sou · GLB3101 · 1998-01-01 00:00:00 — Det är naturligt och lämpligt att bestämmelserna i persondatalagen tjänar som utgångspunkt när särskilda författningar som rör hantering av personuppgifter utformas. Avvikelser från persondatalagens bestämmelser bör göras endast om det finns goda skäl härför. Det skall här åter erinras om vad som sägs i punkt 11 i ingressen till EG-direktivet om att detta utgör en förstärkning och preci- sering av dataskyddskonvention. EG-direktivet bygger på en ordning inom vars ramar gällande svensk datalagstiftning är utformad. Direktivet och förslaget till persondatalag har inte tillkommit därför att de rådande värderingarna på området ändrats utan främst för att ytterligare harmonisera EU:s medlemsstaters bestämmelser. Även om den föreslagna persondatalagen innehåller många nyheter på området för hantering av personuppgifter så överensstämmer den med grundläggande principer om integritetsskydd i svensk rätt. 9.1.3Ett samspel mellan central lagstiftning och särskilda författningar som reglerar hante- ringen av personuppgifter bör eftersträvas Statsmaktsregistren kräver inte Datainspektionens tillstånd. Dessa register kan i stället så- vitt avser frågor om registerändamål, registerinnehåll, fastställande av registeransvar m.m. regleras genom särskilda författningar. Bestämmelserna i de särskilda författningarna, som i stora delar motsvarar Datainspektionens föreskrifter för de tillståndspliktiga registren, ersätter dock inte datalagen. Datalagens bestämmelser om den registrerades rättigheter, den register- ansvariges skyldigheter, förutsättningarna för skadeståndsskyldighet och straffansvar samt om Datainspektionens tillsyn gäller i allt väsentligt även för statsmaktsregistren. Alternativet hade varit att de nu nämnda, mycket centrala och för behandlingen av personuppgifter i stort sett gemensamma bestämmelserna upprepades i varje särskild registerlag. De särskilda registerförfattningar som finns och som reglerar verksamhet som om- fattas av EG-direktivet måste ses över och bringas i överensstämmelse med direktivet. Den koppling som finns mellan dessa författningar och datalagen får då ersättas med en koppling till den nya persondatalagen, om fördelarna med systemet att ha vissa grundläggande bestämmelser samlade i en central författning skall kvarstå. Fördelarna är enligt vår uppfattning uppenbara och en författning som reglerar verksamhet som inte omfat- tas av EG-direktivet bör inte bryta ett sådant mönster. 9.1.4Typen av hantering som regleras och terminologin bör vara desamma i en särskild för- fattning som i persondatalagen En av de stora skillnaderna mellan förslaget till persondatalag och datalagen är tillämpning- sområdet. Medan datalagen endast gäller ADB-baserade register föreslås persondatalagen om- fatta all behandling av personuppgifter som företas på automatisk väg liksom be- handling av personuppgifter som ingår i eller kommer att ingå i ett register (I EG-direktivet anges detta i artikel 3.1). Som ovan redovisats (avsnitt 4.1.1) framhöll redan att register- begreppet var föråldrat och föreslog därför att den nya datalagens tillämpningsområde i stället skulle bestämmas med hänsyn till de tekniska möjligheter som finns att göra personuppgifter tillgängliga med ADB-teknik. Konkret innebar förslag att all automa- tisk databehandling av personuppgifter, utom vissa särskilt undantagna åtgärder, skulle omfat- tas av lagens bestämmelser. Det kan, som anförde, inte anses ändamålsenligt att låta svaret på frågan huruvida en personuppgift ingår i ett register eller ej vara avgörande för på vilket sätt uppgiften skall få behandlas med ADB-teknik. Automatisk behandling av personuppgifter kan medföra otaliga möjligheter att lagra, ändra, sprida och utföra andra operationer med uppgif- terna. Avgörande för tillåtligheten av automatisk behandling bör vara ändamålet med åtgär- derna ställt emot den enskildes intresse av integritetsskydd. En något svårare fråga är möjligen om