sou · GLB339d1 · 1998-01-01 00:00:00 — N All automatisk behandling av personuppgifter skall anmälas i förväg till en tillsynsmyndighet. har varit ett föregångsland i fråga om lagstiftning på den person- liga integritetens och databehandlingens område. EG-direktivet får ses som ett resultat av den utveckling som bl.a. inspirerat. Den nivå på skyddet för den personliga integriteten som direktivet syftar till får anses vara väl så hög som den svenska lagstiftningens. Härtill bidrar naturligtvis att utgångspunkten för kontinental och anglosachsisk rätt när det gäller myndigheternas handlingar är sekretess medan den nordiska utgångspunk- ten är öppenhet. Direktivet har visserligen kommit till stånd efter en lagstiftningsproce- dur som till stora delar ägt rum innan Internet och e-post kommit i allmänt 112I de flesta artiklar i direktivet talas det om att medlemsstaterna skall (eller får) föreskriva, förbjuda, bestämma eller precisera i det ena eller andra hänse- endet. 192 Reglering av bruk eller missbruk SOU 1997: 39 Den tekniska utvecklingen har sålunda sprungit ifrån lagstiftarna. Som direktivet nu är föranleder det kritik från olika håll och har till och med kallats obsolet. Goda skäl talar därför för att direktivet bör ses över och kanske till och med arbetas om i väsentliga hänseenden, efter de riktlinjer vi tidigare före- språkat. Det kan emellertid förutses att en översyn och än mer en omar- betning kommer att ta avsevärd tid i anspråk och säkerligen långt mer än de under vilka vi som EU-medlemmar är skyldiga att genomföra di- rektivet. Härtill kommer att den svenska datalagen är än mer föråldrad än EG-direktivet och bör ersättas. Reglerna i direktivet är säkerligen lika goda som varje annan just nu tänkbar utformning av hanteringsmo- dellen. Som vi anfört förut bör vi i dagens läge välja en sådan modell. Detta innebär visserligen att en persondatalag som kommer till stånd kanske måste omarbetas inom en tidsram av fem till . Att lagar på områden med så hisnande snabb utveckling som IT-området i viss mening är en förbrukningsvara är dock något vi måste lära oss att leva med. driver med skärpa kravet på öppenhet även inom EU:s ramar. Offentlighetsprincipen är djupt rotad i svensk rätt och är grundlagsfäst se- dan . Ett övergivande av den kommer inte i fråga. Att med hänsyn till EG-direktivet om personuppgifter införa begränsningar i grundlagarna kan vi inte tänka oss. I enlighet med vad som anförs i avsnitt 9 kan emellertid EG-direktivet förenas med offentlighetsprincipen. EG-di- rektivet kan också – i enlighet med vad som anförs i avsnitt 10 – förenas med grundlagsreglerna om tryckfrihet och yttrandefrihet. EG-direktivet, som således inte är oförenligt med några väsentliga grundlagsfästa svenska intressen, bör därför i enlighet med för- pliktelser som EU-medlem införlivas i svensk rätt. På någon punkt, där det är uppenbart att verkligheten i form av en snabb teknisk utveckling sprungit ifrån de förutsättningar under vilka direktivet tillkom, synes det möjligt att genom en rimlig tolkning av direktivet undvika en rättstillämpning som annars skulle kunna te sig absurd. När det sedan gäller själva tekniken för genomförandet kan följande sägas. Det är visserligen i formell mening sant att ett EG-direktiv anger vissa mål eller resultat som skall uppnås eller förverkligas i samtliga EU-länder och att varje stat själv får välja hur detta skall genomföras. I praktiken är dock detta en sanning med modifikation. kräver nämligen att den form som en medlemsstat väljer för genomförande effektivt säker- ställer en fullständig tillämpning av direktivet på ett tillräckligt klart och precist sätt, i syfte att i de fall då direktivet syftar till att skapa rättigheter SOU 1997: 39 Reglering av bruk eller missbruk 193 för enskilda så skall de berättigade kunna få full kännedom om sina rättig- heter och kunna vid behov utnyttja dem inför de nationella myndigheterna. Mot bakgrund härav har domstolen underkänt försök