sou · GLB339d2 · 1998-01-01 00:00:00 — ?låtet att för sådana ändamål spara personuppgifter . Det nu sagda gäller under förutsättning att staten beslutar om eller vidtar lämpliga skyddsåtgärder. I avsnitt 11 berörs behandling för forskning och statistik. När det gäller behandling för historiska ändamål, är det i första hand beva- randet av arkiv som kommer i blickfånget. Det kan visserligen inte uteslu- tas att bevarandet för framtiden av en enstaka personuppgift skulle kunna ske för sådana historiska ändamål som avses. Men huvud- fallet är nog ändå det bevarande av uppgiftssamlingar för framtiden som myndigheter och enskilda kan ägna sig åt. Myndigheternas arkiv har tagits upp i avsnitt 9.4. Av vad som anförs där framgår att vi föreslår en uttrycklig bestämmelse i persondatalagen om att lagen inte hindrar en myndighet att bevara allmänna uppgifter eller att ar- SOU 1997: 39 Innehållet i den nya persondatalagen 357 kivmaterial tas om hand av en arkivmyndighet. Vår bedömning är, i enlig- het med vad som anförs i det berörda avsnittet, att det bevarande av all- männa uppgifter som myndigheterna utför är förenlig med EG-direktivet. Vi har vidare när det gäller myndigheternas bevarande av uppgifter inte funnit anledning att i vårt förslag till persondatalag införa en generell regel om i vad mån myndigheters uppgifter i register eller handlingar skall för- störas (gallras) av integritetsskäl efter en viss tid.301 Någon sådan generell regel finns inte och behöver inte heller införas på grund av EG-di- rektivet. Enligt vår mening står sig den bedömning som departementsche- fen gjorde i samband med antagandet av arkivlag, nämligen att regler om gallring av integritetsskäl bör tas in i de särskilda lagar som reglerar integritetskänsliga akter och register, eftersom reglerna därmed bäst kan anpassas efter vad det speciella materialet kräver.302 Utveck- lingen har nått dithän att det stora flertalet känsliga myndighetsregister regleras av särskilda registerförfattningar, vilka innehåller nödvändiga sär- regler om gallring. Det sagda innebär sammanfattningsvis att den föreslagna persondatala- gen inte hindrar att myndigheterna bevarar allmänna uppgifter och att la- gen inte heller innehåller någon reglering som innebär att allmänna uppgif- ter måste förstöras (gallras) . I vad mån myndigheterna är skyldiga att spara allmänna uppgifter eller förstöra dem framgår av annan lagstiftning. Det återstår att ta upp det bevarande av uppgifter som enskilda ägnar sig åt. Med bevarande avses i detta sammanhang att uppgifter läggs till ett arkiv för att sparas än vad som är nödvändigt med hänsyn till de ändamål för vilka uppgifterna i övrigt behandlas. Om t.ex. person- uppgifter samlas in för att användas för fakturerings- och redovisningsän- damål, är enligt vår mening det sparande av uppgifterna som måste ske på grund av skatte- och bokföringslagstiftning nödvändigt med hänsyn till de ursprungliga ändamålen med behandlingen. Bara om uppgifterna sparas än så, blir det alltså fråga om bevarande i den mening vi avser här. 301Datalagsutredningens slutbetänkande innehåller i avsnitt 15 en beskrivning av gällande ordning och överväganden rörande gallring. 1989/90:72 s. 32, jämför KrU 1989/90:29 s. 12 f. 358 Innehållet i den nya persondatalagen SOU 1997: 39 Liksom när det gäller myndigheternas bevarande av uppgifter bör man uppställa ett krav på att enskildas bevarande av uppgifter skall ske plan- mässigt. Finns det inte någon plan för vilka uppgifter som skall bevaras för framtiden och hur bevarandet skall gå till, är det svårt att med fog hävda att bevarandet sker för sådana historiska ändamål som avses i EG-direktivet. Planen måste också vara av viss kvalitet och gå ut på att uppgifterna beva- ras för överskådlig framtid. En plan som går ut på bara att alla uppgifter som finns på en hårddisk skall sparas så länge hårddisken håller uppfyller uppenbarligen inte detta kvalitetskrav. Bevarandet av en mängd uppgifter får däremot