bet · GM01KU15 · 1999-03-02 00:00:00 — Ienlighet med detta anser utskottet, med bifall tillmotionen i denna del, att regeringen bör ges tillkänna att personuppgiftslagen bör ses över i nunämnt hänseende.dels att utskottets hemställan under 5 bort haföljande lydelse:5. beträffande definitionen av manuelltregisteratt med bifall till motion 1998/99:K272 yrkande 1delvis som sin mening ger regeringen till kännavad utskottet anfört,Särskilt yttrandeFörhållandet till offentlighetsprincipenHelena () och Per () anför:I lagstiftningsärendet om personuppgiftslagenanförde Lagrådet, i likhet med fleraremissinstanser, att det inte var övertygat om attEuropaparlamentets och rådets direktiv /46/EG avden om skydd för enskilda medavseende på behandling av personuppgifter och om detfria flödet av sådana uppgifter går att förena medden svenska offentlighetsprincipen. Lagrådet anfördeatt de tolkningar regeringen gjort av direktivet ilagrådsremissen framstod som pressade. I proposition1997/98:44 om personuppgiftslagen vidhöll regeringensin uppfattning att det inte finns någon bestämmelsei direktivet som inte går att förena medoffentlighetsprincipen. Det kan således konstaterasatt, trots att regeringen i förhandlingarna om EG-direktivet ansett sig ha fått till stånd sådanalösningar att någon oförenlighet mellandirektivförslaget och offentlighetsprincipen intelängre förelåg, det vid direktivets genomförande iSverige framkom att en stor juridisk oenighetförelåg i denna fråga.Det kan vidare konstateras att frågan om EG-direktivets förenlighet med offentlighetsprincipenännu inte har fått sin lösning. Situationen äralltjämt den att vi vid en eventuell konflikt haratt lita till den politiska förhoppning somutskottet uttalat när det gäller hur en sådankonflikt skall lösas, nämligen att det borde varamöjligt att med framgång hävda den centralaställning som offentlighetsprincipen har i vårtkonstitutionella system.Utskottet har uttalat sig för att regeringen medkraft skall verka inom EU för att en revidering avEG-direktivet sker. Med hänsyn till den avgörandebetydelse som offentlighetsprincipen har för vårtkonstitutionella system, anser vi att det är av storvikt att regeringen i detta sammanhang försäkrar sigom att ett nytt EG-direktiv utformas så att det inteföreligger någon tveksamhet när det gäller dessförenlighet med offentlighetsprincipen.Konstitutionsutskottets offentligautfrågning om personupp-giftslagen ochnärliggande frågor den 8 december 1998InledningOrdföranden: Jag ber att få hälsa er alla hjärtligtvälkomna till denna utfrågning ompersonuppgiftslagen. Orsaken till utfrågningen ärett antal förslag som väckts i utskottetmotionsvägen och genom andra initiativ där manifrågasatt personuppgiftslagens konstruktion ochverkningar. Utskottet har beslutat att behandladessa initiativ så att ett förslag kan ligga färdigtför behandling snart in på det nya året,för att nu inte utfästa mig ett exakt datum. Dennautfrågning skall ses som ett led i beredningen avdessa förslag.Vi har tänkt att genomföra utfrågningen i fyraavdelningar, varav snöovädret redan förorsakar ettproblem i den första. Avdelningarna skulle likvälför det första vara en mera principiell avdelning omden bakgrund som gäller för all lagstiftning av dethär slaget, att belysa de lite olika traditioner somfinns i Nord- och . Vi skulle för detandra titta på hur den lag vi nu diskuterar faktiskttillkom och de bevekelsegrunder som låg bakom. Viskulle därefter titta något på hur utfallet, sålångt det nu kan bedömas, faktiskt har blivit ochdärefter summera vilkahandlingsvägar, givet de erfarenheter som harvunnits, som formellt och informellt står utskottettill buds.Snöovädret förorsakar problem inte bara i Gävleutan jämväl i , dvs. att vår inledande talarejust nu är på väg i bil från . Vi har därförbestämt oss för att flytta hans inledning till efterde två första avdelningarna, dvs. att vi nu genomförbakgrundsteckningen respektive erfarenheterna ochrundar av med de mer