sou · GLB339d2 · 1998-01-01 00:00:00 — 12.2.12Automatisk respektive icke automatisk behandling I EG-direktivet finns inte någon definition av vad som är automatisk re- spektive icke automatisk behandling av personuppgifter. Dessa begrepp, som är grundläggande för tillämpningen av direktivet, har en EG-gemen- sam innebörd. Det står klart att behandling i datorer av personuppgifter som finns i datorformat (binär form) – inklusive överföringen av uppgifter till sådant format – som regel bör anses som automatisk behandling i direktivets me- ning.295 Däremot är det mera osäkert om och i vilken utsträckning direkti- vets regler om automatisk behandling skall tillämpas på behandling av per- sonuppgifter som inte finns i datorformat, t.ex. bilder och ljud som lagrats i något analogt format (exempelvis på ett negativ eller ett vanligt ljud- eller 295Jämför dock SOU 1996:88 s. 179 där det ges uttryck för den uppfattningen att sådan kameraövervakning, som bygger på digital teknik och där bild och ljud inte bevaras utan bara visas på en monitor, inte kan sägas ske med hjälp av automatisk behandling i direktivets mening. SOU 1997: 39 Innehållet i den nya persondatalagen 347 Det står klart att ljud- och bilduppgifter avseende människor omfattas av direktivets bestämmelser.296 Själva överföringen av en människas utseende eller röst till ett vanligt (analogt) ljud- eller videoband kan i någon mening sägas ske automatiskt, men det är som vi ser det inte tillräckligt för att direktivets bestämmelser om automatisk behandling skall tillämpas. Den analoga upptagningen av en människas utseende och röst kan emellertid också ske automatiskt i den meningen att upptagningen påbörjas och avslutas utan att någon operatör är direkt inblandad eller närvarande, såsom vid vissa former av videoövervakning och telefonavlyssning; det är datorer eller annan apparatur som utan direkt mänsklig inblandning styr upptagningen. Det förefaller tveksamt om direktivets bestämmelser om automatisk be- handling skall tillämpas på sådan behandling. Detsamma kan sägas gälla beträffande t.ex. mekaniska stämpelklockor och kassaregister som registre- rar en anställds ankomst och försäljning. Det är över huvud taget osäkert vad som avses med automatisk be- handling av personuppgifter enligt EG-direktivet. Därför har vi inte tagit in någon definition av det begreppet i den föreslagna lagen. Denna osäkerhet och bristen på upplysande uttalanden i t.ex. ingressen till direktivet medför också att vi inte anser oss ha någon egentlig grund för att lämna ytterligare vägledning för tillämpningen. Den som vill vara på den säkra sidan bör enligt vår mening kunna tillämpa den föreslagna lagens bestämmelser om automatisk behandling på all behandling av personuppgifter i datorformat och sådana personuppgifter som registeras i annan form utan någon direkt mänsklig inblandning. Direktivets och den föreslagna lagens bestämmelser om automatisk behandling skall til? ?lämpas även om behandlingen bara delvis är automatisk. Att det kan uppkomma särskilda svårigheter att tillämpa direktivets och den föreslagna lagens bestämmelser på ljud- och bilduppgifter står klart. Hur skall t.ex. bestämmelserna om information till den registrerade tilläm- pas beträffande digitala bilder som lagras i samband med butiksövervak- ning. Kommissionen skall särskilt undersöka tillämpningssvårigheterna och komma med lämpliga förslag (artikel 33 2 st.). Man kan hoppas att den undersökningen kommer att kasta ljus över hur direktivet skall tillämpas. Även behandling av personuppgifter som bara delvis är automatisk om- fattas av reglerna i den föreslagna persondatalagen och EG-direktivet. 296 Se artikel 33 andra stycket och punkt 14–17 i ingressen. 