sou · GSB36d2 · 2005-01-01 00:00:00 — Efter beslut av regeringen tillkallades en parla- mentariskt sammansatt kommitté med uppgift att bl.a. göra en to- tal revision av datalagen (1973:289) och att analysera på vilket sätt EG-direktivet om personuppgifter skulle genomföras i svensk lag- stiftning (). avgav kommittén betänkandet Integritet Offentlighet Informationsteknik (SOU 1997:39). I likhet med bl.a. ansåg regeringen att det inte var möjligt att uppfylla skyldigheten att genomföra EG- direktivet på annat sätt än genom att införa en lagstiftning enligt EG-direktivets hanteringsmodell. delade den bedöm- ningen. EG-direktivet om personuppgifter genomfördes i genom bl.a. personuppgiftslagen (SFS 1998:204, prop. 1997/98:44, bet. 1997/98:KU18, rskr. 1997/98:180). Behovet av en förnyad analys Personuppgiftslagen trädde i kraft . Enligt la- gens övergångsbestämmelser tillämpas dock datalagen beträffande viss behandling av personuppgifter . Bilaga 1 – Utredningsdirektiven helt eller delvis automatiserad behandling av personuppgifter bör- jade personuppgiftslagen således att gälla fullt ut först . Mot bakgrund av skyldigheter som med- lem i Europeiska unionen valde regeringen, som nämnts ovan, att i huvudsak låta lagen följa EG-direktivets text och struktur med följd att lagstiftningen i princip reglerar all hantering av person- uppgifter. Regeringen konstaterade emellertid att en sådan hanter- ingsmodell framstod som omodern. Mycket av den användning av personuppgifter som den ökade datoriseringen har medfört måste betraktas som harmlös. Allt fler medborgare har också tillgång till dator, e-post och annan kommunikation i världsomspännande nät- verk, såsom Internet. Regeringen ansåg därför att det finns starka skäl att verka för att det blir möjligt att gå ifrån en lagstiftning efter en hanteringsmodell till en mer missbruksinriktad lagstiftning, dvs. en reglering som mer koncentrerar sig på att motverka missbruk av personuppgifter. Regeringen avsåg härvid att på lämpligt sätt ut- nyttja inflytande i Europeiska unionen för att påverka i denna riktning. 1997/98:44 s. 36 f.). I samband med att behandlade motioner från den allmänna motionstiden som rörde frågor om bl.a. personuppgiftslagen underströk även utskottet behovet av en revi- dering av EG-direktivet samt anförde att en översyn av personupp- giftslagen borde komma till stånd med syfte att, så långt det är möjligt inom EG-direktivets ram, åstadkomma en förändring av lagstiftningen i riktning mot ett regelverk som tar sikte på miss- bruk av personuppgifter. hemställde att som sin mening skulle ge regeringen till känna vad ut- skottet anfört i denna del (1998/99:KU15, jämför även 1999/2000:KU7 och 2000/01:KU19). beslutade i enlighet med utskottets hemställan (rskr. 1998/99:147). fram till – då per- sonuppgiftslagen alltså trädde i full kraft för helt eller delvis auto- matiserad behandling av personuppgifter – har regeringen vidtagit flera åtgärder i syfte att åstadkomma en mer missbruksinriktad re- gleringsmodell. Regeringen gav således redan i samband med att personuppgiftslagen trädde i kraft Datainspektionen i upp- drag att bl.a. utreda det närmare behovet av att göra undantag från förbudet i 33 § personuppgiftslagen när det gäller vissa överföringar av personuppgifter till tredje land, t.ex. vid behandling av person- uppgifter i sådana internationella kommunikationsnätverk som In- ternet. Datainspektionen redovisade sitt uppdrag till regeringen i rapporten på Internet. Bilaga 1 – Utredningsdirektiven 1999 lade regeringen fram förslag till ändringar i personuppgiftsla- gens överföringsregler och straffbestämmelser (prop. 1999/2000:11). Dessa antogs av (1999/2000:KU7 och rskr. 1999/2000:51) och trädde i kraft (SFS 1999:1210). Vidare har regeringen per ändrat personuppgiftsförordningen (1998:1191) för att underlätta för kommuner och landsting att publicera personuppgifter på Internet. Per har regeringen också gjort ändringar i för- ordningar för att underlätta dels myndigheters behandling av käns- liga personuppgifter i löpande text, dels arkivmyndigheternas han- tering av bestämmelserna i personuppgiftslagen om registerutdrag. Ett antal s.k. registerförfattningar med modifieringar av bestäm- melserna i personuppgiftslagen har också utarbetats. Lagstiftnings- arbetet har sammantaget medfört att skyddet för personuppgifter i högre grad än tidigare inriktas på de förfaranden som medför all- varliga integritetsrisker och att lagstiftningen närmar sig en sådan missbruksinriktad regleringsmodell