sou · GLB339d1 · 1998-01-01 00:00:00 — I punkt 38 i ingressen anges att en korrekt behandling förutsätter att de registrerade får kännedom om behandlingen och att de – när uppgifterna samlas in hos dem – kan få korrekt och fullständig information med hänsyn till de närmare omständigheterna vid insamlingen (se artikel 10 och avsnitt 3.9). I artikel 7 – se avsnitt 3.5 – anges det kriterier för när en behandling av personuppgifter kan anses laglig (se också punkt 30 och 31 i ingressen). Enligt kommissionens förklaring innebär kravet på korrekt och laglig behandling att man inte får använda dolda anordningar för att i hemlighet samla in uppgifter utan att den registrerade känner till det, t.ex. telefonav- lyssning och liknande. Kravet på korrekt och laglig behandling förhindrar också att de registeransvariga utvecklar och använder hemliga eller ljus- skygga behandlingsmetoder för personuppgifter. Personuppgifter skall samlas in för särskilda, uttryckligt angivna ändamål. Uppgifterna får inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Under förutsättning att medlemsstaterna beslutar om lämp- liga skyddsåtgärder skall dock senare behandling av uppgifter för histo- riska, statistiska eller vetenskapliga ändamål inte anses oförenlig med de ursprungliga ändamålen. Av punkt 28 i ingressen framgår att ändamålen med behandlingen skall vara bestämda redan när uppgifterna samlas in och att sådana ändamål som läggs fast först därefter inte får vara oförenliga med de ändamål som ur- sprungligen angavs. I punkt 29 i ingressen anges att de skyddsåtgärder som staterna beslutar om när det gäller senare behandling för historiska, statis- tiska eller vetenskapliga ändamål särskilt skall hindra att uppgifterna an- vänds för att vidta åtgärder mot en viss person eller för att fatta ett beslut som rör honom eller henne. Av kommissionens förklaring framgår att kravet att insamlingen skall ske för ett särskilt ändamål innebär att avsikten med insamlandet och an- 57På engelska fairly and lawfully, på franska loyalement et licitement, på tyska nach Treu und Glaube und auf rechtsmäßige . 124 EG-direktivet om personuppgifter SOU 1997: 39 vändningen av personuppgifterna skall definieras på ett så precist sätt som möjligt. En generell eller vag definition eller beskrivning av ändamålet med behandlingen – såsom för kommersiella ändamål – uppfyller inte kravet. Det framhålls vidare att den registeransvarige är skyldig att be- stämma ändamålet för lagring av personuppgifterna. I artikel 10–11 finns det bestämmelser om att den registrerade skall in- formeras om ändamålen med behandlingen (se avsnitt 3.9). 3.4.4Personuppgifterna skall vara adekvata, relevanta och inte för omfattande Personuppgifterna skall vara adekvata och relevanta och de får inte omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka upp- gifterna har samlats in eller58 för vilka de senare behandlas. Av kommissionens förklaring framgår att denna bestämmelse innebär att uppgifternas beskaffenhet måste korrespondera med det mål man vill uppnå med behandlingen. 3.4.5Personuppgifterna skall vara riktiga och aktuella Personuppgifterna skall vara riktiga och de skall också, om det är nödvän- digt, vara aktuella. Alla rimliga åtgärder måste vidtas för att säkerställa att sådana personuppgifter, som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlats in eller för vilka de senare behandlas, utplånas eller rättas. I artikel 12 b finns det bestämmelser om att den registrerade har rätt att få felaktiga och ofullständiga uppgifter rättade, utplånade eller blockerade (se avsnitt 3.10.3). I artikel 17 finns det bestämmelser om säkerheten vid behandling av personuppgifter (se avsnitt 3.12). I artikel 28.3 första stycket andra strecksatsen finns det bestämmelser om att tillsynsmyndigheten skall ha befogenhet att besluta om bl.a. blockering, utplåning eller förstöring av uppgifter (se avsnitt 3.17). 