filosofiska spörsmålen. Vi troratt det är bättre att göra så.Denna utfrågning sänds även över nätet. Jag ber attfå hälsa också dem välkomna som följer utfrågningenpå detta sätt. Se det gärna som ett sätt attexperimentellt undersöka om demokratin kan breddasoch fördjupas med den nya teknikens hjälp.Vi börjar alltså med avdelning 2 för att diskuteratillkomsten av person-uppgiftslagen. Varje avdelningär upplagd så att det blir ett par kortareintroduktioner, varefter utskottets ledamöter fårmöjlighet att ställa preciserade frågor. StaffanVängby, som var ordförande i somhade ansvaret för första ledet i den process som vinu befinner oss mitt uppe i, inleder.Tillkomsten av personuppgiftslagenStaffan Vängby: hade till uppgiftatt dels föreslå hur ett EG-direktiv för skydd förpersonuppgifter skulle kunna införas i svensk rätt,dels modernisera offentlighetsprincipen. Kommitténföreslog i sitt betänkande dels en ny lag ombestämmelser om skydd för personuppgifter, delsändringar i 2 kap. tryckfrihetsförordningen. Densenare delen har inte blivit genomförd utan ärföremål för fortsatt utredningsarbete. Arbetetutfördes under stark tidspress och tog ett drygt år.EG-direktivet om personuppgiftsskydd är väl intedet bästa direktiv man kan tänka sig. Det ärålderdomligt och är präglat av förhållandena inomdatavärlden före den nya informationsteknikensgenomförande. Men syftet är gott. Syftet är attskydda den personliga integriteten främst frånintrång genom databehandling av personuppgifter påsamma sätt som den svenska datalagen av , somju var den första i sitt slag och som vunnit ettstöd i regeringsformen om skydd för den personligaintegriteten när det gäller automatiskdatabehandling.Sveriges medlemskap i medför en rättsligförpliktelse för att införa det härdirektivet. hade dessutom deltagit islutförhandlingarna om att få till stånd ändringari direktivet. Vi har alltså inte haft någonvalfrihet i fråga om direktivet skulle införas ellerinte. Dessutom är direktivet av den typen att detkan få direkt tillämplighet, dvs. att det kan grundarätt till skadestånd för enskilda individer motstaten, om den svenska lagstiftningen inte ger ettadekvat skydd. Det innebär att svenska domstolar kantänkas tillämpa direktivet i ett mål om sådantskadestånd, även om direktivet inte hade överförtstill svensk lagtext. Av samma skäl var det enligtkommitténs uppfattning omöjligt att överföradirektivet till svensk lagtext utan att ganskanoggrant följa direktivets text. Det viktiga förkommittén var att se till att inte några vitalasvenska intressen träddes för nära.Nu talar jag om kommitténs majoritetsuppfattning, som sammanföll med min egenuppfattning. Det är min uppfattning framför allt somjag ger uttryck för i dag.Datalagskommittén begagnade sig avundantagsbestämmelser i direktivet för att föreslåatt så gott som samtliga bestämmelser i direktivetutom de som gäller datasäkerhet inte skall gälla försådana förfaranden eller sådan spridning som ärskyddade enligt tryckfrihetsförordningen ochyttrandefrihetsgrundlagen. I den mån dessagrundlagar , eller som redan har skett,kommer att omfatta nya medier - antog judet vilande grundlagsförslaget om utvidgning avgrundlagsskyddet till att omfatta bl.a. cd-rom-skivor - så vidgas också undantaget från skydd ipersonuppgiftslagen.Sverige fick också in under slutförhandlingarna enpunkt i ingressen till direktivet som innebar vid genomförandet av direktivets bestämmelserskulle ta hänsyn till principen om allmänhetens rätttill tillgång till allmänna handlingar. Kommitténtog fasta på detta förbehåll och föreslog enparagraf som säger att bestämmelserna ipersonuppgiftslagen inte skall tillämpas i sådanutsträckning att det skulle inskränka en myndighetsskyldighet enligt 2 kap. tryckfrihetsförordningenatt lämna ut personuppgifter.Kommittén utnyttjade alltså alla möjliga, och jagvill påstå en del mindre möjliga, grunder för att geyttrandefriheten så stort utrymme som möjligt. Detframgår av den kritik som både experter inomkommittén