prop · GO0350 · 2001-01-01 00:00:00 — När kreditupplysningslagen anpassas till personuppgiftslagen och direktivet bör utgångspunkten således vara att lagen skall innehålla de bestämmelser om behandling av personuppgifter som avviker från personuppgiftslagen. Även om kreditupplysningslagen sålunda inte skall innehålla en fullständig reglering, bör ändå eftersträvas att lagen reglerar de frågor som är av särskild betydelse för kreditupplysningsverksamhet. Det bör alltså inte vara uteslutet att vissa väsentliga bestämmelser finns i kreditupplysningslagen trots att de egentligen inte avviker från person- uppgiftslagens bestämmelser. Som understryks i promemorian är det en fördel om kreditupplysningslagens bestämmelser kan behållas. Bestäm- melserna har fungerat väl och både myndigheter och företag är väl förtrogna med dem. Några mera genomgripande ändringar i kreditupp- lysningslagen är inte heller påkallade. Av följande avsnitt i propositionen framgår att ändringar dock bör göras i bestämmelserna i 5 § med allmänna krav, i 6 § om känsliga uppgifter och i 8 § om gallring. Justeringar bör också göras i bestämmelserna i 10 § om registerbesked, i 11 § om kreditupplysningskopia och i 12 § om rättelse. I enlighet med promemorians bedömning krävs inte några andra ändringar. Det kan här bara nämnas att tillståndsreglerna i 3 och 4 §§ är förenliga med direktivet (jfr artikel 20 och punkterna 53 och 54 i ingressen till direktivet). Sambandet med personuppgiftslagen bör göras tydligare genom att rubriker införs i kreditupplysningslagen som anknyter till de rubriker som finns i personuppgiftslagen. I promemorian föreslås det också att det i inledningen till kreditupplysningslagen tas in en bestämmelse för att poängtera att personuppgiftslagens bestämmelser som regel gäller också för sådan behandling av personuppgifter som sker i kreditupplys- ningsverksamhet. Hovrätten över och påpekar gäller emellertid detta redan genom 2 § personuppgiftslagen (jfr Lagrådets yttrande i prop. 1997/98: 97 s. 265). En bestämmelse som markerar förhållandet till personuppgiftslagen kan visserligen ha ett pedagogiskt värde och har därför tagits in i rena registerförfattningar (jfr anf. s. 168). Särskilt med hänsyn till de förslag till andra ändringar i lagen som lämnas i propositionen (t.ex. i 5 §, se följande avsnitt) synes det emellertid inte vara tillräckligt motiverat att ha en sådan bestämmelse i kreditupplysningslagen. 5.2 Grundläggande krav Regeringens förslag: Bestämmelserna i 5 § kreditupplysningslagen med allmänna krav på kreditupplysningsverksamhet ändras inte. För sådan behandling av personuppgifter som omfattas av person- uppgiftslagen skall dock de grundläggande kraven på behandling i den lagen gälla. Vidare föreskrivs att uppgifter om fysiska personer får samlas in endast för kreditupplysningsändamål. Bestämmelser om datasäkerhet för uppgifter om juridiska personer förs in i 5 §. Promemorians förslag om allmänna krav skiljer sig lagtekniskt från regeringens. Promemorians förslag till ändamålsbestämmelse avser även lagring och utlämnande (se promemorian s. 25 f.). förslag om datasäkerhet överens- stämmer i sak med regeringens (se betänkandet s. 136 f.). Remissinstanserna: Datainspektionen anmärker att de krav som gäller enligt 9 § personuppgiftslagen vid behandling av personuppgifter gäller till följd av den lagens allmänna tillämplighet och anser att kraven i 5 § kreditupplysningslagen på kreditupplysningsverksamhet inte bör ändras. () framför liknande synpunkter. Övriga remissinstanser tillstyrker förslaget eller lämnar det utan någon invändning. Förslaget om ändamålsbestämmelse tillstyrks. Remissinstanserna tillstyrker förslag om datasäkerhet. Skälen för regeringens förslag Förhållandet till 9 § personuppgiftslagen De allmänna kraven för hur kreditupplysningsverksamhet skall bedrivas finns i 5 § kreditupplysningslagen. I paragrafen föreskrivs att verk- samheten skall bedrivas så att den inte leder till otillbörligt