sou · GLB339d2 · 1998-01-01 00:00:00 — Avsikten verkar vara att medlemsstaterna skall kunna i sin lagstiftning ta in ytterligare undantag från förbudet mot överföring när det är nödvändigt med hänsyn till viktiga allmänna in- tressen. Möjligheten att med stöd av denna bestämmelse medge ytterligare undantag berörs i nästa avsnitt. När det gäller överföring av personuppgifter till tredje land måste vi- dare beaktas skyldigheter enligt konvention. Av ar- tikel 12 i den konventionen följer att inte av integritetsskyddsskäl får hindra att personuppgifter förs över till en konventionsstat för att an- vändas där. Av punkt 11 i ingressen till EG-direktivet framgår vidare att direktivet innehåller preciseringar och förstärkningar av de principer som innehåller. Det är inte antagligt att medlemssta- terna inom EG, varav de allra flesta har anslutit sig till konventionen, ge- nom direktivet skulle ha tillskapat en ordning som vore oförenlig med åta- gandena enligt konventionen. De stater som anslutit sig till konvention får anses ha en sådan adekvat skyddsnivå som krävs enligt EG- direktivet. I enlighet med det sagda och förpliktelser enligt kon- ventionen föreslår vi att det i persondatalagen tas in en uttrycklig be- stämmelse om att det är tillåtet att föra över personuppgifter för använd- ning enbart i en stat som har anslutit sig till konvention. 12.11.4Behörighet att medge ytterligare undantag När det gäller frågan om vilka möjligheter som bör finnas att göra andra undantag än de som nämns i den föreslagna lagtexten gör vi följande över- väganden. Eftersom EG-direktivet kräver att överföring av personuppgifter tillåts till stater som i viss ordning konstaterats ha en adekvat skyddsnivå, bör för det första regeringen ges behörighet att föreskriva generella undantag från förbudet för överföring till vissa stater. EG-direktivet får vidare anses kräva att överföring skall tillåtas om överföringen regleras av ett avtal som innehåller vissa standardavtalsklausuler till skydd för de registrerades rättigheter; vilka klausuler det gäller skall bestämmas i särskild i direktivet angiven ordning. Regeringen bör därför ges behörighet att föreskriva gene- SOU 1997: 39 Innehållet i den nya persondatalagen 419 rella undantag från förbudet också när överföringen regleras av ett avtal som innehåller vissa bestämmelser. Behörigheten att undanta vissa stater från förbudet berör för- hållande till främmande makt. Därför bör behörigheten inte kunna delege- ras av regeringen till Datainspektionen. Också behörigheten att föreskriva generella undantag beträffande vissa avtalsklausuler har – med hänsyn bl.a. till den särskilda beslutsprocedur som gäller enligt EG-direktivet – sådan betydelse för utrikespolitiska förhållanden att den inte bör kunna delegeras till Datainspektionen. Av vad som anförs i avsnitt 8.2.3 framgår att Datainspektionen skall höras när författningar utarbetas som rör skyddet av enskilda personers fri- och rättigheter med avseende på be- handling av personuppgifter. Regeringen eller, om regeringen bestämmer det, Datainspektionen bör vidare ges behörighet att medge undantag från förbudet när det behövs med hänsyn till sådana viktiga allmänna intressen som avses i direktivet. Som exempel på fall där det kan vara befogat med ett generellt undantag enligt denna bestämmelse kan nämnas adressering av meddelanden – vilka inte avser direkt marknadsföring – till personer i tredje land. Det får näm- ligen anses vara ett viktigt allmänt intresse att kontakterna via t.ex. e-post med utlänningar eller svenskar i utlandet inte försvåras mer än vad som är nödvändigt. Regeringen eller, om regeringen bestämmer det, Datainspektionen bör – slutligen – ges behörighet att medge undantag från förbudet mot överfö- ring av personuppgifter till tredje land under förutsättning att det finns till- räckliga garantier till skydd för de registrerades rättigheter. Medlemssta- terna får nämligen enligt artikel 26.2 i EG-direktivet tillåta