prop · GL0344 · 1998-01-01 00:00:00 — sammanfattning av sitt betänkande Integritet Offentlighet Informationsteknik (SOU 1997:39) såvitt avser frågan om en ny datalag En ny persondatalag Vi har haft i uppdrag att göra en översyn av datalagen, som kom till . Syftet har varit att åstadkomma en modern och teknikoberoende lagstiftning om skydd för den personliga integriteten vid behandling av personuppgifter. Vi lämnar förslag till en helt ny persondatalag som till största delen bygger på ett färskt EG-direktiv på området. En förutsättning för att vi skulle kunna lämna ett sådant förslag har varit att direktivet går att förena med det som i är grundlagsskyddat eller annars särskilt betydelsefullt från svenska utgångspunkter. Den nya lagstiftningen får inte inkräkta på offentlighetsprincipen eller tryck- och yttrandefriheten. Denna förutsättning är uppfylld. Genom att deltog i de slutliga förhandlingarna om direktivet har de svenska synpunkterna kommit att beaktas i det. Vi föreslår tydliga bestämmelser i persondatalagen som klargör att lagen inte skall tillämpas i den utsträckning det skulle inskränka grundlagsskyddade rättigheter. Den föreslagna lagen berör och förändrar således inte dessa rättigheter. Den föreslagna lagstiftningen bygger liksom EG-direktivet på att själva hanteringen av personuppgifter regleras. Ett alternativ skulle vara att lämna hanteringen av personuppgifter i stort sett fri och i stället hindra bara det som kan betecknas som ett missbruk. Med hänsyn till den oro som många människor alltjämt känner för samlingar av elektroniska uppgifter om dem har vi dock inte ansett tiden mogen att i princip släppa hanteringen av databaserade personuppgifter fri. skulle inte heller fullgöra sina internationella åtaganden om vi valde en helt annan modell än EG-direktivets. Vi anser dock att man i ett längre perspektiv bör inrikta sig mera på att stävja och beivra missbruk än på att reglera en hantering som snart sagt alla kan hålla på med. Den föreslagna persondatalagen kan ses som en ramlag som ger gene- rella riktlinjer för all behandling av personuppgifter. Avsikten är att rege- ringen och Datainspektionen skall inom den ram som lagen drar upp när- mare precisera regleringen. De särskilda registerförfattningarna, som in- nehåller regler för bl.a. många viktiga myndighetsregister, omfattas inte av vårt uppdrag. Vi påpekar att dessa författningar måste ses över och anpassas till den nya persondatalagen. Rent privat användning av personuppgifter undantas från den före- slagna lagen. Som exempel kan nämnas e-post mellan privatpersoner. Med behandling av personuppgifter avses i stort sett allt man kan göra med sådana uppgifter, t.ex. att samla in, söka, bevara och sprida uppgifter. Behandling av personuppgifter som är helt eller delvis automatisk dvs. första hand datoriserad omfattas av den föreslagna lagen. be- handling av sådana uppgifter (på papper) omfattas bara om uppgifterna skall ingå i ett regelrätt register. I den föreslagna lagen slås fast vissa grundläggande krav på all be- handling av personuppgifter. Den persondataansvarige skall se till att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. Uppgifterna får sedan inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna ursprungligen samlades in. Fler uppgifter än nödvändigt får inte behandlas, och de behandlade uppgifterna skall vara adekvata och relevanta. Felaktiga, missvisande eller ofullständiga uppgifter skall korrigeras. Uppgifterna får sparas bara så länge det är nödvändigt med hänsyn till ändamålen med behandlingen. För uppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål finns särskilda regler. Den föreslagna lagen innehåller en uttömmande uppräkning av de fall då personuppgifter får behandlas. Personuppgifter får alltid behandlas om den registrerade har lämnat sitt samtycke. I annat fall krävs att behand- lingen är nödvändig för vissa angivna ändamål. De situationer då behandling är tillåten utan samtycke kan sammanfattas enligt följande. I samband med avtal För att fullgöra en rättslig skyldighet För att skydda vitala intressen för den registrerade För att utföra en arbetsuppgift av allmänt intresse eller i samband med myndighetsutövning Efter en intresseavvägning där den registrerades intressen vägs mot in- tressen på den persondataansvariges sida För behandling av känsliga personuppgifter gäller enligt den föreslagna lagen särskilda regler. Som känsliga uppgifter anses sådana uppgifter som rör hälsa eller sexualliv eller som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Sådana