prop · GL0344 · 1998-01-01 00:00:00 — skall vara ett oberoende organ. Den skall ha un- dersökningsbefogenheter och befogenheter att effektivt ingripa mot otillåten behandling av personuppgifter. Medlemsstaterna skall genomföra direktivet i nationell rätt efter antagandet . För de automatiserade behandlingar som då redan påbörjats är föreskrivet en övergångsperiod . För redan existerande register är övergångsperioden utsträckt till, som längst, . 5 Genomförandet av EG-direktivet 5.1 Lagens uppbyggnad hanteringsmodell eller missbruksmodell Regeringens bedömning: En lagstiftning som reglerar själva hanteringen av personuppgifter bör införas, eftersom det inte synes möjligt att genomföra EG-direktivet på annat sätt. bör dock på lämpligt sätt verka för att det blir möjligt att i stället använda en lagstiftning som mera koncentrerar sig på vad som kan karaktäriseras som ett missbruk av personuppgifter. bedömning överensstämmer med regeringens. Remissinstanserna: De allra flesta remissinstanser som uttalat sig i saken föredrar en lagstiftning efter en missbruksmodell. Det är dock bara en remissinstans vid som anser det möjligt att utforma en missbruksmodell inom de ramar EG-direktivet ställer upp. Många remissinstanser anser att en lagstiftning efter den hanteringsmodell som följer av direktivet är otidsenlig och förordar att tar initiativ inom EU för att åstadkomma en annan ordning. Skälen för regeringens bedömning: Bestämmelserna i innebär att själva hanteringen av personuppgifter regleras, oavsett om hanteringen kan sägas utgöra ett missbruk. Direktivet bygger således på en hanteringsmodell. har såsom medlem i Europeiska unionen att i svensk lagstiftning genomföra de hanteringsregler som direktivet föreskriver. skall därvid, såsom anges i artikel 5 i direktivet, inom den ram direktivet ställer upp precisera på vilka villkor behandling av personuppgifter är tillåten. I likhet med och de allra flesta remissinstanserna anser regeringen att det nu inte är möjligt att uppfylla skyldigheten att genomföra direktivet på annat sätt än genom att införa en lagstiftning av hanteringsmodell. Ingen har för övrigt kunnat konkret ange hur det skulle kunna vara möjligt med hänsyn till EG- direktivet att använda en renodlad missbruksmodell. En lagstiftning som reglerar i princip all hantering av personuppgifter måste således införas på grund av EG-direktivet. En sådan lagstiftning framstår emellertid som inte särskilt modern. Mycket av den an- vändning av personuppgifter som den alltmer genomgripande datori- seringen har medfört måste betraktas som harmlös. Alltfler medborgare har också tillgång till dator, elektronisk post och annan kommunikation i världsomspännande nätverk. Det finns därför starka skäl för att verka för att det blir möjligt att gå ifrån en lagstiftning efter en vittomfattande hanteringsmodell. Vi avser att på lämpligt sätt utnyttja inflytande i Europeiska unionen för att påverka i denna riktning. Möjligheterna till påverkan är givetvis beroende av att det går att visa på användbara alternativ till en hanteringsmodell. Det är därför viktigt att diskussionen om och arbetet med möjliga utformningar av alternativa modeller fortsätter. har diskussionsvis skisserat på en alternativ modell. Även inom det rättsliga observatorium som har inrättats inom ramen för pågår diskussion och analys av alternativa modeller. 