sou · GLB339d2 · 1998-01-01 00:00:00 — IT-utred- ningen har för övrigt redan föreslagit att den som tillhandahåller en tjänst för elektronisk förmedling av meddelanden skall informera användarna bl.a. om vem som tillhandahåller tjänsten och i vilken utsträckning in- komna meddelanden blir tillgängliga för andra användare.318 Det kan – särskilt mot bakgrund av att också i viss utsträckning före- slagit undantag från datalagen för elektroniska förmedlingstjänster – enligt vår mening finnas anledning att överväga om inte utredningens förslag borde kompletteras med en skyldighet att lämna information även i de hän- seenden som avses i EG-direktivet. 12.7.2.3Vilken information skall lämnas Av EG-direktivet följer att information skall lämnas om a)den persondataansvariges – och dennes eventuella företrädares – iden- titet, b)ändamålen med den behandling för vilka uppgifterna är avsedda, och c)all ytterligare information i den utsträckning informationen – med hän- syn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling. Med att information skall lämnas om den persondataansvariges identitet avses förmodligen att uppgift skall lämnas om namn och adress beträffande den fysiska eller juridiska person som är persondataansvarig. 318Se 4 § i den av utredningen föreslagna lagen om elektroniska förmedlingstjänster och SOU 1996:40 s. 186 ff. SOU 1997: 39 Innehållet i den nya persondatalagen 389 I direktivet finns vidare en exemplifiering av information enligt punkt c. Beträffande det fallet att uppgifterna samlas in från den registrerade själv anges som exempel N mottagarna eller de kategorier som mottar uppgifterna, N huruvida det är obligatoriskt eller frivilligt att besvara frågorna samt eventuella följder av att inte svara och N förekomsten av rättigheter att få tillgång till och att få rättelse av upp- gifter. För det fallet att uppgifterna hämtas in på något annat sätt anges som ex- empel N de kategorier av uppgifter som behandlingen gäller, N mottagarna eller de kategorier som mottar uppgifterna och N förekomsten av rättigheter att få tillgång till och att få rättelse av upp- gifter. Vi har i den föreslagna persondatalagen mer eller mindre ordagrant tagit in de grundläggande bestämmelserna om den information som skall lämnas (punkt a–c ovan); beträffande punkten c har vi dock – för att förtydliga – valt att tala om all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om in- formation. Avsikten är att de mer preciserade anvisningar om informa- tionslämnandet som kan behövas skall tas in i föreskrifter som utfärdas av regeringen eller Datainspektionen. Frågan om regeringens och Datainspek- tionens möjligheter att komplettera regleringen i den föreslagna person- datalagen har berörts i avsnitt 12.1.2. Det finns inte något krav på att informationen skall lämnas skriftligen. Det är dock den persondataansvarige som har att visa att varje registrerad har fått den information som krävs om det blir tvist om den saken, vilket kan antas medföra att de flesta väljer att om möjligt lämna informationen skriftligen och på en framträdande plats. Vi har tidigare nämnt att den persondataansvarige inte i något fall är skyl- dig att lämna information om sådant som den registrerade redan känner till. Av vad som anförs i avsnitt 12.7.4 framgår dessutom att bestämmelser om tystnadsplikt och sekretess gäller framför den föreslagna persondatalagen. 