sou · GLB339d1 · 1998-01-01 00:00:00 — Läkare och tandläkare får utan tillstånd inrätta och föra personregister som innehåller sådana uppgifter om någons sjukdom eller hälsotillstånd i övrigt som de har fått reda på i sin yrkesverksamhet (2 a § 2 st. 4). Arbetsgivare får utan tillstånd inrätta och föra personregister som inne- håller sådana uppgifter om arbetstagares sjukdom som avser tid för sjuk- frånvaro, om uppgifterna används för löneadministrativa ändamål eller för att arbetsgivaren skall kunna avgöra om han eller hon skall påbörja en re- habiliteringsutredning enligt 22 kap. 3 § andra stycket lagen (1962:381) om allmän försäkring (2 a § 2 st. 5). Vid sin tillståndsprövning skall Datainspektionen ta ställning till om det finns anledning att anta att registreringen medför ett otillbörligt intrång i den registrerades personliga integritet. Om så anses vara fallet, skall till- stånd inte meddelas. Vid prövningen skall inspektionen särskilt beakta N arten och mängden av de personuppgifter som skall ingå i registret, N hur och från vem uppgifterna skall hämtas in, N vilken inställning de som kan komma att registreras har eller kan antas ha till saken och N att inte andra uppgifter eller andra personer registreras än som står i överensstämmelse med ändamålet med registret (3 §). Särskilda skäl krävs för att tillstånd skall kunna meddelas för inrättande och förande av personregister som omfattar andra än medlemmar, anställda 88 Gällande rätt i huvuddrag SOU 1997: 39 eller kunder hos den registeransvarige eller personer som har annan där- med jämställd anknytning (3 a §). Det krävs synnerliga skäl för att andra än myndigheter som enligt lag eller annan författning har att föra förteckning över sådana uppgifter skall kunna få tillstånd att inrätta och föra personregister som innehåller vissa angivna typer av känsliga uppgifter, såsom exempelvis uppgift om att nå- gon misstänks eller har dömts för brott eller varit föremål för vissa tvångsingripanden (4 § 1 st.). Tillstånd att inrätta och föra personregister som i övrigt innehåller uppgifter om någons sjukdom, hälsotillstånd eller sexualliv eller uppgift om att någon fått ekonomisk hjälp eller vård inom eller varit föremål för åtgärd enligt utlänningslagen får bara om det finns särskilda skäl meddelas annan än myndighet som enligt lag eller annan författning har att föra förteckning över sådana uppgifter. Särskilda skäl krävs även för registrering av uppgifter om någons ras eller politiska uppfattning eller religiösa övertygelse (4 § 2–3 st.). När Datainspektionen meddelar tillstånd att inrätta och föra personre- gister, skall inspektionen meddela beslut om ändamålet med re- gistret (5 §). I den mån det behövs för att förebygga risk för otillbörligt intrång i personlig integritet skall inspektionen i samband med tillstånds- givningen även meddela särskilda villkor (6 §). Sådana villkor får medde- las beträffande exempelvis inhämtande av uppgifter, vilka personuppgifter som får ingå i registret, utlämnande, bevaring och gallring. Personregister skall inrättas och föras så att inte otillbörligt intrång i registrerads personliga integritet uppkommer. I 7 § anges närmare vad som skall iakttas för att nå upp till vad som brukar kallas god registersed. Den registeransvarige är också skyldig att förteckna de personregister som han eller hon är ansvarig för (7 a §). Förteckningen skall vara aktuell och hållas tillgänglig för Datainspektionen. I datalagen finns också särskilda bestämmelser om ADB-användningen som är avsedda att garantera att personuppgifter är riktiga och fullständiga. Dessa bestämmelser, som återfinns i 8 och 9 §§, behandlar bl.a. rättelse av oriktiga och missvisande uppgifter. En central bestämmelse är vidare 10 §. Den ger den enskilde en rätt till insyn i personregister. Där stadgas att den registeransvarige på skriftlig begäran av den enskilde skall underrätta denne om innehållet i registret, såvitt gäller honom eller henne. Ett sådant registerutdrag, s.k. § 