5.2 Den nya lagen skall följa direktivets text och struktur Regeringens bedömning: Den nya lagen bör i huvudsak följa direktivets text och struktur. Vissa omskrivningar och förkortningar bör dock göras för att anpassa texten till svensk lagstil. Hanteringsregler utöver de som EG-direktivet kräver bör föras in i den nya generella lagen bara om det finns ett särskilt behov. bedömning överensstämmer i huvudsak med regeringens. Remissinstanserna: Remissutfallet är blandat. En del förordar att lagen utformas i närmare anslutning till direktivets text, medan andra föredrar ytterligare omskrivningar och omstruktureringar som än mer fjärmar den svenska lagtexten från direktivet. Ingen remissinstans har framfört behov av ytterligare regler om hanteringen av personuppgifter. Skälen för regeringens bedömning: Det måste, såsom konstaterades i avsnitt 5.1, införas en lagstiftning som reglerar i princip all hantering av personuppgifter. De hanteringsregler som läggs fast i EG-direktivet måste införas i lagstiftningen. Det gäller t.ex. regler om när behandling av personuppgifter skall vara tillåten, om vilka krav som ställs på behandlingen och om information till den registrerade. De hanteringsregler som EG-direktivet lägger fast är så pass omfattande att det knappast kan komma i fråga att därutöver införa ytterligare hanteringsregler i den nya generella lagen. De synpunkter som kommit fram vid remissbehandlingen talar för att det snarare behövs färre regler eller flera undantag än hanteringsregler på flera områden. Vi anser därför att hanteringsregler utöver dem som EG-direktivet kräver bör föras in i den nya generella lagen bara om det finns ett särskilt visat behov. Det handlingsutrymme som EG-direktivet i vissa fall medger vid genomförandet bör givetvis utnyttjas. Detta innebär att den nya lagen i stort sett bara kommer att innehålla de regler som direktivet kräver. Det verkar då vara bäst att, såsom föreslagit och de flesta remissinstanser godtagit, låta den nya lagen i stort sett följa direktivets text och struktur. Det är ju ändå EG- domstolen som sist och slutligen har att tolka de begrepp och uttryck som direktivet innehåller. Eftersom det å andra sidan är viktigt att så långt som möjligt hålla på svenska traditioner i fråga om lagstil, bör dock vissa modifieringar göras i förhållande till direktivet. Svenska domstolar har vid tillämpning av lagtext som införts till genomförande av ett EG-direktiv att tolka lagen i överensstämmelse med direktivet och att vid behov fråga om den rätta innebörden. Eftersom EG-direktiv saknar egentliga förarbeten, finns det inga direkta hållpunkter för tolkningen av direktiv förutom själva texten i direktivet, inklusive ingressen. Därför är det svårt att innan EG- domstolen har sagt sitt veta hur direktivet egentligen skall tolkas och tillämpas. har trots detta lämnat kommentarer om tolkningen av direktivet och av föreslagen lagtext som mer eller mindre ordagrant följer direktivet. De överväganden om tolkningen som kommittén redovisat har i huvudsak godtagits eller lämnats utan erinran av remissinstanserna. Den redovisningen kan därför utgöra en god grund för dem som har att tillämpa den nya lagen. Enligt EG:s rättsordning är det som är exklusivt behörig att göra auktoritativa uttalanden om innebörden av . har genom anslutningen till Europeiska unionen också förbundit sig att verka för en enhetlig tolkning och tillämpning av regler i EG-rätten. Genom det aktuella EG-direktivet har det dessutom inrättats en särskild arbetsgrupp med uppgifter som syftar till att bidra till en enhetlig tillämpning av de nationella bestämmelser som genomför direktivet. Av dessa skäl anser vi att regeringen i sin proposition till i princip bör avstå från att uttala sig om hur direktivet i olika delar bör tolkas. 6 En teknikoberoende och generell lag 6.1 En teknikoberoende lag som omfattar automatiserad behandling och behandling av personupp- gifter Regeringens förslag: Den nya lagen skall vara teknikoberoende och tillämpas på automatiserad behandling av personuppgifter och behandling av personuppgifter. förslag överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanser som uttalat sig tycker att det är bra med en teknikoberoende lagstiftning. anser dock att det vore en oacceptabel inskränkning i informationsfriheten om register skulle omfattas av lagen. Skälen för regeringens förslag: Den nuvarande datalagen gäller bara för automatisk databehandling av personuppgifter. EG-direktivet