prop · GL0344 · 1998-01-01 00:00:00 — 3 § Med hänsyn till vad Lagrådet anfört under rubriken till offentlighetsprincipen bör i fråga om betydelsen av beteckningen Blockering (av personuppgifter) hänvisningen till 2 kap. TF ersättas med orden "denna lag". 5 § Enligt första stycket gäller lagen för behandling av personuppgifter som helt eller delvis är automatisk. Med uttrycket "automatisk behandling", som återkommer i flera andra paragrafer, avses annan behandling än behandling. Att lagen också tillämpas på behandling av personregister framgår av andra stycket. Direktivet gäller enligt artikel 3.1 i den svenskspråkiga texten för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg och för annan behandling än automatisk av personregister. Uttrycket "behandling på automatisk väg" återkommer i artikel 18.1, medan be- greppet "automatisk behandling" används i artikel 15.1. Den engelsk- språkiga texten innehåller i dessa artiklar termerna "processing by auto- matic means", "automatic processing automated processing", medan den franskspråkiga texten genomgående talar om "traitement automatisé". Automatisk databehandling är ett inarbetat begrepp. Detta kan synas tala för att man i en lag om uppgiftsskyldighet som skall vara teknikoberoende använder det motsvarande uttrycket automatisk behand- ling. Ett sådant uttryckssätt för emellertid tanken till en behandling som sker automatiskt efter en viss händelse eller tidpunkt e.d. oavsett hur behandlingen utförs. Det ligger nära till hands att lägga in en motsvarande betydelse i uttrycket automatiska beslut. Det är förmodligen av detta skäl som det uttrycket har undvikits i det remitterade förslaget, där i stället uttrycket "automatiserade beslut" förekommer (se rubriken till 29 §). Lagrådet förordar att uttrycket "automatisk behandling" i förevarande paragraf byts ut mot uttrycket "automatiserad behandling". Ett alternativ kan vara att man, som i den svenskspråkiga versionen av direktivet, i stället talar om "behandling som företas på automatisk väg". Godtas Lagrådets förslag, får motsvarande ändringar göras i 20, 21, 29, 35, 36, 41, 42 och 50 §§. 9 § Som Lagrådet återkommer till vid 48 § bör i första stycket b) i före- varande paragraf läggas till att personuppgifter skall behandlas i enlighet med god sed. 21 § I första stycket föreskrivs att det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Det är inte helt klart vad som avses med termen "lagöverträdelser". Rent språkligt sett torde termen omfatta alla överträdelser av förhållnings- regler i lag. Det skulle innebära att även sådana överträdelser som är osanktionerade eller som i regel endast föranleder administrativa sank- tioner skulle omfattas. Som exempel på det sistnämnda kan nämnas orik- tigt uppgiftslämnande på skatteområdet, otillåtet byggande, felaktigheter vid miljöfarlig verksamhet o.d. Bestämmelsen har sin motsvarighet i artikel 8.5 första stycket direktivet, som i den svenska versionen också innehåller termen lagöverträdelser. Av direktivet synes dock kunna utläsas att en mer begränsad innebörd är avsedd. I artikel 8.5 andra stycket anges sålunda att medlemsstaterna får föreskriva att uppgifter som rör bl.a. administrativa sanktioner också skall behandlas under kontroll av en myndighet. Det måste innebära att termen lagöverträdelser i artikelns första stycke inte avses omfatta överträdelser som medför administrativa sanktioner. Det förefaller troligt att avsikten varit att med lagöverträdelser skall förstås endast överträdelser som innefattar brott (jfr SOU 1997:39 s. 380). Enligt Lagrådets mening bör lagtexten i detta avseende förtydligas. 