prop · GL0344 · 1998-01-01 00:00:00 — Första stycket innehåller i syfte att förtydliga en upplysning om att lagen inte tillämpas om det skulle strida mot en myndighets skyldigheter enligt 2 kap. tryckfrihetsförordningen (TF). Andra stycket rör det bevarande av allmänna handlingar som utgör en förutsättning för att offentlighetsprincipen i 2 kap. TF skall kunna upp- fylla sina syften. För tillämpningen av stycket förutsätts inte i och för sig att bevarandet är föreskrivet i författning. Det räcker att det är fråga om allmänna handlingar. Även bevarande av sådana handlingar som enligt 2 kap. 9 § TF blir allmänna först sedan de tagits om hand för arkivering omfattas. Sista meningen i andra stycket innebär att myndigheter trots bestäm- melserna i 9 § fjärde stycket får använda information i allmänna hand- lingar för att vidta åtgärder beträffande enskilda. Övriga bestämmelser i lagen skall däremot följas när en myndighet på detta sätt återanvänder personuppgifter, t.ex. bestämmelsen i 9 § första stycket d om att person- uppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Enligt Datalagskommitténs förslag skulle det genom ändring i arkivlagen (1990:782) införas en ordning som innebar att handlingar och databaser som innehåller allmänna uppgifter skulle anses tillhöra myndighetens arkiv (kommitténs betänkande s. 662), och i enlighet härmed föreslogs att det nu aktuella undantaget skulle omfatta personuppgifter i en myndighets arkiv . Eftersom förslaget till ändringar i arkivlagen inte nu genomförs, har undantaget omformulerats till att avse en myndighets användning av personuppgifter i allmänna handlingar. Grundläggande krav på behandlingen av personuppgifter 9 § Den personuppgiftsansvarige skall se till att a) personuppgifter behandlas bara om det är lagligt, b) personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed, c) personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, d) personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, e) de personuppgifter som behandlas är adekvata och relevanta i för- hållande till ändamålen med behandlingen, f) inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen, g) de personuppgifter som behandlas är riktiga och, om det är nöd- vändigt, aktuella, h) alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen, och i) personuppgifter inte bevaras än vad som är nöd- vändigt med hänsyn till ändamålen med behandlingen. I fråga om första stycket d gäller dock att en behandling av person- uppgifter för historiska, statistiska eller vetenskapliga ändamål inte skall anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Personuppgifter får bevaras för historiska, statistiska eller ve- tenskapliga ändamål än som sagts i första stycket i. Personuppgifterna får dock i sådana fall inte bevaras än vad som behövs för dessa ändamål. Personuppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål får användas för att vidta åtgärder i fråga om den registrerade bara om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. I paragrafen läggs det fast vissa grundläggande krav på den person- uppgiftsansvariges behandling av personuppgifter. De grundläggande kraven på behandlingen av personuppgifter har behandlats i avsnitt 11.2. Paragrafen överensstämmer i huvudsak med förslag och har berörts i avsnitt 11.6.5 och 12.4 i kommitténs betänkande. Första, andra och tredje styckena har samma innebörd som artikel 6 i EG-direktivet, se bilaga 1. På förslag av Lagrådet har i första stycket b lagts till vad som i lagrådsremissen framgick av skadeståndsbestämmelsen i 48 §, nämligen att personuppgifter skall behandlas i enlighet med god sed. Fjärde stycket innehåller bestämmelser om sådana lämpliga skydds- åtgärder vid behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål som avses i den nämnda artikeln och i artikel 8.4. Bestämmelsen gäller inte för en myndighets användning av person- uppgifter i allmänna handlingar, se 8 § andra stycket. En och samma personuppgift kan behandlas för flera olika ändamål, varav något kan vara sådant som avses i tredje och fjärde styckena. I sådant fall får personuppgifter som behandlas för administrativa ändamål som har med en viss verksamhet att göra, trots bestämmelsen i fjärde stycket, behandlas för att i enlighet med dessa ändamål vidta åtgärder beträffande de registrerade, även om samma uppgifter behandlas för att framställa statistik. Behandling av personuppgifter för statistiska och vetenskapliga ändamål kan ge värdefull kunskap om generella sammanhang. Användandet av sådan kunskap för att vidta åtgärder mot individer