sou · GLB339d1 · 1998-01-01 00:00:00 — Uppgifter om lagöverträdelser m.m. får enligt huvudregeln behandlas bara av myndigheter. Personnummer skall liksom få användas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. De som registreras skall få kännedom om behandlingen av uppgifterna. Enligt förslaget skall den persondataansvarige i samband med insamlingen av uppgifter självmant lämna de registrerade information om behand- lingen. När uppgifterna hämtas in från någon annan källa än den registre- rade, behöver information dock inte lämnas, om registreringen eller utläm- nandet av uppgifterna är författningsreglerat eller om det skulle innebära en oproportionerligt stor arbetsinsats att informera. Den registrerade skall enligt förslaget ha rätt att på begäran en gång per kalenderår gratis få information om de uppgifter som behandlas, dvs. Den persondataansvarige skall vidare på begäran korrigera personuppgifter som är felaktiga, missvisande eller ofullständiga eller annars inte har behandlats enligt de bestämmelser som gäller. SOU 1997: 39 För överföring av personuppgifter utanför EU och EES föreslås vissa restriktioner. Den föreslagna lagen innehåller bestämmelser om säkerheten vid be- handling av personuppgifter. Den nuvarande skyldigheten att i förväg anmäla behandlingar till Data- inspektionen bör begränsas till ett minimum. Inspektionens verksamhet skall i stället koncentreras till tillsyn, information och rådgivning. Datain- spektionen skall också genom föreskrifter precisera lagens regler på olika områden. Om någon bryter mot den föreslagna lagen skall Datainspektionen söka åstadkomma rättelse. Inspektionen får enligt förslaget förelägga vite och föra talan om att personuppgifter skall utplånas. I övrigt är påföljden för brott mot den föreslagna lagen i första hand skadestånd till de registrerade som har drabbats av skada. De skall utom annan ersättning liksom ha rätt till ideellt skadestånd för kränkning. Skadeståndsansvaret bör vara i princip rent strikt, dvs. skadestånd skall be- talas så snart reglerna inte har följts, men vi föreslår en möjlighet att efter skälighet sätta ned skadeståndet för det fall att den persondataansvarige kan bevisa att den felaktiga behandlingen inte berodde på honom eller henne. Den föreslagna lagen bör träda i kraft och tillämpas fullt ut på behandlingar som påbörjas därefter. För behandlingar som redan pågår vid ikraftträdandet, bör den gamla datalagen få gälla ända till . Den andra delen av vårt uppdrag har varit att se över reglerna i 2 kap. tryckfrihetsförordningen om medborgarnas rätt att ta del av allmänna handlingar – offentlighetsprincipen. Syftet har inte varit att förändra denna princip utan att undersöka hur den kan tillämpas i en modern . Vi har satt upp två utgångspunkter för detta arbete: N Offentligheten skall vara så vid som möjligt N Reglerna måste vara tydliga och lätta att tillämpa En vidsträckt offentlighetsinsyn medger en kontroll av makten och stärker på så sätt demokratin. Våra förslag syftar också till att vidga all- mänhetens möjligheter att dra nytta av det enorma uppgiftsmaterial som finns samlat hos de offentliga myndigheterna. SOU 1997: 39 Vi föreslår att det centrala begreppet i offentlighetsprincipen skall vara allmän uppgift i stället för allmän handling. Begreppet uppgift är tek- nikneutralt och sekretesslagen bygger redan nu på det. Förslaget innebär i denna del ingen större saklig förändring; har man kunnat få ut en handling skall man kunna få ut en uppgift som finns i en handling. En fördel är att man inte behöver använda fiktioner som uttrycket potentiella handlingar för att föra in elektroniska register under offentlighetsprincipen. Begreppet handling finns enligt vårt förslag kvar i lagen som en förvaringsplats för uppgifter. En handling har ett bestämt innehåll, näm- ligen det innehåll som den som en gång skrev handlingen gav den. Det har ingen betydelse om handlingen har formen av ett papper eller om den finns i digital form. Sådana förvaringsplatser som inte är handlingar kallar vi databaser. Det som är typiskt för en databas är att uppgifterna är ordnade på ett sådant sätt att det går att söka bland dem och att man kan kombinera uppgifterna på olika sätt. Register är typiska exempel på databaser. databaser och sådana som förs med hjälp av digital teknik är likställda. Uppgifter kan alltså finnas antingen i handlingar eller i databaser. En förutsättning för att en uppgift skall vara allmän hos en myndighet är att den förvaras hos myndigheten. infördes en bestämmel- se som