att korrigerings- skyldigheten skall gälla även missvisande personuppgifter. Skälen för regeringens förslag: De grundläggande kraven på be- handling av personuppgifter i den nya lagen stämmer överens med de krav som medlemsstaterna skall föreskriva enligt artikel 6 i EG- direktivet, se bilaga 1. EG-direktivet nämner inte missvisande personuppgifter i fråga om skyldigheten att vidta åtgärder för att rätta, blockera eller utplåna person- uppgifter. Därför har vi till skillnad från men i enlighet med vad Länsrätten i föreslagit valt att i bestämmelsen uttryckligen nämna bara felaktiga och ofullständiga personuppgifter. Det är för övrigt svårt att se att det i praktiken skulle kunna förekomma fall där en personuppgift med hänsyn till ändamålen med behandlingen skulle vara objektivt sett missvisande men inte felaktig eller ofullständig. Däremot finns det enligt vår mening inte anledning att följa länsrättens förslag om att införa en uttrycklig skyldighet att nedteckna ändamålet med behandlingen. Någon sådan skyldighet föreskrivs inte enligt EG- direktivet. Ändamålet måste dock vara uttryckligt angivet. De bestämmelser som finns om information till den registrerade när person- uppgifterna samlas in (se avsnitt 11.5.1) medför som regel att ändamålen måste uppges redan när behandlingen påbörjas. Härtill kommer att den personuppgiftsansvarige alltid är skyldig att uppge ändamålen antingen i en anmälan till tillsynsmyndigheten eller till var och en som begär en sådan upplysning (se avsnitt 12). Detta får anses tillräckligt. Behandling för historiska, statistiska och vetenskapliga ändamål Enligt EG-direktivet är lagring och annan behandling av personuppgifter för historiska, statistiska och vetenskapliga ändamål särskilt gynnad. Se- nare behandling för sådana ändamål skall inte anses oförenlig med de ur- sprungliga ändamål för vilka uppgifterna samlades in. Det är också till- låtet att för sådana ändamål spara personuppgifter . Personuppgifter får dock inte heller i dessa fall bevaras än vad som behövs för dessa ändamål. Motsvarande bestämmelser har förts in i den nya lagen. EG-direktivet kräver dock att för dessa fall beslutar om eller vidtar lämpliga skyddsåtgärder. har i detta hänseende föreslagit en bestämmelse om att personuppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål får användas för att vidta åtgärder beträffande den registrerade bara om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades eller någon annans vitala intressen. Remissinstanserna har lämnat förslaget i sak utan erinran, dock anser att det inte är acceptabelt med en bestämmelse som innebär att uppgifter som behandlas för aktuella ändamål kan användas för att vidta åtgärder mot den registrerade med hänsyn till någon annans vitala intressen. Vi kan inte annat än hålla med centralbyrån på den punkten. Det bör således inte vara möjligt att utsätta den registrerade för åtgärder bara av hänsyn till någon annan. I övrigt motsvarar bestämmelsen i den nya lagen i stort sett den som kommittén föreslagit. Bestämmelsen skall i enlighet med kommitténs förslag inte gälla för en myndighets användning av personuppgifter i allmänna handlingar. För sådana personuppgifter finns det nämligen redan lämpliga skyddsåtgärder i form av bestämmelser om sekretess och skydd för arkiv. 11.3 När behandling av personuppgifter är tillåten förslag: Personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för att a) ett avtal med den registrerade skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, b) den personuppgiftsansvarige skall kunna fullgöra en rättslig skyl- dighet, c) vitala intressen för den registrerade skall kunna skyddas, d) en arbetsuppgift av allmänt intresse skall kunna utföras, e) den personuppgiftsansvarige eller en tredje man till vilken person- uppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller f) ett ändamål som rör ett berättigat intresse hos den personuppgifts- ansvarige eller hos en sådan tredje man till vilka personuppgifterna lämnas ut skall kunna tillgodoses om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Personuppgifter får inte behandlas för ändamål som rör direkt marknadsföring, om den registrerade hos den personuppgiftsansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling. När