prop · GL0344 · 1998-01-01 00:00:00 — Det förefaller i och för sig ändamålsenligt med en sådan frivillig möjlighet för de person- uppgiftsansvariga att gå över till att tillämpa den nya lagen för att bl.a. undvika att behöva tillämpa två lagstiftningar parallellt. En sådan ordning är emellertid förknippad med svårigheter av såväl praktisk som principiell art. Såväl den nya lagen som den nuvarande datalagen innehåller bestäm- melser om straff och skadestånd, se avsnitt 14. Dessa bestämmelser är olika i de två lagarna. Det är när det gäller sådana bestämmelser ett oavvisligt rättssäkerhetskrav att det vid var tid skall gå att objektivt fastställa vilka sanktionsbestämmelser som är tillämpliga. För att den föreslagna ordningen med frivillig övergång till den nya lagen skall kunna genomföras, krävs således att övergången och tidpunkten för denna på något sätt offentliggörs och dokumenteras. En ambition med den nya ordningen är emellertid att så långt möjligt begränsa byråkratin med anmälningar och ansökningar till tillsynsmyndigheten. Därför är det olämpligt att införa en ordning som innebär att övergångar skall anmälas till eller beslutas av tillsynsmyndigheten. Någon annan godtagbar ordning för offentliggörande och dokumentation av övergångar har inte vi eller remissinstanserna lyckats komma på. Förslaget från Datainspektionen m.fl. kan därför tyvärr inte genomföras. Vi föreslår i övrigt vissa övergångsbestämmelser av detaljkaraktär som i huvudsak syftar till att en åtgärd som har vidtagits före ikraftträdandet inte i onödan skall behöva göras om därefter. Ändringen i regeringsformen och ändringar i den nya lagen Vi föreslår att den nya lagen skall innehålla vissa bemyndiganden för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter, se avsnitt 10. Sådana bemyndiganden kan, såsom närmare utvecklats i avsnitt 10, ges med stöd av 8 kap. 7 § första stycket 8 regeringsformen bara såvitt avser skydd för personlig integritet vid registrering av uppgifter med hjälp av automatisk databehandling , dvs. såvitt avser automatiserad behandling av personuppgifter. Bemyndigan- dena i den nya lagen har utformats i enlighet härmed, trots att lagen omfattar också viss behandling av personuppgifter (se avsnitt 6.1). Lagrådet har i enlighet med den uppfattning Lagrådet redovisat vad gäller möjligheten att delegera föreskriftsrätt föreslagit att bemyndigandet i 8 kap. 7 § 8 upphävs. Till följd av vår uppfattning i denna fråga som redovisats ovan bör bemyndigandet stå kvar. Såsom också framgår av avsnitt 10 föreslår vi vidare att den nämnda bestämmelsen i regeringsformen skall justeras så att det blir möjligt att lämna bemyndiganden även såvitt avser behandling av person- uppgifter. Ändringen i regeringsformen kan av praktiska och konsti- tutionella skäl i praktiken inte träda i kraft förrän , dvs. efter det att den nya lagen trätt i kraft. Vi föreslår att ändringen träder i kraft den dagen och att sedan grundlags- ändringen beslutats fattar beslut om att per ändra bemyndigandena i den nya lagen till att avse även sådan behandling av personuppgifter som omfattas av lagen. På det sättet visas största möjliga respekt mot såväl den svenska grundlagen som kraven enligt EG-direktivet. 16 Övriga frågor 16.1 Regler i den nuvarande datalagen som flyttas till andra lagar Regeringens förslag: Regeln om viss dokumentationsskyldighet för myndigheter (14 §) flyttas till 15 kap. sekretesslagen och regeln om straff för dataintrång (21 §) till . förslag överensstämmer med regeringens. Remissinstanserna har i huvudsak lämnat förslaget utan erinran, dock att anser att 14 § i den nuvarande datalagen bör upphävas eller i vart fall flyttas till förvaltningslagen. Skälen för regeringens förslag: I 14 § i den nuvarande datalagen finns det en bestämmelse om viss dokumentationsskyldighet för myndig- heter. Om en myndighet för handläggningen av mål eller ärende använder sig av upptagning för automatisk databehandling, skall upptag- ningen tillföras handlingarna i målet eller ärendet i läsbar form, om inte särskilda skäl föranleder annat. I 21 § i den nuvarande datalagen finns det en bestämmelse om straff för dataintrång. Den som olovligen bereder sig tillgång till upptagning för automatisk databehandling eller olovligen ändrar eller utplånar eller i register för in sådan upptagning kan dömas för dataintrång till böter eller fängelse i högst . Detta gäller dock inte om gärningen kan bestraffas enligt eller lagen (1990:409) om företagshemligheter. Även försök och förberedelse till dataintrång kan bestraffas. Med upptagning avses i detta sammanhang även uppgifter