prop · GL0344 · 1998-01-01 00:00:00 — Häri inbegrips även god sed, vilken den registeransvarige är skyldig att följa enligt 9 § första stycket b.Vad som är god sed vid behandling av personuppgifter får avgöras i rättstillämpningen mot bakgrund av bl.a. de mer preciserade föreskrifter som kan utfärdas med stöd av lagen, de branschregler på området som kan ha utarbetats av etablerade branschorganisationer eller andra representativa sammanslutningar och hur ansvarsfulla personuppgiftsansvariga som regel beter sig. Skyldigheten avser ersättning för personskada, sakskada och ren förmögenhetsskada samt kränkning av den personliga integriteten. Det är bara skada eller kränkning som den olagliga behandlingen har fört med sig som ersätts. Detta framgår uttryckligen av att det sägs att behandlingen av uppgifter skall ha orsakat skada respektive kränkning. Orsakssambandet skall vara adekvat. Ersättningen för kränkningen får uppskattas efter skälighet mot bak- grund av samtliga omständigheter i det aktuella fallet. Därvid kan beaktas bl.a. sådana faktorer som om det funnits risk för otillbörlig spridning av känsliga eller felaktiga uppgifter och om den registrerade på grund av den felaktiga behandlingen blivit utsatt för något beslut eller några åtgärder som kunnat innebära något negativt för honom eller henne. Har den registrerade själv lämnat en oriktig eller ofullständig uppgift till den personuppgiftsansvarige, kan den person- uppgiftsansvariges behandling av denna uppgift inte anses innebära någon sådan kränkning av den personliga integriteten som bör föranleda ersättning. Ersättningen för kränkning bör i princip fastställas för varje kränkt registrerad för sig. I andra stycket finns det bestämmelser om jämkning av ersättnings- skyldigheten. Jämkningsbestämmelsen innebär att ersättningsskyldigheten kan helt falla bort eller sättas ned delvis. För att ersättningsskyldighet skall finnas enligt första stycket behöver den registrerade bara bevisa att det från den personuppgiftsansvariges sida har förekommit en olaglig behandling av den registrerades person- uppgifter och att denna behandling har skadat eller kränkt honom eller henne. Därefter är det upp till den personuppgiftsansvarige att bevisa att den olagliga behandlingen inte berodde på honom eller henne. Lyckas den personuppgiftsansvarige med detta, får i sista hand en domstol bedöma huruvida och i vilken utsträckning det kan vara skäligt att ersättningsskyldigheten jämkas. Den personuppgiftsansvarige är gentemot den registrerade i och för sig ansvarig för all den behandling som han eller hon har ansvaret för, även när ett personuppgiftsbiträde eller annan hjälp anlitas. Ett fel av t.ex. ett anlitat personuppgiftsbiträde får således anses bero på den personuppgiftsansvarige. En annan sak är att den personuppgiftsan- svarige i allmänhet kan få ersättning av ett försumligt personupp- giftsbiträde för ersättning som måste betalas till registrerade. Däremot kan den personuppgiftsansvarige som regel inte med framgång kräva för- sumliga arbetstagare på någon ersättning (4 kap. 1 § skadeståndslagen). När det är den registrerade som har t.ex. lämnat felaktiga eller ofullständiga uppgifter vilket lett till en olaglig behandling, kan den olagliga behandlingen i allmänhet inte anses bero på den person- uppgiftsansvarige. Om det är den registrerade som, t.ex. genom att lämna felaktiga eller ofullständiga uppgifter, har föranlett en olaglig behandling, kan det också vara skäligt att helt befria den personuppgiftsansvarige från ersättningsskyldighet för skada och kränkning som dennes användning av uppgifterna kan ha förorsakat den registrerade. Som Lagrådet påpekat kan bestämmelsen i 6 kap. 1 § skadestånds- lagen komma att tillämpas vid fall av medvållande. En olaglig behandling som beror på felaktigheter i den utrustning som den personuppgiftsansvarige ansvarar för får som regel anses bero på den personuppgiftsansvarige. Bara i särpräglade