även behandling av personuppgifter som ingår i eller skall ingå i ett register (auto- matiserat eller manuellt) skall regleras. Skäl som att den som vill använda personuppgifter på ett otillbörligt sätt annars skulle kunna göra detta för hand för att undgå skyddsreglerna eller att användningen av ny teknik i samhällsutvecklingen inte hämmas om samma regler gäller för såväl automatisk som behandling av personuppgifter, saknar inte bärkraft men är kanske inte helt övertygande. Utan automatikens hjälp är möjligheterna till effektiv lagring, bearbetning och spridning av uppgifterna kraftigt begränsade liksom även möjligheterna att ur ett stort underlag ta fram olika sammanställningar av personuppgifter. Detta innebär att ma- nuell behandling framstår som långt mindre farlig från den enskildes synpunkt. Dock är det naturligtvis i grunden riktigt att personuppgifterna i sig är lika skyddsvärda oavsett om de behandlas manuellt eller automatiskt. Resonemanget är giltigt vare sig behandlingen sker inom en verksamhet som omfattas av EG-direktivet eller ej. Därmed och då det inte synes finnas något beaktansvärt motstående intresse bör också de bestämmelser som reglerar verksamhet följa persondatalagens tillämpningsområde i detta avseende. Härtill kommer att ett enhetligt tillämpningsområde tjänar ett visst självändamål eftersom den samlade regleringen då är lättare att överskåda och tillämpa än vid motsatt förhållande. Förslaget till persondatalag innehåller i enlighet med vad EG-direktivet föreskriver vissa för den svenska ordningen nya begrepp som t.ex. mottagare och registerförare. Dessutom definieras en del begrepp, som t.ex. personuppgifter och register, på ett annat sätt än i data- lagen. Vidare byts registeransvarig ut mot persondataansvarig och det är inte bara fråga om en ändring av terminologin utan också om en delvis ny innebörd av begreppet. (Definitioner återfinns i direktivets artikel 2.) De särskilda registerlagar som reglerar verksamhet som omfattas av direktivet kommer att vara hänvisade till persondatalagens begreppsvärld. Om författningar som regle- rar behandlingen av personuppgifter om totalförsvarspliktiga skall ha den koppling till persondatalagen som ovan förordats, krävs att grundläggande begrepp och terminologi är identiska, i annat fall blir samspelet onödigt komplicerat. Det skall anmärkas att anledning att behålla och använda datalagens begrepp och definitioner annat än av skäl som att de är invanda egentligen saknas eftersom den lagen skall upphöra att gälla. 9.1.5Datainspektionens tillsyn bör omfatta hantering av personuppgifter Enligt förslaget till persondatalag skall behandling av personuppgifter som är helt eller delvis automatisk anmälas till en särskild myndighet. Denna myndighet i lagtexten kallad tillsynsmyndigheten skall också utöva tillsyn över tillämpningen av bestämmelser i lag eller annan författning om behandling av personuppgifter. Regeringen har beslutat att Datainspek- tionen skall vara tillsynsmyndighet. Skäl att undanta verksamhet från Data- inspektionens tillsyn saknas. Regleringen av behandling av personuppgifter bör därför anpassas till tillsynssystemet i persondatalagen. 9.1.6Förslagen om reglering av registerverksamhet bör anpassas till förslaget till persondatalag På de skäl som ovan anförts anser vi att regleringen av hantering av personuppgifter bör följa persondatalagens bestämmelser utom i de fall avvikelser är befogade på grund av verksamhetens särskilda karaktär. Persondatalagen föreligger endast i förslags- form vilket egentligen talar emot vårt inledande ställningstagande. Vi har emellertid under utredningen, så som förutsätts i våra direktiv, följt arbete och vi har läm- nats tillfälle att diskutera lösningar med kommitténs ordförande och sekretariat. Detta gör att vi har kunnat anpassa våra förslag till den nya ordningen. Vi är medvetna om att den slutliga texten i den nya lagen kan komma att skilja sig ifrån förslag, men vi gör den bedömningen att eventuella justeringar inte blir större än att vårt förslag kan anpassas till dessa utan alltför stora arbetsinsatser. 