sou · GPB332 · 2002-01-01 00:00:00 — Arbetet skall göras med utgångspunkt i person- uppgiftslagen (1998:204) samt och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Andra viktiga utgångspunkter för arbetet är att vi skall skapa enkla och tydliga regler som är anpassade efter den tekniska utvecklingen på ett sådant sätt att de tillgodoser behovet av ett effektivt IT-stöd i mål- och ärendehanteringen. Det ingår också i vår uppgift att beakta att regleringen av domstolarnas och nämndernas behandling av person- uppgifter utformas på ett sådant sätt att enskildas rätt till personlig integritet skyddas. I vårt uppdrag ingår vidare att undersöka om det finns behov av att ändra eller komplettera de bestämmelser i sekretesslagen (1980:100) som gäller uppgifter vid domstolarna, med anledning av att upp- gifternas varierande sekretessgrad innebär såväl rättsliga som praktiska problem vid en utökad automatiserad hantering av personuppgifter. I ett delbetänkande skall vi redovisa våra förslag när det gäller Regeringsrättens och kammarrätternas målregister, som inte är författningsreglerade, samt övrig behandling av personuppgifter vid domstolar och nämnder som påverkas av att datalagen helt upphör att gälla . Direktiven i sin helhet framgår av bilaga 1. Vårt arbete med delbetänkandet har bedrivits med viss tidspress och målsättningen har varit att göra de anpassningar av bestämmelser om behandling av personuppgifter som är nödvändiga med hänsyn till att datalagen helt upphör att gälla . Den grund- läggande utgångspunkten har varit att de datorsystem som an- vänds av domstolar och nämnder skall kunna användas även fortsätt- ningsvis, i avvaktan på en mer genomgripande reglering. Vi har i den omfattning vi funnit möjligt även tagit hänsyn till de integritetsaspekter som följer av användningen av omfattande automatiserade uppgifts- samlingar i rättsskipande och rättsvårdande verksamhet. Som ett led i granskningen av användningen av personregister har vi genomfört en enkätundersökning som vänt sig till samtliga av utred- ningen berörda domstolar och nämnder. Enkäten redovisas som bilaga 2. Arbetet med detta delbetänkande har bedrivits i nära samråd med experter som representerat de berörda domstolarnas och nämnd- ernas intressen samt experter från , , Data- inspektionen och . Rättslig reglering av behandling av personuppgifter 51 2Rättslig reglering av behandling av personuppgifter regleras den grundläggande ramen för behandling av personuppgifter i personuppgiftslagen (1998:204), som därigenom ersatte datalagen (1973:289). Personuppgiftslagen har sin utgångspunkt i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana upp- gifter (dataskyddsdirektivet). Detta kapitel innehåller en kortfattad ge- nomgång av datalagen, vissa internationella överenskommelser och dataskyddsdirektivet samt en redogörelse för personuppgiftslagens be- stämmelser. Datalagen har ersatts av personuppgiftslagen, vars inne- håll i väsentliga delar avviker från den tidigare lagstiftningen. Datala- gen skall dock fortfarande, fram t.o.m. , tilläm- pas på automatiserad behandling av personuppgifter som påbörjades före . 2.1.1Allmänt om lagen och dess tillämpnings- område Enligt 2 kap. 3 § andra stycket regeringsformen skall den enskilde medborgaren skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databe- handling. Den närmare omfattningen av skyddet, som inte omfattar ju- ridiska personer, skall enligt bestämmelsen anges i lag. Den i regeringsformen avsedda lagen var tidigare datalagen, som fortfarande i begränsad omfattning tillämpas parallellt med personupp- giftslagen. Datalagen reglerar användandet av personregister, med vil- 52 Rättslig reglering av behandling av personuppgifter ket förstås register, förteckning eller andra anteckningar som förs med hjälp av automatisk databehandling och som innehåller personuppgift som kan hänföras till den som avses med uppgifterna. Datalagen om- fattar således endast register som förs med hjälp av automatisk databe- handling. Lagen har, så långt den fortfarande tillämpas, till syfte att hindra att hantering av personregister medför otillbörligt intrång i den personliga integriteten. Integritetsskyddet omfattar endast fysiska per- soner. Den innehåller regler om tillstånd, registeransvarigs skyldighe- ter, tillsyn samt straff och skadestånd. Datalagen skyddar endast mot otillbörligt intrång i den personliga integriteten. Enskilda får alltså räkna med visst intrång. Vad som utgör otillbörligt integritetsintrång får avgöras från fall till fall. Vid sådan prövning skall särskild hänsyn tas till vissa i lagen uppräknade omstän- digheter, nämligen arten och mängden