fall kan den personuppgifts- ansvarige anses oskyldig till den olagliga behandlingen, t.ex. om uppgifter på ett helt oförutsett vis förvanskas till följd av ett blixtnedslag eller avbrott eller felaktigheter i ett publikt datanätverk. I sådana fall av helt oförutsedda händelser kan det vara skäligt att mildra ansvaret. En olaglig behandling av den personuppgiftsansvarige som beror på att han eller hon har hämtat in felaktiga eller ofullständiga uppgifter från någon annan personuppgiftsansvarig kan inte anses bero på den person- uppgiftsansvarige, om han eller hon inte hade någon anledning att miss- tänka att uppgifterna var felaktiga eller ofullständiga. I vilken utsträckning ansvaret för den personuppgiftsansvarige skall mildras i sådana fall är således en skälighetsfråga. Har den personuppgiftsansva- rige t.ex. hämtat in tusentals adressuppgifter från någon vanligtvis tillför- litlig källa, exempelvis ett allmänt register såsom statens person- och adressregister, kan det vara skäligt att mildra ansvaret. Det kan då inte rimligen krävas att den personuppgiftsansvarige skulle ha kontrollerat alla adresser. Om den personuppgiftsansvarige däremot har hämtat uppgifter från en källa som framstår som otillförlitlig, kan bedömningen bli en annan. Har en myndighet fått in uppgifter på grund av uppgiftsskyldighet för enskilda som är föreskriven i författning, får myndigheten emellertid som regel anses ha haft anledning att lita på uppgifterna. En olaglig behandling på grund av att personuppgifterna utan den personuppgiftsansvariges instruktioner har kommit ut till utomstående, t.ex. genom ett brottsligt intrång i ett datasystem, kan inte anses bero på den personuppgiftsansvarige, om denne i enlighet med tillämpliga bestämmelser har en lämplig säkerhetsnivå och intrånget har kunnat komma till stånd genom att angriparen varit beredd att lägga ned mycket stora resurser för att komma åt informationen. Då kan det vara skäligt att mildra ansvaret. Har den personuppgiftsansvarige å andra sidan försummat säkerheten, får den olagliga behandlingen anses bero på honom eller henne. Vid den skälighetsbedömning som skall göras i de fall där den olagliga behandlingen bevisligen inte beror på den person- uppgiftsansvarige bör beaktas också den registrerades behov av skadestånd och den personuppgiftsansvariges förmåga att betala skadestånd. I det fallet att en viss felaktig behandling har omfattat uppgifter om många människor, bör man dock vid skälighetsbedömningen såvitt avser ersättningen för kränkning kunna ta hänsyn till att den samlade ersätt- ningsskyldigheten för den personuppgiftsansvarige inte blir orimligt stor. Straff 49 § Till böter eller fängelse eller, om brottet är grovt, till fängelse i högst döms den som uppsåtligen eller av oaktsamhet a) lämnar osann uppgift i sådan information till registrerade som föreskrivs i denna lag, i anmälan till tillsynsmyndigheten enligt 36 §, eller till tillsynsmyndigheten när myndigheten begär information enligt 43 §, b) behandlar personuppgifter i strid med 13 21 §§, c) för över personuppgifter till tredje land i strid med 33 35 §§, eller d) låter bli att göra anmälan enligt 36 § första stycket eller enligt föreskrifter meddelade med stöd av 41 §. Den som överträtt ett vitesföreläggande enligt 44 § eller 45 § första stycket döms inte till ansvar för en gärning som omfattas av vites- föreläggandet. Frågan om straff har behandlats i avsnitt 14. Paragrafen har i förhållande till förslag kompletterats med bestämmelserna i punkt b d. förslag har berörts i avsnitt 12.13.2.4 i kommitténs betänkande. Vid bedömandet av om brottet är grovt kan beaktas sådana omstän- digheter som att de olagligt behandlade uppgifterna avsett förhållanden av avsevärd betydelse för den registrerade och att gärningsmannen insett detta eller att gärningsmannen lämnat osanna uppgifter för att undkomma påföljd eller vinna någon annan fördel eller att det brottsliga utnyttjandet av