sou · GRB387d1 · 2004-01-01 00:00:00 — Den registrerade skall i förekommande fall ha rätt att få sådana uppgifter som inte har behandlats i enlighet med bestämmelserna i direktivet rättade, utplånade eller blockerade. I direktivet finns inte någon definition av begreppet blockering. Av Kommissionens förklaring till direktivförslaget tycks framgå att med blockering avses att den registeransvarige får fortsätta att lagra uppgifterna, men inte på annat sätt behandla eller använda dem, se SOU 1997:39 s. 143. Om en uppgift rättas skall den registeransvarige underrätta tredje man som fått del av den felaktiga uppgiften. Detta gäller dock inte om en underrättelse är omöjlig eller skulle innebära en oproportionerligt stor ansträngning. I artikel 13 finns det bestämmelser om att medlemsstaterna får föreskriva begränsningar i fråga om vissa skyldigheter och rättig- heter, bl.a. informationsskyldigheten och rättigheten att på begäran få tillgång till uppgifter. En sådan begränsning måste vara en Rättslig reglering till skydd för den personliga integriteten nödvändig åtgärd med hänsyn till vissa allmänna intressen, bl.a. skyddet av den registrerades eller andras fri- och rättigheter. Artikel 17 innehåller bestämmelser om säkerheten vid behand- lingen av personuppgifter. Den registeransvarige skall genomföra lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter mot varje slag av otillåten behandling. Personupp- gifter skall dessutom skyddas mot bl.a. otillåten spridning, mot att de går förlorade genom olyckshändelse och mot att de ändras. Av artikel 18 i dataskyddsdirektivet framgår att medlemsstaterna är tvungna att föreskriva att den registeransvarige eller dennes före- trädare skall underrätta tillsynsmyndigheten innan genomförandet av en behandling som helt eller delvis genomförs på automatisk väg eller en serie av sådana automatiska behandlingar som har samma eller närbesläktade ändamål. För icke-automatiserade behandlingar av personuppgifter är det tillåtet för medlemsstaterna att föreskriva att vissa eller alla sådana behandlingar skall anmälas eller att ett förenklat anmälningsförfarande skall gälla för dem. Undantag från anmälningsplikten alternativt tillämpning av ett förenklat förfarande får föreskrivas dels om det med hänsyn till de behandlade uppgifterna inte är sannolikt att den registrerades fri- eller rättigheter kränks, dels när ett uppgiftsskyddsombud (person- uppgiftsombud) har utsetts. utfärdade regeringen direktiv till om en total revision av datalagen och en analys av hur Dataskydds- direktivet skulle införlivas i svensk rätt. Uppdraget redovisades i betänkandet Integritet – Offentlighet – Informationsteknik, SOU 1997:39. Regeringen beslutade propositionen 1997/98:44 Personuppgiftslag (bet. 1997/98:KU18, rskr. 1997/98:180), vilken i huvudsak bygger på det förslag som lades fram i betänkandet. Personuppgiftslagen (1998:204) trädde i kraft som datalagen upphörde att gälla. I fråga om behandling av personuppgifter som påbörjats före skulle personuppgiftslagen emellertid inte tillämpas. Rättslig reglering till skydd för den personliga integriteten Detsamma gällde bl.a. för behandling som utfördes för ett visst bestämt ändamål om behandlingen för ändamålet påbörjades före ikraftträdandet. 7.6.1Lagen och dess tillämpningsområde Personuppgiftslagen (1998:204), som i huvudsak följer dataskydds- direktivets text och disposition, omfattar all automatiserad behandling av personuppgifter och behandling av person- uppgifter i s.k. register. I sistnämnda fall skall det vara fråga om uppgifter som ingår eller är avsedda att ingå i en struktu- rerad samling av personuppgifter vilka är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, 5 §. Syftet med lagen är enligt 1 § att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Lagen är generellt tillämplig och omfattar även sådan verksamhet som faller utanför EG-rätten, exempelvis behandling av person- uppgifter hos polisen eller försvarsmakten. Av 2 § framgår att avvikande bestämmelser i lag eller förordning gäller framför personuppgiftslagen. Beslut som eller regeringen har fattat i annan form än lag eller förordning tar däremot inte över bestämmelserna i personuppgiftslagen. Det är således följdriktigt att föreskrifter som myndigheter har beslutat inte heller tar över bestämmelserna i aktuell lag. Det finns vidare i 8 § en bestämmelse som klargör att lagen inte skall tillämpas, om det skulle inskränka myndigheternas skyldigheter att lämna ut personuppgifter enligt 2 kap. tryckfrihetsförordningen. I samma paragraf framgår också att