sou · GSB36 · 2005-01-01 00:00:00 — Enskildas behandling av personuppgifter om lagöverträdelser som reglerar respektive myndighets verksamhet. Det ansågs därför ändamålsenligt att i personuppgiftslagen ta in en grundläggande bestämmelse om att det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser. Eftersom det kan finnas fall där det är befogat att enskilda behandlar sådana uppgif- ter, kompletterades bestämmelsen med ett bemyndigande för re- geringen eller den myndighet som regeringen bestämmer att med- dela föreskrifter om undantag från förbudet och medge dispens i enskilda fall. Det antecknades därvid att som exempel på fall där det kan vara befogat med undantag nämnt den behandling av uppgifter om t.ex. brottmålsdomar som privata vård- och behandlingshem kan behöva utföra för att vårda och behandla den dömde på ett effektivt sätt och viss registrering för försäk- ringsbolagens kravhantering.107 har behandlat en motion med förslag om att person- uppgifter om lagöverträdelser skall få behandlas om kravet på sam- tycke är uppfyllt.108 I motionen påtalades att den som dömts för brott och anser sig oskyldigt dömd inte hade någon möjlighet att lägga fram sin sak för offentligheten via Internet. Med anledning av motionen anförde följande:109 Utskottet vill framhålla att i den rätt till skydd för privatlivet som di- rektivet särskilt tar sikte på ingår en allmän rätt att lämnas i fred när det gäller den privata sfären (jfr SOU 1993:40, del B s. 58). Med en sådan utgångspunkt för direktivets tillämpningsområde får det enligt utskot- tets mening anses främmande att direktivet skulle syfta till att reglera den enskildes rätt att behandla uppgifter om sig själv. Om di- rektivet hade ett sådant syfte, skulle det vidare innebära en inskränk- ning i andra grundläggande fri- och rättigheter som det [] avser att skydda. Utskottet vill därutöver framhålla att begreppen den register- ansvarige, den registrerade respektive tredje man i direktivets be- stämmelser, samt motsvarande begrepp i personuppgiftslagen, uppen- barligen tar sikte på skilda objekt. Mot bakgrund av det anförda uppfattar utskottet gällande rätt så att frånvaron av en samtyckesbestämmelse i 21 § personuppgiftslagen inte förhindrar en enskild att behandla sådana uppgifter som avses i lag- rummet och som utgör uppgifter om den enskilde själv. Någon lagänd- ring behövs därför inte. 107SOU 1997:39 s. 379 f. 108Motion 2000/01:K270. 109KU 2000/01:19 s. 16. Enskildas behandling av personuppgifter om lagöverträdelser Frågan om människorättsorganisationers behandling av person- uppgifter om lagöverträdelser har berörts i en skriftlig fråga i riks- dagen.110 Jämför i fråga om försvarares behandling av personuppgif- ter om lagöverträdelser vid tillgång till digitala förundersökningar i JT 2002-03 s. 735–739 och JT 2003-04 s. 246–250 samt det beslut från Datainspektionen som refereras i avsnitt 10.4.2. Enligt 9 § personuppgiftsförordningen har regeringen bemyndigat Datainspektionen att meddela dels föreskrifter om undantag från förbudet i 21 § personuppgiftslagen, dels beslut i enskilda fall om sådana undantag. Datainspektionen har med stöd av bemyndigandet meddelat en generell föreskrift (1998:3) om undantag från förbudet för andra än myndigheter att behandla personuppgifter om lagöverträ- delser m.m. Inspektionen har därvid föreskrivit att personuppgifter om lagöverträdelser utan hinder av förbudet i 21 § personuppgifts- lagen får behandlas om a)behandlingen är nödvändig för att fullgöra en föreskrift på soci- altjänstområdet (se numera 7 § lagen [2001:454] om behandling av personuppgifter inom , som berörs i avsnitt 10.4.3), b)behandlingen avser uppgift i anteckningar som förs i fristående skolors elevvårdande verksamhet eller i motsvarande verksamhet hos enskilda anordnare av högskoleutbildning, c)behandlingen är nödvändig för