sou · GLB339d1 · 1998-01-01 00:00:00 — Enligt expertgruppens förklarande rapport är utgångspunk- ten att vissa av den enskildes rättigheter kan behöva skyddas i förhållande till den prin- cip om fritt flöde av information, oberoende av gränser, som finns inskriven i interna- överenskommelser om mänskliga rättigheter. Konventionens tillämpningsområde är enligt huvudregeln automatiserade personre- gister och automatisk databehandling av personuppgifter i allmän och enskild verksam- het (artikel 3). Varje konventionsstat kan dock göra vissa allmänna inskränkningar eller utvidgningar i tillämpningsområdet för konventionen i dess helhet. Därutöver finns viss möjlighet till undantag från några enskilda bestämmelser (artikel 9). Reservationer mot bestämmelserna i övrigt får inte göras (artikel 25). Däremot är det ingenting som hindrar att registrerade personer tillerkänns ett mer omfattande skydd än som föreskrivs i kon- ventionen (artikel 11). Konventionen har fem kapitel. Den centrala delen är kapitel II (artiklarna 4–11) som innehåller de grundläggande principerna för dataskydd. Varje konventionspart skall vidta de åtgärder som behövs för att dess nationella lagstiftning skall innehålla dessa grundläggande principer. Åtgärderna skall vara vidtagna senast då konventionen träder i kraft för parten (artikel 4). Dessa grundläggande principer skall garantera registrerade personer i alla länder där konventionen gäller ett visst minimi- skydd i samband med automatisk databehandling av personuppgifter. 101 har bl.a. samtliga EG-stater, utom , ratificerat konventionen. SOU 1997: 39 Övriga internationella regler 171 det möjligt för konventionsparterna att ömsesidigt avstå från att begränsa dataflödet över gränserna. Kapitel II innehåller krav på beskaffenheten av de personuppgifter som undergår au- tomatisk databehandling (artikel 5). Dessa krav innebär bl.a. att uppgifterna skall inhäm- tas och behandlas på ett korrekt sätt och vara relevanta med hänsyn till ändamålet. Vissa typer av uppgifter får inte undergå automatisk databehandling, om inte den nationella lagen ger ett ändamålsenligt skydd (artikel 6). Det gäller uppgifter om ras, politiska åsikter, religiös tro eller annan övertygelse, hälsa, sexualliv samt brott. Lämpliga säker- hetsåtgärder skall vidtas för att skydda personuppgifter gentemot oavsiktlig eller otillå- ten förstörelse m.m. (artikel 7). Vissa ytterligare skyddsåtgärder för registrerade perso- ner föreskrivs (artikel 8). Vidare föreskrivs bl.a. att alla som är registrerade i ett person- register skall ha möjlighet till insyn i registret och möjlighet att få felaktiga uppgifter rättade. Vissa undantag får enligt konventionen göras i fråga om kraven på uppgifternas be- skaffenhet och dylikt (artikel 9). För sådana avvikelser krävs dock dels att de har stöd i nationell lagstiftning, dels att de är nödvändiga i ett demokratiskt samhälle för att skydda statens säkerhet eller dylikt eller för att skydda den registrerade eller andra per- soners fri- och rättigheter. Rätten till insyn och rättelse m.m. får också i vissa fall in- skränkas i fråga om personregister för statistikändamål eller vetenskapliga forsknings- ändamål. Den nationella lagen skall också innehålla lämpliga sanktioner och rättsmedel (artikel 10). Kapitel III, som rör dataflödet över gränserna, syftar till att förena kraven på fritt in- formationsflöde och dataskydd. Det är enligt expertgruppen viktigt att man ser be- stämmelserna i kapitel III i samband med de grundläggande principerna i kapitel II, som garanterar att databehandlingen av personuppgifter i alla berörda länder är föremål för samma grundläggande reglering. Kapitel III innehåller bestämmelser om behandlingen i nationell lag av flödet av personuppgifter över gränserna (artikel 12). Bestämmelserna gäller, oavsett vilket medium som används, vid överföring över nationsgränser av per- sonuppgifter som undergår eller skall undergå automatisk databehandling eller som samlas in för det ändamålet. Huvudregeln