lagen inte hindrar att en myndighet arkiverar och bevarar all- männa handlingar eller att arkivmaterial tas om hand av en arkiv- myndighet. Sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur undantas från personuppgiftslagen (6 §). Behandling av uppgifter om juridiska personer omfattas över huvud taget inte av lagen. I lagen görs vidare ett undantag för sådan behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande (7 §). De regler i dataskyddsdirektivet som införts i personuppgifts- lagen är i huvudsak generella. Enligt artikel 5 i direktivet åligger det medlemsstaterna att inom den ram direktivet drar upp precisera på Rättslig reglering till skydd för den personliga integriteten vilka villkor behandling av personuppgifter är tillåtna. Enligt regeringen kan en generell lag som i princip avser att reglera all icke privat användning inte gärna innehålla annat än generella principer och de allra viktigaste undantagen från dessa, se prop. 1997/98:44 s. 56. Regeringen eller Datainspektionen får därför bemyndigas att föreskriva undantag från vissa bestämmelser i personuppgiftslagen och precisera de generella principer som lagen innehåller. Genom personuppgiftslagen (1998:204) utmönstras en rad begrepp som använts i datalagen, t.ex. personregister. En rad nya begrepp införs, vilka definieras i 3 §. Personuppgifter i lagens mening är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Det innebär att varken juridiska personer eller avlidna personer omfattas av lagens tillämpningsom- råde. Med behandling av personuppgifter avses varje åtgärd som vidtas med uppgifterna, vare sig det sker på automatiserad väg eller inte, t.ex. insamling, lagring, bearbetning, inhämtande, utlämnande, samkörning eller förstöring. Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Ett personuppgifts- biträde behandlar personuppgifter för den personuppgiftsansvariges räkning. Med personuppgiftsombud avses den fysiska person som, efter förordnande av den personuppgiftsansvarige, självständigt skall se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Med samtycke avses varje slag av frivillig, särskild och otvety- dig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Det krävs inte att samtycket är skriftligt. 7.6.3Förutsättningar för behandling av personuppgifter Grundläggande krav (9 §) De grundläggande kraven på behandling av personuppgifter i per- sonuppgiftslagen (1998:204) stämmer överens med de krav som medlemsstaterna skall föreskriva enligt artikel 6 i dataskyddsdirek- tivet. Enligt lagen skall personuppgifter alltid behandlas på ett korrekt och lagligt sätt samt i enlighet med god sed. Rättslig reglering till skydd för den personliga integriteten samlas in för särskilda, uttryckligt angivna och berättigade ändamål. får uppgifterna inte behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in, vilket bl.a. innebär att uppgifterna inte får lämnas ut till annan om det är oförenligt med de ursprungliga ändamålen. Ett utlämnande med stöd av offentlighetsprincipen i 2 kap. TF hindras dock inte av denna princip. Att ändamålen skall vara särskilda innebär att en alltför allmänt hållen ändamålsbeskrivning inte får godtas. Hur detaljerad ändamålsbeskrivningen måste vara får avgöras i praxis och genom föreskrifter från regeringen och Datainspektionen. Det anses inte oförenligt med de ursprungliga ändamålen att behandla uppgifterna för historiska, statistiska eller vetenskapliga ändamål. De behandlade uppgifterna måste vara riktiga och relevanta och de får inte omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka uppgifterna har samlats in eller för vilka de senare behandlas. Om det är nödvändigt skall uppgifterna också vara aktuella. Alla rimliga åtgärder måste vidtas för att säkerställa utplåning eller rättelse av sådana personuppgifter som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlats in eller för vilka de senare behandlas. Personuppgifterna får inte heller bevaras längre än nödvändigt med hänsyn till de ändamål för vilka uppgifterna behandlas. Därefter måste de avidentifieras eller förstöras. Eftersom personuppgiftslagen är subsidiär till annan lag- stiftning, får uppgifterna emellertid inte avidentifieras eller på annat sätt förstöras (dvs. gallras) om det strider mot bl.a. tryckfrihetsför- ordningens bestämmelser om allmänna handlingar. När behandling av personuppgifter är tillåten (10–12 §§) Personuppgifter får behandlas bara om den enskilde har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för vissa särskilda ändamål. Om den registrerade återkallar sitt sam- tycke får