sou · GSB36 · 2005-01-01 00:00:00 — 59 Förutsättningarna för att använda Internet, så som de har blivit för enskilda som [konfirmandläraren] , innebär att den som upprättar en hemsida som skall läggas ut på Internet överför de uppgifter som denna sida består i till den som tillhandahåller honom servertjänster. 68 Med hänsyn dels till det stadium på vilket Internets utveckling befann sig då direktiv /46 utarbetades, dels till att det inte i kapitel IV i direktivet föreligger några kriterier som är till- lämpliga på Internetanvändning kan det inte presumeras att gemen- skapslagstiftaren hade för avsikt att med tanke låta in- Personuppgifter som inte ingår i personregister skrivning av en person i [konfirmandlärarens] situation av uppgifter på en hemsida på Internet omfattas av begreppet överföring av uppgifter till tredje land, även om dessa på detta sätt blir åtkomliga för sådana personer i tredje land som har de tekniska möjligheterna att få tillgång till hemsidan. 69 Om artikel 25 i direktiv /46 tolkas på så sätt att det föreligger en överföring av uppgifter till tredje land varje gång personuppgif- ter läggs ut på en hemsida på Internet skulle denna överföring med nödvändighet vara en överföring till tredje länder där det finns teknisk möjlighet att få tillgång till Internet. Specialbestämmelserna i kapitel IV i det nämnda direktivet skulle då med nödvändighet, vad gäller transak- tioner på Internet, bli ett generellt tillämpligt system. När kommissio- nen med tillämpning av artikel 25.4 i direktiv /46 konstaterade att det fanns ett enda tredje land som inte säkerställer en adekvat skyddsnivå skulle medlemsstaterna nämligen vara skyldiga att hindra att person- uppgifter över huvud taget lades ut på Internet. 70 Vid sådant förhållande kan den slutsatsen dras att artikel 25 i di- rektiv 95/46 skall tolkas så, att sådana transaktioner som dem som [konfirmandläraren] har genomfört inte i sig utgör en överföring av uppgifter till tredje land. Det går inte att peka på någon enskild omständighet som medfört den ändrade bedömningen utan det är snarare fråga om en samlad bedömning som föranlett de slutsatser i enskildheter som redovi- sats i det föregående. De materiella hanteringsbestämmelser i som det inte är möjligt att göra undantag från eller motsvarande är följande: Bestämmelserna om automatiserade beslut i artikel 15 (som mot- svaras av 29 § personuppgiftslagen) Bestämmelserna om sekretess och säkerhet vid behandlingen i artikel 16 och 17 (som motsvaras av 30 och 31 §§ personupp- giftslagen) Bestämmelserna om rättslig prövning, ansvar och sanktioner i artikel 22–24 (som motsvaras av 48 och 49 §§ personuppgiftsla- gen) Bestämmelserna om tillsynsmyndighetens befogenheter avseen- de behandlingen i artikel 28 (som motsvaras av 32 och 43–47 §§ personuppgiftslagen) Det är inte heller möjligt att avvika från bestämmelserna i artikel 2– 4 om definitioner av grundläggande begrepp och tillämpningsom- rådet för EG-direktivet (som motsvaras av 3–6 §§ personuppgifts- lagen). Personuppgifter som inte ingår i personregister Enligt utredningens mening innebär det ingen direkt nackdel att de angivna bestämmelserna i förekommande fall tillämpas på be- handling av personuppgifter i ostrukturerat material. Bestämmelsen om automatiserade beslut torde det knappast bli aktuellt att tillämpa på annat än personuppgifter i strukturerat ma- terial. Bestämmelsen om sekretess innebär i stort sett bara att den som för en personuppgiftsansvarigs räkning behandlar personupp- gifter bara får göra det enligt instruktioner från denne. Bestämmelsen om säkerhet innebär att lämpliga åtgärder skall vidtas för att förhindra t.ex. oavsedd förstöring, förvanskning och spridning av personuppgifter, men vid bedömningen av vilka åtgär- der som behöver vidtas för att åstadkomma en lämplig säkerhetsni- vå kan man ta hänsyn till bl.a. de risker som är förknippade med behandlingen. När personuppgifter behandlas i