en behandling bara är tillåten med samtycke, får ytterligare personuppgifter inte behandlas sedan den registrerade har återkallat sitt samtycke. I övrigt har den registrerade inte rätt att motsätta sig behandling av personuppgifter som är tillåten enligt den nya lagen. förslag stämmer i stort sett överens med regeringens. Remissinstanserna: Kammarrätten i anser att den registrerade skall ha rätt att bli informerad innan personuppgifter lämnas ut till tredje man eller används för tredje mans räkning för ändamål som rör direkt marknadsföring och att uttryckligen få ett erbjudande om att utan kostnader motsätta sig ett sådant utlämnande eller en sådan användning. Datainspektionen anser å sin sida att det i fråga om behandling för ändamål som rör direkt marknadsföring bör införas ett krav på aktivt samtycke eller en ordning med ett nationellt s.k. reservationsregister. Även i (LO) anser att det för behandling för sådana ändamål bör krävas medgivande från den registrerade. Skälen för regeringens förslag: Uppräkningen i den nya lagen av i vilka fall behandling av personuppgifter är tillåten stämmer överens med den uppräkning som i detta hänseende finns i artikel 7 i EG-direktivet, se bilaga 1. Uppräkningen är uttömmande. Om känsliga personuppgifter, uppgifter om lagöverträdelser m.m. eller personnummer skall behandlas, måste behandling dessutom vara tillåten i enlighet med de bestämmelser som gäller för behandling av sådana uppgifter (se avsnitt 11.4). Att såsom en del remissinstanser föreslagit göra förtydliganden och kompletteringar i förhållande till EG-direktivets text är enligt vår mening inte lämpligt och i vissa fall otillåtet enligt direktivet. Lagtexten bör i stället nära ansluta till direktivets text (se avsnitt 5.2). Närmare preciseringar av när behandling är tillåten får inom den ram EG- direktivet och lagtexten ger göras i rättstillämpningen och i kom- pletterande föreskrifter som utfärdas i anslutning till lagen (se avsnitt 10 om normgivningsdelegation). Behandling för ändamål som rör direkt marknadsföring Behandling av personuppgifter för ändamål som rör direkt marknads- föring kan vara tillåten t.ex. efter en sådan intresseavvägning som anvisas i punkt g. Vi föreslår dock en uttrycklig bestämmelse i den nya lagen enligt vilken personuppgifter inte får behandlas för sådana ändamål, om den registrerade hos den personuppgiftsansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling. Den bestämmelsen uppfyller kravet i artikel 14 i EG-direktivet att medlemsstaterna skall tillförsäkra den registrerade rätten att efter anmodan och utan kostnader motsätta sig behandling av personuppgifter som rör den registrerade och som den personuppgiftsansvarige bedömer kan komma att behandlas för ändamål som rör direkt marknadsföring. Ett enligt EG-direktivet (artikel 14 första stycket b) tillåtet alternativ till en sådan bestämmelse som den föreslagna är att ge den registrerade rätt att bli informerad innan person- uppgifter lämnas ut till tredje man eller används för tredje mans räkning för ändamål som rör direkt marknadsföring och att uttryckligen få ett erbjudande om att utan kostnader motsätta sig ett sådant utlämnande eller en sådan användning. Kammarrätten i anser att det alternativet är att föredra. Även Datainspektionen och i (LO) har synpunkter på regleringen i denna bestämmelse. Vi anser för vår del att den reglering som den föreslagna bestämmelsen innehåller är den enklaste och smidigaste. Regleringen ger den som så önskar en möjlighet att undvika behandling för ändamål som rör direkt marknadsföring och hindrar inte heller att det på privat initiativ inrättas ett nationellt reservationsregister till vilket enskilda kan anmäla att de inte önskar bli utsatta för direkt marknadsföring generellt eller bara i vissa fall. Rätt att motsätta sig behandling Återkallelse av samtycke Enligt den nuvarande datalagen finns det inte någon generell rätt för den registrerade att motsätta sig en behandling som är laglig. Bestämmelserna i artikel 14 i EG-direktivet innebär att det för behandling för ändamål som rör direkt marknadsföring skall finnas en rätt för den registrerade att motsätta sig behandlingen, men att medlemsstaterna