prop · GL0344 · 1998-01-01 00:00:00 — Rättelse 28 § Den persondataansvarige är skyldig att på begäran av den re- gistrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har ut- färdats med stöd av lagen. Den persondataansvarige skall också under- rätta de tredje män till vilka uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om en underrättelse skulle kunna undvika mera betydande skada eller olägenhet för den registrerade. Någon sådan underrättelse behöver dock inte lämnas om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Automatiserade beslut 29 § Ett beslut som har rättsliga följder för en fysisk person eller annars har märkbara verkningar för denne får grundas enbart på automatisk be- handling av personuppgifter, vilka är avsedda att bedöma egenskaper hos den berörda personen, bara om den som berörs av beslutet har möjlighet att på begäran få beslutet omprövat på väg. Var och en som varit föremål för ett sådant beslut som avses i första stycket har rätt att på ansökan få information från den persondataansva- rige om vilka regler som har styrt den automatiska behandling som har lett fram till beslutet. I fråga om ansökan och lämnandet av information gäller i tillämpliga delar bestämmelserna i 26 §. Säkerheten vid behandling De personer som arbetar med personuppgifter 30 § Ett persondatabiträde och den eller de personer som arbetar under dennes eller den persondataansvariges ledning får behandla personupp- gifter bara i enlighet med instruktioner från den persondataansvarige. I fråga om sekretess och tystnadsplikt i det allmännas verksamhet tillämpas i stället bestämmelserna i sekretesslagen (1980:100). Det skall finnas ett skriftligt avtal om persondatabiträdets behandling av personuppgifter för den persondataansvariges räkning. I det avtalet skall det särskilt föreskrivas att persondatabiträdet får behandla personuppgifterna bara i enlighet med instruktioner från den per- sondataansvarige och att persondatabiträdet är skyldigt att vidta de åt- gärder som avses i 31 § första stycket. Skyddsåtgärder 31 § Den persondataansvarige skall vidta lämpliga tekniska och organisa- toriska åtgärder för att skydda de personuppgifter som behandlas. Åtgär- derna skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av a) de tekniska möjligheter som finns, b) vad det skulle kosta att genomföra åtgärderna, c) de särskilda risker som finns med behandlingen av personuppgifterna, och d) hur pass känsliga de behandlade personuppgifterna är. När den persondataansvarige anlitar ett persondatabiträde, skall den persondataansvarige förvissa sig om att persondatabiträdet kan genom- föra de säkerhetsåtgärder som måste vidtas och se till att persondata- biträdet verkligen vidtar åtgärderna. får besluta om skyddsåtgärder 32 § får besluta om vilka skyddsåtgärder som den persondataansvarige skall vidta enligt 31 §. I 47 § finns det bestämmelser om tillsynsmyndighetens möjligheter att förena beslutet med vite. Överföring av personuppgifter till tredje land Förbud mot överföring 33 § Det är förbjudet att till tredje land föra över personuppgifter som be- handlas. Förbudet gäller också överföring av personuppgifter för behand- ling i tredje land. Undantag från förbudet 34 § Utan hinder av 33 § är det tillåtet att föra över personuppgifter till tredje land, om den registrerade har samtyckt till överföringen eller när överföringen är nödvändig för att a) fullgöra ett avtal mellan den registrerade och den persondataansvarige, b) på den registrerades begäran vidta åtgärder innan ett avtal träffas, c) ingå eller fullgöra ett sådant avtal mellan den persondataansvarige och tredje man som är i den registrerades intresse, d) rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras, eller e) skydda vitala intressen för den registrerade. Det är också tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. 