sou · GLB339d1 · 1998-01-01 00:00:00 — Eftersom tillståndsförfa- randet skulle slopas, föreslog utredningen att det i stället skulle tas in en bestämmelse i datalagen, som gav regeringen möjlighet att delegera till Datainspektionen att meddela närmare föreskrifter om tillämpningen av datalagen inom olika branscher eller sektorer. En sådan bestämmelse förut- satte emellertid även en ändring i 8 kap. 7 § RF. Ändringar av det slag som utredningen föreslog har införts och trätt i kraft den 1 januari 1995.7 Det rådde stor enighet bland remissinstanserna om att det behövs en ny datalag och att den bör vara anpassad till den internationella regleringen, bl.a. det kommande EG-direktivet. Huvuddelen av instanserna ansåg att en ny lag bör avvakta EG-direktivet, men några menade att det är så angeläget att en ny datalag kommer till stånd att man inte skall vänta på direktivet. Vidare uttalade en klar majoritet av instanserna att den svenska offent- lighetsprincipen skall behållas i sin nuvarande omfattning och att – om det skulle behövas – EG-direktivet får stå tillbaka på den punkten. Vissa pe- kade på den intressekonflikt som kan finnas mellan offentlighet och effek- tivitet i förvaltningen å ena sidan och personlig integritet å den andra. Det rådde mellan instanserna delade meningar om vilket intresse som skall väga tyngst. Några ansåg att det borde analyseras ytterligare vilka kon- sekvenser den nya lagen skulle få för offentlighetsprincipen. Huvuddelen av instanserna ansåg att det skall göras undantag från data- lagen för att skydda yttrandefriheten enligt TF och YGL. SFS 1994:1480 och 1994:1485. 100 förslag och utvecklingen därefter SOU 1997: 39 inte överens om hur ett sådant undantag i praktiken skulle utformas. Vissa menade att utredningens förslag skulle innebära att alltför stor del av den behandling av personuppgifter som förekommer inom detta område undan- togs från lagens tillämpning. Dessa instanser ansåg att ett alltför omfattan- de undantag kan medföra intrång i den personliga integriteten. Andra me- nade att undantaget var för snävt och ansåg att den omständigheten att man reglerar användningen av datorer inte får inskränka den grundlagsfästa ytt- randefriheten. Det rådde stor enighet bland remissinstanserna om att tillståndssyste- met borde avskaffas till förmån för ett renodlat tillsynsförfarande. Många påpekade att detta förutsätter klara och precisa regler i datalagen som kan förstås av var och en, och många ansåg att lagförslaget inte uppfyller detta krav. Den föreslagna lagen lämnar, enligt vissa, åt den enskilde att efter avvägningar mellan skilda intressen själv avgöra om en behandling av per- sonuppgifter är tillåten eller inte. Några instanser ansåg att en sådan regle- ring är otillfredsställande, särskilt eftersom den som inte följer bestämmel- serna kan straffas. Många var kritiska till det föreslagna anmälningsförfarandet som enligt dessa instanser skulle vålla onödig och kostsam byråkrati. Datainspektio- nens verksamhet borde, enligt vissa, i stället för att betalas genom anmäl- ningsavgifter finansieras via statsbudgeten. En del uttalade också kritik mot de föreslagna bestämmelserna om information och underrättelser till de registrerade. Även dessa regler ansågs av vissa vålla alltför stora kost- nader. Remissinstanserna var generellt sett positiva till en övergång från personregister till personuppgifter. Vissa menade att även register bör omfattas av lagen. Flera instanser ifrågasatte utredningens tolkning av bestämmelserna om ändamålsanknytning. Enligt denna skulle de ändamål för behandlingen av personuppgifter som bestämts av den persondataansvarige själv få avgöra vilka uppgifter som är offentliga. Dessa instanser ansåg att en sådan ord- ning i praktiken skulle innebära en inskränkning av offentlighetsprincipen. En sådan inskränkning välkomnades emellertid av några andra. De flesta var i huvudsak positiva till förslaget att behandling av käns- liga personuppgifter