sou · GSB36 · 2005-01-01 00:00:00 — I ingress- punkt 30 framhålls det att medlemsstaterna – för att garantera en jämvikt mellan berörda intressen och för att säkerställa en effektiv konkurrens – får närmare ange på vilka villkor använd- ning och utlämnande till tredje man av personuppgifter får äga rum inom ramen för tillåtna aktiviteter som utövas av företag och andra organ i deras löpande verksamhet. Staterna får även närmare ange på vilka villkor personuppgifter får vidarebefordras till tredje man i marknadsföringssyfte. Detta gäller oavsett om vidarebefordrandet sker kommersiellt eller av välgörenhetsorganisationer, föreningar eller stiftelser, t.ex. av politisk karaktär. En förutsättning är dock att de regler iakttas som har till syfte att ge den registrerade möj- lighet att invända mot att uppgifter som rör honom eller henne be- handlas. Artikel 7 f i EG-direktivet har införts i 10 § f personuppgiftsla- gen som stadgar att personuppgifter får behandlas om behandling- en är nödvändig för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Som framgår av ut- redningsdirektiven är det enligt EG-direktivet tillåtet för medlems- staterna att närmare precisera hur den angivna intresseavvägningen utfaller i olika fall. Enligt utredningens mening står det klart att det är möjligt att med stöd av bestämmelsen om en intresseavvägning i artikel 7 f i EG-direktivet införa en särskild bestämmelse som tillåter sådan behandling av personuppgifter i ostrukturerat material som inte Personuppgifter som inte ingår i personregister innefattar ett missbruk av personuppgifterna. Det framgår egentli- gen redan av vad som sagts i närmast föregående avsnitt. Ett ut- nyttjande av rätten att för t.ex. yttrandefrihets- och informations- frihetsändamål få hantera ostrukturerat material t.ex. i form av lö- pande text och ljud- och bildupptagningar utgör givetvis ett berät- tigat intresse, och det intresset får anses överväga de registrerades intresse av integritetsskydd så länge hanteringen inte innefattar ett missbruk av personuppgifter. Enligt artikel 14 a i EG-direktivet skall medlemsstaterna tillför- säkra den registrerade rätten att åtminstone i bl.a. det fall som avses i artikel 7 f när som helst av avgörande och berättigade skäl som rör hans eller hennes personliga situation motsätta sig behandling av uppgifter som rör honom eller henne, utom när den nationella lag- stiftningen föreskriver något annat. När invändningen är berättigad får den behandling som påbörjats av den personuppgiftsansvarige inte längre avse dessa uppgifter. Det har ansetts möjligt att med stöd av artikel 14 a i EG- direktivet införa en uttrycklig bestämmelse i personuppgiftslagen om att, såvitt nu är aktuellt, den registrerade inte har rätt att mot- sätta sig behandling av personuppgifter – utom behandling för än- damål som rör direkt marknadsföring – som är tillåten enligt lagen (12 § andra stycket).55 7.3.5Undantag för uppgifter som avses i artikel 8 I artikel 8 i EG-direktivet, från vilken artikel undantag inte kan gö- ras med stöd av artikel 13.1, finns det tillkommande begränsningar för behandlingen av vissa särskilda kategorier av personuppgifter. Avser en viss behandling sådana särskilda kategorier av personupp- gifter måste således villkoren enligt såväl artikel 7 som artikel 8 vara uppfyllda för att behandlingen skall få genomföras. I artikel 8.1 i EG-direktivet föreskrivs det att medlemsstaterna skall förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk överty- gelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv.56 I artikel 8.2 och 8.3 anges i vilka fall sådana s.k. känsliga personuppgifter får behandlas trots det principiella förbudet enligt 1997/98:44 s. 66 f. 56I den svenska, den franska och den danska språkversionen anges hälsa och sexualliv, me- dan det i den engelska och tyska