sou · GLB339d2 · 1998-01-01 00:00:00 — I enlighet med vad som gäller enligt datalagen bör persondataom- budet vidare ha till uppgift att hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga, missvisande eller ofullständiga. Persondataombudet bör också – i enlighet med vad som krävs enligt EG-direktivet – ha till uppgift att föra en förteckning över de behandlingar som den persondataansvarige genomför och som skulle ha omfattats av anmälningsskyldighet om ombudet inte hade funnits. Denna förteckning skall omfatta alla de uppgifter som en anmälan skulle ha innehållit. För- teckningen kan föras manuellt eller med hjälp av dator. Persondataombud inom det allmänna har beträffande förteckningen att följa de bestämmelser som gäller om allmänna uppgifter. Ombud på den privata sidan bör spara anteckningar i förteckningen om behandlingar så länge som de behandlade personuppgifterna inte har förstörts eller avidentifierats. När uppgifter om tillsättandet av ett persondataombud offentliggjorts, behöver den persondataansvarige som nämnts inte anmäla de behandlingar som genomförs till Datainspektionen. Några andra lättnader i fråga om den persondataansvariges skyldigheter enligt den föreslagna persondatalagen innebär dock inte tillsättandet av ett persondataombud. Skulle den persondataansvarige utse ett persondataombud som inte är tillräckligt självständigt eller som inte på ett tillfredsställande sätt utför de uppgifter som ankommer på ombudet, kan Datainspektionen ingripa ge- nom att kräva – ytterst genom att vite föreläggs – att de behandlingar som genomförs anmäls. Om en behandling inte genomförs i enlighet med de föreskrifter som gäller, kan inspektionen givetvis ingripa mot det missför- hållandet oavsett om behandlingen har anmälts eller inte och oavsett om det finns eller inte finns ett persondataombud. Frågan om Datainspektio- nens befogenheter berörs närmare i avsnitt 12.14.1. Den persondataansvarige är givetvis ansvarig i fråga om de behand- lingar han eller hon utför även när ett persondataombud utsetts och be- handlingarna granskats av denne. Det är t.ex. den persondataansvarige och inte persondataombudet som kan komma att åläggas skadeståndsskyldighet gentemot registrerade. I vad mån den persondataansvarige kan få er- 430 Innehållet i den nya persondatalagen SOU 1997: 39 sättning för t.ex. utbetalade skadestånd av ett försumligt persondataombud följer av det avtal som kan finnas med ombudet och allmänna regler. 12.12.2.5Förhandskontroll av särskilt integritetskänsliga behandlingar Enligt EG-direktivet skall medlemsstaterna bestämma vilka behandlingar som kan innebära särskilda risker för den registrerades rättigheter och sä- kerställa att dessa behandlingar kontrolleras innan de påbörjas. Det är till- synsmyndigheten som skall utföra förhandskontrollen sedan en anmälan kommit in. Det är dock i enlighet med vad som närmare framgår av direk- tivet tillåtet för medlemsstaterna att i stället utföra förhandskontrollen som ett led i lagstiftningsprocessen. I kan en sådan förhandskontroll som avses i EG-direktivet sä- gas ske i samband med att särskilda registerförfattningar beslutas av riks- dagen eller regeringen. Detta får anses gälla även i de fall då en registerför- fattning införs beträffande ett befintligt register. Någon särskild författ- ningsreglering behövs inte i fråga om den förhandskontroll som sker i samband med att särskilda registerförfattningar beslutas. Av vad som an- förs i avsnitt 8.2.3 framgår att Datainspektionen skall höras i samband med att sådana författningar beslutas. Däremot kräver EG-direktivet att det införs bestämmelser om vilka be- handlingar som annars skall kontrolleras på förhand; det skulle som vi ser det vara oförenligt med EG-direktivet att införa en bestämmelse om att inga behandlingar måste kontrolleras på förhand. Uppgiften att bestämma vilka behandlingar som skall kontrolleras på förhand kan enligt vår mening lämpligen anförtros