sou · GRB340d1 · 2004-01-01 00:00:00 — Verksamhet som faller utanför gemenskapsrätten – däribland verksamhet som rör allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område – omfattas inte av direktivets bestämmelser. Dataskyddsdirektivet omfattar inte bara automatiserad behand- ling av personuppgifter utan även behandling av person- uppgifter, dock endast om uppgifterna ingår i eller kommer att ingå i ett register. Utanför tillämpningsområdet faller t.ex. ostrukture- rade akter. Direktivet omfattar inte behandling av personuppgifter för privat bruk, oavsett om behandlingen är automatiserad eller . Enligt dataskyddsdirektivet måste all behandling av person- uppgifter vara laglig och korrekt. Uppgifterna måste vara riktiga och aktuella samt adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Ändamålen skall vara ut- tryckligt angivna vid tiden för insamlingen av uppgifterna. De ändamål för vilka uppgifterna senare behandlas får inte vara ofören- liga med de ursprungliga ändamålen. Personuppgifter får enligt direktivet behandlas bara i vissa sär- skilt angivna fall. Uppgifter får behandlas efter att den registrerade otvetydigt har lämnat sitt samtycke eller i samband med full- görande av avtal där den registrerade är part. Behandling får också ske om den är nödvändig för att fullgöra en rättslig förpliktelse, som åvilar den registeransvarige, eller för att skydda vitala intressen för den registrerade. Vidare får behandling ske om den är nöd- vändig för att utföra en arbetsuppgift som antingen är av allmänt Rättslig reglering av behandling av personuppgifter intresse eller utgör ett led i myndighetsutövning. Slutligen får personuppgifter behandlas efter en intresseavvägning, nämligen om intresset av att den registeransvarige får behandla uppgifterna över- väger den registrerades intresse av att de inte behandlas. Vissa särskilda i direktivet angivna kategorier av uppgifter får inte behandlas utan uttryckligt samtycke av den registrerade. Det gäller uppgifter som avslöjar den enskildes ras eller etniska ur- sprung, politiska åsikter, religiösa eller filosofiska övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. I vissa särskilt angivna fall får behandling ske även utan den registrerades samtycke. Medlemsstaterna får vidare – under förutsättning av lämpliga skyddsåtgärder och om det krävs av hänsyn till ett viktigt allmänt intresse – besluta om ytterligare undantag från förbudet. Behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder får utan särskilt stöd i nationell lagstiftning utföras endast under kontroll av en myndighet. Dataskyddsdirektivet innehåller också bestämmelser om bl.a. rätt för den registrerade att motsätta sig uppgiftsbehandling i vissa fall, begränsningar vad gäller möjligheterna att grunda för den enskilde betydelsefulla beslut enbart på automatiserad data- behandling av uppgifter som avser dennes personliga egenskaper, information till den registrerade, den enskildes rätt till insyn och rättelse samt om datasäkerhet och sekretess. Medlemsstaterna får föreskriva begränsningar av vissa skyldig- heter och rättigheter, bl.a. i fråga om informationsskyldigheten och rätten att på begäran få tillgång till uppgifter. En sådan begränsning får dock göras bara då det är en nödvändig åtgärd med hänsyn till vissa allmänna intressen, bl.a. intresset av att undersöka, avslöja och åtala för brott samt skyddet av den registrerades eller andras fri- och rättigheter. I direktivet föreskrivs ett anmälningsförfarande till en tillsyns- myndighet när det gäller helt eller delvis automatiserad behandling av personuppgifter. Undantag från anmälningsplikt alternativt ett förenklat förfarande får under vissa förutsättningar föreskrivas. Som huvudregel gäller att personuppgifter får föras över till ett land utanför EU eller Europeiska ekonomiska samarbetsområdet (EES), dvs. till tredje land, endast om det mottagande landets lagstiftning kan säkerställa en adekvat skyddsnivå. Medlemsstaterna skall föreskriva att var och en har rätt att föra talan inför domstol om kränkningar av sådana rättigheter som Rättslig reglering av behandling av personuppgifter skyddas av den nationella lagstiftning som är tillämplig på behand- lingen i fråga. Vidare skall föreskrivas att var och en som lidit skada till följd av en otillåten eller annars med bestämmelserna oförenlig behandling, har rätt till ersättning av den registeransvarige för skadan. Dataskyddsdirektivet skulle vara införlivat i medlemsstaternas nationella lagstiftning . När det