sou · GLB339d1 · 1998-01-01 00:00:00 — att se till att sådana yttranden offentliggörs i lämplig omfattning, att kunna besluta om blockering, utplåning eller förstöring av upp- gifter, att kunna besluta om tillfälligt eller slutligt förbud mot behandling, att kunna ge den registeransvarige varning eller tillrättavisning och att kunna hänvisa saken till det nationella parlamentet eller till andra politiska institutioner samt N befogenhet att inleda rättsliga förfaranden vid överträdelser av de natio- nella bestämmelser som antagits till följd av direktivet eller att upp- märksamma de rättsliga myndigheterna på sådana överträdelser. Varje tillsynsmyndighet har – oavsett vilken nationell lagstiftning som gäller för den aktuella behandlingen – behörighet att inom sin egen med- lemsstats territorium utöva dessa befogenheter. Varje myndighet kan av en myndighet i en annan medlemsstat anmodas att utöva sina befogenheter. Tillsynsmyndigheterna skall samarbeta med varandra i den utsträckning som behövs, särskilt genom att utbyta användbar information. (Artikel 28.6.) I artikel 29–30 finns det bestämmelser om internationellt samarbete 89 Regeringsbeslut , Dnr Ju 96/176. SOU 1997: 39 EG-direktivet om personuppgifter 159 inom en särskild arbetsgrupp som består av företrädare för de nationella tillsynsmyndigheterna och kommissionen (se avsnitt 3.18). Sådana beslut av tillsynsmyndigheten som går någon emot kan över- klagas till domstol (artikel 28.3 2 st.). Varje tillsynsmyndighet skall behandla framställningar som någon – eller en organisation som företräder denne – gör rörande skyddet för sina fri- och rättigheter avseende behandling av personuppgifter. Anmälaren skall informeras om vilka följder hans eller hennes anmälan har fått. (Artikel 28.4.) Varje tillsynsmyndighet skall vidare, särskilt, behandla framställningar om kontroll av lagligheten av en behandling av personuppgifter som faller under de nationella bestämmelserna om undantag och begränsningar enligt artikel 13 (se avsnitt 3.11 och 3.10.5). Anmälaren skall i vart fall informe- ras om att en kontroll har gjorts. Varje tillsynsmyndighet skall också regelbundet upprätta en rapport om sin verksamhet. Rapporten skall offentliggöras. (Artikel 28.5.) Medlemsstaterna skall föreskriva att tillsynsmyndighetens ledamöter och personal skall ha tystnadsplikt avseende förtrolig information som de har tillgång till. Tystnadsplikten skall gälla även efter det att anställningen vid myndigheten har upphört. (Artikel 28.7.) 3.18Tillsynsmyndigheterna inom EG bildar en arbetsgrupp I artikel 29–30 finns det bestämmelser om en rådgivande och oberoende arbetsgrupp för skydd av enskilda med avseende på behandling av person- uppgifter. Arbetsgruppen skall bestå av företrädare för de nationella till- synsmyndigheterna och en företrädare för den eller de myndigheter som har inrättats för gemenskapens institutioner samt en företrädare för kommissionen. Arbetsgruppen har vissa utredningsbefogenheter och kan utfärda rekommendationer på eget initiativ, men fungerar i övrigt främst som ett rådgivande organ till kommissionen. Det finns inte anledning att här gå närmare in på detaljbestämmelserna om arbetsgruppens sammansättning och funktion, vilka bestämmelser inte torde kräva några lagstiftningsåtgärder på det nationella planet. Den in- tresserade hänvisas i stället till direktivtexten (se bilaga 2). 160 EG-direktivet om personuppgifter SOU 1997: 39 3.19Medlemsstaterna ingår i en kommitté med kommissionen Enligt artikel 31 skall det bildas en kommitté av företrädare för medlems- staterna under ledning av en ordförande som företräder kommissionen. Kommittén skall biträda kommissionen genom att avge yttranden. Kom- missionen har vidare fått rätt att besluta om åtgärder i enlighet med kom- mitténs yttrande i fråga om överföring av personuppgifter utanför EG (se artikel 25.4, 25.6, 26.3 2 st. och 26.4 samt avsnitt 3.14). I fråga om detaljer rörande beslutsproceduren m.m. hänvisas till