35 § Regeringen får för överföring av personuppgifter till vissa stater föreskriva undantag från förbudet i 33 §. Regeringen får också föreskriva att överföring av personuppgifter till tredje land är tillåten, om över- föringen regleras av ett avtal som innehåller vissa bestämmelser till skydd för de registrerades rättigheter. Regeringen eller den myndighet som regeringen bestämmer får vidare medge undantag från förbudet i 33 §, om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Anmälan till tillsynsmyndigheten 36 § Behandling av personuppgifter som är helt eller delvis automatisk omfattas av anmälningsskyldighet. Den persondataansvarige skall innan en sådan behandling eller en serie av sådana behandlingar, som har samma eller liknande ändamål, genomförs göra en skriftlig anmälan till tillsynsmyndigheten. Regeringen eller den myndighet som regeringen bestämmer får före- skriva undantag från anmälningsskyldigheten för sådana typer av be- handlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integriteten. Anmälan behöver inte göras om det finns ett persondataombud 37 § När den persondataansvarige har offentliggjort en uppgift om att ett persondataombud utsetts och vem det är, behöver anmälan enligt 36 § inte göras. Persondataombudets uppgifter 38 § Persondataombudet skall ha till uppgift att självständigt se till att den persondataansvarige behandlar personuppgifter på ett korrekt och lagligt sätt och påpeka eventuella brister för denne. Har persondataombudet anledning att misstänka att den persondataan- svarige bryter mot de bestämmelser som gäller för behandlingen av per- sonuppgifter och vidtas inte rättelse så snart det kan ske efter påpekande, skall persondataombudet anmäla förhållandet till tillsynsmyndigheten. Persondataombudet skall även i övrigt samråda med tillsynsmyndighe- ten vid tveksamhet om hur de bestämmelser som gäller för behandlingen av personuppgifter skall tillämpas. 39 § Persondataombudet skall föra en förteckning över de behandlingar som den persondataansvarige genomför och som skulle ha omfattats av anmälningsskyldighet om ombudet inte hade funnits. Förteckningen skall omfatta åtminstone de uppgifter som en anmälan enligt 36 § skulle ha innehållit. 40 § Persondataombudet skall hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga, missvisande eller ofullständiga. Obligatorisk anmälan för särskilt integritetskänsliga behandlingar 41 § Regeringen får föreskriva att vissa behandlingar av personuppgifter som kan innebära särskilda risker för otillbörligt intrång i den personliga integriteten skall för förhandskontroll anmälas till tillsynsmyndigheten enligt 36 § i förväg. Om regeringen har meddelat sådana före- skrifter, gäller inte undantaget från anmälningsskyldigheten enligt 37 §. Upplysningar till allmänheten om behandlingar som inte anmälts 42 § Den persondataansvarige skall till var och en som begär det skynd- samt och på lämpligt sätt lämna upplysningar om sådana automatiska eller andra behandlingar av personuppgifter som inte har anmälts till till- synsmyndigheten. Upplysningarna skall omfatta det som en anmälan enligt 36 § skulle ha omfattat. Den persondataansvarige är dock inte skyldig att lämna ut uppgifter om vilka säkerhetsåtgärder som har vidtagits. Skadestånd 43 § Den persondataansvarige skall ersätta den registrerade för den skada som en behandling av personuppgifter i strid med denna lag eller före- skrifter som har meddelats med stöd av lagen har fört med sig. Ersättning skall också betalas för ren förmögenhetsskada och för den kränkning av den personliga integriteten som behandlingen har inneburit. Ersättningsskyldigheten enligt första stycket kan i den utsträckning det är skäligt sättas ned eller helt falla bort, om den persondataansvarige visar att felet inte berodde på honom eller henne. Straff för osanna uppgifter 44 § Till böter eller fängelse högst