är att överföring mellan konventionsstater skall vara fri. Det är inte tillåtet att ställa upp vare sig förbud eller krav på särskilt med- givande uteslutande i syfte att skydda den personliga integriteten. I två fall är det emellertid tillåtet att göra undantag från huvudregeln. Den ena grun- den för undantag är att avsändarlandets lagstiftning innehåller särskilda bestämmelser för vissa kategorier av personuppgifter men mottagarlandets lagstiftning inte ger ett lik- värdigt skydd. Den andra grunden är att det egentliga mottagarlandet står utanför kon- ventionen men överföringen dit sker via en konventionsstat. I ett sådant fall är det möj- ligt för avsändarlandet att, för att undvika att dess lagstiftning kringgås, exempelvis kräva särskilt tillstånd för överföringen. Kapitel IV och V reglerar formerna för samarbetet mellan konventionsstaterna. Konventionen har konstruerats på ett sätt som gjort det möjligt att begränsa innehållet till de grundläggande principerna och för övrigt lita till samarbete mellan konventions- staterna, bl.a. inom ramen för en rådgivande kommitté, när det gäller att införa och har- monisera dessa principer i de olika staternas lagstiftning. I kapitel IV finns bestämmelser om att varje konventionsstat skall utse en eller flera myndigheter för samarbetet mellan parterna och även ange varje myndighets behörighet (artikel 13). De myndigheter som utses i de olika länderna skall tillhandahålla upplys- ningar om lagstiftning och administrativt förfarande på dataskyddsområdet m.m. Vidare behandlas frågor om bistånd till registrerade personer som är bosatta utomlands (artikel 172 Övriga internationella regler SOU 1997: 39 Den myndighet som utses i ett visst land skall hjälpa personer i utlandet med att utöva sina rättigheter till insyn och rättelse m.m. Sådant bistånd skall lämnas oavsett om den som begär hjälp är bosatt i en annan konventionsstat eller i ett land som står utanför konventionen. I kapitel V finns bestämmelser om den rådgivande kommittén, dess sammansättning och uppgifter m.m. (artikel 18 och 19). I bilaga 4 till slutbetänkande finns det en redogörel- se för utländsk rätt land för land.102 Med hänsyn till att de länder vars rättstraditioner står oss närmast – medlemsstaterna i EU och EES – håller på att se över den befintliga dataskyddslagstiftningen för att anpassa den till EG-direktivet har vi inte funnit det meningsfullt att här lämna en motsvarande redovisning; den som är intresserad av en samlad framställning av den delvis överspelade ordningen i utlandet hänvisas till redogörelse. Vi har dock, så långt möjligt, försökt att följa upp det översynsarbete som pågår i många länder och ta till vara erfarenheterna från utlandet, bl.a. genom sammanträffande med de övriga nordiska utredningarna och deltagande i internationella akademiska seminarier och konferenser samt besök vid utländska dataskyddsmyndigheter. Vad som kommer att föreslås i de olika länderna är dock ännu oklart i många delar, och vi har därför inte här kunnat ta in någon samlad redogörelse för förslagen till genomförande av EG-direktivet i andra länder; en sådan redogörelse skall för övrigt kommissionen lämna (se artikel 33 1 st. i EG-direktivet). En slutsats som kan dras av våra internationella kontakter är att det finns ganska betydande skillnader mellan medlemsstaterna i EU och EES i fråga om uppfattningen om hur den personliga integriteten lämpligen bör skyddas vid informationsbehandling, t.ex. när det gäller värdet av att be- handlingar anmäls till en dataskyddsmyndighet. Genomförandet av EG- direktivet torde komma att innebära en viss harmonisering och samsyn på området, men det förefaller högst sannolikt att det även efter genomföran- det kommer att finnas betydande skillnader mellan medlemsstaterna i syn- sätt och tillvägagångssätt på grund av det spelrum EG-direktivet medger vid genomförandet. 