sou · GLB339d2 · 1998-01-01 00:00:00 — Inte heller vi har funnit tillräckliga skäl för att före- slå att en sådan rätt skall införas. På grund av utformningen av EG-direkti- vet måste det dock genom den föreslagna lagen slås fast i vad mån den re- gistrerade har rätt att motsätta sig behandling av personuppgifter. Av vad som anförts i avsnitt 12.5.1.8 framgår att den registrerade i de fall där en behandling bara är tillåten efter en intresseavvägning i praktiken SOU 1997: 39 Innehållet i den nya persondatalagen 367 i de flesta fall kan få behandlingen att upphöra genom att meddela den per- sondataansvarige att han eller hon motsätter sig behandlingen. Ett fall som bör tas upp här är den situationen att en registrerad som en gång har lämnat samtycke till en behandling tar tillbaka sitt samtycke. Den situationen tas upp i nästa avsnitt. Därefter redogörs för hur rätten att mot- sätta sig behandling beträffande direkt marknadsföring bör utformas. I de fall där en viss behandling är tillåten bara under förutsättning att den registrerade har lämnat sitt samtycke uppkommer frågan vad som skall gälla om den registrerade tar tillbaka ett lämnat samtycke. Svaret på den frågan kan inte direkt utläsas av EG-direktivet, vilket enligt vår mening innebär att medlemsstaterna själva får välja en lösning. Man kan här tänka sig åtminstone tre olika lösningar: a)Samtycket är oåterkalleligt. Den som en gång har gått med på att en viss behandling av personuppgifter sker skulle alltså få finna sig i att behandlingen genomförs som planerat. b)Samtycket kan fritt återkallas med verkan att behandlingen inte längre anses laglig, vilket skulle innebära att de insamlade uppgifterna genast måste förstöras eller avidentifieras. c)Samtycket kan i och för sig återkallas, men det påverkar inte behand- lingen av de uppgifter som redan har hunnit samlas in med stöd av samtycket. Ytterligare uppgifter får däremot inte samlas in eller i övrigt behandlas. Vi har kommit fram till att det sista alternativet (c) innebär en lämplig av- vägning mellan den registrerades och den persondataansvariges intressen. Lösningen innebär att den registrerades självbestämmanderätt beträffande vilka uppgifter som får samlas in respekteras som den personda- taansvariges befogade anspråk på att få behandla färdigt de uppgifter som han eller hon kommit över med stöd av ett frivilligt lämnat samtycke kan tillgodoses. Sedan den persondataansvarige på något sätt fått kännedom om att ett lämnat samtycke inte längre gäller, får några nya uppgifter om den berörde inte samlas in eller annars behandlas. Däremot får behandlingen av redan insamlade uppgifter fortsätta som planerat. I avsnitt 11.6.6 har särskilt berörts frågan om strykningsrätt vid be- handling av personuppgifter för forskning och statistik. 368 Innehållet i den nya persondatalagen SOU 1997: 39 Bestämmelsen i artikel 14 första stycket b om den registrerades rätt att motsätta sig behandling av personuppgifter för direkt marknadsföring har berörts i avsnitt 3.7.3. Bestämmelsen är inte otvetydig, varför det finns anledning att här återge den: Den registrerade skall ha rätt att efter anmodan och utan kostnader motsätta sig behandling av sådana personuppgifter som rör honom eller henne och som den persondata- ansvarige bedömer kan komma att behandlas för ändamål som rör di- rekt marknadsföring, att bli informerad innan personuppgifter lämnas ut till tredje man eller används för tredje mans räkning för ändamål som rör direkt marknadsföring, att uttryckligen få ett erbjudande om att utan kostnad motsätta sig ett sådant utlämnande eller sådan användning. Medlemsstaterna verkar således ha två alternativ för att genomföra rätten att motsätta sig behandling. Vi anser att det första alternativet bör väljas, eftersom det är det minst komplicerade som det ger den registre- rade fullgoda möjligheter att förhindra oönskad behandling för direkt marknadsföring. Vi föreslår således att det införs en bestämmelse om att