att åberopa exem- pelvis administrativa åtgärder som tillräcklig form för genomförande av direktiv av lagstiftningskaraktär.113 Otvivelaktigt innehåller EG-direktivet om personuppgifter bestämmel- ser som ger medborgarna rättigheter i fråga om integritetsskyddet. Direkti- vet måste därför genomföras i form av lagstiftning. Vi ser oss inte någon möjlighet att i lagtext återge direktivets innehåll i annan form än en nära efterbildning av direktivets text och struktur, med de förbehåll som föran- leds av ett fasthållande vid grundläggande svenska intressen. Det finns vi- dare fördelar i sig med att EU-länderna med sina många inbördes kontakter har en såvitt möjligt likartad lagstiftning. Sammanfattningsvis anser vi således att den nya svenska lagstiftningen i stort bör följa den struktur som EG-direktivet anvisar och att avvikelser bör göras bara när det finns särskilda skäl till det. I avsnitt 12.1 berörs lagstiftningstekniken i övrigt. 113Se särskilt dom i mål mellan kommissionen och , C-361/88, ECR 2567, punkt 15. SOU 1997: 39 7 En teknikoberoende och generell persondatalag Den nya lagen bör vara teknikoberoende och såvitt avser olika typer av be- handlingar ha samma tillämpningsområde som EG-direktivet. Detta inne- bär att lagen bör tillämpas på all automatisk behandling av personuppgifter och dessutom på behandling av personregister. Behandling av uppgifter om juridiska personer omfattas inte av den föreslagna lagen. La- gen bör till skillnad från EG-direktivet vara generell och i princip omfatta även sådant som faller utanför gemenskapsrätten. Rent privat användning av personuppgifter bör dock undantas från lagens tillämpningsområde. De flesta bestämmelserna i datalagen gäller bara för personregister som förs med hjälp av automatisk databehandling. Det måste alltså vara fråga om ett dataregister med personuppgifter.114 Datalagen gäller i princip för alla sådana personregister inom såväl den privata som offentliga sektorn; de särskilda registerförfattningarna som gäller vid sidan av datalagen berörs i avsnitt 8. Det krävs dock inte licens eller tillstånd för personregister som en enskild person inrättar eller för uteslutande för personligt bruk.115 Enligt utredningsdirektiven skall vi utgå från att en kommande lag skall vara teknikoberoende. Det framgår av utredningsdirektiven inte annat än att lagen skall omfatta bara personuppgifter (och således inte uppgifter om företag, dvs. juridiska personer). 114Se närmare avsnitt 6 i SOU 1993:10. 115Se SOU 1996:40 s. 169 beträffande underrättspraxis rörande begreppet personligt bruk. 196 En teknikoberoende och generell persondatalag SOU 1997: 39 EG-direktivet gäller för sådan behandling av personuppgifter som är helt eller delvis automatisk. Direktivet gäller dock även för annan behand- ling (behandling) av sådana uppgifter, om de ingår i eller är av- sedda att ingå i ett register, dvs. en strukturerad samling uppgifter som är tillgänglig enligt särskilda kriterier. Direktivet gäller inte för andra uppgif- ter än personuppgifter. EG-direktivet omfattar behandling av personuppgifter inom såväl den privata som offentliga sektorn. Direktivet gäller dock inte för sådan upp- giftsbehandling som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, t.ex. statens verksamhet på straffrättens område. Direk- tivet gäller inte heller för uppgiftsbehandling som en enskild person bedri- ver som ett led i en verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll. 7.2.1Olika typer av behandlingar Datalagens tillämpningsområde är, såvitt avser de olika typer av behand- lingar som omfattas, väsentligt snävare än EG-direktivets. Datalagen gäller bara för automatisk behandling av dataregister, medan EG-direktivet gäller all automatisk behandling av personuppgifter – oavsett om uppgifterna in- går i ett register – och dessutom behandling av personregister. Bland annat det förhållandet att datalagen bara gäller för dataregister gör att lagen framstår som föråldrad med