sou · GPB328d1 · 2002-01-01 00:00:00 — Även i andra fall är en gärning inte brottslig om den med hänsyn till omständigheterna är försvarlig. Vidare är in- och utförsel förbjudet (lag 1998:1443 om förbud mot införsel och utförsel av barnpornografi). Barnpornografiska bilder skall förverkas. Förverkande får underlåtas om det skulle vara oskäligt (lag 1994:1478 om förverkande av barnpornogra- fi). Eftersom bl.a. kriminaliseringen av innehav av barnpornografisk bild är oförenlig med viktiga tryckfrihetsrättsliga principer lyftes barnpornogra- fibrottet ut från TF och YGL vid grundlagsändringar (1 kap. 10 § TF och 1 kap. 13 § YGL).11 SFS 1998:1444, prop. 1997/98:43, bet. 1997/98:KU19, 1998/99:KU4, 1997/98:214, 1998/99:2. SFS 1998:1439, prop. 1997/98:43, bet. 1997/98KU19, 1998/99:KU4, rskr. 1997/98:214, 1998/99:2 trädde den nya personuppgiftslagen (PuL)12 i kraft och ersatte därmed datalagen . Den nya lagen bygger till största delen på ett EG-direktiv – Rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av per- sonuppgifter och om det fria flödet av sådana uppgifter (i fortsättningen kallat dataskyddsdirektivet), vilket låg till grund för översyn av den då gällande datalagen.13 Lagen återspeglar väl innehållet i direktivet, vilket som EG-rätt påverkar det svenska handlingsutrymmet när det gäller skyddet för yttrandefriheten (jfr kap. 7). behandlade för sin del förhållandet mellan den svens- ka grundlagsregleringen och dataskyddsdirektivet (SOU 1997:49 s. 241 ff.). Kommittén kom fram till att det visserligen på flera punkter förelåg motstridigheter mellan reglerna i TF och YGL å ena sidan och da- taskyddsdirektivet å andra sidan men att möjligheterna till undantag från direktivets regler enligt artikel 9 var vidare än vad artikelns ordalydelse gav vid handen. Kommittén ansåg att utnyttjandet av de undantagsmöjlig- heter som direktivet gav borde ske genom att det i den nya datalagstiftning som direktivet gav upphov till skulle klart anges att datalagens bestämmel- ser inte gäller på TF:s och . Den nya personuppgiftslagen kom också att utformas på detta sätt, se nedan. Mediegrundlagsutredning- en behandlar dataskyddsdirektivet i kapitel 7. PuL gäller själva behandlingen av personuppgifter. En personuppgift är enligt lagen all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Med behandling av personuppgifter avses i stort sett allt man kan göra med sådana uppgifter, t.ex. att samla in, söka, bevara och sprida uppgifter. Den nya lagen omfattar behandling av personuppgifter som är helt eller delvis automatiserad – dvs. i första hand datoriserad. Lagen gäller dock även för behandling om uppgifter- na ingår i eller är avsedda att ingå i en strukturerad samling av personupp- gifter som är tillgängliga för sökning eller sammanställning enligt särskil- da kriterier (5 § andra stycket PuL). 12SFS 1998:204, prop. 1997/98:44, bet. 1997/98:KU18, rskr. 1997/98:180. En ändring trädde i kraft som innebar att bemyndigandena i PuL för regeringen eller den myndighet som regeringen bestämmer att i vissa fall med- dela föreskrifter numera även omfattar behandling av personuppgifter som omfattas av lagen (SFS 1998:1436, prop. 1997/98:44, bet. 1997/98:KU3, rskr. 1998/99:1). 13SOU 1997:39, Integritet, offentlighet, informationsteknik. Behandling av personuppgifter som är av rent privat natur är undanta- gen från PuL:s tillämpningsområde (6 § PuL). Förhållandet till tryck- och yttrandefriheten läggs fast i 7 §. Lagen gäller inte i de fall tillämpningen skulle strida mot bestämmelser i eller YGL. Vidare gäller endast delar av lagen för sådan behandling som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt ska- pande. Det senare undantaget har sin bakgrund i artikel 9 i dataskyddsdi- rektivet vilket föreskriver att undantag för sådant ändamål eller skapande får göras, men endast om de är nödvändiga för att förena