sou · GNB3105d2 · 2000-01-01 00:00:00 — För att otillbörliga intrång i den personliga integriteten i största möjliga mån skall kunna undvikas i samband med behandling av personupp- gifter, är det viktigt att enskilda ges möjlighet till insyn i vad som finns registrerat om dem i olika register och databaser m.m. En sådan rätt till information är särskilt viktig för att enskilda skall kunna kräva rättelse av felaktiga uppgifter som berör dem. När förvalt ningsmyndigheter ändå behandlar uppgifter i strid med gällande regler, bör enskilda kunna få ersättning för skada och kränkning av den personliga integriteten. Av rättssäkerhetsskäl är det viktigt att myndigheternas beslut i frågor som rör rätten till infor mation och krav på att behandlade uppgifter är kor- rekta, kan överklagas av en skilda i den för förvaltningsbeslut gällan de ordningen. Vi har valt att i våra lagförslag samla bestämmelser om dessa rättig- heter för enskilda – dvs. information, rättelse, skadestånd och överkla- gande – i ett särskilt kapitel, för att markera vikten av att hänsyn tas till de registrerade och deras integritet. Vårt förslag: Personuppgiftslagens (1998:204) bestämmelser om in- formation som skall lämnas till registrerade efter ansökan, skall i huvudsak tillämpas vid behandling av personuppgifter inom skatte- förvalt ningen, exekutionsväsendet och . Information om i en databas förekommande elektroniska hand- lingar som hör till ett ärende och som den enskilde har tagit del av, behöver inte omfatta annat än upp gift om att handlingarna behandlas i databasen. Om den enskilde begär det skall dock informationen vara fullständig. 7.1.1Personuppgiftslagens bestämmelser om information Innehållet i bestämmelserna om information till den registrerade i per- sonuppgiftslagen har vi kortfattat redogjort för i avsnitt 2.4 och bestäm- melserna kommenteras även i förarbetena till personuppgiftslagen (prop. 1997/98:44 och betänkande SOU 1997:39). Av 23 § personuppgiftslagen framgår att den personuppgiftsansvari- ge självmant skall informera en enskild om behandling av uppgifter som samlas in från den enskilde själv. Den information som skall lämnas är uppgift om den personuppgiftsansvariges identitet, ändamålen med behandlingen samt övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter. Bestäm melsen har sin grund i artikel 10 i dataskyddsdirektivet och någon möjlighet – eller något skäl för – att inte låta bestäm melsen vara tillämplig på behandling av person- uppgifter i de för oss aktuella verksamheterna har vi inte funnit. Annorlunda är det med 24 § personuppgiftslagen, där det i enlighet med artikel 11 i dataskyddsdirektivet anges att den registrerade skall informeras även när uppgifter har samlats in från någon annan källa än honom själv. Sådan information behöver nämligen inte lämnas om det finns bestämmelser om registrerandet i en lag eller annan för fattning. När behandling av personuppgifter hos en myndighet regleras i särskild lagstiftning, med bestämmelser om vad som får registreras och hur uppgifterna i övrigt får hanteras, krävs såle des inte enligt personupp- giftslagen att sådan information ges. Vi har inte funnit skäl för att eller myndigheter inom skatteför valtningen och exeku- tionsverket trots detta skall lämna sådan information. Bestämmelsen bör således inte tillämpas på behandling enligt den av oss föreslagna lagstiftningen. En av de från integritetssynpunkt viktigaste bestämmelserna i data- skyddsdirektivet återfinns i artikel 12 a, och innebär att enskilda har rätt att få information av den personuppgiftsansvarige om personuppgifter som rör den sökande behand las eller inte. Om uppgifter behandlas skall information lämnas om vilka uppgifter det rör sig om, va rifrån uppgifterna har hämtats, ändamålen med behand lingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Bestämmelsen har sin motsvarighet i 26 § personuppgiftslagen, där en- skilda garanteras denna rätt till information efter