10-utdrag, har den enskilde rätt att kostnadsfritt få en gång . SOU 1997: 39 Gällande rätt i huvuddrag 89 I datalagen finns allmänna bestämmelser om gallring av personuppgif- ter och om vad som skall iakttas då en registeransvarig upphör att föra ett personregister för vilket Datainspektionen har meddelat tillstånd (12 §). Vissa bestämmelser om tystnadsplikt finns i 13 §. En särskild bestämmelse om dokumentationsskyldighet avser att göra det möjligt att i efterhand fastställa vilka uppgifter i en ADB-upptagning som har legat till grund för avgörandet av ett mål eller ärende hos en myndighet. Sådan ADB-upptagning skall tillföras handlingarna i målet eller ärendet i läsbar form. Undantag gäller bara om det finns särskilda skäl (14 §). Datainspektionen utövar tillsyn över att automatisk databehandling inte medför otillbörligt intrång i registrerads personliga integritet (15–18 §§). Inspektionen har möjlighet att meddela villkor eller, om rättelse inte kan åstadkommas på annat sätt, förbjuda förandet av personregister eller återkalla meddelade tillstånd. Datainspektionens beslut enligt datalagen kan överklagas till länsrätten i eller, när en statlig myndighet är registeransvarig, regeringen. Justitiekanslern får föra talan för att ta till vara allmänna intressen. (25 §.) Bestämmelser om straff och skadestånd finns i 20–21 och 23 §§. Ett personregister kan förklaras förverkat, om det inrättas eller förs utan nöd- vändig licens eller tillstånd (22 §). I datalagen regleras även det statliga person- och adressregistret (SPAR), 26–28 §§. Kompletterande bestämmelser om bl.a. licensanmälan, tillståndsansö- kan, handläggningen hos Datainspektionen, verkställighetsföreskrifter och bistånd till personer som är registrerade utomlands finns i dataförord- ningen. SOU 1997: 39 2 förslag och utvecklingen därefter presenterade sitt slutbetänkande, En ny datalag (SOU 1993:10), . I sitt arbete hade utredningen beaktat bl.a. det då föreliggande förslaget till EG-direktiv om skydd för enskilda vid behand- ling av personuppgifter och om det fria flödet av sådana uppgifter. Utred- ningens förslag hade till stora delar anpassats till direktivförslaget. Vissa avvikelser förekom emellertid. Sådana bestämmelser i direktivförslaget som inkräktade på den svenska offentlighetsprincipen skulle enligt utred- ningen inte införas. Utredningen ansåg inte heller att direktivförslagets be- stämmelser om anmälningsskyldighet för automatisk databehandling av personuppgifter skulle genomföras fullt ut. Utredningen var inte enig i alla frågor. Till betänkandet fanns fogat skiljaktiga meningar och särskilda yttranden. Utredningens förslag har remissbehandlats. Regeringen lämnade i prop. 1993/94:116 förslag till ändringar i rege- ringsformen (RF) som bl.a. innebar att regeringen skulle kunna delegera viss normgivningskompetens till Datainspektionen avseende skyddet för den personliga integriteten vid automatisk databehandling av personupp- gifter. Vidare anförde regeringen att beslut om en ny datalag borde anstå till dess slutlig ställning hade tagits till EG-direktivet. Vissa angelägna ändringar i datalagen borde enligt regeringen dock vidtas , och förslag till sådana lämnades i prop. 1993/94:217. beslutade om ändringar i enlighet med de båda förslagen och de nya bestämmelserna trädde i kraft den 1 januari 1995.6 SFS 1994:1480 respektive 1994:1485. 92 förslag och utvecklingen därefter SOU 1997: 39 Nedan lämnas först en kort sammanfattning av förslag med noteringar om huvuddragen i remissvaren. Därefter följer en presentation av den lagstiftning som beslutats till följd av förslaget. Datalagens tillämpningsområde är knutet till begreppet personregister. föreslog att tillämpningsområdet i stället skulle defi- nieras så att lagen var tillämplig på varje behandling av personuppgifter med hjälp av automatisk databehandling, även t.ex. lagring och utläm- nande. En sådan definition skulle emellertid leda till att lagens tillämp- ningsområde blev mycket omfattande. Utredningen