sou · GLB339d2 · 1998-01-01 00:00:00 — Av förarbetena framgår emellertid att lydelsen av grundlagsregeln har utformats så att det skall stå klart att regeln inte hind- rar regeringen, andra myndigheter eller kommuner att meddela data- skyddsbestämmelser.278 Efter införandet av regeln i 2 kap. 3 § andra stycket har i regeringsformen också införts en möjlighet för att till regeringen (eller den myndighet som regeringen bestämmer) delegera rätten att meddela föreskrifter om skydd för personlig integritet vid regist- rering av uppgifter med hjälp av automatisk databehandling, varvid regeln i 2 kap. 3 § andra stycket inte ansetts hindra sådan delegation.279 Däremot innebär regeln i 2 kap. 3 § andra stycket enligt förarbetena att måste vara aktiv genom att stifta och vidmakthålla en dataskyddslagstift- ning som utgör en verklig och allvarligt menad skyddslagstiftning.280 Vår slutsats är att reglerna i 2 kap. 3 § andra stycket och 8 kap. 1 § re- geringsformen inte hindrar att regeringen och Datainspektionen ges behö- righet att närmare precisera och konkretisera regleringen i persondatala- gen, som bör uppta de grundläggande huvudreglerna och principerna. Föreskrifter om enskildas personliga ställning Enligt 8 kap. 2 § regeringsformen skall föreskrifter om enskildas person- liga ställning samt om deras personliga och ekonomiska förhållande inbör- des meddelas genom lag. Sådana privaträttsliga föreskrifter tillhör det ob- ligatoriska lagområdet, och får inte delegera föreskriftsrätten inom detta område. 1987/88:57 s. 11. 1993/94:116 s. 15. 1987/88:57 s. 11. SOU 1997: 39 Innehållet i den nya persondatalagen 325 Av det förhållandet att en delegationsmöjlighet faktiskt har införts – och utnyttjats – beträffande föreskrifter om skydd för personlig integritet vid registrering av uppgifter med hjälp av automatisk databehandling kan enligt vår mening den slutsatsen dras att föreskrifter om skydd för person- lig integritet vid behandling av personuppgifter inte kan anses röra enskildas personliga ställning i den mening som avses i 8 kap. 2 §. Gränsdragningen mellan privaträttsliga föreskrifter (där lagformen är obli- gatorisk) och offentligrättsliga föreskrifter (där i vissa fall kan delegera föreskriftsrätten) har analyserats i ett lagstiftningsärende om genomförande av EG-direktiv på finansmarknadsområdet.281 Den slut- sats som godtogs i det ärendet får i korthet anses innebära att gränsdrag- ningen bör kunna ske efter vem som kan åberopa föreskrifterna och vilka sanktioner som är förknippade med ett brott mot dem. som enskilda kan (med framgång) direkt åberopa mot andra en- skilda i domstol och som kan leda till att någon enskild förpliktas betala pengar – t.ex. skadestånd – till någon annan enskild torde med det synsättet vara att anse som privaträttsliga. Det torde vara just sådana – privaträttsliga – föreskrifter som avses i artikel 22 och 23.1 i EG-direktivet. Enligt 8 kap. 13 § regeringsformen kan regeringen – eller den myndighet till vilken regeringen överlåter uppgiften – besluta föreskrifter om verk- ställighet av lag i fråga om såväl privaträttsliga som offentligrättsliga lag- regler. Departementschefen anförde i förarbetena rörande verkställighets- föreskrifter282: Med föreskrifter om verkställighet av lag bör enligt min mening i första hand förstås tillämpningsföreskrifter av rent administrativ karaktär. I viss ut- sträckning torde det emellertid vara ofrånkomligt att tillåta, att regeringen med stöd av sin behörighet att besluta verkställighetsföreskrifter i materiellt hänseende fyller ut en lag, även om lagen i och för sig skulle befinna sig inom det obligatoriska lagområdet. En förutsättning för att regeringen skall 1994/95:50 s. 283 ff. och 602 ff. och också SOU 1996:157 s. 139 ff. Jämför , Behöver lagstiftningen om emissionspro- spekt reformeras? i SvJT 1996 s. 205 ff. 1973:90 s. 211. 