uppgifter får behandlas bara i de fall som räknas upp i lagen. Regeringen eller Datainspektionen kan dock tillåta att känsliga personuppgifter behandlas också i andra fall, under förutsättning att det behövs med hänsyn till ett viktigt allmänt intresse. Känsliga personuppgifter får behandlas när den registrerade har lämnat sitt samtycke eller när han eller hon på ett tydligt sätt har offentliggjort uppgifterna. De fall där sådana för ändamålet relevanta uppgifter annars får behandlas kan sammanfattas enligt följande. För att fullgöra skyldigheter eller utöva rättigheter inom arbetsrätten För att skydda vitala intressen när den registrerade inte kan lämna sam- tycke För att rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras Inom ideella organisationer får känsliga uppgifter om medlemmar och t.ex. sympatisörer behandlas, men inte lämnas ut till någon utomstående Inom hälso- och sjukvård För forskning och statistik när en forskningsetisk kommitté har godkänt projektet eller när samhällsintresset av behandlingen annars klart överväger integritetsriskerna Uppgifter om lagöverträdelser m.m. får enligt huvudregeln behandlas bara av myndigheter. Personnummer skall liksom få användas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. De som registreras skall få kännedom om behandlingen av uppgifterna. Enligt förslaget skall den persondataansvarige i samband med insamlingen av uppgifter självmant lämna de registrerade information om behandlingen. När uppgifterna hämtas in från någon annan källa än den registrerade, behöver information dock inte lämnas, om registreringen eller utlämnandet av uppgifterna är författningsreglerat eller om det skulle innebära en oproportionerligt stor arbetsinsats att informera. Den registrerade skall enligt förslaget ha rätt att på begäran en gång per kalenderår gratis få information om de uppgifter som behandlas, dvs. Den persondataansvarige skall vidare på begäran korrigera personuppgifter som är felaktiga, missvisande eller ofullständiga eller annars inte har behandlats enligt de bestämmelser som gäller. För överföring av personuppgifter utanför EU och EES föreslås vissa restriktioner. Den föreslagna lagen innehåller bestämmelser om säkerheten vid be- handling av personuppgifter. Den nuvarande skyldigheten att i förväg anmäla behandlingar till Datainspektionen bör begränsas till ett minimum. Inspektionens verksamhet skall i stället koncentreras till tillsyn, information och rådgivning. Datainspektionen skall också genom föreskrifter precisera lagens regler på olika områden. Om någon bryter mot den föreslagna lagen skall Datainspektionen söka åstadkomma rättelse. Inspektionen får enligt förslaget förelägga vite och föra talan om att personuppgifter skall utplånas. I övrigt är påföljden för brott mot den föreslagna lagen i första hand skadestånd till de registrerade som har drabbats av skada. De skall utom annan ersättning liksom ha rätt till ideellt skadestånd för kränkning. Skadeståndsansvaret bör vara i princip rent strikt, dvs. skade- stånd skall betalas så snart reglerna inte har följts, men vi föreslår en möjlighet att efter skälighet sätta ned skadeståndet för det fall att den persondataansvarige kan bevisa att den felaktiga behandlingen inte berodde på honom eller henne. Den föreslagna lagen bör träda i kraft och tillämpas fullt ut på behandlingar som påbörjas därefter. För behandlingar som redan pågår vid ikraftträdandet, bör den gamla datalagen få gälla ända till . Reservationer har lämnats av (), () och () gemensamt samt av (). Särskilda yttranden har lämnats av () och av , med instämmande av , av , , samt av . förslag till lagtext 1. Förslag till persondatalag Härmed föreskrivs1 följande. Inledande bestämmelser Syftet med lagen 1 § Syftet med denna lag är att skydda människor mot otillbörligt intrång i den personliga integriteten vid behandling av personuppgifter. Avvikande bestämmelser i annan lagstiftning 2 § Om det i en annan lag eller i en förordning finns bestämmelser som avviker från denna lag, skall dessa bestämmelser gälla. Definitioner 3 § I denna lag används följande beteckningar med nedan angiven bety- delse. Beteckning Betydelse Behandling (av person- uppgifter) Varje åtgärd som vidtas beträffande person- uppgifter. Blockering (av person- uppgifter) Varje åtgärd som kan vidtas för att personupp- gifterna i alla sammanhang skall vara för- knippade med tydlig information om att de är spärrade och om anledningen till spärren och för att personuppgifterna inte skall lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen. Den registrerade Den som en personuppgift avser. Känsliga personuppgif- ter Sådana personuppgifter som avses i 13 §. Mottagare Den till vilken personuppgifter lämnas ut. När personuppgifter lämnas ut för att en myndighet skall kunna utföra sådan tillsyn, kontroll eller revision som åligger den, anses dock inte myndigheten som mottagare. Persondataansvarig Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Persondatabiträde Den som behandlar personuppgifter för den persondataansvariges räkning. Personuppgifter All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i li- vet. Samtycke Varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom eller henne. Den myndighet som regeringen utser. Tredje land En stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska samarbetsområdet. Tredje man Någon annan än den registrerade, den per- sondataansvarige, persondatabiträdet och så- dana personer som under den persondata- ansvariges eller persondatabiträdets direkta ansvar har befogenhet att behandla person- uppgifter. Ett sådant persondataombud som avses i 37 § anses inte som tredje man. Tillämpningsområdet Det territoriella tillämpningsområdet 4 § Denna lag gäller för sådana persondataansvariga som är etablerade i . Lagen tillämpas också när den persondataansvarige är etablerad i tredje land men för behandlingen av personuppgifter använder sig av utrustning som finns i . Vad som sagts gäller dock inte om utrustningen bara används för att överföra uppgifter mellan ett tredje land och ett annat sådant land. I det fall som avses i andra stycket skall den persondataansvarige utse en företrädare för sig som är etablerad i . Den persondataan- svarige skall, innan utrustningen börjar användas, till tillsynsmyndigheten skriftligen anmäla vem som har utsetts och därvid bifoga ett skriftligt medgivande från den utsedde. Vad som anges i denna lag om den persondataansvarige skall också gälla den företrädare som har anmälts på detta sätt. Vilken behandling av personuppgifter omfattas av lagen 5 § Denna lag gäller för sådan behandling av personuppgifter som helt eller delvis är automatisk. Lagen gäller även för annan behandling av personuppgifter, om upp- gifterna ingår i eller är avsedda att ingå i ett register. Med register avses varje strukturerad samling av personuppgifter vilka är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Undantag för privat användning av personuppgifter 6 § Denna lag gäller inte för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur. Undantag med hänsyn till yttrandefriheten 7 § Bestämmelserna i 9 29 och 33 46 §§ samt 47 § första stycket och 49 § skall inte tillämpas på a) sådana förfaranden som är skyddade enligt tryckfrihetsförordningen eller yttrandefrihetsgrundlagen, b) spridningen av sådana yttranden som är skyddade enligt tryckfrihets- förordningen eller yttrandefrihetsgrundlagen, eller c) sådan behandling av personuppgifter som annars sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. Förhållandet till offentlighetsprincipen 8 § Bestämmelserna i denna lag skall inte tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsför- ordningen att lämna ut personuppgifter. Bestämmelserna hindrar inte heller att en myndighet arkiverar och be- varar sina allmänna uppgifter eller att arkivmaterial tas om hand av en ar- kivmyndighet. Bestämmelserna i 9 § tredje stycket gäller inte för person- uppgifter i en myndighets arkiv. Grundläggande krav på behandlingen av personuppgifter 9 § Den persondataansvarige skall se till a) att personuppgifter behandlas bara när det är lagligt, särskilt att sam- tycke inhämtas när så krävs, b) att personuppgifter alltid behandlas på ett korrekt sätt, c) att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, d) att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, e) att de personuppgifter som behandlas är adekvata och relevanta i för- hållande till ändamålen med behandlingen, f) att inte fler personuppgifter behandlas än som är nödvändigt med hän- syn till ändamålen med behandlingen, g) att de personuppgifter som behandlas är riktiga och, om det är nöd- vändigt, aktuella, h) att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna så- dana personuppgifter som är felaktiga, missvisande eller ofullständiga med hänsyn till ändamålen med behandlingen, och i) att personuppgifter inte bevaras än vad som är nöd- vändigt med hänsyn till ändamålen med behandlingen. Beträffande första stycket d) gäller att en behandling av person- uppgifter för