konstaterade att vissa undantag måste göras. Undantag skulle enligt förslaget bl.a. göras för så- dan behandling som sker uteslutande för personligt bruk eller som avser personuppgifter som ingår i uppslagsverk, ordböcker eller liknande refe- rensmaterial. Vidare skulle inte heller sådana personuppgifter som före- kommer i löpande text (ord- och textbehandling) omfattas av lagen. Remissinstanserna var positiva till att begreppet personregister er- sattes med behandling av personuppgifter. Flera instanser pekade dock på de gränsdragningsproblem som kan tänkas uppkomma mellan sådan ord- och textbehandling som faller utanför lagens tillämpningsområde och sådana behandlingar av texten, t.ex. sökningar i den, som omfattas av la- gen. Liksom tidigare skulle datalagen enligt utredningens förslag gälla en- bart sådan behandling som sker med hjälp av automatisk databehandling. Detta begrepp borde enligt utredningen inte definieras, bl.a. eftersom en sådan definition snabbt skulle bli inaktuell. I den föreslagna lagen har emellertid klargjorts att i vissa fall även hanteringar av person- uppgifter kan omfattas av lagen. Begreppet behandling skulle nämligen innefatta även insamling av personuppgifter som avses bli föremål för au- tomatisk databehandling. Helt behandlingar skulle däremot falla utanför lagens tillämpningsområde. Remissinstanserna var oeniga i frågan om även helt register skulle omfattas av lagen. Några pekade på fördelarna med att göra lagen SOU 1997: 39 förslag och utvecklingen därefter 93 helt teknikoberoende, medan andra var av den åsikten att det är just den omständigheten att uppgifterna behandlas automatiskt som gör förfarandet riskfyllt från integritetssynpunkt. Utredningen hade som utgångspunkt att inga inskränkningar skulle göras i offentlighetsprincipen, som bl.a. innebär att alla medborgare har rätt att ta del av myndigheternas handlingar (2 kap. 1 § TF). Förslaget till EG-direk- tiv innehöll, enligt utredningens bedömning, inget formellt hinder mot ut- lämnande av personuppgifter med stöd av offentlighetsprincipen. I försla- get till ny datalag togs i några bestämmelser dock in en erinran om myn- dighets skyldighet att lämna ut uppgifter enligt TF. Offentlighetsprincipen innefattar också en rätt för den enskilde att i samband med utfående av så- dana uppgifter vara anonym (2 kap. 14 § 3 st. Här måste enligt utred- ningen göras en avvikelse från direktivförslaget, som innebar att när upp- gifter om någon person lämnas ut skall personen underrättas om detta och om vem som har fått del av uppgifterna. Remissinstanserna uttryckte stöd för att offentlighetsprincipen skall be- hållas i nuvarande omfattning. konstaterade att konflikter kunde uppstå mellan å ena sidan datalagen och å andra sidan de bestämmelser i tryckfrihetsförord- ningen (TF) och yttrandefrihetsgrundlagen (YGL) som gäller förbud mot censur och annan förhandsgranskning samt rätten för meddelare m.fl. att vara anonyma. Utredningen utgick från att grundlagsbestämmelserna även i fortsättningen skulle tillämpas framför datalagstiftningen vid en konflikt mellan dem, även om skyddet mot otillbörligt intrång i den personliga in- tegriteten i samband med personregistrering med hjälp av automatisk data- behandling också har visst grundlagsskydd (2 kap. 3 § 2 st. RF). Någon saklig förändring borde därför enligt utredningen inte göras. Däremot borde det framgå av datalagen att vissa datasamlingar till följd härav inte faller under datalagens tillämpningsområde. Undantag från lagens tillämpning borde enligt utredningen göras för produktionsregister, dvs. personregister som används som ett direkt tek- niskt hjälpmedel i samband med framställning av ett grundlagsskyddat ytt- rande. Datainspektionens tillsynsverksamhet enligt datalagen skulle näm- 94 förslag och utvecklingen därefter SOU 1997: 39 ligen, enligt utredningen, till stora delar strida mot förbudet att granska eller i övrigt vidta någon hindrande åtgärd i samband med framställning av