ytterligare personuppgifter om denne inte registreras. I vissa fall får dock personuppgifter behandlas trots att samtycke från den registrerade saknas. En förutsättning i samtliga dessa fall är att behandlingen är nödvändig för ändamålen. Här kan anmärkas att flertalet automatiserade bearbetningar av personuppgifter också kan utföras manuellt. Nödvändighetsrekvisitet har av tolkats så att personuppgifter får behandlas även i de fall det är faktiskt möjligt att utföra uppgiften på annat sätt, om Rättslig reglering till skydd för den personliga integriteten förfarandet underlättas genom användningen av automatisk data- behandling (SOU 1997:39 s. 359). Av 10 § personuppgiftslagen framgår att personuppgifter får behandlas i samband med ett avtal med den registrerade när det krävs för fullgörandet av avtalet eller när det behövs för att på den registrerades begäran vidta åtgärder innan avtalet träffas. Vidare får behandling utföras om det är nödvändigt för att den personupp- giftsansvarige skall kunna fullgöra en rättslig skyldighet som åvilar honom eller henne. Personuppgifter får också behandlas för att skydda vitala intressen för den registrerade. Likaså får sådana upp- gifter behandlas om det är nödvändigt för att en arbetsuppgift av allmänt intresse skall kunna utföras och för att den personuppgifts- ansvarige, eller någon annan till vilken personuppgifter har lämnats ut, skall kunna utföra en arbetsuppgift i samband med myndighets- utövning. Personuppgifter får vidare behandlas om en avvägning ger vid handen att den personuppgiftsansvariges berättigade intresse av en behandling väger tyngre än den registrerades intresse av skydd. Vid intresseavvägningen jämställs med den personuppgiftsansvarige också sådana tredje män till vilka uppgiften lämnas ut. Om en behandling av personuppgifter inte kan räknas till något av de fall som anges i 10 §, är behandlingen otillåten och får inte genomföras. Behandling av känsliga personuppgifter (13 §) I artikel 8 i dataskyddsdirektivet föreskrivs att medlemsstaterna skall förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk överty- gelse samt medlemskap i fackförening. Likaså är det förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. I fråga om uppgifter som rör hälsa omfattas uppgifter om den regi- strerades tidigare, nuvarande och framtida fysiska och psykiska hälsa samt uppgifter om missbruk av droger och alkohol. I person- uppgiftslagen återfinns direktivets förbud mot behandling av käns- liga personuppgifter. Rättslig reglering till skydd för den personliga integriteten Undantag från förbudet (14–20 §§) I 14 20 §§ personuppgiftslagen finns det bestämmelser som med- för att känsliga personuppgifter i vissa fall ändå får behandlas. För- budet mot behandling av känsliga personuppgifter gäller inte om den registrerade har lämnat sitt samtycke till behandlingen. Till skillnad från när samtycke krävs i andra sammanhang måste i fråga om känsliga personuppgifter samtycket emellertid vara uttryckligt, dvs. Känsliga personuppgifter får vidare behandlas när det är nöd- vändigt för att den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten. I stort sett gäller det fullgörandet av alla skyldigheter och rättigheter för arbetsgivaren beträffande de anställda och deras organisationer. De uppgifter som behandlas under denna förutsättning får lämnas ut till tredje man endast om det inom arbetsrätten finns en uttrycklig skyldighet för den personuppgiftsansvarige att göra det eller om den registrerade har samtyckt till utlämnandet. Om den registrerade inte kan lämna sitt samtycke, får känsliga personuppgifter behandlas när det är nödvändigt för att den regi- strerades vitala intressen skall kunna skyddas. Innebörden av begreppet vitala intressen är inte entydigt definierat, utan ett sådant intresse kan antingen vara av grundläggande betydelse för den regi- strerade alternativt vara livsviktigt för honom eller henne. Förbudet mot att behandla känsliga personuppgifter gäller inte heller när behandlingen utförs inom ramen för ideella organisa- tioners berättigade verksamhet med ett politiskt, filosofiskt, religiöst eller fackligt syfte. För att sådan behandling skall vara tillåten förutsätts emellertid att behandlingen endast avser upp- gifter om medlemmar eller personer som organisationen på grund av sitt ändamål har regelbunden kontakt med. Utlämnande av sådana uppgifter till tredje man kräver den registrerades uttryckliga samtycke. Det är tillåtet att behandla känsliga personuppgifter som på ett tydligt sätt offentliggörs av den registrerade. Det