prop · GL0344 · 1998-01-01 00:00:00 — Kommissionen skall i sådant fall vid lämpligt tillfälle inleda förhandlingar för att avhjälpa den situation som därvid har uppkommit. Kommissionen kan vidare i enlighet med den särskilda beslutsprocedur som föreskrivs i direktivet konstatera att ett tredje land, genom sin interna lagstiftning eller på grund av de internationella förplik- telser som åligger landet, har en sådan adekvat skyddsnivå. Medlemssta- terna skall då vidta de åtgärder som är nödvändiga för att följa kommissionens beslut. Som exempel på internationella förpliktelser som åligger tredje land nämns särskilt sådana förpliktelser som är en följd av de förhandlingar som kommissionen har inlett och som gäller skydd för privatliv och enskilda personers grundläggande fri- och rättigheter. Medlemsstaterna är dock skyldiga att utom där något annat föreskrivs för särskilda fall i den nationella lagstiftningen föreskriva att överföring av personuppgifter till ett tredje land, som inte har en sådan adekvat skyddsnivå, är tillåten i följande fall. Den registrerade otvetydigt har samtyckt till den planerade överföring- en. Överföringen är nödvändig för att fullgöra ett avtal mellan den regist- rerade och den personuppgiftsansvarige eller för att på den registrerades begäran genomföra åtgärder innan avtalet ingås. Överföringen är nödvändig för att ingå eller fullgöra ett avtal mellan den personuppgiftsansvarige och tredje man, där avtalet är i den registrerades intresse. Överföringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen eller för att fastslå, göra gällande eller försvara rättsliga anspråk. Överföringen är nödvändig för att skydda intressen som är av grund- läggande betydelse för den registrerade. Överföringen görs från ett register som 1) enligt lagar eller andra för- fattningar är avsett att förse allmänheten med information och som 2) är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse, i den utsträckning som de i lagstiftningen angivna villkoren för att få tillgång är uppfyllda. I punkt 58 i ingressen till EG-direktivet anges som exempel på viktiga allmänna intressen utbyte av uppgifter mellan skattemyndigheter, tull- myndigheter eller socialförsäkringsmyndigheter. Det är vidare tillåtet för medlemsstaterna att tillåta överföring av personuppgifter till ett tredje land med en icke adekvat skyddsnivå om den personuppgiftsansvarige ställer tillräckliga garantier för skyddet av privatliv och enskilda personers grundläggande fri- och rättigheter och för utövandet av sådana rättigheter. Sådana garantier kan framgå av lämpliga avtalsklausuler. Medlemsstaterna skall informera kommissionen om de överföringar som har tillåtits enligt denna bestämmelse. Om kommissionen eller en medlemsstat gör en invändning på grunder som är berättigade med hänsyn till skyddet för privatliv och enskilda personers grundläggande fri- och rättigheter skall kommissionen vidta lämpliga åtgärder i enlighet med den särskilda beslutsprocedur som föreskrivs i direktivet. Medlemsstaterna skall vidta de åtgärder som är nödvändiga för att följa kommissionens beslut. Om kommissionen å andra sidan i enlighet med den särskilda beslutsprocedur som nämnts beslutar att vissa standardklausuler erbjuder tillräckliga garantier, skall medlemsstaterna vidta nödvändiga åtgärder för att följa kommissionens beslut. Förbud mot överföring, konkreta undantag från förbudet och bemyndiganden att meddela föreskrifter om ytterligare undantag Bestämmelserna i är, såsom och en del remissinstanser noterat, detaljerade och komplicerade. Datalagskom- mittén har gjort den bedömningen att man inte i lagstiftningen bör införa mer komplicerade regler än vad som är nödvändigt med hänsyn till EG- direktivet. Vi godtar den bedömningen, som har lämnats utan erinran av remissinstanserna. EG-direktivet kräver att det i den svenska lagstiftningen införs ett förbud mot överföring av personuppgifter till tredje land och de konkreta