yttrande (1 kap. 2 § TF och 1 kap. 3 § YGL). Vidare borde undantag göras för sådana register som används direkt i den journalistiska verksamheten och som innehåller uppgifter om personer som omfattas av anonymitets- skyddet i 3 kap. 1 § TF. Utredningen pekade på risken att sådana uppgifter kan avslöjas t.ex. i samband med tillsyn av Datainspektionen. Detta skulle i så fall kollidera med anonymitetsskyddet. För övrigt ansåg utredningen att just anonymitetsskyddet i detta sammanhang är det bästa skyddet för den personliga integriteten. Utredningen föreslog slutligen att även klipp- arkiven skulle undantas, dvs. arkiv som innehåller tidigare publicerade ar- tiklar samt bevarade radio- och TV-inslag. I det sammanhanget gjorde ut- redningen följande bedömning. Det skulle vara olämpligt om Datainspek- tionen kunde meddela villkor som t.ex. innebar att tidningarnas egen till- gång till tidigare publicerat material begränsades. Sådana villkor skulle vidare kunna innebära restriktioner i fråga om tryckfriheten. Man ansåg slutligen att allmänheten inte genom datalagen borde hindras från att ta del av sådant material, eftersom det tidigare varit publicerat. Remissinstanserna gav starkt stöd åt utredningens uttalanden om att be- stämmelserna i TF och YGL skall gälla framför datalagen. Flera remissin- stanser ansåg dock inte att klipparkiven generellt borde undantas från la- gen. Till den del klipparkiven inte kan anses utgöra produktionsregister skulle de, enligt dessa instanser, vara underkastade lagens tillämpning eftersom de inte sällan innehåller känsliga personuppgifter. Å andra sidan förordade många instanser att all behandling av personuppgifter som an- vänds i publicistiskt syfte borde undantas från lagen, alltså även uppgifter som använts av journalister, författare m.fl. men som inte blivit publicera- de. Tillståndsförfarandet enligt datalagen borde enligt utredningen avskaffas. En alltför stor del av Datainspektionens resurser måste läggas på till- ståndsärendena på bekostnad av tillsynsverksamheten menade man. Ut- redningen gjorde den bedömningen att om mera tid kunde ägnas åt tillsyn, t.ex. inspektioner, skulle detta leda till en bättre efterlevnad av bestämmel- serna på området. Vidare upptar många tillståndsansökningar behandling av både känsliga och icke-känsliga uppgifter. I sådana fall får Datainspek- tionen ägna tid åt granskning av uppgiftsbehandling som inte är känslig. SOU 1997: 39 förslag och utvecklingen därefter 95 Dessa resurser borde enligt utredningen i stället läggas på tillsynsverksam- heten. En klar majoritet av remissinstanserna ställde sig positiva till en över- gång från en ordning som bygger på tillstånd till ett tillsynssystem. Enligt förslaget skulle det i stället för tillstånd krävas en anmälan till Datainspektionen för behandling av känsliga personuppgifter. Anmäl- ningarna skulle ligga till grund för inspektionens tillsynsverksamhet. An- mälningsavgifter skulle dessutom finansiera inspektionens verksamhet. Av de remissinstanser som yttrat sig i frågan avstyrkte de flesta ett in- förande av en anmälningsplikt för vissa typer av register. Många uttalade farhågor för att anmälningsförfarandet skulle ta stora resurser i anspråk utan att anmälningarna skulle komma att utgöra någon bra grund för tillsy- nen. En del remissinstanser menade att Datainspektionens verksamhet borde skattefinansieras. 2.2.5Den materiella regleringen i datalagen 2.2.5.1Regler för de olika momenten i behandlingen Eftersom kravet på tillstånd enligt förslaget skulle försvinna helt, var det enligt utredningen nödvändigt att direkt i lagen ta in tydliga och utförliga bestämmelser som reglerar behandlingen av personuppgifter. Flera allmänt hållna begrepp t.ex. otillbörligt intrång i personlig integritet måste därför ersättas med klarare regler, så att det blir möjligt för en enskild att avgöra om den behandling av personuppgifter som planeras eller utförs uppfyller lagens krav eller ej. Begreppet otillbörligt intrång borde