prop · GL0344 · 1998-01-01 00:00:00 — Det undantag från den nya lagens hanteringsbestämmelser som EG-direktivet medger bör därför utnyttjas fullt ut. Det är t.ex. inte rimligt att författaren till en lokal nyårsrevy på grund av den nya lagen skulle behöva i förväg informera de personer revyn handlar om och kanske också inhämta deras samtycke. Allvarligare övergrepp genom nu avsedd journalistisk, konstnärlig och litterär verk- samhet kan angripas enligt allmänna bestämmelser, t.ex. om straff och skadestånd för förtal. tillsyn över lagens tillämpning avser tillämp- ningen av samtliga materiella bestämmelser i den nya lagen. Bland annat därför kan det vara befogat att undantaget för behandling av person- uppgifter för journalistiska ändamål m.m. får avse så gott som samtliga bestämmelser i den nya lagen. Det är vid all behandling av personuppgifter viktigt att ha en lämplig säkerhetsnivå så att personuppgifter inte t.ex. läcker ut eller annars sprids på ett icke avsett vis. Därför bör undantaget för behandling för journa- listiska ändamål m.m. inte omfatta bestämmelserna om säkerhetsåtgärder i den nya lagen. Det innebär att det även vid sådan behandling som avses med undantagen måste vidtas lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Enligt vår mening kan för övrigt en tillämpning av bestämmelserna i den nya lagen om de säkerhetsåtgärder som skall vidtas vid behandling av personuppgifter i de allra flesta fall inte heller komma i konflikt med grundlagarna. Bestämmelserna om skyddsåtgärder får dock, som nämnts, inte tillämpas om det i det enskilda fallet skulle strida mot TF eller YGL. har som ovan nämnts föreslagit ett undantag från tillämpningen av personuppgiftslagen för vidarespridning av yttranden som kommit till stånd i ett grundlagsskyddat medium. Vi har sympati för kommitténs uppfattning. Kommitténs förslag att yttranden skulle undantas från tillämpningen av den nya lagen även i medier som inte omfattas av bestämmelserna i eller YGL om yttrandet tidigare omfattats av dessa grundlagar lades därför fram i lagrådsremissen. Lagrådet har avstyrkt undantaget och anfört att bestämmelsen sannolikt inte skulle stå sig vid en rättslig prövning i eftersom det inte rör sig om något grundlagsfäst yttrandefrihetsintresse som kan vägas mot integritetsskyddsintresset. Den kritik som Lagrådet riktar mot bestämmelsen kan vara riktig såtillvida att det kan finnas enskilda fall av tillämpningar som faller under det föreslagna undantaget som inte har grundlagsskydd eller stöd i den möjlighet direktivet ger att göra undantag. Vi väljer därför att inte föreslå något uttryckligt undantag för vidarespridningsfallet. Vi är ändock av uppfattningen att det undantag som redovisats ovan och som följer direktivets ordalydelse i de allra flesta fall omfattar de situationer som avsågs med undantaget för vidare- spridning. Eftersom undantaget bör utformas efter direktivets lydelse bör det inte i den nya lagen göras något generellt undantag för ett visst slag av kommunikation, såsom föreslagits av . Det är vår upp- fattning att tolkningen av undantaget som följer direktivets lydelse skall ske med hänsyn till den svenska förklaring som vi refererat ovan. Detta kan få betydelse särskilt för kommunikation som inte bedrivs av yrkes- verksamma journalister. 8.3 Undantag för rent privat användning av person- uppgifter Regeringens förslag: Sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur undantas från den nya lagen. förslag överensstämmer med regeringens. Remissinstanserna: Förslaget har godtagits eller lämnats utan erinran. Skälen för regeringens förslag: EG-direktivet gäller inte för sådan behandling av personuppgifter som utförs av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll (artikel 3.2). Det står alltså fritt att tillämpa den nya lagen på sådan behandling eller låta bli. Den nya lagen syftar till att skapa ett skydd för individens rent privata sfär. Det vore därför ologiskt om den nya lagen i själva verket skulle tillåtas tränga in i denna sfär genom införandet av myndighetskon- trollerade hanteringsregler för sådant som måste betraktas som rent privata angelägenheter. Vi anser således att möjligheten enligt direktivet att undanta rent privat användning av personuppgifter bör utnyttjas fullt ut. Den nya lagen bör alltså innehålla samma undantag som direktivet. Detta innebär t.ex. att enskilda för rent privat bruk kan föra en elektronisk dagbok eller registrera sina grannar eller släktingar. 