sou · GLB339d1 · 1998-01-01 00:00:00 — Medlemsstaterna skall vidare vidta nödvändiga åtgärder för att säkerställa att de registrerade känner till sina rättigheter i samband med be- handling som rör direkt marknadsföring (artikel 14 2 st.). 3.7.2I vissa fall vid avgörande och berättigade skäl Den registrerade skall ha rätt att motsätta sig behandling av uppgifter som rör honom eller henne, om han eller hon har avgörande och berättigade skäl75 som rör hans eller hennes personliga situation. Detta skall gälla åt- minstone i de fall som avses i artikel 7 e och f (se avsnitt 3.5.6 och 3.5.7), dvs. vid uppgiftsbehandling i allmänt intresse eller i samband med myn- dighetsutövning och vid sådan uppgiftsbehandling som är tillåten efter en intresseavvägning. Men det är tillåtet att i den nationella lagstiftningen föreskriva något annat, dvs. att den registrerade inte har någon sådan rätt att motsätta sig uppgiftsbehandling. När den registrerades invändning är berättigad76, får en behandling som har påbörjats av den registeransvarige inte längre avse uppgifter som rör den registrerade. Av det brittiska remissunderlaget framgår att det – under förhandling- arna om direktivet – som exempel på giltigt skäl att motsätta sig behand- ling av personuppgifter angavs det fallet att uppgifterna, även om de be- handlades i enlighet med bestämmelserna i direktivet, förmodligen skulle i praktiken komma att falla i händerna på någon som den registrerade kände. 75På engelska compelling legitimate grounds, på franska raisons prépondérantes et légitimes, på tyska überwiegende, schutzwürdige [] Gründe. 76På engelska justified objection, på franska opposition justifiée, på tyska berechtigte Widerspruch. 136 EG-direktivet om personuppgifter SOU 1997: 39 Den registrerade skall ha rätt att efter anmodan och utan kostnader motsätta sig behandling av sådana personuppgifter som rör honom eller henne och som den registeran- svarige bedömer kan komma att behandlas för ändamål som rör direkt marknadsföring att få bli informerad innan personuppgifter lämnas ut till tredje man eller används för tredje mans räkning för ändamål som rör direkt marknadsföring att uttryckligen få ett erbjudande om att utan kostnad motsätta sig ett sådant utlämnande eller sådan användning. I punkt 30 i ingressen talas det om kommersiell eller annan marknadsfö- ring, se närmare under avsnitt 3.5.7. Av punkt 71 i ingressen framgår det att direktivet inte hindrar en medlemsstat från att anta bestämmelser om sådan marknadsföring som riktar sig till konsumenter som har hemvist inom dess territorium, förutsatt att dessa bestämmelser inte rör skyddet av enskilda personer med avseende på behandling av personuppgifter. 3.8Rätten att slippa automatiserade beslut Artikel 15 behandlar beslut som har rättsliga följder för en person eller som märkbart påverkar honom eller henne. Varje person skall ha rätt att inte bli föremål för ett sådant beslut som enbart grundas på automatisk da- tabehandling av uppgifter som är avsedda att bedöma vissa personliga egenskaper hos honom eller henne, t.ex. hans eller hennes arbetsprestatio- ner, kreditvärdighet, pålitlighet eller uppträdande. (Artikel 15.1.) Om inte något annat följer av övriga bestämmelser i direktivet, skall medlemsstaterna dock föreskriva att en person får bli föremål för ett sådant beslut i två fall (artikel 15.2). SOU 1997: 39 EG-direktivet om personuppgifter 137 Det första fallet avser den situationen att beslutet fattas som ett led i ingå- endet eller fullgörandet av ett avtal. Som förutsättning gäller emellertid här antingen att den registrerades begäran om ingående eller fullgörande av avtalet har bifallits att det vidtas lämpliga åtgärder för att skydda hans eller hennes berätti- gade intressen, exempelvis en möjlighet för honom eller henne att göra sin uppfattning gällande. (Artikel 15.2 a.) Det andra fallet är när beslutet har tillåtits i en lagstiftning som innehåller bestämmelser