ansökan. I nämnda paragraf anges även att information inte behöver lämnas om person- uppgifter i löpande text som inte har fått sin slutliga utformning när an- sökan gjordes eller som utgör minnesanteckning eller liknande, under förutsättning att uppgifterna inte har lämnats ut till tredje man. Be stäm- melsen i personuppgiftslagen bör vara tillämplig vid behandling av per- sonuppgifter enligt den av oss föreslagna lagstiftningen. I ett avseende har vi dock ansett att det finns skäl att ha särskilda regler om informa- tionsskyldigheten, nämligen i fråga om information om elektroniska handlingar (se avsnitt 7.1.3). Även 27 § personuppgiftslagen anser vi skall vara tillämplig på be- handling av personuppgifter enligt den av oss föreslagna lagstiftningen. Det innebär att om det i lag eller annan författning eller i beslut som har meddelats med stöd av författning särskilt har föreskrivits att upp gifter inte får lämnas ut till den registrerade, så gäller inte de ovan re dovisade bestämmelserna i personuppgiftslagen om information. Detta undantag från rätten till information är i många fall nödvändigt för att myndigheter skall kunna utföra sina arbetsuppgifter på ett ändamåls enligt sätt. Som exempel kan nämnas att en skattemyndighet måste ha möjlighet att behandla uppgifter inför en förestående revision, utan att dessa uppgifter kommer till den skattskyldiges kännedom. För behandling av personuppgifter i skatteförvaltningens och exe kutions- väsendets verksamheter föreslår vi att personuppgiftsansvaret skall fördelas så att en myndighet är personuppgiftsansvarig för den be- handling som ankommer på myndigheten (se avsnitt 5.2.2). Det innebär att det i fråga om information till registrerade som enligt 26 § person- uppgiftslagen skall lämnas av den personuppgiftsansvarige efter an- sökan, kan bli aktuellt att för dela informationsskyldigheten mellan flera myndigheter. För att undvika situationer där en enskild måste vända sig till såväl som samtliga regionala skatte- eller kronofogdemyndig- heter för att få full ständig information om all behandling inom skatte- förvaltningen eller exekutionsväsendet som rör honom eller hen ne, har vi övervägt möjligheten att ålägga den skatte- eller kronofogde myndighet hos vilken ansökan görs skyldighet att lämna fullständig in formation. Vi anser att det lämpligaste från de enskildas synpunkt vore att den som exempelvis vill ha information om personuppgifter rörande honom eller henne som behandlas i beskattningsdatabasen, vänder sig till sin regio- nala skattemyndighet. Förutom att detta normalt är den myndighet som den enskilde har lättast att komma i kontakt med, så är det vanligtvis den myndighet som registrerar uppgifter om den enskilde i samband med taxering eller liknande. Det har emellertid visat sig att de datasystem som används inte utan betydande merarbete från myndigheternas sida tillåter en sådan ord- ning. Det är t.ex. inte tekniskt möjligt för en skattemyndighet att kom ma åt uppgifter i samtliga de register som förs av andra skatte myndigheter. Enligt uppgift från är det möjligt att det skul le kunna ta så mycket som 80 årsarbetskrafter i anspråk inom skat teförvaltningen att fullgöra en sådan skyldighet innan de tekniska lös ningar som krävs för att på ett smidigt sätt hantera informa tionsöverföringen mellan myndigheter finns tillgängliga. Vi avstår därför från att lämna ett förslag om en på det angivna sättet utformad informationsskyldighet. Således skall personuppgiftslagens bestämmelser tillämpas, vilket innebär att en myndighet är skyldig att lämna information endast om sådan behandling som den ansvarar för. Även utan en författningsreglerad skyldighet bör emellertid den myn - dighet inom skatteförvaltningen och exekutionsväsendet som en en skild vänder sig till för att an söka om informationen, i största möj liga utsträckning vara honom eller henne behjälplig genom att i samband med att information lämnas ge upplysningar om möj ligheten