överföring av personuppgifter till tredje land om den persondataansvarige ställer till- räckliga garantier för att privatliv och enskilda personers grundläggande fri- och rättigheter skyddas samt för utövningen av motsvarande rättighe- ter. Sådana garantier kan framgå av lämpliga avtalsklausuler. Den med- lemsstat som beslutar att tillåta en överföring med stöd av denna be- stämmelse skall informera kommissionen och de övriga medlemsstaterna om beslutet (artikel 26.3 1 st.). Som exempel på fall där det kan vara befo- gat med undantag under vissa förutsättningar kan nämnas överföring av personuppgifter mellan enheter inom en och samma internationella koncern. 420 Innehållet i den nya persondatalagen SOU 1997: 39 Sammanfattningsvis kan alltså sägas att det bör vara möjligt att medge un- dantag från förbudet mot överföring av personuppgifter till tredje land när överföringen a)sker till vissa stater, b)regleras av ett avtal som innehåller vissa klausuler, c)behövs med hänsyn till ett viktigt allmänt intresse eller d)sker under sådana omständigheter att det finns tillräckliga garantier till skydd för de registrerades rättigheter. I fallen a och b avses bara generella föreskrifter som meddelas av rege- ringen i en förordning; regeringen skall med beaktande av de åtaganden för som följer av bl.a. EG-direktivet ange vilka stater respektive av- talsklausuler som avses. I fallen c och d kan undantagen vara antingen generella eller avse ett enskilt fall. Har regeringen i dessa fall delegerat sin behörighet att medge undantag till Datainspektionen, skall enligt vårt förslag inspektionens be- slut att vägra medge undantag i ett enskilt fall kunna överklagas till läns- rätten (se avsnitt 12.14.2); det får därvid förutsättas att regeringen låter den rättsliga domstolsprövningen ha sin gång och inte utnyttjar sin formella behörighet att i det fallet medge undantag. SOU 1997: 39 Innehållet i den nya persondatalagen 421 Vi anser att skyldigheten att anmäla behandlingar av personuppgifter till Datainspektionen bör begränsas till ett minimum. På grund av EG-direkti- vet måste det dock i lagstiftningen införas en principiell skyldighet att an- mäla alla automatiska behandlingar till inspektionen. De undantag från den skyldigheten som EG-direktivet medger bör emellertid utnyttjas så långt det är möjligt, genom generella undantag för vissa sektorer och genom att det införs en möjlighet att tillsätta särskilda persondataombud för att slippa anmäla varje behandling. Datainspektionen bör föra ett register över an- mälda behandlingar, och allmänheten bör ha rätt att på begäran få upplys- ningar om andra behandlingar direkt från den persondataansvarige. Rege- ringen bör få bestämma att särskilt integritetskänsliga behandlingar skall anmälas till Datainspektionen för förhandskontroll i förväg. Datalagen bygger på att all automatisk databehandling av personregister skall anmälas på förhand till Datainspektionen för licens. I många fall krävs det dessutom att personregistreringen förhandskontrolleras av in- spektionen och att ett tillstånd ges. Datainspektionens medgivande krävs vidare i vissa fall när uppgifter från ett personregister skall lämnas ut för automatisk databehandling i utlandet, t.ex. genom att göras tillgängliga på ett internationellt datanätverk såsom Internet. förordade en övergång från ett system med licens och tillstånd till ett renodlat tillsynssystem; behandling av känsliga per- sonuppgifter skulle dock enligt utredningens förslag anmälas på förhand till Datainspektionen.325 Förslaget att gå ifrån systemet med licens och tillstånd mottogs positivt av remissinstanserna, medan förslaget om att in- föra en anmälningsplikt för behandling av känsliga personuppgifter föran- ledde kritik från de flesta remissinstanser som yttrade sig i saken.326 Vi anser för egen del att det är hög tid att skära bort den onödiga byrå- krati som omgärdar behandling av personuppgifter. Byråkratin innebär kostnader och besvär som inte på långa vägar uppvägs av eventuella förde- 325Se avsnitt 13 och 14 i SOU 1993:10. 