anses i sin helhet ske för historiska ändamål även om planen går ut på att vissa uppgifter skall förstöras medan andra uppgifter skall bevaras . Det ligger i sakens natur att en plan för hur uppgifter skall bevaras un- der måste ha nedtecknats. Att enskildas bevarande av uppgifter uppfyller de grundläggande kra- ven i artikel 6 är inte i sig tillräckligt för att bevarandet skall få äga rum. Den behandling som bevarandet innebär måste också kunna hänföras till något av de til? ?låtna fallen av uppgiftsbehandling som anges i artikel 7. I vissa fall kan bevarandet betraktas som en arbetsuppgift av allmänt intresse (artikel 7 e). Det kan t.ex. finnas ett sådant allmänt intresse av att uppgifter om föreningslivets, t.ex. arbetarrörelsens, och näringslivets verksamhet bevaras för framtiden. kan bevarandet också anses tillåtet efter en intresseavvägning (artikel 7 f). I vilka fall uppgiftsbehandling är tillåten berörs närmare i avsnitt 12.5. Där framgår att avsikten är att regeringen eller Datainspektionen närmare skall precisera i vilka fall uppgiftsbehandling kan tillåtas. Enskilda sub- jekts arkiv förefaller vara ett sådant område där det är önskvärt med mera preciserade regler som fastslår tillåtligheten av från allmän synpunkt viktig privat arkivverksamhet. Vid utformningen av sådana regler bör givetvis särskilda kompetens på området utnyttjas. Skall känsliga personuppgifter bevaras, måste vidare behandlingen kunna tillåtas i enlighet med artikel 8. Under vissa förutsättningar kan så- ledes politiska, filosofiska, religiösa och fackliga organisationer behandla känsliga personuppgifter om sina medlemmar (artikel 8.2 d). I vissa fall kan bevarandet dessutom anses utgöra ett sådant viktigt allmänt intresse att ett undantag kan göras från det principiella förbudet mot behandling av känsliga personuppgifter (artikel 8.4). Avsikten är att regeringen och Data- inspektionen skall kunna föreskriva sådana undantag (se avsnitt 12.5.3.3). SOU 1997: 39 Innehållet i den nya persondatalagen 359 Även om enskildas bevarande av känsliga uppgifter inte skulle kunna tillåtas i enlighet med vad som sagts, finns möjlighet att lämna över materialet till en arkivmyndighet (se avsnitt 9.4). Att uppgifter som en- skilda har samlat in lämnas över till en arkivmyndighet för bevarande kan inte anses oförenligt med de ändamål för vilka uppgifterna ursprungligen samlades in. Vi har, slutligen, inte heller beträffande enskildas bevarande av uppgif- ter funnit anledning att föreslå någon generell regel om gallring av integri- tetsskäl i persondatalagen. För att känsliga personuppgifter över huvud ta- get skall få bevaras av enskilda krävs att bevarandet kan tillåtas i enlighet med de stränga reglerna i artikel 8. Det sagda innebär sammanfattningsvis att enskildas bevarande av per- sonuppgifter som sker seriöst och planmässigt inte hindras av den före- slagna persondatalagen under förutsättning att den behandling som beva- randet innebär är tillåten enligt de allmänna reglerna i lagen om när be- handling kan tillåtas. Det finns inte någon reglering i den föreslagna per- sondatalagen som innebär att personuppgifter som på detta sätt bevaras skall förstöras . När det gäller behandling för historiska, statistiska eller vetenskapliga än- damål, skall staten besluta om eller vidta lämpliga skyddsåtgärder. I fråga om säkerheten vid behandlingen kan regeringen eller Datainspektionen besluta om generella föreskrifter, och Datainspektionen kan också besluta om vilka åtgärder som skall vidtas i det enskilda fallet (se avsnitt 12.10.3). Härutöver bör det – såsom en lämplig skyddsåtgärd – i själva personda- talagen tas in regler som garanterar att personuppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål inte används för att fatta beslut om eller annars vidta åtgärder beträffande de registrerade. Undantag bör bara medges när den registrerade har lämnat sitt samtycke till att åtgär- der vidtas, vilket förekommer vid viss forskningsverksamhet, eller