undantag från det förbudet som räknas upp i direktivet. I övrigt kan detaljregler i den nya lagen undvikas genom att regeringen eller den myndighet som regeringen bestämmer bemyndigas att meddela före- skrifter om undantag från förbudet mot överföring, t.ex. när det gäller överföring till stater som har en adekvat skyddsnivå. Beslut om undantag från förbudet bör också kunna meddelas i enskilda fall. Den tekniken, som bl.a. innebär att det i den nya lagen införs ett principiellt förbud mot överföring av personuppgifter till tredje land, har använts i Datalags- kommitténs förslag och lämnats utan erinran av remissinstanserna. Även vi anser att tekniken bör användas. Frågan om normgivningsdelegation har berörts i avsnitt 10. Stater som anslutit sig till konvention Förutom de undantag från förbudet mot överföring av personuppgifter som räknas upp i direktivet har föreslagit ett generellt undantag för överföring av personuppgifter för användning enbart i en stat som anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Datainspektionen vänder sig emot att detta generella undantag tas med i den nya lagen. Enligt inspektionens uppfattning är det inte enbart en nationell fråga att avgöra i vilken omfattning överföring får ske till stater som inte är medlemmar i unionen. har skyldigheter inte bara gentemot Europeiska unionen utan också enligt konvention. Av artikel 12 i den konventionen följer att och andra konventionsstater inte av integri- tetsskyddsskäl får hindra att personuppgifter förs över till en konventionsstat för att användas där. Det vore alltså oförenligt med konventionen att införa en ordning som innebär att överföringen till en konventionsstat kan hindras av det skälet att staten i någon mening inte skulle anses ha en adekvat skyddsnivå för personuppgifter. Av punkt 11 i ingressen till EG-direktivet framgår också att direktivet innehåller preciseringar och förstärkningar av de principer som Europarådskonven- tionen innehåller. Det är enligt regeringens mening inte antagligt att medlemsstaterna inom Europeiska unionen, varav de allra flesta vid antagandet av direktivet hade anslutit sig till konventionen, genom direktivet skulle ha tillskapat en ordning som vore oförenlig med åta- gandena enligt konventionen. De stater som anslutit sig till konvention får enligt regeringens mening anses ha en sådan adekvat skyddsnivå som krävs enligt EG-direktivet. Mot bakgrund av det sagda och förpliktelser enligt Europa- rådskonventionen förefaller det enklast och tydligast med en uttrycklig bestämmelse om att personuppgifter utan vidare får föras över för användning enbart i en stat som har anslutit sig till konvention. Vi föreslår således i likhet med att en sådan bestämmelse tas med i den nya lagen. 12 Anmälningsskyldighet och upplysningar till allmänheten om behandlingar Regeringens bedömning: EG-direktivet kräver att det föreskrivs en principiell skyldighet att anmäla alla automatiserade behandlingar till tillsynsmyndigheten. De möjligheter till undantag som direktivet ger bör dock utnyttjas så långt möjligt. Regeringens förslag: I den nya lagen tas in en principiell skyldighet att anmäla alla automatiserade behandlingar till tillsynsmyndigheten. Den personuppgiftsansvarige ges möjlighet att sätta till ett särskilt personuppgiftsombud. När en anmälan gjorts till tillsynsmyndigheten om att ett sådant ombud tillsatts, behöver anmälningar om behand- lingar inte längre göras. Allmänheten skall ha rätt att på begäran få upplysningar om sådana behandlingar som inte anmälts direkt från den personuppgifts- ansvarige. Regeringen får meddela föreskrifter om att särskilt integritets- känsliga behandlingar skall anmälas till tillsynsmyndigheten för förhandskontroll i förväg. förslag överensstämmer med regeringens, dock att kommittén inte föreslår någon skyldighet att till tillsynsmyndigheten anmäla utsedda personuppgiftsombud. Remissinstanserna: Remissinstanserna har i huvudsak godtagit