sou · GRB334d1 · 2004-01-01 00:00:00 — Inom andra områden såsom t.ex. allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område är dataskyddskonventionen emellertid alltjämt av betydelse. Direktivet behandlas närmare i avsnitt 4.4. har antagit ett tilläggsprotokoll till dataskyddskonventionen. Tilläggsprotokollet har öppnats för undertecknande. Det innehåller bestämmelser om dataskyddsmyndigheter och överföring av personuppgifter mellan länder. Den beslutade att underteckna och ratificera tilläggsprotokollet vilket skedde . Övergripande rättslig reglering av behandling av personuppgifter 4.2Europarådets rekommendation om användning av personuppgifter inom polissektorn I sammanhanget bör också rekommendation (Recommendation No. R (87) 15) om användning av person- uppgifter inom polissektorn beröras. Rekommendationen inne- håller speciella dataskyddsregler för personuppgifter som förs av polismyndighet med hjälp av automatiserad behandling. Genom reglerna har man sökt finna en balans mellan å ena sidan den enskildes intresse av personlig integritet och å andra sidan sam- hällets intresse av att förhindra och bekämpa brott samt upprätthålla allmän ordning. Regleringen omfattar all insamling, lagring, användning och kommunikation av personuppgifter för polisändamål. Medlemsstaterna får utsträcka regleringen även till manuellt förda register. Det är emellertid inte tillåtet att flytta över personuppgifter från automatiserade register till register för att därigenom undgå rekommendationens reglering. Med polisregister i rekommendationen avses alla former av struktu- rerade personuppgifter som förs av polismyndighet med syfte att förhindra och bekämpa brott samt upprätthålla allmän ordning. skall anmäla sina register till dataskydds- myndigheten. Endast sådana personuppgifter får samlas in som är nödvändiga för att förhindra en verklig fara eller bekämpa ett visst brott såvida inte den inhemska lagstiftningen godkänner att mer omfattande uppgifter samlas in. Om möjligt bör den enskilde informeras om att uppgifter samlats in om honom eller henne när det är till skada för polisverksamheten. Lagrade uppgifter skall så långt det är möjligt vara riktiga och begränsade till sådant som är nödvändigt för att polismyndigheten skall kunna fullgöra sina lagstadgade uppgifter. Personuppgifter i polisregister får endast användas för polisändamål och överföras från en polismyndighet till en annan om uppgifterna behövs av mottagaren för att förhindra eller bekämpa brott eller upprätthålla allmän ordning. För att den enskilde skall kunna utöva vissa rättigheter skall det finnas en offentlig uppgift om befintliga polisregister. Den enskilde skall nämligen kunna få polisregisterutdrag och kräva att felaktiga uppgifter rättas eller tas bort. En begäran att få registerutdrag kan i princip vägras endast i två fall, nämligen om det krävs för att skydda vittnen eller polisinformatörer eller om det är oundgängligen nödvändigt för att utföra en lagstadgad polis- uppgift. Den enskilde skall även ha rätt att överklaga ett avslagsbeslut. Datakvaliteten skall fortlöpande kontrolleras i ett Övergripande rättslig reglering av behandling av personuppgifter Särskilda krav ställs också på datasäkerheten, bl.a. skall det föras ett loggregister (uppgifterna om rekommendationen är hämtade från : Datalagen med kommentarer, 1989; s. Internationella riktlinjer ifråga om integritetsskydd och person- dataflöde över gränserna har även utarbetats inom och utveckling (). Ett antal internationella organisationer och företag har antagit egna regler om dataskydd som bygger på rikt- linjer. Riktlinjerna motsvarar i princip de bestämmelser som återfinns i dataskyddskonventionen. Det bör tilläggas att antogs ministerdeklaration Protection of Privacy on , som innebar att man slog fast intentionen att i ett internationellt perspektiv harmonisera de regler som bör gälla för hantering av personuppgifter i globala nätverk, för att skydda den personliga integriteten. Syftet med dataskyddsdirektivet är att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter. Dataskyddsdirektivet är direkt bindande för medlemsstaterna i fråga om det resultat som skall uppnås. För att bli gällande rätt måste direktivet införlivas i medlemsstaternas nationella lagstift- ning. Medlemsstaterna bestämmer själva på vilket sätt direktivet skall införlivas, men är därvid starkt bundna av direktivets innehåll. Medlemsstaterna kan inte föreskriva