när några vitala intressen står på spel, exempelvis då det vid behandling av medicinska personuppgifter för vetenskapliga ändamål upptäcks att vissa registrerade lider av en allvarlig sjukdom som kräver behandling. Frågan har såvitt avser forskning och statistik berörts i avsnitt 11.6.5.2. Beträffande personuppgifter i en myndighets arkiv finns det, såsom nämnts i avsnitt 9.4, redan bestämmelser om lämpliga skyddsåtgärder, t.ex. regler om sekretess och skydd för arkiv. Den nu berörda regeln i den före- 360 Innehållet i den nya persondatalagen SOU 1997: 39 slagna persondatalagen bör bl.a. därför inte gälla för sådana personuppgif- ter som finns i en myndighets arkiv. De personuppgifter som behandlas för t.ex. ändamål som har med en viss verksamhet att göra får givetvis behandlas för att i enlighet med dessa ändamål vidta åtgärder beträffande de registrerade, även om samma upp- gifter behandlas för att t.ex. framställa verksamhetsstatistik. 12.5När behandling av personuppgifter skall vara tillåten I persondatalagen bör tas in en uppräkning av i vilka fall behandling av personuppgifter är tillåten. Det bör vidare införas ett principiellt förbud mot att behandla känsliga personuppgifter om t.ex. politiska åsikter och hälsa. Från förbudet bör i lagen göras ett antal undantag, och regeringen och Datainspektionen bör ges befogenhet att för viktiga allmänna intressen föreskriva ytterligare undantag. Den föreslagna regleringen ansluter nära till EG-direktivet. 12.5.1Allmänna förutsättningar för när personuppgifter får behandlas I artikel 7 i EG-direktivet räknas det upp i vilka fall behandling av person- uppgifter är tillåten. Personuppgifter får inte behandlas i några andra fall. Är det känsliga personuppgifter som skall behandlas, måste behandlingen också kunna godtas i enlighet med bestämmelserna i artikel 8, se avsnitt 12.5.3.3. Bestämmelserna i artikel 7, som finns under rubriken som gör att uppgiftsbehandling kan tillåtas, har redovisats i avsnitt 3.5. Bestämmel- serna har förts över till den föreslagna persondatalagen. I vissa fall har vissa språkliga förenklingar gjorts utan att någon ändring i sak är avsedd. Vi föreslår således att persondatalagen skall innehålla en bestämmelse om att personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller när behandlingen är nödvändig a) för att fullgöra ett avtal med den registrerade, SOU 1997: 39 Innehållet i den nya persondatalagen 361 b)för att på den registrerades begäran vidta åtgärder innan ett avtal träffas, c)för att den persondataansvarige skall kunna fullgöra en rättslig skyl- dighet, d)för att skydda vitala intressen för den registrerade, e)för att utföra en arbetsuppgift av allmänt intresse, f)för att den persondataansvarige, eller en tredje man till vilken person- uppgifter lämnas ut, skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller g)för ändamål som rör berättigade intressen hos den persondataansvarige, eller sådana tredje män till vilka personuppgifter lämnas ut, när detta intresse väger tyngre än den registrerades intresse. Avsikten är att regeringen eller Datainspektionen inom ramen för dessa allmänna bestämmelser skall närmare precisera i vilka fall behandling av personuppgifter är tillåten. De särskilda registerförfattningarna kan vidare ses såsom närmare preciseringar av i vilka fall och under vilka former be- handling av personuppgifter är tillåten. Huruvida en viss behandling kan anses tillåten enligt denna bestämmelse får ytterst avgöras i svensk dom- stol, som i förekommande fall kan begära ett s.k. förhandsavgörande av . Den först angivna omständigheten som medför att behandling av person- uppgifter är tillåten är att den registrerade har lämnat sitt samtycke till be- handlingen. Innebörden av begreppet samtycke har redogjorts för i avsnitt 12.2.9. Det får anses ligga i sakens natur att samtycke måste finnas från alla registrerade vilkas personuppgifter berörs av en behandling; samtycke från en registrerad verkar inte kunna berättiga behandling av uppgifter om nå- gon annan än just denne. I avsnitt 12.5.2.2 berörs den situationen att den registrerade tar tillbaka ett lämnat samtycke. De andra fallen – förutom samtycke – där det är tillåtet att behandla per- sonuppgifter förutsätter samtliga att behandlingen är nödvändig för olika uppgifter. 