intrång i personlig integritet genom innehållet i de uppgifter som förmedlas eller på annat sätt eller till att oriktiga eller missvisande uppgifter lagras eller lämnas ut. Till aktsamhetskraven i 5 § knyts en skadeståndssanktion i 21 §. Den som bedriver kreditupplysningsverksamhet skall ersätta skada som till följd av verksamheten tillfogas någon genom otillbörligt intrång i hans personliga integritet eller genom att en oriktig uppgift lämnas om honom, såvida inte den som bedriver verksamheten kan visa att tillbörlig omsorg och varsamhet iakttagits. I 9 § personuppgiftslagen anges en rad grundläggande krav för hur personuppgifter skall behandlas. Den personuppgiftsansvarige skall se till att kraven följs. Personuppgifter får behandlas endast om det är lagligt (första stycket a). Uppgifterna skall alltid behandlas på ett korrekt sätt och i enlighet med god sed (första stycket b). Uppgifter får samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål (första stycket c). Uppgifterna får inte behandlas för något ändamål som är oförenligt med det för vilket de samlades in (första stycket d). Upp- gifterna måste vara adekvata och relevanta i förhållande till ändamålet med behandlingen (första stycket e). Fler uppgifter får inte behandlas än som är nödvändigt med hänsyn till ändamålet med behandlingen (första stycket f). Uppgifterna skall vara riktiga och, om det är nödvändigt, aktuella (första stycket g). Alla rimliga åtgärder skall vidtas för att rätta, blockera eller utplåna sådana uppgifter som är felaktiga eller ofull- ständiga med hänsyn till ändamålet med behandlingen (första stycket h). Uppgifterna får inte bevaras än som är nödvändigt med hänsyn till ändamålet med behandlingen (första stycket i). Kraven i 9 § överensstämmer med de krav som medlemsstaterna skall ställa på den personuppgiftsansvarige enligt artikel 6 i direktivet. Den personuppgiftsansvarige skall enligt 48 § ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med personuppgiftslagen har orsakat. Ersättningsskyldigheten kan dock i den utsträckning det är skäligt jämkas, om den personuppgiftsansvarige visar att felet inte berodde på honom. Skadeståndsbestämmelserna i 48 § genomför artikel 23 i direktivet. I promemorian görs bedömningen att den reglering till skydd för den personliga integriteten som följer av 9 § personuppgiftslagen omfattar motsvarande reglering i 5 § kreditupplysningslagen som den är mer precis till sitt innehåll. Därför föreslås att nuvarande reglering utgår ur 5 § och att det där i stället tas in krav på verksamheten som motsvarar kraven i 9 § personuppgiftslagen. Med promemorians förslag skulle det alltså i kreditupplysningslagen föreskrivas att kreditupplysningsverk- samhet vad gäller fysiska personer skall uppfylla de krav som framgår av 9 § personuppgiftslagen och att verksamheten i övrigt, dvs. vad gäller juridiska personer, skall bedrivas så att den inte leder till att oriktiga eller missvisande uppgifter lagras eller lämnas ut. Någon följdändring i skadeståndsbestämmelserna i 21 § kreditupplysningslagen föreslås inte. Förslaget har föranlett kritik från bl.a. Datainspektionen. Det kan konstateras att direktivet förutsätter att den personuppgifts- ansvarige vid behandling av personuppgifter skall följa de krav på behandlingen som anges i artikel 6 i direktivet och som har sin mot- svarighet i 9 § personuppgiftslagen. Detta gäller också för behandling i kreditupplysningsverksamhet. Utrymmet lär vara begränsat att ge andra föreskrifter, vare sig med strängare eller lindrigare krav. Det är knappast heller motiverat att ställa några andra krav vid behandling av person- uppgifter i kreditupplysningsverksamhet än dem som finns i 9 §. Som anförs i promemorian bör alltså kraven i 9 § gälla för sådan behandling av personuppgifter i kreditupplysningsverksamhet som omfattas av personuppgiftslagen, dvs. automatiserad behandling och viss strukturerad behandling (se 5 § personuppgiftslagen). I 5 § kreditupplysningslagen bör därför klargöras att grundläggande krav på behandling av personuppgifter finns i 9 § personuppgiftslagen och att dessa skall tillämpas. En sådan lösning framstår lagtekniskt som lämpligare än promemorians förslag att kraven i 9 § personuppgiftslagen tas över i kreditupplysningslagen och att följaktligen skadeståndsbestämmelserna i 21 § kreditupplysningslagen blir tillämpliga vid överträdelse av kraven. I så fall kunde ifrågasättas om inte regleringen av skadeståndsskyldighet i 21 § också borde ändras och närma sig den i 48 § personuppgiftslagen. Hovrätten över och nämner exemplet att en skada som inträffat genom intrång i en dator kanhända inte skulle ersättas enligt 21 § kreditupplysningslagen men väl enligt 48 § personuppgiftslagen. Propositionens förslag innebär att skadeståndsbestämmelserna i 48 § personuppgiftslagen skall tillämpas vid sådan behandling av personuppgifter i kreditupplysningsverksamhet som görs i strid med 9 § a, b och d-h i den lagen. Om behandlingen däremot görs i strid med bestämmelserna i kreditupplysningslagen, gäller 21 § kreditupplysningslagen. Promemorians bedömning är att regleringen i 9 § personuppgiftslagen bör få som resultat att man tar bort de allmänna kraven i 5 § kredit- upplysningslagen om att kreditupplysningsverksamhet skall bedrivas så att den inte leder till otillbörligt intrång i personlig integritet. Emellertid är tillämpningsområdena för 5 § kreditupplysningslagen och 9 § personuppgiftslagen inte identiska. Kraven i 9 § är inriktade på den personuppgiftsansvarige och gäller för hur personuppgifter skall behandlas, medan kraven i 5 § gäller för hur kreditupplysningsverksamhet som sådan skall bedrivas. Likaså gäller kraven i 9 § inte för all behandling av personuppgifter, och integritetsregeln i 5 § kan fylla en funktion för sådan behandling som inte omfattas av 9 §. Allmänt sett ter det sig också otillfredsställande att kreditupplysningslagen inte skulle ge uttryck för att fysiska personer har ett integritetsskydd vid kreditupplysningsverksamhet, låt vara att skyddet i praktiken får sitt huvudsakliga innehåll genom 9 § personuppgiftslagen. Med hänsyn till det anförda föreslås att de allmänna kraven i 5 § för bedrivande av kreditupplysningsverksamhet skall bevaras oändrade. Det innebär att dessa krav kommer att gälla inom kreditupplysningslagens tillämpnings- område i den mån 9 § personuppgiftslagen inte skall tillämpas i stället. Angående 9 § första stycket punkterna c och i personuppgiftslagen, se dock vidare nedan i detta avsnitt och avsnitt 4.5. I sammanhanget bör uppmärksammas att direktivet inte kräver någon ändring i skadeståndsbestämmelserna i 21 § kreditupplysningslagen. Det kan inte heller antas leda till några praktiska eller rättsliga problem om 21 § kreditupplysningslagen behålls med sin något annorlunda lydelse jämfört med 48 § personuppgiftslagen. De förslag till reglering av allmänna krav i 5 § kreditupplysningslagen som lämnas i propositionen motiverar också att 21 § behålls oändrad. Det kan tilläggas att även skadeståndsbestämmelserna datalag skilde sig från 21 §. Ett krav på insamling för kreditupplysningsändamål I 5 § kreditupplysningslagen anges inte uttryckligen att uppgifter om fysiska personer får samlas in i kreditupplysningsverksamhet endast för kreditupplysningsändamål. I promemorian görs den bedömningen att direktivet kräver att detta klart framgår av lagen (jfr 9 § första stycket c personuppgiftslagen). Regeringen instämmer i bedömningen. Det före- slås därför att en ändamålsbestämmelse tas in i kreditupplysningslagen. I likhet med reglerna i direktivet och personuppgiftslagen bör bestäm- melsen vara begränsad till insamling av uppgifter. Som föreslås i prome- bör bestämmelsen dock inte vara begränsad till bara sådan insamling som omfattas av personuppgiftslagen (se 5 § i den lagen) utan bör lämpligen omfatta all insamling av uppgifter om fysiska personer. Med anledning av att Länsrätten i anmärker att