ostrukturerat mate- rial t.ex. i form av löpande text och ljud- och bildupptagningar tor- de det därför normalt inte krävas några extraordinära säkerhetsåt- gärder utan det kan ofta räcka med de åtgärder som var och en bru- kar vidta för att skydda sin information. När särskilt känslig infor- mation behandlas i strukturerat eller ostrukturerat material, måste givetvis adekvata säkerhetsåtgärder vidtas. Bestämmelserna om rättslig prövning, ansvar och sanktioner torde bara ha aktualitet – och då vara relevanta och befogade – när behandlingen har inneburit ett missbruk av personuppgifterna. Inte heller bestämmelserna om att en oberoende myndighet skall ha tillsyn över och vissa befogenheter avseende behandlingen torde i praktiken ha särskilt stor betydelse. dataskyddskonvention har presenterats i avsnitt 4.2.2 och bilaga 5. Enligt artikel 9 i konventionen får avvikelser göras från de viktigaste materiella bestämmelserna i konventionen. Såda- na avvikelser skall finnas i lag och vara nödvändiga i ett demokra- tiskt samhälle för att bl.a. skydda den registrerade eller andra per- soners fri- och rättigheter. Det är dock inte tillåtet att göra avvikel- ser från bestämmelserna om säkerhet i artikel 7 i konventionen som innebär att lämpliga säkerhetsåtgärder skall vidtas för att skydda personuppgifter som lagras i automatiserade register (på engelska automated data files). Personuppgifter som inte ingår i personregister På motsvarande sätt som i fråga om EG-direktivet – se särskilt avsnitt 7.3.3 – anser utredningen att det bör vara möjligt att genom lag göra avvikelser från konventionens materiella bestämmelser, utom bestämmelsen om säkerhet, för sådan behandling av person- uppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar som inte innefattar ett missbruk av per- sonuppgifterna. Enligt artikel 8.1 i har var och en rätt till re- spekt för sitt privat- och familjeliv. Åtnjutande av denna rättighet får enligt artikel 8.2 inskränkas med stöd av lag om det i ett demo- kratiskt samhälle är nödvändigt med hänsyn till bl.a. andra perso- ners fri- och rättigheter. har berörts i avsnitt 4.2.1. På motsvarande sätt som i fråga om EG-direktivet – se särskilt avsnitt 7.3.3 – anser utredningen att det bör vara möjligt att genom en lagbestämmelse inskränka rätten till respekt för privat- och fa- miljelivet när det gäller sådan behandling av personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar som inte innefattar ett missbruk av personuppgif- terna. 7.62 kap. 3 § regeringsformen Enligt 2 kap. 3 § andra stycket regeringsformen skall varje medbor- gare, i den utsträckning som närmare anges i lag, skyddas mot att hans eller hennes personliga integritet kränks genom att uppgifter om honom eller henne registreras med hjälp av automatisk databe- handling. ansåg att den grundlagsbestämmelsen kan sägas kräva att det skall finnas en lagstiftning baserad på en hante- ringsmodell, innefattande skydd mot integritetskränkningar genom att personuppgifter registreras oavsett om de i någon mening miss- brukas eller inte, se avsnitt 7.2.64 64 SOU 1997:39 s. 182. Personuppgifter som inte ingår i personregister Enligt utredningens mening kan grundlagsbestämmelsen inte an- ses hindra en lagregel om att sådan behandling av personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar som inte innefattar ett missbruk av personuppgif- terna är tillåten. Genom en sådan lagregel, som i praktiken förbju- der missbruk av personuppgifter, får ju den enskilde det avsedda skyddet mot integritetskränkningar. Utredningens förslag i sammanfattning: På behandling av per- sonuppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personupp- gifter skall hanteringsreglerna i 9, 10, 13, 21, 23, 24, 28, 33 och 42 §§ personuppgiftslagen inte tillämpas. Sådan behandling får bara utföras om den inte innebär ett otillbörligt intrång i den personliga integriteten. Utredningen anser således att det med hänsyn till