326 Innehållet i den nya persondatalagen SOU 1997: 39 få göra detta måste emellertid vara, att den lagbestämmelse som skall kompletteras är så detaljerad att regleringen inte tillförs något väsentligt nytt genom den av regeringen beslutade föreskriften. I verkställighetsföreskrif- tens form får således inte beslutas om något som kan upplevas som ett nytt åliggande för enskilda eller om något som kan betraktas som ett tidigare ej föreliggande ingrepp i enskildas personliga eller ekonomiska förhållanden. Behörigheten att meddela verkställighetsföreskrifter har analyse- rats av i en doktorsavhandling rörande legalitetsprincipen vid inkomstbeskattning.283 Av den analysen framgår att den ganska spar- samma rättspraxis som förekommer inte uppvisar någon klar bild och att meningarna i den juridiska litteraturen är delade när det gäller krav på hur detaljerad lagregeln måste vara och hur långtgående precisering som kan tillåtas genom verkställighetsföreskrifter. Enligt före- faller det rimligast att göra bedömningen rättsområde för rättsområde och att till och med skilja på olika reglers karaktär inom ett visst rättsområde. har också berört frågan.284 Kommittén konstaterar att det inte framgår klart av regeringsformen eller dess förarbeten hur långt regeringens rätt att meddela verkställighetsföre- skrifter som fyller ut en lag sträcker sig. Det framstår som i viss mån osä- kert vilken grad av precision hos lagregeln som bör krävas. Enligt kommittén torde en rimlig tolkning kunna vara att den lagregel som skall kompletteras anger någon princip som skall vara vägledande vid utform- ningen av verkställighetsföreskriften.285 Offentligrättsliga föreskrifter och föreskrifter rörande kommuner Enligt 8 kap. 3 § regeringsformen skall (offentligrättsliga) föreskrifter om förhållandet mellan enskilda och det allmänna, som gäller åligganden för enskilda eller i övrigt avser ingrepp i enskildas personliga eller ekono- miska förhållanden, meddelas genom lag. I lag skall också – enligt 8 kap. 5 § regeringsformen – meddelas föreskrifter om kommunernas åligganden. 283Anders , Legalitetsprincipen vid inkomstbeskattningen, 1995, s. 129 ff. I avhandlingen finns en grundlig genomgång av förarbeten, praxis och doktrin, till vilken genomgång kan hänvisas för en utförligare bakgrundsbeskrivning. Se också , Normgivningsmakten enligt regeringsform, Andra upplagan, 1989, särskilt s. 131 ff. och 186 ff. 284SOU 1994:17 Del I s. 112 f. och SOU 1996:157 s. 143 f. 285Samma resonemang för , se Normgivningsmakten enligt regeringsform, Andra upplagan, 1989, s. 153. SOU 1997: 39 Innehållet i den nya persondatalagen 327 På dessa områden kan genom lag bemyndiga regeringen att meddela föreskrifter i vissa ämnen som räknas upp i 8 kap. 7 § regerings- formen, och kan i samband med bemyndigandet också gå med på att regeringen överlåter åt någon förvaltningsmyndighet att meddela bestämmelser i ämnet (8 kap. 11 §). Ett ämne beträffande vilket kan delegera sin föreskriftsrätt är skydd för personlig integritet vid regist- rering av uppgifter med hjälp av automatisk databehandling. För fullständighets skull bör också nämnas att regeringen enligt 8 kap. 13 § regeringsformen får besluta föreskrifter som inte enligt grundlag skall meddelas av och att regeringen därvid också får överlåta åt nå- gon myndighet under regeringen att meddela föreskrifter i ämnet. Det kan t.ex. gälla föreskrifter om de dataregister som en statlig myndighet skall föra. I den mån har meddelat oavviklig lag i ämnet gäller dock lagen framför regeringsförordningar och myndighetsföreskrifter. Detta följer om inte annat av den formella lagkraftens princip. Enligt EG-direktivet skall en åtgärd som är oförenlig med de svenska be- stämmelser som har antagits till följd av direktivet kunna grunda skade- ståndsskyldighet mellan enskilda (artikel 23.1), vilket enskilda skall kunna föra talan om mot varandra inför domstol (artikel 22). Av regeringsformen följer att (privaträttsliga) föreskrifter om skadeståndsskyldighet mellan en- skilda ovillkorligen skall ges i lag. I vårt förslag till persondatalag har där- för upptagits en bestämmelse om ersättningsskyldighet