språkversionen talas om hälsa eller sexualliv. Personuppgifter som inte ingår i personregister Enligt artikel 8.4 får medlemsstaterna – under förutsätt- ning av lämpliga skyddsåtgärder57 – av hänsyn till ett viktigt allmänt intresse antingen i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag från förbudet mot att behandla känsliga personuppgifter. Sådana undantag skall enligt artikel 8.6 anmälas till kommissionen. Bestämmelsen i artikel 8.1 i EG-direktivet har tagits in i 13 § personuppgiftslagen. I ingresspunkt 34 anges följande. När det av hänsyn till viktiga allmänna intressen är nödvändigt måste medlemsstaterna kunna avvika från förbudet mot att behandla känsliga kategorier av upp- gifter på vissa områden. Som exempel på områden och fall där avvi- kelser kan ske nämns folkhälsa, socialskydd, särskilt för att säker- ställa kvalitet och lönsamhet i samband med ansökningar om för- måner och tjänster inom sjukförsäkringssystemet, i samband med vetenskaplig forskning och i samband med offentlig statistik. Det betonas att det dock åligger medlemsstaterna att sörja för att det finns lämpliga och konkreta garantier för att skydda enskilda per- soners grundläggande rättigheter och privatliv. I ingresspunkt 35 klargörs att myndigheters behandling av per- sonuppgifter för officiellt erkända religiösa sammanslutningars räkning för att uppfylla målsättningar som uttrycks i grundlagen eller folkrätten utförs för att tillgodose viktiga allmänna intressen. Ingresspunkt 36 behandlar det fallet att de politiska partierna i vissa medlemsstater samlar in uppgifter om enskilda personers politiska uppfattning i samband med att allmänna val hålls. Om det är nöd- vändigt för att det demokratiska systemet skall fungera, får behandling av sådana uppgifter tillåtas av hänsyn till viktiga allmänna intressen under förutsättning att lämpliga garantier före- skriAvs.kommissionens förklaring till det andra direktivförslaget58 (i fortsättningen kommissionens förklaring) framgår att undantag bör göras för internationella människorättsorganisationer som behöver känsliga personuppgifter för sitt arbete, förutsatt att dessa kan er- bjuda lämpliga skyddsåtgärder.59 I artikel 8 i EG-direktivet finns det också bestämmelser om and- ra kategorier av uppgifter än s.k. känsliga personuppgifter, nämli- 57Något olika uttryckssätt används i de skilda språkversionerna: suitable safeguards, garanties appropriées, angemessener Garantien och tilstraekkelige garantier. 58Dokument COM(92) 422 final – SYN 287. Dokumentet finns intaget som bilaga till SOU 1993:10. 59SOU 1993:10 Bilagor s. 178. Personuppgifter som inte ingår i personregister gen uppgifter om lagöverträdelser m.m. och nationella identifika- tionsnummer. Enligt artikel 8.5 gäller att behandling av uppgifter om lagöver- trädelser, brottmålsdomar eller säkerhetsåtgärder får utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de ändringar som medlems- staterna kan tillåta med stöd av nationella bestämmelser som inne- håller lämpliga och specifika skyddsåtgärder. Medlemsstaterna får alltså i sin lagstiftning tillåta att enskilda, utan att det sker under kontroll av en myndighet, behandlar uppgifter om lagöverträdelser m.m. under förutsättning att lagstiftningen innehåller lämpliga och specifika skyddsåtgärder. Behandling av uppgifter om lagöverträ- delser som har tillåtits på detta sätt torde medlemsstaterna ha att anmäla till kommissionen enligt artikel 8.6. I 21 § personuppgifts- lagen har det intagits ett förbud för andra än myndigheter att be- handla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrati- va frihetsberövanden och bemyndiganden att medge undantag från det förbudet. Enligt artikel 8.7 skall medlemsstaterna bestämma på vilka vill- kor ett nationellt identifikationsnummer eller något annat vederta- get sätt för identifiering får