326Se avsnitt 2.2.4. 422 Innehållet i den nya persondatalagen SOU 1997: 39 lar för integritetsskyddet. Integritetsskyddet stärks inte i sig av att Datain- spektionen hanterar anmälningar, licenser och tillstånd. Det som har bety- delse för integritetsskyddet är att de persondataansvariga följer de materi- ella reglerna för uppgiftsbehandlingar, inte att de sänder in en massa papper till Datainspektionen. Inspektionens verksamhet bör i stället kon- centreras till att ge råd och sprida kunskap om de materiella reglerna och att utöva tillsyn över att reglerna följs. Det är som regel bäst för integritets- skyddet att Datainspektionen koncentrerar sig på att titta på den verklighet som har betydelse för medborgarna i stället för på de papper som lämnas in av (laglydiga) persondataansvariga. Ett system som innebär att behandlingar anmäls till Datainspektionen kan visserligen vara berättigat på den grunden att inspektionen därigenom kan få kännedom om den uppgiftsbehandling som sker på olika håll och anpassa sin tillsyn. uppskattade emellertid att bara av alla licenspliktiga personregister verkligen anmäl- des till inspektionen,327 och det finns inte anledning att tro att situationen skulle ha förbättrats . Datainspektionen får alltså genom licens- systemet kännedom om bara en bråkdel av den personregistrering som förekommer. Man kan vidare på goda grunder anta att det är de som följer de formella reglerna och gör en anmälan som också bäst följer de materi- ella reglerna om uppgiftsbehandlingen. Vår slutsats är att det inte är befogat att föreskriva en anmälningsplikt bara för att Datainspektionen skall få underlag för den viktiga tillsynsverk- samheten. En expertmyndighet som sysslar med konkreta data- skyddsfrågor borde kunna skaffa sig den nödvändiga överblicken på annat sätt än genom att hantera en stor mängd anmälningsblanketter. Datain- spektionen anser för övrigt själv att inkomna anmälningar och registre- ringen av dem inte utgör någon särskilt viktig källa till kunskap om den uppgiftsbehandling som inspektionen borde granska närmare. De anmälningar som lämnas in till Datainspektionen kan inte heller an- ses ge de registrerade tillgång till någon särskilt värdefull – eller hel- täckande – kunskap om var deras personuppgifter behandlas. I vårt förslag finns dessutom regler om att den registrerade själv automatiskt skall få in- formation om behandlingen direkt från den persondataansvarige, se avsnitt 12.7.2. 327 Se SOU 1993:10 s. 259. SOU 1997: 39 Innehållet i den nya persondatalagen 423 Vi känner inte till någon i som förordar att systemet med om- fattande anmälningsplikt och omfattande tillståndsplikt behålls. Datain- spektionen själv anser att man bör gå ifrån det systemet och i stället kon- centrera verksamheten till tillsyn. Vår slutsats är att det från svenska utgångspunkter är önskvärt att anta- let anmälningar och förhandskontroller av behandlingar av personuppgifter begränsas till ett minimum och att Datainspektionens resurser i stället an- vänds för att ge råd, sprida kunskap och utöva tillsyn; inspektionens upp- gifter i dessa hänseenden berörs närmare i avsnitt 12.14.1. Av vad som an- förs i avsnitt 11.6.3.4 framgår att vi dock föreslår att det genom förordning införs en obligatorisk skyldighet att för förhandskontroll anmäla sådana – automatiska eller icke automatiska – behandlingar av känsliga personupp- gifter för forsknings- eller statistikändamål som utförs utan samtycke av de registrerade och utan att projektet har godkänts av en forskningsetisk kommitté. Vi övergår nu till att beröra hur det som således är önskvärt från svenska utgångspunkter skall kunna förenas med de skyldigheter som har enligt EG-direktivet. Enligt EG-direktivet skall medlemsstaterna föreskriva att den persondata- ansvarige i förväg skall till tillsynsmyndigheten anmäla alla automatiska behandlingar som skall genomföras. Däremot får