sou · GLB339d2 · 1998-01-01 00:00:00 — Datainspektionen har börjat föreskriva en sådan stryk- ningsrätt för de registrerade i vissa fall.264 Det gäller när ett forsknings- eller statistikregister inte grundar sig på samtycke, men där inspektionen föreskriver att information ändå skall lämnas, t.ex. i tidningar. Regeringen har dock i de fall som överprövats upphävt föreskriften om strykningsrätt med hänvisning till att det samhälleliga intresset av att statistiken bygger på ett tillförlitligt underlag har vägt tyngre än den enskildes intresse av att kunna få uppgifter strukna.265 När behandling av känsliga personuppgifter för forskning och statistik skall vara tillåten utan samtycke enligt vårt förslag, finns det ett starkt samhällsintresse av att personregistreringen kommer till stånd. Det torde då också oftast vara så viktigt att registreringen är tillräckligt fullständig att någon generell strykningsrätt inte kan införas. En ovillkorlig stryk- ningsrätt kan göra att forsknings- eller statistikunderlaget blir så otillförlit- ligt att resultaten inte kan användas. Blir detta fallet, har den personregist- rering som skett varit förgäves och således inneburit ett onödigt intrång i den personliga integriteten. I vad mån en strykningsrätt kan tillåtas måste av naturliga skäl bedömas med utgångspunkt i varje enskilt projekt. Det är svårt att ge några generella 264I regeringsbeslut , dnr 85-3142, diskuterade regeringen frågan om en sådan strykningsrätt borde föreskrivas i stället för informerat samtycke, men fann att även en sådan föreskrift skulle minska registrets användbarhet på ett otillfreds- ställande sätt. 265Se regeringsbeslut , dnr 93-1779, och , dnr Ju 95-1963 och Ju 95-2100. SOU 1997: 39 Forskning och statistik 315 riktlinjer för bedömningen. Risken för att projektet äventyras måste i varje enskilt fall vägas mot det intrång i den personliga integriteten som det innebär att känsliga personuppgifter om någon behandlas mot dennes uttalade vilja. En utgångspunkt måste vara att den enskilde inte har rätt att få bli struken om detta skulle kunna äventyra ett forsknings- eller statistik- projekt som har ansetts så viktigt att behandling av känsliga personuppgif- ter tillåtits utan samtycke. Det får förutsättas att den som ansvarar för ett forsknings- eller stati- stikregister frivilligt tillgodoser en begäran om att få bli struken i de fall där detta kan ske utan risk för projektet. Bekvämlighetsskäl och tekniska svårigheter bör inte kunna få åberopas för en vägran att stryka, bara för- hållanden som har att göra med risken för att uppgiftsbehandlingen inte kommer att kunna ge tillförlitliga resultat. Vi har särskilt övervägt om det är lämpligt att införa ett system där frå- gan om en viss registrerad skall ha rätt att få bli struken kan prövas av nå- gon myndighet, t.ex. Datainspektionen, eller vid domstol. Eftersom det inte torde förekomma särskilt många fall där en sådan prövning behövs och då det kan vara aktuellt att väga vilka skäl den enskilde har för att få bli stru- ken mot de skäl som talar emot, kan en sådan ordning i och för sig vara ändamålsenlig. En ordning med särskild prövning av varje fall där en re- gistrerads begäran att få bli struken inte har tillgodosetts framstår emeller- tid som ganska krånglig och kostsam för samhället och de enskilda. Enligt vår mening bör därför en sådan ordning inte införas om det inte är absolut nödvändigt. Vi har med hänsyn till de regler som vi föreslår om när en be- handling utan samtycke av känsliga personuppgifter för forskning och sta- tistik över huvud taget skall vara tillåten funnit att det inte är nödvändigt att införa en sådan ordning. I samband med den forskningsetiska granskningen bör frågan om i vad mån en strykningsrätt skall finnas beträffande ett visst projekt kunna tas upp. Då kan de konkreta riskerna för projektets genomförande med en strykningsrätt få en allsidig