gäller sådan behandling av personuppgifter som pågick vid den tidpunk- ten, skulle denna bringas i överensstämmelse med direktivet senast därefter. I fråga om register gäller dock en över- gångstid från direktivets ikraftträdande, dvs. Med anledning av att dataskyddsdirektivet skulle antas, tillsattes . Kommitténs uppgift var att göra en total revision av datalagen och utreda på vilket sätt direktivet skulle införlivas i svensk rätt. Uppdraget redovisades i betänkandet Integritet – Offentlighet – Informationsteknik (SOU 1997:39). Personuppgiftslagen (prop. 1997/98:44, bet. 1997/98:KU18, rskr. 1997/98:180), som trädde i kraft , bygger i allt väsentligt på det förslag som lades fram i betänkande. Lagen följer i huvudsak dataskyddsdirektivets text och disposition. Liksom dataskyddsdirektivet reglerar personuppgiftslagen själva hanteringen av personuppgifter och inte bara missbruk av sådana uppgifter. Det innebär att behandling av personuppgifter som inte sker med stöd av personuppgiftslagen är otillåten. Redan i lagens förarbeten konstaterade regeringen att en framtida ordning med en mer missbruksorienterad reglering är önskvärd, men att en sådan ordning måste föregås av ett reviderat dataskyddsdirektiv (prop. 1997/98:44 s. 36 f.). En utredning har dock tillsatts, Personupp- giftslagsutredningen (Ju 2002:02, dir. 2002:31) som har i uppdrag att göra en översyn av personuppgiftslagen i syfte att, inom ramen för dataskyddsdirektivet, åstadkomma ett regelverk som mer tar sikte på missbruk av personuppgifter. Om möjligt skall utred- ningen föreslå lättnader i hanteringsreglerna. Det kan också nämnas Rättslig reglering av behandling av personuppgifter att tillsammans med , och gemensamt presenterade ett förslag till EU- kommissionen om vissa ändringar i direktivet i en mer miss- bruksorienterad riktning. I personuppgiftsförordningen (1998:1191) finns kompletterande föreskrifter beträffande sådan behandling av personuppgifter som omfattas av personuppgiftslagen. I 2 § personuppgiftsförordningen har Datainspektionen utsetts att vara tillsynsmyndighet enligt per- sonuppgiftslagen. I denna egenskap har Datainspektionen bemyn- digats att meddela föreskrifter i vissa frågor. Några sådana föreskrifter har meddelats. Personuppgiftslagen är teknikoberoende genom att den omfattar all behandling av personuppgifter som är helt eller delvis auto- matiserad samt även behandling av personuppgifter som ingår i, eller är avsedd att ingå i, en strukturerad samling av person- uppgifter vilken är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (5 §). Personuppgiftslagen har därmed ett bredare tillämpningsområde än datalagen, som endast gällde person- register som inrättades eller fördes med hjälp av automatisk data- behandling (ADB). Till skillnad från dataskyddsdirektivet omfattar personuppgifts- lagen även sådan behandling av personuppgifter som sker inom ramen för verksamheter som inte omfattas av gemenskapsrätten, t.ex. statens verksamhet på straffrättens område eller verksamhet som rör allmän säkerhet eller försvar. Dock gäller att om det i annan lag eller i en förordning finns bestämmelser som avviker från personuppgiftslagen, skall de bestämmelserna gälla (2 §). De sär- regler som kan vara nödvändiga på vissa områden förutsätts få sin plats i särskilda registerförfattningar som helt eller delvis tar över den generella regleringen i personuppgiftslagen (prop. 1997/98:44 s. 40 f.). Personuppgiftslagen gäller inte för sådan behandling av person- uppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur (6 §). I förtydligande syfte görs dessutom undan- tag för all sådan behandling av personuppgifter som skyddas av tryckfrihetsförordningen och yttrandefrihetsgrundlagen (7 § första stycket). Vidsträckta undantag från lagens regler gäller även i fråga Rättslig reglering av behandling av personuppgifter om sådan behandling som annars utförs uteslutande för jour- nalistiska ändamål eller för konstnärligt eller litterärt skapande (7 § andra stycket). Dessutom får personuppgiftslagen inte inskränka myndigheternas skyldighet att lämna ut personuppgifter enligt 2 kap. tryckfrihetsförordningen (8 § första stycket). Vidare anges att personuppgiftslagen inte heller hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet (8 § andra stycket). Dataskyddsdirektivet innehåller ett antal huvudregler som måste ingå i nationell lagstiftning. Ofta är dessa huvudregler och principer allmänt hållna i direktivet. För att kunna tillämpas av personupp- giftsansvariga har de preciserats