medlemsstaterna själva välja om och i vilken utsträckning den persondataansvarige skall anmäla icke automatiska behandlingar. skall föra ett allmänt register över alla behandlingar som har anmälts. Det är under vissa förut- sättningar tillåtet för medlemsstaterna att föreskriva undantag från anmäl- ningsskyldigheten. När en behandling inte omfattas av anmälningsskyldig- het, skall den persondataansvarige själv, eller något annat organ, lämna information om de behandlingar som genomförs till den som begär sådan information. Medlemsstaterna skall vidare säkerställa att särskilt riskfyllda behandlingar kontrolleras på förhand; vilka behandlingar som är särskilt riskfyllda får medlemsstaterna dock själva bestämma. De ganska detaljerade bestämmelserna i rörande anmälan har närmare berörts i avsnitt 3.13. 424 Innehållet i den nya persondatalagen SOU 1997: 39 12.12.2.2En principiell anmälningsskyldighet måste införas EG-direktivet kräver således att det i införs en principiell skyldig- het att anmäla all automatisk behandling av personuppgifter till Datain- spektionen. Vi har därför – motvilligt – i vårt förslag till persondatalag ta- git med en sådan skyldighet. Däremot anser vi, i enlighet med våra redovi- sade utgångspunkter, att möjligheten enligt EG-direktivet att föreskriva anmälningsskyldighet även för icke automatisk behandling inte bör utnytt- jas. Ett undantag utgörs dock som nämnts av sådana icke automatiska be- handlingar av känsliga personuppgifter för forsknings- eller statistikända- mål som utförs utan samtycke av de registrerade och utan att projektet har godkänts av en forskningsetisk kommitté. När nu en principiell anmälningsskyldighet måste införas, är det enligt vår mening viktigt att de möjligheter till undantag från anmälningsskyl- digheten som EG-direktivet medger utnyttjas fullt ut. Hur detta lämpligen bör ske redogör vi för i det följande. Anmälningsskyldigheten gäller för sådan behandling som är helt eller delvis automatisk. Begreppet automatisk behandling har berörts i avsnitt 12.2.12. Anmälan skall göras innan behandlingen genomförs. Det går bra att på en gång anmäla en hel serie behandlingar som har samma eller lik- nande ändamål, t.ex. alla behandlingar som behövs för att försäkringsavtal skall kunna ingås och hanteras. Anmälan skall göras till Datainspektionen och skall, enligt vårt förslag, vara skriftlig. Enligt EG-direktivet skall anmälan innehålla åtminstone vissa i direkti- vet angivna uppgifter; i övrigt är det medlemsstaternas skyldighet att pre- cisera vilka uppgifter en anmälan skall innehålla och vilka villkor som skall gälla när ändringar i uppgifterna skall anmälas, se om reglerna i EG- direktivet avsnitt 3.13.2. Enligt vårt förslag överlåts det åt regeringen och Datainspektionen att meddela sådana enligt EG-direktivet nödvändiga de- taljföreskrifter. SOU 1997: 39 Innehållet i den nya persondatalagen 425 Såsom närmare framgår av avsnitt 3.13.3 finns det möjlighet för med- lemsstaterna att föreskriva undantag från anmälningsskyldigheten a)när det inte är sannolikt att den registrerades rättigheter kränks, b)när ett uppgiftsskyddsombud har utsetts, c)beträffande författningsreglerade register för allmänheten (se avsnitt 3.13.3.4) och d)för sådan behandling av känsliga personuppgifter om medlemmar m.fl. som vissa typer av ideella organisationer utför. Vi anser, som nämnts, att dessa möjligheter till undantag bör utnyttjas fullt ut. För att undantag skall få göras med stöd av punkt a ovan krävs enligt EG- direktivet att det anges en rad uppgifter rörande den undantagna typen av behandling. Sålunda måste beträffande behandlingstypen anges N behandlingens ändamål, N vilka uppgifter eller kategorier av uppgifter som behandlas, N vilka registrerade eller kategorier av registrerade som avses, N till vilka mottagare eller kategorier av mottagare uppgifterna lämnas ut och N hur länge uppgifterna skall bevaras. 