prop · GN0311 · 2000-01-01 00:00:00 — Lagrådet har uttalat att avkriminaliseringen inte torde bli tillämplig i de fall där datalagen skall tillämpas enligt övergångsbestämmelserna till personuppgiftslagen. Förteckning över remissinstanser, Datainspektionens förslag Remissyttranden över Datainspektionens rapport på Internet av har avgetts av ombudsmän (), , , Kammarrätten i , Justitiekanslern, , Riksåklagaren, , , , , , , , , , , Humanistisk samhällsvetenskapliga forskningsrådet, vid , , , , , , kommun, , kommun, , , , , , , , , (), Akademikers (), i (LO), , , , i , Föreningen , Svenska IT företagens organisation, BitoS, , , och . Promemorians lagförslag Förslag till lag om ändring i personuppgiftslagen (1998:204) Härigenom föreskrivs att 33 och 49 §§ personuppgiftslagen (1998:204) skall ha följande lydelse. Nuvarande lydelse Föreslagen lydelse 33 § Det är förbjudet att till tredje land föra över personuppgifter som är under behandling. Förbudet gäller också överföring av personuppgifter för behandling i tredje land. Det är förbjudet att till tredje land föra över personuppgifter som är under behandling om landet inte har en adekvat nivå för skyddet av personuppgifter. Förbudet gäller också överföring av personuppgifter för behandling i tredje land. Frågan om en skyddsnivå är adekvat skall bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt skall läggas vid uppgiftens art, ändamålet med behandlingen, hur länge behandlingen varar, ursprungs- landet, det slutliga bestämmelse- landet och de regler som finns för behandlingen i det tredje landet. 49 § Till böter eller fängelse eller, om brottet är grovt, till fängelse i högst döms den som uppsåtligen eller av oaktsamhet a) lämnar osann uppgift i sådan information till registrerade som föreskrivs i denna lag, i anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär information enligt 43 §, b) behandlar personuppgifter i strid med 13 21 §§, c) för över personuppgifter till tredje land i strid med 33 35 §§, eller d) låter bli att göra anmälan enligt 36 § första stycket eller enligt föreskrifter meddelade med stöd av 41 §. I ringa fall av brott mot första stycket döms inte till ansvar. Den som överträtt ett vitesföreläggande enligt 44 § eller 45 § första stycket döms inte till ansvar för en gärning som omfattas av vitesföreläggandet. Denna lag träder i kraft . Förteckning över remissinstanser, Promemorians förslag Remissyttranden över promemoria av har avgetts av: , , , , , , , , , , Statskontoret, , , , , , Tjänstemännens centralorgansiation (TCO), , , , i , , BitoS och IT kommisssionen. Följande remissinstanser har beretts tillfälle men avstått från att yttra sig över promemorian: ombudsmän (), , Kammarrätten i , Riksåklagaren, vid , , , , Akademikers (), i (LO), Föreningen och Tele 2 AB. Lagrådsremissens lagförslag Förslag till lag om ändring i personuppgiftslagen (1998:204) Härigenom föreskrivs att 33 och 49 §§ personuppgiftslagen (1998:204) skall ha följande lydelse. Nuvarande lydelse Föreslagen lydelse 33 § Det är förbjudet att till tredje land föra över personuppgifter som är under behandling. Förbudet gäller också överföring av personuppgifter för behandling i tredje land. Det är förbjudet att till tredje land föra över personuppgifter som är under behandling om landet inte har en adekvat nivå för skyddet av personuppgifterna. Förbudet gäller också överföring av personuppgifter för behandling i tredje land. Frågan om en skyddsnivå är adekvat skall bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt skall läggas vid uppgiftens art, ändamålet med behandlingen, hur länge behandlingen varar, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredje landet. 49 § Till böter eller fängelse eller, om brottet är grovt, till fängelse i högst döms den som uppsåtligen eller av oaktsamhet a) lämnar osann uppgift i sådan information till registrerade som föreskrivs i denna lag, i anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär information enligt 43 §, b) behandlar personuppgifter i strid med 13 21 §§, c) för över personuppgifter till tredje land i strid med 33 35 §§, eller d) låter bli att göra anmälan enligt 36 § första stycket eller enligt föreskrifter meddelade med stöd av 41 §. Ansvar för en gärning enligt första stycket skall inte dömas ut i ringa fall. Den som överträtt ett vitesföreläggande enligt 44 § eller 45 § första stycket döms inte till ansvar för en gärning som omfattas av vitesföreläggandet. Denna lag träder i kraft . Lagrådets yttrande Utdrag ur protokoll vid sammanträde Närvarande: f.d. justitierådet . , regeringsrådet , justitierådet . Enligt en lagrådsremiss () har regeringen beslutat inhämta Lagrådets yttrande över förslag till lag om ändring i personuppgiftslagen (1998:204). Förslaget har inför Lagrådet föredragits av hovrättsassessorn . Förslaget föranleder följande yttrande av Lagrådet: De föreslagna lagändringarna syftar till att underlätta användningen av modern informationsteknik. De innebär dels att förbudet i 33 § person- uppgiftslagen mot överföring av personuppgifter till land utanför EU/EES mjukas upp, dels att ansvar för brott mot bl.a. detta förbud inte skall ådömas i ringa fall. I sak har Lagrådet i och för sig ingen erinran mot lagändringarna, som beträffande 33 § innebär en utformning som närmare ansluter sig till artikel 25 i EG:s direktiv om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Lagändringarna kan vara ett bidrag till att motverka de problem som är förknippade med att tillämpa den reg- leringsmodell som används i direktivet och i personuppgiftslagen men som vållar de problem som berörs i betänkande 1998/99:KU15 (s. 22 f.). Dessa problem kan dock egentligen lösas enbart genom en revidering av direktivet vilken inte kan förväntas ske . Lagrådet vill vidare anföra följande med anledning av förslaget. Det framgår av förarbetena till personuppgiftslagen att det nuvarande förbudet mot överföring av personuppgifter till tredje land (dvs. ett land utanför EU/EES) var avsett att bli kompletterat med föreskrifter av regeringen eller Datainpektionen om undantag från förbudet mot över- föring utöver dem som finns i lagens 34 §, se 35 § första stycket och prop. 1997/98:44 s. 96. Några sådana föreskrifter av allmän karaktär har emellertid inte meddelats. I den mån sådana undantagsföreskrifter inte skulle vara mera utförliga och ha större konkretion än vad som före- slås som ändringar i 33 §, är det en fördel att reglerna tas in i själva lagen med hänsyn till bl.a. att många enskilda personer och företag skall tillämpa reglerna. En fråga som kan ställas med anledning av lagförslaget är vilken praktisk betydelse ändringen i 33 § får. För den enskilde kommer det att vara svårt att bedöma om förbudet i sin nya utformning gäller eller inte, när det är fråga om att t.ex. lägga ut personuppgifter på en webbplats som är allmänt tillgänglig på Internet. En sådan åtgärd medför att uppgifterna blir tillgängliga i hela världen och därmed kan anses överförda till alla länder. Huruvida alla länder då har en adekvat skyddsnivå ter sig nästan omöjligt att veta, särskilt som också den faktiska efterlevnaden av be- fintliga regler i länderna skall tas med i bedömningen. En tanke som avspeglas i remissen är att vissa uppgifter kan vara av sådan beskaffenhet att de normalt framstår som så harmlösa att det inte har någon betydelse om det finns något skydd alls. En sådan tanke ter sig dock svårförenlig med de ganska höga krav på skydd för alla slags personuppgifter som direktivet ställer. Det ter sig med hänsyn till direktivet också diskutabelt att, som görs i remissen, hävda att personuppgifter får överföras till ett land utanför EU/EES därför att uppgifterna görs offentliga inom EU/EES området och därmed får sådan spridning inom detta att skyddet mot överföring till tredje land inte skulle få någon reell effekt. Lagändringen kan innebära att enskilda inte anser sig med tillräcklig säkerhet kunna avgöra om en avsedd överföring till tredje land är tillåten enligt 33 § i dessa nya lydelse och därför avstår. Å andra sidan kanske paragrafen inte efterlevs därför att den uppfattas som en orealistiskt hämsko på kommunikationen via bl.a. Internet. Det kan visserligen sägas att den föreslagna ändringen i 49 § som innebär att ringa fall av överträdelser av förbudet i 33 35 §§ blir straffria minskar den tvekan som enskilda kan ha angående en tillämnad överförings tillåtlighet. Den föreslagna avkriminaliseringen påverkar emellertid inte det skadeståndsrättsliga ansvar som föreligger enligt lagens 48 § och som utgör en viktig sanktion vid överträdelser av personuppgiftslagens be- stämmelser (se a. prop. s. 105 ff.). I vad mån skadestånd kan utgå i de fall av överträdelser av förbudet mot överföring av personuppgifter till tredje land vilka nu föreslås bli straffria är svårt att ha någon bestämd uppfattning om, men redan denna tveksamhet kan motverka syftet med avkriminaliseringen. I det nya andra stycket i 33 § används uttrycken ursprungslandet och det slutliga bestämmelselandet . De återfinns i artikel 25.2 i EG:s direktiv, men de är till skillnad mot tredje land inte definierade i lagen. Uttrycken kan avse andra länder än och det land dit överföringen sker. Så t.ex. kan personuppgifter vara hämtade till från ett land inom eller utanför EU/EES och ha sin slutliga bestämmelseort i ett fjärde land. Skyddet i såväl det första som det sista landet skall då beaktas. Utöver vad som sagts under 33 § kan anmärkas att den föreslagna avkriminaliseringen i ringa fall inte torde bli tillämplig i den situationen att personuppgifter överförts till tredje land, inte i strid med 33 35 §§ personuppgiftslagen, utan i strid med 11 § datalagen som enligt över- gångsbestämmelserna till personuppgiftslagen alltjämt är tillämplig i fråga om behandling av personuppgifter som påbörjats före . I vissa fall kan det vara svårt att avgöra vilken av lagarna som är tillämplig på en överföring och därmed vilka ringa fall som är straffria. Beträffande de förmodligen inte så få fall där den gamla lagen skall tillämpas ännu , inträder inte den lättnad i regelverket som föreslås genom avkriminalisering i ringa fall. Det nya andra stycket avser alla de gärningar som räknas upp i första stycket, dvs. också andra överträdelser än otillåten överföring av personuppgifter till tredje land. I remissen berörs inte vilka konsekvenser avkriminaliseringen får för dessa andra fall. Så t.ex. behandlas inte i vilken mån avkriminaliseringen kan anses förenlig med direktivets krav i artikel 24 på effektiva sanktioner vid överträdelser av de bestämmelser som har antagits för att genomföra direktivet. Såvitt Lagrådet kan bedöma hindrar dock inte direktivet den föreslagna avkriminaliseringen, även om denna omfattar också överträdelser där skadeståndsansvar enligt 48 § person-uppgiftslagen inte kommer i fråga. Utdrag ur protokoll vid regeringssammanträde . Närvarande: statsrådet , ordförande, och statsråden , , , , , , , , , , , , , , , , Regeringen beslutar proposition 1999/2000:11 Personuppgiftslagens överföringsregler. 1999/2000:11 Bilaga 1 1999/2000:11 Bilaga 2 1999/2000:11 Bilaga 3 1999/2000:11 Bilaga 4 1999/2000:11 Bilaga 4 1999/2000:11 Bilaga 5 1999/2000:11 Bilaga 5