sou · GLB339d3 · 1998-01-01 00:00:00 — Såvitt jag kan bedöma är det inte möjligt att med ledning av direktivets ingress eller lagtext avgöra vilken grad av konkretion en åsyftad författ- ningsbestämmelse måste ha. Även på denna punkt har domstolen sista or- det. Om personuppgifter samlats in från någon annan än den registrerade själv och skall lämnas ut till någon tredje man, skall enligt artikel 11 den regist- rerade obligatoriskt underrättas om åtminstone den registeransvariges eller dennes ställföreträdares identitet och om ändamålet med behandlingen. I vissa fall skall ytterligare information lämnas. Undantag gäller för det fall att den registrerade redan känner till informationen, det är omöjligt eller oproportionerligt ansträngande att ge den eller om registrering eller utläm- nande uttryckligen föreskrivs i författning. DLK anför beträffande artikel 11: Eftersom offentlighetsprincipen innebär att var och en kan få ut personuppgifter och att den som får uppgif- SOU 1997: 39 Särskilda yttranden: 697 terna i princip har rätt att vara anonym, kan den myndighet som samlar in uppgifter inte lämna information om till vilka personer uppgifterna kan komma att lämnas ut. Däremot kan information givetvis lämnas om att uppgifterna kan komma att lämnas ut enligt offentlighetsprincipen till den som begär det. Härigenom får de registrerade – på det sätt direktivet kräver – information om till vilka kategorier av mottagare som uppgifterna kan komma att lämnas ut. Eftersom utlämnande enligt offentlighetsprincipen föreskrivs i svensk grundlag, kan det vidare förut- sättas att allmänheten redan känner till den informationen. Därför torde det inte vara helt nödvändigt att lämna information i detta hänseende. DLU tolkade artikeln (dåvarande artikel 12) på annat sätt: Det skulle i anslutning till dessa undantag i direktivförslaget kunna hävdas att allmän- heten i är väl medveten om offentlighetsprincipens existens. Vi- dare är såväl myndigheternas skyldighet att lämna ut allmänna handlingar som anonymitetsskyddet reglerade i grundlag. De nu berörda undantagen i direktivförslaget torde dock inte ge ut- rymme för att lämna ut personuppgifter enligt offentlighetsprincipen. In- formationsskyldigheten för den persondataansvarige enligt direktivförsla- get syftar till att ge den enskilde kunskap om behandling som pågår i det särskilda fallet så att han i fråga om den enskilda datasamlingen kan utöva sina rättigheter enligt dataskyddsbestämmelserna. Vidare torde de författ- ningar som åsyftas i direktivförslaget få uppfylla vissa krav på konkre- tion. Härtill kan fogas den kommentaren att med hänsyn till det svenska anonymitetsskyddet den enskilde, vars uppgifter lämnats ut till någon tredje man inte kan få – med DLK:s tolkning – reda på mer än att mottaga- ren tillhör en kategori personer vilken som helst. Detta kan knappast vara en information som är tillräcklig enligt denna artikel. I själva verket har DLK gjort ett undantag till huvudregel och till och med till en huvudregel utan undantag. En realistisk syn på tolkningsläget beträffande kollisionsfrågan ger en- ligt min mening en mer komplicerad bild än den som förmedlas av kommittédirektiven och kommitténs betänkande. Icke minst har jag vid denna bedömning tagit hänsyn till tolkningsmetoder. Det är ostridigt i litteraturen att domstolen i stor utsträckning använder en te- leologisk tolkningsmetod. Denna innebär, att både begreppsliga och mate- riella juridiska problem löses på det sätt som anses bäst förenligt med rättsaktens i fråga ändamål. Datadirektivets syfte är dels att skapa ett fritt flöde av personinformation mellan medlemsländerna dels – och som en 698 Särskilda yttranden; SOU 1997: 39 förutsättning för informationsfriheten – att skapa en gemensam, hög skyddsnivå för den personliga integriteten. Tolkningen av enskilda be- stämmelser blir rimlig endast om dessa bakomliggande personrättsliga syften beaktas. SOU 1997: 39 Särskilda yttranden: 699 Det centrala begreppet i regleringen av allmänhetens