hänsyn till teknikutvecklingen. Så snart en personuppgift har förts över till datorformat (ettor och nollor) finns i princip tekniska möjligheter att på ett otal sätt och på behandla den uppgiften tillsammans med andra uppgifter som någon- stans i världen har förts över till datorformat. Ett exempel på detta är de s.k. sökmaskiner som finns på Internet och som kan producera en sammanställning av en mängd tillgängliga dator- lagrade dokument (s.k. webbsidor) världen över som innehåller uppgifter om t.ex. en viss person. Härtill kommer att kränkningen av en individs personliga integritet som regel inte blir vare sig grövre eller lindrigare bara för att hans eller hennes uppgifter finns registrerade (i ett dataregister) tillsammans med en massa andra (kränkta) individers; det kan dock givetvis finnas andra skäl för att SOU 1997: 39 En teknikoberoende och generell persondatalag 197 iaktta särskild försiktighet med uppgiftssamlingar som omfattar väldigt många människor. En ny lagstiftning till skydd för den personliga integriteten bör således vara teknikoberoende i den meningen att den i fråga om automatisk be- handling inte begränsas till dataregister, dvs. ett visst sätt att lagra eller presentera personuppgifterna. All automatisk behandling av personuppgif- ter bör, i enlighet med EG-direktivets tillämpningsområde, omfattas av en ny, modernare lag. Liksom EG-direktivet bör den nya lagen omfatta inte bara automatisk behandling av personuppgifter i text utan även automatisk behandling av personuppgifter som framgår av bilder eller ljud. Också i denna mening bör den nya lagen vara teknikoberoende och således omfatta t.ex. inlästa bilder på personer och inlästa bilder på pappersdokument som innehåller textuppgifter om personer.116 Att personuppgifter förs över till datorformat innebär som framgått av vad som tidigare anförts särskilda möjligheter till avancerad behandling med åtföljande risk för oacceptabla integritetsintrång. Men det går givetvis att på ett otillbörligt sätt kränka den personliga integriteten även med mer gammalmodiga, metoder. Den som vill göra något otillständigt med personuppgifter skulle, om en ny lag bara omfattade automatisk be- handling, kunna göra det för hand för att kringgå skyddsreglerna. Detta – jämte vad som anförs i utredningsdirektiven och vad som gäller enligt EG- direktivet – talar för att den nya lagen bör vara teknikoberoende även i den meningen att också behandling som inte är automatisk omfattas. Härtill kommer att användningen av ny teknik i samhällsutvecklingen inte hämmas genom att i stort sett samma regler gäller för såväl automatisk som behandling av personuppgifter. All behandling av personuppgifter kan dock inte rimligen om- fattas av en ny lag. De osorterade telefonlapparna på skrivbordet bör ex- empelvis kunna få ligga kvar oberörda av lagen, liksom de uppgifter som finns i det mänskliga minnet. I likhet med vad som gäller enligt EG-direk- tivet bör därför behandling omfattas av den nya lagen bara om uppgifterna ingår i – eller är avsedda att ingå i – ett register, dvs. har strukturerats efter bestämda kriterier som avser enskilda personer.117 Vi har således kommit fram till att den nya lagen – i enlighet med vad som anges i utredningsdirektiven – bör vara teknikoberoende och att detta 116I avsnitt 12.2.12 berörs närmare begreppen automatisk och icke automatisk be- handling av personuppgifter. 117Begreppet register berörs närmare i avsnitt 12.2.8. 