omfattas inte av bestämmelsen. Det är vid tvist den personuppgiftsansvarige som har bevisbördan för att den registrerade lämnat sitt samtycke till att uppgifterna används för att vidta åtgärder. Har den registrerade muntligen eller skriftligen återkallat ett lämnat samtycke, får uppgifterna därefter inte användas för att vidta åtgärder. Om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen, får dock uppgifterna alltid användas för att vidta åtgärder. Ett exempel är det fallet att en forskare som undersöker ett misstänkt samband mellan intag av en medicin och någon allvarlig sjuk- dom upptäcker att det faktiskt finns ett sådant samband och därför använ- der registeruppgifter för att varna de registrerade som har fått sådan medicin så att de kan låta undersöka sig och få behandling. Ett annat exempel är när ett statistikregister används för att varna de som har köpt en apparat som visar sig ha ett allvarligt fel. Det är vid tvist den person- uppgiftsansvarige som har att visa att det finns sådana omständigheter som utgör synnerliga skäl. Enligt 50 § b får regeringen eller den myndighet som regeringen bestämmer meddela närmare föreskrifter om vilka krav som ställs på den personuppgiftsansvarige vid behandling av personuppgifter. När behandling av personuppgifter är tillåten om när behandling av personuppgifter är tillåten har behandlats i avsnitt 11.3. Enligt 50 § a får regeringen eller den myndighet som regeringen bestämmer meddela närmare föreskrifter om i vilka fall behandling av personuppgifter är tillåten. 10 § Personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för att a) ett avtal med den registrerade skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, b) den personuppgiftsansvarige skall kunna fullgöra en rättslig skyl- dighet, c) vitala intressen för den registrerade skall kunna skyddas, d) en arbetsuppgift av allmänt intresse skall kunna utföras, e) den personuppgiftsansvarige eller en tredje man till vilken person- uppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller f) ett ändamål som rör ett berättigat intresse hos den personuppgifts- ansvarige eller hos en sådan tredje man till vilken personuppgifterna läm- nas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. I paragrafen finns det en uttömmande uppräkning av i vilka fall person- uppgifter får behandlas. Om känsliga personuppgifter, uppgifter om lagöverträdelser m.m. eller personnummer skall behandlas, måste behandlingen dessutom vara tillåten i enlighet med 13 22 §§. I 12 § andra stycket regleras den situationen att den registrerade återkallar ett redan lämnat samtycke. Paragrafen överensstämmer i huvudsak med för- slag och har berörts i avsnitt 12.5.1 och 11.6.4 i kommitténs betänkande. Paragrafen är avsedd att ha samma innebörd som artikel 7 i EG- direktivet, se bilaga 1. Punkten a har utformats mot bakgrund av den engelska, franska och tyska versionen av EG-direktivet; i den svenska versionen talas däremot om ett sådant avtal (i vilket den registrerade är part). Direkt marknadsföring 11 § Personuppgifter får inte behandlas för ändamål som rör direkt mark- nadsföring, om den registrerade hos den personuppgiftsansvarige skriftli- gen har anmält att han eller hon motsätter sig sådan behandling. Paragrafen reglerar den registrerades rätt att motsätta sig behandling för direkt marknadsföring. Paragrafen överensstämmer med Datalagskom- mitténs förslag och har berörts i avsnitt 12.5.2.3 i kommitténs betänkande. Uttrycket behandlas för ändamål som rör direkt marknadsföring är avsett att ha samma innebörd som enligt artikel 14 första stycket b i EG- direktivet, se bilaga 1. Paragrafen medger inte att den personuppgiftsansvarige eller någon annan tar ut någon avgift eller liknande av den registrerade. Den registrerade kan således utan kostnad utöva sin rätt att motsätta sig att hans eller hennes personuppgifter behandlas för ändamål som rör direkt marknadsföring. Däremot finns det inte heller någon reglering som med- för att den registrerade kan få ersättning för utlägg för t.ex. portokost- naden för att sända in anmälan. Skriftlighetskravet innebär att anmälan måste vara uttryckt i text, men texten kan finnas på papper lika väl som i elektronisk form. Anmälan kan således göras via elektronisk post. Frågan om en insänd text är en sådan anmälan som avses i paragrafen får avgöras enligt sedvanliga regler om tolkning av ensidiga rättshandlingar. Enligt 50 § d får regeringen eller den myndighet som regeringen bestämmer meddela närmare föreskrifter om innehållet i en anmälan till en personuppgiftsansvarig. Anmälan