348 Innehållet i den nya persondatalagen SOU 1997: 39 det till en samling av akter eller andra pappershandlingar med personupp- gifter finns ett datoriserat index med hänvisningar till akterna eller hand- lingarna, uppkommer frågan om hur uppgifterna i pappershandlingarna skall betraktas. Som vi ser saken krävs det att den automatiska delen av behandlingen – i exemplet det datoriserade indexet – omfattar personuppgifter för att det över huvud taget skulle kunna bli aktuellt att tillämpa den föreslagna per- sondatalagens regler om automatisk behandling. Kan man inte med hjälp av automatisk behandling söka fram uppgifter om individer i pappersma- terialet, kan det rimligen inte vara fråga om en sådan delvis automatisk be- handling av personuppgifter som omfattas av den föreslagna persondatala- gen och EG-direktivet. I normalfallet torde dock det datoriserade indexet, t.ex. ett diarium eller någon annan förteckning över ärenden, vara sökbart på personuppgifter, exempelvis namnet på den som ärendet rör. Myndigheter, företag och andra organisationer har ofta – i enlighet med vedertagen administrativ praxis – delat in sin verksamhet i olika ärenden och åsatt varje ärende en unik beteckning samt antecknat den beteckningen på varje handling som hör till ett ärende. Med en vidsträckt tolkning av EG-direktivet skulle de allra flesta papper – alla papper som åsatts en ärendebeteckning – i en så- dan organisation med en datoriserad ärendeförteckning, som är sökbar på personuppgifter, kunna anses omfattade av direktivets bestämmelser. En- ligt vår mening är en sådan tolkning orimlig. Som vi ser saken bör den automatiska behandlingen anses hänförlig enbart till det datoriserade in- dexet. De akter eller andra pappershandlingar som finns bör i före- kommande fall bedömas enligt direktivets regler om manuellt förda regis- ter. Den föreslagna lagen innehåller på vissa punkter bestämmelser om att olika åtgärder skall företas skriftligen. I vissa sammanhang anges dess- utom att en ansökan eller liknande bör vara undertecknad. Avsikten är att kravet på att något skall ske skriftligen skall förstås så att åtgärden skall kunna företas genom såväl text på papper som text i elektroniskt format. När vi anger att den persondataansvarige skall lämna information skriftligen till den registrerade går det således bra att lämna informationen t.ex. via e-post, om den registrerade har tillgång till det. SOU 1997: 39 Innehållet i den nya persondatalagen 349 Den nu beskrivna synen på skriftlighetskrav i lagstiftningen stämmer överens med den inställning som gett uttryck för när det gäller elektronisk dokumenthantering i förvaltningen.297 slutsats är vidare att när det – på förvaltningsområdet – finns en författningsföreskrift om att något skall undertecknas innefattas inte elektroniska rutiner.298 Utredningen föreslår dock att ge- nom en särskild lagbestämmelse skall ge regeringen makt att – såvitt avser handläggning av förvaltningsärenden – föreskriva att bestämmelser som har beslutat i lag om undertecknande inte hindrar att digitala do- kument eller elektroniska handlingar används.299 För åtgärder som vidtas utanför förvaltningsområdet, t.ex. mellan enskilda, föreslås inte någon motsvarande bestämmelse om att elektroniska åtgärder kan ersätta ett un- dertecknande för hand på papper. Vid utarbetandet av lagtextförslaget har vi tagit ställning till i vilka fall en åtgärd bör vara förenad med sådan säkerhet som normalt är förknippad med ett krav på egenhändigt undertecknande. För dessa fall har vi angett att det bör krävas undertecknande. På det sättet har de allra flesta författ- ningar skrivits , och vi har inte sett det som vår uppgift att – innan utarbetade förslag ens behandlats klart – överväga under vilka förutsättningar elektroniska åtgärder bör kunna ersätta underteck- nande. När vi anger att det bör krävas att något skall undertecknas, krävs det alltså tills vidare att en namnteckning skrivs för hand på ett papper. Persondatalagen bör tillämpas på sådana persondataansvariga som är eta- blerade i . Även när en persondataansvarig från tredje land för be- handling av personuppgifter använder utrustning som finns i bör som huvudregel den svenska lagen tillämpas. I artikel 4 i EG-direktivet finns det bestämmelser om det territoriella tillämpningsområdet för de nationella regler som inför direktivet (se av- 297Se SOU 1996:40 s. 91 ff. 298Se SOU 1996:40 s. 95. 