vare sig ett bättre eller sämre skydd för den personliga integriteten vid behandling av personuppgifter eller för det fria flödet av sådana uppgifter än vad som följer av dataskyddsdirektivet. Dataskyddsdirektivet handlar om fysiska personers skydd. Skyddet för juridiska personer berörs inte av direktivet. Övergripande rättslig reglering av behandling av personuppgifter inte bara helt eller delvis automatiserad behandling, utan också behandling av personuppgifter som ingår eller kommer att ingå i ett register. Utanför tillämpningsområdet faller t.ex. ostrukturerade akter. Dataskyddsdirektivet omfattar inte behandling av personuppgifter för privat bruk. Dataskyddsdirektivet gäller inte heller för sådan behandling av personuppgifter som utgör ett led i en verksamhet som faller utanför gemenskapsrätten, och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område (artikel 3.2 första strecksatsen). Som en följd härav omfattas således inte Försvars- maktens försvarsunderrättelseverksamhet och den militära säker- hetstjänsten samt Försvarets radioanstalts underrättelseverksamhet av direktivets bestämmelser. Den svenska personuppgiftslagen, genom vilken direktivet införlivas i svensk rätt, har däremot gjorts generellt tillämplig och omfattar även sådan verksamhet som faller utanför EG-rättens område, således även försvarsmyndigheternas underrättelseverksamhet och militär säkerhetstjänst. Enligt person- uppgiftslagen gäller emellertid att avvikande bestämmelser i lag eller förordning har företräde framför personuppgiftslagen. 4.4.2Bestämmelser om när personuppgifter får behandlas Enligt dataskyddsdirektivet måste all behandling av person- uppgifter vara laglig och korrekt. Uppgifterna måste vara riktiga och aktuella samt adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Ändamålen skall vara uttryckligt angivna vid tiden för insamling av uppgifterna. De ändamål för vilka uppgifterna senare behandlas får inte vara oförenliga med de ursprungliga ändamålen. Personuppgifter får enligt direktivet behandlas bara i vissa fall. Här kan nämnas att uppgifter får behandlas i första hand efter att den registrerade otvetydigt har lämnat sitt samtycke, men också om det är nödvändigt för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige eller för att utföra en arbetsuppgift som antingen är av allmänt intresse eller utgör ett led i myndighets- utövning. Personuppgifter får även behandlas om intresset av att den registeransvarige får behandla uppgifterna överväger den registrerades intresse av att de inte behandlas. Vissa särskilda i direktivet angivna kategorier av uppgifter får som huvudregel inte behandlas utan uttryckligt samtycke av den Övergripande rättslig reglering av behandling av personuppgifter Det gäller uppgifter som avslöjar den enskildes ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. Medlemsländerna får emellertid under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse besluta om undantag från förbudet. 4.4.3Information och rättelse m.m. Dataskyddsdirektivet föreskriver att den registeransvarige skall informera den registrerade om att personuppgifter är föremål för behandling och därvid redogöra för ändamålet med behandlingen. Har uppgifterna inte samlats in från den registrerade själv behöver den registeransvarige däremot inte lämna någon information, om det skulle visa sig vara omöjligt eller innebära en ansträngning som inte står i proportion till nyttan. Den registrerade har dock rätt att på begäran få information om de registrerade uppgifterna. Vidare har den registrerade rätt att få sådana uppgifter som inte har behandlats i enlighet med direktivet rättade, utplånade eller blockerade. Direktivet innehåller även regler om säkerhet vid behandlingen. Genom lämpliga tekniska och organisatoriska åtgärder skall den registeransvarige skydda personuppgifter mot otillåten behandling samt mot förstöring, förlust, ändring eller otillåten spridning. Enligt dataskyddsdirektivet skall varje medlemsstat tillse att det utses en eller flera myndigheter som har till uppgift att inom dess territorium övervaka tillämpningen av de bestämmelser som medlemsstaterna antar till följd av direktivet. Dessa myndigheter skall fullständigt oberoende utöva de uppgifter som åläggs dem. Datainspektionen har utsetts till sådan tillsynsmyndighet i . Varje tillsynsmyndighet skall ha särskilda undersöknings- befogenheter. Härmed avses t.ex. befogenhet att få tillgång till