8.4 Ord- och textbehandling kan inte generellt undantas Regeringens bedömning: Ord- och textbehandling eller liknande av personuppgifter i löpande text kan inte generellt undantas från den nya lagen, eftersom det skulle strida mot EG-direktivet. bedömning överensstämmer med regeringens. Remissinstanserna: Många remissinstanser berör svårigheterna med att tillämpa den nya lagen vid ord- och textbehandling eller liknande. Flera kommunala instanser och t.ex. och föreslår att löpande text som används för ren ord- och textbehandling undantas från lagen. Skälen för regeringens bedömning: EG-direktivet gäller för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg. Med behandling av personuppgifter avses enligt direktivet varje åtgärd som vidtas beträffande personuppgifter. Det finns inte något krav på att de uppgifter som behandlas på automatisk väg skall vara strukturerade i ett register eller liknande. Datoriserad ord- och textbehandling eller liknande av löpande text som innehåller personuppgifter omfattas därför otvivelaktigt av direktivet. Någon möjlighet att generellt undanta sådan behandling finns inte enligt direktivet. Den nya lagen kan alltså inte heller innehålla något sådant generellt undantag. I avsnitt 11 berörs frågan om undantag för personuppgifter i löpande text från informationsskyldighet. Där framgår att ett visst undantag för sådana personuppgifter görs. Däremot står det klart att direktivet inte i första hand tar sikte på sådan behandling. Detta bör kunna beaktas vid tillämpningen av bestäm- melserna i lagen. Ord- och textbehandling av löpande text bör t.ex. kunna undantas från skyldigheten att anmäla automatiska behandlingar till tillsynsmyndigheten. Privatpersoners ord- och textbehandling och kom- munikation med e-post faller också som regel under undantaget från lagen för rent privat användning av personuppgifter. Det torde vidare regelmässigt vara så att framställningen av ett brev eller någon annan löpande text kan hänföras under något av de fall där behandling av personuppgifter är tillåten (se avsnitt 11.3) och att de säkerhetsåtgärder som måste vidtas (se avsnitt 11.8) kan anpassas till att det är fråga om ord- och textbehandling. De grundläggande kraven vid all behandling av personuppgifter (se avsnitt 11.2) torde utan större olägenheter kunna tillämpas också på personuppgifter i löpande text. 9 Det territoriella tillämpningsområdet för den nya lagen Regeringens förslag: Den nya lagen skall tillämpas på sådana person- uppgiftsansvariga som är etablerade i . Även när en person- uppgiftsansvarig från tredje land använder utrustning som finns i för behandling av personuppgifter skall som huvudregel den svenska lagen tillämpas. I sådant fall skall den ansvarige utse en företrädare för sig som är etablerad i . förslag överensstämmer med regeringens, dock att kommittén föreslår att en utsedd företrädare skall anmälas till Datainspektionen. Remissinstanserna: Bara ett fåtal remissinstanser har uttalat sig om tillämpningsområdet. Kommunikationsforskningsberedningen efterlyser en analys av reglerna om tillämpningsområdet, särskilt när det gäller enskildas möjligheter att hävda sina rättigheter vid databehandling med gränsöverskridande inslag. Datainspektionen anser att regeln om anmälan av företrädare inte behövs eller i vart fall kan ändras så att anmälan skall göras till . anser däremot att det är