sou · GQB318d2 · 2003-01-01 00:00:00 — Från huvudregeln i första stycket finns vissa undantag. Enligt andra stycket behöver information inte lämnas till den registrerade om det i lag eller annan författning framgår vilken behandling av personuppgifterna som kan bli aktuell. Den som enligt lag eller föreskrift har skyldighet att registrera vissa uppgifter behöver inte lämna information när uppgifterna hämtas in från annat håll än den registrerade själv. Inte heller den som enligt en sådan föreskrift har rätt att få ut vissa uppgifter behöver informera om sin efterföljande behandling. Däremot kan den som lämnar ut uppgifterna vara skyldig att lämna information i samband med att uppgifterna samlas in. Den personuppgiftsansvarige behöver enligt tredje stycket inte heller uppfylla informationsplikten för de fall där det visar sig vara omöjligt eller innebära en oproportionerligt stor arbetsinsats. I artikel 11.2 i dataskyddsdirektivet talas om en oproportionerligt stor ansträngning i stället för en oproportionerligt stor arbets- insats. Enligt punkt 40 i ingressen till direktivet finns vissa de före- slagna riktlinjer för bedömningen av när det kan innebära en oproportionerligt stor ansträngning att lämna information. 42Se lagkommentaren s. 126. s. 78 f. och 130 f. samt betänkande s. 139 f. och 383 f. denna bedömning kan bl.a. beaktas antalet registrerade, uppgifternas ålder och de kompensatoriska åtgärder som kan vidtas. Av mötesprotokollet framgår att rådet och kommissionen anser att man vid denna bedömning måste ta i beaktande vikten av det allmänna intresse för vilken uppgifterna behandlas. I kommissionens förklaring anges vidare att frågan om informations- lämnandet i praktiken får bero på de särskilda omständigheter under vilka informationen samlas in från de registrerade. I lagkommentaren uttalas att arbetsinsatsen bör sättas i relation till arten av personuppgifterna, behandlingens ändamål, de särskilda integritetsrisker som kan vara förknippade med behandlingen och det intresse de registrerade kan antas ha av att bli informerade om behandlingen.44 Bestämmelserna i 23 och 24 §§ kompletteras av 25 § som reglerar vilken information som den personuppgiftsansvarige skall lämna till den registrerade. Enligt 25 § första stycket skall den registrerade få uppgifter om den personuppgiftsansvariges identitet. Härmed avses förmodligen att uppgift skall lämnas om namn och adress beträffande den fysiska eller juridiska person som är personuppgiftsansvarig. Vidare skall den registrerade få uppgift om ändamålen med behandlingen. Slutligen skall även lämnas upplysningar om all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. I dataskyddsdirektivet finns en exemplifiering av den information som skall lämnas i sistnämnda hänseende. Beträffande det fallet att uppgifterna samlas in från den registrerade själv anges som exempel information om mottagarna eller kategorier av mottagare, information om huruvida det är obligatoriskt eller frivilligt att besvara frågorna och om eventuella följder av att inte svara samt information om förekomsten av rättigheter att få tillgång till och att få rättelse av uppgifterna. För det fallet upp- gifterna hämtas in på annat sätt anges som exempel information om de kategorier av uppgifter som behandlingen gäller, information om mottagarna eller de kategorier som mottar uppgifterna samt information om förekomsten av rättigheter att få tillgång till och att få rättelse av uppgifterna. 