innebär att allt som är tekniskt tillgängligt för en myndighet anses förvarat hos denna. I den tidens stordatormiljö var en sådan regel rimlig. Vi konstaterar emellertid att en sådan regel inte går att tillämpa i en mo- dern IT-miljö där snart sagt allt är tekniskt tillgängligt t.ex. via Internet. En förutsättning för att offentlighetsprincipen skall fungera i praktiken är att gränserna mellan myndigheterna upprätthålls. Myndigheterna har annars sämre möjligheter att hålla ordning på sina uppgifter, och därmed försämras förutsättningarna för att allmänheten skall kunna finna dem. Vi föreslår att begreppet förvar återfår sin egentliga betydelse, men att det får innefatta även elektroniska förvar. Myndighetens skyldighet att lämna ut allmänna uppgifter skall alltså omfatta sådana uppgifter som den förvarar, antingen rent fysiskt (på papper eller på en cd-romskiva, diskett eller hårddisk) eller logiskt (i ett elektroniskt arkiv som tillhör myndighe- ten). Sådant som tillhör myndighetens bibliotek omfattas inte av offentlig- hetsprincipen. Det nya sättet att se på förvar innebär att den bestämmelsen kan förenklas. En bok i bör behandlas på samma sätt oavsett om den är tryckt på papper eller om den finns på en cd-romskiva. SOU 1997: 39 anser man att myndigheterna har en viss skyldighet att när all- mänheten vill ha ut uppgifter göra extra sökningar och sammanställningar utöver det som myndigheten själv normalt gör. Det brukar uttryckas så att det som kan tas fram med rutinbetonade åtgärder anses vara en allmän handling. Detta bör gälla även men bör relateras till kostnaden. Det extra arbete som myndigheten kan utföra utan nämnvärda kostnader skall den vara skyldig att göra. Eftersom tekniken kommer att ge allt vidare och billigare möjligheter att söka och sammanställa uppgifter kommer också allmänhetens möjligheter att få insyn i myndigheternas verksamhet och del av deras kunskaper att öka . När det gäller själva utlämnandet av allmänna uppgifter till allmänheten föreslår vi en utvidgning av offentlighetsprincipen. Den bör, enligt vårt förslag, även omfatta en rätt att få ut allmänna uppgifter i elektronisk form. Vi är medvetna om att en sådan rätt inte kan införas generellt och omedel- bart. Enligt den föreslagna regeln skall allmänhetens rätt att få allmänna uppgifter t.ex. på en diskett eller via e-post vara anpassad efter myndighe- tens tekniska möjligheter. Eftersom dessa fortlöpande förbättras kommer också insynen att bli mer effektiv. Det kan finnas särskilda bestämmelser som förbjuder myndigheter att lämna ut uppgifter i digital form och i vissa fall kan sådant utlämnande falla under sekretess, men principen bör vara att man har samma rätt att få uppgifter i elektronisk form som på papper. Detta bör, åtminstone , vara positivt även för myndigheterna som slipper dyrbar pappershantering. Rätten att få uppgifter i elektronisk form bör inte omfatta datorprogram, eftersom detta skulle kunna inkräkta på upphovsrätten. Vi anser däremot att det finns ett allmänt intresse av att få reda på hur myndigheternas datorprogram fungerar; detta gäller särskilt när myndighetens beslut fattas automatiskt genom datorprogram. För att förstärka offentlighetsinsynen föreslår vi därför att myndigheterna, när det gäller sådana program, skall vara skyldiga att tillhandahålla beskrivningar (systemdokumentation) över hur programmen fungerar. Vårt förslag till ny begreppsapparat i tryckfrihetsförordningen kräver följdändringar i andra lagar. Vi lämnar förslag till sådana ändringar i sekre- tesslagen och arkivlagen. Tryckfrihetsförordningen anger inte vad som skall hända med de allmänna handlingarna när de är aktuella. Eftersom det är av stor praktisk betydelse för offentlighetsinsynen att allmänna uppgifter be- varas föreslår vi att det införs en bestämmelse i tryckfrihetsförordningen som hänvisar till arkivlagen. SOU 1997: 39 Reservationer har lämnats av (), () och () gemensamt samt av (). Särskilda yttranden har lämnats av () och av , med instämmande av , av , , samt av . SOU 1997: 39 Författningsförslag: Persondatalagen 11 a)Förslag till Persondatalag (1998:000) Härmed föreskrivs1 följande. 1 § Syftet med denna lag är att skydda människor mot otillbörligt intrång i den personliga integriteten vid behandling av personuppgifter. Avvikande bestämmelser i annan lagstiftning 2 § Om det i en annan lag eller i en förordning finns bestämmelser som av- viker från denna lag, skall dessa bestämmelser gälla. 1Jfr och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT nr L 281, 23.11.1995, s. 31, Celex 395L0046). 