sou · GLB339d2 · 1998-01-01 00:00:00 — I den utsträckning en skadeståndsfråga inte berörs i den föreslagna persondata- lagen – t.ex. frågan om hur skadeståndet för en personskada eller sakskada skall beräknas (5 kap. skadeståndslagen) eller frågan om ansvaret när det finns flera skadeståndsskyldiga (6 kap. 3 § skadeståndslagen) – bör givet- vis de allmänna reglerna i skadeståndslagen tillämpas. Frågan om jämk- ning av skadeståndet (jämför 6 kap. 1–2 §§ skadeståndslagen), t.ex. på grund av medvållande, får anses reglerad i den föreslagna persondatalagen. I den utsträckning ett förfarande i strid med bestämmelserna enligt den föreslagna persondatalagen ingår som ett led i ett sådant brott som avses i 1 kap. 3 § skadeståndslagen, kan däremot ideellt skadestånd för lidande respektive kränkning utgå enligt såväl den nämnda bestämmelsen som den föreslagna persondatalagen. Av vad som anförs i avsnitt 8.2.2 framgår i vilken utsträckning be- stämmelser i särskilda registerförfattningar (om t.ex. skadestånd) bör ta över reglerna i den föreslagna persondatalagen. Det bör i sammanhanget framhållas att det med den föreslagna persondatalagen torde krävas en ut- trycklig hänvisning i de särskilda registerförfattningarna till skadestånds- bestämmelserna i den föreslagna persondatalagen, om det inte anses befo- gat med särskilda skadeståndsbestämmelser i den författningen. Den före- slagna persondatalagen innehåller nämligen – till skillnad från datalagen – inte någon allmängiltig skadeståndsbestämmelse utan bara en bestämmelse 332 En felaktighet, som drabbat alla personuppgifter i statens person- och adressregis- ter, skulle med ett ideellt skadestånd för kränkning om per registrerad medföra en sammanlagd skadeståndsskyldighet i detta hänseende om . 440 Innehållet i den nya persondatalagen SOU 1997: 39 om skadestånd för behandling i strid med lagen eller föreskrifter som har meddelats med stöd av lagen (och inte någon bestämmelse om skadestånd för behandling i strid med bestämmelser i särskilda registerförfattningar som i stället avviker från lagen). EG-direktivet kräver att medlemsstaterna särskilt beslutar om de sanktio- ner som skall användas vid överträdelse av de nationella bestämmelser som inför direktivet. Av vad som anförs i avsnitt 12.14.1 framgår att vi föreslår att Datain- spektionen skall få effektiva möjligheter att ingripa med bl.a. vitesföre- lägganden när persondataansvariga inte uppfyller sina skyldigheter. Sådana vitesförelägganden – och utdömandet av förelagda viten – får anses utgöra sådana särskilda sanktioner som avses i EG-direktivet. Även de bestämmelser om ideellt skadestånd för kränkning och ett principiellt rent strikt ansvar som vi föreslår får anses utgöra sådana sank- tioner som avses i EG-direktivet; EG-direktivet torde nämligen inte kräva att skadeståndsansvaret skall vara rent strikt och att även icke ekonomisk skada skall ersättas. Ett skadestånd som utgår vid brott mot reglerna om behandling av personuppgifter trots att ingen har skadats fysiskt eller eko- nomiskt och trots att den persondataansvarige inte haft uppsåt att göra fel eller varit försumlig vid behandlingen, har – sett från den persondata- ansvariges synpunkt – en klart bestraffande karaktär och innebär en effek- tiv sanktion mot varje överträdelse av reglerna. Härtill kommer att den aktuella lagstiftningen bör övervakas av en kompetent myndighet, som bl.a. bör ha till uppgift att upplysa enskilda om deras rättigheter bl.a. i fråga om ideellt skadestånd för kränkning, och att enskilda kan få rättshjälp av staten för att i domstol driva sina krav (mot staten själv eller andra). Det behövs således inte några särskilda straffbestämmelser med hänsyn till EG-direktivet. Det får också anses ligga i linje med utvecklingen i att avkriminalisera, särskilt när det gäller att få befolk- ningen att följa lagstiftning som i likhet med den föreslagna persondatala- gen skall tillämpas i vardagslag på många olika håll och kanske också hemma i folks