sou · GRB34 · 2004-01-01 00:00:00 — Sekretess i ärende om färdtjänst och riksfärdtjänst gäller således för alla uppgifter om enskilds personliga förhållanden och sekretessen är inte mindre sträng än för uppgifter inom . Sekretessen i färdtjänsten och riksfärdtjänsten gäller på samma sätt hos en nämnd som hos en trafikhuvudman och även om den sistnämnda är ett aktiebolag. Sekretess gäller enligt 1 kap. 3 § sekretesslagen även mellan myndigheter. I vissa fall finns det behov av att överföra informa- tion som är nödvändig för att besluta i ett tillståndsärende om färd- tjänst eller riksfärdtjänst från en nämnd till en trafik- huvudman som är tillståndsgivare. Eftersom sekretess råder om uppgifter om en enskilds personliga förhållanden kan en kommun inte utan vidare lämna ut sådana uppgifter till trafikhuvudmannen. I detta avseende är det regeringens uppfattning att en nämnd skall kunna lämna ut uppgifter om en enskilds personliga förhållanden till tillståndsgivaren endast om den enskilde har lämnat sitt samtycke härtill. Om den enskilde inte lämnar sitt samtycke har tillståndsgivaren att fatta beslut på den föreliggande utredningen, se prop. 1996/97:115 s. 48. Bestämmelserna om sekretess och tystnadsplikt i sekretesslagen gäller endast i det allmännas verksamhet, se 1 kap. 1 § sekretess- lagen, dvs. för nämnder, styrelser, andra myndigheter hos staten, kommunerna och landstingen samt för sådana bolag som jämställs Rättslig reglering till skydd för den personliga integriteten med myndigheter, exempelvis en trafikhuvudman som är ett aktiebolag. Sekretesslagen gäller däremot inte för personer som är verksamma inom en enskild verksamhet som utför färdtjänst eller riksfärdtjänst åt kommunen eller trafikhuvudmannen, exempelvis ett taxiföretag. Det stadgas därför i 15 § lagen (1997:736) om färdtjänst och 12 § lagen (1997:735) om riksfärdtjänst att personer som är eller har varit verksamma inom enskild verksamhet som bedrivs yrkesmässigt och som omfattas av de aktuella lagarna inte obehörigen får röja vad de i verksamheten fått veta om någons personliga förhållanden. Trots sekretessen finns det dock en begränsad möjlighet att till beställningscentraler för transporter och trafikutövare lämna ut sådana uppgifter som behövs för att utföra transporten, se 14 § lagen om färdtjänst och 11 § lagen om riksfärdtjänst. Dessa upp- gifter kan givetvis vara av den beskaffenheten att det står klart att de kan röjas utan att den enskilde lider men. I sådant fall gäller inte sekretess. Det kan vidare vara fråga om uppgifter som är nöd- vändiga för att anordna transporten, som det inte är praktiskt möjligt att kräva den sökandes samtycke i varje enskilt fall. Exempel på uppgifter som avses är om specialfordon eller annan utrustning krävs, om fordonet måste vara sanerat på något sätt eller inte får ha använts till att transportera exempelvis pälsdjur och om en ledsagare eller en ledarhund måste följa med. trädde personuppgiftslagen (1998:204) i kraft. upphörde datalagen (1973:289) att gälla, med undantag för bl.a. pågående behandlingar av personuppgifter, för vilka datalagen gällde till och med . Datalagen hade till syfte att skydda den enskilde mot sådant otillbörligt intrång i den personliga integriteten som kan bli en konsekvens av dataregistrering. Datalagen reglerade användandet av personregister, med vilket förstås register, förteck- ning eller andra anteckningar som förs med hjälp av automatisk databehandling och som innehåller personuppgifter som kan hänföras till den som avses med uppgifterna. Integritetsskyddet omfattade endast fysiska personer. Rättslig reglering till skydd för den personliga integriteten om bl.a. tillstånd, registeransvarigs skyldigheter, tillsyn, straff och skadestånd. Ett personregister fick inrättas och föras av den som anmält sig till Datainspektionen och fått en licens. Personuppgifter som innehöll särskilt känsliga personuppgifter, omdömen och värderingar om den registrerade, uppgifter om personer som saknade anknytning till den registeransvarige och personuppgifter som hämtades från andra personregister (samkörning) krävde normalt tillstånd från Datainspektionen för att få inrättas och föras. Datainspektionens möjlighet att meddela nya tillstånd upphörde , när personuppgiftslagen trädde i kraft. Uppgifter ansågs vara särskilt känsliga om de avslöjade att någon t.ex. misstänktes för eller hade dömts för brott, uppbar socialt bistånd eller om uppgifterna berörde personens hälsotillstånd. Också uppgifter om ras, politisk uppfattning, religiös tro eller övertygelse i övrigt föll inom kategorin särskilt känsliga uppgifter. Vid