till skydd för den registrerades berättigade intressen. I kommissionens förklaring framhålls att det skall vara fråga om ett be- slut som grundar sig enbart på automatisk databehandling. Det som är förbjudet är att slaviskt följa det resultat som har producerats av ett system för automatisk databehandling. Den automatiska databehandlingen kan vara ett stöd vid beslutsfattandet, men behandlingen får inte utgöra slutre- sultatet utan det måste finnas utrymme för en mänsklig bedömning. Det skulle t.ex. strida mot denna princip, anför kommissionen, att en arbetsgi- vare avvisar en arbetssökande bara på grund av dennes resultat vid en da- torbaserad psykologisk utvärdering eller att använda sådan programvara för utvärdering för att ta fram en lista där jobbsökande betygsätts och rangordnas enbart på grund av ett personlighetstest. När det gäller undantaget i samband med avtal framhåller kommissio- nen att medlemsstaterna kan precisera vilka lämpliga åtgärder som kan vidtas för att skydda den registrerades intressen. Sådana skyddsåtgärder kan vara föreskrivna i lag, framgå av den underrättelseprocedur som skall tillämpas eller framgå av de interna åtgärder som har vidtagits inom den registeransvariges organisation. I artikel 12 a tredje strecksatsen finns det en bestämmelse om att den registrerade har rätt att få kännedom om den logik som används vid auto- matiserade beslut (se avsnitt 3.10.2). 3.9Information till den registrerade I artikel 10–11 anges att medlemsstaterna skall föreskriva att den register- ansvarige – eller dennes företrädare – skall lämna den registrerade viss in- formation. 138 EG-direktivet om personuppgifter SOU 1997: 39 Skyldigheten att lämna information gäller inte i de fall den registrerade redan känner till uppgifterna. I artikel 13.1 finns det bestämmelser som gör det möjligt att av hänsyn till vissa intressen föreskriva nödvändiga undantag från vad som följer av artikel 10 och 11.1 (se avsnitt 3.11). När uppgifter om en viss person samlas in från den berörde själv, skall den berörde i vart fall få information om a)den registeransvariges – och dennes eventuella företrädares – identitet, b)ändamålen med den behandling för vilka uppgifterna är avsedda, och c)all ytterligare information i den utsträckning informationen – med hän- syn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling. Som exempel på information enligt punkt c anges N mottagarna eller de kategorier som mottar uppgifterna, N huruvida det är obligatoriskt eller frivilligt att besvara frågorna samt eventuella följder av att inte svara och N förekomsten av rättigheter att få tillgång till och att få rättelse av upp- gifter. Om uppgifterna inte har samlats in från den registrerade, skall information lämnas vid tiden för registrering av personuppgifter eller, om ett utläm- nande till tredje man kan förutses, inte senare än då upp- gifterna först lämnas ut. Informationen skall åtminstone omfatta det som anges i punkt a–c ovan. Som exempel på information som i detta fall skall lämnas enligt punkt c anges, i stället för upplysning om det är frivilligt att svara, uppgift om de kategorier av uppgifter som behandlingen gäller. Vad som sagts för det fallet att uppgifterna inte har samlats in från den registrerade skall dock inte gälla när det – särskilt i samband med behandling för statistiska ändamål eller historiska eller vetenskapliga forskningsändamål – visar sig omöj- ligt eller skulle innebära en oproportionerligt stor ansträngning att lämna information när utlämnande uttryckligen föreskrivs i författning. I sådana undantagsfall skall medlemsstaterna emellertid föreskriva lämp- liga skyddsåtgärder. SOU 1997: 39 EG-direktivet om personuppgifter 139 I punkt 40 i ingressen anges att man vid bedömningen av om ett informa- tionslämnande skulle innebära en oproportionerligt stor ansträngning kan beakta N antalet registrerade, N uppgifternas ålder och N de kompensatoriska åtgärder som kan vidtas. Av mötesprotokollet framgår att rådet och kommissionen anser att man vid denna bedömning måste ta i beaktande vikten av det allmänna intresse för vilket uppgifterna behandlas. I kommissionens förklaring anges att frågan om hur informationsläm- nandet skall gå till i praktiken får bero på de särskilda omständigheter un- der vilka informationen samlas in från de registrerade. 