som och regeringen uttalat sig för. presenterade ett utkast med förslag till ändring i EG-direktivet. Den föreslagna ändringen syftar till en förenklad reglering av skyddet för personuppgifter och är inriktad på att förhindra missbruk av sådana uppgifter. Sam- tidigt bjöd departementet in representanter för riksdagspartierna att ingå i en samrådsgrupp om EG-direktivet. För att få in syn- punkter på eventuella tillämpningsproblem som EG-direktivet or- sakat utarbetade vidare en enkät för en of- fentlig utvärdering av EG-direktivet och utkastet till missbruks- modell. Enkäten remitterades till myndigheter, or- ganisationer och företag och kunde också besvaras av var och en via Internet. Enkätsvaren har sammanställts i promemorian EG- direktivet om personuppgifter – En offentlig utvärdering, Ds 2001:27. Av sammanställningen framgår bl.a. att Justitiedeparte- mentets utkast till missbruksmodell fick ett överväldigande positivt gensvar. Den offentliga utvärderingen visade också att det finns en betydande osäkerhet om hur bestämmelserna skall tillämpas. Re- geringen har därför gett Datainspektionen i uppdrag att publicera konkret vägledning på väsentliga punkter. Åtgärder har också vidtagits på internationell nivå. Således tog bl.a. initiativ till en seminarieserie med företrädare för EG- kommissionen och medlemsstaterna för att bl.a. diskutera tillämp- ningsproblem. skall enligt EG-direktivet senast komma med en rapport om genomförandet av EG- Bilaga 1 – Utredningsdirektiven direktivet, eventuellt försedd med lämpliga ändringsförslag. Efter- som någon sådan rapport inte avgetts inom angiven tid tog vid ett ministerrådsmöte med upp frågan om rapporten och eventuella ändringar i EG-direktivet. framförde därvid sin syn på behovet att ändra EG- direktivet till en mera missbruksinriktad regleringsmodell. EG- kommissionen angav att rapporten skulle försenas med med hänsyn till att alla medlemsstater ännu inte genomfört EG- direktivet. har också tagit upp behovet av ändringar mot en mer missbruksinriktad modell inom ramen för arbe- te. Regeringen har vidare följt den utveckling som skett genom rättspraxis. Bland annat har i det s.k. Ramsbro- målet (NJA 2001 s. 409) tagit ställning till frågor om publicering av personuppgifter på Internet. har i en dom i det s.k. Bodil-målet tagit ställning till liknande frågor. Den domen har överklagats till , som har meddelat prövningstillstånd och beslutat att inhämta ett s.k. förhandsavgörande från EG- domstolen. Två österrikiska domstolar har också begärt förhands- avgörande hos om tolkningen av EG-direktivet. Regeringen har yttrat sig till i dessa mål. Regeringen har således utnyttjat tiden fram till personuppgiftsla- gens fulla ikraftträdande såvitt avser helt eller delvis automatiserad behandling för att införa och anpassa registerlagstiftning till EG- direktivet om personuppgifter samt för att vidta vissa missbruksin- riktade åtgärder. Genom att genomföra den offentliga utvärdering- en och följa rättstillämpningen har regeringen också tillägnat sig ytterligare erfarenheter av de särskilda problem som den nuvarande lagstiftningsmodellen medför. Tiden är därför mogen att nu göra en analys av möjligheterna att ändra personuppgiftslagen i syfte att – så långt som möjligt inom EG-direktivets ram – åstadkomma en mer missbruksinriktad lagstiftning. Vid personuppgiftslagens tillkomst ändrades 7 kap. 16 § sekre- tesslagen (1980:100). I samband härmed uttalades att ändringarna endast utgjorde följdändringar i syfte att samordna bestämmelsen med bestämmelserna i personuppgiftslagen. Bestämmelsen i 7 kap. 16 § sekretesslagen har emellertid i själva verket fått ett vidare till- lämpningsområde. kunde sekretess komma i fråga enbart vid utlämnande av personuppgifter från en myndighets datorisera- de personregister för behandling i sådant register. Efter ändringen kan sekretess gälla för alla personuppgifter, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med per- Bilaga 1 – Utredningsdirektiven (Jfr SOU 2001:3 s. 213 ff.). Bestämmelsen har medfört viss osäkerhet vid rättstillämpningen. Ännu finns bara två vägledande avgöranden från Regeringsrätten (RÅ 2001 ref. 35 och RÅ 2001 ref. 68). I ytterligare ett fall har Regeringsrätten meddelat prövningstillstånd. Med anledning härav finns det skäl att i detta sammanhang överväga behovet av en ändring i 7 kap. 16 § sekre- tesslagen i syfte att förtydliga bestämmelsens innebörd. En sådan översyn är nödvändig bl.a. för att regeringen skall kunna överväga hur en skyldighet för