tillståndsprövningen skulle Datainspektionen ta ställning till om det fanns anledning att anta att registreringen medförde ett otillbörligt intrång i den registrerades integritet. Om så var fallet skulle ett tillstånd inte lämnas. För de fall att Datainspektionen gav tillstånd, så skulle inspektionen också meddela föreskrifter om ändamålet med registret. Datainspektionen fick också, i den utsträckning det behövdes, för att hindra otillbörligt intrång i personlig integritet, meddela föreskrifter om exempelvis vilka uppgifter som fick ingå i registret, de bearbetningar av person- uppgifter som fick göras med hjälp av automatisk databehandling, bevarande och gallring av uppgifter samt kontroll och säkerhet. Undantagna från tillståndsplikt var bl.a. statsmaktsregister, dvs. register vars inrättande beslutats av riksdag eller regering. I dessa fall behövdes således inte tillstånd från Datainspektionen, trots att registren kunde innehålla särskilt känsliga uppgifter. Sådana personregister reglerades, och regleras än , ofta i särskilda registerförfattningar. Rättslig reglering till skydd för den personliga integriteten Registeransvarig var den för vars verksamhet ett personregister fördes, om han förfogade över registret. Såväl fysiska personer som företag och myndigheter kunde vara registeransvariga. Den registeransvarige var skyldig att se till att ett personregister fördes så att otillbörligt intrång inte skedde i den registrerades personliga integritet. En registeransvarig skulle även se till att registret fördes för det ändamål det var avsett för samt att uppgifterna behandlades i överensstämmelse med ändamålet och i enlighet med lag och andra föreskrifter. antog en konvention till skydd för enskilda vid automatisk databehandling av personupp- gifter (dataskyddskonventionen). Konventionen trädde i kraft och har tillträtts av . Konventionens syfte är att säkerställa respekten för grundläggande fri- och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatisk databehandling av personuppgifter och att förbättra förutsättningarna för ett fritt informationsflöde över gränserna. 2.5.2Rekommendationer och riktlinjer om dataskydd har antagit åtskilliga rekommendationer om dataskydd inom olika områden. Dessa rekommendationer är i och för sig inte bindande för medlemsländerna, men genom att anta en rekom- mendation utan reservation anses medlemslandet i princip ha åtagit sig att följa den och anpassa sin nationella lagstiftning efter rekommendationens innehåll. Internationella riktlinjer för integritetsskydd och persondata- flöde har även färdigställts inom och utveckling (). Ett antal internationella organisationer och företag har antagit egna regler om dataskydd som bygger på riktlinjer. Riktlinjerna överensstämmer i princip med de bestämmelser som återfinns i dataskydds- konventionen. Det bör tilläggas att antogs Rättslig reglering till skydd för den personliga integriteten ministerdeklaration Protection of Privacy on , som innebar att man slog fast intentionen att i ett internationellt perspektiv harmoniera de regler som bör gälla för hantering av personuppgifter i globala nätverk, för att skydda den personliga integriteten. Det har inom EU ansetts nödvändigt att det finns en hög och gemensam nivå för skyddet mot integritetskränkningar i samband med behandling av personuppgifter, för att trygga ett fritt flöde av information mellan medlemsstaterna. antogs och rådets direktiv /46/EG1 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivets principer om skydd för enskilda personers fri- och rättigheter är en precisering och förstärkning av principerna 1981. I artikel 1 anges syftet med direktivet, nämligen att medlemsstaterna, i överensstämmelse med direktivet, skall skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter. Syftet med direktivet är vidare att det skall finnas en likvärdig skyddsnivå i alla medlemsstater, så att staterna inte skall kunna hindra det fria flödet av personuppgifter till andra medlemsstater under hänvisning till enskilda personers fri- och rättigheter. Dataskyddsdirektivet innebär inte att man skall anta en gemensam personuppgiftslag för hela EU. Ett direktiv är endast bindande i fråga om det resultat som skall uppnås och överlämnar åt medlemsstaterna att själva välja form och metod. Medlems- staterna kan dock inte föreskriva vare sig ett bättre eller sämre skydd för den personliga integriteten vid behandling av person- uppgifter eller för det fria flödet av sådana uppgifter än vad som följer av dataskyddsdirektivet. 