sou · GPB332 · 2002-01-01 00:00:00 — Hur detaljerad ändamålsbeskrivningen måste vara får avgöras i praxis och genom föreskrifter från regeringen och Datainspektionen. Det an- ses inte oförenligt med de ursprungliga ändamålen att behandla upp- gifterna för historiska, statistiska eller vetenskapliga ändamål. De behandlade uppgifterna måste vara riktiga och relevanta och inte alltför omfattande i förhållande till de ändamål för vilka de behandlas. Om det är nödvändigt skall uppgifterna också vara aktuella. Uppfyller personuppgifterna inte kraven skall den personuppgiftsansvarige vidta alla rimliga åtgärder för att utplåna, blockera eller rätta uppgifterna. Personuppgifterna får inte heller sparas längre än nödvändigt med hän- syn till de ändamål för vilka uppgifterna behandlas. Därefter måste de avidentifieras eller förstöras. Eftersom personuppgiftslagen är sekundär till annan lagstiftning, får uppgifter emellertid inte avidentifieras eller på annat sätt förstöras (dvs. gallras) om det strider mot bl.a. tryckfri- hetsförordningens bestämmelser om allmänna handlingar. Rättslig reglering av behandling av personuppgifter 61 När behandling av personuppgifter är tillåten (10–12 §§) Enligt personuppgiftslagen är det tillåtet att behandla personuppgifter efter den registrerades samtycke. Återkallar den registrerade sitt sam- tycke får ytterligare personuppgifter om denne inte registreras. I vissa fall får dock personuppgifter behandlas trots att samtycke från den re- gistrerade saknas. En förutsättning i samtliga dessa fall är att behand- lingen är nödvändig för ändamålen. Här kan anmärkas att de flesta au- tomatiserade bearbetningar av personuppgifter också kan utföras ma- nuellt. Nödvändighetsrekvisitet har av tolkats så att personuppgifter får behandlas även i de fall det är faktiskt möjligt att utföra uppgiften på annat sätt, om förfarandet underlättas genom an- vändningen av automatisk databehandling (SOU 1997:39 s. 359). Personuppgifter får behandlas i samband med ett avtal med den re- gistrerade när det krävs för fullgörandet av avtalet eller när det behövs för att på den registrerades begäran vidta åtgärder innan avtalet träffas. Vidare får behandling utföras om det är nödvändigt för att den person- uppgiftsansvarige skall kunna fullgöra en rättslig skyldighet som åvilar honom eller henne. Personuppgifter får också behandlas för att skydda vitala intressen för den registrerade. Likaså får sådana uppgifter be- handlas om det är nödvändigt för att en arbetsuppgift av allmänt intres- se skall kunna utföras och för att den personuppgiftsansvarige, eller någon annan till vilken personuppgifter har lämnats ut, skall kunna ut- föra en arbetsuppgift i samband med myndighetsutövning. Slutligen får personuppgifter behandlas om en avvägning ger vid handen att den personuppgiftsansvariges berättigade intresse av en be- handling väger tyngre än den registrerades intresse av skydd. Vid in- tresseavvägningen jämställs med den personuppgiftsansvarige också sådana tredje män till vilka uppgiften lämnas ut. Förbud mot att behandla känsliga personuppgifter (13 §) I personuppgiftslagen återfinns dataskyddsdirektivets förbud i fråga om behandling av känsliga personuppgifter. Personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse samt medlemskap i fackförening får alltså inte behandlas. Likaså är det förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. 