direktivtexten (se bilaga 2). Medlemsstaterna skall sätta i kraft de lagar och andra författningar som är nödvändiga för att följa direktivet senast efter det att direktivet an- togs, dvs. (artikel 32.1 1 st.). Den arbetsgrupp som avses i artikel 29–30 har emellertid, enligt uppgift, redan börjat arbeta. När sådana lagar och andra författningar för att genomföra direktivet offentliggörs skall de innehålla eller åtföljas av en hänvisning till direkti- vet. Närmare föreskrifter om hur den hänvisningen skall göras skall varje medlemsstat själv utfärda.90 (Artikel 32.1 2 st.) Medlemsstaterna skall vi- dare till kommissionen överlämna texten till de nationella bestämmelser som antas inom det område som omfattas av direktivet (artikel 32.4). Medlemsstaterna skall se till att sådan behandling som redan pågår när de nationella bestämmelser som antas till följd av direktivet träder i kraft bringas i överensstämmelse med dessa bestämmelser från denna tidpunkt, dvs. allra senast efter antagandet av direktivet eller . Från denna bestämmelse finns två undantag. För det första får medlemsstaterna i fråga om behandling av person- uppgifter som redan finns i register när de nationella genom- förandebestämmelserna träder i kraft föreskriva att behandlingen skall bringas i överensstämmelse med artikel 6–8 för 90Se för svensk del 18 a § författningssamlingsförordningen (1976:725) samt jämför Statsrådsberedningens PM 1996:4 s. 22 ff. SOU 1997: 39 EG-direktivet om personuppgifter 161 antagandet av direktivet, dvs. Med- lemsstaterna skall i detta fall emellertid ge den registrerade rätt att på begä- ran – särskilt när han eller hon utövar rätten att få tillgång till uppgifterna – få rättelse, utplåning eller blockering av uppgifter som är ofullständiga, felaktiga eller lagrade på ett sätt som inte är förenligt med de legitima än- damål som den registeransvarige vill uppnå. I punkt 69 i ingressen finns följande, något svårtolkade uttalande: För att möjliggöra ett kostnadseffektivt genomförande av [direktivet] skall medlemsstaterna tillåtas att under [] en tidsperiod, som löper ut efter dagen för antagandet av detta direktiv, vidta åtgärder för att säker- ställa att [] befintliga register bringas i överensstämmelse med vissa av direktivets bestämmelser. Uppgifter som ingår i dessa [] register och som behandlas manuellt under denna förlängda övergångs- period skall dock när de är föremål för en ytterligare sådan behandling bringas i överensstämmelse med dessa bestämmelser.91 Till mötesprotokollet har vidare fogats en förklaring av rådet och kommissionen som verkar innebära att register, som inte används aktivt, inte ens efter tolvårsperiodens utgång behöver anpassas till artiklar- na 6–8, om detta visar sig vara omöjligt eller skulle innebära en opropor- tionerligt stor ekonomisk insats.92 Förklaringen, som måste anses vara nå- got svårtolkad, lyder: Med avseende på de särskilda omständigheter som gäller för sådana personuppgifter som finns i register och som inte faktiskt behandlas efter att de nationella bestämmelser som antagits för att genom- föra detta direktiv trätt i kraft, men som på ett lagligt sätt förvaras med tanke på en eventuell framtida användning, anser rådet och kommissionen att artikel 32 i detta direktiv innehåller en skyldighet för den registeran- svarige att vid utgången av den tolvårsperiod som där avses vidta alla åt- gärder som rimligen kan krävas enligt vad som anges i artikel 6, 7 och 8 om detta inte visar sig vara omöjligt att genomföra eller innebära en opro- portionellt stor ekonomisk insats. Härvid måste hänsyn tas både till nöd- vändigheten att garantera skyddet av enskilda personers fri- och rättighe- ter, och till tillsynsmyndighetens befogenheter som anges i artikel 28 i detta direktiv. Medlemsstaterna får – för det andra – också föreskriva att uppgifter som bara bevaras för historisk forskning inte behöver överensstämma med 91Jämför punkt 8.6 i det brittiska remissunderlaget. 