sou · GQB32 · 2003-01-01 00:00:00 — Skyddet för den personliga integri- teten måste avvägas mot andra grundläggande demokratiska rättigheter och värden, t.ex. informationsfriheten och yttrandefriheten. Man måste också beakta de helt legitima behov som finns att använda personanknuten information i ett samhälle av sådan storlek och komplexitet som det vi lever i. Detta uttalas, som sagts, redan i förarbetena till datalagen. Utgångspunkten var där att skyddet för den personliga integriteten inte kan sträcka sig längre än vad som är möjligt med hänsyn till de krav samhällsgemenskapen uppställer. Det förutsattes således att en väl fungerande samhällsorganisation alltid kommer att medföra intrång i enskilda individers personliga integritet. Frågan blir då vad som kan tolereras och vad som går utöver det som är acceptabelt samt vad som är ett otillbörligt intrång i den personliga integriteten och vad som inte är det. Mot bakgrund härav kan man säga att personers integritet kränks i den mån som det sker ett intrång i deras privata sfär och/eller uppgifter om dem, som det finns rimliga skäl att beteckna som integritets- känsliga, sprids. Dessa uppgifter kan gälla personers egenskaper, upp- fattningar eller handlingar. Rättigheten till personlig integritet kan beskrivas som en prima facie-rättighet. Den är en giltig och väl- grundad rättighet som dock i en konkret handlingssituation kan sättas ur spel om den kommer i konflikt med någon annan rättighet som väger tyngre.6 5Seipel, Juridik och IT, 7:e uppl. 6SOU 1997:39 s. 796 och 801. Datainspektionen och skyddet för den personliga integriteten 141 Det klassiska målet för integritetsskyddet i samband med automati- serad behandling av personuppgifter – att få bli lämnad i fred – har emellertid enligt vissa fått ett nytt innehåll genom att datakvalitets- frågor tagit över. Man framhåller härvid vikten av att behandlade uppgifter är korrekta, att uppgifterna används i rätt sammanhang och endast för berättigade ändamål. Skyddsintresset kan i detta samman- hang anses vara lika viktigt för juridiska personer som för enskilda individer. Fokus är mer inriktat på att informationsbehandlingen håller en hög kvalitet än att individens personuppgifter inte får behandlas. Flera försök att närmare utreda begreppet personlig integritet har gjorts i andra sammanhang där bl.a. frågor om datoriseringen i samhället har varit aktuella. Som exempel kan nämnas Offentlighets- och sekretesslagstiftningskommittén i betänkandet Data och Integritet (SOU 1972:47), i betänkandet Person- register – Datorer – Integritet (SOU 1978:54) samt Data- och offentlig- hetskommittén i betänkandet Integritetsskyddet i informationssam- hället 3 (Ds Ju 1987:8). Av allt att döma finns det enighet om att vissa faktorer är särskilt viktiga att ta hänsyn till när det gäller att bedöma integritetskänslig- heten vid automatiserad behandling av personuppgifter. Det gäller arten av personuppgifter som samlas in och registreras och varför detta görs, hur och av vem uppgifterna används samt mängden av uppgifter som samlas på ett och samma ställe eller som på något annat sätt är tillgängliga för bearbetningar och sammanställningar. Att den personliga integriteten skyddas innebär enligt att användningen av personuppgifter regleras och begränsas. Enligt dess uppfattning står det klart att en integritetsskyddslagstiftning måste hämma användningen av personuppgifter; ju mera användningen hämmas, desto starkare blir integritetsskyddet. Vilken reglering och begränsning av användningen av personuppgifter som är nödvändig för att skydda den personliga integriteten ansåg kommittén till stora delar vara en fråga som är beroende av rådande värderingar i samhället. Sådan användning som enligt dessa värderingar framstår som otillbörligt intrång i annans personliga integritet skall så långt som möjligt förebyggas. När personuppgifter som är felaktiga eller miss- visande används, kan det få svåra konsekvenser för såväl