eller, om brottet är grovt, till fängelse i högst döms den som uppsåtligen eller av oaktsamhet lämnar osann uppgift a) i information till registrerade som föreskrivs i denna lag, b) i anmälan till tillsynsmyndigheten enligt 36 §, eller c) till tillsynsmyndigheten när myndigheten begär information enligt 45 §. befogenheter 45 § har rätt att för sin tillsyn på begäran få a) tillgång till de personuppgifter som behandlas, b) upplysningar och dokumentation rörande behandlingen av personupp- gifter och säkerheten vid denna, och c) tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. 46 § Om tillsynsmyndigheten inte efter begäran enligt 45 § kan få tillräckligt underlag för att konstatera att behandlingen av person- uppgifter är laglig, får myndigheten vid vite förbjuda den personda- taansvarige att behandla personuppgifter på annat sätt än genom att lagra dem. 47 § Om tillsynsmyndigheten konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt, skall myndigheten ge- nom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. Går det inte att få rättelse på annat sätt eller är det riskfyllt att vänta, får myndigheten vid vite förbjuda den persondataansvarige att fortsätta att behandla personuppgifterna på annat sätt än genom att lagra dem. Om den persondataansvarige inte frivilligt följer ett beslut om skyddsåtgärder enligt 32 §, som vunnit laga kraft, får tillsynsmyn- digheten föreskriva vite för att beslutet skall genomföras. 48 § Innan tillsynsmyndigheten beslutar om vite enligt 46 eller 47 §, skall den persondataansvarige ha fått tillfälle att yttra sig. Om det är riskfyllt att vänta, får myndigheten dock i avvaktan på yttrandet meddela ett tillfälligt beslut om vite. Det tillfälliga beslutet skall prövas om, när yttrandetiden har gått ut. Ett vitesföreläggande skall delges den persondataansvarige. Del- givning enligt 12 § delgivningslagen (1970:428) får dock användas bara om det finns skäl att anta att den persondataansvarige har avvikit eller håller sig undan på något annat sätt. 49 § får hos länsrätten i det län där myndigheten är belägen ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt skall utplånas. Beslut om utplånande får inte meddelas om det är oskäligt. Överklagande 50 § beslut enligt denna lag om annat än generella föreskrifter får överklagas hos allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. får bestämma att dess beslut skall gälla även om det överklagas. Närmare föreskrifter 51 § Regeringen eller den myndighet som regeringen bestämmer får meddela närmare föreskrifter om a) i vilka fall behandling av personuppgifter är tillåten, b) vilka krav som ställs på den persondataansvarige vid behandling av personuppgifter, c) i vilka fall användning av personnummer är tillåten, d) innehållet i en anmälan eller ansökan till en persondataansvarig, e) vilken information som skall lämnas till registrerade och hur lämnan- det av information skall gå till, och f) anmälan till tillsynsmyndigheten och förfarandet när anmälda uppgifter har ändrats. Denna lag träder i kraft , då datalagen (1973:289) skall upphöra att gälla. Den äldre lagen gäller dock fortfarande i fråga om överklagande av beslut som har meddelats före . Beträffande sådan behandling av personuppgifter som pågår vid ikraft- trädandet skall till utgången av september månad 2001 den äldre lagen tillämpas i stället för den nya. Detta gäller även bestämmelserna i den äldre lagen om överklagande. Bestämmelserna i 9, 10, 13 och 21 §§ i den nya lagen skall inte börja tillämpas förrän beträffande sådan behandling av personuppgifter som pågår vid ikraftträdandet. Beträffande personuppgifter som vid ikraftträdandet lagras för historisk forskning skall bestämmelserna i 9, 10, 13 och 21 §§ i den nya lagen börja tillämpas först när uppgifterna behandlas på något annat sätt. skall motsvarande bestämmelser i den äldre lagen