historiska, statistiska eller vetenskapliga ändamål inte skall anses som oförenlig med de ändamål för vilka uppgifterna samlades in. I fråga om första stycket i) gäller att personuppgifter får bevaras än som sagts där för historiska, statistiska eller vetenskapliga ändamål. Personuppgifter som behandlas för historiska, statistiska eller veten- skapliga ändamål får användas för att vidta åtgärder beträffande den registrerade bara om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades eller någon annans vitala intressen. När behandling av personuppgifter är tillåten 10 § Personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller när behandlingen är nödvändig a) för att fullgöra ett avtal med den registrerade, b) för att på den registrerades begäran vidta åtgärder innan ett avtal träffas, c) för att den persondataansvarige skall kunna fullgöra en rättslig skyl- dighet, d) för att skydda vitala intressen för den registrerade, e) för att utföra en arbetsuppgift av allmänt intresse, f) för att den persondataansvarige eller en tredje man till vilken person- uppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller g) för ändamål som rör ett berättigat intresse hos den persondataansvarige eller hos sådana tredje män till vilka personuppgifterna lämnas ut när detta intresse väger tyngre än den registrerades intresse. Direkt marknadsföring 11 § Personuppgifter får inte behandlas för ändamål som rör direkt mark- nadsföring, om den registrerade hos den persondataansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling. Samtycke återkallas 12 § I de fall där behandling av personuppgifter bara är tillåten när den registrerade har lämnat sitt samtycke enligt 10, 15 eller 34 § har den re- gistrerade rätt att när som helst återkalla ett lämnat samtycke. Ytterligare personuppgifter om den registrerade får därefter inte behandlas. En registrerad har utöver vad som följer av första stycket och 11 § inte rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt denna lag. Förbud mot behandling av känsliga personuppgifter 13 § Det är förbjudet att behandla personuppgifter som avslöjar a) ras eller etniskt ursprung, b) politiska åsikter, c) religiös eller filosofisk övertygelse, eller d) medlemskap i fackförening. Det är också förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. Undantag från förbudet mot behandling av känsliga personuppgifter Allmänt 14 § Utan hinder av 13 § är det tillåtet att behandla känsliga per- sonuppgifter i de fall som anges i 15 19 §§. I 10 § finns det bestämmelser om i vilka fall behandling av personupp- gifter över huvud taget är tillåten. Samtycke eller offentliggörande 15 § Känsliga personuppgifter får behandlas, om den registrerade har samtyckt till behandlingen eller på ett tydligt sätt offentliggjort uppgif- terna. Behandlingen är nödvändig i vissa fall 16 § Känsliga personuppgifter får behandlas när behandlingen är nödvän- dig för att a) den persondataansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, b) skydda vitala intressen för den registrerade eller någon annan och den registrerade inte kan lämna samtycke, eller c) rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. Uppgifter som behandlas med stöd av första stycket a) får lämnas ut till tredje man bara om det inom arbetsrätten finns en uttrycklig skyldighet för den persondataansvarige att göra det eller den registrerade har samtyckt till utlämnandet. Ideella organisationer 17 § Ideella organisationer med politiskt, filosofiskt, religiöst eller fackligt syfte får inom ramen för sin verksamhet behandla känsliga personuppgifter om organisationens medlemmar och sådana andra personer som på grund av organisationens syfte har regelbunden kontakt med denna. Känsliga personuppgifter får dock lämnas ut till tredje man bara om den registrerade har samtyckt till det. Hälso- och sjukvård 18 § Känsliga personuppgifter får behandlas, om behandlingen är nöd- vändig för a) förebyggande hälso- och sjukvård, b) medicinska diagnoser, c) vård eller behandling, eller d) administration av hälso- och sjukvård. Den som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och har tystnadsplikt får alltid behandla känsliga personuppgifter som omfattas av tystnadsplikten. Forskning och statistik 19 § Känsliga personuppgifter får behandlas för forsknings- och statistik- ändamål, om behandlingen är nödvändig och om samhällsintresset av det forsknings- eller statistikprojekt vari behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som be- handlingen kan innebära. Har projektet godkänts