enskilda som verksamheten i samhället. Då kan det bli fråga om direkt mätbara fysiska eller ekonomiska skador, t.ex. när fel person sätts i fängelse eller fel ben amputeras. Att användningen av personuppgifter leder till sådana skador kan givetvis aldrig accepteras; det är därför ett oefter- givligt krav att de uppgifter som används är riktiga och inte miss- visande. Men i övrigt – dvs. när och hur i och för sig korrekta 142 Datainspektionen och skyddet för den personliga integriteten personuppgifter används – utgör regleringen av integritetsskyddet en värderingsfråga.7 Integritetsskyddslagstiftningen i form av bl.a. personuppgiftslagen och Datainspektionens tillämpning av gällande regler skall alltså utgöra den reglering och begränsning av användningen av personuppgifter som enligt rådande värderingar i samhället är nödvändig för att skydda den personliga integriteten. 6.4Varför skall den personliga integriteten skyddas? Frågor som kan ställas är varför det är viktigt att skydda den personliga integriteten vid behandling av personuppgifter och vilken uppgift Datainspektionen härigenom egentligen fyller. Den nya informationsteknikens möjligheter har gjort att hanteringen av personanknuten information ökat. Tekniken blir allt kraftfullare, billigare och enklare att hantera. Det gör att den blir tillgänglig för allt fler som det blir allt enklare att söka, ta del av och sprida datorlagrad personlig information. Den nya teknikens möjligheter kan således lätt användas på ett inträngande, övervakande eller annars för individen kränkande sätt. bör individen av samhället kunna kräva ett skydd mot integritetskränkningar. 6.4.1En grundläggande mänsklig rättighet Det är nog inte för mycket sagt att det finns en allmän uppfattning i samhället att varje person har ett välgrundat anspråk på att andra personer handlar på ett sådant sätt att hans eller hennes personliga integritet respekteras. Oavsett den exakta definitionen av begreppet personlig integritet finns en privat sfär som man inte accepterar intrång i. Skyddet för den personliga integriteten är en grundläggande mänsklig rättighet, upprättad genom internationella konventioner, nationell lag- stiftning, tradition och kultur. Till grund för stadgandet i 1 kap. 2 § tredje stycket RF, om värnandet av den enskildes privatliv, ligger uppfattningen att grundsatsen om den enskildes rätt till en fredad sektor är av så väsentlig betydelse i en demokratisk stat att den bör komma till allmänt uttryck i grundlag.8 7SOU 1997:39 s. 180 f. 1975/76:209 s. 131. Datainspektionen och skyddet för den personliga integriteten 143 Skyddet för den personliga integriteten uppfattas också som viktigt av de enskilda människor som är berörda. Man skulle kunna tro att människors upplevda obehag av att personuppgifter behandlas i olika sammanhang skulle ha minskat i takt med att användningen av datorer ökat och IT-samhället krupit närmare. Emellertid visar de undersök- ningar som gjorts att många människor är negativa eller åtminstone tveksamma till att deras personuppgifter används utan att de får reda på det och utan att de har någon möjlighet till inflytande. Människor upplever det som obehagligt att deras personuppgifter flödar fritt utom deras kontroll, oavsett om uppgifterna i någon mening missbrukas eller om de själva har råkat ut för något negativt på grund av att uppgifterna använts.9 6.4.2Lagar och internationella konventioner Att skyddet för den personliga integriteten uppfattas som en grund- läggande mänsklig rättighet har lett fram till att såväl enskilda nationer som mellanstatliga organisationer har ansett det nödvändigt att formulera regler för behandling av personuppgifter. antog en konvention till skydd för enskilda vid automatisk databehandling av personuppgifter, den s.k. dataskyddskonventionen. Konventionens syfte är att säkerställa respekten för grundläggande fri- och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatisk databehandling av