58I den svenska språkversionen används här och, medan den engelska och den tyska versionen använder and/or respektive und/oder. I den franska versionen används et. SOU 1997: 39 EG-direktivet om personuppgifter 125 3.4.6Personuppgifterna får inte förvaras längre än nödvändigt Personuppgifter skall förvaras på ett sätt som förhindrar identifiering av den registrerade än vad som är nödvändigt för de ända- mål för vilka uppgifterna samlats in eller för vilka de senare behandlas. Medlemsstaterna skall vidta lämpliga skyddsåtgärder för sådana person- uppgifter som lagras för historiska, statistiska eller vetenskapliga ändamål. Personuppgifter, dvs. upplysningar om en identifierbar fysisk person, får alltså lagras bara så länge det är nödvändigt med hänsyn till ändamålen med behandlingen, inklusive historiska, statistiska eller vetenskapliga än- damål. Därefter måste uppgifterna avidentifieras (eller förstöras). Av kommissionens förklaring framgår att medlemsstaterna genom skyddsåtgärder för sådana personuppgifter som lagras under längre perio- der för historiska, statistiska eller vetenskapliga ändamål kan förena – på den ena sidan – principen om att behandlingen skall ha ett lagligt ändamål och anspråket på att ens förflutna skall vara glömt med – på den andra sidan – de krav som forskningen ställer. I artikel 17 finns det bestämmelser om säkerheten vid behandling av personuppgifter (se avsnitt 3.12). 3.5Förutsättningar för att uppgiftsbehandling skall kunna tillåtas I artikel 7 anges det – under rubriken som gör att uppgiftsbe- handling kan tillåtas – att medlemsstaterna skall föreskriva att personupp- gifter får behandlas bara i de sex fall som räknas upp i artikeln; uppgiftsbe- handling i andra fall är inte laglig. Medlemsstaterna skall inom de begräns- ningar som bl.a. bestämmelserna i artikel 7 innebär närmare precisera på vilka villkor uppgiftsbehandling är tillåten (artikel 5). I artikel 8 finns det bestämmelser om att behandling av vissa särskilt känsliga uppgifter är förbjuden (se avsnitt 3.6). 126 EG-direktivet om personuppgifter SOU 1997: 39 Behandling av personuppgifter är tillåten om den registrerade otvetydigt har lämnat sitt samtycke. Av artikel 2 h framgår att med samtycke avses varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom eller henne (se avsnitt 3.2.2.9). 3.5.3I samband med avtal Personuppgifter får behandlas om det är nödvändigt för att fullgöra ett av- tal i vilket den registrerade är part. Sådan behandling får också ske om det är nödvändigt för att – på begäran av den registrerade – vidta åtgärder innan ett avtal59 ingås. Det är tillåtet att behandla personuppgifter om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse60 som åvilar den registeransvarige. I kommissionens reviderade direktivförslag innebar bestämmelsen att uppgiftsbehandling var tillåten om den var nödvändig för att fullgöra en skyldighet som ålagts i nationell rätt eller i gemenskapsrätten.61 Att bestämmelsen omfattar t.ex. sådan uppgiftsbehandling som är nöd- vändig för att företag skall kunna fullgöra sina skyldigheter i fråga om skattelagstiftningen eller arbetsrätten torde vara klart. Det är mera osäkert om bestämmelsen också omfattar sådan uppgiftsbehandling som är nöd- 59I den svenska språkversionen talas det om ett sådant avtal, dvs. ett avtal i vilket den registrerade, dvs. en fysisk person, är part. Motsvarande bestämning av avtalet finns inte i den engelska, den franska eller den tyska språkversionen, vilket kan ha betydelse när en registrerad som företräder en juridisk person begär åtgärder innan avtal ingås med den juridiska personen. 60På engelska legal obligation, på franska obligation légale, på tyska rechtliche Verplichtung. 