prop · GN0311 · 2000-01-01 00:00:00 — Regeringens proposition 1999/2000:11 Regeringen överlämnar denna proposition till . Propositionens huvudsakliga innehåll I propositionen föreslås att personuppgiftslagens bestämmelse om förbud mot överföring av personuppgifter ändras. Överföring av personuppgifter till ett land som inte ingår i Europeiska unionen eller är anslutet till Europeiska ekonomiska samarbetsområdet (tredje land) skall inte längre vara förbjuden om det tredje landet har en adekvat nivå för skyddet av person-uppgifter. När det gäller att avgöra om skyddsnivån är adekvat skall alla omständigheter kring överföringen beaktas. Ändringen medför att person-uppgiftslagen ansluter närmare till lydelsen i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. I propositionen föreslås också att ringa fall av överträdelser av person- uppgiftslagens straffbestämmelse skall undantas från det straffbara området. Ändringarna medför sammantagna att skyddet för personuppgifter i betydligt högre grad inriktas på de förfaranden som medför allvarliga integritetsrisker och att lagstiftningen närmar sig en sådan missbruksinriktad regleringsmodell som uttalat sig för. Därigenom underlättas användningen av modern informationsteknik. Ändringarna föreslås träda i kraft . Innehållsförteckning 1 Beslut 3 2 Förslag till lag om ändring i personuppgiftslagen (1998:204) 4 3 Ärendet och dess beredning 5 4 Bakgrund 6 4.1 Personuppgiftslagens tillkomst 6 4.1.1 EG direktivet 6 4.1.2 förslag och personuppgiftslagen 7 4.2 Reglerna om överföring av personuppgifter till tredje land 8 4.2.1 EG direktivets bestämmelser om överföring av personuppgifter till tredje land 8 4.2.2 Allmänna överväganden om överförings- reglerna i lagstiftningsärendet om person- uppgiftslagen 10 4.2.3 Personuppgiftslagens regler om överföring av personuppgifter till tredje land 10 4.3 Datainspektionens förslag 11 4.3.1 Debatten i efter personuppgiftslagens ikraftträdande 11 4.3.2 En specialbestämmelse för informations- spridning och kommunikation i personuppgifts- förordningen 12 4.3.3 uttalanden 12 4.3.4 Synpunkter som framförts vid remissbe- handlingen av Datainspektionens förslag 13 5 Lättnader i förbudet mot överföring av personuppgifter till tredje land 14 6 Straffbestämmelsen i personuppgiftslagen 18 7 Framtida åtgärder för att underlätta användningen av informationsteknik 19 8 Ekonomiska konsekvenser av förslaget 19 9 Författningskommentar 20 Bilaga 1 Förteckning över remissinstanser, Datainspektionens förslag 22 Bilaga 2 Promemorians lagförslag 23 Bilaga 3 Förteckning över remissinstanser, Promemorians förslag 24 Bilaga 4 Lagrådsremissens lagförslag 25 Bilaga 5 Lagrådets yttrande 26 Utdrag ur protokoll vid regeringssammanträde . 1 Beslut Regeringen föreslår att antar regeringens förslag till lag om ändring i personuppgiftslagen (1998:204). 2 Förslag till lag om ändring i personuppgiftslagen (1998:204) Härigenom föreskrivs att 33 och 49 §§ personuppgiftslagen (1998:204) skall ha följande lydelse. Nuvarande lydelse Föreslagen lydelse 33 § Det är förbjudet att till tredje land föra över personuppgifter som är under behandling. Förbudet gäller också överföring av personuppgifter för behandling i tredje land. Det är förbjudet att till tredje land föra över personuppgifter som är under behandling om landet inte har en adekvat nivå för skyddet av personuppgifterna. Förbudet gäller också överföring av personuppgifter för behandling i tredje land. Frågan om en skyddsnivå är adekvat skall bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt skall läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredje landet. 49 § Till böter eller fängelse eller, om brottet är grovt, till fängelse i högst döms den som uppsåtligen eller av oaktsamhet a) lämnar osann uppgift i sådan information till registrerade som föreskrivs i denna lag, i anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär information enligt 43 §, b) behandlar personuppgifter i strid med 13 21 §§, c) för över personuppgifter till tredje land i strid med 33 35 §§, eller d) låter bli att göra anmälan enligt 36 § första stycket eller enligt föreskrifter meddelade med stöd av 41 §. I ringa fall döms inte till ansvar. Den som överträtt ett vitesföreläggande enligt 44 § eller 45 § första stycket döms inte till ansvar för en gärning som omfattas av vitesföreläggandet. Denna lag träder i kraft 3 Ärendet och dess beredning Personuppgiftslagen (1998:204) trädde i kraft . Genom personuppgiftslagen genomfördes och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Regeringen gav