390 Innehållet i den nya persondatalagen SOU 1997: 39 För det fallet att personuppgifterna hämtas in från något annat håll än den registrerade själv finns det vidare i artikel 11.2 undantag från skyldigheten att informera. a)när det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor ansträngning att lämna information och b)när registreringen eller utlämnandet uttryckligen föreskrivs i författ- ning För dessa undantagsfall skall medlemsstaterna föreskriva lämpliga skyddsåtgärder. De två undantagen bör föras över till den föreslagna persondatalagen. Vi har dock – utan att någon saklig skillnad är avsedd – valt att i lagtext- förslaget tala om arbetsinsats i stället för ansträngning. I punkt 40 i ingressen till direktivet finns det vissa riktlinjer för bedöm- ningen av när det kan innebära en oproportionerligt stor ansträngning att lämna information (se avsnitt 3.9). Vår avsikt är att regeringen eller Data- inspektionen skall kunna närmare precisera när det kan anses att informa- tionslämnandet innebär en oproportionerligt stor arbetsinsats eller vad som krävs för att det skall anses visat att det är omöjligt att lämna information. I många författningar finns det föreskrifter om att uppgifter skall eller får registreras av t.ex. någon myndighet eller att vissa uppgifter skall eller får lämnas ut till vissa personer eller myndigheter. Den som enligt en sådan föreskrift har rätt eller skyldighet att registrera vissa uppgifter behöver inte lämna information när uppgifterna hämtas in (från annat håll än den regist- rerade själv). Inte heller den som enligt en sådan föreskrift har rätt att få ut vissa uppgifter behöver informera om sin (efterföljande) behandling av uppgifterna; däremot kan givetvis den som lämnar ut uppgifterna ha varit skyldig att lämna information i samband med att han eller hon samlade in uppgifterna (om inte något undantag gällde beträffande den insamlingen). Registreringen eller utlämnandet måste vara uttryckligen föreskrivet i författning. Offentlighetsprincipen innebär att vem som helst har rätt att få ut uppgifter från myndigheter. Enligt vår mening är de föreskrifter som utgör offentlighetsprincipen inte så preciserade i fråga om till vilka perso- ner uppgifterna skall lämnas ut eller vilka uppgifter som skall lämnas ut att de kan anses uppfylla kraven på en sådan uttrycklig föreskrift som avses i EG-direktivet. Den som hämtar in personuppgifter med stöd av offentlig- hetsprincipen måste således informera de registrerade om sin vidare be- handling av uppgifterna (om inte något annat undantag är tillämpligt). Däremot är enligt vår mening de bestämmelser som finns om arkivmyn- digheternas omhändertagande av arkivmaterial tillräckligt preciserade. SOU 1997: 39 Innehållet i den nya persondatalagen 391 en arkivmyndighet med stöd av författningsbestämmelser tar emot arkiv- material från myndigheter eller enskilda, behöver arkivmyndigheten såle- des inte informera de registrerade. För de fall där någon av de två undantagsreglerna är tillämplig skall medlemsstaterna föreskriva lämpliga skyddsåtgärder. När det finns bestämmelser om registreringen eller utlämnandet i en författning torde det finnas mekanismer eller föreskrifter i den aktuella för- fattningen som förhindrar missbruk och som får anses vara tillräckliga för att uppfylla direktivets krav på lämpliga skyddsåtgärder. Det är vidare en- ligt vår mening i alla fall bättre att i förekommande fall ta in regler om lämpliga skyddsåtgärder i den aktuella författningen än att försöka utforma en generell lösning i den föreslagna persondatalagen för alla de olika fall där det finns särskild författningsreglering. När det sedan gäller det fallet att det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats att lämna information verkar det vara nödvändigt att i den föreslagna persondatalagen – eller anslutande författningar – ta in bestämmelser om sådana lämpliga skyddsåtgärder som krävs enligt EG-direktivet. Enligt vår mening är det i detta hänseende till- räckligt att i den föreslagna persondatalagen föreskriva att information all- tid skall lämnas senast i samband med att de aktuella uppgifterna används för att vidta åtgärder beträffande de registrerade. Därmed finns det en ga- ranti för att den registrerade inte utsätts för en åtgärd utan att få reda på vil- ken uppgiftsbehandling som ligger bakom den. Om en persondataansvarig för utskick för direkt marknadsföring hämtat in uppgifter om så många personer att