61På engelska processing is necessary in order to comply with an obligation im- posed by national law or by Community law. SOU 1997: 39 EG-direktivet om personuppgifter 127 vändig för att fullgöra en rättslig förpliktelse enligt ett avtal som den regis- teransvarige frivilligt har ingått med någon annan än den registrerade.62 3.5.5För att skydda vitala intressen Behandling av personuppgifter får tillåtas om behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den regist- rerade. I den engelska språkversionen talas det om vital interests.63 Ordet vital har flera betydelser i engelskan och kan betyda såväl det som den svenska språkversionen anger som något som är livsviktigt.64 Och i punkt 31 i ingressen talas det just om att uppgiftsbehandlingen sker för att skydda ett intresse som är av avgörande betydelse för den registrerades liv. Också i kommissionens förklaring talas det om den situationen att den re- gistrerade har ett vitalt intresse att få sina uppgifter behandlade, men inte kan lämna sitt samtycke, t.ex. när det är fråga om ett allvarligt medicinskt fall.65 Det kan noteras att det är bara vitala intressen för den registrerade – och inte t.ex. sådana intressen hos hans eller hennes minderåriga barn – som kan göra uppgiftsbehandlingen tillåten enligt denna bestämmelse.66 I artikel 8.2 c finns det däremot bestämmelser om att behandling av särskilt känsliga uppgifter kan tillåtas också om den är nödvändig för att skydda någon annans vitala intressen (se avsnitt 3.6.2.3); uppgiftsbehandling måste då i sig vara tillåten enligt någon annan punkt i artikel 7, t.ex. enligt punkt e eller f (se avsnitt 3.5.6 och 3.5.7). 62Uppgiftsbehandling för att fullgöra ett avtal med den registrerade omfattas av en annan bestämmelse (artikel 7 b), se avsnitt 3.5.3. 63På franska intérêt vital, på tyska lebenswichtige Interessen 64Se punkt 3.9 i det brittiska remissunderlaget. 65Jan anser att direktivet lämnar öppet om det finns andra vitala intressen än liv och hälsa som kan få skyddas enligt denna bestämmelse, se EG och behandling av personuppgifter, 1993, s. 17. 66Jämför också artikel 26.1 e beträffande överföring av personuppgifter utanför ge- menskapen. 128 EG-direktivet om personuppgifter SOU 1997: 39 3.5.6Myndighetsutövning eller allmänt intresse Behandling av personuppgifter är tillåten om den är nödvändig för att ut- föra en arbetsuppgift som är antingen N av allmänt intresse eller N ett led i myndighetsutövning som utförs av den registeransvarige eller den tredje man till vilken uppgifterna har lämnats ut. I punkt 32 i ingressen anges att det ankommer på den nationella lagstift- ningen att avgöra om den registeransvarige som utför en behandling i all- mänt intresse eller som ett led i myndighetsutövning skall vara en myndig- het eller något annat offentligrättsligt eller civilrättsligt subjekt, t.ex. en yr- kesorganisation.67 I artikel 8.5 finns det däremot bestämmelser om att be- handling av personuppgifter om brott m.m. i vissa situationer måste utföras i vart fall under myndighetskontroll (se avsnitt 3.6.3). Det är slutligen möjligt att tillåta behandling av personuppgifter efter en intresseavvägning. Behandlingen måste då vara nödvändig för ändamål som rör berättigade intressen hos den registeransvarige – eller hos den eller de tredje män till vilka uppgifterna har lämnats ut – och dessa intressen får inte uppvägas av den registrerades intressen eller sådana grundläggande fri- och rättigheter för honom eller henne som skall skyddas av direktivet (enligt artikel 1.1).68 I punkt 30 i ingressen framhålls det att medlemsstaterna – för att garan- tera en jämvikt mellan berörda intressen och för att säkerställa en 67Enligt punkt 30 i ingressen i den svenska språkversionen skulle behandlingen vara tillåten om den fordras enligt lagstiftning vid utförandet av något som är i det allmännas intresse eller är ett led i myndighetsutövning. I de engelska, franska och tyska språkversionerna finns det inget motsvarande krav på lagstiftning vid allmänt intresse eller myndighetsutövning. Möjligen är det fråga om ett skrivfel i den svenska versionen; betydelsen blir en annan om ordet eller sätts in efter or- det lagstiftning, vilket är fallet i de engelska och franska versionerna. 