9.2 Författningsreglering av behandlingen av personuppgifter om totalförsvarspliktiga Bedömning: Bestämmelser om behandling av personuppgifter om totalförsvarspliktiga bör i huvudsak ges i lag och vara utformade så att de utgår från persondatalagen och anger de undantag och preciseringar i förhållande till denna som är motiverade. Det bör finnas särskilda bestämmelser i lagen som reglerar ADB-register över totalförsvarspliktiga som förs av . Förslaget till persondatalag innehåller grundläggande bestämmelser för behandling av person- uppgifter och gäller i princip oavsett inom vilken typ av verksamhet behandlingen äger rum. Särskilda författningar som reglerar behandling av personuppgifter inom en viss verksamhet, bör endast innehålla sådana preciseringar, utfyllnader och undantag som är påkallade med hänsyn till de behov som följer av verksamhetens speciella karaktär. I annat fall skapas onödig dubbelreglering och risk för tillämpningssvårigheter. Persondatalagen är, enligt föreliggande förslag, generell till sin utformning och avvikelser från dess bestämmelser är tillåtna endast om de har stöd i annan författning. Verksamhet som rör (total)försvaret omfattas emellertid inte av det EG-direktiv som ligger till grund för persondatalagen och utrymmet för särreglering är därför stort när det gäller behandling av personuppgifter om totalförsvarspliktiga. Detta förhållande rubbar emellertid inte slutsatsen att undantag från persondatalagens bestämmelser skall göras endast i den omfattning som verksamheten motiverar. EG-direktivet om personuppgifter och därmed persondatalagen bygger på europeisk rättstradition på integritetsskyddsområdet och avsteg från hävdvunna principer bör inte göras om det inte finns starka skäl. Överväganden om innehållet i författningar som rör behandling av personuppgifter om totalförsvarspliktiga bör i första hand omfatta frågan om avvikelser eller preciseringar är mo- tiverade i förhållande till persondatalagens bestämmelser om: när behandling av personuppgifter är tillåten, grundläggande krav på behandling av personuppgifter, förbud mot behandling av känsliga personuppgifter, villkor för behandling av uppgifter om lagöverträdelser och om personnummer, information till den registrerade, säkerheten vid behandlingen, den persondataansvariges skyldigheter, tillsynsmyndighetens uppgifter och befogenheter samt Persondatalagens bestämmelser skall sålunda gälla även vid behandling av personuppgifter om totalförsvarspliktiga om inte annat följer av de särskilda författningar som reglerar just denna behandling. Den föreslagna persondatalagen innehåller inga särskilda regler för register som förs med hjälp av ADB. Även om en personuppgift kan anses lika skyddsvärd om den behandlas helt manuellt som om den behandlas med datorteknik, är det svårt att bortse från de särskilda risker i integritetshänseende som automatiserade register för med sig. Möjligheterna att effek- tivt söka bland uppgifterna och sammanställa stora mängder av information är oändligt mycket större om uppgifterna förekommer i ett ADB-baserat register än om de är förvarade i pärmar eller på annat icke elektroniskt sätt. Användningen av datorteknik under- lättar också spridningen av uppgifter. Andra krav måste därför ställas på säkerheten vid auto- matisk lagring och överföring av uppgifter än vid helt hantering. Det är därför, och särskilt med hänsyn till att ett ADB-register över totalförsvarspliktiga enligt vår bedömning måste innehålla en mängd uppgifter av känslig karaktär för att vara ändamålsenligt, befogat att undersöka behovet av reglering av frågor som: terminalåtkomst (eller, med ett annat uttryck; direkt åtkomst), begränsningar av sökbegrepp, uppgiftslämnande på ADB-medium och sambearbetning (samkörning) med andra register. I en författning om behandling av personuppgifter om totalförsvarspliktiga