författningsregleras. Det andra alternativet – att kräva samtycke i varje enskilt fall av den registrerade – avvisades. När det gällde de föreslagna reglerna om behandling av känsliga uppgifter för forsknings- eller statistikändamål rådde delade meningar. De flesta tillstyrkte förslaget att sådana behandlingar som huvudregel skulle kräva samtycke. SOU 1997: 39 förslag och utvecklingen därefter 101 menade att förslaget skulle leda till inskränkningar för forskningen medan andra åter menade att undantagen för forskning var alltför långtgående. Några remissinstanser var kritiska mot att förslaget inte innehöll en – som de ansåg nödvändig – kostnadsanalys. förslag har legat till grund för vissa ändringar i bl.a. datalagen. Genom en ändring i 8 kap. 7 § RF öppnades en möjlighet för regeringen att efter bemyndigande i lag delegera normgivningskompetens till Datainspektionen i fråga om automatisk databehandling av personupp- gifter.8 Grundlagsändringen har följts upp med ändringar i datalagen.9 Ändringarna trädde i kraft . I samma lagstiftningsärende vidtogs ytterligare, som det bedömdes, an- gelägna förändringar. Skyldigheten att inhämta särskilt yttrande från Data- inspektionen inför inrättande av s.k. statsmaktsregister togs bort. Datain- spektionen fick vidare möjlighet att förena föreskrifter och förbud med vite. Slutligen infördes nya regler om överklagande. Datainspektionens beslut skall inte längre överklagas till regeringen utan till allmän förvalt- ningsdomstol. Endast i de fall den registeransvarige är en myndighet skall regeringen även i fortsättningen pröva överklagandet. Datalagen innehöll från början ett generellt krav på tillstånd från Datain- spektionen för alla typer av automatiskt förda personregister. Endast så- dana register som var beslutade av riksdag eller regering var undantagna från tillståndsplikten. Vissa inskränkningar i tillståndskravet genomfördes den 1 juli 1979.10 Härigenom undantogs register som fördes med viss 102 förslag och utvecklingen därefter SOU 1997: 39 teknisk utrustning och där det framstod som uppenbart att otillbörligt in- trång i de registrerades personliga integritet inte skulle uppkomma (t.ex. sådan behandling som utfördes i s.k. hemdatorer). Tillståndshanteringen blev emellertid med tiden alltmer omfattande. I syfte att begränsa Datain- spektionens tillståndsverksamhet ytterligare togs det generella tillstånds- kravet bort den 1 juli 1982.11 Endast sådana personregister som är särskilt känsliga från integritetssynpunkt har därefter varit underkastade ett till- ståndskrav. Datainspektionen saknade tidigare formell möjlighet att meddela generella föreskrifter för behandling av personuppgifter. Föreskrifter kunde endast meddelas i varje enskilt tillståndsärende. I övrigt kunde inspektionen ge- nom sin informations- och rådgivningsverksamhet påverka de registeran- svariga. Datainspektionen hade emellertid börjat tillämpa ett förenklat tillståndsförfarande som i praktiken innebar att in- spektionen för vissa verksamhetsområden utfärdade generella föreskrifter. Inspektionen kunde sedan i det enskilda tillståndsärendet, genom att hän- visa till sådana föreskrifter, efter en mer summarisk kontroll låta föreskrif- terna bli gällande i det individuella fallet. Det förenklade tillståndsförfa- randet fyllde det behov som fanns av generella föreskrifter på olika områ- den. Med förslag som grund infördes bestämmelser i datalagstiftningen som öppnade möjlighet för Datain- spektionen att meddela generella föreskrifter för personregister som ofta förekommer inom en viss verksamhet.12 infördes ett undantag från tillståndsplikten för sådana register som inrättas och förs i enlighet med sådana av Datainspektionen meddelade föreskrifter. Tanken på att in- föra krav på en speciell anmälningsskyldighet för sådana register avvisades i motiven.13 Ändringen syftade till att minska Datainspektionens till- ståndshantering och därigenom lämna mer utrymme för tillsynsverksam- heten.14 1219 § datalagen och 14 § dataförordningen, SFS 1994:1485 respektive SFS 1994:1487. 