sou · GLB339d2 · 1998-01-01 00:00:00 — 288En myndighets behandling för kontrolländamål eller liknande av personuppgifter hos någon annan torde för övrigt ofta vara oförenlig med de ändamål för vilka uppgifterna ursprungligen samlades in (artikel 6 b) och därför under alla för- hållanden kräva undantagsregler i särskild lagstiftning (se artikel 13 som tillåter sådana undantag i vissa fall). Härtill kommer givetvis att den maktutövning gent- emot enskilda som här avses alltid torde behöva ha författningsstöd. SOU 1997: 39 Innehållet i den nya persondatalagen 337 anses som persondataansvarig. Det kan t.ex. gälla den som söker uppgifter i en databas över ett nätverk eller den som köper en diskett eller cd-rom- skiva med personuppgifter. Innehavare av telefonkatalogen eller statska- lendern är andra exempel. Det karakteristiska är här att någon har rätt att komma åt uppgifterna och t.ex. söka bland dem, men inte självständigt ändra, komplettera eller radera uppgifterna. Enligt vår mening talar mycket för att den som bara har sådan begränsad tillgång till uppgifterna inte kan anses ha sådan bestämmanderätt över ändamålen med och medlen för be- handlingen att han eller hon kan anses som persondataansvarig. Om den aktuella personen – med eller utan rättslig befogenhet – faktiskt börjar be- stämma över ändamålen med och medlen för behandlingen, t.ex. genom att ändra, komplettera eller radera bland uppgifterna, får han eller hon där- emot anses som persondataansvarig. Av vad som sägs i avsnitt 7.2.4 fram- går att rent privat användning av personuppgifter dock faller utanför den föreslagna lagen. I punkt 47 i ingressen till EG-direktivet berörs frågan vem som är per- sondataansvarig för personuppgifter i ett meddelande som förmedlas av någon som sysslar med telekommunikation eller elektronisk post (se av- snitt 3.2.2.5). Av vad som sägs där framgår att det normalt är avsändaren av meddelandet och inte förmedlaren som är att anse som persondata- ansvarig. Däremot blir förmedlaren normalt att anse som persondata- ansvarig för de personuppgifter som han eller hon lägger till för att kunna förmedla meddelandet. Av EG-direktivet följer att det för en och samma uppgiftsbehandling kan finnas två eller flera persondataansvariga. För att någon skall anses som persondataansvarig räcker nämligen att han eller hon tillsammans med andra kan bestämma ändamålen med och medlen för behandlingen. I EG- direktivet finns inga egentliga riktlinjer för bedömningen av när en re- spektive flera skall anses vara persondataansvariga för en och samma be- handling.289 Frågan är därför svårbedömd. 289Jämför vad som refereras i avsnitt 3.2.2.7 från kommissionens förklaring till di- rektivförslaget. 338 Innehållet i den nya persondatalagen SOU 1997: 39 Flera personer, företag, myndigheter och filialer kan samarbeta i någon mer eller mindre sammanhållen organisation som sysslar med behandling av personuppgifter: N Dörrförsäljare, försäkringsmäklare eller andra fristående företagare kan samla in uppgifter för vidareförmedling till en huvudman, t.ex. en syma- skinstillverkare eller ett försäkringsbolag. N En radiohandlare kan med hjälp av ett försäkringsbolag i eget namn er- bjuda försäkring avseende sålda varor, varvid radiohandlaren samlar in uppgifter från kunderna för vidareförmedling till försäkringsbolaget. N En resebyrå samlar in personuppgifter för vidareförmedling till olika transportföretag, hotell etc. N En bank eller ett försäkringsbolag har flera filialer runt om i landet som samlar in personuppgifter. N Dotterbolag i en koncern kan behöva föra insamlade personuppgifter vidare till moderbolaget, t.ex. rörande anställda eller kunder. I dessa – och andra – fall kan man fråga sig vem eller vilka som är person- dataansvariga respektive, med EG-direktivets terminologi, registerförare (persondatabiträde), tredje man eller mottagare. I direktivet talas också om personer som under den persondataansvariges respektive registerförarens (persondatabiträdets) direkta