personuppgifter. Utgångspunkten var att vissa av den enskildes rätt- igheter kan behöva skyddas i förhållande till den princip om fritt flöde av information, oberoende av gränser, som finns inskriven i internatio- nella överenskommelser om mänskliga rättigheter. Inom EU har man antagit och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Syftet med dataskydds- direktivet är att skapa en gemensam, hög nivå på integritetsskyddet för att därigenom möjliggöra ett fritt flöde av personuppgifter medlems- länderna emellan. De grundläggande bestämmelserna i svensk nationell rätt till skydd för den personliga integriteten finns i regeringsformen. I 1 kap. 2 § RF slås, som nämnts, fast att det allmänna skall värna om den enskildes privatliv. Denna intention kommer till uttryck i stora delar av den lagstiftning som reglerar det allmännas handlande gentemot enskilda och även enskildas handlande gentemot varandra. 9 SOU 1997:39 s. 183 f. 144 Datainspektionen och skyddet för den personliga integriteten SOU 2002:2 sådan lagstiftning kan nämnas och sekretesslagen (1980:100). Av stor betydelse är även rätten för enskilda att enligt 2 kap. tryckfrihetsförordningen ta del av allmänna handlingar (handlings- offentligheten). Härigenom garanteras enskilda insyn i och kontroll av den offentliga förvaltningen, vilket kan vara positivt från integritets- synpunkt. Offentligheten kan emellertid även innebära nackdelar från integritetssynpunkt, eftersom enskilda tvingas acceptera att uppgifter om dem kan vara åtkomliga för andra personer. I 2 kap. 3 § RF finns en särskild bestämmelse som avser integritets- skyddet vid användningen av automatisk databehandling. Där sägs att varje medborgare, i den utsträckning som anges i lag, skall skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehandling. Den författning som har haft som främsta syfte att uppfylla regeringsformens intentioner i fråga om integritetsskydd i datoriserad verksamhet är datalagen (1973:289). I har det under i stort sett hela datalagens livstid pågått en diskussion om att införa en ny datalagstiftning som är bättre anpassad till verkligheten. Efter inträdet i EU har genom personuppgiftslagen infört dataskyddsdirektivet i svensk rätt. Personuppgiftslagens syfte är att skydda människor mot att deras personliga integritet kränks genom behandling av person- uppgifter. Särskilda integritetsskyddande bestämmelser finns även i en rad olika registerförfattningar. 6.4.3Underlätta användningen av ny teknik Den nya informationstekniken skapar möjlighet för enskilda att för- enkla sin vardag och ger företag och myndigheter möjlighet att rationa- lisera sin verksamhet. Att inte utnyttja den nya tekniken kan innebära att avgörande konkurrensmöjligheter eller viktiga förutsättningar för att effektivisera verksamheten förloras. De farhågor som finns om intrång i den personliga integriteten kan medföra att människor undviker att använda ny teknik. För att undanröja sådan oro och för att underlätta användningen av ny teknik är det därför viktigt att samhället tar sitt ansvar för att upprätthålla ett fullgott integritetsskydd. Här fyller integritetsskyddslagstiftningen och naturligtvis Datainspektionen, med sina uppgifter och befogenheter som tillsynsmyndighet, mycket viktiga roller. Datainspektionen och skyddet för den personliga integriteten 145 I enlighet härmed syftar lagstiftningen till att inte i onödan hindra användningen av ny teknik. Såväl dataskyddsdirektivet som person- uppgiftslagen bygger på dessa tankegångar. I preambeln till dataskyddsdirektivet sägs att systemen för data- behandling av uppgifter är till för människornas skull. Systemen skall med respekt för grundläggande fri- och rättigheter – särskilt rätten till privatlivet – bidra till ekonomiska och sociala framsteg, handelns utveckling och enskilda personers välfärd. I förarbetena till personuppgiftslagen framhålls också att den nya tekniken inte bara för med sig risker, utan även många obestridliga