sou · GNB3109 · 2000-01-01 00:00:00 — Uppgifter om personnummer får som huvudregel behandlas endast om samtycke lämnats (22 §). Sådana uppgifter får dock behandlas även när det är klart motiverat med hänsyn till a) ändamålet med behandlingen, b) vikten av en säker identifiering, eller c) något annat beaktansvärt skäl. Information till den registrerade I 23–27 §§ finns bestämmelser om information till den registrerade. Enligt 23 § skall den personuppgiftsansvarige i samband med att uppgifter om en person samlas in från personen själv, självmant lämna den registrerade information om behandlingen av uppgifterna. När uppgifterna samlas in från någon annan källa än den registrera- de, skall den personuppgiftsansvarige självmant lämna den registrerade information om behandlingen av uppgifterna när de registreras (24 §). Är uppgifterna avsedda att lämnas ut till tredje man, be höver informa- tionen dock inte ges förrän uppgifterna lämnas ut . In- formation enligt 24 § behöver dock inte lämnas, om det finns bestämmel- ser om registrerandet eller utlämnandet i en lag eller någon annan för- fattning (24 § andra stycket). Enligt samma lagrum behöver information inte heller lämnas om detta visar sig omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall dock information lämnas senast i samband med att så sker. Den nuvarande rättsliga regleringen... 93 I 25 § anges vilken information som skall lämnas självmant. Infor- mationen enligt 23 eller 24 § skall omfatta uppgift om den personupp- giftsansvariges identitet, uppgift om ändamålen med behandlingen, och all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Enligt 26 § är den personuppgiftsansvarige skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om per- sonuppgifter som rör den sökande behandlas eller ej. Behandlas sådana uppgifter skall skriftlig information lämnas också om vilka uppgifter om den sökande som behandlas, varifrån dessa uppgifter har hämtats, än- damålen med behandlingen, och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. I 26 § andra stycket finns det be- stämmelser dels om den registrerades ansökan om information, dels om efter ansökan som den personuppgiftsansvarige skall lämna informationen. I 26 § tredje stycket finns vissa undantagsbestäm- melser beträffande personuppgifter i löpande text. Med mottagare avses (3 §) den till vilken personuppgifter lämnas ut. När personuppgifter lämnas ut för att en myndighet skall kunna utföra sådan tillsyn, kontroll eller revision som den är skyldig att sköta, anses dock inte myndigheten som mottagare. I 27 § finns en bestämmelse om undantag från informationsskyldig- heten enligt 23–26 §§ vid sekretess och tystnadsplikt. I den utsträckning det är särskilt föreskrivet i lag eller annan författning eller i beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade gäller inte bestämmelserna i 23–26 §§. En personupp- giftsansvarig som inte är en myndighet får därvid i motsvarande fall som avses i sekretesslagen (1980:100) vägra att lämna ut uppgifter till den registrerade. Regeringen eller den myndighet som regeringen bestämmer får med- dela närmare föreskrifter om bl.a. vilken information som skall lämnas till registrerade och hur lämnandet av information skall gå till (50 § e). Regeringen har i 13 § 5 personuppgiftsförordningen bem yndigat Datain- spektionen att meddela föreskrifter om vilken information som skall läm- nas till registrerade och hur informationen skall lämnas. Några generella sådana föreskrifter har emellertid ännu inte utfärdats. 94 Den nuvarande rättsliga regleringen... Enligt 28 § skall den personuppgiftsansvarige på begäran av den regist- rerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har meddelats med stöd av lagen. Det föreskrivs också skyldighet att under vissa förutsättningar underrätta tredje man som fått del av så- dana uppgifter, om den vidtagna åtgärden. Med blockering (av perso- nuppgifter) avses en åtgärd som vidtas för att personuppgifterna skall vara förknippade med information om att de är spärrade och om anled- ningen till spärren och för att personuppgifterna inte skall lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen (3 §). I 29 § finns bestämmelser om automatiserade beslut, dvs. beslut som har rättsliga följder eller annars har märkbara verkningar för en fysisk per- son och som grundas enbart på automatiserad behandling av sådana per- sonuppgifter som är avsedda att bedöma