44 Se lagkommentaren s. 129. Det finns inte någon skyldighet för en personuppgiftsansvarig att lämna information . De insamlade uppgifterna kan således det är nödvändigt behandlas för de ändamål som angetts vid insamlingen och för alla andra ändamål som inte är oförenliga med de ursprungliga ändamålen utan att den registrerade behöver informeras på nytt. Ny information behöver vidare inte lämnas varje gång uppgifterna lämnas ut till tredje man under förutsättning att information om åtminstone de aktuella kategorierna av mottagare har lämnats. Lämnas uppgifterna ut till tredje man för vidare behandling måste givetvis denne informera den registrerade om sin behandling av uppgifterna i den mån de registrerade inte redan känner till informationen t.ex. genom den information de fått från den förste personuppgiftsansvarige. I en del fall är avsikten att fortlöpande samla in uppgifter om en och samma person. Det bör då vara möjligt att lämna information – innan uppgifterna registreras – under förutsättning att den registrerade får information om bl.a. vilken kategori uppgifter som kommer att hämtas in och behandlas. Genom den information som lämnas innan den första registre- ringen får den registrerade kännedom om de behandlingar som kommer att utföras fortlöpande och vilka kategorier av uppgifter dessa kommer att avse. När det gäller insamling av personuppgifter i samband med användning av Internet och liknande elektroniska tjänster t.ex. i form av s.k. loggar är det viktigt att de personer som utnyttjar tjänsterna informeras om utnyttjandet av de s.k. elektroniska spår som de omedvetet kan ha lämnat. Det finns inte något krav på att informationen skall lämnas skriftligen. Det emellertid den personuppgiftsansvarige som har att visa att varje registrerad har fått den information som krävs om det blir tvist om saken, vilket kan antas medföra att de flesta väljer att om möjligt lämna informationen skriftligen och på en framträdande plats.45 Enligt andra stycket behöver information inte lämnas om sådant som den registrerade redan känner till. På vilket sätt den regi- strerade fått tillgång till informationen spelar i sammanhanget ingen roll. Enligt omfattar detta undantag bl.a. att allmänna handlingar kan lämnas ut till den som begär det enligt 45 Se prop. s. 78 f och 131 samt betänkande s. 140 och 385 f. Detta motiveras av att utlämnande av handlingar enligt offentlighetsprincipen är föreskriven i svensk grundlag och att det kan förutsättas att allmänheten redan känner till att handlingar kan komma att lämnas ut med stöd av denna princip.46 Den personuppgiftsansvarige har även enligt 26 § en skyldighet att till var och en som ansöker om det en gång gratis lämna besked i frågan om personuppgifter som rör sökanden har behand- lats. Har sådana uppgifter behandlats skall skriftlig information också lämnas om vilka uppgifter som behandlats, varifrån dessa uppgifter hämtats, vilka ändamålen med behandlingen är och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. I bestämmelsen föreskrivs vissa undantag från den personuppgiftsansvariges skyldigheter i detta avseende.47 I 27 § återfinns en gemensam undantagsregel från den person- uppgiftsansvariges informationsskyldighet. Enligt paragrafen har bestämmelser om sekretess och tystnadsplikt företräde framför PUL. Enligt första meningen gäller inte 23–26 §§ om det bl.a. i lag eller annan författning är särskilt föreskrivet att uppgifterna inte får lämnas ut till den registrerade. Med beslut som meddelats med stöd av författning avses t.ex. beslut om förbehåll enligt 14 kap. 9 och 10 §§ sekretesslagen.48 I andra meningen föreskrivs att även en personuppgiftsansvarig som inte är myndighet får vägra att lämna information till den registrerade i motsvarande fall som avses i sekretesslagen. Bestäm- melsen motiveras av att enskilda i lika hög grad som myndigheter kan ha ett befogat intresse av att hemlighålla personanknuten information som t.ex. samlats inför en domstolsprocess om det kan antas att ett utlämnande av informationen skulle försämra den enskildes ställning som part i rättegången. Samma hänsyn gör sig exempelvis gällande i försäkringsverksamhet där det inte sällan registreras uppgifter om personer som misstänks