sou · GLB339d1 · 1998-01-01 00:00:00 — Det väsentliga är vad som registreras och om det kan missbrukas. De stora systemen kan fortfarande – och kanske i växande utsträckning – upplevas som hotande medan de små inte gör det. Oron handlar troligen om möjlig- heterna till samkörning, skepsis mot myndigheter i allmänhet och mängden information. Det finns en betydande grupp som anser att icke önskvärd kontroll skall hindras. Människor kan dock ha överdrivna föreställningar om teknikens möjligheter. Inställningen kan vara kluven beroende på vilka uppgifter det är fråga om. Man är rädd för att andra har uppgifter om den egna personen och saknar den kontroll över uppgifterna som var möjlig när uppgifterna fanns på papper. När man själv kan få nytta av att exempelvis myndigheterna har tillgång till statistiska uppgifter tycker man däremot att teknikens möjligheter bör utnyttjas. Problemet är internationellt. Som framkommit vid konferenser i vilka vårt sekretariat deltagit finns en oro för bl.a. den behandling av person- uppgifter som utförs av privata intressenter. Ett exempel är att bankerna samlar på sig mängder av uppgifter om kundernas betalningsvanor, över- trasseringar etc. Integritetsintrånget utgörs dels av det obehag människorna känner av att bankerna vet så mycket, dels av oro för att banken kan tänkas fatta beslut i fråga om exempelvis kreditgivning på grundval av dess in- samlade uppgifter. Ett exempel från är att efterfrågan på uppgifter från sjukvården är stort. Bland andra försäkringsbolagen är mycket in- tresserade av sådana uppgifter för att kunna agera på grundval av dem. Reklamföretagen anser att Internet är mycket värdefullt för deras än- damål. Det finns företag som samlar in uppgifter om människors beteende på nätet, vilka BBS man använder, vilka tidningsartiklar man har läst osv. Reklamerbjudanden kan sedan riktas till människor på grundval av dessa uppgifter. När det gäller Internet görs försök att bringa verksamheten under kon- troll, från östliga diktaturers försök att totalförbjuda användandet till strä- vanden i att bekämpa kriminella handlingar som utförs på eller med SOU 1997: 39 Reglering av bruk eller missbruk 183 hjälp av nätet. Det efterlyses regler från alla håll. För att komma till rätta med problemen har föreslagits såväl lagstiftning som självsanering. I har man gett ut rekommendationer som de seriösa företagen förväntas följa. Avsaknaden av auktorisation och ansvarsregler för dem som lägger ut information på nätet har på sina håll ansetts göra det omöjligt för seriösa företag att använda det. Det har sagts att användarna måste ställa krav på dem som skapar programmen att göra det möjligt för den enskilde att på ett enkelt sätt själv avgöra om han eller hon vill synas på nätet eller inte. Om företagen inte tillhandahåller detta bör användaren inte använda pro- dukten. Den tekniska utvecklingen går så snabbt att det är omöjligt att göra några säkra förutsägelser om framtiden. Kanske kommer det att finnas teknik som gör det möjligt att urskilja och blockera oönskad information på nätet. synes det dock i stort sett omöjligt att bringa Internet under kontroll och försöka upprätthålla strikta krav för hur persondata skall få hanteras på nätet – att försöka hävda att allt är förbjudet som inte är tillåtet. En sträng hanteringsmodell synes dömd att misslyckas såtillvida att den inte kommer att respek- teras och därmed dra ett löjets skimmer över lagstiftningen. Det kan t.ex. uppkomma svårigheter att på ett lagligt sätt behandla frågor om hälsa och sexualliv i en diskussionsgrupp vid en BBS i någon medicinsk fakultet, om diskussionen knyts till personer. Det finns sålunda de som anser att EG-di- rektivet redan hunnit bli obsolet i detta hänseende, eftersom det bygger på principer som utvecklades innan nätet kom i allmänt bruk. Risken är upp- enbar att företag och till och med myndigheter kommer att bortse från delar av regleringen. Som ytterligare exempel kan nämnas myndigheternas e-post. E-medde- landen