rätten till privat- livet med reglerna om yttrandefriheten. Undantag i PuL görs även för offentlighetsprincipen. I 8 § stadgas bl.a. att lagen inte skall tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. TF att lämna ut personuppgifter. La- gen hindrar inte heller att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. I di- rektivets s.k. preambel (inledning) finns även en förklaring att genomfö- randet av direktivet gör det möjligt att ta hänsyn till principen om allmän- hetens rätt till tillgång till allmänna handlingar (p. PuL slår inledningsvis fast vissa grundläggande krav på alla former av behandling av personuppgifter som omfattas av lagen. Dessa krav som riktar sig mot den personuppgiftsansvarige, dvs. den som ensam eller till- sammans med andra bestämmer ändamålen med och medlen för behand- lingen av personuppgifter, innebär bl.a. att denne skall tillse att person- uppgifter behandlas endast om det är lagligt, att det sker på ett korrekt sätt och i enlighet med god sed, att personuppgifter samlas in bara för särskil- da, uttryckligt angivna och berättigade ändamål, att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgif- terna samlades in, att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, att inte fler per- sonuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen, att de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella, att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofull- ständiga med hänsyn till ändamålen med behandlingen, och att personupp- gifter inte bevaras än vad som är nödvändigt med hän- syn till ändamålen med behandlingen. För uppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål gäller särskilda regler. PuL innehåller också en uttömmande uppräkning av de fall då person- uppgifter får behandlas (10 §). Bland annat får personuppgifter i princip behandlas om den registrerade har lämnat sitt samtycke. I annat fall krävs att behandlingen är nödvändig för vissa angivna ändamål, t.ex. för att ett avtal med den registrerade skall kunna fullgöras, för att den personupp- giftsansvarige skall kunna fullgöra en rättslig skyldighet, för att skydda vitala intressen för den registrerade, för att utföra en arbetsuppgift av all- mänt intresse eller i samband med myndighetsutövning. Avslutningsvis anges att behandling är tillåten utan samtycke om det vid en intresseav- vägning visar sig att ett berättigat intresse hos den personuppgiftsansvari- ge eller hos en sådan tredje man till vilken personuppgifterna lämnas ut väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. För behandling av känsliga personuppgifter gäller ett principiellt för- bud (13 §). Med känsliga personuppgifter avses uppgifter som avslöjar den registrerades ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening samt uppgifter som rör dennes hälsa eller sexualliv. Om den registrerade har lämnat sitt samtycke eller på ett tydligt sätt har offentliggjort sina egna känsliga per- sonuppgifter får dessa behandlas av andra (15 §). Vidare får sådana upp- gifter behandlas för att fullgöra skyldigheter eller utöva rättigheter inom arbetsrätten, för att skydda vitala intressen när den registrerade inte kan lämna samtycke och för att rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. Ideella organisationer får behandla känsliga upp- gifter om sina medlemmar men inte lämna ut dessa till utomstående. Dess- utom gäller särskilda regler för hälso- och sjukvård, forskning och statis- tik. Regeringen och Datainspektionen får även föreskriva ytterligare un- dantag från förbudet att behandla känsliga personuppgifter om det behövs med hänsyn till ett viktigt allmänt intresse (20 §). Uppgifter om lagöverträdelser m.m. får enligt huvudregeln behandlas endast av myndigheter (21 §). Personnummer skall liksom få använ- das bara när det är klart motiverat med hänsyn till ändamålet med