299Utredningens förslag till ny 7 a § förvaltningslagen. 350 Innehållet i den nya persondatalagen SOU 1997: 39 snitt 3.2.5 och punkt 18–21 i ingressen). Bestämmelserna är inte lätta att tolka. De har en EG-gemensam innebörd och bör således tillämpas på samma sätt i alla medlemsstater; annars skulle det i direktivet avsedda systemet inte kunna fungera utan luckor och överlappningar. Mot bakgrund av det sagda – att bestämmelserna är svåra att tolka och att de bör tillämpas likartat av alla medlemsstater – har vi valt att i den föreslagna, svenska lagtexten bara ta in kortfattade regler, vilka är avsedda att tillämpas i enlighet med vad som kan framkomma genom EG-domsto- lens praxis eller andra åtgärder inom gemenskapen som syftar till att åstad- komma en enhetlig tillämpning. Avsikten är att inte gå längre än vad di- rektivet kräver när det gäller tillämpning av persondatalagen på verksam- het som utförs utanför . Som huvudregel anges i vårt förslag kortfattat att persondatalagen skall tillämpas på varje persondataansvarig som är etablerad i . Be- greppet etablerad har en EG-gemensam innebörd och viss ledning för tolkningen kan hämtas från punkt 19 i ingressen. En enda persondataansvarig kan vara etablerad i flera medlemsstater, och för detta fall innebär EG-direktivets bestämmelser förmodligen att den svenska lagen bara skall tillämpas på den verksamhet som bedrivs i Sve- rige.300 Är en persondataansvarig att anse som etablerad inom EU (och EES) bara i , innebär direktivet troligen att den svenska lagen skall tillämpas på all verksamhet som den persondataansvarige bedriver inom EU (och EES); däremot kräver direktivet förmodligen inte att verksamhet utanför EU (och EES) skall omfattas av lagstiftningen. Det är mera osäkert vad som skall gälla när en persondataansvarig är etablerad i två medlems- stater, men bedriver verksamhet också i en tredje medlemsstat där etable- ring inte föreligger. Skall exempelvis svensk, dansk eller tysk rätt tillämpas på den verksamhet som en persondataansvarig som är etablerad (bara) i och bedriver i . För det fallet att den persondataansvarige inte är etablerad någonstans inom EU (eller EES) utan i tredje land finns en specialregel. Använder den persondataansvarige för behandlingen av personuppgifter utrustning som finns i , skall den svenska lagen tillämpas. Förmodligen skall i detta fall den svenska lagen bara tillämpas på den verksamhet som bedrivs i . 300I lagen (1992:160) om utländska filialer m.m. finns bestämmelser om bl.a. for- merna för sådan näringsverksamhet som utlänningar bedriver i . SOU 1997: 39 Innehållet i den nya persondatalagen 351 Specialregeln blir inte tillämplig om utrustningen bara används för att låta personuppgifter passera genom gemenskapen. I sådant fall skall den svenska lagen inte tillämpas. Är specialregeln tillämplig, måste den utlänning som är persondata- ansvarig utse en företrädare för sig. Företrädaren skall vara etablerad i . Företrädaren kan vara en fysisk eller juridisk person eller en svensk myndighet. I syfte att skapa ordning och reda har vi i vårt förslag tagit med be- stämmelser om att den persondataansvarige – innan utrustningen tas i drift – skall anmäla till Datainspektionen vem han eller hon har utsett till före- trädare för sig. Anmälan skall göras skriftligen och vara åtföljd av ett skriftligt medgivande från den utsedde företrädaren. Medgivandet behöver inte nödvändigtvis vara undertecknat, men Datainspektionen skall på ett eller annat sätt – t.ex. genom en digital signatur på ett elektroniskt medde- lande – kunna förvissa sig om att det härrör från företrädaren. Sådana ord- ningsföreskrifter som nämnts kan inte anses oförenliga med direktivet. Det som sägs i den föreslagna persondatalagen om den persondataan- svarige skall gälla också för den utsedde företrädaren. I kommissionens