62 Rättslig reglering av behandling av personuppgifter Undantag från förbudet (14–20 §§) Förbudet mot att behandla känsliga personuppgifter är inte undantags- löst. Sådana uppgifter får liksom andra uppgifter behandlas efter den registrerades samtycke. Till skillnad från när samtycke krävs i andra sammanhang måste i fråga om känsliga personuppgifter samtycket emellertid vara uttryckligt, dvs. Även när den regist- rerade har offentliggjort känsliga uppgifter på ett tydligt sätt får de be- handlas. Vidare får behandling utföras om den är nödvändig för att den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller ut- öva sina rättigheter inom arbetsrätten. I stort sett gäller det fullgörandet av alla skyldigheter och rättigheter för arbetsgivaren beträffande de an- ställda och deras organisationer. De uppgifter som behandlas under denna förutsättning får lämnas ut till tredje man endast om det inom arbetsrätten finns en uttrycklig skyldighet för den personuppgiftsansva- rige att göra det eller om den registrerade har samtyckt till utlämnandet. Förbudet mot att behandla känsliga personuppgifter gäller inte hel- ler när behandlingen utförs inom ramen för ideella organisationers be- rättigade verksamhet med ett politiskt, filosofiskt, religiöst eller fack- ligt syfte. Behandlingen får bara avse uppgifter om medlemmar eller personer som organisationen på grund av sitt ändamål har regelbunden kontakt med. Utlämnande av sådana uppgifter till tredje man kräver den registrerades samtycke. Förbudet gäller inte om behandlingen rör uppgifter som är nödvän- diga för att rättsliga anspråk skall kunna slås fast, göras gällande eller försvaras. Detta gäller när det förhållande som faller in under definitio- nen av känsliga personuppgifter också är en förutsättning för att perso- nen i fråga skall ha rätt till en förmån eller ha en rättslig skyldighet gentemot någon annan. Som exempel kan nämnas rätten för en sjuk person att få försäkringsersättning eller skyldigheten för den som till- hör att betala avgift. Ett ytterligare undantag från förbudet att behandla känsliga person- uppgifter är när den registrerade är rättsligt eller fysiskt förhindrad att lämna samtycke och behandlingen är nödvändig för att skyd- da dennes eller någon annans vitala intressen. Vidare undantas be- handling som är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling samt administ- ration av hälso- och sjukvård. Behandlas uppgifterna av någon som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och som är underkastad tystnadsplikt, gäller förbudet inte heller. Slut- ligen undantas, under vissa förutsättningar, behandling för forskning och statistik från förbudet. Rättslig reglering av behandling av personuppgifter 63 Regeringen eller den myndighet som regeringen bestämmer, dvs. Datainspektionen, får meddela föreskrifter om ytterligare undantag, om det behövs med hänsyn till ett viktigt allmänt intresse. Uppgifter om brott och användning av personnummer (21–22 §§) Vissa uppgifter som inte omfattas av definitionen av känsliga person- uppgifter är ändå sådana att behandlingen av dem regleras särskilt i personuppgiftslagen, liksom i dataskyddsdirektivet. Det är således för- bjudet för andra än myndigheter att behandla personuppgifter om lag- överträdelser, domar och säkerhetsåtgärder i brottmål. Regeringen eller Datainspektionen har dock möjlighet att föreskriva undantag från för- budet, om det är befogat att behandlingen utförs av annan än myndig- het och behandlingen står under tillfredsställande kontroll av en myn- dighet. Regeringen eller, om regeringen bestämmer det, Datainspektio- nen får dessutom föreskriva undantag från förbudet i enskilda fall. Regleringen i personuppgiftslagen om behandling av denna typ av uppgifter innebär ett betydande avsteg från datalagens bestämmelser, enligt vilka det krävdes synnerliga skäl för att annan än myndighet skulle få föra register med uppgift om att någon är misstänkt eller dömd för brott. Uppgifter om personnummer och samordningsnummer får behand- las bara när den registrerade samtycker till det eller när det är klart mo- tiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. 