för- slaget om anmälningsskyldighet. Inte någon har förordat att det nuvarande systemet med licens och tillstånd skall behållas. När det gäller förslaget om personuppgiftsombud är remissutfallet blandat. En del remissinstanser har tillstyrkt förslaget, medan andra har uttryckt tveksamhet. De tveksamma instanserna har i allmänhet pekat på riskerna för lojalitetskonflikter. Skälen för regeringens förslag: Den nuvarande datalagen bygger på att den som inrättar och för personregister skall anmäla sig till Data- inspektionen för licens. I många fall krävs det dessutom att person- registreringen förhandskontrolleras av inspektionen och att ett tillstånd ges. Datainspektionens medgivande krävs vidare i vissa fall när uppgifter från ett personregister skall lämnas ut för automatisk databehandling i utlandet, t.ex. genom att göras tillgängliga på ett internationellt data- nätverk såsom Internet. Anmälningsskyldighet Det har uppskattats att bara av alla licenspliktiga personregister anmäls till Datainspektionen. Datainspektionen får alltså genom licens- och tillståndssystemet kännedom om bara en bråkdel av den personregistrering som förekommer. Man kan vidare anta att det är de som följer de formella reglerna och gör en anmälan som också bäst följer de materiella reglerna om uppgiftsbehandlingen. Licenserna är således inte något bra underlag för inspektionens tillsynsverksamhet, och de ger inte heller enskilda någon upplysning om i vilka register de förekommer. Integritetsskyddet stärks vidare inte i sig av att Datain- spektionen hanterar anmälningar, licenser och tillstånd. Det som har betydelse för integritetsskyddet är att de personuppgiftsansvariga följer de materiella reglerna för uppgiftsbehandlingar, inte att de sänder in papper till Datainspektionen. Vi anser därför i likhet med och remissinstanserna att det nuvarande licens- och tillståndssystemet bör avskaffas och att tillsynsmyndighetens verksamhet bör koncentreras till att ge råd och sprida kunskap om de materiella reglerna och att utöva tillsyn över att reglerna följs. måste emellertid på grund av artikel 18.1 i EG- direktivet (se bilaga 1) föreskriva att alla automatiserade behandlingar skall anmälas på förhand till tillsynsmyndigheten. Det är därför viktigt att fullt ut utnyttja de möjligheter till undantag från anmälningsskyldigheten som direktivet medger. På det sättet bör anmälningsskyldigheten kunna begränsas till ett minimum. Den möjlighet att föreskriva anmälnings- skyldighet även för behandlingar som EG-direktivet ger bör i enlighet med vår principiella inställning inte utnyttjas. I enlighet med vad som anges i avsnitt 10 bör regeringen eller den myndighet som regeringen bestämmer bemyndigas att meddela före- skrifter om sådana undantag från anmälningsskyldigheten som tillåts enligt direktivet (artikel 18.2 första strecksatsen). Skulle tillsyns- myndigheten få in en mera betydande mängd anmälningar om behand- lingar av viss typ, finns det anledning att överväga ett undantag för den behandlingstypen. Personuppgiftsombud Ett ytterligare alternativ för att undvika anmälan till tillsynsmyndigheten som EG-direktivet medger är att införa ett system med personuppgifts- ombud (artikel 18.2 andra strecksatsen). Personuppgiftsombudet utses av den personuppgiftsansvarige och skall enligt direktivet särskilt ha till uppgift att på ett oberoende sätt säkerställa den interna tillämpningen av de nationella bestämmelser som antagits till följd av direktivet. Ombudet skall också föra ett register över de behandlingar som utförs av den personuppgiftsansvarige. Det framgår av direktivet att ombudet i tveksamma fall skall rådfråga tillsynsmyndigheten (artikel 20.2). När ett personuppgiftsombud utsetts, behöver den personuppgiftsansvarige inte anmäla behandlingar till tillsynsmyndigheten. har föreslagit att ett system med personuppgifts- ombud införs enligt följande. Personuppgiftsombudet skall ha till uppgift att självständigt