ansvar har befogenhet att behandla person- uppgifter (artikel 2 f, jämför artikel 16); sådana personer kallas i det följande för medhjälpare. Något entydigt svar kan inte utläsas av EG- direktivet. Enligt vår mening är det möjligt att resonera på följande sätt. När en juridisk person eller en myndighet bedriver en viss uppgiftsbe- handling, bör den juridiska personen eller myndigheten anses som person- dataansvarig även om verksamheten bedrivs i filialer eller andra organisa- toriska enheter. Som huvudregel bör bara fysiska personer, juridiska per- soner, utländska filialer eller myndigheter i kunna betraktas som persondataansvariga, inte några andra organ (som saknar rättskapacitet). Ett undantag måste kanske göras för det fallet att ett organ, som är en gren av en utländsk juridisk person, skall anses etablerad i . Det terri- toriella tillämpningsområdet för den föreslagna lagen berörs närmare i av- snitt 12.3; där framgår vidare att vad som sägs i den föreslagna lagen om den persondataansvarige skall tillämpas också på den företrädare som en utländsk persondataansvarig har utsett. Den som är anställd och inom ramen för arbetsgivarens verksamhet be- handlar personuppgifter bör inte kunna anses som persondataansvarig; ar- SOU 1997: 39 Innehållet i den nya persondatalagen 339 betsgivaren är då den persondataansvarige och den anställde en medhjälpa- re. Frågan om någon – en fysisk person som är självständig företagare, en juridisk person eller en myndighet – som inte är anställd hos den personda- taansvarige kan betraktas som medhjälpare är svår att besvara. Medhjälpare är sådana personer som behandlar personuppgifter under den persondataansvariges direkta ansvar (artikel 2 f), och persondatabi- träden är sådana personer som behandlar personuppgifter för den person- dataansvariges räkning (artikel 2 e). Men den persondataansvarige torde ha t.ex. skadeståndsansvar gentemot den registrerade även för vad ett per- sondatabiträde kan företa sig (artikel 23). När det gäller medhjälpare talas det bara om personer, medan det beträffande persondatabiträde framgår att såväl fysiska som juridiska personer avses. Såväl medhjälpare som per- sondatabiträden får (som huvudregel) bara behandla personuppgifter enligt instruktion från den persondataansvarige (artikel 16). Mellan den person- dataansvarige och persondatabiträdet skall det finnas ett skriftligt avtal med visst innehåll (artikel 17.3–4), och det finns vissa regler om den per- sondataansvariges val av persondatabiträde (artikel 17.2). Några motsva- rande regler finns inte beträffande medhjälpare. Enligt vår mening finns det en hel del som talar för att som huvudregel bara fysiska personer enligt direktivet kan betraktas som medhjälpare och att dessa personer måste ha en sådan osjälvständig ställning som i utmärker arbetstagare. Om en persondataansvarig anlitar en självständig företagare, en juridisk person eller en myndighet för att utföra behandling av personuppgifter, framstår det således inte som osannolikt att den anli- tade kommer att betraktas antingen som persondatabiträde eller som per- sondataansvarig (tillsammans med den som lämnade uppdraget). Huruvida den anlitade blir att betrakta som persondatabiträde eller persondataansva- rig verkar närmast hänga samman med om han eller hon har befogenhet att självständigt eller tillsammans med den som lämnade uppdraget bestämma över hur uppgiftsbehandlingen skall ske, t.ex. söka bland uppgifterna. Den behandling som sker inom ramen för en koncern kan möjligen ut- göra ett undantag från vad som sagts. Av vad som sägs i punkt 19 i in- gressen verkar nämligen framgå att en enda persondataansvarig kan be- driva verksamhet genom självständiga juridiska personer, t.ex. dotterbolag, i flera olika stater. 