198 En teknikoberoende och generell persondatalag SOU 1997: 39 innebär att lagen bör ha samma vida tillämpningsområde som EG-direkti- vet. Det sagda innebär att den nya lag som vi föreslår får ett vidare tillämp- ningsområde än vad som krävs enligt grundlagsbestämmelsen i 2 kap. 3 § andra stycket regeringsformen; den bestämmelsen innebär att det skall finnas en lag som behandlar registrering av personuppgifter med hjälp av automatisk databehandling. Man skulle därför kunna överväga att justera grundlagsbestämmelsen i enlighet med det skydd som skall ges enligt den föreslagna lagen och EG-direktivet. Trots att det i utredningsdirektiven ta- las om att vi skall lämna förslag till en teknikoberoende skyddslag nämns där inget om att förslag rörande grundlagsbestämmelsen skulle ingå i vårt uppdrag. Vi har mot den bakgrunden stannat för att inte lämna något utar- betat förslag till ändring av grundlagsbestämmelsen; en ändring av den befintliga bestämmelsen torde för övrigt vara lagtekniskt sett enkel att göra, och har dessutom redan lämnat förslag till hur en sådan ändring skulle kunna göras. 7.2.2Uppgifter om juridiska personer Vårt uppdrag kan inte anses omfatta frågan om juridiska personer bör ha ett särskilt skydd mot automatisk eller annan behandling av uppgifter om den juridiska personen.118 Behandling av uppgifter om juridiska personer faller också utanför regleringen i EG-direktivet. Vi föreslår därför att den nya lagen bara skall omfatta behandling av personuppgifter.119 7.2.3Den nya lagen bör liksom vara generell EG-direktivet gäller inte för sådan behandling av personuppgifter som ut- gör ett led i en verksamhet som inte omfattas av gemenskapsrätten. Be- träffande datalagen finns inte någon motsvarande begränsning. Datalagen omfattar i princip också personregister som förs av t.ex. polisen och krimi- nalvården; datalagen är generellt tillämplig. Eftersom EG-direktivet i detta hänseende har ett snävare tillämpnings- område än den nuvarande generella datalagen, är det möjligt att göra un- 118Inte heller ansåg att frågan omfattades av den utredningens direktiv, se SOU 1993:10 s. 372. 119Begreppet personuppgift berörs närmare i avsnitt 12.2.7. SOU 1997: 39 En teknikoberoende och generell persondatalag 199 dantag från den nya lagen för sådant som inte omfattas av direktivet. För sådana verksamheter som inte omfattas av direktivet, t.ex. inom försvaret och polisen, torde det i och för sig behövas särregler i ganska stor ut- sträckning. Sådana nödvändiga särregler har med dagens system meddelats genom särskilda registerförfattningar som helt eller delvis tar över den ge- nerella datalagen (se avsnitt 8). Vi anser att det nuvarande systemet med en generell lag som innehåller grundläggande regler har sådana fördelar att det bör behållas. Den nya lagen bör således – liksom datalagen – gälla generellt och i princip tillämpas på all behandling av personuppgifter i samhället. 7.2.4Privat användning av personuppgifter EG-direktivet omfattar inte rent privat användning av personuppgifter. Också den nuvarande datalagen undantar privata personregister från krav på licens och tillstånd. Datortekniken får anses tillgänglig för var och en i ; en elektronisk telefon- och adressbok kostar bara några . Det är enligt vår mening mot bl.a. den bakgrunden inte rimligt att låta en lagstift- ning av aktuell karaktär omfatta även rent privat användning av person- uppgifter. Det skulle t.ex. kunna ses som en otillbörlig kränkning av den personliga integriteten att låta Datainspektionen få full insyn i våra rent privata släktforskningsregister och adressböcker. Den möjlighet som EG-direktivet ger att undanta rent privat använd- ning av personuppgifter bör utnyttjas fullt ut. Det finns som vi ser det inte anledning att låta någon av bestämmelserna i den nya lagen gälla för sådan användning. Undantaget från lagen bör ha samma innebörd som enligt EG- direktivet. I avsnitt 3.2.4 berörs närmare innebörden av direktivet på denna punkt. I avsnitt 6.2.2 har vi berört de svårigheter som e-post i form av löpande text för med sig vid tillämpningen av EG-direktivet. E-post är ett kommu- nikationsmedel och den omständigheten att personuppgifter vidarebe- fordras med ett sådant medel utgör i sig inget skäl att inte tillämpa den föreslagna lagen på behandling av personuppgifter som sker genom och i anslutning till sådan kommunikation. Om myndigheter, företag eller orga- nisationer vidarebefordrar personuppgifter med e-post saknas anledning att inte