myndigheter att lämna ut allmänna handling- ar i elektronisk form bör utformas (prop. 2001/02:70 s. 34). Redan vid genomförandet av EG-direktivet om personuppgifter och utarbetandet av personuppgiftslagen beaktades möjligheten att ha en lagstiftning inriktad på att förhindra missbruk av personupp- gifter i stället för att reglera all hantering av sådana uppgifter. Re- geringen har också efter antagandet av personuppgiftslagen vidtagit åtgärder i denna riktning. Eftersom inte kom- mer att lämna något förslag till ändring av EG-direktivet är det viktigt att redan nu göra en förnyad analys av möjligheterna att åstadkomma en än mer missbruksinriktad lagstiftning. Utredaren skall närmare analysera förutsättningarna – inom ra- men för EG-direktivet om personuppgifter – för en reglering som tar sikte på missbruk av personuppgifter snarare än varje slags han- tering av sådana uppgifter. Syftet är i första hand att underlätta var- daglig hantering av personuppgifter och opinionsbildning samt kommunikation som enskilda ges ett effektivt skydd mot missbruk av uppgifterna och andra obefogade intrång i den person- liga integriteten. Regleringen skall liksom vara teknikobero- ende. I den utsträckning det med hänsyn till EG-direktivet är möj- ligt med lättnader i hanteringsreglerna skall utredaren föreslå de bestämmelser som är nödvändiga för att förhindra missbruk av per- sonuppgifter och andra obefogade intrång i den personliga integri- teten. Ett viktigt underlag för att identifiera områden där det kan be- hövas lättnader i hanteringsreglerna är resultatet av den offentliga utvärdering av EG-direktivet som låtit genomföra. Utredaren skall därför i sitt arbete beakta resultatet av den utvärderingen. Härutöver skall utredaren beakta erfarenheterna Bilaga 1 – Utredningsdirektiven från genomförandet av EG-direktivet i andra länder och utveck- lingen i rättstillämpningen. Utredaren skall analysera om det finns förutsättningar för att infö- ra ytterligare undantag från hanteringsreglerna i person- uppgiftslagen. Utredaren skall härvid särskilt se över möjligheten till undantag för sådan behandling av personuppgifter inom den privata sfären som – till sin natur – faller utanför gemenskapsrätten och därmed inte omfattas av EG-direktivet. Utredaren skall också överväga om de undantagsmöjligheter för bl.a. säkerhet och brottsundersökning m.m. som finns enligt artikel 13 i EG-direktivet bör tas in direkt i personuppgiftslagen. Enligt 10 § f personuppgiftslagen, som motsvarar artikel 7 f i EG-direktivet, kan en behandling av personuppgifter vara tillåten efter en intresseavvägning. Det är enligt EG-direktivet tillåtet för medlemsstaterna att närmare precisera hur den intresseavvägningen utfaller i olika fall. I uppdraget ligger att utredaren skall överväga möjligheterna att direkt i personuppgiftslagen ange konkreta fall där behandling är tillåten med stöd av bestämmelsen i EG- direktivet om en intresseavvägning. Utredaren skall därvid särskilt analysera om det är möjligt och lämpligt med en generell bestäm- melse av innebörd att personuppgifter får behandlas om det är nödvändigt för information och debatt eller opinionsbildning, om det inte finns risk för otillbörligt intrång i den personliga integrite- ten eller om det finns ett allmänintresse som överväger integritets- intrånget. Enligt artikel 8.4 i EG-direktivet får s.k. känsliga personuppgif- ter behandlas med hänsyn till ett viktigt allmänt intresse, och un- der motsvarande förutsättningar får enligt artikel 26.1 d i EG- direktivet personuppgifter föras över till tredje land, t.ex. genom att läggas ut på Internet. Utredaren skall analysera om dessa möj- ligheter bör utnyttjas i större utsträckning genom uttryckliga be- stämmelser i personuppgiftslagen. Utredaren skall därvid på mot- svarande sätt som sagts i fråga om intresseavvägningen särskilt ana- lysera möjligheterna till undantag med hänsyn till intresset för in- formation, debatt och opinionsbildning. Bilaga 1 – Utredningsdirektiven Enligt artikel 8.5 i EG-direktivet är det möjligt för medlemsstater- na att tillåta att andra än myndigheter behandlar personuppgifter om lagöverträdelser m.m. Utredaren skall analysera om den möj- ligheten bör utnyttjas genom uttryckliga bestämmelser direkt i per- sonuppgiftslagen. Utredaren skall särskilt överväga om den regi- strerades samtycke bör göra behandling av personuppgifter om lagöverträdelser m.m. tillåten. Därvid skall utredaren beakta beho- vet av skydd för den registrerade i de fall där den enskilde kan be- finna