vardagsrum. Vite har vidare fördelar som sanktion jämfört med straff. Ett vite har som primärt syfte att få överträdelser att upphöra, medan straffet till sin karaktär är rent repressivt. Vitet kan också på ett annat sätt än straff an- passas till vad som behövs för att åstadkomma eftersträvat resultat i det SOU 1997: 39 Innehållet i den nya persondatalagen 441 En straffbestämmelse måste vara generellt utformad, medan ett vitesföreläggande skall ange ganska precist vad adressaten skall göra eller låta bli. Detta har särskild betydelse när det, såsom i detta fall, gäller en lagstiftning vars materiella regler är ganska vaga till sin natur och ibland har karaktären av avvägningsnormer. Den föreslagna lagstiftningen, som bl.a. bygger på begrepp med EG-gemensam innebörd, är alltså ganska svårtillämpad. När man inte direkt av lagstiftningen kan utläsa exakt hur man skall förfara i olika situationer och då Datainspektionen med det före- slagna systemet inte längre skall utfärda tillstånd med preciserade villkor för respektive personregister, är det bättre med preciserade vitesföre- lägganden i enskilda fall än med generella straffbestämmelser. När straff (med fängelse i straffskalan) är föreskrivet, kan förunder- sökning inledas och beslag och husrannsakan komma i fråga. Detta är inte möjligt med bara vite. Datainspektionen kan dock anlita biträde av polis- myndighet, om det är nödvändigt med hänsyn till utredningen av vitesfrå- gan.333 Såsom närmare utvecklas i avsnitt 12.14.1 har vi funnit att det är olämpligt med regler som innebär att polisen kan gå in och leta igenom t.ex. en bostad på grund av en misstanke om att olaglig behandling av per- sonuppgifter förekommer där, eftersom det skulle kunna leda till ett större intrång i den personliga integriteten än det intrång som persondataskydds- lagstiftningen avser att förebygga.334 Reglerna om beslag kan i sin tur sä- gas motsvaras av de bestämmelser som vi föreslår om att Datainspektionen i brådskande fall kan meddela tillfälliga beslut om vite och ansöka om ut- plånande av olagligt behandlade personuppgifter, se avsnitt 12.14.1. Det bör i detta sammanhang också påpekas att de allra värsta formerna av olaglig behandling av personuppgifter ofta ingår som ett led i annan brottslighet, t.ex. systematiskt ofredande eller barnpornografibrott, och att behandlingen då givetvis kan stävjas genom de utredande och bestraffande insatser som görs mot den brottsligheten. Vi anser med stöd av det anförda att det i den föreslagna persondatala- gen inte behöver finnas någon så omfattande straffkatalog som den som finns i datalagen ; de övriga sanktioner som vi föreslår ger effektiva möjligheter att komma till rätta med sådana missförhållanden som upp- täcks och innebär tillräckliga garantier för att lagstiftningen kommer att följas. 33310 § lagen (1985:206) om viten. 334Jämför beträffande husrannsakan 28 kap. 3 a § . 442 Innehållet i den nya persondatalagen SOU 1997: 39 Vi anser som nämnts att antalet anmälningar till och förhandskontroller av Datainspektionen bör begränsas till ett minimum. Med den inställningen är det naturligt att inte föreslå någon straffbestämmelse som motsvarar de som gäller vid underlåtenhet att ha licens eller tillstånd. När det – i ett sådant undantagsfall där anmälan bör krävas enligt det föreslagna systemet – upptäcks att en persondataansvarig inte gjort anmälan, räcker de vitesmöjligheter m.m. Datainspektionen bör ha; den som inte gör anmälan riskerar att bli vid vite förbjuden att behandla personuppgifter och att få de behandlade uppgifterna utplånade. Motsvarande gäller för övrigt för den som inte på begäran lämnar upplysningar om sådana behandlingar som inte har anmälts, varför inte heller de straffbestämmelser som finns beträffande s.k. registerförteckningar kan anses nödvändiga med det nya systemet. De straffbestämmelser som finns för det fallet att en registeran- svarig inte följer de föreskrifter Datainspektionen har meddelat i ett enskilt fall är inte