personuppgifter inte får behandlas för ändamål som rör direkt marknadsföring sedan den registrerade hos den persondataansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling. Enligt vår mening kan det vara lämpligt – för att underlätta hanteringen för de persondataansvariga och främja ordning och reda – att föreskriva att den registrerades skriftliga an- mälan skall vara undertecknad av den registrerade själv. Sådana ordnings- föreskrifter, vilka inte kan anses otillåtna enligt EG-direktivet, kan lämpli- gen ges inte i lag utan i av regeringen utfärdad förordning. Begreppet direkt marknadsföring har förmodligen en EG-gemensam innebörd. Huruvida de riktade marknadsföringsaktiviteterna sker via van- lig post, e-post, telefon eller telefax saknar betydelse. Förandet av ett register eller liknande över dem som har lämnat in en anmälan i syfte att utesluta dessa personer från planerade marknadsfö- ringsaktiviteter kan uppenbarligen inte anses vara en sådan behandling SOU 1997: 39 Innehållet i den nya persondatalagen 369 för ändamål som rör direkt marknadsföring som förbjuds genom be- stämmelsen. Enligt artikel 14 andra stycket skall medlemsstaterna vidta nödvändiga åtgärder för att säkerställa att de registrerade känner till den nu aktuella rätten att motsätta sig behandling av personuppgifter för direkt marknads- föring. Det får ankomma på Datainspektionen att vidta de informationsåt- gärder som behövs i detta hänseende. I detta sammanhang bör avslutningsvis nämnas re- kommendation om skydd för personuppgifter som används för ändamål som har med direkt marknadsföring att göra. Rekommendationen finns intagen som bilaga 3.2.3 till slutbetänkande (SOU 1993:10), och dess innehåll finns presenterat i avsnitt 4.3.3 i det betänkan- det. Vad som är direkt marknadsföring kan inom den ram den föreslagna lagen och direktivet ger preciseras genom föreskrifter av t.ex. Datainspek- tionen. 12.5.3Ett principiellt förbud mot behandling av känsliga personuppgifter Enligt datalagen gäller särskilda regler för personregister som innehåller uppgifter om N andra än medlemmar, anställda eller kunder hos den registeransvarige eller personer som har annan därmed jämställd anknytning till denne, N att någon misstänks eller dömts för brott, N att någon avtjänat straff eller undergått annan påföljd för brott, N att någon varit föremål för tvångsingripande enligt viss lagstiftning, N att någon fått ekonomisk hjälp eller vård inom , N att någon varit föremål för åtgärd enligt utlänningslagen, N någons sjukdom, hälsotillstånd eller sexualliv, N någons ras, politiska uppfattning, religiösa tro eller övertygelse i övrigt och N någon som utgör omdöme eller annan värderande upplysning. Enligt artikel 8 i EG-direktivet skall medlemsstaterna införa ett principiellt förbud mot behandling av sådana uppgifter som enligt direktivet är att anse som känsliga personuppgifter. Detta förbud skall dock inte gälla i de fall som särskilt räknas upp i artikeln. Beträffande uppgifter om lagöverträdel- 370 Innehållet i den nya persondatalagen SOU 1997: 39 ser m.m. finns det särskilda regler i artikeln. Bestämmelserna i artikel 8 har redovisats i avsnitt 3.6. Bestämmelserna i artikel 8 har som vi ser det till största delen en EG- gemensam innebörd. Vårt förslag innebär att de materiella bestämmelserna i artikel 8 bör föras över mer eller mindre ordagrant till persondatalagen. Avsikten är att de begrepp som används skall ha samma innebörd som en- ligt EG-direktivet. En del av det som omfattas av särskilda regler enligt datalagen kommer med vårt förslag, som bygger på EG-direktivet, inte att omfattas av bestämmelserna om känsliga personuppgifter. Det skulle som vi ser det vara oförenligt med direktivet att utvidga tillämpningsområdet för direkti- vets bestämmelser om känsliga uppgifter till att omfatta allt det som regle- ras av särskilda regler enligt datalagen, dvs. uppgifter som ibland är helt artskilda i förhållande till de som i direktivet definieras