för skada som en behandling av personuppgifter i strid med lagen eller föreskrifter som meddelats med stöd av lagen fört med sig. Enligt vår mening får en sådan bestämmelse anses uppfylla såväl EG-direktivets krav på sanktioner mellan enskilda som regeringsformens krav på att sådana skadeståndsbe- stämmelser skall ha lagform. Avsikten är att persondatalagen skall innehålla alla grundläggande regler, principer och undantagsmöjligheter och att regeringen och Datain- spektionen inom den ramen – och vad EG-direktivet tillåter och kräver – skall närmare precisera regleringen. Detta kan till viss del ske genom verk- ställighetsföreskrifter. De principer som skall vara vägledande vid ut- formningen av verkställighetsföreskrifterna har ju slagits fast i lagen; de bindande principerna finns för övrigt redan i EG-direktivet. 328 Innehållet i den nya persondatalagen SOU 1997: 39 mening bör vidare utrymmet för verkställighetsföreskrifter vara något större än normalt på sådana rättsområden där det finns förhållandevis de- taljerade EG-direktiv som lämpligen bör införlivas genom en lag kompletterad med författningar av lägre valör. Regleringen på arbetsmiljö- området torde vara ett exempel på detta. Det sagda torde gälla särskilt i fråga om EG-direktiv som inte är av minimikaraktär; EG-direktivet fast- ställer då exakta ramar för lagen och författningarna av lägre valör, varför det inte verkar finnas någon beaktansvärd risk för att verkställighetsföre- skrifterna går utöver lagen. Härtill kommer att det på nu berörda områden finns ett stort behov av verkställighetsföreskrifter för att kunna behålla den svenska lagstiftningstraditionen med förhållandevis kortfattad lagtext som skyldigheterna gentemot EU uppfylls. Här bör tilläggas att EG-direktivet inte bara innehåller generella regler som kan behöva konkretiseras. Det innehåller också regler med mycket hög konkretion, t.ex. bestämmelser om vad en anmälan till tillsynsmyn- digheten skall innehålla och vilken information som skall lämnas till den registrerade. Sådana detaljregler av närmast administrativ karaktär brukar i normalt finnas inte i lag utan i verkställighetsföreskrifter i en an- slutande förordning eller i någon myndighetsföreskrift. Vi anser att den metoden bör användas även på detta område och att lagtexten således inte bör tyngas med alla de detaljregler som finns i direktivet. I vissa fall förordar vi en behörighet för regeringen och Datainspektio- nen som går längre än till att meddela verkställighetsföreskrifter. Rege- ringen bör exempelvis under vissa angivna förutsättningar kunna före- skriva undantag från förbudet mot att behandla känsliga personuppgifter och skyldigheten att anmäla alla automatiska behandlingar till Datainspek- tionen. Det krävs alltså att föreskriftsrätten delegeras. I fråga om offent- ligrättsliga föreskrifter och föreskrifter om kommunernas åligganden är det möjligt för att delegera föreskriftsrätten i de ämnen som anges i 8 kap. 7 § regeringsformen. Ett av dessa ämnen är skydd för personlig integritet vid registrering av uppgifter med hjälp av automatisk databe- handling. Det är emellertid nödvändigt att delegationen kan omfatta all behandling som den föreslagna persondatalagen skall reglera, också t.ex. behandling av personregister. Vi föreslår därför att bestämmelsen i regeringsformen samordnas med tillämpningsområdet för den föreslagna persondatalagen på det sättet att det blir möjligt att delegera föreskriftsrätt i SOU 1997: 39 Innehållet i den nya persondatalagen 329 fråga om skydd för personlig integritet vid behandling av personuppgif- ter.286 Det bör tilläggas att regeringen och Datainspektionen vid sin precise- ring och konkretisering av lagregleringen givetvis har att hålla sig inom den ram som EG-direktivet ställer upp. Av 27 § verksförordningen (1995:1322) följer vidare bl.a. att Datainspektionen i samband med att fö- reskrifter beslutas måste lämna de som berörs tillfälle att yttra sig.287 Nå- got motsvarande gäller för regeringen