1993/94:217 s. 20 SOU 1997: 39 förslag och utvecklingen därefter 103 Datainspektionens normgivningskompetens avser endast en regelut- fyllnad av datalagens bestämmelser. Tanken är att föreskrifterna skall vara tämligen detaljerade och i sak ligga nära enskilda tillståndsbeslut. Möjlig- heten till delegerad normgivningskompetens skall inte påverka strävandena att reglera särskilt integritetskänsliga personregister genom speciella registerförfattningar, något som särskilt poängterades vid utskottsbehand- lingen.15 Normgivningskompetensen avser vidare endast personregister som ofta förekommer inom en viss verksamhet (branscher och sektorer) och för ett visst ändamål. Normgivningsrätten innefattar inte någon rätt för Datainspektionen att utfärda generella föreskrifter om gallring av allmänna handlingar. Datainspektionens kompetens omfattar såväl privat som statlig och verksamhet.16 Datainspektionen har meddelat generella föreskrifter för N församlingsregister och ministerialböcker i verksamhet (1995:3), N vissa personregister i verksamhet (1995:5), N vissa direktreklamregister (1995:6), N vissa tillståndspliktiga personregister i försäkringsrörelse (1996:2), N protokollsregister hos kommuner och landsting (1996:3), N uppdragsregister i advokatverksamhet (1996:5), N personregister över nämndemän, särskilda ledamöter och jurymän (1996:6) och N domstolars personregister över tolkar (1996:7). skulle yttrande inhämtas från Datainspektionen innan eller regeringen fattade beslut om personregister (statsmaktsregister). Tan- ken var bl.a. att otillbörlighetsbedömningen skulle ske enhetligt oavsett om det gällde ett tillståndspliktigt register eller ett register som inrättades di- rekt av statsmakterna.17 I syfte att minska inspektionens arbetsbörda togs denna skyldighet enligt 2 a § datalagen bort den 1 januari 1995.18 I moti- 15KU 1994/95:10 s. 6 1993/94:217 s. 23 104 förslag och utvecklingen därefter SOU 1997: 39 ven uttalades att Datainspektionen ändå får tillfälle att avge synpunkter, bl.a. mot bakgrund av den skyldighet som regeringen har enligt 7 kap. 2 § RF att inhämta vissa upplysningar och yttranden från myndigheter under beredningen av regeringsärendena. Vidare anfördes att det är vanligt att in- spektionen deltar i beredningsarbetet inför inrättandet av statsmaktsregister samt att inspektionen regelmässigt är remissorgan i sådana lagstiftnings- ärenden. Om förandet av ett personregister har lett till otillbörligt intrång i personlig integritet, kan Datainspektionen meddela föreskrifter för att förhindra fort- satt sådant intrång (18 § datalagen). När det gäller statsmaktsregister får sådana föreskrifter inte stå i strid med beslut av regeringen eller . Om intrånget inte kan hindras på något annat sätt, får Datainspektionen förbjuda fortsatt förande av registret eller återkalla ett meddelat tillstånd. Detta gäller inte statsmaktsregister. För överträdelse av sådana föreskrifter eller förbud är föreskrivet straff (20 § 1 st. 2 p.). Någon möjlighet för Data- inspektionen att ingripa mot förfaranden som stred mot sådana föreläggan- den eller förbud fanns inte tidigare. Genom lagändringen infördes en möj- lighet för Datainspektionen att förena sådana med vite (18 § 3 st.). Vites- möjligheten ansågs skapa bättre förutsättningar för att sätta stopp för otill- börliga intrång i personlig integritet.19 Enligt allmänna principer får inte samma gärning föranleda både vite och straff. En särskild erinran togs där- för in i lagen om att den som har överträtt ett vitesföreläggande inte får dömas för en gärning som omfattas av vitesföreläggandet (20 § 2 st.). Datainspektionens beslut skall efter lagändringen överklagas till allmän förvaltningsdomstol (i praktiken länsrätten i ) i stället för regeringen. Undantag gäller för det fallet att en statlig myndighet är regis- teransvarig. Överklagande skall då även i fortsättningen ske