bet · GN01KU7 · 1999-11-16 00:00:00 — I betänkandet behandlar utskottet regeringensproposition /2000:11 Personuppgiftslagensöverföringsregler. Regeringen föreslår attpersonuppgiftslagens bestämmelse om förbud motöverföring av personuppgifter till tredje land skalländras. Överföring av personuppgifter till ett landsom inte ingår i Europeiska unionen eller äranslutet till Europeiska ekonomiska samarbetsområdet(tredje land) skall inte längre vara förbjuden omdet landet har en adekvat nivå för skyddet avpersonuppgifter. När det gäller att avgöra omskyddsnivån är adekvat skall alla omständigheterkring överföringen beaktas. Regeringen föreslårockså att ringa fall av överträdelser avpersonuppgiftslagens straffbestämmelse skallundantas från det straffbara området. I betänkandetbehandlas också sju motioner av vilka fyra harväckts med anledning av propositionen.Utskottet tillstyrker regeringens förslag till lagom ändring i personuppgiftslagen. Med anledning aven motion om nummerpresentation vid telefonsamtaltill myndigheter föreslår utskottet etttillkännagivande till regeringen. Till betänkandet har fogats femreservationer. 1999/2000:11 vari yrkas att antarregeringens förslag till lag om ändring ipersonuppgiftslagen (1998:204). Lagförslaget framgårav bilaga. Motioner som väckts med anledning avpropositionen1999/2000:K13 av m.fl. (fp) variyrkas1. att som sin mening ger regeringen tillkänna vad i motionen anförts om vikten av attregeringen inom EU tar initiativ till att ett arbetepå ett modernt direktiv som har sin utgångspunkt ien missbruksmodell kommer till stånd,2. att som sin mening ger regeringen tillkänna vad i motionen anförts om att regeringensnarast bör igångsätta en översyn av PUL i syfte attnoga analysera om lagen är mer långtgående än vaddirektivet kräver och att i detta arbete studeraandra länders genomförande av direktivet,3. att beslutar om en sådan ändring attgärningar som bedöms som ringa enligt 49 § inteskall vara skadeståndsgrundande enligt PUL,4. att som sin mening ger regeringen tillkänna vad i motionen anförts om att det inte börvara någon skillnad på behandlingen av yttranden påInternet och yttranden i andra medier,5. att som sin mening ger regeringen tillkänna vad i motionen anförts om tilläggsdirektivtill i syfte att komma medförslag som stärker yttrande- ochinformationsfriheten.1999/2000:K14 av m.fl. (c) variyrkas1. att som sin mening ger regeringen tillkänna vad i motionen anförts om den fortsattaberedningen av personuppgiftslagen,2. att beslutar om sådan ändring av 48 §personuppgiftslagen (1998:204) att gärningar, sombedöms som ringa enligt 49 §, inte skall kunna liggatill grund för ersättning,3. att beslutar om sådan ändring avpersonuppgiftslagen (1998:204) att sådana yttrandensom i andra medier skyddas avyttrandefrihetsgrundlagen också skall vara tillåtnaatt behandla enligt personuppgiftslagen.1999/2000:K15 av Per m.fl. (m) vari yrkas attriksdagen som sin mening ger regeringen till kännavad i motionen anförts om att regeringen bör tainitiativ till en revidering av EG-direktivet.1999/2000:K16 av Per och ()vari yrkas1. att hos regeringen begär förslag revidering av hela EG-direktivet 95/46/EG medinriktning mot en mer missbruksinriktadregleringsmodell,2. att hos regeringen begär förslag genomgripande förändring av den svenskapersonuppgiftslagen med inriktning mot den s.k.missbruksmodellen.Motioner som väckts 19991999/2000:K204 av m.fl. (c) variyrkas15. att beslutar att 7 kap. 16 §sekretesslagen (1980:100) skall upphöra att gälla.1999/2000:K328 av () vari yrkas attriksdagen som sin mening ger regeringen till kännavad i motionen anförts om vikten av att kunna ringatill myndigheter utan att den använda telefonensnummer presenteras.1999/2000:T717 av m.fl. (m) vari yrkasatt riksdagen5. som sin mening ger regeringen till känna vad imotionen anförts om initiativ inom EU i fråga ompersonuppgiftsdirektivet, BakgrundEG-direktivet och personuppgiftslagenEuropaparlamentets och rådets direktiv /46/EG omskydd för enskilda