gäller däremot för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg och dessutom för annan behandling av person- uppgifter under förutsättning att dessa ingår i eller kommer att ingå i ett register (artikel 3). Med register avses enligt direktivet varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden (artikel 2 c). På grund av skyldigheter gentemot Europeiska unionen måste den nya lagen ha minst samma tillämpningsområde som EG- direktivet. Det innebär att den nya lagen kommer att vara teknikoberoende, dvs. gälla för såväl automatiserad som viss hantering av personuppgifter. Det är bra eftersom det är viktigt att den nya lagen så lite som möjligt hämmar användningen av ny informationsteknik. Genom att den nya lagen till skillnad från den nuvarande datalagen omfattar också viss hantering, finns det inte längre skäl för användare av personuppgifter att välja en föråldrad, teknik för att undkomma hanteringsreglerna i lagen. Begreppet automatiserad har valts på förslag av Lagrådet i stället för automatisk , eftersom det förra språkligt sett bättre uttrycker vad som avses. Som Lagrådet anfört för begreppet automatisk tanken till en behandling som sker automatiskt efter en viss händelse eller tidpunkt e.d. oavsett hur behandlingen utförs. Användningen i den nuvarande datalagen av begreppet register vid automatisk databehandling har med fog kritiserats för att vara otidsenlig. På grund av den tekniska utvecklingen har det i en sammansatt och komplex datormiljö blivit allt svårare att fastställa vad som är ett register i förhållande till ett annat. Det har också vuxit fram allt flexiblare och kraftfullare metoder för att med hjälp av datorer söka och hantera uppgifter som inte finns i någon registerstruktur. Det är därför en fördel att den nya generella lagen omfattar all automatiserad behandling av personuppgifter utan hänsyn till det föråldrade registerbegreppet. Det nu sagda hindrar givetvis inte att det som faktiskt är ett regelrätt datoriserat register också kallas för det. Flertalet särskilda registerförfatt- ningar rör just upprättandet och förandet av traditionella datoriserade register. Registerformen har därvid ofta valts medvetet för att skapa förutsägbarhet och säkerhet beträffande de uppgifter som behandlas med hjälp av datorer; uppgifterna skall läggas in i ett på visst sätt strukturerat register och får tas fram bara med hjälp av vissa angivna sökkriterier. När det gäller behandling av personuppgifter på papper omfattas däremot bara sådana uppgifter som ingår i eller kommer att ingå i ett register av EG-direktivet. Det innebär att det står fritt att låta den nya lagen omfatta även t.ex. behandling av personuppgifter på papper som inte har strukturerats i ett register. Det vore emellertid enligt vår mening att gå för långt. Det är först när en stor mängd person- uppgifter på papper har strukturerats på något sätt som det går att hitta bland uppgifterna på ett enkelt sätt. Det är då sådana egentliga inte- gritetsrisker med behandlingen uppkommer som kan mötas med de hanteringsregler som den nya lagen innehåller. Den nya lagen bör således ha samma tillämpningsområde som EG- direktivet och omfatta automatiserad behandling av personuppgifter och behandling av personregister. Enligt vår mening är det inte nödvändigt att med anledning av detta justera grundlagsbestämmelsen i 2 kap. 3 § andra stycket regeringsformen om att varje medborgare skall i den utsträckning som närmare anges i lag skyddas mot att hans eller hennes personliga integritet kränks genom att uppgifter om honom eller henne registreras med hjälp av automatisk databehandling. Regerings- formen slår fast ett minimiskydd, och det gör inget att den nya lagen i sitt skydd går längre än vad grundlagen kräver. 