sou · GLB339d2 · 1998-01-01 00:00:00 — En organisation får inte på grund av nu aktuellt undantag behandla känsliga uppgifter om en person som – t.ex. efter utträde eller uteslutning – är medlem (och inte heller på grund av organisationens ändamål har regelbunden kontakt med denna). Kravet att behandlingen skall ske inom ramen för en berättigad verk- samhet innebär enligt vår mening att verksamheten inte får vara olaglig eller klart oförenlig med goda seder. I övrigt får det vara upp till organisa- tionen själv att bestämma vilken verksamhet som får bedrivas. Det krävs alltså i princip individuellt samtycke av de registrerade för att känsliga personuppgifter – t.ex. uppgift om medlemskap i en facklig eller politisk organisation – skall få lämnas ut till tredje man av organisationen. Organisationen får således inte lämna ut sitt medlemsregister för att t.ex. ett privat företag skall kunna rikta erbjudanden till medlemmarna. Är ut- lämnandet däremot tillåtet enligt någon annan bestämmelse i artikel 8 kan uppgifterna givetvis lämnas ut. Träffar organisationen avtal med annan om kollektiva förmåner för sina medlemmar – t.ex. en gruppförsäkring eller en kollektiv anslutning till annan organisation – kan således medlemsregistret lämnas ut om det är nödvändigt för att de rättsliga anspråk som avtalet ger medlemmarna skall kunna fastslås eller göras gällande (se nedan). Krävs det en uppgift om någon är eller inte är medlem i en fackförening för att 378 Innehållet i den nya persondatalagen SOU 1997: 39 fastställa vid vilken instans talan skall väckas eller föras309, bör organisationen kunna lämna ut uppgiften, eftersom den på avsett sätt är nödvändig för att kunna fastslå om någon har rätt att föra talan vid en viss instans. I sammansatta organisationsstrukturer med flera juridiska personer, t.ex. fristående regionala organisationer och en centralorganisation, kan man fråga sig om varje juridisk person skall ses som tredje man eller om det är möjligt att tillämpa ett annat synsätt. Den frågan berörs i avsnitt 12.2.6. Den ideella organisationen måste som nämnts ha ett politiskt, filoso- fiskt, religiöst eller fackligt syfte för att få behandla känsliga personuppgif- ter om sina medlemmar. Enligt vår mening bör man när det gäller organi- sationens syfte kunna göra en ganska vidsträckt tolkning. Om en organisa- tion på något sätt vill påverka samhället, bör organisationen som vi ser det i detta sammanhang kunna anses ha ett sådant politiskt syfte som avses i bestämmelsen. Med en sådan tolkning bör i flertalet fall ideella samman- slutningar av t.ex. utlänningar, invandrare eller personer med viss sexuell läggning eller viss sjukdom kunna behandla (känsliga) personuppgifter om sina medlemmars egenskaper. De arbetslöshetskassor som är nära knutna till de fackliga organisatio- nerna får i anses ha ett sådant fackligt syfte som avses i direktivet. Förbudet mot att behandla känsliga personuppgifter gäller inte om be- handlingen rör uppgifter som är nödvändiga för att kunna fastslå, göra gällande eller försvara rättsliga anspråk. Att en person har en sådan egenskap som avses med definitionen av känsliga personuppgifter kan vara en förutsättning för att denne skall ha rätt till en förmån eller ha en rättslig skyldighet gentemot någon annan. I sådana fall får uppgifter om den rättsligt relevanta egenskapen behandlas. Att någon är sjuk kan t.ex. ha betydelse för rätten att få försäkringser- sättning. Och det förhållandet att någon är medlem i har betydelse för vilken skatt den registrerade är skyldig att betala in till skattemyndigheten. I vissa försäkringssammanhang är det vidare en förut- sättning för att få teckna viss försäkring att uppgifter om hälsa lämnas eller 309 Se t.ex. 2 kap. lagen (1974:371) om rättegången i arbetstvister. SOU 1997: 39 Innehållet i den nya persondatalagen 379 Också i detta fall får registreringen som regel anses nödvändig för rättsliga anspråk på det