340 Innehållet i den nya persondatalagen SOU 1997: 39 12.2.7Personuppgifter och den registrerade Med personuppgift avses enligt EG-direktivet varje upplysning som avser en fysisk person som är identifierad eller som kan identifieras. Av de utta- landen som tagits till rådets protokoll i samband med att den gemensamma ståndpunkten beträffande direktivet antogs framgår att medlemsstaterna kan bestämma om uppgifter om avlidna personer skall omfattas av den na- lagstiftningen (se avsnitt 3.2.2.2). Vi anser att möjligheten att begränsa tillämpningen av lagen till att avse bara uppgifter om personer som är i livet bör utnyttjas.290 Reglerna i den föreslagna lagen är nämligen så långtgående att de bör reserveras för de fall där behovet av skydd för personlig integritet beträffande behandling av uppgifter om den berörde är mest uttalat, nämligen när det gäller den som är levande och som själv kan ha ett eget anspråk på personlig integritet i detta hänseende. De regler som förutsätter att den registrerade har lämnat sitt samtycke eller som innebär att den registrerade skall informeras skulle vidare i vissa fall bli svåra att tillämpa beträffande den som inte lever. Det skulle enligt vår mening krävas flera särregler i lagstiftningen beträffande uppgifter om den som inte lever. Behovet av skydd beträffande uppgifter om icke levande är som vi ser det inte så uttalat att sådana särregler bör införas. Uppgifter om den som enligt svensk rätt skall betraktas som avliden292 eller som ännu icke levande (född) omfattas således inte av den föreslagna lagen. Däremot omfattas givetvis uppgifter om vem som är släkt med den som är avliden eller om vem som kommer att bli förälder när ett föds levande, allt under förutsättning att de aktuella släktingarna är i livet. Det kan tilläggas att en uppgift beträffande en persons arvsanlag (DNA) kan vara en uppgift som avser flera personer, eftersom denna upp- gift i kombination med andra uppgifter med dagens teknik kan ge upplys- ningar om t.ex. den personens föräldrar och avkomma. 290Också den brittiska regeringen avser att begränsa tillämpningsområdet för den lagstiftning som inför direktivet till levande individer, se punkt 2.2 i det brittiska diskussionsunderlaget. 291När det gäller visst spridande av uppgifter om döda finns det för övrigt redan ett begränsat skydd genom reglerna om förtal av avliden i 5 kap. 4 § . 292Se lagen (1987:269) om kriterier för bestämmande av människans död och be- stämmelserna om dödförklaring i 25 kap. . SOU 1997: 39 Innehållet i den nya persondatalagen 341 Uppgifter om juridiska personer omfattas inte, även om den juridiska personen skulle råka ägas av en eller ett fåtal fysiska personer eller ha en benämning (firma) som innefattar ett personnamn. Däremot omfattas upp- gifter om en enskild firma, eftersom innehavaren av en sådan firma alltid är en enda fysisk person. Krypterade uppgifter omfattas av den föreslagna lagen så länge någon kan göra uppgifterna läsbara och därmed identifiera individer. Också så- dana i sig anonyma uppgifter som gör det möjligt med s.k. bakvägsidenti- fikation av en fysisk person omfattas. Det krävs såvitt vi kan förstå enligt direktivet bara att en fysisk person kan identifieras med hjälp av uppgif- terna, inte att den persondataansvarige själv skall förfoga över samtliga uppgifter som gör identifieringen möjlig. Ett trafikföretag kan t.ex. regist- rera när ett personligt och numrerat s.k. månadskort används vid resor. Även om trafikföretaget inte registrerat vem som innehar månadskortet, kan det ändå vara fråga om en personuppgift eftersom den uppgiften kan finnas registrerad på något annat håll, t.ex. hos den skola eller socialför- valtning som delat ut kortet. Motsvarande resonemang kan för övrigt föras beträffande s.k. nätnodsadresser och liknande elektroniska identiteter som den som driver en elektronisk tjänst på t.ex. Internet samlar in. Sådana uppgifter om användarna kan nämligen ofta hänföras till en individ med hjälp av uppgifter som användarens Internetleverantör har tillgång till. Det bör även påpekas att i vissa fall kan uppgifter direkt hänföras till en så be- gränsad grupp personer, t.ex. en handfull personer med tillgång till en