behand- lingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Den personuppgiftsansvarige har en skyldighet att lämna information till den registrerade (23–27 §§), dels självmant vid insamlande av uppgif- terna, dels efter ansökan från den registrerade. Den registrerade äger rätt till rättelse av personuppgifter som inte har behandlats i enlighet med PuL eller föreskrifter som har utfärdats med stöd av PuL (28 §). Förutom att felaktiga uppgifter rättas kan rättelsen innebära att uppgifterna blockeras eller utplånas. Den personupp- giftsansvarige har i regel även en skyldighet att underrätta tredje man till vilken uppgifterna har utlämnats om rättelse har utförts. Särskilda regler gäller för automatiserade beslut (29 §) liksom för sä- kerheten vid behandling av personuppgifter (30–32 §§). När PuL trädde i kraft gällde som huvudregel att det var förbjudet att överföra personuppgifter som är under behandling till tredje land, dvs. en stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska samarbetsområdet. Detsamma gällde för överföring som skedde för att behandling av personuppgifter skulle genomföras i tredje land (33 §). Sådan överföring var dock, och är alltjämt, tillåten om den registrerade har lämnat sitt samtycke eller om den är nödvändig för bl.a. fullgörelsen av avtalsförpliktelser e.d., fullgörelsen av avtalsförpliktelse som ligger i den registrerades intresse, bevakning av rättsliga anspråk eller skyddande av den registrerades vitala intressen. Det är vidare tillåtet att överföra personuppgifter till en stat som har anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av per- sonuppgifter (34 §). Under vissa förutsättningar lämnar PuL utrymme för att göra undantag från förbudet mot överföring av personuppgifter till tredje land (35 §). Regeringen får meddela undantag för överföring till vissa stater och då överföringen regleras i avtal som ger tillräckliga garantier för den registre- rades rättigheter samt då det anses nödvändigt med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för den registrerades rättigheter. I det senare fallet kan även Datainspektionen utfärda föreskrifter. Vidare ges regeringen en rätt att medge undantag i det enskilda fallet. trädde en ändring i 33 och 49 §§ PuL i kraft (SFS 1999:1210, prop. 1999/2000:11). Ändringarna innebär dels att över- föring av personuppgifter till ett land som inte ingår i Europeiska unionen eller är anslutet till Europeiska ekonomiska samarbetsområdet (tredje land) inte längre skall vara förbjuden om det tredje landet har en adekvat nivå för skyddet av personuppgifter, dels att ringa fall av överträdelse av PuL:s straffbestämmelse är straffbar. All, helt eller delvis, automatiserad behandling av personuppgifter skall i förväg anmälas till Datainspektionen (36 §) såvida den personupp- giftsansvarige inte har anmält ett personuppgiftsombud (37 §). Det tillståndsförfarande som gällde enligt datalagen har helt försvunnit i den nya lagen. När det gäller behandling av personuppgifter som innebär särskilda risker för otillbörligt intrång i den personliga integriteten kan regeringen meddela föreskrifter om att sådan behandling skall anmälas till Datain- spektionen i förväg för förhandskontroll. Detta gäller oavsett om personuppgiftsombud är anmält eller inte (41 §). Personuppgiftsombudet skall ha till uppgift att självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed samt påpeka eventuella brister för honom eller henne (38 §). Ombudet har även till uppgift att föra en för- teckning över de behandlingar som den personuppgiftsansvarige genomför (39 §) och att hjälpa den registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständi- ga (40 §). Datainspektionens verksamhet koncentreras med den nya lagen på till- syn, information och rådgivning. Vidare skall Datainspektionen precisera lagens regler genom att meddela föreskrifter på