6.2 En generellt tillämplig lag men särregler i andra författningar gäller framför den nya lagen Regeringens förslag: Den nya lagen skall, liksom den nuvarande datalagen, vara generellt tillämplig och omfatta även sådant som faller utanför EG-rätten. Särregler i andra författningar skall dock gälla framför den nya lagen. förslag överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanser har godtagit förslaget eller lämnat det utan erinran. Många remissinstanser pekar dock på behovet av att de särskilda registerförfattningarna anpassas till den nya lagen och att nödvändiga undantag och särregler införs i dessa för- fattningar. Flera betonar också vikten av ett samordnat och överskådligt system, t.ex. genom hänvisningar i den generella lagen till register- författningarna. Riksåklagaren föreslår att statens verksamhet på det straffrättsliga området undantas från lagen. Skälen för regeringens förslag: Den nuvarande datalagen är i princip generellt tillämplig på all automatisk databehandling av personregister, men i den utsträckning ett personregister är reglerat i en annan författning är det undantaget Datainspektionens tillståndsprövning och föreskriftsrätt. EG-direktivet gäller däremot inte för sådan behandling av person- uppgifter som utgör ett led i en verksamhet som inte omfattas av EG- rätten, t.ex. statens verksamhet på straffrättens område eller som rör all- män säkerhet eller försvar. Det innebär att det står fritt att begränsa den nya lagens tillämpningsområde till sådana verksamheter som omfattas av EG-rätten. Detta skulle emellertid strida mot vad som tillämpats i , nämligen ett system som utgår från en generell lag kompletterad med särregler i s.k. registerförfattningar för viktigare eller känsligare register. Registerförfattningarna innehåller många preciserade och viktiga regler som inte rimligen kan ersättas av de generella bestämmelser som den nya lagen innehåller. står det klart att det är nödvändigt med särregler i förhållande till den nya lagen på flera viktiga områden, t.ex. beträffande polisens verksamhet. Frågan är därför om det redan i den nya lagen skall göras undantag för vissa verksamheter eller om nödvändiga särregler för dessa verksamheter liksom skall ges i särskilda författningar som får gälla framför den nya lagen. Frågan om generella undantag med hänsyn till offentlighetsprincipen och tryck- och yttrandefriheten samt för rent privat användning av personuppgifter och för ord- och textbehandling tas upp i avsnitt 8. Vi anser att det traditionella svenska systemet med särregler i särskilda författningar är att föredra framför generella undantag från den nya lagen. Det är i stort sett bara verksamhet inom den offentliga sektorn som med hänsyn till EG-direktivet skulle kunna undantas från den nya lagen. Inom den sektorn förekommer det t.ex. ofta stora mängder känsliga uppgifter och uppgifter som har hämtats in med stöd av straffsanktionerad uppgiftsplikt. Därför är det särskilt viktigt med ett starkt integritetsskydd när det gäller uppgifter inom all offentlig verksamhet. Om viss offentlig verksamhet skulle generellt undantas från lagen, finns det risk för att viss behandling inom den sektorn inte kommer att omfattas av någon lagstiftning med motsvarande syfte som den nya lagen. Genom att det krävs en särskild författning för att avvika från det integritetsskydd som den nya lagen ger, garanteras däremot att behovet av särregler alltid övervägs noga i den ordning som gäller för författningsgivning. Målet har också varit att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll skall regleras särskilt i lag (prop. 1990/91:60 s. 50 och KU 1990/91:11 s. 11). Det finns inte anledning att nu avvika från det målet. Den nya lagen bör således vara generellt tillämplig och omfatta även sådan verksamhet som faller utanför EG-rätten som avvikande bestämmelser i lag eller förordning skall gälla framför den nya lagen. Detta innebär också att den nya lagen i princip bara bör innehålla generella regler och att behovet av undantag och särregler för mer speciella områden får tillgodoses genom andra författningar. och flera remissinstanser har påpekat krävs det en anpassning av befintliga registerförfattningar och en översyn av vilka särregler som bör gälla i förhållande till den nya lagen. Vi avser att påbörja ett sådant anpassnings- och översynsarbete. 