att per- sonuppgifter behandlas även hos andra skatte- eller kronofogde- myndigheter. I den omfattning det är möjligt bör myndigheten på be gä- ran även tillhandahålla information om personuppgifter som behandlas av andra myndigheter inom skatteförvaltningen respektive exekutions- väsendet. Vi har erfarit att det före kommer att enskilda ge- nom att vända sig till en enda skattemyndighet kan få information om uppgifter som behandlas hos andra skattemyndigheter eller hos Riks- skatteverket. När de tekniska lösningarna finns som krävs för att det skall vara möjligt för en enda skatte- eller kronofogdemyndighet att tillhandahålla information om all behandling inom skatteförvaltningen eller exekutions- väsendet, bör emellertid enligt vår upp fattning frågan om för fattnings- reglering övervägas på nytt. 7.1.3Information om elektroniska handlingar i databaser Undantag för elektroniska handlingar Den som finns registrerad i ett personregister har enligt 10 § datalagen (1973:289), i den mån lagen är tillämplig, rätt att från den register ansva- rige få underrättelse om innehållet i personuppgift som ingår i per- sonregistret, s.k. registerutdrag. Innehållet behöver inte återges i den tek- niska form det är registrerat i, men alla betydelsefulla detaljer i inne- hållet skall finnas med. I 18 § skatteregisterlagen (1980:343) och 10 a § utsök ningsregisterlagen (1986:617) finns dock särbestämmelser om re- gisterutdrag. Där sägs att i ett registerutdrag enligt datalagen be höver, i SOU 1999:105 Enskildas rättigheter 281 fråga om regionala register, uppgift i handling som har getts in av enskild eller som den registeransvarige har expedierat till den regi- strerade inte tas med. Om uppgiften finns i ett ärende rö rande den som begärt registerutdraget, skall det framgå av utdraget att uppgiften inte finns med i utdraget. Innebörden av de återgivna bestämmelserna är i princip att elektroniska handlingar inte behöver skickas ut i ett registerutdrag, om handlingen har getts in av eller expedierats till den registrerade. Vi anser att det finns skäl att överväga möjligheten att göra un dantag för elektroniska handlingar även när enskilda skall informeras enligt 26 § personuppgiftslagen. När en person som är part i ett ärende begär att få information av en myndighet om vilka personuppgifter som behandlas rörande honom eller henne, kan det sättas i fråga om det finns några sakliga skäl för att han eller hon skall få del av ko pior av egna handlingar som skickats till myndigheten och som lagras elektroniskt där. Detsamma kan sägas i fråga om handlingar som har upprättats av myndigheten eller som har getts in till myndigheten av någon annan än den registrerade själv, om den registrerade har tagit del av handlingarna. Det bör även tas i beak tande att antalet elektroniska handlingar i olika databaser med stor sannolikhet kommer att öka vä sentligt , efter hand som den datoriserade hanteringen tar över pappers- hanteringen. Det finns därför en risk att den som begär information om vilka uppgifter som behandlas om honom eller henne, får del av så stora mängder uppgifter att det kan vara svårt att tillägna sig informationen. Under förut sättning att den registrerade får tydlig information om att handlingar som han eller hon har skickat in till eller fått från myndig- heten finns registrerade samt att han eller hon får en för teckning över dessa handlingar, finns det enligt vår mening inte några starka argument mot att göra undantag för de elektroniska hand lingarna, eftersom inne- hållet i dessa är identiskt med de handlingar som den enskilde har tagit del av. För att en bestäm melse om ett sådant undantag skall vara tillämpbar i praktiken bör det vara till räckligt att den personuppgifts- ansvariga myndigheten finner det sannolikt att den registrerade har tagit del av handlingarnas innehåll. I fråga om handlingar som inte har skickats in av den enskilde själv, bör det således va ra tillräckligt att det hos