egenskaper hos personen. Som exempel på sådana uppgifter nämns i förarbetena (a. prop. s. 88) ar- betsprestationer, kreditvärdighet, pålitlighet och uppträdande. Enligt be- stämmelsens första stycke skall den som berörs av ett sådant beslut ha möjlighet att på begäran få beslutet omprövat av någon person. I andra stycket sägs att var och en som varit föremål för ett automatiserat beslut har rätt att på ansökan få information från den personuppgiftsansvarige om vad som har styrt den automatiserade behandling som lett fram till beslutet. Informationsskyldigheten avser således bara vad som styrt be- handlingen, dvs. den tekniska processen, och inte t.ex. närmare informa- tion om bankers regler eller gränsvärden för kreditgivning (a. prop. s. 135). Säkerheten vid behandling och överförande av personuppgifter till tredje land I 30–32 §§ finns bestämmelser om säkerheten vid behandling och i 33– 35 §§ regleras överföring av personuppgifter till tredje land. Den som arbetar med personuppgifter får bara behandla dessa i en- lighet med instruktioner från den personuppgiftsansvarige (30 §). Om det i lag eller annan författning finns särskilda bestämmelser om be- handlingen av personuppgifter i det allmännas verksamhet i sådana frå- gor, skall dessa dock gälla. SOU 1999:109 Den nuvarande rättsliga regleringen... 95 Enligt 31 § skall den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de person uppgifter som be- handlas. Åtgärderna skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandling- en av personuppgifterna, och hur pass känsliga de behandlade uppgifter- na är. Enligt 50 § b får regeringen eller m yndighet som regeringen bestäm- mer meddela närmare föreskrifter om vilka krav som ställs på den perso- nuppgiftsansvarige vid behandlingen av personuppgifter. Regeringen har i personuppgiftsförordningen (13 §) bem yndigat Datainspektionen att meddela sådana föreskrifter. Några generella sådana föreskrifter har emellertid ännu inte utfärdats. I 33 § finns ett förbud mot överföring av personuppgifter till tredje land. Detta förbud är emellertid inte undantagslöst. I 34 § personupp- giftslagen finns en uppräkning av i vilka fall det är t illåtet att föra över personuppgifter till tredje land. Bl.a. får så ske om den registrerade har lämnat sitt samtycke till överföringen. Vidare kan ytterligare undantag från förbudet göras med stöd av 35 §. Enligt den bestämmelsen får rege- ringen eller den myndighet som regeringen bestämmer (Datainspektionen, 11 § personuppgiftsförordningen) bl.a. meddela före- skrifter om undantag från förbudet i 33 §, om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. I bl.a. förordningen (1995:1386) med instruktion för Patent- och re- gistreringsverket och i Rättsinformationsförordningen (1999:175) finns särskilda bestämmelser som tillåter att person uppgifter får lämnas ut till tredje land. I en lagrådsremiss föreslår regeringen att person- uppgiftslagens bestämmelse om förbud mot överföring av personuppgif- ter till tredje land ändras. Enligt förslaget skall överföring av personupp- gifter till tredje land inte längre vara förbjuden, om det tredje landet har en adekvat skyddsnivå för skyddet av person uppgifter. Enligt personuppgiftslagen är tillsynsmyndigheten den myndighet som regeringen utser för att utöva tillsyn. Enligt 2 § person uppgiftsförord- ningen är Datainspektionen tillsynsmyndighet enligt person uppgiftsla- gen. Något tillståndsförfarande – motsvarande det som finns i datalagen – förekommer inte i personuppgiftslagen. Däremot föreskrivs i 36 § att 96 Den nuvarande rättsliga regleringen... SOU 1999:109 behandling av personuppgifter som är helt eller delvis automatiserad omfattas av anmälningsskyldighet. Den personuppgiftsansvarige skall göra skriftlig anmälan till tillsynsmyndigheten innan en sådan behandling genomförs. Regeringen eller den myndighet som regeringen bestämmer (Datainspektionen, 6 § personuppgiftsförordningen) får dock meddela föreskrifter om undantag från anmälningsskyldigheten för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt in- trång i den personliga integriteten. I personuppgiftsförordningen har re- geringen (3–5 §§) föreskrivit om undantag från anmälningsskyldigheten enligt personuppgiftslagen. Bl.a. gäller anmälningsskyldigheten inte för behandling av personuppgifter som regleras genom särskilda föreskrifter i lag eller förordning (3 § 3). Vidare behöver anmälan inte göras, om den