sätt som direktivet kräver. För att skydda vitala intressen Förbudet mot att behandla känsliga personuppgifter gäller inte när den re- gistrerade är rättsligt eller fysiskt förhindrad att lämna samtycke och be- handlingen är nödvändig för att skydda den registrerades eller någon annans vitala intressen. I den svenska översättningen av direktivet talas det om grundläggande intressen. Anledningen till att vi valt att i den föreslagna lagtexten i stället använda uttrycket vitala intressen och möjliga tolkningar har redogjorts för i avsnitt 12.5.1.6. Frågan om när den registrerade skall anses rättsligt förhindrad att lämna samtycke har berörts i avsnitt 12.2.9. Det bör noteras att behandling kan ske också för att skydda vitala in- tressen hos någon annan än den registrerade. Ett exempel kan vara när häl- souppgifter om en medvetslös och svårt skadad potentiell organdonator behandlas för att hitta en lämplig mottagare för organet. Förbudet mot att behandla känsliga personuppgifter gäller inte när be- handlingen är nödvändig med hänsyn till N förebyggande hälso- och sjukvård, N medicinska diagnoser, N vård eller behandling eller N administration av hälso- och sjukvård. Förbudet gäller inte heller när uppgifterna behandlas av någon som är N yrkesmässigt verksam inom hälso- och sjukvårdsområdet och N underkastad tystnadsplikt enligt nationell lagstiftning eller bestämmelser som har antagits av behöriga nationella organ. De nu nämnda bestämmelserna i har förts över nästan orda- grant till den föreslagna persondatalagen. Bestämmelserna verkar täcka all den behandling av känsliga personuppgifter som sker inom hälso- och sjukvårdsområdet, även t.ex. den tillsyn som sker över hälso- och sjukvår- den och dess personal. 380 Innehållet i den nya persondatalagen SOU 1997: 39 Den som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och har tystnadsplikt får således alltid behandla känsliga personuppgifter. Bestämmelser om tystnadsplikt inom hälso- och sjukvård finns i bl.a. i sekretesslagen och lagen (1994:953) om åligganden för personal inom hälso- och sjukvården samt lagen (1996:786) om tillsyn över hälso- och sjukvården.310 Bestämmelsen om att vissa personer med tystnadsplikt får behandla känsliga personuppgifter innebär inte nödvändigtvis att den personen blir att betrakta som persondataansvarig. Personen kan t.ex. behandla uppgif- terna inom ramen för sin anställning hos den persondataansvarige. Be- stämmelsen medför vidare att en persondataansvarig för vilken något annat undantag i artikel 8 inte gäller kan anlita en sådan person som avses i be- stämmelsen för att behandla känsliga personuppgifter. Den anlitade kan då sägas vara en sådan person som under den persondataansvariges direkta ansvar har befogenhet att behandla personuppgifter, dvs. vad vi i det före- gående kallat för medhjälpare (se avsnitt 12.2.6). Slutligen finns i den nu aktuella artikeln i (artikel 8.3) en bestämmelse om att förbudet mot att behandla känsliga personuppgifter inte heller skulle gälla om uppgifterna behandlas av en annan person som är ålagd en liknande tystnadsplikt. Språkligt sett innebär bestämmelsen att känsliga personuppgifter skulle få behandlas av den som N inte är yrkesmässigt verksam inom hälso- och sjukvårdsområdet, N men ändå är underkastad en tystnadsplikt som liknar den som gäller en- ligt nationell lagstiftning, eller bestämmelser som har antagits av behö- riga nationella organ, för personer som är yrkesmässigt verksamma inom hälso- och sjukvårdsområdet. Vi har inte ansett det lämpligt eller nödvändigt att i den föreslagna person- datalagen ta in en så generell bestämmelse vars närmare tillämpningsområ- de framstår som ganska oklart. Av vad som anförs i avsnitt 11 framgår att vi föreslår att det beträffande behandling av känsliga personuppgifter för forskning och statistik skall redan i den föreslagna persondatalagen införas ett sådant undantag för vik- 310 Se senast prop. 