olika områden. För sin tillsynsverksamhet har inspektionen rätt att få tillgång till de personupp- gifter som behandlas, upplysningar om och dokumentation av behandling- en av personuppgifter och säkerheten vid denna, samt tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter (43 §). Vid olaglig behandling av personuppgifter skall Datainspektionen i första hand sträva efter att åstadkomma rättelse genom påpekanden eller liknan- de förfaranden, men om detta inte är möjligt kan inspektionen vid vite förbjuda en viss behandling av personuppgifter (45 §). Regeringen och Datainspektionen ges också en möjlighet att konkreti- sera lagens innehåll genom att meddela föreskrifter om bl.a. i vilka fall som behandling av personuppgifter är tillåten, vilka krav som ställs på den personuppgiftsansvarige, i vilka fall användning av personnummer är till- låten, vilken information som skall lämnas till den registrerade och hur denna information skall lämnas (50 §). I ikraftträdande- och övergångsbestämmelserna till PuL anges bl.a. att den äldre lagen skall tillämpas till och med på be- handling av personuppgifter som påbörjats före ikraftträdandet och be- handling som utförs för ett visst bestämt ändamål om behandling för än- damålet påbörjats före ikraftträdandet. 2.3.2Senare utveckling kring personuppgiftslagen Redan innan den nya lagen hann träda i kraft uppdrog regeringen åt Data- inspektionen att utreda det närmare behovet av undantag från förbudet mot överföring av personuppgifter till tredje land avseende överföringar från offentliga register för att tillgodose kommuners intresse av att sprida in- formation och överföringar av personuppgifter till tredje land som typiskt sett inte innebär några integritetsrisker för de registrerade eller att det mot bakgrund av allmänhetens intresse att sprida och inhämta information framstår som angeläget att göra undantag från förbudet mot överföringar av personuppgifter till tredje land.14 redovisade Datainspektionen uppdraget i rapporten på Internet – undantag från förbudet i 33 § personupp- giftslagen. Inspektionen föreslog i rapporten inga ändringar i PuL men förordade att vissa undantag införs i personuppgiftsförordningen med stöd av delegationsreglerna i PuL. Undantagen innebär att även andra än myn- digheter skall kunna behandla personuppgifter om lagöverträdelser m.m. 14 Regeringsbeslut Ju98/3520. om det sker för informationsspridning eller kommunikation i löpande text och den registrerade har offentliggjort uppgifterna på ett tydligt sätt, t.ex. i massmedia. Vidare föreslås att kommuner och landsting skall få göra vissa protokoll m.m. tillgängliga för allmänheten via Internet. Uppgifter som direkt utpekar andra enskilda personer än förtroendevalda får dock endast överföras om det är uppenbart att det saknas risk för integritetskränkning. Enligt förslaget skall det också vara tillåtet för var och en att behandla personuppgifter i löpande text över Internet eller annat nät om det är up- penbart att det saknas risk för kränkning av den registrerades personliga integritet. Som förutsättning gäller dock att syftet är information eller kommunikation och att texten framställts för sådana ändamål. Datainspektionens förslag bygger till stor del på den praxis för Internet- användning som vuxit fram före PuL:s ikraftträdande och som är tillämplig enligt övergångsbestämmelserna. Inspektionen framhåller att ändringarna borde kunna genomföras tämligen snabbt men att det kan vara nödvändigt med mer omfattande förändringar . Datainspektionen påpekar också att förslagen inte påverkar förhållandet mellan PuL och grundlagsreglerna om tryck- och yttrandefrihet och offentlighetsprincipen. Datainspektionens rapport remissbehandlades och regeringen lade där- efter fram propositionen 1999/2000:11 angående PuL:s överföringsregler som resulterade i den redan nämnda ändringen av 