se till att den personuppgiftsansvarige behandlar person- uppgifter på ett lagligt och korrekt sätt och i enlighet med god sed och påpeka eventuella brister för denne. Har personuppgiftsombudet anled- ning att misstänka att den personuppgiftsansvarige bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och vidtas inte rättelse så snart det kan ske efter påpekande, skall person- uppgiftsombudet anmäla förhållandet till tillsynsmyndigheten. Person- uppgiftsombudet skall även i övrigt samråda med tillsynsmyndigheten vid tveksamhet om hur de bestämmelser som gäller för behandlingen av personuppgifter skall tillämpas. Personuppgiftsombudet skall vidare hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. Dessutom skall personuppgiftsombudet föra en förteckning över de behandlingar som den personuppgiftsansvarige genomför och som skulle ha omfattats av anmälningsskyldighet om ombudet inte hade funnits. Flera remissinstanser är uttalat positiva till förslaget, t.ex. Länsrätten i , Datainspektionen, i (LO) och . Andra är däremot negativa eller tvek- samma. De pekar framför allt på risken för att ombudet, som kan vara en anställd på företaget eller myndigheten, kan hamna i svåra lojalitets- konflikter i förhållande till den personuppgiftsansvarige arbetsgivaren, särskilt när det gäller bedömningen av om en anmälan om ett eventuellt missförhållande skall göras till tillsynsmyndigheten. Enligt vår bedömningen förefaller det föreslagna systemet med personuppgiftsombud ändamålsenligt för vissa personuppgiftsansvariga. För andra kan systemet visserligen passa sämre, men det bör inte hindra att systemet införs som en möjlighet för dem som anser att det är bra och värdefullt. Om såsom förutsatt tillräckligt självständiga personer anlitas som ombud, bör risken för lojalitetskonflikter inte överdrivas. Vi anser således att det bör vara möjligt att utse ett självständigt per- sonuppgiftsombud som skall ha de uppgifter som framgår av Datalags- kommitténs förslag. har inte föreslagit någon skyldighet att anmäla personuppgiftsombudet till en myndighet. Socialvetenskapliga forsk- ningsrådet anser att man kan överväga att införa en skyldighet att anmäla utsedda personuppgiftsombud till tillsynsmyndigheten. Vi anser att det är ett bra förslag. Ombudet skall ersätta anmälningar till tillsynsmyndigheten om behandlingar, och därför är det naturligt att förutsättningen för att låta bli att anmäla behandlingarna manifesteras genom en anmälan om ombudet. Av samma skäl och på grund av att det är tillsynsmyndigheten som närmast kan ha användning av information om vilka som är personuppgiftsombud bör anmälan göras till tillsynsmyndigheten och inte till någon annan myndighet. Det förhållandet att ombudet är anmält till en myndighet kan också för ombudet inskärpa vikten av att uppdraget tas på allvar. Vi anser således att den personuppgiftsansvarige skall till tillsynsmyndigheten anmäla att ett personuppgiftsombud utsetts och vem det är och att anmälan skall ha den verkan att anmälan till tillsynsmyndigheten om behandlingar därefter inte behöver göras. När ett ombud entledigas, skall detta också anmälas till tillsynsmyndigheten eftersom förutsättningen för befrielse från skyldigheten att anmäla behandlingar då inte längre finns. Förhandskontroll I enlighet med vad som anges i avsnitt 10 föreslås att regeringen bemyndigas att meddela föreskrifter om att vissa behandlingar som kan innebära särskilda risker för otillbörligt intrång i den personliga integri- teten skall för förhandskontroll anmälas till tillsynsmyndigheten i förväg. Om regeringen har meddelat sådana föreskrifter, måste behandlingen anmälas även om ett personuppgiftsombud utsetts. Upplysningar till allmänheten om behandlingar Enligt artikel 21 i EG-direktivet skall vidta åtgärder för att se till att behandlingar av personuppgifter görs offentligt tillgängliga. skall för sådan behandling som inte omfattas av anmälningsplikt före- skriva