Datainspektionen i uppdrag att bland annat utreda det närmare behovet av att göra undantag från förbudet i 33 § personuppgiftslagen när det gäller överföringar av personuppgifter till tredje land som typiskt sett inte innebär några risker för de registrerade eller det annars mot bakgrund av allmänhetens intresse att sprida och inhämta information framstår som angeläget att undantag görs, särskilt i samband med behandling av personuppgifter i internationella kommunikationsnätverk, t.ex. Internet. Datainspektionen redovisade ett förslag till regeringen i rapporten på Internet. Enligt förslaget skulle en bestämmelse införas i personuppgiftsförordningen (1998:1191) som tillåter viss överföring till tredje land. Datainspektionens förslag har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 1. Remissvaren finns tillgängliga i (dnr Ju1999/1126). I ett betänkande (bet. 1998/99:KU15) behandlade ett antal motioner från den allmänna motionstiden som rör frågor om personuppgiftslagen och andra integritetsfrågor. hemställde att skulle ge regeringen till känna vad utskottet anfört bland annat om de problem som var bakgrunden till uppdraget till Datainspektionen. godkände vad utskottet hemställt (rskr.1998/99:147). Sedan Datainspektionens förslag remissbehandlats utarbetades inom en promemoria Ändringar i personuppgiftslagen av . Promemorians lagförslag finns i bilaga 2. De remissinstanser som tagits upp i bilaga 3 kallades till ett remissmöte i . Anteckningar från remissmötet samt skriftliga remissvar finns tillgängliga i (dnr Ju1999/1126). Datainspektionens förslag om kommuners och landstings möjligheter att sprida information m.m. bereds inom . Lagrådet Regeringen beslutade att inhämta Lagrådets yttrande över det lagförslag som finns i bilaga 4. Lagrådets yttrande finns i bilaga 5. Lagrådets synpunkter behandlas i den allmänna motiveringen i avsnitt 5 och i författningskommentaren. Vissa språkliga justeringar av lagtexten har gjorts efter det att Lagrådet yttrat sig. 4 Bakgrund 4.1 Personuppgiftslagens tillkomst 4.1.1 EG direktivet och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EG direktivet) antogs . EG direktivets syfte är att skapa en gemensam, hög nivå på integri- tetsskyddet för att därigenom möjliggöra ett fritt flöde av personuppgifter medlemsländerna emellan. Medlemsstaterna får inom den ram som ges i direktivet närmare precisera villkoren för när behandling av person- uppgifter får förekomma. Dessa preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. Direktivet finns i sin helhet intaget som bilaga i propositionen Person- uppgiftslag (prop. 1997/98:44). Huvuddragen i direktivet är följande. Direktivet är tillämpligt på all behandling av personuppgifter. Förutom automatiserad behandling omfattas också behandling, dock endast sådan behandling som sker i register som är sökbara utifrån särskilda kriterier. Direktivet är inte tillämpligt på sådan behandling av personuppgifter som faller utanför gemenskapsrätten (t.ex. den som gäller allmän säkerhet, statens säkerhet eller statens verksamhet på straffrättens område) och inte heller på behandling som sker för personligt bruk. Behandling av personuppgifter för journalistiska ändamål eller konstnärligt eller litterärt skapande undantas från de flesta av direktivets bestämmelser. Personuppgifter får samlas in endast för särskilda, uttryckligt angivna och berättigade ändamål och uppgifterna får inte senare användas på ett sätt som är oförenligt med ursprungsändamålet. Personuppgifter får behandlas endast när samtycke lämnats, när det är nödvändigt för att fullgöra ett avtal i vilket den registrerade är part, när det finns en i författning reglerad förpliktelse att behandling av uppgifterna skall ske, när det är nödvändigt för att skydda den enskildes grundläggande intressen, när det är nödvändigt att utföra en arbetsuppgift i det allmännas intresse eller, slutligen, om det skett en intresseavvägning som resulterat i att behandling av personuppgifter skall få ske. Känsliga uppgifter (uppgifter som avslöjar etniskt ursprung, religion, politisk åsikt, facklig tillhörighet, hälsotillstånd etc.) får inte behandlas. Dock gäller vissa undantag, bl.a. då den enskilde gett sitt uttryckliga samtycke, för ideella organisationers samt hälso- och sjukvårdens behov och vid författningsreglerade skyldigheter. Medlemsstaterna skall bestämma på vilka villkor nationella identifikationsnummer, som t.ex. de svenska personnumren, får be- handlas. När personuppgifter samlas in skall de registrerade informeras om bl.a. vem som är registeransvarig och vad