EG-direktivet, andra internationella åtaganden och den svenska grundlagen bör vara möjligt att göra undantag från vissa bestämmelser i person- uppgiftslagen för behandling av personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagning- ar. Utredningen föreslår att ett sådant undantag görs och berör i detta avsnitt hur undantaget närmare bör utformas och vilka be- stämmelser om skydd mot missbruk av personuppgifterna som bör krävas med anledning av undantaget. Personuppgifter som inte ingår i personregister 7.7.2Vilka behandlingar bör undantas? Utredningens förslag: Behandling av personuppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av person- uppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter undantas. Det är vid behandling av personuppgifter i personuppgiftsanknutna registerstrukturer där man enkelt kan söka efter och sammanställa personuppgifter som de hanteringsregler för personuppgiftsskyd- det som finns i personuppgiftslagen har ett särskilt berättigande på grund av de integritetsrisker som normalt är förknippade med så- dan behandling. När personuppgifterna inte ingår i en personupp- giftsanknuten registerstruktur utan finns i ostrukturerad form i t.ex. löpande text och ljud- och bildupptagningar, är det i stället texten, ljudet eller bilden som är det centrala, och det är också då som informations- och yttrandefrihetsaspekterna gör sig särskilt gällande. Även behandling av personuppgifter i ostrukturerat mate- rial t.ex. i form av löpande text och ljud- och bildupptagningar kan givetvis i ett enskilt fall innebära ett otillbörligt integritetsintrång eller medföra risk för ett sådant intrång. Vid behandling av person- uppgifter som inte finns i en tydligt personuppgiftsanknuten regis- terstruktur framstår emellertid hanteringsreglerna i personuppgiftslagen som alltför omfattande och byråkratiska med hänsyn bl.a. till att integritetsriskerna normalt är mindre vid be- handlingen och till de informations- och yttrandefrihetsintressen som finns. Vid sådan, typiskt sett mindre riskfylld behandling bör därför hanteringsreglerna kunna ersättas med bestämmelser som bara förbjuder missbruk av personuppgifterna. Det är således vid behandling av personuppgifter som inte ingår i en tydligt personuppgiftsanknuten registerstruktur som man bör kunna ersätta hanteringsreglerna med regler som bara förbjuder missbruk. Svårigheterna med en avgränsning Utredningen har prövat olika vägar att avgränsa vad som bör vara undantaget från hanteringsreglerna. Eftersom det är strukturering- Personuppgifter som inte ingår i personregister en av materialet med avseende på personuppgifter som kan innebä- ra särskilda integritetsrisker, har utredningen funnit det ändamåls- enligt att knyta avgränsningen till just materialets struktur.65 Ut- redningen är dock medveten om att det är problematiskt att göra så. Det visar redan de tillämpningsproblem som uppkom särskilt med det registerbegrepp som användes i datalagen.66 Pro- blemen hänger mycket samman med den tekniska utvecklingen och datorteknikens inneboende egenskaper. Allt som finns i digital form i t.ex. datorer och skall användas måste i någon mening vara strukturerat. Och utvecklingen går emot att struktureringen om- fattar allt mer och blir mer automatiserad och avancerad. Funktio- ner som automatiskt indexerar varje teckensträng i ordbehand- lingsdokument är t.ex. redan standard. Den tekniska utvecklingen på området medför att varje avgräns- ning som görs får ses som ett provisorium som måste bli föremål för dels anpassning i rättstillämpningen, dels översyn . Vad man kan göra är att utforma en teknikneutral men beskrivande lagtext och – mot bakgrund av de tekniska tillämpningar som är mera allmänt förekommande – ange utgångspunkter för bedömningen och exempel. Sedan får det ankomma på rätts- tillämpningen att bedöma nya eller mera speciella tillämpningar. Och måste lagregeln och rättstillämpningen ses över mot bakgrund