förklaring till direktivförslaget har som exempel på utrustning angetts terminaler och frågeformulär. Det måste således tydligen vara fråga om fysiska saker, och dessa saker skall finnas inom gränser. Det skall vidare vara den persondataansvarige som använder utrust- ningen i . Specialregeln blir därför inte tillämplig bara för att svenskar med egen utrustning här kan komma åt och söka bland uppgifter i databaser i utlandet, t.ex. via Internet. Detta gäller enligt vår mening även när det finns ett avtal mellan svensken och utlänningen om tillgång till uppgifterna. Om däremot utrustningen i ägs av den persondata- ansvarige utlänningen eller används på hans eller hennes uppdrag, kan specialregeln vara tillämplig. 352 Innehållet i den nya persondatalagen SOU 1997: 39 12.4Grundläggande krav på all behandling av personuppgifter I den föreslagna persondatalagen slås fast vissa grundläggande krav på be- handlingen av personuppgifter som den persondataansvarige alltid måste följa. För behandling för historiska, statistiska och vetenskapliga ändamål – t.ex. arkivering – föreslås vissa lättnader. Regleringen i den föreslagna persondatalagen ansluter nära till EG-direktivets text. I artikel 6 i EG-direktivet räknas det upp en rad krav på behandlingen av personuppgifter som den persondataansvarige måste uppfylla; artikeln har berörts i avsnitt 3.4. Uppfylls inte kraven är behandlingen olaglig. I artikel 17 finns det vidare regler rörande säkerheten vid behandling av person- uppgifter som den persondataansvarige också måste uppfylla (se avsnitt 12.10). För att en viss behandling skall vara tillåten krävs inte bara att behand- lingen utförs i enlighet med de grundläggande kraven i artikel 6. Behand- lingen måste också kunna hänföras till något av de fall som anges i artikel 7; bara i de fall som anges i den bestämmelsen är det över huvud taget til? ?låtet att behandla personuppgifter, se avsnitt 12.5.1. Avser behandlingen känsliga personuppgifter, måste behandlingen dessutom kunna godtas enligt bestämmelserna i artikel 8, se avsnitt 12.5.3.3. Vi har i den föreslagna persondatalagen tagit in en bestämmelse vars text nära ansluter till artikel 6 i EG-direktivet. Vi har dock lagt till en erin- ran om det viktiga kravet att den persondataansvarige skall se till att sam- tycke hämtas in när så krävs. Regeringen – eller Datainspektionen – kan närmare precisera de gene- rella principer för uppgiftsbehandling som bestämmelsen innehåller. 12.4.2Korrekt och laglig behandling I EG-direktivet finns en bestämmelse om att personuppgifter alltid skall behandlas på ett korrekt och lagligt sätt. SOU 1997: 39 Innehållet i den nya persondatalagen 353 När en behandling är laglig framgår av den föreslagna persondatalagen och anknytande lagstiftning. Av dessa rättskällor framgår också vad som är ett korrekt sätt att behandla personuppgifter. Det förefaller osäkert om den uttryckliga bestämmelsen i EG-direktivet om att personuppgifter skall behandlas på ett korrekt och lagligt sätt har någon självständig betydelse. Vi har emellertid för säkerhets och fullstän- dighets skull valt att i den föreslagna persondatalagen ta med en sådan be- stämmelse och därvid erinra om det viktiga kravet att den persondataan- svarige skall hämta in samtycke när så krävs. I EG-direktivet finns en bestämmelse om att personuppgifter skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Den be- stämmelsen kompletteras av den viktiga regeln att efter insamlingen får behandling av uppgifterna inte ske på ett sätt som är oförenligt med de ur- sprungliga ändamålen. Dessa bestämmelser har förts över mer eller mindre ordagrant till den föreslagna persondatalagen. Bestämmelserna innebär att ändamålen med en behandling av person- uppgifter måste bestämmas redan när uppgifterna samlas in. Ändamålen måste då anges uttryckligen. Det finns inte något krav på att ändamålsan- givelsen skall nedtecknas. Att ändamålen skall vara särskilda, innebär att en alltför allmänt hållen ändamålsangivelse