personer med avseende påbehandlingen av personuppgifter och om det friaflödet av sådana uppgifter (EG-direktivet) antogsden . I genomfördesdirektivet genom personuppgiftslagen (1998:204) somträdde i kraft . Vid införandetav personuppgiftslagen valde regeringen att ihuvudsak låta lagen följa direktivets text ochstruktur. I propositionen (prop. 1997/98:44)underströk regeringen att det är somslutligen har att tolka de begrepp och uttryck somdirektivet innehåller.Enligt 33 § personuppgiftslagen är det förbjudetatt till tredje land föra över personuppgifter somär under behandling. Förbudet gäller ocksåöverföring av personuppgifter för behandling i etttredje land.I samband med ikraftträdandet avpersonuppgiftslagen möttes lagens regler omöverföring av personuppgifter till tredje land avkritik. Reglerna ansågs medföra en oönskadbegränsning av möjligheten att använda sig av moderninformationsteknik, som t.ex. elektronisk post ellerelektroniska anslagstavlor. Flera exempel nämndes idebatten då en tillämpning av personuppgiftslagensregler ansågs leda till orimliga resultat eftersomuppgifterna bedömdes vara harmlösa i den mening atten spridning av uppgifterna inte borde kunna ledatill någon integritetskränkning.Regeringen gav Datainspektioneni uppdrag att bl.a. utreda det närmare behovet avatt göra undantag från förbudet i 33 § person-uppgiftslagen när det gäller överföringar avpersonuppgifter till tredje land som typiskt settinte innebär några risker för de registrerade ellerdet annars mot bakgrund av allmänhetens intresse attsprida och inhämta information framstår somangeläget att undantag görs, särskilt i samband medbehandling av personuppgifter i internationellakommunikationsnätverk, t.ex. Internet.Datainspektionens rapportI rapporten på Internet redovisadeDatainspektionen sitt uppdrag tillregeringen. Enligt Datainspektionen borde det,såvitt här är av intresse, ipersonuppgiftsförordningen införas följandebestämmelse:För informationsspridning eller kommunikation fårpersonuppgifter i löpande text föras över tilltredje land via Internet eller annat nät om textenframställts för sådant ändamål och omständigheten ärsådan att det är uppenbart att det saknas risk förkränkning av den registrerades personligaintegritet.I rapporten pekade Datainspektionen på att enalternativ lösning vore att ändra lydelsen avöverföringsförbudet i 33 § så att det mer liknar EG-direktivets förbud mot överföring i artikel 25.1.Datainspektionen föreslog dock inte en sådan lösningmed hänsyn till att den skulle kunna resultera ibristande förutsebarhet och dessutom inte kunderymmas i Datainspektionens uppdrag.Utskottets tidigare bedömningI betänkande 1998/99:KU15 behandlade utskottet ettantal motioner från allmänna motionstiden somrörde frågor om personuppgiftslagen och andraintegritetsfrågor. Utskottet anförde bl.a. följande:Personuppgiftslagen innehåller, i enlighet meddirektivet, särskilt stränga hanteringsregler närdet gäller överföring av personuppgifter till tredjeland. Enligt personuppgiftslagens bestämmelser krävsi princip samtycke för behandling av personuppgifterpå Internet. Något undantag görs inte för behandlingsom kan anses självklar eller harmlös. Behandling avpersonuppgifter som görs för privata syften ellersker uteslutande för journalistiska ändamål ellerkonstnärligt eller litterärt skapande är däremotundantagen. I flera motioner har påtalats attpersonuppgiftslagens bestämmelser om krav påsamtycke när det gäller behandling avpersonuppgifter via Internet svårligen kanefterlevas och att en sådan behandling som utförsutan samtycke blir olaglig, även om den inte kananses otillbörlig.Enligt utskottets mening är det påtalade problemetså akut och besvärande att möjliga åtgärderomedelbart måste prövas i avvaktan på att frågan fårsin lösning i rättstillämpningen eller genom en mergenomgripande revidering av lagstiftningen.Särskilt med anledning av Datainspektionens förslaguttalade utskottet:Utskottet utgår från att regeringen därefter - inomde ramar som