sou · GLB3101 · 1998-01-01 00:00:00 — handlingar av personuppgifter är det tillåtet för medlemsstaterna att föreskriva ett förenklat anmälningsförfarande. Den har beslutat att utse Datainspektionen till svensk tillsynsmyndighet. Medlemsstaterna är skyldiga att anpassa sina respektive nationella lagar och förordningar till direktivet senast per . När det gäller sådan behandling av person- uppgifter som då redan pågår skall denna bringas i överensstämmelse med direktivet och den nya nationella lagstiftningen senast därefter, dvs. Vissa längre frister gäller för det faktiska genomförandet av delar av direktivet. Bestämmelser i måste införas i svensk rättsordning för att bli gällande rätt här. Hur EG-direktivet om personuppgifter föreslås implementerat i svensk rätt beskrivs i nästa kapitel, där en mer utförlig bild ges av den ordning som kommer att gälla framöver. 6 förslag till persondatalag m.m. lämnade sitt betänkande (SOU 1997:39). Betänkandet, som är omfattande, innehåller förslag till den nya lag persondatalagen genom vilken EG- direktivet om personuppgifter skall implementeras i svensk rätt. Lagen, som noga följer EG- direktivet, ersätter datalagen. föreslår också ändringar i tryckfrihets- förordningen, yttrandefrihetsgrundlagen, regeringsformen, sekretesslagen och arkivlagen. I denna framställning lämnas inte någon fullständig redovisning av över- väganden. Här ges en översikt över den nya ordningen med koncentration på de delar som bedömts vara centrala för utredningsuppdraget. Våra egna förslag utgår ifrån att förslaget till persondatalag kommer att bli gällande rätt i . De närmare analy- ser av persondatalagens bestämmelser som därmed är nödvändiga redovisas under våra över- väganden i kap. 9 och framåt. Förslaget till persondatalag bifogas till detta betänkande som bilaga 2. Hänvisningar till aktuella avsnitt i betänkande ges kursiverat i framställningen nedan (ex; Datalagskommittèn, avsnitt/kap. 6.2 En generell och teknikoberoende lag EG-direktivet gäller inte behandling av personuppgifter som utgör led i en verksamhet som som inte omfattas av gemenskapsrätten. Direktivet är därmed t.ex. inte tillämpligt på behand- lingar som utförs för försvarsändamål. Persondatalagen är enligt förslaget däremot generellt utformad och gäller till sin lydelse i princip för all behandling av personuppgifter, med undan- tag för rent privat hantering (, kap 7). Persondatalagen innehåller emeller- tid en föreskrift (2 §) om att bestämmelser i lag eller förordning som avviker från lagen skall gälla. Avvikelser skall kunna förekomma, inte minst inom verksamheter som inte omfattas av EG-direktivet. Kommittén uttalar att den enskilde bör kunna förvänta sig att de lagar och förordningar som är i kraft överensstämmer med EG-direktivet och framhåller att en översyn av nationell lagstiftning måste göras, t.ex. vad gäller de särskilda registerförfattningarna (, avsnitt 8.2.2). Den föreslagna persondatalagen omfattar all automatisk behandling av personuppgifter samt även annan behandling om personuppgifterna ingår i eller är avsedda att ingå i ett regis- ter (5 §). Med behandling avses varje åtgärd som vidtas med uppgiften (3 §). ämpningsområde blir därmed vida större än datalagens som i princip bara gäller vid regist- rering av personuppgifter med ADB. Vad som avses med automatisk definieras varken i EG- direktivet eller i persondatalagen. 