prop · GL0344 · 1998-01-01 00:00:00 — Regeringen får också i fråga om automatiserad behandling av personuppgifter meddela före- skrifter om att överföring av personuppgifter till tredje land är tillåten, om överföringen regleras av ett avtal som ger tillräckliga garantier till skydd för de registrerades rättigheter. Regeringen får meddela före- skrifter om undantag från förbudet i 33 § för överföring av person- uppgifter till vissa stater. Regeringen får också meddela före- skrifter om att överföring av personuppgifter till tredje land är tillåten, om överföringen regleras av ett avtal som ger tillräckliga garantier till skydd för de registrerades rättigheter. Regeringen eller den myndighet som regeringen bestämmer får vidare i fråga om automatiserad behandling av personuppgifter, meddela föreskrifter om undantag från förbudet i 33 §, om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns till- räckliga garantier till skydd för de registrerades rättigheter. Regeringen eller den myndighet som regeringen bestämmer får vidare meddela föreskrifter om undantag från förbudet i 33 §, om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Regeringen får under de förutsättningar som nämns i andra stycket i enskilda fall besluta om undantag från förbudet i 33 §. Regeringen får överlåta åt tillsynsmyndigheten att fatta sådana beslut. 41 § Regeringen får meddela före- skrifter om att sådana automa- tiserade behandlingar av person- uppgifter som innebär särskilda risker för otillbörligt intrång i den personliga integriteten skall för förhandskontroll anmälas till till- synsmyndigheten enligt 36 § i förväg. Om regeringen har meddelat sådana föreskrifter, gäller inte undantaget från anmälnings- skyldigheten enligt 37 §. Regeringen får meddela före- skrifter om att sådana behandlingar av personuppgifter som innebär särskilda risker för otillbörligt intrång i den personliga integriteten skall för förhandskontroll anmälas till tillsynsmyndigheten enligt 36 § i förväg. Om regeringen har meddelat sådana föreskrifter, gäller inte undantaget från an- mälningsskyldigheten enligt 37 §. 50 § Regeringen eller den myndighet som regeringen bestämmer får i fråga om automatiserad behandling av personuppgifter meddela närmare föreskrifter om Regeringen eller den myndighet som regeringen bestämmer får meddela närmare föreskrifter om a) i vilka fall behandling av personuppgifter är tillåten, b) vilka krav som ställs på den personuppgiftsansvarige vid behandling av personuppgifter, c) i vilka fall användning av personnummer är tillåten, d) vad en anmälan eller ansökan till en personuppgiftsansvarig skall innehålla, e) vilken information som skall lämnas till registrerade och hur informationen skall lämnas, och f) anmälan till tillsynsmyndigheten och förfarandet när anmälda uppgifter har ändrats. Denna lag träder i kraft . 3 Ärendet och dess beredning Datalagen (1973:289) syftar till att skydda den enskilde mot otillbörligt intrång i den personliga integriteten till följd av att personuppgifter registreras med hjälp av automatisk databehandling. Bland annat den tekniska utvecklingen har gjort att den nuvarande lagen är föråldrad såväl innehållsmässigt som till sin lagtekniska utformning. Det behövs därför en ny, modern lagstiftning om personuppgifter som tillförsäkrar den enskilde ett fullgott integritetsskydd i IT-samhället och som inte hämmar samhällsut- vecklingen eller försvårar förverkligandet av andra viktiga mål. har att i enlighet med skyldigheterna som medlem i Europeiska unionen i svensk lagstiftning genomföra och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, se bilaga 1. Efter beslut av regeringen tillkallades en parlamentariskt sammansatt kommitté med uppgift att dels göra en total revision av datalagen och analysera på vilket sätt EG-direktivet om personuppgifter skall genomföras i svensk lagstiftning, dels lämna förslag till anpassning till den nya tekniken av