belysning. De villkor som den forskningsetiska kommittén har ställt upp, t.ex. i fråga om strykningsrätt, skall som sagt följas för att behandlingen utan samtycke skall anses tillåten. Frågan om strykningsrätt bör vidare, som vi ser det, alltid beaktas vid den intresseav- vägning som bör ske i de fall där avvägningsnormen i lagtexten måste til??lämpas. Samhällsintresset av forskningen eller statistiken måste vara betydande för att man skall kunna tillåta det ganska allvarliga intrång i den personliga integriteten som det innebär att känsliga personuppgifter behandlas trots att den registrerade klart motsätter sig detta. 316 Forskning och statistik SOU 1997: 39 Vi har sammanfattningsvis kommit fram till att det inte är nödvändigt att ha någon särreglering beträffande strykningsrätt utan att den rätten kan beaktas inom ramen för de föreslagna reglerna om när behandling av käns- liga personuppgifter utan samtycke över huvud taget skall vara tillåten. Såväl rekommendation (punkt 6.1–2) som EG-direktivet (artikel 13.2) medger att det i fråga om forskning och statistik görs in- skränkningar i de registrerades rätt att på begäran få information om be- handlade uppgifter och rättelse av t.ex. ofullständiga eller felaktiga uppgif- ter. I andra länder har det gjorts sådana inskränkningar.266 Forsknings- etiska utredningen föreslog att det också i skulle införas inskränk- ningar i rätten att få registerutdrag från forskningsregister (se avsnitt 11.3.4). Bestämmelsen om rätt till registerutdrag i datalagen har ansetts som en av de viktigaste i lagen. Genom den rätten får den enskilde möjlighet att kontrollera om han eller hon är registrerad och, om så är fallet, att de re- gistrerade uppgifterna är riktiga.267 Rätten till insyn är vidare en förutsätt- ning för att den enskilde i praktiken skall kunna få felaktiga uppgifter rättade. De argument som har förts fram emot rätten till registerutdrag har gått ut på dels att det är dyrt för den persondataansvarige att lämna utdrag, dels att skyldigheten att lämna utdrag på individnivå i sig kan försämra integri- tetsskyddet. gjordes vissa ändringar i 10 § datalagen i syfte att få ned kostnaderna för de registeransvariga inom främst det allmänna. Det infördes då ett krav på att begäran om utdrag skall vara skriftlig och under- tecknas av den registrerade själv.268 Bakgrunden var att det ansågs att rättigheten utnyttjades alltför flitigt; det fanns särskilda före- tag som mot betalning agerade ombud och hjälpte många människor att utnyttja sin rätt gentemot de mest betydande registerförarna. Det finns även andra exempel på att antalet registerutdrag – och myndigheternas 266Inskränkningar har t.ex. gjorts i och . Se vidare SOU 1989:74 s. 122 med not 23. 267Se senast prop. 1990/91:60 s. 56. 1980/81:20 Bilaga 1 s. 13 ff. SOU 1997: 39 Forskning och statistik 317 kostnader – ökat kraftigt när allmänheten på annat sätt fått hjälp att utnyttja sin rätt.269 När det gäller kostnadsaspekten, bör det också nämnas att var och en med stöd av offentlighetsprincipen har rätt att gratis få ta del av uppgifter om sig själv som myndigheter har registrerat. Det finns dock skillnader mellan rätten till registerutdrag och rätten till insyn med stöd av offentlig- hetsprincipen. Skriftligt registerutdrag270 är t.ex. enligt huvudregeln gratis en gång , medan den registrerade ibland måste betala en avgift om han eller hon med stöd av offentlighetsprincipen vill ha sina uppgifter på papper.271 Enligt vår mening är rätten för den enskilde att – gratis – få tillgång till sina uppgifter så viktig att kostnadskonsekvenserna för de persondata- ansvariga inte ensamma gör det befogat med undantag för forskning och statistik. Kostnaden för att på begäran lämna information till de registre- rade (registerutdrag) får betraktas som en nödvändig kostnad som vidhäftar varje behandling av personuppgifter, och detta bör gälla även för forskning