sou · GLB339d1 · 1998-01-01 00:00:00 — I samtliga medlemsstater torde det pågå arbete med att se över lagstiftningen för att genomföra direktivet. 39I mötesprotokollet har rådet och kommissionen i anslutning till artikel 1.1 konsta- terat att skyddet för grundläggande fri- och rättigheter, särskilt rätten till privatliv, innefattar skyddet av den personliga identiteten. 40På engelska the principle of public access to official documents, på franska le principe du droit daccès du public aux documents administratifs, på tyska der Grundsatz des öffentlichen Zugangs zu amtlichen Dokumenten, på danska princippet om aktindsigt i offentlige dokumenter. 112 EG-direktivet om personuppgifter SOU 1997: 39 gjorde den brittiska regeringen ett remissunderlag (Consultation Paper) som bl.a. innehåller vissa tolkningar av direktivets bestämmelser. I det följande kallas denna handling det brittiska remissunderlaget. Direktivet gäller för behandling av personuppgifter som helt eller delvis företas på automatisk väg oavsett om personuppgifterna ingår i ett register. Direktivet omfattar emellertid även icke automatisk behandling av person- uppgifter, om dessa ingår i eller är avsedda att ingå i ett register.41 (Artikel 3.1.) Det finns definitioner i direktivet av vad som avses med behandling, personuppgifter respektive register, se avsnitt 3.2.2. I mötesprotokollet finns i anslutning till definitionen av register (artikel 2 c) följande: Rådet och kommissionen erkänner att de dokument på papper som tryckts på faxapparat eller persondator omfattas av de regler som är tillämpliga för uppgifter och att de följaktligen endast in- går i tillämpningsområdet för detta direktiv om de är avsedda för ett regis- ter. Av kommissionens förklaring framgår att med uttryckssättet att behand- lingen skall företas helt eller delvis på automatisk väg avses att en behand- ling utgör en enda enhet, även om bara en del av behandlingen, såsom ett index, är datoriserad. I artikel 2 finns det definitioner av en rad begrepp som förekommer i di- rektivet. Dessa definitioner av centrala begrepp kan sägas avgränsa tillämpningsområdet för bestämmelserna i direktivet. 41I den svenska språkversionen av direktivet talas det om uppgifter som kommer att ingå i ett register, medan det i den engelska språkversionen heter personal data which [] are intended to form part of a filing system. SOU 1997: 39 EG-direktivet om personuppgifter 113 3.2.2.2Personuppgifter och den registrerade Med personuppgift avses varje upplysning som avser en identifierad eller identifierbar fysisk person (den registrerade). En person är identifierbar om han eller hon kan identifieras direkt eller indirekt, t.ex. genom hänvis- ning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans eller hennes fysiska, fysiologiska, psykiska, ekono- miska, kulturella eller sociala identitet. Av punkt 14 i ingressen – och artikel 33 andra stycket – framgår att bild- och ljuduppgifter som rör fysiska personer omfattas av direktivet, jämför också punkt 15–17 i ingressen. Uppgifter om juridiska personer omfattas inte av direktivet.42 Det verkar inte krävas att den registrerade skall vara medborgare eller bosatt i en medlemsstat. Det framgår inte av direktivtexten huruvida uppgifter om personer som ännu inte är födda eller som – i enlighet med svensk lagstiftning43 – be- traktas som döda omfattas. I mötesprotokollet har emellertid rådet och kommissionen bekräftat att medlemsstaterna får bestämma om och i vilken utsträckning direktivet kan tillämpas på avlidna personer.44 I punkt 26 i ingressen betonas att man, för att avgöra om en person är identifierbar, skall beakta alla hjälpmedel som kan komma att användas för att identifiera personen. Däremot gäller inte direktivet för uppgifter som har gjorts anonyma på ett sådant sätt att personen är identifier- bar. Uppförandekodexar kan användas för att ge vägledning om hur