362 Innehållet i den nya persondatalagen SOU 1997: 39 Vad nödvändighetskravet närmare innebär är inte helt klart. De flesta uppgifter kan rent faktiskt utföras manuellt utan personregister även om det kostar mycket mer och tar betydligt än att behandla person- uppgifterna automatiskt. Som vi ser det kan nödvändighetskravet inte rimligen innebära att det skall vara faktiskt omöjligt att utföra en uppgift utan sådan behandling av personuppgifter som omfattas av EG-direktivet och den föreslagna lagen. Kan en uppgift däremot utföras nästan lika enkelt och billigt utan att per- sonuppgifter behandlas, kan det inte anses nödvändigt att behandla person- uppgifterna; det kanske går nästan lika bra att använda anonyma uppgifter. 12.5.1.4I samband med avtal Behandling av personuppgifter kan vara tillåten i samband med avtal, när det krävs för att fullgöra ett avtal med den registrerade eller när det behövs för att på dennes begäran vidta åtgärder innan ett avtal träffas. När det gäller fullgörelse av ett avtal krävs det att den registrerade själv är avtalspart. Ett avtal mellan en persondataansvarig och en juridisk person kan således inte enligt denna bestämmelse rättfärdiga behandling av per- sonuppgifter, t.ex. uppgifter om de som är anställda hos den juridiska per- sonen. I fråga om åtgärder som vidtas innan ett avtal träffas krävs det att den registrerade har begärt att de åtgärder som gör det nödvändigt att behandla personuppgifter skall vidtas. Det verkar inte krävas att avsikten skall vara att den registrerade skall bli part i det tilltänkta avtalet; den småföretagare som äger alla aktier i sitt bolag kan således begära att åtgärder vidtas innan bolaget träffar ett avtal. I vissa fall kan fullgörandet av ett avtal med en registrerad göra det nödvändigt att behandla uppgifter om någon annan person. Ett försäk- ringsbolag kan behöva registrera uppgifter om den försäkrades förmånsta- gare, en blomsteraffär kan behöva registrera till vem beställda blommor skall levereras osv. I dessa fall torde behandlingen i och för sig vara tillå- ten med stöd av bestämmelsen om en intresseavvägning (se avsnitt 12.5.1.8), men frågan är om ett avtal i här avsedda fall kan ge stöd för be- handlingen utan att en avvägning av de inblandades intressen behöver gö- ras. Det kan inte anses klart om ett avtal med en registrerad kan berättiga en persondataansvarig att behandla uppgifter om andra än avtalsparten. Orda- lydelsen av direktivet utesluter inte att behandling av uppgifter om (vilka) SOU 1997: 39 Innehållet i den nya persondatalagen 363 personer (som helst) kan tillåtas under förutsättning att behandlingen är nödvändig för att fullgöra ett avtal med den registrerade, men använd- ningen av begreppet den registrerade leder onekligen tanken till att det är bara denne som får registreras på grund av avtalet. Det är vidare inte antagligt att avsikten med denna bestämmelse om avtal är att ett avtal mellan en registrerad och en persondataansvarig om direkt marknadsfö- ring i sig skall berättiga den persondataansvarige att behandla uppgifter om tusentals personer för att fullgöra avtalet och sända ut reklamen. Vi anser oss inte ha något egentligt underlag för ytterligare uttalanden om be- stämmelsens innebörd på denna punkt. Personuppgifter får behandlas om behandlingen är nödvändig för att den persondataansvarige skall kunna fullgöra en rättslig skyldighet (förpliktelse) som åvilar honom eller henne. Den rättsliga skyldigheten måste åvila den persondataansvarige och inte någon annan. Begreppet rättslig skyldighet (förpliktelse) torde i och för sig ha en EG- gemensam innebörd, men olika rättsliga