sou · GNB3105d1 · 2000-01-01 00:00:00 — Endast den som hade anmält sig till Datainspektionen och fått licens fick inrätta och föra personregister som omfattas av lagen. För att få inrätta och föra register som innehöll särskilt känsliga personuppgifter krävdes dessutom inspektionens tillstånd. Uppgifter ansågs vara sär skilt känsliga om de avslöjade att någon t.ex. misstänktes eller hade dömts för brott, uppbar socialt bistånd eller om uppgifterna berörde per sonens hälsotillstånd. Också uppgifter om ras, politisk uppfattning, religiös tro eller övertygelse i övrigt föll inom kategorin särskilt käns liga uppgifter. Endast myndigheter som enligt lag eller annan författning är skyldiga att ha sådana register fick normalt registrera denna typ av personuppgifter. Tillstånd från Datainspektionen krävdes också när personregister skulle innehålla omdömen om den registrerade eller upp gifter om personer som saknade särskild anknytning till den registeransvarige. Detsamma gällde då personuppgifter inhämtades från andra register och sambearbetades. 100 Behandling av personuppgifter m.m. Vid tillståndsprövningen skulle Datainspektionen ta ställning till om det fanns anledning att anta att registreringen av uppgifter medförde ett otillbörligt intrång i den registrerades integritet. Om så var fallet skulle tillstånd inte lämnas. Meddelade Datainspektionen tillstånd skulle in- spektionen också meddela föreskrif t om ändamålet med registret. Om det fanns särskilda skäl fick tillståndet begränsas till . I den mån det behövdes för att förebygga otillbörligt intrång i personlig integritet fick inspektionen också meddela föreskrifter om t.ex. vilka uppgifter som fick ingå i registret, de bearbetningar av personuppgifter som fick göras med hjälp av automatisk databehandling, bevarande och gallring av uppgifter samt kontroll och säkerhet. I vissa fall behövdes inte tillstånd från Datainspektionen trots att registren innehöll sådana känsliga uppgifter som nämnts ovan. Person- register vars inrättande beslutats av eller regeringen (s.k. stats- maktsregister) var exempelvis undantagna från tillstånds plikt. Enligt datalagen är den registeransvarig för vars verksamhet ett per son- register förs, om han eller hon förfogar över registret. Såväl fysiska personer som företag och myndigheter kan vara registeransvariga. Den registeransvarige är skyldig att se till att personregister inrättas och förs så att otillbörligt intrång inte sker i den registrerades personliga inte- gritet. Han eller hon skall även se till att registret förs för sitt ändamål samt att uppgifterna behandlas i överensstämmelse med ändamålet och i enlighet med lag och andra föreskrifter. Är någon uppgift oriktig eller missvisande skall den rättas, ändras eller uteslutas om det inte saknas anledning att anta att otillbörligt in- trång i den registrerades integritet skall uppkomma. Likaså skall den registeransvarige se till att en ofullständig personuppgift kompletteras för att förebygga otillbörligt integritets intrång eller rättsförlust för den enskilde. Vidare skall den registeransvarige på begäran av en enskild underrätta vederbörande om innehållet i de personuppgifter om honom eller henne som ingår i registret (registerutdrag). Om registret inte inne- håller några per sonuppgifter om den enskilde skall han eller hon i stället underrättas om den saken. Om den enskilde lider skada av att oriktiga eller missvisande uppgifter om honom eller henne har behandlats i register, så skall den registeransvarige ersätta skadan. Den register- ansvarige kan även dömas till straff om han eller hon inte följer sina åligganden enligt datalagen. Behandling av personuppgifter m.m. 101 Datainspektionen utövar tillsyn över att automatisk databehandling inte medför otillbörligt intrång i den personliga integriteten. För detta än- damål har inspektionen tillträde till lokal där datautrustning finns samt rätt att föranstalta om körning av datamaskin. Datainspektionen kan för- bjuda fortsatt förande av register eller återkalla ett meddelat till stånd. Datainspektionen kan dock inte meddela sådana beslut om registren i fråga är statsmaktsregister. Med anledning av att dataskyddsdirektivet skulle antas, beslutade rege- ringen att tillsätta . Kommitténs uppgift var att göra en total revision av datalagen och utreda på vilket sätt di- rektivet skulle införlivas i svensk rätt. Uppdraget redo visades i betänk- andet Integritet – Offentlighet – Informationsteknik (SOU 1997:39). Personuppgiftslagen (1998:204) bygger i allt väsentligt på det förslag som lades fram i betänkandet. 