låta lagens bestämmelser om behandling av personuppgifter bli til??lämpliga. Detsamma gäller om enskilda med användande av e-post 200 En teknikoberoende och generell persondatalag SOU 1997: 39 lämnar personuppgifter som myndigheterna samlar in exempelvis för statistik. har lagt fram förslag om undantagande i vissa samman- hang av löpande text från datalagen.120 Den frågan bereds i särskild ord- ning och vi går inte in på den här; till en del sammanfaller förslaget med vårt förslag om undantag för grundlagsskyddade yttranden. För egen del föreslår vi under avsnitt 12.12.2.3 att framställning av korrespondens och framställning av promemorior och annan löpande text skall kunna genom särskilda föreskrifter undantas från anmälningsskyldighet. Vi förutsätter att så kommer att ske. Detta innebär i praktiken att all intern hantering av så- dana texter kommer att vara undandragen annan insyn än den som Datain- spektionen kan utöva vid systemtillsyn hos myndigheter och större företag. Saken kompliceras emellertid av att även enskilda människor numera i snabbt ökande omfattning använder e-post för kommunikationer med andra enskilda. Detta sker i flertalet fall utan någon som helst aning om att den föreslagna lagens bestämmelser om behandling av personuppgifter skulle kunna tänkas bli tillämpliga på det avsända meddelandet. Det finns ingen principiell skillnad mellan en sådan korrespondens och vanlig brev- växling. En tillämpning av EG-direktivet på privat korrespondens kan inte rimligen ha varit avsedd vid direktivets tillkomst och bör inte heller komma i fråga. Den bör därför hänföras till vad som är ett led i en verk- samhet av rent privat natur. En annan sak är enskildas korrespondens med myndigheter, företag eller organisationer. Den kan i vart fall inte på den senare sidan hänföras till vad som är av privat natur. Viss tillämpning skulle dock vara så absurd att den får avböjas av rena förnuftsskäl. Det kan exempelvis tänkas att det till inkommer brev från enskilda med allvarliga beskyll- ningar mot anhöriga eller grannar. Sådana brev skall naturligtvis vara till- gängliga enligt offentlighetsprincipen. Men att eller nå- gon annan mottagare skulle särskilt informera grannarna eller de anhöriga om den behandling som mottagandet – och i fråga om myndigheter beva- randet enligt offentlighetsprincipen – utgör kan naturligtvis inte komma i fråga. Det rör sig emellertid här om så exceptionella fall att någon särregle- ring inte kan anses erforderlig. Det kan tilläggas att när anmälningar om brott görs till polismyndighet så faller de enligt artikel 3.2 utanför EG-di- rektivets tillämpningsområde och kan nationellt regleras genom särskilda 120 Se SOU 1996:40 s. 164 ff. SOU 1997: 39 En teknikoberoende och generell persondatalag 201 (Ju 1995:01) ser över registrerandet av uppgifter inom polisens område. I direktivet talas det om behandling av personuppgifter av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll. Vi har emellertid för att förenkla valt att i den föreslagna persondatalagen bara tala om sådan behandling som är ett led i en verksamhet av rent privat natur. Någon saklig skillnad är inte av- sedd. Det som har samband med någons hushåll får i detta sammanhang anses vara av rent privat natur, t.ex. den registrering som en arbetsgivare gör av de arbetstagare som arbetar i hans eller hennes hushåll, inklusive handikappades registrering av personliga assistenter.121 Den nya lagen skall således principiellt sett vara generellt tillämplig och innehålla en reglering av i princip all behandling av personuppgifter utom behandling av uppgifter som inte ingår i eller är avsedda att ingå i ett register. En sådan generell lag bör av praktiska skäl ha ett kort namn, som ger en orientering om vad lagen omfattar. Vi har kommit fram till att persondatalagen är ett lämpligt namn. Det är kort och leder tanken i rätt riktning, nämligen att det gäller en lag om hur uppgifter (data) om personer skall hanteras, särskilt i fråga om så- dana uppgifter som finns på data. Att uttrycket persondata sedan inte an- vänds i själva lagtexten bör inte ha någon avgörande betydelse, när namnet personuppgiftslagen låter så pass mycket sämre. Vi föreslår således att den nya lagen skall heta persondatalagen. När vi i det följande talar om persondatalagen avses således den nya lag som vi föreslår. 