för försäkrings- bedrägeri eller annan brottslig verksamhet.49 Enligt 28 § är den personuppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med lagen eller föreskrifter som utfärdats med stöd av lagen. s 78 f och 131 samt betänkande s. 140 och 385 f. s. 81 f. och 131 f. resp. a.a. s. 141 f., 144 f., 313 f. och 389 f. s. 80, 84 f., 133 och 241 f. resp. a.a. s. 144 f. och 394 f. s. 80, 84 f., 133 och 241 f. samt betänkande s. 144 f. och ansvarige skall även underrätta tredje man som uppgifterna lämnats ut till om åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte lämnas, om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Enligt första meningen föreskrivs en korrigeringsskyldighet för den personuppgiftsansvarige. Den registrerades begäran om korrigering eller underrättelse till tredje man kan framställas form- löst till den personuppgiftsansvarige eller någon som företräder denne. Det räcker att det av begäran framgår att den registrerade är missnöjd med behandlingen i något visst avseende och vill att korrigering skall vidtas. Framställs en sådan begäran bör den personuppgiftsansvarige skyndsamt utreda om de framförda anmärkningarna är befogade och, om så skulle vara fallet, vidta korrigering. Omfattningen av utredningen får bero av de anmärkningar den registrerade framställt. Uppkommer oenighet mellan den personuppgiftsansvarige och den registrerade om uppgifterna skall korrigeras eller inte, kan den registrerade anmäla förhållandet till tillsynsmyndigheten, som har möjlighet att förelägga vite om lagen inte följs, och ansöka om utplånande av uppgifterna, eller själv väcka talan om saken vid allmän domstol. En personuppgiftsansvarig som efter utredning inte är övertygad om att det är nödvändigt att korrigera uppgifterna behöver således inte självmant göra det.50 Enligt lagkommentaren måste förmodligen en begäran avse korrigering beträffande personuppgifter som faktiskt behandlats då begäran framställts. Detta innebär att det inte borde vara möjligt att begära korrigering av personuppgifter som den personuppgiftsansvarige skall behandla i framtiden.51 Korrigeringsskyldigheten kan uppfyllas genom rättelse, blockering och utplåning av personuppgifter. Det är i princip den personuppgiftsansvarige som själv väljer korrigeringsmetod. Av annan lagstiftning eller av sakens natur kan dock följa att vissa korrigeringsmetoder inte kan användas i vissa fall, t.ex. när det gäller korrigering av personuppgifter i bokföring. Att en uppgift rättas innebär att den ursprungliga, felaktiga, missvisande eller ofullständiga uppgiften ersätts av en uppgift om de rätta s. 46 f., 86 f. och 133 f. samt betänkande s. 143, 217 f.., 316 och 396 f. 51Se lagkommentaren s. 150 f. förhållandena eller att uppgifterna annars kompletteras. Det finns inte något krav på att den felaktiga uppgiften skall utplånas. Det bör vara upp till den som är ansvarig för behandlingen att avgöra hur rättelsen skall göras. Det enda kravet är att det i alla sammanhang klart skall framgå att den felaktiga uppgiften har ersatts av en annan uppgift och vilka de rätta förhållandena är. Med utplåna avses att personuppgifterna förstörs så att de inte kan återskapas. Beträffande definitionen av begreppet blockera hänvisas till vad som redovisats om 3 §.52 Enligt andra meningen åvilar det den personuppgiftsansvarige en viss underrättelseskyldighet beträffande korrigering av person- uppgifter. Underrättelseskyldigheten är därvid begränsad till korrigeringar som vidtagits med stöd av första meningen. Den personuppgiftsansvarige är således inte skyldig att lämna under- rättelse om en vidtagen åtgärd för det fall korrigeringen skett självmant. Den personuppgiftsansvarige är under alla förhållanden skyldig att underrätta tredje man om korrigering av personuppgifter om det kan antas att en underrättelse skulle kunna innebära att