prop · GL0344 · 1998-01-01 00:00:00 — Kan myndigheten inte på begäran få till- gång till ett tillräckligt underlag för att konstatera att behandlingen är lag- lig, bör myndigheten kunna vid vite förbjuda den personuppgifts- ansvarige att fortsätta att behandla personuppgifter på annat sätt än genom att lagra dem. Den som obstruerar riskerar således att bli förbjuden att i fortsättningen behandla personuppgifter. Den risken kan med fog antas medföra att de personuppgiftsansvariga blir tillräckligt benägna att ge myndigheten det underlag den behöver. kan på olika sätt få reda på att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt. Sådan in- formation kan komma fram i samband med ett tillsynsbesök, framgå av kontakter med ett personuppgiftsombud eller av en insänd anmälan om behandlingen eller av ett klagomål från t.ex. någon registrerad eller konkurrent. I sådana fall bör myndigheten i första hand försöka att åstad- komma rättelse genom påpekanden eller liknande förfaranden. Men går det inte att få rättelse på annat sätt, bör myndigheten kunna vid vite förbjuda den personuppgiftsansvarige att fortsätta att behandla person- uppgifter på annat sätt än genom att lagra dem. Om saken är brådskande, bör tillsynsmyndigheten genast kunna gripa in på detta sätt. Kammarrätten i anser att ett beslut om förbud bör kunna föregås av ett med vite förenat föreläggande för att uppnå det resultat som önskas. Enligt vår mening är det viktigt att tillsynsmyndigheten i första hand kan fungera som ett stöd vid de personuppgiftsansvarigas behandling av personuppgifter och ge råd om hur behandlingen bör gå till för att vara laglig. Möjligheten till vitessanktionerat förbud får anses tillräcklig för att förmå de personuppgiftsansvariga att följa myndighetens råd i fråga om hur en behandling skall utföras på ett lagligt sätt. Datainspektionen har för övrigt inte fört fram några synpunkter på de föreslagna vitesmöjligheterna. bör kunna fatta beslut om vilka säkerhetsåtgärder som en personuppgiftsansvarig skall vidta. Det beslutet bör kunna överklagas hos allmän förvaltningsdomstol. Om den person- uppgiftsansvarige inte följer ett beslut om säkerhetsåtgärder, som har vunnit laga kraft, bör tillsynsmyndigheten kunna föreskriva vite för att beslutet skall genomföras. I fråga om tillsynsmyndighetens möjligheter att föreskriva vite bör generellt gälla att den personuppgiftsansvarige skall få tillfälle att yttra sig innan myndigheten föreskriver vite. Om det är riskfyllt att vänta med beslutet om vite till dess den personuppgiftsansvarige fått möjlighet att yttra sig, bör myndigheten dock få fatta ett tillfälligt beslut om vite. Det tillfälliga beslutet bör i sådana fall prövas om när yttrandetiden har gått ut och det finns ett mera fullständigt underlag. Kammarrätten i anser att det inte har visats att det finns behov av en bestämmelse om tillfälligt vite. avstyrker en sådan bestämmelse. Enligt vår mening är det i vissa undantagsfall nödvändigt att tillsynsmyndigheten kan agera snabbt och kraftfullt för att skydda de registrerades personliga integritet. Av en personuppgiftsansvarigs anmälan kan t.ex. framgå att en viss behandling avseende känsliga personuppgifter som inte alls får utföras enligt den nya lagen skall starta om någon dag. En möjlighet att innan den person- uppgiftsansvarige fått komma till tals meddela ett tillfälligt beslut bör dock givetvis utnyttjas bara när saken är klar och så brådskande att yttrandet inte kan avvaktas. Allmänna bestämmelser om vite finns i lagen (1985:206) om viten. Av 2 § fjärde stycket i den lagen framgår att ett vitesföreläggande skall delges adressaten. Enligt vår mening bör i fråga om delgivningen gälla samma regler som för delgivning av en stämning i ett tvistemål, se 33 kap. 6 § andra stycket . Delgivning enligt 12 § delgivningslagen (1970:428), som innebär att delgivningshandlingen lämnas till någon annan fysisk person än den som söks för delgivning, bör således få användas bara