grundlagsreglerna om allmänna handlingars offentlighet. Kommittén antog namnet . avgav kommittén betänkandet Integritet Offentlighet Informationsteknik (SOU 1997:39). Kommitténs samman- fattning av betänkandet såvitt avser frågan om en ny datalag finns i bilaga 2. Betänkandet innehåller förslag till en ny persondatalag, tillsammans med vissa konsekvensändringar i sekretesslagen (1980:100), och förslag till ändringar i 2 kap. tryckfrihetsförordningen (TF) samt viss anknytande lagstiftning. Kommitténs förslag till persondatalag m.m. finns i bilaga 3. Regeringen beslutade att uppdra åt Statskontoret att analysera de ekonomiska konsekvenserna av förslag i betänkandet och att, i de fall förslagen leder till utgiftsökningar, lämna förslag till finansiering. Uppdraget var främst föranlett av förslagen till ändringar i 2 kap. TF. avgav Statskontoret rapporten av betänkande SOU 1997:39 (Rapport 1997:11). En sammanfattning av rapporten finns i bilaga 4. betänkande och Statskontorets rapport har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 5. Sammanställningar av remissvaren finns tillgängliga i Justitiede- partementet (dnr Ju97/1280). Regeringen tar i detta ärende bara upp frågan om en ny datalag och vissa därmed sammanhängande frågor. Frågan om en anpassning av 2 kap. TF till den nya tekniken kräver enligt regeringens mening ytterligare överväganden. Regeringen kommer att ta ställning till hur frågan lämpligen skall beredas vidare. Ett stort antal författningar, t.ex. kreditupplysningslagen (1973:1173), måste anpassas till direktivet och till den nya lagen. Detta arbete bereds vidare inom . Lagrådet Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 6. Lagrådets synpunkter på förslaget behandlas i samband med att sakfrågorna diskuteras i motiveringen eller i anslutning till att enskilda bestämmelser kommenteras i författningskommentaren. Lagrådets yttrande finns i bilaga 7. Vissa redaktionella och språkliga ändringar har gjorts efter det att Lagrådet yttrat sig. Ett fåtal mindre justeringar i sak har också gjorts. 4 Bakgrund och utgångspunkter 4.1 Reformbehovet Utvecklingen inom informationstekniken har gått rasande fort , och inget talar för att den kommer att hejdas eller mattas . Tekniken blir bara kraftfullare, enklare att hantera och billigare. Det gör att den blir tillgänglig för allt fler. blir det allt enklare att ta del av och sprida datorlagrad information oavsett var informationen finns. Sätten att lagra och söka informationen blir allt mer flexibla. Den nya informationsteknikens möjligheter har gjort att även hanteringen av personanknuten information ökat, t.ex. sådan information som genereras och registreras automatiskt vid användningen av datorer. Medvetenheten har också ökat om att fler och fler uppgifter finns tillgängliga på allt fler ställen. börjar dock alltmer raffinerade metoder användas för att samla in och bearbeta personanknuten information. Den som använder Internet eller moderna kort för t.ex. inpassering, bussresor, betalning eller olika bonussystem kan lätt på ett omedvetet sätt lämna s.k. elektroniska spår som kan användas för att kartlägga olika egenskaper hos individen. Också utvecklingen av annan teknik och kunskap än informationsteknik kan leda till en ökad registrering av personanknuten information. Med DNA-teknik kan t.ex. tidigare förborgad information om personliga förhållanden göras till- gänglig. Den nya teknikens möjligheter kan således lätt användas på ett så inträngande, övervakande eller annars kränkande sätt som inte bör tolereras i ett demokratiskt samhälle som värnar om individen. Individen kan av samhället kräva ett skydd mot integritetskränkningar. måste individens skydd vägas mot andra grundläggande demo- kratiska rättigheter och värden, t.ex. informationsfriheten och yttrande- friheten. Man måste också beakta de helt legitima behov som finns av att använda personanknuten information i ett samhälle av