6.3 Förutsättningar för att behandling av personuppgifter skall vara tillåten Datalagen bygger på ett system med licenser och tillstånd. Register med integritetskänsliga personuppgifter kräver regelmässigt Datainspektionens tillstånd medan det i andra fall är till- räckligt för den ansvarige att lösa licens. För statsmaktsregistrens del ges tillstånd genom be- slut av regering eller riksdag om ett registers inrättande. Den föreslagna persondatalagens system är ett annat. Licens eller formellt tillstånd krävs inte för behandling (inkl. registrering) av personuppgifter. Persondatalagen anger under vilka förutsättningar behandling av person- uppgifter är tillåten och vad den som behandlar uppgifterna skall iaktta. Den som avser att behandla personuppgifter har enligt huvudregeln att ange ett ändamål för sin behand- ling, anmäla sin verksamhet till Datainspektionen samt därefter hålla sig inom de ramar som persondatalagen och anknytande författningar och andra föreskrifter anvisar. Huvuddragen i persondatalagens bestämmelser om när och på vilket sätt personuppgifter får behandlas är följande (, kap. 12, se särskilt 12.412.5): Behandling av personuppgifter får endast ske när den enskilde lämnat sitt samtycke eller när behandlingen är nödvändig för vissa uppräknade ändamål, t.ex. för att en arbetsuppgift av allmänt intresse skall kunna utföras (10 §). Behandling av vissa uppgifter, i persondatalagen benämnda känsliga personuppgifter, är förbjuden (13 §). Det rör sig t.ex. om uppgifter som avslöjar religiös eller filosofisk övertygelse eller som rör hälsa eller sexualliv. Från förbudet mot behandling av sådana uppgifter finns en rad undantag. Behandling är t.ex. tillåten om den enskilde samtycker, eller om behandlingen är nödvändig för hälso- och sjukvård eller för forsknings- och statistikändamål (1420 §§). Vidare finns bestämmelser om att uppgifter om lagöverträdelser eller om domar och säkerhetsåtgärder i brottmål endast får behandlas av myndigheter, om inte regeringen eller myndighet som regeringen bestämmer föreskriver annat (21 §), samt om att personnummer bara får behandlas om det är klart motiverat av vissa skäl (22 §). När uppgifter behandlas får detta i princip endast ske för de ändamål för vilka uppgif- terna samlades in, och endast den behandling som är nödvändig är tillåten (9 §). Den ansva- rige är skyldig att tillse att inte fler uppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen och att uppgifterna inte heller bevaras längre än nödvändigt med hänsyn till dessa ändamål. En behandling för historiska, statistiska och vetenskapliga ändamål skall inte anses oförenlig med de ändamål för vilka uppgifterna samlades in. För sådana ändamål får uppgifter också bevaras än vad som är nödvändigt för de ändamål för vilka de ursprungligen insamlades. Behandlingar som är skyddade enligt tryckfrihetsförordningen eller yttrandefrihets- grundlagen eller som annars sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande omfattas inte av bestämmelserna om när och på vilket sätt uppgifter får behandlas (7 §) och bestämmelserna i persondatalagen skall över huvud taget inte tillämpas i den utsträckning det skulle inskränka en myndighets skyldigheter enligt 2 kap. tryckfrihetsför- ordningen att lämna ut personuppgifter (8 §). 6.4 Ansvaret för behandlingen och den ansvariges skyldigheter Enligt förslaget till persondatalag är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter persondataansvarig (3 §) (, avsnitt 12.2.6). Som huvudregel bör enligt bara fysiska personer, juridiska per- soner, utländska filialer eller myndigheter i kunna betraktas som persondataansvariga, inte andra organ (som saknar rättskapacitet). Av definitionen följer att flera kan vara persondataansvariga för samma behandlingsåtgärd. Persondataansvaret innebär bl.a. att den ansvarige skall tillse (9 §): att personuppgifter behandlas bara när det är lagligt, att personuppgifter alltid behandlas på ett korrekt sätt, att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ända- mål, att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilka uppgifterna samlades in, att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ända- målen med behandlingen, att inte flera personuppgifter behandlas än vad som är nödvändigt med hänsyn till ända- målen med behandlingen, att de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella, att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga, missvisande eller ofullständiga med