102 Se också t.ex. , Privacy and Human Rights, 1994. SOU 1997: 39 Övriga internationella regler 173 Inom kommissionen verkar man dock se det generella EG-direktivet som bara ett första steg, vilket infört en gemensam men flexibel referens- ram som grund för fortsatt arbete på området. Det särskilda EG-direktivet för telekommunikationsområdet, om vilket en gemensam ståndpunkt nyli- gen antagits (se avsnitt 3.21), visar att man på särskilda områden är beredd att gå vidare med preciseringar på gemenskapsnivå inom den referensram som det generella EG-direktivet skapat. I den mån man inom EG fortsätter på den inslagna vägen med preciseringar på gemenskapsnivå kommer harmoniseringen att drivas allt längre, som det nationella spel- rum som det generella EG-direktivet medger gradvis krymper. SOU 1997: 39 Enligt utredningsdirektiven skall vi i vårt arbete beakta utvecklingen på IT-området. Vi skall även beakta den fortsatta utveckling som kan över- blickas. Den tekniska utvecklingen på detta område går med en rasande fart. Vi har under utredningsarbetets gång försökt att hålla oss underrättade om vilka tekniska möjligheter som finns och om vad tekniken kan tänkas erbjuda . Vi har också tagit del av olika framtidsvisioner eller scenarier. Däremot har vi inte funnit det meningsfullt att här lämna en re- dovisning av var tekniken står just . En sådan redovisning skulle be- roende på den snabba utvecklingstakten i vissa delar vara inaktuell redan innan remissyttrandena över betänkandet kommit in. Härtill kommer att tekniken i sig – eller inom den framtid som kan överblickas – inte innebär några egentliga begränsningar som bör beaktas vid utarbetandet av en ny lagstiftning om persondataskyddet. Lagstiftningen blir vidare mera framåtsyftande om man vid utarbetandet utgår från att det mesta i fråga om informationsbehandling är – eller kommer att bli – tekniskt möjligt. Förutsättningarna för vårt arbete med att reglera behandlingen av per- sonuppgifter bör därför vara, att en sådan behandling och inom den överblickbara framtiden inte hindras av några begränsningar i de tekniska möjligheterna att nå och bearbeta datorlagrad information överallt och på alla tänkbara sätt. Den tekniska utrustningen blir bara kraftfullare, enklare att hantera och billigare. kan i princip alla företag och löntagare i , som pri- oriterar detta, skaffa sig utrustning som gör det möjligt att bearbeta ett stort antal uppgifter om tiotusentals personer och att utbyta information med andra datoranvändare över hela världen.103 Möjligheterna finns för alla och inte bara för myndigheter eller andra stora organisationer.104 103En undersökning visade att av den svenska befolk- ningen i åldern 16–är eller har varit datoranvändare, se Statistiska centralby- SOU 1997: 39 Utrustningen och sätten att lagra och representera information kommer förmodligen att bli alltmer standardiserade och kompatibla. Så snart in- formation om t.ex. en person har lagrats i datorformat (binärt, dvs. såsom ettor och nollor) i en dator kommer den informationen tekniskt sett att kunna läsas och användas också av alla andra datorer (eventuellt efter s.k. konvertering). Utvecklingen gör att varje användare tekniskt sett lättare kan nå all information. Alltmer information av olika typ kan vidare använ- das , t.ex. text, ljud och bild sammanställda, s.k. multimedia. Alltfler datorer och informationsmängder kopplas samman. Det blir tekniskt allt enklare och billigare att dela datorlagrad information med allt fler i allt mer omfattande s.k. nätverk, t.ex. Internet. blir det allt enklare för den enskilde användaren att ta med sig datorkraften eller möj- ligheterna att koppla upp sig mot informationsmängderna. Det blir vidare allt enklare att sammanställa information från flera olika källor oberoende av de fysiska avstånden. Varje datoranvändare kan varhelst han eller hon befinner sig nå information överallt. Att datorer blir kraftfullare, enklare att använda och billigare har redan nämnts. Det gör att var och en själv kan bearbeta information på alla tänk- bara sätt. Grundinformationen kan hämtas från många olika källor i värl- den. Den bearbetade (manipulerade) informationen kan sedan – med eller utan källangivelse – spridas till datoranvändare över hela världen för vi- dare sammanställning och bearbetning av andra. rån, Datorvanor 1995 – Undersökning gjord på uppdrag av , 1995. 