i form av löpande text som överförs mellan datorer via nät omfattas av regleringen i EG-direktivet. Det är knappast genomförbart att hindra att e-post med personuppgifter, som inte borde få behandlas enligt direktivet, kommer in till myndigheterna. Är de inkomna måste de också bevaras för att tillgodose offentlighetsprincipen. Föreskrifterna om underrättelse till de registrerade vid insamling av personuppgifter blir inte enkla att tillämpa i sådana fall. Detsamma gäller hur information skall kunna lämnas till den som vill veta om personuppgifter som rör honom eller henne behandlas i e- posten. Å andra sidan kan det antas att människor även kommer att ha kvar sin oro för stora datasystem. Det torde därför bli nödvändigt att behålla en hanteringsmodell, om ock i förenklad form, för stora databaser 184 Reglering av bruk eller missbruk SOU 1997: 39 hos myndigheter och hos företag med enskilda som klienter eller kunder, t.ex. sjukhus, banker och försäkringsföretag. Detta kan ske på så sätt att en datalag enligt hanteringsmodellen ges generell giltighet men att undantag görs för nätförbindelser, småföretag och andra som framstår som omöjliga att kontrollera. Det blir dock svårt både att lagtekniskt avgränsa de aktörer som skulle undantas och att i den praktiska verksamheten tillämpa en så- dan avgränsning. Det torde vara lättare att reglera persondatahanteringen hos de aktörer som måste kontrolleras genom att skapa särskilda register- lagar för olika förvaltningsgrenar inom allmän verksamhet, efter mönster av de registerförfattningar som finns , respektive för olika branscher inom näringslivet. När det gäller de många små datasystemen, hos t.ex. skolor, småföreta- gare, enskilda, och troligen också Internet, synes det däremot hopplöst att söka kontrollera själva hanteringen av persondata. Den beskrivning av de framtida problemen som lämnats i det föregående ger nästan automatiskt vid handen att det är utsiktslöst att försöka reglera innehållet i ett otal da- tabaser, annat än för mycket speciella situationer som t.ex. i fråga om barnpornografi. När alla kommunicerar via data blir det inte konstigare med det än med telefonsamtal, brevskrivning via den allmänna posten eller information via trycksaker. Det kommer att vara mängder av personuppgifter som behandlas i ett sådant system. Vi kan då inte längre hålla på med att strängt reglera själva hanteringen av personuppgifterna. Mycket få skulle rätta sig efter sådana bestämmelser och det kommer inte att finnas resurser att kontrollera att de efterlevs. Tillräckliga resurser skulle för övrigt kunna leda till ett kontrollsamhälle som inte skulle accep- teras. Lika gärna skulle man kunna försöka kontrollera telefontrafiken (annat än i form av telefonavslyssning vid misstanke om grov brottslighet). Vad man i stället kan inrikta sig på utanför de särskilda registerförfattning- arnas ram är att förhindra sådan spridning av databehandlade personupp- gifter som den uppgifterna avser med fog kan begära att bli skonad från. Lagstiftningen kan i så fall inriktas på att inskärpa moralnormer på om- rådet snarare än på en administrativ prövning av befintliga system. När datahantering blir något som ingår i vardagslivet, precis som alla andra tekniker som mänskligheten under århundradena lagt sig till med, kommer det att bli naturligt att motverka dess avarter på samma sätt som vi mot- verkar avarter på andra områden av mänsklig samlevnad. Som exempel på andra integritetskränkningar kan nämnas misshandel och hotelser. Påfölj- der för sådana handlingar är straff och skadestånd. Påföljderna syftar sam- tidigt till att upprätthålla normerna (i dessa fall att man inte får misshandla SOU 1997: 39 Reglering av bruk eller missbruk 185 och hota sina medmänniskor). När vi i klarat oss med några få centrala bestämmelser om bl.a. förtal och förolämpning beträffan- de det tryckta ordet bör en av tekniska skäl framtvingad övergång till en motsvarande reglering på dataområdet kunna fungera. Självfallet