3.10Rätten att på begäran få tillgång till uppgifterna och rättelse I artikel 12 finns det bestämmelser om att medlemsstaterna skall säkerställa att varje registrerad har vissa rättigheter gentemot den registeransvarige. Det gäller rätt till information rörande de uppgifter som behandlas, rätt att få felaktiga eller ofullständiga uppgifter rättade m.m. För den händelse uppgifterna rättats m.m. är den registeransvarige skyldig att underrätta de tredje män som redan har fått uppgifterna om den rättelse som har skett. Från bestämmelserna i artikel 12 är det möjligt att göra vissa särskilda undantag rörande vetenskaplig forskning och statistikproduktion (artikel 13.2). I artikel 13.1 finns det vidare generella bestämmelser som gör det möjligt att av hänsyn till vissa intressen föreskriva nödvändiga undantag från vad som följer av artikel 12 (se avsnitt 3.11). 140 EG-direktivet om personuppgifter SOU 1997: 39 Den registrerade skall ha rätt att från den registeransvarige få viss informa- tion om uppgifterna. Den registrerade skall ha rätt att få informationen utan hinder och med rimliga intervall samt utan större tidsutdräkt eller kostna- der. Den registrerade har rätt till följande information. N Bekräftelse på om uppgifter som rör den registrerade behandlas eller inte. N Information om åtminstone ändamålen med behandlingen, de berörda uppgiftskategorierna och mottagarna eller de kategorier av mottagare till vilka uppgifterna utlämnas. N Begriplig information om vilka uppgifter som behandlas. N All tillgänglig information om varifrån de behandlade uppgifterna kommer. N Kännedom om den logik som används när uppgifter som rör den regist- rerade behandlas på automatisk väg, åtminstone såvitt avser sådana au- tomatiserade beslut som avses i artikel 15.1 (se avsnitt 3.8). I punkt 41 i ingressen framhålls det att rätten att få kännedom om den lo- gik som används vid automatisk uppgiftsbehandling inte får negativt på- verka affärshemligheter eller upphovsrätten, särskilt den upphovsrätt som skyddar programvaran. Detta bör dock inte få medföra att den registrerade nekas all information. I kommissionens förklaring anges att det har överlämnats till med- lemsstaterna att precisera hur informationen skall lämnas till den registre- rade, t.ex. för att garantera att informationen lämnas till rätt person eller för att underlätta för såväl den registeransvarige som den registrerade när flera uppgiftsbehandlingar berörs, särskilt när det gäller register. Ge- nom den nationella lagstiftningen får också den närmare innebörden av rimliga intervall bestämmas. I den nationella lagstiftningen får det vidare – med beaktande av såväl den registrerades som den registeransvariges in- tresse – finnas bestämmelser om att den registeransvarige har rätt att ta betalt av en registrerad som utnyttjar rätten att få information, men avgiften får inte överstiga den verkliga kostnaden; avgiften får inte vara större77. 77 På engelska excessive, på franska excessif, på tyska übermässig. SOU 1997: 39 EG-direktivet om personuppgifter 141 Den registrerade skall – i förekommande fall – ha rätt att få sådana uppgif- ter som inte har behandlats i enlighet med bestämmelserna i direktivet N utplånade eller N blockerade. Detta skall gälla särskilt om uppgifterna är ofullständiga eller felaktiga. Av kommissionens förklaring verkar framgå att med blockering avses att den registeransvarige får fortsätta att lagra uppgifterna, men inte på annat sätt behandla eller använda dem, t.ex. lämna ut dem till tredje man. Uppgifterna måste markeras så att användarna