sou · GMB347 · 1999-01-01 00:00:00 — Med behandling av personuppgift avses varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning, ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Ett register med personuppgifter i direktivets mening föreligger så snart det är fråga om en samling av personuppgifter som är tillgänglig enligt särskilda kriterier. Direktivet gäller inte beträffande sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskaps- rätten, t.ex. sådan verksamhet som avses i avdelning V och VI i Fördraget om Europeiska unionen (gemensam utrikes- och säker- hetspolitik respektive samarbete i rättsliga och inrikes frågor, såsom asyl- och invandringspolitik samt tull- och polissamarbete). Direktivet omfattar inte heller behandlingar som avser allmän säkerhet, försvar, statens säkerhet eller statens verksamhet på straffrättens område. Från direktivets tillämpningsområde har även undantagits sådan behandling av personuppgifter som en fysisk person bedriver som ett led i en verksamhet av rent privat natur eller som har samband med hans hushåll. I artikel 6.1 anges vissa grundläggande principer för behandling av personuppgifter. Bl.a. föreskrivs att personuppgifter får samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål. behandling får inte ske på sätt som är oförenligt med dessa ändamål. Artikel 6.1 innehåller också en bestämmelse om att personuppgifter skall vara adekvata och relevanta samt inte omfatta mer än vad som är nödvändigt med hänsyn till ändamålet. Vidare föreskrivs att personupp- gifter skall vara riktiga och, om nödvändigt, aktuella. I fråga om förvaringen av personuppgifter sägs att den skall ske på ett sätt som förhindrar identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka uppgifterna har samlats in eller för vilka de senare behandlas. Behandling av personuppgifter är enligt artikel 7 tillåten endast under någon av de förutsättningar som anges i artikeln. Behandling får sålunda ske om den registrerade otvetydigt har lämnat sitt samtycke eller om behandlingen är nödvändig för att fullgöra en förpliktelse som åvilar den registeransvarige, dvs. den som ensam eller tillsammans med andra bestämmer ändamålen med och målen för behandlingen. Behandling får vidare ske om den är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för att utföra en arbetsuppgift av allmänt intresse eller om den är ett led i myndig- hetsutövning som utförs av den registeransvarige eller tredje man till vilken uppgifterna har lämnats ut. Slutligen får behandling ske om den är nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter. tredje man avses i direktivet någon annan än den registrerade, den registeransvarige, den som behandlar personuppgifter för den registeran- svariges räkning (registerföraren) eller de personer som under den registeransvariges eller registerförarens direkta ansvar har befogenhet att behandla uppgifterna. Artikel 8 innehåller bestämmelser med särskilda begränsningar i fråga om möjligheterna att behandla vissa känsliga personuppgifter. I artikeln åläggs medlemsstaterna att uppställa ett principiellt förbud mot be- handling av uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackföre- ning eller som rör hälsa eller sexualliv. Kravet på ett sådant förbud är emellertid inte undantagslöst. I artikel 8 anges sålunda en rad omständig- heter under vilka en behandling av sådana känsliga uppgifter är tillåten. Bl.a. nämns här det fallet att den registrerade har lämnat sitt samtycke till behandlingen. Direktivet innehåller inte något motsvarande förbud avseende be- handling av uppgifter om brott. I artikel 8.5 föreskrivs dock att uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder får utföras endast under kontroll av en myndighet eller - om lämpliga skyddsåtgärder finns i nationell lag - med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett fullständigt register över brottmålsdomar får dock, enligt vad som vidare anges i artikel 8.5, föras endast under kontroll av myndighet. Direktivet innehåller också bestämmelser om bl.a. rätt för den registrerade att motsätta sig uppgiftsbehandling i vissa fall, begräns- ningar vad gäller möjligheterna att grunda för den enskilde betydelseful- la beslut enbart på en automatisk databehandling av uppgifter som avser dennes personliga egenskaper, information till den registrerade, den enskildes rätt till insyn och rättelse samt om datasäkerhet, sekretess och gallring. För vissa fall ges möjligheter att göra avsteg från vad som föreskrivs i direktivet. I artikel 13.1 ges sålunda medlemsstaterna möjligheter att genom lagstiftning begränsa omfattningen av de rättigheter och skyldig- heter som följer av bestämmelserna i artiklarna 6.1 (principer för de behandlade personuppgifternas kvalitet), 10 (information vid insamling av uppgifter från den registrerade), 11.1 (information när uppgifterna inte har samlats in från den registrerade), 12 (den registrerades rätt att få tillgång till uppgifter) och 21 (behandlingarnas offentlighet). En sådan begränsning får dock endast göras i fall då det är en nödvändig åtgärd med hänsyn till vissa särskilt angivna ändamål, bl.a. förebyggande, undersökning eller avslöjande av brott. I artikel 28.1 föreskrivs att varje medlemsstat skall tillse att det utses en eller flera myndigheter med uppgift att inom statens territorium övervaka tillämpningen av de bestämmelser som antas till följd av direktivet. Tillsynsmyndigheterna skall, enligt vad som vidare anges i den nämnda artikeln, fullständigt oberoende utöva de uppgifter som åläggs dem. Regeringen har beslutat att utse Datainspektionen till svensk tillsynsmyndighet enligt denna bestämmelse (regeringsbeslut , Dnr Ju 96/176). Artikel 18 innehåller bestämmelser som ålägger medlemsstaterna att föreskriva att den registeransvarige eller dennes företrädare skall underrätta tillsynsmyndigheten före genomförandet av en behandling som helt eller delvis genomförs på automatisk väg eller en serie sådana behandlingar som har samma eller flera närbesläktade ändamål. För vissa fall finns det möjligheter till undantag från och förenklingar av anmälningsproceduren (artikel 18.2-4). Enligt artikel 20 är medlemsstaterna skyldiga att bestämma vilka be- handlingar som kan innebära särskilda risker för den registrerades fri- och rättigheter samt att säkerställa att sådana behandlingar kontrolleras innan de påbörjas. Sådana förhandskontroller skall utföras av till- synsmyndigheten men kan också utföras som ett led i det nationella parlamentets förberedande arbete med en åtgärd eller som ett led i arbetet med en åtgärd som grundas på en sådan lagstiftande åtgärd, vilken definierar behandlingens art och anger lämpliga skyddsåtgärder (artikel 20.3). Direktivet innehåller även bestämmelser rörande överföring av personuppgifter till länder utanför den Europeiska gemenskapen. Enligt huvudregeln skall medlemsländerna föreskriva att en överföring av sådana uppgifter, som är under behandling eller är avsedda att behandlas efter överföring till tredje land, får ske endast om ifrågavarande tredje land säkerställer en adekvat skyddsnivå (artikel 25.1). Medlemsstaterna skall enligt artikel 22 föreskriva att var och en har rätt att föra talan inför domstol om kränkningar av sådana rättigheter som skyddas av den nationella lagstiftning som är tillämplig på behandlingen i fråga. Enligt artikel 23 skall även föreskrivas att var och en, som lidit skada till följd av en otillåten behandling eller någon annan åtgärd som är oförenlig med de nationella bestämmelser som antagits till följd av direktivet, har rätt till ersättning av den registeransvarige för den skada han lidit. antog en konvention till skydd för enskilda vid