uppgifterna skall användas till. All behandling av personuppgifter skall enligt huvudregeln anmälas till en tillsynsmyndighet. Medlemsstaten kan dock genom bransch och sek- torsreglering eller motsvarande från anmälningsskyldigheten undanta så- dan behandling av personuppgifter som inte kränker enskildas fri- och rättigheter. Behandling av personuppgifter som innebär särskilda integritetsrisker får inte förekomma utan att tillsynsmyndigheten först kontrollerat behandlingen. Den registrerade skall ha rätt att få sina rättigheter enligt den nationella lagen prövade av tillsynsmyndigheten och domstol. Överföring av personuppgifter till ett tredje land får i princip endast ske om det mottagande landet har en adekvat skyddsnivå. skall vara ett oberoende organ. Den skall ha un- dersökningsbefogenheter och befogenheter att effektivt ingripa mot otillåten behandling av personuppgifter. Medlemsstaterna är skyldiga att genomföra direktivet i nationell rätt efter antagandet . För de automatiserade behandlingar som pågår vid tiden för genomförandet finns möjlighet för medlemsstaterna att föreskriva en övergångsperiod på högst . För redan existerande register kan övergångsperioden utsträckas till, som längst, . EG direktivet skulle ha varit genomfört i medlemsstaterna . har bara drygt hälften av medlemsstaterna genomfört direktivet. 4.1.2 förslag och personuppgiftslagen Efter beslut av regeringen tillkallades en parlamentariskt sammansatt kommitté med uppgift att bland annat göra en total revision av datalagen och analysera på vilket sätt EG direktivet om personuppgifter skulle genomföras i svensk lagstiftning. Kommittén antog namnet . avgav kommittén betänkandet Integritet Offentlighet Informationsteknik (SOU 1997:39). Vid remissbehandlingen av förslag uttalade sig många remissinstanser för en lagstiftning enligt en s.k. missbruksmodell, dvs. en reglering som mer riktar sig mot att förbjuda sådan behandling av personuppgifter som inte bör vara tillåten än att reglera vad som är tillåtet. Regeringen ansåg dock att det inte var möjligt att uppfylla skyldigheten att genomföra direktivet på annat sätt än genom att införa en lag enligt en hanteringsmodell som reglerar vad som är tillåtet. Något konkret förslag till hur EG direktivet på ett godtagbart sätt skulle kunna genomföras enligt en missbruksmodell hade heller inte framkommit under remissbehandlingen. Vid införandet av personuppgiftslagen valde regeringen att i huvudsak låta lagen följa direktivets text och struktur. I propositionen understryker regeringen att det är EG domstolen som slutligen har att tolka de begrepp och uttryck som direktivet innehåller (prop. 1997/98:44 s. 38). Personuppgiftslagen omfattar automatiserad behandling av person- uppgifter och behandling av personuppgifter i register. Person- uppgiftslagen är generellt tillämplig och omfattar även sådan verksamhet som faller utanför EG rätten. Avvikande bestämmelser i lag eller förordning gäller framför personuppgiftslagen. 4.2 Reglerna om överföring av personuppgifter till tredje land Reglerna i EG direktivet och personuppgiftslagen om under vilka omständigheter personuppgifter får föras över till tredje land, dvs. en stat utanför EU eller EES, har en central roll. Utan sådana bestämmelser är det uppenbart att skyddsregler för behandlingen av personuppgifter skulle kunna kringgås genom att personuppgifter överförs till ett tredje land och behandlas där. medför det ökade internationella informationsutbytet att det måste finnas klara och användbara regler som i olika situationer gör det möjligt att föra över personuppgifter till tredje land. 4.2.1 EG direktivets bestämmelser om överföring av personuppgifter till tredje land I artikel 25 och 26 i EG direktivet finns det bestämmelser om överföring av personuppgifter till tredje land. Bestämmelserna innebär följande. Medlemsstaterna skall föreskriva att överföring av personuppgifter, som är under behandling eller som är avsedda att behandlas efter överföring till tredje land, bara får ske om ifrågavarande tredje land säkerställer en adekvat skyddsnivå. Detta skall dock inte påverka tillämpningen av de nationella bestämmelser som har antagits till följd av andra bestämmelser i direktivet. Bedömningen av om skyddsnivån i ett tredje land är adekvat skall ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter. Härvid skall särskilt beaktas uppgiftens art, den eller de avsedda behandlingarnas ändamål, den eller de avsedda behandlingarnas varaktighet, ursprungslandet, det slutliga bestämmelselandet, de allmänna respektive särskilda