sou · GLB339d2 · 1998-01-01 00:00:00 — vändigt att dessa särskilda bestämmelser om att den registrerade i undan- tagsfall inte har rätt till viss information får gälla framför den generella rätt till information om behandlade uppgifter som annars skall gälla enligt di- rektivet och den föreslagna lagen. Vi anser således att det i den föreslagna persondatalagen bör införas en bestämmelse om att rätten att få informa- tion i samband med insamling av uppgifter och på begäran inte gäller i den utsträckning det finns en föreskrift om att uppgifterna inte får lämnas ut till den registrerade. Sådana föreskrifter kan finnas i lag eller annan författning eller i beslut som har meddelats med stöd av författning, t.ex. beslut om förbehåll enligt 14 kap. 9–10 §§ sekretesslagen. I 6 kap. sekretesslagen finns det bestämmelser om sekretess med hän- syn till det allmännas ekonomiska intresse. På grund av dessa bestämmel- ser kan det allmänna under vissa förutsättningar hemlighålla uppgifter bl.a. i samband med rättsliga tvister och fackliga förhandlingar. På den privata sidan, där offentlighetsprincipen inte gäller, finns det däremot i allmänhet inte några motsvarande författningsbestämmelser om sekretess och tystnadsplikt. Reglerna om information i den föreslagna per- sondatalagen innebär att ett slags offentlighetsprincip gentemot den re- gistrerade kommer att gälla i vissa avseenden även på den privata sidan. Den föreslagna persondatalagen omfattar vidare – till skillnad från datala- gen – i princip alla datorlagrade personuppgifter. För att skydda viktiga intressen för de persondataansvariga på den privata sidan eller andra kan det därför finnas anledning att göra vissa undantag från informationsskyl- digheten enligt den föreslagna persondatalagen. för detta finns i ar- tikel 13 i EG-direktivet som ger medlemsstaterna rätt att föreskriva sådana undantag för vissa angivna ändamål. Flertalet av dessa hänför sig normalt till allmän verksamhet. Några kan dock vara av vikt även för enskilda. Enskilda kan exempelvis i lika hög grad som myndigheter ha ett befo- gat intresse av att kunna hemlighålla personanknuten information som samlats in inför en domstolsprocess, om det kan antas att ett utlämnande av informationen skulle försämra den enskildes ställning som part i rätte- gången. I försäkringsverksamhet finns inte sällan uppgift om att en regist- rerad person misstänks för försäkringsbedrägeri eller annan brottslig verk- samhet. Internationella organisationer – vi tänker här särskilt på – kan ha sammanställningar av uppgifter om personer som misstänks ha gjort sig skyldiga till brott mot de mänskliga rättigheterna. Uppgifterna bör naturligtvis inte lämnas ut medan utredning pågår. Vi föreslår därför att regeringen – eller Datainspektionen – bemyndigas att medge undantag från informationsskyldigheten, om det behövs för att SOU 1997: 39 Innehållet i den nya persondatalagen 399 skydda grundläggande intressen för enskilda eller för att förebygga, under- söka eller avslöja brott. Enligt vår mening bör undantag medges i situatio- ner liknande dem som avses i exempelvis 5 kap. 1 §, 6 kap. 7 § och 7 kap. 20 § sekretesslagen. Den persondataansvarige bör vara skyldig att på begäran av den registre- rade rätta, utplåna eller blockera sådana personuppgifter som är felaktiga, missvisande eller ofullständiga eller annars inte har behandlats i enlighet med den föreslagna persondatalagen eller anknytande föreskrifter. De som redan har fått del av uppgifterna bör underrättas om korrigeringsåtgärden, om den registrerade begär det eller om en underrättelse skulle kunna und- vika mera betydande skada eller olägenhet för den registrerade. Undantag från underrättelseskyldigheten bör gälla om det visar sig vara omöjligt att underrätta eller om det skulle innebära en oproportionerligt stor arbetsin- sats att underrätta. Såsom nämnts i avsnitt 12.4.4 är det – enligt artikel 6.1 d i EG-direktivet – ett grundläggande krav på den persondataansvarige