behandlas. Det måste alltså finnas vill- kor för behandling av sådana nummer, men det materiella innehål- let i villkoren får medlemsstaterna själva bestämma. I 22 § person- uppgiftslagen har det angetts att uppgifter om personnummer eller samordningsnummer får behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vik- ten av en säker identifiering, eller något annat beaktansvärt skäl. Bestämmelserna i artikel 8.5 och 8.7 om uppgifter om lagöver- trädelser m.m. respektive identifikationsnummer utgör inget hin- der mot att generellt tillåta behandling av personuppgifter i ostruk- turerat material. För att sådan behandling av uppgifter om lagöver- trädelser m.m. skall få utföras av enskilda utan myndighetskontroll krävs det dock att det finns lämpliga och specifika skyddsåtgärder i lagstiftningen. En sådan skyddsåtgärd kan enligt utredningens me- ning vara att bara tillåta sådan behandling av personuppgifter om lagöverträdelser m.m. som inte innefattar ett missbruk av person- uppgifterna. Från förbudet enligt artikel 8.1 mot behandling av känsliga per- sonuppgifter får undantag enligt artikel 8.4 göras av hänsyn till ett viktigt allmänt intresse. Frågan är om hantering av ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar Personuppgifter som inte ingår i personregister kan anses vara ett sådant viktigt allmänt intresse. Utredningen har i avsnitt 7.3.3 utvecklat hur denna hantering, som kan ha betydelse för bl.a. utnyttjandet av yttrande- och informationsfriheten, kan anses vara en fri- och rättighet. Att fri- och rättigheter kan utövas i samhället är naturligtvis ett allmänt intresse och dessutom ett vik- tigt sådant. Utredningen anser därför att det kan hävdas att ett un- dantag från förbudet mot behandling av känsliga personuppgifter för behandling av sådana personuppgifter i ostrukturerat material kan stödjas på undantagsmöjligheten i artikel 8.4 för viktiga all- männa intressen. Ett sådant undantag förutsätter emellertid lämpli- ga skyddsåtgärder. En sådan skyddsåtgärd kan enligt utredningens mening vara att bara tillåta sådan behandling av känsliga person- uppgifter som inte innefattar ett missbruk av personuppgifterna. 7.3.6Undantag från förbudet mot överföring av personuppgifter i artikel 25 I artikel 25 i EG-direktivet, från vilken artikel undantag inte kan göras med stöd av artikel 13.1, finns det tillkommande begräns- ningar för sådan behandling av personuppgifter som innebär en överföring av personuppgifterna till tredje land, dvs. en stat som inte är med i EU eller EES. Artikel 26 innehåller bestämmelser om undantag från artikel 25. Avser en viss behandling en sådan överfö- ring måste således villkoren enligt såväl artikel 7 – och i förekom- mande fall även artikel 8 – som artikel 25 och 26 vara uppfyllda för att överföringen skall få genomföras. Enligt artikel 25.1 i EG-direktivet skall medlemsstaterna före- skriva att överföringen av personuppgifter som är under behandling eller som är avsedda att behandlas efter överföring till tredje land endast får ske om ifrågavarande tredje land säkerställer en adekvat skyddsnivå. Bedömningen av om skyddsnivån i ett tredje land är adekvat skall enligt artikel 25.2 ske på grundval av alla de förhållan- den som har samband med en överföring eller en grupp av överfö- ringar av uppgifter. Härvid skall särskilt beaktas uppgiftens art, den eller de avsedda behandlingarnas ändamål och varaktighet, ur- sprungslandet och det slutliga bestämmelselandet, de allmänna re- spektive särskilda rättsregler som gäller i ifrågavarande tredje land liksom de regler för yrkesverksamhet och säkerhet som gäller där. Bestämmelserna i artikel 25.1 och 2 i EG-direktivet har tagits in i 33 § personuppgiftslagen. Personuppgifter som inte ingår i personregister I artikel 26.1 anges det i vilka fall medlemsstaterna får föreskriva att