och samma dator eller nätanslutning, att en enskild individ med hjälp av andra uppgifter enkelt kan identifieras och att uppgifterna då får betraktas som personuppgifter. Det framgår inte av direktivet att kostnaden eller tidsåtgången för iden- tifiering skulle ha någon betydelse. Vi har valt att formulera definitionen av personuppgifter något annor- lunda än i EG-direktivet. Enligt vår mening är vår formulering av defini- tionen – all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet – mera lättbegriplig och beskrivande. Någon saklig skillnad är inte avsedd. Begreppet register har bara betydelse när personuppgifter behandlas ma- nuellt. Automatisk behandling av personuppgifter omfattas nämligen av direktivet och den föreslagna lagen oavsett om uppgifterna finns i ett regis- 342 Innehållet i den nya persondatalagen SOU 1997: 39 Däremot omfattas behandling av personuppgifter bara om uppgifterna ingår i – eller är avsedda att ingå i – ett register. Ett register är en samling av personuppgifter. Det måste som vi ser det finnas uppgifter samlade om fler än en person för att det skall kunna vara fråga om ett register; en omfattande samling uppgifter om en enda person, t.ex. den som själv samlat in uppgifterna, är således inte något register. För att något skall kunna sägas vara en samling krävs vidare enligt vår mening en viss beständighet. En hög med lösa papper, t.ex. studentuppsatser, på ett skrivbord omfattas således inte, även om papperena tillfälligtvis råkar vara sorterade i bokstavsordning efter (studenternas) efternamn. Däremot krävs inte i och för sig att alla handlingar eller akter i ett register finns på ett och samma ställe. Om personuppgifter i handlingar eller akter som är ut- spridda, t.ex. på olika håll i landet eller inom ett företag, är tillgängliga exempelvis med hjälp av ett centralt index, kan det ändå vara fråga om ett enda register. Ett företag kan t.ex. ha ett kortregister som innehåller kun- dernas namn och en hänvisning till det ställe, t.ex. en filial, där kundens akt (med ytterligare personuppgifter) finns. Uppgiftssamlingen måste vidare vara strukturerad. Därmed avses en- ligt vår mening att uppgifterna måste vara sorterade enligt något slags system. Det krävs dessutom att uppgifterna i samlingen är tillgängliga en- ligt särskilda kriterier. Man måste alltså kunna söka bland uppgifterna i samlingen för att det skall vara fråga om ett register. Av punkt 27 i in- gressen framgår att kriterierna skall avse enskilda personer. Ett manuellt register som visserligen innehåller personuppgifter men som inte är sök- bart med hjälp av någon personuppgift (namn, personnummer etc.) om- fattas således inte av den föreslagna lagen. Det kan t.ex. vara fråga om ak- ter som har ordnats efter löpnummer utan möjlighet att – med hjälp av löp- numret eller eljest – söka fram uppgifter om enskilda personer. Av det för- hållandet att det i den svenska, engelska, franska och tyska texten talas om kriterier i pluralis kan den slutsatsen dras att registret måste vara sökbart på mer än ett kriterium. En förteckning i bokstavsordning över personer, t.ex. hushållsdelen i telefonkatalogen, skulle således inte vara ett register, om namnet är den enda sökingången. Huruvida alla kriterier eller bara ett kriterium måste avse personuppgifter framstår som mera oklart. I avsnitt 12.2.6 har vi berört hur man kan betrakta t.ex. innehavare av en tryckt telefonkatalog eller statskalendern. Det kan tilläggas att begreppet register förefaller förhållandevis ända- målsenligt när det gäller att avgränsa vilka behandlingar som omfattas av direktivet och den föreslagna lagen; när personuppgifter har SOU 1997: 39 Innehållet i den nya persondatalagen 343 fästs på papper är det ganska enkelt att avgöra om papperena har strukture- rats och om de papper som innehåller uppgifter om en viss person enkelt kan göras tillgängliga. I fråga om automatiskt behandlade uppgifter som finns i datorformat förefaller begreppet register däremot