av de personuppgifter som skall ingå i registret, hur och från vem uppgifterna skall inhämtas samt den inställning till registret som föreligger eller kan antas föreligga hos dem som kan komma att registreras. Det skall också särskilt beaktas att inte andra uppgifter eller andra personer registreras, än som står i överens- stämmelse med registrets ändamål. Endast den som hade anmält sig till Datainspektionen och fått licens fick inrätta och föra personregister som omfattas av lagen. För att få fö- ra register som innehöll särskilt känsliga personuppgifter krävdes dess- utom normalt att inspektionen hade meddelat tillstånd. Datainspektio- nens möjlighet att meddela nya tillstånd upphörde , när personuppgiftslagen trädde i kraft. Uppgifter ansågs vara sär- skilt känsliga om de avslöjade att någon t.ex. misstänktes för eller hade dömts för brott, uppbar socialt bistånd eller om uppgifterna berörde personens hälsotillstånd. Också uppgifter om ras, politisk uppfattning, religiös tro eller övertygelse i övrigt föll inom kategorin särskilt känsli- ga uppgifter. Tillstånd från Datainspektionen krävdes också när personregister skulle innehålla omdömen om den registrerade eller uppgifter om per- soner som saknade särskild anknytning till den registeransvarige. Det- samma gällde då personuppgifter inhämtades från andra register och sambearbetades. Vid tillståndsprövningen skulle Datainspektionen ta ställning till om det fanns anledning att anta att registreringen medförde ett otillbörligt intrång i den registrerades integritet. Om så var fallet skulle tillstånd inte lämnas. Meddelade Datainspektionen tillstånd skulle inspektionen Rättslig reglering av behandling av personuppgifter 53 också meddela föreskrift om ändamålet med registret. I den mån det behövdes för att förebygga otillbörligt intrång i personlig integritet fick inspektionen meddela föreskrifter även om t.ex. vilka uppgifter som fick ingå i registret, de bearbetningar av personuppgifter som fick göras med hjälp av automatisk databehandling, bevarande och gallring av uppgifter samt kontroll och säkerhet. I vissa fall behövdes inte tillstånd från Datainspektionen trots att re- gistren innehöll särskilt känsliga uppgifter. Personregister vars inrät- tande beslutats av eller regeringen (s.k. statsmaktsregister) var exempelvis undantagna från tillståndsplikt. Sådana personregister reglerades, och regleras än , ofta i särskilda registerförfattningar. Enligt datalagen är den registeransvarig för vars verksamhet ett person- register förs, om han förfogar över registret. Såväl fysiska personer som företag och myndigheter kan vara registeransvariga. Den regis- teransvarige är skyldig att se till att ett personregister förs så att otill- börligt intrång inte sker i den registrerades personliga integritet. Han eller hon skall även se till att registret förs för sitt ändamål samt att uppgifterna behandlas i överensstämmelse med ändamålet och i enlig- het med lag och andra föreskrifter. Är någon uppgift oriktig eller missvisande skall den rättas, ändras eller uteslutas om det inte saknas anledning att anta att otillbörligt in- trång i den registrerades integritet skall ske. Likaså skall den regis- teransvarige se till att en ofullständig personuppgift kompletteras för att förebygga otillbörligt integritetsintrång eller rättsförlust för den en- skilde. Vidare skall den registeransvarige på begäran av en enskild un- derrätta vederbörande om ett register innehåller personuppgifter om honom eller henne och om så är fallet även underrätta om uppgifternas innehåll (registerutdrag). Om den enskilde lider skada av att oriktiga eller missvisande uppgifter om honom har behandlats i register, skall den registeransvarige ersätta skadan. Den registeransvarige kan även dömas till straff om han eller hon inte följer sina åligganden enligt da- talagen. 54 Rättslig reglering av behandling av personuppgifter Internationella riktlinjer har meddelats för automatisk databehandling av personuppgifter. Bestämmelser av betydelse finns i bl.a. Europarå- dets konvention om skydd för enskilda vid automatisk data- behandling av personuppgifter (dataskyddskonventionen). Konventio- nens innehåll kan ses som en precisering av skyddet vid användning av automatisk databehandling enligt artikel 8 i den europeiska konventio- nen angående skydd för de mänskliga rättighe- terna och de grundläggande friheterna (). Data- skyddskonventionens syfte är att säkerställa den enskildes rätt till per- sonlig integritet i samband med automatisk databehandling av person- uppgifter och att förbättra förutsättningarna för ett fritt informations- flöde över gränserna. Dataskyddskonventionens