sådan storlek och komplexitet som det vi lever i. I varje välfärdssamhälle med sociala ambitioner är det t.ex. nödvändigt att i viss utsträckning använda person- anknuten information för att identifiera behov och möjligheter hos invånarna och styra samhällsutvecklingen mot de uppställda demokratiska målen. Det är således många svåra avvägningar som måste göras vid utform- ningen av en lagstiftning till skydd för den personliga integriteten av- seende personuppgifter. Härtill kommer att lagstiftningen inte i onödan bör hindra användningen av ny teknik. Den nya tekniken för inte med sig bara risker utan också många obestridliga fördelar, som vi måste ta till vara om skall kunna behålla och förstärka sin framskjutna position bland industrinationerna. Sådant som inte kunde göras förr är nu möjligt tack vare tekniken. Den nya tekniken har redan inneburit en höjning av livskvaliteten och en ökad frihet för många människor. Det gryende informationssamhället kan innebära förbättrade möjligheter till ökad jämställdhet och ett förverkligande av angelägna regionalpolitiska mål. Det är uppenbart att den nu föråldrade datalagen inte uppfyller de krav som bör ställas på en lagstiftning till skydd för den personliga integriteten avseende personuppgifter i dagens och morgon- dagens samhälle. Ingen har heller i detta lagstiftningsärende ställt sig upp till försvar för den nuvarande datalagen. Det finns således starka skäl för att nu införa en ny lagstiftning på området. Den nya lagstiftningen måste emellertid utformas mot bakgrund av skyldigheter gentemot Europeiska unionen, särskilt EG-direktivet om personuppgifter. 4.2 Den nuvarande datalagen Grundläggande regler om inrättandet och förandet av personregister med hjälp av automatisk databehandling finns i datalagen (1973:289). Kompletterande bestämmelser om bl.a. licensanmälan, tillståndsansökan, handläggningen hos Datainspektionen, verkställighetsföreskrifter och bi- stånd till personer som är registrerade utomlands finns i dataförordningen (1982:480). Datalagen inleds med en definition av begreppen personuppgift, per- sonregister, registrerad och registeransvarig (1 §). Med personuppgift avses upplysningar som avser en enskild person. Det kan vara upplysningar om namn, personnummer, födelsedatum, nationalitet, utbildning, familj och anställningsförhållanden. Även andra typer av upplysningar av mindre personlig karaktär räknas som person- uppgifter. Enligt lagmotiven avses även uppgifter om en persons bostadsförhållanden, banktillgodohavanden, fastighets- eller bilinnehav och upplysningar i övrigt om en persons ekonomiska ställning. Med personregister förstås register, förteckningar eller andra anteck- ningar som förs med hjälp av automatisk databehandling (ADB) och som innehåller personuppgifter som kan hänföras till den som avses med uppgifterna. Bara register som förs med hjälp av ADB omfattas således av datalagen. Register som förs med hjälp av annan teknik än ADB faller utanför lagens tillämpningsområde. En personuppgift kan hänföras till en viss person antingen direkt ge- nom själva uppgiften eller med hjälp av en identitetsuppgift som också ingår i registret. Även register som innehåller identitetsuppgifter av sådan art att bara den invigde kan utläsa vilka personer som finns registrerade omfattas av datalagen. Likaså omfattas statistiska uppgifter där beteckningar som också återfinns på dokument gör det möjligt att knyta uppgifterna till en viss person. Med begreppet registrerad avses en enskild person om vilken det förekommer en personuppgift i ett personregister. Registeransvarig är den för vars verksamhet ett personregister förs, om han eller hon förfogar över registret. Såväl fysiska som juridiska personer och myndigheter kan vara registeransvariga. Bara den som har anmält sig till Datainspektionen och fått licens får inrätta och föra personregister (2 §). Datainspektionen granskar inte an- mälan i sak utan