1995/96:176 s. 94 f. SOU 1997: 39 Innehållet i den nya persondatalagen 381 tiga allmänna intressen som direktivet tillåter. Beträffande utformningen av det undantaget får hänvisas till det nämnda avsnittet. Ytterligare undantag för viktiga allmänna intressen Enligt artikel 8.4 i EG-direktivet får medlemsstaterna av hänsyn till ett viktigt allmänt intresse göra ytterligare undantag från förbudet mot att be- handla känsliga personuppgifter. Detta kan ske antingen i nationell lag- stiftning eller genom beslut av den nationella tillsynsmyndigheten. En förutsättning för att ytterligare undantag skall få göras är dock att det finns lämpliga skyddsåtgärder. De undantag som görs skall – enligt artikel 8.6 – anmälas till kommissionen. Enskildas rent kommersiella intressen torde i allmänhet inte ensamma kunna anses som sådana viktiga allmänna in- tressen att undantag får göras. I den föreslagna persondatalagen har vi därför tagit in ett bemyndigan- de för regeringen – eller den myndighet regeringen bestämmer – att före- skriva sådana undantag. Frågan om regeringens och Datainspektionens möjligheter att komplettera regleringen i den föreslagna persondatalagen har berörts i avsnitt 12.1.2. I artikel 8.5 i EG-direktivet finns det bestämmelser om behandling av per- sonuppgifter om N brottmålsdomar och N säkerhetsåtgärder. Sådana uppgifter omfattas inte av definitionen av känsliga personuppgifter, men det finns alltså ändå särregler i direktivet för dessa uppgifter. Hu- vudregeln är att sådana uppgifter får behandlas endast under kontroll av en myndighet. Därutöver finns en något svårtolkad regel som verkar innebära att sådana uppgifter får behandlas utan myndighetskontroll under förut- sättning att det är tillåtet enligt nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett fullständigt register över brott- målsdomar får dock under inga omständigheter föras annat än under kon- troll av en myndighet. Det är slutligen enligt direktivet tillåtet för medlemsstaterna att före- skriva att uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också skall behandlas under kontroll av en myndighet. 382 Innehållet i den nya persondatalagen SOU 1997: 39 De nationella bestämmelser som medlemsstaterna beslutar enligt artikel 8.5 torde – enligt artikel 8.6 – behöva anmälas till kommissionen. Vi anser att möjligheten att ha regler om myndighetskontroll för be- handling av uppgifter om administrativa sanktioner och domar i tvistemål inte bör utnyttjas genom att särregler tas in i den föreslagna persondatala- gen. Den viktigaste och känsligaste formen för behandling av sådana upp- gifter – kreditupplysning – regleras i en särskild lag som för närva- rande håller på att ses över.311 När det sedan gäller uppgifter om lagöverträdelser, brottmålsdomar och säkerhetsåtgärder är det som vi ser det rimligt med särregler. Sådana upp- gifter är otvivelaktigt av så känslig natur att vem som helst inte bör få han- tera uppgifterna hur som helst. Å andra sidan står det klart att myndigheter mycket ofta behöver hantera just sådana uppgifter för att kunna fullgöra de samhällsuppdrag som lagts på dem. I vad mån myndigheter får hantera så- dana uppgifter framgår av de föreskrifter som reglerar respektive myndig- hets verksamhet. Det sagda leder oss till slutsatsen att det i den föreslagna persondatala- gen bör tas in en grundläggande bestämmelse om att det är förbjudet för andra än myndigheter att behandla uppgifter om lagöverträdelser och do- mar och säkerhetsåtgärder i brottmål. Eftersom det kan finnas fall där det är befogat att enskilda behandlar sådana uppgifter, bör bestämmelsen kompletteras med ett bemyndigande för regeringen och Datainspektionen att föreskriva undantag från förbudet. Det får förutsättas att undantag före- skrivs på det sätt som krävs enligt EG-direktivet när enskilda har ett befo- gat intresse av behandlingen och den står under tillfredsställande kontroll av en myndighet. Som