insynsrätt är allmän handling. Kommittén har stannat för att föreslå att man överger detta be- grepp och i stället i fortsättningen använder sig av begreppet allmän uppgift. Fördelen med detta är uppenbar. Begreppet är teknikneutralt. Det förenklar lagregleringen av offentlighetsprincipen. Och det skapar över- ensstämmelse med sekretesslagens inskränkningar i rätten till insyn. Avsikten med kommitténs förslag är inte att åstadkomma någon för- ändring i sak när det gäller allmänhetens insynsrätt. Enligt min mening finns ändå en risk för att så blir fallet. Skälet härför är att handlingen som sådan har fått en betydelse i detta sammanhang som underordnats uppgif- tens. I offentlighetssammanhang har handlingen en självständig betydelse. Insynsrätten skall inte begränsas till en rätt att få del av uppgifter utan gäller också rätten att få insyn i hur uppgifterna presenteras, i vilken miljö som de förekommer. Detta framgår enligt min mening inte i den föreslagna lagstiftningen med den tydlighet som kan krävas. Förvisso innebär förslaget att den uppgift som skall lämnas ut i före- kommande fall tillhandahålls genom att den handling i vilken uppgiften förekommer lämnas ut. Men att handlingen lämnas ut är därmed närmast att se som en metod för att lämna ut offentliga uppgifter i stället för som en självständig rätt att få ut handlingen. Offentlighetsprincipens portalparagraf (TF 2 kap. 1 §) borde enligt min mening innehålla ett er- kännande av denna rätt. Kommitténs arbete i denna del har i allt väsentligt varit inriktat på TF 2 kap. Någon noggrann analys av de konsekvenser som förslaget att överge allmän handling som centralt begrepp i detta sammanhang kan ha i andra delar av det tryck- och yttrandefrihetsrättsliga området har inte skett. Tiden har inte medgett en sådan analys. Detta är otillfredsställande och föranleder enligt min uppfattning osäkerhet om huruvida begreppsskiftet kan ske utan att det innebär eller medför sakliga förändringar inom det tryck- och yttrandefrihetsrättsliga området. SOU 1997: 39 Särskilda yttranden: 701 Särskilt yttrande av experten Med anledning av förslag vill jag göra följande kommentar: uppdrag att införliva EU:s dataskyddsdirektiv i svensk lagstiftning har varit en stor utmaning. Det är därför glädjande att konstatera att förslaget om en ny persondatalag och reviderad tryckfrihets- förordning m.m., innebär fundamentala förändringar, huvudsakligen i po- sitiv riktning för både förvaltning och allmänheten. DALK har särskilt slagit vakt om offentlighetsprincipens fortsatta giltighet på ett sådant sätt att man stärkt rättssäkerheten och de demokratiska möjligheterna till insyn i förvaltningen m.m. har man lagt grunden för en utveckling mot elektronisk förvaltning. Förslaget kan därmed på lång sikt leda till bättre service för allmänheten och lägre förvaltningskostnader, under förutsätt- ning att statsmakterna också etablerar väl avvägda spelregler för informa- tionshanteringen i en elektronisk förvaltning. Dessvärre måste konstateras att förslaget i viktiga delar är ofullständigt. Jag har sålunda svårt att utifrån DALK:s förslag fullt ut bedöma de verk- samhetsmässiga och ekonomiska konsekvenserna för förvaltningen och efterlyser därför främst en ordentlig konsekvensbedömning av kommitténs förslag. Helt klart är att förslaget ställer alla myndigheter inför nya förut- sättningar när det gäller informationsförsörjning och informationsuttag. Enligt kommittédirektiv 1994:23 är varje kommitté skyldig att göra en konsekvensbedömning av det förslag som läggs samt redogöra för hur förslaget skall finansieras. Jag har därför underhand inhämtat uppgifter från ett antal register- hållande myndigheter vars primära uppdrag är att sprida offentlig infor- mation. Det visar sig vid närmare granskning att flera av dessa myndighe- ter i hög grad kommer att påverkas negativt av förslag om inte regeringen senast när den föreslagna persondatalagstiftningen träder i kraft vidtagit åtgärder som mildrar konsekvenserna. Huvudregeln