vid behandling av per- sonuppgifter att alla rimliga åtgärder vidtas för att utplåna eller rätta så- dana personuppgifter som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka uppgifterna behandlas. I artikel 12 b–c i EG-direktivet finns ytterligare bestämmelser om rättelse m.m. Enligt dessa bestämmelser skall medlemsstaterna säkerställa att varje registrerad har rätt att i förekommande fall få sådana uppgifter som inte har behandlats i enlighet med bestämmelserna i direktivet rättade, utplånade eller blockerade. Detta skall gälla särskilt när uppgifterna är ofullständiga eller felaktiga. Varje registrerad skall vidare ha rätt att kräva att den persondataansvarige underrättar sådana tredje män till vilka berörda uppgifter har lämnats ut om genomförda rättelser, utplånanden och blockeringar. Denna underrättelseskyldighet gäller dock inte om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor ansträng- 400 Innehållet i den nya persondatalagen SOU 1997: 39 ning att underrätta. Bestämmelserna i artikel 12 i EG-direktivet har berörts i avsnitt 3.10. Det kan noteras att möjligheten att blockera felaktiga eller ofullständiga personuppgifter inte nämns i den grundläggande bestämmelsen om den persondataansvariges skyldigheter vid behandling av personuppgifter (artikel 6.1 d). Vi anser emellertid – med stöd av den mer preciserade re- geln om rättelse m.m. i artikel 12 – att blockering alltid bör kunna använ- das som ett alternativ till rättelse och utplånande. Vi har också utformat den föreslagna lagtexten, som inför artikel 6.1 d, i enlighet med den upp- fattningen. I avsnitt 9.3 berörs särskilt frågan om rättelse m.m. av uppgifter hos myndigheter, och i avsnitt 12.14.1 tas upp frågan om Datainspektionens möjligheter att få personuppgifter utplånade. Vi föreslår att det – för att uppfylla de skyldigheter som framgår av artikel 12 b – i lagtexten slås fast att den persondataansvarige är skyldig att på be- gäran av den registrerade rätta, blockera eller utplåna sådana personuppgif- ter som inte har behandlats i enlighet med den föreslagna lagen eller före- skrifter som har utfärdats med stöd av lagen. I artikel 12 b talas det om uppgifter som inte har behandlats i enlighet med bestämmelserna i direktivet, medan det i flera andra artiklar används uttryckssätt som de nationella bestämmelser som har antagits till följd av direktivet, se t.ex. artikel 23 och 24. Vi har emellertid utgått från att det även beträffande artikel 12 b är tillräckligt att föreskriva korrigering av uppgifter som inte har behandlats i enlighet med de svenska föreskrifter som antagits till följd av direktivet. Till följd av utformningen av direktivet verkar det vidare vara nödvän- digt att utforma den föreslagna lagtexten så att den angivna korrigerings- skyldigheten omfattar alla uppgifter som inte har behandlats i enlighet med alla bestämmelser om behandlingen i de svenska föreskrifterna. Det bör dock, såsom vi har tolkat direktivet, inte vara otillåtet att läka brott mot vissa föreskrifter genom andra åtgärder än de angivna. Har personuppgifter behandlats utan att en nödvändig anmälan till tillsynsmyndighet gjorts, bör den persondataansvarige således kunna undvika rättelse, utplånande eller blockering av uppgifterna genom att skyndsamt lämna in en anmälan. SOU 1997: 39 Innehållet i den nya persondatalagen 401 motsvarande sätt bör man kunna resonera när personuppgifter har behand- lats i strid med de bestämmelser som finns om en lämplig säkerhetsnivå vid behandlingen eller om den information om behandlingen som skall lämnas till den registrerade. Har uppgifter i ett personregister behandlats manuellt när detta inte kan tillåtas, bör den persondataansvarige vidare kunna nöja sig med att förstöra registerstrukturen på ett sådant sätt att ma- nuell behandling av uppgifterna inte (längre) omfattas av direktivet och den föreslagna lagen (se rörande registerbegreppet avsnitt 12.2.8). 