person uppgiftsansvarige till tillsynsmyndigheten har anmält att ett person uppgiftsombud har ut- setts och vem denne är (37 §). Även entledigande av ett personupp- giftsombud skall anmälas till tillsynsmyndigheten. Om det på grund av entledigande inte längre finns något anmält personuppgiftsombud, måste den personuppgiftsansvarige enligt 36 § anmäla de behandlingar som påbörjas därefter. I förarbetena (a. prop. s. 140) sägs att ett personuppgiftsombud kan vara en anställd hos den personuppgiftsansvarige, men att ombudet då måste ges en sådan ställning att befogenheterna som personuppgiftsom- bud kan utövas på ett självständigt sätt i förhållande till arbetsgivaren. Ett anlitat personuppgiftsbiträde eller någon anställd hos biträdet kan utses till personuppgiftsombud under förutsättning att den utsedde ges förutsättningar att utöva sitt uppdrag självständigt. Däremot kan en per- sonuppgiftsansvarig inte utse sig själv till personuppgiftsombud. I per- sonuppgiftsombudets självständiga ställning ligger vidare att personupp- giftsombudet skall ha tillräckliga kvalifikationer och kunskaper för att kunna utföra sina uppgifter. Enligt 38 § skall personuppgiftsombudet ha till uppgift att självstän- digt se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed samt påpeka eventuella brister för honom eller henne. Har ombudet anledning att misstänka att den personuppgiftsansvarige bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och vidtas inte rättelse så snart det kan ske efter påpekande, skall ombudet anmäla förhållandet till tillsynsmyndigheten. Personuppgiftsombudet skall även i övrigt sam- råda med tillsynsmyndigheten vid tveksamheter om hur de bestämmelser som gäller för behandlingen skall tillämpas. Vidare skall personuppgiftsombudet föra en förteckning över de be- handlingar som den personuppgiftsansvarige genomför och som skulle ha omfattats av anmälningsskyldighet om ombudet inte hade funnits Den nuvarande rättsliga regleringen... 97 (39 §) samt skall ombudet hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga (40 §). I 41 § föreskrivs om obligatorisk anmälan av särskilt integritetskäns- liga behandlingar. Enligt bestämmelsen får regeringen meddela före- skrifter om att sådana behandlingar av personuppgifter som innebär sär- skilda risker för otillbörligt intrång i den personliga integriteten skall för förhandskontroll anmälas till tillsynsmyndigheten i förväg. Sådana föreskrifter finns bl.a. i 9 § personuppgiftsförordningen och i 2 § förordningen (1999:105) om behandling av personuppgifter vid skatte- myndigheters medverkan i brottsutredningar. Om regeringen har medde- lat sådana föreskrifter gäller inte undantaget från anmälningsskyldighe- ten enligt 37 §, dvs. att anmälan inte behöver göras om det finns ett per- sonuppgiftsombud. Upplysningar till allmänheten om behandlingar som inte anmälts Enligt 42 § skall den personuppgiftsansvarige till var och en som begär det skyndsamt och på lämpligt sätt lämna upplysningar om sådana au- tomatiserade eller andra behandlingar av personuppgifter som inte har anmälts till tillsynsmyndigheten. Den person uppgiftsansvarige är dock inte skyldig att lämna ut sekretessbelagda uppgifter om vilka säker- hetsåtgärder som har vidtagits. En personuppgiftsansvarig som inte är myndighet får därvid i motsvarande fall som avses i sekretesslagen (1980:100) vägra att lämna ut uppgifter. I 32 och 43–47 §§ finns bestämmelser om t illsynsmyndighetens befo- genheter. I 32 § sägs att tillsynsmyndigheten i enskilda fall får besluta om vilka säkerhetsåtgärder som den personuppgiftsansvarige skall vidta. har rätt att för sin tillsyn på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och dokumenta- tion av behandlingen och säkerheten vid denna samt tillträde till sådana lokaler som har anknytning till behandlingen (43 §). Om myndigheten därvid inte kan få tillräckligt underlag för att kon- statera att behandlingen är laglig, får myndigheten vid vite förbjuda den personuppgiftsansvarige att behandla personuppgifter på annat sätt än genom att lagra dem (44 §). Detsamma gäller om det konstaterats att personuppgifter behandlas eller kan komma att behandlas på ett olagligt 98 Den nuvarande rättsliga regleringen... sätt och det inte går att åstadkomma rättelse på något annat sätt eller om saken är brådskande (45 §). Om saken är brådskande, får tillsynsmyn- digheten också meddela ett tillfälligt beslut om vite