kontroll av att jävssituation inte föreligger i advokatverksamhet eller annan juridisk verksamhet, d)behandlingen avser endast enstaka uppgift som är nödvändig för att rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras i ett enskilt fall, eller e)behandlingen avser endast enstaka uppgift som är nödvändig för att anmälningsskyldighet enligt lag skall kunna fullgöras. Datainspektionen har inte beslutat om undantag i något en- skilt fall. En ansökan om undantag har inkommit, men avvisats (be- slut i dnr 757-2003).111 Ett par offentliga försvarare i ett 110Fråga 2001/02:316. 111Se om beslutet i JT 2003-04 s. 246–250. Enskildas behandling av personuppgifter om lagöverträdelser 114 vittnesförhör, ansökte om undantag för att få tillgång till för- undersökningen i målet i digital form. Datainspektionen hänvisade i beslutet till undantaget när behandlingen avser endast enstaka uppgift som är nödvändig för att rättsliga anspråk skall kunna fast- ställas, göras gällande eller försvaras i ett enskilt fall och angav: Syftet med undantaget [] är att göra det möjligt för bl.a. advokater att behandla personuppgifter om klienter som exempelvis är misstänkta för brott. Nödvändiga behandlingar av personuppgifter som exempelvis rör försvaret av klienten vid misstanke om brott omfattas av undanta- get. Är det nödvändigt för försvaret av klienten är det även tillåtet att behandla uppgifter om eventuella medåtalade. Er behandling av brottsuppgifter som har betydelse för att utföra ert uppdrag omfattas av undantaget [] och är därmed tillåten. Huruvida personuppgifterna som behandlas samlas in från diskett, cd-romskiva eller från papper saknar betydelse vid tillämpningen av denna undan- tagsbestämmelse. En förutsättning för att behandlingen skall vara laglig är emellertid att endast nödvändiga och relevanta uppgifter samlas in t.ex. från en cd-romskiva som innehåller förundersökningen. Med hänsyn till ovanstående anser Datainspektionen att det inte be- hövs något särskilt beslut om undantag från 21 § PuL. Ansökan skall därför avvisas. Enligt 6 § kreditupplysningslagen (1973:1173) får personuppgif- ter om lagöverträdelser inte utan medgivande av Datainspektionen behandlas i kreditupplysningsverksamhet. Ett sådant medgivande får lämnas endast om det finns synnerliga skäl.112 Datainspektionen har inte lämnat något medgivande enligt den bestämmelsen. Om det i en lag eller i en förordning finns bestämmelser som avvi- ker från personuppgiftslagen, skall de bestämmelserna gälla (2 § personuppgiftslagen). Det kan således finnas bestämmelser i andra författningar som tar över förbudet i 21 § personuppgiftslagen och tillåter att enskilda behandlar personuppgifter om lagöverträdelser. Bestämmelsen i 6 § kreditupplysningslagen (1973:1173) har re- dan nämnts i närmast föregående avsnitt. 2000/01:50 s. 23 f. Enskildas behandling av personuppgifter om lagöverträdelser föreslagit att kreditupplysningsföretag skall ges möjlighet att för- medla uppgifter om lagakraftvunna domar och godkända strafföre- lägganden avseende ekonomisk brottslighet.113 Enligt 7 § lagen (2001:454) om behandling av personuppgifter inom får behandla personuppgifter om lagöverträdelser om uppgifterna har lämnats i ett ärende eller är nödvändiga för verksamheten.114 Med avses därvid (se 2 § i lagen): 1.verksamhet enligt lagstiftningen om socialtjänst och den särskil- da lagstiftningen om vård utan samtycke av unga eller av miss- brukare, 2.verksamhet som i annat fall enligt lag handhas av socialnämnd, 3.verksamhet som i övrigt bedrivs av , 4.verksamhet hos invandrarbyrå, 5.verksamhet enligt lagstiftningen om stöd och service till vissa funktionshindrade, 6.handläggning av ärenden om bistånd som lämnas av socialnämnd enligt lagstiftning om mottagande av asylsökande m.fl., 7.handläggning av ärenden om introduktionsersättning för flyk- tingar och