skall riktas till den personuppgiftsansvarige. Sedan anmälan kommit in till den personuppgiftsansvarige, får denne inte längre be- handla personuppgifter om anmälaren för ändamål som rör direkt marknadsföring. Det gäller även om anmälaren tidigare gett sitt samtycke till sådan behandling. Skulle den som gjort en anmälan senare lämna sitt samtycke till behandling för ändamål som rör direkt marknadsföring, får anmälan i motsvarande utsträckning anses återkallad och utan verkan. Bestämmelserna i 10 § förvaltningslagen (1986:228), 44 § förvaltnings- processlagen (1971:291) och 33 kap. 3 § kan vara till ledning vid avgörande av frågan om när en anmälan skall anses ha gjorts. Det är vid tvist den registrerade som har bevisbördan för att en anmälan gjorts och tidpunkten för denna. För att behandling av personuppgifter för ändamål som rör direkt marknadsföring skall få ske krävs, förutom att den registrerade inte har motsatt sig det i enlighet med denna paragraf, att behandlingen är tillåten i enlighet med 10 §, företrädesvis punkten g, och, i förekommande fall, 13 22 §§. Samtycke återkallas 12 § I de fall då behandling av personuppgifter bara är tillåten när den registrerade har lämnat sitt samtycke enligt 10, 15 eller 34 § har den re- gistrerade rätt att när som helst återkalla ett lämnat samtycke. Ytterligare personuppgifter om den registrerade får därefter inte behandlas. En registrerad har utöver vad som följer av första stycket och 11 § inte rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt denna lag. Paragrafen reglerar vad som gäller när den registrerade återkallar ett redan lämnat samtycke till behandling av personuppgifter och i vilka fall den registrerade i övrigt skall ha rätt att motsätta sig sådan behandling. Paragrafen överensstämmer med förslag och har berörts i avsnitt 12.5.2.2 och 11.6.6 i kommitténs betänkande. Sådan återkallelse som avses i första stycket kan avges muntligen eller skriftligen till den personuppgiftsansvarige eller någon som på laglig grund företräder denne, t.ex. det personuppgiftsbiträde som för den per- sonuppgiftsansvariges räkning tagit emot samtycket. Det är vid tvist den registrerade som har bevisbördan för att en återkallelse gjorts och tidpunkten för denna. Frågan om ett meddelande från den registrerade är en sådan återkallelse som avses i paragrafen får avgöras enligt sedvanliga regler om tolkning av ensidiga rättshandlingar. Sedan den personuppgiftsansvarige mottagit den registrerades åter- kallelse, får några ytterligare uppgifter om den registrerade inte samlas in eller annars behandlas. Behandlingen av redan insamlade uppgifter får trots återkallelsen fortsätta i enlighet med det ursprungligen lämnade samtycket, men uppgifterna får således inte t.ex. uppdateras eller kompletteras. I andra stycket slås det mot bakgrund av artikel 14 första stycket a i EG-direktivet, se bilaga 1 fast att den registrerade i andra fall än som avses i första stycket i denna paragraf och 11 § får lov att stå ut med sådan behandling som är tillåten enligt lagen, t.ex. sådan behandling som är nödvändig för att utföra en arbetsuppgift av allmänt intresse. Den registrerade kan alltså inte med rättslig verkan motsätta sig behandlingen, men lagen hindrar givetvis inte att den personuppgiftsansvarige ändå respekterar den registrerades vilja och frivilligt slutar med att behandla dennes personuppgifter. Förbud mot behandling av känsliga personuppgifter 13 § Det är förbjudet att behandla personuppgifter som avslöjar a) ras eller etniskt ursprung, b) politiska åsikter, c) religiös eller filosofisk övertygelse, eller d) medlemskap i fackförening. Det är också förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. Uppgifter av den art som anges i första och andra styckena betecknas i denna lag som känsliga personuppgifter. Paragrafen innehåller ett principiellt förbud mot att behandla vad som enligt paragrafen är att beteckna som känsliga personuppgifter. I 14 20 §§ finns det bestämmelser som för med sig att sådana personuppgifter i vissa fall ändå får behandlas. Behandling av känsliga personuppgifter har behandlats i avsnitt 11.4.1. Paragrafen överensstämmer med förslag och har berörts i avsnitt 12.5.3.2 i kommitténs betänkande. Första och andra styckena skall ha samma innebörd som artikel 8.1 i EG-direktivet, se bilaga 1. Undantag från förbudet mot behandling av känsliga personuppgifter 14 § Det är trots förbudet i 13 § tillåtet att behandla känsliga person- uppgifter i de fall som anges i 15 19 §§. I 10 § finns det bestämmelser om i vilka fall behandling