uppgifterna annars framstår som hänsynslöst. Bara i undantagsfall torde en gärning som begåtts av oaktsamhet kunna betraktas som ett grovt brott. I andra stycket, som lagts till på förslag från Lagrådet, föreskrivs att den som överträtt ett vitesföreläggande enligt 44 eller 45 § första stycket inte döms till ansvar för en gärning som omfattas av vitesföreläggandet. Närmare föreskrifter 50 § Regeringen eller den myndighet som regeringen bestämmer får i fråga om automatiserad behandling av personuppgifter meddela närmare föreskrifter om a) i vilka fall behandling av personuppgifter är tillåten, b) vilka krav som ställs på den personuppgiftsansvarige vid behandling av personuppgifter, c) i vilka fall användning av personnummer är tillåten, d) vad en anmälan eller ansökan till en personuppgiftsansvarig skall innehålla, e) vilken information som skall lämnas till registrerade och hur informationen skall lämnas, och f) anmälan till tillsynsmyndigheten och förfarandet när anmälda uppgifter har ändrats. Frågan om normgivningsdelegation har behandlats i avsnitt 10. Para- grafen överensstämmer med förslag och har berörts i avsnitt 12.1.2 i kommitténs betänkande. Av förslaget till lag om ändring i personuppgiftslagen (avsnitt 15) framgår att paragrafen per ändras så att det blir möjligt att meddela föreskrifter även såvitt avser sådan behandling som omfattas av personuppgiftslagen. Av 8 kap. 13 § regeringsformen framgår att regeringen utan särskilt bemyndigande från kan meddela föreskrifter om verkställighet av lag och delegera denna föreskriftsrätt till myndighet. I vart fall punkterna d, andra ledet av e och f i paragrafen utgör sådana verkställighetsföreskrifter. Av tydlighetsskäl omfattar bemyndigandet även dessa situationer, trots att regeringen utan bemyndigande ändå hade kunnat meddela sådana föreskrifter. Regeringen kan naturligtvis meddela verkställighetsföreskrifter som inte tagits upp i paragrafen. Det är således möjligt att före meddela verkställighetsföreskrifter även avseende behandling av personuppgifter. Överklagande 51 § beslut enligt denna lag om annat än föreskrifter får överklagas hos allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. får bestämma att dess beslut skall gälla även om det överklagas. Frågan om överklagande har behandlats i avsnitt 13. Paragrafen överens- stämmer med förslag och har berörts i avsnitt 12.14.2 i kommitténs betänkande. Kravet på prövningstillstånd i andra stycket avser överklagande av länsrättens beslut enligt såväl första stycket som 47 §. Ikraftträdande- och övergångsbestämmelser 1. Denna lag träder i kraft , då datalagen (1973:289) skall upphöra att gälla. Den äldre lagen gäller dock fortfarande i fråga om överklagande av beslut som har meddelats före . I fråga om behandling av personuppgifter som påbörjats före ikraft- trädandet eller behandling som utförs för ett visst bestämt ändamål om behandling för ändamålet påbörjats före ikraftträdandet skall t. o. m. den äldre lagen tillämpas i stället för den nya. Detta gäller även bestämmelserna i den äldre lagen om överklagande. Bestämmelserna i 9, 10, 13 och 21 §§ i den nya lagen skall inte börja tillämpas förrän i fråga om sådan behand- ling av personuppgifter som påbörjats före ikraftträdandet eller behandling som utförs för ett visst bestämt ändamål om behandling för ändamålet påbörjats före ikraftträdandet. I fråga om personuppgifter som vid ikraftträdandet lagras för historisk forskning skall bestämmelserna i 9, 10, 13 och 21 §§ i den nya lagen börja tillämpas först när uppgifterna behandlas på något annat sätt. skall motsvarande bestämmelser i den äldre lagen tillämpas. De angivna bestämmelserna i den nya lagen skall dock inte till följd av vad som sagts börja tillämpas tidigare än vad som följer av 2 eller 3. Anmälan enligt 36 § i den nya lagen får göras innan den nya lagen har trätt i kraft för den aktuella behandlingen. Ett samtycke som har lämnats innan den nya lagen