och statistik. Synpunkten att skyldigheten att lämna registerutdrag kan föra med sig en försämring av integritetsskyddet kan däremot tyckas ha större fog för sig. Skyldigheten har ansetts tvinga de persondataansvariga att införa rutiner som gör det möjligt att söka fram alla uppgifter som finns om en individ, något som kanske annars inte skulle ha behövts272, särskilt vid så- dan registerforskning och framställning av statistik där enskilda individer inte är intressanta. Kryptering och andra skyddsåtgärder måste vidare ibland sättas åsido för att få fram uppgifterna inom rimlig tid. Enligt vår mening måste ett absolut krav på de persondataansvariga i och för sig vara att de kan klara av att hantera personuppgifter i klartext på ett säkert sätt. Klarar de inte detta, bör de inte alls få hålla på med behand- ling av personuppgifter. Att uppgifter som annars används krypterade eller i avidentifierad form ibland måste göras läsbara på ett sådant sätt att upp- 269Se exemplet i SOU 1989:74 s. 99 (kostnader för register- utdrag mer än tiodubblades när en kvällstidning publicerade en talong för begäran om utdrag). 270Registerutdrag måste vara skriftligt, se prop. 1973:33 s. 138 f. och 1982:2. 2712 kap. 13 § TF. 272Jämför t.ex. prop. 1990/91:126 s. 52 och 81 (uppgiften om gäldenärens arbetsgi- vare i utsökningsregister gjordes sökbar bl.a. för att myndigheten skall kunna lämna utdrag till arbetsgivare). 318 Forskning och statistik SOU 1997: 39 gifter om enskilda individer avslöjas, kan givetvis innebära nya risker. Men lösningen på detta problem är, som vi ser det, snarare att de personda- taansvariga möter riskerna med bättre säkerhetsåtgärder än att begränsa grundläggande rättigheter för de registrerade. En annan sak är att de praktiska svårigheter som kryptering eller lik- nande innebär för framställandet av registerutdrag kan behöva beaktas. Da- talagsutredningen föreslog t.ex. en lagregel som innebar att registerutdrag beträffande krypterade personuppgifter skulle behöva framställas bara (i stället för , vilket skulle krävas enligt den hu- vudregel som föreslogs).273 Vi anser för egen del att en sådan regel på ett rimligt sätt beaktar såväl den registrerades intresse av att få sitt utdrag snabbt som de praktiska svårigheter att få fram utdragen som en hög sä- kerhetsnivå hos en persondataansvarig forsknings- eller statistikinstans kan innebära. I avsnitt 12.7.3 redogör vi närmare för vår syn på rätten för den regist- rerade att på begäran få information (registerutdrag). Där framgår att vi anser att den persondataansvarige bara bör vara skyldig att använda de sök- och sammanställningsmöjligheter som han eller hon faktiskt och rättsligt har tillgång till för att lämna information till de registrerade som begär det; några nya sök- och sammanställningsmöjligheter – vilka i sig kan innebära hot mot den personliga integriteten – behöver således inte införas med vårt förslag. Har den persondataansvarige möjlighet att göra krypterade eller annars tillfälligt avidentifierade uppgifter läsbara på indi- vidnivå, måste han eller hon således göra det och på det läsbara materialet använda tillgängliga sök- och sammanställningsmöjligheter. Vi har alltså sammanfattningsvis funnit att det inte finns tillräckliga skäl för att ha några särregler för forskning och statistik när det gäller de registrerades rätt att på begäran få information (registerutdrag). Inte heller möjligheten för den enskilde att få uppgifter rättade bör inskränkas be- träffande forskning och statistik; det måste givetvis vara ett intresse för alla berörda att forskningen och statistiken bygger på ett riktigt grundmaterial. Vi redogör för våra förslag i fråga om rättelse i avsnitt 12.8. 