åt regeringen. Vi har därför i vårt förslag till persondatalag tagit in ett bemyndigande för rege- ringen att bestämma att vissa behandlingar av personuppgifter som kan innebära särskilda risker för otillbörligt intrång i den personliga integrite- ten skall för förhandskontroll anmälas till Datainspektionen i förväg. Har regeringen bestämt att en viss behandling skall kontrolleras på förhand, måste sådana behandlingar givetvis anmälas även om den person- dataansvarige annars skulle vara undantagen från anmälningsskyldigheten därför att det finns ett persondataombud. Som exempel på behandling som kan behöva kontrolleras på förhand kan nämnas behandling av uppgifter om genetiska anlag. Av vad som an- förs i avsnitt 11.6.3.4 framgår vidare att vi föreslår att det genom förord- ning införs en obligatorisk skyldighet att för förhandskontroll anmäla så- SOU 1997: 39 Innehållet i den nya persondatalagen 431 dana – automatiska eller icke automatiska – behandlingar av känsliga per- sonuppgifter för forsknings- eller statistikändamål som utförs utan sam- tycke av de registrerade och utan att projektet har godkänts av en forsk- ningsetisk kommitté. Om Datainspektionen vid sin förhandskontroll kommer fram till att personuppgifter kan komma att behandlas på ett olagligt sätt, kan inspek- tionen ingripa, ytterst genom att vid vite förbjuda den persondataansvarige att påbörja behandlingen (se närmare om Datainspektionens befogenheter avsnitt 12.14.1.2). 12.12.2.6Upplysningar skall på begäran lämnas om behandlingar som inte anmälts Enligt EG-direktivet skall den persondataansvarige till var och en som be- gär det på lämpligt sätt lämna viss information om sådana behandlingar som inte omfattas av anmälningsplikt. Denna bestämmelse har förts över till förslaget till persondatalag. Där finns således en bestämmelse om att den persondataansvarige skall till var och en som begär det skyndsamt och på lämpligt sätt lämna upplysningar om sådana automatiska eller andra behandlingar som inte har anmälts till Datainspektionen. Upplysningarna skall – i enlighet med vad som krävs enligt EG-direktivet – omfatta det som en anmälan till Datainspektionen skulle ha omfattat, dock att upplysningar aldrig behöver lämnas om vid- tagna säkerhetsåtgärder. Det krävs inte att upplysningarna lämnas skriftligen. De kan således lämnas muntligen, om det är lämpligt. I den utsträckning den persondataansvarige har anmält sina behand- lingar till Datainspektionen behöver han eller hon inte lämna allmänheten upplysningar enligt denna bestämmelse. Den persondataansvarige kan då i stället hänvisa den som frågar till Datainspektionen. 12.12.2.7Datainspektionens register över anmälda behandlingar Enligt EG-direktivet skall medlemsstaterna föreskriva att tillsynsmyndig- heten är skyldig att föra ett allmänt register med vissa uppgifter över de behandlingar som har anmälts. Enligt vår mening kan Datainspektionens förande av ett register över anmälda behandlingar lämpligen, liksom , regleras i en av regeringen utfärdad förordning. Vi har därför inte tagit med några bestämmelser om det registret i vårt förslag till persondatalag. 432 Innehållet i den nya persondatalagen SOU 1997: 39 Den registrerade bör ha rätt till ersättning av den persondataansvarige för den skada som en behandling av personuppgifter i strid med den före- slagna persondatalagen eller anknytande författningar för med sig. Också ideellt skadestånd bör betalas för den kränkning av den personliga integri- teten som behandlingen har inneburit. Det bör finnas möjlighet att jämka ersättningsskyldigheten när den felaktiga behandlingen bevisligen inte be- rodde på den persondataansvarige. Den som lämnar osanna uppgifter i in- formation eller anmälan enligt den föreslagna persondatalagen bör straffas med böter eller fängelse eller, om brottet är grovt, fängelse i högst . I artikel 22–24 i EG-direktivet finns bestämmelser om sanktioner för brott mot de nationella