prop · GO0350 · 2001-01-01 00:00:00 — Skälen för regeringens förslag: Utgångspunkten för personuppgiftslagen och direktivet är att personuppgifter skall få behandlas om behandlingen i det enskilda fallet uppfyller grundläggande krav, som kraven att fler uppgifter än nödvändigt inte får behandlas och att de behandlade uppgifterna skall vara adekvata, relevanta och riktiga (jfr 9 § första stycket e g personuppgiftslagen). Direktivet innehåller dock bestämmelser om förbud mot behandling när det gäller vissa särskilda kategorier av uppgifter vilka typiskt sett är känsliga från integritetssynpunkt. Enligt direktivet gäller sålunda som huvudregel att det skall vara förbjudet att behandla personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, hälsa och sexualliv (artikel 8.1). Behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder skall få utföras endast under kontroll av myndighet eller efter vidtagande av lämpliga skyddsåtgärder (artikel 8.5). Reglerna i artikel 8.1 och 8.5 har sin motsvarighet i 13 § resp. 21 § personuppgiftslagen. Hälsa och medlemskap i fackförening m.m. I 6 § kreditupplysningslagen finns bestämmelser om känsliga uppgifter. Enligt bestämmelserna får uppgifter om en persons ras, etniska ursprung, politiska uppfattning, religiösa eller filosofiska övertygelse eller sexualliv inte samlas in, lagras eller lämnas ut i kreditupplysningsverksamhet. Uppgifter om sjukdom, hälsotillstånd eller liknande får samlas in, lagras eller lämnas ut endast med Datainspektionens medgivande. Detsamma gäller uppgifter om att någon misstänks eller har dömts för brott eller har avtjänat straff eller undergått någon påföljd för brott eller har varit föremål för någon åtgärd med stöd av socialtjänstlagen (1980:620), lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1988:870) om vård av missbrukare i vissa fall, lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, lagen (1993:387) om stöd och service till vissa funktionshindrade, 11 14 §§ polislagen (1983:387), lagen (1976:511) om omhändertagande av berusade personer m.m. eller utlänningslagen (1989:529). Datainspektionen får lämna medgivande endast om det finns synnerliga skäl. Begränsningar för behandlingen av känsliga uppgifter utgör bestäm- melser av sådan vikt för kreditupplysningsverksamhet att de även i fort- sättningen bör finnas i kreditupplysningslagen. Det gäller även uppgifter om brottmålsdomar m.m. Bestämmelserna i 6 § kreditupplysningslagen om känsliga uppgifter är inte helt i samklang med direktivets krav. Till skillnad från direktivet finns inte något allmänt förbud mot behandling av uppgifter om hälsa. I stället gäller att sådana uppgifter får behandlas om Datainspektionen har lämnat sitt medgivande. Inte heller innehåller 6 § någon begränsning för uppgifter om medlemskap i fackförening. I direktivet finns inte något förbud för behandling av uppgifter om sociala och liknande åtgärder. Bestämmelsen om brottsmålsdomar m.m. i 6 § kreditupplysningslagen skiljer sig också från motsvarande reglering i personuppgiftslagen och direktivet. och påpekar gäller i och för sig direktivets förbud mot behandling av känsliga personuppgifter inte i de fall där den registrerade har samtyckt till behandlingen, utom om förbudet inte kan upphävas genom samtycke enligt medlemsstatens lagstiftning (artikel 8.2 a). Enligt kreditupplys- ningslagen kan förbudet mot behandling av känsliga uppgifter dock inte brytas igenom av den enskildes samtycke. Att den enskilde samtycker till att t.ex. en uppgift om sjukdom används i kreditupplysningsverksamhet är alltså inte avgörande för om Datainspektionen skall medge att uppgiften får användas. Enligt regeringens mening saknas det anledning att nu ändra på den principen. Det kan tilläggas att uppgifter om hälsa sällan har någon självständig betydelse i kreditupplysningssammanhang. En kreditgivare kan i regel få tillräckliga uppgifter om kreditvärdighet utan att en sådan uppgift lämnas