rättsregler som gäller i ifrågavarande tredje land och de regler för yrkesverksamhet och säkerhet som gäller i ifrågavarande tredje land. Medlemsstaterna och kommissionen skall informera varandra när de anser att ett tredje land inte erbjuder en adekvat skyddsnivå. Om kommissionen i enlighet med en särskild beslutsprocedur som före- skrivs i direktivet kommer fram till att ett tredje land inte erbjuder en adekvat skyddsnivå, är medlemsstaterna skyldiga att vidta de åtgärder som är nödvändiga för att hindra överföring av uppgifter av samma slag till detta land. Kommissionen skall i sådant fall vid lämpligt tillfälle inleda förhandlingar för att avhjälpa den situation som därvid har uppkommit. Kommissionen kan vidare i enlighet med den särskilda beslutsprocedur som föreskrivs i direktivet konstatera att ett tredje land, genom sin interna lagstiftning eller på grund av de internationella förplik- telser som åligger landet, har en adekvat skyddsnivå. Medlemsstaterna skall då vidta de åtgärder som är nödvändiga för att följa kommissionens beslut. Som exempel på internationella förpliktelser som åligger tredje land nämns särskilt sådana förpliktelser som är en följd av de för- handlingar som kommissionen har inlett och som gäller skydd för pri- vatliv och enskilda personers grundläggande fri- och rättigheter. Medlemsstaterna skall utom där något annat föreskrivs för särskilda fall i den nationella lagstiftningen föreskriva att överföring av person- uppgifter till ett tredje land, som inte har en sådan adekvat skyddsnivå, får ske i följande fall. Om den registrerade otvetydigt har samtyckt till den planerade över- föringen. Om överföringen är nödvändig för att fullgöra ett avtal mellan den re- gistrerade och den personuppgiftsansvarige eller för att på den registrerades begäran genomföra åtgärder innan avtalet ingås. Om överföringen är nödvändig för att ingå eller fullgöra ett avtal mellan den personuppgiftsansvarige och tredje man, där avtalet är i den registrerades intresse. Om överföringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen eller för att fastslå, göra gällande eller försvara rättsliga anspråk. Om överföringen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade. Om överföringen görs från ett register som 1) enligt lagar eller andra författningar är avsett att förse allmänheten med information och som 2) är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse, i den utsträckning som de i lagstiftningen angivna villkoren för att få tillgång är uppfyllda. Det är vidare möjligt för medlemsstaterna att tillåta överföring av person- uppgifter till ett tredje land med en icke adekvat skyddsnivå om den personuppgiftsansvarige ställer tillräckliga garantier för skyddet av privatliv och enskilda personers grundläggande fri- och rättigheter och för utövandet av sådana rättigheter. Sådana garantier kan framgå av lämpliga avtals-klausuler. Medlemsstaterna skall informera kommissionen om de överföringar som har tillåtits enligt denna bestämmelse. Om kommissionen eller en medlemsstat gör en invändning på grunder som är berättigade med hänsyn till skyddet för privatliv och enskilda personers grundläggande fri- och rättigheter skall kommissionen vidta lämpliga åtgärder i enlighet med den särskilda beslutsprocedur som föreskrivs i direktivet. Medlemsstaterna skall vidta de åtgärder som är nödvändiga för att följa kommissionens beslut. Om kommissionen å andra sidan i enlighet med den särskilda beslutsprocedur som nämnts beslutar att vissa standardklausuler erbjuder tillräckliga garantier, skall medlemsstaterna vidta nödvändiga åtgärder för att följa kommissionens beslut. 4.2.2 Allmänna överväganden om överföringsreglerna i lagstiftningsärendet om personuppgiftslagen Bestämmelserna i direktivet om överföring till tredje land är detaljerade och komplicerade. gjorde den bedömningen att det i lagstiftningen inte borde införas mer komplicerade regler än nödvändigt med hänsyn till EG direktivet (SOU 1998:39 s. 413). Kommittén föreslog ett förbud mot överföring av personuppgifter till tredje land och konkreta undantag från förbudet för de situationer som räknas upp i artikel 26.1.a e i EG direktivet. En särskild bestämmelse om att personuppgifter utan vidare får föras över för användning enbart i en stat som har anslutit sig till dataskyddskonvention föreslogs också mot bakgrund av förpliktelser enligt konventionen. Vidare föreslogs bemyndiganden för regeringen att meddela föreskrifter för vissa situationer om undantag från förbudet. I några fall fick regeringen vidaredelegera föreskriftsrätten. Regeringens förslag i propositionen till personuppgiftslagen stämde i väsentliga delar överens med kommitténs förslag och antogs av med en mindre språklig justering. 