under förutsättning att den person- uppgiftsansvarige har avvikit eller håller sig undan på något annat sätt. Av lagen om viten framgår att frågan om utdömande av ett förelagt vite prövas av länsrätten på ansökan av tillsynsmyndigheten, som får anlita biträde av polismyndighet om det är nödvändigt med hänsyn till utredningen. Av lagen om viten framgår vidare att vite inte skall dömas ut, om ändamålet med vitet har förlorat sin betydelse. Av allmänna principer torde dessutom följa att tillsynsmyndigheten skall återkalla ett meddelat vitesföreläggande så snart den personuppgiftsansvarige har gjort vad som krävs av honom eller henne. Ett förbud vid vite att behandla personuppgifter på annat sätt än genom att lagra dem kommer alltså att gälla bara till dess den personuppgiftsansvarige har botat den försummelse som föranledde förbudet. Ansökan om utplånande av personuppgifter Vi föreslår att tillsynsmyndigheten skall kunna ansöka hos länsrätt om att sådana personuppgifter som har behandlats på ett olagligt sätt skall utplånas. Den möjligheten kan användas t.ex. när känsliga person- uppgifter har behandlats trots att den personuppgiftsansvarige inte alls har haft rätt att behandla sådana uppgifter. Det ligger i sakens natur att möjligheten att ansöka om utplånande av personuppgifter bör användas bara i sådana fall där det inte genom andra åtgärder är möjligt att förena behandlingen av uppgifterna med de regler som gäller. Vi föreslår också en uttrycklig regel om att domstolen inte får besluta om utplånande, om det skulle vara oskäligt. Förslagen i denna del har lämnats utan erinran av remissinstanserna. Överklagande Enligt den nuvarande datalagen gäller att Datainspektionens beslut överklagas hos länsrätten. När en annan statlig myndighet är register- ansvarig, skall dock beslutet i stället överklagas till regeringen. har vidare Justitiekanslern rätt att överklaga Datainspektionens beslut för att ta till vara allmänna intressen. Enligt vår mening bör, såsom godtagits av remissinstanserna, tillsyns- myndighetens beslut enligt den nya lagen i fråga om annat än generella föreskrifter utan undantag kunna överklagas hos allmän förvaltnings- domstol, dvs. Justitiekanslern anser att det inte är nödvändigt att Justitiekanslerns överklaganderätt förs över till den nya lagen, medan Länsrätten i anser att det kan finnas anledning att ha kvar över- klaganderätten. Justitiekanslern har med den nuvarande ordningen sällan funnit anledning att överklaga Datainspektionens beslut. Bland annat eftersom den nya lagen till skillnad från den nuvarande inte innebär att en tillsynsmyndighet genom sin tillståndsgivning i praktiken skall bestämma vilken personregistrering som skall tillåtas, har vi i likhet med Justitiekanslern själv inte funnit anledning att ta med någon bestämmelse om överklaganderätt för Justitiekanslern i den nya lagen. För överklagande av länsrättens domar och beslut till kammarrätten bör det i linje med strävandena , jfr prop. 1993/94:133 krävas prövningstillstånd. Det bör gälla även vid överklagande av länsrättens beslut i fråga om utplånande av personuppgifter. Kammarrätten i anser att det bör övervägas om inte kravet på prövningstillstånd bör gälla först . Liknande synpunkter förs fram av Länsrätten i och . Enligt vår mening finns det inte anledning att fördröja införandet av kravet på prövningstillstånd för att få fram vägledande domstolspraxis eller eljest. Kammarrätten skall ju meddela prövningstillstånd bl.a. om det är av vikt för ledning av rättstillämpningen att överklagandet prövas av högre rätt. Kammarrätten i har för övrigt inte haft några synpunkter på kravet på prövningstillstånd. 