lämpligare att anmälan görs till Datainspektionen. anser att förslaget är alltför långtgående och föreslår att det ändras t.ex. så att lagen bara gäller för behandling i . Skälen för regeringens förslag: I artikel 4 i EG-direktivet finns det en i sina detaljer svårtolkad bestämmelse om det territoriella tillämp- ningsområdet för varje medlemsstats lagstiftning. Frågan om den närmare innebörden av artikeln har redan väckts inom den kommitté som inrättats enligt artikel 31 i direktivet. Det är för att undvika luckor och överlappningar viktigt och nödvändigt att frågan löses i samförstånd mellan samtliga medlemsstater. Det får förutsättas att så sker. Den närmare analys av reglerna som Kommunikationsforskningsberedningen efterlyser får göras inom ramen för det arbetet. Som läget nu är förefaller det lämpligast att i den nya lagen bara ta in de huvudregler som otvetydigt framgår av artikeln. När samförstånd om tolkningen uppnåtts får det övervägas om lagtexten behöver kompletteras eller om saken kan lösas genom s.k. fördragskonform tolkning i rätts- tillämpningen. När det gäller företrädare för en personuppgiftsansvarig som är etablerad utanför EES, krävs enligt direktivet bara att den ansvarige utser en företrädare som är etablerad i . Någon anmälan av företrädaren till tillsynsmyndigheten krävs alltså inte enligt direktivet. Eftersom Datainspektionen, som är den instans som skulle kunna ha haft nytta av en anmälan för sin tillsyn, anser att någon anmälan inte behövs, finner regeringen inte skäl att ta med bestämmelser om anmälningsskyldighet i den nya lagen. 10 Normgivningsdelegation Regeringens förslag: Regeringen bemyndigas att meddela föreskrifter om att vissa behandlingar av personuppgifter skall förhandskontrolleras och om undantag från förbudet mot överföring av personuppgifter till tredje land. Regeringen eller den myndighet som regeringen bestämmer bemyndigas att a) föreskriva undantag från vissa bestämmelser i den nya lagen, och b) precisera de generella regler och principer som den nya lagen innehåller. Bestämmelsen i 8 kap. 7 § första stycket 8 regeringsformen justeras så att det blir möjligt för att delegera föreskriftsrätt i fråga om skydd för personlig integritet även vid behandling av personuppgifter. förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Många remissinstanser, t.ex. på det kommunala området, anser att delegationen av normgivningsmakt går alltför långt och förordar att flera bestämmelser ges i lag. De flesta instanserna, t.ex. vid och Länsrätten i , godtar eller lämnar utan erinran kommitténs resonemang om de lagliga möjligheterna till delegation. Hovrätten över och anser emellertid att det lagliga utrymmet för delegation är snävare än vad kommittén förutsatt. vid förordar ytterligare utredning av frågan. Skälen för regeringens förslag: Det finns med hänsyn till skyldig- heterna enligt EG-direktivet ett behov av att delegera normgivnings- kompetens på området till regeringen eller den myndighet som regeringen bestämmer. Enligt vår bedömning är de bestämmelser i den nya lagen som innebär att föreskrifter får meddelas i författningar av lägre valör än lag förenliga med regeringsformen. Behovet av normgivningsdelegation De regler som finns i EG-direktivet och som införs i den nya lagen är generella och behöver preciseras, t.ex. när det gäller den intresse- avvägning som behöver göras i en del fall för att avgöra om en viss behandling av personuppgifter är tillåten och i fråga om vilka säkerhetsåtgärder som behöver vidtas vid en behandling. Enligt artikel 5 i direktivet åligger det för övrigt att inom den ram direktivet drar upp precisera på vilka villkor behandling av personuppgifter är tillåten. Vidare innehåller direktivet en hel del detaljregler, t.ex. i fråga om vilka uppgifter en anmälan till tillsynsmyndigheten skall innehålla, som det vore olämpligt att tynga lagtexten med. EG-direktivet medger också att det under