kan olika typer av brott förekomma i samband med databe- handling. har i sitt betänkande (SOU 1996:40) Elektronisk dokumenthantering gått igenom olika straffbestämmelser som därvid kan bli tillämpliga. Det kan sägas att bestämmelser som rör traditionell brotts- lighet ganska väl låter sig tillämpas också på förfaranden som sker med automatisk databehandling, utom såtillvida att det ofta är svårt att finna gärningsmannen. Vad frågan nu gäller är emellertid om det går att ersätta den nuvarande datalagstiftningen om skydd mot otillbörlig behandling av personuppgifter. En framtida lagstiftning om behandling av personuppgifter utanför den särskilda registerlagstiftningens ram synes böra bygga på någon form av skydd för privatlivet. Skyddet bör riktas mot användning av personuppgif- ter på ett sätt som skadar enskilda personers privatliv. En sådan reglering är visserligen förenad med uppenbara svårigheter, eftersom vanliga människor har mer fog för sina krav på ett fredat privatliv än personer som lever i offentlighetens ljus. Det blir inte lättare av att bestämmelser i ämnet också måste tas in i tryckfrihetsförordningen och yttrandefrihetsgrundla- gen. Det har framförts förslag till lagreglering av skyddet för privatlivets fred. redovisade tre tänkbara lösningar, hur ett utökat skydd för den enskilde skulle kunna genomföras.108 Ett förslag innebar att det i tryckfrihetsförordningen och skulle tas in en straffbestämmelse om skydd mot kränkningar av privatlivets fred. Därmed skulle gärningen bli straffbar även om den begicks av massmedier och det skulle finnas en möjlighet att få skadestånd. Ett annat förslag var att det skulle införas en möjlighet att få skadestånd vid ett intrång i privatlivet även om intrånget inte var straffbart. Det tredje alternativet var att behålla den nuvarande ordningen dvs. att låta regleringen ske genom massmedier- nas självsanerande verksamhet. I det lagstiftningsärende som därefter följde och som ledde fram till yttrandefrihetsgrundlagen ansågs det att man även i fortsättningen skulle lita till den självsanerande verksamheten.109 108Se SOU 1980:8. 1986/87:151 s. 44. 186 Reglering av bruk eller missbruk SOU 1997: 39 har skyddet för den personliga integriteten behandlats i bl.a. studien för enskilda personers privatliv (Ds 1994:51). I stu- dien framförs att en viktig metod för att stärka integritetsskyddet kan vara att hindra att känsliga personuppgifter utnyttjas eller sprids på ett inte önskvärt sätt i t.ex. massmedier (s. 173). Vidare diskuteras införandet av en ny straffbestämmelse i tryckfrihetsförordningen och yttrandefrihetsgrund- lagen till skydd för privatlivets fred. Sådana bestämmelser finns i bl.a. , och samt i (se redogörelsen i avsnitt 10.5.3). Det kan finnas anledning att här nämna den finländska regleringen efter- som denna, till skillnad från den danska och norska, är förhållandevis ny; den tillkom 1974.110 Då infördes en bestämmelse i 27 kap. 3 a § straffla- gen med följande lydelse. Den som utan laga rätt med användande av massmedium eller på annat lik- nande sätt om annans privatliv offentligen sprider uppgift, antydan eller bild, som är ägnad att orsaka denne skada eller lidande, skall för kränkning av privatliv dömas till fängelse i högst eller till böter. Som kränkning av privatliv skall icke anses offentliggörande, som gäller persons förfarande i offentlig tjänst eller offentligt värv, i näringslivet eller i politisk verksamhet eller i annan med dessa jämförbar verksamhet och som är av nöden för behandlingen av någon samhälleligt betydelsefull sak. Det inses lätt att en generell regel om kränkning av privatlivets helgd kan ge upphov till talrika gränsdragningsproblem och tillämpningssvårigheter. Det kan inte ingå i vårt uppdrag att överväga ens om det vore önskvärt att införa en sådan allmän regel, långt mindre hur den i så fall skulle kunna utformas. I och för sig finns sådana bestämmelser i olika europeiska länder men det synes tveksamt om kan tänkas acceptera att sådana regler sätts i stället för det detaljerade EG-direktivet. Fördelarna och nackdelarna med en sådan regel blir för övrigt desamma vare sig in- formationen vidarebefordras med data, t.ex. via Internet, eller exempelvis lämnas muntligen i TV. Den fråga vi ställer oss är, om det är möjligt att skilja ut en sådan behandling av personuppgifter med data som framstår som otillbörlig mot den det berör och därför skulle kunna förebyggas med användande av straff eller skadestånd. 