104En del brukar måla upp en vision om informationsteknikens A- och B-lag. Dis- kussionen om hur möjligheterna faktiskt skall kunna göras tillgängliga för alla är givetvis viktig, men hör egentligen inte hemma i detta sammanhang. SOU 1997: 39 6 Reglering av bruk eller missbruk Såväl den nuvarande datalagen som EG-direktivet, andra internationella överenskommelser och de flesta andra EU-staters dataskyddslagstiftning bygger på att själva hanteringen av personuppgifter regleras. Vi föreslår att en ny, svensk lagstiftning också skall reglera själva hanteringen av uppgif- terna och inte bara vad som kan betecknas som ett missbruk av dem. Det förtjänar emellertid övervägas om det inte bör ske en övergång till en så- dan missbruksmodell. Den struktur som EG-direktivet anvisar läggs till grund för vårt lagförslag, när det inte finns särskilda skäl för avvikelser. Utgångspunkten för vårt arbete skall – enligt utredningsdirektiven – vara att tillförsäkra den enskilde ett fullgott integritetsskydd i IT-samhället sam- tidigt som användningen av ny teknik i samhällsutvecklingen inte skall hämmas. När det gäller frågan om vilka förhållanden som generellt sett anses utgöra intrång i annans personliga integritet hänvisas ibland till en av professorn upprättad kränkningskatalog:105 a)tillträde till och genomsökande av privata lokaler eller annan egendom, b)kroppsundersökning, c)medicinska undersökningar, psykologiska test, d)intrång i en persons privata sfär genom skuggning, spionerande, tele- fonterror, e)ofredande genom företrädare för massmedierna, f)olovlig ljudupptagning, fotografering eller filmupptagning, 105 SvJT 1971 s. 698 f. 178 Reglering av bruk eller missbruk SOU 1997: 39 g)brytande av brevhemligheten, h)telefonavlyssning, i)utnyttjande av elektronisk avlyssningsapparatur, j)spridande av förtroliga uppgifter, k)avslöjande inför offentligheten av annans privata förhållanden, l)olika former av utnyttjande av annans namn, bild eller liknande identi- fieringsmedel, m)missbruk av annans ord eller meddelanden, och n)angrepp på annans heder och ära. Framför allt förfaranden under j), k) och n) kan avse personuppgifter som behandlas i IT-miljö. Att den personliga integriteten skyddas innebär i dessa sammanhang att användningen av personuppgifter regleras och begränsas. Det står alltså klart att en integritetsskyddslagstiftning måste hämma användningen av personuppgifter; ju mera användningen hämmas, desto starkare blir inte- gritetsskyddet. Genom att integritetsskyddslagstiftningen görs teknikoberoende blir såväl som automatisk användning av personuppgifter underkastad i princip samma reglering. Och beslutet att utnyttja eller inte utnyttja ny teknik blir därmed oberoende av den integritetsskyddslagstiftning som finns rörande användningen av personuppgifterna. Frågan om en teknik- oberoende integritetsskyddslagstiftning berörs närmare i avsnitt 7. Andra utredningar, t.ex. , arbetar eller har arbetat för att främja användningen av den nya informationstekniken. Det är givetvis angeläget att så effektiva och billiga verktyg som möjligt används för de arbetsuppgifter som behöver utföras i den offentliga sektorn och inom nä- ringslivet. Vi har gjort en total översyn av den föråldrade datalagen och föreslår att den nya lagstiftningen görs teknikoberoende. I dessa hänseen- den kan sägas att vårt arbete främjar användningen av ny teknik. I övrigt får vi nöja oss med att försöka utforma en integritetsskyddslagstiftning som inte mer är nödvändigt hämmar användningen av personuppgifter och därmed utnyttjandet av såväl ny som gammal teknik. Vilken reglering och begränsning av användningen av personuppgifter är då nödvändig för att skydda den personliga integriteten? Det är till