mestadels skapa tillämpningsproblem; uppgifterna är i detta fall inte fästa vid något fysiskt, som har struktureras, och dagens teknik gör att vilka uppgifter som helst enkelt kan göras tillgängliga mer eller mindre oberoende av var de finns. Det nu sagda hindrar givetvis inte att det som faktiskt är ett regelrätt datoriserat register också kallas för det. Flertalet särskilda registerförfatt- ningar rör ju just upprättandet och förandet av traditionella register, och registerformen har därvid ofta valts medvetet för att skapa förutsebarhet och säkerhet beträffande de uppgifter som behandlas; uppgifterna skall läggas in i ett på visst sätt strukturerat register och får tas fram bara med hjälp av vissa angivna sökkriterier. I EG-direktivet finns inledningsvis en grundläggande definition av sam- tycke (artikel 2 h). Definitionen har förts över till den föreslagna personda- talagen. I de materiella reglerna i direktivet talas det sedan om otvetydigt samtycke (artikel 7 a och 26.1 a) respektive uttryckligt samtycke (artikel 8.2 a). Det förefaller oklart vad förstärkningsorden otvetydigt och uttryckligt har för materiell betydelse vid sidan av den grundläggande definitionen. Antingen har den registrerade samtyckt till behandlingen eller så har han eller hon inte gjort det; något mellanläge finns inte. I den meningen måste samtycket givetvis alltid vara otvetydigt. Samtycket måste vidare alltid vara en viljeyttring från den registrerade, och den vilje- yttringen måste alltid i någon mening vara uttrycklig. Mot bakgrund av det sagda har vi valt att i de materiella bestämmelserna i den föreslagna persondatalagen bara tala om samtycke. Någon saklig skillnad i förhållan- de till EG-direktivet är inte avsedd. Av definitionen framgår att samtycket skall vara Samtycket skall också vara en 344 Innehållet i den nya persondatalagen SOU 1997: 39 Det krävs inte att samtycket är skriftligt. Det måste vidare vara den registrerade293 som genom viljeyttringen godtar behandlingen av personuppgifter. Det är alltså inte tillräckligt att en organisation – t.ex. en fackförening – som den registrerade tillhör godtar behandling av uppgifter om sina medlemmar; samtycket måste i den me- ningen vara individuellt. Frågan om samtycket i alla lägen måste avges personligen, dvs. av den registrerade själv, är svår att besvara i avsaknad av ledning från direktiv- texten. Det verkar klart att ett ombud, en ställföreträdare eller en god man kan framföra den registrerades frivilliga, särskilda och informerade vilje- yttring till den persondataansvarige (eller dennes ombud). Men kan ett ombud, som fått information, genast lämna samtycke för en registrerad som inte (ännu) blivit informerad om behandlingen? Kan ett ombud eller en ställföreträdare med stöd av en generell behörighet att företräda den re- gistrerade lämna ett särskilt samtycke? Enligt vår mening bör ett ombud eller en ställföreträdare kunna lämna samtycke på den registrerades vägnar. Av artikel 8.2 c verkar framgå att den registrerade kan vara rättsligt förhindrad att lämna sitt samtycke. Detta tyder på att medlemsstaterna själva kan bestämma vilka rättsliga förutsättningar som skall finnas för att ett samtycke skall ha rättslig giltighet. Enligt vår mening bör man inte ställa upp några särskilda, rättsliga krav för att någon skall få avge ett samtycke. Ett samtycke måste, som framgått av det tidigare sagda, vara en informerad viljeyttring från den registrerade. Den som faktiskt kan tillgo- dogöra sig information om vad en behandling innebär och som faktiskt kan avge en frivillig viljeyttring som innebär att han eller hon godtar behand- lingen bör kunna lämna ett rättsligt giltigt samtycke. Den viljeyttring som samtycket utgör är en rättshandling, men den rättshandlingen kan vidtas av vem som helst som förstår vad den innebär. Det är som vi ser det naturligt att en lagstiftning som avser att skydda och inskärpa respekt för individers rättigheter i fråga om personlig integritet också respekterar individen i den meningen att den som förstår vad det handlar om får bestämma själv. Enligt vår mening bör föräldrar och andra ställföreträdare kunna lämna samtycke för den som inte själv kan bli informerad eller kan avge en egen viljeyttring i saken. 