automatisk databehandling av personuppgifter, Con- vention for the Protection of Indviduals with regard to Automatic Processing of , den s.k. dataskyddskonventionen. Den trädde i kraft och har ratificerats av ett antal länder, bl.a. . Syftet med konventionen är att säkerställa respekten för grund- läggande fri- och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatisk databehandling av personuppgifter (artikel 1). Med personuppgifter avses i detta sammanhang all in- formation som kan hänföras till en identifierad eller identifierbar person. Och till automatisk databehandling hänförs i konventionen såväl lagring av uppgifter som utförandet av logisk eller aritmetisk behandling av dessa samt ändring, utplåning, återvinning eller spridning av upp- gifterna. Konventionens tillämpningsområde är enligt huvudregeln auto- matiserade personregister och automatisk databehandling av person- uppgifter i allmän och enskild verksamhet. En konventionsstat har dock rätt att göra vissa allmänna inskränkningar eller utvidgningar i fråga om konventionens tillämpning i dess helhet (artikel 3). Vidare ges vissa möjligheter att göra undantag från några av de enskilda bestämmelserna (artikel 9). I konventionens centrala bestämmelser (artiklarna 4 - 11) ställs vissa grundläggande principer för dataskydd upp. De innebär bl.a. föjande. Personuppgifter som skall undergå automatisk databehandling skall inhämtas och behandlas på ett korrekt sätt. De skall lagras för särskilt angivna och lagliga ändamål. Uppgifterna skall vidare vara relevanta för dessa ändamål och får inte användas på ett sätt som är oförenligt med dem (artikel 5). Vissa kategorier av personuppgifter får inte undergå automatisk databehandling, om inte den nationella lagen ger ett ändamålsenligt skydd. Detta gäller i fråga om uppgifter om ras, politisk åskådning, religiös tro och annan övertygelse, hälsa, sexualliv samt brottmålsdomar (artikel 6). Lämpliga säkerhetsåtgärder skall vidtas för att skydda personuppgifter mot oavsiktlig eller otillåten förstörelse (artikel 7). Vidare föreskrivs bl.a. att alla som är registrerade i ett personregister skall ha möjlighet till insyn i registret och möjlighet att få rättelse till stånd om personuppgifter har behandlats i strid med nationell lagstiftning som syftar till att förverkliga de i artiklarna 5 och 6 fastlagda principerna (artikel 8). Undantag får enligt konventionen göras i fråga om kraven på personuppgifternas beskaffenhet, förutsättningarna för behandling av känsliga uppgifter och vissa andra föreskrivna skyddsåtgärder. För sådana avvikelser krävs dock dels att de har stöd i nationell lagstiftning, dels att de är nödvändiga i ett demokratiskt samhälle för att skydda statens säkerhet eller dylikt eller för att skydda den registrerade eller andra personers fri- och rättigheter. Konventionen innehåller härutöver bestämmelser om dataflödet över gränserna och om formerna för samarbetet mellan konventionsstaterna. I detta sammanhang bör också nämnas de riktlinjer i fråga om skyddet för den personliga integriteten och flödet av persondata över gränserna, Guidlines on the Protection of Privacy and Transborder Flows of , som en expertgrupp inom och utveckling () har utarbetat. Riktlinjerna antogs av tillsammans med en rekommendation till med- lemsstaternas regeringar om att beakta riktlinjerna i den nationella lagstiftningen. Samtliga medlemsstater, däribland , har godtagit rekommendationen och därmed åtagit sig att följa denna. Riktlinjerna innehåller bl.a. en särskild avdelning som behandlar grundläggande principer rörande skyddet för den personliga integriteten på det nationella planet. I mångt och mycket överensstämmer riktlinjerna i dessa hänseenden med vad som anges i EG:s dataskyddsdirektiv och dataskyddskonvention. Riktlinjerna är emellertid mindre detaljerade och uppställer i