110 Se Ds 1994:51 s. 101 ff. SOU 1997: 39 Reglering av bruk eller missbruk 187 Frågan är då vilka missbruk närmare bestämt som bör motarbetas på per- sondataområdet, dvs. i första hand kriminaliseras eller förknippas med skadeståndspåföljd. I den förut återgivna kränkningskatalogen (se ovan avsnitt 6.1) är de missbruk som är aktuella när fråga är om persondata- skyddet närmast N spridande av förtroliga uppgifter, N avslöjande inför offentligheten av annans privata förhållanden och N angrepp på annans heder och ära. Av de former för missbruk som sålunda är aktuella när fråga är om per- sondataskyddet kan först nämnas att spridning av förtroliga uppgifter knappast medför andra problem vid databehandling än vid andra former av kommunikation. Vanligast och kanske också mest skadebringande torde muntlig spridning vara. På detta område finns lagstiftning och etiska regler om tystnadsplikt. Några särskilda bestämmelser för databehandling synes knappast behövliga. I fråga om angrepp på annans heder och ära finns regler om förtal och förolämpning. Förtal innebär enligt 5 kap. 1 § första stycket att utpeka någon som brottslig eller klandervärd i sitt levnadssätt eller annars lämna uppgift som är ägnad att utsätta denne för andras missakt- ning. Enligt andra stycket i samma paragraf skall det dock inte dömas för förtal, om den som lämnat uppgifterna var skyldig att uttala sig eller det annars med hänsyn till omständigheterna var försvarligt att lämna denna uppgift i saken och han dessutom visar att uppgiften var sann eller han hade skälig grund för den. Vad som är försvarligt är det kanske mest besvärliga problemet vid til? ?lämpning av bestämmelserna om ärekränkning. Den frågan får avgöras i varje enskilt fall för sig med beaktande av omständigheterna. Emellertid torde trots detta reglerna om förtal ge ett förhållandevis gott skydd mot missbruk av personuppgifter i datamedier, t.ex. via Internet. Ett problem är visserligen att upptäcka spridningen på nätet och inte minst att konstatera varifrån den kommer. Detta problem är dock inte mindre vid tillämpningen av en hanteringsmodell såsom i datalagen eller den av oss föreslagna persondatalagen. Värre är kanske det förhållandet att till skill- nad från den nuvarande datalagstiftningen där myndigheterna övervakar att de persondataansvariga hanterar data i överensstämmelse med lagstift- ningen blir det i ett system med straff och skadestånd som sanktioner den enskilde som har att agera, med allt vad detta medför av besvär och kost- nader. Detta kan motivera att polis och åklagare i större utsträckning än för 188 Reglering av bruk eller missbruk SOU 1997: 39 närvarande tillvaratar målsägandens intresse vid förtal. Åklagaren skall väcka åtal för förtal om målsäganden anger brottet och det av särskilda skäl anses påkallat ur allmän synpunkt. Om förtalet skedde genom miss- bruk av databehandlade personuppgifter borde åtal kunna i större ut- sträckning anses vara påkallat ur allmän synpunkt. Kanske skulle också under en övergångstid en dataombudsman kunna biträda den enskilde i sådana frågor. Vad angår avslöjande inför offentligheten av annans privata förhållan- den, när förtalsbestämmelsen inte är tillämplig, torde den enskilde få finna sig i att enstaka sådana uppgifter sprids. Detta är just baksidan av att det inte är fråga om förtal. Den enskilde skyddas i viss utsträckning av tyst- nadsplikt som gäller enligt sekretessreglerna för allmän verksamhet men också enligt särskilda regler för många i privat verksamhet som