12 Författningsförslag: Persondatalagen SOU 1997: 39 3 § I denna lag används följande beteckningar med nedan angiven bety- delse. Varje åtgärd som vidtas beträffande personuppgif- Varje åtgärd som kan vidtas för att personuppgif- terna i alla sammanhang skall vara förknippade med tydlig information om att de är spärrade och om anledningen till spärren och för att personupp- gifterna inte skall lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen. Den som en personuppgift avser. Sådana personuppgifter som avses i 13 §. Den till vilken personuppgifter lämnas ut. sonuppgifter lämnas ut för att en myndighet skall kunna utföra sådan tillsyn, kontroll eller revision som åligger den, anses dock inte myndigheten som Den som ensam eller tillsammans med andra be- stämmer ändamålen med och medlen för behand- lingen av personuppgifter. Den som behandlar personuppgifter för den per- All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom eller Den myndighet som regeringen utser. En stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska samarbetsom- Någon annan än den registrerade, den persondata- ansvarige, persondatabiträdet och sådana personer som under den persondataansvariges eller person- databiträdets direkta ansvar har befogenhet att be- bud som avses i 37 § anses inte som tredje man. SOU 1997: 39 Författningsförslag: Persondatalagen 13 4 § Denna lag gäller för sådana persondataansvariga som är etablerade i . Lagen tillämpas också när den persondataansvarige är etablerad i tredje land men för behandlingen av personuppgifter använder sig av utrustning som finns i . Vad som sagts gäller dock inte om utrustningen bara används för att överföra uppgifter mellan ett tredje land och ett annat sådant land. I det fall som avses i andra stycket skall den persondataansvarige utse en företrädare för sig som är etablerad i . Den persondataansvarige skall, innan utrustningen börjar användas, till tillsynsmyndigheten skriftli- gen anmäla vem som har utsetts och därvid bifoga ett skriftligt medgivande från den utsedde. Vad som anges i denna lag om den persondataansvarige skall också gälla den företrädare som har anmälts på detta sätt. Vilken behandling av personuppgifter omfattas av lagen 5 § Denna lag gäller för sådan behandling av personuppgifter som helt eller delvis är automatisk. Lagen gäller även för annan behandling av personuppgifter, om uppgif- terna ingår i eller är avsedda att ingå i ett register. Med register avses varje strukturerad samling av personuppgifter vilka är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Undantag för privat användning av personuppgifter 6 § Denna lag gäller inte för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur. Undantag med hänsyn till yttrandefriheten 7 § Bestämmelserna i 9–29 och 33–46 §§ samt 47 § första stycket och 49 § skall inte tillämpas på a)sådana förfaranden som är skyddade enligt tryckfrihetsförordningen eller yttrandefrihetsgrundlagen, b)spridningen av sådana yttranden som är skyddade enligt tryckfrihets- förordningen eller yttrandefrihetsgrundlagen, eller 14 Författningsförslag: Persondatalagen SOU 1997: 39 c)sådan behandling av personuppgifter som annars sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. 8 § Bestämmelserna i denna lag skall inte tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförord- ningen att lämna ut personuppgifter. Bestämmelserna hindrar inte heller att en myndighet arkiverar och be- varar sina allmänna uppgifter eller att arkivmaterial tas om hand av en ar- kivmyndighet. Bestämmelserna i 9 § tredje stycket gäller inte för person- uppgifter i en myndighets arkiv. Grundläggande krav på behandlingen av personuppgifter 9 § Den persondataansvarige skall se till a)att personuppgifter behandlas bara när det är lagligt, särskilt att sam- tycke inhämtas när så krävs, b)att personuppgifter alltid behandlas på ett korrekt sätt, c)att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, d)att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, e)att de personuppgifter som behandlas är adekvata och relevanta i för- hållande till ändamålen med behandlingen, f)att inte fler personuppgifter behandlas än som är nödvändigt med hän- syn till ändamålen med behandlingen, g)att de personuppgifter som behandlas är riktiga och, om det är nöd- vändigt, aktuella, h)att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna så- dana personuppgifter som är felaktiga, missvisande eller ofullständiga med hänsyn till ändamålen med behandlingen, och i)att personuppgifter