293Här – och i den föreslagna lagtexten – avses i detta sammanhang med den regi- strerade såväl en person om vilken en uppgift har registrerats som den person om vilken uppgifter avses bli registrerade (om samtycke lämnas); det har inte ansetts nödvändigt att införa någon särskild beteckning för den som avses bli registrerad. SOU 1997: 39 Innehållet i den nya persondatalagen 345 Avsaknaden av vägledning i direktivet gör det svårt att precisera den närmare innebörden av kravet på frivillighet. Av artikel 10 c andra streck- satsen verkar framgå att det är förutsett att ett uteblivet samtycke från den registrerade kan få följder för denne; den registrerade skall dock informe- ras om följderna. Man kan tänka sig den situationen att samtycke till viss uppgiftsbehandling uppställs som en förutsättning för att den registrerade skall få något som han eller hon önskar eller behöver, t.ex. ett telefon- abonnemang, en semesterresa, en livsnödvändig sjukvårdsbehandling, an- ställning, bostadsbidrag etc. Är situationen sådan att den registrerade i praktiken inte kan avstå, kan samtycket inte gärna vara frivilligt; möjli- gen får här göras ett undantag för det fallet att det kan visas att den regist- rerade skulle ha lämnat samtycket även utan tvånget. Också det för- hållandet att en registrerad allmänt sett kan ha en underordnad eller be- roende ställning i förhållande till den persondataansvarige, såsom när en arbetsgivare begär samtycke till registrering av uppgifter om arbetstagare eller arbetssökande, bör beaktas vid bedömningen av om ett samtycke har lämnats frivilligt på det sätt som EG-direktivet kräver. Kravet på att samtycket skall vara särskilt innebär – språkligt sett – att ett generellt samtycke till uppgiftsbehandling inte godtas. Det förefaller rimligt att koppla samman kraven på information och särskilt samtycke. Den registrerade skall informeras om en eller flera tilltänkta behandlingar, och det är dessa – och inga andra – behandlingar som (det särskilda) sam- tycket avser. Definitionen i direktivet av begreppet samtycke innebär att ett s.k. hy- potetiskt samtycke inte kan godtas hur välgrundad gissningen (hypotesen) om den registrerades inställning till behandlingen än är. I avsnitt 12.5.2.2 berörs den situationen att den registrerade tar tillbaka ett lämnat samtycke. Enligt vårt förslag är det regeringen som utser tillsynsmyndigheten. Rege- ringen har redan beslutat att utse Datainspektionen till tillsynsmyndighet enligt artikel 28 i direktivet.294 Det förefaller lämpligt att ta in en be- stämmelse om att Datainspektionen är tillsynsmyndighet i en till personda- talagen anslutande förordning eller i instruktionen för Datainspektionen. 294 Regeringsbeslut , Dnr Ju 96/176. 346 Innehållet i den nya persondatalagen SOU 1997: 39 Namnet Datainspektionen förefaller för övrigt enligt vår mening ända- målsenligt för den tillsynsmyndighet som avses i den föreslagna personda- talagen. Den föreslagna lagen och direktivet innehåller regler om överföring av per- sonuppgifter till tredje land. Direktivet innehåller inte någon uttrycklig de- finition av begreppet tredje land. Vi har emellertid funnit att en uttrycklig definition i lagtexten är att föredra. Det framgår av direktivet att med tredje land avses en stat som inte in- går i EU. Vi har erfarit att det pågår förhandlingar inom ramen för EES- avtalet om en utvidgning av direktivets tillämpningsområde till att avse även EES-staterna. En sådan utvidgning är, såvitt vi erfarit, att vänta . Vi har därför valt att lämna förslag till en lagtext som utformats som om utvidgningen redan skett; skulle någon utvidgning mot förmodan inte komma till stånd innan en lag antas, måste givetvis en justering av den föreslagna lagtexten göras.