att de personuppgiftsansvariga, eller något annat organ som utser, på lämpligt sätt skall tillhandahålla var och en som begär det vissa upplysningar om behandlingen. För att uppfylla EG-direktivet måste det således, såsom föreslagit och de allra flesta remissinstanser godtagit, införas en skyldighet för den personuppgiftsansvarige att till var och en som begär det skyndsamt och på lämpligt sätt lämna upplysningar om sådana automatiska och andra behandlingar av personuppgifter som inte har anmälts till tillsynsmyndigheten. Den skyldigheten kommer förmodligen att leda till att de personuppgiftsansvariga upprättar och håller aktuell någon form av förteckning över de aktuella behandlingarna. 13 befogenheter Regeringens förslag: har rätt att för sin tillsyn på begäran få tillgång till de personuppgifter som behandlas, upplys- ningar om och dokumentation av behandlingen och säkerheten vid denna samt tillträde till sådana lokaler som har anknytning till behandlingen. Om myndigheten därvid inte kan få tillräckligt underlag för att konstatera att behandlingen är laglig, får myndigheten vid vite förbjuda den personuppgiftsansvarige att behandla personuppgifter på annat sätt än genom att lagra dem. Detsamma gäller om det efter att en olaglig behandling konstaterats inte går att få rättelse på något annat sätt eller om saken är brådskande. Om saken är brådskande, får myn- digheten också meddela ett tillfälligt beslut om vite innan den person- uppgiftsansvarige fått tillfälle att yttra sig. Det tillfälliga beslutet skall då prövas om, när yttrandetiden har gått ut. får hos länsrätt ansöka om att sådana person- uppgifter som har behandlats på ett olagligt sätt skall utplånas. beslut enligt den nya lagen om annat än före- skrifter får överklagas hos allmän förvaltningsdomstol, men myndig- heten får bestämma att beslutet skall gälla även om det överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. förslag överensstämmer med regeringens. Remissinstanserna: Förslaget lämnas utan erinran av de allra flesta remissinstanserna. Hovrätten över och anser att tillsyns- myndighetens befogenheter är delvis otillräckliga. Kammarrätten i anser att ett beslut om förbud bör kunna föregås av ett med vite förenat föreläggande för att uppnå det resultat som önskas. Kammarrätten anser vidare att det bör övervägas om inte kravet på prövningstillstånd bör gälla först . Liknande synpunkter förs fram av Länsrätten i och av , som dessutom avstyrker att tillsynsmyndigheten skall få meddela ett tillfälligt beslut om vite. Skälen för regeringens förslag: Enligt artikel 28 i EG-direktivet (se bilaga 1) skall det utses en eller flera myndigheter med uppgift att fullständigt oberoende övervaka tillämpningen av de bestämmelser som antagit till följd av direktivet. är också skyldig att särskilt besluta om de sanktioner som skall användas vid överträdelse av dessa bestämmelser (artikel 24). Varje tillsynsmyndighet skall ha vissa i direktivet angivna befogenheter, och de beslut av myndigheten som går en part emot skall kunna överklagas till domstol (artikel 28). Vad som bör regleras i den nya lagen Föreskrifter om flera av de uppgifter och befogenheter som tillsyns- myndigheten skall ha enligt direktivet kan ges i förordning, och vi avser att senare meddela nödvändiga föreskrifter. Förslaget omfattar de be- fogenheter som tillsynsmyndigheten bör ha och som måste eller enligt vår mening bör regleras i lag. Kammarrätten i anser att den nya lagen bör innehålla en bestämmelse om att det skall finnas en tillsynsmyndighet som skall ha till uppgift att övervaka tillämpningen. Bestämmelserna i den nya lagen förutsätter att det finns en tillsynsmyndighet, och EG-direktivet kräver också att en sådan myndighet utses. definieras i lagens inledning. Enligt vår mening är det däremot inte nödvändigt att i lag ha ytterligare en bestämmelse om detta. Inte heller är det, såsom bl.a. Datainspektionen föreslagit, nödvändigt att i lag ha