426 Innehållet i den nya persondatalagen SOU 1997: 39 Det är således en ganska stor mängd detaljuppgifter som måste anges när undantag görs genom författning enligt punkt a. Att införa alla dessa nöd- vändiga uppgifter i lagen – eller i en bilaga till den – är som vi ser det olämpligt. Vi har därför – och då vi med hänsyn till den korta utrednings- tiden haft svårt att överblicka alla undantag som kan få göras – valt att i den föreslagna lagen i stället ta in ett allmänt bemyndigande för regeringen och Datainspektionen att föreskriva undantag från anmälningsskyldigheten för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integriteten. Avsikten är att detta be- myndigande skall kunna användas också för att i förekommande fall före- skriva sådana tillåtna undantag som avses i punkt c och d ovan. De be- handlingar som omfattas av Datainspektionens generella föreskrifter eller föreskrifter om ett förenklat ansökningsförfarande torde exempelvis kunna undantas, liksom behandlingar som genomförs inom ramen för ett projekt som godkänts av en forskningsetisk kommitté. Ytterligare exempel kan vara N framställning av korrespondens, N framställning av promemorior och annan löpande text, N inspelning av ljud eller bild avseende personer som känner till att in- spelningen sker och hur den skall spridas, t.ex. sångare och skåde- spelare, N vissa avlönings- och personalregister, N register över kunder, elever, motparter, hyresgäster och leverantörer som den persondataansvarige har en naturlig anknytning till, N behandling av personuppgifter inom hälso- och sjukvård av enbart per- sonal som har tystnadsplikt och N lagring av personuppgifter hos arkivmyndigheter. När det föreskrivs undantag för en viss typ av behandling, kan det givetvis anges under vilka förutsättningar behandlingstypen är undantagen, dvs. vad den persondataansvarige måste uppfylla för att slippa anmäla. Vi anser vidare att även möjligheten att föreskriva undantag med stöd av punkt b bör utnyttjas. Vi har visserligen i inte någon tradition med uppgiftsskyddsombud av det slag som finns i t.ex. . Det finns dock i 8 § fjärde stycket datalagen redan regler om att den register- ansvarige skall utse en eller flera personer med uppgift att hjälpa de regist- rerade. Enligt vår mening bör man kunna bygga vidare på dessa regler och införa en möjlighet för persondataansvariga att undvika anmälningsskyl- dighet genom att utse en person som skall arbeta med persondataskydds- SOU 1997: 39 Innehållet i den nya persondatalagen 427 Det vore för övrigt, med de utgångspunkter vi har, dumt att låta undantagsmöjligheten beträffande uppgiftsskyddsombud gå oss ur hän- derna bara därför att vi inte har någon starkare tradition på området. Emellertid bör – bl.a. för att undvika sammanblandning med de skyddsombud som arbetar med arbetsmiljön – i uppgiftsskydds- ombudet lämpligen benämnas persondataombud. Det förhållandet att vi inte har någon tradition på området bör däremot beaktas såtillvida att det inte införs någon skyldighet för persondataansva- riga att utse persondataombud. Ett effektivt integritetsskydd torde i och för sig förutsätta att det hos de organ som behandlar personuppgifter finns en medvetenhet om och ett intresse för persondataskyddsfrågor som får ge- nomslag i det dagliga arbetet, och i detta hänseende kan ett särskilt person- dataombud säkert göra mycket nytta i många fall. Men det bör som vi ser det liksom vara upp till den persondataansvarige hur han eller hon vill organisera sitt arbete med persondataskyddsfrågorna. Vi har således i vårt förslag till persondatalag tagit in en bestämmelse om att anmälan till Datainspektionen inte behöver göras när den persondata- ansvarige har offentliggjort en uppgift om att ett persondataombud har ut- setts och vem det är. Kravet på offentliggörande innebär att den persondataansvarige måste ha vidtagit någon åtgärd för att uppgifterna skall komma till allmänhetens kännedom. Uppgifterna kan t.ex. anges på den information som lämnas till de registrerade eller anslås i lokaler som