som är under befordran via elektroniskt eller annat liknande hjälpmedel för att användas för automatisk databehandling. I 26 28 §§ i den nuvarande datalagen ges de grundläggande reglerna för det statliga person- och adressregistret (SPAR). Frågor som berör SPAR har också varit föremål för överväganden av den s.k. Grunddata- basutredningen som redovisade sitt betänkande Grunddata i samhällets tjänst, SOU 1997:146. Frågorna kring SPAR bör behandlas i ett sammanhang. Regeringen lägger därför nu inte fram något förslag till ny reglering av SPAR. Frågorna kring SPAR kommer att behandlas efter det att förslag remissbe- handlats. De nu aktuella bestämmelserna i 14 och 21 §§ i den nuvarande datalagen hör inte hemma i den nya generella lagen. De bestämmelserna bör därför flyttas till annan lagstiftning. Ändringarna bör träda i kraft som den nya lagen. Frågan om bestämmelsen i 14 § om viss dokumentationsskyldighet för myndigheter bör upphävas eller flyttas och vart den i så fall skall flyttas har varit föremål för delade meningar, se betänkandena En ny datalag (SOU 1993:10) s. 468, Elektronisk dokumenthantering (SOU 1996:40) s. 264 och SOU 1997:39 s. 460. Vi anser för egen del att den bestämmelsen utgör en så värdefull upplysning om den grundläggande skyldigheten för myndigheter att i mål och ärenden dokumentera de databaserade uppgifter som används som beslutsunderlag att den inte bör upphävas. Enligt vår mening kan bestämmelsen i likhet med vad såväl som föreslagit med fördel tas in i 15 kap. sekretesslagen, som redan innehåller vissa bestämmelser som rör myndigheters skyldighet att registrera handlingar. har inte lämnat något utarbetat förslag till nya bestämmelser i om straff för dataintrång. Inom Justitie- departementet har ett sådant förslag gjorts upp som endast innebär att de nuvarande bestämmelserna i sak oförändrade förs över till . Eftersom Datalagskommitténs principförslag har remissbehandlats utan att möta invändningar och då det lagtekniska genomförandet av förslaget är av enkel beskaffenhet, har vi ansett oss kunna utan remissbehandling av de konkreta lagförslagen lämna förslag till en lag om ändring i . Ett konkret förslag till överföring av bestämmelsen om straff för dataintrång till har för övrigt lämnats i Datastraff- rättsutredningens betänkande Information och den nya informations- teknologin straff och processrättsliga frågor m.m. (SOU 1992:110), som har remissbehandlats. Förslagen i det betänkandet, som syftar till en mer genomgripande reform, bereds inom . har också i fråga om överföringen av bestämmelserna om straff för dataintrång i remissbehandlade betänkanden lämnat samma principförslag som . I författningskommentaren berörs vissa konkurrensfrågor med anled- ning av att bestämmelsen om straff för dataintrång flyttas till . 16.2 Följdändringar Regeringens förslag: Med anledning av att den nuvarande datalagen ersätts av den nya lagen görs det vissa följdändringar i sekretesslagen. förslag överensstämmer delvis med regeringens. Remissinstanserna: Förslagen till följdändringar har i huvudsak lämnats utan erinran av remissinstanserna. Skälen för regeringens förslag: Eftersom den nuvarande datalagen ersätts av den nya lagen, måste det göras följdändringar i annan lagstift- ning som hänvisar till datalagen. Följdändringarna, som i huvudsak är formella, berörs i författningskommentaren. Följdändringarna bör träda i kraft som den nya lagen. 17 Ekonomiska konsekvenser av förslaget Regeringens förslag i detta ärende innebär ett genomförande av EG:s dataskyddsdirektiv. I kostnadshänseende kan förslaget delas upp i två delar. För det första stadgar nämnda direktiv att en registrerad har rätt till viss information samt att beslut, vilka är avsedda att bedöma egenskaper hos den berörda personen, får grundas endast på automatiserad behand- ling av personuppgifter, bara om den som berörs av beslutet har möjlighet att på begäran få beslutet omprövat av någon person. För det andra påverkas Datainspektionens finansiering. Datainspektionen kommer enligt förslaget inte längre att uppbära de licensavgifter som står för av inspektionens intäkter. När det först gäller de personuppgiftsansvarigas kostnader för infor- mation m.m. är det flera faktorer som påverkar dessa. En faktor är om det rör behandling av uppgifter enligt den gamla datalagen eller om behand- lingen regleras av den nya personuppgiftslagen. Den nya person- uppgiftslagen föreslås - mot bakgrund av kravet i EG-direktivet - träda i kraft . För all den behandling som pågår hos myndigheter, kommuner, landsting, företag etc, behöver den nya lagen inte tillämpas