92Se punkt 8.8–10 i det brittiska remissunderlaget. 162 EG-direktivet om personuppgifter SOU 1997: 39 artikel 6–8. Detta förutsätter emellertid att det finns lämpliga skyddsåtgär- der. (Artikel 32.3.) I punkt 70 i ingressen klargörs att det inte är nödvändigt att den regist- rerade på nytt lämnar sitt samtycke för att den registeransvarige skall, efter ikraftträdandet av genomförandebestämmelserna, få fortsätta att behandla känsliga uppgifter när behandlingen är nödvändig för att genomföra ett avtal som har slutits på grundval av ett frivilligt och informerat samtycke före ikraftträdandet. I artikel 33 finns slutligen bestämmelser om att kommissionen regel- bundet skall avge en rapport om genomförandet av direktivet, eventuellt med ändringsförslag. Kommissionen skall också särskilt undersöka til? ?lämpningen av direktivet på behandling av ljud- och bilduppgifter. Kommissionen skall lägga fram alla lämpliga förslag som med beaktande av informationsteknikens och informationssamhällets utveckling visar sig nödvändiga. 3.21Den fortsatta utvecklingen inom EG Rådet antog en gemensam ståndpunkt (nr 57/96) inför antagandet av ett EG-direktiv om behandling av personuppgifter och skydd för privatlivet inom telekommunikationsområdet, särskilt när det gäller det digitala flertjänstnätet (ISDN) och allmänt tillgängliga digi- tala mobila nät.93 Enligt uppgift är det troligt att ett direktiv i huvudsak i enlighet med den gemensamma ståndpunkten kommer att utfärdas . Avsikten är att direktivet skall träda i kraft samti- digt som EG-direktivet om behandling av personuppgifter, dvs. Ett EG-direktiv i enlighet med den gemensamma ståndpunkten kan sä- gas precisera och komplettera bestämmelserna i det generella EG-direkti- vet om behandling av personuppgifter såvitt avser telekommunikationsom- rådet. Det finns t.ex. bestämmelser om när och hur personuppgifter som utgör s.k. trafikdata får behandlas för olika ändamål, såsom fakturering, marknadsföring och nummerpresentation. 93 EGT nr C 315, 24.10.96, s. 30. SOU 1997: 39 EG-direktivet om personuppgifter 163 Enligt uppgift pågår vidare arbete inom kommissionen med att under- söka hur den personliga integriteten skall skyddas i samband med an- vändningen av Internet. SOU 1997: 39 4 Övriga internationella regler Även inom och har det förekommit visst arbete på per- sondataskyddsområdet. har i kapitel 4 i sitt slutbetänkande lämnat en re- dovisning av den internationella utvecklingen på dataskyddsområdet. Den redovisningen är – frånsett vad som anfördes om det då föreliggande för- slaget till EG-direktiv – fortfarande aktuell och vi kan därför hänvisa till vad anfört. En rekommendation från , som bör nämnas i sammanhanget, har dock kommit till efter det betänkan- det: rekommendation av om persondata- skydd vid telekommunikation.94 Som bilagor till slutbetänkande finns vidare (i engelsk version) viktigare internationella grunddokument bifogade; riktlinjer och konvention95 och rekommendationer i fråga om anställning, forskning och statistik samt direktreklam. Däremot verkar själva rekommendationen från inte ha bifogats (bara de bi- lagda riktlinjerna). R (95) 4 on the protection of personal data in the area of telecommunication services, with particular reference to telephone services. 95Europarådets konvention finns i engelsk, fransk och svensk version som bilaga 4 till prop. 1981/82:189 (s. 188 ff.). 166 Övriga internationella regler SOU 1997: 39 RECOMMENDATION OF THE COUNCIL CONCERNING GUIDELINES GOVERNING THE PROTECTION OF PRIVACY AND TRANSBORDER FLOWS OF PERSONAL DATA Adopted by the Council 23rd , 1980 Having regard to articles 1(c), 3(a) and 5(b) of the Convention on of 14th , 1960; that, although national laws and policies may differ, Member countries have a common interest in protecting privacy and individual liberties, and in reconciling funda- mental but competing values such as privacy and the free flow of information; that automatic processing and transborder flows of personal data create new