EG-direktivet uppställer - genomför deförändringar som krävs för att motverka de problemmed personuppgiftslagens utformning somregeringsuppdraget avsåg att komma till rätta med,förändringar som kan behöva gå längre än vadDatainspektionen föreslagit. Regeringen ärnaturligtvis oförhindrad att, om så krävs, föreslåriksdagen förändringar i personuppgiftslagen.Utskottet utgår från att förändringar genomförsskyndsamt.Justitiedepartementets promemoriaVid remissbehandlingen av Datainspektionens förslagvälkomnade de flesta förslaget att mjuka upp detstrikta överföringsförbudet. En del remissinstanseransåg dock förslaget otillräckligt ellerbetydelselöst. Några remissinstanser uttalade sigför att en justering av 33 § personuppgiftslagenborde göras så att bestämmelsen mer liknarmotsvarande bestämmelse i EG-direktivet.Invändningar eller tveksamheter frånnormgivningssynpunkt framfördes också vad gällermöjligheten att genomföra förslaget iförordningsform.Datainspektionens förslag att ge störreförutsättningar för vissa slag av behandlingar ficksåledes ett i grunden positivt bemötande. Tungtvägande synpunkter framkom dock för att i ställetgöra justeringar i personuppgiftslagens bestämmelserom överföring av personuppgifter till tredje land.Inom utarbetades därför enpromemoria och departementet bjöd därefter inremissinstanserna till ett remissmöte för attdiskutera förslagen i promemorian.Lättnader i förbudet mot överföring avpersonuppgifter till tredje landPropositionenDen nuvarande bestämmelsen i 33 §personuppgiftslagen förbjuder överföring avpersonuppgifter till tredje land. I de situationersom räknas upp i 34 och 35 §§ kan undantag frånförbudet göras.Motsvarande regel i EG-direktivet (art. 25.1)förbjuder överföring till ett tredje land för detfall nivån för skyddet av personuppgifter i dettredje landet inte är adekvat. En överföring tillett land som har en adekvat skyddsnivå är såledestillåten. Det är enligt regeringen angeläget att enöverföring till ett tredje land kan äga rum omskyddsnivån är tillräcklig i det tredje landet. Dethar inget egenvärde att hindra en överföring tillett tredje land om uppgifterna åtnjuter ettgodtagbart skydd där.Möjligheten att föra över personuppgifter till etttredje land som har en adekvat skyddsnivå bör enligtregeringen komma till uttryck i den grundläggandeförbudsregeln i personuppgiftslagen. Förbudet i 33 §personuppgiftslagen bör alltså förses med ettundantag för det fall att skyddsnivån i det tredjelandet är adekvat.En uppmjukning av förbudet kan enligt regeringen fåstor betydelse för möjligheten att använda sig avInternet eller andra internationellakommunikationsnätverk. Överföringar, t.ex. i form avelektronisk post, till länder med en adekvatskyddsnivå blir tillåtna om behandlingen i sig ärtillåten enligt personuppgiftslagens övriga regler.En behandling av personuppgifter som sker genomoffentliggörande på Internet blir med en regleringav det slag som regeringen föreslår tillåten om denskyddsnivå som finns i de länder ditpersonuppgifterna kan överföras är adekvat. I deallra flesta fall innebär ett offentliggörande avpersonuppgifter på Internet att personuppgifternaförs över till länder som helt saknar skyddsreglerför hur personuppgifter får behandlas. I många falldär en behandling i form av ett offentliggörande ärtillåten enligt personuppgiftslagens regler och därsåledes så gott som hela befolkningen i EU- och EES-staterna och andra stater med god skyddsnivå kan tadel av personuppgifterna framstår det enligtregeringen som föga meningsfullt att ställa upp enbegränsning för personuppgifternas överföring tillandra stater i världen. En sådan begränsningförefaller egendomlig eftersom uppgifterna redan ärtillgängliga för 100-tals miljoner människor. Någotegentligt skydd för uppgifterna skulle en sådanbegränsning i varje fall inte medföra eftersomuppgiften redan fått så stor spridning. I sådanasituationer kan det ofta anses finnas adekvatskyddsnivå i ett tredje land, trots en totalavsaknad av skyddsregler, helt