t.ex. läkare och annan vårdpersonal, advokater och banktjänstemän. Vad man emellertid inte kommer åt med förtalsbestämmelserna eller regler om tystnadsplikt är sammanställningar av uppgifter om en person, som inte är ägnade att utsätta denne för andras missaktning och som inte heller var för sig är hemliga men som ger en så fullständig bild av den be- rörda att han eller hon rimligen inte skall behöva finna sig i att få sin per- sonlighet utställd på det viset. Vad det framför allt kan bli fråga om är an- vändning av datorer för sammanställning av uppgifter om någon utan dennes samtycke, när uppgifterna rör personliga förhållanden som inte är av allmänt intresse. Mot sådana sammanställningar skyddas nu den enskilde av datalagen och de stränga förutsättningar som enligt Datainspektionens föreskrifter och villkor gäller för samkörning av dataregister. Som förut framhållits torde dock en sådan kontroll bli omöjlig utanför de särskilda registerförfattningarnas område. Ett generellt förbud mot samkörningar kommer inte heller bli möjligt att tillämpa. Det följer redan av att en enda PC kan rymma ett praktiskt sett oändligt antal uppgifter och att någon uppdelning av sådana uppgifter på olika register knappast kan anses före- ligga. Vad som skulle kunna övervägas är ett skydd mot spridning av samman- ställningar av uppgifter som inför offentligheten avslöjar enskildas per- sonliga förhållanden. En bestämmelse skulle i så fall kunna införas i 4 kap. (Om brott mot frihet och frid). Diskussionsvis skulle följande regel kunna skisseras. SOU 1997: 39 Reglering av bruk eller missbruk 189 Den som med automatisk databehandling sammanställer uppgifter om annans privata förhållanden och sprider dem dömes, om det innebär olägen- het för den andre att uppgifterna blir kända, för olovlig dataspridning till bö- ter eller fängelse högst . Det sagda skall dock inte gälla om den som sprider uppgifterna är skyldig att uttala sig eller det annars med hänsyn till ett allmänt intresse är försvarligt att uppgifterna sprids. Olägenhet skulle då också innefatta det obehag som någon med fog kan känna om alltför mycket av hans eller hennes privatliv prisges till allmän- heten. Försvarligt att lämna uppgifterna skulle det vara i betydligt vidare omfattning än vid förtalsbrottet. Försvarlighetsrekvisitet skulle innefatta en avvägning mellan den enskildes anspråk på ett skyddat privatliv och exempelvis behovet av att kunna belysa offentliga personers privatliv som bakgrund till exempelvis deras förmåga att sköta sina uppgifter. Olovlig dataspridning skulle i så fall också utgöra tryckfrihetsbrott och yttrandefrihetsbrott. En modell sådan som den nu skisserade skulle fungera i stort sett som det nuvarande systemet för sanktioner mot tryckfrihetsbrott. Endast spo- radiskt och i särskilt flagranta fall skulle det bli fråga om åtal och rätte- gång. Det måste antas att regleringen skulle utgöra en bas för pressens och etermediernas självsanerande verksamhet och därför i allmänhet bli re- spekterad i massmedier. Detsamma gäller självfallet offentlig verksamhet. I näringslivet och bland enskilda skulle troligen informationen flöda fritt. Systemet skulle genom sin frihet medföra långt mindre kostnader än nuva- rande reglering. skulle det inte på något sätt motsvara det behov av skydd mot ansamling av personuppgifter som många människor känner. 6.2.3Valet nu av modell för regleringen Enligt vår mening bör man vid valet av regleringsmodell ta stor hänsyn till allmänhetens inställning. Det förhållandet att många människor känner obehag inför en viss hantering är i en politisk demokrati ett starkt argument i sig för att reglera den hanteringen. Samma bedömning verkar för övrigt ha gjorts i de flesta EU-stater, vilka har lagstiftning efter hante- ringsmodellen, och av EU i och med att EG-direktivet antogs. Härtill kommer att genom sitt medlemskap i är skyldig att genomföra EG-direktivet, vilket bygger på hanteringsmodellen. De förhållandena att flera internationella