till regeringen. Ändringen är ett led i det arbete som pågår inom regerings- kansliet för att minska regeringens befattning med förvaltningsärenden.20 1993/94:217 s. 24 1993/94:116 s. 12 SOU 1997: 39 förslag och utvecklingen därefter 105 Den innebär vidare en samordning med EG-direktivets artikel 22 enligt vilken enskilda skall ha rätt till domstolsprövning vid brott mot de rättig- heter som tillförsäkras dem genom direktivet. Enligt regeringens förslag skulle i samtliga fall överklagande ske till domstol. Regeringen angav som grundsats i det sammanhanget att över- klaganden av förvaltningsbeslut som rör en rättsfråga skall gå till domstol medan ärenden där lämplighetsbedömningar dominerar bör prövas i ad- ministrativ ordning. Vidare angav regeringen att det var en bestämd mål- sättning att myndighetsregister med känsligt innehåll skall ha stöd i för- fattning. Den politiska styrningen av utvecklingen inom området för auto- matisk databehandling skulle med andra ord uteslutande ske författnings- vägen. Eftersom utrymmet för lämplighetsbedömningar i enskilda fall på detta sätt inskränktes, borde enligt regeringen överprövningen av Datain- spektionens beslut flyttas till domstol.21 uttalade emellertid att det, särskilt på det statliga området, inte kunde uteslutas att det fortfarande kan förekomma fall där de bedömningar som måste göras rymmer politiska inslag. Som exempel nämndes ett uppmärksammat fall av samkörning av personuppgifter från vissa arbetslöshetskassor med uppgifter från allmänna försäkringskassor i syfte att upptäcka bidrags- fusk.22 Enligt utskottets mening borde därför överklaganden av beslut som rör statliga myndigheter även i fortsättningen avgöras av regeringen.23 beslutade i enlighet med utskottets förslag. 1993/94:217 s. 27 22Regeringsbeslut , Ju 94/3280 23KU 1994/95:10 s. 11 SOU 1997: 39 3 EG-direktivet om personuppgifter Vi har enligt utredningsdirektiven till uppgift att analysera på vilket sätt och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av person- uppgifter och om det fria flödet av sådana uppgifter24, i det följande kallat direktivet, skall införlivas i svensk lagstiftning. Direktivet finns bifogat som bilaga 2. Här skall inte lämnas någon allmän beskrivning av EU eller åtaganden i det sammanhanget; sådana översiktliga beskrivningar finns i flera betänkanden från senare år och i diverse läroböcker och andra skrif- ter. Som en bakgrund till vår analys av innebörden av direktivet och hur det bör införlivas i svensk rätt finns det emellertid anledning att kort dels erinra om vad som gäller i fråga om genomförandet av EG-direktiv (avsnitt 3.1.2), dels beröra bakgrunden till det aktuella direktivet (avsnitt 3.1.3). Bestämmelserna i ett EG-direktiv måste införlivas i varje medlemsstats rättsordning för att bli gällande rätt i den staten. EG-direktivet är dock för medlemsstaterna bindande i fråga om det resultat som skall uppnås, men 24 EGT nr L 281, 23.11.95, s. 31. 108 EG-direktivet om personuppgifter SOU 1997: 39 det är de nationella myndigheterna som bestämmer formen och tillväga- gångssättet för genomförandet.25 kan EG-direktiv – särskilt på det sociala området – innehålla bara minimibestämmelser. Medlemsstaterna måste då kunna garantera att minimiskyddet enligt EG-direktivet alltid uppfylls, men det är tillåtet att ha längre gående nationella bestämmelser för att skydda de aktuella intresse- na. Är det inte fråga om ett sådant minimidirektiv, måste medlemsstaterna emellertid kunna garantera att varken strängare eller mildare bestämmelser gäller än vad som följer av EG-direktivet. En annan sak är att bestämmel- serna i ett EG-direktiv i sig kan tillåta medlemsstaterna ett visst spelrum vid genomförandet. Det aktuella direktivet om behandling av personuppgifter är inte ett minimidirektiv. Det är alltså inte tillåtet att föreskriva – eller behålla – ett bättre eller sämre skydd för den personliga integriteten vid behandling av personuppgifter eller för det fria