och sedan Lagrådet - självfallet inte denavdelning som jag sitter i - framförde motkommitténs uppfattning, att det gick att förenaoffentlighetsprincipen och direktivet. Men båderegeringen och accepterade kommitténsuppfattning på den punkten. Längre än så var detenligt min mening den gången inte möjligt att gå ochär det fortfarande inte.EG-domstolen anser att EG-rätten tar övermedlemsstaternas konstitutioner, men hur detförhåller sig på den punkten är inte definitivtlöst. Det var ståndpunktinför anslutningen till EU att regeringsformen äveni sitt då ändrade skick inte öppnade möjlighet attöverlåta beslutsbefogenheter beträffandeoffentlighetsprincipen utan ändring av grundlag. Detvar också uppfattning att detinte kommer på fråga att ändra svensk grundlag föratt åstadkomma inskränkningar ioffentlighetsprincipen eller yttrandefriheten tillföljd av personuppgiftsskyddsdirektivet. När detgäller frågor som inte direkt är reglerade igrundlagarna, t.ex. begreppet yttrandefrihet ividsträckt mening, tror jag knappast att det går attupprätthålla någon särställning i förhållande tillEU i övrigt.Datalagskommittén hade en idé om hurintegritetsskyddet skulle kunna utformas enligt enhelt annan modell och förordade också att Sverigeverkade för att EU skulle gå över till ensådan modell. Idén är beskriven i utskottskanslietspromemoria på s. 11 och 12. Jag skall därför inte gånärmare in på den. Slutsatsen den gången blev alltsåatt övervägande skäl talade för att en nylagstiftning borde bygga på den modell somdirektivet hade, s.k. hanteringsmodellen, ochreglera när och under vilka förutsättningar det vartillåtet att behandla personuppgifter. Samtidigtönskade vi att diskussionen om en övergång till vadvi kallade en missbruksmodell, som beskrivs iutskottspromemorian, skulle fortsätta. Inte minstnär det gäller att inom EG:s institutioner vinnagehör för sådan tankegång gällde det att vara tidigtute.Ordföranden: så hjärtligt för detta. Så hälsarjag välkommen statssekreteraren iJustitiedepartementet , som ärmera politiskt ansvarig för den nuvarandelagen.Hans-Erik : Tillåt mig börja med enpersonlig reflektion. Jag har varit engagerad isådant här lagstiftningsarbete förut, nämligen iData- och offentlighetskommittén, en av dekommittéer som sysslat med dessa frågor. Man kan konstatera attdet finns mycket man känner igen när man kommertillbaka till den här debatten. En del har hänt, ochen del har inte hänt.Vi har fått en förvirrad debatt om den härlagen. Det finns påståenden i debatten omtidpunktenför införandet av lagen: skallvara bäst i klassen. Låt mig slå fast att direktivetär väldigt tydligt om sista dag för genomförande avlagstiftningen. Det har inte funnits någon valfrihetför att välja någon annan tidpunkt. Det vorei och för sig intressant att höra utskottetsöverväganden med anledning av detta, hur det skulleha ställt sig om regeringen hade varit försumlig ochinte lyckats prestera ett lagförslag som kunde trädai kraft i rätt tid. Vi har också förstått avkontakter med medlemsstaterna och kommissionen attom man har lagstiftningen på plats och den skullekunna träda i kraft men man underlåter att låta denträda i kraft, är det ett förfaringssätt som intehade tagits särskilt väl emot. Vi vill också påpekaatt tidpunkten har fixerats av att vi hade att göraändringar i regeringsformen som påverkade tidpunktenför propositionens avlämnande och som ocksåpåverkade tidpunkten för när kundebehandla förslaget.Det finns ett annat påstående omöverimplementering. Jag tycker att in på det tillräckligt. Det handlar inte om ettminimidirektiv, utan direktivet är formulerat på ettsådant sätt att mycket är ganska detaljreglerat ochbestämt där formuleringen "medlemsstaterna skall"återkommer . Det står t.ex. i artikel 25som har med överföring till andra länder att göra,dvs. det som reglerar Internet. Vi har det i artikel26 som reglerar undantagen från den bestämmelsen.Därför finns det väldigt små möjligheter att avvikafrån direktivet, som