fördelar som kan höja livskvaliteten och ge en ökad frihet för många människor och som måste utnyttjas för att skall kunna behålla och förstärka sin position bland industrinationerna.10 Skyddet för den personliga integriteten uppfattas som allt viktigare av de människor som är berörda och det finns en allt större oro för den behandling av personuppgifter som utförs av privata intressenter.11 Anställda, konsumenter, patienter och andra vars personuppgifter samlas in och behandlas har ett berättigat intresse av att deras person- uppgifter behandlas korrekt och att de inte blir utsatta för intrång. På många olika sätt är det i dagens samhälle helt nödvändigt för att kunna deltaga i det normala vardagslivet att man avslöjar personlig information om sig själv. I allt större utsträckning är det också olika former av affärsverksamheter och deras omfattande utnyttjande av elektronisk information som uppfattas utgöra hotet mot den personliga integriteten. Detta har fått till följd att marknaden för varor och tjänster som skyddar den personliga integriteten ökar kraftigt. Ju större hotet är mot den personliga integriteten desto värdefullare är det att kunna erbjuda skydd mot intrång i densamma. Det är en allmänt spridd uppfattning att det är skyddet för den personliga integriteten som är den stora frågan som måste lösas för att en ekonomi byggd på informa- tionstekniken skall kunna genomföras fullt ut. Särskilt för företag inom e-handel och för användningen av Internet är det således viktigt att konsumenterna har förtroende för att deras personuppgifter behandlas på ett korrekt sätt. Inom dessa, men även andra kommersiella områden, är det näst intill nödvändigt för verksamheten att man har en uttalad 1997/98:44 s. 31. 11Toby , of Privacy, The online, . 146 Datainspektionen och skyddet för den personliga integriteten och pålitlig policy för skyddet för den personliga integriteten. Det kan medföra allvarliga negativa följder om människors personliga integritet inte respekteras. Inom dessa områden kan inte en verksamhet bedrivas utan att ett fullgott integritetsskydd erbjuds. Skyddet för den personliga integriteten är således inte bara en fråga om lag och moral, det är en ekonomisk nödvändighet. 6.5Hur kan den personliga integriteten skyddas i samband med behandling av personuppgifter? Syftet med Datainspektionens verksamhet är att skydda människor mot intrång i den personliga integriteten vid behandling av personuppgifter. gällde inledningsvis att integritetsskyddet skulle iakttas genom att behandling av personuppgifter inte fick ske utan till- stånd från Datainspektionen. Att skapa ett sådant system var högst naturligt då persondata fanns registrerade i ett antal stora datorer och då antalet system var få och lättöverskådliga och det sålunda var realistiskt att tillsynsmyndigheten skulle kunna pröva och kontrollera att datahanterarna följde lagen. Tillståndsförfarandet kompletterades sedermera med en något enklare hantering där de registeransvariga gjorde en anmälan om licens för att få föra personregister. Man märkte dock snart att systemet inte fullt ut fyllde sin funktion, t.ex. gjorde endast en bråkdel av de register- ansvariga verkligen licensanmälan. Systemet var dessutom tungrott och tog stora administrativa resurser från inspektionen. Det faktiska skyddet för den personliga integriteten kunde därför inte sägas fullt ut motsvara statsmaktens och myndighetens ambitioner. Strävan blev därför att försöka avskaffa tillståndsförfarandet och licenssystemet, och förändra Datainspektionens verksamhet till en renodlad tillsynsmyndighet. Tanken bakom en sådan förändring var att det skulle gynna integritetsskyddet mer om inspektionen var ute på fältet och verkligen kontrollerade hur behandlingen av personuppgifter fungerade och i vilken mån reglerna efterlevdes, i stället för att läsa de papper som de olika registeransvariga skickade till myndigheten. Under i stort sett har Datainspektionen stadigt