tillämpas. De angivna bestämmelserna i den nya lagen skall dock inte till följd av vad som sagts börja tillämpas tidigare än vad som följer av punkt 2 eller 3 ovan. Anmälan enligt 36 § i den nya lagen får göras före ikraftträdandet. Ett samtycke som har lämnats före ikraftträdandet skall gälla även efter ikraftträdandet om samtycket uppfyller kraven i den nya lagen. Har en begäran om registerutdrag enligt 10 § i den äldre lagen kommit in före ikraftträdandet men har utdraget inte expedierats före ikraftträ- dandet skall framställningen anses som en ansökan enligt 26 § i den nya lagen. Den nya lagens bestämmelser om skadestånd skall bara tillämpas om den omständighet som yrkandet hänför sig till har inträffat efter ikraft- trädandet. I annat fall tillämpas de äldre bestämmelserna. Förslag till lag om ändring i sekretesslagen (1980:100) Härigenom föreskrivs i fråga om sekretesslagen (1980:100) dels att 15 kap. 13 § skall upphöra att gälla, dels att i 2 kap. 1 och 2 §§, 3 kap. 1 §, 5 kap. 1 §, 6 kap. 1 7 §§, 7 kap. 1 §, 4 §, 6 15 §§ och 19 36 §§, 8 kap. 1 3 §§, 5 19 §§, 21 §, 23 § och 24 § samt 9 kap. 1 5 §§, 8 §, 10 17 §§ och 19 24 §§ orden "uppgift i allmän handling" skall bytas ut mot "allmän uppgift", dels att 1 kap. 1 § och 8 10 §§, 2 kap. 3 §, 5 kap. 2 §, 7 kap. 16 §, 9 kap. 6 §, 15 kap. 1 4 §§ och 6 12 §§, rubriken till 15 kap. samt rubrikerna närmast före 15 kap. 1 och 9 §§ skall ha följande lydelse, dels att det i lagen skall införas närmast före 15 kap. 3 §, 4 §, 6 §, 7 §, 11 § och 12 § nya rubriker av följande lydelse. - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - Nuvarande lydelse Föreslagen lydelse 7 kap. 16 § Sekretess gäller för person- uppgift i personregister som avses i datalagen (1973:289), om det kan antas att utlämnande skulle medföra att uppgiften används för automatisk databehandling i strid med datalagen. Sekretess gäller för personupp- gift, om det kan antas att ett ut- lämnande skulle medföra att upp- giften behandlas i strid med persondatalagen (1998:000). Sekretess för uppgift som anges i första stycket gäller också, om det kan antas att utlämnande skulle medföra att uppgiften används för automatisk databehandling i utlan- det och att detta medför otillbörligt intrång i personlig integritet. Vid tillämpning av denna bestämmelse ankommer det på datainspektionen att pröva fråga om utlämnande. Sekretess enligt detta stycke gäller dock ej, om uppgiften skall använ- das för automatisk databehandling enbart i en stat som har anslutit sig till konvention om skydd för enskilda vid automatisk behandling av personuppgifter. 9 kap. 6 § Sekretess gäller hos datain- spektionen i ärende om tillstånd eller till-syn, som enligt lag ankom- mer på inspektionen, och i ärende om sådant bistånd som avses i konvention om skydd för enskilda vid automatisk databe- handling av personuppgifter, för uppgift om enskilds personliga eller ekonomiska förhållanden, om det kan antas att den enskilde eller någon honom närstående lider skada eller men om uppgiften röjs. Har uppgift, för vilken gäller sekre- tess enligt vad nu har sagts, lämnats till regeringen eller justitie- kanslern, gäller sekretessen också där. Sekretess gäller hos Datainspek- tionen i ärende om tillstånd eller tillsyn, som enligt lag eller annan författning ankommer på inspek- tionen, och i ärende om sådant bi- stånd som av-ses i konvention om skydd för enskilda vid automatisk databehandling av personuppgifter, för uppgift om en- skilds personliga eller ekonomiska förhållanden, om det kan antas att den enskilde eller någon honom närstående lider skada eller men om uppgiften röjs. Har upp-gift, för vilken gäller sekretess en-ligt vad nu har sagts, lämnats till Justitie- kanslern, gäller sekretessen också där. I fråga om uppgift i allmän handling gäller sekretessen i högst . I fråga om allmän uppgift gäller sekretessen i högst . 