som känsliga; att göra så skulle onekligen hindra det fria flödet av sådana uppgifter inom EG. Emellertid innebär de regler vi föreslår om när behandling av person- uppgifter över huvud taget kan tillåtas t.ex. att enskilda som regel inte får behandla uppgifter om att någon fått socialhjälp eller varit intagen ens om enskilda med hänsyn till de sekretessbestämmelser som gäller kan få tag på sådana uppgifter. Det bör i detta sammanhang också nämnas att det i 2 kap. 3 § första stycket regeringsformen finns en bestämmelse om att anteckning om med- borgare i allmänt register inte utan samtycke från den berörda medborgaren får grundas enbart på hans eller hennes politiska åskådning. Det kan inte anses otillåtet enligt EG-direktivet att ha kvar den grundlagsbestämmelsen. I det följande berörs först den definition av känsliga personuppgifter som avses i direktivet och som måste införas i svensk rätt. Därefter redo- görs för vilka undantag från förbudet mot behandling av känsliga person- uppgifter som bör gälla. Avslutningsvis kommenteras frågan om direkti- vets särregler om uppgifter om lagöverträdelser m.m. SOU 1997: 39 Innehållet i den nya persondatalagen 371 12.5.3.2Definitionen av känsliga personuppgifter Direktivet innebär att det måste införas ett förbud mot att behandla person- uppgifter som avslöjar N etniskt ursprung, N politiska åsikter, N religiös övertygelse, N filosofisk övertygelse eller N medlemskap i fackförening eller som rör N hälsa eller N sexualliv. Enligt kommissionens förklaring till direktivförslaget skulle vidare en uppgift om att en person inte alls har någon religiös övertygelse vara en sådan känslig personuppgift som avses. Huruvida en bild på en persons ansikte kan anses avslöja den personens ras eller etniska ursprung i den mening som avses i direktivet får anses osäkert. Det får också anses osäkert om en bild på den som är fysiskt han- dikappad eller ser sjuk (eller frisk) ut innefattar uppgifter som rör den per- sonens hälsa. Enligt vår mening förefaller det dock rimligt att anse att bil- der på människor i mera normala sammanhang inte på avsett sätt avslöjar några känsliga personuppgifter. En isolerad uppgift om vilket kön en person har kan inte anses vara en uppgift som rör dennes sexualliv. Däremot är förmodligen en uppgift om att någon har bytt kön en uppgift som kan anses röra den personens hälsa eller sexualliv. Inte heller en uppgift om civilstånd kan enligt vår mening i sig anses vara en sådan uppgift som rör den registrerades sexualliv. 372 Innehållet i den nya persondatalagen SOU 1997: 39 I artikel 8.2 räknas upp ett antal undantag från förbudet mot att behandla känsliga personuppgifter. N samtycke från den registrerade, N offentliggörande av den registrerade, N inom arbetsrätten, N inom ideella organisationer, N beträffande rättsliga anspråk och N skydd för vitala intressen. I artikel 8.3 finns ytterligare ett undantag beträffande hälso- och sjukvård. Enligt artikel 8.4 kan medlemsstaterna vidare föreskriva ytterligare undan- tag av hänsyn till viktiga allmänna intressen. För att känsliga personuppgifter skall få behandlas trots förbudet krävs inte bara att behandlingen faller under något undantag i artikel 8. Behand- lingen måste också vara tillåten enligt artikel 7 (se avsnitt 12.5). I vissa fall gäller enligt artikel 8 att en behandling måste vara nödvän- dig för vissa ändamål för att kunna godtas. Ett sådant nödvändighetskrav finns beträffande behandling inom arbetsrätten, inom hälso- och sjukvård, för att skydda vitala intressen och beträffande rättsliga anspråk. Nödvän- dighetskravet har berörts i avsnitt 12.5.1.3. Eftersom det – förutom vid samtycke – krävs att behandlingen är nödvändig för att den över huvud taget skall kunna tillåtas enligt artikel 7, är det oklart vad det har för bety- delse att det beträffande en del undantag enligt artikel 8 saknas ett uttryck- ligt nödvändighetskrav. Regeringen eller Datainspektionen kan beträffande de undantag som