roll som riktmärke för automatiserad be- handling av personuppgifter inom EU har i princip övertagits av da- taskyddsdirektivet i och med att detta införlivats i medlemsländernas nationella lagstiftningar. Internationella riktlinjer för integritetsskydd och persondataflöde har även utarbetats inom och ut- veckling (). Ett antal internationella organisationer och företag har antagit egna regler om dataskydd som bygger på riktlinjer. Riktlinjerna motsvarar i princip de bestämmelser som återfinns i da- taskyddskonventionen. Det bör tilläggas att antogs ministerdeklaration Protection of Privacy on , som innebar att man slog fast intentionen att i ett internationellt perspektiv harmonisera de regler som bör gälla för hantering av personuppgifter i globala nätverk, för att skydda den personliga integriteten. antogs och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (data- Rättslig reglering av behandling av personuppgifter 55 Direktivets principer om skydd för enskilda person- ers fri- och rättigheter är en precisering och förstärkning av principerna i dataskyddskonventionen . Syftet med direktivet är att ga- rantera dels en hög skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, dels en likvärdig skyddsnivå i alla medlemsstater, så att staterna inte skall kun- na hindra det fria flödet mellan dem av personuppgifter under hänvis- ning till enskilda personers fri- och rättigheter. Dataskyddsdirektivet är direkt bindande för medlemsstaterna i fråga om det resultat som skall uppnås. För att bli gällande rätt måste direkti- vet införlivas i nationell lagstiftning. Medlemsstaterna bestämmer själ- va på vilket sätt direktivet skall införlivas, men är därvid starkt bundna av direktivets innehåll. Medlemsstaterna kan inte föreskriva vare sig ett bättre eller sämre skydd för den personliga integriteten vid behandling av personuppgifter eller för det fria flödet av sådana uppgifter än vad som följer av dataskyddsdirektivet. Dataskyddsdirektivet handlar om fysiska personers skydd. Skyddet för juridiska personer berörs inte av direktivet. Inte heller berörs sådan verksamhet som faller utanför gemenskapsrätten, däribland verksamhet som rör allmän säkerhet, försvar, statens säkerhet och statens verksam- het på straffrättens område. Dataskyddsdirektivet omfattar inte bara automatiserad behandling utan också behandling av personuppgifter, dock endast be- handling av uppgifter som ingår eller kommer att ingå i ett register. Utanför tillämpningsområdet faller t.ex. ostrukturerade akter. Kriteri- erna för när uppgifterna är så strukturerade att fråga är om ett manuellt register bestäms inte i direktivet, utan kan utformas av varje enskild medlemsstat. Dataskyddsdirektivet omfattar inte behandling av person- uppgifter för privat bruk, oavsett om behandlingen är automatiserad eller . 2.3.2Bestämmelser om när personuppgifter får behandlas Enligt dataskyddsdirektivet måste all behandling av personuppgifter vara laglig och korrekt. Uppgifterna måste vara riktiga och aktuella samt adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Ändamålen skall vara uttryckligt angivna vid ti- 56 Rättslig reglering av behandling av personuppgifter den för insamling av uppgifterna. De ändamål för vilka uppgifterna se- nare behandlas får inte vara oförenliga med de ursprungliga ändamålen. Personuppgifter får enligt direktivet behandlas bara i vissa fall. Uppgifter får behandlas efter att den registrerade otvetydigt har lämnat sitt samtycke eller i samband med fullgörande av avtal där den registre- rade är part. Behandling får också ske om den är nödvändig för att full- göra en rättslig förpliktelse, som åvilar den registeransvarige, eller för att skydda vitala intressen för den registrerade. Vidare får behandling ske om den är nödvändig för att utföra en arbetsuppgift som antingen är av allmänt intresse eller utgör ett led i myndighetsutövning. Slutligen får personuppgifter behandlas efter en intresseavvägning, nämligen om intresset av att den registeransvarige får behandla uppgifterna övervä- ger den registrerades intresse av att de inte behandlas. Vissa särskilda i direktivet angivna kategorier av uppgifter får inte behandlas utan uttryckligt samtycke av den registrerade. Det gäller så- dana uppgifter som avslöjar den enskildes ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. I vissa, sär- skilt angivna, undantagsfall får dock sådan behandling ske även utan den enskildes samtycke, t.ex. när behandling av sådana uppgifter är nödvändig för åtgärder inom hälso- och sjukvård. Medlemsländerna får under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse besluta om andra undantag än de som anges i direktivet. Behandling av uppgifter om lagöverträdelser och brottmålsdomar m.m. får utan särskilt stöd i nationell lagstiftning utföras endast under kontroll av en myndighet. 