vissa avseenden också lägre krav än dessa. Utredningens förslag: Kreditupplysningsföretagen skall ges möjlig- het att förmedla uppgifter om lagakraftvunna domar och godkända strafförelägganden avseende ekonomisk brottslighet. Med ekonomisk brottslighet avses här brott enligt 9 - 11 kap. och 14 kap. brottsbal- ken samt brott enligt skattebrottslagen (1971:69) och lagen (1960:418) om straff för varusmuggling. Uppgifter skall få lämnas endast om domar och godkända strafförelägganden i vilka annan påföljd än böter har ålagts. Som ytterligare begränsning skall gälla att uppgifter får lämnas endast beträffande den som för utlämnandet av uppgiften är näringsidkare eller har en sådan anknytning till en näringsverksamhet att han är att jämställa med näringsidkare i kreditupplysningslagens mening. förflutit från det att domen vann laga kraft eller strafföreläggandet godkändes skall uppgift om domen eller strafföreläggandet inte längre få lämnas ut. Kreditupplysningsföretagen skall få rätt att för kreditupplysningsändamål erhålla uppgifter från belastningsregister. Det råder en betydande enighet om att den ekonomiska brottsligheten är ett allvarligt samhällsproblem och att det är angeläget att effektiva åtgärder mot denna typ av brottslighet vidtas. I såväl regeringens strategi för samhällets samlade åtgärder mot den ekonomiska brottsligheten (regeringens skrivelse 1994/95:217 s. 28) som i utredningens direktiv framhålls den betydelse en effektiv affärskontroll kan ha när det gäller att förebygga ekonomisk brottslighet. Inledningsvis skall sägas att utredningen ansluter sig till denna syn på affärskontrollen. Vid många former av ekonomisk brottslighet utgör affärskontakter med det seriösa näringslivet ett nödvändigt inslag i det brottsliga förfarandet. En utbredd och väl fungerande affärskontroll borde verksamt kunna bidra till att begränsa sådan brottslighet. Det finns därför all anledning att undersöka möjligheterna att förbättra förutsättningarna för denna kontroll. Frågan, i vad mån brottmålsdomar, i första hand rörande ekonomisk brottslighet, bör kunna göras tillgängliga i samband med kreditupplys- ning eller på annat sätt i samband med affärskontroll, har viss an- knytning till intresset att komma till rätta med illojala bulvanför- hållanden, som är utredningens huvuduppgift. Det torde inte vara helt ovanligt att tidigare kriminellt belastade personer uppträder som bulvaner eller s.k. målvakter i samband med utförandet av ekonomiska brott (jämför åklagarväsendets rapport 1996:1 om bolagsplundring, s. 32). I den mån så sker, kan en möjlighet att vid kontroll få information om huruvida en tilltänkt kredittagare eller en ställföreträdare för en sådan är dömd för brott eller ej givetvis tänkas innebära att möjlig- heterna att begå brott med hjälp av bulvaner begränsas. Den brottsförebyggande effekt som en sådan kontrollmöjlighet kan ha, är naturligtvis dock inte begränsad till de fall där bulvaner kommer till användning. Det kan finnas en risk för att den som begått ekonomiska brott återfaller i sådan brottslighet eller i varje fall är mindre omsorgs- full när det gäller att fullgöra ekonomiska förpliktelser. Från denna synpunkt kan informationen fylla en funktion som varningssignal på samma sätt som en uppgift om en betalningsförsummelse. En fråga som inställer sig är om inte redan de uppgifter som är tillgängliga vid affärskontroll, t.ex. vid kreditupplysning, skulle ge anledning till försiktighet i de här avsedda fallen. Det bör i detta hänseende till en början nämnas att uppgifter om näringsförbud får lämnas i samband med kreditupplysning. Detta är från de förut angivna synpunkterna i och för sig värdefullt, men det innebär dock inte att det informationsbehov som kan finnas på området tillgodoses fullt ut. Som tidigare nämnts (se avsnitt 5.1) har kreditupplysningsföretaget