exempel på fall där det kan vara befogat att regeringen eller Data- inspektionen föreskriver undantag kan nämnas den behandling av uppgif- ter om t.ex. brottmålsdomar som privata vård- och behandlingshem kan be- höva utföra för att vårda och behandla den dömde på ett effektivt sätt. Också för försäkringsbolagens kravhantering kan det enligt vår mening vara befogat med undantag. Det är ofta försäkringsbolagen som i första hand får betala för de ekonomiska skador som kriminaliteten vållar, och när försäkringsbolaget väl har betalat den skadade, tar bolaget regelmässigt över kravet mot brottslingen. Eftersom det är viktigt att den som på ett kriminellt sätt har skadat någon annan också får svara fullt ut för vad han 311 Se SOU 1993:110 och prop. 1996/97:65. SOU 1997: 39 Innehållet i den nya persondatalagen 383 eller hon ställt till med, kan det vara befogat att försäkringsbolagen får re- gistrera sådana uppgifter om brottsligheten att krav kan framställas på ett effektivt sätt mot den som bör få betala. De begrepp som används i bestämmelsen – lagöverträdelser, brottmåls- domar och säkerhetsåtgärder – har som vi ser det en EG-gemensam inne- börd. Med lagöverträdelser avses förmodligen bara överträdelse av straff- sanktionerade bestämmelser. På motsvarande sätt får det anses att bara sä- kerhetsåtgärder i brottmålsförfaranden avses, t.ex. häktning, beslag eller kvarstad. En uppgift om att någon har eller kan ha begått stöld utgör otvivelaktigt en uppgift om lagöverträdelse även om det inte finns någon dom be- träffande brottet; uppgiften har kvalificerats till att avse något visst brott. Det framstår däremot som mera tveksamt i vad mån uppgifter om faktiska iakttagelser kan anses utgöra uppgifter om lagöverträdelser, t.ex. en upp- gift om att någon använt narkotika, en uppgift om att någon kört bil mellan två orter med viss (för hög) genomsnittlig hastighet, en uppgift om att nå- gon som arbetar med att tömma parkeringsautomater har privat växlat in stora mängder mynt i bank osv. Elektronisk övervakningsutrustning, t.ex. kameror, installeras vidare ofta i privat verksamhet just i det befogade syftet att förr eller senare registrera lagöverträdelser, och det skulle givet- vis innebära olägenheter om registreringen blev olaglig och skadestånds- grundande som syftet med den uppnåtts, dvs. när ge- nomförandet av t.ex. ett rån registrerats. Detta talar starkt för att uppgifter om faktiska iakttagelser om en persons handlande inte rimligen kan anses som uppgifter om lagöverträdelser i alla de fall handlandet kan innebära en lagöverträdelse. Var gränsen går får avgöras i praxis eller genom de när- mare föreskrifter som kan utfärdas. 384 Innehållet i den nya persondatalagen SOU 1997: 39 Reglerna om användning av personnummer i datalagen bör föras över till den nya persondatalagen. Detta innebär att uppgifter om personnummer får behandlas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktans- värt skäl. Enligt artikel 8.7 i EG-direktivet skall medlemsstaterna bestämma på vilka villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Bestämmelsen berör för svensk del bara personnummer; något annat vedertaget sätt för identifiering finns inte i som vi ser det. Be- stämmelsen innebär bara att måste ha regler för när personnummer får behandlas. Däremot får och de andra medlemsstaterna fritt be- stämma det materiella innehållet i reglerna. Det finns redan en reglering av användningen av personnummer i data- lagen. Enligt 7 § andra stycket får registrering av personnummer ske bara när det klart är motiverat med hänsyn till registrets ändamål, vikten av en säker identifiering eller av något annat beaktansvärt skäl. Vidare gäller att personnummer får återges på datautskrifter bara när det finns särskilda skäl. Frågan om en reglering av användningen av personnummer utreddes av den parlamentariskt sammansatta Data- och offentlighetskommittén som lämnade två alternativa förslag till reglering.312 – – kunde regeringen, sedan utredningsförslagen fått ett blan- dat mottagande av remissinstanserna, presentera sitt förslag som byggde på ett av utredningsförslagen.313 begärde därefter att lagrådet skulle yttra sig över det andra utredningsförslaget. Utskottets ma- joritet förordade emellertid regeringens förslag, men gjorde en viss om- formulering av lagtexten.314 Det omformulerade förslaget antogs av riks- dagen. 