upp- gifter kan göras anonyma och behållas i en form som gör det omöjligt att identifiera personen. I kommissionens förklaring anges som exempel på direkt identifiering att personen kan identifieras genom namnet. Indirekt identifiering kan vara när personen kan identifieras genom ett telefonnummer, ett bilregistre- ringsnummer, ett socialförsäkringsnummer eller ett passnummer. Ett annat exempel är när identifieringen av en person sker genom en kombination av särskiljande kriterier (ålder, yrke, bostadsort etc.), vilka gör att personen kan kännas igen genom att den grupp han eller hon tillhör omfattar färre och färre andra personer. Det framgår vidare av kommissionens förklaring 42Jämför punkt 24 i ingressen. 43Jämför lagen (1987:269) om kriterier för bestämmande av människans död och bestämmelserna om dödförklaring i 25 kap. . 44Se också punkt 2.2 i det brittiska remissunderlaget. 114 EG-direktivet om personuppgifter SOU 1997: 39 att frågan om en person är identifierbar är oberoende av kostnaden för att fastställa personens identitet. Definitionen omfattar även uppgifter om ut- seende, röst, fingeravtryck och genetiska karakteristika. I artikel 6.1 e finns bestämmelser om att personuppgifter skall förvaras på ett sätt som förhindrar identifiering än vad som är nödvändigt (se avsnitt 3.4.6). Och i artikel 8.7 finns bestämmelser rörande identifikationsnummer, dvs. personnummer (se avsnitt 3.6.4). Begreppet behandling av personuppgifter omfattar varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, oavsett om det sker på automatisk väg eller inte. N insamling, N registrering, N organisering, N lagring, N bearbetning eller ändring, N återvinning, N inhämtande, N användning, N utlämnande genom översändande, spridning eller annat tillhandahållan- de av uppgifter, N sammanställning eller samkörning, N blockering och N utplåning eller förstöring. Det bör här erinras om att direktivet gäller för helt icke automatisk be- handling av personuppgifter bara om dessa ingår i eller är avsedda att ingå i ett register (artikel 3.1, se avsnitt 3.2.1). Med register med personuppgifter avses varje strukturerad samling av per- sonuppgifter som är tillgänglig enligt särskilda kriterier. Det måste alltså vara fråga om en samling av personuppgifter, men det saknar betydelse om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. Samlingen måste vidare vara strukturerad, och personuppgifterna måste vara tillgängliga enligt särskilda kriterier. SOU 1997: 39 EG-direktivet om personuppgifter 115 I punkt 27 i ingressen framhålls att innehållet i ett register måste vara strukturerat enligt särskilda kriterier, som avser enskilda personer, för att lätt ge tillgång till personuppgifterna. De olika kriterier som gör det möjligt att fastställa de enskilda delarna av en strukturerad samling person- uppgifter kan, liksom de olika kriterier som gör det möjligt att få tillgång till en sådan samling, utformas av varje medlemsstat. Akter eller grupper av akter liksom deras omslag, vilka inte är strukturerade enligt särskilda kriterier, faller inte under några omständigheter inom direktivets tillämp- ningsområde. Med registeransvarig avses den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personupp- gifter. Den registeransvarige kan vara en fysisk eller juridisk person, en myndighet, en institution eller något annat organ. I punkt 47 i ingressen berörs den situationen att ett meddelande som innehåller personuppgifter överförs genom förmedling av en organisation för telekommunikation eller elektronisk post, vars enda ändamål är att överföra sådana meddelanden. I sådana fall blir det normalt den från vilken meddelandet härrör – och inte den som tillhandahåller överföringstjänsten – som anses som registeransvarige i förhållande till de personuppgifter som meddelandet innehåller. Den som tillhandahåller överföringstjänsten blir däremot normalt att anse som