uppgifter som blir föremål för behandling och att ingripa när de nationella bestämmelser som antagits till följd av direktivet har överträtts. I dataskyddsdirektivet föreskrivs ett relativt omfattande anmälningsförfarande till tillsynsmyndigheten när det gäller helt Övergripande rättslig reglering av behandling av personuppgifter eller delvis automatiserad behandling av personuppgifter. För icke- automatiserade behandlingar får medlemsländerna föreskriva ett förenklat anmälningsförfarande. Undantag från anmälningsplikt eller tillämpning av ett förenklat anmälningsförfarande får också föreskrivas, dels om det med hänsyn till de behandlade uppgifterna inte är sannolikt att den registrerades fri- eller rättigheter kränks, dels om den registeransvarige har utsett uppgiftsskyddsombud (personuppgiftsombud). 4.4.5Överföring av personuppgifter till tredje land Direktivet syftar till ett fritt flöde av personuppgifter mellan medlemsländerna. Som huvudregel gäller att överföring av personuppgifter till ett land utanför EU eller Europeiska ekonomiska samarbetsområdet (EES), tredje land, får ske endast om det mottagande landets lagstiftning kan säkerställa en adekvat skyddsnivå. Vad som är en adekvat skyddsnivå får avgöras med hänsyn tagen till bl.a. de uppgifter som skall behandlas och ändamålet med behandlingen. I vissa fall får personuppgifter föras över till länder vars lag- stiftning i och för sig inte erbjuder en adekvat skyddsnivå. Det gäller bl.a. om den registrerade otvetydigt samtycker till att överföring sker eller om överföringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen. Exempel på det sistnämnda är vissa överföringar vid internationellt utbyte av uppgifter mellan skattemyndigheter eller tullmyndig- heter. Den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna gäller som svensk lag här i landet. I artikel 8 stadgas att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Övergripande rättslig reglering av behandling av personuppgifter Såvitt gäller laglighetskriteriet krävs, utöver att intrånget skall grundas på nationell lag, att den åberopade lagen uppfyller vissa minimikrav i fråga om kvalitet och tydlighet. En rättighets- inskränkande tolkning av lagen skall kunna förutses och lagen skall vara allmänt tillgänglig. Att ett ingripande skall vara nödvändigt innebär att det skall föreligga ett angeläget samhälleligt behov av åtgärden i fråga. Åtgärden får dock inte gå längre än vad som är erforderligt med beaktande av proportionalitetsprincipen, dvs. den skall stå i rimlig relation till det intresse åtgärden är avsedd att tillgodose. Vid denna avvägning har staterna ett visst handlingsutrymme att inom rimliga gränser göra de avvägningar i bevis- och andra bedömningsfrågor, vilka läggs till grund för ett ingripande. Primärt innebär artikel 8 att staten skall avhålla sig från ingrepp i den skyddade rättigheten, utom i de fall som omfattas av de i artikeln föreskrivna undantagen. Artikelns räckvidd är dock inte begränsad i detta avseende utan staten är också i viss mån skyldig att vidta positiva åtgärder för att skydda den enskildes privata sfär. Sådana positiva åtgärder kan utgöras av lagstiftningen men också av skydd mot övergrepp i särskilda situationer. Även utan att det förekommit något ingripande från myndighet eller offentlig tjänsteman kan staten således under vissa förutsättningar anses ha brutit mot artikel 8 genom att tolerera en föreliggande situation eller genom att inte skapa ett tillräckligt rättsligt skydd. Statens ansvar för en underlåtenhet kan då aktualiseras, trots att det övergrepp som visat att det rättsliga skyddet var otillräckligt utförts av en enskild person, för vars handlande staten inte i och för sig kan anses ansvarig. De krav som ställs på staten måste vara rimliga. Vad som i huvudsak kan förväntas är att staten utfärdar lagar och förordningar som ger ett tillfredsställande skydd åt privatliv, familjeliv, hem och korrespondens (se , Mänskliga rättigheter i europeisk praxis – En kommentar till om de mänskliga rättigheterna, uppl. 2:1, 2002, Juridik, , s. 4.6Europeiska unionens stadga om de grundläggande rättigheterna tillkännagavs Europeiska unionens stadga om de grundläggande rättigheterna av parlamentet, rådet och kommissionen. I stadgan bekräftas de rättigheter som har sin grund Övergripande rättslig reglering av behandling av personuppgifter i medlemsstaternas gemensamma författningstraditioner och inter- nationella