1 EGT L 281, 23.11.1995 s.31 (Celex 31995L0046). Rättslig reglering till skydd för den personliga integriteten Dataskyddsdirektivet handlar om fysiska personers skydd. Skyddet för juridiska personer berörs inte av direktivet. Inte heller berörs sådan verksamhet som faller utanför gemenskapsrätten, däribland verksamhet som rör allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. Direktivet är tillämpligt på all behandling av personuppgifter och således också på register, dock endast på sådana register som är sökbara utifrån särskilda kriterier. Utanför tillämp- ningsområdet faller t.ex. ostrukturerade akter. Dataskyddsdirek- tivet omfattar inte behandling av personuppgifter för privat bruk, oavsett om behandlingen är automatiserad eller . Bestämmelser om när personuppgifter får behandlas Enligt dataskyddsdirektivet, artikel 6, måste all behandling av personuppgifter vara laglig och korrekt. Personuppgifter får endast samlas in för särskilda, uttryckligt angivna och berättigade ändamål. användning får inte ske på ett sätt som är oförenligt med dessa ändamål. Av artikeln framgår också bl.a. att oriktiga uppgifter eller ofullständiga uppgifter skall utplånas eller rättas. Behandling av personuppgifter är tillåten om den registrerade otvetydigt har lämnat sitt samtycke eller behandlingen är nöd- vändig för att fullgöra ett avtal i vilket den registrerade är part eller för att på den enskildes begäran vidta åtgärder inför ett avtal. Behandling får också ske om den är nödvändig för att fullgöra en rättslig förpliktelse som åligger den registeransvarige eller för att skydda vitala intressen för den registrerade. Vidare får behandling ske om den är nödvändig för att utföra en arbetsuppgift som antingen är av allmänt intresse eller utgör ett led i myndighets- utövning. Slutligen får personuppgifter behandlas efter en intresse- avvägning, nämligen om intresset av att den registeransvarige får behandla uppgifterna överväger den registrerades intresse av att de inte behandlas, se artikel 7. Som en huvudregel föreskrivs förbud mot behandling av känsliga uppgifter, artikel 8.1. Till känsliga uppgifter räknas uppgifter som avslöjar ras eller etniskt ursprung, politisk uppfattning, religiös eller filosofisk övertygelse, facklig tillhörighet och uppgifter som rör hälsa eller sexualliv. Dessa kategorier av uppgifter får inte Rättslig reglering till skydd för den personliga integriteten behandlas utan uttryckligt samtycke av den registrerade, se artikel 8.2. I vissa särskilt angivna undantagsfall får dock sådan behandling ske även utan den enskildes samtycke, exempelvis när behandlingen av uppgifter är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser och vård eller behandling. Medlemsländerna får under förutsättning av lämpliga skydds- åtgärder och av hänsyn till ett viktigt allmänt intresse besluta om andra undantag än de som anges i direktivet. Information till den registrerade och rättelse Dataskyddsdirektivet föreskriver att den registeransvarige eller dennes företrädare skall lämna den registrerade viss information, se artiklarna 10 och 11. Skyldigheten att lämna information gäller dock inte i de fall den registrerade redan känner till uppgifterna. Den registrerade har rätt till information om bl.a. ändamålen med behandlingen, mottagare eller de kategorier av mottagare till vilka uppgifterna utlämnas och begriplig information om vilka uppgifter som behandlas. Har uppgifterna inte lämnats av den registrerade själv behöver den registeransvarige inte lämna någon information, om det skulle visa sig vara omöjligt eller innebära en ansträngning som inte står i proportion till nyttan. Den registrerade har emellertid rätt att på begäran få information om de registrerade uppgifterna, ett s.k. registerutdrag, se artikel 12. Den registrerade skall i förekommande fall ha rätt att få sådana uppgifter som inte har behandlats i enlighet med bestämmelserna i direktivet rättade, utplånade eller blockerade. I direktivet finns inte någon definition av begreppet blockering. Av Kommissionens förklaring till direktivförslaget tycks framgå att med blockering avses att den registeransvarige får fortsätta att lagra uppgifterna, men inte på annat sätt behandla eller använda dem, se SOU 1997:39 s. 143. Om en uppgift rättas skall den registeransvarige underrätta tredje man som fått del av den felaktiga uppgiften. Detta gäller dock inte om en underrättelse är omöjlig eller skulle innebära en oproportionerligt stor ansträngning. I artikel 13 finns det bestämmelser om att medlemsstaterna får föreskriva begränsningar i fråga om vissa skyldigheter och rättig- heter, bl.a. informationsskyldigheten och rättigheten att på begäran få tillgång till uppgifter. En sådan begränsning måste