mer betydande skada eller olägenhet för den registrerade kan undvikas. En felaktig, känslig personuppgift som lämnats ut till tredje man, t.ex. om att den registrerade är sjuk eller har en extrem politisk eller religiös övertygelse, kan regelmässigt antas föranleda sådan skada eller olägenhet som avses. Gäller det däremot mer harmlösa uppgifter t.ex. den registrerades adress, bör det som regel krävas någon särskild omständighet för att man skall kunna anta att en underrättelse skulle kunna undvika sådan skada eller olägenhet som avses. Det måste vidare kunna antas att underrättelsen medför att skada eller olägenhet kan undvikas. Detta är inte fallet när det är känt att aktuella tredje män redan korrigerat uppgiften. Inte heller för underrättelse till tredje man om korrigering uppställs något formkrav. I underrättelsen skall emellertid anges den åtgärd som den personuppgiftsansvarige har vidtagit beträffande personuppgifterna. I detta krav på att åtgärden skall anges innefattas att information skall lämnas om anledningen till åtgärden t.ex. att de tidigare uppgifterna varit felaktiga eller ofullständiga. Har en felaktig uppgift rättats måste vidare, om det är nödvändigt, underrättelse lämnas om såväl den tidigare felaktiga uppgiften som den nya, riktiga uppgiften. 52 Se prop. s. 46 f., 86 f. och 133 f. samt betänkande s. 143, 217 f.., 316 och 396 f. underrättelseskyldigheten är att de som tagit emot en uppgift som korrigerats i sin tur skall kunna på lämpligt sätt korrigera de mottagna uppgifterna och eventuella åtgärder som har vidtagits med ledning av uppgiften. Underrättelsen bör därför innehålla sådan information som gör detta möjligt. Rör felaktigheten exempelvis en uppgift som mottagaren kan antas använda som enda sökbegrepp, t.ex. namn eller personnummer, är det nödvändigt att den felaktiga uppgiften anges för att mottagaren i praktiken skall kunna göra en rättelse i sin tur. Det finns inte någon formell skyldighet att självmant underrätta i flera led. Det får dock förutsättas att de personuppgiftsansvariga frivilligt på lämpligt sätt ser till att mildra skadeverkningarna av felaktiga eller ofullständiga uppgifter som självmant rättats.53 Enligt tredje meningen behöver inte underrättelse lämnas om det visar sig omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats.54 Bestämmelsernas betydelse för utredningen Enligt bestämmelserna i 23 och 24 §§ garanteras arbetstagare information om behandlingen av de personuppgifter som arbetsgivaren samlar in. För det fall arbetsgivaren exempelvis vid en anställningsintervju samlar in information från en arbetssökande måste arbetsgivaren enligt PUL informera om vad person- uppgifterna skall användas till. Det åligger även arbetsgivaren en skyldighet att informera den arbetssökande om det är obligatoriskt att svara på en fråga, och därigenom lämna personuppgifter, och vilka följderna blir om den arbetssökande vägrar att göra detta. PUL garanterar även en arbetssökande information för det fall arbetsgivaren väljer att inhämta referenser från tredje man. Även här måste arbetsgivaren lämna information om bl.a. vilka uppgifter som samlats in och ändamålet med att personuppgifterna samlas in. Även när det gäller datorrelaterade kontroller av arbetstagare kan arbetsgivarens informationsskyldighet enligt PUL vara av betydel- se. Detta gäller bl.a. när arbetsgivaren i loggar samlar in personuppgifter i samband med användning av bl.a. Internet. Arbetsgivaren skall i detta sammanhang lämna information om hur arbetsgivaren avser att behandla sådana uppgifter. s. 46 f., 86 f. och 133 f. samt betänkande s. 143, 217 f.., 316 och 396 f. Att arbetsgivaren i egenskap av personuppgiftsansvarig ålagts den informationsskyldighet som framgår av 23 och 24 §§ innebär att arbetstagaren ges möjlighet till insyn beträffande den behand- ling av personuppgifter