14 Skadestånd och straff Regeringens förslag: Den personuppgiftsansvarige skall ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen har orsakat. Om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne, kan ersättningsskyldigheten dock i den utsträckning det är skäligt sättas ned eller helt falla bort. Den som uppsåtligen eller av oaktsamhet lämnar osanna uppgifter i information eller anmälan enligt den nya lagen, i strid med bestäm- melserna i den nya lagen behandlar känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. eller för över personuppgifter till tredje land eller låter bli att göra en anmälan om behandling till till- synsmyndigheten straffas med böter eller fängelse . Om brottet är grovt, är straffet fängelse i högst . förslag överensstämmer i huvudsak med regeringens. Kommittén föreslår dock att skadestånd skall kunna utgå vid behandling i strid med lagen eller föreskrift som meddelats med stöd av lagen. Kommittén föreslår inte straffbestämmelser om annat än lämnande av osann uppgift. Remissinstanserna: De flesta remissinstanser har lämnat förslaget i huvudsak utan erinran. Hovrätten över och , tings- rätt, och Landsorga- nisationen i (LO) anser dock att flera förfaranden bör vara krimi- naliserade. Skälen för regeringens förslag: Enligt artikel 22 24 i EG-direktivet (se bilaga 1) gäller följande. Var och en skall för det första ha rätt att föra talan inför domstol om kränkningar av sina rättigheter. Den som har lidit skada till följd av en otillåten behandling eller någon annan åtgärd som är oförenlig med bestämmelserna om behandlingen skall vidare ha rätt till ersättning av den personuppgiftsansvarige för den lidna skadan. Den personuppgiftsansvarige kan dock helt eller delvis befrias från sin ersättningsskyldighet, om han eller hon bevisar att han eller hon inte var ansvarig för den händelse som orsakade skadan. Det finns dessutom en skyldighet för medlemsstaterna att anta lämpliga bestämmelser för att säkerställa att direktivet genomförs fullständigt. Medlemsstaterna skall därvid särskilt besluta om de sanktioner som skall användas vid över- trädelse av bestämmelserna om behandling. Skadestånd Enligt den nuvarande datalagen är den registeransvarige ersättningsskyl- dig inte bara för ekonomisk skada utan också för ideell skada, dvs. hänsyn skall tas även till lidande och andra omständigheter av annan än rent ekonomisk betydelse. Den nya lagen liksom den nuvarande datalagen syftar till att skydda människor mot kränkning av personlig integritet genom behandling av personuppgifter. Rätten till personlig integritet är en immateriell rättighet. När den rättigheten kränks, behöver det inte uppkomma någon ekonomisk skada. Därför bör den enskilde, som drabbas av en olaglig behandling, liksom ha rätt till ekonomisk kompensation för själva kränkningen förutom rätt till ersättning för personskada, sakskada och ren förmögenhetsskada. Ersättningen för kränkningen bör uppskattas efter skälighet mot bakgrund av samtliga omständigheter i det aktuella fallet. Den bedömningen har godtagits av de allra flesta remissinstanser. Det kan inte anses oförenligt med EG- direktivet att införa en skyldighet att betala ersättning även för kränkningen. Den nuvarande datalagen innebär vidare att ersättning skall betalas för oriktiga eller missvisande uppgifter samt för vissa brott enligt datalagen. EG-direktivet kräver emellertid att det i föreskrivs att alla åtgärder som är oförenliga med de svenska bestämmelser som genomför direktivet kan leda till skadeståndsskyldighet. Ersättningsskyldigheten är alltså mer vidsträckt enligt direktivet. Å andra sidan är den nuvarande datalagens skadeståndsansvar strikt medan EG-direktivet ger den person- uppgiftsansvarige en möjlighet att helt eller delvis undgå skadestånds- ansvar om han eller hon bevisar att han eller hon inte är ansvarig för den händelse som orsakade skadan. EG-direktivet kräver således att det i föreskrivs att alla åtgärder som är oförenliga med de svenska bestämmelser som genomför direktivet kan leda till skadeståndsskyldighet. Vi föreslår därför att den personuppgiftsansvarige skall ersätta den registrerade för skada som en behandling av personuppgifter i strid med den nya lagen har fört med sig. En av skyldigheterna enligt lagen är att behandla personuppgifter