vara en Rättslig reglering till skydd för den personliga integriteten nödvändig åtgärd med hänsyn till vissa allmänna intressen, bl.a. skyddet av den registrerades eller andras fri- och rättigheter. Artikel 17 innehåller bestämmelser om säkerheten vid behand- lingen av personuppgifter. Den registeransvarige skall genomföra lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter mot varje slag av otillåten behandling. Person- uppgifter skall dessutom skyddas mot bl.a. otillåten spridning, mot att de går förlorade genom olyckshändelse och mot att de ändras. Av artikel 18 i dataskyddsdirektivet framgår att medlemsstaterna är tvungna att föreskriva att den registeransvarige eller dennes före- trädare skall underrätta tillsynsmyndigheten innan genomförandet av en behandling som helt eller delvis genomförs på automatisk väg eller en serie av sådana automatiska behandlingar som har samma eller närbesläktade ändamål. För icke-automatiserade behandlingar av personuppgifter är det tillåtet för medlemsstaterna att föreskriva att vissa eller alla sådana behandlingar skall anmälas eller att ett förenklat anmälningsförfarande skall gälla för dem. Undantag från anmälningsplikten alternativt tillämpning av ett förenklat förfarande får föreskrivas dels om det med hänsyn till de behandlade uppgifterna inte är sannolikt att den registrerades fri- eller rättigheter kränks, dels när ett uppgiftsskyddsombud (personuppgiftsombud) har utsetts. utfärdade regeringen direktiv till om en total revision av datalagen och en analys av hur Dataskydds- direktivet skulle införlivas i svensk rätt. Uppdraget redovisades i betänkandet Integritet Offentlighet Informationsteknik, SOU 1997:39. Regeringen beslutade propositionen 1997/98:44 Personuppgiftslag (bet. 1997/98:KU18, rskr. 1997/98:180), vilken i huvudsak bygger på det förslag som lades fram i betänkandet. Personuppgiftslagen (1998:204) trädde i kraft som datalagen upphörde att gälla. I fråga om behandling av personuppgifter som påbörjats före skulle personuppgiftslagen emellertid inte tillämpas. Rättslig reglering till skydd för den personliga integriteten Detsamma gällde bl.a. för behandling som utfördes för ett visst bestämt ändamål om behandlingen för ändamålet påbörjades före ikraftträdandet. 2.6.1Lagen och dess tillämpningsområde Personuppgiftslagen (1998:204), som i huvudsak följer data- skyddsdirektivets text och disposition, omfattar all automatiserad behandling av personuppgifter och behandling av person- uppgifter i s.k. register. I sistnämnda fall skall det vara fråga om uppgifter som ingår eller är avsedda att ingå i en struktu- rerad samling av personuppgifter vilka är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, 5 §. Syftet med lagen är enligt 1 § att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Lagen är generellt tillämplig och omfattar även sådan verksamhet som faller utanför EG-rätten, exempelvis behandling av person- uppgifter hos polisen eller försvarsmakten. Av 2 § framgår att avvikande bestämmelser i lag eller förordning gäller framför personuppgiftslagen. Beslut som eller regeringen har fattat i annan form än lag eller förordning tar däremot inte över bestämmelserna i personuppgiftslagen. Det är således följdriktigt att föreskrifter som myndigheter har beslutat inte heller tar över bestämmelserna i aktuell lag. Det finns vidare i 8 § en bestämmelse som klargör att lagen inte skall tillämpas, om det skulle inskränka myndigheternas skyldigheter att lämna ut personuppgifter enligt 2 kap. tryckfrihetsförordningen. I samma paragraf framgår också att lagen inte hindrar att en myndighet arkiverar och bevarar all- männa handlingar eller att arkivmaterial tas om hand av en arkiv- myndighet. Sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur undantas från personuppgiftslagen (6 §). Behandling av uppgifter om juridiska personer omfattas över huvud taget inte av lagen. I lagen görs vidare ett undantag för sådan behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande (7 §). De regler i dataskyddsdirektivet som införts i person- uppgiftslagen är i huvudsak generella. Enligt artikel 5 i direktivet åligger det medlemsstaterna att inom den ram direktivet drar upp Rättslig reglering till skydd för den personliga integriteten precisera på vilka villkor behandling av personuppgifter är tillåtna. Enligt regeringen kan en generell lag som i princip avser att reglera all icke privat användning inte gärna innehålla annat än generella principer och de allra viktigaste undantagen från dessa, se prop. 1997/98:44 s. 56. Regeringen eller Datainspektionen får därför bemyndigas att föreskriva undantag från vissa bestämmelser i personuppgiftslagen och precisera de generella principer som lagen innehåller. Genom personuppgiftslagen (1998:204) utmönstras en rad begrepp som använts i datalagen, t.ex. personregister. En rad nya begrepp införs, vilka definieras i 3 §. Personuppgifter i lagens mening är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Det innebär att varken juridiska personer eller avlidna personer omfattas av lagens tillämpningsom- råde. Med behandling av personuppgifter avses varje åtgärd som vidtas med uppgifterna, vare sig det sker på automatiserad väg eller inte, t.ex. insamling, lagring, bearbetning, inhämtande, utlämnande, samkörning eller förstöring. Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Ett personuppgifts- biträde behandlar personuppgifter för den personuppgiftsansvar- iges räkning. Med personuppgiftsombud avses den fysiska person som, efter förordnande av den personuppgiftsansvarige, själv- ständigt skall se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Med samtycke avses varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Det krävs inte att samtycket är skriftligt. 2.6.3Förutsättningar för behandling av personuppgifter Grundläggande krav (9 §) De grundläggande kraven på behandling av personuppgifter i per- sonuppgiftslagen (1998:204) stämmer överens med de krav som medlemsstaterna skall föreskriva enligt artikel 6 i dataskyddsdirek- tivet. Enligt lagen skall personuppgifter alltid behandlas på ett Rättslig reglering till skydd för den personliga integriteten korrekt och lagligt sätt samt i enlighet med god sed. De skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål. får uppgifterna inte behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in, vilket bl.a. innebär att uppgifterna inte får lämnas ut till annan om det är oförenligt med de ursprungliga ändamålen. Ett utlämnande med stöd av offentlighetsprincipen i 2 kap. TF hindras dock inte av denna princip. Att ändamålen skall vara särskilda innebär att en alltför allmänt hållen ändamålsbeskrivning inte får godtas. Hur detaljerad ändamålsbeskrivningen måste vara får avgöras i praxis och genom föreskrifter från regeringen och Datainspektionen. Det anses inte oförenligt med de ursprungliga ändamålen att behandla uppgifterna för historiska, statistiska eller vetenskapliga ändamål. De behandlade uppgifterna måste vara riktiga och relevanta och de får inte omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka uppgifterna har samlats in eller för vilka de senare behandlas. Om det är nödvändigt skall uppgifterna också vara aktuella. Alla rimliga åtgärder måste vidtas för att säkerställa utplåning eller rättelse av sådana personuppgifter som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlats in eller för vilka de senare behandlas. Personuppgifterna får inte heller bevaras längre än nödvändigt med hänsyn till de ändamål för vilka uppgifterna behandlas. Därefter måste de avidentifieras eller förstöras. Eftersom personuppgiftslagen är subsidiär till annan lag- stiftning, får uppgifterna emellertid inte avidentifieras eller på annat sätt förstöras (dvs. gallras) om det strider mot bl.a. tryckfrihetsför- ordningens bestämmelser om allmänna handlingar. När behandling av personuppgifter är tillåten (10 12 §§) Personuppgifter får behandlas bara om den enskilde har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för vissa särskilda ändamål. Om den registrerade återkallar sitt sam- tycke får ytterligare personuppgifter om denne inte registreras. I vissa fall får dock personuppgifter behandlas trots att samtycke från den registrerade saknas. En förutsättning i samtliga dessa fall är att behandlingen är nödvändig för ändamålen. Här kan anmärkas att flertalet automatiserade bearbetningar av personuppgifter också kan utföras manuellt. Nödvändighetsrekvisitet har av tolkats så att personuppgifter får behandlas även i de Rättslig reglering till skydd för den personliga integriteten fall det är faktiskt möjligt att utföra uppgiften på annat sätt, om förfarandet underlättas genom användningen av automatisk data- behandling (SOU 1997:39 s. 359). Av 10 § personuppgiftslagen framgår att personuppgifter får behandlas i samband med ett avtal med den registrerade när det krävs för fullgörandet av avtalet eller när det behövs för att på den registrerades begäran vidta åtgärder innan avtalet träffas. Vidare får behandling utföras om det är nödvändigt för att den personupp- giftsansvarige skall kunna fullgöra en rättslig skyldighet som åvilar honom eller henne. Personuppgifter får också behandlas för att skydda vitala intressen för den registrerade.