som äger rum. Detta ger ökat utrymme att utnyttja de kontrollmöjligheter som står till buds i 26 § och att utnyttja möjligheten till korrigering i 28 §. Säkerhetsåtgärder – 31 § Den personuppgiftsansvarige skall enligt första stycket vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheterna som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur känsliga de behandlade person- uppgifterna är. Som exempel på en faktor som berör de särskilda risker som finns med behandling nämns i betänkande antalet personer som de behandlade uppgifterna avser. Skadorna av ett eventuellt angrepp kan givetvis bli mer omfattande när det är uppgifter om många personer som behandlas på en gång. Vad avser bedömningen av känsligheten av de behandlade personuppgifterna bör de regler i PUL som särskilt reglerar behandling av personuppgifter eller liknande tas som riktmärke. Även om de tekniska möjligheterna skall beaktas är det väsentliga att en lämplig säkerhetsnivå uppnås oavsett om denna kommer till stånd genom tekniska hjälpmedel eller genom organisatoriska åtgärder. Det måste alltid bli fråga om en avvägning för att åstadkomma en lämplig säkerhetsnivå, dvs. en säkerhet som med beaktande av samtliga omständigheter får anses tillräcklig. De allmänt hållna reglerna i bestämmelsen beskriver på ett kortfattat sätt de överväganden som måste göras i fråga om säkerhetsåtgärder. Reglerna ger dock inte tillräcklig vägledning för den personuppgiftsansvarige för att avgöra vilka säkerhetsåtgärder som bör vidtas i det enskilda fallet för att nå upp till en lämplig säkerhetsnivå. Avsikten är att regeringen eller den myndighet som regeringen bestämmer skall meddela de närmare föreskrifter om säkerhetsåtgärder som behövs. bör även i rimlig utsträckning lämna råd i säkerhetsfrågor. I Data- inspektionens allmänna råd – Säkerhet för personuppgifter, lämnas bl.a. rekommendationer om den personuppgiftsansvariges organisation, säkerhetsnivå och säkerhetsåtgärder. Bestämmelser om säkerhetsåtgärder kan även finnas i annan lagstiftning, t.ex. i arkivlagen med anknytande författningar. Dessa bestämmelser gäller vid sidan av de bestämmelser om skyddsåtgärder som framgår av PUL med anknytande författningar och beslut. Den personuppgiftsansvarige måste uppfylla alla de regler om säkerhets- och skyddsåtgärder som kan ha meddelats för den berörda verksamheten.55 I andra stycket föreskrivs att den personuppgiftsansvarige skall förvissa sig om att ett anlitat personuppgiftsbiträde kan genomföra de säkerhetsåtgärder som måste vidtas och se till att biträdet verkligen vidtar åtgärderna. Det är dock den personuppgifts- ansvarige som har ansvaret gentemot den registrerade avseende behandlingen även när ett personuppgiftsbiträde har anlitats. I vilken utsträckning den personuppgiftsansvarige i sin tur kan utkräva ansvar av ett anlitat personuppgiftsbiträde följer av avtalet med denne och allmänna bestämmelser.56 Bestämmelsens betydelse för utredningen Enligt bestämmelsen skall en arbetsgivare vidta åtgärder för att uppnå en viss säkerhetsnivå beträffande de personuppgifter som behandlas. Vad som avses med lämplig säkerhetsnivå eller hur detta skall ske är inte närmare preciserat i lagtext eller förarbeten. Av naturliga skäl är detta heller inte möjligt, eftersom PUL reglerar behandling av personuppgifter i vitt skilda verksamheter och för ett stort antal ändamål. Bestämmelsen i 31 § om säkerhetsåtgärder får trots detta anses innebära ett viktigt skydd för de integritets- känsliga uppgifter som kan samlas in och behandlas under ett anställningsförfarande och anställningsförhållande. Skadestånd – 48 § Reglerna om skadestånd i PUL utgör specialbestämmelser som tar över de allmänna skadeståndsreglerna i skadeståndslagen. I den mån en skadeståndsfråga inte berörs i PUL, tex. vad gäller beräkning av skadestånd för personskada eller