förrän efter utgången av september månad . Det innebär att den eventuella ökning av informationskostnaderna m.m. som den nya personuppgiftslagen i förhållande till den nuvarande datalagen kan medföra, kommer att för sådana register som finns slå igenom först efter . Regeringen kommer att i arbetet med att komplettera den nya person- uppgiftslagen med aviserade förordningar, försöka utarbeta så enkla och klara regler som möjligt att eventuella kostnader hålls på en så låg nivå som möjligt. Ett exempel skulle kunna vara att vid utskick från myn- digheter som görs i annat syfte, t.ex. skattemyndighetens utskick av deklarationsuppgifter komplettera den blanketten med en informationsruta som uppfyller den nya lagens krav. När det gäller register som inrättas efter kommer dessa register att från den tidpunkten omfattas av de nya informa- tionsreglerna m.m. Vilka register det kan bli frågan om är omöjligt för regeringen att nu förutse. Härtill kommer att det är regeringens bestämda uppfattning när det gäller nya behandlingar, att den rationaliseringseffekt som motiverar användandet av automatiserad behandling i sig leder till en mer kostnadseffektiv hantering. Vad gäller finansieringen av Datainspektionens verksamhet är re- geringens uppfattning att kostader för statlig tillsyn i princip bör belasta de som orsakar att tillsynsverksamheten behövs. Regeringen har därför gett Datainspektionen i uppdrag att föreslå ett avgiftsfinansieringssystem. Regeringen avser att ta ställning till finansieringsfrågan ekono- miska vårproposition. Övriga frågor som rör Datainspektionens framtida verksamhet med anledning av Personuppgiftslagen kommer att behandlas i Budgetpropositionen . Enligt regeringens mening finns det inte nu grund för att anta att de föreslagna ändringarna kommer att leda till ökade utgifter av sådan omfattning att de inte kan finansieras inom ramen för befintliga medel. Regeringen har för avsikt att följa tillämpningen och effekterna av lag- stiftningen för att få underlag för att bedöma eventuella kostnads- konsekvenser för kommuner och landsting som faller under finan- sieringsprincipen. 18 Författningskommentar 18.1 Förslaget till personuppgiftslag Frågan om lagens namn har behandlats i avsnitt 7 i den allmänna motiveringen. Allmänna bestämmelser Syftet med lagen 1 § Syftet med denna lag är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Paragrafen innehåller en upplysning om syftet med lagen och överens- stämmer i huvudsak med förslag. har föreslagit att syftet enligt EG-direktivet att åstadkomma ett fritt flöde av personuppgifter mellan medlemsstaterna i Europeiska unionen också bör komma till uttryck i lagtexten. Detta syfte uppfylls emellertid just genom att medlemsstaterna genomför en åtminstone delvis harmoniserad lagstiftning till skydd mot kränkning av personlig integritet genom behandling av personuppgifter. Bestämmelsen har därför inte kompletterats i enlighet med vad föreslagit. Avvikande bestämmelser i annan författning 2 § Om det i en annan lag eller i en förordning finns bestämmelser som avviker från denna lag, skall de bestämmelserna gälla. Av paragrafen framgår att personuppgiftslagen är subsidiär i förhållande till andra författningar. Paragrafen har behandlats i avsnitt 6.2. Paragrafen överensstämmer i huvudsak med förslag och har berörts i avsnitt 8.2.2 i kommitténs betänkande. Finns det bestämmelser i en annan lag eller i en förordning som avviker från personuppgiftslagen, skall de bestämmelserna tillämpas i stället. Beslut som eller regeringen fattat i annan form än lag eller förordning och föreskrifter som myndigheter har utfärdat tar däremot inte över bestämmelserna i personuppgiftslagen. I den utsträckning en lag eller förordning med avvikande bestämmelser inte innehåller bestämmelser om sådant som regleras i personuppgiftslagen, skall personuppgiftslagens bestämmelser tillämpas. Frågan om en viss bestämmelse innefattar en avvikelse från vad som skall gälla enligt personuppgiftslagen får avgöras med tillämpning av sedvanliga metoder för tolkning av författningar. Sådana avvikande bestämmelser som avses i paragrafen finns ofta i s.k. registerförfattningar som reglerar inrättandet och förandet av viktigare register på det offentliga området. Även bestämmelser som föreskriver att myndigheter eller enskilda får eller skall lämna ut uppgifter avses i paragrafen. Sådana bestämmelser om s.k. uppgiftsskyldighet går således före bestämmelserna i person- uppgiftslagen. I 8 § första stycket finns det en uttrycklig erinran om att bestämmelserna i 2 kap. tryckfrihetsförordningen tar över