273 SOU 1993:10 s. 427 ff. SOU 1997: 39 12Innehållet i den nya persondatalagen Lagen bör utgöra en nära avbildning av EG-direktivets text i de delar där använda uttryck kan antas ha en EG-gemensam innebörd, om inte särskilda skäl talar för annat. Lagstiftningskommentarerna koncentreras till princi- piellt viktiga frågor och de delar där EG-direktivet ger ett visst spelrum vid genomförandet. Generella regler och principer bör tas in i lagtexten, medan det bör överlåtas åt regeringen och Datainspektionen att utforma detalj- reglering för t.ex. särskilda områden. I enlighet med vad som anförs i avsnitt 6 anser vi att den nya persondata- lagen i stort bör följa den struktur som EG-direktivet anvisar och att avvi- kelser bör göras bara när det finns särskilda skäl till det. I flera fall är det inte heller någon större mening med att försöka göra omskrivningar av di- rektivets text, eftersom svenska domstolar vid tillämpning av lagtext som införts till genomförande av ett EG-direktiv har att tolka lagen i överens- stämmelse med direktivets rätta innebörd och vid behov fråga EG-domsto- len om den rätta innebörden.274 Omskrivningar av direktivets text i de de- lar där det kan antas att avsikten varit att använda uttryck skall ha en ge- 274För att bl.a. detta skall uppmärksammas skall det i anslutning till lagtexten finnas en hänvisning till direktivet, se artikel 32.1 andra stycket i direktivet och 18 a § författningssamlingsförordningen (1976:725) samt Statsrådsberedningens PM 1996:4 s. 22 ff. 320 Innehållet i den nya persondatalagen SOU 1997: 39 mensam innebörd inom EG275 – med som auktoritativ ut- tolkare – bör därför göras bara när det finns särskilda skäl för det, t.ex. när den officiella svenska översättningen av direktivet inte är helt rättvi- sande.276 EG-direktiv saknar i motsats till traditionell svensk lagstiftning förarbe- ten i egentlig mening. Så är också fallet med direktivet om personupp- gifter. Ledning får främst sökas i det inledande avsnittet i direktivet och i vissa protokollsanteckningar. En konsekvens av vad som sagts om att den svenska lagstiftningen skall tolkas i överensstämmelse med EG-direktivet är att vad som anförs i de svenska förarbetena inte kan tjäna till ledning för rättstillämpningen på samma sätt som när det gäller rent inhemsk lagstiftning. En auktoritativ tolkning av det underliggande direktivet kan endast erhållas från EG-dom- stolen, t.ex. efter det att en svensk domstol begärt ett s.k. förhandsavgö- rande enligt artikel 177 i EG-fördraget.277 Detta talar för att vi i vårt betänkande bör uppehålla oss främst vid för viktiga principiella frågor och sådana delar av EG-direktivet där det finns ett visst spelrum för medlemsstaterna vid genomförandet. I de fall där det finns ett spelrum bör vi givetvis redovisa motiven för den lösning som valts och på sedvanligt sätt utarbeta en författningskommentar till den rent inhemska reglering som förordas inom ramen för vad EG-direktivet til??låter. Däremot finns det anledning för oss att vara mera restriktiva med författningskommentarer till de delar av den föreslagna lagstiftningen som ganska troget återger EG-direktivet. Anledningen härtill är givetvis risken för att kan komma att tolka direktivets bestämmelser på annat sätt än vad vi har gett uttryck för i kommentarerna till den föreslagna svenska lagstiftningen. Men det är uppenbart att det – till dess har hunnit utveckla sin praxis – kan finnas ett stort behov av vägledning för tillämpningen av de svenska genomförandebestämmelserna. Också regleringsekonomiska skäl kan tala för att viss vägledning bör ges från svenska utgångspunkter. Utan vägledning i svenska förarbeten eller av en expertmyndighet (Datainspektionen) kan det nämligen antas att snart sagt varje persondataansvarig blir tvingad att lägga ned kostnader på att göra en 275I det följande använder vi det kortare uttrycket EG-gemensam innebörd. 276I avsnitt 3.1.2 finns en allmän redogörelse för hur EG-direktiv skall införas. 