12.8.2.2På begäran av den registrerade Den persondataansvarige är enligt den nu aktuella bestämmelsen bara skyldig att vidta korrigeringsåtgärder på begäran av den registrerade. En sådan begäran om korrigering kan t.ex. vara resultatet av en granskning av den information om de behandlade uppgifterna som den registrerade har fått efter ansökan därom (se rörande informationsskyldigheten avsnitt 12.7.3). Den registrerades begäran om korrigering kan framställas formlöst till den persondataansvarige eller någon som företräder denne. Det räcker att det av begäran framgår att den registrerade är missnöjd med behandlingen i något visst avseende och vill att korrigering skall vidtas. Framställs en så- dan begäran måste den persondataansvarige skyndsamt utreda om de fram- förda anmärkningarna är befogade och, om så skulle vara fallet, vidta korrigering. Det ligger i sakens natur att korrigering alltid måste vidtas så snart det är möjligt. Den persondataansvarige får således inte av bekvämlighetsskäl vänta med att korrigera till dess att uppgifterna ändå skall uppdateras, om det är möjligt att göra korrigeringen tidigare. Den persondataansvarige är inte till följd av en begäran från en person skyldig att korrigera uppgifter beträffande andra personer. Eftersom den persondataansvarige enligt den föreslagna lagen ansvarar för att alla de be- handlingar han eller hon utför sker i överensstämmelse med tillämplig lag- stiftning, får det dock förutsättas att alla nödvändiga åtgärder vidtas när den persondataansvarige på ett eller annat sätt uppmärksammas på t.ex. mer generella brister i hanteringen. Vi har inte funnit anledning att i den föreslagna lagen ta in bestämmelser om vilken korrigeringsmetod – rättelse, utplånande eller blockering – som 402 Innehållet i den nya persondatalagen SOU 1997: 39 skall användas i olika fall. I avsaknad av föreskrifter i detta hänseende får den persondataansvarige själv välja metod, vilket inte kan anses oförenligt med EG-direktivet. I vissa fall kan det dock på annat håll finnas be- stämmelser som i praktiken kan påverka eller bestämma den persondataan- svariges val av korrigeringsmetod, t.ex. när det gäller korrigering av upp- gifter i bokföring. I andra fall åter kan det följa av sakens natur att en viss korrigeringsmetod i praktiken är utesluten; när känsliga personuppgifter har behandlats trots att det varit förbjudet kan det t.ex. knappast vara ak- tuellt att rätta personuppgifterna. Jämför vidare vad som sagts i avsnitt 12.8.2.1 om den persondataansvariges möjligheter att läka brott mot vissa bestämmelser genom andra åtgärder än rättelse, utplånande eller blocke- ring. I avsnitt 9.3 berörs särskilt frågan om myndigheters val av korrige- ringsmetod. Såsom angetts i avsnitt 9.3 får rättelse av en uppgift anses innebära att den ursprungliga, felaktiga, missvisande eller ofullständiga uppgiften ersätts av en uppgift om de rätta förhållandena eller att uppgifterna annars komplette- ras. Det finns inte något krav på att den felaktiga uppgiften skall utplånas. Det bör vara upp till den persondataansvarige att avgöra hur rättelsen skall göras. Det enda kravet är – om den felaktiga uppgiften inte utplånas – att det i alla sammanhang klart skall framgå att den felaktiga uppgiften har ersatts eller kompletterats av en annan uppgift och vilka de rätta förhållandena är. Om utlämnande till tredje man skulle bli aktuellt, finns det således inget hinder mot att lämna ut såväl den (tydligt markerade) felaktiga uppgiften som de riktiga uppgifterna och upplysning om den rättelse som skett. Det är den persondataansvarige som har bevisbördan för att en uppgift är korrekt. Kan inte rätta förhållandet utrönas, får uppgiften utplånas eller blockeras. Institutet rättelse kan bara användas när en felaktig uppgift kan ersättas eller kompletteras med en uppgift som är korrekt. Utplånande innebär som vi ser det att de aktuella uppgifterna förstörs så att de inte kan återskapas, dvs. vad som i arkivsammanhang brukar kallas gallring. SOU 1997: 39 Innehållet