i nya TF, att myndigheterna blir skyldiga inte bara att presentera utan också att lämna ut allmänna handlingar/uppgifter elektroniskt, kommer 702 Särskilda yttranden: SOU 1997: 39 enligt min bedömning att innebära betydande problem – åtminstone på kort sikt – för vissa av myndigheterna. Utrymme ges för vissa kompensatoriska åtgärder som neutraliserar delar av förslaget, men det saknas ett grundläggande resonemang kring de finansiella aspekterna. För de myndigheter som är intäktsfinansierade, kommer kommitténs förslag att få stor ekonomisk betydelse med avseende på den mängd offent- lighetsuttag som kan förväntas. Tyvärr saknas i betänkandet en realistisk analys, t.ex. av hur kommittén tänkt sig myndigheternas hantering av en begäran från privata aktörer om utlämnande av stora mängder allmänna uppgifter, s.k. massuttag för kommersiella ändamål. Enligt min bedömning kommer kommitténs förslag att leda till oacceptabla konsekvenser för centrala delar av förvaltningen beträffande möjligheten till massuttag. Flera myndigheter har mandat att tillämpa en högre uttagskostnad än vad avgiftsförordningen medger. För dessa myndigheter föreligger en upp- enbar risk för underskott i verksamheten som måste täckas med intäkter från annat håll – eller finansieras över statsbudgeten. DALK har heller inte fört något principiellt resonemang kring prissättning av informationsuttag, vare sig det gäller offentlighetsuttag eller uttag för kommersiell försäljning – och om det bör föreligga någon skillnad härvidlag. Sammanfattningsvis vill jag understryka att för- slag i grunden är riktiga, men att konsekvenserna för förvaltningens och statskassans del inte är tillräckligt belysta. Det är från mina utgångspunkter också oklart hur man tänkt sig att ett lagförslag som syftar till ökad elek- tronisk insynsmöjlighet m.m. ska kunna förverkligas i praktiken på bred front inom förvaltningen – utan att det finns en väl utvecklad finansie- ringsmodell för utbyggnaden av en elektronisk informationsinfrastruktur, som ju ska möjliggöra en allmän tillgänglighet till information i elektro- nisk form. Min slutsats är således att förslaget i sin nuvarande form dels, riskerar att bli en kakelugn i papp, på grund av att den elektroniska tillgänglighe- ten är ojämn, dels är underfinansierat i storleksordningen . Det kan inte uteslutas att underskottet kan komma att bli betydligt större. Enbart Datalagskommitténs förslag om Datainspektionens nya organisation och finansiering innebär uteblivna licensavgifter på ca 55 milj. kr som därmed undergräver statsfinanserna med samma belopp. SOU 1997: 39 Särskilda yttranden: 703 Särskilt yttrande av experten Den personliga integriteten skyddas inte bara av datalagen (1973:289). Andra regelverk av stor betydelse för skyddet är tryckfrihetsförordningens regler om allmänna handlingars offentlighet och sekretesslagen (1980:100), som balanserar tryckfrihetsförordningen när insynen enligt den blir för stor. Speciallagar på områdena för inkasso och kreditupplysning liksom TV-övervakning är andra exempel. Mera allmänt har regler bl.a. inom straff-, process- och förvaltningsrätt också stor betydelse för personskyddet. Trots att skyddet för den personliga integriteten till och från stått i fo- kus och ofta angetts som beaktansvärt i allehanda lagstiftningsarbeten un- der mer än tre decennier har den skyddade personliga sfären fortlöpande inskränkts. En jämförelse med den av i Svensk Juristtid- ning 1971 (s. 698 f.) publicerade kränkningskatalogen eller kartläggningen i Offentlighets- och sekretesslagstiftningskommitténs betänkande (SOU 1972:47) Data och integritet och dagsläget talar sitt tydliga språk. Utveck- lingen har bidragit till att utländska forskare som t.ex. , , i den internationella översikten Protecting Privacy in () utnämnde till ett övervakningssamhälle. Orsaken till denna utveckling är naturligtvis att det alltför ofta ansetts finnas skäl som betraktats som mer behjärtansvärda – fiskaliska eller till synes rationella m.fl. – att