enligt 7 kap. 2 § regeringsformen; av vad som anförs i avsnitt 8.2.3 framgår att regeringen bör höra Datain- spektionen när förordningar om skydd för personlig integritet vid behand- ling av personuppgifter utarbetas. I den mån regeringen eller Datainspektionen inte meddelat detaljföre- skrifter har t.ex. persondataansvariga att hålla sig till den generellt utfor- made lagtexten. Persondataansvariga och andra får således i första hand själva göra den nödvändiga avvägningen innan detaljföreskrifter har hunnit utfärdas. Datainspektionen bör ha ett särskilt ansvar för att ge råd och stöd för tillämpningen av lagen, och vad lagen har för innebörd kan alltid slut- ligen avgöras i domstol. I inledningen av persondatalagen bör det tas in definitioner av vissa grund- läggande begrepp som används i lagen, t.ex. personuppgift och personda- taansvarig. Avsikten är att de begrepp som används i den föreslagna svenska lagen skall ha samma innebörd som begreppen i EG-direktivet. I EG-direktivet definieras inledningsvis (artikel 2) vissa använda begrepp som är av grundläggande betydelse för förståelsen av direktivets be- 286Datalagsutredningen lämnade samma förslag till ändring av regeringsformen. 287Dessa bestämmelser i verksförordningen har berörts i en doktorsavhand- ling, se , rekommendationer – Allmänna råd och andra uttalanden på skatteområdet, 1995, särskilt avsnitt 4.3.4, 5.2.1 och 5.3.4. 330 Innehållet i den nya persondatalagen SOU 1997: 39 Definitionerna kan också sägas i viss mån bestämma direkti- vets tillämpningsområde. Det förefaller lämpligt att inleda även persondatalagen med definitioner av använda begrepp. På det sättet slipper man bl.a. tyngande omskriv- ningar i de följande paragraferna. De begrepp som används i EG-direktivet har som vi ser det i de flesta fall en EG-gemensam innebörd. Av den anledningen bör definitionerna i persondatalagen nära knyta an till texten i EG-direktivet. Avsikten är att definitionerna i den föreslagna lagen skall ha exakt samma innebörd som enligt direktivet. För att så långt möjligt klä den föreslagna lagtexten i en språkdräkt som är i överensstämmelse med svensk lagstiftningstradition har vi dock valt att i en del fall använda ett något förkortat uttryckssätt utan att någon saklig skillnad är avsedd. I den officiella svenska översättningen av EG-direktivet används be- teckningen registeransvarig för den som bestämmer över behandlingen av personuppgifter. Vi har valt att i den föreslagna lagen i stället använda be- teckningen persondataansvarig, eftersom denna beteckning bättre beskri- ver vad det är fråga om, nämligen någon som är ansvarig för behandling av personuppgifter (persondata) oavsett om de (automatiskt) behandlade uppgifterna ingår i ett register. I den officiella svenska översättningen av direktivet används vidare be- teckningen registerförare för den som för den persondataansvariges räk- ning behandlar personuppgifter. Vi har här valt att i stället använda beteck- ningen persondatabiträde, eftersom biträdet (föraren) kan hjälpa till att (automatiskt) behandla även personuppgifter som inte ingår i ett register. SOU 1997: 39 Innehållet i den nya persondatalagen 331 I följande uppställning framgår hur de uttryckssätt som vi har valt i den föreslagna persondatalagen förhåller sig till EG-direktivets ordalydelse. Varje åtgärd som vidtas be- Varje åtgärd eller serie av åtgärder som vidtas be- vare sig det sker på automa- tisk väg eller inte, till exem- organisering, lagring, betning eller ändring, åter- ning eller annat tillhanda- ning eller förstöring. Varje åtgärd som kan vidtas alla sammanhang skall vara förknippade med tydlig in- formation om att de är spärrade och anledningen till spärren och för att person- uppgifterna inte skall lämnas ut till tredje man annat än med stöd av 2 kap. tryckfri- jar ras eller etniskt ursprung, jar ras eller etniskt ursprung, eller medlemskap i fack- förening samt sådana per- samt uppgifter som rör hälsa 332 Innehållet i den nya persondatalagen SOU 