överföring till tredje land som inte har en adekvat skyddsnivå är tillåten. I artikel 26.1 d anges att sådan överföring får ske om över- föringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen eller för att fastslå, göra gällande eller försvara rättsliga anspråk. Den bestämmelsen har ansetts innebära bl.a. att det är tillåtet att i författning ange när överföring är tillåten därför att den är nödvändig med hänsyn till viktiga allmänna intres- sen. I ingresspunkt 58 anges som exempel på viktiga allmänna in- tressen utbyte av uppgifter mellan skattemyndigheter, tullmyndig- heter eller socialförsäkringsmyndigheter. Det har i tidigare ansetts att ett offentliggörande av per- sonuppgifter på en webbplats som är allmänt tillgänglig på Internet innebär att personuppgifterna blir tillgängliga i hela världen och därmed kan anses överförda till alla länder.60 har emellertid i det s.k. konfirmandlärarmålet (dom den 6 novem- ber 2003 i mål C-101/01) slagit fast att det inte är fråga om någon överföring av uppgifter till tredje land i EG-direktivets mening när en person, som befinner sig i en medlemsstat, lägger ut personupp- gifter på en hemsida på Internet som är lagrad hos en fysisk eller juridisk person, som har den webbplats där man kan komma åt si- dan och som är etablerad i samma medlemsstat eller i en annan medlemsstat, varvid uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land.61 Det innebär att i vart fall vissa förfaranden för Internetpublicering inte hindras av just bestämmelserna om överföring av personuppgifter till tredje land. När ett förfarande innebär en överföring av personuppgifter till tredje land i EG-direktivets mening blir tolkningen av begreppet adekvat skyddsnivå av betydelse. Personuppgifter får nämligen som sagt alltid överföras till tredje land som säkerställer en adekvat skyddsnivå. Bedömningen av om skyddsnivån i ett tredje land är adekvat skall ske på grundval av alla de förhållanden som har sam- band med överföringen. Att en överföring innebär ett utnyttjande av en grundläggande fri- och rättighet, kan hävdas vara ett förhål- lande att beakta vid bedömningen av om skyddsnivån i ett tredje land är adekvat. Det har ansetts att det som i EG-direktivet kallas 1999/2000:11 s. 15 f. och 27. 61Enligt förarbetena är det samma överföringar som enligt EG-direktivet som avses i 33 § personuppgiftslagen, se prop. 1997/98:44 s. 137. Därför får uttolkning av begreppet överföring också genomslag i svensk rätt. Personuppgifter som inte ingår i personregister adekvat skyddsnivå är ett uttryck för att omständigheterna kring överföringen sammantagna skall vara sådana att personuppgifter har ett tillräckligt skydd och att det kan finnas en adekvat skydds- nivå i ett tredje land trots en total avsaknad av skyddsregler.62 Mot denna bakgrund skulle det måhända kunna hävdas att en så- dan överföring av personuppgifter i ostrukturerat material, t.ex. i form av löpande text och ljud- och bildupptagningar, som inte in- nefattar ett missbruk av personuppgifterna innebär en överföring av uppgifterna bara till tredje land med adekvat skyddsnivå (därför att någon särskild skyddsnivå inte krävs i det tredje landet med hänsyn till omständigheterna vid överföringen). Det är emellertid osäkert om man alls kan resonera på det sättet. Därför finns det anledning att undersöka om det är möjligt enligt artikel 26.1 d att i författning direkt ange att överföring av person- uppgifter i ostrukturerat material är tillåten därför att överföringen är nödvändig med hänsyn till viktiga allmänna intressen. På mot- svarande sätt som i fråga om undantagsmöjligheten enligt artikel 8.4 (se avsnitt 7.3.5) anser utredningen att det bör vara möjligt att stödja en sådan författningsbestämmelse på artikel 26.1 d. 7.3.7Undantag från anmälningsskyldighet enligt artikel 18 Enligt artikel 