15 kap. 11 § Varje myndighet skall för allmänheten hålla tillgänglig beskrivning av de register, för- teckningar eller andra anteckningar hos myndigheten som förs med hjälp av automatisk databehandling (ADB-register). Sådan skyldighet föreligger dock inte i fråga om ADB-register som inte till någon del anses som allmän handling hos myndigheten. Myndig- heten är inte heller skyldig att tillhandahålla beskrivning som uppenbarligen skulle vara av ringa betydelse för enskildas rätt att ta del av allmänna handlingar hos myndigheten. Om en myndighet för handlägg- ningen av ett mål eller ärende an- vänder en uppgift i en databas skall uppgiften på lämpligt sätt tillföras målet eller ärendet. Beskrivning som avses i första stycket skall ge upplysning om 1. benämning, 2. ändamål, 3. vilka typer av uppgifter i som myndigheten har tillgång till och på vilket sätt dessa uppgifter normalt inhämtas, 4. hos vilka andra myndigheter är tillgängligt för över-föring till läsbar form, 5. vilka terminaler eller andra tekniska hjälpmedel som enskild själv kan få utnyttja hos myndig- heten, 6. vilka bestämmelser om sekre- tess som myndigheten vanligen skall tillämpa på uppgifter i ADB- registret, 7. vem som hos myndigheten kan lämna närmare upplysningar om och dess användning i myndighetens verksamhet, 8. rätt till försäljning av person- uppgifter i personregister som avses i datalagen (1973:289). I beskrivningen skall dock uppgift enligt andra stycket utelämnas, om det behövs för att beskrivningen i övriga delar skall kunna företes för allmänheten. - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - Denna lag träder i kraft . Beträffande uppgift i ärende som avgjorts genom beslut av Datainspektionen före gäller dock fortfarande 9 kap. 6 § i den äldre lydelsen. Sammanfattning av Statskontorets rapport av betänkande SOU 1997:39 (Rapport 1997:11) Inledning Regeringen har uppdragit åt Statskontoret att analysera de ekonomiska konsekvenserna av förslag i betänkandet (SOU 1997:39) Integritet, Offentlighet, Informationsteknik. Arbetet har bedrivits i form av ett projekt där ett antal berörda myn- digheter medverkat. I uppdraget betonas särskilt att de myndigheter som är intäktsfinan- serade skall uppmärksammas och speciellt hur s.k. massuttag för kom- mersiella ändamål påverkar deras verksamhet. Statskontoret har koncentrerat sina insatser till följande avsnitt i utred- ningen: Utlämnande av allmänna uppgifter. Automatiserade beslut i myndigheternas datorprogram. Ett ökat antal sekretessprövningar. Informationsskyldighet enligt persondatalagen. Kostnad I rapporten redovisas dels förändringar i myndigheternas penningström- mar som övergångsvis kan orsaka ekonomiska problem, dels direkta kostnadsökningar som orsakas av utredningsförslagen. Statskontoret har kartlagt och analyserat effekterna av förslaget genom noggranna undersökningar av penningströmmar hos de myndigheter som hanterar grunddata. Den sammanlagda kostnadsökningen för dessa myndigheter har upp- skattats till 185 000 tkr. Statskontoret har också punktvis uppskattat intäktsbortfall och ökade kostnader vid några myndigheter som säljer offentlig information i stor omfattning. Statskontoret uppskattar intäktsbortfallet för dessa myndig- heter till 40 000 tkr. Statskontoret har tillsammans med tre myndigheter som använder sig av automatiserade beslut i sin verksamhet uppskattat kostnadsökningen av att utöver sedvanlig teknisk dokumentation ta fram av utredningen föreslagna beskrivningar. Statskontoret uppskattar myndigheternas kostnader till 40 000 tkr. Med Datalagskommitténs förslag försvinner Datainspektionens nu- varande finansieringsmöjligheter vilket innebär att kostnaden för staten ökar med ca 23 000 tkr. Statskontoret har också funnit att informationsskyldighet enligt persondatalagen och ett ökat antal sekretessprövningar innebär ökade kostnader