bestämmelser i personuppgiftslagen, och i 7 § första stycket finns det en motsvarande erinran beträffande bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen och yttrandefrihetsgrundlagen. Definitioner 3 § I denna lag används följande beteckningar med nedan angiven bety- delse. Beteckning Betydelse Behandling (av person- uppgifter) Varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, an- vändning, utlämnande genom översändande, spridning eller annat tillhandahållande av upp- gifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Blockering (av person- uppgifter) En åtgärd som vidtas för att personuppgifterna skall vara förknippade med information om att de är spärrade och om anledningen till spärren och för att personuppgifterna inte skall lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen. Mottagare Den till vilken personuppgifter lämnas ut. När personuppgifter lämnas ut för att en myn- dighet skall kunna utföra sådan tillsyn, kontroll eller revision som den är skyldig att sköta, anses dock inte myndigheten som mottagare. Personuppgifter All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Personuppgiftsansvarig Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Personuppgiftsbiträde Den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Personuppgiftsombud Den fysiska person som, efter förordnande av den personuppgiftsansvarige, självständigt skall se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Den registrerade Den som en personuppgift avser. Samtycke Varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Den myndighet som regeringen utser för att utöva tillsyn. Tredje land En stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska samarbetsområdet. Tredje man Någon annan än den registrerade, den person- uppgiftsansvarige, personuppgiftsombudet, personuppgiftsbiträdet och sådana personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har befogenhet att behandla personuppgifter. Paragrafen innehåller definitioner av viktigare uttryck och begrepp som används i lagen. Den har jämkats något i förhållande till Datalags- kommitténs förslag. Definitionerna har berörts i avsnitt 12.2 i kommitténs betänkande. Definitionerna av behandling (av personuppgifter), mottagare, personuppgifter, personuppgiftsansvarig, personuppgiftsbiträde, den registrerade och tredje man är avsedda att ha samma innebörd som mot- svarande uttryck har enligt artikel 2 i EG-direktivet, se bilaga 1. Defi- nitionen av den registrerade innebär att behandling av uppgifter om avlidna eller ännu inte födda personer inte omfattas av lagen. Definitionen av samtycke skall ha samma innebörd som definitionen i artikel 2 i direktivet, med tillägget att det direkt i definitionen tas in ett krav på att samtycket skall vara otvetydigt, vilket framgår av andra artiklar i direktivet. I de fall där samtycket dessutom enligt direktivet skall vara uttryckligt anges detta direkt i lagtexten. Begreppen otvetydig och uttrycklig har en EG-gemensam innebörd. Vissa av beteckningarna har behandlats i avsnitt 7. I 38 40 §§ finns det närmare bestämmelser om de uppgifter som ett personuppgiftsombud skall ha. Av definitionen av blockering (av personuppgifter) framgår att blockerade personuppgifter får användas internt hos den personupp- giftsansvarige och hos ett anlitat personuppgiftsbiträde under förut- sättning att det där uppgifterna förekommer framgår att de är spärrade och anledningen till spärren. Däremot får uppgifterna inte lämnas ut till tredje man, varvid ett uttrycklig undantag gjorts för sådant utlämnande som sker med stöd av 2 kap. tryckfrihetsförordningen. Det undantaget har berörts i avsnitt 8.1. Av det förhållandet att den registrerade själv inte omfattas av definitionen av tredje man följer att även blockerade uppgifter jämte information om blockeringen skall tas med i sådan information som efter ansökan skall lämnas till den registrerade enligt 26 §. Det är upp till den personuppgiftsansvarige att bestämma hur det tekniskt skall ses till att de blockerade uppgifterna är förknippade med information om blockeringen. Beträffande definitionen av tredje land kan noteras att ännu inte fattat beslut om att direktivet skall omfattas av EES- avtalet. Vi förutsätter dock att ett sådant beslut fattas. I praktiken innebär det ingen större skillnad att inbegripa EES-länderna då definitionen främst har betydelse när det gäller överföring av personuppgifter till andra länder och då och har anslutit sig till dataskyddskonvention. Enligt vårt förslag skall nämligen personuppgifter alltid få överföras till sådana länder trots det allmänna förbudet