121Se, rörande sådant arbete som en arbetstagare utför i arbetsgivarens hushåll, lagen (1970:943) om arbetstid m.m. i husligt arbete. SOU 1997: 39 8 Förhållandet till särskilda registerförfattningar Vårt uppdrag omfattar inte de särskilda registerförfattningarna. Vi föreslår därför att särregler i registerförfattningar skall gälla framför den nya per- sondatalagen. Enligt den nuvarande datalagen behövs inte tillstånd av Datainspektionen för personregister som har inrättats genom beslut av eller rege- ringen (2 a §). Sådana register brukar kallas statsmaktsregister. Datain- spektionen kan dock meddela föreskrifter för registret i den mån eller regeringen inte har gjort det (6 a och 18 §§). När ett personregister är reglerat i lag eller förordning, är det således undandraget Datainspektio- nens tillståndsprövning och – mer eller mindre – inspektionens föreskrifts- rätt. Datainspektionen får t.ex. inte själv fritt bestämma om sitt eget licens- register (3–6 §§ dataförordningen). Det finns bestämmelser om personregister i en mängd olika lagar och förordningar.122 Avsikten är att Datainspektionen skall höras innan sådana författningar beslutas.123 Det är inte nödvändigt att beslutet att in- 122Sådana lagar och förordningar kallas i det följande för registerförfattningar, även om författningen i första hand reglerar annat än ett register. – En förteckning över vissa registerförfattningar finns som bilaga 6 till SOU 1993:10. 1993/94:217 s. 22 f. Före fanns det en uttrycklig regel om att ett särskilt yttrande skulle hämtas in från Datainspektionen innan det in- rättades ett statsmaktsregister med känsliga personuppgifter, se avsnitt 2.4.3. 204 Förhållandet till särskilda registerförfattningar SOU 1997: 39 rätta ett register får formen av en lag eller förordning, och detta kan ibland leda till osäkerhet om ett visst register kräver tillstånd eller inte.124 uttalade regeringen att målsättningen bör vara att register med ett stort antal registrerade och ett särskilt känsligt innehåll skall regleras i lag.125 ansåg att det allmänt sett är av stor betydelse att en författningsreglering kommer till stånd i syfte att stärka skyddet för de registrerades integritet i samband med nödvändig registrering av käns- liga uppgifter i myndighetsregister. Det förutsattes att regeringen ägnar fortlöpande uppmärksamhet åt frågan om vilka register som bör regleras och att åtgärder vidtas för att sådana regleringar kommer till stånd.126 Dessa uttalanden har ofta åberopats i senare lagstiftningsärenden. På se- nare år har det tillkommit allt fler registerförfattningar. Som exempel kan nämnas: N Tullregisterlagen (1990:137) med anslutande förordning (1990:179) – prop. N 15–18 §§ lagen (1990:886) om granskning och kontroll av filmer och videogram med anslutande förordning (1990:992; 8–9 §§) N 16 § insiderlagen (1990:1342) – insiderregister – med anslutande förordning (1996:1023) – utredningsregister N Lagen (1990:1536) om folkbokföringsregister med anslutande förordning (1991:750) N Lagen (1991:876) om register för betalningsföreläggande och handräckning med anslutande förordning (1992:76) – prop. N Förordningen (1992:1027) om register för strafföreläggande, föreläggande av ord- ningsbot, m.m. N Lagen (1993:747) om sjukförsäkringsregister hos de allmänna försäkringskassorna med anslutande förordning (1993:836) – prop. N Lagen (1993:825) om personregister i informationssystem Rixlex N Förordningen (1993:982) om bostadsbidragsregister (se numera SFS 1995:1016 nedan) N Förordningen (1993:1058) om sjukvårdsregister hos för forskning och statistik (se också SFS 1996:1293)