har trätt i kraft för den aktuella behandlingen skall gälla även efter ikraftträdandet om samtycket uppfyller kraven i den nya lagen. Har en begäran om registerutdrag enligt 10 § i den äldre lagen kommit in innan den nya lagen trätt i kraft för den aktuella behandlingen men har utdraget inte expedierats före ikraftträdandet skall framställningen anses som en ansökan enligt 26 § i den nya lagen. Den nya lagens bestämmelser om skadestånd skall bara tillämpas om den omständighet som yrkandet hänför sig till har inträffat efter det att den nya lagen har trätt i kraft för den aktuella behandlingen. I annat fall tillämpas de äldre bestämmelserna. Frågan om ikraftträdande och övergångsbestämmelser har behandlats i avsnitt 15. Övergångsbestämmelserna överensstämmer i huvudsak med förslag, dock att kommittén föreslog att lagen skulle träda i kraft . Kommittén har berört förslagen i avsnitt 12.15 i sitt betänkande. Kravet enligt punkt 2 och 3 på att behandlingen påbörjats vid ikraft- trädandet har behandlats i avsnitt 15 och motsvarar artikel 32.2 i EG- direktivet, se bilaga 1. Punkt 4 skall ha samma innebörd som artikel 32.3 i direktivet. 18.2 Förslaget till lag om ändring i sekretesslagen (1980:100) 7 kap. 16 § Ändringen i första stycket innebär att sekretessbestämmelsen samordnas med bestämmelserna i personuppgiftslagen. Andra stycket upphävs. I personuppgiftslagen finns det i 33 35 §§ bestämmelser om förutsättningarna för överföring av personuppgifter till tredje land som gäller även för myndigheter. Redan första stycket i denna paragraf medför att sekretess gäller om ett utlämnande av personupp- gifter till tredje land skulle stå i strid med de nämnda bestämmelserna i personuppgiftslagen. Andra stycket i paragrafen behövs således inte längre. Ändringarna överensstämmer helt med förslag. 9 kap. 6 § I första stycket finns det två ändringar i sak. Ändringarna överensstämmer helt med förslag. Den första ändringen varigenom ordet lag byts ut mot orden lag eller annan författning innebär att det även i förordning kan anges vilken tillsyn som ankommer på Datainspektionen. Den andra ändringen innebär att bestämmelsen om överföring av nu aktuell sekretess till regeringen har tagits bort. Anledningen till detta är att ärenden som avses i denna paragraf enligt personuppgiftslagen inte i något fall skall överklagas till regeringen, se avsnitt 13. Då behövs inte längre någon bestämmelse om överföring av sekretess till regeringen. För uppgifter i ärenden som avgjorts av Datainspektionen genom beslut före ikraftträdandet och som överklagats till regeringen enligt den gamla ord- ningen föreslås en särskild övergångsbestämmelse om att de äldre reglerna fortfarande skall tillämpas. Bestämmelsen om överföring av sekretess till Justitiekanslern har däremot behållits trots att Justitie- kanslern inte får överklaga Datainspektionens beslut enligt person- uppgiftslagen, eftersom Justitiekanslern enligt annan lagstiftning kan överklaga Datainspektionens beslut i ärenden som avses i denna paragraf, se t.ex. 23 § kreditupplysningslagen (1973:1173). Det bör nämnas att bestämmelser som motsvarar de bestämmelser som finns i denna paragraf, såvitt avser personuppgiftsskyddet, skall finnas enligt artikel 28.7 i EG-direktivet, se bilaga 1. Paragrafen bör således i fortsättningen vid behov tolkas EG-konformt. 9 kap. 7 § Paragrafen har justerats med anledning av att personuppgiftslagen ersätter den nuvarande datalagen. 14 kap. 3 § Andra stycket har justerats med anledning av att personuppgiftslagen ersätter den nuvarande datalagen. 15 kap. 11 § Punkt 8 i andra stycket har justerats med anledning av att person- uppgiftslagen ersätter den nuvarande datalagen. 