berörde. Det göratt regeringen har följt kommitténs text ganska väl.En kommentar till missbruksmodellen. Jag tycker atten synpunkt man ändå kunde introducera så här passtidigt är att all lagstiftning egentligen innehållerbåde delar av missbruksmodell och delar avhanteringsmodell. Även direktivet har vissa inslagav missbruksmodell, och så har personuppgiftslagenvissa inslag av missbruksmodell. Jag tänker framförallt på förbjudna bearbetningar.Det är också viktigt att tänka på att manvisserligen i direktivet inte lyckats fånga upp vadsom varit aktuellt , framför alltInternet. Men å andra sidan bygger det på 25-30 årserfarenhet av lagstiftning kring integritet vadgäller traditionella databearbetningar, inte minstdet som handlar om myndighetsregister och vissaföretagsregister. Därför kan man göra denbedömningen att när det gäller den typen avtillämpningar är egentligen direktivet, datalagenoch personuppgiftslagen ganska väl anpassade. När videbatterar vad som är fel med personuppgiftslagentycker jag att man skall begränsa sig till det somär det stora bekymret och inte till det som trotsallt direktivet och lagen hanterar ganska väl. Låtmig erinra om att personuppgiftslagen exempelvisinnebär en mycket mer flexibel hantering för företagoch myndigheter. T.ex. finns möjligheten attbearbeta efter en intresseavvägning, vilket gerstörre frihet än den tidigare lagstiftningen hargjort.Ordföranden: för detta. Jag lämnar ordet frittför utskottets ledamöter att fråga såväl StaffanVängby som med anledning avderas introduktioner.Barbro : Jag har en fråga som bådeStaffan Vängby och kanske villkommentera. Jag återkommer till det som sadesinledningsvis om de påståenden som har förekommit idebatten. Det har varit en mycket intensiv debatt.Ett påstående gäller tolkningen av EG-direktivet.Man har påstått att har övertolkat ochmissförstått. Ett annat påstående är att Sverigeutgått från ett direkt felöversatt direktiv. Det harframförts till oss i brev efter brev. Det är ettallvarligt påstående att hela utgångspunkten skullevara ett enda stort misstag och fel begånget frånsvensk sida. Kan vi få det klarlagt? Jag tror attdet vore bra att få synpunkter på det nu ochförhoppningsvis klarlägganden redan inledningsvisden här dagen.Staffan Vängby: Det senare påståendet innebär,såvitt jag förstår, att direktivet bara skullebehandla registerhantering och inte hantering avpersonuppgifter. Det kan inte vara riktigt, oavsetthur man nu må ha översatt eller inte översatt enenstaka bestämmelse i direktivet. Den svenskaöversättningen är inte alltid den mest perfekta, menhela direktivets uppbyggnad är att det, när detgäller automatisk hantering av personuppgifter,måste omfatta all hantering över huvud taget. Det ärbara när det gäller register som detverkligen är begränsat till registerhantering.Kommittén var väl försedd med vetenskaplig expertis.Att varken de eller vi skulle ha upptäckt ettmisstag visar på att det är uteslutet att detföreligger ett sådant.Hans-Erik : Vi har också haft möjlighet attjämföra åtminstone utkast från våra nordiskagrannländer. Vi kan konstatera att vi på de centralapunkterna, t.ex. det som gäller i förhållande tilltredje land, gör likartade tolkningar. Även när detgäller direktivets generella giltighet har vilikadana tolkningar. Jag tror att vi kan vara säkrapå att vi inte förlorat någonting genomöversättningen.Inger : Jag har först en egen tolkning av . Kan jag tyda hans utsago så att hantycker att det är positivt att Datainspektionen nukommer att beivra missbruk när det gällerhanteringen av den nya lagen?Statsrådet träffade kommissionärenMonti . Jag skulle vilja höra omhon då informerade honom om den diskussion som vihar i och hur diskussionen dem emellan gick.Sedan har jag ett par frågor till omde två olika modellerna. Jag skulle vilja höra enliten kort diskussion om hanterings- respektivemissbruksmodellen när det gäller dels överföring avpersonuppgifter till tredje land, delsteknikoberoendet.Staffan Vängby: De