anges i den föreslagna persondatalagen genom föreskrifter närmare preci- sera i vilka fall behandling av personuppgifter är tillåten. Frågan om rege- ringens och Datainspektionens möjligheter att komplettera regleringen i persondatalagen har berörts i avsnitt 12.1.2. I det följande berörs under skilda rubriker de olika undantagen i den föreslagna lagen från förbudet mot att behandla känsliga personuppgifter. Förbudet mot att behandla känsliga personuppgifter gäller inte om den re- gistrerade har lämnat sitt samtycke till behandlingen. En medlemsstat kan dock i sin lagstiftning bestämma att förbudet inte kan upphävas ens med den registrerades samtycke. SOU 1997: 39 Innehållet i den nya persondatalagen 373 Vi anser att möjligheten att lagstifta bort verkan av den registrerades samtycke inte bör användas i persondatalagen. I detta avseende bör den enskilde, vars personliga integritet skall skyddas, få bestämma helt själv. Den registrerade vet själv bäst vad han eller hon anser vara en känslig per- sonuppgift och vilka behandlingar han eller hon vill att en sådan uppgift skall utsättas för. Begreppet samtycke berörs i avsnitt 12.2.9. I avsnitt 12.5.2.2 kommen- teras den situationen att den registrerade tar tillbaka ett lämnat samtycke. Förbudet mot att behandla känsliga personuppgifter gäller inte om be- handlingen rör uppgifter som den registrerade har offentliggjort på ett tyd- ligt sätt. Det måste således vara fråga om uppgifter som den registrerade själv har offentliggjort. Uppgifter som någon annan har avslöjat för offentlighe- ten omfattas inte, om inte den registrerade själv offentligt bekräftar uppgif- terna. Det förekommer att vissa personer tillåts eller till och med uppmuntras att tala ut i massmedier om sitt sexualliv eller sin hälsa. Uppgifter som offentliggjorts av den registrerade själv på detta sätt omfattas således inte av förbudet mot att behandla känsliga personuppgifter. Inte heller omfattas t.ex. uppgift om partitillhörighet hos den som ställer upp i ett val som ge- nomförs offentligt eller hos den som offentligt företräder ett politiskt parti. Förbudet mot att behandla känsliga personuppgifter gäller inte om be- handlingen är nödvändig för att fullgöra de skyldigheter och särskilda rättigheter som åligger den persondataansvarige inom arbetsrätten. Detta gäller dock bara i den mån behandlingen är tillåten enligt nationell lag- stiftning som föreskriver lämpliga skyddsåtgärder. I vårt förslag till persondatalag har vi, utan att någon saklig skillnad är avsedd, använt ett något förkortat uttryckssätt; behandlingen är tillåten om den är nödvändig för att den persondataansvarige inom arbetsrätten skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter. I detta sammanhang bör också nämnas rekommendation om skydd för personuppgifter som används för anställningsändamål. Re- kommendationen finns intagen som bilaga 3.2.1 till slutbetänkande (SOU 1993:10), och dess innehåll finns presenterat i av- 374 Innehållet i den nya persondatalagen SOU 1997: 39 snitt 4.3.1 i det betänkandet.304 En bakgrundsbeskrivning och Datalagsut- redningens överväganden rörande behandling av känsliga personuppgifter för anställningsändamål finns i avsnitt 11 i det nämnda betänkan- det.305 De avsedda skyldigheterna och rättigheterna inom arbetsrätten måste åligga eller tillkomma den persondataansvarige och inte någon annan. Det förefaller något oklart vad som menas med skyldigheter och rättig- heter inom arbetsrätten. Rättsområdet arbetsrätten har – liksom de flesta andra rättsområden – i inte någon klar eller en gång för alla given gräns. Ett exempel är att utbetalningen i vissa fall av pengar till sjuka ar- betstagare lades över från det allmänna till arbetsgivare. Den gräns runt arbetsrätten som kan finnas i en rättsordning behöver vi- dare inte sammanfalla med den gräns som finns i en annan rättsordning. Det bör också noteras att i den engelska versionen av direktivet används uttrycket employment law, vilket är