myndigheten finns anteckningar om att handlingen har expedierats till den registrerade. Vi föreslår således att elek troniska handlingar inte behöver lämnas ut till en enskild i sam band med att en personuppgifts- ansvarig myndighet fullgör sin informationsskyldighet enligt 26 § per- sonuppgiftslagen, om den enskilde har tagit del av handlingens innehåll. Vi anser emellertid att enskilda inte helt skall fråntas rätten att med tillämpning av 26 § personuppgiftslagen ta del av elektroniska handling- ar, som de har gett in eller som har expedierats till dem. Det är i och för sig möjligt för enskilda att ta del av hand lingarna med stöd av bestämmelserna i 2 kap. tryckfrihetsförordningen och bestämmelsen i 16 § för valtningslagen (1986:223) om partsinsyn. Till skillnad från vad som gäller enligt 26 § personuppgiftslagen ger emellertid inte dessa be- stämmelser den enskilde rätt till kostnadsfri skriftlig information. För bestämmelserna i såväl tryckfrihetsförordningen som förvaltningslagen gäller dessutom att de inte ger den enskilde rätt till särskild och direkt upplysning om vilka handlingar som lagras elektroniskt. De nämnda be- stämmelserna kan enligt vår uppfattning därför inte ersätta per sonupp- giftslagens bestämmelse om rätt till information. Vi föreslår därför att fullständig information om vilka uppgifter som behandlas, således även uppgifter i elektroniska handlingar, skall lämnas om den enskilde begär det. Förslagets förhållande till dataskyddsdirektivet Frågan är hur en modell som den ovan beskrivna förhåller sig till data- skyddsdirektivet. Av artikel 12 a i direktivet framgår att en enskild har rätt att från den per sonuppgiftsansvarige utan hinder få bekräftelse på om uppgifter som rör honom eller henne behandlas eller inte och infor- mation om åtminstone ändamålen med behandlingen, de berörda upp- giftskategorierna och mottagarna eller mottagarkategorierna till vilka uppgifter utlämnas samt få begriplig information om vilka uppgifter som behandlas och all tillgänglig information om varifrån dessa uppgifter kommer. Bakgrunden till bestämmelsen finns beskriven i data- skyddsdirektivets ingresspunkt 41, där det anges bl.a. att alla måste kun- na utöva sin rätt att få tillgång till uppgifter som rör dem och som är föremål för be handling, för att i detalj kunna försäkra sig om att upp- gifterna är korrekta och om att behandlingen är tillåten. Av direktivets artikel 12 a kan alltså utläsas att den registrerade skall få information om vilka uppgifter som behandlas. Ordalydelsen synes ge visst utrymme för att uppgifterna inte behöver lämnas ut i det registrerade skicket. I ingressen till direktivet sägs dock att den regi- strerade skall få tillgång till uppgifter som rör honom för att i detalj kunna avgöra om de är korrekta. Denna formulering synes något in- skränka det utrymme som artikel 12 a ger att endast lämna information om uppgifter. I de för oss aktuella fallen rör det sig dock om uppgifter som den enskilde i detalj har kännedom om , eftersom handlingarna antingen har getts in av eller expedierats till honom med det registrerade innehållet. Att en myndighet då i information till en registrerad tydligt anger vilka elektroniska handlingar som behandlas i en databas i ett ärende som rör denne, torde enligt vår upp fattning vara tillräckligt för att uppfylla dataskyddsdirektivets krav på att de regi- strerade i detalj skall kunna kontrollera om uppgifterna är korrekta eller inte. Det bör dessutom i detta sammanhang markeras att vi föreslår att fullständig information skall lämnas om det begärs särskilt. Uppgifter i andras ärenden Personer som finns omnämnda i handlingar som hör till ett ärende i vilket de inte själva är part, omfattas inte av en undantagsbestämmelse med den av oss ovan föreslagna lydelsen, om det inte är de själva som har gett in handlingen. Eftersom de inte är parter i ärendet har de näm- ligen med största sannolikhet inte fått del av handlingarna. Det