inte bevaras än vad som är nöd- vändigt med hänsyn till ändamålen med behandlingen. Beträffande första stycket d) gäller att en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte skall anses som oförenlig med de ändamål för vilka uppgifterna samlades in. I fråga om första stycket i) gäller att personuppgifter får bevaras än som sagts där för historiska, statistiska eller vetenskapliga ändamål. SOU 1997: 39 Författningsförslag: Persondatalagen 15 Personuppgifter som behandlas för historiska, statistiska eller veten- skapliga ändamål får användas för att vidta åtgärder beträffande den regist- rerade bara om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades eller någon annans vitala intressen. När behandling av personuppgifter är tillåten 10 § Personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller när behandlingen är nödvändig a)för att fullgöra ett avtal med den registrerade, b)för att på den registrerades begäran vidta åtgärder innan ett avtal träffas, c)för att den persondataansvarige skall kunna fullgöra en rättslig skyl- dighet, d)för att skydda vitala intressen för den registrerade, e)för att utföra en arbetsuppgift av allmänt intresse, f)för att den persondataansvarige eller en tredje man till vilken person- uppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller g)för ändamål som rör ett berättigat intresse hos den persondataansvarige eller hos sådana tredje män till vilka personuppgifterna lämnas ut när detta intresse väger tyngre än den registrerades intresse. 11 § Personuppgifter får inte behandlas för ändamål som rör direkt mark- nadsföring, om den registrerade hos den persondataansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling. 12 § I de fall där behandling av personuppgifter bara är tillåten när den registrerade har lämnat sitt samtycke enligt 10, 15 eller 34 § har den regist- rerade rätt att när som helst återkalla ett lämnat samtycke. Ytterligare per- sonuppgifter om den registrerade får därefter inte behandlas. En registrerad har utöver vad som följer av första stycket och 11 § inte rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt denna lag. 16 Författningsförslag: Persondatalagen SOU 1997: 39 Förbud mot behandling av känsliga personuppgifter 13 § Det är förbjudet att behandla personuppgifter som avslöjar a)ras eller etniskt ursprung, b)politiska åsikter, c)religiös eller filosofisk övertygelse, eller d)medlemskap i fackförening. Det är också förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. Undantag från förbudet mot behandling av känsliga personuppgifter 14 § Utan hinder av 13 § är det tillåtet att behandla känsliga personuppgif- ter i de fall som anges i 15–19 §§. I 10 § finns det bestämmelser om i vilka fall behandling av personupp- gifter över huvud taget är tillåten. 15 § Känsliga personuppgifter får behandlas, om den registrerade har samtyckt till behandlingen eller på ett tydligt sätt offentliggjort uppgif- terna. Behandlingen är nödvändig i vissa fall 16 § Känsliga personuppgifter får behandlas när behandlingen är nödvän- dig för att a)den persondataansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, b)skydda vitala intressen för den registrerade eller någon annan och den registrerade inte kan lämna samtycke, eller c)rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. Uppgifter som behandlas med stöd av första stycket a) får lämnas ut till tredje man bara om det inom arbetsrätten finns en uttrycklig skyldighet för den persondataansvarige att göra det eller den registrerade har samtyckt till utlämnandet. SOU 1997: 39 Författningsförslag: Persondatalagen 17 17 § Ideella organisationer med politiskt, filosofiskt, religiöst eller fackligt syfte får inom ramen för sin verksamhet behandla känsliga personuppgifter om organisationens medlemmar och sådana andra personer som på grund av organisationens syfte har regelbunden kontakt med denna. Känsliga personuppgifter får dock lämnas ut till tredje man bara om den registrerade har samtyckt till det. 18 § Känsliga personuppgifter får behandlas, om behandlingen är nöd- vändig för a)förebyggande hälso- och sjukvård, b)medicinska diagnoser, c)vård eller behandling, eller d)administration av hälso- och sjukvård. Den som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och har tystnadsplikt får alltid behandla känsliga personuppgifter som omfattas av tystnadsplikten. 