bör också de ända- mål för behandlingen anges som enligt persondatalagen skall uttryckas då uppgifterna samlas in. Dessutom bör i lagen pekas ut vem som är ansvarig (persondataansvarig) för behandlingen. Efter persondatalagens ikraftträdande krävs inte tillstånd för registrering eller annan be- handling av personuppgifter. Detta innebär bl.a. att någon bestämmelse om att ett register över totalförsvarspliktiga får föras endast om regeringen beslutat att inrätta ett sådant inte är aktu- ell. Normgivningskompetensen regleras i 8 kap. regeringsformen (RF). En skiljelinje går härvid mellan privaträttslig och offentligrättslig normgivning. Med privaträttslig normgivning menas föreskrifter om enskildas personliga ställning och inbördes ekonomiska och personliga förhål- landen. Offentligrättslig normgivning avser dels föreskrifter om myndigheternas interna ange- lägenheter, dels föreskrifter om förhållandet mellan myndigheter och enskilda. På det privaträtts- liga området skall föreskrifter meddelas genom lag, dvs. har exklusiv normgivnings- rätt (8 kap. 2 § RF). Vad gäller den offentligrättsliga normgivningskompetensen är bilden mer splittrad. Offentligrättsliga föreskrifter skall ha lagform om de innebär åligganden för enskilda eller i övrigt avser ingrepp i enskildas personliga eller ekonomiska förhållanden (8 kap. 3 § RF). Enligt 8 kap. 13 § första stycket 2 regeringsformen får regeringen genom förordning besluta föreskrifter som ej skall meddelas genom lag. Härav följer att regeringen kan meddela offentligrättsliga föreskrifter om myndigheternas interna angelägenheter, som t.ex. bestäm- melser om handläggning av ärenden. Regeringen kan också med stöd av denna sk. rest- kompetens genom förordning meddela offentligrättsliga föreskrifter i övrigt så länge de inte är betungande för den enskilde på sätt som anges i 8 kap. 3 § regeringsformen (se ovan). Registerförfattningar syftar ofta till att skydda den enskildes integritet och föreskrifter med sådant skyddssyfte kan knappast anses som betungande för honom eller henne. I 2 kap. 3 § regeringsformen anges emellertid att medborgarna i den utsträckning som närmare angives i lag skall skyddas mot att deras personliga integritet kränks genom att personuppgifter re- gistreras med hjälp av ADB. Ordalydelsen ger utrymme för tolkningen att det är sak att genom lagstiftning utfärda de erforderliga bestämmelserna. Av förarbetena framgår dock att syftet inte varit att hindra regeringen att meddela bestämmelser om dataskydd, utan endast att ange att måste vara aktiv genom att stifta och vidmakthålla en dataskydd- slagstiftning som utgör en verklig och allvarligt menad skyddslagstiftning (prop. 1987/88: 57 s. 11). Bestämmelser på det statliga området som syftar till att tillgodose integritetsskyddsint- ressen omfattas alltså av regeringens restkompetens. Av 8 kap. 13 § andra stycket regeringsfor- men framgår dock att detta inte innebär att regeringen har rätt att meddela föreskrifter som avser eller dess myndigheter. Sådan rätt kan i stället ges till regeringen genom be- myndigande i lag. Möjligheten för att delegera normgivningskompetensen i denna del infördes genom en ny punkt 8 i 8 kap. 7 § första stycket regeringsformen, som anger att regeringen efter bemyndigande i lag kan meddela föreskrifter genom förordning så- vitt avser skydd för personlig integritet vid registrering av uppgifter med hjälp av automatisk databehandling. Tillägget i 7 § tillkom närmast för att möjliggöra vidare delegation från reger- ingen till Datainspektionen av rätten att meddela föreskrifter även på det kommunala och landstingskommunala området samt för viss privat verksamhet (se prop. 1993/94:116). har föreslagit att lagrummet ändras till att avse skydd för personlig integritet vid behandling av personuppgifter. Sammantaget har regeringen stora möjligheter, ofta redan utan bemyndigande från riks- dagen, att i förordning meddela föreskrifter som rör behandling av personuppgifter. Utöver vad