enkelt därför attnågot skydd inte är nödvändigt eller inte skulle hanågon reell effekt.I sitt remissvar över Datainspektionens förslag harPatent- och registreringsverket framfört att EG-direktivets överföringsregler torde kräva att någotslags reell skyddsnivå finns i det landet för attöverföring skall få ske. EG-direktivet skulle alltsåuppfattas som om det kräver att en bedömning skallgöras av om vissa i det tredje landet gällanderegler är adekvata eller inte. Om denna uppfattningvore riktig skulle ett offentliggörande av person-uppgifter på Internet aldrig kunna ske utan samtyckeav den registrerade eftersom uppgifterna blirtillgängliga i länder som helt saknar skyddsregler.EG-direktivet anger i frågan om vad som utgör enadekvat skyddsnivå i artikel 25.2 uttryckligen attsärskild vikt skall läggas vid bl.a. de regler förbehandlingen som finns i det tredje landet. Det somi EG-direktivet kallas adekvat skyddsnivå är alltsåenligt regeringen något annat än de regler som kangälla i ett tredje land, nämligen ett uttryck föratt omständigheterna kring överföringen sammantagnaskall vara sådana att personuppgifter har etttillräckligt skydd. Det kan alltså enligtregeringens uppfattning mycket väl finnassituationer där det inte finns några skyddsregleralls i det tredje landet men skyddsnivån ändå äradekvat.Lagrådet har inte haft någon erinran motregeringens förslag till ändringar av lagen.Lagrådet har dock ifrågasatt om regeringensresonemang om tolkningen av EG-direktivet kommer attvisa sig hållbara. Enligt regeringens uppfattningfinns det emellertid ingenting i ordalydelsen avEG-direktivets överföringsregler som talar mot dentolkning som regeringen gör. Den osäkerhet rörandetolkningen som Lagrådet pekat på är enligtregeringen i varje fall inte sådan att det finnsanledning att avstå från lagstiftning i enlighet medregeringens förslag.Utskottets bedömningUtskottet tillstyrker regeringens förslag tilländring av 33 § personuppgiftslagen.Straffbestämmelsen i personuppgiftslagenPropositionenAnvändningen av informationsteknik i samhället ökarsnabbt. Personuppgifter behandlas t.ex. påInternet i en väsentligt större omfattning än vadsom var fallet . Den ökadeanvändningen innebär naturligtvis på många sättökade integritetsrisker. Det finns dock, enligtregeringen, överträdelser av personuppgiftslagensstraffbestämmelse som i det enskilda fallet inteframstår som särskilt straffvärda.Den ändring som regeringen föreslår i förbudet motöverföring av person-uppgifter till tredje landmedför också att det ibland kan vara svårt för denpersonuppgiftsansvarige att på förhand avgöra om enöverföring är tillåten eller inte. Det kan förutsesatt det kommer att finnas situationer där det visarsig att den personuppgiftsansvarige gjort enfelaktig bedömning men överträdelsen avöverföringsförbudet inte är särskilt klandervärd.Det är enligt regeringen angeläget att motverkasådana negativa konsekvenser. Mot denna bakgrund börenligt regeringen gärningar som är ringa inte ledatill straff.Lagrådet har beträffande effekten av den föreslagnaavkriminaliseringen uttalat att den inte påverkardet skadeståndsrättsliga ansvar som föreliggerenligt lagens 48 § och som utgör en viktig sanktionvid överträdelser av personuppgiftslagensbestämmelser. Vidare har Lagrådet uttalat att det ärsvårt att ha någon bestämd uppfattning om i vad månskadestånd kan utgå i de fall av överträdelser avförbudet mot överföring av personuppgifter tilltredje land vilka nu föreslås bli straffria, men attredan denna tveksamhet kan motverka syftet medavkriminaliseringen.Enligt regeringen påverkar, som Lagrådet påpekat,inte den föreslagna avkriminaliseringen detskadeståndsrättsliga ansvaret enligtpersonuppgiftslagen. Det skadeståndsrättsligaansvaret är väsentligt eftersom det är ett kravenligt artikel 24 i EG-direktivet att hareffektiva sanktioner mot överträdelser av reglerna.Regeringen är övertygad om den praktiska betydelsenav avkriminaliseringen är väl ägnad att motverka dentveksamhet som kan uppstå hospersonuppgiftsansvariga.I anledning av de uttalanden som gjorts avkonstitutionsutskottet om vikten av intensifieradeåtgärder för att åstadkomma en lagstiftning somsyftar till att ingripa mot missbruk avpersonuppgifter snarare än mot hanteringen av sådanauppgifter är det enligt regeringen viktigt att varjemöjlighet att ta ett steg i denna riktning tas tillvara. Regeringens förslag till avkriminaliseringinnebär att lagstiftningen kommer att närma sig enmissbruksinriktad regleringsmodell.MotionernaI motion 1999/2000:K13 av m.fl.