33 § PuL. I fråga om kommuners och landstings möjligheter att sprida information infördes en ny bestämmelse, 11§, i personuppgiftsförordningen (1998:1191). I bestämmelsen sägs bl.a. att en kommun eller ett landsting får till tredje land föra över personuppgifter som ingår i diarium, kallelse till sammanträde, kungörelse om sammanträde eller ett justerat protokoll. Personuppgifter som direkt pekar ut den registrerade får inte föras över. Detta förbud gäller dock inte personuppgifter som rör en förtroendevald, när det gäller hans eller hennes uppdrag. Förbudet gäller inte heller om det saknas skäl att anta att det finns risk för att den registrerades personliga integritet kränks genom överföringen. har med anledning av ett betänkande från KU15 givit rege- ringen till känna att den med kraft bör verka inom EU för att en revidering sker av EG-direktivet. har med anledning av detta tagit initiativ till en seminarieserie där företrädare för medlemsstaterna får möjlighet att presentera sin lagstiftning och diskutera de tillämpningsproblem som upp- stått i de olika länderna. Vid seminarierna är även en företrädare för EG- kommissionen närvarande. skall kommissionen avge en rapport om genomförandet av dataskyddsdirektivet, eventuellt försedd med lämpliga ändringsförslag. Rapporten skall offentliggöras och eventu- ella ändringsförslag kommer att diskuteras i EG:s ministerråds arbetsgrupp 1998/99:KU15. Regeringen fick också i uppdrag att göra en översyn av PuL med syfte att förändra lagstiftningen i riktning mot ett regelverk som tar sikte på missbruk av personuppgifter, så långt det är möjligt inom EG- direktivets ramar. Detta övervägs i . 2.4Lagen om ansvar för elektroniska anslagstavlor trädde en ny lag i kraft som medför ett ansvar för den som tillhandahåller en tjänst för förmedling av elektroniska meddelanden – i lagen benämnd elektronisk anslagstavla.16 Lagen gör uttryckligen undan- tag för tjänster som skyddas av TF eller YGL. Den är av intresse för Me- diegrundlagsutredningens uppdrag eftersom den innebär en särreglering av nya medieformer som används för kommunikation till allmänheten och eftersom ett utvidgat grundlagsskydd kan medföra en motsvarande be- gränsning av lagens tillämpningsområde. Lagen tillkom efter förslag från IT-utredningen17 och motiverades främst av vissa tendenser till ökade kriminella aktiviteter på framför allt Internet. Det ansågs osäkert om BrB:s regler var tillräckliga för att på ett tillfredsställande sätt reglera ansvaret för spridning av meddelanden med hjälp av elektroniska anslagstavlor. I propositionen18 anges också bristen på kontroll över de elektroniska anslagstavlorna och svårigheterna att spå- ra den ursprungliga avsändaren som skäl för regleringen. Därutöver påpe- kas att de elektroniska anslagstavlorna medger att meddelanden med straffbart innehåll kan nå ett stort antal personer och utöva inflytande över speciellt barn och ungdomar som i hög grad använder sig av tjänsterna. Regeringen ansåg det därför vara viktigt att ingripa med en särreglering i syfte att bygga upp ett rättsmedvetande på detta område. Lagförslaget ut- sattes för tämligen omfattande kritik, av bl.a. Lagrådet men antogs, efter vissa justeringar, av . Lagen gäller, som nämnts, inte tjänster som omfattas av TF och YGL och inte heller tillhandahållande av endast nät m.m., förmedling av med- delanden inom en myndighet, mellan myndigheter, inom ett företag eller en koncern eller meddelanden som är avsedda för bara en viss mottagare eller en bestämd krets av mottagare (elektronisk post) (2 §). Exempel på fall då TF eller YGL är tillämplig på en elektronisk an- slagstavla är det att ett massmedieföretag har en s.k. modererad tjänst (se m.fl., Yttrandefrihetsgrundlagen, andra upplagan, s. 80). 16SFS 1998:112, prop. 1997/98:15, bet. 1997/98:JuU11, rskr. 1997/98:149. 