inte godtas. Hur pass detaljerad ändamålsangivelsen skall vara för att uppfylla den föreslagna lagens och direktivets krav på att vara särskild får avgöras i praxis. Regeringen och Datainspektionen kan också utfärda mer preciserade regler, t.ex. för olika typsituationer. Det är möjligt att ange flera ändamål när uppgifterna samlas in. I EG-direktivet anges att de ändamål för vilka uppgifterna samlas in skall vara berättigade. I vilka fall det är berättigat att samla in och be- handla personuppgifter framgår av den föreslagna persondatalagen och an- knytande lagstiftning. Det förefaller osäkert om bestämmelsen om berätti- gade ändamål har någon självständig betydelse. Vi har ändå valt att för sä- kerhets och fullständighets skull ta med den bestämmelsen i den föreslagna persondatalagen. De insamlade personuppgifterna får behandlas för andra ändamål än de för vilka uppgifterna samlades in bara om de nya ändamålen – och de nya sätten att behandla uppgifterna – inte är oförenliga med de ursprungliga 354 Innehållet i den nya persondatalagen SOU 1997: 39 Vad som är oförenligt med de ursprungliga ändamålen får be- stämmas genom praxis och de mer preciserade regler som regeringen och Datainspektionen kan utfärda. I vad mån uppgifter som inte har samlats in för ändamål som har med direkt marknadsföring att göra ändå kan använ- das eller lämnas ut för sådana ändamål får t.ex. bestämmas på detta sätt. Behandlingen för nya ändamål måste givetvis, liksom behandlingen för de ursprungliga ändamålen, kunna hänföras under något av de tillåtna fall av behandling som anges i artikel 7 och, om känsliga personuppgifter skall behandlas, kunna tillåtas i enlighet med artikel 8. Det bör betonas att även ett utlämnande till annan av uppgifterna måste vara förenligt med de ursprungliga ändamålen. Det bör därför inte vara möjligt att kringgå reglerna genom att en persondataansvarig lämnar ut uppgifterna till en annan, som vid sin insamling bestämmer ändamål som är oförenliga med de ursprungliga. behandling av personuppgifter för historiska, statistiska och vetenskapliga ändamål tas upp i det följande i ett särskilt avsnitt. Betydel- sen av ändamålet med behandlingen har vidare berörts särskilt såvitt avser forskning och statistik i avsnitt 11.6.5. 12.4.4Personuppgifternas kvalitet och omfattning I EG-direktivet finns bestämmelser om att personuppgifterna skall vara riktiga och relevanta och inte alltför omfattande i förhållande till de ända- mål för vilka uppgifterna behandlas. Där finns vidare bestämmelser om att uppgifterna skall vara riktiga och, om det är nödvändigt, aktuella; uppgif- ter som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka uppgifterna behandlas accepteras inte, och den persondataansvarige måste vidta alla rimliga åtgärder för att utplåna eller rätta sådana uppgifter. Dessa bestämmelser har så gott som ordagrant förts över till den före- slagna persondatalagen. I lagtextförslaget har dock blockering angetts som ett alternativ till utplånande och rättelse av felaktiga, missvisande eller ofullständiga uppgifter. Skälen till detta framgår av vad som anförs i av- snitt 12.8. I det avsnittet redogörs också för ytterligare bestämmelser om rättelse m.m. För att förtydliga har vi i detta sammanhang i lagtextförslaget vidare nämnt, förutom felaktiga och ofullständiga uppgifter, även missvi- sande uppgifter. Det bör i sammanhanget understrykas vikten av att de behandlade uppgifterna håller en hög kvalitet. Användningen av felaktiga, missvisande eller ofullständiga uppgifter kan förorsaka registrerade och andra stora SOU 1997: 39 Innehållet i den nya persondatalagen 355 skador och stor förtret i övrigt. Sådana olägenheter kan förebyggas genom en sund källkritik parad med nödvändig noggrannhet och genom att det dokumenteras varifrån olika uppgifter har hämtats. Här kan avslutningsvis finnas anledning att återge ett utdrag ur ett färskt beslut av Justitiekanslern i ett ärende om skadestånd där slutsatsen blev att 23 § datalagen inte var tillämplig (beslut , dnr ). Den utredning som föreligger i ärendet visar att [X] i den särskilda självdeklarationen vid taxering fyllt i uppgift om folkpension i ruta 1 a istället för i ruta 3 a; han har sålunda tagit upp folkpensionen som lön. När han därefter ansökte om förtida åter- betalning beträffande den av honom beräknade överskjutande skatten observerade skatteförvaltningen inte denna förväxling beträffande lön och pension. [X] kom därmed att tillgodoräknas ett för högt grundavdrag vilket i sin tur ledde till att ett för stort belopp återbetalades till honom. Vid taxeringen upptäcktes förväxlingen mellan folkpension och lön vilket ledde till att [X] påfördes kvarstående skatt motsvarande vad han tidigare erhållit för mycket jämte kvarskatteavgift. [X:s] uppgifter i den särskilda självdeklarationen registrerades i det centrala skatte- registret. Till följd härav kom registret att innehålla en uppgift som visserligen överens- stämde med den särskilda självdeklarationen men som inte var i överensstämmelse med verkliga förhållanden. Sedermera registrerades också beslutet om förtida återbetalning. Även härigenom kom det centrala skatteregistret att innehålla en uppgift som inte var korrekt i förhållande till vad som borde ha blivit registrerat om den föreliggande bristen i deklarationen hade upptäckts. Frågan uppkommer då huruvida bestämmelsen i 23 § datalagen om skadestånd vid oriktig eller missvisande uppgift i personregister kan vara tillämplig. I förevarande fall har skatteregistret kommit att innehålla en uppgift om [X:s] in- komstförhållanden som överensstämt med den av honom avlämnade självdeklarationen men som senare vid taxeringsarbetet visat sig vara felaktig. Som fram- hållit borde skatteförvaltningen i samband med prövningen av ansökningen om förtida återbetalning av skatt ha upptäckt denna felaktighet. Denna försummelse ledde till att beslutet om förtida återbetalning av skatt blev oriktigt. syfte är [] att bl.a. vara till hjälp vid taxering och uppbörd. I re- gistret registreras bl.a. uppgifter från självdeklarationen och de beslut som meddelas i samband härmed. får således förutsättas korrekt återge de uppgifter den skattskyldige lämnar i sin självdeklaration, oavsett om dessa är riktiga eller inte. Det fortsatta gransknings- och taxeringsarbetet går bl.a. ut på att korrigera sådana felaktighe- ter i självdeklarationen. I registret registreras också de beslut som meddelas under taxerings- och uppbördsarbetet. Mot bakgrund av det anförda kan uppgiften om [X:s] inkomstförhållanden inte an- ses innefatta en sådan felaktig eller missvisande uppgift som avses i datalagen. Inte heller kan registreringen av det visserligen materiellt oriktiga men formellt korrekta be- slutet om återbetalning medföra att registret tillfogats en felaktig eller missvisande uppgift. Den skada som kan ha tillfogats [X] har heller inte orsakats av registreringen som sådan utan föranletts av skattemyndighetens felaktiga handläggning av ärendet om återbetalning av skatt. 356 Innehållet i den nya persondatalagen SOU 1997: 39 12.4.5Personuppgifterna får inte sparas längre än nödvändigt Enligt EG-direktivet får personuppgifter – dvs. upplysningar i sådan form att enskilda kan identifieras – lagras bara så länge det är nödvändigt med hänsyn till de ändamål för vilka uppgifterna behandlas. Därefter måste per- sonuppgifterna alltså avidentifieras eller förstöras. Även denna bestämmelse om gallring har förts över till den föreslagna persondatalagen. Lagring av personuppgifter för historiska, statistiska och vetenskapliga ändamål tas upp i nästa avsnitt. 12.4.6Behandling för historiska, statistiska och vetenskapliga ändamål Enligt EG-direktivet är lagring och annan behandling av personuppgifter för historiska, statistiska och vetenskapliga ändamål särskilt gynnad. Se- nare behandling för sådana ändamål skall inte anses oförenlig med de ur- sprungliga ändamål för vilka uppgifterna samlades in, och det är också til?