får kännedom om att dessa är blockerade. Det verkar också framgå att avsikten med att använda ett uttryck som i förekommande fall har varit att överlåta till medlemsstaterna att närmare bestämma hur den registrerades rätt till rättelse, utplånande eller blockering skall användas i de olika situationer där uppgifter kan ha behandlats eller använts i strid med bestämmelserna i direktivet. I artikel 6.1 d finns bestämmelser om att alla rimliga åtgärder måste vidtas för att säkerställa att sådana personuppgifter, som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlats in eller för vilka de senare behandlas, utplånas eller rättas, se avsnitt 3.4.5. 3.10.4Underrättelse till tredje man om rättelse När en registeransvarig har utfört rättelse, utplåning eller blockering av uppgifter i enlighet med vad som anges i närmast föregående avsnitt, har den registrerade rätt att få genomfört att de tredje män till vilka uppgifterna har lämnats ut underrättas om åtgärden. Detta gäller dock inte om en un- derrättelse är omöjlig eller skulle innebära en oproportionerligt stor an- strängning. I sådana fall där det uppenbarligen inte finns någon risk för att den berörda personens privatliv kränks – i synnerhet när uppgifterna inte används för åtgärder eller beslut som avser särskilda personer – får medlemsstaterna (enligt artikel 13.2), under förutsättning av lämpliga rättsliga garantier, ge- nom lagstiftning begränsa de rättigheter i fråga om information om upp- 142 EG-direktivet om personuppgifter SOU 1997: 39 gifterna, rättelse och underrättelse till tredje man som anges i artikel 12. Detta gäller dock bara när uppgifterna endast behandlas för ändamål som har med vetenskap- lig forskning att göra när uppgifterna endast lagras i form av personuppgifter under en be- gränsad tid som inte överstiger den tid som är nödvändig för att fram- ställa statistik. I artikel 28.4 andra stycket finns det en bestämmelse om att var och en kan – i samband med tillämpningen av de nationella undantagsbestämmelser som har antagits med stöd av artikel 13 – hos tillsynsmyndigheten begära att få kontrollera om en behandling är tillåten. Av artikel 28.2 följer att medlemsstaterna skall se till att tillsynsmyndigheten hörs när författningar om undantag utarbetas. 3.11Möjlighet till undantag och begränsningar I artikel 13.1 finns det bestämmelser om att medlemsstaterna får genom lagstiftning begränsa omfattningen av vissa skyldigheter och rättigheter som följer av direktivet. Det gäller de skyldigheter och rättigheter som an- ges i artikel 6.1, 10, 11.1, 12 och 21, dvs. N de grundläggande kraven på uppgiftsbehandlingen (artikel 6.1, se avsnitt 3.4), N skyldigheten att informera den registrerade (artikel 10 och 11.1, se av- snitt 3.9), N rätten att på begäran få tillgång till uppgifterna och rättelse (artikel 12, se avsnitt 3.10) och N reglerna om ett offentligt register över anmälda behandlingar och skyl- digheten att hålla information om andra behandlingar tillgänglig (artikel 21, se avsnitt 3.13.5). En sådan begränsning måste vidare vara en nödvändig åtgärd med hänsyn till a)statens säkerhet, b)försvaret, c)allmän säkerhet, d)förebyggande, undersökning eller avslöjande av brott, e)åtal för brott, SOU 1997: 39 EG-direktivet om personuppgifter 143 f)förebyggande, undersökning eller avslöjande av överträdelser av etiska regler som gäller för lagreglerade yrken, g)ett viktigt ekonomiskt eller finansiellt intresse hos en medlemsstat eller hos Europeiska unionen (här inkluderas monetära frågor, budgetfrågor och skattefrågor), h)en tillsyns-, inspektions- eller regleringsfunktion som – även om den är av övergående karaktär – är förbunden med myndighetsutövning i de fall som nämnts under c, d, e, f och g, eller i)skydd av den registrerades eller andras fri- och rättigheter. Av mötesprotokollet framgår att rådet och kommissionen anser att sådana rättigheter som att utföra behandling av personuppgifter inte avses med