registeransvarig i förhållande till be- handlingen av de ytterligare personuppgifter som behövs för att kunna ut- föra tjänsten. I artikel 18.2 andra strecksatsen – och i artikel 20.2 – finns det be- stämmelser om uppgiftsskyddsombud som den registeransvarige utser (se avsnitt 3.13.3.3). I artikel 2 e finns det en definition av sådana registerfö- rare som behandlar personuppgifter för den registeransvariges räkning (se avsnitt 3.2.2.6). Vidare finns det i artikel 4.2 bestämmelser som innebär att den registeransvarige i vissa fall måste utse en företrädare (se avsnitt 3.2.5). Också i artikel 10 och 11 talas det om den registeransvariges före- trädare (se avsnitt 3.9), liksom i artikel 18.1 (se avsnitt 3.13.2). I artikel 8.3 berörs det fallet att en person som är ålagd tystnadsplikt, t.ex. inom hälso- och sjukvården, behandlar känsliga personuppgifter (se avsnitt 3.6.2.7). 116 EG-direktivet om personuppgifter SOU 1997: 39 Med registerförare avses den som behandlar personuppgifter för den re- gisteransvariges räkning. Den registeransvarige kan vara en fysisk eller ju- ridisk person, en myndighet, en institution eller något annat organ. I artikel 17.2–4 finns det bestämmelser rörande förhållandet mellan den registeransvarige och registerföraren och om det avtal som måste finnas mellan dem (se avsnitt 3.12). Med tredje man avses någon annan än den registrerade, den registeransva- rige, registerföraren och de personer som under den registeransvariges eller registerförarens direkta ansvar har befogenhet att behandla uppgifterna. En fysisk eller juridisk person, en myndighet, en institution eller något annat organ kan vara tredje man. I kommissionens förklaring framhålls att den som arbetar för en annan organisation normalt är tredje man, även om organisationen tillhör samma företagsgrupp eller koncern. Å andra sidan kan ett lokalkontor hos en bank som behandlar kundkonton under huvudkontorets direkta ansvar inte anses som tredje man. Detsamma gäller anställda i ett försäkringsbolag. När det i stället gäller försäkringsmäklare kan deras ställning variera från fall till fall. Med mottagare avses den till vilken uppgifterna lämnas ut oavsett om han eller hon är tredje man eller inte. Mottagaren kan vara en fysisk eller juri- disk person, en myndighet, en institution eller något annat organ. Myndig- heter som kan komma att ta emot uppgifter inom ramen för ett särskilt upp- drag45 skall dock inte betraktas som mottagare. Med den registrerades samtycke avses varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom eller henne. 45På engelska particular inquiry, på franska une mission denquête particulière, på tyska ein einzeln Untersuchungsauftrag. SOU 1997: 39 EG-direktivet om personuppgifter 117 I artikel 7 a (förutsättningar för att behandling av uppgifter skall vara tillåten) och artikel 26.1 a (överförande av uppgifter till tredje land) talas det om att den registrerade otvetydigt har lämnat sitt samtycke, och i arti- kel 8.2 a (förutsättningar för att behandling av känsliga uppgifter skall vara tillåten) talas det om att den registrerade har lämnat sitt uttryckliga sam- tycke. I kommissionens förklaring till det reviderade direktivförslaget, som på denna punkt hade en något annan utformning än det antagna direktivet, an- ges att viljeyttringen kan vara muntlig eller skriftlig. Samtycket måste vara frivilligt i sådana fall där påtryckningar kan påverka den registrerade, t.ex. i en arbetsgivar–arbetstagarrelation. Samtycket måste vidare vara informe- rat så att den registrerade kan värdera för- och nackdelarna med att person- uppgifter som rör honom eller henne behandlas och så att han eller hon kan utöva de rättigheter som direktivet ger honom eller henne. Den register- ansvarige måste förse den registrerade med den information han eller hon behöver. Samtycket måste också vara särskilt46, vilket innebär att det måste avse en viss