definitionen av kreditupplysningsändamål framgår endast indirekt genom begreppet kreditupplysningsverksamhet kan påpekas att det av 2 § framgår vad som avses med kreditupplysning vilket torde vara tillräckligt för tillämpningen av ändamålsbestämmelsen. Den föreslagna ändamålsbestämmelsen aktualiserar frågan om för- hållandet mellan kreditupplysningslagens bestämmelser och bestäm- melserna i tryckfrihetsförordningen (TF) och yttrandefrihetsgrundlagen (YGL). Kreditupplysningslagen innehåller inte någon generell bestämmelse som reglerar förhållandet till tryck- och yttrandefriheten. Att kreditupp- lysningslagen inte skall tillämpas i den utsträckning det skulle strida mot bestämmelserna i och YGL följer i och för sig redan av allmänna principer. Möjligen borde i förtydligande syfte en upplysning om detta tas in i kreditupplysningslagen. I personuppgiftslagen har en sådan regel tagits in i 7 §. I kreditupplysningslagen har man använt en annan teknik, nämligen att för varje bestämmelse i lagen ange hur den förhåller sig till grundlagarna. En sådan ordning är förenad med vissa nackdelar, bl.a. riskerar den att leda till motsatsslut. En övergång till en generell regle- ring bör dock föregås av en ingående analys av befintliga bestämmelser. Vissa av dem har införts i förtydligande syfte medan andra har införts därför att den allmänna regleringen av kreditupplysningsverksamheten lämpar sig mindre väl när sådan verksamhet bedrivs genom offent- liggörande på ett sådant sätt som avses i TF och YGL. En sådan analys bör inte göras i detta lagstiftningsärende. I ställer bör i kreditupp- lysningslagen klargöras att den föreslagna ändamålsbestämmelsen inte gäller i den mån den skulle strida mot anskaffarskyddet i TF och YGL. Regeringen avser dock att i lämpligt sammanhang återkomma till frågan om en generell reglering av förhållandet mellan reglerna i kredit- upplysningslagen och reglerna i TF och YGL. Datasäkerhet I 30 32 §§ personuppgiftslagen finns en utförlig reglering av säkerheten vid behandling av personuppgifter. Bestämmelserna reglerar bl.a. vilka säkerhetsåtgärder som skall vidtas och vilken säkerhetsnivå som skall uppnås. Regeringen delar promemorians och remissinstansernas bedöm- ning att regleringen i personuppgiftslagen är tillräcklig när det gäller säkerheten för uppgifter om fysiska personer i kreditupplysnings- verksamhet och att någon särskild reglering för fysiska personer inte bör tas in i kreditupplysningslagen. I detta avseende bör alltså personuppgiftslagen gälla. Personuppgiftslagens säkerhetsbestämmelser gäller dock bara för uppgifter om fysiska personer och inte för uppgifter om juridiska personer. övervägde frågan om datasäkerhet och ansåg att regler om säkerhetsåtgärder behövdes också för juridiska personer. Utredningen föreslog därför att det i kreditupplysningslagen skulle införas en bestämmelse om att den som har rätt att bedriva kreditupplysningsverksamhet är ansvarig för databehandlingen och skall vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder för att hindra att behandlingen sker på ett otillbörligt sätt och att uppgifterna utsätts för otillåten insyn. Som framgår av avsnitt 3 lämnades frågan utanför prop. 1995/96:65 med hänvisning till då pågående arbete. Även regeringen gör bedömningen att det behövs regler om säkerhet för uppgifter avseende juridiska personer. En sådan bestämmelse bör nu tas in i kreditupplysningslagen och den bör utformas efter utredningens förslag. Eftersom kreditupplysningslagen därmed kommer att innehålla en säkerhetsbestämmelse för juridiska personer, bör det i lagen även tas in en erinran om att personuppgiftslagen innehåller bestämmelser om säkerhet vid behandling av personuppgifter. 