312Se SOU 1987:31. 1990/91:60 s. 60 ff. 314Se KU 1990/91:11. SOU 1997: 39 Innehållet i den nya persondatalagen 385 beslutade den dåvarande regeringen att en särskild utre- dare skulle tillkallas med uppdrag att utreda frågan om en begränsad an- vändning av personnummer.315 överlämnade Personnummerut- redningen ett omfattande betänkande med förslag till en särskild lag om användning av personnummer.316 Förslaget har inte lett till lagstiftning, och den regering som tillträdde har uttalat att det inte är aktuellt att införa någon lagstiftning om användningen av person- nummer.317 I våra utredningsdirektiv omnämns inte särskilt frågan om användning av personnummer. Vi finner mot den nu redovisade bakgrunden att det inte kan anses an- komma på oss att göra en ny utredning om användningen av person- nummer annat än vad vårt uppdrag att lämna förslag till genomförande av EG-direktivet föranleder. EG-direktivet kräver att det finns en reglering av användningen av per- sonnummer som omfattar den behandling av personuppgifter som avses i direktivet. Den reglering av användningen av personnummer som finns i datalagen bör därför föras över till den föreslagna persondatalagen, som skall ha ett tillämpningsområdet som i enlighet med vad som anförs i avsnitt 7 har anpassats till direktivets. Eftersom den uttryckliga regeln om att personnummer får återges på datautskrifter bara om det finns särskilda skäl passar dåligt in i en generell lag som i viss mån omfattar även behandling av personuppgifter (på papper), har vi emellertid valt att inte ta med den regeln i vårt förslag till ny lag. Detta är dock inte avsett att inne- bära någon ändring i sak. För att en uppgift om personnummer över huvud taget skall få behandlas – t.ex. genom att fästas på en datautskrift – krävs ju med den föreslagna lagen att behandlingen är klart motiverad med hän- syn till något beaktansvärt skäl. 315Se dir. 1993:7. 316Se SOU 1994:63. 1994/95:100 Bilaga 3 s. 14. 386 Innehållet i den nya persondatalagen SOU 1997: 39 12.7Information till den registrerade Den persondataansvarig som hämtar in personuppgifter bör självmant lämna de registrerade viss information rörande behandlingen. Undantag från informationsskyldigheten bör gälla när de registrerade redan känner till informationen, när det finns författningsreglering och när det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats att informera. Den registrerade bör vidare ha rätt att en gång per kalenderår på begäran gratis få information om de uppgifter som behandlas. Informatio- nen skall lämnas skriftligen inom efter ansökan. De regler om sekretess och tystnadsplikt som finns gäller alltid framför rätten till infor- mation enligt den föreslagna persondatalagen. I artikel 10–12 i EG-direktivet finns bestämmelser om att information skall lämnas till den registrerade dels självmant när en persondataansvarig sam- lar in personuppgifter, dels när den registrerade begär att få ta del av de uppgifter som en persondataansvarig har registrerat. Bestämmelserna har berörts i avsnitt 3.9 och 3.10. I det följande tas dessa två situationer upp under skilda rubriker. Avslutningsvis berörs, under en särskild rubrik, frå- gan hur reglerna i direktivet och den föreslagna persondatalagen förhåller sig till bestämmelser om sekretess och tystnadsplikt. 