i den nya persondatalagen 403 Det står klart att uppgifterna inte har utplånats på avsett sätt om de kan återskapas genom sådana metoder som mera allmänt förekommer på marknaden. Det finns t.ex. på konsumentmarknaden programvara för att enkelt återskapa raderade filer eller datamedier. Det finns å andra sidan inom t.ex. kriminaltekniken och hos specialiserade företag särskilt utveck- lade tekniker som syftar till att återskapa information som i någon mening har blivit förstörd. Även på detta område går utvecklingen av nya tekni- ker fort, och det som anses ohjälpligt förstört kan kanske återska- pas . Frågan om vad som krävs i det enskilda fallet för att uppgif- ter skall anses utplånade får överlämnas åt praxis. Regeringen eller Datain- spektionen kan tid efter annan ge närmare föreskrifter om under vilka för- utsättningar uppgifter skall anses vara utplånade. Uppgifter på datamedium kan förstöras genom såväl logiska som fy- siska åtgärder. Med logiska åtgärder avses att programvara används för att radera uppgifterna så att de inte kan återskapas. Fysiska åtgärder innebär att datamediet fysiskt påverkas så att uppgifterna (och kanske också själva mediet) förstörs, t.ex. genom magnetism, brand eller sönderslagning. Uppgifter på papper torde bara kunna utplånas genom att fysiska åtgärder vidtas med papperet. Utplånande kan användas t.ex. i fall där uppgifter har behandlats trots att den aktuella behandlingen inte kan tillåtas under några förutsättningar. Med blockering avses – i enlighet med vad som framgår av kommissionens förklaring till direktivförslaget – varje åtgärd som kan vidtas för att de aktuella personuppgifterna i alla sammanhang skall vara förknippade med tydlig information om att de är spärrade och anledningen till spärren och för att uppgifterna inte skall lämnas ut till tredje man (annat än med stöd av bestämmelserna om offentlighetsprincipen i 2 kap. Den definitionen har förts in i förslaget till persondatalag, se avsnitt 12.2.3. Såsom anförts i avsnitt 9.3 kan blockering användas t.ex. när det inte är naturligt att rätta en felaktig uppgift, exempelvis när de rätta förhållandena inte kan utredas. 12.8.3Underrättelse till tredje man om korrigeringen Vi föreslår att persondatalagen, för att uppfylla kraven i artikel 12 c i EG- direktivet, skall innehålla en bestämmelse om att den persondataansvarige 404 Innehållet i den nya persondatalagen SOU 1997: 39 på begäran av den registrerade skall underrätta de tredje män till vilka upp- gifterna har lämnats ut om korrigeringsåtgärden. Eftersom det är viktigt att på alla sätt förhindra användning av felaktiga, missvisande eller ofullstän- diga uppgifter, föreslår vi emellertid såsom en rent inhemsk reglering att den persondataansvarige – oavsett om den registrerade begärt underrättelse eller inte – skall vara skyldig att lämna sådan underrättelse om det skulle kunna undvika mera betydande skada eller olägenhet för den registrerade. Någon underrättelse skall dock enligt vårt förslag inte behöva lämnas om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Den persondataansvarige behöver således för det första underrätta om den registrerade begär det. Något formkrav gäller inte för den registrerades begäran. Begäran kan således framställas såväl muntligen som skriftligen till den persondataansvarige eller någon som företräder denne. Det ligger i sakens natur att underrättelsen skall ske så snart det är möjligt efter begä- ran. Den persondataansvarige är vidare under alla förhållanden skyldig att underrätta, om det kan antas att en underrättelse skulle kunna undvika mera betydande skada eller olägenhet för den registrerade. En felaktig, känslig personuppgift, t.ex. om att den registrerade är sjuk eller har en ex- trem politisk övertygelse, kan regelmässigt antas föranleda sådan skada eller olägenhet som avses, om de tredje män som fått den felaktiga uppgif- ten inte underrättas. Gäller det däremot en mera harmlös uppgift, t.ex. om den registrerades