i enlighet med god sed. Den som bryter mot god sed kan alltså bli skadeståndsskyldig Som nämnts skall ersättning också betalas för den kränkning av den personliga integriteten som behandlingen har inneburit. Skadeståndsansvaret bör liksom omfatta person- uppgiftsansvariga inom såväl den privata som offentliga sektorn. Vad som är god sed vid behandling av personuppgifter får avgöras i rättstillämpningen mot bakgrund av bl.a. de mer preciserade föreskrifter som kan utfärdas med stöd av lagen, de branschregler på området som kan ha utarbetats av etablerade branschorganisationer eller andra representativa sammanslutningar och hur ansvarsfulla personuppgifts- ansvariga som regel beter sig. Härigenom får, enligt regeringens mening, enskilda på det sätt EG-direktivet förutsätter möjlighet att vid allmän domstol föra talan om kränkningar av alla de rättigheter som direktivet och den svenska lagstiftning som genomför direktivet ger enskilda. Å andra sidan och eftersom den nya lagen således innebär en viss utvidgning av rätten till skadestånd i förhållande till den nuvarande datalagen, anser vi att en jämkningsmöjlighet är viktig. Eftersom dessa möjligheter inte har mycket att göra med jämkningsreglerna i skade- ståndslagen, krävs särskilda bestämmelser härom i den nya lagen. Dessa bedömningar har i huvudsak godtagits av de allra flesta remiss- instanser. Lagrådet har anmärkt att det inte är helt säkert att jämknings- bestämmelsen står i överensstämmelse med artikel 23.2 i direktivet, som innehåller bestämmelser om att den registeransvarige kan helt eller delvis undgå skadeståndsansvar om han bevisar att han inte är ansvarig för den händelse som orsakade skadan. Lagrådet anser att innebörden av denna artikel synes oklar och föreslår att direktivets text tas in i skadestånds- bestämmelsen utan motivuttalanden om tolkningen. Vi anser att den ifrågavarande artikeln ger utrymme för att föreskriva att jämkning under vissa förutsättningar kan göras, men att det inte före- ligger någon skyldighet att jämka. Även om den personuppgiftsansvarige i ett enskilt fall skulle visa att han eller hon är helt utan skuld till den händelse som orsakat en skada kan han eller hon åläggas skadestånds- ansvar, till och med fullt ut. Jämkning kan dock ske, vilket torde innebära att man i tillämpningen normalt använder sig av jämkningsmöjligheten i ett fall som det nämnda. Det bör dock betonas att det är en fråga som måste avgöras i varje enskilt fall. En möjlighet införs således att helt eller delvis jämka skadeståndet, om den personuppgiftsansvarige kan visa att den felaktiga behandlingen inte berodde på honom eller henne. Jämkning skall emellertid enligt vår mening ske bara i den utsträckning det är skäligt. Ersättningsskyldighet skall sålunda, liksom enligt den nuvarande datalagen, kunna finnas trots att den personuppgiftsansvarige bevisligen är oskyldig till felet. Genom den föreslagna jämkningsregeln kan, till skillnad från vad som är fallet enligt den nuvarande datalagen, en nyanserad bedömning göras i sådana fall där den personuppgiftsansvarige bevisligen har gjort så gott han eller hon kunnat. I vissa fall t.ex. om den registrerade drabbas av en stor ekonomisk skada till följd av att hans eller hennes person- uppgifter har behandlats felaktigt kan det vara skäligt att den som är ansvarig för behandlingen får ersätta åtminstone en viss del av skadan, trots att den felaktiga behandlingen egentligen inte berodde på honom eller henne. Straff Enligt den nuvarande datalagen är en lång rad förfaranden och under- låtenheter straffbelagda. Såsom framgått av vad som sagts tidigare och i avsnitt 10 är de huvudsakliga sanktionerna mot de personuppgiftsansvariga som inte följer den nya lagen skadestånd och vite. All behandling av personupp- gifter i strid med den nya lagen kan föra med sig skyldighet att till de drabbade betala skadestånd, inklusive ersättning för kränkning, och kan dessutom ytterst föranleda ett vitesföreläggande av