2.4.4Information och rättelse m.m. Personuppgiftslagen innehåller bestämmelser som tryggar den registre- rades rätt att dels kontrollera om behandling av personuppgifter om ho- nom eller henne pågår, dels begära rättelse av personuppgifter som har behandlats felaktigt. Information (23–27 §§) Personuppgiftslagens bestämmelser om informationsskyldighet gäller i första hand den information som den personuppgiftsansvarige själv- mant har att lämna. Rätten att på begäran få ut uppgifter i allmänna handlingar följer främst av tryckfrihetsförordningen, dock att den rätten i vissa fall begränsas genom bestämmelser i sekretesslagen, men det finns bestämmelser även i personuppgiftslagen. 64 Rättslig reglering av behandling av personuppgifter Den personuppgiftsansvarige skall självmant lämna den registrerade information rörande behandlingen, när uppgifter om en person samlas in från denne själv. Har uppgifterna samlats in från en annan källa, skall den registrerade informeras när uppgifterna noteras eller, om av- sikten med behandlingen är att lämna ut uppgifterna till tredje man, när uppgifterna lämnas ut . Informationen skall omfatta uppgifter om vem den personuppgiftsansvarige är, ändamålet med be- handlingen samt all övrig information som den registrerade behöver för att kunna ta tillvara sina rättigheter i samband med behandlingen. En- dast sådana uppgifter som den registrerade inte redan känner till behö- ver lämnas. Har uppgifterna hämtats in från en annan källa än den registrerade själv behöver information inte lämnas om det är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Inte heller behöver in- formation lämnas om det i lag eller annan författning finns särskilda bestämmelser om registreringen eller utlämnandet av personuppgifter. Den personuppgiftsansvarige är vidare skyldig att efter ansökan, en gång per kalenderår, gratis informera om huruvida uppgifter som rör sökanden behandlas eller inte, ändamålet med behandlingen, vilka upp- gifter som behandlas, varifrån dessa kommer och till vem de lämnas ut. Information behöver emellertid inte lämnas beträffande personupp- gifter som behandlas endast i löpande text som ännu inte har fått sin slutliga utformning eller som utgör minnesanteckningar, under förut- sättning att uppgifterna inte har lämnats ut till tredje man eller – i fråga om uppgifter i löpande text – behandlingen inte har pågått . Bestämmelserna om informationsskyldighet gäller över huvud taget inte om sekretess eller tystnadsplikt för uppgifterna är föreskriven i förhållande till den registrerade. Rättelse m.m. (28 §) Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med den föreslagna personuppgiftslagen eller anknytande föreskrifter skall på begäran av den registrerade rättas, utplånas eller blockeras av den personuppgiftsansvarige. Med blocke- ring avses varje åtgärd som kan vidtas för att de aktuella personupp- gifterna i alla sammanhang skall vara förknippade med tydlig informa- tion om att de är spärrade och inte får lämnas ut till tredje man samt om anledningen till spärren. Om felaktiga personuppgifter har lämnats till tredje man, skall den- ne i vissa fall underrättas om korrigeringsåtgärden, nämligen om den registrerade begär det eller om det behövs för att undvika mera bety- Rättslig reglering av behandling av personuppgifter 65 dande skada eller olägenhet för den registrerade. Eftersom den person- uppgiftsansvarige inte har någon skyldighet att hålla reda på till vem uppgifter lämnas ut och då uppgifter ibland kan lämnas till ett stort an- tal människor, innehåller bestämmelsen det undantaget att underrättelse inte behöver ske om det är omöjligt eller skulle innebära en opropor- tionerligt stor arbetsinsats. Bestämmelser som avser att säkerställa att behandlingen av personupp- gifter sker på ett betryggande sätt finns i 30 och 31 §§ personupp- giftslagen. Den personuppgiftsansvarige har ett stort ansvar för säker- heten. Bland annat får de personer som arbetar med personuppgifter behandla dessa endast efter den personuppgiftsansvariges instruktioner. Instruktionerna bör i vart fall vara utformade på ett sådant sätt att var och en som arbetar med personuppgifter skall veta vilka ändamålen är med