betydligt snävare än det svenska ut- trycket arbetsrätt. Enligt vår mening bör dock uttrycket inom arbetsrätten inte ges en alltför snäv betydelse. I stort sett alla skyldigheter och rättigheter för ar- betsgivare beträffande de anställda och deras organisationer bör som vi ser det kunna i detta sammanhang innefattas i uttrycket inom arbetsrätten. Även skyldigheter och rättigheter för fackliga organisationer i förhållande till arbetsgivare och deras organisationer bör kunna innefattas. Vi har övervägt att i stället för uttrycket inom arbetsrätten använda något motsvarande uttryck, t.ex. på arbetslivets område, men stannat för att i detta hänseende hålla oss till det uttryck som används i den svenska översättningen av direktivet. 304Även på det internationella planet har arbetstagarnas behov av integritet uppmärksammats, se den Code of practice on the protection of workers personal data som antog . 305Frågor om den personliga integriteten på arbetslivets område har för svensk del berörts – förutom i betänkanden – i Ds 1989:24 och i , Employee Privacy in i , volym 17, nr 1, 1995, s. 139 ff. – jämför densamme i JT 1991–92 s. 41 ff. – samt, beträffande medicinska undersökningar i arbetslivet, i SOU 1996:63. EG- direktivet och arbetsmarknaden har för dansk rätts del berörts i , Arbejdsmarked og persondatabeskyttelse i UfR B 1996 s. 427 ff. Se beträffande , Workers Privacy in i , volym 17, nr 1, 1995, s. 45 ff. och , Personvärn och personalrekrytering, eller transformation och skygglappar i FJFT 1996 s. 391 ff. SOU 1997: 39 Innehållet i den nya persondatalagen 375 Behandling får ske bara om den är tillåten enligt nationell lagstiftning. Den bestämmelse om att känsliga personuppgifter får behandlas när be- handlingen är nödvändig för att den persondataansvarige inom arbetsrätten skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter som vi föreslår skall tas in i persondatalagen utgör en sådan nationell bestämmelse som tillåter behandling. Det krävs alltså inte att behandlingen är tillåten enligt någon bestämmelse i lagstiftningen inom arbetsrätten. I många fall följer det dock av lagstiftningen inom arbetsrätten att vissa uppgifter måste behandlas för att lagstadgade skyldigheter skall kunna fullgöras, t.ex. i samband med sjuklön eller rehabilitering av arbetstagare eller fullgörande av förhandlingsskyldighet. Men också skyldigheter och rättigheter inom arbetsrätten som följer av avtal – kollektivavtal eller andra avtal – eller myndighetsbeslut i enskilda fall avses med den föreslagna bestämmelsen i persondatalagen. Har en arbetsgivare genom avtal t.ex. åtagit sig att göra avdrag på lön för fackföreningsavgift, får således uppgifter om fack- föreningsmedlemskap behandlas för att arbetsgivaren skall kunna fullgöra sin avdragsskyldighet. Enligt direktivet räcker det emellertid inte att behandlingen är tillåten enligt den nationella lagstiftningen. Den nationella lagstiftningen måste också föreskriva lämpliga skyddsåtgärder. Vad som är lämpliga skyddsåtgärder bör enligt vår mening i första hand bedömas mot bakgrund av förhållandena i respektive medlemsstat. Vi anser att det är tillräckligt att såsom en lämplig skyddsåtgärd i den föreslagna persondatalagen föreskriva att de behandlade uppgifterna får lämnas ut till tredje man bara om det inom arbetsrätten finns en uttrycklig skyldighet för den persondataansvarige att göra det eller den registrerade har samtyckt till utlämnandet. Genom denna föreskrift om att skyldigheten inom arbetsrätten att lämna ut uppgifterna skall anges uttryckligen garante- ras att den känsliga frågan om spridningen av uppgifterna får särskild upp- märksamhet vid utformningen av kollektivavtal och lagstiftning.306 En arbetsgivare får t.ex. inte utan vidare lämna ut uppgifter om en tidigare anställds sjukfrånvaro till en annan arbetsgivare. Av vad som anförts i av- snitt 9.2 framgår att bestämmelserna i den föreslagna persondatalagen inte 306En uttrycklig skyldighet för den persondataansvarige att lämna ut vissa uppgifter som finns i ett avtal med den registrerade, t.ex. ett enskilt anställningsavtal, om- fattas i och för sig också, men i detta fall är det kanske mera naturligt att tala om ett uttryckligt samtycke som den registrerade har lämnat frivilligt. 