av personupp- gifter över huvud taget är tillåten. Paragrafen innehåller i första stycket en upplysning om att det trots det principiella förbudet i 13 § är tillåtet att behandla personuppgifter i de fall som anges i 15 19 §§. I andra stycket finns det en erinran om att även i de fall som anges i 15 19 §§ måste behandlingen vara tillåten enligt 10 §. Behandling av känsliga personuppgifter har behandlats i avsnitt 11.4. Paragrafen överensstämmer i huvudsak med förslag. Enligt 50 § a får regeringen eller den myndighet som regeringen be- stämmer meddela närmare föreskrifter om i vilka fall behandling av personuppgifter är tillåten enligt 15 19 §§. Samtycke eller offentliggörande 15 § Känsliga personuppgifter får behandlas, om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna. Behandling av känsliga personuppgifter har behandlats i avsnitt 11.4. Paragrafen överensstämmer i huvudsak med förslag och har berörts i avsnitt 12.5.3.3 i kommitténs betänkande. I 12 § andra stycket regleras den situationen att den registrerade återkallar ett redan lämnat samtycke. Paragrafen skall ha samma innebörd som EG-direktivets artikel 8.2 punkt a och första ledet i punkt e, se bilaga 1. Nödvändig behandling 16 § Känsliga personuppgifter får behandlas om behandlingen är nödvän- dig för att a) den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, b) den registrerades eller någon annans vitala intressen skall kunna skyddas och den registrerade inte kan lämna sitt samtycke, eller c) rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. Uppgifter som behandlas med stöd av första stycket a får lämnas ut till tredje man bara om det inom arbetsrätten finns en skyldighet för den personuppgiftsansvarige att göra det eller den registrerade uttryckligen har samtyckt till utlämnandet. Behandling av känsliga personuppgifter har behandlats i avsnitt 11.4. Paragrafen överensstämmer med förslag och har berörts i avsnitt 12.5.3.3 i kommitténs betänkande. Första stycket skall ha samma innebörd som EG-direktivets artikel 8.2 punkt b och c samt andra ledet i punkt e, se bilaga 1. Punkten a i första stycket i paragrafen är vidare en sådan bestämmelse som i enlighet med artikel 8.2 punkt b i direktivet tillåter behandling. har som ett exempel på när det är nödvändigt att behandla känsliga uppgifter för att rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras nämnt behandling av personuppgifter om medlemskap i fackförening som behövs till följd av att fackliga organisationer avtalar om individuella eller kollektiva förmåner eller tjänster för sina med- lemmar, t.ex. gruppförsäkring. Andra stycket innehåller bestämmelser om sådana lämpliga skydds- åtgärder som avses i artikel 8.2 punkt b i direktivet. Uttrycket inom arbetsrätten i andra stycket skall ha samma innebörd som enligt den nämnda punkten. Skyldigheten att lämna ut personuppgifter måste framgå av lagstiftning, myndighetsbeslut eller av ett muntligt eller skriftligt avtal, t.ex. ett kollektivavtal. Det skall vara fråga om en rättslig skyldighet. Det är vid tvist den personuppgiftsansvarige som har bevisbördan för att den registrerade lämnat sitt samtycke till ett utlämnande. Har den registrerade muntligen eller skriftligen återkallat ett nödvändigt samtycke, får uppgifterna därefter inte lämnas ut till tredje man. Ideella organisationer 17 § Ideella organisationer med politiskt, filosofiskt, religiöst eller fackligt syfte får inom ramen för sin verksamhet behandla känsliga personuppgifter om organisationens medlemmar och sådana andra personer som på grund av organisationens syfte har regelbunden kontakt med den. Känsliga personuppgifter får dock lämnas ut till tredje man bara om den registrerade uttryckligen har samtyckt till det. Behandling av känsliga personuppgifter har behandlats i avsnitt 11.4. Paragrafen överensstämmer med förslag och har berörts i avsnitt 12.5.3.3 i kommitténs betänkande. Paragrafen skall ha samma innebörd som artikel 8.2 punkt d i EG- direktivet, se bilaga 1. Det är vid tvist den personuppgiftsansvarige som har bevisbördan för att den registrerade lämnat sitt samtycke till ett utlämnande. Har den registrerade muntligen eller skriftligen återkallat ett nödvändigt samtycke, får uppgifterna därefter inte lämnas ut till tredje man. Hälso- och sjukvård 18 § Känsliga personuppgifter får behandlas för hälso- och sjukvårdsändamål, om behandlingen är nödvändig för a) förebyggande hälso- och sjukvård, b) medicinska diagnoser, c) vård eller behandling, eller d) administration av hälso- och sjukvård. Den som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och