det skulle innebära en oproportionerligt stor arbetsinsats att informera dem alla redan när uppgifterna registreras, måste således infor- mation lämnas (senast) i de handlingar som sänds ut. 12.7.3På ansökan av den registrerade Enligt artikel 12 a skall medlemsstaterna säkerställa att varje registrerad har rätt att från den persondataansvarige få viss information. Informationen behöver – såsom direktivet måste tolkas – lämnas bara efter begäran från den registrerade. Informationen skall då lämnas N utan hinder, N med rimliga intervall, N utan större tidsutdräkt och N utan större kostnader. 392 Innehållet i den nya persondatalagen SOU 1997: 39 Den registrerade har för det första rätt att få bekräftelse på om uppgifter som rör honom eller henne behandlas eller inte. I övrigt – naturligen bara för det fallet att uppgifter om den registrerade behandlas – skall informa- tion lämnas om åtminstone N ändamålen med behandlingen, N de berörda uppgiftskategorierna, N mottagarna eller till vilka kategorier av mottagare som uppgifterna läm- nas ut, N vilka uppgifter som behandlas och N varifrån uppgifterna kommer. Informationen om vilka uppgifter som behandlas skall vara begriplig för den registrerade. När det gäller information om varifrån uppgifterna kommer, behöver den persondataansvarige bara lämna all den information som finns tillgänglig för honom eller henne; den persondataansvarige be- höver således inte hålla reda på varifrån uppgifterna har hämtats, men vet han eller hon det (fortfarande) när den registrerade begär information skall det uppges. Dessa bestämmelser har i princip förts över till den föreslagna person- datalagen. I samband därmed har vissa preciseringar gjorts, vilket får anses tillåtet enligt EG-direktivet. Vi föreslår således att det – i enlighet med vad som gäller be- träffande registerutdrag enligt 10 § datalagen – skall föreskrivas att den registrerades ansökan om information skall göras skriftligen hos den per- sondataansvarige och vara undertecknad av den registrerade själv. De före- slagna reglerna syftar till att skapa ordning och reda och garantera att det är den registrerade och inte någon annan som får tillgång till informatio- nen. De ytterligare bestämmelser som kan behövas beträffande ansökan, t.ex. att den skall innehålla uppgift om den registrerades namn och adress kan lämpligen ges av regeringen genom förordning. Sådana bestämmelser underlättar för den persondataansvarige att ta fram och distribuera infor- mationen. Vi föreslår vidare att den registrerade skall ha rätt att få information en gång per kalenderår och att informationen skall lämnas ut gratis. Om upp- gifter om den registrerade behandlas, skall informationen lämnas skriftli- gen. Informationen skall vidare som huvudregel lämnas inom en månad från det att ansökan gjordes. Det skall dock enligt vårt förslag vara tillåtet att lämna information bara vid tre över året jämnt fördelade tillfällen, om det finns särskilda skäl för det. Sådana särskilda skäl kan vara att person- SOU 1997: 39 Innehållet i den nya persondatalagen 393 uppgifterna är krypterade, att sökmöjligheterna annars är begränsade eller att den persondataansvarige har många personuppgifter uppdelade på olika register eller andra datasamlingar. När det gäller personuppgifter i löpande text som inte har fått sin slut- liga utformning, t.ex. i ett ordbehandlingsdokument under arbete, och per- sonuppgifter i löpande text som utgör minnesanteckning eller liknande finns det anledning att ha särskilda regler. Regleringen i 2 kap. TF – i såväl gällande som den lydelse vi föreslår – innebär att en myndighet inte är skyldig att på grund av offentlighetsprinci- pen lämna ut t.ex. utkast under arbete och minnesanteckningar eller liknan- de som inte skall bevaras för framtiden. Det är tydligt att en ordning som innebär att ofärdiga alster och minnesanteckningar eller liknande inte be- höver lämnas ut har goda skäl