ökat antalet inspektioner . Men med ett så omfattande ansvarsområde som Datainspektionen har så är det emellertid praktiskt taget omöjligt att verkligen inspektera allt och alla. Man måste göra prioriteringar och fokusera sin verksam- het på det som bäst kan värna skyddet för den personliga integriteten. Datainspektionen och skyddet för den personliga integriteten 147 Det finns flera tillvägagångssätt för hur man skall förebygga intrång i den personliga integriteten vid behandling av personuppgifter. Vissa omständigheter framträder dock som mer betydelsefulla än andra för att uppnå en hög nivå på integritetsskyddet. Goda kunskaper om de möjligheter regler och tekniska hjälpmedel ger för integritetsskydd vid behandling av personuppgifter, ett väl fungerande regelverk och effektiv kontroll av regelefterlevnaden är alla sådana faktorer. Det är utifrån dessa faktorer som åtgärderna skall vidtas. Att arbeta för skydd för den personliga integriteten vid behandling av personuppgifter är givetvis en uppgift för alla, såväl för person- uppgiftsansvariga och registrerade som naturligtvis för lagstiftaren och Datainspektionen. Vad utredningen anser Datainspektionen särskilt skall inrikta sin verksamhet på för att en hög nivå på skyddet för den personliga integriteten skall uppnås redovisas, som nämnts, i kapitel 7. En hög nivå på integritetsskyddet förutsätter goda kunskaper om aktuella problem och frågeställningar som rör personlig integritet vid behandling av personuppgifter. Detta är ett fortgående ansvar för Data- inspektionen men också för varje myndighet eller annan organisation som bestämmer sig för att ta dessa frågor på allvar. När myndigheter, företag, organisationer och privatpersoner är medvetna om vilka risker som finns kan de se till att adekvata skyddsåtgärder vidtas och ställa krav på att integritetsproblem beaktas inom viktiga områden. Det är av grundläggande betydelse att det finns kunskap i samhället om de regler som styr behandlingen av personuppgifter och som värnar skyddet för den personliga integriteten i samband härmed. Det gäller då i första hand naturligtvis personuppgiftslagen. Denna kompletteras dock av bl.a. föreskrifter och särskilda registerförfattningar. Informa- tion från Datainspektionen bör beröra bl.a. vilka rättigheter och skyldigheter de personuppgiftsansvariga respektive registrerade har. För att människor skall kunna tillvarata integritetsskyddet bör informationen också uppmärksamma bl.a. de hot mot den personliga integriteten som kan vara aktuella och vilka tekniska hjälpmedel som finns till hands för att undvika otillbörliga intrång. 148 Datainspektionen och skyddet för den personliga integriteten Även en mycket väl fungerande informationsverksamhet kan inte täcka alla frågor som uppkommer i samband med behandling av person- uppgifter. En viktig funktion för att sprida kunskap om integritets- skyddslagstiftningen och personuppgiftsbehandling är därför den råd- givning som sker i specifika frågor. För företag och myndigheter som bygger upp stora datasystem och register, behandlar känslig informa- tion eller på annat sätt utnyttjar ett stort antal personuppgifter är det viktigt att redan på ett tidigt stadium kunna få råd och vägledning om hur man skall gå tillväga. God rådgivning kan uppmärksamma de prob- lem som finns och härigenom förhindra senare olägenheter och intrång samt onödiga kostnader. Också rådgivning till enskilda som vill veta sina rättigheter och skyldigheter främjar integritetsskyddet. Det är därför viktigt att man kan vända sig till Datainspektionen med frågor. Personuppgifts- ombuden bör också kunna fylla en funktion i detta sammanhang. För integritetsskyddet är det vidare viktigt att det finns ett väl anpassat och fungerande regelverk. I har vi personuppgiftslagen som bygger på EU:s dataskyddsdirektiv om skydd för enskilda personer med avseende på behandling av personuppgifter. Lagen innehåller emellertid endast allmänt hållna generella