ut. Av promemorian framgår också att det inte har gjorts någon dispensansökan till Datainspektionen i detta hänseende lagen varit i kraft. En uppgift om medlemskap i fackförening har , enligt svenskt synsätt, inte ansetts vara så känslig från integritetssynpunkt att det skulle motivera särskilda begränsningar i möjligheten att använda uppgiften i kreditupplysningsverksamhet. Det får dock konstateras att direktivet bärs upp av en annan inställning, nämligen att en sådan uppgift kan vara lika ömtålig från integritetssynpunkt som övriga känsliga uppgifter i artikel 8.1. Inte heller för sådana uppgifter bör samtycke från den enskilde få avgöra om uppgiften skall få behandlas. och erinrar också om att direktivet ger möjlighet för medlemsstaterna att göra undantag från förbudet om det behövs med hänsyn till ett viktigt allmänt intresse (artikel 8.4). Denna möjlighet lär dock inte kunna utnyttjas för att göra undantag i förbudet mot behandling av känsliga uppgifter i kreditupplysningsverksamhet. Mot bakgrund av det anförda föreslår regeringen att 6 § ändras så att uppgifter om hälsa och om medlemskap i fackförening inte i något fall skall få behandlas i kreditupplysningsverksamhet. Bestämmelsen i 6 § om brottmålsdomar m.m. bör anpassas till motsva- rande bestämmelse i personuppgiftslagen (21 §) och alltså omfatta uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel och administrativa frihetsberövanden. Av naturliga skäl råder ofta osäkerhet om en uppgift om misstanke om brott. Med anledning av Justitiekanslerns synpunkt att det kan ifrågasättas om en sådan uppgift verkligen kan bedömas som riktig och nödvändig bör framhållas att det inte kan uteslutas att sådana uppgifter kan vara av intresse i kreditupplysningssammanhang. Det ankommer på Datainspektionen att i enskilda fall ta ställning till när sådana uppgifter får behandlas, varvid inspektionen har att pröva om bl.a. kraven på riktighet och nödvändighet är uppfyllda. Liksom bör Datainspektionens dispensmöjlighet utnyttjas synnerligen restriktivt. Förbudet mot behandling av uppgifter om lagöverträdelser som inne- fattar brott bör inte heller i fortsättningen hindra att uppgifter om betalningsförsummelser, kreditmissbruk eller näringsförbud behandlas i kreditupplysningsverksamhet. Regeringen återkommer i annat sammanhang till förslag om möjligheter att i kreditupplysningssammanhang meddela uppgifter om domar eller godkända strafförelägganden avseende ekonomisk brottslighet (se SOU 1998:47). Åtgärder enligt socialtjänstlagen m.m. I promemorian föreslås det ett absolut förbud mot behandling av upp- gifter om att någon har varit föremål för åtgärder enligt socialtjänstlagen och vissa andra lagar. Bakgrunden till förslaget är närmast att sådana uppgifter inte torde ha någon självständig betydelse vid en kredit- bedömning och därmed inte uppfylla de grundläggande kraven på be- handling av personuppgifter i 9 § personuppgiftslagen (artikel 6 i dataskyddsdirektivet). Direktivet är emellertid ett harmoniseringsdirektiv och medger inte att medlemsstaterna föreskriver förbud mot behandling av andra kategorier av personuppgifter än dem i artikel 8. Det är alltså inte möjligt att införa ett absolut förbud mot behandling av uppgifter om att någon har varit föremål för en åtgärd med stöd av socialtjänstlagen, lagen med särskilda bestämmelser om vård av unga m.fl. lagar. Det går inte heller att ha kvar det allmänna förbudet i 6 § vad gäller sådana uppgifter. Regeringen föreslår därför att förbudet upphävs. Lagrådet har framhållit att ett upphävande av förbudet innebär en försvagning av den enskildes integritetsskydd. Lagrådet har uttalat att beslut enligt socialtjänstlagen och lagen om stöd och service till vissa funktionshindrade kan komma att innehålla viktig information från kreditvärderingssynpunkt och att det inte kommer att finnas någon direkt tillbakahållande faktor i hanteringen av uppgifterna om behandlingen släpps fri. De aktuella