tillsynsmyndigheten. Dessa sanktioner för brott mot den nya lagen får anses effektiva och i stort sett tillräckliga. har i sitt förslag bara tagit med en bestämmelse om straff för den som uppsåtligen eller av oaktsamhet lämnar osanna uppgifter i information eller anmälan enligt den nya lagen. Det får också anses ligga i linje med utvecklingen i att avkriminalisera, särskilt när det gäller att få befolkningen att följa lagstiftning som i likhet med den nya lagen skall tillämpas i var- dagslag på många olika håll och kanske också hemma i folks vardagsrum. förslag har godtagits av de flesta remissin- stanserna. Riksåklagaren anser t.ex. att förslaget är bra. Hovrätten över och anser dock att inte bara lämnandet av osanna uppgifter bör kriminaliseras utan även underlåtenhet att upp- fylla skyldighet att lämna uppgifter. Underlåtenhet att uppfylla anmäl- ningsskyldighet bör t.ex., enligt hovrätten, förknippas med sanktion. Underlåtenhet att på begäran lämna ett s.k. registerutdrag till en registrerad eller att på begäran lämna Datainspektionen uppgifter om behandlingen är inte generellt kriminaliserad, och vi kan inte se att det finns anledning att nu införa ett straffansvar för just detta. Däremot finns det enligt vår mening skäl att kriminalisera underlåtenhet att göra anmälan till tillsynsmyndigheten, eftersom det är svårt att stävja sådan underlåtenhet med andra medel än ett straffhot. i (LO) anser att det bör finnas straff- ansvar för den som avsiktligt låter registrera osanna eller felaktiga personuppgifter eller som utövar påtryckningar mot den person- uppgiftsansvarige eller personuppgiftsombudet i syfte att på något sätt manipulera personuppgifter. Enligt vår mening är det inte nödvändigt att i den nya lagen straffbelägga detta. Bestämmelserna om skadestånd och vite i kombination med tillsynsmyndighetens tillsyn får anses tillräckliga för att stävja och komma till rätta med sådana förfaranden. Otillbörlig påverkan kan i kvalificerade fall bestraffas enligt de allmänna reglerna i . anser att åtminstone behandling av känsliga person- uppgifter i strid med bestämmelserna i den nya lagen bör straff- sanktioneras. Vi håller med om detta och föreslår att behandling i strid med den nya lagen av känsliga personuppgifter och uppgifter om lagöverträdelser m.m. skall kriminaliseras. Även överföring i strid med den nya lagen av personuppgifter till tredje land, dvs. en stat utanför EES, bör enligt vår mening kriminaliseras, bl.a. eftersom förfarandet innebär att personuppgifterna i praktiken försvinner utom räckhåll för svenska skyddsåtgärder. föreslår att bara sådan oaktsamhet som är grov bestraffas. Genom att det för straffansvar räcker med oaktsamhet in- skärps på ett ändamålsenligt sätt vikten av att vara noggrann med de uppgifter som lämnas och med att följa bl.a. reglerna om när känsliga personuppgifter får behandlas. Föreningens förslag bör således inte följas. Datainspektionen föreslår att straffskalan skall innefatta fängelse i högst utan uppdelning i normalbrott och grovt brott, eftersom preskriptionstiden först då blir tillräckligt lång. Liknande synpunkter förs fram av . Även om det givetvis är oacceptabelt med brott mot de straffsanktionerade bestämmelserna, bör det enligt vår mening vara fullt tillräckligt med en straffskala upp till fängelse för brott som inte kan betraktas som grovt. Att höja straffmaximum för lindrigare brott bara för att brottet skall hinna utredas innan det preskriberas, är inte lämpligt. Saktfärdiga utredningar får i stället mötas med andra åtgärder. 