principer som måste kom- pletteras och preciseras med föreskrifter om den praktiska tillämp- ningen i enskilda fall. Här åligger det , regeringen och Datainspektionen att överbrygga glappet mellan generella lagstadgade principer och de speciella omständigheter som gäller för olika enskilda sektorer i samhället genom att meddela särskilda föreskrifter och allmänna råd. I en rad olika registerförfattningar finns för vissa områden särskilda integritetsskyddande bestämmelser. En viktig roll för Datainspektionen är att som remissinstans bevaka integritetsfrågor i samband med nya lagförslag. Goda kunskaper i samhället om lagstiftning och teknik m.m. som rör behandling av personuppgifter är inte tillräckligt för att upprätthålla skyddet för den personliga integriteten. Det krävs också en omfattande och noggrann kontroll av att reglerna verkligen efterlevs. Datainspektionen och skyddet för den personliga integriteten 149 personuppgiftslagen på att det finns en tillsynsmyndighet med långt- gående befogenheter. I inspektionsverksamheten kan man direkt påpeka de brister som finns och undanröja risker för intrång i den personliga integriteten. Inspektionsverksamheten kan också ge uppslag till vilka frågor eller områden som särskilt bör uppmärksammas och bli föremål för ytterligare informationsinsatser. I inspektionsverksamheten ingår också myndighetens möjligheter till rättsliga ingripanden. Att den som behandlar personuppgifter i strid mot gällande regler kan drabbas av påföljd främjar regelefterlevnaden och är viktigt för allmänhetens förtroende för systemet. Som uttalades inledningsvis i detta kapitel är integritetsskyddet inte bara en uppgift för Datainspektionen. Det är viktigt att man samlar och aktiverar alla goda krafter i samhället i arbetet för att skydda den personliga integriteten vid behandling av personuppgifter. Personuppgiftsombud och i viss mån revisorer med särskilda kunskaper om behandling av personuppgifter kan i enlighet med personuppgiftslagens intentioner användas som en kraftfull resurs såväl vad gäller informationsspridning som i kontrollen av skyddet för den personliga integriteten. Härigenom ökas medvetenheten om integritets- frågor ute på fältet, vilket Datainspektionen kan dra stor nytta av i sin verksamhet. Ett större ansvar för integritetsskyddet kan vidare åstadkommas genom att det utarbetas regler och metoder för egenkontroll inom olika områden. Här har Datainspektionen en uppgift som anknyter till dess regelgivning, nämligen att uppmuntra att branschöverenskommelser och andra former av självreglering utarbetas. Utmärkta tillfällen att väcka frågor om självreglering och egenkontroll har Datainspektionen i samband med att myndigheten utför inspektioner. Därvid kan inspek- tionen uppmärksamma behovet och bedöma lämpligheten av själv- reglering. Väl fungerande självreglering och branschöverenskommelser har stora förutsättningar att på ett framgångsrikt sätt uppfylla syftet med lagstiftningen, nämligen att skydda människor mot kränkning av den personliga integriteten utan att en effektiv användning av ny teknik hindras. Självreglering har bl.a. den fördelen att reglerna betydligt lättare än traditionell lagstiftning kan anpassas till den snabba tekniska utvecklingen inom IT-området. När bestämmelserna utformas i samverkan mellan berörda parter och ansvarig myndighet finns goda 150 Datainspektionen och skyddet för den personliga integriteten förutsättningar för att självreglering skall fungera och att reglerna skall respekteras. Självreglering behandlas vidare i kapitel 11. Utvecklingen inom informationstekniken har gått mycket fort , och inget talar för att den kommer att avta . Tvärtom blir tekniken allt kraftfullare, enklare och mer tillgänglig för ett allt större antal människor och den tillämpas inom snart sagt varje område i samhället. De möjligheter tekniken medför att behandla och bearbeta stora mängder personanknutna uppgifter har satt integritetsfrågorna i fokus.