förpliktelser samt i Fördraget om Europeiska unionen och gemenskapsfördragen, såsom Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, gemenskapens och sociala stadgor och rättspraxis vid Europeiska gemenskapernas domstol och Europeiska domstolen för de mänskliga rättigheterna. Stadgans syfte är att kodifiera de grundläggande fri- och rättigheterna som EU redan erkänner. är stadgan inte mer än en politisk viljeförklaring avseende de redan existerande rättigheterna. Stadgan är således inte rättsligt bindande. I stadgans artikel 8 föreskrivs att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Dessa uppgifter skall behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet skall kontrollera att reglerna efterlevs. Stadgan riktar sig till EU:s egna organ och institutioner samt till medlemsstaterna endast när de tillämpar unionsrätten. Stadgan riktar sig alltså inte till medlemsstaterna när de stiftar nationella lagar inom områden där EU inte har givits lagstiftningskompetens. Varje begränsning i utövningen av de rättigheter och friheter som erkänns i stadgan skall vara föreskrivna i lag och vara förenliga med proportionalitetsprincipen och det väsentliga innehållet i fri- och rättigheterna. De rättigheter som skyddas i stadgan skall ha samma innebörd och räckvidd som de som skyddas i Europa- konventionen. Stadgans artiklar får inte tolkas som att de inskränker eller inkräktar på fri- och rättigheter enligt andra konventioner eller överenskommelser. Missbruk av rättigheter, såsom att t.ex. utnyttja en bestämmelse i stadgan för att åsidosätta en annan bestämmelse, är uttryckligen förbjudet i stadgan. Med anledning av att dataskyddsdirektivet skulle antas tillsatte regeringen en kommitté med uppgift att utreda på vilket sätt direktivet skulle införlivas i svensk rätt (). Uppdraget redovisades i betänkandet Integritet – Offentlighet – Informationsteknik (SOU1997:39). Personuppgiftslagen (1998:204) bygger i allt väsentligt på det förslag som lades fram i Övergripande rättslig reglering av behandling av personuppgifter Det bör anmärkas att regeringen tillsatte en utredning med uppgift att i vissa hänseenden se över personuppgiftslagen (Dir. 2002:31). 4.7.1Allmänt om lagen och dess tillämpningsområde Personuppgiftslagen reglerar själva hanteringen av personuppgifter och inte bara missbruk av sådana uppgifter. Det innebär att behandling av personuppgifter som inte sker med stöd av personuppgiftslagen är otillåten. Med behandling av person- uppgifter avses varje åtgärd som vidtas med uppgifterna, t.ex. insamling, lagring, bearbetning, inhämtande, utlämnande, samkör- ning eller förstöring. Personuppgifter i lagens mening är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Personuppgiftslagen tillämpas på all automatiserad behandling av personuppgifter. Dessutom är lagen tillämplig på behand- ling av uppgifter som ingår, eller är avsedda att ingå, i en struktu- rerad samling av personuppgifter, vilka är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Lagen omfattar även sådan verksamhet som faller utanför gemenskapsrätten, t.ex. allmän säkerhet och försvaret. har haft ett system som utgår från en generell lag kompletterad med särregler i s.k. registerförfattningar för viktigare eller känsligare register på det offentliga området. Enligt 2 § personuppgiftslagen gäller särreglering i lag eller förordning framför bestämmelserna i personuppgiftslagen. Att det krävs en särskild författning för att avvika från det integritetsskydd som personuppgiftslagen ger ansåg regeringen vidare vara en garanti för att behovet av särregler övervägs noga i den ordning som gäller för författningsgivning. Målet har också varit att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll skall regleras särskilt i lag (jfr. 1990/91:KU11 s. 11 och 1997/98:KU18 s. 48 samt prop. 1990/91:60 s. 58 och prop. 1997/98:44 s. Uppgifter om juridiska personer som definitionsmässigt inte utgör personuppgifter omfattas inte av personuppgiftslagen. Inte heller behandling som en fysisk person utför i verksamhet av rent privat natur omfattas, även om behandlingen avser personuppgifter. Dessutom undantas all behandling av personuppgifter som skyddas av tryckfrihetsförordningen och yttrandefrihetsgrundlagen. Vissa viktiga undantag från lagens bestämmelser görs också för sådan Övergripande rättslig reglering av behandling av personuppgifter personuppgiftsbehandling som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. Särreglering i lag eller förordning gäller som nämnts framför personuppgiftslagen. I lagen anges emellertid uttryckligen att den inte får inskränka myndigheternas skyldighet att lämna ut personuppgifter enligt 2 kap. tryckfrihetsförordningen och att den inte heller får hindra att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. 