(fp) hemställs att beslutar om en sådanändring att gärningar som bedöms som ringa enligt 49§ inte skall vara skadeståndsgrundande enligt PUL(yrkande 3). Regeringen föreslår att ringaöverträdelser av skallavkriminaliseras. Denna straffrihet får inte avseddeffekt om inte även rätten till skadestånd enligt 48§ tas bort. Ett skadestånd kan annars innebära ettnog starkt "straff". Det är fullt tillräckligt attskadestånd vid ringa brott mot PUL kan utgå enligtandra lagar, t.ex. de om ärekränkning/förtal ochsekretesslagen, lagar som inte gör skillnad mellanInternet och andra medier för kommunikation.I motion 1999/2000:K14 av m.fl. (c)hemställs att beslutar om sådan ändringav 48 § personuppgiftslagen (1998:204) attgärningar, som bedöms som ringa enligt 49 §, inteskall kunna ligga till grund för ersättning (yrkande2). Enligt motionärerna vore det rimligt attmöjligheten att utdöma skadestånd faktiskt varavhängig det ansvar som utdöms enligt 49 §personuppgiftslagen. bör därför besluta omsådan ändring av 48 § att gärningar som bedöms somringa enligt 49 § inte skall kunna ligga till grundför ersättning.Utskottets bedömningDet kommer enligt utskottet att finnas situationerdär behandling av person-uppgifter inte är ienlighet med personuppgiftslagens bestämmelser,t.ex. när det gäller att föra över personuppgiftertill tredje land, men att överträdelsen ändå intekan anses särskilt klandervärd. Genom den föreslagnaavkriminaliseringen kommer sådana gärningar som äratt bedöma som ringa inte kunna leda till straff.Enligt utskottet kommer den föreslagnaavkriminaliseringen att innebära att lagstiftningennågot närmar sig en missbruksinriktadregleringsmodell. Utskottet tillstyrker denföreslagna avkriminaliseringen i 49 §personuppgiftslagen.Personuppgiftslagen syftar till att skyddamänniskor mot kränkning av den personligaintegriteten genom behandling av personuppgifter.Enligt utskottet bör en enskild som drabbas av enolaglig behandling ha rätt till ekonomiskkompensation för kränkningen. Den som blir kränkt aven olaglig behandling av personuppgifter bör hadenna rätt till ersättning oavsett om den olagligabehandlingen är straffbar eller ej. Enligt EG-direktivet skall var och en som lidit skada tillföljd av en otillåten behandling ha rätt tillersättning av den registeransvarige för den skadasom han har lidit. Utskottet är inte berett attföreslå en inskränkning i rätten till skadestånd förden enskilde och avstyrker därför motionerna.Framtida åtgärderPropositionenEnligt propositionen avser regeringen att fortsättaarbetet med att undersöka alternativalagstiftningsmetoder. Det är dock tydligt att det idet korta eller medellånga perspektivet inte kommeratt vara möjligt att fullt ut föreslå enlagstiftning som helt är inriktad på att reglera vadsom utgör ett missbruk av personuppgifter. Det ärhelt enkelt inte möjligt att åstadkomma enlagstiftning efter en sådan modell inom EG-direktivets ram. Däremot avser regeringen att,utöver vad som föreslås, noga överväga vilkaytterligare inslag av en mer missbruksinriktadreglering som kan genomföras inom ramen för EG-direktivet. Regeringen kommer också att studera hurstort utrymmet är för att tillåta överföring avpersonuppgifter till tredje land, särskilt i sambandmed publicering på Internet, om denpersonuppgiftsansvarige ställer tillräckligagarantier till skydd för den registrerade.Enligt propositionen har i EU-samarbetetpåtalat de problem som uppmärksammats i den svenskadebatten. har också tillsammans