bestämmelser som inför direktivet. Bestämmelserna har berörts i avsnitt 3.15. Var och en skall för det första ha rätt att föra talan inför domstol om kränkningar av sina rättigheter. Den som har lidit skada till följd av en otillåten behandling eller någon annan åtgärd som är oförenlig med be- stämmelserna om behandlingen skall vidare ha rätt till ersättning av den persondataansvarige för den lidna skadan. Den persondataansvarige kan dock helt eller delvis befrias från sin ersättningsskyldighet, om han eller hon bevisar att han eller hon inte var ansvarig för den händelse som orsa- kade skadan. Det finns dessutom en skyldighet för medlemsstaterna att anta lämpliga bestämmelser för att säkerställa att direktivet genomförs fullständigt. Medlemsstaterna skall därvid särskilt besluta om de sanktioner som skall användas vid överträdelse av bestämmelserna om behandling. SOU 1997: 39 Innehållet i den nya persondatalagen 433 I datalagen finns bestämmelser om straff – som regel böter eller fängelse i högst – för den som uppsåtligen eller av oaktsamhet bryter mot en rad bestämmelser i lagen (20 §). Det är således kriminaliserat att N inrätta eller föra ett personregister utan licens eller tillstånd när detta krävs, N bryta mot Datainspektionens föreskrifter om ändamålet med ett tillståndspliktigt personregister inhämtande av uppgifter för personregistret vilka personuppgifter som får ingå i personregistret utförandet av den automatiska databehandlingen de bearbetningar av personuppgifterna i personregistret som får göras med automatisk databehandling underrättelse till berörda personer de personuppgifter som får göras tillgängliga utlämnande och annan användning av personuppgifter bevarande och gallring av personuppgifter rättelse och andra åtgärder i fråga om oriktiga och missvisande uppgifter, N bryta mot ett av Datainspektionen meddelat förbud mot fortsatt förande av personuppgifter (dock inte om inspektionen förenat förbudet med vite), N lämna ut personuppgift, trots att det funnits anledning att anta att uppgif- ten skulle användas för automatisk databehandling i strid med datalagen, N lämna ut personuppgift utan Datainspektionens medgivande, trots att det funnits anledning att anta att uppgiften skulle användas för automatisk databehandling i utlandet (dock inte om uppgiften skall användas för au- tomatisk databehandling enbart i en stat som anslutit sig till Europarå- dets konvention), N inte anmäla till Datainspektionen att förandet av ett personregister har upphört, N i ett personregister ha kvar personuppgift, som kan hänföras till den som avses med uppgiften, trots att uppgiften inte längre behövs med hänsyn till ändamålet med registret eller trots att den registeransvarige upphört att föra personregistret (dock inte om uppgiften enligt lag eller annan författning eller enligt myndighets beslut, som har meddelats med stöd av lag, skall bevaras), N lämna osann uppgift till en registrerad om att han eller hon inte före- kommer i ett personregister, 434 Innehållet i den nya persondatalagen SOU 1997: 39 N lämna osann uppgift (i ett registerutdrag) till en registrerad om inne- hållet i personuppgift som ingår i personregister och som innefattar upplysning om honom eller henne, N lämna osann uppgift i fråga om en myndighets rätt att sälja uppgifter ur ett personregister, N lämna osann uppgift när Datainspektionen för sin tillsyn begär uppgifter rörande automatisk databehandling, N inte föra en s.k. registerförteckning med vissa uppgifter, N inte hålla registerförteckningen tillgänglig för Datainspektionen och N inte ge in registerförteckningen till Datainspektionen när inspektionen begär det. Den registeransvarige är också ansvarig för skada som tillfogas någon ge- nom ett sådant brott och för sådan skada som tillfogas en registrerad ge- nom att ett personregister innehåller en oriktig eller missvisande uppgift. Skadeståndsansvaret är rent strikt. Det krävs alltså inte – såvitt