av den tekniska utvecklingen. Det bör hållas i minnet att eventuella svårigheter att i gränsfall bedöma om hanteringsreglerna skall tillämpas eller inte måste jäm- föras med de problem det innebär att tillämpa hanteringsreglerna i personuppgiftslagen på ostrukturerat material. Enligt utredningens mening är de sistnämnda svårigheterna i allmänhet mer besvärande än de förstnämnda. Skulle någon vara av motsatt uppfattning, inne- bär dock utredningens förslag att han eller hon kan fortsätta att tillämpa hanteringsreglerna. Har hanteringsreglerna faktiskt följts, kan det nämligen enligt utredningens förslag inte vara fråga om ett missbruk av personuppgifterna, se vidare avsnitt 7.7.4. Den som är osäker på hur en viss behandling skall bedömas kan alltså välja att följa hanteringsreglerna för att därmed uppfylla det som krävs en- ligt både dessa regler och de föreslagna reglerna. Utredningens för- slag innebär således bara en möjlighet till lättnader vid behandling av personuppgifter i ostrukturerat material för den som vill. 65Jämför också vad som sägs avslutningsvis i avsnitt 7.2. 66Det bör redan här betonas att utredningens förslag inte utgår från det registerbegrepp som fanns i datalagen. Personuppgifter som inte ingår i personregister också rimligt att den som vill utnyttja en regel om undantag från de normala hanteringsreglerna sätter sig närmare in i förutsättningarna för att regeln skall kunna tillämpas. Det får inte heller glömmas bort att regeln om undantag från hanteringsreglerna faktiskt har ett tydligt kärnområde – när ett material är helt ostrukturerat – som är enkelt att tillämpa i praktiken i de allra flesta fall. Utgångspunkter och riktlinjer för avgränsningen När det gäller utformningen av avgränsningen av vad som bör vara undantaget från respektive omfattas av hanteringsreglerna har ut- redningen haft följande utgångspunkter och riktlinjer. Avgränsningen bör som nämnts anknyta till materialets struktur. Behandling av personuppgifter som ingår i en struktur, t.ex. ett re- gelrätt personregister eller en databas, bör omfattas av hanterings- reglerna, medan behandling av övriga personuppgifter undantas. Dock bör inte varje strukturering av ett material med personupp- gifter innebära att hanteringsreglerna skall tillämpas på behandling- en av personuppgifterna i materialet. Det bör krävas att det finns en tydlig personuppgiftsanknuten struktur för att hanteringsreg- lerna skall tillämpas. En generell strukturering av ett material bör alltså inte medföra att hanteringsreglerna skall tillämpas. Enbart det förhållandet att alla teckensträngar i t.ex. ordbehandlingsdokument på en eller flera hårddiskar har indexerats eller enkelt kan indexeras bör exempelvis inte medföra att hanteringsreglerna blir tillämpliga. Funktioner för automatisk sådan allmän indexering är nämligen som nämnts redan standard. Ett annat exempel är s.k. sökmotorer på Internet där teckensträngar m.m. i material som finns tillgängligt på Internet indexeras. Indexering som tar sikte på just personuppgifter, dvs. en märkning av att vissa uppgifter är just personuppgifter, t.ex. ett personnamn eller ett personnummer, innebär dock att en person- uppgiftsanknuten struktur skapats. Då har man ju skapat en regis- terstruktur avseende, inte alla teckensträngar eller vilka tecken- strängar som helst utan, just personuppgifter. Med generell struk- turering menar utredningen alltså att ett material har strukturerats, t.ex. genom indexering, med avseende på flera olika slags uppgifter utan att just personuppgifter har markerats som sådana. En mer utvecklad form av strukturering är verksamhetsanknuten strukturering. Ett typexempel är de dokument- och ärendehanter- ingssystem som används av t.ex. företag och myndigheter. Personuppgifter som inte ingår i personregister system används oftast inte bara en generell struktur med indexering av det material som ingår i strukturen utan det utmärkande är att det