hänvisningen till andras fri- och rättigheter i punkten i ovan. I punkt 44 i ingressen framhålls att medlemsstaterna för att uppfylla vissa av målsättningarna kan tvingas att avvika från vissa bestämmelser i direktivet på grund av bestämmelser i gemenskapsrätten. Som exempel på en begränsning med hänsyn till intresset hos den registrerade eller andras fri- och rättigheter (punkt i ovan) anges – i punkt 42 i ingressen – att det kan beslutas att den registrerade har rätt att få tillgång till uppgifter av medicinsk art bara genom förmedling av någon som är yrkesmässigt verk- sam inom hälso- och sjukvården. I kommissionens förklaring anges bestämmelser om övervakning av banker och om penningtvätt som exempel på fall då medlemsstaterna på grund av gemenskapsrätten kan vara tvungna att föreskriva begränsningar. Begreppet statens säkerhet omfattar skydd av den nationella suveräniteten mot såväl interna som externa hot. Bestämmelsen om ekonomiska eller fi- nansiella intressen hänför sig till alla åtgärder inom den ekonomiska poli- tiken och åtgärder för att finansiera medlemsstaternas eller den Europeiska unionens politik, såsom kontroll vid valutaväxling, kontroll av utrikeshan- del och uppbörd av skatt. När det gäller skyddet av fri- och rättigheter talas det om företagshemligheter, reglerna om den sekretess under vilken advo- kater och utövare av sjukvård arbetar, rätten att förbereda sig inför en rätte- gång samt mänskliga rättigheter. Det talas vidare om begränsningar av rätten till tillgång till uppgifter som människorättsorganisationer innehar i de fall där en obegränsad tillgång skulle kunna utsätta andra för fara – t.ex. de personer som i förtroende har lämnat uppgifterna – eller riskera de över- ordnade intressen som finns hos sådana organisationer. I artikel 28.4 andra stycket finns det en bestämmelse om att var och en kan – i samband med tillämpningen av de nationella undantagsbestämmel- ser som har antagits med stöd av artikel 13 – hos tillsynsmyndigheten be- 144 EG-direktivet om personuppgifter SOU 1997: 39 gära att få kontrollera om en behandling är tillåten (se avsnitt 3.17). I arti- kel 9 finns det bestämmelser om förhållandet till yttrandefriheten (se av- snitt 3.3), och artikel 13.2 innehåller särskilda bestämmelser om undantag från rätten att på begäran få tillgång till uppgifterna och rättelse (se avsnitt 3.10.5). Av artikel 28.2 följer att medlemsstaterna skall se till att tillsynsmyn- digheten hörs när författningar om undantag utarbetas. 3.12Sekretess och säkerhet vid behandlingen I artikel 16 finns det – under rubriken vid behandling – en be- stämmelse om att registerföraren eller den som utför arbete under den re- gisteransvarige eller registerföraren och som får tillgång till personuppgif- ter får behandla dessa bara enligt instruktion från den registeransvarige. Uppgifterna får dock behandlas även utan instruktion från den registeran- svarige, om det enligt lag finns en skyldighet att göra det. I kommissionens förklaring anges förundersökning (criminal investi- gation) som exempel på när det kan finnas en skyldighet enligt lag att be- handla personuppgifter. I artikel 28.7 finns det bestämmelser om tystnadsplikt för tillsynsmyn- dighetens ledamöter och personal. Artikel 17.1 innehåller bestämmelser om säkerheten vid behandling av per- sonuppgifter. Medlemsstaterna skall föreskriva att den registeransvarige skall genomföra lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter mot varje slag av otillåten behandling. Personupp- gifter skall dessutom skyddas i följande hänseenden. N Skydd mot förstöring av uppgifter genom olyckshändelse eller genom otillåtna åtgärder. N Skydd mot förlust av uppgifter genom olyckshändelse. N Skydd mot ändringar av uppgifter. N Skydd mot otillåten spridning av uppgifter. N Skydd mot otillåten tillgång till uppgifter, särskilt när behandlingen innefattar överföring av uppgifter i ett nätverk. SOU 1997: 39 EG-direktivet om