18.1 i EG-direktivet, från vilken artikel undantag inte kan göras med stöd av artikel 13.1, skall medlemsstaterna föreskri- va att den personuppgiftsansvarige före genomförandet av en be- handling eller en serie behandlingar som helt eller delvis genomförs på automatisk väg och som har samma eller flera närbesläktade än- damål skall underrätta tillsynsmyndigheten. I artikel 18.2–4 anges vilka möjligheter till undantag från den anmälningsplikten som finns. Av artikel 18.2 första strecksatsen framgår att undantag får göras på följande villkor: Om medlemsstaten för de typer av be- handling, i samband med vilka det med hänsyn till de behandlade uppgifterna inte är sannolikt att de registrerades fri- och rättigheter kränks, anger behandlingens ändamål, vilka uppgifter eller katego- rier av uppgifter som behandlas, vilka registrerade eller kategorier av registrerade som avses, till vilka mottagare eller kategorier av mottagare uppgifterna lämnas ut samt hur länge uppgifterna skall bevaras. 1999/2000:11 s. 16. Personuppgifter som inte ingår i personregister Bestämmelsen om en principiell anmälningsskyldighet i artikel 18.1 i EG-direktivet har tagits in i 36 § första stycket personupp- giftslagen. Ett bemyndigande för regeringen eller den myndighet regeringen bestämmer att föreskriva undantag från anmälnings- skyldigheten för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integrite- ten har tagits in i tredje stycket i den paragrafen. Genom 4 § per- sonuppgiftsförordningen har regeringen utnyttjat undantagsmöj- ligheten för att föreskriva att anmälningsskyldigheten inte gäller för behandling av personuppgifter i löpande text. Utredningen an- ser att ett motsvarande undantag bör kunna föreskrivas för all be- handling av personuppgifter i ostrukturerat material. Utredningen har således funnit att det bör vara möjligt enligt EG- direktivet att göra undantag från de flesta materiella bestämmelser- na i EG-direktivet för sådan behandling av personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar som inte innefattar ett missbruk av personuppgif- terna. Den slutsatsen grundas främst på bedömningen att hantering av sådant ostrukturerat material utgör ett utnyttjande av en sådan fri- och rättighet – yttrande- eller informationsfriheten – som avses i artikel och att det är ett viktigt allmänt intresse i den mening som avses i artikel 8.4 och 26.1 d att detta utnyttjande av fri- och rättigheter inte hindras i samhället. Utredningen inser att den bedömningen – och vissa anslutande bedömningar avseende t.ex. beskaffenheten av skyddsåtgärder – inte är självklar och kan sättas i fråga. Utredningen anser trots detta att det med hänsyn till vikten av att underlätta harmlös hantering av ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar på de skäl som redovisats faktiskt är möjligt och befogat att göra en sådan bedömning att gälla till dess motsatsen eventuellt slås fast av . Utredningen har således gjort en annan bedömning än regering och riksdag tidigare gjort. Det har skett efter en förnyad analys av innebörden av EG-direktivet. Den analysen har genomförts i be- lysning av den utveckling som skett sedan personuppgiftslagen trädde i kraft. Härvid har utredningen som en bakgrund beaktat bl.a. hur EG-direktivet genomförts i andra länder, argumentationen Personuppgifter som inte ingår i personregister i samband med de rättsfall som finns angående EG-direktivet, dis- kussioner med och andra medlemsstater, bl.a. i den s.k. artikel 31-kommittén, och utvecklingen av de svenska grundlagarna. Utredaren har bl.a. redogjort för huvuddragen i för- slaget vid ett möte med företrädare för . EG- kommissionen har senare i sin rapport om genomförandet av EG- direktivet63 också – under rubriken av en rimlig och flexi- bel tolkning – uttryckligen berört de svenska ansträngningarna en- ligt