12.7.2När uppgifterna samlas in I artikel 10–11 i EG-direktivet finns bestämmelser om den information som en persondataansvarig skall lämna självmant till den registrerade i samband med att han eller hon samlar in personuppgifter. Artikel 10 rör den situationen att uppgifterna samlas in från den regist- rerade själv, medan artikel 11 gäller när uppgifterna hämtas in från något annat håll. I båda fallen skall den persondataansvarige lämna informatio- nen självmant. Det krävs alltså inte att den registrerade begär att få infor- mation. Något annat som är gemensamt för de båda fallen är att den per- SOU 1997: 39 Innehållet i den nya persondatalagen 387 sondataansvarige aldrig är skyldig att lämna information om sådant som den registrerade redan känner till. I avsnitt 9.2 har vi berört hur man kan se på informationsskyldigheten för myndigheter med hänsyn till skyldigheten att enligt offentlighetsprin- cipen lämna ut uppgifter till den som begär det. 12.7.2.2När skall informationen lämnas Samlas personuppgifterna in från den registrerade själv skall, såsom vi har uppfattat direktivet, informationen alltid lämnas i samband därmed; samlar den persondataansvarige in uppgifter från de registrerade utan att då be- rätta vad uppgifterna skall användas till, kan behandlingen av personupp- gifterna inte anses ha gått korrekt till. När personuppgifterna hämtas in från något annat håll, skall informa- tionen enligt direktivet lämnas vid registreringen. Kan det vid detta till- fälle förutses att uppgifterna kommer att lämnas ut till tredje man, är det dock tillåtet att vänta med informationen ända till dess att uppgifterna lämnas ut . Dessa bestämmelser bör föras över till den föreslagna persondatalagen. Det finns som vi ser det inte någon skyldighet för en persondataansva- rig att lämna sådan information som avses mer än en gång beträffande de personuppgifter som samlas in . De insamlade uppgifterna kan således det är nödvändigt behandlas för de ändamål som angetts vid insamlingen och för alla andra ändamål som inte är oförenliga med de ursprungliga ändamålen utan att de registrerade behöver informe- ras på nytt. Ny information behöver vidare inte lämnas varje gång uppgif- ter lämnas ut till tredje man (under förutsättning att information om åt- minstone de aktuella kategorierna av mottagare har lämnats). Lämnas uppgifterna ut till tredje man för vidare behandling, måste givetvis denne informera de registrerade om sin behandling av uppgifterna i den mån de registrerade inte redan känner till informationen (genom den information de fått från den förste persondataansvarige eller eljest). I en del fall är avsikten dock att den persondataansvarige fortlöpande skall samla in uppgifter om en och samma person. Det kan t.ex. vara fråga om en bank som regelbundet för kontoredovisning m.m. hämtar in uppgif- ter om vilka betalningstransaktioner den registrerade har gjort i olika affä- rer eller i andra banker. I sådana fall bör det, som vi ser saken, vara möjligt att lämna information bara en gång – innan uppgifter registreras första gången – under förutsättning att den registrerade då får information om 388 Innehållet i den nya persondatalagen SOU 1997: 39 bl.a. vilka kategorier av uppgifter som kommer att hämtas in och behand- las; genom den information som lämnas innan den första registreringen sker får den registrerade kännedom om de behandlingar som kommer att utföras fortlöpande och vilka kategorier av uppgifter dessa kommer att avse, och den persondataansvarige är som sagt aldrig skyldig att lämna in- formation om sådant som den registrerade redan känner till. När det gäller insamling av personuppgifter i samband med använd- ningen av Internet, BBS:er eller liknande elektroniska tjänster, t.ex. i form av s.k. loggar, är det viktigt att de personer som utnyttjar tjänsterna infor- meras om utnyttjandet av de s.k. elektroniska spår som de omedvetet kan ha lämnat. Eftersom de elektroniska tjänsterna i allmänhet går ut på att för- medla information i ett eller annat avseende, borde det inte innebära några särskilda problem att lämna information även i detta hänseende.