4.7.2Förutsättningar för behandling av personuppgifter Ansvarig för behandling av personuppgifter är den personuppgifts- ansvarige, dvs. den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Personuppgifter skall alltid behandlas på ett korrekt och lagligt sätt samt i enlighet med god sed. De skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål. får uppgifterna inte behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in. Det anses inte oförenligt med de ursprungliga ändamålen att behandla uppgifterna för historiska, statistiska eller vetenskapliga ändamål. De behand- lade uppgifterna måste vara riktiga och relevanta och inte alltför omfattande i förhållande till de ändamål för vilka de behandlas. Uppfyller personuppgifterna inte kraven skall den personupp- giftsansvarige vidta alla rimliga åtgärder för att utplåna, blockera eller rätta de felaktiga eller ofullständiga uppgifterna. Personuppgifterna får enligt personuppgiftslagen inte sparas längre än nödvändigt med hänsyn till de ändamål för vilka uppgifterna behandlas. Uppgifter får emellertid inte avidentifieras eller på annat sätt förstöras (dvs. gallras) om det strider mot bl.a. tryckfrihetsförordningens bestämmelser om allmänna handlingar. När behandling av personuppgifter är tillåten Enligt personuppgiftslagen är det tillåtet att behandla person- uppgifter efter den registrerades samtycke. Övergripande rättslig reglering av behandling av personuppgifter varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Lagen uppställer inget krav på att samtycke skall vara skriftligt eller på annat sätt formbundet. Personuppgifter får – trots att samtycke från den registrerade saknas – behandlas om det är nödvändigt för att ett avtal med den registrerade skall kunna fullgöras, för att den personuppgifts- ansvarige skall kunna fullgöra en rättslig skyldighet, för att vitala intressen för den registrerade skall kunna skyddas, för att en arbetsuppgift av allmänt intresse skall kunna utföras, för att den personuppgiftsansvarige eller någon annan till vilken personupp- gifter har lämnats ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning samt för att tillgodose ett berättigat intresse hos den personuppgiftsansvarige, om det väger tyngre än den registrerades intresse av integritetsskydd. Nödvändighetsrekvisitet har bl.a. tolkats så att personuppgifter får behandlas automatiserat även i de fall det är faktiskt möjligt med behandling, om det innebär att förfarandet under- lättas. För vissa slag av uppgifter gäller enligt personuppgiftslagen särskilda restriktioner. Enligt huvudregeln får uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse samt medlemskap i fackförening inte behandlas. Likaså är det förbjudet att behandla sådana personupp- gifter som rör hälsa eller sexualliv. Förbudet mot att behandla känsliga personuppgifter är dock inte undantagslöst. Uppgifterna får behandlas efter den registrerades uttryckliga (dvs. klart manifesterade) samtycke eller när den registrerade har offentliggjort känsliga uppgifter på ett tydligt sätt. Behandling av känsliga personuppgifter får utföras även när det är nödvändigt för att den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, för att rättsliga anspråk skall kunna slås fast, göras gällande eller försvaras samt för att den registrerades eller någon annans vitala intressen skall kunna skyddas, om den registrerade är förhindrad att lämna samtycke. Förbudet mot att behandla känsliga personuppgifter gäller inte heller när behandlingen utförs inom Övergripande rättslig reglering av behandling av personuppgifter ramen för en ideell organisations berättigade verksamhet med ett politiskt, filosofiskt, religiöst eller fackligt syfte, om behandlingen avser uppgifter om bl.a. medlemmar. Slutligen undantas från förbudet viss behandling av uppgifter inom hälso- och sjukvården samt viss behandling för forsknings- och statistikändamål. Regeringen eller den myndighet som regeringen bestämmer, dvs. Datainspektionen, får meddela föreskrifter om ytterligare undan- tag, om det behövs med hänsyn till ett viktigt allmänt intresse.