sou · GLB339d1 · 1998-01-01 00:00:00 — statsrådet och chefen för Vid sitt sammanträde beslutade regeringen att tillkalla en parlamentariskt sammansatt kommitté med uppgift att lägga fram förslag till en ny lag om skydd för personuppgifter och förslag till ändringar i tryckfrihetsförordningens bestämmelser om allmänna hand- lingars offentlighet (dir. 1995:91). förordnade chefen för , stats- rådet , justitierådet till ordförande i kommittén. förordnades som ledamöter i kommittén N advokaten (), N universitetslektorn (), N riksdagsledamoten (), N riksdagsledamoten (), N riksdagsledamoten (), N riksdagsledamoten (), N utredningsledaren (), N riksdagsledamoten (), N riksdagsledamoten (), N riksdagsledamoten () och N riksdagsledamoten (). har ersatts av fil.lic. Som experter har arbetat ombudsmannen , advokaten , universitetslektorn , verkställande direktören , departementssekreteraren , gene- raldirektören , hovrättsassessorn Per , överdirektören , departementsrådet , professorn , bolagsjuristen , chefsjuristen , professorn , kanslirådet , professorn och datarådet . Per har –arbetat på heltid för kommittén med ett underlag avseende allmänna handlingars offentlig- het. Till sekreterare förordnades hovrättsassessorer- na , , och , . Kommittén (Ju 1995:08) har antagit namnet . professorn , , Universite- tet i , och doktoranden , medicin, , har anlitats som konsulter i fråga om be- greppet personlig integritet respektive allmänhetens inställning till be- handling av personuppgifter. Deras rapporter finns fogade som bilagor till betänkandet. Härmed får kommittén överlämna betänkandet Integritet Offentlighet Informationsteknik (SOU 1997:39). Reservationer har lämnats av (), () och () gemensamt samt av (). Särskilda yttranden har lämnats av () och av , med instämmande av , av , , samt av . Utredningsarbetet är härmed avslutat. EN NY PERSONDATALAG.................................................................... Gällande rätt i huvuddrag ........................................................................................ förslag och utvecklingen därefter ......................................... EG-direktivet om personuppgifter ......................................................................... Övriga internationella regler.................................................................................. Reglering av bruk eller missbruk........................................................................... En teknikoberoende och generell persondatalag.................................................... Förhållandet till särskilda registerförfattningar ..................................................... Förhållandet till offentlighetsprincipen ................................................................. Förhållandet till yttrandefriheten ........................................................................... Forskning och statistik........................................................................................... Innehållet i den nya persondatalagen ..................................................................... Regler i datalagen som bör flyttas till andra lagar ................................................. a) Förslag till Persondatalag (1998:000) ............................................ b) Förslag till Lag om ändring i Tryckfrihetsförordningen ................ c) Förslag till Lag om ändring i Regeringsformen ............................. d)Förslag till Lag om ändring i Yttrandefrihetsgrundlagen Förslag till Lag om ändring i Sekretesslagen (1980:100) .............. Förslag till Lag om ändring i Arkivlagen (1990:782) .................... Hur utredningen har bedrivits ..................................................................... Dispositionen av betänkandet ..................................................................... EN NY PERSONDATALAG.................................................................... Gällande rätt i huvuddrag ........................................................... förslag och utvecklingen därefter ......... Sammanfattning av förslag ......................... Förhållandet till offentlighetsprincipen...................... Förhållandet till yttrandefriheten................................ Tillstånd eller tillsyn................................................... Den materiella regleringen i datalagen....................... Regler för de olika momenten i behandlingen .......................... Förutsättningarna för att få behandla personuppgifter............ Gallring av personuppgifter...................................................... Bemyndigande att meddela föreskrifter ..................... Sammanfattning av remissutfallet .................................................. Normgivningen på dataskyddsområdet.................... SOU 1997: 39 Yttranden från Datainspektionen ............................. EG-direktivet om personuppgifter............................................ Genomförandet av EG - direktiv Personuppgifter och den registrerade Sådant som faller utanför gemenskapsrätten Privat användning av personuppgifter Förhållandet ..................................................till yttrandefriheten Grundläggande .............................krav på uppgiftsbehandlingen Korrekt och laglig behandling Personuppgifterna skall vara adekvata, relevanta och inte för omfattande Personuppgifterna skall vara riktiga och 3.4.6Personuppgifterna får inte förvaras längre än 3.5Förutsättningar för att uppgiftsbehandling skall kunna I samband med avtal För att skydda vitala intressen Myndighetsutövning eller allmänt intresse .............. Efter en intresseavvägning ....................................... Behandling av särskilt känsliga uppgifter .................................... Ett principiellt förbud mot behandling av uppgifter om ras eller etniskt ursprung, religiösa, filosofiska eller politiska åsikter, fackföreningsmedlemskap, hälsa och sexualliv ....... Undantag från förbudet............................................. För att skydda vitala intressen................................................ Politiska, filosofiska, religiösa och fackliga Den registrerades offentliggörande ........................................ Nödvändig med hänsyn till rättsliga anspråk ......................... Hälso- och sjukvård ................................................................ Viktigt allmänt intresse ........................................................... Uppgifter om brott m.m............................................ Användning av personnummer................................. Rätten att motsätta sig uppgiftsbehandling .................................. I vissa fall vid avgörande och berättigade skäl ........ Rätten att slippa automatiserade beslut ........................................ Information till den registrerade ................................................... 3.10 Rätten att på begäran få tillgång till uppgifterna och rättelse ...... Information om uppgifterna ..................................... Underrättelse till tredje man om rättelse .................. 3.11 Möjlighet till undantag och begränsningar................................... 3.12 Sekretess och säkerhet vid behandlingen ..................................... Anmälan till tillsynsmyndigheten................................................. Anmälningsplikt för alla automatiska 3.13.3Möjlighet till undantag från och förenklingar Om det inte är sannolikt att rättigheter kränks....................... När ett uppgiftsskyddsombud har utsetts ................................ Författningsreglerat register för allmänheten........................ SOU 1997: 39 3.13.3.5Icke vinstdrivande organs behandling av känsliga 3.13.4Förhandskontroll av särskilt riskfyllda Offentliggörande av behandlingar............................ Offentligt register över anmälda behandlingar ...................... 3.13.5.3Skyldighet att på begäran lämna information om icke 3.14 Överföring av uppgifter utanför EG ............................................. Överföring är tillåten till länder som säkerställer en adekvat skyddsnivå .......................... Överföring till länder med sämre skydd................... Fall där överföring måste tillåtas ........................................... 3.14.2.2Överföring får tillåtas om den registeransvarige kan Rätt till domstolsprövning ........................................ Rätt till skadestånd ................................................... 3.18 Tillsynsmyndigheterna ...............inom EG bildar en arbetsgrupp 3.19 Medlemsstaterna ..........ingår i en kommitté med kommissionen Ikraftträdande .................................och övergångsbestämmelser Den fortsatta ............................................utvecklingen inom EG Övriga internationella .....................................................regler Reglering ..............................................av bruk eller missbruk Integritet och ..............................................................effektivitet Olika modeller .....................................................för regleringen Valet på lång sikt av modell för regleringen Valet nu av modell för regleringen Den lagstiftningsstruktur som EG-direktivet anvisar................... En teknikoberoende och generell persondatalag..................... Olika typer av behandlingar ..................................... Uppgifter om juridiska personer ............................... Den nya lagen bör liksom vara generell ....... Privat användning av personuppgifter ..................... Förhållandet till särskilda registerförfattningar..................... 