1997/98:15, s. 8–9. Lagen innebär att den som tillhandahåller en elektronisk anslagstavla åläggs ett antal skyldigheter. För det första skall denne lämna information till var och en som ansluter sig till tjänsten om sin identitet och i vilken utsträckning inkomna meddelanden blir tillgängliga för andra användare (3 §). För det andra måste tillhandahållaren hålla sådan uppsikt över tjänsten som skäligen kan krävas med hänsyn till omfattningen och inrikt- ningen av verksamheten (4 §). För det tredje skall han ta bort meddelanden eller på annat sätt förhindra vidare spridning av detta om det uppenbarli- gen innebär brott mot vissa angivna straffbestämmelser, bl.a. uppvigling, hets mot folkgrupp, barnpornografibrott och upphovsrättsintrång (5 §). Åsidosättande av informationsskyldigheten kan leda till böter och upp- såtligt eller grovt oaktsamt åsidosättande av skyldigheten att ta bort vissa meddelanden kan medföra böter eller fängelse eller, om brottet är grovt, fängelse i högst . I ringa fall skall inte dömas till ansvar (7 §). Datorer och andra hjälpmedel som använts vid brott kan för- verkas (8 §). En mer teknikoberoende grundlagsreglering av yttrandefriheten Ny teknik och nya medieformer... 3Ny teknik och nya medieformer för kommunikation till allmänheten Att beskriva den pågående utvecklingen inom IT- och mediesektorn med ambition på fullständighet är i det närmaste ogörligt på grund av den has- tighet och de till en del svårförutsedda språng som den sker med. Det är inte enbart den tekniska utvecklingen som är av betydelse för vilka tjänster som i slutändan kommer att tas i bruk av marknadens aktörer och tillhan- dahållas allmänheten. Även kommersiella och politiska överväganden har stor betydelse för utvecklingen. Teknikkonsumenternas uppträdande är en annan faktor av stor vikt för teknikens genomslag. Ytterligare förhållanden som är betydelsefulla är de regelverk som är aktuella i sammanhanget, förutom de som rör yttrandefriheten, t.ex. de som gäller upphovsrätt m.m. till innehåll som tillhandahålls. En genomgång av tekniken måste därför med nödvändighet bli en exemplifiering och en blandning av etablerad teknik, teknik under utveckling och tillgängliga tjänster som erbjuds av marknaden men som ännu inte nått någon större spridning. Kommunikation kan i detta sammanhang förenklat beskrivas som överfö- ring av information mellan människor. Då kommunikation sker med tal eller tecken mellan personer som är närvarande så att de kan uppfatta meddelandet direkt med sina sinnen, dvs. tal- och synavstånd, brukar man tala om direkt kommunikation. Om överföringen i stället sker med olika slag av hjälpmedel och på längre avstånd eller med tidsfördröj- ning kan man tala om indirekt kommunikation (medierad kommunika- tion).1 En annan vanlig indelning är synkron respektive asynkron kommu- 1 Med indirekt kommunikation avses inte här kommunikation som sker med sådana hjälpmedel som endast förstärker de mänskliga sinnena så att man kan uppfatta 130 Ny teknik och nya medieformer... nikation varmed vanligtvis menas kommunikation i realtid, t.ex. ett tele- fonsamtal, respektive kommunikation med tidsfördröjning, t.ex. vid e- post.2 En förutsättning för kommunikation är att informationen på något sätt materialiseras och blir vad man kan kalla för data (i analog eller digital representation). Utifrån typ av innehåll kan data indelas i fyra grupper, nämligen text3, ljud, bild och datorkommandon4 och kombinationer av dessa former av data brukar i IT-sammanhang benämnas multimedia.5 Data, dvs. den fysiska representationen av viss information, kan lagras på (mer eller mindre beständiga) fysiska databärare (t.ex. papper, cd-rom- skiva) och transporteras till mottagaren (eller sparas för framtida använd- ning) eller överföras med hjälp av elektromagnetiska vågor (tele- kommunikation) till mottagaren. 3.2Tre centrala faktorer i teknikutvecklingen