behandling som rör den registrerade och som utförs av en viss registeransvarig för vissa ändamål. I artikel 10 finns det bestämmelser om information som skall lämnas till den registrerade när personuppgifter samlas in från honom eller henne (se avsnitt 3.9). Och i artikel 14 finns det bestämmelser om den registrera- des rätt att motsätta sig viss behandling av personuppgifter (se avsnitt 3.7). Punkt 70 i ingressen berör det fallet att ett avtal har slutits på grundval av ett frivilligt och informerat samtycke innan bestämmelserna i direktivet träder i kraft. Om en fortsatt behandling av känsliga uppgifter är nödvändig för att genomföra det avtalet, behöver den registrerade inte på nytt lämna sitt samtycke till denna behandling. 46 På engelska specific, på franska spécifique, på tyska für den konkreten Fall. 118 EG-direktivet om personuppgifter SOU 1997: 39 3.2.3Sådant som faller utanför gemenskapsrätten Direktivet gäller inte för sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten. Som exempel anges sådan verksamhet som avses i avdelning V och VI i För- draget om Europeiska unionen.47 Det anges vidare uttryckligen att direkti- vet inte under några omständigheter omfattar behandlingar som rör a)allmän säkerhet, b)försvar, c)statens säkerhet (inbegripet statens ekonomiska välstånd när behand- lingen har samband med frågor om statens säkerhet), och d)statens verksamhet på straffrättens område.48 (Artikel 3.2 första streck- satsen.) I punkt 16 i ingressen pekas det särskilt på att behandling av ljud- och bilduppgifter, t.ex. i samband med videoövervakning, inte omfattas av di- rektivet om behandlingen utförs för att tillgodose den allmänna säkerheten, försvaret, statens säkerhet eller någon annan statens verksamhet på straffrättens område, jämför också punkt 13. I kommissionens förklaring anges säkerhetstjänst49 som exempel på en aktivitet som faller utanför tillämpningsområdet. 3.2.4Privat användning av personuppgifter Direktivet gäller inte för sådan behandling av personuppgifter som en fy- sisk person bedriver som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll50 (artikel 3.2 andra streck- satsen). Av mötesprotokollet framgår att rådet och kommissionen anser att det inte är tillåtet att med hänvisning till den bestämmelsen undanta behand- 47Dessa avdelningar i fördraget innehåller bestämmelser om en gemensam utrikes- och säkerhetspolitik respektive bestämmelser om samarbete i rättsliga och inrikes frågor. 48Punkten 21 i ingressen innehåller en erinran om att direktivet inte påverkar de territorialitetsregler som gäller på straffrättens område. 49På engelska secret services. 50På engelska a purely personal or household activity, på franska dactivités exclusivement personelles ou domestiques, på tyska Ausübung ausschließlich persönlicher oder familieärer Tätigkeiten. SOU 1997: 39 EG-direktivet om personuppgifter 119 ling av personuppgifter som utförs av en enskild person när dessa uppgifter förmedlas inte bara till en eller flera personer utan till ett obestämt antal personer. I punkt 12 i ingressen framhålls att en fysisk persons behandling av uppgifter uteslutande för personliga ändamål eller för hemmabruk51, så- som korrespondens eller förandet av adressregister, inte omfattas av direk- tivet. I kommissionens förklaring ges som exempel förandet av en elektronisk dagbok. Utöver undantagen för sådant som inte omfattas av gemenskapsrätten och privat användning av personuppgifter finns det inte några tillåtna ge- nerella undantag från direktivets tillämpning. Medlemsstaterna skall dock besluta om för yttrandefriheten nödvändiga undantag och avvikelser be- träffande behandling som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande (artikel 9, se avsnitt 3.3). I enlighet med vad som anges i artikel 13 är det också möjligt för medlemsstaterna att genom lagstiftning göra nödvändiga undantag och begränsningar i fråga