och konkretiserats i personupp- giftslagen. Lagen innehåller dock inte några detaljbestämmelser som fyller ut de generellt hållna huvudreglerna. I stället överlämnas det åt regeringen och Datainspektionen att, inom den ram som personuppgiftslagen drar upp, göra nödvändiga preciseringar och konkretiseringar. Några av de mer centrala begreppen i personuppgiftslagen defini- eras i 3 §. Med behandling avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automa- tiserad väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, an- vändning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Personuppgifter definieras som all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Uppgifter om avlidna omfattas alltså inte personuppgiftslagens tillämpningsområde. Den registrerade är den som en personuppgift avser. Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behand- lingen av personuppgifter. Tredje man är någon annan än den registrerade, den personuppgiftsansvarige, personuppgiftsombudet, personuppgiftsbiträdet och sådana personer som under den person- uppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har befogenheter att behandla personuppgifter. Rättslig reglering av behandling av personuppgifter I lagen definieras eller används även andra begrepp till vilka utredningen återkommer i det följande. 2.4.4Förutsättningar för behandling av personuppgifter Grundläggande krav (9 §) Enligt personuppgiftslagen skall personuppgifter alltid behandlas på ett korrekt och lagligt sätt samt i enlighet med god sed. De skall samlas in för särskilda, uttryckligt angivna ändamål. Efter insam- lingen får uppgifterna inte behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in, vilket bl.a. innebär att uppgifterna inte får lämnas ut till annan om det är oförenligt med de ursprungliga ändamålen. Att ändamålen skall vara särskilda innebär att en alltför allmänt hållen ändamåls- beskrivning inte får godtas. Hur detaljerad ändamålsbeskrivningen måste vara får avgöras i praxis eller genom föreskrifter från regeringen eller Datainspektionen. De behandlade uppgifterna måste vara riktiga och relevanta och inte alltför omfattande i förhållande till de ändamål för vilka de behandlas. Om det är nödvändigt, skall uppgifterna också vara aktuella. Uppfyller personuppgifterna inte kraven, skall den personuppgiftsansvarige vidta alla rimliga åtgärder för att utplåna, blockera eller rätta uppgifterna. Personuppgifterna får inte heller sparas längre än nödvändigt med hänsyn till de ändamål för vilka uppgifterna behandlas. Därefter måste de avidentifieras eller förstöras. För behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål gäller vissa särregler. Det anses t.ex. inte oförenligt med de ursprungliga ändamålen att behandla uppgifterna för nämnda ändamål. Vidare får personuppgifter bevaras än vad som annars gäller, om de skall användas för historiska, statistiska eller vetenskapliga ändamål. När behandling av personuppgifter är tillåten (10-12 §§) Lagens 10 § innehåller en uttömmande uppräkning av de fall då personuppgifter får behandlas. Om känsliga personuppgifter, upp- gifter om lagöverträdelser m.m. eller personnummer skall be- handlas, måste behandlingen dessutom vara tillåten enligt 13-22 §§. Innebär behandlingen att personuppgifter överförs till tredje land, Rättslig reglering av behandling av personuppgifter till en stat som inte ingår i EU eller är ansluten till EES, måste också 33-35 §§ följas. Enligt 10 § är det tillåtet att behandla personuppgifter om den registrerade, dvs. den som en personuppgift avser, samtycker till behandlingen. Med samtycke avses enligt 3 § varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Återkallar den registrerade sitt sam- tycke, får ytterligare personuppgifter om denne inte behandlas. Behandlingen av redan insamlade uppgifter får däremot trots återkallelsen fortsätta i enlighet med det ursprungligen lämnade samtycket (12 § första stycket). I vissa fall får dock personuppgifter behandlas trots att samtycke från den registrerade saknas. En förutsättning i samtliga dessa fall är att behandlingen är nödvändig för ändamålen. Här kan anmärkas att de flesta automatiserade behandlingar av personuppgifter också kan utföras manuellt. har tolkat nödvändig- hetsrekvisitet så att personuppgifter får behandlas även i de fall det faktiskt är möjligt att utföra behandlingen på annat sätt, om för- farandet underlättas genom användning av automatiserad data- behandling (SOU 1997:39 s. 359). De ändamål för vilka personuppgifter