68I den engelska språkversionen talas det bara om den registrerades intresse av att få åtnjuta fri- och rättigheter (interests for fundamental rights and freedoms of the data subject), medan det i den franska och tyska språkversionen talas om det- samma som i den svenska, dvs. den registrerades intressen eller fri- och rättighe- ter. Det kan möjligen vara fråga om ett skrivfel i den engelska versionen; betydel- sen blir en annan om ordet for byts ut mot or. SOU 1997: 39 EG-direktivet om personuppgifter 129 effektiv konkurrens – får närmare ange på vilka villkor användning och utlämnande till tredje man av personuppgifter får äga rum inom ramen för tillåtna aktiviteter som utövas av företag och andra organ i deras löpande verksamhet. Staterna får även närmare ange på vilka villkor personuppgif- ter får vidarebefordras till tredje man i marknadsföringssyfte. Detta gäller oavsett om vidarebefordrandet sker kommersiellt eller av välgörenhetsor- ganisationer, föreningar eller stiftelser, t.ex. av politisk karaktär. En förut- sättning är dock att de regler iakttas som har till syfte att ge den registre- rade möjlighet att invända mot att uppgifter som rör honom eller henne behandlas (se artikel 14 1 st. b och avsnitt 3.7.3). Av punkt 30 i ingressen framgår vidare att det kan vara fråga om berättigade intressen hos såväl en juridisk som en fysisk person.69 3.6Behandling av särskilt känsliga uppgifter 3.6.1Ett principiellt förbud mot behandling av uppgifter om ras eller etniskt ursprung, religiösa, filosofiska eller politiska åsikter, fackföreningsmedlemskap, hälsa och sexualliv I artikel 8 föreskrivs att medlemsstaterna skall förbjuda behandling av per- sonuppgifter som avslöjar N ras eller etniskt ursprung, N politiska åsikter, N religiös eller filosofisk övertygelse eller N medlemskap i fackförening eller som rör N hälsa eller N sexualliv.70 I kommissionens förklaring anges att information om hudfärg innefattas i bestämmelsen om ras eller etniskt ursprung. När det gäller religiös eller filosofisk övertygelse omfattas en uppgift om att någon inte har någon reli- 69Detta framgår också av punkt 45 i ingressen i den engelska språkversionen. 70I den svenska, den franska och den danska språkversionen anges hälsa och sexual- liv, medan det i den engelska och tyska språkversionen talas om hälsa eller sexual- liv. 130 EG-direktivet om personuppgifter SOU 1997: 39 giös tro, liksom information om aktiviteter som hör samman med en sådan övertygelse. I fråga om uppgifter som rör hälsa omfattas uppgifter om den registrerades tidigare, nuvarande och framtida fysiska och psykiska hälsa samt uppgifter om missbruk av droger eller alkohol. Av mötesprotokollet framgår att rådet och kommissionen anser att med- lemsstaterna får, i enlighet med artikel 5, precisera de kategorier av käns- liga uppgifter som anges i artikel 8.1 med hänsyn till landets juridiska och sociologiska särdrag, t.ex. vad beträffar uppgifter som rör genetisk identi- tet, partipolitisk tillhörighet, fysisk hälsa, personliga övertygelser eller va- nor, osv. Förbudet mot behandling av känsliga personuppgifter gäller inte om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen. I med- lemsstaternas lagstiftning kan det dock anges att förbudet mot behandling av känsliga personuppgifter inte kan upphävas ens med den registrerades samtycke. Känsliga personuppgifter får behandlas när behandlingen är nödvändig för att fullgöra de skyldigheter och särskilda rättigheter som åligger den regis- teransvarige inom arbetsrätten.71 Detta gäller i den omfattning behand- lingen är tillåten enligt nationell lagstiftning där lämpliga skyddsåtgärder föreskrivs. Av mötesprotokollet framgår att rådet och kommissionen anser att varje överenskommelse mellan arbetsmarknadens parter omfattas här. 3.6.2.3För att skydda vitala intressen Det är tillåtet att behandla känsliga