376 Innehållet i den nya persondatalagen SOU 1997: 39 inskränker myndigheternas skyldigheter att lämna ut personuppgifter enligt 2 kap. TF. Det bör nämnas att det i annan lagstiftning än den föreslagna personda- talagen givetvis också finns bestämmelser om sådant som kan betraktas som lämpliga skyddsåtgärder. De sekretessregler som gäller för det all- männa och i vissa fall för enskilda utgör ett exempel. Också t.ex. reglerna om föreningsrätt i 7–9 §§ medbestämmandelagen307 kan anses föreskriva lämpliga skyddsåtgärder mot missbruk av uppgifter om fackföreningsmed- lemskap. Ett särskilt problem som bör beröras i detta sammanhang är att en uppgift om fackföreningsmedlemskap enligt EG-direktivet skall betraktas som en sådan känslig uppgift att behandling av den i princip är förbjuden. I – och inom i övrigt – betraktas en sådan uppgift inte som särskilt känslig. De allra flesta arbetstagare tillhör någon av det fåtal fackliga huvudorganisationer som finns.308 När uppgifter om fack- föreningsmedlemskap behandlas utanför arbetsrättens område krävs alltså efter genomförandet av direktivet särskild eftertanke. I många fall kan förmodligen undantaget beträffande rättsliga anspråk användas (se nedan). Ett exempel kan vara den behandling som skedde inom skatterätten när det fanns möjlighet att göra avdrag vid inkomstbeskattningen för fack- föreningsavgift. Ett annat exempel kan vara när, inom socialrätten, ersätt- ning i form av socialbidrag ges för sådan avgift för att en skälig levnads- nivå skall uppnås. Ytterligare exempel är den registrering av medlemskap som t.ex. privata företag kan ägna sig åt till följd av att fackliga organisa- tioner avtalar om individuella eller kollektiva förmåner eller tjänster för sina medlemmar, t.ex. gruppförsäkring. Förbudet mot att behandla känsliga personuppgifter gäller inte när be- handlingen utförs inom ramen för berättigad verksamhet hos ett icke vinstdrivande organ som har ett politiskt, filosofiskt, religiöst eller fackligt syfte. Behandlingen får dock bara avse uppgifter om sådana organs med- lemmar eller personer som på grund av organets ändamål har regelbunden kontakt med detta. De behandlade uppgifterna får inte heller lämnas ut till tredje man utan den registrerades samtycke. 307Lagen (1976:580) om medbestämmande i arbetslivet. 308Över av arbetskraften är fackligt organiserad. SOU 1997: 39 Innehållet i den nya persondatalagen 377 Den svenska översättningen av direktivet kan tolkas så att en icke vinstdrivande organisation med angivet syfte skulle kunna få behandla uppgifter om medlemmar i en annan sådan organisation som också har ett syfte av angiven art. En jämförelse med de engelska, franska och tyska språkversionerna ger dock vid handen att en sådan tolkning inte är avsedd; en organisation får bara behandla uppgifter om sina egna medlemmar (och om personer som på grund av organisationens ändamål har regelbunden kontakt med denna). Däremot får organisationen i fråga om medlemmarna och sådana per- soner som på grund av organisationens ändamål har regelbunden kontakt med denna i princip behandla uppgifter av vilket slag som helst oavsett om personuppgifterna har någon anknytning till organisationens syfte; de be- stämmelser som uppställer grundläggande krav på all behandling av per- sonuppgifter och de som anger när sådan behandling över huvud taget skall vara tillåten torde dock som regel innebära att behandling av helt ovidkommande uppgifter inte tillåts, t.ex. en fackförenings behandling av uppgifter om medlemmarnas sexuella läggning. Frågan om en person är medlem i en organisation eller inte får avgöras enligt vanliga regler med ledning av bl.a. innehållet i organisationens stad- gar.