27 § Paragrafen innehåller undantag från informationsskyldigheten vid sekre- tess och tystnadsplikt. I första meningen görs undantag från informa- tionsskyldigheten i den utsträckning det är föreskrivet i författning eller i beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade. I andra meningen föreskrivs att en personuppgiftsansvarig, som inte är en myndighet, i motsvarande fall som avses i sekretesslagen får vägra att lämna ut uppgifter till den registrerade. Sistnämnda föreskrift, som saknar direkt motsvarighet i Datalagskom- mitténs förslag, torde vara en nyhet i svensk lagstiftning. Den innebär att enskilda personer blir skyldiga att sätta sig in i en omfattande och komplicerad lagstiftning som är utformad med tanke på myndigheters verksamhet och vid prövning av informationsskyldigheten försöka dra paralleller till den egna verksamheten. Man måste räkna med att detta kan medföra problem i den praktiska tillämpningen. Lagrådet ifrågasätter om inte någon annan lösning som tillgodoser behovet kan åstadkommas. Frågan bör enligt Lagrådet beredas ytterligare. 38 § Med anledning av det tillägg som Lagrådet har förordat i 9 § första stycket b) bör i första stycket av förevarande paragraf föreskrivas att personuppgiftsombudet skall se till att personuppgifter behandlas, förutom på ett lagligt och korrekt sätt, i enlighet med god sed. 42 § Beträffande sista meningen hänvisar Lagrådet till vad som anförts vid 27 §. 48 § Enligt första stycket skall den personuppgiftsansvarige ersätta den registrerade för den skada och den kränkning av den personliga inte- griteten som en behandling av personuppgifter i strid med denna lag eller god sed vid behandling av personuppgifter har orsakat. Att den personuppgiftsansvarige är skyldig att iaktta god sed vid behandling av personuppgifter sägs inte i lagen i övrigt utan framgår endast indirekt av förevarande bestämmelse. Enligt Lagrådets mening bör en uttrycklig föreskrift om denna skyldighet tas in i lagen, lämpligen som ett tillägg i 9 § första stycket b). Godtas detta förslag, kan hänvisningen till god sed vid behandling av personuppgifter utgå i förevarande bestämmelse; en behandling av personuppgifter i strid med god sed strider då också mot lagen. I författningskommentaren uttalas att, i den utsträckning ett förfarande i strid med lagen ingår som ett led i ett sådant brott som avses i 1 kap. 3 § skadeståndslagen, ideellt skadestånd för lidande respektive ersättning för kränkning kan utgå enligt såväl den nämnda bestämmelsen som förevarande paragraf. De brott som det kan bli fråga om är bl.a. ärekränkningsbrott. När ersättning enligt 1 kap. 3 § skadeståndslagen skall bestämmas för kränkning genom ett sådant brott, beaktas bl.a. det sätt på vilket ärekränkande uppgifter har spritts (se prop. 1972:5 s. 572 samt SOU 1972:88 s. 55 och SOU 1992:84 s. 141). Det förhållandet att uppgifterna har spritts genom behandling av personuppgifter kan alltså påverka storleken av skadeståndet för den kränkning som ärekränk- ningsbrottet har inneburit. Att i ett sådant fall också skadestånds- bestämmelsen i förevarande paragraf kan bli tillämplig torde knappast medföra att den registrerade får rätt till ytterligare skadestånd enligt den bestämmelsen. Kränkningen ersätts med andra ord inte med ett högre belopp enbart därför att flera bestämmelser kan vara tillämpliga. Enligt andra stycket kan ersättningsskyldigheten i den utsträckning det är skäligt jämkas, om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Enligt Lagrådets mening är det inte helt säkert att denna bestämmelse står i överensstämmelse med artikel 23.2 i direktivet, som enligt den svenskspråkiga texten innehåller att den registeransvarige kan helt eller delvis undgå skadeståndsansvar om han bevisar att han inte är ansvarig för den händelse som orsakade skadan. Innebörden av den nämnda artikeln synes oklar. En möjlighet är att läsa den som en ren exculpationsbestämmelse av innehåll att något skade- ståndsansvar inte kan utkrävas "i den mån" den registeransvarige