stora delar en fråga som är beroende av rådande värderingar i samhället. Sådan användning som enligt dessa värderingar framstår som otillbörliga intrång i annans personliga integritet skall så långt möjligt förebyggas. När personuppgifter som är felaktiga eller missvisande används, kan det få svåra konsekvenser för såväl enskilda som verksamheten i samhället. SOU 1997: 39 Reglering av bruk eller missbruk 179 Då kan det bli fråga om direkt mätbara fysiska eller ekonomiska skador, t.ex. när fel person sätts i fängelse eller fel ben amputeras. Att an- vändningen av personuppgifter leder till sådana direkt mätbara skador kan givetvis aldrig accepteras; det är därför ett oeftergivligt krav att de uppgif- ter som används är riktiga och inte missvisande. Men i övrigt – dvs. när i och för sig korrekta personuppgifter används – utgör regleringen av in- tegritetsskyddet en värderingsfråga. Även med denna utgångspunkt kan man på ett mera allmänt och lag- tekniskt plan resonera kring vilken metod som bör användas för att reglera integritetsskyddet. Det är ett sådant principiellt resonemang som förs i detta avsnitt. Våra överväganden beträffande den närmare nivån på skyddet – dvs. i praktiken vilka begränsningar i användningen av person- uppgifter som bör gälla – kommer att framgå av de följande avsnitten. 6.2Olika modeller för regleringen Man kan på ett principiellt plan tänka sig åtminstone två olika modeller för regleringen av skyddet för den personliga integriteten: N Reglering av själva hanteringen av personuppgifter (hanteringsmo- dellen). N Reglering av sådant utnyttjande av personuppgifter som kan karakterise- ras som ett missbruk (missbruksmodellen). När man riktar in sig på att reglera själva hanteringen av personuppgifter, blir det viktigt med regler som avser t.ex. N att precisera godtagbara ändamål med hanteringen och hindra använd- ning som inte stämmer överens med sådana ändamål, N att inte fler uppgifter än nödvändigt hanteras, N att de hanterade uppgifterna är korrekta och relevanta, N att de hanterade uppgifterna inte läcker ut från den som hanterar dem och N att de registrerade kan få kännedom om av vem uppgifterna hanteras och vilka uppgifter som hanteras. Den nuvarande datalagen och EG-direktivet kan sägas bygga på en sådan modell för skyddet av den personliga integriteten. 180 Reglering av bruk eller missbruk SOU 1997: 39 konvention och rekommendationer samt, på det globala planet, riktlinjer verkar bygga på hanteringsmodellen. Även den svenska grundla- gen106 kan sägas kräva att det skall finnas en lagstiftning baserad på hante- ringsmodellen, innefattande skydd mot integritetskränkningar genom att personuppgifter registreras (oavsett om de i någon mening missbrukas eller inte). De som förespråkar den modell som koncentrerar sig på reglering av det som kan karakteriseras som missbruk av personuppgifter, brukar utgå från att själva hanteringen av personuppgifterna skall vara i det närmaste fri. Det har t.ex. talats om ett slags allemansrätt till personuppgifter.107 Det viktiga med den modellen blir i stället att identifiera vilken användning av personuppgifter som utgör ett sådant missbruk att det bör förbjudas, dvs. i första hand kriminaliseras eller skadeståndsbeläggas. Båda modellerna har fördelar. Även om en reglering i enlighet med hanteringsmodellen görs i princip teknikoberoende, är det inte praktiskt möjligt att låta den omfatta all hante- ring av personuppgifter; hanteringen av sådana personuppgifter som någon har memorerat (har i huvudet) bör t.ex. lämnas utanför regleringen, trots att de memorerade uppgifterna givetvis kan komma att användas till skada för den som uppgifterna avser. Missbruksmodellen däremot är helt teknik- oberoende och tar sikte på det skadliga utnyttjandet av personuppgifterna oberoende av vilket hjälpmedel som har använts vid utnyttjandet (papper och penna, dator, det mänskliga minnet etc.). Med hanteringsmodellen kan man alltså – till skillnad från missbruks- modellen – inte