uppgifterna är dock i stor utsträckning sekretessbelagda hos socialnämnderna. Sålunda lämnar socialnämnden normalt inte ut uppgifter om t.ex. socialbidrag. Som Lagrådet har påpekat torde det visserligen i allmänhet inte möta något hinder för ett kreditupplysnings- företag att få tillgång till förvaltningsdomstolarnas avgöranden i de fall socialnämndens beslut överklagas. Enligt regeringens bedömning lär de aktuella uppgifterna emellertid sällan ha någon självständig betydelse i kreditupplysningssammanhang. En kreditgivare kan som regel få till- räckliga uppgifter om den omfrågades kreditvärdighet utan att uppgifter om åtgärder enligt t.ex. socialtjänstlagen behöver anges. Det kan mot den bakgrunden ifrågasättas om kraven på t.ex. nödvändighet, adekvans och relevans alls är uppfyllda. Är dessa grundläggande krav inte uppfyllda får uppgifterna inte behandlas. I vissa fall kan dessutom andra bestämmelser göra att en sådan uppgift inte får behandlas eller att den får behandlas först efter medgivande. Att någon har varit föremål för en åtgärd enligt de angivna lagarna kan ibland utgöra en uppgift om administrativt frihetsberövande, t.ex. en uppgift om omhändertagande enligt lagen med särskilda bestämmelser om vård av unga eller en uppgift om förvar enligt utlänningslagen. I så fall får uppgiften inte behandlas utan Datainspektionens medgivande, se under föregående rubrik. En åtgärd enligt den sociala lagstiftningen kan ibland anses utgöra en uppgift om hälsa, t.ex. om insatser enligt lagen om stöd och service till vissa funktionshindrade eller om missbruksvård enligt socialtjänstlagen. En sådan uppgift får över huvud taget inte behandlas. Regeringen kommer att på lämpligt sätt följa utvecklingen. Personnummer I artikel 8.7 i direktivet ges medlemsstaterna möjlighet att bestämma på vilka villkor ett nationellt identifikationsnummer får behandlas. I 22 § personuppgiftslagen föreskrivs att uppgifter om personnummer får behandlas utan samtycke bara när det är klart motiverat med hänsyn till a) ändamålet med behandlingen, b) vikten av en säker identifiering eller c) något annat viktigt skäl. Bestämmelsen har hämtats från 7 § andra stycket datalag. föreslog att det direkt av kreditupplys- ningslagen skulle framgå att registrering av personnummer får ske (se bet. s. 137). Som skäl för att personnummer skulle få användas angav utredningen att register även kommer att bli mycket om- fattande och att det är viktigt att de personer som förekommer i registren kan bli säkert identifierade. Härtill kom, enligt utredningen, att företagen fortlöpande hämtar in uppgifter från olika myndigheter och att det då är nödvändigt att informationen hänförs till rätt person. Även när kreditupplysningar lämnas ut måste det stå helt klart vilken person som avses. Utredningen ansåg därför att kraven för att få använda person- nummer regelmässigt får anses vara uppfyllda i samband med kreditupplysningsverksamhet. I promemorian görs samma bedömning, och denna delas överlag av remissinstanserna. Även regeringens uppfattning är att uppgifter om personnummer bör få behandlas i kreditupplysningsverksamhet. Som anförs i promemorian är det inte motiverat att, vid sidan av regleringen i 22 § personuppgifts- lagen, ta in en bestämmelse om personnummer i kreditupplysningslagen. De förutsättningar för behandling av uppgifter om personnummer som anges i 22 § lär regelmässigt föreligga när uppgifterna behandlas i kreditupplysningsverksamhet. 