15 Ikraftträdande- och övergångsbestämmelser Regeringens förslag: Den nya lagen träder i kraft . För behandlingar som påbörjats då börjar den nya lagen dock att tillämpas först . Detsamma gäller en behandling som utförs för ett visst bestämt ändamål där behandling för ändamålet påbörjats vid ikraftträdandet. Vissa bestämmelser i den nya lagen tillämpas emellertid inte på påbörjad behandling av person- uppgifter förrän . Dessa bestämmelser tillämpas inte heller på pågående lagring av personuppgifter för historisk forskning förrän uppgifterna börjar behandlas på något annat sätt. Ändringen i regeringsformen, som innebär att det blir möjligt för att delegera rätten att meddela föreskrifter om behandling av personuppgifter, träder i kraft . ändras delegationsbestämmelserna i den nya lagen i enlighet med detta. förslag innebär att den nya lagen träder i kraft med ändringen i regeringsformen. Remissinstanserna: Bara några remissinstanser har uttalat sig om förslaget. , Länsrätten i , Justitiekanslern, och uttrycker tveksamhet i frågan om ikraftträdandet kan och bör senareläggas i förhållande till vad som gäller enligt direktivet. Riksåklagaren, och Riksförsäk- ringsverket föreslår att det införs en möjlighet att börja tillämpa den nya lagen på pågående behandlingar. Skälen för regeringens förslag: Av artikel 32 i EG-direktivet (se bilaga 1) följer att de författningar som genomför direktivet måste träda i kraft . De behandlingar som påbörjas efter ikraftträdandet måste genast uppfylla alla bestämmelser i genomförande- lagstiftningen. Genomförandelagstiftningen behöver inte tillämpas på sådana behandlingar som påbörjats när lagstiftningen träder i kraft förrän efter ikraftträdandet. Bestämmelserna i artikel 6 8 i EG- direktivet dvs. bestämmelser om grundläggande krav på behandling av personuppgifter och om när sådan behandling är tillåten behöver inte tillämpas förrän på sådana uppgifter som redan finns i register när genomförandelagstiftningen träder i kraft. måste emellertid i sådant fall ge den registrerade rätt att på begäran särskilt när han eller hon utövar rätten att få tillgång till uppgifterna få rättelse, utplånande eller blockering av uppgifter som är ofullständiga, felaktiga eller lagrade på ett sätt som inte är förenligt med de legitima ändamål som den personuppgiftsansvarige vill uppnå. får vidare föreskriva att de nämnda bestämmelserna i artikel 6 8 i EG-direktivet inte behöver tillämpas på uppgifter som bara bevaras för historisk forskning. I sådant fall måste det i dock också finnas lämpliga skyddsåtgärder. Den nya lagen De bestämmelser i svensk lagstiftning som genomför EG-direktivet måste finnas . Någon möjlighet att senarelägga genomförandet i av bestämmelserna finns inte enligt direktivet; däremot är det möjligt att för vissa behandlingar fördröja tillämpningen av alla eller vissa av dessa bestämmelser. Den nya lagen måste således träda i kraft . Vi föreslår att lagen träder i kraft det datumet. De möjligheter att för vissa behandlingar fördröja ikraftträdandet av den nya lagen som EG-direktivet medger bör utnyttjas genom övergångs- bestämmelser. Detta har godtagits av de allra flesta remissinstanserna. I lagrådsremissen, liksom i kommitténs förslag, angavs att för behand- ling som pågick vid ikraftträdandet skulle äldre regler tillämpas. Enligt den tolkning som gjordes av bestämmelsen i motiven avsågs även t.ex. andra typer av behandling av en personuppgift som behandlades vid ikraftträdandet och insamling av nya uppgifter till ett personregister där behandling pågick vid ikraftträdandet. Lagrådet har i denna fråga hållit med regeringen om att en strikt tolkning av övergångsbestämmelserna i direktivet inte bör göras men befarat att den valda ordalydelsen kan tolkas som att den nya lagen skall tillämpas på behandlingar trots att dessa ingår som ett led i hanteringen av ett automatiserat personregister som fanns redan vid ikraftträdandet. Lag- rådet har uttalat att ordalydelsen av bestämmelserna bör ses över. Vi delar Lagrådets synpunkt. Enligt vår mening bör även behandling av nya personuppgifter kunna omfattas av den nu gällande datalagen om behandling för ändamålet påbörjats vid ikraftträdandet. I anledning av Lagrådets synpunkt har lagtexten förtydligats i enlighet därmed. Riksåklagaren, och anser att det bör finnas en möjlighet att börja tillämpa den nya lagen på sådana behandlingar som redan påbörjats.