hänsyn till ändamålen med behandlingen och att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Det åligger vidare den persondataansvarige: att lämna information till den registrerade rörande behandlingen (2327 §§), att på begäran av den registrerade, rätta, blockera eller utplåna personuppgifter som inte behandlats i enlighet med persondatalagen (28 §), att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas (31 §) och att anmäla automatisk behandling av personuppgifter till Datainspektionen (36 §). (Det finns dock undantag från denna skyldighet, se nedan under avsnitt 6.6) Den persondataansvarige är skyldig att ersätta den registrerade för den skada som en lagstridig behandling av personuppgifter fört med sig (, avsnitt 12.13). Den person- datansvarige kan dock undgå skadeståndsskyldighet om han eller hon kan visa att felet inte berodde på honom eller henne (43 §). Den persondataansvarige skall utfärda instruktioner för de personer som arbetar under hans eller hennes ledning liksom för persondatabiträden (den som behandlar personuppgifter för den persondatansvariges räkning, 3 §) och dem som arbetar under biträdenas ledning (30 §) (, avsnitt 12.10.2). 6.5 Arkivering och gallring Den i förra avsnittet berörda regeln om att uppgifter inte får behandlas för ändamål som är oförenliga med dem för vilka de samlades in skulle kunna tolkas som att uppgifterna i princip måste förstöras när ändamålet är uppfyllt eller behovet i förhållande till ändamålet annars upphör. Behandling för historiska, statistiska och vetenskapliga ändamål skall emellertid inte anses oförenlig med de ändamål för vilka uppgifterna insamlades (se ovan, avsnitt 6.3) och enligt (, avsnitt 9.4 och 12.4.6.2) kan ändamål som myndighetsarkiv skall tillgodose hänföras just under historiska, statistiska och vetenskapliga ändamål. Det är därmed inte nödvändigt att myndigheter, redan när personuppgifterna sam- las in, uttryckligen anger arkivering och bevarande som ett ändamål för behandlingen. har föreslagit en uttrycklig bestämmelse i persondatalagen som anger att lagen inte hindrar att en myndighet bevarar sina allmänna handlingar eller att en arkivmyndighet tar hand om arkivmaterial (8 § 2 st). 6.6 Anmälan och tillsyn Den föreslagna persondatalagen kräver inte till skillnad från datalagen att tillstånd in- hämtas för viss hantering av personuppgifter. Persondatalagen bygger i stället på ett system med skyldighet för den persondataansvarige att anmäla behandling av personuppgifter till en tillsynsmyndighet (Datainspektionen) som också utövar tillsyn över verksamheter där behand- ling av personuppgifter förekommer (, avsnitt 3.13.23, 3.17, 12.12 och 12.14). Behandling av personuppgifter som är helt eller delvis automatisk skall enligt huvudregeln skriftligen anmälas till Datainspektionen (36 § 1 st.). Regeringen eller den myndighet som regeringen bestämmer (Datainspektionen) får dock föreskriva undantag från anmälnings- skyldigheten för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbör- ligt intrång i den personliga integriteten (36 § 2 st.). Vidare behöver anmälan till Datainspek- tionen inte göras om den persondataansvarige utser ett persondataombud och offentliggör vem det är (37 §). Ett persondataombud har till uppgift att övervaka och se till att den persondataansvarige behandlar personuppgifter på ett korrekt och lagligt sätt och påpeka even- tuella brister för denne. Om den persondataansvarige inte vidtar rättelse efter påpekande skall persondataombudet anmäla förhållandet till Datainspektionen (38 §). Bland persondataombudets uppgifter ingår även att hjälpa enskilda att få rättelse av felaktiga och ofullständiga uppgifter (40 §). Ett persondataombud kan enligt vara an- ställd hos den persondataansvarige men får inte ha en alltför underordnad ställning med hänsyn till att persondataombudet måste kunna agera självständigt (, av- snitt 12.12.2.4). Datainspektionens verksamhet