behandlingen och att behandling som är oförenlig med dessa än- damål är förbjuden. För det allmännas verksamhet gäller att om det i annan lagstiftning finns bestämmelser om säkerheten vid behandling av personuppgifter, skall i stället de bestämmelserna tillämpas. Det gäller framför allt bestämmelser om tystnadsplikt och sekretess. Den personuppgiftsansvarige har vidare ansvar för att tekniska och organisatoriska åtgärder vidtagits för att skydda de behandlade person- uppgifterna. Åtgärderna skall åstadkomma en lämplig säkerhetsnivå med beaktande av de tekniska möjligheter som finns, kostnaden för att genomföra åtgärderna, riskerna med behandlingen och hur känsliga de behandlade uppgifterna är. Ett register som innehåller personuppgifter om ett stort antal personer ställer också ökade krav på säkerheten. Datainspektionen får enligt 32 § personuppgiftslagen i enskilda fall besluta om vilka skyddsåtgärder en personuppgiftsansvarig skall vidta. Om ett sådant beslut inte följs kan inspektionen enligt 45 § föreskriva vite. 2.4.6Överföring av personuppgifter till tredje land Det är enligt 33 § personuppgiftslagen förbjudet att föra över person- uppgifter till en stat utanför EU eller EES (tredje land) som inte har en adekvat nivå för skyddet av personuppgifter. Förbudet gäller både upp- gifter som är under behandling och uppgifter som skall undergå be- handling i det tredje landet. 66 Rättslig reglering av behandling av personuppgifter Vid bedömningen av om ett land utanför EU eller EES har en ade- kvat skyddsnivå skall hänsyn tas till samtliga omständigheter som har samband med överföringen. I lagen anges uttryckligen att särskild vikt skall läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ursprungslandet, det slutliga bestäm- melselandet och de regler som finns för behandlingen i det tredje lan- det. Från förbudet mot överföring av personuppgifter till tredje land finns undantag i 34 och 35 §§. Har den registrerade samtyckt till det, får uppgifter om denne föras över till tredje land. Det är också tilllåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till dataskyddskonvention. Uppgifter får även i andra fall föras över till tredje land om behand- lingen är nödvändig för att fullgöra ett avtal – mellan den registrerade och den personuppgiftsansvarige eller mellan den personuppgiftsansva- rige och tredje man – som är i den registrerades intresse eller för att på den registrerades begäran vidta åtgärder innan ett avtal träffas. Vidare får överföring ske om behandlingen är nödvändig för att kunna fast- ställa, göra gällande eller försvara rättsliga anspråk eller för att skydda vitala intressen för den registrerade. Regeringen får meddela föreskrifter om undantag från förbudet att föra över personuppgifter till vissa stater. Regeringen eller, om rege- ringen bestämmer det, Datainspektionen får också föreskriva undantag när det behövs med hänsyn till viktiga allmänna intressen eller om överföringen sker under sådana omständigheter att det finns tillräckliga garantier till skydd för de registrerades rättigheter. Dessutom får rege- ringen och Datainspektionen under vissa förutsättningar besluta om undantag från förbudet i enskilda fall. 2.4.7Datainspektionens befogenheter som tillsynsmyndighet Enligt dataskyddsdirektivet skall en särskild tillsynsmyndighet utses. Den personuppgiftsansvariges anmälan om behandlingar av person- uppgifter skall göras till tillsynsmyndigheten, som även skall utöva till- syn över behandlingen. Vissa av de befogenheter som enligt direktivet tillkommer tillsynsmyndigheten regleras i 43–47 §§ personuppgiftsla- gen. Således innehåller lagen bestämmelser om att tillsynsmyndigheten (Datainspektionen) skall ha tillgång till behandlade personuppgifter och dessutom tillträde till lokaler med anknytning till behandlingen. Datainspektionen kan också vid vite förbjuda fortsatt behandling samt ansöka hos länsrätt om att personuppgifter