sou · GLB339d2 · 1998-01-01 00:00:00 — troligen ganska ovanliga – fall då de grundas på personuppgifter vilka är avsedda att bedöma egenskaper hos den berörde personen, bör den en- skilde ha rätt att på begäran dels få reda på vilka regler som har styrt den automatiska behandling som har lett fram till beslutet, dels få beslutet om- prövat på väg. Vi föreslår att bestämmelser med den innebörden förs in i persondatalagen. De föreslagna bestämmelserna skall ses som sådana bestämmelser i lag- stiftningen som – i enlighet med vad som krävs enligt artikel 15.2 b – dels tillåter automatiserade beslut, dels föreskriver lämpliga åtgärder till skydd för den registrerades berättigade intressen. Definitionen av automatiserade beslut i den föreslagna bestämmelsen skall ha samma innebörd som enligt EG-direktivet. Att den registrerade skall ha rätt att på begäran få det automatiserade beslutet omprövat på väg innebär en rätt att få beslutet granskat av en människa som har makt att ersätta det automatiserade beslutet med ett annat. För den offentliga förvaltningen finns ofta föreskrifter om en rätt till omprövning av beslut, se t.ex. 27 § förvaltningslagen. Den föreslagna be- stämmelsen i persondatalagen innebär bara att det skall finnas en rätt att få omprövning. I den mån det i lag eller förordning finns särskilda regler om t.ex. förfarandet vid omprövning, gäller dessa föreskrifter fram- för persondatalagen (se avsnitt 8.2.2). Rätten till omprövning innebär inte att det automatiserade be- slutet måste ersättas av ett nytt beslut, bara att beslutet skall granskas av en människa. Utgångspunkten bör dock vara att det automatiserade beslutet skall ersättas av ett nytt om den granskningen visar att det är be- fogat. I vissa fall torde det emellertid ligga i sakens natur att ett redan fattat (och verkställt) automatiserat beslut inte kan i efterhand ersättas av ett nytt beslut. Medicinsk utrustning kan t.ex. på grundval av automatiskt behand- lade uppgifter om en patients hälsotillstånd ha gett denne en viss injektion, vilket märkbart påverkat patienten i positiv eller negativ riktning. I sådana fall torde den omprövningen närmast få ta sikte på att undvika felaktiga automatiserade beslut . Det har inte i den föreslagna persondatalagen tagits in något formkrav för den registrerades begäran om omprövning. Rätten för den registrerade att på ansökan få information om de regler som har styrt den automatiska behandling som lett fram till det automatise- rade beslutet innebär att den registrerade skall få begriplig information om logiken bakom beslutet. Den registrerade bör få reda på åtminstone vilka kategorier av uppgifter som har använts och i stora drag vilken betydelse SOU 1997: 39 Innehållet i den nya persondatalagen 409 de olika uppgiftskategorierna haft för beslutet. Däremot finns det inte nå- got absolut krav på att information skall lämnas om t.ex. olika gränsvärden som haft betydelse för beslutet; sådan information kan vara en affärshem- lighet eller behöva skyddas för att inte äventyra säkerheten. Det bör vara möjligt för den som använder sig av ett system för auto- matiserade beslut att utforma och lämna samma information om logiken till alla som berörs av besluten. Det finns inte något som hindrar att infor- mationen lämnas utan ansökan, t.ex. som tryckt information på de beslut som meddelas de berörda. Därmed får den enskilde reda på att han eller hon blivit utsatt för ett automatiserat beslut och kan utnyttja sin rätt till omprövning; i annat fall kan den som misstänker att han eller hon blivit utsatt för ett automatiserat beslut alltid begära information från den person- dataansvarige för att få reda på om beslutet varit automatiserat eller inte. I fråga om den registrerades ansökan och den persondataansvariges lämnande av information bör i tillämpliga delar gälla samma procedurreg- ler som beträffande övrig information som skall lämnas på begäran (se av- snitt 12.7.3). Detta innebär bl.a. att