sig i ett underläge såsom bl.a. vid upptagande av kredit och sökande av anställning. I uppdraget ligger att utredaren skall analysera vilka regler som bör gälla vid brott mot personuppgiftslagen för straffansvar i subjektivt hänseende – dvs. om oaktsamhet av normalgraden som räcker för straffansvar bör ersättas med ett krav på grov oaktsamhet eller uppsåt – samt om någon förseelse mot personuppgiftslagen helt bör avkriminaliseras, såsom t.ex. vissa överföringar av personupp- gifter till tredje land. Utredaren skall överväga hur det i personuppgiftslagen bör införas ett förtydligande av hur beslut av myndighet enligt lagen kan över- klagas, såsom bl.a. beslut om rättelse och avslag på ansökan om in- formation. Utredaren skall vidare överväga behovet av en ändring i bestämmel- sen i 7 kap. 16 § sekretesslagen i syfte att förtydliga bestämmelsens innebörd. Härutöver skall utredaren ha stor frihet att ta upp de ytterligare frågor som kan behöva övervägas inom ramen för utredningsupp- draget. Utredaren skall vidare analysera eventuella ekonomiska konsekvenser med anledning av förslagen. Bilaga 1 – Utredningsdirektiven Utredaren skall på lämpligt sätt informera riksdagspartierna om sitt arbete och även inhämta partiernas synpunkter. I frågor som har anknytning till sekretess skall utredaren samråda med Offentlig- hets- och sekretesskommittén (dir. 1998:32). Utredaren skall vida- re samråda med den kommitté som får i uppdrag att göra en bred kartläggning avseende skyddet för den personliga integriteten i det moderna samhället. Utredaren skall också hålla sig underrättad om Datainspektionens arbete med att utforma konkret vägledning för tillämpningen av vissa bestämmelser i personuppgiftslagen. Utredningsuppdraget skall redovisas . Bilaga 2 – Personuppgiftslagen (1998:204) 1 § Syftet med denna lag är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Avvikande bestämmelser i annan författning 2 § Om det i en annan lag eller i en förordning finns bestämmelser som avviker från denna lag, skall de bestämmelserna gälla. 3 § I denna lag används följande beteckningar med nedan angiven bety- delse. Varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, regi- eller ändring, återvinning, inhämtande, an- utlämnande genom översändande, spridning eller annat tillhandahållande av upp- blockering, utplåning eller förstöring. En åtgärd som vidtas för att personuppgifterna skall vara förknippade med information om att de är spärrade och om anledningen till spärren och för att personuppgifterna inte skall lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen. Bilaga 2 – Personuppgiftslagen (1998:204) Den till vilken personuppgifter lämnas ut. personuppgifter lämnas ut för att en myndig- het skall kunna utföra sådan tillsyn, kontroll eller revision som den är skyldig att sköta, an- ses dock inte myndigheten som mottagare. All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Den som behandlar personuppgifter för den Den fysiska person som, efter förordnande av den personuppgiftsansvarige, självständigt skall se till att personuppgifter behandlas på ett kor- rekt och lagligt sätt. Den som en personuppgift avser. Varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, ef- ter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Den myndighet som regeringen utser för att En stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska Någon annan än den registrerade, den person- personuppgiftsbiträdet och sådana personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har be- fogenhet att behandla personuppgifter. 4 § Denna lag gäller för sådana personuppgiftsansvariga som är etablerade i . Bilaga 2 – Personuppgiftslagen (1998:204) Lagen tillämpas också när den personuppgiftsansvarige är etablerad i tredje land men för behandlingen av personuppgifter använder sig av ut- rustning som finns i . Vad som sagts gäller dock inte om ut- rustningen bara används för att överföra uppgifter mellan ett tredje land och ett annat sådant land. I det fall som avses i andra stycket första meningen skall den person- uppgiftsansvarige utse en företrädare för sig som är etablerad i . Vad som anges i denna lag om den personuppgiftsansvarige skall också gälla för företrädaren. Behandling av personuppgifter som omfattas av lagen 5 § Denna lag gäller för sådan behandling av personuppgifter som helt eller delvis är automatiserad. Lagen gäller även för annan behandling av personuppgifter, om uppgif- terna ingår i eller är avsedda att ingå i en strukturerad samling av person- uppgifter som är tillgängliga för sökning eller sammanställning enligt sär- skilda kriterier. Undantag för privat behandling av personuppgifter 6 § Denna lag gäller inte för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur. Förhållandet till tryck- och yttrandefriheten 7 § Bestämmelserna i denna lag tillämpas inte i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryck- frihetsförordningen eller yttrandefrihetsgrundlagen. Bestämmelserna i 9–29 och 33–44 §§ samt 45 § första stycket och 47– 49 §§ skall inte tillämpas på sådan behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt ska- pande. 