riktigt relevanta med det föreslagna systemet, eftersom det inte bygger på att inspektionen efter en förhandskontroll meddelar föreskrifter i enskilda fall. Datainspektionen bör dock enligt det föreslagna systemet ha möjlighet att meddela föreskrifter om vilka säkerhetsåtgärder som skall vidtas i enskilda fall. Dessa föreskrifter kan förenas med vite, vilket får anses vara en tillräcklig sanktion. En allmän princip är ju för övrigt att vite och straff inte bör utdömas för samma sak. Därför är det inte heller nöd- vändigt att såsom ha en straffbestämmelse för det fallet att en per- sondataansvarig bryter mot ett förbud mot att behandla personuppgifter. Den straffbestämmelse som finns för det fallet att någon lagrar personuppgifter längre än vad som är tillåtet torde inte vara nödvändig med det nya systemet, eftersom det enligt detta system bör finnas möjlighet att få de lagrade uppgifterna utplånade efter domstolsbeslut, se avsnitt 12.14.1.3. Den som bryter mot den föreslagna persondatalagen med anknytande författningar t.ex. genom att lämna ut uppgifter trots att det inte varit tillå- tet kan drabbas av skadestånd – även ideellt sådant för kränkning – och kan vid vite förbjudas att fortsätta att behandla personuppgifter. Dessa sanktioner får anses så effektiva att det inte såsom behövs någon straffbestämmelse för den som lämnar ut personuppgifter trots att det inte är tillåtet. Det viktiga måste vara att förhindra ett oriktigt utlämnande, inte i sig att bestraffa någon när ett oriktigt utlämnande väl skett. Och de sank- tioner som vi föreslår får anses väl så avskräckande som den straffbe- stämmelse som finns . SOU 1997: 39 Innehållet i den nya persondatalagen 443 Ett missförhållande som dock kan vara svårt att komma åt med annan sanktion än ett ganska rejält straff är att folk ibland ljuger när det kan passa dem. Vi föreslår därför att den skall straffas med böter eller längst sex må- naders fängelse som uppsåtligen eller av oaktsamhet lämnar osanna upp- gifter i föreskriven information till registrerade, i en anmälan till Datain- spektionen eller när Datainspektionen begär information för sin tillsyn. Är det fråga om ett grovt brott bör dock straffskalan innefatta bara fängelse och sluta vid fängelse. Straffskalan för grovt brott respektive brott av normalgraden motsvarar den som gäller vid brottet osant intygande en- ligt 15 kap. 11 § . 12.14Datainspektionens uppgifter och finansiering De flesta regler om Datainspektionens uppgifter bör föras in i inspektio- nens instruktion. I den föreslagna persondatalagen bör tas in bara regler om inspektionens befogenheter att i samband med tillsyn begära upplysningar m.m. och att vid vite förbjuda persondataansvariga att fortsätta att be- handla personuppgifter. Inspektionen bör också ha möjlighet att ansöka om utplånande av personuppgifter. Inspektionens beslut bör kunna överklagas till länsrätten. Vår principiella inställning är att Datainspektionens verksamhet bör finansieras av de persondataansvariga. 12.14.1Datainspektionens uppgifter och befogenheter I artikel 28 i EG-direktivet finns det bestämmelser om tillsynsmyndighet. Bestämmelserna har berörts i avsnitt 3.17. Av dessa bestämmelser – och vissa andra bestämmelser – framgår sammanfattningsvis att den till- synsmyndighet som skall utses i skall ha följande befogenheter, uppgifter och egenskaper. N Övervaka tillämpningen på svenskt territorium av de svenska be- stämmelser som inför direktivet. N Skall fullständigt oberoende utföra sina uppgifter. 