kommer efter persondatalagens ikraftträdande i huvudsak att bestå i renodlad tillsyn. Datainspektionen kommer enligt förslaget till persondatalag dock även om regeringen bestämmer det att ha möjligheter att utfärda närmare föreskrifter bl.a. om (51 §): i vilka fall behandling av personuppgifter är tillåten, vilka krav som ställs på den persondataansvarige vid behandling av personuppgifter, vilken information som skall lämnas till den registrerade och hur lämnandet av information skall gå till samt anmälan till Datainspektionen och förfarandet när anmälda uppgifter har ändrats. Vid sin tillsyn har Datainspektionen i princip samma befogenheter som myndigheten har enligt datalagen , dvs. rätt att få del av handlingar, tillträde till lokaler m.m. (45 §). Om Datain- spektionen upptäcker oegentligheter skall inspektionen i första hand söka åstadkomma rät- telse genom påpekanden. Om det är brådskande eller om rättelse inte går att få på annat sätt får Datainspektionen vid vite förbjuda den persondataansvarige att behandla uppgifterna på annat sätt än genom att lagra dem (47 §). Om uppgifter behandlats på ett olagligt sätt får Datainspektionen ansöka hos länsrätt om att uppgifterna skall utplånas (49 §). Enligt (, avsnitt 12.1.2) är avsikten att persondata- lagen skall innehålla alla grundläggande regler, principer och undantagsmöjligheter och att regeringen och Datainspektionen inom den ramen och med beaktande av vad EG-direktivet tillåter och kräver närmare skall precisera regleringen, till viss del genom verkställighets- föreskrifter. En genomläsning av den föreslagna lagtexten utvisar att regeringen eller den myn- dighet regeringen bestämmer har ett betydande utrymme att precisera regleringen. En uppställning över aktuella bestämmelser ser ut så här: Regeringen eller myndighet som regeringen bestämmer får: föreskriva undantag från förbudet att behandla känsliga personuppgifter (20 §), föreskriva undantag från förbudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser eller om domar och säkerhetsåtgärder i brottmål (21 §), föreskriva undantag från huvudregeln att det är förbjudet att föra över personuppgifter till tredje land (tredje land= en stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska samarbetsområdet) (35 §), föreskriva undantag från skyldigheten att anmäla behandling av personuppgifter till Data- inspektionen (36 §) och meddela närmare föreskrifter om i vilka fall behandling av personuppgifter är tillåten och vilka krav som ställs på den persondataansvarige m.m. (51 §). föreskriva att vissa behandlingar som kan innebära särskilda risker för otillbörligt intrång i den personliga integriteten skall anmälas till Datainspektionen för förhandskontroll (41 §). besluta om vilka skyddsåtgärder den persondataansvarige skall vidta för att skydda de personuppgifter som behandlas (32 §). (närmare överväganden i författningstekniska frågor redovisas i av- snitt 12.1 i deras betänkande.) 6.8 Ikraftträdande och övergångsbestämmelser Enligt EG-direktivet skall den svenska lagstiftning som inför direktivet träda i kraft . föreslår dock med hänsyn till att de grundlagsänd- ringar de också föreslår bör träda i kraft som den nya persondatalagen att ikraftträdandedatum sätts till . anser att denna lösning är möjlig, trots åtagande gentemot EU. Behandling av personuppgifter som påbörjats före skall dock inte omfattas av bestämmelserna i den nya lagen förrän , i enlighet med vad som är tillåtet enligt EG-direktivet. Därmed finns det tid, menar , att anpassa de särskilda registerförfattningarna till EG-direktivet. Med hänsyn till att behandling av personuppgifter inte tidigare reglerats i i vart fall inte av persondataskyddslagstiftningen finns det enligt starka skäl för att den respit till som EG-direktivet medger för sådan behandling bör utnyttjas, vilket också föreslås i p. 3 i övergångsbestämmelserna. När den nya lagen träder i kraft bör enligt de tillstånd och föreskrifter som Datainspektionen kan ha meddelat beträffande behandlingar som tidigare omfattades av datalagen (dvs. ADB-registrering) anses förlora sin verkan per ikraftträdandedagen. De övergångsbestämmelser föreslagit i övrigt, som bl.a. rör person- uppgifter som arkiverats och samtycken som lämnats före persondatalagens ikraftträdande samt tillämpligheten av skadeståndsbestämmelsen, framgår av bilaga 2 till detta betänkande. (Se även , avsnitt 12.15.) 