skall utplånas. Rättslig reglering av behandling av personuppgifter 67 2.4.8Anmälan till Datainspektionen m.m. Anmälningsskyldighet (36 §) Helt eller delvis automatiserad behandling av personuppgifter omfattas av anmälningsskyldighet. Den personuppgiftsansvarige skall göra så- dan anmälan till Datainspektionen. Syftet med anmälningsskyldigheten är att göra behandlingens ändamål och dess viktigaste egenskaper kän- da. Datainspektionen skall föra register över anmälda behandlingar. Personuppgiftslagen har i denna del två motstridiga intressen som utgångspunkt. Det finns å ena sidan ett önskemål om att ta bort anmäl- ningsskyldigheten för automatiserad behandling för att på så sätt kon- centrera Datainspektionens verksamhet till att ge råd och sprida kun- skap om de materiella reglerna samt att utöva tillsyn över att reglerna följs. Å andra sidan föreskriver dataskyddsdirektivet som huvudregel att den registeransvarige till tillsynsmyndigheten skall anmäla automa- tiserade behandlingar som skall genomföras. Från denna anmälnings- skyldighet får ett medlemsland dock under vissa förutsättningar före- skriva undantag. För att kunna tillgodose både kravet att följa direktivet och önske- målet att begränsa anmälningsskyldigheten, har i personuppgiftslagen en principiell anmälningsskyldighet till Datainspektionen införts, sam- tidigt som möjligheterna att föreskriva om undantag från skyldigheten har utnyttjats fullt ut. När fråga är om särskilt integritetskänsliga be- handlingar, som Datainspektionen skall kontrollera innan de påbörjas, föreskrivs dock inga undantag från anmälningsskyldigheten. Enligt personuppgiftslagen får regeringen eller, efter regeringens bemyndigande, Datainspektionen föreskriva undantag från anmälnings- skyldigheten. Sådana undantag föreskrivs i personuppgiftsförordningen (1998:1191) för behandling av personuppgifter som utförs till följd bl.a. av en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut allmänna handlingar eller som regleras genom särskilda fö- reskrifter i lag eller förordning i andra fall. Personuppgiftsombud (37–40 §§) Anmälan till Datainspektionen behöver inte göras när ett personupp- giftsombud har utsetts av den personuppgiftsansvarige. Personupp- giftsombudet skall ha till uppgift att självständigt se till att den person- uppgiftsansvarige behandlar personuppgifter på ett korrekt och lagligt sätt. Kravet på självständighet innebär att personuppgiftsombudet inte får ha en alltför underordnad ställning i förhållande till den personupp- 68 Rättslig reglering av behandling av personuppgifter giftsansvarige och att han eller hon skall ha tillräckliga kvalifikationer och kunskaper för att kunna utföra sina uppgifter. I första hand skall personuppgiftsombudet påpeka brister i uppgifts- behandlingen till den personuppgiftsansvarige, men om den ansvarige inte rättar till bristerna är ombudet skyldigt att anmäla förhållandet till Datainspektionen. Personuppgiftsombudet skall ha en förteckning över de behandlingar som den personuppgiftsansvarige utför och han skall även hjälpa registrerade personer att få rättelse vid misstanke om att personuppgifter är felaktiga eller ofullständiga. Förhandskontroll av särskilt integritetskänsliga behandlingar (41 §) Enligt dataskyddsdirektivet skall medlemsstaterna bestämma vilka be- handlingar som kan innebära särskilda risker för den registrerades rät- tigheter och säkerställa att dessa behandlingar kontrolleras innan de påbörjas. Förhandskontrollen skall enligt direktivet utföras av till- synsmyndigheten men kan också utgöra ett led i lagstiftningsprocessen. Förhandskontroll kan således ske i samband med att särskilda register- författningar beslutas av eller regeringen. I fråga om sådana register krävs ingen särskild reglering för att uppfylla direktivets vill- kor. I andra fall krävs däremot bestämmelser om vilka behandlingar som skall kontrolleras på förhand. I personuppgiftslagen