tumma på den personliga integriteten utan att se till det förödande helhetsresultatet. Tydliga exempel är skatteregisterlagen (1980:343) och skatteregisterförordningen (1980:666) som vid tillkomsten utlovades vara uttömmande från början. Få regelverk har kompletterats så mycket under resans gång. Andra påtagliga områden är sjuk- och social- försäkringens. I stället för att försöka sätta sig in i IT-utvecklingens effekter på männi- skor och samhälle och överväga alternativa administrativa rutiner, an- passade till IT-åldern, har bl.a. allehanda samkörningar fått företrädesrätt. Resultatet har menligt inverkat på integritetsskyddet som det ge- 704 Särskilda yttranden: SOU 1997: 39 nom den unika integreringen av personregistren nu inför Millenniumskiftet försätter i en väsentligt sämre position än andra länder. Föreliggande förslag följer självfallet och Rådets datalagsdirektiv /46/EG som anpassats till och , vilka tog starka intryck från den svenska datalagen skepnad och den i sin tur följde två reso- lutioner, då i tillblivelse, (res. 73:22 och 74:29). Resul- tatet har – i då en PC-generation är och teknik- konvergensen med alla sina effekter blir allt tydligare – blivit en föråldrad legal produkt som till skillnad från i en del andra länder inte kommer att leda till ett tillfredsställande integritetsskydd. Dessutom blir regelverket svårt att tillämpa. Det hade funnits all anledning att, naturligtvis med beaktande av EU:s särskilda krav, utveckla en modern och mer generell integritetsskydds- lagstiftning som hade blivit, dels mer varaktig, dels liksom datalagen 1973 vägledande för andra (medlems)länder. Slutligen har jag inte övertygats om att punkten 72 i förarbetena till di- rektivet medger särbehandling annat än i exceptionella fall. Formuleringen kan knappast avse ett generellt undantag. För den händelse så ändock skulle vara fallet borde en sådan tolkning kullkasta grunderna för direkti- vet. SOU 1997: 39 Särskilda yttranden: 705 Särskilt yttrande av experten Nuvarande datalag omfattar endast bearbetning på ADB-medium. Ordet data, som betyder uppgift, har därigenom kommit att förknippas med datorer. Det är därför missvisande att kalla en lag som omfattar annan teknik än ADB och även hantering av personuppgifter för person- datalag. Lagen bör i stället få en rubrik som visar att den handlar om skydd av den personliga integriteten (jfr engelskans privacy). Den kan uttryckas på olika sätt, t.ex. integritetsskyddslag, lag om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter eller helt enkelt lag om behandling av personuppgifter (jfr förslag till lag om polisens behandling av person- uppgifter). I lagtexten bör persondata bytas ut mot personuppgift. Den föreslagna lagen skall tillämpas av många människor inom vitt skiftande samhällssektorer. Det ställer stora krav på lagens utformning. I den mån den nu gällande datalagen har medfört tolkningsproblem har till- ståndssystemet inneburit att bedömningarna har gjorts i de enskilda fallen av Datainspektionen. När bedömningarna i större utsträckning i stället skall göras av den som avser att behandla personuppgifter själv behövs klara och precisa regler. Där brister den föreslagna lagen vilket särskilt hänger samman med att regler ur direktivet är direkt överförda till lagen. Dessa regler är så allmänt hållna att de kräver precisering och anpassning till svenska förhållanden. Precisering kommer med den föreslagna lagstift- ningstekniken i stället att behöva göras i ett senare led av någon annan, re- geringen, tillämpande myndighet eller enskilda. Särskilt bekymmersamt är att man inte direkt kan utläsa vad som är tillåtet resp. förbjudet. När det gäller behandling av personuppgifter har från direktivet till lag- förslagets 10 § g) hämtats att personuppgifter får behandlas oberoende av samtycke för ändamål som rör ett berättigat intresse hos den persondata- ansvarige eller hos sådana tredje män till vilka personuppgifterna lämnas ut när detta intresse väger tyngre än den registrerades