beträffande åtminstone en del av de uppgifter som ingår i struk- turen har markerats vad uppgifterna avser, t.ex. ärendenummer, kundnummer, adress, produkt, kontaktperson, författare av ett do- kument osv. Typexempel på sådan strukturering är den som före- kommer i register och databaser där det finns fält där olika katego- rier av uppgifter fylls i. För att hanteringsreglerna skall tillämpas bör det krävas att struktureringen är personuppgiftsanknuten. Det är fråga om en personuppgiftsanknuten strukturering om materialet, t.ex. det som ingår i ett dokument- och ärendehanteringssystem, har strukture- rats för att underlätta sökning efter och sammanställning av just personuppgifter. Det är fallet om det i ett register eller en databas finns fält där just personuppgifter har fyllts i, exempelvis fält för namn, personnummer, avsändare, handläggare, anhörig osv. Med personuppgiftsanknuten strukturering menar utredningen alltså att ett material har strukturerats så att just personuppgifter har marke- rats som sådana; dessutom kan flera andra slags uppgifter i materia- let ha markerats. Även i system för strukturering som inte är särskilt inriktade på att hantera information om personer – exempelvis datoriserade sy- stem för hantering av tillverkningsprocesser eller för hantering av försäljning till företagskunder – finns det som regel åtminstone någon kategori av uppgifter som särskilt markerats som just per- sonuppgifter, t.ex. fält i en databas för handläggare, författare av ett dokument, kontaktperson vid ett företag och vem som ändrat en viss uppgift i systemet. I en myndighets diarium över allmänna handlingar skall det t.ex. anges från vem handlingen har kommit in eller till vem den har expedierats.67 Och i datoriserade dokument- hanteringssystem torde det också vara vanligt med särskilda fält för t.ex. ingivare, mottagare och författare. Därmed finns det också en personuppgiftsanknuten struktur även om systemet inte är särskilt inriktat på att hantera information om personer. I sådana system för strukturering som inte är särskilt inriktade på att hantera information om personer utgör personuppgifterna ofta biinformation även om uppgifterna i och för sig har strukture- rats på ett sådant sätt att det finns en personuppgiftsanknuten struktur. De strukturerade personuppgifterna utgör i dessa fall inte 67 15 kap. 2 § första stycket 3 sekretesslagen (1980:100), jämför SOU 2002:97. Personuppgifter som inte ingår i personregister huvudföremålet för systemet eller behandlingen av uppgifterna i systemet, men det är möjligt att använda strukturen också för att söka fram och sammanställa just personuppgifter. Det kan t.ex. gälla inte särskilt kvalificerade sökningar efter de ärenden som en person handlägger, de dokument som sänts till respektive mottagits från en person eller de företag som en person är kontaktperson för. Men det kan också gälla mer kvalificerade sökningar och samman- ställningar med sikte på enskilda personer där flera olika slags upp- gifter kombineras, t.ex. sammanställningar av inte bara de ärenden en person handlägger utan också hans eller hennes genomsnittliga handläggningstid. Ett annat exempel är när det i ett system för sälj- stöd vid försäljning uteslutande till juridiska personer finns uppgif- ter om kontaktpersoner hos företagen som omfattar inte bara sed- vanliga kontaktuppgifter (funktion, adress, minnesanteckningar från kontakttillfällen osv.) utan även uppgifter om kontaktperso- nerna som inte har direkt samband med huvudföremålet för syste- met, t.ex. uppgifter om anhöriga och fritidsintressen. System för registrering av enskilda personers användning av tjänster eller liknande har som regel en personuppgiftsanknuten strukturering. Det rör sig här om olika former av loggar och elek- troniska spår vid användning av tjänster och liknande, t.ex. en logg- fil med uppgifter om vilka webbplatser enskilda användare vid ett företag besökt eller vilka