får behandlas utan samtycke är följande. a)Ett avtal med den registrerade skall kunna fullgöras eller åtgär- der som den registrerade har begärt skall kunna vidtas innan ett avtal träffas, b)den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet, c)vitala intressen för den registrerade skall kunna skyddas, d)en arbetsuppgift av allmänt intresse skall kunna utföras, e)den personuppgiftsansvarige eller tredje man till vilken person- uppgifterna lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller f)ett ändamål som rör ett berättigat intresse hos den person- uppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkningar av den personliga integriteten. Rättslig reglering av behandling av personuppgifter Förbud mot behandling av känsliga personuppgifter (13 §) I personuppgiftslagen återfinns dataskyddsdirektivets förbud i fråga om behandling av känsliga personuppgifter. Personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse samt medlemskap i fackförening får alltså inte behandlas. Likaså är det förbjudet att behandla person- uppgifter som rör hälsa eller sexualliv. Undantag från förbudet (14-20 §§) Förbudet mot att behandla känsliga personuppgifter är inte undan- tagslöst. Sådana uppgifter får liksom andra uppgifter behandlas efter den registrerades samtycke. Till skillnad från när samtycke krävs i andra sammanhang måste i fråga om känsliga person- uppgifter samtycket vara uttryckligt. Även när den registrerade på ett tydligt sätt har offentliggjort uppgifterna får de behandlas. Vidare får behandling utföras om den är nödvändig för att den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten. I stort sett gäller det full- görandet av alla skyldigheter och rättigheter för arbetsgivaren beträffande de anställda och deras organisationer. De uppgifter som behandlas under denna förutsättning får lämnas ut till tredje man endast om det inom arbetsrätten finns en uttrycklig skyldighet för den personuppgiftsansvarige att göra det eller om den registre- rade har samtyckt till utlämnandet. Förbudet gäller inte heller om behandlingen rör uppgifter som är nödvändiga för att den registrerades eller någon annans vitala intressen skall kunna skyddas och den registrerade inte kan lämna sitt samtycke samt inte heller nödvändig behandling för att rättsliga anspråk skall kunna slås fast, göras gällande eller försvaras. Vidare får ideella organisationer med politiskt, filosofiskt, religiöst eller fackligt syfte inom ramen för sin verksamhet be- handla känsliga personuppgifter om organisationens medlemmar och sådana andra personer som på grund av organisationens syfte har regelbunden kontakt med den. Utlämnande av sådana uppgifter till tredje man kräver den registrerades samtycke. Ytterligare undantag från förbudet är behandling som är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling samt administration av Rättslig reglering av behandling av personuppgifter hälso- och sjukvård. Inte heller gäller förbudet, om uppgifterna behandlas av någon som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och som är underkastad tystnadsplikt. Slutligen undantas, under vissa förutsättningar, behandling för forskning och statistik från förbudet. Regeringen eller den myndighet som regeringen bestämmer, dvs. Datainspektionen, får meddela föreskrifter om ytterligare undan- tag, om det behövs med hänsyn till ett viktigt allmänt intresse. Regeringen har i personuppgiftsförordningen föreskrivit att, utöver undantagen i lagen, känsliga personuppgifter får behandlas av myndigheter i löpande text om uppgifterna har lämnats i ett ärende eller om de är nödvändiga för handläggningen av ärendet. Behandling av uppgifter om lagöverträdelser m.m. och personnummer (21 och 22 §§) Vissa uppgifter som inte omfattas av definitionen av känsliga personuppgifter är ändå sådana att behandlingen av dem regleras särskilt i personuppgiftslagen, liksom i dataskyddsdirektivet. Det är således förbjudet för andra än myndigheter att behandla uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straff- processuella tvångsmedel eller administrativa frihetsberövanden. Regeringen, eller den myndighet regeringen bestämmer (Data- inspektionen), får dock meddela föreskrifter om undantag från förbudet eller besluta om undantag i enskilda fall. Uppgifter om personnummer och samordningsnummer får be- handlas bara när den registrerade samtycker till det eller när det är klart motiverat med hänsyn till ändamålen med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Personuppgiftslagen