ger bara den registeransvarige ett bevis (licens) om att anmälan har gjorts samt ett särskilt licensnummer (10 § dataförord- ningen). En licens berättigar den registeransvarige att föra ett eller flera personregister. Licens behövs inte för personregister som en enskild per- son inrättar eller för uteslutande för personligt bruk (2 § 3 st.). Den som fått licens skall betala en årlig avgift till Datainspektionen. Inspektionen får, om det finns särskilda skäl, sätta ned eller efterskänka avgiften. Avgifterna finansierar inspektionens verksamhet. Med hjälp av ADB för Datainspektionen ett register över licensanmäl- ningar, licensregistret (3 § dataförordningen). får Datain- spektionen använda för sin tillsyns- och informationsverksamhet samt som underlag för uppbörd av licensavgifter. För vissa typer av register med känsliga uppgifter krävs utöver licens även ett särskilt tillstånd från Datainspektionen (2 § 2 st. datalagen). Sådant tillstånd behövs i regel för att inrätta och föra register som inne- håller a) i sig känsliga personuppgifter, b) omdömen om den registrerade, c) uppgifter om personer som saknar sådan anknytning till den registeransvarige som följer av medlemskap, anställning, kundförhållande eller något därmed jämförligt förhållande samt d) personuppgifter som hämtas in från något annat personregister (s.k. samkörning), om inte registreringen av uppgifterna eller utlämnandet av dessa sker med stöd av författning, Datainspektionens beslut eller den registrerades medgivande. Tillstånd behövs inte för personregister som någon inrättar eller för uteslutande för personligt bruk (2 § 3 st.). Tillstånd behövs inte heller för register vars inrättande beslutats av eller regeringen (s.k. statsmaktsregister) eller för register som har tagits emot för förvaring av en arkivmyndighet (2 a § 1 st. 1 och 3). För sådana personregister som ofta förekommer inom en viss verksamhet för ett visst ändamål kan det meddelas särskilda föreskrifter (19 §). Följer den registeransvarige så- dana föreskrifter, behövs inte något tillstånd (2 a § 1 st. 2). Sammanslutningar får utan tillstånd inrätta och föra personregister som innehåller sådana uppgifter om medlemmarnas politiska uppfattning, religiösa tro eller övertygelse i övrigt som utgör grunden för medlemskapet i sammanslutningen (2 a § 2 st. 1). Myndigheter inom hälso- och sjukvården får utan tillstånd för vård- eller behandlingsändamål inrätta och föra personregister som innehåller uppgifter om någons sjukdom eller hälsotillstånd i övrigt (2 a § 2 st. 2). Likaså får myndigheter inom utan tillstånd inrätta och föra personregister som innehåller uppgifter om att någon fått ekonomisk hjälp eller vård inom (2 a § 2 st. 3). Läkare och tandläkare får utan tillstånd inrätta och föra personregister som innehåller sådana uppgifter om någons sjukdom eller hälsotillstånd i övrigt som de har fått reda på i sin yrkesverksamhet (2 a § 2 st. 4). Arbetsgivare får utan tillstånd inrätta och föra personregister som innehåller sådana uppgifter om arbetstagares sjukdom som avser tid för sjukfrånvaro, om uppgifterna används för löneadministrativa ändamål eller för att arbetsgivaren skall kunna avgöra om han eller hon skall påbörja en rehabiliteringsutredning enligt 22 kap. 3 § andra stycket lagen (1962:381) om allmän försäkring (2 a § 2 st. 5). Vid sin tillståndsprövning skall Datainspektionen ta ställning till om det finns anledning att anta att registreringen medför ett otillbörligt intrång i den registrerades personliga integritet. Om så anses vara fallet, skall tillstånd inte meddelas. Vid prövningen skall inspektionen särskilt beakta arten och mängden av de personuppgifter som skall ingå i registret, hur och från vem uppgifterna skall hämtas in, vilken inställning de som kan komma att registreras har eller kan antas ha till saken och att inte andra uppgifter eller andra personer registreras än som står i överensstämmelse med