meddelanden de sänt eller mottagit eller registrering av vilka personer som med hjälp av inpasseringskort har öppnat en dörr. En avgränsning som enbart tar hänsyn till om struktureringen av ett material är personuppgiftsanknuten eller inte är förhållandevis enkel att använda. Utredningen anser emellertid att bara en sådan avgränsning inte är tillräcklig, eftersom den skulle medföra att allt- för mycket av harmlös eller inte personuppgiftsinriktad behandling skulle omfattas av hanteringsreglerna till förfång för informations- och yttrandefriheten. Utredningen anser därför att inte varje personuppgiftsanknuten strukturering av ett material bör innebära att hanteringsreglerna skall tillämpas på behandlingen av personuppgifter i materialet. Det bör krävas att den personuppgiftsanknutna struktureringen av ma- terialet har uppnått en viss nivå eller kvalitet för att hanteringsreg- lerna skall tillämpas, dvs. att materialet har strukturerats för att på- tagligt underlätta sökning efter eller sammanställning av just per- sonuppgifter. Och det är här som avgränsningssvårigheterna gör sig särskilt gällande. Särskilt i denna del får man lita till utvecklingen i rättstillämpningen och återkommande översyn. Det är med hänsyn Personuppgifter som inte ingår i personregister till den tekniska utvecklingen och det förhållandet att datortekni- ken kommer till allmän användning på alltfler områden svårt att uttömmande ange fasta hållpunkter för vilken nivå eller kvalitet på den personuppgiftsanknutna struktureringen som bör krävas för att hanteringsreglerna skall tillämpas. Vad utredningen kan göra är att mot bakgrund av dagens situation ange vissa utgångspunkter och exempel. Avsikten är att det som inte framstår som något re- gelrätt personregister eller någon annan form av system som upp- rättats för att påtagligt underlätta sökning efter eller sammanställ- ning av just personuppgifter skall vara undantaget från hanterings- reglerna. Det är främst ett par olika typer av personuppgiftsanknuten strukturering som utredningen anser inte bör medföra att hanter- ingsreglerna skall tillämpas. Den första gäller banal personuppgifts- anknuten strukturering. Den andra gäller utnyttjande av allmänt använda funktioner där den personuppgiftsanknutna strukturering- en inte framstår som särskilt kvalificerad. Med banal personuppgiftsanknuten strukturering avser utredning- en sådana situationer där datorteknikens fördelar i fråga om struk- turering i förhållande till hantering egentligen inte använts. I dessa fall gör sig också informations- och yttrandefrihetsintresse- na särskilt gällande. Det kan t.ex. handla om en lista med person- uppgifter – t.ex. avseende Nobelpristagare eller världsrekordhållare – som skrivits in i bokstavsordning efter efternamn i ett ordbe- handlingsdokument eller på en webbsida. Har personuppgifterna inte strukturerats på annat sätt än att de registrerats så att de står i en viss ordning (eventuellt under olika rubriker) är det fråga om en banal personuppgiftsanknuten strukturering som bör vara undan- tagen från hanteringsreglerna. Vad som sagts gäller naturligtvis inte om listan med personuppgifter producerats med hjälp av en databas eller något annat system för strukturering av personuppgif- ter. I sådant fall skall de regler tillämpas på produktionen av listan som är tillämpliga på behandlingen av personuppgifter i det materi- al som ingår i systemet för strukturering av personuppgifter (data- basen). I fråga om sedvanligt utnyttjande av allmänt använda funktioner där den personuppgiftsanknutna struktureringen inte framstår som särskilt kvalificerad kan följande sägas. Det handlar i denna situation om sedvanligt utnyttjande av var- dagsfunktioner där det med hänsyn till informations- och yttrande- frihetsintressena inte är rimligt att hanteringsreglerna skall tilläm- pas. Dessa fall ligger nära den banala personuppgiftsanknutna Personuppgifter som inte ingår i personregister