för sig på såväl den offentliga som den pri- vata sidan. Vi föreslår därför för det första att information inte skall behöva lämnas beträffande personuppgifter i löpande text som när ansökan om informa- tion gjordes inte har fått sin slutliga utformning. Har uppgifterna i den lö- pande texten behandlats som utan att texten färdig- ställts, får dock den registrerades intresse av att få ta del av sina uppgifter anses väga tyngre än den persondataansvariges intresse av att utan insyn få ytterligare fördröja färdigställandet av texten. Personuppgifter i löpande text som, när ansökan gjordes, har behandlats utan att texten har fått sin slutliga utformning bör därför lämnas ut, om inte den persondataansvarige väljer att i stället utplåna personuppgifterna i den ofärdiga texten. Den registrerade bör också ha rätt att få reda på uppgif- terna, om den persondataansvarige har spritt dem till utomstående. Infor- mation bör således lämnas om uppgifterna i den ofärdiga löpande texten redan har lämnats ut till tredje man när ansökan om information gjordes; har den persondataansvarige när ansökan görs inte längre kvar de utläm- nade uppgifterna, kan information givetvis inte lämnas. Vi föreslår för det andra att information inte skall behöva lämnas be- träffande personuppgifter i löpande text som utgör minnesanteckning eller liknande, t.ex. en föredragningspromemoria, under förutsättning att per- sonuppgifterna, när ansökan gjordes, inte har lämnats ut till tredje man. De minnesanteckningar eller liknande som det finns goda skäl för att undanta från den registrerades insyn är sådana som används för att förbereda ett ärende eller liknande för avgörande. Sparas sådana handläggningshjälpme- del sedan ärendet har avgjorts eller annars slutbehandlats, bör den registre- rade få ta del av uppgifterna på motsvarande sätt som allmänheten har rätt 394 Innehållet i den nya persondatalagen SOU 1997: 39 att ta del av uppgifter i myndigheters minnesanteckningar eller liknande vilka tagits om hand för arkivering. Information bör således lämnas be- träffande personuppgifter i minnesanteckningar eller liknande som, när an- sökan gjordes, bara behandlas för historiska, statistiska eller vetenskapliga ändamål. Vi har inte ansett det nödvändigt med någon definition i den föreslagna persondatalagen av begreppet löpande text. Med detta begrepp avses det- samma som enligt den av föreslagna lagen om elektroniska förmedlingstjänster, dvs. information som inte har strukture- rats så att sökning av personuppgifter underlättas.319 Det bör påpekas att våra förslag innebär att en registrerad i vissa fall kan ha rätt att med stöd av den föreslagna persondatalagen få ta del av upp- gifter om sig själv som allmänheten inte har rätt att få ta del av med stöd av offentlighetsprincipen enligt 2 kap. TF; den registrerade har i viss utsträck- ning rätt att få del av uppgifter som inte är allmänna. Men när handlingen med informationen om uppgifterna har expedierats till den registrerade, blir uppgifterna å andra sidan genast allmänna och tillgängliga för var och en i den utsträckning sekretess inte gäller. Det kan vidare inte anses obefo- gat att den som uppgifterna rör i vissa fall har rätt att få ta del av dessa tidi- gare än allmänheten. Härtill kommer att vi med hänsyn till EG-direktivet inte har ansett oss kunna gå ännu längre när det gäller att begränsa den re- gistrerades grundläggande rätt att få ta del av sina uppgifter även om dessa finns i löpande text. Avsikten är att regeringen eller Datainspektionen skall kunna meddela de närmare föreskrifter som kan behövas rörande informationslämnandet. Frågan om regeringens och Datainspektionens möjligheter att komplettera regleringen i den föreslagna persondatalagen har berörts i avsnitt 12.1.2. I vissa fall har en persondataansvarig så många olika samlingar av per- sonuppgifter och så dåliga sökmöjligheter att det i praktiken är omöjligt att få fram alla uppgifter om den registrerade som behandlas. Arkivmyndighe- terna, som tar emot samlingar av uppgifter med olikartad struktur från många håll, kan vara ett exempel. För t.ex. en persondataansvarig myndighet kan vidare enligt särskild registerförfattning gälla sökbegränsningar. Även om det vore tekniskt möjligt, får myndigheten inte i dessa fall utföra vissa sökningar. 