har tystnadsplikt får även behandla känsliga personuppgifter som omfattas av tystnadsplikten. Detsamma gäller den som är underkastad en liknande tystnadsplikt och som har fått känsliga personuppgifter från verksamhet inom hälso- och sjukvårdsområdet. Behandling av känsliga personuppgifter har behandlats i avsnitt 11.4. Paragrafen skall ha samma innebörd som artikel 8.3 i EG-direktivet, se bilaga 1. Paragrafen har i enlighet med vad som föreslagits av i förhållande till förslag kompletterats såvitt avser regeln i nämnda artikel om att den som inte är verksam på hälso- och sjukvårdsområdet men som ändå är underkastad en liknande tystnadsplikt får behandla känsliga person- uppgifter. Den regeln kan nämligen ha betydelse t.ex. när känsliga personuppgifter från en myndighet inom hälso- och sjukvården lämnas till forskningsverksamhet eller verksamhet för tillsyn eller revision hos annan myndighet. Bestämmelser om tystnadsplikt i nu berört hänseende finns i sekretesslagen (1980:100), företrädesvis 7 kap. 1 3 §§, lagen (1994:953) om åligganden för personal inom hälso- och sjukvården och lagen (1996:786) om tillsyn över hälso- och sjukvården. Forskning och statistik 19 § Känsliga personuppgifter får behandlas för forsknings- och statistik- ändamål, om behandlingen är nödvändig på sätt som sägs i 10 § och om samhällsintresset av det forsknings- eller statistikprojekt där behand- lingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Har behandlingen godkänts av en forskningsetisk kommitté, skall förutsättningarna enligt första stycket anses uppfyllda. Med forskningsetisk kommitté avses ett sådant särskilt organ för prövning av forskningsetiska frågor som har företrädare för såväl det allmänna som forskningen och som är knutet till ett universitet eller en högskola eller till någon annan instans som i mera betydande omfattning finansierar forskning. Personuppgifter får lämnas ut för att användas i sådana projekt som avses i första stycket, om inte något annat följer av regler om sekretess och tystnadsplikt. Paragrafen reglerar när känsliga personuppgifter får behandlas för forsk- nings- och statistikändamål utan samtycke. Den frågan har behandlats i avsnitt 11.4.2. Paragrafen överensstämmer i huvudsak med Datalagskom- mitténs förslag och har berörts i avsnitt 11.6.3 i kommitténs betänkande. Med forskning avses i paragrafen i första hand den verksamhet som bedrivs vid etablerade institutioner, såsom universitet och högskolor eller privata, väletablerade forskningsinstitut. Även sådana epidemiologiska undersökningar som utförs vetenskapligt omfattas. Släktforskning faller utanför, liksom annan forskning eller utredningsverksamhet av mera privat natur. Det måste finnas ett samhällsintresse av att forskningen bedrivs, och den måste vara vetenskaplig i någon mening. Med statistik avses i paragrafen numeriska sammanställningar av elementära observationer som kan hänföras till händelser, flöden eller tillstånd och verksamhet för att göra sådana sammanställningar. Första stycket i paragrafen innehåller en avvägningsnorm. Det krävs för det första att behandlingen av personuppgifter för det aktuella forsk- nings- eller statistikändamålet är nödvändig enligt 10 §. Nödvändig- hetskravet är avsett att ha samma innebörd som enligt artikel 7 i EG- direktivet, se bilaga 1. Är behandlingen på detta sätt nödvändig, krävs vidare att samhällsintresset av det forsknings- eller statistikprojekt vari behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Med statistikprojekt avses även sådan statistikframställning som sker åter- kommande, t.ex. , dvs. vad som brukar kallas en statistikprodukt. För att göra avvägningen enligt måste det ske en helhets- bedömning av samtliga omständigheter. Vid helhetsbedömningen bör således beaktas bl.a. forsknings- eller statistikprojektets vikt, behovet av personuppgifter, säkerheten vid behandlingen, hur pass kostsamt eller tidsödande det skulle vara att hämta in samtycke, i vad mån den enskilde skulle kunna skadas om man begärde samtycke och om en kontakt med den enskilde skulle kunna förrycka undersökningsresultatet. Vid intresseavvägningen bör också beaktas om information i någon form lämnas till de berörda, t.ex. via anslag eller annonser. I de allra flesta fall bör åtminstone sådan information kunna lämnas. Även frågan i vilken utsträckning den som begär det skall ha rätt att bli struken bör beaktas vid intresseavvägningen. I viss mån bör också kunna beaktas hur pass svårt det är att på grund av de behandlade uppgifterna identifiera enskilda personer.