5.5 Gallring Regeringens förslag: En allmän gallringsbestämmelse införs som innebär att uppgifter om fysiska personer skall gallras när det är nödvändigt att bevara uppgifterna med hänsyn till ändamålet med registret. Den nuvarande regeln om att kreditupplysningar om privatpersoner inte får innehålla uppgifter som är äldre än behålls men ges en något annorlunda utformning. Promemorians förslag om en allmän gallringsbestämmelse överensstämmer med regeringens förslag (se promemorian s. 28 f.). Remissinstanserna: De flesta remissinstanser tillstyrker prome- förslag eller lämnar det utan någon invändning. Hovrätten över och föreslår en annan lydelse på treårsregeln. Data- inspektionen avstyrker förslaget om en allmän gallringsbestämmelse, varvid inspektionen påpekar att förslaget innebär en dubbelreglering på grund av promemorians förslag om grundläggande krav (se avsnitt 4.2). och ifrågasätter behovet av gallringsregler i kreditupplysningslagen. I en särskild framställning begär och att den nuvarande lydelsen av treårsregeln skall behållas och att regeringen tydliggör att de register som förs av kreditupplysningsföretag uteslutande för konstruktion av modeller för kreditriskbedömning inte omfattas av kreditupplysningslagens bestämmelser. Skälen för regeringens förslag och bedömning: Direktivet och personuppgiftslagen innehåller en allmän gallringsregel. Personuppgifter får inte lagras än som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller senare behandlades (artikel 6.1 e). Därefter skall uppgifterna gallras. Motsvarande regel finns i 9 § första stycket i personuppgiftslagen. Bestämmelserna om gallring i kreditupplysningsverksamhet finns i 8 § kreditupplysningslagen. Där anges att kreditupplysningar om fysiska personer som inte är näringsidkare inte får innehålla uppgifter om omständigheter eller förhållanden som är av betydelse för bedömningen av personens vederhäftighet i ekonomiskt hänseende, förflutit från utgången av det år då omständigheten inträffade eller förhållandet upphörde (treårsregeln). Uppgifter som inte får lämnas ut skall gallras ur register som används i kreditupplysningsverksamhet. Gallringen skall göras så snart det kan ske och i vart fall innan en upplysning lämnas om den som uppgiften avser. Treårsregeln omfattar inte uppgifter om fysiska personer som är näringsidkare. I enlighet med promemorians bedömning bör gallring av uppgifter i kreditupplysningsverksamhet även i fortsättningen regleras av kreditupp- lysningslagen. Treårsregeln är tydlig och har fungerat väl. får det anses att uppgifterna inte uppfyller kraven på relevans, adekvans, nödvändighet och aktualitet när det gäller fysiska personer som inte är näringsidkare (se 9 § personuppgiftslagen och artikel 6 i dataskyddsdirektivet). Treårs- regeln i 8 § får sålunda anses förenlig med direktivet och kan, som föreslås i promemorian, behållas. Treårsregeln i 8 § avviker dock från gallringsregeln i direktivet och personuppgiftslagen eftersom den bara gäller för privatpersoner och inte omfattar de fysiska personer som är näringsidkare. Enligt sin lydelse sträcker sig direktivets och person- uppgiftslagens gallringsregel dessutom längre än treårsregeln genom att föreskriva att uppgifter alltid skall gallras så snart det är nödvändigt att lagra dem, vilket kan vara inom än . Som föreslås i promemorian bör treårsregeln därför kompletteras med en allmän bestämmelse om gallring som i sak motsvarar gallringsregeln i personuppgiftslagen och direktivet. Därmed kommer gallringsreglerna för kreditupplysningsverksamhet att finnas samlade i kreditupplysnings- lagen. Till skillnad från gallringsregeln i personuppgiftslagen och direktivet bör den allmänna gallringsbestämmelsen i kreditupplysnings- lagen inte vara begränsad till sådana uppgifter som behandlas automa- tiserat eller ingår i ett manuellt register som är sökbart utifrån särskilda kriterier. Som föreslås i promemorian bör bestämmelsen i stället omfatta alla uppgifter. Införandet av en allmän gallringsbestämmelse aktualiserar frågan hur treårsregeln bör utformas. Hovrätten över och anmärker att det är oklart hur den nuvarande utformningen förhåller sig till direk- tivet. Om kreditupplysningar avseende fysiska personer inte får innehålla uppgifter om ekonomiska förhållanden som är äldre än , får enligt hovrätten antas att sådana gamla uppgifter inte har betydelse för bedömandet av någons ekonomiska kreditvärdighet. Uppgifterna