15 kap. 14 § Bestämmelsen har utan ändring i sak flyttats över från 14 § i den nuvarande datalagen. Lagen träder i kraft som personuppgiftslagen. Enligt andra punkten, som lagts till efter det att lagrådsremissen behandlats i Lagrådet, skall den äldre lydelsen av vissa paragrafer gälla i fråga om behandling för vilken datalagen (1973:289) är tillämplig fram till 18.3 Förslaget till lag om ändring i 4 kap. 9 c och 10 §§ Bestämmelserna om straff för dataintrång i nuvarande 21 § i den nuvarande datalagen har utan ändring i sak förts över till 4 kap. 9 c § och 10 § . Straffbestämmelserna i 21 § i den nuvarande datalagen är subsidiära i förhållande till straffbestämmelserna i lagen (1990:409) om skydd för företagshemligheter. Enligt den lagen straffas företagsspioneri och olovlig befattning med företagshemlighet med böter eller fängelse i högst eller, om brottet är grovt, fängelse i högst sex respektive . Är gärningen belagd med strängare straff enligt , döms dock inte till ansvar för dessa brott. För dataintrång och för normalgraden av företagsspioneri och olovlig befattning med företagshemlighet gäller samma straffskala. I och med att bestämmelsen om straff för dataintrång förs över till finns det inte anledning att ha någon annan reglering om konkurrensen än den som gäller förhållandet mellan övriga brottsbalksbrott och straffbestämmelserna om företagsspioneri och olovlig befattning med företagshemlighet. Förhållandet mellan bestämmelsen om straff för dataintrång i 4 kap. och bestämmelserna i samma kapitel om straff för brytande av post- eller telehemlighet och intrång i förvar klargörs uttryckligen. Förhållandet mellan brottet dataintrång och övriga brottsbalksbrott får avgöras enligt sedvanliga principer för bedömningen av konkurrens mellan över- lappande straffstadganden i . 18.4 Förslaget till lag om ändring i regeringsformen 8 kap. 7 § Ändringen i första stycket punkt 8 innebär att regeringen och i före- kommande fall, efter s.k. subdelegation, den myndighet som regeringen bestämmer kan ges behörighet att meddela föreskrifter på hela det område som omfattas av personuppgiftslagen, dvs. avseende även skydd för personlig integritet vid viss icke automatiserad behandling av person- uppgifter. Ändringen, som överensstämmer med förslag, har behandlats i avsnitt 10. Frågan för ikraftträdandet av ändringen har behandlats i avsnitt 15. 18.5 Förslaget till lag om ändring i personuppgiftslagen (0000:000) Ändringarna i 20, 21, 35, 41 och 50 §§ innebär att regeringen eller den myndighet som regeringen bestämmer från och med ikraftträdandet av den ändring i regeringsformen som berörts i närmast föregående avsnitt bemyndigas att meddela föreskrifter även såvitt avser sådan behandling av personuppgifter som omfattas av person- uppgiftslagen. Frågan om normgivningsdelegation har behandlats i avsnitt 10 och frågan om ikraftträdande har behandlats i avsnitt 15. EG-direktivet om personuppgifter OCH RÅDETS DIREKTIV 95/46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA DIREKTIV med beaktande av Fördraget om upprättandet av Europeiska gemen- skapen, särskilt artikel 100a i detta, med beaktande av kommissionens förslag(1), med beaktande av Ekonomiska och sociala kommitténs yttrande(2), i enlighet med det förfarande som anges i fördragets artikel 189b(3), och med beaktande av följande: 1) Gemenskapens målsättningar som uttryckts i fördraget, såsom detta ändrats genom Fördraget om Europeiska unionen, består i att för- verkliga en allt fastare sammanslutning av de europeiska folken, i att upprätta allt närmare relationer mellan de stater som förenas i gemenskapen, i att säkerställa ekonomiska och sociala framsteg i sina länder genom gemensamma åtgärder för att undanröja de barriärer som delar , i att fortgående förbättra levnadsvill- koren för dess folk, i att bevara och stärka fred och frihet och i att främja demokratin på grundval av de grundläggande rättigheter som erkänns i medlemsstaternas grundlagar och lagar liksom i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. 