2.4.1Allmänt om lagen och dess tillämpnings- område Dataskyddsdirektivet bygger på att själva hanteringen av personupp- gifter regleras. Personuppgiftslagen följer direktivets struktur och av vik- elser görs endast när det finns särskilda skäl för det. I likhet med direktivet reglerar personuppgiftslagen själva hanteringen av personupp- gifter och inte bara missbruk av sådana uppgifter. Det innebär att behandling av personuppgifter som inte sker med stöd av personupp- giftslagen är otillåten. I motiven (prop. 1997/98:44, s. 36 f.) terar regeringen dock att en framtida ordning där bara missbruket regleras är önskvärd, men en sådan ordning skall då föregås av ett EG-direktiv. Personuppgiftslagen är utformad så att den är teknikoberoende. Den tillämpas på all – helt eller delvis – automatiserad behandling av person- uppgifter. Dessutom är lagen tillämplig på behandling av uppgifter som ingår, eller är avsedda att ingå, i en strukturerad samling av personuppgifter vilka är tillgängliga för sökning eller samman ställ- ning enligt särskilda kriterier (5 §). Personuppgiftslagen är mer generell än dataskyddsdirektivet och omfattar även sådan verksamhet som faller utanför gemenskapsrätten. 102 Behandling av personuppgifter m.m. Personuppgiftslagen omfattar alltså, på samma sätt som datalagen, be- handling av personuppgifter hos bl.a. polisen och försvar et. Det är emellertid inte all behandling av uppgifter som omfattas av personuppgiftslagen. Behandling av uppgifter om juridiska personer om- fattas över huvud taget inte och sådana uppgifter utgör definitions- mässigt inte personuppgifter (3 §). Inte heller behandling som en fysisk person utför i verksamhet av rent privat natur omfattas av lagen, även om behandlingen avser personuppgifter (6 §). Dessutom undantas all be- handling av personuppgifter som skyddas av tryckfrihetsförord ningen (TF) och yttrandefrihetsgrundlagen eller som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande (7 §). Särreglering i lag eller förordning – bl.a. de särskilda register författ- ningarna – gäller enligt 2 § framför personuppgif tslagen. I 8 § anges dessutom särskilt att lagen inte får inskränka myndigheternas skyldighet att lämna ut personuppgifter enligt 2 kap. TF. I samma lagrum anges även att lagen inte heller hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkiv- myndighet. Dataskyddsdirektivet innehåller ett antal huvudregler som måste ingå i personuppgiftslagen. Ofta är dessa huvudregler och principer allmänt hållna i direktivet. För att kunna tillämpas av de person uppgifts- ansvariga har de preciserats och konkretiserats i personuppgiftslagen. Lagen innehåller dock inte några detaljbestämmelser som fyller ut de generellt hållna huvudreglerna. I stället överlämnas det åt regeringen och Datainspektionen att inom den ram som personuppgiftslagen drar upp göra nödvändiga precis eringar och konkretiseringar. Några av de mer centrala begreppen i personuppgiftslagen definieras i 3 § på följande sätt. Personuppgifter i lagens mening är all slags in- formation som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Det innebär att varken juridiska personer eller avlidna fysiska personer omfattas av lagens tillämpningsområde. Med behandling av personuppgifter avses varje åtgärd som vidtas beträffande uppgifterna, vare sig det sker på automatiserad väg eller inte, t.ex. insamling, lagring, bearbetning, inhämtande, utlämnande, samkörning eller förstö ring. Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för be handlingen av personuppgifter. Med samtycke avses varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller Behandling av personuppgifter m.m. 103 Lagen uppställer alltså inget krav på att sam tycke skall vara skriftligt eller på annat sätt formbundet. 2.4.3Förutsättningar för behandling av person- uppgifter Grundläggande krav (9 §) Enligt personuppgiftslagen skall personuppgifter alltid behandlas på ett korrekt och lagligt sätt samt i enlighet med god sed. De skall samlas in för särskilda, uttryck ligt angivna och berättigade ändamål. Efter in sam- lingen får uppgifterna inte behandlas för något ändamål som är ofören- ligt med det ändamål för vilket de samlades in, vilket bl.a. inne bär att uppgifterna inte får lämnas ut till annan om det är oförenligt med de ursprungliga ändamålen. Att ändamålen skall vara särskilda innebär att en alltför allmänt hållen ändamålsbeskrivning inte får godtas. Hur de- taljerad ändamålsbeskrivningen måste vara får avgöras i praxis och ge- nom föreskrifter från regeringen och Data inspektionen. Det anses inte oförenligt med de ursprungliga ändamålen att behandla upp gifterna för historiska, statistiska eller vetenskapliga ändamål. De behandlade uppgifterna måste vara riktiga och relevanta och inte alltför