för offentlig förvaltning, men osäkerheten är så stor att det inte är meningsfullt att ange ett belopp. De på detta sätt beräknade kostnaderna för staten uppgår sammanlagt till 288 000 tkr. Med hänsyn till att endast punktvisa undersökningar har kunnat göras av den statliga förvaltningen bedömer vi att det angivna beloppet bör höjas väsentligt för att erhålla en realistisk total kostnadsuppskattning. Statskontoret har inte gjort några kostnadsbedömningar avseende konsekvenserna för kommuner, landsting och samhället i övrigt. Finansiering Statskontoret har, i enlighet med uppdraget, mot bakgrund av utgiftshöj- ningen övervägt möjligheterna till finansiering. Statskontoret har funnit följande möjligheter: att myndigheter som har verksamheter med anknytning till infor- mationsmarknaden ses över med avseende på verksamhetsform. Lagförslaget innebär förändrade förutsättningar för myndigheter som har verksamheter med nära anknytning till informationsmarknaden. att avgiftsförordningen IT-anpassas. En avgift för elektroniska offentlighetsuttag bestäms utifrån den princip som Statskontoret och (Dir 1996:43) efter samråd har enats om. Det innebär att ett elektroniskt uttag enligt offentlighetsprincipen (2 kap. 15 § i föreslagen ny lydelse av TF) skall kunna ske på två sätt; en mindre mängd lämnas ut avgiftsfritt ett begränsat antal gånger per dag och person/adress (det som först uppfylls). Mer omfattande uttag kan ske mot avgift. Avgiften bör utformas så att den är enkel att förstå för allmänheten och enkel att tillämpa i myndigheternas verksamhet samt kostnadsneutral gentemot den uppdragsverksamhet som myndigheten eventuellt bedriver med stöd av IT. Själva utlämnandet på elektroniskt medium bör följa självkostnadsprincipen. Förslaget utvecklas vidare av . att offentlig förvaltning, för att förenkla utlämnandet av allmänna uppgifter, åläggs att klassificera informationen i åtminstone följande grupper: Uppgifter som inte är att anse som allmänna. Uppgifter som är allmänna och som kan vara föremål för sekretess. Uppgifter som är allmänna och som inte kan vara föremål för sekretess. att Datainspektionen i huvudsak finansieras genom tillsynsavgifter och i övrigt som ett stabsorgan över statsbudgeten via ramanslag. Genom att Datainspektionen ges möjlighet att ta ut avgifter för tillsynen kan statens kostnad begränsas. Statskontoret uppskattar statens kostnad vid en sådan blandfinansiering till 10 000 tkr. Förteckning över remissinstanser Remissyttranden över betänkande Integritet Offentlighet Informationsteknik (SOU 1997:39) eller Statskontorets rapport av betänkande SOU 1997:39 (Rapport 1997:11) har avgetts av ombudsmän, , Hovrätten över och , , Kammar- rätten i , Kammarrätten i , Länsrätten i , Justitiekanslern, , Riksåklagaren, , , Datainspektionen, Försvarsmakten, Totalför- svarets pliktverk, , Riksförsäkrings- verket, , , Socialvetenskapliga forsk- ningsrådet, (), Post- och Telestyrel- sen, , , , , Statskontoret, Statens person- och adressregisternämnd, Gene- raltullstyrelsen, , , Riksre- visionsverket, , Statens löne- och pensionsverk, , , , , Naturvetenskapliga forsk- ningsrådet, (), Juridiska fakultets- nämnden vid , , vid , vid , , , Skogs- och jordbrukets forskningsråd, , (), , Arbetarskyddsstyrelsen, , , , , , , , , kommun, , , , kommun, kommun, , läns landsting, , , , , , , , , , , , , , (), Akademikers (), i (LO), , Företagens Uppgiftslämnardelegation, , , , , , i , Medborgarrättsrörelsen i , , svenska avdelningen, Föreningen , (SWED- MA), , Tele 2 AB, Näringslivets Telekom- mitté, , , Upplys- ningsCentralen , Geologiska Undersökning (SGU), (), i Öster- götland, , Dow Europe, , , , Konstnärliga och litterära yrkesutövares samarbetsnämnd (KLYS), , och . har bifogat yttranden av skattemyndigheterna i , och , och och av kronofogdemyndigheterna i och . Akademikers () har översänt ett yttrande av .