444 Innehållet i den nya persondatalagen SOU 1997: 39 N Skall höras när sådana författningar utarbetas som rör skyddet av en- skilda personers fri- och rättigheter med avseende på behandling av per- sonuppgifter. N Skall kontrollera förslag till uppförandekodexar (artikel 27.2). N Skall föra ett allmänt register över anmälda behandlingar (artikel 21.2). N Skall i vissa fall utföra förhandskontroll av anmälda behandlingar (artikel 20.2). N Skall ha undersökningsbefogenheter: Befogenhet att få tillgång till uppgifter som behandlas. Befogenhet att inhämta alla uppgifter som är nödvändiga för till- synen. N Skall ha effektiva befogenheter att ingripa: Kunna avge och offentliggöra yttranden i samband med förhands- kontroll av anmälda behandlingar. Kunna besluta om blockering, utplånande eller förstöring av uppgifter. Kunna besluta om tillfälligt eller slutligt förbud mot behandling. Kunna ge den persondataansvarige varning eller tillrättavisning eller kunna hänvisa saken till eller till någon annan politisk institution. N Befogenhet att inleda rättsliga förfaranden när de svenska bestämmelser som inför direktivet har överträtts eller befogenhet att uppmärksamma de rättsliga myndigheterna på sådana överträdelser. N Skall ta emot anmälningar från enskilda eller deras organisationer och informera de berörda om vilka följder anmälan fått (artikel 28.4). N Skall samarbeta med övriga tillsynsmyndigheter inom Europeiska unio- nen, särskilt genom att utbyta användbar information. N Skall ingå med en företrädare i en internationell arbetsgrupp med före- trädare för tillsynsmyndigheterna inom Europeiska unionen och kommissionen (artikel 29.2). N Skall regelbundet upprätta och offentliggöra en rapport om sin verksam- het. ledamöter och personal skall ha tystnadsplikt be- träffande förtrolig information som de har fått tillgång till. Den tystnads- plikten skall gälla även efter det att anställningen vid tillsynsmyndigheten har upphört. SOU 1997: 39 Innehållet i den nya persondatalagen 445 12.14.1.2Datainspektionens befogenheter enligt datalagen Enligt datalagen har Datainspektionen rätt att för tillsyn få tillträde till lo- kal där automatisk databehandling utförs eller där datamaskin eller utrust- ning eller upptagning för automatisk databehandling förvaras. Inspektio- nen har också rätt att få tillgång till handling som rör automatisk databe- handling och att föranstalta om körning av datamaskin. Den registeransvarige eller den som för dennes räkning handhar per- sonregister skall lämna Datainspektionen de uppgifter rörande den auto- matiska behandlingen som inspektionen begär för sin tillsyn. Den register- ansvarige är vidare skyldig att på Datainspektionens begäran sända in den s.k. registerförteckning som skall föras. Datainspektionen har dessutom under vissa förutsättningar rätt att vid vite ge föreskrifter rörande personregister. Om det inte går att skydda den personliga integriteten mot otillbörliga intrång på något annat sätt, får Da- tainspektionen vid vite förbjuda fortsatt förande av ett personregister eller återkalla ett meddelat tillstånd. Det finns slutligen möjlighet för domstol att förklara ett personregister förverkat, om det inte är uppenbart obilligt. Regeringen har redan utsett Datainspektionen till tillsynsmyndighet.335 Flera av de bestämmelser i som avser tillsynsmyndighetens uppgifter kan enligt vår mening lämpligen införas genom av regeringen beslutad förordning, företrädesvis genom en instruktion för Datainspektio- nen. Utöver de uppgifter för Datainspektionen som följer av EG-direktivet bör inspektionen särskilt ha till uppgift att informera om gällande regler om behandling av personuppgifter och att på lämpligt sätt ge råd och hjälp åt såväl registrerade som persondataansvariga. Datainspektionens tillsyn och befogenheter bör avse såväl den privata som den offentliga sektorn. Inspektionen bör – om inte annat följer av vad som föreskrivs i särskilda registerförfattningar – ha till uppgift att utöva tillsyn över tillämpningen av såväl den föreslagna generella persondatalagen som de särskilda register- författningarna. Med hänsyn till åtaganden enligt 335 Regeringsbeslut , Dnr Ju 96/176. 