5.3 Behandling av uppgifter utan samtycke Regeringens förslag: I kreditupplysningsverksamhet skall uppgifter även i fortsättningen få behandlas utan samtycke av den registrerade. Den registrerade kan inte heller motsätta sig viss behandling av uppgifter eller utlämnande av vissa uppgifter. Promemorians förslag överensstämmer med regeringens förslag (se promemorian s. 29 f. och 40 f.). Remissinstanserna: De flesta remissinstanser tillstyrker prome- förslag eller lämnar dem utan någon invändning. Datainspek- tionen instämmer i slutsatsen att kreditupplysningsverksamhet måste få bedrivas utan samtycke men anser att den registrerade själv skall ges rätt att bestämma om kreditupplysningar skall lämnas ut om honom eller henne. ifrågasätter om en ordning som tillåter behandling utan samtycke står i överensstämmelse med direktivet. Skälen för regeringens förslag: Enligt personuppgiftslagen får per- sonuppgifter normalt behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen (10 §). I lagen anges emellertid vissa situationer då behandling får ske utan samtycke. Det gäller om behandlingen är nödvändig bl.a. för att en arbetsuppgift av allmänt intresse skall kunna utföras (10 § d) eller för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos tredje man skall kunna tillgodoses (10 § f). I det sistnämnda fallet krävs dessutom att intresset väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Bestämmelserna motsvarar artikel 7 i direktivet. Kreditupplysningslagen innehåller inte något krav på samtycke för att personuppgifter skall få behandlas i kreditupplysningsverksamhet. Lagen ger inte heller den enskilde möjlighet att motsätta sig viss behandling eller utlämnande av vissa uppgifter. Det finns ett allmänt intresse att kreditupplysningsverksamhet kan bedrivas effektivt. Om möjligheten att behandla uppgifter i varje enskilt fall var beroende av att ett samtycke hade lämnats, skulle effektiviteten allvarligt hämmas och fördyringar uppkomma. Som regel kan det förut- sättas att en person som t.ex. söker kredit eller förutser behovet av en kredit går med på att uppgifter om honom eller henne behandlas. Resultatet blir annars att krediten inte beviljas eller ges på väsentligt sämre villkor. Det bör inte heller frånkännas betydelse att enskilda som väljer att inte lämna sitt samtycke till behandling av uppgifter kanske inte alltid inser nackdelarna med detta, nämligen att de riskerar att t.ex. vägras kredit eller nekas hyra en bostad om deras vederhäftighet i ekonomiskt avseende inte kan kontrolleras. Ett krav på samtycke för att uppgifter om fysiska personer skall få behandlas i kreditupplysningsverksamhet skulle alltså medföra problem, inte bara för kreditupplysningsföretagen utan också för andra närings- idkare och för enskilda. Mot detta måste ställas den enskildes intresse av integritetsskydd. Därvid skall dock beaktas att de uppgifter som behandlas i kreditupplysningsverksamhet som regel kommer från offentliga register och att utlämnandet av uppgifterna till tredje man är reglerat i kreditupplysningslagen. Till exempel får en kreditupplysning om en privatperson inte lämnas ut om det finns anledning att anta att upplysningen kommer att användas av någon annan än den som på grund av ett ingånget eller ifrågasatt kreditavtal eller av någon annan liknande anledning har behov av upplysningen (9 §). Därtill kommer att vissa inte- gritetskänsliga uppgifter över huvud taget inte får behandlas i kredit- upplysningsverksamhet eller behandlas bara efter medgivande från Datainspektionen (6 §). I promemorian anses att personuppgifter bör få behandlas i kredit- upplysningsverksamhet utan att den som uppgiften avser har lämnat sitt samtycke till behandlingen. gjorde samma bedömning (se bet. s. 135 f.). Inte någon av remissinstanserna ger uttryck för motsatt uppfattning. Även regeringen anser att den ordning som gäller är ändamålsenlig och att den om möjligt bör behållas. Frågan är då om direktivet medger att uppgifter får behandlas utan den enskildes samtycke i kreditupplysningsverksamhet. ifrågasätter om så är fallet. Som framgår ovan är det emellertid i direktivet förutsett att viss behandling av personuppgifter måste få ske utan samtycke. I promemorian görs den