8.2.1De särskilda registerförfattningarna omfattas inte av vårt uppdrag .................................................. 8.2.2Undantag från den generella lagstiftningen för Datainspektionen skall höras när Förhållandet till offentlighetsprincipen.................................... 9.2Utlämnande av personuppgifter enligt Rättelse av uppgifter hos myndigheter ......................................... Förhållandet till yttrandefriheten ............................................. Vad innebär grundlagsskyddet? omfattas av grundlagsskyddet? Vilka övriga yttranden omfattas av Vilka personer omfattas av grundlagsskyddet? 10.3 Hur beaktas den personliga integriteten? SOU 1997: 39 Beriktigande och genmäle ........................................ Radio och TV........................................................................... Förslag till lagreglering.......................................................... Förslag till lagreglering.......................................................... 10.4 Yttrandefriheten i nya massmedier ............................................... En internationell jämförelse ..................................... Närmare om normkonflikten......................................................... Allmänt om konflikten mellan persondatalagstiftningen och yttrandefriheten......... Skall undantaget vara generellt? Hur skall undantaget utformas?................................ Vilka behandlingar omfattas av undantaget? Behandlingar som syftar till att framställa yttranden............. 10.7.4.3Behandlingar som syftar till att anskaffa och meddela Lagring och spridning av uppgifter ........................................ Behandling för flera ändamål ................................................. Falska invändningar om grundlagsskydd ............................... Prövning av undantagsregeln ................................................. Förhållandet till EG - direktivet ................................. Forskning och statistik................................................................ Privat och statistik .................................. Tillämpningen av datalagen ..................................... Granskning av forskningsetiska kommittéer Huvudprincipen bör vara samtycke vid behandling av känsliga personuppgifter 11.6.3Behandling av känsliga personuppgifter utan Det måste ske en avvägning i varje enskilt fall ....................... Vem bör göra avvägningen ..................................................... De forskningsetiska kommittéerna .......................................... En avvägningsnorm i lagtexten............................................... Förhållandet till internationella regler................................... Behandling av icke känsliga personuppgifter .......... 11.6.5Betydelsen av det ändamål för vilket uppgifterna samlats in............................................... 11.6.5.2Personuppgifter för forskning och statistik används för att vidta åtgärder beträffande enskilda................................... 11.6.5.4Personuppgifter för administrativa ändamål lämnas ut för forskning och statistik........................................................ 11.6.5.5Personuppgifter för forskning och statistik återanvänds i ett annat projekt .................................................................... Registerutdrag och rättelse ....................................... Innehållet i den nya persondatalagen ....................................... Regeringen eller Datainspektionen kan SOU 1997: 39 Begrepp som används ................................................................... Behandling av personuppgifter ................................ Mottagare och tredje man......................................... Persondataansvarig och persondatabiträde .............. Personuppgifter och den registrerade....................... Automatisk respektive icke automatisk Skriftligen respektive undertecknad......................... Det territoriella tillämpningsområdet ........................................... 12.4 Grundläggande krav på all behandling av personuppgifter ......... Korrekt och laglig behandling.................................. Ändamålet med behandlingen .................................. Personuppgifternas kvalitet och omfattning ............ Personuppgifterna får inte sparas längre än Behandling för historiska, statistiska och Särskilt om arkiv ..................................................................... 12.5 När behandling av personuppgifter skall vara tillåten ................. Allmänna förutsättningar för när personuppgifter får behandlas .................................. I samband med avtal ............................................................... För att skydda vitala intressen................................................ Myndighetsutövning eller allmänt intresse ............................. Efter en intresseavvägning...................................................... 12.5.2När den registrerade motsätter sig behandling Ett principiellt förbud mot behandling av Definitionen av känsliga personuppgifter ............................... Undantag från förbudet ........................................................... Uppgifter om brott ................................................................... Användning av personnummer..................................................... 12.7 Information till den registrerade ................................................... När uppgifterna samlas in ......................................... När skall informationen lämnas .............................................. Vilken information skall lämnas .............................................. Undantag från informationsskyldigheten ................................ På ansökan av den registrerade ................................ Förhållandet till bestämmelser om sekretess På begäran av den registrerade Underrättelse till tredje man om korrigeringen 12.10 Säkerhet .....................................och sekretess vid behandlingen 12.10.2Behandling får bara utföras enligt instruktion från den persondataansvarige ................................... När den persondataansvarige anlitar ett 12.11 Överföring av personuppgifter utanför EU .................................. Ett principiellt förbud mot överföring...................... Undantag i persondatalagen från förbudet ............... Behörighet att medge ytterligare undantag .............. 12.12 Anmälningsbyråkrati eller tillsyn ................................................. SOU 1997: 39 Genomförandet av EG - direktivet ............................. EG - direktivet i korthet ............................................................. En principiell anmälningsskyldighet måste införas ................ Undantag från anmälningsskyldigheten ................................. Särskilt om persondataombud ................................................. Förhandskontroll av särskilt integritetskänsliga Upplysningar skall på begäran lämnas om behandlingar som inte anmälts ............................................... Datainspektionens register över anmälda behandlingar ........ EG - direktivet ........................................................................... Förhållandet till andra skadeståndsbestämmelser 12.14 Datainspektionens ..............................uppgifter och finansiering Datainspektionens uppgifter och befogenheter Datainspektionens befogenheter enligt datalagen Ikraftträdande .................................och övergångsbestämmelser Behandling som pågår vid ikraftträdandet behandling som pågår vid ikraftträdandet Personuppgifter som lagras för historisk forskning Regler i datalagen ..................som bör flyttas till andra lagar Straff för dataintrång..................................................................... 13.4 Det statliga ........................................person- och adressregistret SOU 1997: 39 Arkivlagen (1990:782) Arkivförordningen (1991:446) Dataförordningen (1982:480) Datalagen (1973:289) En ny datalag (SOU 1993:10) Europeiska gemenskapen (tidigare Europeiska ekonomiska gemenskapen, EEG) 95/46/EG av om skydd för enskilda personer med avseende på be- handling av personuppgifter och om det fria flödet av sådana uppgifter Fördraget om upprättandet av Europeiska ge- Europeiska gemenskapernas officiella tidning utgiven av juridiska föreningen i Förvaltningslagen (1986:223) SOU 1997: 39 Nytt juridiskt arkiv, avdelning 1 Sekretesslagen (1980:100) Det statliga person- och adressregistret Lagen (1960:729) om upphovsrätt till litterära Dir. 1995:91 (direktiven till Datalags- Verksförordningen (1995:1322) SOU 1997: 39 Vi har haft i uppdrag att göra en översyn av datalagen, som kom till . Syftet har varit att åstadkomma en modern och teknikoberoende lagstiftning om skydd för den personliga integriteten vid behandling av personuppgifter. Vi lämnar förslag till en helt ny persondatalag som till största delen bygger på ett färskt EG-direktiv på området. En förutsättning för att vi skulle kunna lämna ett sådant förslag har varit att direktivet går att förena med det som i är grundlagsskyddat eller annars särskilt betydelse- fullt från svenska utgångspunkter. Den nya lagstiftningen får inte inkräkta på offentlighetsprincipen eller tryck- och yttrandefriheten. Denna förut- sättning är uppfylld. Genom att deltog i de slutliga förhandlingarna om direktivet har de svenska synpunkterna kommit att beaktas i det. Vi föreslår tydliga bestämmelser i persondatalagen som klargör