av en forskningsetisk kommitté, skall förutsätt- ningarna enligt första stycket anses uppfyllda. Med forskningsetisk kommitté avses ett sådant särskilt organ för prövning av forskningsetiska frågor som har företrädare för såväl det allmänna som forskningen och som är knutet till ett universitet eller en högskola eller till någon annan instans som i mera betydande omfattning finansierar forskning. Personuppgifter får lämnas ut för att användas i sådana projekt som avses i första stycket, om inte något annat följer av sekretesslagen (1980:100). Bemyndigande att föreskriva ytterligare undantag 20 § Regeringen eller den myndighet som regeringen bestämmer får före- skriva ytterligare undantag från förbudet i 13 §, om det behövs med hänsyn till ett viktigt allmänt intresse. Uppgifter om lagöverträdelser 21 § Det är förbjudet för andra än myndigheter att behandla per- sonuppgifter om lagöverträdelser eller om domar och säkerhetsåtgärder i brottmål. Regeringen eller den myndighet som regeringen bestämmer får före- skriva undantag från förbudet i första stycket. Användning av personnummer 22 § Uppgift om personnummer får behandlas bara när det är klart motiverat med hänsyn till a) ändamålet med behandlingen, b) vikten av en säker identifiering, eller c) något annat beaktansvärt skäl. Information till den registrerade Information skall lämnas självmant när uppgifterna samlas in 23 § När uppgifter om en person samlas in från denne själv, skall den persondataansvarige självmant lämna den registrerade information rörande behandlingen. 24 § Om personuppgifterna har samlats in från annan källa än den re- gistrerade, skall den persondataansvarige självmant lämna den registre- rade information rörande behandlingen när uppgifterna noteras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver informationen dock lämnas först när uppgifterna lämnas ut . Information enligt första stycket behöver inte lämnas, om det finns be- stämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. Information behöver inte heller lämnas enligt första stycket, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor ar- betsinsats. Om uppgifterna används för att vidta åtgärder beträffande den registrerade, skall dock information alltid lämnas senast i samband med att så sker. Vilken information skall lämnas självmant 25 § Information enligt 23 § eller 24 § första stycket skall omfatta a) uppgift om den persondataansvariges identitet, b) uppgift om ändamålen med behandlingen, och c) all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter, såsom information om mottagarna av uppgif- terna, skyldighet att lämna uppgifter och rätten att ansöka om informa- tion. Uppgifter behöver dock inte lämnas om sådant som den registrerade redan känner till. Information skall också lämnas efter ansökan 26 § Den persondataansvarige är skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna information, om personupp- gifter som rör sökanden behandlas eller inte. Behandlas sådana uppgifter skall skriftlig information lämnas också om a) vilka uppgifter om sökanden som behandlas, b) varifrån dessa uppgifter har hämtats, c) ändamålen med behandlingen, och d) till vilka mottagare eller kategorier av mottagare som uppgifterna läm- nas ut. En ansökan enligt första stycket skall göras skriftligen hos den person- dataansvarige och vara undertecknad av den sökande själv. Information enligt första stycket skall lämnas inom en månad från det att ansökan gjordes. Det är dock tillåtet att lämna information bara vid tre över året jämnt fördelade tillfällen, om det finns särskilda skäl för det. Information enligt första stycket behöver inte lämnas beträffande per- sonuppgifter i löpande text som inte fått sin slutliga utformning när ansö- kan gjordes eller som utgör minnesanteckning eller liknande. Vad som sagts gäller dock inte om uppgifterna har lämnats ut till tredje man, om uppgifterna behandlas bara för historiska, statistiska eller vetenskapliga ändamål eller, såvitt gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats . Undantag från informationsskyldigheten vid sekretess och tystnadsplikt 27 § I den utsträckning det är särskilt föreskrivet i lag eller annan författ- ning eller i beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade gäller inte bestämmelserna i 23 26 §§. Regeringen eller den myndighet som regeringen bestämmer får medge undantag från bestämmelserna i 23 26 §§, om det behövs för att skydda grundläggande intressen för enskilda eller för att förebygga, undersöka eller avslöja brott.