446 Innehållet i den nya persondatalagen SOU 1997: 39 konvention bör Datainspektionen vidare liksom särskilt ha till uppgift att lämna bistånd till sådana registrerade som är bosatta utomlands.336 Mot bakgrund av det sagda koncentrerar vi oss i det följande på sådana bestämmelser om Datainspektionens befogenheter m.m. som bör ha lag- form. För att Datainspektionen på ett så effektivt sätt som möjligt skall kunna utöva tillsyn över den behandling av personuppgifter som förekommer bör inspektionen för sin tillsyn ha rätt att på begäran få N tillgång till de personuppgifter som behandlas, N upplysningar och dokumentation rörande behandlingen av personupp- gifter och säkerheten vid denna och N tillträde till sådana lokaler som har anknytning till behandlingen av per- sonuppgifter. Rätten att få tillgång till behandlade personuppgifter innefattar naturligtvis en rätt att beordra de körningar och andra åtgärder som behövs för att få fram alla de personuppgifter som behandlas. För den händelse den persondataansvarige skulle obstruera och inte ge Datainspektionen det den behöver för tillsynen, måste inspektionen ha maktmedel att ta till. Eftersom sådan behandling av personuppgifter som omfattas av den föreslagna lagen kan förekomma t.ex. i någons hem eller i en dator som någon bär på sig och då det i en och samma dator kan före- komma såväl behandling som omfattas av lagen som rent privat behandling av högst personliga uppgifter som inte omfattas av lagen, har vi funnit att det är olämpligt med regler som innebär att inspektionen skulle få ge- nomdriva sina rättigheter med t.ex. polishjälp; det skulle kunna leda till ett större intrång i den personliga integriteten än det intrång som inspektio- nens tillsynsverksamhet syftar till att förebygga. Enligt vår mening bör man gå en annan väg i stället. Syftet med Datainspektionens tillsyn och inspektionens rättigheter i samband med den är ytterst att inspektionen skall kunna konstatera om den behandling som utförs är laglig. Kan inspektionen inte på begäran få till- gång till ett tillräckligt underlag för att konstatera att behandlingen är lag- lig, bör inspektionen kunna vid vite förbjuda den persondataansvarige att fortsätta att behandla personuppgifter på annat sätt än genom att lagra dem. Den som obstruerar riskerar således att bli förbjuden att i fortsättningen 336 Se 15 § dataförordningen. SOU 1997: 39 Innehållet i den nya persondatalagen 447 Den risken kan med fog antas medföra att de persondataansvariga blir tillräckligt benägna att ge inspektionen det under- lag den behöver. Datainspektionen kan på olika sätt få reda på att personuppgifter be- handlas – eller kan komma att behandlas – på ett olagligt sätt. Sådan in- formation kan framkomma i samband med ett tillsynsbesök, framgå av en insänd anmälan om behandlingen eller av ett klagomål från någon registre- rad. I sådana fall bör inspektionen i första hand försöka att åstadkomma rättelse genom påpekanden eller liknande förfaranden. Men går det inte att få rättelse på annat sätt, bör myndigheten kunna vid vite förbjuda den per- sondataansvarige att fortsätta att behandla personuppgifter på annat sätt än genom att lagra dem. Om det är riskfyllt att vänta, bör Datainspektio- nen genast kunna ingripa på detta sätt. Av vad som anförs i avsnitt 12.10.3 framgår att Datainspektionen bör kunna fatta beslut om vilka skyddsåtgärder som en persondataansvarig skall vidta. Det beslutet bör kunna överklagas hos allmän förvaltnings- domstol, dvs. Om den persondataansvarige inte följer ett beslut om skyddsåtgärder som har vunnit laga kraft, bör Datainspektionen kunna föreskriva vite för att beslutet skall genomföras. I fråga om Datainspektionens möjligheter att föreskriva vite bör gene- rellt gälla att den persondataansvarige skall få tillfälle att yttra sig innan inspektionen föreskriver vite. Om det är riskfyllt att vänta med beslutet om vite till dess den persondataansvarige fått möjlighet att yttra sig, bör in- spektionen dock få fatta ett tillfälligt beslut om vite. Det tillfälliga beslutet bör i sådana fall prövas om när yttrandetiden har gått ut och det finns ett mera fullständigt underlag. Allmänna bestämmelser om vite finns i lagen (1985:206) om viten. Av 2 § fjärde stycket i den lagen framgår att ett vitesföreläggande