vissa förutsättningar görs undantag från vissa regler. Det gäller t.ex. undantag från ett förbud mot behandling av känsliga personuppgifter eller uppgifter om lagöver- trädelser m.m., undantag från ett förbud mot att föra över personuppgifter till tredje land, dvs. en stat utanför EES, och undantag från skyldighet att till tillsynsmyndigheten anmäla automatiserad behandling av person- uppgifter. Direktivet kräver vidare att säkerställer att särskilt inte- gritetskänsliga behandlingar av personuppgifter kontrolleras på förhand och att det bestäms vilka behandlingar som skall förhandskontrolleras. En generell lag som i princip avser att reglera all icke privat använd- ning av personuppgifter i datorer och register kan inte gärna innehålla annat än generella principer och de allra viktigaste undantagen från dessa. Lagen skulle i annat fall bli alldeles för otymplig. De generella principer som lagen innehåller och som bygger på EG- direktivet är vidare tämligen beständiga, medan behov av närmare preciseringar och undantag av naturliga skäl kommer att växla över tiden och kan uppkomma hastigt. Detta beror bl.a. på den snabba tekniska utvecklingen, framväxten av nya, oförutsägbara sätt att samla in och utnyttja personuppgifter och värderingsförändringar. En ordning som innebär att varje liten justering i det kompletterande regelverket kräver en sedvanlig lagstiftningsprocess framstår därför som onödigt omständlig och ohanterlig. Det finns alltså ett behov av att delegera normgivnings- kompetens på området. I den utsträckning som det är befogat med ett ställningstagande från sida, finns det alltid möjlighet att ge regleringen på något visst område i lag. I sådant fall är normgivning på lägre nivå i strid med den lagregleringen utesluten, om inte annat följer av den aktuella lagen. I enlighet med vad som anges i avsnitt 6.2 finns det enligt vår mening inte heller anledning att nu avvika från målsättningen att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll skall regleras särskilt i lag. Det kan också finnas anledning att notera att den nuvarande datalagen i huvudsak bygger på att det i första hand är Datainspektionen som mer eller mindre självständigt skall bestämma för vilka ändamål person- registrering får ske och vilka villkor som skall gälla för registreringen. Den nya lagen innehåller flera materiella regler än den nuvarande lagen och ställer upp en ram inom vilken den kompletterande regleringen måste hålla sig. Mera finns alltså reglerat i lag med den föreslagna ordningen än vad som gäller . Närmare om förslaget om föreskriftsrätt i den nya lagen Vårt förslag innebär att regeringen eller den myndighet som regeringen bestämmer skall få meddela föreskrifter om undantag från ett förbud mot behandling av känsliga personuppgifter, om det behövs med hänsyn till ett viktigt allmänt intresse, undantag från ett förbud för andra än myndigheter att behandla person- uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden, undantag från ett förbud mot överföring av personuppgifter till tredje land, dvs. en stat utanför EES, om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter, undantag från skyldighet att anmäla automatiserade behandlingar till tillsynsmyndigheten för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integriteten, och inom den ram som den nya lagen ställer upp meddela närmare föreskrifter om a) i vilka fall behandling av personuppgifter är tillåten, b) vilka krav som ställs på den personuppgiftsansvarige vid behandling av personuppgifter, c) i vilka fall användning av personnummer är tillåten, d) innehållet i en anmälan eller ansökan till en personuppgiftsansvarig, e) vilken information som skall lämnas till registrerade och hur lämnandet av information skall gå till, och f) anmälan till tillsynsmyndigheten och förfarandet när anmälda uppgifter har ändrats. Regeringen skall vidare utan möjlighet till vidare delegation enligt vårt förslag