277Jämför härtill och för det följande prop. 1994/95:19 Del 1 s. 528 f. SOU 1997: 39 Innehållet i den nya persondatalagen 321 egen analys och tolkning av de ganska vaga bestämmelserna. Ges det där- emot viss vägledning från officiellt håll om vilka förfaringssätt som bör kunna användas, kan det antas att flertalet persondataansvariga väljer att följa råden utan att behöva lägga ned kostnader på en egen analys. Och samhällsekonomiskt sett kan den kostnadsbesparing som kan uppnås ge- nom att analysarbetet utförs bara en gång – av de instanser som är ansva- riga för genomförandet – överstiga de kostnader som skulle kunna upp- komma om det i efterhand visar sig att analysen på någon punkt var felak- tig. Härtill kommer att til? ?lämpningen i i praktiken blir mera enhetlig om vägledning ges från officiellt håll, och en enhetlig svensk tillämpning har ett värde i sig. I vad mån vi skall försöka oss på att ge vägledning för tillämpningen av de föreslagna bestämmelser som ganska troget återger EG-direktivet är så- ledes en avvägningsfråga; att det är en viktig uppgift för Datainspektionen att ge råd och vägledning står däremot klart. I de fall där vi ger uttryck för en tolkning av en föreslagen bestämmelse som hämtats från EG-direktivet har vi försökt att tydligt markera detta. Vi har försökt att utforma den föreslagna lagstiftningen efter följande rikt- linjer. N Följ i stort EG-direktivets struktur, om inte särskilda skäl talar för något annat. N Gör en nära efterbildning av direktivets text när använda uttryck kan antas ha en EG-gemensam innebörd, om inte särskilda skäl talar för nå- got annat. N Koncentrera redovisningen av motiv och författningskommentarer till för principiellt viktiga frågor och sådana delar där EG-direktivet lämnar ett visst spelrum vid genomförandet. N Markera tydligt när uttalanden görs om innebörden av en bestämmelse som kan antas ha en EG-gemensam innebörd. 12.1.2Regeringen eller Datainspektionen kan precisera lagreglerna Som tidigare nämnts innehåller EG-direktivet ett antal huvudregler som måste införas. Exempelvis är behandling av personuppgifter bara tillåten om någon av sex förutsättningar är uppfyllda (artikel 7). De flesta av dessa förutsättningar är mycket allmänt hållna. På motsvarande sätt förhåller det sig med andra huvudregler och principer som måste införas, t.ex. när det 322 Innehållet i den nya persondatalagen SOU 1997: 39 gäller allmänna krav på uppgiftsbehandlingen, behandling av känsliga per- sonuppgifter och anmälningsskyldighet. Direktivet innehåller således generella regler som behöver preciseras och konkretiseras för att ge vägledning för de persondataansvariga och andra som har att tillämpa reglerna. Det kan gälla överväganden om t.ex. i vilka konkreta fall N viktiga allmänna intressen gör det befogat att känsliga personuppgifter behandlas trots det generella förbudet mot behandling av sådana uppgif- ter (artikel 8.4) och N den intresseavvägning som kan ske enligt artikel 7 f utfaller till förmån för att uppgiftsbehandling skall tillåtas. Såsom närmare utvecklas i avsnitt 12.12 anser vi att det inte är lämpligt att behålla ett omfattande och byråkratiskt tillståndssystem, där Datainspek- tionen i varje enskilt fall beslutar om en behandling skall tillåtas och vilka villkor som skall gälla för den. Att de generella huvudreglerna och principerna samt de likaledes ofta generellt utformade undantagsmöjligheterna införs i den nya persondatala- gen är enligt vår mening både naturligt och nödvändigt. Däremot är det som vi ser det inte lämpligt att tynga lagtexten med den nödvändiga detalj- regleringen och konkretiseringen. Den korta utredningstiden om har vidare gjort det omöjligt för oss att identifiera t.ex. alla områden där det kan vara befogat att behandla känsliga personuppgifter. Det kan också nämnas att Datainspektionen, trots sin mångåriga erfarenhet av tillämp- ningen av den nuvarande datalagen, inte har förmått utfärda förenklade regler för mer än ett mindre antal områden, och att , som arbetade i