6.9 övriga förslag till författningsändringar 6.9.1Regler i datalagen som föreslås flyttade till andra lagar har föreslagit (, kap 13): att datalagens bestämmelse (14 §) om att myndigheter som använder upptagning för ADB för handläggning av mål eller ärende skall överföra upptagningen till läsbar form och tillföra den till handlingarna i målet eller ärendet, överförs till 15 kap. sekretesslagen, att datalag- ens bestämmelse om straff för dataintrång (21 §) överförs till samt att datalagens bestämmelser om det statliga person- och adressregistret (SPAR, 2628 §§) bryts ur den generella persondataskyddslagstiftningen och placeras i en särskild register- författning. föreslår en ny begreppsapparat i tryckfrihetsförordningen (, kap 16). Offentlighetsinsynen skall inte längre vara knuten till myndighetenshand- lingar utan till dess uppgifter. Förändringen innebär enligt inte något nytt i grunden utan en anpassning till en ny teknik där det är självklart att uppgifter finns att hämta i handlingar i ordets traditionella betydelse. Med uppgift menas varje sakupp- lysning som kan uppfattas av en människa, antingen direkt eller med hjälp av tekniska hjälp- medel. En uppgift är enligt förslaget allmän om den förvaras hos en myndighet och förekom- mer i en handling (pappershandling eller elektronisk handling) eller i en databas. En handling skall ha ett bestämt innehåll varmed avses ett en gång för alla bestämt innehåll. Det som är typiskt för en databas är att den inte har ett på förhand bestämt innehåll. Exempel på data- baser är journaler, register, dagboksblad och andra förteckningar där det förs in uppgifter efter hand. En databas kan precis som en handling vara eller ha elektronisk form. Liksom en handling kan den bestå av en enda uppgift. För att uppgifterna i en handling eller databas skall vara allmänna krävs, liksom vad gäller för sådana handlingar som tryckfrihetsförordningen omfattar enligt gällande rätt, att de kan göras uppfattbara med hjälp av den utrustning som myndigheten själv förfogar över. Liksom enligt gällande rätt innebär eventuella sökbegränsningar för myndigheten i lag eller annan författning att också allmänhetens rätt att ta del av uppgif- terna omfattas av en sådan begränsning. För frågor om när en uppgift skall anses förvarad hos en myndighet, när den skall anses inkommen, hur den skall lämnas ut m.m. enligt de nya teknikanpassade bestämmelserna hänvisas till betänkande (för en sam- manfattning se författningskommentar). För att anpassa även yttrandefrihetsgrundlagen till den nya ordningen föreslås en ändring i 5 kap. 3 § första stycket 2 i den lagen, som behandlar oriktigt utlämnande av uppgifter (handlingar, enligt nuvarande lydelse) via radioprogram, film eller ljudupptagning. Enligt 8 kap. 7 § regeringsformen kan regeringen efter bemyndigande i lag genom förordning meddela föreskrifter om bl.a. skydd för personlig integritet vid registrering av uppgifter med hjälp av automatisk databehandling. föreslår att regeringen i stället ges rätt att meddela föreskrifter om skydd för personlig integritet vidbehandling av personuppgifter. Syftet är att regeringen (och Datainspektionen om regeringen så bestämmer) skall kunna med- dela föreskrifter på hela det område som omfattas av den föreslagna persondatalagen (, författningskommentaren och avsnitt 12.1.2). I konsekvens med att persondatalagen reglerar behandling av personuppgifter föreslår att sekretessbestämmelsen i 7 kap. 16 § sekretesslagen ändras till att avse sekretess för personuppgifter om det kan antas att ett utlämnande skulle medföra att uppgiften behand- las i strid med persondatalagen (jfr avsnitt 4.3.5 ovan). Vidare föreslås att andra stycket i paragrafen upphävs eftersom det redan av persondatalagen framgår vilka förutsättningar som gäller för överföring av personuppgifter till tredje land (se aktuellt lagrum samt 3335 §§ persondatalagen). Beträffande den ändring av 9 kap. 6 § sekretesslagen som föreslås hänvisas till Datalags- kommitténs betänkande (, författningskommentaren och avsnitt 12.14.1.3). I övrigt är de föreslagna ändringarna i sekretesslagen i huvudsak föranledda av den nya be- greppsapparat och terminologi som föreslås för tryckfrihetsförordningen. De föreslagna ändringarna i arkivlagen syftar i huvudsak till att begreppen och terminologin (allmänna uppgifter i handlingar och databaser) skall överensstämma med vad som föreskrivs tryckfrihetsförordningen enligt föreslagna ändringar i denna. 7 Totalförsvaret och dess personal 7.1 Totalförsvarspliktens innebörd och omfattning Begreppet totalförsvar, som finns definierat i 1 § första stycket lagen (1992:1403) om totalför- svar och höjd beredskap, avser den verksamhet som behövs för att förbereda för krig (jfr även beredskapsförordningen [1993:242]). Totalförsvaret består av det militära försvaret vars huvuduppgift är att möta väpnade angrepp mot och det civila försvaret, som bl.a. skall värna civilbefolkningen under krig, trygga nödvändig försörjning och även i övrigt upprätthålla viktiga samhällsfunktioner. För det militära försvaret ansvarar i huvudsak Försvar- smakten, medan ansvaret för det civila försvaret åvilar statliga myndigheter, kommuner, lands- ting, företag, organisationer och enskilda. gäller lagen (1994:1809) om totalförsvarsplikt (prop. 1994/95:6). Genom denna lag har de grundläggande bestämmelserna om tjänstgöringsskyldighet inom landets totalförsvar samlats i en författning. Totalförsvarsplikten innebär en skyldighet för varje svensk medborgare och i viss utsträckning för utländska medborgare som är bosatta i att tjänstgöra inom totalförsvaret i den omfattning som hans eller hennes kropps- krafter och hälsotillstånd tillåter. Skyldigheten gäller från och med det kalenderår då personen fyller till utgången av det år när han eller hon fyller . Tjänstgöringen kan fullgöras som värnplikt, civilplikt eller allmän tjänsteplikt. Värnplikt och civilplikt omfattar grundut- bildning, repetitionsutbildning, beredskapstjänstgöring och krigstjänstgöring. (I vissa fall kan en totalförsvarspliktig skrivas in för civilplikt och krigsplaceras utan grundutbildning om det är uppenbart att utbildningsbehov saknas). Den allmänna tjänsteplikten innebär endast en skyldighet för den som är totalförsvarspliktig att tjänstgöra under höjd beredskap. Höjd be- redskap är, enligt lagen om totalförsvar och höjd beredskap, antingen skärpt beredskap eller högsta beredskap. Under högsta beredskap är totalförsvar all samhällsverksamhet som då skall bedrivas. Värnplikten fullgörs hos Försvarsmakten. Skyldigheten att fullgöra sådan plikt omfattar endast svenska män och gäller från början av det kalenderår de fyller till slutet av det kalenderår de fyller . De som är ianspråktagna med värnplikt utgör den helt dominerande delen av de totalförsvarspliktiga som genomgår grundutbildning och repetitionsutbildning. Alla , som inte är ianspråktagna med värnplikt, är skyldiga att efter anmodan fullgöra civilplikt. Det är emellertid endast svenska män som är skyldiga att fullgöra civilplikt med längre grundutbildning än . Civilplikten kan, enligt bilaga till förordningen (1995:238) om totalförsvarsplikt, fullgöras i följande verksamheter: Verksamheter i det civila försvaret 4.Räddningstjänst inklusive räddningstjänst vid flygplatserna 7.Kommunal tillsyn inom miljö- och hälsoområdet 8.Underhåll och reparationer av järnvägar och vägar