visar att han inte är ansvarig för den skadeorsakande händelsen. I lagrådsremissen har artikeln emellertid uppfattats som en jämkningsbestämmelse, som ger möjlighet men inte skyldighet att sätta ned skadeståndet även om den registeransvarige visar sig vara helt utan skuld till den händelse som orsakade skadan. För denna tolkning skulle kunna tala att punkt 55 i direktivets ingress anger att den registeransvarige kan befrias från skadeståndsansvar om han kan visa att han inte är ansvarig för skadan, särskilt i fall då han kan påvisa att ett fel har begåtts av den registrerade eller i fall av force majeure. Innebörden härav är möjligen att den registeransvarige åtminstone i andra fall kan åläggas t.o.m. fullt skade- ståndsansvar även om han visar sig inte ha något ansvar för den skadeorsakande händelsen. Det är dock vanskligt att ha någon bestämd uppfattning om hur direktivet är att förstå på denna punkt. För att inte skall kunna beskyllas för att lagstifta i strid med direktivet förordar Lagrådet att andra stycket i förevarande paragraf ges en lydelse som närmare överensstämmer med artikel 23.2. Frågan hur bestämmelsen skall tolkas bör, utan några förarbetsuttalanden, över- lämnas till rättstillämpningen. I författningskommentaren sägs att frågan om jämkning av ersättningen, t.ex. på grund av medvållande, regleras i förevarande bestämmelse. Oavsett vilken innebörd artikel 23.2 har går detta uttalande enligt Lag- rådets mening för långt. Även om denna artikel skall uppfattas som en jämkningsbestämmelse, är den ju inte tillämplig i fall då den person- uppgiftsansvarige misslyckas med att exculpera sig. I ett sådant fall måste bestämmelsen i 6 kap. 1 § skadeståndslagen om jämkning på grund av medvållande kunna tillämpas. 49 § Enligt punkt b) i denna paragraf kan den som behandlar vissa person- uppgifter i strid med 13-21 §§ dömas till straff. Denna bestämmelse kan komma i konflikt med föreskriften i 45 § om förbud vid vite att fortsätta att behandla personuppgifter på ett olagligt sätt. Liksom i andra sam- manhang när en kollision kan uppkomma mellan straff och vite bör gälla att den som har överträtt ett vitesförbud inte får dömas till straff för en gärning som omfattas av förbudet. Lagrådet förordar att en bestämmelse av detta innehåll tas in i förevarande paragraf som ett nytt andra stycke. I punkt 1 anges att den föreslagna lagen träder i kraft , då datalagen (1973:289) skall upphöra att gälla. Enligt punkt 2 skall dock den äldre lagen (datalagen) tillämpas i stället för den nya lagen t.o.m. i fråga om "sådan behandling av person- uppgifter som pågår vid ikraftträdandet". I författningskommentaren an- förs att det krav som följer av punkt 2 har samma innebörd som mot- svarande krav enligt artikel 32.2 i EG-direktivet. Med behandling av personuppgifter avses enligt 3 § varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, bl.a. insamling, registrering, lagring, bearbetning eller ändring, inhämtande, användning, utlämnande, sammanställning eller samkörning, blockering, utplåning eller förstöring. Den genom punkt 2 förlängda tiden för tillämpning av datalagen t.o.m. tar enligt ordalydelsen sikte enbart på behandlingar av personuppgifter som pågår vid ikraftträdandet, dvs. Såvitt Lagrådet kan finna innebär detta att den nya lagen måste tillämpas på åtskilliga behandlingar under förlängnings- perioden trots att dessa ingår som ett led i hanteringen av ett automatiskt personregister som fanns redan vid ikraftträdandet. Den nya lagen synes således skola tillämpas så snart den aktuella behandlingen är av ett annat slag än den som pågick vid ikraftträdandet eller avser nya person- uppgifter, dvs. uppgifter som insamlats efter ikraftträdandet. Konse- kvensen synes bli att den registeransvarige blir tvungen att vad gäller ett och samma register