2.3.3Information och rättelse m.m. Dataskyddsdirektivet föreskriver att den registeransvarige skall infor- mera den registrerade om att personuppgifter är föremål för behandling och därvid redogöra för ändamålet med behandlingen. Har uppgifterna inte samlats in från den registrerade själv behöver den registeransvarige inte lämna någon information, om det skulle visa sig vara omöjligt eller innebära en ansträngning som inte står i proportion till nyttan. Den re- gistrerade har dock rätt att på begäran få information om de registrera- de uppgifterna. Vidare har den registrerade rätt att få sådana uppgifter som inte har behandlats i enlighet med direktivet rättade, utplånade el- ler blockerade. Om en uppgift rättas skall den registeransvarige under- rätta tredje man som fått del av den felaktiga uppgiften. Rättslig reglering av behandling av personuppgifter 57 behövs dock inte i de fall där sådan är omöjlig eller förenad med en oproportionerligt stor arbetsinsats. Medlemsstaterna får föreskriva begränsningar i fråga om vissa skyl- digheter och rättigheter, bl.a. informationsskyldigheten och rättigheten att på begäran få tillgång till uppgifter. En sådan begränsning måste dock vara en nödvändig åtgärd med hänsyn till vissa allmänna intres- sen, bl.a. intresset av att undersöka, avslöja och åtala för brott samt skyddet av den registrerades eller andras fri- och rättigheter. Till skydd för den registrerade innehåller direktivet även bestäm- melser om säkerhet vid behandlingen. Genom lämpliga tekniska och organisatoriska åtgärder skall den registeransvarige skydda personupp- gifter mot otillåten behandling samt mot förstöring, förlust, ändring el- ler otillåten spridning. I dataskyddsdirektivet föreskrivs ett relativt omfattande anmälningsför- farande till en tillsynsmyndighet när det gäller helt eller delvis automa- tiserad behandling av personuppgifter. För icke-automatiserade be- handlingar får medlemsländerna föreskriva ett förenklat anmälningsför- farande. Undantag från anmälningsplikt alternativt tillämpning av ett förenklat anmälningsförfarande får också föreskrivas dels om det med hänsyn till de behandlade uppgifterna inte är sannolikt att den registre- rades fri- eller rättigheter kränks, dels om den registeransvarige har ut- sett ett uppgiftsskyddsombud (personuppgiftsombud). 2.3.5Överföring av personuppgifter till tredje land Direktivet syftar till ett fritt flöde av personuppgifter mellan medlems- länderna. Som huvudregel gäller att överföring av personuppgifter som är under behandling, eller är avsedda att behandlas efter överföringen, till ett land utanför EU eller EES (tredje land), får ske endast om det mottagande landets lagstiftning kan säkerställa en adekvat skyddsnivå. Vad som är en adekvat skyddsnivå får avgöras med hänsyn tagen till bl.a. de uppgifter som skall behandlas och ändamålet med behandling- en. I vissa fall får personuppgifter föras över till länder vars lagstiftning i och för sig inte erbjuder en adekvat skyddsnivå. Det gäller bl.a. om den registrerade går med på att överföring sker eller om överföringen är nödvändig eller bindande enligt författning av skäl som rör viktiga all- männa intressen. Exempel på det sistnämnda är vissa överföringar vid 58 Rättslig reglering av behandling av personuppgifter internationellt utbyte av uppgifter mellan skattemyndigheter eller tull- myndigheter. Dataskyddsdirektivet skulle vara införlivat i medlemsländernas natio- nella lagstiftningar . När det gäller sådan behandling av personuppgifter som pågick , skall denna bringas i överensstämmelse med direktivet senast därefter. I fråga om register gäller dock en övergångstid från direktivets ikraftträdande. För del har införlivande av di- rektivet skett genom personuppgiftslagen, som trädde i kraft just . Enligt övergångsbestämmelserna till lagen skall dock äldre lagstiftning, dvs. datalagen, tillämpas i sådana fall och under de tider som anges i dataskyddsdirektivet i fråga om bl.a. pågående be- handling av personuppgifter. Med anledning av att dataskyddsdirektivet skulle antas, beslutade rege- ringen att tillsätta . Kommitténs uppgift var att göra en total revision av datalagen och utreda på vilket sätt di- rektivet skulle införlivas i svensk rätt. Uppdraget redovisades i betän- kandet Integritet – Offentlighet – Informationsteknik (SOU 1997:39). Personuppgiftslagen (1998:204) bygger i allt väsentligt på det förslag som lades fram i betänkandet. 