informationen skall lämnas skriftligen inom efter ansökan. Enligt EG-direktivet är det tillåtet att införa en rätt för den registrerade att på begäran få kännedom om den logik som ligger bakom även annan automatisk behandling än sådan som har lett fram till ett automatiserat be- slut. Vi anser emellertid att det inte är nödvändigt att införa en sådan gene- rell rätt. Den registrerade har med vårt förslag redan rätt att få veta vilka uppgifter som behandlas och för vilka ändamål behandlingen äger rum (se avsnitt 12.7.3). Vi har svårt att se att det från integritetsskyddssynpunkt skulle vara nödvändigt eller befogat att föreskriva att den registrerade därutöver skall ha rätt att få kännedom om t.ex. den logik som kan ligga bakom alla de statistiska beräkningar som utsätter hans eller hennes personuppgifter för. En sådan rätt skulle i vart fall, som vi ser det, innebära kostnader och besvär för de persondataansvariga som inte vägs upp av eventuella vinster från integritetsskyddssynpunkt. 410 Innehållet i den nya persondatalagen SOU 1997: 39 12.10Säkerhet och sekretess vid behandlingen Den som arbetar med personuppgifter bör bara få behandla dessa i enlighet med instruktioner från den persondataansvarige. Den persondataansvarige bör vara skyldig att vidta tekniska och organisatoriska åtgärder för att skydda personuppgifterna; målet är att åstadkomma en lämplig säkerhets- nivå. När den persondataansvarige anlitar ett persondatabiträde för att ut- föra behandling av personuppgifter, bör det finnas ett skriftligt avtal som särskilt reglerar säkerhetsfrågorna. Den persondataansvarige bör också vara skyldig att se till att persondatabiträdet verkligen vidtar nödvändiga säkerhetsåtgärder. I artikel 16–17 i EG-direktivet finns det bestämmelser om säkerhet och sekretess vid behandling av personuppgifter. Bestämmelserna har presen- terats närmare i avsnitt 3.12. 12.10.2Behandling får bara utföras enligt instruktion från den persondataansvarige Bestämmelserna i artikel 16 i EG-direktivet innebär att de personer som arbetar med personuppgifter får behandla uppgifterna bara enligt instruk- tioner från den persondataansvarige. Här gäller dock ett undantag som innebär att om någon enligt lag är skyldig att behandla personuppgifter, får han eller hon göra det även utan instruktioner från den persondataansva- rige. Om den persondataansvarige anlitar ett persondatabiträde, skall det vidare av det skriftliga avtalet mellan dem framgå att biträdet får agera bara enligt instruktioner från den ansvarige (artikel 17.3 första strecksatsen och artikel 17.4). Dessa bestämmelser bör i princip föras över till den föreslagna person- datalagen. Vi föreslår således att det införs en bestämmelse om att persondatabi- trädet eller den eller de personer som arbetar under dennes eller den per- sondataansvariges ledning får behandla personuppgifter bara i enlighet med instruktioner från den persondataansvarige. Om det finns avvikande regler i annan lagstiftning om att någon är skyldig att utföra en behandling, SOU 1997: 39 Innehållet i den nya persondatalagen 411 får behandlingen dock utföras utan särskilda instruktioner; avvikande reg- ler i annan lagstiftning skall ju med vårt förslag generellt sett ta över reg- lerna i persondatalagen (se avsnitt 8.2.2). Eftersom utlämnande av personuppgifter till tredje man innefattas i be- greppet behandling, innebär bestämmelsen ett slags tystnadsplikt. Med hänsyn till att det gäller särskilda regler om sekretess och tystnadsplikt i det allmännas verksamhet, vilka bl.a. innebär att den grundlagsfästa s.k. meddelarfriheten ibland tar över tystnadsplikten, bör det såsom ett förtyd- ligande föreskrivas att bestämmelserna i sekretesslagen skall tillämpas i stället för bestämmelsen i persondatalagen i fråga om sekretess och tyst- nadsplikt i det allmännas verksamhet. Därmed garanteras att statstjänste- män liksom kan prata med journalister med flera om sekretessbe- lagda uppgifter. Detta