ändamålet med registret (3 §). Särskilda skäl krävs för att tillstånd skall kunna meddelas för inrättande och förande av personregister som omfattar andra än medlemmar, anställda eller kunder hos den registeransvarige eller personer som har annan därmed jämställd anknytning (3 a §). Det krävs synnerliga skäl för att andra än myndigheter som enligt lag eller annan författning har att föra förteckning över sådana uppgifter skall kunna få tillstånd att inrätta och föra personregister som innehåller vissa angivna typer av känsliga uppgifter, såsom exempelvis uppgift om att nå- gon misstänks eller har dömts för brott eller varit föremål för vissa tvångsingripanden (4 § 1 st.). Tillstånd att inrätta och föra personregister som i övrigt innehåller uppgifter om någons sjukdom, hälsotillstånd eller sexualliv eller uppgift om att någon fått ekonomisk hjälp eller vård inom eller varit föremål för åtgärd enligt utlänningslagen får bara om det finns särskilda skäl meddelas någon annan än en myndighet som enligt lag eller annan författning har att föra en förteckning över sådana uppgifter. Särskilda skäl krävs även för registrering av uppgifter om någons ras eller politiska uppfattning eller religiösa övertygelse (4 § 2 och 3 st.). När Datainspektionen meddelar tillstånd att inrätta och föra personre- gister, skall inspektionen meddela beslut om ändamålet med re- gistret (5 §). I den mån det behövs för att förebygga risk för otillbörligt intrång i personlig integritet skall inspektionen i samband med tillstånds- givningen även meddela särskilda villkor (6 §). Sådana villkor får meddelas beträffande exempelvis inhämtande av uppgifter, vilka person- uppgifter som får ingå i registret, utlämnande, bevaring och gallring. Personregister skall inrättas och föras så att inte otillbörligt intrång i de registrerades personliga integritet uppkommer. I 7 § anges närmare vad som skall iakttas för att nå upp till vad som brukar kallas god registersed . Den registeransvarige är också skyldig att förteckna de personregister som han eller hon är ansvarig för (7 a §). Förteckningen skall vara aktuell och hållas tillgänglig för Datainspektionen. I datalagen finns det också särskilda bestämmelser om ADB- användningen som är avsedda att garantera att personuppgifter är riktiga och fullständiga. Dessa bestämmelser, som återfinns i 8 och 9 §§, be- handlar bl.a. rättelse av oriktiga och missvisande uppgifter. En central bestämmelse är vidare 10 §. Den ger den enskilde en rätt till insyn i personregister. Där stadgas att den registeransvarige på skriftlig begäran av den enskilde skall underrätta denne om innehållet i registret, såvitt gäller honom eller henne. Ett sådant registerutdrag, s.k. § 10-utdrag, har den enskilde rätt att kostnadsfritt få en gång . I datalagen finns det allmänna bestämmelser om gallring av person- uppgifter och om vad som skall iakttas då en registeransvarig upphör att föra ett personregister för vilket Datainspektionen har meddelat tillstånd (12 §). Vissa bestämmelser om tystnadsplikt finns i 13 §. En särskild bestämmelse om dokumentationsskyldighet avser att göra det möjligt att i efterhand fastställa vilka uppgifter i en ADB-upptagning som har legat till grund för avgörandet av ett mål eller ärende hos en myndighet. Sådana ADB-upptagningar skall tillföras handlingarna i målet eller ärendet i för ögat läsbar form. Undantag gäller bara om det finns särskilda skäl (14 §). Datainspektionen utövar tillsyn över att automatisk databehandling inte medför otillbörligt intrång i den registrerades personliga integritet (15 18 §§). Inspektionen har möjlighet att meddela villkor eller, om rättelse inte kan åstadkommas på annat sätt, förbjuda förandet av personregister eller återkalla meddelade tillstånd. Datainspektionens beslut enligt datalagen kan överklagas till länsrätten i eller, när en statlig myndighet är registeransvarig, regeringen. Justitiekanslern får föra talan för att ta till vara allmänna intressen. (25 §.) Bestämmelser om straff och skadestånd finns i 20, 21 och 23 §§. Ett personregister kan förklaras förverkat, om det inrättas eller förs utan nöd- vändig licens eller tillstånd (22 §). I datalagen regleras även det statliga person- och adressregistret (SPAR), 26 28 §§. 