7 Lagens namn m.m. Regeringens förslag: Den nya lagen skall heta personuppgiftslagen. Den som är ansvarig för en behandling av personuppgifter kallas i lagen personuppgiftsansvarig, och den som hjälper den ansvarige och behandlar personuppgifter för den ansvariges räkning kallas person- uppgiftsbiträde. Den person med uppgift att självständigt se till att personuppgifter behandlas på ett korrekt och lagligt sätt som den personuppgiftsansvarige tillsatt kallas i lagen personuppgiftsombud. förslag innebär att lagen skall heta person- datalagen och att i lagen används beteckningarna persondataansvarig, persondatabiträde och persondataombud. Remissinstanserna: Flera remissinstanser har främst mot bakgrund av att uttrycket data för tankarna till datorer, medan den nya lagen omfattar även viss hantering haft synpunkter på lagens namn och andra terminologiska frågor, och många förslag har förts fram, bl.a. lagen om behandling av personuppgifter och personuppgiftslagen. Skälen för regeringens förslag: Den nya lagen reglerar något som berör i princip samtliga människor i . Många har att tillämpa lagen . En sådan lag bör ha ett kort namn. Därför är det inte lämpligt att, såsom vissa föreslagit, kalla den nya lagen för lagen om behandling av personuppgifter eller liknande. Såsom korta alternativ till persondatalag har föreslagits person- uppgiftslag, integritetsskyddslag och persondataskyddslag. Alternativet integritetsskyddslag bör inte väljas, eftersom lagen inte skyddar den per- sonliga integriteten i andra avseenden än när det är fråga om behandling av personuppgifter. Namnet persondataskyddslag är längre än person- datalag som det inte kan anses mera upplysande. Det namnet bör därför inte väljas. Enligt vår mening låter namnet personuppgiftslag bättre än persondatalag. Det leder inte heller tanken på något missvisande sätt till enbart datorlagrade personuppgifter. Den nya lagen omfattar ju inte bara automatiserad behandling i datorer av personuppgifter utan även viss behandling av sådana uppgifter, t.ex. på papper (se avsnitt 6.1). Vi anser därför att namnet personuppgiftslag bör väljas. I enlighet med det ställningstagandet bör den som är ansvarig för en behandling av personuppgifter kallas personuppgiftsansvarig och den som hjälper den ansvarige och behandlar personuppgifter för dennes räkning kallas personuppgiftsbiträde; beteckningen behandlingsassistent, som annars varit naturlig för denna befattning, får anses upptagen och därför olämplig. Den person med uppgift att självständigt se till att per- sonuppgifter behandlas på ett korrekt och lagligt sätt som den personuppgiftsansvarige tillsatt bör vidare kallas personuppgiftsombud. Enligt vår mening finns det inte någon beaktansvärd risk för att ombudet och biträdet förväxlas. Att, såsom Datainspektionen föreslagit, kalla om- budet för personuppgiftskontrollant är inte lämpligt, eftersom ombudet främst skall kontrollera inte själva uppgifterna utan den person- uppgiftsansvariges behandling av dem. Den som en personuppgift avser bör, liksom , kallas den registrerade. Att, såsom Datainspektionen föreslagit, i stället använda uttrycket den som en personuppgift avser förefaller otympligt. 