vissa andra utlänningar, 8.handläggning av ärenden om tillstånd till parkering för rörelse- hindrade, 9.tillsyn, uppföljning, utvärdering, kvalitetssäkring och administra- tion av verksamhet som avses i 1–8. Viss sådan verksamhet kan bedrivas av enskilda. Enligt lagen (1999:163) om penningtvättsregister får bankföretag m.fl. föra s.k. penningtvättsregister med sådana uppgifter om om- ständigheter som kan tyda på penningtvätt som lämnats till polisen enligt lagen (1993:768) om åtgärder mot penningtvätt.115 Sådana företag får också föra register med sådana uppgifter som lämnats till polisen om omständigheter som kan tyda på att en transaktion avser tillgångar som är föremål för brott enligt lagen (2002:444) om straff för finansiering av särskilt allvarlig brottslighet i vissa fall, m.m.116 113SOU 1998:47, jämför prop. 2000/01:50 s. 24. 2000/01:80 s. 144 f. 1998/99:19 s. 53 ff. 2001/02:149 s. 52 ff. Enskildas behandling av personuppgifter om lagöverträdelser Vissa enskilda arbetsgivare har i viss utsträckning enligt särskilda bestämmelser möjlighet117 eller skyldighet118 att kontrollera ett ut- drag ur belastningsregistret före anställning eller annat anlitande inom vissa verksamheter. Dessa bestämmelser synes emellertid inte ge de enskilda arbetsgivarna möjlighet att behandla de erhållna per- sonuppgifterna om lagöverträdelser på ett sätt som omfattas av personuppgiftslagen. har föreslagit att enskilda arbetsgivare skall få behandla personuppgifter om lagöverträdelser avseende ar- betstagare och arbetssökande, om behandlingen är nödvändig för att bedöma arbetstagarens eller arbetssökandens tillförlitlighet med hänsyn till säkerheten för det allmänna eller för arbetsgivarens verksamhet. Den föreslagna bestämmelsen utgör emellertid inte något avsteg från 21 § personuppgiftslagen utan tar sikte på sådan dokumenterad behandling av personuppgifter som inte omfattas av personuppgiftslagen.119 10.5Genomförandet i andra länder I , , , , och Neder- länderna kan den registrerades uttryckliga samtycke göra det tillå- tet att behandla personuppgifter om lagöverträdelser. I krävs dessutom ett tillstånd av tillsynsmyndigheten och att sam- tycket är skriftligt. Också i och krävs det tillstånd av tillsynsmyndigheten för att enskilda skall få behandla sådana uppgifter utan stöd i särskild lagstiftning. I och finns det bestämmelser om att enskil- da kan få behandla personuppgifter om lagöverträdelser efter en intresseavvägning. I kan tillstånd till sådan behandling lämnas av tillsynsmyndigheten efter en intresseavvägning. I , , , , och får enskilda behandla personuppgifter om lagöverträdel- ser under samma förutsättningar som känsliga personuppgifter. I får en personuppgiftsansvarig vidare behandla per- sonuppgifter om lagöverträdelser för att bedöma en ansökan från 117Se 10 § lagen (1998:620) om belastningsregister och 21 § förordningen (1999:1134) om belastningsregister. 118Se lagen (2000:873) om registerkontroll av personal inom förskoleverksamhet, skola och skolbarnomsorg. 119SOU 2002:18, särskilt s. 203 ff. Enskildas behandling av personuppgifter om lagöverträdelser den registrerade och för att skydda sina intressen om det finns an- ledning att anta att ett brott kan komma att begås mot den person- uppgiftsansvarige eller sådana personer som arbetar för denne. I får personuppgifter om lagöverträdelser behandlas av en- skilda bl.a. om det är nödvändigt för att uppfylla mål som har lagts fast i lagstiftning eller för att hantera egna rättsprocesser. I får vidare juridiska rådgivare behandla personuppgifter om lagöver- trädelser om det är nödvändigt för att skydda deras klienters intres- sen. Utredningens bedömning: Några bestämmelser om undantag från förbudet för enskilda att behandla personuppgifter om lagöverträ- delser bör inte föras in direkt i personuppgiftslagen, utan de möj- ligheter till