medÖsterrike och tagit initiativet seminarieserie där företrädare förmedlemsstaterna får möjlighet att presentera sinlagstiftning och diskutera tillämpningsproblem somuppstått i de olika länderna. till att identifiera områden där det kanfinnas ett gemensamt intresse bland medlemsstaternaför en revidering av direktivet.Senast hösten 2001 skall kommissionen föreslånödvändiga förändringar i direktivet. Det ärregeringens föresats att använda tiden fram tilldess för att främja att ett förslag till revideringläggs fram och för att öka förståelsen för deändringar som enligt svensk uppfattning ärönskvärda.MotionernaI motion 1999/2000:K13 av m.fl.(fp) hemställs att som sin mening gerregeringen till känna vad i motionen anförts omvikten av att regeringen inom EU tar initiativ tillatt ett arbete på ett modernt direktiv som har sinutgångspunkt i en missbruksmodell kommertill stånd (yrkande 1), att regeringen börigångsätta en översyn av PUL i syfte att nogaanalysera om lagen är mer långtgående än vaddirektivet kräver och att i detta arbete studeraandra länders genomförande av direktivet (yrkande2), att det inte bör vara någon skillnad påbehandlingen av yttranden på Internet och yttrandeni andra medier (yrkande 4) samt om tilläggsdirektivtill i syfte att komma medförslag som stärker yttrande- ochinformationsfriheten (yrkande 5). Redan vidriksdagsbehandlingen krävde Folkpartietatt regeringen skulle få i uppdrag att ta inititativtill att det inom EU inleddes ett arbete med att tafram en missbruksmodell. Enligt motionärerna börriksdagen nu uppdra åt regeringen att omgående inomEU ta initiativ till att ett arbete på ett moderntdirektiv kommer till stånd. Ett direktiv somhar sin utgångspunkt i en missbruksmodell och inteen hanteringmodell. Enligt motionärerna börregeringen också skyndsamt göra en översyn avpersonuppgiftslagen i syfte att noga analysera omlagen har fått en mer långtgående begränsning än vaddirektivet anger. I detta arbete bör andra ländersgenomförande av direktivet noga studeras. Datorer,speciellt genom Internet, har medfört en vidgadmöjlighet för fler människor att utnyttja sinyttrandefrihet. Så långt som möjligt ansermotionärerna att man skall sträva efter att sammaregler för yttrandefriheten skall gälla såväl påInternet som i andra medier. vidhållersitt redan tidigare framförda krav på att PUL i dedelar som avser samtycke vid namns nämnandeavskaffas. Det finns i detta sammanhang en mycketpriviligierad grupp, nämligen de som ägnar sig åtjournalistisk, litterär och konstnärlig verksamhet.De skyddas av 7 § och slipper tillämpa PUL fullt ut.Det råder stor osäkerhet om vilka som ingår idenna gynnade personkrets, som åker i sin alldelesegna "gräddfil". Enligt motionärerna bör alla somvill komma till tals i olika medier färdas i"gräddfilen". Enligt motionärerna börMediegrundlagsutredningen inom ramen för sittuppdrag uppmärksamma och komma med förslag när detgäller fortsatta förändringar av PUL i syfte attstärka yttrande- och informationsfriheten också förmoderna medier.I motion 1999/2000:K14 av m.fl. (c)hemställs att som sin mening gerregeringen till känna vad i motionen anförts om denfortsatta beredningen av personuppgiftslagen(yrkande 1) och att beslutar om sådanändring av personuppgiftslagen (1998:204) att sådanayttranden som i andra medier skyddas avyttrandefrihetsgrundlagen också skall vara tillåtnaatt behandla enligt personuppgiftslagen (yrkande 3).I den föreliggande propositionen föreslår regeringenett par förändringar och lättnader. Motionärerna kandock konstatera att de ändringarna inte ärtillräckliga för att trygga yttrandefriheten också inya medier och att den inte kommer till rätta medproblem som personuppgiftslagen innebär.Personuppgiftslagen, och det bakomliggandedirektivet, innehåller fler problem änöverföringsförbudet. En sådan är 10 §, som reglerarnär det är tillåtet att behandla personuppgifter.Det måste anses tveksamt i vilken mån privatpersonerhar rätt att föra offentlig debatt med stöd av dennaparagraf.