8 § Bestämmelserna i denna lag tillämpas inte i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförord- ningen att lämna ut personuppgifter. Bestämmelserna hindrar inte heller att en myndighet arkiverar och be- varar allmänna handlingar eller att arkivmaterial tas om hand av en arkiv- myndighet. Bestämmelsen i 9 § fjärde stycket gäller inte för en myn- dighets användning av personuppgifter i allmänna handlingar. Grundläggande krav på behandlingen av personuppgifter 9 § Den personuppgiftsansvarige skall se till att a) personuppgifter behandlas bara om det är lagligt, Bilaga 2 – Personuppgiftslagen (1998:204) b)personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed, c)personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, d)personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, e)de personuppgifter som behandlas är adekvata och relevanta i för- hållande till ändamålen med behandlingen, f)inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen, g)de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella, h)alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till än- damålen med behandlingen, och i)personuppgifter inte bevaras än vad som är nöd- vändigt med hänsyn till ändamålen med behandlingen. I fråga om första stycket d gäller dock att en behandling av personupp- gifter för historiska, statistiska eller vetenskapliga ändamål inte skall anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål än som sagts i första stycket i. Personupp- gifterna får dock i sådana fall inte bevaras än vad som behövs för dessa ändamål. Personuppgifter som behandlas för historiska, statistiska eller veten- skapliga ändamål får användas för att vidta åtgärder i fråga om den regist- rerade bara om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. När behandling av personuppgifter är tillåten 10 § Personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för att a)ett avtal med den registrerade skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, b)den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet, c)vitala intressen för den registrerade skall kunna skyddas, d)en arbetsuppgift av allmänt intresse skall kunna utföras, e)den personuppgiftsansvarige eller en tredje man till vilken personupp- gifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller f)ett ändamål som rör ett berättigat intresse hos den personuppgifts- ansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den Bilaga 2 – Personuppgiftslagen (1998:204) registrerades intresse av skydd mot kränkning av den personliga integ- riteten. 11 § Personuppgifter får inte behandlas för ändamål som rör direkt mark- nadsföring, om den registrerade hos den personuppgiftsansvarige skriftli- gen har anmält att han eller hon motsätter sig sådan behandling. 12 § I de fall då behandling av personuppgifter bara är tillåten när den re- gistrerade har lämnat sitt samtycke enligt 10, 15 eller 34 § har den regist- rerade rätt att när som helst återkalla ett lämnat samtycke. Ytterligare per- sonuppgifter om den registrerade får därefter inte behandlas. En registrerad har utöver vad som följer av första stycket och 11 § inte rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt denna lag. Förbud mot behandling av känsliga personuppgifter 13 § Det är förbjudet att behandla personuppgifter som avslöjar a)ras eller etniskt ursprung, b)politiska åsikter, c)religiös eller filosofisk övertygelse, eller d)medlemskap i fackförening. Det är också förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. Uppgifter av den art som anges i första och andra styckena betecknas i denna lag som känsliga personuppgifter. Undantag från förbudet mot behandling av känsliga per- sonuppgifter 14 § Det är trots förbudet i 13 § tillåtet att behandla känsliga personupp- gifter i de fall som anges i 15–19 §§. I 10 § finns det bestämmelser om i vilka fall behandling av personupp- gifter över huvud taget är tillåten.