adress, bör det som regel krävas någon särskild omstän- dighet för att man skall kunna anta att en underrättelse skulle kunna und- vika sådan skada eller olägenhet som avses. Det måste vidare kunna antas att underrättelsen medför att skadan eller olägenheten kan undvikas. Detta är inte fallet när det är känt att aktuella tredje män redan har korrigerat uppgiften. Det finns inte något formkrav beträffande den persondataansvariges underrättelse till dem som mottagit personuppgifterna. Det vanligaste torde dock bli att underrättelsen lämnas skriftligen. I underrättelsen skall anges den åtgärd som den persondataansvarige har vidtagit beträffande personuppgifterna. I detta krav på att åtgärden skall anges innefattas att information skall lämnas om anledningen till åt- gärden, t.ex. att de tidigare uppgifterna var felaktiga eller ofullständiga. Har en felaktig uppgift rättats måste vidare, om det är nödvändigt under- rättelse lämnas om såväl den tidigare, felaktiga uppgiften som den nya, riktiga uppgiften. Avsikten med underrättelseskyldigheten får anses vara SOU 1997: 39 Innehållet i den nya persondatalagen 405 att de som har tagit emot en uppgift som har korrigerats i sin tur skall kunna på lämpligt sätt korrigera den mottagna uppgiften (och eventuella åtgärder som har vidtagits med ledning av uppgiften), och underrättelsen måste därför innehålla sådan information som gör detta möjligt. Rör felak- tigheten exempelvis en uppgift som mottagaren kan antas använda som enda sökbegrepp, t.ex. namn eller personnummer, är det nödvändigt att den felaktiga uppgiften anges för att mottagaren i praktiken skall kunna göra en rättelse i sin tur. Det finns inte någon formell skyldighet att självmant underrätta i flera led. En tredje man som fått en underrättelse och som själv är persondata- ansvarig, är således inte rättsligt förpliktad att underrätta de tredje män till vilka han eller hon i sin tur kan ha lämnat ut uppgiften bara på grund av att han eller hon till följd av en underrättelse självmant har rättat uppgiften. Det får dock förutsättas att de persondataansvariga frivilligt på lämpligt sätt ser till att mildra skadeverkningarna av felaktiga, missvisande eller ofullständiga uppgifter som självmant rättats. Underrättelse behöver aldrig lämnas om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Det finns inte någon skyldighet för den persondataansvarige att hålla reda på till vilka vissa uppgifter lämnas ut. Och vet den persondataansvarige inte (längre) till vilka uppgifterna har lämnats ut, är det givetvis omöjligt att i efterhand underrätta dem. Har uppgifterna lämnats ut till många, torde det kunna an- ses att det skulle innebära en oproportionerligt stor arbetsinsats att under- rätta dem alla. Det finns i direktivet inte någon närmare vägledning för tolkningen av den nu aktuella undantagsbestämmelsen, och vi anser oss därför inte ha någon egentlig grund för att göra ytterligare uttalanden om tolkningen. Frågan får överlämnas åt rättstillämpningen. Regeringen eller Datainspek- tionen kan vidare genom föreskrifter närmare precisera när det kan anses att en underrättelse innebär en oproportionerligt stor arbetsinsats eller vad som krävs för att det skall anses visat att det är omöjligt att underrätta. 406 Innehållet i den nya persondatalagen SOU 1997: 39 Den som märkbart påverkas av vissa beslut som grundas enbart på automa- tisk databehandling, t.ex. därför att de har rättsliga följder, bör ha möjlig- het att på begäran få beslutet omprövat på väg. Den som utsatts för ett sådant beslut bör också på ansökan kunna få information om vilka regler som har styrt den automatiska behandling som lett fram till beslutet. Artikel 15 i EG-direktivet – med underrubriken beslut – innehåller bestämmelser om skydd för den registrerade mot vissa automati- serade beslut. Bestämmelserna har berörts i avsnitt 3.8. Bestämmelserna i innebär att medlemsstaterna i princip skall ge var och en rätt att slippa bli föremål för vissa