1997: 39 Den till vilken personuppgif- Den fysiska eller juridiska ter lämnas ut. person, den myndighet, den uppgifter lämnas ut för att en myndighet skall kunna ut- utlämnas, vare sig det är en tredje man eller inte. den, anses dock inte myn- digheter som kan komma att digheten som mottagare. motta uppgifter inom ramen för ett särskilt uppdrag skall dock inte betraktas som mot- Den som ensam eller till- Den fysiska eller juridiska sammans med andra be- person, den myndighet, den stämmer ändamålen med och medlen för behandlingen av organ som ensamt eller till- sammans med andra be- medlen för behandlingen av målen och medlen för be- handlingen bestäms av na- lagar och andra för- fattningar eller av gemen- skapsrätten kan den regis- teransvarige eller de sär- skilda kriterierna för att utse honom anges i nationell rätt eller i gemenskapsrätten. Den som behandlar person- Den fysiska eller juridiska uppgifter för den personda- person, den myndighet, den organ som behandlar per- sonuppgifter för den regis- SOU 1997: 39 Innehållet i den nya persondatalagen 333 Varje upplysning som avser direkt eller indirekt kan hän- en identifierad eller identi- föras till en fysisk person som är i livet. bar person är en person som indirekt, framför allt genom hänvisning till ett identifika- eller flera faktorer som är Register (med person- tillgängliga för sökning eller kriterier, oavsett om sam- lingen är centraliserad, de- Varje slag av frivillig, sär- Varje slag av frivillig, sär- skild och informerad vilje- skild och informerad vilje- ling av personuppgifter som ling av personuppgifter som rör honom eller henne. Den myndighet som rege- uppgift att inom en med- vaka tillämpningen av de be- staterna antar till följd av ter skall fullständigt obero- ende utöva de uppgifter som En stat som inte ingår i Eu- ansluten till Europeiska eko- 334 Innehållet i den nya persondatalagen SOU 1997: 39 Någon annan än den regist- Den fysiska eller juridiska rerade, den persondataansva- person, den myndighet, den sådana personer som under rekta ansvar har befogenhet som under den registeran- att behandla personuppgifter. rens direkta ansvar har befo- som avses i 41 § anses inte genhet att behandla uppgif- som tredje man. I den föreslagna lagen används också begreppet persondataombud för att beteckna en av den persondataansvarige utsedd person med vissa befogen- heter. Bestämmelserna om sådana ombud berörs närmare i avsnitt 12.12.2.4. Eftersom de använda begreppen verkar ha en EG-gemensam innebörd som ytterst bestäms av , bör vi vara återhållsamma med kommentarer. Något bör dock sägas. Begreppet behandling av personuppgifter omfattar som synes alla åtgärder som vidtas beträffande sådana uppgifter. Så snart personuppgifter på något sätt hanteras är det som vi ser det fråga om en behandling som faller under den föreslagna lagen och direktivet, om behandlingen är automatisk eller avser ett manuellt personregister. Begreppet behandling är således inte särskiljande i den meningen att det kan användas för att skilja ut vissa hanteringsformer som inte omfattas av den föreslagna lagen eller direktivet; alla former av hantering omfattas. I själva direktivet finns det inte någon definition av begreppet blockering. Definitionen i den föreslagna lagen har i stället utformats mot bakgrund av vad kommissionen anfört i sina förklaringar till direktivförslaget, se avsnitt 3.10.3. Frågan om blockering berörs också i avsnitt 12.8.2.6. I avsnitt 9.3 har frågan om hur blockering förhåller sig till offentlig- hetsprincipen berörts. SOU 1997: 39 Innehållet i den nya persondatalagen 335 Definitionen av känsliga personuppgifter i den föreslagna persondatalagen anknyter nära till EG-direktivet. Definitionen av känsliga personuppgifter berörs närmare i avsnitt 12.5.3.2. 