bestämmelser om att tillsynsmyndigheten kan granska branschregler om behandling av personuppgifter. Enligt EG-direktivet skall se till att tillsynsmyndigheten hörs när sådana lagar eller andra författningar utarbetas som rör skyddet av enskilda personers fri- och rättigheter med avseende på behandlingen av personuppgifter (artikel 28). Datainspektionen anser mot den bakgrunden att den nya lagen bör innehålla en bestämmelse om detta. En uttrycklig motsvarande bestämmelse i den nuvarande datalagen avskaffades per . Avsikten var att avskaffandet på intet sätt skulle innebära någon lättnad i kravet på remissbehandling, även om syftet med av- skaffandet i och för sig var att minska tillsynsmyndighetens arbetsbörda. I 7 kap. 2 § regeringsformen finns det en grundläggande bestämmelse om att behövliga upplysningar och yttranden skall hämtas in vid beredningen av regeringsärenden. Vi avser för vår del att tolka den bestämmelsen i belysning av vad som krävs enligt EG-direktivet. När vi i nu aktuella fall beslutar en förordning eller tar initiativ till en lag, finns det således tillräckliga garantier för att tillsynsmyndigheten hörs på det sätt som krävs enligt direktivet. Någon motsvarande s.k. remisskyldighet finns inte när det inom riks- dagen i nu aktuella fall tas initiativ till en lag, t.ex. om reglering av egna register. I 4 kap. 10 § riksdagsordningen finns det dock be- stämmelser om att statlig myndighet t.ex. den aktuella tillsynsmyndig- heten är skyldig att lämna upplysningar och yttra sig när ett riksdags- utskott begär det och om att sådana upplysningar och yttranden som huvudregel skall hämtas in om minst fem utskottsledamöter begär det. Det får förutsättas att utan en särskild bestämmelse om detta ser till att tillsynsmyndigheten har hörts på det sätt som EG-direktivet kräver när en lag i nu aktuella fall beslutas efter ett initiativ inom . Vi anser därför att det inte är vare sig nödvändigt med hänsyn till EG- direktivet eller annars behövligt att åter införa den bestämmelse om obligatoriskt yttrande som avskaffats. Befogenheterna För att tillsynsmyndigheten på ett så effektivt sätt som möjligt skall kunna utöva tillsyn över den behandling av personuppgifter som förekommer bör myndigheten för sin tillsyn ha rätt att på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och dokumentation av behandlingen av personupp- gifter och säkerheten vid denna och tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. För den händelse den personuppgiftsansvarige skulle obstruera och inte ge tillsynsmyndigheten det den behöver för tillsynen, måste myn- digheten ha maktmedel att ta till. Hovrätten över och anser att tillsynsmyndighetens befogenheter framstår som delvis otill- räckliga och pekar därvid särskilt på att myndigheten enligt förslaget saknar maktmedel för att t.ex. få tillträde till lokaler. Eftersom sådan behandling av personuppgifter som omfattas av den föreslagna lagen kan förekomma t.ex. i någons hem eller i en dator som någon bär på sig och då det i en och samma dator kan förekomma såväl behandling som omfattas av lagen som rent privat behandling av högst personliga uppgifter som inte omfattas av lagen, har vi funnit att det är olämpligt med regler som innebär att myndigheten skulle få genomdriva sina rättigheter med t.ex. polishjälp. Det skulle kunna leda till ett större intrång i den personliga integriteten än det intrång som myndighetens tillsynsverksamhet syftar till att förebygga. Enligt vår mening bör man gå en annan väg i stället som innebär att tillsynsmyndigheten kan vid vite förbjuda behandling av personuppgifter. Möjlighet att förelägga vite Syftet med tillsynsmyndighetens tillsyn och myndighetens rättigheter i samband med den är ytterst att myndigheten skall kunna konstatera om den behandling av personuppgifter som utförs är laglig, dvs. att samtliga bestämmelser i den nya lagen och i andra författningar som rör behand- ling av personuppgifter följs.