innebär emellertid inte att de har rätt att enligt 26 § personuppgiftslagen få in- formation om behandlingen. Vi föreslår näm ligen att endast ärendebe- teckning, beteckning på handling eller annan uppgift som behövs för att identifiera ett ärende eller en handling skall vara tillåtna som sök begrepp vid sökning efter elektroniska handlingar (se avsnitt 6.4.5). Det innebär att myndigheterna saknar rättsliga befogenheter, och vanligen även tekniska möjligheter, att kontrollera i vilken omfattning uppgifter om en person behandlas i handlingar som hör till ett ärende som inte rör honom eller henne. Därmed har enligt vår mening en person som är registrerad på ett sådant sätt inte heller rätt att kräva att myn digheten gör den typen av kontroller. har i betänkandet Integritet – Offent- lighet – Informationsteknik (SOU 1997:39, s. 392) som sin uppfattning, vilken vi instämmer i, anfört följande i den frågan. Enligt vår mening är det inte rimligt att utforma informationsskyldigheten på ett sådant sätt att den tvingar fram förfaranden som i själva verket kan hota den personliga integriteten. Den persondataansvarige bör, som vi ser det, bara vara skyldig att utnyttja alla de sök- och sammanställnings möj- ligheter som han eller hon faktiskt och rättsligt har tillgång till för att få fram information att lämna till den registrerade. Därmed garanteras att den registrerade får tillgång till all information som den persondata- ansvarige faktiskt kan få fram om den registrerade, vilket måste anses till- räckligt; inte ens EG-rätten kan tvinga någon att göra det som i praktiken är omöjligt. Slutligen kan det vara värt att påpeka att information inte behöver lämnas om elektroniska handlingar som ännu inte är färdigställda, dvs. beslutskoncept och liknande, oavsett att den registrerade inte har fått del av handlingarna. Som nämnts i avsnitt 7.1.1 görs nämligen i 26 § personuppgiftslagen undantag för uppgifter i löptext som inte fått sin slutliga utformning. Detsamma gäller för minnesanteckning eller lik- nande. Vårt förslag: Personuppgiftslagens bestämmelse om rättelse av personuppgifter skall gälla vid behandling av personuppgifter inom skatteförvalt ningen, exekutionsväsendet och . 7.2.1Personuppgiftslagens bestämmelse om rättelse Innehållet i bestämmelserna om rättelse av felaktigt behandlade person- uppgifter i 28 § personuppgiftslagen redogör vi för i avsnitt 2.4 och be- stämmelserna kommenteras även i förarbetena till personupp giftslagen (prop. 1997/98:44 och betänkande SOU 1997:39). I korthet innebär bestämmelsen att den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med lag- stiftningen. När en personuppgiftsansvarig gör rättelse i fråga om en personuppgift skall – om den registrerade begär det eller om mer be- tydande skada eller olägenhet därigenom kan undvikas – underrättelse lämnas till tredje man som har fått del av uppgiften. Sådan under rättelse behöver dock inte lämnas om det vi sar sig vara omöjligt eller om det skulle innebära en oproportionerligt stor arbetsinsats. Bestämmelsen har sin grund i dataskyddsdirektivets artikel 12 b och c. Det är enligt vår uppfattning av väsentlig betydelse att person upp- gifter som behandlas felaktigt hos en myndighet rättas för att intrång i den personliga integriteten skall undvikas. Bedömningen av om en upp- gift har behandlats felaktigt måste göras mot bakgrund av de bestäm- melser som gäller för behandlingen, oavsett om det är grund läggande regler i personuppgiftslagen eller specialbestämmelser som gäller för skatteförvaltningen, exekutionsväsendet eller . Vi föreslår därför att be stämmelsen om rättelse i 28 § personuppgiftslagen skall tillämpas vid behandling av personuppgifter enligt de av oss föreslagna författningarna. 