4.2.3 Personuppgiftslagens regler om överföring av personuppgifter till tredje land Enligt 33 § personuppgiftslagen är det förbjudet att till tredje land föra över personuppgifter som är under behandling. Förbudet gäller också överföring av personuppgifter för behandling i ett tredje land. Med tredje land avses enligt definitionen i 3 § personuppgiftslagen ett land utanför EU eller EES. Det finns vissa generella undantag från förbudet. Enligt 34 § första stycket personuppgiftslagen är det tillåtet att föra över personuppgifter till tredje land, om den registrerade har lämnat sitt samtycke till överföringen eller om överföringen är nödvändig för att a) ett avtal mellan den registrerade och den personuppgiftsansvarige skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, b) ett sådant avtal mellan den personuppgiftsansvarige och tredje man som är i den registrerades intresse skall kunna ingås eller fullgöras, c) rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras, eller d) vitala intressen för den registrerade skall kunna skyddas. Enligt 34 § andra stycket personuppgiftslagen är det också tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Regeringen har också möjlighet att i vissa fall besluta om undantag från förbudet. I några av dessa fall kan regeringen delegera föreskriftsrätten vidare. Regeringen får enligt 35 § första stycket personuppgiftslagen meddela föreskrifter om undantag från förbudet i 33 § för överföring av person- uppgifter till vissa stater. Enligt samma lagrum får regeringen också meddela föreskrifter om att överföring av personuppgifter till tredje land är tillåten, om överföringen regleras av ett avtal som ger tillräckliga garantier till skydd för de registrerades rättigheter. Regeringen eller den myndighet regeringen bestämmer får vidare enligt 35 § andra stycket personuppgiftslagen meddela föreskrifter om undantag från förbudet i 33 §, om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Enligt 35 § tredje stycket personuppgiftslagen får regeringen under de förutsättningar som nämns i andra stycket i enskilda fall besluta om undantag från förbudet i 33 §. Regeringen får överlåta åt tillsynsmyndigheten att fatta sådana beslut. Genom personuppgiftsförordningen (1998:1191) har regeringen till Datainspektionen delegerat vidare möjligheten att meddela föreskrifter enligt 35 § andra stycket personuppgiftslagen, när det gäller automatiserad behandling av personuppgifter, om att överföring är tillåten om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Datainspektionen kan också fatta beslut i enskilda fall. 4.3 Datainspektionens förslag 4.3.1 Debatten i efter personuppgiftslagens ikraftträdande I samband med ikraftträdandet av personuppgiftslagen möttes lagens regler om överföring av personuppgifter till tredje land av kritik. Reglerna ansågs medföra en oönskad begränsning av möjligheten att använda sig av modern informationsteknik, som t.ex. elektronisk post eller elektroniska anslagstavlor. Flera exempel nämndes i debatten där en tillämpning av personuppgiftslagens regler ansågs leda till orimliga resultat eftersom uppgifterna bedömdes vara harmlösa i den mening att en spridning av uppgifterna inte borde kunna leda till någon integritetskränkning. Som angetts i avsnitt 3 gav regeringen Datainspektionen i uppdrag att bl.a. utreda det närmare behovet av att göra undantag från förbudet i 33 § personuppgiftslagen när det gäller överföringar av personuppgifter till tredje land som typiskt sett inte innebär några risker för de registrerade eller det annars mot bakgrund av allmänhetens intresse att sprida och inhämta information framstår som angeläget att undantag görs, särskilt i samband med behandling av personuppgifter i internationella kommunikationsnätverk, t.ex. Internet. Datainspektionen redovisade ett förslag till regeringen i rapporten på Internet. 4.3.2 En specialbestämmelse för informationsspridning och kommunikation i personuppgiftsförordningen Enligt Datainspektionen borde det, såvitt här är av intresse, i personuppgiftsförordningen införas en bestämmelse med följande lydelse. För informationsspridning eller kommunikation får personuppgifter i löpande text föras över till tredje land via Internet eller annat nät om texten framställts för sådant ändamål och omständigheterna är sådana att det är uppenbart att det saknas risk för kränkning av den registrerades personliga integritet.