bör, såsom vi ser det, kunna tillåtas enligt EG-di- rektivet. Vi har beträffande privat verksamhet inte funnit anledning att föreslå uttryckliga föreskrifter om tystnadsplikt för enskilda personer. Den person- dataansvarige får bara lämna ut personuppgifter om utlämnandet inte är oförenligt med de ändamål för vilka uppgifterna samlades in323, och skulle någon som arbetar för den persondataansvarige lämna ut uppgifter i strid med vad som sålunda gäller är det den persondataansvarige som bär ansva- ret gentemot den registrerade (se närmare avsnitt 12.13 om sanktioner). I vad mån den persondataansvarige i sin tur kan vidta någon åtgärd mot den som lämnade ut uppgiften i strid med givna instruktioner framgår av de be- stämmelser som reglerar förhållandet mellan den persondataansvarige och medhjälparen, t.ex. avtalet med ett persondatabiträde eller arbetsrättsliga bestämmelser.324 De allmänt hållna bestämmelserna i den föreslagna per- sondatalagen kan däremot inte anses innebära en sådan plikt att hemlig- hålla uppgifter som medför att straffstadgandet om brott mot tystnadsplikt i 20 kap. 3 § kan bli tillämpligt. Det framgår inte klart av EG-direktivet hur pass utförliga instruktioner den persondataansvarige måste lämna sina medhjälpare. Den persondata- ansvarige bär i princip ansvaret för att instruktionerna är så tydliga att otillåten behandling inte kommer att utföras. 323I vissa fall får känsliga personuppgifter bara lämnas ut med stöd av den registrera- des samtycke, se artikel 8.2 d i EG-direktivet och avsnitt 12.5.3.3. 324Jämför AD 1996 nr 23 – det fanns inte grund för att avskeda en polisman som dömts för tjänstefel och dataintrång för det att han upprepade gånger gjort obefo- gade registerslagningar. 412 Innehållet i den nya persondatalagen SOU 1997: 39 får antas vara bl.a. att var och en som arbetar med personuppgifter skall veta åtminstone vilka ändamålen med behandlingen är och att behandling som är oförenlig med dessa ändamål är förbjuden. Även regeln om att det skriftliga avtalet mellan den persondataansva- rige och persondatabiträdet skall innehålla föreskrifter om att biträdet bara får behandla personuppgifterna i enlighet med instruktioner från den an- svarige bör som sagt föras över till den föreslagna persondatalagen. I den mån det skulle anses otillåtet enligt grundlag med sådana avtalsföreskrifter (vilka till viss del kan ses som en avtalad tystnadsplikt), tar grundlagen över bestämmelserna i persondatalagen och någon särskild erinran om detta har inte ansetts nödvändig. I EG-direktivet finns det i artikel 17.1 allmänt hållna regler om de säker- hetsåtgärder som skall vidtas, se närmare avsnitt 3.12. Reglerna innebär i korthet följande. Den persondataansvarige skall vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Dessa åtgärder skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av N de tekniska möjligheter som finns, N vad det skulle kosta att genomföra åtgärderna, N de särskilda risker som finns med behandlingen av personuppgifterna och N hur pass känsliga de behandlade personuppgifterna är Dessa regler har förts över till den föreslagna persondatalagen. Uppräkningen av de faktorer som skall beaktas är allmänt hållen och Som exempel på en faktor som berör de särskilda risker som finns med behandlingen kan nämnas antalet personer som de behandlade uppgifterna avser. Skadorna av t.ex. ett angrepp kan givetvis bli mera om- fattande när det är uppgifter om många personer som behandlas på en gång. En angripare kan vidare antas vara beredd att lägga ned mera resur- ser på ett intrång om han eller hon på en gång kan komma åt uppgifter om många. Även om de tekniska möjligheterna skall beaktas – t.ex. vilka fysiska och logiska säkerhetshjälpmedel som finns tillgängliga på marknaden – är det väsentliga naturligtvis att en lämplig säkerhetsnivå uppnås oavsett om denna kommer till stånd genom tekniska hjälpmedel eller genom organisa- SOU 1997: 39 Innehållet i den nya