i övrigt fritt kan genom lagstiftning bestämma i vilken utsträckning en registrerad skall ha rätt att motsätta sig en sådan behandling som är laglig och tillåten enligt direktivet. På grund av utformningen av EG-direktivet måste det således i lagstiftningen slås fast i vilken utsträckning den registrerade generellt har rätt att motsätta sig behandling av personuppgifter. har föreslagit att den registrerade, i de fall där behandlingen bara är tillåten när den registrerade har lämnat sitt samtycke, skall ha rätt att när som helst återkalla ett lämnat samtycke med den verkan att ytterligare uppgifter om den registrerade därefter inte får behandlas; återkallelsen påverkar således inte behandlingen av de uppgifter som redan har hunnit samlas in med stöd av samtycket. Därutöver skall den registrerade, enligt kommitténs förslag, inte ha någon rätt att motsätta sig en behandling som är tillåten enligt den nya lagen. Förslaget har lämnats utan invändningar av remissinstanserna och bör genomföras. Huvudregeln om att den registrerade inte har rätt att motsätta sig en enligt lagen tillåten behandling motsvarar vad som gäller . Regleringen av det fallet att ett lämnat samtycke återkallas innebär enligt vår mening en lämplig avvägning mellan den registrerades och den personuppgiftsansvariges intressen. Regleringen innebär att den regi- strerades självbestämmanderätt beträffande vilka uppgifter som får samlas in respekteras som den personuppgiftsansvariges befogade anspråk på att få behandla färdigt de uppgifter som han eller hon kommit över med stöd av ett frivilligt lämnat samtycke kan tillgodo- ses. 11.4 Behandling av särskilda kategorier av uppgifter 11.4.1 Behandling av känsliga personuppgifter Regeringens förslag: Det är förbjudet att behandla personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, eller medlemskap i fackförening. Det är också förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. Från förbudet gäller undantag vid uttryckligt samtycke eller när uppgifter på ett tydligt sätt offentliggörs av den registrerade, vid nödvändig behandling inom arbetsrätten, för att skydda vitala intressen eller för att fastställa, göra gällande eller försvara rättsliga anspråk och vid behandling inom ideella organisationer eller inom hälso- och sjukvården. förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Flera remissinstanser, t.ex. på det kommunala området, påpekar att definitionen av känsliga personuppgifter inte överensstämmer med den som tillämpas . Arbetarskyddsstyrelsen anser att regeringen eller Datainspektionen bör ha möjlighet att i särskilda fall förbjuda behandling av känsliga personuppgifter även om det finns samtycke. Skälen för regeringens förslag: Definitionen av känsliga person- uppgifter i det principiella förbudet mot behandling av sådana uppgifter i den nya lagen överensstämmer med den definition som finns i artikel 8.1 i EG-direktivet, se bilaga 1. Enligt den nuvarande datalagen gäller särskilda regler för personregister som innehåller uppgifter om andra än medlemmar, anställda eller kunder hos den person- uppgiftsansvarige eller personer som har annan därmed jämställd anknytning till denne, att någon misstänks eller dömts för brott, att någon avtjänat straff eller undergått annan påföljd för brott, att någon varit föremål för tvångsingripande enligt viss lagstiftning, att någon fått ekonomisk hjälp eller vård inom , att någon varit föremål för åtgärd enligt utlänningslagen, någons sjukdom, hälsotillstånd eller sexualliv, någons ras, politiska uppfattning, religiösa tro eller övertygelse i övrigt och någon som utgör omdöme eller annan värderande upplysning. En del av det som omfattas av särskilda regler enligt den nuvarande datalagen kommer alltså inte att omfattas av bestämmelserna om känsliga personuppgifter i den nya lagen. har ansett att det skulle vara oförenligt med EG-direktivet att utvidga tillämpningsområdet för direktivets bestämmelser om känsliga uppgifter till att omfatta allt det som regleras av särskilda regler enligt den nuvarande datalagen. Den bedömningen verkar inte ha ifrågasatts av någon remissinstans. Även vi anser att det inte är tillåtet enligt EG- direktivet att i nationell lagstiftning ha en annan