är vidare tillåtet att behandla känsliga personuppgifter när det är nödvändig för att kunna fastslå, göra gällande eller försvara rättsliga anspråk. Detta gäller när det förhållande som faller in under definitionen av känsliga personuppgifter också är en förutsättning för att personen i fråga skall ha rätt till en förmån eller ha en rättslig skyldighet gentemot någon annan. Som exempel kan nämnas rätten för en Rättslig reglering till skydd för den personliga integriteten sjuk person att få försäkringsersättning eller skyldigheten för den som tillhör att betala avgift. Förbudet mot behandling av känsliga uppgifter gäller inte när behandlingen är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling samt administration av hälso- och sjukvård. Förbudet gäller inte heller när sådana uppgifter behandlas antingen av någon som är yrkes- mässigt verksam inom hälso- och sjukvårdsområdet och som sam- tidigt är underkastad tystnadsplikt eller av någon annan person som är underkastad en liknande tystnadsplikt. Slutligen undantas, under vissa förutsättningar, behandling för forskning och statistik från förbudet. Regeringen eller den myndighet som regeringen bestämmer, dvs. Datainspektionen, får meddela föreskrifter om ytterligare undan- tag, om det behövs med hänsyn till ett viktigt allmänt intresse, exempelvis folkhälsa. 7.6.4Information till den registrerade I 23 27 §§ personuppgiftslagen (1998:204) finns bestämmelser om information till den registrerade. Bestämmelserna gäller främst den information som den personuppgiftsansvarige utan uppmaning har att lämna. Om uppgifter om en person lämnas av personen själv, skall den personuppgiftsansvarige i samband därmed självmant lämna den registrerade information om behandlingen. Om personuppgifterna inhämtas från någon annan källa än den registrerade själv, skall den personuppgiftsansvarige utan upp- maning lämna den registrerade information om behandlingen, när uppgifterna registreras. Är uppgifterna avsedda att lämnas ut till tredje man behöver informationen emellertid inte lämnas förrän uppgifterna lämnas ut . Informationen skall inne- hålla uppgifter om vem den personuppgiftsansvarige är, ändamålet med behandlingen och all övrig information som den registrerade behöver för att kunna ta tillvara sina rättigheter i samband med behandlingen. Enligt 25 § personuppgiftslagen behöver information inte lämnas om sådant som den registrerade redan känner till, exempelvis på grund av att han eller hon redan har fått informationen i enlighet med annan lagstiftning. Rättslig reglering till skydd för den personliga integriteten Har uppgifterna hämtats in från en annan källa än den regi- strerade själv, behöver informationen inte lämnas om det är omöj- ligt eller skulle innebära en oproportionerligt stor arbetsinsats. Den personuppgiftsansvarige är skyldig att, till var och en som ansöker om det, en gång per kalenderår gratis lämna besked om huruvida uppgifter som rör sökanden behandlas eller inte, ända- målet med behandlingen, vilka uppgifter som behandlats, varifrån dessa kommer och till vem de lämnas ut. Sådan information behöver emellertid inte lämnas beträffande personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Detta gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga ändamål, eller när det gäller löpande text som inte har fått sin slutliga utformning, om uppgifterna har behandlats . I den utsträckning det i en lag eller annan författning eller i ett beslut som har meddelats med stöd av en författning är särskilt föreskrivet att uppgifter inte får lämnas ut till den registrerade, behöver information inte lämnas. Regler om sekretess och tyst- nadsplikt går således före beskriven informationsskyldighet. Av 28 § personuppgiftslagen (1998:204) framgår att den person- uppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller före- skrifter som har utfärdats med stöd av lagen. Med blockering avses varje åtgärd som kan vidtas för att de ifrågavarande personupp- gifterna i alla sammanhang skall vara förknippade med tydlig information om att de är spärrade och inte får lämnas ut till tredje man och anledningen till spärren. Den personuppgiftsansvarige skall i vissa fall lämna en under- rättelse om vidtagna korrigeringsåtgärder till tredje man till vilka personuppgifterna har lämnats ut. Detta skall ske om den regi- strerade begär det eller om det behövs för att undvika mera betydande skada eller olägenhet för den registrerade. En under- rättelse behöver dock inte lämnas om det visar sig vara omöjligt att underrätta eller det skulle innebära