flödet av sådana uppgifter än vad som följer av direktivet. En anknytande frågeställning är huruvida de uttryck och begrepp som används i ett EG-direktiv har en för hela EG gemensam innebörd eller om avsikten bara är en partiell harmonisering på det sättet att varje medlems- stat i enlighet med nationell lagstiftning och praxis får bestämma innebör- den av använda uttryck och begrepp. Om det i ett EG-direktiv anges att fysiska personer skall ha ett visst skydd, är det då tillåtet för varje med- lemsstat att i enlighet med nationell lagstiftning och praxis bestämma om t.ex. ofödda och avlidna skall ha det föreskrivna skyddet? Även om det inte framgår uttryckligen av ett EG-direktiv, måste med- lemsstaterna vidta alla nödvändiga åtgärder för att kunna garantera en effektiv tillämpning av bestämmelserna i . Medlemsstaterna måste därför föreskriva sanktioner mot dem som bryter mot det som följer av EG-direktivet, och dessa sanktioner måste vara effektiva, proportionella i förhållande till brottet och avskräckande.26 Ett EG-direktiv kan, liksom varje annan rättslig text, behöva tolkas. Det är ytterst som beslutar i fråga om tolkningen, t.ex. efter det att en nationell domstol i ett aktuellt mål har begärt ett s.k. förhandsavgö- rande om tolkningen.27 25Artikel 189 a i EG-fördraget. 26Detta följer av artikel 5 i EG-fördraget och av praxis. 27Artikel 177 i EG-fördraget. SOU 1997: 39 EG-direktivet om personuppgifter 109 Till ledning för tolkningen av ett EG-direktiv finns det inte förarbeten av det slag som vi är vana vid i . I varje EG-direktiv brukar det emellertid finnas en ingress i vilken det redogörs för bakgrunden till och syftet med direktivet28, och det finns flera exempel på att för tolkningen har hämtat ledning från vad som anges i ingressen. En tolkningsprincip som har använt är vidare att be- stämmelser som medger avvikelser eller undantag från individuella rättig- heter skall tolkas restriktivt. Ett annat problem vid tolkningen av EG-direktiv är att alla officiella språkversioner av direktivet har samma giltighet.29 Det kan därför finnas anledning att jämföra flera olika språkversioner för att fastställa innebör- den. Det anses vidare att de nationella domstolarna har att om möjligt tolka den nationella lagstiftningen på ett sådant sätt att den går att förena med bestämmelserna i . har genom sitt medlemskap i unionen åtagit sig att genomföra direktivet. Uppfyller en medlemsstat inte sitt åtagande att på ett riktigt och fullständigt sätt genomföra ett EG-direktiv, kan någon annan medlemsstat eller kommissionen föra talan om saken vid EG-domstolen.30 I vissa fall kan bestämmelser i ett EG-direktiv få genomslag på nationell nivå, trots att staten har låtit bli att i rätt tid införliva bestämmelserna i den nationella rättsordningen. Den enskilde som i förhållande till staten – eller något statsorgan – på grund av underlåtenheten inte har fått den rätt som EG-direktivet tillförsäkrar honom eller henne, kan då föra talan mot staten vid de nationella domstolarna (t.ex. om skadestånd för det att en myndighet på ett otillåtet sätt har behandlat personuppgifter). Det är också möjligt att staten på grund av sin underlåtenhet kan bli skadeståndsskyldig gentemot en enskild för det att denne inte har kunnat göra gällande sin rätt mot någon annan enskild (t.ex. ett privat företag som har behandlat person- uppgifterna på ett otillåtet sätt).31 28Jämför artikel 190 i EG-fördraget. 29Se t.ex. artikel 176 i Anslutningsfördraget för . 30Artikel 169–171 i EG-fördraget. 31Det har tillsatts en utredning (Ju 1996:04) för att klarlägga hur svensk nationell skadeståndsrätt förhåller sig till EG-rättens principer om statens skade- ståndsansvar mot den som lidit skada på grund av statens överträdelse av EG- rätten, se dir. 1996:31. 