innan den perso- nuppgiftsansvarige fått t illfälle att yttra sig (46 §). Det tillfälliga beslutet skall då omprövas när yttrandetiden gått ut. Enligt 47 § får tillsynsmyndigheten hos länsrätt ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt skall utplånas. beslut enligt personuppgiftslagen om annat än fö- reskrifter får överklagas hos allmän förvaltningsdomstol. Myndigheten får dock bestämma att beslutet skall gälla även om det överklagas (51 §). Prövningstillstånd krävs vid överklagande till kammarrätt. I 48 § föreskrivs att den personuppgiftsansvarige skall ersätta den regist- rerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen vid behandling av per- sonuppgifter har orsakat. Ersättningsskyldigheten kan dock i den ut- sträckning det är skäligt jämkas om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. I 49 § finns straffbestämmelser. Den som uppsåtligen eller av oaktsam- het lämnar osanna uppgifter i information eller anmälan enligt lagen, i strid med lagens bestämmelser behandlar känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. eller för över person uppgifter till tredje land eller låter bli att göra en anmälan om behandling till till- synsmyndigheten straffas med böter eller fängelse . Om brottet är grovt får dömas till fängelse i högst . I den tidigare nämnda lagrådsremissen föreslår re- geringen också viss ändring av personuppgiftslagens straffbestämmelser. Enligt förslaget skall ansvar för en gärning inte dömas ut i ringa fall. SOU 1999:109 Den nuvarande rättsliga regleringen... 99 Som framgått av det föregående får regeringen eller den myndighet som regeringen bestämmer enligt 50 § meddela närmare föreskrifter om bl.a. i vilka fall behandling av personuppgifter är t illåten, vilka krav som ställs på den personuppgiftsansvarige vid behandling av personuppgifter, och i vilka fall användning av person uppgifter är t illåten. Personuppgiftslagen har, som har nämnts, trätt i kraft , då datalagen upphört att gälla. Enligt personuppgifts- lagens övergångsbestämmelser skall för sådana behandlingar som påbör- jats personuppgiftslagen tillämpas först . Detsamma gäller behandling av nya personuppgifter om behand- ling för ändamålet påbörjats vid ikraftträdandet. Vissa bestämmelser i personuppgiftslagen tillämpas inte på påbörjad behandling av personuppgifter förrän . Dessa bestämmelser tillämpas inte heller på pågående lagring av person uppgifter för historisk forskning förrän uppgifterna börjar behandlas på något annat sätt. Särskilda registerförfattningar har blivit alltmer vanliga. En registerförfattning innebär en specialreglering i förhållande till perso- nuppgiftslagen i syfte att komplettera den eller i vissa delar ersätta den. En särskild författning anses under vissa förutsättningar innebära en bättre garanti för utformning av integritetsskyddet i särskilt känsliga register. Sådan särskild författningsreglering av personregister har skett utifrån det principiella ställningstagandet att personregister med ett stort antal registrerade personer och ett integritetskänsligt innehåll bör vara reglerade i lag (prop. 1990/91:60 s. 56 ff. och bet. 1990/91:KU11 s. 11). Registerförfattningar finns inom flera områden och omfattar bl.a. behandling av personuppgifter om totalförsvarspliktiga, skattere- gister, hälsodata- och vårdregister, socialförsäkringsregister och polisre- gister. Angående behovet av registerförfattningar se avsnitt 6.1.1. Där redo- visas i betänkandet Behandling av personupp- gifter om totalförsvarspliktiga (SOU 1997:101) s. 103 f., Datalagskom- mitténs i betänkandet Integritet – Offentlighet – Informationsteknik (SOU 1997:39) s. 208 ff. och regeringens i prop. 1997/98:44 Person- uppgiftslag (s. 40 f), resonemang i frågan. 100 Den nuvarande rättsliga regleringen... 