forms of relationships among countries and require the development of compatible rules and practices; that transborder flows of personal data contribute to economic and social development; that domestic legislation concerning privacy protection and transborder flows of per- sonal data may hinder such transborder flows; Determined to advance the free flow of information between Member countries and to avoid the creation of unjustified obstacles to the development of economic and social relations among Member countries; 1.That Member countries take into account in their domestic legislation the principles concerning the protection of privacy and individual liberties set forth in the Guide- lines contained in the to this Recommendation which is an integral part thereof; 2.That Member countries endeavour to remove or avoid creating, in the name of pri- vacy protection, unjustified obstacles to transborder flows of personal data; 3.That Member countries co-operate in the implementation of the Guidelines set forth in the ; 4.That Member countries agree as soon as possible on specific procedures of consulta- tion and co-operation for the application of these Guidelines. SOU 1997: 39 Övriga internationella regler 167 rekommendationer på särskilda områden redovisar vi i det följande i den mån det behövs i anslutning till att vi behandlar det område som rekommendationen rör. Följande rekommendationer bör nämnas i sammanhanget. N Recommendation No. R (81) 1 on regulations for automated data banks (medicinska databanker). N Recommendation No. R (83) 10 on the protection of personal data used for scientific research and statistics (skydd för personuppgifter som an- vänds för vetenskaplig forskning eller statistik)96. N Recommendation No. R (85) 20 on the protection of personal data used for the purposes of direct marketing (skydd för personuppgifter som an- vänds för direkt marknadsföring)97. N Recommendation No. R (86) 1 on the protection of personal data used for social security purposes (skydd för personuppgifter som används inom socialförsäkringen). N Recommendation No. R (87) 15 regulating the use of personal data in the sector (användningen av personuppgifter inom polisens om- råde)98. N Recommendation No. (89) 2 on the protection of personal data used for employment purposes (skydd för personuppgifter som används för an- ställningsändamål)99. N Recommendation No. R (90) 19 on the protection of personal data used for payment and other related operations (skydd för personuppgifter som används i samband med betalning eller liknande). N Recommendation No. R (91) 10 on the communication to third parties of personal data held by public bodies (om utlämnande till tredje man av personuppgifter som finns hos offentliga organ). N Recommendation No. R (95) 4 on the protection of personal data in the area of telecommunication services, with particular reference to tele- phone services (skydd för personuppgifter vid telekommunikation). För att underlätta för läsarna har vi beträffande de allmänna reglerna i riktlinjer och konvention valt att i detta avsnitt ta in en samlad redovisning på svenska. Redovisningen har hämtats från Data- 96Finns som bilaga 3 till SOU 1993:10. Se också avsnitt 11.4.1 i förevarande be- tänkande. 97Finns som bilaga 3 till SOU 1993:10. 98Finns som bilaga 3 till SOU 1996:35. 99Finns som bilaga 3 till SOU 1993:10. Jämför den Code of practice on the pro- tection of workers privacy som antogs av . 