båda modellerna är helt olika.Hanteringsmodellen säger vad man får eller inte fårgöra. Missbruksmodellen säger bara vad man inte fårgöra. Det är väl inte så mycket synpunkter påhanteringsmodellen vad gäller överförandet tillutlandet, utan det är direktivet i sig som ju sätterupp väldigt kraftiga hinder för att sprida uppgiftervia Internet till utlandet. Detsamma gäller ocksåden andra frågan. Ett missbruksalternativ, menenligt en helt svensk modell som jag inte anser varaförenlig med EG-direktivet, skulle säkert fungerabra även i förhållande till utlandet. Då fick detbli en fråga för svensk rätt att avgöra om det harbegåtts några fel vid distribution av person-uppgifter till utlandet. Man skulle alltså tillämpavanliga svenska regler om förtal och nya regler omansamling av uppgifter. Jag tror inte att det liggernågra problem på den punkten.Hans-Erik : Angående samtalet med Montivill jag säga att syftet med den träffen var framförallt att anhängiggöra frågan. Det var inte någralånga diskussioner. Men förstod av denkontakten att man hade förstått att vi såg detta somett problem. Tanken med träffen var att det skulleutgöra ett startskott för en process. Jag kan gärnaberätta hur vi ser det , men vi hade tänkt attåterkomma till den typen av frågeställningar senare,så jag sparar den.Jag vill vara ganska försiktig med uttalanden omhur lagstiftningen skall tillämpas. Det bör jagegentligen inte göra alls, om jag skall vara noga.Men såvitt man kan förstå finns det en möjlighet atttillämpa undantagsbestämmelserna. Om någon sade tillmig att han tänker publicera uppgifter om mig införhela världen på Internet men kan garantera att detinte är journalistisk verksamhet det kommer atthandla om, att det inte finns något som helst inslagav konstnärlig verksamhet, ej heller något inslag avlitterär verksamhet, då kan jag tycka att det intevore orimligt att den personen ändå kontaktade miginnan de uppgifter som definitivt faller utanför dehär kriterierna skulle publiceras över hela världen.Man kan misstänka att Datainspektionen kommer attresonera på ett liknande sätt när man skall tillämpaden här lagstiftningen. Om jag tillåts en merapersonlig vinkling på det hela skulle jag svara pådet sättet.Ingvar : Jag vill anknyta till den härdiskussionen om journalistisk verksamhet. Jag varinte med vid den första behandlingen av lagen iutskottet. Men i yttrandefrihetsgrundlagen ochtryckfrihetsförordningen finns det bestämmelser somskyddar människor som ägnar sig åt den här typen avjournalistisk verksamhet. Men där är formuleringenväldigt vid. I tryckfrihetsförordningen står det:envar som har en publiceringsavsikt, och iyttrandefrihetsgrundlagen står det: varje svenskmedborgare. Sedan står det att i princip gäller intepersonuppgiftslagen på journalistisk verksamhet. Kanman därmed säga att den i princip inte gäller iSverige? Det kanske inte är vårt problem. Så fortman har publiceringsavsikt är man skyddad avtryckfrihetsförordningen ochyttrandefrihetsgrundlagen. Det betyder att det blirett väldigt snävt område där lagen skulle gälla. Detvore intressant att få det belyst.Ordföranden: Jag beklagar att jag inte släpper innågra repliker. Ambitionen är att få med både MatsEinarssons och Per Lagers frågor innan vi går vidarei listan till nästa avdelning.Mats : Jag skulle vilja återkomma till denförsta frågan, och då gäller det inte frågan omöversättningens korrekthet.Om jag i min dator skriver: "Per ärkonstitutionsutskottets ordförande" är detta enbehandling av personuppgift. Om jag lägger ut dettapå Internet har jag överfört det till tredje land.Detta är eventuellt förbjudet, och i så fall är detabsurt. Det är utgångspunkten. Det är därför visitter här.När man läser EG-direktivet, översättningsfel ellerej, får man det bestämda intrycket att det somligger i skribentens medvetande är just register,dvs. strukturerade samlingar av personuppgifter. Mananvänder begreppen registrerad, registeransvarig,det finns en definition på register osv. Min