finns ett bemyndi- gande för regeringen att bestämma att vissa behandlingar av person- uppgifter som kan innebära särskilda risker för otillbörligt intrång i den personliga integriteten skall anmälas till Datainspektionen i förväg. I personuppgiftsförordningen finns bestämmelser om sådana behandlingar. Skadestånd (48 §) Om behandling av personuppgifter i strid med personuppgiftslagen or- sakar skada för den registrerade har han rätt till ersättning från den per- sonuppgiftsansvarige. Rätten till ersättning omfattar inte bara per- sonskada, sakskada och ren förmögenhetsskada, utan även den kränk- ning av den personliga integriteten som behandlingen kan ha medfört. Ersättningen för kränkning måste uppskattas efter skälighet mot bak- grund av samtliga omständigheter i det aktuella fallet, t.ex. om den re- gistrerade på grund av behandlingen utsatts för något för honom eller Rättslig reglering av behandling av personuppgifter 69 henne negativt beslut. Ersättningen skall fastställas för varje kränkt re- gistrerad för sig. Skadeståndsansvaret är i princip strikt. Den registrerade behöver ba- ra bevisa att det förekommit en felaktig behandling och att denna be- handling har skadat eller kränkt honom eller henne. Kan den person- uppgiftsansvarige visa att felet i behandlingen inte berodde på honom eller henne, får emellertid skadeståndet jämkas i skälig utsträckning. Straff (49 §) I personuppgiftslagen har i så stor utsträckning som möjligt andra sanktioner valts än straff. Således har vissa förseelser som i datalagen återfinns i en straffkatalog i stället sanktionerats genom vite eller ge- nom möjligheten att utdöma ideellt skadestånd. Vad som återfinns i straffbestämmelsen i personuppgiftslagen är sådana uppsåtliga eller oaktsamma förfaranden som är svåra att åtgärda på annat sätt än genom straffbestämmelser. Det rör sig om att någon lämnar osanna uppgifter i den information till den registrerade som lagen föreskriver eller i an- mälan eller information till Datainspektionen. Vidare tillämpas straff- bestämmelsen om någon i strid med lagen behandlar känsliga person- uppgifter, för över uppgifter till tredje land eller låter bli att göra före- skriven anmälan om behandling till Datainspektionen. Straffbestäm- melsens tillämpbarhet är begränsad genom att det inte skall dömas till ansvar vid förfaranden som är ringa. Personuppgiftslagen trädde i kraft och upphörde datalagen att gälla. I fråga om behandling av personuppgifter som påbörjats före ikraftträdandet skall personuppgiftslagen dock inte tillämpas förrän . Detsamma gäller behandling som utförs för ett visst bestämt ändamål om behandling för ändamålet på- börjades före ikraftträdandet. I dessa fall gäller i stället datalagens be- stämmelser. I fråga om behandlingar som påbörjades före ikraftträdandet skall vissa bestämmelser i lagen tillämpas först . Det gäller 9 och 10 §§ som reglerar de grund- läggande kraven på behandling av personuppgifter och när behandling är tillåten samt 13 och 21 §§ om behandling av känsliga personuppgif- ter och uppgifter om lagöverträdelser m.m. Personregister m.m. hos domstolarna och nämnderna 71 3Personregister m.m. hos domstolarna och nämnderna Datorutvecklingen inom rättsväsendet har pågått . Ge- nerellt har domstolarna och nämnderna, jämfört med stora delar av den offentliga sektorn, inte legat i framkant i fråga om utnyttjandet av da- torteknik. och var det främst inom kanslifunktionerna som visst datorstöd utnyttjades. Därefter har utvecklingen gått snabbare och samtliga domstolar och nämnder använder sig av datorteknik för framställning av doku- ment med hjälp av ord- och textbehandling. De flesta domstolar har dessutom tillgång till större verksamhetsstödjande datorsystem. I detta kapitel redovisar vi övergripande hur datortekniken an- vänds vid domstolar och nämnder. Kapitlet inleds med en genomgång av innehållet i de gällande registerförordningarna för domstolar- na.