personuppgifter om behandlingen är nödvändig för att skydda den registrerades eller någon annan persons 71På engelska in the field of employment law, på franska en matière de droit du travail, på tyska auf dem Gebit des Arbeitsrechts. SOU 1997: 39 EG-direktivet om personuppgifter 131 grundläggande intressen (vital interests) när den registrerade är fysiskt eller rättsligt förhindrad att lämna sitt samtycke. Se rörande uttrycket grundläggande intressen (vital interests) avsnitt 3.5.5 ovan. 3.6.2.4Politiska, filosofiska, religiösa och fackliga organisationer Känsliga personuppgifter får behandlas om behandlingen utförs inom ra- men för berättigad verksamhet hos ett icke vinstdrivande organ – t.ex. en stiftelse eller en förening – som har ett syfte som är N politiskt, N filosofiskt, N religiöst eller N fackligt. För att sådan behandling skall vara tillåten förutsätts dock N att uppgifterna inte lämnas ut till tredje man utan den registrerades sam- tycke och N att behandlingen endast rör sådana organs medlemmar eller personer som på grund av organets ändamål har regelbunden kon- takt med detta. För sådan behandling som avses är det möjligt att föreskriva undantag från eller förenklingar av den anmälningsprocedur som annars skall iakttas innan en behandling genomförs (artikel 18.4, se avsnitt 3.13.3.5). Det är tillåtet att behandla känsliga personuppgifter som på ett tydligt sätt offentliggörs av den registrerade. Ett exempel här skulle kunna vara uppgifter om politiska förhållanden som rör politiska representanter, t.ex. riksdagsledamöters partitillhörighet och åsikter som förts fram i . 3.6.2.6Nödvändig med hänsyn till rättsliga anspråk Behandling av känsliga uppgifter får ske när behandlingen är nödvändig för att kunna fastslå, göra gällande eller försvara rättsliga anspråk. En medlemsstat har i mötesprotokollet anfört att den utgår från att den princip som här slås fast också omfattar motsvarande användning av upp- 132 EG-direktivet om personuppgifter SOU 1997: 39 gifter i förfaranden inför andra statliga organ i den utsträckning som dessa förfaranden föregår förfaranden inför domstol. Förbudet mot behandling av känsliga uppgifter gäller inte när behand- lingen är nödvändig med hänsyn till N förebyggande hälso- och sjukvård, N medicinska diagnoser, N vård eller behandling eller N administration av hälso- eller sjukvård. Förbudet gäller inte heller när sådana uppgifter behandlas antingen N av någon som är yrkesmässigt verksam på hälso- och sjukvårdsområdet och som är underkastad tystnadsplikt72 enligt nationell lagstiftning eller bestämmelser som har antagits av behöriga nationella organ eller N av någon annan person som är underkastad en liknande tystnadsplikt73. Det verkar inte krävas att behandlingen är nödvändig för något visst ända- mål, t.ex. inom hälso- och sjukvårdsområdet, i det fallet att den utförs av någon som är underkastad tystnadsplikt; däremot måste behandlingen gi- vetvis falla under någon av de grundläggande förutsättningar som gör att behandlingen över huvud taget kan tillåtas (se artikel 7 och avsnitt 3.5). Det verkar vidare inte krävas att den person med tystnadsplikt som be- handlar de känsliga personuppgifterna skall vara registeransvarig (eller re- gisterförare) eller ens att han eller hon är yrkesmässigt verksam på hälso- och sjukvårdsområdet. Medlemsstaterna får i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndigheten göra även andra undantag än de som tidigare nämnts från förbudet mot behandling av känsliga personuppgifter. Detta får dock bara göras av hänsyn till ett viktigt allmänt intresse, och det är en ytterli- 72På engelska subject to [] the obligation of professional secrecy, på franska secret professionel, på tyska Berufsgeheimnis. 