personuppgifter 145 De säkerhetsåtgärder som skall genomföras skall – med beaktande av den nuvarande tekniska nivån78 och de kostnader som är förenade med åtgär- dernas genomförande – åstadkomma en lämplig säkerhetsnivå i förhållande till de risker som är förknippade med behandlingen och arten av de upp- gifter som skall skyddas. I punkt 46 i ingressen framhålls att skyddet för de registrerades fri- och rättigheter, såvitt avser behandling av personuppgifter, förutsätter att lämp- liga tekniska och organisatoriska åtgärder vidtas både när systemet utfor- mas och när själva behandlingen sker, särskilt för att garantera säkerheten för att på så sätt hindra all otillåten behandling. I artikel 17.2–4 finns det bestämmelser som rör relationen mellan den registeransvarige och registerföraren. Medlemsstaterna skall föreskriva att den registeransvarige, när be- handling utförs för dennes räkning, skall dels välja en registerförare som kan ge tillräckliga garantier vad gäller de tekniska säkerhetsåtgärder och organisatoriska åtgärder som måste vidtas, dels se till att dessa åtgärder vidtas. När uppgifter behandlas av en registerförare skall hanteringen regleras ge- nom ett avtal eller genom en annan rättsligt bindande handling79 mellan registerföraren och den registeransvarige. Genom handlingen skall särskilt föreskrivas N att registerföraren bara får handla på instruktioner från den registeran- svarige och N att de skyldigheter i fråga om säkerhet som anges i artikel 17.1, såsom de definieras i lagstiftningen i den medlemsstat i vilken registerföraren är etablerad80, även skall åvila registerföraren. Av direktivtexten framgår inte direkt huruvida vad som sagts skulle kunna föreskrivas genom en lagstiftningsåtgärd, t.ex. i en registerförfatt- 78På engelska state of the art. 79På engelska legal binding act, på franska acte juridique, på tyska Rechtsakt. 80Det kan noteras att en registeransvarig som är etablerad i en medlemsstat måste – i fråga om t.ex. säkerheten vid behandling (jämför skyldigheten enligt artikel 17.2 att se till att registerföraren genomför säkerhetsåtgärder) – följa den nationella in- förandelagstiftningen i den staten (artikel 4.1) och inte den lagstiftning som finns i den stat där den anlitade registerföraren är etablerad. – Jämför punkt 3.31 i det brittiska remissunderlaget. 146 EG-direktivet om personuppgifter SOU 1997: 39 ning som anger att en myndighet skall ansvara för ett register som en annan myndighet åläggs att administrera i tekniskt avseende. Det finns dock, för att säkra bevisning, ett skriftlighetskrav. Avtalet eller den rättsligt bindande handlingen skall nämligen finnas i skriftlig eller därmed jämförlig form i de delar som rör skyddet av uppgifter och de krav som rör sådana säkerhetsåtgärder som anges artikel 17.1. I artikel 18 finns det bestämmelser om att behandling av personuppgifter skall anmälas på förhand till tillsynsmyndigheten. Anmälan skall innehålla vissa uppgifter (artikel 19), och tillsynsmyndigheten skall föra in uppgifter om anmälda behandlingar i ett offentligt register (artikel 21.1–2). Den som vill skall kunna få uppgifter även om behandlingen inte har anmälts till till- synsmyndigheten (artikel 21.3). Vissa särskilt riskfyllda behandlingar skall kontrolleras på förhand (artikel 20). I punkt 48 i ingressen anges att anmälningsförfarandet är avsett att göra behandlingens ändamål och viktigaste egenskaper allmänt kända för att sä- kerställa att behandlingen sker i enlighet med de nationella åtgärder som vidtas för att genomföra direktivet. 3.13.2Anmälningsplikt för alla automatiska behandlingar Medlemsstaterna är tvungna att föreskriva att den registeransvarige – eller dennes företrädare – skall underrätta tillsynsmyndigheten före genomfö- randet av N en behandling som helt eller delvis genomförs på automatisk väg eller N en serie av sådana automatiska behandlingar som har samma eller flera närbesläktade ändamål (artikel 18.1).