överenskommelser bygger på hanteringsmodellen och att flera länder, särskilt i vår närhet, har lagstift- ning som bygger på den modellen har betydelse också på ett annat sätt. 190 Reglering av bruk eller missbruk SOU 1997: 39 ternationaliseringen ökar som den nya tekniken gör det möjligt att blixtsnabbt hämta eller flytta uppgifter över hela jordklotet. I en sådan miljö ligger det ett betydande värde i sig i att lagstiftningen i olika länder är likartad. Kan inte erbjuda samma skydd vid hanteringen av per- sonuppgifter som andra länder, kan dessa försöka hindra att sådana uppgif- ter förs över till . På detta sätt kan användningen av ny teknik i hämmas. Även om det för interna svenska förhållanden skulle finnas skäl att övergå till en missbruksmodell kan det således – oavsett internationella åtaganden – ändå vara mest ändamålsenligt att göra som de flesta andra länder för att trygga det fria flödet av information över gränserna.111 En naturlig grund för människors oro för behandlingen av personupp- gifter är risken för att de uppgifter som finns skall vara felaktiga, vaga eller subjektiva. Ett grundläggande krav på datahantering är därför kravet på datas kvalitet. Det är den som behandlar personuppgifter som har bevis- bördan för att uppgifterna är korrekta och han eller hon måste alltså kunna hänvisa till källor för uppgifterna som är godtagbara. EG-direktivet ställer stränga krav på uppgifternas kvalitet. Sådana krav är ett naturligt led i en hanteringsmodell. Även om de självfallet bör tillämpas även i en miss- bruksmodell är det lagtekniskt svårare att reglera dem där. Som framgår av föregående avsnitt finns det enligt vår mening ändå många skäl – framför allt att det inte är ändamålsenligt att reglera en han- tering som snart sagt varje medborgare kan hålla på med t.ex. i vardags- rummet – för att hanteringsmodellen måste överges åtminstone såvitt angår små datasystem och verksamheten på Internet och liknande. Som också framgått tror vi dock att det kommer att dröja innan tiden är mogen för en övergång till missbruksmodellen. Den oro människor alltjämt känner för teknikens möjligheter måste respekteras. Övriga EU-stater måste också vinnas för tanken på en sådan övergång. Övervägande skäl talar därför för att en ny, teknikoberoende lagstift- ning om skydd för den personliga integriteten vid behandling av person- uppgifter i dagens situation bör bygga på hanteringsmodellen och reglera när och under vilka förutsättningar det är tillåtet att behandla personupp- gifter. Vi önskar emellertid att diskussionen om en övergång till missbruksmodellen skall fortsätta. Inte minst när det gäller att inom EU:s institutioner vinna gehör för en sådan tankegång gäller det att vara tidigt 111 Jämför , Personregistrering, 3. rev. udgave, 1996, s. 283. SOU 1997: 39 Reglering av bruk eller missbruk 191 Vi förordar att arbetet drivs vidare i lämpliga former. Vid lämplig tid- punkt bör ta initiativ till en persondatalagstiftning av mer modernt snitt. Eftersom enhetligheten inom EU bör bevaras, bör detta initiativ i första hand avse tillskapandet av ett nytt EG-direktiv. 6.3Den lagstiftningsstruktur som EG- direktivet anvisar EG-direktivet, som har att genomföra och vilket bygger på hante- ringsmodellen, kan sägas anvisa en struktur för lagstiftningen.112 Direkti- vet bygger på ett antal huvudprinciper från vilka medlemsstaterna har möjlighet – och i vissa fall skyldighet – att inom givna ramar föreskriva undantag; vad medlemsstaterna har att göra är, som det står i direktivet (artikel 5), att inom den ram som direktivet drar upp närmare precisera på vilka villkor behandling av personuppgifter är tillåten. Bland huvudprinci- perna kan nämnas: N Behandling av personuppgifter är bara tillåten i sex uppräknade fall. N Behandling av känsliga uppgifter är förbjuden. N Den enskilde skall alltid få information om den behandling som sker och på begäran kunna få tillgång till sina uppgifter och rättelse, om uppgif- terna är felaktiga eller missvisande.