få meddela föreskrifter om undantag från förbudet mot överföring av personuppgifter till tredje land för överföring till vissa stater eller om överföringen regleras av ett avtal som ger tillräckliga garantier till skydd för de registrerades rättigheter, och att vissa behandlingar av personuppgifter som kan innebära särskilda risker för otillbörligt intrång i den personliga integriteten skall för förhandskontroll anmälas till tillsynsmyndigheten i förväg. Av vad som anförs i avsnitt 15 framgår att det föreslås att bemyndigandena till bara skall avse automatiserad behandling av personuppgifter. Vår bedömning av förhållandet till regeringsformen I 8 kap. 1 § regeringsformen finns det en erinran om att det av bestämmelserna i 2 kap. regeringsformen följer att föreskrifter av visst slag får meddelas endast genom lag. I 2 kap. 3 § andra stycket regeringsformen finns det en bestämmelse om att varje medborgare skall i den utsträckning som närmare anges i lag skyddas mot att hans eller hennes personliga integritet kränks genom att uppgifter om honom eller henne registreras med hjälp av automatisk databehandling. Av förarbetena framgår emellertid att lydelsen av grundlagsregeln har utformats så att det skall stå klart att regeln inte hindrar regeringen, andra myndigheter eller kommuner att meddela dataskyddsbestämmelser (prop. 1987/88:57 s. 11). Efter införandet av regeln i 2 kap. 3 § andra stycket har i regeringsformen också införts en möjlighet för att till regeringen eller den myndighet som regeringen bestämmer delegera rätten att meddela föreskrifter om skydd för personlig integritet vid registrering av uppgifter med hjälp av automatisk databehandling, varvid regeln i 2 kap. 3 § andra stycket inte ansetts hindra sådan delegation (prop. 1993/94:116 s. 15). Däremot innebär regeln i 2 kap. 3 § andra stycket enligt förarbetena att måste vara aktiv genom att stifta och vidmakthålla en dataskyddslagstiftning som utgör en verklig och allvarligt menad skyddslagstiftning (prop. 1987/88:57 s. 11). Av det sagda följer enligt vår uppfattning, vilken delas av Lagrådet, att reglerna i 2 kap. 3 § andra stycket regeringsformen inte hindrar att regeringen och den myndighet som regeringen bestämmer ges behörighet att närmare precisera och konkretisera regleringen i den nya lagen, som skall uppta de grundläggande huvudreglerna och principerna i fråga om personuppgiftsskyddet. Nästa fråga av betydelse för delegationsmöjligheterna blir hur den föreslagna lagstiftningen förhåller sig till bestämmelserna i 8 kap. 2 och 3 §§ regeringsformen, dvs. om lagstiftningen skall anses vara av civil- rättslig eller offentligrättslig karaktär. Enligt 8 kap. 2 § regeringsformen skall föreskrifter om enskildas personliga ställning samt om deras personliga och ekonomiska för- hållanden inbördes meddelas genom lag. Sådana föreskrifter tillhör det obligatoriska lagområdet, och får inte delegera föreskriftsrätten inom detta område. Enligt 8 kap. 3 § regeringsformen skall föreskrifter om förhållandet mellan enskilda och det allmänna som gäller åligganden för enskilda eller i övrigt avser ingrepp i enskildas personliga eller ekonomiska för- hållanden meddelas genom lag. Beträffande sådana offentligrättsliga föreskrifter är det möjligt att delegera föreskriftsrätten i de fall som anges i 8 kap. 7 § regeringsformen. Motsvarande gäller enligt 8 kap. 5 och 7 §§ beträffande föreskrifter om kommunernas befogenheter och åligganden. Att klart slå fast var gränsen går mellan offentligrättsliga och privat- rättsliga regler är närmast omöjligt. konstaterar i Normgivningsmakten enligt regeringsform, Juristförlaget i , 1989, s. 64 ff. i anledning av frågan om regeringen i lagen (1980:2) om finansbolag och fondkommissionslagen (1979:748) kunde bemyndigas att meddela föreskrifter om kapitaltäckningskrav: De sistnämnda lagstiftningsärendena belyser det förhållande, som har påpekats i första kapitlet av denna