automatiserade be- slut. Medlemsstaterna är dock förpliktade att – om inte något annat följer av övriga regler i direktivet – föreskriva att en person faktiskt får bli före- mål för automatiserade beslut i två fall. De beslut som avses i bestämmelserna är sådana som har rättsliga följ- der för någon eller som annars märkbart påverkar någon. Beslutet måste vidare grundas enbart på automatisk behandling. Dessutom krävs att de uppgifter på vilka den automatiska behandlingen grundas är sådana som är avsedda att bedöma vissa personliga egenskaper hos den som är föremål för beslutet, t.ex. arbetsprestationer, kreditvärdighet, pålitlighet och upp- trädande. Det är bara sådana beslut som uppfyller samtliga rekvisit som här nämnts som omfattas av huvudregeln och som var och en skall ges en principiell rätt att slippa. Från den principiella huvudregeln skall medlemsstaterna i två fall före- skriva undantag, dvs. medge att en person i dessa fall faktiskt får utsättas för automatiserade beslut. Det första fallet (artikel 15.2 a) gäller sådana automatiserade beslut som fattas som ett led i ingåendet eller fullgörandet av ett avtal. Sådana beslut skall tillåtas om de är positiva för den registrerade – dvs. när den registrerades begäran om ingående eller fullgörande av ett avtal har bi- fallits – eller om det vidtas lämpliga åtgärder för att skydda den registrera- des berättigade intressen. Som exempel på lämpliga åtgärder att vidta SOU 1997: 39 Innehållet i den nya persondatalagen 407 nämns i direktivet att den registrerade har möjlighet att göra sin uppfatt- ning gällande. Det andra fallet (artikel 15.2 b) där automatiserade beslut skall godtas är när sådana beslut har tillåtits i lagstiftning som innehåller bestämmelser till skydd för den registrerades berättigade intressen. I artikel 12 a tredje strecksatsen i EG-direktivet föreskrivs att medlems- staterna skall säkerställa att varje registrerad har rätt att från den person- dataansvarige – utan hinder och med rimliga intervall samt utan större tidsutdräkt eller kostnader – få kännedom om den logik som används när uppgifter som rör den registrerade behandlas på automatisk väg. Av be- stämmelsen framgår vidare att den rätten får begränsas till att avse bara sådana automatiserade beslut som berörs i artikel 15.1. I punkt 41 i in- gressen till direktivet framhålls att den nu aktuella rätten inte får inkräkta på några affärshemligheter eller på upphovsrätten till t.ex. programvaran; den registrerade bör dock inte nekas all information. De nu aktuella be- stämmelserna i EG-direktivet har berörts i avsnitt 3.8. Bestämmelserna i innebär att det i måste införas en reglering av automatiserade beslut. Ett samhälle består av människor som interagerar. När maskiner kommer in i bilden är det viktigt att de inte får övertaget. Att det är en ma- skin som slutligt bestämmer kan skapa en särskild känsla av maktlöshet hos många människor. Detta talar för att det är rimligt att ha särskilda reg- ler för sådana på maskinell väg genererade beslut som direktivet omfattar, även om det alltid är en människa eller organisation som i någon mening ansvarar för och står bakom beslutet. är det – såsom framhålls i våra utredningsdirektiv – viktigt att användningen av ny teknik inte hämmas i onödan. Det är viktigt att regleringen blir enkel att förstå och lätt att tillämpa; onödigt komplicerade regler hämmar såväl användningen av ny teknik som samhällsutvecklingen i övrigt. Definitionen av automatiserade beslut i EG-direktivet är vidare generellt utformad, och det är svårt att ha någon föreställning om alla de olika beslut som och kan komma att omfattas. Enligt vår mening bör man därför inrikta sig på en generell lösning som ställer upp ett minimiskydd för den som blir utsatt för en maskins beslutsfattande. Automatiserade beslut bör, som vi ser det, i och för sig få användas. Flertalet torde avse ekonomiska förhållanden som skatter och tullar. 408 Innehållet i den nya persondatalagen SOU 1997: 39