persondatalagen 413 toriska åtgärder och t.ex. undvikande av nätverksuppkopplingar; målet är det viktiga, inte vilka medel som används för att nå dit. Fullständig säker- het mot t.ex. otillåtna intrång kan aldrig uppnås i en (verklig eller virtuell) verklighet som inte är perfekt. Det måste alltid bli fråga om en avvägning för att åstadkomma en lämplig säkerhetsnivå, dvs. en säkerhet som med be- aktande av samtliga omständigheter får anses tillräcklig. Kostnaden och ansträngningen för den som på ett otillåtet vis vill komma åt uppgifterna, bör t.ex. vara så hög att den avskräcker alla som inte är beredda att satsa orimligt mycket på ett försök till intrång. De allmänt hållna reglerna beskriver på ett kortfattat och bra sätt de överväganden som måste göras i fråga om säkerhetsåtgärder, men reglerna ger givetvis inte tillräcklig vägledning för den persondataansvarige för att avgöra vilka säkerhetsåtgärder som bör vidtas i det enskilda fallet. Avsik- ten är att regeringen eller kanske snarare Datainspektionen skall meddela de närmare föreskrifter om säkerhetsåtgärder som behövs. Datainspektio- nen bör också i rimlig utsträckning kunna lämna råd i säkerhetsfrågor. Vi har vidare valt att i förslaget till persondatalag ta med en uttrycklig bestämmelse om att Datainspektionen får meddela föreskrifter också i en- skilda fall. Säkerhetsbrister är i princip oacceptabla, och det är därför vik- tigt att Datainspektionen har tydliga befogenheter just när det gäller säker- heten. Genom en föreskrift i det enskilda fallet får en persondataansvarig preciserat exakt vilka åtgärder han eller hon måste vidta för att uppfylla säkerhetskraven. Följs inte föreskriften frivilligt i det enskilda fallet, bör Datainspektionen ha möjlighet att föreskriva vite för att få den genomförd, se närmare avsnitt 12.14.1 om Datainspektionens befogenheter. Datainspektionens beslut om säkerhetsåtgärder i det enskilda fallet skall riktas mot den persondataansvarige även när ett persondatabiträde har anlitats. Bestämmelser om säkerhetsåtgärder kan även finnas i annan lagstift- ning, t.ex. i arkivlagen med anknytande författningar. Sådana bestämmel- ser kommer att gälla vid sidan av de bestämmelser om skyddsåtgärder som kan gälla enligt den föreslagna persondatalagen med anknytande författ- ningar och beslut. Den persondataansvarige måste således uppfylla alla de regler om säkerhets- eller skyddsåtgärder som kan ha meddelats för hans eller hennes verksamhet. Det är därför viktigt att alla de instanser som kan utfärda regler om säkerhets- eller skyddsåtgärder för en viss verksamhet samråder med varandra i nödvändig utsträckning, bl.a. så att det samman- lagda resultatet av reglerna inte blir orimligt för den enskilde; enligt vad vi erfarit har t.ex. Datainspektionen och ett gott samarbete. 414 Innehållet i den nya persondatalagen SOU 1997: 39 12.10.4När den persondataansvarige anlitar ett persondatabiträde I artikel 17.2–4 i EG-direktivet finns det bestämmelser i fråga om säkerhet för den situationen att den persondataansvarige anlitar ett persondatabi- träde, se närmare avsnitt 3.12. Bestämmelserna kan i korthet sägas inne- bära följande. När den persondataansvarige anlitar ett persondatabiträde, skall den persondataansvarige förvissa sig om att persondatabiträdet kan genomföra de säkerhetsåtgärder som måste vidtas och se till att persondatabiträdet verkligen vidtar åtgärderna. Det skall vidare finnas ett skriftligt avtal om persondatabiträdets behandling av personuppgifter för den persondata- ansvariges räkning. I det avtalet skall det särskilt föreskrivas dels att per- sondatabiträdet får behandla personuppgifterna bara i enlighet med in- struktioner från den persondataansvarige (se avsnitt 12.10.2), dels att per- sondatabiträdet är skyldigt att vidta de säkerhetsåtgärder som den person- dataansvarige är skyldig att vidta i enlighet med vad som sagts i närmast föregående avsnitt. Dessa bestämmelser har förts över till den