en oproportionerligt stor Rättslig reglering till skydd för den personliga integriteten arbetsinsats att lämna en underrättelse. Den personuppgifts- ansvarige har inte någon skyldighet att hålla reda på till vem upp- gifterna lämnas ut. Om den personuppgiftsansvarige inte vet till vilka uppgifterna har lämnats ut, är det omöjligt att senare under- rätta dem. 7.6.6Säkerheten vid behandling av personuppgifter Bestämmelser om säkerheten vid behandling av personuppgifter finns i 30 och 32 §§ personuppgiftslagen (1998:204). Ett person- uppgiftsbiträde, den som behandlar personuppgifter för den personuppgiftsansvariges räkning, och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges räkning får bara behandla personuppgifter i enlighet med instruktioner från den personuppgiftsansvarige. Instruktionerna bör formuleras på ett sådant sätt att var och en som arbetar med personuppgifter skall veta vilka ändamålen är med behandlingen och att behandling som är oförenlig med dessa ändamål är förbjuden. Om det i lag eller annan författning finns särskilda bestämmelser om behandlingen av personuppgifter i det allmännas verksamhet i sådana frågor, skall i stället de bestämmelserna tillämpas. Det gäller i huvudsak bestämmelser om tystnadsplikt och sekretess. Den personuppgiftsansvarige är skyldig att vidta tekniska och organisatoriska åtgärder för att skydda personuppgifterna. Åt- gärderna skall åstadkomma en lämplig säkerhetsnivå med hänsyn till de tekniska möjligheter som finns, kostnaden för att genomföra åtgärderna, riskerna med behandlingen och hur känsliga de behand- lade uppgifterna är. Enligt 32 § personuppgiftslagen får Datainspektionen meddela beslut om säkerhetsåtgärder i enskilda fall. Följs inte beslutet fri- villigt i det enskilda fallet, kan Datainspektionen enligt 45 § vid vite förbjuda den personuppgiftsansvarige att fortsätta att behandla personuppgifter på något annat sätt än genom att lagra dem. I 43 47 §§ personuppgiftslagen (1998:204) regleras vissa av de befogenheter som tillkommer tillsynsmyndigheten, dvs. Data- inspektionen, vilken har rätt att för sin tillsyn på begäran få tillgång Rättslig reglering till skydd för den personliga integriteten till bl.a. personuppgifter som behandlats och tillträde till sådana lokaler som har anknytning till behandlingen. Om Datainspek- tionen inte kan få tillräckligt underlag för att konstatera att be- handlingen av personuppgifter är laglig, kan myndigheten också vid vite förbjuda den personuppgiftsansvarige att behandla person- uppgifter på annat sätt än genom att lagra dem. Datainspektionen får också hos länsrätten ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt skall utplånas. Anmälningsskyldighet (36 §) Den personuppgiftsansvarige är skyldig att till Datainspektionen anmäla helt eller delvis automatiserad behandling av personupp- gifter innan en sådan behandling företas. behandlingar omfattas inte av anmälningsskyldigheten. Avsikten med anmäl- ningsskyldigheten är att göra behandlingens ändamål och dess viktigaste egenskaper kända. Datainspektionen skall föra register över anmälda behandlingar. I förarbetena (prop. 1997/98:44 s.97) till personuppgiftslagen (1998:204) redovisas regeringens uppfattning om Data- inspektionens verksamhet. Enligt regeringen borde denna verk- samhet koncentreras till att ge råd och sprida kunskap om de materiella reglerna samt att utöva tillsyn över att reglerna följs. Dataskyddsdirektivet föreskriver dock som huvudregel att alla automatiserade behandlingar av personuppgifter skall anmälas på förhand till tillsynsmyndigheten, se artikel 18.1. En sådan ordning skulle innebära att Datainspektionen, i motsats till regeringens uppfattning, i huvudsak skulle ägna sig åt hantering av anmälningar, tillstånd m.m. Från anmälningsskyldigheten får ett medlemsland emellertid föreskriva undantag. För att kunna tillgodose både kravet att följa direktivet och önskemålet att begränsa anmälningsskyldigheten, har i person- uppgiftslagen en principiell anmälningsskyldighet till Datainspek- tionen införts, som möjligheterna att föreskriva om undantag från skyldigheten har utnyttjats fullt ut. När fråga är om särskilt integritetskänsliga behandlingar, som Datainspektionen skall kontrollera innan de påbörjas, föreskrivs dock inga undantag från anmälningsskyldigheten. Rättslig reglering till skydd för den personliga integriteten I personuppgiftslagen finns ett bemyndigande som ger regeringen eller Datainspektionen möjlighet att genom föreskrifter meddela undantag från anmälningsskyldigheten. Personuppgiftsombud (37 40 §§)