omfattande i förhållande till de ändamål för vilka de behandlas. Om det är nöd vändigt skall uppgifterna också vara aktuella. Uppfyller personuppgifterna inte kraven skall den personuppgiftsansvarige vidta alla rimliga åtgärder för att utplåna, blockera eller rätta uppgifterna. Personuppgifterna får inte heller sparas längre än nödvändigt med hän- syn till de ändamål för vilka uppgifterna behandlas. Därefter måste de avidentifieras eller förstöras. Eftersom personuppgiftslagen är se kundär till annan lagstiftning, får uppgifter emellertid inte avidentifieras eller på annat sätt förstöras om det strider mot bl.a. tryckfrihets för ordningens bestämmelser om allmänna handlingar. När behandling av personuppgifter är tillåten (10-12 §§) Enligt personuppgiftslagen är det tillåtet att behandla personuppgifter efter den registrerades samtycke. Återkallar den registrerade sitt sam- tycke får ytterligare personuppgifter om denne inte registreras. I vissa fall får dock personuppgifter behandlas trots att samtycke från den re- gistrerade saknas. En förutsättning i samtliga dessa fall är att behand- lingen är nödvändig för ändamålen. Här kan anmärkas att de flesta au to- matiserade bearbetningar av personuppgifter också kan utföras ma nuellt. Nödvändighetsrekvisitet har av tolkats så att 104 Behandling av personuppgifter m.m. personuppgifter får behandlas även i de fall det är faktiskt möjligt att ut- föra uppgiften på annat sätt, om förfarandet underlättas genom an- vändningen av automatisk databehandling (SOU 1997:39 s. 359). Personuppgifter får behandlas i samband med ett avtal med den re- gistrerade när det krävs för fullgörandet av avtalet eller när det behövs för att på den registrerades begäran vidta åtgärder innan avtalet träffas. Vidare får behandling utföras om det är nödvändigt för att den person- uppgiftsansvarige skall kunna fullgöra en rättslig skyldighet som åvilar honom eller henne. Personuppgifter får också behandlas för att skydda vitala intressen för den registrerade. Likaså får sådana uppgifter be hand- las om det är nödvändigt för att en arbets uppgift av allmänt intresse skall kunna utföras och för att den person uppgiftsansvarige, eller någon annan till vilken personuppgifter har lämnats ut, skall kunna utföra en arbetsuppgift i samband med myndighetsutövning. Slutligen får personuppgifter behandlas om en avvägning ger vid han- den att den personuppgiftsansvariges berättigade intresse av en be- handling väger tyngre än den registrerades intresse av skydd. Vid intres- seavvägningen jämställs med den personuppgiftsansvarige också så dana tredje män till vilka uppgiften lämnas ut. Förbud mot att behandla känsliga personuppgifter (13 §) I personuppgiftslagen återfinns dataskyddsdirektivets förbud i fråga om behandling av känsliga personuppgifter. Personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk över - tygelse samt medlemskap i fackförening får alltså inte behand las. Likaså är det förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. Undantag från förbudet (14-20 §§) Förbudet mot att behandla känsliga personuppgifter är inte undan tags- löst. Sådana uppgifter får liksom andra uppgifter behandlas efter den re- gistrerades samtycke. Till skillnad från när samtycke krävs i andra sam- manhang måste i fråga om känsliga personuppgifter samtycket emel - lertid vara uttryckligt, dvs. Även när den re gistrerade har offentliggjort känsliga uppgifter på ett tydligt sätt får de be handlas. Vidare får behandling utföras om den är nödvändig för att den person- uppgiftsansvarige skall kunna fullgöra sina skyldig heter eller utöva sina rättigheter inom arbetsrätten. I stort sett gäller det full görandet av alla skyldigheter och rättigheter för arbetsgivaren be träffande de anställda och deras organisationer. De uppgifter som behandlas under denna förutsättning får lämnas ut till tredje man endast om det inom Behandling av personuppgifter m.m. 105 arbetsrätten finns en uttrycklig skyldighet för den person uppgifts- ansvarige att göra det eller om den registrerade har samtyckt till utlämnandet. Förbudet mot att behandla känsliga personuppgifter gäller inte hel ler när behandlingen utförs inom ramen för ideella o rganisationers berät- tigade verksamhet med ett politiskt, filosofiskt, religiöst eller fackligt syfte. Behandlingen får bara avse uppgifter om medlemmar eller per- soner som organisationen på grund av sitt ändamål har regel bunden kontakt med. Utlämnande av sådana uppgifter till tredje man kräver den registrerades samtycke. Förbudet gäller inte om behandlingen rör uppgifter som är nöd vän- diga för att rätts liga anspråk skall kunna slås fast, göras gällande eller