om vissa bestämmelser i direktivet av hänsyn till statens säkerhet eller all- män säkerhet m.m. (se avsnitt 3.11). I det följande kommer att framgå att medlemsstaterna även i övrigt kan, under närmare angivna förutsättningar, besluta om vissa avvikelser m.m. från en del av bestämmelserna i direkti- vet. I punkt 18 i ingressen framhålls att varje behandling av personuppgifter inom gemenskapen skall ske i enlighet med lagstiftningen i en av med- lemsstaterna. Behandling som utförs på uppdrag av en registeransvarig som är etablerad i en medlemsstat skall regleras av den statens lagstiftning (tydligen även om själva behandlingen sker utanför gemenskapen). I punkt 19 i ingressen framhålls vidare att verksamhetens juridiska form inte har någon avgörande betydelse vid bedömningen av om en registeransvarig är etablerad i en viss stat; det kan vara fråga om såväl en filial som ett dotter- bolag som är en juridisk person. Om en enda registeransvarig är etablerad i flera medlemsstater, t.ex. genom dotterbolag, måste han eller hon se till att 51På engelska activities which are exclusively personal or domestic, på franska dactivités exclusivement personelles ou domestiques, på tyska Ausübung ausschließlich persönlicher oder familieärer Tätigkeiten. 120 EG-direktivet om personuppgifter SOU 1997: 39 varje verksamhet uppfyller bestämmelserna i den tillämpliga nationella lagstiftningen. Punkten 21 i ingressen innehåller en erinran om att direktivet inte på- verkar de territorialitetsregler som gäller på straffrättens område. I själva direktivet finns i artikel 4 följande bestämmelser.52 En medlemsstat skall tillämpa de nationella bestämmelser som antas för att genomföra direktivet när behandlingen av personuppgifter utförs som ett led i aktiviteter av en registeransvarig som är etablerad inom statens territorium. Om en registeransvarig är etablerad53 inom flera medlemssta- ters territorier, skall han eller hon vidta nödvändiga åtgärder för att säkerställa att alla verksamheter54 uppfyller kraven enligt den tillämpliga nationella lagstiftningen. (Artikel 4.1 a.) En medlemsstat skall också tillämpa sina nationella bestämmelser när den registeransvarige inte är etablerad inom någon medlemsstats territo- rium utan på en plats där statens lagstiftning gäller på grund av folkrätten (artikel 4.1 b). Om en registeransvarig som inte är etablerad på gemenskapens territo- rium använder utrustning – automatiserad eller annan – som befinner sig på en medlemsstats territorium, skall den statens nationella bestämmelser tillämpas, och den registeransvarige måste då utse en företrädare för sig som är etablerad inom statens territorium. Detta gäller dock inte om ut- rustningen bara används för att låta uppgifter passera genom gemenskapen. (Artikel 4.1 c och 4.2, jämför punkt 20 i ingressen.) I kommissionens förklaring anges terminaler och frågeformulär som exempel på utrustning eller hjälpmedel.55 I artikel 10–11 och 18 finns det bestämmelser som ålägger den regis- teransvariges företrädare skyldighet att informera den registrerade respek- tive att göra anmälan till tillsynsmyndigheten (se avsnitt 3.9 och 3.13.2). 52Referatet av artikel 4 har, liksom referatet av innehållet i punkt 18–19 i ingressen, utformats med beaktande av flera språkversioner av direktivet, eftersom den svenska språkversionen kan betraktas som något tvetydig i vissa avseenden. 53På engelska established, på franska établi. 54På engelska each of these , på franska chacun de ses établissements. 