definition, som t.ex. omfattar uppgifter som är helt artskilda i förhållande till de som i direktivet definieras som känsliga. Att göra så skulle hindra det fria flödet av sådana uppgifter inom Europeiska unionen och därmed strida mot direktivet. Undantag från förbudet mot behandling av känsliga personuppgifter Även undantagen från förbudet mot behandling av känsliga person- uppgifter i den nya lagen överensstämmer med de undantag som skall föreskrivas enligt artikel 8.2 och 8.3 i EG-direktivet. Enligt artiklarna gäller inte det tidigare nämnda förbudet mot behandling av känsliga personuppgifter om den registrerade har lämnat sitt uttryckliga samtycke till en sådan be- handling, utom när det enligt medlemsstatens lagstiftning anges att förbudet mot behandling av känsliga personuppgifter inte kan upp- hävas genom den registrerades samtycke, eller behandlingen är nödvändig för att fullgöra de skyldigheter och sär- skilda rättigheter som åligger den personuppgiftsansvarige inom arbetsrätten, i den omfattning detta är tillåtet enligt en nationell lagstiftning som föreskriver lämpliga skyddsåtgärder, eller behandlingen är nödvändig för att skydda den registrerades eller någon annan persons grundläggande intressen när den registrerade är fysiskt eller rättsligt förhindrad att ge sitt samtycke, eller behandlingen utförs inom ramen för berättigad verksamhet hos en stiftelse, en förening eller ett annat icke vinstdrivande organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte, förutsatt att be- handlingen endast rör sådana organs medlemmar eller personer som på grund av organets ändamål har regelbunden kontakt med detta och uppgifterna inte lämnas ut till tredje man utan den registrerades sam- tycke, eller behandlingen rör uppgifter som på ett tydligt sätt offentliggörs av den registrerade eller är nödvändiga för att kunna fastslå, göra gällande eller försvara rättsliga anspråk, eller behandlingen av uppgifterna är nödvändig med hänsyn till före- byggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling eller administration av hälso- eller sjukvård eller om dessa uppgifter behandlas av någon som är yrkesmässigt verksam på hälso- och sjukvårdsområdet och som enligt nationell lagstiftning eller bestämmelser som antagits av behöriga nationella organ är underkastad tystnadsplikt eller av en annan person som är ålagd en liknande tystnadsplikt. Som framgått kan enligt EG-direktivet en medlemsstat i sin lagstiftning bestämma att förbudet mot behandling av känsliga person- uppgifter inte kan upphävas genom den registrerades samtycke. Arbetarskyddsstyrelsen anser att lagen i enlighet härmed bör ge regeringen eller Datainspektionen möjlighet att i särskilda fall förbjuda behandling av känsliga personuppgifter även om det finns samtycke. När någon har lämnat ett frivilligt samtycke till en viss behandling, kan det enligt vår mening inte finnas något integritetsskyddsintresse som gör det befogat att förbjuda den behandling som den registrerade och den personuppgiftsansvarige är överens om. Någon sådan möjlighet som Arbetarskyddsstyrelsen föreslagit bör därför inte införas. Enligt den nya lagen gäller således undantag vid samtycke eller att uppgiften tydligt offentliggörs av den registrerade, vid nödvändig behandling inom arbetsrätten, för att skydda vitala intressen eller för att fastställa, göra gällande eller försvara rättsliga anspråk och vid behandling inom ideella organisationer eller inom hälso- och sjukvården. Dessa undantag berörs vidare i författningskommentaren. Enligt artikel 8.4 i EG-direktivet har medlemsstaterna möjlighet att föreskriva ytterligare undantag från förbudet med hänsyn till viktiga allmänna intressen. Detta förutsätter dock att det finns lämpliga skydds- åtgärder. Såsom framgår av avsnitt 10 föreslår vi att regeringen eller den myndighet som regeringen bestämmer skall bemyndigas att för viktiga allmänna intressen föreskriva andra undantag från det principiella förbudet mot behandling av känsliga personuppgifter än dem som framgår direkt av EG-direktivet. Vi anser dock att forskning och statistik är ett så viktigt område att det bör regleras redan i den nya lagen. Undantaget för forskning och statistik berörs närmare i följande avsnitt.