8 Undantag från den nya lagen 8.1 Förhållandet till offentlighetsprincipen Regeringens bedömning: EG-direktivet går att förena med offentlighetsprincipen. Regeringens förslag: I den nya lagen införs en uttrycklig bestämmelse som klargör att lagen inte tillämpas, om det skulle inskränka myndig- heternas skyldigheter att lämna ut personuppgifter enligt 2 kap. TF. Det införs också en bestämmelse om att lagen inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. bedömning och förslag överensstämmer med regeringens. Remissinstanserna: Flera remissinstanser ger uttryck för tveksamhet i frågan om direktivet går att förena med offentlighetsprincipen. Några instanser, t.ex. Justitiekanslern, och fakultets- nämnden vid , anger däremot uttryckligen att de delar kommitténs uppfattning att direktivet går att förena med offentlig- hetsprincipen eller att de inte har några invändningar mot den bedöm- ningen. Skälen för regeringens bedömning och förslag: har efter inträdet i Europeiska unionen tagit aktiv del i förhandlingarna om EG- direktivet och agerat hårt för att få till stånd sådana lösningar att direktivet inte står i motsättning till den svenska offentlighetsprincipen. De svenska ansträngningarna på detta område har varit framgångsrika. På flera punkter avviker det antagna direktivet från tidigare förslag. Det finns enligt regeringens uppfattning i det antagna direktivet inte någon bestämmelse som inte går att förena med den svenska offentlig- hetsprincipen. Offentlighetsprincipen enligt 2 kap. TF innebär att myndigheterna är skyldiga att i den utsträckning sekretess inte hindrar det lämna ut allmänna handlingar till den som begär det. Av betydelse för den grundlagsfästa offentlighetsprincipen är också myndigheternas skyldig- heter enligt lag och andra författningar att bevara uppgifter och inte korrigera dem på ett sådant sätt att ursprungsuppgifterna utplånas. Utlämnande av personuppgifter Att personuppgifter lämnas ut med stöd av den grundlagsfästa offentlig- hetsprincipen är i och för sig att anse som en sådan behandling av personuppgifter som omfattas av EG-direktivet. Av artikel 6.1 b i direktivet framgår att personuppgifter skall samlas in för särskilda, uttryckligt angivna ändamål och att senare behandling av uppgifterna inte får ske på ett sätt som är oförenligt med de ändamål för vilka uppgifterna ursprungligen samlades in; också enligt dataskyddskonvention (artikel 5 b) skall personuppgifter för automatisk databehandling lagras för särskilda ändamål och inte användas på ett sätt som är oförenligt med dessa ändamål. Enligt vår uppfattning, vilken delas av samt flera remissinstanser, kan en myndig- hets utlämnande av personuppgifter med stöd av offentlighetsprincipen inte anses vara oförenligt med de ändamål för vilka uppgifterna ursprungligen samlades in. Offentlighetsprincipen framgår av grundlagen och får anses utgöra en integrerad del av all förvaltningsverksamhet som myndigheterna ägnar sig åt. Av artikel 7 framgår vidare att personuppgifter får behandlas, t.ex. lämnas ut, om det är nödvändigt för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige eller för att fullgöra en arbetsuppgift som är ett led i myndighetsutövning som utförs av den registeransvarige. De registeransvariga myndigheterna är rättsligt förpliktade att följa bl.a. grundlagsreglerna om utlämnande av allmänna handlingar, och utlämnandet är också ett led i deras myndighetsutövning. Utlämnandet är alltså tillåtet enligt artikel 7. Behandling utlämnande av känsliga personuppgifter skall i princip förbjudas enligt artikel 8. Det är emellertid tillåtet att av hänsyn till ett viktigt allmänt intresse göra undantag från förbudet, om det finns lämpliga skyddsåtgärder (artikel 8.4). Att utlämnande kan ske enligt den grundlagsfästa offentlighetsprincipen är ett viktigt svenskt allmänt intresse. De svenska sekretessbestämmelserna medför att sådana känsliga personuppgifter som avses i artikel 8 i praktiken inte kommer att lämnas ut om den enskilde kan skadas eller drabbas negativt av utlämnandet. Sekretessbestämmelserna får anses utgöra sådana lämpliga skydds- åtgärder som avses i EG-direktivet. Det finns alltså inget hinder mot att föreskriva ett undantag från det principiella förbudet mot behandling av personuppgifter i artikel 8 för sådant utlämnande som sker med stöd av offentlighetsprincipen.