168 Övriga internationella regler SOU 1997: 39 lagsutredningens slutbetänkande.100 Avslutningsvis i detta avsnitt berör vi något frågan om utländska rättsordningar. för ekonomiskt samarbete och utveckling, , har en expert- grupp utarbetat vissa riktlinjer i fråga om integritetsskyddet och persondataflödet över gränserna, the Protection of Privacy and Transborder Flows of . Riktlinjerna antogs av tillsammans med en re- kommendation till medlemsländernas regeringar om att beakta riktlinjerna i nationell lagstiftning. Samtliga medlemsländer, däribland , har godtagit rekommendatio- nen och därmed åtagit sig att följa denna. Ytterligare åtgärder som t.ex. ratifikation av medlemsländerna krävs inte varför riktlinjerna har trätt i kraft. Någon preciserad tid- punkt för när kraven enligt riktlinjerna skall vara genomförda finns inte. Enligt rekommendationen skall medlemsländerna i sin nationella lagstiftning beakta de principer om personlig integritet och individens grundläggande rättigheter som har presenterats i de riktlinjer som fogats till rekommendationen. Medlemsländerna skall vidare försöka undanröja opåkallade hinder för internationell datakommunikation som gäller personuppgifter och undvika att nya sådana skapas under förevändning av behov av skydd för personlig integritet. Samarbete skall bedrivas vid verkställigheten av rikt- linjerna och skall länderna avtala om särskilda procedurer för överläggningar och samarbete som gäller tillämpningen av riktlinjerna. Syftet med riktlinjerna är att söka undvika de risker för personlig integritet och indi- videns frihet som personuppgifter kan utgöra på grund av det sätt på vilket de behandlas, på grund av uppgifternas natur eller på grund av det sammanhang i vilket de används. Riktlinjerna är tillämpliga på personuppgifter både inom den offentliga och den privata sektorn. De är tillämpliga både för uppgifter som lagras automatiskt och uppgifter som förs manuellt. Det finns inget hinder mot att man tillämpar olika skyddsåtgärder för olika slag av persondata, att man från riktlinjernas tillämpning undantar persondata som uppenbart inte innebär någon risk för personlig integritet eller att man tillämpar riktlinjerna endast på automatisk databehandling av personuppgifter. Undantagen från riktlinjernas grundläggande principer för nationell och internationell tillämpning skall vara så få som möjligt och göras kända för allmänheten. Riktlinjerna skall betraktas som minimiregler, varför ingenting hindrar att integritetsskyddet görs mer omfattande. Riktlinjerna innehåller en särskild avdelning som behandlar åtta grundläggande principer rörande skyddet för personlig integritet på det nationella planet. 1.Insamlingen av personuppgifter skall vara begränsad och uppgifter skall inhämtas på ett lagligt och korrekt sätt samt, när det är skäligt, med den registrerades kännedom eller samtycke (Collection Limitation Principle). 2.Personuppgifter skall vara relevanta för de ändamål för vilka de skall användas och, i den utsträckning det behövs för dessa ändamål, vara riktiga och fullständiga samt hållas aktuella (Data Quality Principle). 100 Konventionen och riktlinjerna behandlas i prop. 1981/82:189 s. 42 ff. SOU 1997: 39 Övriga internationella regler 169 3.De ändamål för vilka personuppgifterna samlas in skall vara preciserade senast vid insamlingen. Den efterföljande användningen skall vara begränsad till att uppfylla dessa ändamål eller sådana ändamål som är förenliga med ursprungsändamålen och som preciseras vid varje förändring (Purpose Specification Principle). 4.Personuppgifter får inte röjas, göras tillgängliga eller på annat sätt användas för andra ändamål än de preciserade, om det inte sker med den registrerades medgivande eller med stöd av författning (Use Limitation Principle). 5.Personuppgifter skall genom rimliga säkerhetsåtgärder skyddas mot risker för förlust eller otillåten tillgång, förstörelse, användning, förändring eller otillåtet röjande (Security Safeguards Principle). 6.En öppenhet skall råda beträffande personuppgifter i fråga om utveckling, tillämp- ning och policy. Det skall vara möjligt att få veta existensen och beskaffenheten av personuppgifter samt huvudändamålen för vilka de används. Det skall också vara möjligt att få uppgift om vem som är registeransvarig och om var denne finns (Openness Principle). 