bedömningen att de undantag från samtyckeskravet som redogjorts för ovan (se 10 § d och f person- uppgiftslagen) är tillämpliga när det gäller behandling av uppgifter i kreditupplysningsverksamhet. Även ansåg att direktivet skulle medge detta. Lagrådet har menat att artikel 7 f i direktivet (10 f § i personuppgiftslagen) inte ger erforderligt stöd för en generell föreskrift om att personuppgifter i kreditupplysningsverksamhet får behandlas utan den registrerades samtycke men har godtagit en sådan regel med hänvisning till artikel 7 e (10 d §). Det står klart att det råder delade meningar om hur artikel 7 f skall tolkas. Regeringen konstaterar dock att direktivet i sig, även med Lagrådets synsätt, medger en sådan regel. Direktivet lär då inte heller tillåta att det uppställs ett krav på samtycke. En annan fråga är om den enskilde bör ges rätt att motsätta sig behandling. Direktivet utgår från en sådan rätt, men tillåter medlems- staterna att i nationell lagstiftning meddela avvikande bestämmelser (se artikel 14 samt 12 § personuppgiftslagen). En rätt för den enskilde att motsätta sig behandling är visserligen mindre hämmande från effek- tivitetssynpunkt än ett allmänt krav på samtycke för behandling. Den innebär ändå klara nackdelar för de berörda. Även den mindre ingripande reglering som Datainspektionen förordar, nämligen att den registrerade skall ges rätt att själv bestämma om kreditupplysningar om honom eller henne skall lämnas ut eller inte, är förenad med nackdelar. I likhet med vad som anförts beträffande sam- tycke finns det en risk för att enskilda som väljer att motsätta sig utläm- nande inte alltid skulle inse nackdelarna med detta. Det har inte heller framkommit något som tyder på att det finnas behov av den förordade regleringen. Därtill kommer, som redan påpekats, att en enskild som t.ex. söker kredit som regel kan förutsättas gå med på att uppgifter om honom eller henne lämnas ut. Regeringen instämmer således även i dessa avseende i promemorians bedömning. Det bör alltså inte införas någon rätt för den enskilde att motsätta sig viss behandling av uppgifter eller utlämnande av vissa uppgifter. För att klargöra vad som gäller i förhållande till 10 § personuppgifts- lagen bör en uttrycklig bestämmelse tas in i 5 § kreditupplysningslagen om att upplysningar får behandlas utan den enskildes samtycke. I enlighet med Lagrådets förslag bör dessutom uttryckligen anges att den enskilde inte heller kan motsätta sig behandlingen. 5.4 Känsliga uppgifter m.m. Regeringens förslag: Uppgifter om hälsa och medlemskap i fack- förening får inte behandlas i kreditupplysningsverksamhet. De sär- skilda reglerna i kreditupplysningslagen om behandling av uppgifter om åtgärder enligt främst det socialrättsliga regelsystemet tas bort. Möjligheten att behandla uppgifter om brott m.m. anpassas till personuppgiftslagen och dataskyddsdirektivet. Promemorians förslag överensstämmer med regeringens förslag med den skillnaden att förbudet mot behandling av uppgifter om åtgärder enligt främst det socialrättsliga regelsystemet föreslås behållas och göras absolut (se promemorian s. 32 f.). Remissinstanserna: De flesta remissinstanser tillstyrker förslagen eller lämnar dem utan någon invändning. Justitiekanslern ifrågasätter om en uppgift om misstanke om brott uppfyller kraven i 9 § personuppgiftslagen (artikel 6 i direktivet), särskilt kravet att uppgifter skall vara riktiga och nödvändiga. Hovrätten över och är tveksam till om behandlingen av brottmålsdomar m.m. bör regleras i kreditupplysningslagen. Kammarrätten i ifrågasätter om inte uppgifter om att någon varit föremål för åtgärder av ekonomisk natur enligt socialtjänstlagen bör få behandlas efter tillstånd från Datainspektionen. och anser att det bör vara tillåtet att i kreditupplysningar använda uppgifter om hälsa och medlemskap i fackförening, om den berörde samtycker till det. menar att Datainspektionen även bör kunna medge behandling av uppgifter om hälsa.