2.4.1Allmänt om lagen och dess tillämpnings- område Dataskyddsdirektivet bygger på att själva hanteringen av personupp- gifter regleras. Personuppgiftslagen följer direktivets struktur och avvi- kelser görs endast när det finns särskilda skäl för det. I likhet med di- rektivet reglerar personuppgiftslagen själva hanteringen av personupp- gifter och inte bara missbruk av sådana uppgifter. Det innebär att be- handling av personuppgifter som inte sker med stöd av personupp- giftslagen är otillåten. I motiven (prop. 1997/98:44, s. 36 f.) konstaterar regeringen dock att en framtida ordning där bara missbruket regleras är Rättslig reglering av behandling av personuppgifter 59 önskvärd, men en sådan ordning måste då föregås av ett reviderat EG- direktiv. Personuppgiftslagen är utformad så att den är teknikoberoende. Den tillämpas på all – helt eller delvis – automatiserad behandling av per- sonuppgifter. Dessutom är lagen tillämplig på behandling av uppgifter som ingår, eller är avsedda att ingå, i en strukturerad samling av personuppgifter vilka är tillgängliga för sökning eller sammanställ- ning enligt särskilda kriterier (5 §). Personuppgiftslagen är mer generell än dataskyddsdirektivet och omfattar även sådan verksamhet som faller utanför gemenskapsrätten. Personuppgiftslagen omfattar nämligen, på samma sätt som datalagen, behandling av personuppgifter hos bl.a. polisen och försvaret. Det är emellertid inte all behandling av uppgifter som omfattas av personuppgiftslagen. Behandling av uppgifter om juridiska personer omfattas över huvud taget inte och sådana uppgifter utgör definitions- mässigt inte personuppgifter (3 §). Inte heller behandling som en fysisk person utför i verksamhet av rent privat natur omfattas av lagen, även om behandlingen avser personuppgifter (6 §). Dessutom undantas all behandling av personuppgifter som skyddas av tryckfrihetsförordning- en och yttrandefrihetsgrundlagen eller som sker uteslutande för journa- listiska ändamål eller konstnärligt eller litterärt skapande (7 §). Särreglering i lag eller förordning – bl.a. de särskilda registerför- fattningarna – gäller enligt 2 § framför personuppgiftslagen. I 8 § anges dessutom särskilt att lagen inte får inskränka myndigheternas skyldig- het att lämna ut personuppgifter enligt 2 kap. tryckfrihetsförordningen. I samma lagrum anges även att lagen inte heller hindrar att en myndig- het arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Dataskyddsdirektivet innehåller ett antal huvudregler som måste in- gå i nationell lagstiftning. Ofta är dessa huvudregler och principer all- mänt hållna i direktivet. För att kunna tillämpas av de personuppgifts- ansvariga har de preciserats och konkretiserats i personuppgiftslagen. Lagen innehåller dock inte några detaljbestämmelser som fyller ut de generellt hållna huvudreglerna. I stället överlämnas det åt regeringen och Datainspektionen att inom den ram som personuppgiftslagen drar upp göra nödvändiga preciseringar och konkretiseringar. Några av de mer centrala begreppen i personuppgiftslagen definieras i 3 § på följande sätt. Personuppgifter i lagens mening är all slags infor- mation som direkt eller indirekt kan hänföras till en fysisk person som 60 Rättslig reglering av behandling av personuppgifter är i livet. Det innebär att varken juridiska personer eller avlidna fysiska personer omfattas av lagens tillämpningsområde. Med behandling av personuppgifter avses varje åtgärd som vidtas med uppgifterna, vare sig det sker på automatiserad väg eller inte, t.ex. insamling, lagring, be- arbetning, inhämtande, utlämnande, samkörning eller förstöring. Per- sonuppgiftsansvarig är den som ensam eller tillsammans med andra be- stämmer ändamålen med och medlen för behandlingen av personupp- gifter. Med samtycke avses varje slag av frivillig, särskild och otvety- dig viljeyttring genom vilken den registrerade, efter att ha fått informa- tion, godtar behandling av personuppgifter som rör honom eller henne. Lagen uppställer alltså inget krav på att samtycke skall vara skriftligt eller på annat sätt formbundet. 2.4.3Förutsättningar för behandling av person- uppgifter Grundläggande krav (9 §) Enligt personuppgiftslagen skall personuppgifter alltid behandlas på ett korrekt och lagligt sätt samt i enlighet med god sed. De skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Efter in- samlingen får uppgifterna inte behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in, vilket bl.a. inne- bär att uppgifterna inte får lämnas ut till annan om det är oförenligt med de ursprungliga ändamålen. Att ändamålen skall vara särskilda in- nebär att en alltför allmänt hållen ändamålsbeskrivning inte får godtas.