i 33 §. Tillämpningsområde Det territoriella tillämpningsområdet 4 § Denna lag gäller för sådana personuppgiftsansvariga som är etable- rade i . Lagen tillämpas också när den personuppgiftsansvarige är etablerad i tredje land men för behandlingen av personuppgifter använder sig av utrustning som finns i . Vad som sagts gäller dock inte om utrustningen bara används för att överföra uppgifter mellan ett tredje land och ett annat sådant land. I det fall som avses i andra stycket första meningen skall den person- uppgiftsansvarige utse en företrädare för sig som är etablerad i . Vad som anges i denna lag om den personuppgiftsansvarige skall också gälla för företrädaren. Paragrafen har behandlats i avsnitt 9. Den överensstämmer med förslag, dock att en av kommittén föreslagen bestämmelse om skyldighet att till tillsynsmyndigheten lämna in en anmälan om en utsedd företrädare inte tagits med. Paragrafen har berörts i avsnitt 12.3 i kommitténs betänkande. Avsikten är att paragrafen skall ha samma innebörd som artikel 4 i EG-direktivet, se bilaga 1. Behandling av personuppgifter som omfattas av lagen 5 § Denna lag gäller för sådan behandling av personuppgifter som helt eller delvis är automatiserad. Lagen gäller även för annan behandling av personuppgifter, om upp- gifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Frågan om en teknikoberoende lag har behandlats i avsnitt 6.1. Paragrafen överensstämmer i sak med förslag och har berörts i avsnitt 7.2.1, 12.2.8 och 12.2.12 i kommitténs betänkande. Begreppet automatiserad som har valts på förslag av Lagrådet kommenteras i avsnitt 6.1. Paragrafen är avsedd att ha samma innebörd som artikel 3.1 och definitionen av register i artikel 2 c i EG-direktivet, se bilaga 1. Undantag för privat behandling av personuppgifter 6 § Denna lag gäller inte för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur. Paragrafen har behandlats i avsnitt 8.3. Den överensstämmer med Data- lagskommitténs förslag och har berörts i avsnitt 7.2.4 i kommitténs betänkande. Avsikten är att paragrafen skall ha samma innebörd som artikel 3.2 andra strecksatsen i EG-direktivet, se bilaga 1. Paragrafen för med sig t.ex. att enskilda för rent privat bruk kan föra en elektronisk dagbok eller registrera sina grannar eller släktingar. Förhållandet till tryck- och yttrandefriheten 7 § Bestämmelserna i denna lag tillämpas inte i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryck- frihetsförordningen eller yttrandefrihetsgrundlagen. Bestämmelserna i 9 29 och 33 44 §§ samt 45 § första stycket och 47 49 §§ skall inte tillämpas på sådan behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. Frågan om undantag med hänsyn till tryck- och yttrandefriheten har be- handlats i avsnitt 8.2. Paragrafen överensstämmer delvis med Datalags- kommitténs förslag. Paragrafen har berörts i avsnitt 10 i kommitténs betänkande. Första stycket innehåller, i syfte att förtydliga, en upplysning om att bestämmelserna i lagen inte får tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihets- förordningen (TF) eller yttrandefrihetsgrundlagen (YGL). Tillämpningen av av bestämmelserna i och YGL skall ske i enlighet med de principer som gäller . Genom andra stycket undantas vissa behandlingar helt från de flesta bestämmelserna i lagen. Bestämmelserna om säkerhetsåtgärder skall dock tillämpas också på dessa behandlingar. Andra stycket skall ha samma innebörd som artikel 9 i EG-direktivet, se bilaga 1. Här kan nämnas att i samband med att direktivet an- togs i ministerrådets protokoll fått intaget att anser att begreppet konstnärliga och litterära uttryck mera syftar på uttrycksmedlen än kom- munikationens innehåll eller dess kvalitet. En invändning om att en behandling av personuppgifter avser sådant som är undantaget enligt denna paragraf får godtas, om det inte av omständigheterna framgår att invändningen är så osannolik att den kan lämnas utan avseende. Förhållandet till offentlighetsprincipen 8 § Bestämmelserna i denna lag tillämpas inte i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsför- ordningen att lämna ut personuppgifter. Bestämmelserna hindrar inte heller att en myndighet arkiverar och be- varar allmänna handlingar eller att arkivmaterial tas om hand av en arkiv- myndighet. Bestämmelsen i 9 § fjärde stycket gäller inte för en myndig- hets användning av personuppgifter i allmänna handlingar. Frågan om hur EG-direktivet förhåller sig till offentlighetsprincipen har behandlats i avsnitt 8.1. Paragrafen överensstämmer i huvudsak med förslag och har berörts i avsnitt 9.2, 9.4 och 12.4.6.3 i kommitténs betänkande.