tillämpa datalagen på vissa behandlingar (person- uppgifter) och den nya lagen på andra. Det framstår som uppenbart att en sådan ordning kommer att ge upphov till betydande tillämpnings- och kontrollproblem. Enligt Lagrådets uppfattning talar inte minst praktiska skäl för att datalagen skall kunna tillämpas i större ut- sträckning än vad som följer av en strikt tolkning av övergångs- bestämmelserna. En sådan utvidgning av tillämpningsområdet synes knappast behöva komma i konflikt med EG-direktivet (jfr Datalags- kommitténs resonemang i frågan, SOU 1997:29 s. 453 f). Lagrådet förordar att utformningen av punkt 2 ses över med denna inriktning. Förslaget till lag om ändring i regeringsformen Det nuvarande i 8 kap. 7 § första stycket 8 givna bemyndigandet för re- geringen att meddela föreskrifter om skydd för personlig integritet vid re- gistrering av uppgifter med hjälp av automatisk databehandling tillkom genom lagstiftning (prop. 1993/94:116, bet. 1993/94:KU36, SFS 1994:1480). I det lagstiftningsärendet synes någon diskussion inte ha förts om hur bemyndigandet förhöll sig till bestämmelserna i 8 kap. 2 § RF. Eftersom delegering inte är möjlig i fråga om föreskrifter som är hänförliga till sistnämnda lagrum (jfr vad Lagrådet i anslutning till förslaget om personuppgiftslag anfört om normgivningsdelegation) kan dock den slutsatsen dras att bemyndigandet ansetts avse föreskrifter hänförliga till 8 kap. 3 § RF. De mot bemyndigandet korresponderande bestämmelserna i datalagen synes således ha bedömts vara av offentligrättslig karaktär. Någon anledning för Lagrådet att pröva grundlagsenligheten hos det nuvarande bemyndigandet föreligger inte. Som Lagrådet uttalat i det föregående torde dock, sedan den föreslagna personuppgiftslagen trätt i kraft, föreskrifter om personlig integritet vid behandling av personupp- gifter bli att hänföra till sådana föreskrifter som avses i 8 kap. 2 § RF. Delegering av normgivning enligt 8 kap. 7 § RF kan därmed inte komma i fråga. Lagrådet förordar att bemyndigandet upphävs. Lagrådet lämnar förslagen utan erinran. Utdrag ur protokoll vid regeringssammanträde Närvarande: statsrådet , ordförande, och statsråden , , , , Regeringen beslutar proposition Personuppgiftslag Författningsrubrik Bestämmelser som inför, ändrar, upp- häver eller upprepar ett normgivnings- bemyndigande Celexnummer för bakomliggande EG- regler Personuppgiftslagen (0000:0000) 20, 21, 35, 36, 41 och 50 §§ Celex 395L0046 Lag om ändring i regeringsformen 8 kap. 7 § 8 Lag om ändring i personuppgiftslagen (0000:0000) 20, 21, 35, 41 och 50 §§ Celex 395L0046 1 Jfr och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT nr L 281, 23.11.1995, s. 31, Celex 395L0046). Lagen omtryckt 1992:1474. 1 Senaste lydelse 1994:86. 1 Regeringsformen omtryckt 1994:1483. 1 Jfr och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT nr L 281, 23.11.1995, s. 31, Celex 395L0046). (1) EGT nr C 277, 5.11.1990, s. 3, och EGT nr C 311, 27.11.1992, s. 30. (2) EGT nr C 159, , s. 38. (3) yttrande av (EGT nr C 94, , s. 198), bekräftat (EGT nr C 342, 20.12.1993, s. 30) rådets gemensamma ståndpunkt av (EGT nr C 93, , s. 1) och beslut av (EGT nr C 166, . (1) EGT nr L 197, , s. 33. 1 Jfr och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT nr L 281, 23.11.1995, s. 31, Celex 395L0046). 1 Jfr och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT nr L 281, 23.11.1995, s. 31, Celex 395L0046). Lagen omtryckt 1992:1474. 1 Senaste lydelse 1994:86. 1 Regeringsformen omtryckt 1994:1483. 1 Jfr och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT nr L 281, 23.11.1995, s. 31, Celex 395L0046). 1997/98:44 Bilaga 1 1997/98:44 Bilaga 2 1997/98:44 Bilaga 3 1997/98:44 Bilaga 4 1997/98:44 Bilaga 5 1997/98:44 Bilaga 5 1997/98:44 Bilaga 6 1997/98:44 Bilaga 6 1997/98:44 Bilaga 7 1997/98:44 Bilaga 7