därför enligt ut- redningen ersättas med regler för de olika momenten i behandlingen. Det skulle med andra ord framgå direkt av lagen i vilka fall det är tillåtet att behandla personuppgifter utan att någon integritetsbedömning först behö- ver göras. Remissinstanserna tillstyrkte i huvudsak den metod som utredningen hade valt. Definitionen av begreppet personuppgift skulle enligt förslaget anpassas bättre till internationella regler. Detta skulle innebära att fler uppgifter än nu omfattas, nämligen alla uppgifter som direkt eller indirekt går att här- 96 förslag och utvecklingen därefter SOU 1997: 39 leda till en individ. I syfte att begränsa de uppgifter som behandlas skulle endast sådana uppgifter som behövs för angivna ändamål få behandlas. Remissinstanserna lämnade förslaget i stort sett utan erinran. Bestämmelserna om vem som är persondataansvarig (tidigare registeran- svarig) borde enligt utredningen utformas på ett sådant sätt att det blev lättare att avgöra hos vem ansvaret låg, särskilt beträffande data som an- vänds av flera olika rättssubjekt. Enligt förslaget skulle den vara ansvarig som bestämmer ändamålet med behandlingen, vilka personuppgifter som skall behandlas och hur de skall behandlas. Detta skulle bl.a. medföra att ansvaret läggs på den som har möjlighet att faktiskt påverka innehållet i uppgifterna. Flera av remissinstanserna ställde sig positiva till förslaget att koncent- rera ansvaret för en viss databehandling till ett rättssubjekt. pe- kade många på svårigheterna att åstadkomma detta i en situation där allt- fler system används av flera olika myndigheter och flödet av uppgifter mellan olika rättssubjekt ökar. Många instanser ansåg därför att den aktu- ella bestämmelsen borde bli föremål för förnyade överväganden. All behandling av personuppgifter skulle, liksom tidigare, ha anknytning till ett visst ändamål för att vara tillåten. Bestämmelsen borde enligt ut- redningen dock preciseras, så att det framgick att ändamålet skall vara ut- tryckligt angivet och definieras så snävt som möjligt. Ändamålet skulle bestämmas av den som ansvarar för behandlingen av personuppgifterna (den persondataansvarige). Ändamålsanknytningen skulle enligt utred- ningen vidare fungera som avgränsning mellan olika persondatasamlingar sedan registerbegreppet lämnats. Ytterst skulle det angivna ändamålet också bestämma i vilken omfattning datorlagrade uppgifter hos en myn- dighet utgör allmän handling och därmed faller under offentlighetsprinci- pen. Remissinstanserna var i huvudsak positiva till utredningens ställnings- taganden. Några ansåg dock att det borde uppställas ytterligare krav i lagen på att ändamålsbestämningarna är noggrant preciserade. Några instanser ifrågasatte om de ändamål som bestämts av den persondataansvarige själv verkligen bör få avgöra i vilken omfattning uppgifterna skall betraktas som SOU 1997: 39 förslag och utvecklingen därefter 97 allmän handling, oavsett vilka uppgiftssammanställningar som i och för sig är tekniskt möjliga att göra. 2.2.5.5Förutsättningarna för att få behandla personuppgifter Vidare borde förutsättningarna för att få behandla personuppgifter framgå direkt av lagen, i stället för som – oftast indirekt – som undantag från tillståndsplikten. Personuppgifter skulle enligt förslaget få behandlas en- dast N om den enskilde hade samtyckt till behandlingen, eller om behandlingen behövdes för att N fullgöra ett avtal med den enskilde eller för att på den enskildes begäran vidta förberedande åtgärder inför ett avtal, N fullgöra åligganden som följer av lag eller annan författning, N skydda enskilda intressen som är av väsentlig betydelse för den en- skilde, N utföra en uppgift i det allmännas intresse eller i myndighetsutövning av den persondataansvarige eller någon till vilken uppgifterna lämnas ut, eller N tillgodose ett allmänintresse eller ett intresse hos den persondataansva- rige eller någon till vilken uppgifterna lämnas ut, under förutsättning att detta intresse får anses