som ovan sagts om regeringens rätt att meddela föreskrifter om myndigheternas handlägg- ning av ärenden och andra interna angelägenheter och föreskrifter om integritetsskydd har regeringen vilket följer av 8 kap. 13 § första stycket 1 regeringsformen rätt att meddela föreskrifter om verkställighet av lag. Möjligheten att meddela verkställighetsföreskrifter anses, även om rättsläget är långt ifrån klart, innebära en relativt långt gående rätt att fylla ut lagar, och då även sådana lagar som innehåller regler på områden där har exklusiv normgivningskompetens. Utfyllnaden får dock inte innebära att regleringen tillförs något vä- sentligen nytt genom den av regeringen beslutade föreskriften (se prop. 1973:90 s. 211). har dragit slutsatsen att gällande rätt vad avser normgivningskomp- etensen inte hindrar att det överlåts till regeringen och Datainspektionen att precisera reglerna i persondatalagen. Kommittén förordar också en sådan lösning framför en ordning som inne- bär att varje liten justering i regelverket kräver en sedvanlig lagstiftningsprocess via regering och riksdag... som, enligt kommittén, framstår som onödigt omständlig och ohanterlig. (Datalagskommitten, avsnitt 12.1.2) En uppställning över förslag till vilka föreskrifter som skall kunna meddelas av regeringen och/eller Datainspektionen, med hänvisning till lagrum i förslaget till persondatalag, ges ovan i avsnitt 6.7. Mot bakgrund av vad som anförts kan det konstateras att det skulle vara möjligt att ge en mycket stor del av de regler som bör gälla vid behandlingen av personuppgifter om totalförsvarspliktiga i förordningsform. Frågan är om detta också är lämpligt. När ovan be- rörd möjlighet till delegering av normgivningskompetensen infördes genom 8 kap. 7 § första stycket 8 regeringsformen uttalade föredragande statsrådet följande (prop. 1993/94:116 s. 16): Regeringen vill poängtera att möjligheten till en delegerad normgivningskompetens på integritetsskyddsområdet inte kommer att förändra den nuvarande inriktningen i syfte att ta fram särskilda registerförfattningar för integritetskänsliga personuppgifter. I proposition 1990/ 91:60 om offentlighet, integritet och ADB uttalas att en målsättning bör vara att register med ett stort antal registrerade och ett särskilt känsligt innehåll skall regleras i lag (prop. s. 58). När propositionen behandlades av i betänkandet 1990/91:KU11 anförde utskottet att det allmänt sett är av stor betydelse att en författningsreglering av ADB-register kommer till stånd i syfte att stärka skyddet för de registrerades integritet i samband med nöd- vändig registrering av känsliga uppgifter i myndighetsregister. Utskottet delade den uppfatt- ning som framfördes i propositionen att register hos kommunerna, landstingskommunerna, och bör regleras i särskilda registerlagar. Likaså ansåg utskottet att det krävs ingående överväganden i fråga om vilka register inom dessa områden som bör lagregleras (bet. s. 11). Registret över totalförsvarspliktiga kommer att bli ett av landets mest omfattande personregis- ter och det kommer att innehålla många uppgifter av känslig karaktär. Persondatalagens till- komst utgör inte tillräckligt skäl att frångå den uppfattning som givit uttryck för; att stora personregister med känsliga uppgifter skall lagregleras. Av våra direktiv följer också att vi skall lämna förslag till lagreglering av frågor som registerinnehåll, terminalåtkomst, förfo- ganderätt m.m. I en lag om behandling av personuppgifter om totalförsvarspliktiga bör de yttre gränserna för verksamheten dras upp i de fall dessa inte överensstämmer med vad som gäller redan enligt persondatalagen. Det bör emellertid överlåtas åt regeringen eller i vissa fall åt Datainspek- tionen att meddela de närmare föreskrifter som är påkallade till skydd för de registrerades personliga integritet. Bestämmelser av detaljkaraktär, som kan förutses bli omprövade med mer eller mindre täta mellanrum i takt med att samhället förändras och tekniken utvecklas, bör ges i annan form än lag, eftersom ändringar av lagtext är en relativt omständlig process. I en lag som reglerar behandling av personuppgifter om totalförsvarspliktiga bör i konsekvens med vad som utvecklats i avsnitt 9.2.1 intas en bestämmelse som anger att persondatalagens bestämmelser skall vara tillämpliga om inget annat följer av lagen eller av föreskrifter som meddelats med stöd härav. 