föreslagna persondatalagen. Det är den persondataansvarige som har ansvaret gentemot den regist- rerade även när ett persondatabiträde har anlitats. I vad mån den person- dataansvarige i sin tur kan utkräva ansvar av ett anlitat persondatabiträde följer av avtalet med denne och allmänna bestämmelser. SOU 1997: 39 Innehållet i den nya persondatalagen 415 12.11Överföring av personuppgifter utanför EU EG-direktivet innehåller komplicerade regler om överföring av person- uppgifter till tredje land som måste införas i . Vi anser att det bör ske genom att ett principiellt förbud mot sådan överföring tas in i person- datalagen som regeringen och Datainspektionen ges så vid- sträckta möjligheter som tillåts enligt direktivet att medge undantag från förbudet. Vissa viktiga undantag från förbudet bör dock skrivas in i själva lagen. Bestämmelser rörande utlämnande av personuppgifter till utlandet finns i 11 § datalagen för privat verksamhet och i 7 kap. 16 § andra stycket sekretesslagen för verksamhet inom det allmänna. Bestämmelserna innebär bl.a. att det för ett utlämnande alltid krävs ett medgivande från Datain- spektionen, om det kan antas att de utlämnade uppgifterna kommer att an- vändas för automatisk databehandling i en stat som inte har anslutit sig till konvention (se om konventionen avsnitt 4.3). I artikel 25–26 i EG-direktivet finns det bestämmelser om överföring av personuppgifter till tredje land. Bestämmelserna har berörts närmare i avsnitt 3.14. Begreppet tredje land har berörts i avsnitt 12.2.11. Såsom framgår av vad som anförs i avsnitt 3.14 är bestämmelserna på detta område komplicerade. Överföring av personuppgifter är enligt hu- vudregeln i direktivet bara tillåten till tredje land som har en adekvat skyddsnivå. Det finns därvid regler om en särskild beslutsprocedur för att konstatera om ett land har en sådan skyddsnivå. Överföring av person- uppgifter till ett tredje land med en så dålig skyddsnivå att den inte kan anses adekvat skall dock tillåtas under vissa i direktivet uppräknade om- ständigheter; en av dessa omständigheter är att överföringen är nödvändig med hänsyn till ett viktigt allmänt intresse. Därutöver kan en persondata- ansvarig tillåtas överföra personuppgifter om han eller hon kan ställa upp tillräckliga garantier för de registrerades rättigheter, t.ex. med stöd av av- talsklausuler rörande behandlingen i tredje land; kommissionen kan med bindande verkan besluta att vissa standardavtalsklausuler erbjuder tillräck- liga garantier. 416 Innehållet i den nya persondatalagen SOU 1997: 39 Enligt vår mening bör man inte i lagstiftningen införa mer komplice- rade regler än vad som är nödvändigt med hänsyn till EG-direktivet. EG- direktivet kräver att det i den svenska lagstiftningen införs ett visst förbud mot överföring av personuppgifter till tredje land och vissa i direktivet angivna undantag från detta förbud. I övrigt bör det, som vi ser saken, vara möjligt att undvika detaljregler i lagstiftningen genom att låta regeringen eller i vissa fall Datainspektionen meddela föreskrifter om när överföring till tredje land är tillåten. Regeringen och Datainspektionen måste då vid utarbetandet av föreskrifterna givetvis beakta de komplicerade reglerna i direktivet om bl.a. särskild beslutsprocedur. De föreslagna bestämmelserna i persondatalagen bör ersätta de regler i datalagen och sekretesslagen som finns rörande utlämnande av person- uppgifter för behandling i utlandet. Detta innebär bl.a. att de särskilda be- stämmelserna rörande behandling i utlandet i 7 kap. 16 § andra stycket sekretesslagen bör upphävas. 