försvaras. Detta gäller när den personliga egenskap som faller in under definitionen av känsliga personuppgifter också är en förut sättning för att personen i fråga skall ha rätt till en förmån eller ha en rättslig skyl dighet gentemot någon annan. Som exempel kan nämnas rätten för en sjuk person att få försäkringsersättning eller skyldigheten för den som är medlem av att betala viss skatt. Ett ytterligare undantag från förbudet att behandla känsliga person- uppgifter är när den registrerade är rättsligt eller fysiskt förhindrad att lämna samtycke och behandlingen är nödvändig för att skyd da dennes eller någon annans vitala intressen. Vidare undantas behandling som är nödvändig med hänsyn till före byggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling samt administration av hälso- och sjukvård. Behandlas uppgifterna av någon som är yrkes- mässigt verksam inom hälso- och sjukvårdsområdet och som är underkastad tystnadsplikt, gäller förbudet inte heller. Slutligen un dan- tas behandling för forskning och sta tistik från förbudet. Regeringen eller den myndighet som regeringen bestämmer, dvs. Da- tainspektionen, får meddela föreskrifter om ytterligare undantag, om det behövs med hänsyn till ett viktigt allmänt intresse. Uppgifter om brott och användning av personnummer (21-22 §§) Vissa uppgifter som inte omfattas av definitionen av känsliga person- uppgifter är ändå sådana att behandlingen av dem regleras särskilt i personuppgiftslagen, liksom i dataskyddsdirektivet. Det är således för- bjudet för andra än myndigheter att behandla personuppgifter om lag- överträdelser, domar och säkerhetsåtgärder i brottmål. Rege ringen eller Datainspektionen har dock möjlighet att föreskriva undantag från för- budet, om det är befogat att behandlingen utförs av annan än myndig het och behandlingen står under tillfredsställande kontroll av en myndighet. 106 Behandling av personuppgifter m.m. Regeringen eller, om regeringen bestämmer det, Datainspektionen får dessutom föreskriva undantag från förbudet i enskilda fall. Regleringen i personuppgiftslagen om behandling av denna typ av uppgifter innebär ett betydande avsteg från datalagens bestämmelser, en - ligt vilka det krävdes synnerliga skäl för att annan än myndighet skulle få föra register med uppgift om att någon är misstänkt eller dömd för brott. Uppgifter om personnummer får behandlas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. 2.4.4Information och rättelse m.m. Personuppgiftslagen innehåller bestämmelser som tryggar den registre- rades rätt att dels kontrollera om behandling av personuppgifter om ho- nom eller henne pågår, dels begära rättelse av person uppgifter som har behandlats felaktigt. Information (23-27 §§) Personuppgiftslagens bestämmelser om informationsskyldighet gäller i första hand den information som den personuppgiftsansvarige själv mant har att lämna. Rätten att på begäran få ut uppgifter i allmänna handlingar följer av tryckfrihetsförordningen, dock att den rätten i vissa fall begränsas genom bestämmelser i sekretesslagen. Den personuppgiftsansvarige skall självmant lämna den registrerade information rörande behandlingen, när uppgifter om en person samlas in från denne själv. Har uppgifterna samlats in från en annan källa, skall den registrerade informeras när uppgifterna noteras eller, om avsikten med behandlingen är att lämna ut uppgifterna till tredje man, när uppgifterna lämnas ut . Informationen skall omfatta uppgifter om vem den personuppgiftsansvarige är, ändamålet med be- handlingen samt all övrig information som den registrerade behöver för att kunna ta tillvara sina rättigheter i samband med behandlingen. Endast sådana uppgifter som den registrerade inte redan känner till behö ver lämnas. Har uppgifterna hämtats in från tredje man behöver infor mation inte lämnas om det är omöjligt eller skulle inne bära en oproportionerligt stor arbetsinsats. Den personuppgiftsansvarige är vidare skyldig att efter ansökan, en gång per kalenderår, gratis informera om huruvida uppgifter som rör sökanden behandlas eller inte, ändamålet med behandlingen, vilka upp- gifter som behandlas, varifrån dessa kommer och till vem de lämnas ut. Behandling av personuppgifter m.m. 107 Information behöver emellertid inte lämnas be träffande personuppgifter som behandlas endast i löpande text som ännu inte har fått sin slut liga utformning eller som utgör minnesanteckningar, under förutsätt ning att uppgifterna inte har lämnats ut till tredje man eller – i fråga om uppgifter i löpande text – behandlingen inte har pågått . Inte heller behöver information lämnas om det i lag eller annan för fattning finns särskilda bestämmelser om registreringen