att lagen inte skall tillämpas i den utsträckning det skulle inskränka grundlagsskyddade rättigheter. Den föreslagna lagen berör och förändrar således inte dessa rättigheter. Den föreslagna lagstiftningen bygger liksom EG-direktivet på att själva hanteringen av personuppgifter regleras. Ett alternativ skulle vara att lämna hanteringen av personuppgifter i stort sett fri och i stället hindra bara det som kan betecknas som ett missbruk. Med hänsyn till den oro som många människor alltjämt känner för samlingar av elektroniska uppgifter om dem har vi dock inte ansett tiden mogen att i princip släppa hanteringen av databaserade personuppgifter fri. skulle inte heller fullgöra sina internationella åtaganden om vi valde en helt annan modell än EG- direktivets. Vi anser dock att man i ett längre perspektiv bör inrikta sig mera på att stävja och beivra missbruk än på att reglera en hantering som snart sagt alla kan hålla på med. Den föreslagna persondatalagen kan ses som en ramlag som ger gene- rella riktlinjer för all behandling av personuppgifter. Avsikten är att rege- SOU 1997: 39 ringen och Datainspektionen skall inom den ram som lagen drar upp när- mare precisera regleringen. De särskilda registerförfattningarna, som inne- håller regler för bl.a. många viktiga myndighetsregister, omfattas inte av vårt uppdrag. Vi påpekar att dessa författningar måste ses över och anpassas till den nya persondatalagen. Rent privat användning av personuppgifter undantas från den före- slagna lagen. Som exempel kan nämnas e-post mellan privatpersoner. Med behandling av personuppgifter avses i stort sett allt man kan göra med sådana uppgifter, t.ex. att samla in, söka, bevara och sprida uppgifter. Behandling av personuppgifter som är helt eller delvis automatisk – dvs. i första hand datoriserad – omfattas av den föreslagna lagen. be- handling av sådana uppgifter (på papper) omfattas bara om uppgifterna skall ingå i ett regelrätt register. I den föreslagna lagen slås fast vissa grundläggande krav på all be- handling av personuppgifter. Den persondataansvarige skall se till att per- sonuppgifter samlas in bara för särskilda, uttryckligt angivna och berätti- gade ändamål. Uppgifterna får sedan inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna ursprungligen samlades in. Fler uppgifter än nödvändigt får inte behandlas, och de behandlade uppgifterna skall vara adekvata och relevanta. Felaktiga, missvisande eller ofullständiga uppgifter skall korrigeras. Uppgifterna får sparas bara så länge det är nödvändigt med hänsyn till ändamålen med behandlingen. För uppgifter som behandlas för historiska, statistiska eller vetenskapliga ända- mål finns särskilda regler. Den föreslagna lagen innehåller en uttömmande uppräkning av de fall då personuppgifter får behandlas. Personuppgifter får alltid behandlas om den registrerade har lämnat sitt samtycke. I annat fall krävs att behandlingen är nödvändig för vissa angivna ändamål. De situationer då behandling är tillå- ten utan samtycke kan sammanfattas enligt följande. N I samband med avtal N För att fullgöra en rättslig skyldighet N För att skydda vitala intressen för den registrerade N För att utföra en arbetsuppgift av allmänt intresse eller i samband med myndighetsutövning N Efter en intresseavvägning där den registrerades intressen vägs mot in- tressen på den persondataansvariges sida För behandling av känsliga personuppgifter gäller enligt den föreslagna lagen särskilda regler. Som känsliga uppgifter anses sådana uppgifter som SOU 1997: 39 rör hälsa eller sexualliv eller som avslöjar ras eller etniskt ursprung, poli- tiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening. Sådana uppgifter får behandlas bara i de fall som räknas upp i lagen. Regeringen eller Datainspektionen kan dock tillåta att känsliga per- sonuppgifter behandlas också i andra fall, under förutsättning att det be- hövs med hänsyn till ett viktigt allmänt intresse. Känsliga personuppgifter får behandlas när den registrerade har lämnat sitt samtycke eller när han eller hon på ett tydligt sätt har offentliggjort uppgif- terna. De fall där sådana för ändamålet relevanta uppgifter annars får be- handlas kan sammanfattas enligt följande. N För att fullgöra skyldigheter eller utöva rättigheter inom arbetsrätten N För att skydda vitala intressen när den registrerade inte kan lämna sam- tycke N För att rättsliga anspråk skall kunna fastställas, göras gällande eller för- svaras N Inom ideella organisationer får känsliga uppgifter om medlemmar och t.ex. sympatisörer behandlas, men inte lämnas ut till någon utomstående N Inom hälso- och sjukvård N För forskning och statistik när en forskningsetisk kommitté har godkänt projektet eller när samhällsintresset av behandlingen annars klart över- väger integritetsriskerna