allmänheten har tillträde till. Det är bara behandlingar som påbörjas efter det att uppgifterna om per- sondataombudet har offentliggjorts som är undantagna från anmälnings- skyldigheten; för behandlingar som påbörjats innan persondatalagen trätt i kraft räcker dock att uppgifterna offentliggjorts före ikraftträdandet, se om föreslagna övergångsbestämmelser till persondatalagen avsnitt 12.15. Persondataombudet skall vara en fysisk person. Enligt EG-direktivet krävs det att det utsedda persondataombudet har vissa befogenheter och skyldigheter, se närmare avsnitt 3.13.3.3. Reglerna om detta har förts över till den föreslagna persondatalagen. För att stärka persondataombudets ställning och de positiva effekter för persondata- skyddet som tillsättandet av ett sådant ombud kan ha föreslår vi emellertid att det införs regler om ombudets befogenheter och skyldigheter som går längre än vad direktivet kräver. 428 Innehållet i den nya persondatalagen SOU 1997: 39 Persondataombudet skall enligt vårt förslag för det första ha till uppgift att självständigt se till att den persondataansvarige behandlar personupp- gifter på ett korrekt och lagligt sätt. Enligt EG-direktivet skall persondataombudet på ett oberoende sätt kunna kontrollera den persondataansvarige. Det är detta som vi avser med det självständighetskrav som vi föreslår skall uppställas. Den persondata- ansvarige får alltså inte utse ett ombud som har en alltför underordnad ställning. Ombudet kan vara en anställd hos den persondataansvarige, men måste då ges en sådan ställning att befogenheterna som persondataombud kan utövas på ett självständigt sätt i förhållande till arbetsgivaren. Ett anli- tat persondatabiträde – eller någon anställd hos biträdet – kan utses till per- sondataombud under förutsättning att den utsedde ges förutsättningar att utöva sitt uppdrag självständigt. Däremot kan en persondataansvarig gi- vetvis inte utse sig själv till persondataombud. I självständighetskravet ligger också att persondataombudet skall ha tillräckliga kvalifikationer och kunskaper för att kunna utföra sina uppgif- ter. Något krav på genomgång av viss utbildning i persondataskyddsfrågor har dock inte uppställts. Persondataombudet skall se till att den persondataansvarige behandlar personuppgifter på ett korrekt och lagligt sätt, vilket innebär att ombudet måste förvissa sig om att den persondataansvarige följer bestämmelserna i den föreslagna persondatalagen och anknytande lagstiftning. Hur pass om- fattande kontrollen bör vara får avgöras efter omständigheterna i det en- skilda fallet. Ombudet bör i vart fall granska rutinerna för informationsbe- handling och de krav på kvalifikationer, lämplighet och kunskap som den persondataansvarige ställer på den personal som tillåts behandla person- uppgifter. Kontrollen skall avse all behandling av personuppgifter som faller under den föreslagna lagen. Om persondataombudet upptäcker brister i uppgiftsbehandlingen, bör ombudet i första hand påpeka detta för den persondataansvarige. Om den persondataansvarige inte därefter vidtar rättelse så snart det kan ske, bör persondataombudet ha skyldighet att anmäla bristerna till Datainspektio- nen. Hur snart rättelse kan ske efter ett påpekande får bero av omständig- heterna i det särskilda fallet. Att det kan ta någon tid att rätta till upptäckta brister bör i allmänhet accepteras, särskilt om det upprättas en konkret plan för hur bristerna skall kunna åtgärdas inom rimlig tid. Men dröjer det allt- för länge innan något görs, bör ombudet göra en anmälan till Datainspek- tionen. SOU 1997: 39 Innehållet i den nya persondatalagen 429 De regler om behandling av personuppgifter som måste införas till följd av EG-direktivet är tämligen komplicerade. Vi har bl.a. därför funnit anledning att i den föreslagna lagen ta in en uttrycklig bestämmelse om att persondataombudet skall samråda med Datainspektionen vid tveksamhet om tillämpningen av de bestämmelser som gäller för uppgiftsbehand- lingen.