55I kommissionens reviderade förslag till direktiv används den engelska termen means. I det antagna direktivet används i stället på engelska termen equipment (på franska moyens, på tyska Mittel), men i punkt 20 i ingressen finns termen means fortfarande kvar. SOU 1997: 39 EG-direktivet om personuppgifter 121 i en stat skall ha behörighet att utöva sina befo- genheter inom den statens territorium oavsett vilken nationell lagstiftning som gäller för den aktuella behandlingen (artikel 28.6, se avsnitt 3.17). Medlemsstaterna skall besluta om undantag och avvikelser från de flesta materiella bestämmelser i direktivet56 för behandling av personuppgifter som sker uteslutande för N journalistiska ändamål, N konstnärligt skapande eller N litterärt skapande. Sådana undantag och avvikelser får dock beslutas bara om de är nödvän- diga för att förena rätten till privatlivet med reglerna om yttrandefriheten. (Artikel 9.) har i mötesprotokollet fått infört: anser att begreppet konstnärliga och litterära uttryck mer syftar på uttrycksmedlen än kommu- nikationens innehåll eller dess kvalitet. En annan medlemsstat har vidare i protokollet förklarat sin avsikt att använda undantagen i artikel 9 för all den verksamhet inom den audiovisuella sektorn som omfattas av direkti- vet. I punkt 37 i ingressen hänvisas i fråga om yttrandefriheten till den rätt att ta emot och lämna upplysningar som slås fast i artikel 10 i den europe- iska konventionen om skydd för de mänskliga rättigheterna och de grund- läggande friheterna. Det betonas att den avvägning mellan rätten till privat- livet och yttrandefriheten som medlemsstaterna skall göra inte får leda till beslut om undantag från åtgärder som vidtas för att säkerställa behandling- ens säkerhet. bör utrustas med i vart fall vissa befo- genheter som kan utövas efter behandlingens genomförande, exempelvis befogenhet att med jämna mellanrum offentliggöra en rapport eller att överlämna ärenden till rättsliga myndigheter. I fråga om konstnärligt och 56Undantag och avvikelser får göras från de materiella bestämmelserna om behand- ling av personuppgifter (kapitel II), om överföring till tredje land (kapitel IV) och om tillsynsmyndighetens befogenheter (kapitel VI). Från bestämmelserna i kapitel I (allmänna bestämmelser), kapitel III (rättslig prövning, ansvar och sanktioner), kapitel V (uppförandekodex) och kapitel VII (gemenskapens åtgärder för genom- förandet) får däremot avvikelser eller undantag inte göras. 122 EG-direktivet om personuppgifter SOU 1997: 39 litterärt skapande hänvisas särskilt till det audiovisuella området (se också punkt 17 i ingressen). I kommissionens förklaring anges som exempel på faktorer som kan beak- tas vid den intresseavvägning som skall ske N möjligheten till rättslig prövning eller rätten till replik, N förekomsten av en uppförandekodex, N de gränser som läggs fast i den europeiska människorättskonventionen och N allmänna rättsprinciper. I kommissionens reviderade direktivförslag avsågs uttrycket journalister inkludera såväl fotojournalister som skribenter, såsom biografer (levnads- tecknare). Den brittiska regeringen anser, enligt det brittiska remissunderlaget (punkt 4.19), att det står klart att ett generellt undantag för pressen inte är förenligt med direktivet. Genom artikel 13.1 tillåts medlemsstaterna att göra nödvändiga avvi- kelser från vissa bestämmelser i direktivet med hänsyn till skyddet för den registrerades eller andras fri- och rättigheter (se avsnitt 3.11). 3.4Grundläggande krav på uppgiftsbehandlingen I artikel 6.1 finns det – under rubriken om uppgifternas kvalitet – vissa grundläggande krav som måste vara uppfyllda för att behandling av personuppgifter skall kunna tillåtas. Det åligger den registeransvarige att säkerställa att kraven efterlevs (artikel 6.2). Medlemsstaterna skall inom de begränsningar som bl.a. bestämmelserna i artikel 6 innebär närmare preci- sera på vilka villkor uppgiftsbehandling är tillåten (artikel 5). I artikel 13.1 finns det bestämmelser som gör det möjligt att av hänsyn till vissa intressen föreskriva nödvändiga undantag från vad som följer av artikel 6.1 (se avsnitt 3.11). SOU 1997: 39 EG-direktivet om personuppgifter 123 3.4.2Korrekt och laglig behandling Personuppgifter skall behandlas på ett korrekt och lagligt sätt.57