sakskada eller fråga om ansvaret i en situation med flera skadeståndsskyldiga, bör s. 90 f. och 136 samt betänkande s. 146 f. och 409 f. 56Se vad som anförts om regressansvar vid 48 §. emellertid de allmänna skadeståndsrättsliga reglerna tillämpas. Bestämmelsen i 48 § gäller vidare endast skadestånd vid behandling av personuppgifter i strid med PUL. Detta får bl.a. till följd att skadestånd med stöd av 48 § inte kan utgå vid brott mot bestämmelse i de s.k. särskilda registerförfattningar som enligt 2 § gäller framför PUL. Det torde således krävas en uttrycklig hänvisning i nu nämnda författningar till bestämmelsen i PUL för att detta skall vara tillämpliga. Av första stycket framgår att den personuppgiftsansvarige är ersättningsskyldig gentemot den registrerade så snart behandling har skett i strid med någon bestämmelse i lagen. Detta inbegriper även att den personuppgiftsansvarige är skyldig att iaktta god sed enligt 9 §. För att ersättningsskyldighet enligt första stycket skall föreligga behöver den registrerade således endast bevisa att det från den personuppgiftsansvariges sida har förekommit en olaglig behandling av den registrerades personuppgifter och att denna behandling kränkt den registrerade. Skadeståndsskyldigheten avser ersättning för personskada, sakskada och ren förmögenhetsskada samt kränkning av den personliga integriteten. Det är därvid endast skada eller kränkning som den olagliga behandlingen har fört med sig som ersätts. Detta framgår uttryckligen genom att det av lagtexten framgår att behandlingen av uppgifterna skall ha orsakat skada respektive kränkning. Orsakssambandet skall naturligtvis vara adekvat. När det gäller ersättningen för kränkning får denna uppskattas efter skäligheten mot bakgrund av samtliga omständigheter i det aktuella fallet. I det sammanhanget kan beaktas bl.a. sådana faktorer som om det funnits risk för otillbörlig spridning av känsliga eller felaktiga uppgifter och om den registrerade på grund av den felaktiga behandlingen blivit utsatt för något beslut eller några åtgärder som kunnat innebära något negativt. Har den registrerade själv lämnat en oriktig eller ofullständig uppgift till den personuppgiftsansvarige, kan den personuppgiftsansvariges behandling av uppgiften inte anses innebära någon sådan kränkning av den personliga integriteten som bör föranleda ersättning enligt bestämmelsen. Kränkningsersättningen bör i princip fastställas för varje kränkt registrerad för sig.57 I andra stycket finns bestämmelser om jämkning av den ovan beskrivna ersättningsskyldigheten. 57 Se prop. s. 105 f., 143 f. och 242 f. samt betänkande s. 158 och 429. bär att den personuppgiftsansvariges ersättningsskyldighet kan sättas ned eller falla bort. Om den registrerade lyckas bevisa att det från den personuppgiftsansvariges sida förekommit en olaglig behandling av den registrerades personuppgifter och att denna behandling föranlett en kränkning är det upp till den personuppgiftsansvarige att bevisa att den olagliga behandlingen inte berodde på denne. Lyckas den personuppgiftsansvarige med detta får i sista hand domstol bedöma om och i vilken omfattning det kan vara skäligt att jämka ersättningsskyldigheten. Den personuppgiftsansvarige är gentemot den registrerade i och för sig ansvarig för all den behandling som denne har ansvaret för, även i de fall den personuppgiftsansvarige anlitat ett person- uppgiftsbiträde eller annan hjälp. Ett fel av ett anlitat person- uppgiftsbiträde får således anses bero på den personuppgifts- ansvarige. Den personuppgiftsansvarige torde emellertid i allmänhet kunna få ersättning av ett försumligt personuppgifts- biträde för den ersättning som måste betalas till den registrerade. Däremot kan den personuppgiftsansvarige som regel inte med framgång kräva försumlig arbetstagare på ersättning, se 4 kap 1 § skadeståndslagen.