73På engelska equivalent obligation of secrecy, på franska obligation de secret équivalente, på tyska entsprechenden Geheimhaltungsplicht. SOU 1997: 39 EG-direktivet om personuppgifter 133 gare förutsättning att det finns lämpliga skyddsåtgärder. Sådana undantag som görs med stöd av denna bestämmelse skall anmälas till kommissionen. I punkt 34 i ingressen anges följande. När det av hänsyn till viktiga all- männa intressen är nödvändigt måste medlemsstaterna kunna avvika från förbudet mot att behandla känsliga kategorier av uppgifter på vissa områ- den. Som exempel på områden och fall där avvikelser kan ske nämns N socialskydd, särskilt för att säkerställa kvalitet och lönsamhet i samband med ansökningar om förmåner och tjänster inom sjukförsäkringssyste- met, N i samband med vetenskaplig forskning och N i samband med offentlig statistik. Det betonas att det dock åligger medlemsstaterna att sörja för att det finns lämpliga och konkreta garantier för att skydda enskilda personers grund- läggande rättigheter och privatliv. I punkt 35 i ingressen klargörs att myndigheters behandling av person- uppgifter för officiellt erkända religiösa sammanslutningars räkning för att uppfylla målsättningar som uttrycks i grundlagen eller folkrätten utförs för att tillgodose viktiga allmänna intressen. Punkt 36 i ingressen behandlar det fallet att de politiska partierna i vissa medlemsstater samlar in uppgifter om enskilda personers politiska uppfattning i samband med att allmänna val hålls. Om det är nödvändigt för att det demokratiska systemet skall fungera, får behandling av sådana uppgifter tillåtas av hänsyn till viktiga allmänna intressen under förutsättning att lämpliga garantier föreskrivs. Av kommissionens förklaring framgår att undantag skulle kunna göras för internationella människorättsorganisationer som behöver känsliga per- sonuppgifter för sitt arbete, förutsatt att dessa kan erbjuda lämpliga skyddsåtgärder. Av artikel 28.2 följer att medlemsstaterna skall se till att tillsynsmyn- digheten hörs när författningar om undantag utarbetas. 134 EG-direktivet om personuppgifter SOU 1997: 39 3.6.3Uppgifter om brott m.m. Det finns inte något principiellt förbud mot att behandla personuppgifter om brott eller liknande. Men i artikel 8.5 finns det särskilda regler rörande behandling av uppgifter om N brottmålsdomar eller N säkerhetsåtgärder.74 Behandling av sådana uppgifter får utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de avvikelser som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåt- gärder. Ett fullständigt register över brottmålsdomar får dock föras endast under kontroll av en myndighet. Det är tillåtet för medlemsstaterna att föreskriva att uppgifter som rör administrativa sanktioner och avgöranden i tvistemål också skall behandlas under kontroll av en myndighet. I artikel 8.6 finns det en bestämmelse om att de avvikelser från artikel 8.1 som har tillåtits i enlighet med artikel 8.5 skall anmälas till kommissionen. Eftersom behandling av de uppgifter om brott m.m. som avses i artikel 8.5 inte i sig verkar omfattas av förbudet i artikel 8.1, är det svårt att säga vilken räckvidd denna anmälningsskyldighet har. Enligt artikel 8.7 skall medlemsstaterna bestämma på vilka villkor ett na- tionellt identifikationsnummer eller något annat vedertaget sätt för identifi- ering får behandlas. 74På engelska offences, criminal convictions or security measures, på franska aux infractions, aux condamnations pénales ou aux measures de sûreté, på tyska Straftaten, strafrechtliche Verurteilungen oder Sicherungsmassregeln. SOU 1997: 39 EG-direktivet om personuppgifter 135 3.7Rätten att motsätta sig uppgiftsbehandling I artikel 14 finns det – under rubriken rätt att göra in- vändningar – bestämmelser om att medlemsstaterna skall tillförsäkra den registrerade rätt att motsätta sig att personuppgifter om honom eller henne behandlas. Det gäller i vissa fall när den registrerade har avgörande och berättigade skäl (artikel 14 1 st. a och avsnitt 3.7.2) och i samband med be- handling som rör direkt marknadsföring (artikel 14 1 st. b och avsnitt 3.7.3).