väga tyngre än den enskildes intresse av att upp- gifterna om honom inte behandlas. Dessa bestämmelser skulle också reglera i vilka fall sambearbetningar av uppgifter från olika datasamlingar är tillåten. Särskilda regler skulle gälla för behandling av känsliga personuppgifter. Remissinstanserna hade i huvudsak inte några invändningar mot den föreslagna konstruktionen. Några menade dock att bestämmelserna till viss del borde förtydligas så att det klarare framgick vad som var tillåtet respek- tive otil? ?låtet, detta särskilt mot bakgrund av att ett otillåtet förfarande föreslogs bli straffbelagt. För att få behandla känsliga personuppgifter föreslog att det skulle krävas författningsstöd, om inte den registrerade hade lämnat skriftligt samtycke till behandlingen. Enligt förslaget till EG-direktiv skulle för behandling av sådana uppgifter krävas antingen en särskild för- fattningsreglering eller ett tillståndsförfarande. 98 förslag och utvecklingen därefter SOU 1997: 39 randet enligt utredningens förslag skulle upphöra, återstod möjligheten att reglera sådan behandling i författning (s.k. statsmaktsregister). Sambearbetning av känsliga personuppgifter skulle enligt utrednings- förslaget kräva särskilt stöd i den författning som reglerar bearbetningen, om inte samtycke föreligger. De remissinstanser som yttrade sig i frågan var huvudsakligen positiva till att behandling av känsliga personuppgifter författningsregleras. Flera ansåg att det skulle vara praktiskt taget omöjligt att i stället tillämpa ett förfarande där samtycke krävs i varje enskilt fall för behandlingen. Några instanser, särskilt inom den kommunala och landstingskommunala sektorn, pekade på det kommande behovet av ett tämligen omfattande författnings- arbete. Utredningen föreslog vidare att två typer av sådana register som inne- håller känsliga personuppgifter skulle regleras direkt i datalagen. Behand- ling av känsliga personuppgifter för forsknings- eller statistikändamål och vissa typer av känsliga personuppgifter för anställningsändamål skulle under särskilda i lagen uppräknade fall kunna ske utan samtycke av de re- gistrerade. Den allmänna bestämmelsen om att uppgifter inte får behandlas för andra ändamål än de som ursprungligen angetts skulle gälla även på forskningsområdet. En klar majoritet av remissinstanserna tillstyrkte förslaget att nämnda typer av behandlingar som huvudregel skulle kräva samtycke av dem vars uppgifter behandlas. Några instanser, företrädesvis inom forskningssek- torn, ansåg att förslaget skulle leda till inskränkningar i forskningsverk- samheten. Det är ofta svårt, menade man, att i förväg ange uttömmande vad uppgifterna kommer att användas till, t.ex. inom den medicinska forsk- ningen. Andra instanser menade att undantagen från huvudregeln om samtycke för behandling av personuppgifter på forskningsområdet var allt- för långtgående. När det gäller behandlingen av personuppgifter i samband med anställningsförhållanden ansåg vissa att undantag från kravet på samtycke endast skulle göras för löneberäkningar eller liknande. Utredningen föreslog att integritetsintressena skulle beaktas i större om- fattning än tidigare i gallringssammanhang utan att det för den skull gjor- des några avsteg från offentlighetsprincipen. I en särskild bestämmelse an- gavs därför hur avvägningen skall göras mellan intresset att bevara upp- gifterna för framtiden och intresset hos den enskilde att uppgifterna gallras. SOU 1997: 39 förslag och utvecklingen därefter 99 Flera remissinstanser var kritiska mot den föreslagna bestämmelsen, som man ansåg vara oklar. Det måste, menade dessa instanser, klart framgå vem – Datainspektionen eller arkivmyndigheten – som har den slutliga be- stämmanderätten i fråga om gallring. 2.2.6Bemyndigande att meddela föreskrifter Utredningen konstaterade att datalagen även i fortsättningen måste kunna kompletteras med bestämmelser på lägre nivå. Datainspektionen kan med- dela sådana föreskrifter t.ex. i tillståndsärenden.