eller utlämnandet av personuppgifter. Slutligen gäller bestämmelserna om informationsskyldighet inte om sekretess eller tystnadsplikt för upp- gifterna är föreskriven i förhållande till den registrerade. Rättelse m.m. (28 §) Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med den föreslagna personuppgiftslagen eller anknytande föreskrifter skall på begäran av den registrerade rättas, utplånas eller blockeras av den personuppgiftsansvarige. Med blockering avses varje åtgärd som kan vidtas för att de aktuella personupp gifterna i alla sammanhang skall vara förknippade med tydlig information om att de är spärrade och inte får lämnas ut till tredje man samt om an ledningen till spärren. Om felaktiga personuppgifter har lämnats till tredje man, skall denne i vissa fall underrättas om korrigeringsåtgärden, nämligen om den registrerade begär det eller om det behövs för att undvika mera betydande skada eller olägenhet för den regi strerade. Eftersom den personuppgiftsansvarige inte har någon skyldighet att hålla reda på till vem uppgifter lämnas ut och då uppgifter ibland kan lämnas till ett stort antal människor, innehåller bestämmelsen det undantaget att under- rättelse inte behöver ske om det är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Bestämmelser som avser att säkerställa att behandlingen av person upp- gifter sker på ett betryggande sätt finns i 30 och 31 §§ personuppgifts- lagen. Den personuppgiftsansvarige har ett stort ansvar för säkerheten. Bland annat får de personer som arbetar med personuppgifter behandla dessa endast efter den personuppgiftsansvariges instruktioner. Instruk- tionerna bör i vart fall vara utformade på ett sådant sätt att var och en som arbetar med personuppgifter skall veta vilka ändamålen är med behandlingen och att behandling som är oförenlig med dessa ändamål är för bjuden. För det allmännas verk samhet gäller att om det i annan lag- 108 Behandling av personuppgifter m.m. stiftning finns bestämmelser om säkerheten vid behandling av per- sonuppgifter, skall i stället de bestämmelserna tillämpas. Det gäller framför allt bestämmelser om tystnadsplikt och sekre tess. Den personuppgiftsansvarige har vidare ansvar för att tekniska och organisatoriska åtgärder vidtagits för att skydda de behandlade person- uppgifterna. Åtgärderna skall åstadkomma en lämplig säkerhets nivå med beaktande av de tekniska möjligheter som finns, kostnaden för att genomföra åtgärderna, riskerna med behandlingen och hur känsliga de behandlade uppgifterna är. Ett register som innehåller personuppgifter om ett stort antal personer ställer också ökade krav på säkerheten. Datainspektionen får enligt 45 § personuppgiftslagen förelägga den personuppgiftsansvarige att vidta skyddsåtgärder. Sådana föreläggan den får förenas med vite. 2.4.6Överföring av personuppgifter till tredje land Det är enligt 33 § personuppgiftslagen principiellt sett förbjudet att fö ra över personuppgifter till ett land som inte är medlem i EU (tredje land). Förbudet gäller både uppgifter som är under behandling och uppgifter som skall undergå behandling i det tredje landet. Från för budet finns undantag i 34 och 35 §§. Har den registrerade samtyckt till det, får uppgifter om denne föras över till tredje land. Det är också till låtet att föra över person uppgifter för användning enbart i en stat som har anslutit sig till dataskyddskonvention. Uppgifter får även i andra fall föras över till tredje land om be- handlingen är nödvändig för att fullgöra ett avtal – mellan den regi- strerade och den personuppgiftsansvarige eller mellan den personupp- giftsansvarige och tredje man – som är i den registrerades intresse eller för att på den registrerades begäran vidta åtgärder innan ett avtal träffas. Vidare får överföring ske om behandlingen är nödvändig för att kunna fastställa, göra gällande eller försvara rättsliga anspråk eller för att skydda vitala intressen för den registrerade. Regeringen får meddela föreskrifter om generella undantag från för- budet att föra över personuppgifter till tredje land. Sådana undantag bör bl.a. kunna gälla vissa angivna länder samt i fall då överföringen regleras i avtal som innehåller vissa standardklausuler till skydd för de registrerades rättigheter. Regeringen eller, om regeringen bestämmer det, Datainspektionen får också föreskriva undantag när det behövs med hänsyn till viktiga allmänna intressen eller om överföringen sker under sådana omständigheter att det finns tillräckliga garantier till skydd för de registrerades rättigheter. Dessutom får regeringen under vissa förut sätt- ningar besluta om undantag från förbudet i enskilda fall. Behandling av personuppgifter m.m. 109