är alltså inte nödvändiga och de borde därmed inte få lagras. Enligt den nu- varande treårsregeln är det emellertid tillräckligt att gallring sker innan en upplysning lämnas ut, varför gamla uppgifter kan komma att lagras en betydligt än . Hovrätten föreslår att när det gäller fysiska personer som inte är näringsidkare, skall en uppgift gallras senast när har förflutit från utgången av året då den omständighet inträffade eller det förhållande upphörde som avses med uppgiften. Treårsregeln bör lämpligen utformas i enlighet med hovrättens förslag. Med anledning av framställningen från och skall tilläggas att treårsregeln inte heller medger att uppgifter bevaras . Efter det att tidsfristen har gått ut skall gallring ske . Kreditupplysningslagen ålägger den som bedriver verksamheten endast att vidta skäliga åtgärder för att utreda förhållandet och att rätta uppgifter som förekommer i register (12 §). Den föreslagna skärpningen av gall- ringsregeln medför ingen ändring av utrednings- och rättelseskyldig- heten. Den nya treårsregeln utesluter givetvis inte att det enligt andra regler kan vara möjligt att bevara uppgifterna, t.ex. för statistiska ändamål. En fråga som kommit upp är hur länge en uppgift om skuldsanering bör kvarstå innan den gallras ur kreditupplysningsregister. Med de förslag som läggs fram i denna proposition kommer den att kvarstå som längst då skuldsaneringen avslutades. Frågan kommer att behandlas i en kommande departementspromemoria om skuld- sanering. 5.6 Information till den registrerade Regeringens förslag: Bestämmelserna om registerbesked och kreditupplysningskopia behålls i kreditupplysningslagen men anpassas till direktivet och personuppgiftslagen. Det innebär att informations- skyldigheten utökas. Fysiska personer har rätt att en gång få ett registerbesked gratis. En begäran om registerbesked som avser en fysisk person skall göras skriftligen och vara egenhändigt under- tecknad. Promemorians förslag: Informationsskyldigheten när det gäller fysiska personer skall inte regleras i kreditupplysningslagen utan följa personuppgiftslagen. Härigenom kan Datainspektionen föreskriva att det nuvarande systemet med kreditupplysningskopia skall fortsätta att gälla (se promemorian s. 38 f.). förslag om krav på skriftlighet för begäran om registerbesked överensstämmer med regeringens (se betänkandet s. 189). Remissinstanserna: Remissutfallet är blandat. Många remissinstanser instämmer i promemorians förslag eller lämnar det utan någon invändning. Flera remissinstanser är emellertid kritiska. Kammarrätten i framhåller att regeln om kreditupplysningskopia innebär en avvikelse från personuppgiftslagen och att den därför bör finnas kvar i kreditupplysningslagen. Datainspektionen anser att de nuvarande informationsbestämmelserna i kreditupplysningslagen bör vara kvar och motsätter sig promemorians förslag. Även () anser att rätten till registerbesked och kreditupplysningskopia bör regleras i kreditupplysningslagen. och påpekar att en kreditupplysningskopia enligt kreditupplysningslagen och en information om insamlad information enligt personuppgiftslagen inte är fullt jämförbara. Föreningarna ifrågasätter riktigheten av promemorians slutsats att en fysisk person med stöd av personuppgiftslagen kommer att ha rätt till kreditupplysningskopia. Remissinstanserna tillstyrker utredningens förslag om krav på skriftlighet eller lämnar det utan någon invändning. Skälen för regeringens förslag: Enligt direktivet skall den registre- rade få information om behandling av uppgifter (artiklarna 10 och 11). Informationen skall omfatta åtminstone a) uppgift om den register- ansvariges och dennes eventuella företrädares identitet, b) uppgift om ändamålen med behandlingen och c) all ytterligare information som är nödvändig för att tillförsäkra den registrerade en korrekt behandling, såsom information om mottagarna av uppgifterna. Direktivet innehåller även regler om skyldighet att