skall delges adressaten. Enligt vår mening bör i fråga om delgivningen gälla samma regler som för delgivning av en stämning i ett tvistemål, se 33 kap. 6 § andra stycket . Delgivning enligt 12 § delgivningslagen (1970:428), som innebär att delgivningshandlingen lämnas till någon annan fysisk person än den som söks för delgivning, bör således få använ- das bara under förutsättning att den persondataansvarige har avvikit eller håller sig undan på något annat sätt. Av lagen om viten framgår att frågan om utdömande av ett förelagt vite prövas av länsrätten (i ) på ansökan av Datainspektionen, som får anlita biträde av polismyndighet om det är nödvändigt med hänsyn till utredningen. 448 Innehållet i den nya persondatalagen SOU 1997: 39 Av lagen om viten framgår vidare att vite inte skall dömas ut, om ända- målet med vitet har förlorat sin betydelse. Av allmänna principer torde dessutom följa att Datainspektionen skall återkalla ett meddelat vitesföre- läggande så snart den persondataansvarige har gjort vad som krävs av ho- nom eller henne. Ett förbud vid vite att behandla personuppgifter på annat sätt än genom att lagra dem kommer alltså att gälla bara till dess den per- sondataansvarige har botat den försummelse som föranledde förbudet. Vi föreslår också att Datainspektionen skall kunna ansöka hos läns- rätten (i ) om att sådana personuppgifter som har behandlats på ett olagligt sätt skall utplånas. Den möjligheten kan användas t.ex. när känsliga personuppgifter har behandlats trots att den persondataansvarige inte alls har haft rätt att behandla sådana uppgifter. Det ligger i sakens na- tur att möjligheten att ansöka om utplånande av personuppgifter bör an- vändas bara i sådana fall där det inte genom andra åtgärder är möjligt att förena behandlingen av uppgifterna med de regler som gäller. Vi föreslår också en uttrycklig regel om att domstolen inte får besluta om utplånande, om det skulle vara oskäligt. Dessa föreslagna bestämmelser om utplånande kan sägas motsvara de regler som finns om förverkande av person- register. Innebörden av att personuppgifter utplånas har berörts i avsnitt 12.8.2.5. Av vad som anförs i avsnitt 9.4 framgår att bestämmelserna i den föreslagna persondatalagen inte hindrar att en myndighet arkiverar och be- varar sina allmänna uppgifter eller att arkivmaterial tas om hand av en ar- kivmyndighet. Enligt EG-direktivet skall tillsynsmyndighetens ledamöter och personal ha tystnadsplikt beträffande förtrolig information som de har fått tillgång till. Den tystnadsplikten skall gälla även efter det att anställningen vid till- synsmyndigheten har upphört. I 9 kap. 6 § sekretesslagen finns bestämmelser om den sekretess som gäller hos Datainspektionen för uppgifter om enskilds personliga eller ekonomiska förhållanden. Sekretessen gäller i ärenden om tillstånd eller tillsyn, som enligt lag ankommer på Datainspektionen, och i ärenden som sådant bistånd som avses i konvention, om det kan antas att den enskilde eller någon som står honom eller henne nära lider skada eller men om uppgifterna avslöjas. Uppgifter om en registrerads förhållanden får tjänstemännen på inspektionen inte ens lämna ut till massmedier för publicering (16 kap. 1 § sekretesslagen). Av 1 kap. 6 § sekretesslagen följer att sekretessen gäller även efter det att en anställning eller ett upp- drag hos Datainspektionen har upphört. SOU 1997: 39 Innehållet i den nya persondatalagen 449 Bestämmelserna i sekretesslagen får anses utgöra sådana regler om tystnadsplikt som avses i direktivet. I ärende om anmälan enligt den före- slagna lagen torde det inte förekomma några sådana uppgifter som bör sek- retessbeläggas. Enligt artikel 28.3 sista stycket i EG-direktivet skall ett beslut av till- synsmyndigheten som har gått en part emot kunna överklagas till domstol. gäller enligt datalagen att Datainspektionens beslut överklagas hos länsrätten. När en annan statlig myndighet är registeransvarig, skall dock beslutet i stället överklagas till regeringen.