19 § Känsliga personuppgifter får behandlas för forsknings- och statistik- ändamål, om behandlingen är nödvändig och om samhällsintresset av det forsknings- eller statistikprojekt vari behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som be- handlingen kan innebära. Har projektet godkänts av en forskningsetisk kommitté, skall förutsätt- ningarna enligt första stycket anses uppfyllda. Med forskningsetisk kommitté avses ett sådant särskilt organ för prövning av forskningsetiska frågor som har företrädare för såväl det allmänna som forskningen och som är knutet till ett universitet eller en högskola eller till någon annan instans som i mera betydande omfattning finansierar forskning. Personuppgifter får lämnas ut för att användas i sådana projekt som av- ses i första stycket, om inte något annat följer av sekretesslagen (1980:100). 18 Författningsförslag: Persondatalagen SOU 1997: 39 Bemyndigande att föreskriva ytterligare undantag 20 § Regeringen eller den myndighet som regeringen bestämmer får före- skriva ytterligare undantag från förbudet i 13 §, om det behövs med hänsyn till ett viktigt allmänt intresse. 21 § Det är förbjudet för andra än myndigheter att behandla personuppgif- ter om lagöverträdelser eller om domar och säkerhetsåtgärder i brottmål. Regeringen eller den myndighet som regeringen bestämmer får före- skriva undantag från förbudet i första stycket. 22 § Uppgift om personnummer får behandlas bara när det är klart motive- rat med hänsyn till a)ändamålet med behandlingen, b)vikten av en säker identifiering, eller c)något annat beaktansvärt skäl. Information till den registrerade Information skall lämnas självmant när uppgifterna samlas in 23 § När uppgifter om en person samlas in från denne själv, skall den per- sondataansvarige självmant lämna den registrerade information rörande be- handlingen. 24 § Om personuppgifterna har samlats in från annan källa än den registre- rade, skall den persondataansvarige självmant lämna den registrerade in- formation rörande behandlingen när uppgifterna noteras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver informationen dock lämnas först när uppgifterna lämnas ut . Information enligt första stycket behöver inte lämnas, om det finns be- stämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. Information behöver inte heller lämnas enligt första stycket, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor ar- SOU 1997: 39 Författningsförslag: Persondatalagen 19 Om uppgifterna används för att vidta åtgärder beträffande den registrerade, skall dock information alltid lämnas senast i samband med att så sker. Vilken information skall lämnas självmant 25 § Information enligt 23 § eller 24 § första stycket skall omfatta a)uppgift om den persondataansvariges identitet, b)uppgift om ändamålen med behandlingen, och c)all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter, såsom information om mottagarna av uppgif- terna, skyldighet att lämna uppgifter och rätten att ansöka om informa- tion. Uppgifter behöver dock inte lämnas om sådant som den registrerade redan känner till. Information skall också lämnas efter ansökan 26 § Den persondataansvarige är skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna information, om personuppgifter som rör sökanden behandlas eller inte. Behandlas sådana uppgifter skall skriftlig information lämnas också om a)vilka uppgifter om sökanden som behandlas, b)varifrån dessa uppgifter har hämtats, c)ändamålen med behandlingen, och d)till vilka mottagare eller kategorier av mottagare som uppgifterna läm- nas ut. En ansökan enligt första stycket skall göras skriftligen hos den persondata- ansvarige och vara undertecknad av den sökande själv. Information enligt första stycket skall lämnas inom en månad från det att ansökan gjordes. Det är dock tillåtet att lämna information bara vid tre över året jämnt förde- lade tillfällen, om det finns särskilda skäl för det. Information enligt första stycket behöver inte lämnas beträffande per- sonuppgifter i löpande text som inte fått sin slutliga utformning när ansö- kan gjordes eller som utgör minnesanteckning eller liknande. Vad som sagts gäller dock inte om uppgifterna har lämnats ut till tredje man, om uppgifterna behandlas bara för historiska, statistiska eller vetenskapliga ändamål eller, såvitt gäller löpande text som inte fått sin slutliga utform- ning, om uppgifterna har behandlats . 20 Författningsförslag: Persondatalagen SOU 1997: 39 Undantag från informationsskyldigheten vid sekretess och tystnadsplikt 27 § I den utsträckning det är särskilt föreskrivet i lag eller annan författ- ning eller i beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade gäller inte bestämmelserna i 23– 26 §§.