efter ansökan lämna viss information (artikel 12). Den registrerade skall ha rätt att från den registeransvarige utan hinder och med rimliga intervall samt utan större tidsutdräkt eller kostnader få bekräftelse på om uppgifter som rör honom eller henne behandlas eller inte. Det gäller också information om ändamålen med behandlingen, de berörda uppgiftskategorierna, mottagarna eller till vilka kategorier av mottagare som uppgifter lämnas ut, vilka uppgifter som behandlas och varifrån uppgifterna kommer. I 23 26 §§ personuppgiftslagen finns motsvarande reglering. Datainspektionen får i fråga om automatiserad behandling av personuppgifter meddela närmare föreskrifter om vilken information som skall lämnas till den registrerade och hur informationen skall lämnas (13 § personuppgiftsförordningen [1998:1191]). För kreditupplysningsverksamhet regleras den registrerades rätt till information efter begäran i 10 § kreditupplysningslagen. Bestämmelserna där innebär att den registrerade har rätt att mot skälig avgift få skriftligt besked om huruvida det finns uppgifter lagrade och vad de i så fall har för innehåll (registerbesked). Enligt 11 § skall upplysningar lämnas om de uppgifter, omdömen och råd som kreditupplysningen innehållit och om vem som har begärt upplysningen (kreditupplysningskopia). Att den enskilde får information om vilka upplysningar som lämnas ut och till vem de lämnas är värdefullt av flera skäl, bl.a. för att det ger den enskilde möjlighet att kontrollera att de uppgifter som lämnas är korrekta, adekvata och relevanta. Informationsreglerna utgör en av grundvalarna för kreditupplysningslagen. Som bl.a. Kammarrätten i och Datainspektionen framhåller bör informationsskyldig- heten även i fortsättningen regleras av kreditupplysningslagen och inte av personuppgiftslagen. Bestämmelserna i 10 och 11 §§ kreditupplysningslagen bör dock ändras så att de säkert uppfyller direktivets krav på informations- skyldighet. Ändringarna bör göras efter mönster av motsvarande bestämmelser i personuppgiftslagen. Sålunda bör i 10 § anges att ett registerbesked skall innehålla information om vilka uppgifter som behandlas, varifrån uppgifter om en fysisk person har hämtats, för vilket ändamål behandlingen görs och till vilka mottagare uppgifter lämnas. I 11 § bör anges att en kreditupplysningskopia skall innehålla information om vem som bedriver kreditupplysningsverksamheten, för vilket ändamål behandlingen görs, vilken möjlighet som finns att få felaktiga uppgifter rättade, vilka uppgifter, omdömen och råd som upplysningen innehåller och vem som begärt upplysningen. Liksom bör juridiska personer ha samma rätt till registerbesked och handelsbolag och kommanditbolag dessutom ha samma rätt till kreditupplysningskopia som fysiska personer har (jfr prop. 1996/98:65 och bet. 1996/97:FiU23). Skyldigheten att i registerbesked ange varifrån uppgifter har hämtats bör dock inte heller i fortsättningen gälla för uppgifter om juridiska personer. För att enskildas rätt till registerbesked inte skall försämras bör det i kreditupplysningslagen föreskrivas att fysiska personer har rätt att en gång få ett registerbesked gratis. Därutöver bör var och en, liksom , ha rätt att få registerbesked mot skälig avgift. Det finns anledning att göra en ändring i 10 § kreditupplysningslagen som inte har samband med direktivet. Av betänkande framgår att det har förekommit att registerbesked begärts av någon annan än den som avses med uppgifterna. Ett krav på skriftlighet och underskrift vilket direktivet medger kan verka återhållande på benägenheten att obehörigen begära utdrag om andra personer och kan därmed stärka integritetsskyddet. Som utredningen föreslår bör en begäran om information som avser en fysisk person därför framställas skriftligen och vara egenhändigt undertecknad. I enlighet med utred- ningens bedömning är det inte motiverat att ställa samma krav när det gäller registerbesked om juridiska personer.