4.3 EG-direktivet Syftet med och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter är att skapa en gemensam, hög nivå på integritetsskyddet för att därigenom möjliggöra ett fritt flöde av personuppgifter medlemsländerna emellan. Medlemsstaterna får inom den ram som ges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma. Dessa preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. I arbetet med direktivet har agerat hårt för att få till stånd så- dana lösningar att direktivet inte står i motsättning till den svenska offentlighetsprincipen och annan grundlagsreglering. De svenska ansträngningarna på detta område har varit framgångsrika. För att undanröja alla eventuella oklarheter vid tolkningen av direktivets förenlighet med offentlighetsprincipen har på svenskt initiativ tagits in en klausul i direktivets ingress (punkt 72) som gör det möjligt att ta hänsyn till offentlighetsprincipen när direktivets bestämmelser genomförs i nationell rätt. Direktivet finns i sin helhet i bilaga 1. Huvuddragen i direktivet är följande. Direktivet är tillämpligt på all behandling av personuppgifter och såle- des också på register, dock endast på sådana register som är sökbara utifrån särskilda kriterier. Direktivet är inte tillämpligt på sådan behandling av personuppgifter som faller utanför gemenskaps- rätten (t.ex. den som gäller allmän säkerhet, statens säkerhet eller statens verksamhet på straffrättens område) och inte heller på register för personligt bruk. Behandling av personuppgifter för journalistiska, konstnärliga och litterära ändamål undantas från direktivets materiella bestämmelser. Personuppgifter får samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål och uppgifterna får inte senare användas på ett sätt som är oförenligt med ursprungsändamålet. Personuppgifter får behandlas endast när samtycke lämnats, när det är nödvändigt för att fullgöra ett avtal i vilket den registrerade är part, när det finns en i författning reglerad förpliktelse att behandling av uppgifterna skall ske, när det är nödvändigt för att skydda den enskildes grundläggande intressen, när det är nödvändigt att utföra en arbetsuppgift i det allmännas intresse eller slutligen, om det i övrigt skett en intresseav- vägning som resulterat i att behandling av personuppgifter skall få ske. Känsliga uppgifter (ras, religion, politisk åsikt, facklig tillhörighet, hälsotillstånd etc.) får inte behandlas. Dock gäller vissa undantag, bl.a. vid den enskildes uttryckliga samtycke, för ideella föreningars medlemsregister, för hälso- och sjukvårdens administration och vid författningsreglerade skyldigheter. Medlemsstaterna skall bestämma på vilka villkor nationella identi- fikationsnummer får behandlas. När personuppgifter samlas in skall de registrerade informeras om bl.a. vem som är registeransvarig och vad uppgifterna skall användas till. All behandling av personuppgifter skall enligt huvudregeln anmälas till en tillsynsmyndighet. Medlemsstaten kan dock genom bransch- och sektorsreglering eller motsvarande från anmälningsskyldigheten undanta sådan behandling av personuppgifter som inte kränker enskildas fri- och rättigheter. Behandling av personuppgifter som innebär särskilda integritetsrisker får inte förekomma utan att tillsynsmyndigheten först gett tillstånd till detta. Den registrerade skall ha rätt att få sina rättigheter enligt den nationella lagen prövad av tillsynsmyndigheten och domstol. Överföring av personuppgifter till ett tredje land får i princip endast lagen prövade av tillsynsmyndigheten och domstol. ske om det mot- tagande landet har en acceptabel skyddsnivå.