2) Systemen för databehandling av uppgifter är till för människornas skull. Oavsett fysiska personers medborgarskap eller hemvist måste systemen respektera dessa personers grundläggande fri- och rättig- heter särskilt rätten till privatlivet och bidra till ekonomiska och sociala framsteg, handelns utveckling och enskilda personers väl- färd. 3) Upprättandet av den inre marknaden och dennas funktion, som i en- lighet med artikel 7a i fördraget innebär fri rörlighet för varor, per- soner, tjänster och kapital, förutsätter inte bara att personuppgifter fritt kan överföras från en medlemsstat till en annan utan också att enskilda personers grundläggande rättigheter skyddas. 4) Inom gemenskapen behandlas och används personuppgifter allt oftare inom olika ekonomiska och samhälleliga områden. Fram- stegen på informationsteknikens område har gjort det avsevärt lättare att behandla och utbyta sådana uppgifter. 5) Den ekonomiska och sociala integration som är en följd av upprättandet av den inre marknaden och dennas funktion i enlighet med artikel 7a i fördraget kommer med nödvändighet att leda till en betydande ökning av flödet av personuppgifter över gränserna mellan samtliga aktörer på de ekonomiska och samhälleliga om- rådena, oavsett om dessa aktörer tillhör den privata eller den offent- liga sektorn. Utbytet av personuppgifter mellan företag i olika medlemsstater kommer att öka. De nationella myndigheterna i de olika medlemsstaterna måste som ett led i tillämpningen av gemen- skapsrätten samarbeta och utbyta personuppgifter för att kunna fullgöra sina åligganden eller utföra arbetsuppgifter för en myn- dighet i en annan medlemsstat inom det område utan inre gränser som den inre marknaden innebär. 6) Det ökade vetenskapliga och tekniska samarbetet liksom det sam- ordnade införandet av nya telekommunikationsnät inom gemen- skapen nödvändiggör och underlättar dessutom det gränsöver- skridande flödet av personuppgifter. 7) Skillnaden i skyddsnivå mellan medlemsstater vad gäller enskilda personers fri- och rättigheter, särskilt rätten till privatliv med avseende på behandling av personuppgifter, kan hindra översändande av sådana uppgifter från en medlemsstats territorium till en annans. Denna skillnad kan därför utgöra ett hinder för att utöva en rad ekonomiska aktiviteter på gemenskapsnivå, snedvrida konkurrensen och hindra myndigheterna att fullgöra de skyldigheter som åligger dem enligt gemenskapsrätten. Denna skillnad i skyddsnivå beror på olikheter i nationella lagar och andra författningar. 8) För att hindren mot flöden av personuppgifter skall kunna avskaffas måste skyddsnivån när det gäller enskilda personers fri- och rättigheter med avseende på behandlingen av sådana uppgifter vara likvärdig i alla medlemsstater. Denna målsättning är av grund- läggande betydelse för den inre marknaden men kan inte uppnås genom åtgärder endast av medlemsstaterna, i synnerhet med tanke på omfattningen av de skillnader som finns mellan nationell lagstiftning på området och med tanke på behovet av att samordna lagstiftningen i medlemsstaterna för att säkerställa en sådan enhetlig reglering av det gränsöverskridande flödet av personuppgifter som överensstämmer med målsättningen för den inre marknaden enligt artikel 7a i fördraget. Det är därför nödvändigt att gemenskapen vidtar åtgärder för att åstadkomma en tillnärmning av lagstiftningen. 9) Eftersom tillnärmningen av de nationella lagstiftningarna kommer att leda till ett likvärdigt skydd kommer medlemsstaterna inte längre att kunna hindra det fria flödet av personuppgifter mellan dem under hänvisning till enskilda personers fri- och rättigheter, särskilt rätten till privatliv. Medlemsstaterna kommer att få ett handlingsutrymme, som i samband med genomförandet av detta direktiv också kommer att kunna utnyttjas av näringslivet och arbetsmarknadens parter. Medlemsstaterna kommer därför att i sin nationella lagstiftning särskilt kunna ange de allmänna villkor som skall gälla för behandlingen av uppgifter. Medlemsstaterna skall härvid sträva efter att förbättra det skydd som deras nuvarande lagstiftning ger.