undantag genom generella föreskrifter i andra författ- ningar och genom beslut i enskilda fall som redan finns är tillräck- liga. Personuppgifter om lagöverträdelser upplevs av många människor som känsliga. Många skäms över och vill för omvärlden hemlighålla att de i livet t.ex. gjort sig skyldiga till brott, suttit i fängelse eller tvångsomhändertagits för missbruk. Sådana uppgifter om en person kan vidare påverka utomståendes uppfattning om personen. För rehabiliteringen av brottslingar är det viktigt att den som sonat sitt brott kan leva i samhället utan det stigma som upp- giften om den tidigare brottsligheten kan utgöra. Det finns alltså goda skäl för en restriktiv reglering av när per- sonuppgifter om lagöverträdelser får registreras och lagras. Samti- digt måste man komma ihåg att en lagstiftning som personuppgiftslagen har sina begränsningar. Personuppgiftslagen gäller i princip bara om man registrerar – eller avser att registrera – personuppgifter i datorformat eller i regelrätta personregister. En tillämpning av lagen kan t.ex. förhindra att personuppgifter om lagöverträdelser på ett obefogat sätt lagras för framtida användning eller sprids med hjälp av datorer på Internet. Men i t.ex. många avtalssituationer kan personuppgiftslagen med sitt ändå begränsade tillämpningsområde inte ge ett fullgott skydd. Det beror på att den tilltänkta avtalsmotparten – den som överväger att anställa, lämna ett lån, hyra ut bostad, bil eller videofilm etc. – i dessa fall i praktiken inte behöver registrera någon Enskildas behandling av personuppgifter om lagöverträdelser ken inte behöver registrera någon personuppgift om lagöverträdel- ser för att kunna sortera bort oönskade kontrahenter. Det räcker att den tilltänkta avtalsmotparten vid referenstagning får höra om uppgifterna eller att sökanden på begäran visar upp ett utdrag ur belastningsregistret eller lämnar upplysningar. För att åstadkomma ett fullgott skydd och en rimlig avvägning mellan de intressen som gör sig gällande torde det krävas en sär- skild reglering för de olika avtalssituationerna och liknande. Något sådant ligger inte inom ramen för utredningsuppdraget. Vid kredit- upplysning har behandling av personuppgifter om lagöverträdelser särreglerats, och en reglering för anställda och i anställningssitua- tioner har relativt föreslagits. Personuppgiftslagen ger uttryck för en synnerligen restrik- tiv hållning när det gäller enskildas behandling av personuppgifter om lagöverträdelser. Sådan behandling är i princip förbjuden. Att enskilda kan ha legitima behov av att behandla personuppgifter om lagöverträdelser står dock klart. finns det, på grund av lämnade bemyndiganden, möjlighet för regeringen och Datainspek- tionen att utan egentliga begränsningar tillåta enskilda att behandla personuppgifter om lagöverträdelser. Det kan ske genom såväl ge- nerella föreskrifter som beslut i enskilda fall som hastigt uppkom- mer. Utredningen har enligt utredningsdirektiven att överväga om det i personuppgiftslagen bör tas in bestämmelser som direkt tillåter enskilda att behandla personuppgifter om lagöverträdelser. Därvid skall utredningen särskilt överväga om den registrerades samtycke bör göra sådan behandling tillåten. Frågan är alltså om det finns behov av materiella föreskrifter om enskildas behandling av per- sonuppgifter om lagöverträdelser i personuppgiftslagen eller om de vida möjligheter till normgivning på lägre nivå som redan finns är tillräckliga. Utredningen har redan varit inne på att ett fullgott skydd och en rimlig intresseavvägning för speciellt känsliga situationer kräver särregler med ett vidare tillämpningsområde än personuppgiftsla- gen. Att ändå utforma och ta in speciella bestämmelser om olika sådana situationer i personuppgiftslagen framstår inte som ända- målsenligt eller ens möjligt att göra inom utredningens