10.1 Reglerna skall avse automatisk behandling av personuppgifter och annan behandling av personuppgifter som ingår i eller skall ingå i ett register Förslag: Lagen om behandling av personuppgifter om totalförsvarspliktiga skall liksom persondatalagen gälla för sådan behandling som är helt eller delvis automatisk och för annan behandling om uppgifterna ingår i eller är avsedda att ingå i ett register. Bakgrund: Med behandling av personuppgifter avses enligt definitionen i förslaget till persondatalag; varje åtgärd som vidtas beträffande sådana uppgifter (3 §). I EG-direktivet (artikel 2 b) exemplifieras behandlingsåtgärder med insamling, registrering, organisering, lag- ring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom över- sändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkör- ning, blockering, utplåning eller förstöring. Persondatalagen gäller för sådan behandling av personuppgifter som är helt eller delvis automatisk. Begreppet automatisk definieras inte i EG-direktivet eller i persondatalagen. En- ligt står det klart att behandling av personuppgifter som finns i dator- format (binär form) inklusive överföringen till ett sådant format som regel bör anses som automatisk behandling i direktivets mening, medan det är osäkert om och i vilken utsträckning direktivets regler om automatisk behandling skall tillämpas på t.ex. bilder och ljud som lagrats på något analogt format, exempelvis på ett negativ eller på ett vanligt ljud- eller videoband (, avsnitt 12.2.12). Persondatalagen gäller också för annan behandling än automatisk, om uppgifterna ingår i eller är avsedda att ingå i ett register. Med register avses varje strukturerad samling av personuppgifter vilka är tillgängliga för sökning eller samman- ställning enligt särskilda kriterier (5 § förslaget till persondatalag). Överväganden: En förändring som följer med införandet av EG-direktivet om person- uppgifter i svensk rätt, jämfört med gällande ordning enligt datalagen, är att även annan be- handling av personuppgifter än registrering med hjälp av ADB, blir reglerad och kringgärdad av bestämmelser om integritetsskydd. Ändringen som i vissa delar efterlystes redan av (se ovan, avsnitt 4.1.1) är oavsett EG-direktivet om personuppgifter påkallad, bl.a. med hänsyn till den tekniska utvecklingen som medfört att uppgifter kan be- handlas med automatik i mycket stor utsträckning och på sätt som innebär risker för integritet- sintrång, utan att uppgifterna för den skull behöver ingå i ett register. En annan sak är att registrering av personuppgifter medelst ADB alltjämt framstår som den åtgärd som medför de största riskerna för otillbörliga integritetsintrång, och att strängare föreskrifter därför i vissa fall bör gälla för sådan registrering än för övrig behandling. Det utvidgade integritetsskyddet bör gälla även vid behandling av personuppgifter om totalförsvarspliktiga. En föreskrift som tydligt anger att lagen gäller för sådan behandling som är helt eller delvis automatisk samt för annan behandling om uppgifterna ingår i eller är av- sedda att ingå i ett register, bör därför tas in i lagen om behandling av personuppgifter om totalförsvarspliktiga. Avgränsningen av tillämpningsområdet i det här avseendet är så central att en upprepning är att föredra framför en hänvisning till persondatalagen. 10.2 Reglerna skall avse behandling av personuppgifter om totalförsvarspliktiga och om andra personer med uppgifter inom totalförsvaret vid höjd beredskap Förslag: Lagen skall tillämpas vid behandling av personuppgifter om totalförsvarspliktiga.