4.3.8Arkivlagen (1990:782) Arkivlagen (1990:782) innehåller bestämmelser om m yndigheternas och vissa andra organs arkiv samt om arkivmyndigheterna. Enligt 3 § bildas en myndighets arkiv enbart av de allmänna handlingarna från myndig- hetens verksamhet samt av sådana handlingar som avses i 2 kap. 9 § tryckfrihetsförordningen (vissa minnesanteckningar och utkast eller kon- cept) och som myndigheten beslutar skall tas om hand för arkivering. Handlingar får enligt 10 § arkivlagen gallras. Vid gallringen skall dock beaktas att arkiven utgör en del av kulturarvet och att det arkiv- material som återstår skall kunna tillgodose de ändamål som anges i 3 § arkivlagen, nämligen att tillgodose rätten att ta del av allmänna hand- lingar, rättskipningens och förvaltningens behov av information samt forskningens behov. Om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller i förordning gäller dessa bestämmelser. Utredningen återkommer i avsnitt 6.13 till bl.a. arkivlagens bestäm- melser om bevarande och gallring. och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ålägger EU:s medlemsstater att genom lagstiftning eller på annat sätt ge föreskrifter av det innehåll som framgår av direktivet. Som framgått av avsnitt 4.3.6 gäller i personupp- giftslagen, vars bestämmelser i huvudsak följer direktivets text och dis- position. Dataskyddsdirektivet innebär inte att man skall anta en gemensam personuppgiftslag för hela EU. Ett direktiv är endast bindande i fråga om det resultat som skall uppnås och överlämnar åt medlemsländerna att själva välja form och metod för detta. Direktivet utgör endast den ram inom vilken medlemsländerna skall införliva de principer som fastställts i direktivet. Det förekommer att ett EG-direktiv är ett s.k. minimidirektiv, dvs. att det innehåller endast minimibestämmelser. Medlemsstaterna måste då kunna garantera att minimiskyddet enligt EG-direktivet alltid uppfylls men det är tillåtet att upprätthålla eller införa regler som innebär ett starkare skydd för de aktuella intressena. Är det inte fråga om ett sådant Den nuvarande rättsliga regleringen... 101 minimidirektiv måste medlemsstaterna kunna garantera att varken strängare eller mildare nationella bestämmelser gäller än vad som följer av EG-direktivet. Enligt rådande uppfattning är EG:s datas kyddsdirektiv inte ett mini- midirektiv (se bl.a. SOU 1997:39 s. 109 ff. och prop. 1997/98:44 s. 34). I stället kan man, som regeringen uttalar i prop. 1997/98:108 s. 34, säga att direktivet är av både minimi- och maximikaraktär. Det är alltså inte tillåtet att föreskriva – eller behålla – ett bättre eller sämre skydd för den personliga integriteten vid behandling av personuppgifter eller för det fria flödet av sådana uppgifter än som följer av direktivet. Däremot får medlemsstaterna inom den ram som ges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma. Dessa preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. I artikel 1.2 finns en uttrycklig bestämmelse som säger att medlemsstaterna får varken begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna med hänvisning till den enskildes integritetsskydd sådant det framgår av direktivet. Som framgått av avsnitt 4.3.6 har regeringen t.ex. ansett att det skulle vara oförenligt med EG-direktivet att i personuppgiftslagen ha en annan definition av känsliga personuppgifter än den som finns i EG-direktivet (prop. 1997/98:44 s. 68). Att göra så skulle, menade regeringen, hindra det fria flödet av sådana uppgifter inom Europeiska unionen och därmed strida mot direktivet. Det finns två syften med direktivet (artikel 1). Det ena syftet är att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter. Det andra syftet är att skapa förutsättningar för ett fritt flöde av personupp- gifter mellan medlemsstaterna. Artikel 2 innehåller definitioner av bl.a. personuppgifter och behand- ling av personuppgifter. Med personuppgifter – som ges en vid definition – avses varje upplysning som avser en identifierad eller identifierbar fy- sisk person. Med sådan förstås person som kan identifieras direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiolo- giska, psykiska, ekonomiska, kulturella eller sociala identitet. Med be- handling av personuppgifter avses varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bear- betning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgif- ter, sammanställning eller samkörning, blockering, utplåning eller förstö- ring (artikel 2 b). 102 Den nuvarande rättsliga regleringen... SOU 1999:109 Registerbegreppet används i EG-direktivet beträffande be- handling av personuppgifter. I övrigt används inte det begreppet utan det talas i stället om behandling av personuppgifter för bestämda ändamål. Huvudregeln är att direktivet gäller endast för sådan behandling av per- sonuppgifter som helt eller delvis företas på automatisk väg (artikel 3). Men direktivet gäller också för behandling av personuppgifter, om uppgifterna ingår i eller kommer att ingå i ett register. Direktivet är inte tillämpligt på sådan verksamhet som faller utanför gemenskapsrät- ten.