12.2.5Mottagare och tredje man Begreppet mottagare omfattar i princip samtliga till vilka personuppgifter lämnas ut, även om den som tar emot uppgifterna inte skulle vara tredje man. Även den registrerade, persondatabiträdet och sådana personer som under den persondataansvariges eller persondatabiträdets direkta ansvar har befogenhet att behandla personuppgifter verkar således kunna betrak- tas som mottagare. I förhållande till EG-direktivet har i den föreslagna lagtexten gjorts den preciseringen beträffande begreppet tredje man att det inte omfattar ett av den persondataansvarige utsett persondataombud. Begreppet tredje man används i EG-direktivet, och det får anses veder- taget inom juridiken. Olika omskrivningar av detta begrepp – såsom tredje person eller utomstående – kan lätt leda tanken fel. Vi har därför valt att i den föreslagna persondatalagen använda begreppet tredje man, trots att det inte är så könsneutralt som man kunde önska. När det gäller begreppet mottagare bör noteras att myndigheter som får del av personuppgifter för att kunna utföra vissa uppdrag inte anses som mottagare. Detta innebär bl.a. att den persondataansvarige inte behöver lämna de registrerade information om att uppgifterna har lämnats ut eller kan komma att lämnas ut till myndigheter för sådana uppdrag (artikel 10– 12). Därmed kan revision och kontroll utföras effektivt och utan de regist- rerades vetskap. En myndighet som på detta sätt tar emot uppgifter är dock att anse som tredje man. Den persondataansvarige måste därför enligt arti- kel 12 c underrätta myndigheten om utlämnade uppgifter rättas, utplånas eller blockeras till följd av att det visar sig att uppgifterna är felaktiga, missvisande eller ofullständiga eller på något annat sätt inte har behandlats enligt lagen och direktivet (se avsnitt 12.8.3). En annan fråga som bör anmärkas i detta sammanhang är om den myndighet som i samband med tillsyn, kontroll eller revision eller av annan anledning beordrar behandling av personuppgifter hos en personda- taansvarig – eller själv behandlar mottagna (eller beslagtagna) personupp- 336 Innehållet i den nya persondatalagen SOU 1997: 39 gifter i sådant syfte – blir att anse som persondataansvarig. Det beror på en tolkning av begreppet persondataansvarig. Enligt EG-direktivet är den persondataansvarig som själv eller till- sammans med annan bestämmer ändamålen med och medlen för behand- lingen. När exempelvis en tillsynsmyndighet beordrar en viss behandling av personuppgifter hos t.ex. ett persondataansvarigt företag, kan det före- taget inte gärna anses bestämma ändamålen med och medlen för behand- lingen. Det gör i stället myndigheten. Detsamma gäller när en myndighet på ett eller annat sätt har tagit om hand behandlade personuppgifter, t.ex. vid beslag av ett personregister. Det sagda talar för att myndigheten som regel bör anses som persondataansvarig för de behandlingar som beordras. Emellertid tillåter EG-direktivet att det i nationell lagstiftning anges vem som är persondataansvarig när ändamålen med och medlen för be- handlingen bestäms av den nationella lagstiftningen. Detta innebär enligt vår mening att det är tillåtet att i den särskilda lagstiftning som bemyndigar myndigheten att företa tillsyn, kontroll, revision eller andra relevanta åt- gärder också peka ut vem som är persondataansvarig för den behandling som sker inom ramen för tillsynen, kontrollen, revisionen och så vidare – myndigheten eller den persondataansvarige hos vilken åtgärden vidtas.288 Enligt vår mening är det den vägen man bör lösa frågan, dvs. genom en uttrycklig bestämmelse i den särskilda lagstiftning som reglerar den aktu- ella åtgärden. Det är nämligen svårt att hitta en regel som fungerar i alla de olika sammanhang som en kontrollåtgärd eller liknande kan bli aktuell. Av vad som sagts framgår att mycket talar för att den myndighet som t.ex. beordrar en behandling kommer att anses som persondataansvarig, om inte annat anges i den lagstiftning som reglerar åtgärden. En annan fråga som berör begreppet persondataansvarig är om den som inte har rättslig eller faktisk möjlighet att ändra de uppgifter som ingår i en persondatasamling som han eller hon innehar eller annars kommer åt kan