12.11.2Ett principiellt förbud mot överföring I den föreslagna persondatalagen har vi tagit in ett principiellt förbud mot att till tredje land föra över personuppgifter som behandlas. Det förbudet bör – i enlighet med vad som krävs enligt EG-direktivet – gälla också överföring av personuppgifter för behandling i tredje land, t.ex. överföring av ifyllda formulär med personuppgifter, som inte behandlas här men som är avsedda att behandlas i tredje land. Begreppet överföring – och det motsvarande uttrycket föra över – har enligt vår mening en EG-gemensam innebörd. Det verkar innebära att per- sonuppgifter som i någon mening finns i eller i någon annan med- lemsstat lämnas ut på ett sådant sätt att uppgifterna efter utlämnandet kan sägas finnas (också) i tredje land. Att någon ges möjlighet att från tredje land komma åt personuppgifter som finns i eller i någon annan medlemsstat via telekommunikation eller datanätverk är förmodligen ett exempel på överföring av uppgifterna till tredje land. Förbudet verkar träffa överföring av personuppgifter som är föremål för en sådan behandling som omfattas av EG-direktivet och den föreslagna lagen samt – såsom tidigare nämnts – överföring av personuppgifter i syfte att låta dessa i tredje land undergå en sådan behandling som omfattas av de materiella bestämmelserna i direktivet. Också det förfarandet att person- uppgifter som undergår automatisk behandling i förs över till tredje land i form av en pappersutskrift verkar omfattas av förbudet. SOU 1997: 39 Innehållet i den nya persondatalagen 417 föring på papper av personuppgifter som inte har behandlats automatiskt eller ingått i ett manuellt register omfattas däremot som regel inte av för- budet. Helt adressering av post till privatpersoner i tredje land kan vara ett exempel. 12.11.3Undantag i persondatalagen från förbudet Vi har i den föreslagna persondatalagen tagit med de undantag från förbu- det mot överföring som särskilt räknas upp i EG-direktivet. Förbudet skall sålunda inte gälla när den registrerade har samtyckt till överföringen. Begreppet samtycke har berörts i avsnitt 12.5.1.2, och det fallet att ett lämnat samtycke återkallas berörs i avsnitt 12.5.2.2. Förbudet skall vidare enligt vårt förslag inte gälla när behandlingen är nödvändig för att a)fullgöra ett avtal mellan den registrerade och den persondataansvarige, b)på den registrerades begäran vidta åtgärder innan ett avtal träffas, c)ingå eller fullgöra ett sådant avtal mellan den persondataansvarige och tredje man som är i den registrerades intresse, d)kunna fastställa, göra gällande eller försvara rättsliga anspråk, eller e)skydda vitala intressen för den registrerade. Nödvändighetskravet har – i ett något annorlunda sammanhang – berörts i avsnitt 12.5.1.3. De uppräknade förutsättningarna för undantag liknar till stor del de förutsättningar som uppställts i fråga om när behandling av per- sonuppgifter över huvud taget skall vara tillåten och när känsliga person- uppgifter kan få behandlas trots förbudet mot behandling av sådana upp- gifter. Vi kan därför hänvisa till vad som har anförts om dessa förutsätt- ningar i avsnitt 12.5. Avsikten är här – liksom när det gäller motsvarande förutsättningar i andra sammanhang – att regeringen eller Datainspektio- nen inom ramen för de angivna bestämmelserna skall kunna närmare pre- cisera i vilka fall och under vilka förutsättningar överföring av person- uppgifter till tredje land kan tillåtas. Frågan om regeringens och Datain- spektionens möjligheter att precisera regleringen har berörts i avsnitt 12.1.2. För att personuppgifter skall få föras över till tredje land krävs inte bara att överföringen faller under något av de undantag från förbudet som anges i den föreslagna lagen. Den behandling som överföringen av personuppgif- ter till tredje land utgör måste också vara tillåten enligt artikel 7 i direktivet och, om känsliga personuppgifter skall föras över, kunna tillåtas i enlighet 418 Innehållet i den nya persondatalagen SOU 1997: 39 med artikel 8, se avsnitt 12.5 om under vilka förutsättningar behandling av personuppgifter över huvud taget är tillåten. I EG-direktivet finns utöver de undantag som nämnts ytterligare ett – något kryptiskt utformat – undantag från förbudet mot överföring när överföringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen.