sou · GNB3109 · 2000-01-01 00:00:00 — Särskilda skäl krävs för att tillstånd skall kunna meddelas för inrät- tande och förande av personregister som omfattar andra än medlemmar, anställda eller kunder hos den registeransvarige eller personer som har annan därmed jämställd anknytning (3 a §). Det krävs synnerliga skäl för att andra än myndigheter som enligt lag eller annan författning har att föra förteckning över sådana uppgifter skall kunna få tillstånd att inrätta och föra personregister som innehåller vissa angivna typer av känsliga uppgifter, såsom exempelvis uppgift om att någon misstänks eller har dömts för brott eller varit föremål för vissa tvångsingripanden (4 § första stycket). Tillstånd att inrätta och föra personregister som i övrigt innehåller uppgifter om nå gons sjukdom, hälsotillstånd eller sexualliv eller uppgift om att någon fått ekonomisk hjälp eller vård inom eller varit föremål för åtgärd enligt utlänningslagen får bara om det finns sär- skilda skäl meddelas någon annan än en myndighet som enligt lag eller annan författning har att föra en förteckning över sådana uppgifter. Sär- skilda skäl krävs även för registrering av uppgifter om nå gons ras eller politiska uppfattning eller religiösa övertygelse (4 § andra och tredje styckena). När Datainspektionen meddelar tillstånd att inrätta och föra person- register, skall inspektionen meddela föreskrift om ändamålet med registret. Föreligger särskilda skäl får tillståndet begränsas till (5 §). Vid tillståndsgivningen skall inspektionen även meddela vissa andra föreskrifter, om det behövs för att förebygga risk för otillbörligt intrång i personlig integritet (6 §). Dessa föreskrifter kan avse bl.a. in- hämtande av uppgifter för personregistret, vilka personuppgifter som får ingå i registret, de bearbetningar av personuppgifterna i registret som får göras med ADB, utlämnande, bevaring och gallring. Sådana föreskrifter skall Datainspektionen också meddela i fråga om statsmaktsregister. Det gäller dock endast om registret skall innehålla sådana uppgifter att t ill- stånd hade krävts om det inte hade varit ett statsmaktsregister och före- skrifter i ämnet inte har meddelats av eller regeringen (6 a §). Den registeransvarige är skyldig att föra personregistret så att inte otillbörligt intrång i de registrerades personliga integritet uppkommer. Särskilt i 7 § anges närmare vad som skall iakttas för att nå upp till vad som brukar kallas "god registersed". Särskilt skall iakttas bl.a. att regist- ret förs för ett bestämt ändamål och att inte andra uppgifter registreras än som står i överensstämmelse med registrets ändamål. Den regis- teransvarige är också skyldig att förteckna de personregister som han 84 Den nuvarande rättsliga regleringen... SOU 1999:109 eller hon är ansvarig för (7 a §). Förteckningen skall vara aktuell och hållas tillgänglig för Datainspektionen. I datalagen finns också särskilda bestämmelser om ADB- användningen som är avsedda att garantera att person uppgifter är riktiga och fullständiga. Dessa bestämmelser, som återfinns i 8 och 9 §§, be- handlar bl.a. rättelse av oriktiga och missvisande uppgifter. En central bestämmelse är vidare 10 §. Den ger den enskilde en rätt till insyn i personregister. Där föreskrivs att den registeransvarige på skriftlig begäran av den enskilde skall underrätta denne om innehållet i registret, såvitt gäller honom eller henne. Ett sådant registerutdrag, ett s.k. § 10-utdrag, har den enskilde rätt att kostnadsfritt få en gång . Enligt 11 § får personuppgift som ingår i personregister inte lämnas ut, om det finns anledning anta att uppgiften skall användas för automa- tisk databehandling i strid med lagen. Paragrafen gäller för andra regis- teransvariga än myndigheter. För myndigheter finns motsvarande be- stämmelse i 7 kap. 16 § sekretesslagen (se avsnitt 4.3.3). I datalagen finns vidare allmänna bestämmelser om gallring av per- sonuppgifter och om vad som skall iakttas då en registeransvarig upphör att föra ett personregister för vilket Datainspektionen har meddelat till- stånd (12 §). Vissa bestämmelser om tystnadsplikt finns i 13 §. I det allmännas verksamhet gäller dock, i stället för denna bestämmelse, reglerna i sek- retesslagen. I 14 § fanns en särskild bestämmelse om dokumentationsskyldighet som avser att göra det möjligt att i efterhand fastställa vilka uppgifter i en ADB-upptagning som har legat till grund för a vgörandet av ett mål eller ärende hos en myndighet. Sådana ADB- upptagningar skall tillföras handlingarna i målet eller ärendet i för ögat läsbar form. Undantag gäller bara om det finns särskilda skäl. Bestämmelsen finns numera i 15 kap. 14 § sekretesslagen (1980:100). Datainspektionen utövar tillsyn över att automatisk databehandling inte medför otillbörligt intrång i den registrerades personliga integritet (15–18 §§). Inspektionen har möjlighet att meddela villkor eller, om rättelse inte kan åstadkommas på annat sätt, förbjuda förandet av personregister eller återkalla meddelade tillstånd (18 §). Datainspektionens beslut enligt datalagen kan överklagas till länsrät- ten i eller, när en statlig myndighet är registeransvarig, rege- ringen. Justitiekanslern får föra talan för att ta till vara allmänna intres- sen. (25 §.) Bestämmelser om straff och skadestånd finns i 20, 21 och 23 §§. Ett personregister kan förklaras förverkat, om det inrättas eller förs utan nödvändig licens eller tillstånd (22 §). Den nuvarande rättsliga regleringen... 85 I datalagen reglerades även det statliga person- och adressregistret (SPAR), 26–28 §§. regleras dock detta re- gister i lagen (1998:527) om det statliga personadressregistret. 4.3.6Personuppgiftslagen (1998:204) Personuppgiftslagen (prop. 1997/98:44, bet. 1997/98:KU18, rskr. 1997/98:180, SFS 1998:204), som trädde i kraft , har ersatt den tidigare datalagen. Lagen innebär ett genomförande i svensk lagstiftning av och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana upp- gifter. Regeringen har i personuppgiftsförordningen (1998:1191) gett kom- pletterande föreskrifter beträffande sådan behandling av personuppgifter som omfattas av personuppgiftslagen. Vidare har Datainspektionen meddelat föreskrifter om, dels skyldigheten att anmäla behandlingar av personuppgifter till inspektionen (1998:2), dels undantag från förbudet för andra än myndigheter att behandla person uppgifter om lagöverträdelser m.m. (1998:3). Personuppgiftslagen omfattar all behandling av personuppgifter som är helt eller delvis automatiserad (5 § första stycket). Lagen gäller även för behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, dvs. i ett register (5 § andra stycket). Personuppgiftslagen har därmed ett bredare tillämpningsområde än datalagen, som endast gäller personre- gister som inrättades eller fördes med hjälp av ADB. Till skillnad från EG-direktivet omfattar person uppgiftslagen även sådan behandling av personuppgifter som sker inom ramen för verksam- heter som inte omfattas av gemenskapsrätten, t.ex. statens verksamhet på straffrättens område eller verksamhet som rör allmän säkerhet eller försvar. I likhet med datalagen är alltså personuppgiftslagen generellt tillämplig. Dock gäller att om det i annan lag eller i en förordning finns bestämmelser som avviker från personuppgiftslagen de bestämmelserna skall gälla (2 §). De särregler som kan vara nödvändiga på vissa områ- den förutsätts få sin plats i särskilda registerförfattningar, som helt eller 86 Den nuvarande rättsliga regleringen... delvis tar över den generella regleringen i personuppgiftslagen (a. prop. s. 40 f.). Personuppgiftslagen gäller inte för sådan behandling av personupp- gifter som en fysisk person utför som ett led i en verksamhet av rent privat natur (6 §). Detta innebär enligt förarbetena (a. prop. s. 54) t.ex. att enskilda för rent privat bruk kan föra en elektronisk dagbok eller registrera sina grannar eller släktingar. Vidare görs i lagen i förtydli- gande syfte ett undantag för all sådan behandling av personuppgifter som skyddas av tryckfrihetsförordningen och yttrandefrihetsgrundlagen (7 § första stycket). Vidsträckta undantag från lagens regler gäller även i fråga om sådan behandling som annars utförs uteslutande för journalistiska ändamål eller för konstnärligt eller litterärt skapande (7 § andra stycket). Lagen innehåller också en bestämmelse – även den enligt regeringen i förtydligande syfte, eftersom personuppgiftslagens bestämmelser inte kan ta över bestämmelser i grundlag – som anger att personuppgiftslagen inte skall tillämpas, om en sådan tillämpning skulle inskränka myndigheternas skyldighet att lämna ut uppgifter enligt 2 kap. tryckfrihetsförordningen (8 § första stycket). Genom personuppgiftslagen utmönstras en rad begrepp som använts i datalagen, t.ex. personregister och i stället införs en rad nya begrepp, vilka definieras i 3 §. Med behandling (av personuppgifter) avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning , inhämtan- de, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Personuppgifter definieras som all slags information som direkt eller indirekt kan hänföras till en fysisk per- son som är i livet. Personuppgiftsansvarig är den som ensam eller till- sammans med andra bestämmer ändamålen med och medlen för behand- lingen av personuppgifter. I lagen används även andra begrepp, till vilka utredningen återkommer i det följande. Den nuvarande rättsliga regleringen... 87 Grundläggande krav på behandling av personuppgifter I 9 § läggs det fast vissa grundläggande krav på behandlingen av person- uppgifter. Den personuppgiftsansvarige skall se till att a) personuppgif- ter behandlas bara om det är lagligt, b) personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed, c) personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, d) personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, e) de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, f) inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen, g) de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella, h) alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen, och i) personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. För behandlingen av personuppgifter för historiska, statistiska eller vetenskapliga ändamål gäller vissa särregler. Enligt 9 § andra och tredje styckena gäller att behandling för sådana ändamål inte skall anses oför- enlig med de ändamål för vilka uppgifterna samlades in och att perso- nuppgifter insamlade för sådana ändamål får bevaras än vad som sägs i punkten i) ovan. Dock gäller att uppgifterna inte får bevaras än som behövs för dessa ändamål. I fjärde stycket sägs att personuppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål får användas för att vidta åtgärder i fråga om den registrerade bara om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Den sistnämnda bestämmelsen gäller dock inte för en myndig- hets användning av person uppgifter i allmänna handlingar (8 § andra stycket sista meningen). Myndigheterna får alltså trots bestämmelsen i 9 § fjärde stycket använda information i allmänna handlingar för att vidta åtgärder beträffande enskilda. Övriga bestämmelser i personuppgiftsla- gen skall däremot följas när en myndighet på detta sätt återanvänder per- sonuppgifter, t.ex. bestämmelsen i 9 § första stycket d om att perso- nuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (a. prop. 88 Den nuvarande rättsliga regleringen... När behandling av personuppgifter är tillåten Lagens 10 § innehåller en uttömmande uppräkning av de fall då person- uppgifter får behandlas. Om känsliga personuppgifter, uppgifter om lag- överträdelser m.m. eller personnummer skall behandlas, måste behand- lingen dessutom vara tillåten i enlighet med 13–22 §§. Innebär behand- lingen att personuppgifter överförs till tredje land, dvs. till stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska samarbetsområdet, måste också 33–35 §§ följas. Enligt 10 § är behandling av personuppgifter t illåten endast om den registrerade, dvs. den som en personuppgift avser, har lämnat sitt sam- tycke till behandlingen eller om behandlingen är nödvändig för att a)ett avtal med den registrerade skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träf- fas, b)den personuppgiftsansvarige skall kunna fullgöra en rättslig skyl- dighet, c)vitala intressen för den registrerade skall kunna skyddas, d)en arbetsuppgift av allmänt intresse skall kunna utföras, e)den personuppgiftsansvarige eller en tredje man till vilken perso- nuppgifter lämnas ut skall kunna utföra en arbetsuppgift i sam- band med myndighetsutövning, eller f)ett ändamål som rör ett berättigat intresse hos den personuppgifts- ansvarige eller hos en sådan tredje man till vilken personuppgif- terna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Med samtycke avses enligt 3 § varje slag av frivillig, särskild och otve- tydig viljeyttring genom vilken den registrerade, efter att ha fått infor- mation, godtar behandling av personuppgifter som rör honom eller hen- ne. Med begreppet tredje man avses i personuppgiftslagen någon annan än den registrerade, den personuppgiftsansvarige, personuppgiftsombu- det, dvs. den fysiska person som, efter förordnande av den personupp- giftsansvarige, självständigt skall se till att personuppgifter behandlas på ett korrekt och lagligt sätt, personuppgiftsbiträdet , varmed förstås den som behandlar personuppgifter för den personuppgiftsansvariges räk- ning, och sådana personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har befogenhet att behandla per- sonuppgifter. Enligt 11 § får personuppgifter inte behandlas för ändamål som rör direkt marknadsföring, om den registrerade hos den personupp- Den nuvarande rättsliga regleringen... 89 giftsansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling. I 12 § finns bestämmelser om återkallelse av samtycke m.m. Enligt första stycket har den registrerade – i de fall då behandling av person- uppgifter bara är t illåten när den registrerade har lämnat sitt samtycke enligt 10, 15 eller 34 § – rätt att när som helst återkalla ett lämnat sam- tycke. Ytterligare personuppgifter om den registrerade får därefter inte behandlas. Behandlingen av redan insamlade uppgifter får däremot trots återkallelsen fortsätta i enlighet med det ursprungligen lämnade sam- tycket, men uppgifterna får således inte t.ex. uppdateras eller komplette- ras (a. prop. s. 123). I andra stycket sägs att en registrerad utöver vad som följer av första stycket och 11 § inte har rätt att motsätta sig sådan behandling av personuppgifter som är t illåten enligt person uppgiftslagen. Förbud mot behandling av känsliga personuppgifter För behandlingen av känsliga personuppgifter gäller särskilt restriktiva regler. I 13 § finns ett principiellt förbud mot att behandla personupp- gifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, eller som rör hälsa eller sexualliv. Uppgifter av den angivna arten betecknas i lagen som känsliga personuppgifter (13 § andra stycket). Det är att notera att en del av det som enligt datalagen omfattas av särskilda regler – t.ex. uppgifter om att någon misstänks eller dömts för brott, att någon avtjä- nat straff eller undergått annan påföljd för brott, att någon varit föremål för tvångsingripanden enligt viss lagstiftning, att någon fått ekonomisk hjälp eller vård inom , att någon varit föremål för åtgärd enligt utlänningslagen eller uppgifter om någon som utgör omdöme eller annan värderande upplysning – inte omfattas av bestämmelserna om känsliga uppgifter i personuppgiftslagen. I förarbetena (a. prop. s. 68) uttalar regeringen att den gjort bedöm- ningen att det skulle vara oförenligt med EG-direktivet att utvidga områ- det för direktivets bestämmelser om känsliga uppgifter till att omfatta allt det som regleras av särskilda regler enligt datalagen. Att göra så skulle, menade regeringen, hindra det fria flödet av sådana uppgifter in- om EU. Regeringen framhåller att denna bedömning – som även gjorde – inte verkar ha ifrågasatts av någon remissin- stans. 90 Den nuvarande rättsliga regleringen... Undantag från förbudet mot behandling av känsliga personuppgifter Förbudet i 13 § mot behandling av känsliga personuppgifter är emeller- tid inte undantagslöst (14 §). I 15–19 §§ regleras under vilka omständig- heter en behandling av känsliga uppgifter trots förbudet är t illåten. Enligt 15 § får känsliga personuppgifter behandlas, om den registre- rade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna. Vidare får enligt 16 § känsliga personuppgifter behandlas om be- handlingen är nödvändig för att a) den person uppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbets- rätten, b) den registrerades eller någon annans vitala intressen skall kun- na skyddas och den registrerade inte kan lämna sitt samtycke, eller c) rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. Uppgifter som behandlas med stöd av a) får lämnas ut till tredje man bara om det inom arbetsrätten finns en skyldighet för den personupp- giftsansvarige att göra det eller den registrerade uttryckligen har sam- tyckt till utlämnandet. Vidare får ideella organisationer med politiskt, filosofiskt, religiöst eller fackligt syfte inom ramen för sin verksamhet behandla känsliga per- sonuppgifter om organisationens medlemmar och sådana andra personer som på grund av organisationens syfte har regelbunden kontakt med den. Känsliga personuppgifter får dock lämnas ut till tredje man bara om den registrerade uttryckligen har samtyckt till det. Detta framgår av 17 §. För hälso- och sjukvårdsändamål får, enligt 18 §, känsliga person- uppgifter behandlas, om behandlingen är nödvändig för a) förebyggande hälso- och sjukvård, b) medicinska diagnoser, c) vård eller behandling, eller d) administration av hälso- och sjukvård. Vidare får den som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och har tystnadsplikt alltid behandla känsliga personuppgifter som omfattas av tystnadsplikten. Detsamma gäller den som inte är verksam inom hälso- och sjukvårdsområdet men är underkastad en liknande tystnadsplikt och som har fått känsliga personuppgifter från verksamhet inom hälso- och sjukvården. I 19 § regleras när känsliga personuppgifter – utan samtycke från den registrerade – får behandlas för forsknings- och statistikändamål. I för- arbetena (prop. 1997/98:44 s. 127) sägs att med forskning i första hand avses den verksamhet som bedrivs vid etablerade institutioner, såsom universitet och högskolor eller privata, väletablerade forskningsinstitut. Även sådana epidemiologiska undersökningar som utförs vetenskapligt omfattas. Släktforskning faller utanför, liksom annan forskning eller ut- redningsverksamhet av mera privat natur. Det måste finnas ett samhäll- sintresse av att forskningen bedrivs, och den måste vara vetenskaplig i Den nuvarande rättsliga regleringen... 91 Med statistik avses numeriska sammanställningar av elementära observationer som kan hänföras till händelser, flöden eller tillstånd och verksamhet för att göra sådana sammanställningar. Enligt 19 § första stycket får känsliga personuppgifter behandlas för forsknings- och statistikändamål, om behandlingen är nödvändig på sätt som sägs i 10 § och om samhällsintresset av det forsknings- eller statis- tikprojekt där behandlingen ingår klart överväger den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Med statistikprojekt avses enligt förarbetena (a. prop. s. 127) även sådan statistikframställning som sker återkommande, t.ex. , dvs. vad som brukar kallas en statistikprodukt. Det är i första hand den personuppgiftsansvarige som har att på eget ansvar göra denna avvägning. Om behandlingen inom ett aktuellt projekt godkänts av en forskningsetisk kommitté, behöver dock den person upp- giftsansvarige inte göra någon egen avvägning. Då skall nämligen, enligt 19 § andra stycket, förutsättningarna enligt avvägningsnormen anses uppfyllda. Enligt 19 § tredje stycket får personuppgifter lämnas ut för att an- vändas i sådana projekt som avses i första stycket, om inte något annat följer av regler om sekretess och tystnadsplikt. Bestämmelsen för med sig att den forskare eller statistiker som i enlighet med bestämmelsen hämtar in personuppgifter från något annat håll än de registrerade inte automatiskt behöver informera de registrerade om sin behandling (jfr 24 § andra stycket). I 20 § finns ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om ytterligare undantag från förbudet i 13 § mot behandling av känsliga personuppgifter, om det behövs med hänsyn till ett viktigt allmänt intresse. Några generella sådana föreskrifter har ännu inte utfärdats. Däremot kan nämnas bl.a. att regeringen i Rättsinformationsförordningen (1999:175) har föreskrivit om visst undantag från förbudet att behandla personuppgifter som avslöjar politiska åsikter (22 §). Enligt 21 § är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brott- mål, straffprocessuella tvångsmedel eller administrativa frihetsberövan- den. Som exempel på administrativa frihetsberövanden nämns i förarbe- tena (a. prop. s. 76) tvångsingripanden enligt lagen (1990:52) med sär- skilda bestämmelser om vård av unga, lagen (1988:870) om vård av missbrukare i vissa fall, lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, lagen (1967:940) angående omsorger om vissa psykiskt utvecklingsstörda och utlänningslagen (1989:529). 92 Den nuvarande rättsliga regleringen... SOU 1999:109 Regeringen eller den myndighet som regeringen bestämmer får dock meddela föreskrifter om undantag från förbudet i 21 § (21 § tredje stycket). Vidare får regeringen eller, om regeringen så bestämmer, till- synsmyndigheten i enskilda fall besluta om undantag från förbudet. Som exempel på fall där det kan vara befogat med undantag nämns i förar- betena (a. prop. s. 75 f.) den behandling av uppgifter om t.ex. brottmåls- domar som privata vård- och behandlingshem kan behöva utföra för att vårda och behandla den dömde på ett effektivt sätt. Datainspektionen har med stöd av regeringens bemyndigande (8 § personuppgiftsförordningen, 1998:1191) meddelat föreskrifter om un- dantag från förbudet för andra än myndigheter att behandla person gifter om lagöverträdelser m.m. (1998:3). skrifterna sådana personuppgifter behandlas om behandlingen är vändig för att fullgöra en föreskrift på socialtjänstområdet (1 § a).