319 Se SOU 1996:40 särskilt s. 165 ff. SOU 1997: 39 Innehållet i den nya persondatalagen 395 EG-direktivet kan inte anses kräva att en persondataansvarig ordnar sina uppgiftssamlingar på ett sådant sätt att det är möjligt att söka fram alla uppgifter om en registrerad som behandlas. Ett införande eller tillåtande av sådana sök- och sammanställningsmöjligheter, som inte behövs av något annat skäl, skulle i själva verket kunna hota den personliga integriteten; det skulle då bli enkelt att kartlägga en person. Enligt vår mening är det inte rimligt att utforma informationsskyldighe- ten på ett sådant sätt att den tvingar fram förfaranden som i själva verket kan hota den personliga integriteten. Den persondataansvarige bör, som vi ser det, bara vara skyldig att utnyttja alla de sök- och sammanställnings- möjligheter som han eller hon faktiskt och rättsligt har tillgång till för att få fram information att lämna till den registrerade. Därmed garanteras att den registrerade får tillgång till all information som den persondataansvarige faktiskt kan få fram om den registrerade, vilket måste anses tillräckligt; inte ens EG-rätten kan tvinga någon att göra det som i praktiken är omöjligt. Den som har en stor mängd ordbehandlingsdokument och som bara har en funktion för att söka i öppnade dokument kan exempelvis i praktiken inte få fram alla uppgifter om en person som kan finnas i dokumenten. En persondataansvarig med hundratals anställda med persondatorer vilka kan sökas igenom en och en kan inte heller i praktiken söka fram de person- uppgifter som kan finnas i alla datorerna, om det inte finns några mera centraliserade sökmöjligheter. Möjligheterna att söka bland datorlagrade uppgifter utvecklas dock ständigt, och det finns i standardpro- gram funktioner för att snabbt söka igenom alla dokument på en hårddisk eller via nät efter viss text, t.ex. ett namn eller personnummer. Med den föreslagna ordningen kommer den registrerades rätt att få information att utvidgas i precis samma takt som de persondataansvarigas möjligheter att göra integritetskänsliga sökningar och sammanställningar utvecklas. Det finns inte anledning att driva på utvecklingen och användningen av möjlig- heterna att göra känsliga sammanställningar. En persondataansvarig som behandlar många personuppgifter i olika konstellationer, exempelvis , kan med den före- slagna ordningen ändå behöva göra stora ansträngningar för att pröva alla sök- och sammanställningsmöjligheter som faktiskt finns. Men den som samlar på sig stora mängder personuppgifter får som regel finna sig i att också behöva göra stora ansträngningar för att kunna tillgodose de regist- rerades grundläggande rättigheter. 396 Innehållet i den nya persondatalagen SOU 1997: 39 Ett särskilt problem i integritetshänseende utgör emellertid det mer eller mindre unika svenska systemet med särskilda arkivmyndigheter, där otroliga mängder personuppgifter samlas på ett ställe. har exempelvis tagit emot ungefär 5 000 statistikregister från och dessutom tusentals dataregister från andra myndigheter, t.ex. skattemyndigheterna och universiteten; härtill kommer allt pappers- material med personuppgifter som har strukturerats på ett sådant sätt att det utgör register i den föreslagna persondatalagens mening. Hos förvaras registren oftast i ett särskilt format, och det tar från till en hel arbetsdag att göra ett enda register läsbart; härtill kommer en hanteringstid för att plocka fram och sätta tillbaka datamedierna. Att söka igenom bara alla de datoriserade personregister som