framställning, nämligen att rättsreglerna hänger samman med varandra på många sätt och att en uppdelning av rättsregler i olika ämnesområden ibland är möjlig endast om man bortser från det inre sammanhanget i regelsystemet. Grundlagsstiftarna har byggt på indelningen i offentlig rätt och privaträtt utan att tänka på att offentligrättsliga och privaträttsliga regler kan vara sammanflätade med varandra. Att genom grundlagstolkning entydigt fastställa var gränsen mellan de båda rättsområdena skall dras i ett fall som det ovan nämnda är därför strängt taget en hopplös uppgift. När det gäller frågan om föreskrifter till skydd för den enskildes personliga integritet är att hänföra till privaträttsliga eller offentligrättsliga föreskrifter är vår uppfattning och utgångspunkt att bestämmelserna till följd av sin karaktär i grunden utgör offentligrättsliga föreskrifter. Bestämmelserna utgör ett medel för det allmänna att bl.a. i enlighet med vad som anges i 2 kap. 3 § regeringsformen skydda enskilda mot kränkning av deras personliga integritet genom olämplig behandling av personuppgifter. Lagrådet har vid sin analys av frågan om reglernas privat- eller offentligrättsliga karaktär haft en delvis annan utgångspunkt än vi. I vår diskussion i lagrådsremissen om normernas karaktär har vid analysen om förhållandet till 8 kap. 2 § regeringsformen inledningsvis konstaterats att det inte kan vara fråga om sådana föreskrifter som behandlas i första ledet av 8 kap. 2 § regeringsformen, dvs. att det kan inte röra enskildas personliga ställning i den mening som avses i paragrafen. Lagrådet ansluter sig till vår bedömning i denna del. När det sedan gäller andra ledet av 8 kap. 2 § regeringsformen, enskildas personliga och ekonomiska förhållanden inbördes , skulle det kunna hävdas att de aktuella normerna bör hänföras till 8 kap 2 §, eftersom en enskild kan förpliktas betala skadestånd till annan enskild enligt den föreslagna lagen. Enligt vår uppfattning kan man dock inte bara på grund av den omständigheten dra slutsatsen att i grunden offent- ligrättsliga föreskrifter är av privaträttslig karaktär, särskilt inte då bestämmelserna har kombinerats med straffbestämmelser eller annan betydelsefull offentligrättslig sanktion i form av vitesföreläggande. Enligt Lagrådets uppfattning är föreskrifter som en enskild person med framgång kan direkt åberopa mot andra enskilda i domstol och som kan leda till att enskilda förpliktas att betala skadestånd av privaträttslig natur. Lagrådet konstaterar vidare att den omständigheten att föreskrifterna dessutom kan ha påtagliga offentligrättsliga inslag inte innebär att den privaträttsliga delen bortfaller. Lagrådet tar därför avstånd från tanken i remissen att införandet av ett system för offentlig tillsyn av tillämpningen av privaträttsliga föreskrifter eller en kriminalisering av dessa får till konsekvens att föreskrifterna förlorar sin privaträttsliga karaktär och förvandlas till offentligrättsliga. Frågan om bestämmelser har offentligrättslig eller privaträttslig karaktär är som framgår av uttalande ofta svårbedömd. Det är därför naturligt att det förekommer olika uppfattningar om till vilken grupp en bestämmelse skall hänföras. Vi delar Lagrådets uppfattning att föreskrifter som är av privaträttslig karaktär inte enbart till följd av ett straffbeläggande eller genom ett införande av andra offentligrättsliga sanktioner kan förvandlas till offentligrättsliga föreskrifter. Ett sådant förfaringssätt skulle onekligen innebära ett kringgående av regeringsformen. I förevarande fall rör det det sig dock enligt vår uppfattning inte om i grunden privaträttsliga bestämmelser utan om bestämmelser som till sin natur har offentligrättslig karaktär. De bestämmelser om skydd för personuppgifter som redan finns, t.ex. i datalagen (1973:289) och i kreditupplysningslagen (1973:1173), har också hittintills alltid i praktiken behandlats som offentligrättsliga.