följande: Enligt artikel 5 i direktivet ska medlemsstaterna inom de begränsning- ar som bestämmelserna i kapitel II (artiklarna 6–21) innebär, precisera på vilka villkor behandling av personuppgifter är tillåten. I detta avse- ende uppmärksammar kommissionen den oro som uttryckte inom ramen för den pågående översynen av landets lagstiftning när det gäller tillämpningen av dataskyddsprinciper på löpande text eller ljud- eller bilduppgifter. Kommissionen anser att förenklade villkor för data- behandling då det inte är troligt att sådan behandling skapar någon inte avsevärd risk för den enskildes rättigheter bättre kan uppnås genom att göra bruk av det handlingsutrymme som direktivet ger, i synnerhet de möjligheter som ges i artiklarna 7 f, 9 och 13. Också dom i det s.k. konfirmandlärarmålet (dom i mål C-101/01) ger stöd för att EG- direktivet kan tolkas med en viss flexibilitet, särskilt när det gäller skyddet för grundläggande fri- och rättigheter. uttalade i domen bl.a. följande: 83 Vad beträffar själva direktivet 95/46 är bestämmelserna i det med nödvändighet relativt allmänna med hänsyn till att de skall tillämpas på ett stort antal mycket olikartade situationer. I motsats till vad [konfir- mandläraren] har anfört är det således med rätta som detta direktiv in- nehåller regler som karaktäriseras av en viss tänjbarhet och som det i direktivet i fråga i många fall överlåts till medlemsstaterna att fastställa detaljerna eller att välja bland de möjligheter som finns. 84 Det är riktigt att medlemsstaterna i många avseenden har ett be- tydande handlingsutrymme när de skall införliva direktiv /46. Det finns dock ingenting som medför att bestämmelserna i detta direktiv brister i förutsebarhet eller att bestämmelserna som sådana strider mot de allmänna gemenskapsrättsliga principerna, särskilt inte mot de 63 KOM(2003) 265 slutlig. Personuppgifter som inte ingår i personregister grundläggande rättigheter som skyddas genom gemenskapens rättsord- ning. 85 Det är snarare på det stadium när de bestämmelser genom vilka direktiv /46 har införlivats tillämpas i enskilda fall som en rättvis av- vägning mellan de rättigheter och intressen som är i fråga skall göras. 86 I detta sammanhang har de grundläggande rättigheterna en sär- skild betydelse, såsom visas av målet vid den nationella domstolen, där det sammanfattningsvis måste göras en avvägning mellan å ena sidan [konfirmandlärarens] yttrandefrihet i sitt arbete som handledare för konfirmander samt friheten att utöva verksamhet som bidrar till det re- ligiösa livet, och å andra sidan skyddet av privatlivet för de personer om vilka [konfirmandläraren] har lagt ut uppgifter på sin webbplats på In- ternet. 87 Följaktligen ankommer det på myndigheterna och domstolarna i medlemsstaten inte bara att tolka sin nationella rätt på ett sätt som står i överensstämmelse med direktiv /46, utan även att se till att inte grunda sig på en tolkning av detta direktiv som skulle stå i strid med de grundläggande rättigheter som skyddas genom gemenskapens rättsord- ning eller med andra allmänna gemenskapsrättsliga principer, såsom bland annat proportionalitetsprincipen. Av domen framgår också att man vid tolkningen av bestämmelser- na i EG-direktivet kan ta hänsyn till nya användningsområden för informationsteknik och till att tekniken fått en utbredd användning för att se till att bestämmelserna inte får oönskade konsekvenser. I fråga Internetanvändning uttalade domstolen bl.a. följande: 58 De uppgifter som finns på Internet kan nästan när som helst kon- sulteras av ett obegränsat antal personer vilka befinner sig på en mängd olika ställen. Att dessa uppgifter är av allestädes närvarande karaktär framgår bland annat av det förhållandet att de tekniska medel som an- vänds inom ramen för Internet är relativt enkla och blir billigare och billigare.