avser orik- tiga eller missvisande uppgifter i personregister – att den registeransvarige ville skada någon (hade uppsåt) eller att han eller hon varit slarvig (visat oaktsamhet), utan ansvaret uppkommer bara därför att den registrerade skadats genom att registret innehållit en felaktig uppgift. Den registeran- svarige är ersättningsskyldig inte bara för ekonomisk skada utan också för ideell skada, dvs. hänsyn skall tas även till lidande och andra omständighe- ter av annan än rent ekonomisk betydelse. (23 §.) föreslog att de bestämmelser som finns i datala- gen skulle föras över i princip oförändrade till den nya datalag som utred- ningen föreslog.328 Regeringen har till oss överlämnat en skrivelse från om översyn av 23 § datalagen.329 Bakgrunden till förbundets skrivelse är det rättsfall som finns refererat i NJA 1994 A 3. I det rättsfallet fick en per- son ideellt skadestånd med för det att ett landsting hade i ett per- 328Se avsnitt 19.2 i SOU 1993:10. 329Regeringsbeslut , dnr Ju 95/4244. SOU 1997: 39 Innehållet i den nya persondatalagen 435 sonregister tagit in oriktiga uppgifter om att han var intagen på sjukhus; den person som egentligen var intagen hade utnyttjat hans personuppgifter. Den föreslagna lagen syftar till att skydda människor mot otillbörligt in- trång i den personliga integriteten vid behandling av personuppgifter. Rätten till personlig integritet är en immateriell rättighet. När den rättighe- ten kränks, behöver det inte uppkomma någon ekonomisk skada. Därför bör den enskilde, som drabbas av en olaglig behandling, liksom ha rätt till ekonomisk kompensation för själva kränkningen förutom rätt till ersättning för personskada, sakskada och ren förmögenhetsskada.330 Det kan inte anses oförenligt med EG-direktivet att införa en skyldighet att betala även skadestånd för kränkningen. Datalagen innebär att ersättning skall utgå för oriktiga eller missvisan- de uppgifter samt för vissa brott enligt datalagen. EG-direktivet kräver att det i föreskrivs att alla åtgärder som är oförenliga med de svenska bestämmelser som inför direktivet kan leda till skadeståndsskyldighet. Er- sättningsskyldigheten är alltså mer vidsträckt enligt direktivet. Å andra si- dan är datalagens skadeståndsansvar strikt medan EG-direktivet ger den persondataansvarige en möjlighet att helt eller delvis undgå skadestånds- ansvar om han eller hon bevisar att han eller hon inte är ansvarig för den händelse som orsakade skadan. I överensstämmelse med EG-direktivet föreslår vi att den persondata- ansvarige skall ersätta den registrerade för skada som en behandling av personuppgifter i strid med lagen – eller föreskrifter som meddelats med stöd av lagen – har fört med sig. Som nämnts skall ersättning också betalas för den kränkning av den personliga integriteten som behandlingen har inneburit, något som stämmer överens med datalagens skadeståndsbe- stämmelser. Genom de föreslagna skadeståndsbestämmelserna får enskilda på det sätt EG-direktivet förutsätter möjlighet att vid (allmän) domstol föra talan om kränkningar av alla de rättigheter som direktivet och den svenska lagstiftning som inför direktivet ger enskilda. Å andra sidan och eftersom detta innebär en viss utvidgning av rätten till skadestånd enligt datalagen, 330 Jämför prop. 1986/87:116 s. 22. 436 Innehållet i den nya persondatalagen SOU 1997: 39 anser vi att de möjligheter som EG-direktivet ger till jämkning av skade- ståndet bör utnyttjas. Eftersom dessa möjligheter inte har något att göra med jämkningsreglerna i skadeståndslagen, krävs särskilda bestämmelser härom i persondatalagen. Skadeståndsansvaret bör omfatta persondataansvariga inom såväl den privata som offentliga sektorn. Skadeståndet för kränkningen bör uppskattas efter skälighet mot bak- grund av samtliga omständigheter i det aktuella fallet. Därvid bör beaktas bl.a. sådana faktorer som om det funnits risk för otillbörlig spridning av känsliga eller felaktiga uppgifter