skyldigheter kan givetvis åvila persondataansvariga i skilda medlemsstater. De nationella rättsordningarna bestämmer vilka rättsliga skyldigheter som åvilar persondataansvariga, och ibland kan EG-rätten direkt eller indirekt också innebära sådana skyldighe- ter som är aktuella i detta sammanhang.303 Inte bara författningsbestämmelser som i betraktas som offent- ligrättsliga kan enligt vår mening grunda sådana rättsliga skyldigheter som avses. De – civilrättsliga – turordningsbestämmelser som gäller vid upp- sägning av arbetstagare på grund av arbetsbrist kan t.ex. sägas innebära en rättslig skyldighet för arbetsgivare att upprätta listor över sina anställda. Huruvida författningsbestämmelser om myndigheters verksamhet, t.ex. myndighetens instruktion, kan anses grunda sådana rättsliga skyldigheter för myndigheten som avses i detta sammanhang är osäkert; behandling av personuppgifter i samband med myndighetsutövning omfattas av en annan bestämmelse. Det står som vi ser det klart att lagar och förordningar och författningar av lägre valör kan grunda sådana rättsliga skyldigheter som avses i detta 303 Se t.ex. beträffande s.k. expositionsregister på arbetsmiljöområdet prop. 1991/92:170 Bilaga 9 s. 12 f. 364 Innehållet i den nya persondatalagen SOU 1997: 39 Även förpliktelser som har ålagts genom myndighetsbeslut i enskilda fall kan innebära sådana rättsliga skyldigheter som avses. Det förefaller däremot oklart om en förpliktelse som någon har åtagit sig genom avtal med annan kan vara en sådan rättslig skyldighet som avses i detta sammanhang; behandling av personuppgifter för att fullgöra ett av- tal med den registrerade omfattas av en annan bestämmelse. 12.5.1.6För att skydda vitala intressen I den svenska översättningen av EG-direktivet talas det om att personupp- gifter får behandlas om behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade. I andra språkver- sioner av direktivet används i stället uttryck som vitala eller livsviktiga intressen. Det är därför oklart om bestämmelsen i direktivet syftar bara på det som är livsviktigt (gäller liv eller död) eller om även sådant som är bara av grundläggande betydelse avses, se närmare avsnitt 3.5.5. På grund härav har vi valt att i den föreslagna svenska lagtexten använda ut- trycket vitala intressen, som även i svenskan kan ha såväl en snävare som en bredare innebörd. 12.5.1.7Myndighetsutövning eller allmänt intresse Personuppgifter får behandlas om det är nödvändigt för att utföra en ar- betsuppgift av allmänt intresse. Sådan behandling får också ske om den är nödvändig för att utföra en arbetsuppgift i samband med myndighetsutöv- ning. Myndighetsutövningen skall då utföras av den persondataansvarige själv eller av en tredje man till vilken uppgifterna har lämnats ut. Som exempel på arbetsuppgifter som kan vara av allmänt intresse kan nämnas arkivering, forskning och framställning av statistik. Ett annat exempel kan vara etablerade idrottsorganisationers registrering av vilka personer som har vunnit svenska mästerskap eller innehar svenskt rekord i erkända sportgrenar. Också den registrering som sker av personer som har fått allmänt erkända utmärkelser, t.ex. , kan vara en arbetsuppgift av allmänt intresse. Arbetsuppgiften kan utföras av en myndighet eller något enskilt sub- jekt. Att någon själv kan tjäna pengar på att utföra arbetsuppgiften uteslu- ter inte att den ändå kan vara av allmänt intresse, såsom när uppgifter som tidigare skötts av det allmänna läggs ut på privata företag som drivs i vinstsyfte. SOU 1997: 39 Innehållet i den nya persondatalagen 365 Begreppet myndighetsutövning har som vi ser det en EG-gemensam innebörd, men till dess annat framkommer genom praxis eller eljest bör man kunna utgå från att det som i brukar anses som myndighetsutövning faller under begreppet. Myndighetsutövningen kan utövas av en myndighet eller vara anförtrodd något enskilt subjekt. Personuppgifter får behandlas om en intresseavvägning ger vid handen