ningsCentralen () gjort en mindre studie avseende 76 personer som hade dömts vid för ekonomisk brottslighet. Resultatet av en studie av så begränsad omfattning bör självfallet tolkas med försiktighet. Studien tyder dock närmast på att det finns ett inte oväsentligt antal personer dömda för relativt allvarlig ekonomisk brottslighet, beträffande vilka anteckningar om betalningsanmärkningar eller om näringsförbud saknas. De personer som omfattades av UC:s studie hade dömts för be- drägeri, förskingring, skattebrott, grov oredlighet mot borgenärer, urkundsförfalskning, osant intygande, bokföringsbrott eller brott mot aktiebolagslagen. Beträffande 18 av de 76 personer som studien omfattade fanns för den aktuella domen ingen anteckning om betalningsanmärkning hos UC. Vid undersökningstillfället hade förflutit sedan domen meddelades. Av de nämnda 18 personerna hade då fem ådragit sig betalningsanmärkningar. Beträffande dessa hade 43 kreditupplysningsförfrågningar gjorts efter domstillfället. Av dessa förfrågningar hade 18 besvarats innan den första anmärkningen beträffande personen i fråga hade registrerats hos UC. Kreditupplysningen innehöll alltså i dessa fall ingen information som talade för att den omfrågades vederhäftighet i ekonomiskt hänseende kunde ifrågasättas. Detsamma gäller de sex kreditupplysningar som efter domstillfället hade beställts avseende några av de 13 personer be- träffande vilka det fortfarande saknades anteckning om betalningan- märkning då studien genomfördes. Dessa var inte heller ålagda näringsförbud. Sedan tiden för denna undersökning har lagstiftningen om näringsför- bud skärpts (prop. 1995/96:98, bet. 1995/96:LU22, rskr. 1995/96: 212, SFS 1996:314). Detta torde i sammanhanget dock ha begränsad betydelse med hänsyn till att praxis knappast kan komma att påverkas mer än förhållandevis marginellt genom den skärpta lagstiftningen. Till detta kommer att näringsförbud på grund av brott förutsätter att brottet begåtts av någon i hans egenskap av näringsidkare, något som ingalunda alltid behöver vara fallet när det gäller allvarlig ekonomisk brottslighet av intresse i detta sammanhang (jfr avsnitt 5.3.2). Enligt utredningens uppfattning kan det knappast råda något tvivel om att affärskontrollens betydelse då det gäller att förebygga ekonomisk brottslighet skulle öka påtagligt, om en möjlighet öppnades att i samband med denna kontroll få upplysningar om domar avseende sådan brottslighet. Från brottsförebyggande synpunkt skulle det alltså vara en fördel om uppgifter om ekonomisk brottslighet kunde förmedlas i samband med affärskontroll. står det klart att detta skulle innebära att från integritetssynpunkt mycket känsliga uppgifter spreds till andra enskilda. Intresset av en effektivare affärskontroll måste här vägas mot kravet på skydd för den enskildes personliga integritet. Frågan är alltså om det är möjligt att åstadkomma en ordning för förmedling av uppgifter om ekonomisk brottslighet i samband med affärskontroll som är acceptabel med hänsyn till behovet av integritets- skydd. Ett ställningstagande i denna fråga förutsätter att det till bedömning föreligger en förhållandevis konkret modell för en sådan uppgiftsförmedling. Vi skall därför i det följande diskutera hur denna lämpligen skulle kunna arrangeras, för att därefter återkomma till huvudfrågan, om en möjlighet att göra denna typ av uppgifter tillgängli- ga vid affärskontroll bör införas. En första fråga som inställer sig är vilken betydelse stadgandena i EG:s dataskyddsdirektiv bör tillmätas i detta sammanhang. Syftet med att göra uppgifter om ekonomisk brottslighet tillgängliga i samband med affärskontroll skulle närmast vara att ge näringsidkare och kreditgivare vidgade möjligheter att bedöma de risker som kan vara förknippade med en tilltänkt affärs- eller kreditförbindelse, vilket kan antas ha en brottsförebyggande effekt. Det torde inte råda någon tvekan om att en verksamhet som på detta sätt rör villkoren för den ekonomiska sam- färdseln omfattas av gemenskapsrätten. Slutsatsen måste följaktligen bli att en behandling av personuppgifter som utgör ett led i en sådan verksamhet faller inom dataskyddsdirektivets tilllämpningsområde. modell för förmedling av uppgifter om ekonomisk brottslighet i samband med affärskontroll måste alltså utformas under hänsynstagande till direktivets bestämmelser. 5.3.2Vilka uppgifter bör förmedlas? En utgångspunkt måste här vara att endast sådana uppgifter som är relevanta för syftet med uppgiftsförmedlingen bör få lämnas ut. Eftersom tanken är att en effektiv affärskontroll skall kunna verka brottsförebyggande i fråga om ekonomisk brottslighet, måste uppgifterna alltså vara av sådan beskaffenhet att de kan antas få betydelse i detta hänseende. När det gäller frågan, vilka brottstyper som uppgifterna skulle kunna avse, innebär det sagda att det rimligen inte borde komma i fråga att tillåta uppgifter om annan brottslighet än den som kan betecknas som ekonomisk sådan. Som framgått av redogörelsen i avsnitt 2.1 är emellertid ekonomisk brottslighet inte något entydigt begrepp som utan vidare låter sig "översättas" till brottstyper i strafflagstiftningens mening. I förevarande sammanhang skulle det emellertid bli nödvändigt att göra en avgränsning till vissa konkreta brottstyper. Ambitionen borde därvid vara att "fånga upp" de gärningar som enligt gängse före- kommande definitioner utgör begreppets kärnområde. Detta skulle till en början förutsätta att uppgifter kunde förmedlas om brott enligt 9 - 11 och 14 kap. , dvs. bedrägeri och andra oredlighetsbrott, förskingring och andra trolöshetsbrott samt borgenärs- och förfalskningsbrotten. Härutöver borde uppgifter även kunna förmedlas om brott enligt skattebrottslagen (1971:69) och lagen (1960:418) om straff för varusmuggling. Därmed skulle möjligheten att lämna uppgifter om brott komma att omfatta samtliga skattebrott. Enligt utredningens bedömning borde det med hänsyn till syftet med uppgiftsförmedlingen vara naturligt att begränsa denna till de nu angivna brottstyperna. Att en sådan avgränsning skulle innebära att uppgifter i viss utsträckning kom att lämnas även beträffande brottslighet som inte kan betecknas som ekonomisk sådan, är en oundviklig följd av det i det föregående berörda förhållandet, att begreppet ekonomisk brottslighet inte tar sikte på den straffrättsliga indelningen i brottstyper utan snarare är av rättspolitisk karaktär. Det är mycket vanligt att en brottmålsdom omfattar flera brott. Det finns därför skäl att redan här uppmärksamma den situationen, att en dom avser dels brott som enligt det sagda borde omfattas av uppgiftsförmedlingen, dels andra typer av brott. Frågan är alltså om uppgifter i ett sådant fall endast borde få lämnas beträffande den förra typen av brott eller om samtliga de brott som domen omfattar borde redovisas. Mot bakgrund av vad som anförts i det föregående om syftet med uppgiftsförmedlingen, kan det tyckas ligga närmast till hands att hålla fast vid den tidigare angivna avgränsningen i fråga om de brottstyper som uppgiftsförmedlingen borde avse och alltså inte medge några undantag för den nu diskuterade situationen. En sådan ordning skulle emellertid kunna leda till att uppgifterna i vissa fall blev missvi- sande. Om en möjlighet till förmedling av uppgifter om brottmålsdomar införs, är det närmast självskrivet att dessa uppgifter skall kunna innefatta en upplysning om den utdömda påföljden. Med utgångspunkt från en sådan upplysning kan man normalt sett bilda sig en god uppfattning om brottslighetens svårhet. När någon döms för flera brott är huvudregeln att domstolen skall döma till gemensam påföljd för brotten (30 kap. 3 § första stycket ).