7.2.2När, hur och av vem skall rättelse göras? Behandling i strid med lagstiftningen En personuppgift skall rättas när den har behandlats felaktigt. I princip är all behandling av personuppgifter felaktig som strider mot den lag- stiftning som reglerar behandlingen. Att i detalj ange vad som är felaktig SOU 1999:105 Enskildas rättigheter 285 behandling är därför inte möjligt, men något förenklat kan en indelning av olika fel göras i två grupper. Felaktig be handling kan för det första bestå i att personuppgifter är oriktiga till sitt innehåll, dvs. felet finns inbyggt i uppgifterna (oriktiga uppgifter). Felaktig behandling kan även bestå i att personuppgifter, oavsett om de är korrekta eller inte, används på ett felaktigt sätt i verksamheten, dvs. felet ligger i hur uppgifter används (oriktig använd ning). Oriktig användning kan exempelvis innebära att en uppgift används på ett sätt som är oförenligt med de ändamål för vilket den sam lades in, att en otillåten uppgift förs in i en databas eller att en uppgift inte gall ras inom föreskriven tid. Även un derlåtenhet att behandla en personuppgift torde i vissa fall kunna innebära oriktig användning. Några generella hållpunkter för när uppgifter används på ett oriktigt sätt är svårt att ge. Den bedömningen måste göras mot bakgrund av vilka be stämmelser som gäller för en viss behandling. Det är med andra ord lag stiftningens innehåll som är avgörande för om en uppgift används på ett oriktigt sätt. I fråga om oriktiga uppgifter torde det vanligtvis inte vara några svårigheter för den personuppgifts ansvarige att avgöra om det före ligger en felaktig behandling. Typiska exempel på förekomsten av orikti ga uppgifter är att fel personnummer eller fel adress har angetts för en person. Sådana fel är det ofta enkelt för den person uppgiftsansvarige att konstatera på ett objektivt sätt och det torde sällan råda någon oenig het i fråga om uppgiften är fel eller inte. Det är emellertid inte i alla situationer självklart om en uppgift är oriktig. Som exempel kan tas följande situation. En person anger i sin självdeklaration att han har haft i inkomst av näringsverksamhet. Denna uppgift behandlas hos skattemyndigheten, bl.a. genom att deklarationen bildfångas och lagras elektroniskt. Efter kontroll med den skattskyldige klargörs att in- komsten rätteligen skall vara . Även den uppgiften behandlas hos skattemyndigheten. Är den ursprung liga uppgiften då att anse som oriktig? Den är självfallet oriktig så till vida att den inte kor- rekt återger ett verkligt sakförhållande, men riktig på så sätt att den korrekt återger vad den skattskyldige angav i sin deklaration. Enligt vår uppfattning måste bedömningen av om en uppgift i ett fall som det ovanstående skall anses vara oriktig eller inte, dvs. om uppgiften skall rättas, göras mot bakgrund av vilka krav verksamheten ställer på uppgiftsbehandlingen. I det nämnda exemplet är det orimligt att den ursprungliga uppgiften skall rättas i den elektroniskt lagrade deklarationen. Förutom att det skulle innebära att en all män handling manipuleras, kan uppgiften behövas i ett ären de om skattetillägg. Under förutsättning att den ursprungliga uppgiften har regi strerats och därefter behandlats i enlighet med gällande rätt, kan den enligt vår uppfattning inte anses ha behandlats i strid med personuppgiftslagstiftningen och det kan därför inte stäl las krav på rättelse. Liknande situationer kan självfallet uppstå även hos krono fogdemyndigheter och hos . Även om det inte är möjligt att ge en exakt definition på vad som är en oriktig uppgift, anser vi att man bör ha som utgångspunkt att en upp- gift, trots att den inte återger en korrekt bild av ett sakförhållande, inte är oriktig i den bemärkelsen att den skall rättas, om den korrekt återger ett händelseförlopp i verksamheten och dessutom behövs i densamma. Bedömningen av om en uppgift behövs i verksamheten måste enligt vår uppfattning göras mot bakgrund av de primära ändamålen för en data bas (se avsnitt 6.2.2). Riktigheten av en uppgift som behandlas i beskatt- ningsdatabasen måste således bedömas mot bakgrund av skatte förvalt- ningens behov av uppgiften i beskattningsverksamheten.