att den persondataansvariges berättigade intresse av en behandling väger tyngre än den registrerades intresse. Med den persondataansvarige jäm- ställs härvid sådana tredje män till vilka uppgifterna lämnas ut. Det ligger i sakens natur att behandlingen bara får avse uppgifter om sådana registrerade vars intresse inte väger lika tungt som den persondata- ansvariges. Om en registrerad meddelar den persondataansvarige att han eller hon inte vill att behandlingen fortsätter, får den registrerades intresse av att slippa fortsatt behandling som regel anses väga över den persondata- ansvariges intresse av fortsatt behandling; bara i synnerliga undantagsfall bör den persondataansvariges intresse av behandlingen anses väga över intresset hos en registrerad som uttryckligen motsatt sig behandlingen. Finns inte längre förutsättningar för att behandla personuppgifter efter en intresseavvägning – och kan behandlingen inte tillåtas enligt någon annan bestämmelse – måste de behandlade uppgifterna förstöras eller avidentifie- ras; även lagring av personuppgifter anses nämligen som en form av be- handling. vill ofta utnyttja personuppgifter för att kunna tjäna pengar. Det kan t.ex. gälla företag som sysslar med direkt marknadsföring eller som upprättar och säljer listor och förteckningar av olika slag. I vilka fall dessa företags kommersiella intressen väger över de registrerades ideella intresse av att få ha sina personuppgifter i fred får avgöras efter en helhetsbedömning. När det särskilt gäller direkt marknadsföring bör vid intresseavvägningen kunna beaktas den registrerades ovillkorliga rätt att motsätta sig behandlingen (se avsnitt 12.5.2.3); intresset hos de registre- rade som inte har motsatt sig behandling av personuppgifter för direkt marknadsföring kan ofta antas väga ganska lätt i jämförelse med den per- sondataansvariges kommersiella intressen. När t.ex. kommersiella intressen skall vägas mot enskildas intresse av att få ha sina uppgifter i fred, bör det i allmänhet krävas att de kommersi- ella intressena på ett tydligt sätt överväger. 366 Innehållet i den nya persondatalagen SOU 1997: 39 Det kan också ligga ideella motiv bakom utnyttjandet av personuppgif- ter. Politiska rörelser eller organisationer kan t.ex. vilja utnyttja person- uppgifter för att skapa opinion eller sprida politisk propaganda eller för att på något annat sätt främja vissa ideella syften. Föreningar kan exempelvis behöva registrera vilka som deltar i föreningsaktiviteter. I detta sammanhang bör nämnas rekommendation om skydd för personuppgifter som används för ändamål som har med direkt marknadsföring att göra. Rekommendationen finns intagen som bilaga 3.2.3 till slutbetänkande (SOU 1993:10), och dess innehåll finns presenterat i avsnitt 4.3.3 i det betänkandet. Datainspektionen bör ha ett särskilt ansvar för att ge persondataansva- riga råd och vägledning i fråga om intresseavvägningen; avsikten är som sagt också att regeringen och inspektionen skall utfärda närmare föreskrif- ter om i vilka fall behandling av personuppgifter kan anses tillåten efter en intresseavvägning. 12.5.2När den registrerade motsätter sig behandling av personuppgifter I artikel 14 i EG-direktivet finns bestämmelser om den registrerades rätt att göra invändningar mot behandling av personuppgifter. Bestämmelserna har redovisats närmare i avsnitt 3.7. Bestämmelserna i direktivet innebär att det beträffande behandling för direkt marknadsföring skall finnas en rätt för den registrerade att motsätta sig behandlingen, men att medlemsstaterna i övrigt fritt kan genom lagstift- ning bestämma i vad mån en registrerad skall ha rätt att motsätta sig en be- handling som är laglig och tillåten enligt direktivet. Enligt datalagen finns inte någon generell rätt för den registrerade att motsätta sig en behandling som är laglig. föreslog inte att det skulle införas någon generell rätt att motsätta sig en behandling som var befogad enligt de regler som utredningen föreslog.