110 EG-direktivet om personuppgifter SOU 1997: 39 Direktivet har en lång förhistoria. lämnade kommissionen ett första förslag till direktiv.32 yttrade sig Ekonomiska och sociala kommittén över förslaget33, och i ett yttrande föreslog en rad förändringar i det ursprungliga förslaget.34 Kommissionen omarbetade därefter förslaget och avlämnade ett reviderat förslag.35 Det reviderade förslaget, jämte kommissio- nens förklarande anmärkningar (i det följande kallade kommissionens för- ), finns fogat till slutbetänkande som bilaga 3. Först kom rådet fram till en gemensam ståndpunkt36 och senare kunde direktivet antas. I protokollet över det möte då rådet antog den gemensamma ståndpunk- ten intogs vissa förklaringar av rådet, kommissionen och olika enskilda medlemsstater. Något justerat eller på annat sätt färdigställt protokoll finns dock enligt uppgift inte hos . Däremot finns hos de- partementet en till svenska språket översatt handling37 som upptar de för- klaringar som skall tas in i protokollet. Handlingen har enligt beslut av med stöd av den svenska offent- lighetsprincipen lämnats ut till en journalist i , dock att uppgifter om vilka andra medlemsstater än som avgett förklaringar strukits. Handlingen med förklaringarna kallas i det följande mötesprotokollet. Direktivet inleds med en längre ingress omfattande 72 punkter där bak- grunden till och syftet med bestämmelserna i direktivet berörs (i det följande kallad ingressen). Det fria flödet av personuppgifter inom gemen- skapen skall underlättas till gagn för den inre marknaden med fri rörlighet för varor, personer, tjänster och kapital. Detta skall ske genom att det i samtliga medlemsstater skapas en likvärdig, hög skyddsnivå när det gäller enskilda personers fri- och rättigheter, särskilt rätten till privatliv. 32COM(90) 314 final – SYN 287 och EGT nr C 277, 5.11.1990, s. 3. 33EGT nr C 159, , s. 38. 34EGT nr C 94, , s. 198. 35COM(92) 422 final – SYN 287 och EGT nr C 311, 27.11.1992, s. 30. 36EGT nr C 93, , s. 1. 37Handlingen har EU:s beteckning 4730/95 ECO 20 och är daterad . Protokollsförklaringarna översatta till danska finns intagna i , Personregistrering, 3. rev. udgave, 1996, s. 430 ff. 38§ 255, dnr Ju 95/2444. SOU 1997: 39 EG-direktivet om personuppgifter 111 sådan tillnärmning av medlemsstaternas lagstiftning, kan staterna inte längre hindra det fria flödet av personuppgifter inom gemenskapen med hänvisning till skyddet för enskilda personers fri- och rättigheter. Det betonas vidare i ingressen att medlemsstaterna kommer att få ett handlingsutrymme i samband med genomförandet av direktivet och att staterna skall sträva efter att förbättra det skydd som deras nuvarande lag- stiftning ger; tillnärmningen skall syfta till att garantera en hög skyddsnivå inom gemenskapen. Inom ramen för detta handlingsutrymme kan det alltså uppkomma skillnader vid genomförandet av direktivet. Direktivets syfte kommer också till uttryck i själva direktivtexten (artikel 1). Medlemsstaterna skall i enlighet med direktivet skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter.39 Och staterna får varken begränsa eller inskränka det fria flödet av personuppgifter mellan med- lemsstaterna av skäl som har samband med detta skydd. Vad medlemsstaterna får göra är att inom de begränsningar som de materiella bestämmelserna i (kapitel II i) direktivet innebär precisera på vilka villkor behandling av personuppgifter är tillåten (artikel 5). Dessa preciseringar får dock inte hindra det fria flödet av personuppgifter inom gemenskapen. Medlemsstaterna kan närmare ange de allmänna villkoren för att tillåta behandling, liksom ange särskilda villkor för behandling inom vissa sektorer eller avseende vissa kategorier av personuppgifter. Staterna kan använda såväl generell lagstiftning som särskild lagstiftning, t.ex. avseende statistiska institut. (Se punkt 22 och 23 i ingressen, jämför punkt 68.) I fråga om ingressen är det för svenskt vidkommande vidare viktigt att notera att det i punkt 72 anges att direktivet gör det möjligt att vid genom- förandet av bestämmelserna ta hänsyn till principen om allmänhetens rätt till tillgång till allmänna handlingar.40