samlats hos skulle förmodligen ta , även om all arkivpersonal hjälpte till. Skyldigheten att lämna registerutdrag enligt 10 § datalagen gäller inte för uppgifter i personregister som har tagits emot för förvaring av en arkivmyndighet (10 § 3 st. datalagen). Undantaget har motiverats just av att en tillämpning av 10 § datalagen skulle få betydande negativa kon- sekvenser för arkivmyndigheternas verksamhet som enskilda med stöd av offentlighetsprincipen kan få del av sina uppgifter (om de kan precisera sin begäran).320 Det kan inte anses ligga inom ramen för vårt uppdrag att av integritets- hänsyn lämna förslag till en uppsplittring av de omfattande persondata- mängder som har samlats hos arkivmyndigheterna. Vi måste därför hitta en annan lösning på problemet att arkivmyndigheterna inte en gång kan på begäran lämna information till registrerade, eftersom det förmodligen tar att ta fram informationen. En användbar lösning är att föreskriva att den registrerade i sin ansökan till en arkivmyndighet måste uppge vilken arkivbildare (dvs. i praktiken oftast ursprungsmyndigheten) och vilket register eller liknande ansökan avser. En ansökan som inte preciserats på detta sätt skulle arkivmyndighe- ten inte vara skyldig att efterkomma. Denna lösning tillgodoser på ett bättre sätt än det rena undantag som finns såväl de registrerades som arkivmyndigheternas intressen. Den föreslagna regleringen innebär i prak- tiken inte heller i fråga om arbete för en arkivmyndighet mera än vad de registrerade (och även med vårt förslag beträffande offentlig- 320 Se prop. 1981/82:189 s. 35 ff. SOU 1997: 39 Innehållet i den nya persondatalagen 397 hetsprincipen i IT-samhället) kan kräva av myndigheten med stöd av offentlighetsprincipen. Det nu sagda bör givetvis gälla bara beträffande arkivmaterial som ar- kivmyndigheten har tagit emot för förvaring; arkivmyndigheterna bör så- ledes vara skyldiga att, liksom varje annan persondataansvarig, på begäran lämna information om den behandling av personuppgifter som så att säga sker för arkivmyndighetens egen räkning, t.ex. avseende register över myndighetens personal. När annan än arkivmyndighet använder arkivma- terialet på sådant sätt att denne blir persondataansvarig, t.ex. när lånar tillbaka ett statistikregister, gäller de vanliga reglerna för honom eller henne. Vi föreslår att det i persondatalagen tas in ett uttryckligt bemyndigande för regeringen att meddela föreskrifter om vad en ansökan skall innehålla. De detaljregler som behövs för att undvika orimliga konsekvenser för ar- kivmyndigheterna kan således lämpligen meddelas av regeringen genom förordning. I avsnitt 11.6.7 berörs närmare frågan om registerutdrag i samband med behandling för forskning och statistik. 12.7.4Förhållandet till bestämmelser om sekretess och tystnadsplikt Enligt artikel 13 i EG-direktivet får medlemsstaterna i sin lagstiftning göra nödvändiga begränsningar i rätten för den registrerade att få information med hänsyn till skyddet av den registrerades eller andras fri- och rättighe- ter. Skyldigheten enligt 10 § datalagen att lämna registerutdrag gäller inte uppgifter som enligt lag eller annan författning eller enligt myndighets beslut som har meddelats med stöd av författning inte får lämnas ut till den registrerade (10 § 3 st. datalagen). De bestämmelser om sekretess och tystnadsplikt som finns i får anses vara uppställda till skydd för sådana fri- och rättigheter som avses i direktivet.321 hindrar sådana bestämmelser att den registrerade får tillgång till vissa uppgifter om sig själv.322 Enligt vår mening är det nöd- 321Detta får anses gälla även t.ex. bestämmelsen i 7 kap. 20 § försäkringsrörelselagen (1982:713) om att förmånstagare till försäkring i vissa fall inte har rätt att i förväg av försäkringsbolaget få veta att han eller hon verkligen är förmånstagare. 322Se t.ex. 7 kap. 3 § sekretesslagen. 398 Innehållet i den nya persondatalagen SOU 1997: 39