frågablir då: Skulle man ha kunnat tolka EG-direktivet påett sådant sätt att hanteringsreglerna i PUL endastomfattar strukturerade samlingar av personuppgifter,dvs. register, och på så sätt komma undan deteventuella absurda förhållandet att den här meningenjag föredrog skulle vara olaglig på Internet?Staffan Vängby: Enligt min mening är svaret på densenare frågan ett bestämt nej. När det gäller de merdetaljerade sakuppgifterna ber jag att få lämnaordet till som har skrivit en kommentartill personuppgiftslagen och med anledning däravkommer ihåg detaljerna mycket bättre än jag gör.Sören : Att man skulle kunna försöka sig på attlåta den svenska lagen gälla bara register har vi juredan varit inne lite på. Det finns ingen initieradbedömare som har velat säga att detta är möjligt medhänsyn till EG-direktivet. I direktivet finns detuttryckliga regler om register, men de gäller enbartmanuell behandling av uppgifter på papper. Så forten uppgift kommer in i en dator så omfattas den avalla direktivets regler. Om vi hade gjort på någotannat sätt hade vi inte genomfört direktivetriktigt.Per : Jag skulle vilja återkomma till detta medmissbruksmodell och hanteringsmodell. Jag skullegärna vilja veta varför man inte tryckte mer på denmoderna reformen, , som jag anser attmissbruksmodellen är. Varför låter manhanteringsmodellen, som kan skapa en del onödigaproblem, få ligga i röret fram till dess att vibestämmer oss för att ändra detta? Det låter såkonstigt. Det är första frågan.Den andra frågan skulle jag vilja ställa till . Det är väl fortfarande tveksamt omden svenska offentlighetsprincipen är förenlig meddirektivet. Lagrådet hade ju den inställningen. Dåundrar jag: Hur skall olika myndigheter hanteraallmänhetens begäran att få ta del av offentligahandlingar via datormedium? Bör inte regeringen tainitiativ inom EU för att göra undantag just förallmänna offentliga handlingar?Staffan Vängby: Jag har personligen aldrig varitsärskilt bekymrad över hanteringen av minapersonuppgifter i datorer. Jag har intagit en mycketlättsinnig ställning till detta. För framtidenskulle jag absolut hälsa en missbruksmodell medtillfredsställelse, men den går inte att förena medEG-direktivet enligt min uppfattning. Man kan inteta delar av den heller.Hans-Erik : För det första har vi idirektivets inledning punkt 72 som betonar att dettadirektiv gör det möjligt att behålla bestämmelsenmed hänsyn till principen om allmänhetens rätt tilltillgång till allmänna handlingar. I svensk rätt ärdet ju så, i sekretesslagen, att detfinns en möjlighet att lämna ut handlingar idatamedier, men det finns inte en skyldighet attgöra detta. Det är en viktig skillnad däremellan. Vikan föra en diskussion kring den frågan, men viskall kanske inte ta den just nu.Tillämpningen av personuppgiftslagenOrdföranden: för detta! Då har vi åtminstonetecknat början till en bakgrund. Vi går raskt vidareoch förflyttar oss ett steg framåt ihändelseförloppet till vad som har inträffat efterdet att lagen trädde i kraft. Där har vi tvåintroduktörer på samma vis som under den förstaavdelningen, nämligen som har liteolika bakgrund. Just nu är han ställföreträdandegeneraldirektör för , men han harockså en utredningsbakgrund.Därefter kommer som också har enbrokig bakgrund. Hon är chef för egen organisation, men hon har ocksåtidigare varit kanslichef för börjar med att säga välkommen till : Herr ordförande! Utskottsledamöter!Personuppgiftslagen har varit kraft i drygt enmånad. Det är naturligtvis alldeles för tidigt attnu utvärdera lagen. Från Datainspektionens sida harvi dock kunnat notera att en del väntade problem hardykt upp och att en del farhågor inte har besannats.För att gå rakt på sak. Principen om samtycke somkrav för behandling av personuppgifter ärfortfarande bra tycker vi. Men huvudregeln ipersonuppgiftslagen, att i princip krävs denregistrerades otvetydiga samtycke för att viaInternet få föra ut personuppgifter till tredjeland, kan medföra problem vid tillämpningen.