intresse. Denna be- stämmelse är inte bara alltför generellt utformad och därför svår att til? ?lämpa utan också alltför tillåtande. Av motiveringen kan utläsas att 706 Särskilda yttranden: SOU 1997: 39 den bl.a. tar sikte på marknadsföring. Behandling för direkt marknadsföring bör i vart fall inte vara tillåten av uppgifter som lämnats med tvång till en myndighet utan att den som uppgifterna gäller i förväg gett sitt samtycke. Kommersialiseringen av offentliga uppgifter, dvs. behandling för kommersiella ändamål av uppgifter som man inte kan underlåta att lämna till myndigheter, är ett allvarligt integritetsproblem. En sådan behandling strider också mot grundtanken i direktivet om behandling för på förhand bestämda ändamål. Även om det rör sig om uppgifter som är harmlösa i sig kan en behandling komma att ske på ett sätt som kränker enskildas personliga integritet och där den enskilda har mycket svårt att värja sig särskilt vid behandling utanför . Ett särskilt bekymmer i detta sammanhang är också SPAR och dess försäljning av personuppgifter för kommersiella ändamål. En verksamhet som mot bakgrund av direktivet starkt kan ifrågasättas. En viktig tanke bakom de nya reglerna är att tillsynsmyndigheten skall befrias från en rad rutinuppgifter. skapas en ny sådan uppgift i 4 § tredje stycket. Denna uppgift skulle mycket väl kunna utföras av någon annan myndighet, t.ex. . Den som söker en uppgift om vem som företräder ett utländskt bolag eller dess dotterbolag i vänder sig rutinmässigt ändå dit i alla frågor. I 20 § föreslås ett bemyndigande att föreskriva undantag från förbudet att behandla känsliga uppgifter. Undantaget kan avse i princip vad som helst och bör för att tillgodose integritetsskyddet begränsas så att det för undantag inte är tillräckligt med ett allmänt intresse av enbart ekonomisk natur. Överföring av personuppgifter till stater som anslutit sig till Europarå- dets konvention om skydd för enskilda vid automatisk behandling av per- sonuppgifter tillåts generellt i 34 § andra stycket. I vilken omfattning över- föringar till stater som inte är medlemmar i skall få ske kan inte vara enbart en nationell fråga. Syftet med direktivet är gemensamma regler inom EU och en gemensam hållning mot omvärlden. Det senare kan bara uppnås om de enskilda staterna och kommissionen tillsammans kommer fram till rimliga lösningar. Det gäller inte enbart . F.n. pågår förhandlingar inom EU huruvida EU skall ansluta sig till Euro- parådets dataskyddskonvention. Uppfattningarna huruvida konventionen tillgodoser dataskyddsdirektivet är divergerande länderna emellan. Något generellt undantag för konventionsländerna kan mot bakgrund härav inte tillrådas. SOU 1997: 39 Särskilda yttranden: 707 I 44 § finns en bestämmelse om straff för osanna uppgifter. Det straff- bara området har starkt begränsats och det föreslagna straffet är böter eller fängelse eller om brottet är grovt fängelse i högst . är straffmaximum fängelse vilket innebär en preskriptions- tid . De brott mot datalagen som anmäls är relativt få. De priorite- ras normalt inte särskilt högt hos polis- och åklagarmyndigheter vilket ofta innebär att brotten preskriberas innan de hunnit utredas. För att utredning skall komma till stånd behövs en längre preskriptionstid. Det innebär i sin tur att straffskalan bör omfatta fängelse i högst . Någon uppdelning i normalbrott och grovt brott bör inte göras. Hur grovt brottet varit får av- speglas i straffet. Vidare skulle med utredningens förslag möjligheterna att använda tvångsmedel, t.ex. beslag ytterligare begränsas. Den nya lagen skall enligt direktivet träda i kraft . Praktiska skäl eller traditioner i fråga om grundlags ikraftträdande kan inte motivera att lagen inte skulle träda i kraft förrän . Den tid som den gamla lagen skall tillämpas på redan pågående be- handlingar, i vart fall när det gäller register som förs med stöd av Datain- spektionens beslut eller författningar, bör vara så kort som möjligt. framstår som en tillräcklig övergångstid.