och om den registrerade på grund av den felaktiga behandlingen blivit utsatt för något beslut eller några åtgärder som kunnat innebära något negativt för honom eller henne. Har den regist- rerade själv lämnat en oriktig, missvisande eller ofullständig uppgift till den persondataansvarige, kan den persondataansvariges behandling av denna uppgift givetvis inte anses innebära någon sådan kränkning av den personliga integriteten som bör föranleda skadestånd för kränkning. Ska- deståndet för kränkning bör i princip fastställas för varje kränkt registrerad för sig. är skadeståndsansvaret – såvitt avser oriktiga eller missvisande upp- gifter i personregister – rent strikt. I enlighet med regeln i artikel 23.2 i EG-direktivet bör det dock enligt vår mening införas en möjlighet att helt eller delvis jämka skadeståndet, om den persondataansvarige kan visa att den felaktiga behandlingen inte berodde på honom eller henne. Jämkning bör emellertid ske bara i den utsträckning det är skäligt. Skadeståndsansvaret bör således även med den föreslagna persondata- lagen i princip vara rent strikt, men det bör – för att undvika oskäliga resul- tat – införas en möjlighet till jämkning i de fall den persondataansvarige kan visa att felet inte beror på honom eller henne. Därmed kan en nyanse- rad bedömning göras i sådana fall där den persondataansvarige bevisligen har gjort så gott han eller hon kunnat, bl.a. i sådana situationer som har pekat på i sin skrivelse. Eftersom ansvaret fortfarande bör vara i princip rent strikt, behöver den registrerade liksom bara bevisa att det från den persondataansvari- ges sida har förekommit en felaktig behandling av den registrerades per- sonuppgifter och att denna behandling har skadat honom eller henne. Där- efter bör det vara upp till den persondataansvarige att bevisa att den felak- SOU 1997: 39 Innehållet i den nya persondatalagen 437 tiga behandlingen inte berodde på honom eller henne. Lyckas den person- dataansvarige med detta, får i sista hand en domstol eller skiljenämnd med vårt förslag bedöma huruvida och i vilken utsträckning det kan vara skäligt att skadeståndet sätts ned. Den persondataansvarige bör gentemot den registrerade i och för sig ansvara för all den behandling som han eller hon har ansvaret för, även när ett persondatabiträde eller annan hjälp anlitas. Ett fel av t.ex. ett anlitat per- sondatabiträde bör således anses bero på den persondataansvarige. En annan sak är att den persondataansvarige i allmänhet kan få ersättning av ett försumligt persondatabiträde för skadestånd som måste betalas till re- gistrerade; däremot kan den persondataansvarige som regel inte med fram- gång kräva försumliga arbetstagare på någon ersättning.331 I punkt 55 i ingressen till EG-direktivet anges som exempel på fall där den persondataansvarige kan befrias från ersättningsskyldighet att ett fel har begåtts av den registrerade och att det är fråga om force majeure. När det är den registrerade som t.ex. har lämnat felaktiga uppgifter vil- ket lett till en felaktig behandling, kan den felaktiga behandlingen i all- mänhet inte anses bero på den persondataansvarige. Om det är den regist- rerade som, t.ex. genom att lämna oriktiga uppgifter, har föranlett en fel- aktig behandling, kan det vara skäligt att helt befria den persondataansva- rige från ansvar för skada som dennes användning av uppgifterna kan ha förorsakat den registrerade. En felaktig behandling som beror på felaktigheter i den utrustning som den persondataansvarige ansvarar för får som regel anses bero på den per- sondataansvarige. Bara i särpräglade fall kan den persondataansvarige an- ses oskyldig till den felaktiga behandlingen, t.ex. om uppgifter på ett helt oförutsett vis förvanskas till följd av ett blixtnedslag eller avbrott eller fel- aktigheter i ett publikt datanätverk. I sådana fall av helt oförutsedda hän- delser kan det vara skäligt att mildra ansvaret. En felaktig behandling av den persondataansvarige som beror på att han eller hon har hämtat in felaktiga uppgifter från någon annan person- dataansvarig kan inte anses bero på den persondataansvarige, om han eller hon inte hade någon anledning att misstänka att uppgifterna var felaktiga. I vilken utsträckning ansvaret för den persondataansvarige skall mildras i sådana fall bör således vara en skälighetsfråga. Har den persondataansva- rige t.ex. hämtat in tusentals adressuppgifter från någon vanligtvis tillför- 331 Se 4 kap. 1 § skadeståndslagen (1972:207). 