7.Den enskilde skall ha rätt att av den registeransvarige eller av annan få reda på om denne har personuppgifter om honom/henne, att få sig tillsänt eventuella personupp- gifter inom rimlig tid, utan alltför stor kostnad, på rimligt sätt och i begriplig form. Vidare skall den enskilde ha rätt att vid avslag på en begäran om uppgifter få veta skälen härför och ha möjlighet att överklaga. Den enskilde skall även ha rätt att ifrå- gasätta uppgifter som gäller honom eller henne och, om så är nödvändigt, få dessa ut- raderade, rättade eller kompletterade (Individual Participation Principle). 8.Den registeransvarige skall ha ansvaret för att de lagstiftningsåtgärder eller andra åtgärder som vidtas för att genomföra de tidigare angivna principerna följs (Accountability Principle). En avdelning av riktlinjerna innehåller principer för internationell tillämpning. Här före- skrivs bl.a. att medlemsländerna skall vidta alla rimliga och lämpliga åtgärder för att se till att personuppgifter kan passera gränserna säkert och utan avbrott. Vidare skall med- lemsländerna avhålla sig från att göra inskränkningar i fråga om flödet av personuppgif- ter från det egna landet till andra medlemsländer. Sådana inskränkningar är dock tillåtna i förhållande till ett annat land, om detta inte iakttar riktlinjerna eller om personuppgifter bara skall passera genom det andra landet till ett tredje land och avsändarlandets integri- tetslagstiftning därigenom kringgås. Ett medlemsland får också göra inskränkningar i fråga om personuppgifter för vilka den inhemska integritetslagstiftningen innehåller särskilda skyddsregler, om sådana uppgifter inte har ett likvärdigt skydd i mottagarlan- det. Medlemsländerna skall undvika att – under åberopande av skydd för personlig in- tegritet och individens friheter – i lag, tillämpning eller förfarande ställa upp hinder för flödet av personuppgifter över gränserna som går utöver vad som är nödvändigt för så- dant skydd. Regler om ömsesidigt bistånd mellan medlemsländerna m.m. finns i en särskild av- delning av riktlinjerna. Medlemsländerna skall införa legala, administrativa eller andra förfaranden eller vidta andra åtgärder för att beträffande personuppgifter ge skydd för personlig integritet och individens friheter. Medlemsländerna skall särskilt sträva efter att anta lämplig inhemsk lagstiftning, att främja och understödja självreglering i form av etiska regler eller på annat sätt, att införa lämpliga sanktioner och rättsmedel samt att se till att registrerade inte utsätts för orättvis särbehandling. På begäran skall medlemslän- derna ge ett annat medlemsland upplysning om hur de principer iakttas som riktlinjerna innehåller. Medlemsländerna skall också se till att de förfaranden som til? 170 Övriga internationella regler SOU 1997: 39 flöden av personuppgifter över gränserna och för skyddet av personlig integritet och individens friheter är enkla och jämförbara med dem som andra medlemsländer tilläm- par. Medlemsländerna skall vidare genom särskilda förfaranden underlätta utbyte av in- formation rörande riktlinjerna och ömsesidigt bistånd i fråga om de förfaranden och ut- redningar som kan bli aktuella. Vidare skall medlemsländerna arbeta för att utveckla in- hemska och internationella principer för vilket lands lag som blir tillämplig i fråga om flöden av personuppgifter över gränserna. Internationella associationer och företag, som tion (), i , , och har antagit egna regler om dataskydd som bl.a. bygger på riktlinjer. antog en konvention till skydd för enskilda vid automatisk databehandling av personuppgifter, Convention for the Protection of Indi- viduals with regard to Automatic Processing of , den s.k. dataskyddskon- ventionen. Till konventionen har fogats en förklarande rapport av den expertgrupp inom som utarbetat konventionstexten. Konventionen trädde i kraft , då kravet var uppfyllt att fem med- lemsländer tillträtt konventionen.101 Konventionens syfte är att säkerställa respekten för grundläggande fri- och rättighe- ter, särskilt den enskildes rätt till personlig integritet i samband med automatisk databe- handling av personuppgifter.