ram. I den utsträckning det skulle komma upp ett legitimt behov för enskilda att behandla personuppgifter om lagöverträdelser i en viss situation kan, i avvaktan på en mer vittsyftande författningsreglering av situ- ationen, frågan lösas genom de möjligheter till normgivning som redan finns enligt personuppgiftslagen. Enskildas behandling av personuppgifter om lagöverträdelser Frågan är då närmast om det finns behov av och är lämpligt med bestämmelser i personuppgiftslagen för mer generella fall, t.ex. vid samtycke eller när det, rent generellt, är viktigt att kontrollera en persons pålitlighet eller vandel. I det sammanhanget finns det an- ledning att erinra om utredningens förslag i avsnitt 7.7 som innebär att behandling av personuppgifter, innefattande personuppgifter om lagöverträdelser, som finns i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar tillåts så länge be- handlingen inte innefattar ett missbruk av uppgifterna. Det första man måste fråga sig är vilket behov för enskilda att behandla personuppgifter om lagöverträdelser som har visat sig se- dan personuppgiftslagen trädde i kraft. I svaren på enkät för offentliga utvärde- ring har frågan om behandling av personuppgifter om lagöverträ- delser fått förhållandevis lite uppmärksamhet, och några direkta önskemål om ytterligare regler som tillåter sådan behandling verkar inte ha förts fram.120 Som framgått av avsnitt 10.4 finns det redan en hel del föreskrif- ter som tillåter enskilda att behandla personuppgifter om lagöver- trädelser. Såvitt utredningen känner till har det – med ett undantag, se avsnitt 10.4.2 – inte förekommit några ansökningar, som vidhål- lits, till regeringen eller Datainspektionen om ytterligare undantag från förbudet i 21 § personuppgiftslagen genom generella föreskrif- ter eller beslut i enskilda fall. Såvitt framkommit har bara ett par personer dömts för bl.a. brott mot 21 § personuppgiftslagen (se avsnitt 5.2.1). Den ene hade på Internet namngett personer som påstods ha gjort sig skyl- diga till våldtäkt.121 Den andre dömdes av en tingsrätt för att han hade registrerat känsliga personuppgifter och uppgifter om domar i brottmål om över ettusen personer med syfte att kartlägga politiska motståndare och att på något sätt sprida uppgifter om dem och därmed möjliggöra angrepp på dem; efter överklagande ogillade dock hovrätten det åtalet.122 Att tillåta sådant genom särskilda före- skrifter torde knappast vara aktuellt. Vid genomförandet av EG-direktivet i andra länder har man gjort på olika sätt. Det finns exempel på länder som, liksom Sveri- ge, nöjt sig med möjligheten att genom särskilda föreskrifter och myndighetsbeslut tillåta enskilda att behandla personuppgifter om 120Ds 2001:27 s. 53 ff. 121Helsingborgs tingsrätts dom i mål nr B 3915-00. 122Hovrättens över och dom i mål nr B 3113-02. Enskildas behandling av personuppgifter om lagöverträdelser Men det finns också exempel på länder som i den generella genomförandelagstiftningen tagit in bestämmelser om i vilka fall sådan behandling får ske, t.ex. i de fall känsliga person- uppgifter får behandlas. Utredningens slutsats mot denna bakgrund – särskilt avsaknaden av framförda önskemål om ytterligare konkreta undantag – är att det inte verkar finnas något uttalat behov av andra undantag från förbudet i 21 § personuppgiftslagen än de som redan finns på annat håll än i personuppgiftslagen och det som följer av den bestämmel- se om behandling av personuppgifter som finns i ostrukturerat ma- terial t.ex. i form av löpande text och ljud- och bildupptagningar som föreslås i avsnitt 7.7. Datainspektionens föreskrift, komplette- rad med några lagregler i särskilda registerförfattningar, verkar ha täckt in de behov av undantag som finns . Och skulle det uppkomma nya behov, finns det som sagt redan goda möjlighe- ter att, efter överväganden om den aktuella