innehåller bestämmelser som tryggar den regi- strerades rätt att bl.a. kontrollera om behandling av personupp- gifter om honom eller henne pågår och begära rättelse av person- uppgifter som har behandlats felaktigt. Rättslig reglering av behandling av personuppgifter Information (23-27 §§) Personuppgiftslagen innehåller bestämmelser om information till den registrerade. Den personuppgiftsansvarige skall självmant lämna den registre- rade information om behandlingen, när uppgifter om en person samlas in från denne själv. Har uppgifterna samlats in från en annan källa, skall den registrerade informeras när uppgifterna registreras eller, om avsikten med behandlingen är att lämna ut uppgifterna till tredje man, när uppgifterna lämnas ut första gången. Informationen skall omfatta uppgifter om vem den personuppgiftsansvarige är, ändamålet med behandlingen samt all övrig information som den registrerade behöver för att kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Endast sådana uppgifter som den registrerade inte redan känner till behöver lämnas. Har uppgifterna hämtats in från en annan källa än den registre- rade själv, behöver information inte lämnas om det är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Inte heller behöver information lämnas om det i lag eller annan författning finns bestämmelser om registreringen eller utlämnandet av person- uppgifter. Den personuppgiftsansvarige är vidare skyldig att efter ansökan, en gång per kalenderår, gratis informera om huruvida uppgifter som rör sökanden behandlas eller inte, ändamålet med behand- lingen, vilka uppgifter som behandlas, varifrån dessa kommer och till vem de lämnas ut. Information behöver emellertid inte lämnas beträffande personuppgifter som behandlas endast i löpande text som ännu inte har fått sin slutliga utformning eller som utgör minnesanteckningar, under förutsättning att uppgifterna inte har lämnats ut till tredje man eller behandlingen inte har pågått . Bestämmelserna om informationsskyldighet gäller över huvud taget inte om sekretess eller tystnadsplikt för uppgifterna är före- skriven i förhållande till den registrerade. Rättslig reglering av behandling av personuppgifter Rättelse (28 §) Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen eller anknytande föreskrifter skall på begäran av den registrerade rättas, utplånas eller blockeras av den personuppgiftsansvarige. Med blockering avses varje åtgärd som kan vidtas för att de aktuella uppgifterna skall vara förknippade med information om att de är spärrade och om anledningen till spärren samt för att person- uppgifterna inte skall lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen (3 §). Om felaktiga uppgifter har lämnats ut till tredje man, skall denne i vissa fall underrättas om korrigeringsåtgärden, nämligen om den registrerade begär det eller om det behövs för att undvika mera betydande skada eller olägenhet för den registrerade. Tredje man behöver dock inte underrättas, om det är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Bestämmelser som avser att säkerställa att behandlingen av person- uppgifter sker på ett betryggande sätt finns i 30 och 31 §§ person- uppgiftslagen. Den personuppgiftsansvarige har ett stort ansvar för säkerheten. Bl.a. får de personer som arbetar med personuppgifter behandla dessa endast efter den personuppgiftsansvariges instruktioner. För det allmännas verksamhet gäller att särskilda bestämmelser i lag eller författning i stället skall tillämpas. Härmed avses framför allt bestämmelser om sekretess och tystnadsplikt. Den personuppgiftsansvarige har vidare ansvar för att tekniska och organisatoriska åtgärder vidtas för att skydda de behandlade personuppgifterna. Åtgärderna skall åstadkomma en lämplig säkerhetsnivå med beaktande av de tekniska möjligheter som finns, kostnaden för att genomföra åtgärderna, riskerna med behand- lingen och hur känsliga personuppgifterna är. Enligt 50 § b personuppgiftslagen får regeringen eller en myn- dighet som regeringen bestämmer meddela närmare föreskrifter om vilka krav som ställs på den personuppgiftsansvarige vid behandling av personuppgifter. Kraven kan t.ex. gälla säkerhetsåtgärder. Data- inspektionen har i personuppgiftsförordningen bemyndigats att Rättslig reglering av behandling av personuppgifter SOU 2003:40 meddela sådan föreskrifter. Några generella föreskrifter har emellertid ännu inte utfärdats. Datainspektionen får också i enskilda fall besluta om vilka skyddsåtgärder en personuppgiftsansvarig skall vidta (32 §).