438 Innehållet i den nya persondatalagen SOU 1997: 39 litlig källa, exempelvis ett allmänt register såsom statens person- och adressregister, kan det vara skäligt att mildra ansvaret; det kan då inte rim- ligen krävas att den persondataansvarige skulle ha kontrollerat alla adresser. Om den persondataansvarige däremot har hämtat uppgifter från en källa som framstår som otillförlitlig, kan bedömningen bli en annan. Har en myndighet fått in uppgifter på grund av uppgiftsskyldighet för en- skilda som är föreskriven i författning, får myndigheten emellertid som regel anses ha haft anledning att lita på uppgifterna. En felaktig behandling på grund av att personuppgifterna utan den per- sondataansvariges instruktioner har kommit ut till utomstående, t.ex. ge- nom ett brottsligt intrång i ett datasystem, kan inte anses bero på den per- sondataansvarige, om denne i enlighet med bestämmelserna i lagstift- ningen har en lämplig säkerhetsnivå och intrånget har kunnat komma till stånd genom att angriparen varit beredd att satsa extremt mycket för att komma åt informationen. Då kan det vara skäligt att mildra ansvaret. Har den persondataansvarige å andra sidan försummat säkerheten, får den fel- aktiga behandlingen anses bero på honom eller henne. Vid den skälighetsbedömning som bör göras i de fall där den felaktiga behandlingen bevisligen inte beror på den persondataansvarige bör beaktas också den registrerades behov av skadestånd och den persondataansvariges förmåga att betala skadestånd. Om den registrerade drabbas av en stor ekonomisk skada till följd av att hans eller hennes personuppgifter har be- handlats felaktigt, kan det vara skäligt att den som är ansvarig för behand- lingen får ersätta åtminstone en viss del av skadan, trots att den felaktiga behandlingen egentligen inte berodde på honom eller henne. Å andra sidan bör en skadebringande felaktig behandling som t.ex. en småföretagare egentligen är oskyldig till som regel inte skäligen föranleda en sådan er- sättningsskyldighet att företaget går i konkurs eller får allvarliga ekono- miska svårigheter. Storleken av skadeståndet för kränkningen bör, som nämnts, redan från början uppskattas efter skälighet mot bakgrund av samtliga omständigheter i det aktuella fallet. I allmänhet finns därför inte anledning att tillämpa jämkningsregeln på sådan ersättning. I det fallet att en viss felaktig be- handling har omfattat uppgifter om många människor, bör man dock vid skälighetsbedömningen såvitt avser skadeståndet för kränkning kunna ta hänsyn till att det samlade skadeståndet för den persondataansvarige inte SOU 1997: 39 Innehållet i den nya persondatalagen 439 blir orimligt stort332; på det sättet kan den föreslagna jämkningsregeln få betydelse också för det ideella skadeståndet för kränkning. 12.13.2.3Förhållandet till andra skadeståndsbestämmelser De föreslagna skadeståndsbestämmelserna i persondatalagen utgör sådana specialbestämmelser som tar över de allmänna skadeståndsregler som finns i skadeståndslagen (1972:207), se 1 kap. 1 § i den lagen. Eftersom huvudregeln enligt skadeståndslagen är att ersättning för ren förmögen- hetsskada utgår när sådan vållas genom brott och då vårt förslag (se avsnitt 12.13.2.4) innebär en omfattande avkriminalisering utan att vi avser att härigenom åstadkomma en ändring av skadeståndsansvaret, bör i personda- talagen anges att ersättning utgår även för ren förmögenhetsskada.