komma till rätta med allt missbruk av personuppgifter eller all användning av personuppgifter som enskilda kan tycka är obehaglig eller skadlig. Med hanteringsmodellen främjas en kontinuerligt god hantering av per- sonuppgifter; man begränsar hanteringen till de uppgifter som behövs och hanteringen sker på ett ändamålsenligt sätt som den enskilde kan få insyn i. Den modellen förutsätter också att det finns någon sorts kontroll av eller tillsyn över hanteringen. Missbruksmodellen är å andra sidan mera re- pressiv till sin karaktär. Där kommer regleringen och tillsynen in först se- dan skadan har skett, när missbruket är ett faktum. Det torde med den mo- 1062 kap. 3 § 2 st. regeringsformen. 107Se , Rapport om skyddet för enskilda personers privatliv – ett mer samlat grepp?, 1995, avsnitt 10.4. SOU 1997: 39 Reglering av bruk eller missbruk 181 dellen vara svårt att på ett tillräckligt förutsebart sätt reglera och kontrolle- ra olika förberedelser till missbruk. Den hantering som inte innebär ett missbruk lämnas med missbruksmo- dellen i princip utanför regleringen; där gäller allemansrätten till person- uppgifter. Med hanteringsmodellen regleras däremot i princip också så- dan hantering av personuppgifter som objektivt sett måste betraktas som harmlös. Det kan därför tyckas att hanteringsmodellen spänner över onö- digt mycket. Missbruksmodellen lämnar å andra sidan öppet för en hante- ring av också känsliga personuppgifter som redan genom sin stora omfatt- ning kan oroa många människor. 6.2.2Valet på lång sikt av modell för regleringen Den svenska datalagen och EG-direktivet, som kan betecknas som en mo- derniserad version av datalagen, bygger som framgått av föregående av- snitt på hanteringsmodellen. Denna kännetecknas av långtgående och de- taljerade anvisningar för hur persondata får hanteras. Datalagens tillkomst motiverades av den oro och det obehag med vilken många upplevde den begynnande dataålderns nya möjligheter att behandla personuppgifter. Hanteringsmodellen bygger på ett omfattande administrativt system för kontroll och tillsyn av att dessa regler upprätthålls. Att skapa ett sådant system var högst naturligt då persondata fanns registrerade i ett antal stora datorer, då antalet system var få och lättöverskådliga och det sålunda var realistiskt att tillsynsmyndigheterna skulle kunna pröva och kontrollera att datahanterarna följde lagen. kommer dataflödet – även i fråga om persondata – att bli enormt. Redan nu kan vi se att i stort sett inga spärrar gäller i fråga om vad som läggs in i Internet och som sprids över alla gränser. Hittillsvarande erfarenheter från säger oss att för endast av alla licenspliktiga personregister har innehavaren sökt licens hos Datainspek- tionen. Proportionen av laglydiga kan inte väntas bli större när antalet PC- innehavare ökar. Man skulle kunna tro att det upplevda obehaget skulle ha minskat i takt med att kunskapen om och användningen av datorer ökat och IT-samhället krupit närmare. Emellertid visar de undersökningar som har gjorts att många människor är negativa eller åtminstone tveksamma till att deras personuppgifter används utan att de får reda på det och utan att de har nå- gon möjlighet till inflytande. De upplever det som obehagligt att deras per- sonuppgifter flödar fritt utom deras kontroll, oavsett om uppgifterna i nå- 182 Reglering av bruk eller missbruk SOU 1997: 39 gon mening missbrukas eller om de själva har råkat ut för något negativt på grund av att uppgifterna använts. Det förhållandet att den enskilde har eller inte har egen erfarenhet av datorer verkar enligt de senaste undersök- ningarna inte ha påverkat inställningen till användningen av personuppgif- ter eller det upplevda obehaget. Och om åldern alls har någon betydelse, är det så att yngre varit mera negativa än äldre till t.ex. överföringar av uppgifter mellan myndigheter. En förklaring till dessa iakttagelser kan vara att det inte är tekniken som sådan utan teknikens möjligheter som människor är oroliga för.