omkring , inte heller lämnade förslag till särskilt konkreta regler. Härtill kommer att den avvägning och konkretisering som kan göras naturligen måste omprövas i takt med samhällsutveck- lingen och när nya typer av behandlingar uppträder. En ordning som inne- bär att varje liten justering i regelverket kräver en sedvanlig lagstiftnings- process via regering och riksdag framstår därför som onödigt omständlig och ohanterlig. Den persondatalag som vi föreslår innehåller för övrigt fler materiella regler än den nuvarande datalagen, vilken utgår från att Datain- spektionen mer eller mindre självständigt skall bestämma för vilka ända- mål personregistrering är tillåten och vilka villkor som skall gälla för re- gistreringen. SOU 1997: 39 Innehållet i den nya persondatalagen 323 Vår slutsats är att det inte finns någon annan möjlighet än att lita till att regeringen och Datainspektionen inom den ram som den föreslagna per- sondatalagen drar upp preciserar och konkretiserar regleringen. Svenska bestämmelser som inför EG-direktivet måste träda i kraft se- nast , men det är beträffande behandlingar som redan pågår då möjligt att vänta med att tillämpa de nya regler- na, se närmare avsnitt 12.15. Detta ger regeringen och Datainspektionen en viss respit för att utarbeta en kompletterande reglering. För behandlingar som påbörjas efter ikraftträdandet måste emellertid de nya reglerna tilläm- pas genast. Problem beträffande sådana behandlingar bör dock kunna lösas genom att Datainspektionen i förekommande fall och med tillräcklig skyndsamhet utfärdar nödvändiga föreskrifter avsedda att gälla bara till dess en mera heltäckande reglering kunnat utarbetas. I detta sammanhang bör en del författningstekniska aspekter beröras. Bak- grunden är följande. Bestämmelserna i är till stor del offentligrättsliga till sin karaktär. De innebär att medlemsstaterna skall införa föreskrifter om för- hållandet mellan enskilda och det allmänna, som gäller åligganden för en- skilda, t.ex. persondataansvariga inom den privata sektorn. Emellertid innehåller EG-direktivet också bestämmelser som är privaträttsliga till sin karaktär och avser att reglera personliga och ekonomiska förhållanden mellan enskilda. Medlemsstaterna skall sålunda föreskriva att den som lidit skada till följd av en otillåten behandling eller av någon annan åtgärd som är oförenlig med de nationella bestämmelser som antagits till följd av di- rektivet har rätt till ersättning av den persondataansvarige (artikel 23.1). Medlemsstaterna skall också föreskriva att var och en har rätt att föra talan inför domstol om sådana kränkningar av rättigheter som skyddas av den nationella lagstiftning som är tillämplig på ifrågavarande behandling (artikel 22). I 8 kap. regeringsformen finns bestämmelser om hur lagar och andra föreskrifter skall beslutas, vilka i huvudsak innebär att privaträttsliga före- skrifter alltid måste beslutas av genom lag medan har vissa möjligheter att delegera föreskriftsrätten i fråga om offentligrättsliga regler; regeringen har dock alltid rätt att besluta föreskrifter om verk- ställighet av lag. Vad som sagts gör det befogat att närmare analysera hur det tilltänkta systemet med grundläggande regler i persondatalagen och 324 Innehållet i den nya persondatalagen SOU 1997: 39 preciseringar i regeringsförordningar eller myndighetsföreskrifter förhåller sig till regeringsformen (och EG-direktivet). 2 kap. 3 § andra stycket regeringsformen I 8 kap. 1 § regeringsformen finns en erinran om att det av bestämmelserna i 2 kap. regeringsformen följer att föreskrifter av visst slag får meddelas endast genom lag. I 2 kap. 3 § andra stycket finns som nämnts en be- stämmelse om att varje medborgare skall i den utsträckning som närmare anges i lag skyddas mot att hans eller hennes personliga integritet kränks genom att uppgifter om honom eller henne registreras med hjälp av auto- matisk databehandling.