situation som upp- kommit, medge ytterligare undantag när det är befogat. Vad särskilt gäller samtycke som grund för behandling av per- sonuppgifter om lagöverträdelser kan härutöver följande sägas. Inte i någon föreskrift om undantag från förbudet i 21 § person- uppgiftslagen som finns har den registrerades samtycke till- mätts någon betydelse. När frågan om samtycke varit uppe i har det gällt den speciella situationen att någon velat behandla personuppgifter om sina egna lagöverträdelser, något som ansetts vara möjligt . Frågan om arbetsgivares dokumenterade behandling av person- uppgifter om lagöverträdelser om arbetssökande och arbetstagare har relativt utretts, varvid det inte fördes fram något förslag om att samtycke bör utgöra en grund för behandlingen. En del länder godtar samtycke som grund för behandling av per- sonuppgifter om lagöverträdelser, medan andra länder inte gör det. Anledning till att den registrerades samtycke inte berättigar en- skilda att behandla personuppgifter om lagöverträdelser i och på olika håll utomlands är förmodligen att det ansetts befogat att statsmakterna fastställer när sådan behandling skall få ske. Bak- grunden till det ställningstagandet är i sin tur troligen att frågan om samtycke ansetts vara särskilt svår att hantera i fråga om person- uppgifter om lagöverträdelser, särskilt i avtalssituationer där sam- tycke skulle kunna ställas upp som förutsättning för sådant som den enskilde är mer eller mindre beroende av, t.ex. anställning, penninglån och hyra av olika saker och nyttigheter. Enskildas behandling av personuppgifter om lagöverträdelser tycke berättiga behandlingen skulle i sådana situationer onekligen sätta press på den enskilde på ett sätt som förmodligen inte bör godtas i alla fall. Det står vidare inte helt klart vad som krävs för att ett samtycke på det sätt som krävs enligt definitionen i 3 § person- uppgiftslagen skall anses vara frivilligt.123 Utredningen delar den bedömning som gjorts i och på flera håll utomlands i frågan om den registrerades samtycke generellt sett bör berättiga till behandling av personuppgifter om lagöverträdelser. Det är alltså inte lämpligt att i personuppgiftsla- gen ta in en generell bestämmelse om att enskilda får behandla så- dana personuppgifter bara för att den registrerade lämnat sitt sam- tycke till det. Frågan om och när samtycke bör berättiga sådan be- handling bör i stället bedömas för de olika konkreta situationer som kan uppkomma antingen inom ramen för de möj- ligheter till normgivning som redan finns enligt personuppgiftsla- gen eller inom ramen för lagstiftningsinitiativ för den aktuella situ- ationen. Utredningen anser mot den redovisade bakgrunden sammanfatt- ningsvis att det inte finns behov av – eller är lämpligt – att i personuppgiftslagen föra in något undantag från förbudet i 21 § som inte redan finns enligt andra föreskrifter. Det gäller också ett undantag om den enskildes samtycke till behandlingen. Utredningen kan slutligen inte se någon direkt fördel med att ta in de föreskrifter om undantag som redan finns direkt i personupp- giftslagen. Det viktiga är att personuppgifter om lagöverträdelser kan behandlas i de fall det är befogat, inte att bestämmelserna om detta finns i just personuppgiftslagen. I Datainspektionens före- skrift finns de undantag samlade som inte har direkt koppling till en särskild registerförfattning. Regleringssättet får anses redan uppfylla rimliga krav på tydlighet och överskådlighet. 123Jämför SOU 1997:39 s. 342. Eftersom det står medlemsstaterna fritt att tillåta enskilda att behandla personuppgifter om lagöverträdelser under de förutsättningar som anses be- fogade, är det dock i och för sig inte helt nödvändigt att för sådan behandling kräva just ett sådant samtycke som avses med den nuvarande definitionen i EG-direktivet och per- sonuppgiftslagen.