sou · GSB36d2 · 2005-01-01 00:00:00 — Rätten för den registrerade att på begäran få ett s.k. registerutdrag med de uppgifter om honom eller henne som en personuppgiftsan- svarig behandlar har funnits . Bestämmelser om rätt till registerutdrag fanns i 10 § datalag och finns i 26 § personuppgiftslagen. Bestämmelser om registerutdrag finns i artikel 12 i EG-direktivet. Rätten att på begäran få ett registerutdrag är givetvis adekvat och grundläggande för de registrerade. Genom den rätten får den regi- strerade möjlighet att kontrollera om han eller hon är registrerad och, om så är fallet, att de registrerade uppgifterna är riktiga. Rät- ten till insyn är vidare en förutsättning för att den registrerade i praktiken skall kunna få felaktiga uppgifter rättade. Å andra sidan kan skyldigheten att lämna registerutdrag vara be- tungande och kostsam för den personuppgiftsansvarige. Det gäller i synnerhet sedan skyldigheten i och med personuppgiftslagen ut- sträckts till att gälla inte bara uppgifter i datoriserade personregis- ter utan även uppgifter i ostrukturerat material i datorer, t.ex. i lö- pande text och i ljud och bild, och strukturerat material på papper. De administrativa och ekonomiska konsekvenserna av rätten till registerutdrag har varit omdiskuterade . Redan i bör- jan gjordes t.ex. vissa ändringar i 10 § datalagen i syfte att få ned kostnaderna för de registeransvariga inom främst det allmänna.124 Det gjordes i 10 § datalagen också undantag för till ar- kivmyndigheter överlämnade arkiv. Det motiverades med att en tillämpning av 10 § datalagen skulle få betydande negativa konse- kvenser för arkivmyndigheternas verksamhet som enskil- 1980/81:20 Bilaga 1 s. 13 ff. da med stöd om offentlighetsprincipen kan få del av sina uppgifter (om de kan precisera sin begäran).125 noterade särskilt svårigheterna att i ostruk- turerat material söka fram alla de uppgifter om en person som en personuppgiftsansvarig behandlar. Kommittén ansåg sig dock med hänsyn till EG-direktivet inte kunna gå längre i fråga om undantag än vad den gjort i fråga om vissa löpande texter (se närmare avsnitt 11.4.1).126 Flera av remissinstanserna noterade att skyldigheterna att informera skulle komma att öka med personuppgiftslagen och poängterade vikten av att skyldigheterna hålls på en rimlig nivå, särskilt när det gäller personuppgifter i löpande text. Regeringen tog fasta på de undantag avseende löpande text som kommittén föreslagit, men gick inte längre.127 har vissa ytterligare un- dantag införts i särskilda registerförfattningar (se närmare avsnitt 11.4.2). Bestämmelserna om registerutdrag har av många tagits upp som ett problem i offentliga utvärdering.128 I Ju- stitiedepartementets skiss till ändringar av EG-direktivet har också rätten till registerutdrag särskilt tagits upp och förslag lämnats om att registerutdrag inte skall behöva lämnas om det visar sig omöjligt eller skulle innebära en oproportionerligt stor ansträngning.129 Lättnader i bestämmelserna om registerutdrag har vidare föreslagits i ett gemensamt förslag till ändringar i EG-direktivet som lagts fram av , , och (se vidare avsnitt 11.2 om förslaget i den delen). Mot den bakgrunden har utredningen ansett det befogat att sär- skilt undersöka om det är möjligt och lämpligt att genom ändring i personuppgiftslagen göra inskränkningar i skyldigheten att lämna registerutdrag. Enligt artikel 12 i EG-direktivet skall medlemsstaterna säkerställa att varje registrerad har rätt att från den personuppgiftsansvarige 1981/82:189 s. 35 ff. 126SOU 1997:39 s. 389 ff. och 313 ff. 1997/98:44 s. 81 ff. 128Ds 2001:27, särskilt s. 75 ff. 129Ds 2001:27 s. 157. utan hinder och med rimliga intervall samt utan större tidsutdräkt eller kostnader få följande information: Bekräftelse på om uppgifter som rör den registrerade behandlas eller inte de berörda uppgiftskategorierna och mottagarna eller de kategorier av mottagare till vilka uppgif- terna utlämnas Begriplig information om vilka uppgifter som behandlas All tillgänglig information om varifrån de behandlade uppgifter- na kommer Kännedom om den logik som används när uppgifter som rör den registrerade behandlas på automatisk väg, åtminstone såvitt avser sådana automatiserade beslut som avses i artikel 15.1 i EG- direktivet I kommissionens förklaring anges bl.a. att det har överlämnats till medlemsstaterna att precisera hur informationen skall lämnas till den registrerade, t.ex. för att underlätta för såväl den registeransva- rige som den registrerade när flera uppgiftsbehandlingar berörs, särskilt när det gäller register.130 Enligt artikel 13.1 får medlemsstaterna genom lagstiftning be- gränsa omfattningen av bl.a. rätten till registerutdrag enligt artikel 12 om en sådan begränsning är en nödvändig åtgärd med hänsyn till bl.a. skydd av den registrerades eller andras fri- och rättigheter (ar- tikel ), se närmare avsnitt 9.2. Enligt artikel 13.2 finns det vissa ytterligare möjligheter till begränsningar av rätten till regis- terutdrag enligt artikel 12. Det gäller dock bara i fråga om uppgifter som endast behandlas för ändamål som har med vetenskaplig forskning att göra och när uppgifterna endast lagras i form av per- sonuppgifter som inte överstiger den tid som är nödvändig för att framställa statistik. , , och har gemensamt föreslagit ändringar i artikel 12; också stöder försla- get. De föreslagna ändringarna innebär att den registrerade skall få bekräftelse på om den personuppgiftsansvarige har lokaliserat upp- gifter om den registrerade och att den personuppgiftsansvarige när han eller hon besvarar en begäran skall göra alla rimliga ansträng- 130 SOU 1993:10 Bilagor s. 182. ningar för att lokalisera uppgifter som rör den registrerade och vid behov be den registrerade om information som gör det möjligt att lokalisera dessa uppgifter. dataskyddskonvention har presenterats i avsnitt 4.2.2 och bilaga 5. Enligt artikel 8 i konventionen skall var och en ha möjlighet att konstatera om det finns ett automatiserat personre- gister (på engelska an automated personal data file), vilka ända- målen är med registret och den registeransvariges identitet. Var och en skall också ha möjlighet att med rimliga intervall och utan orim- lig tidsutdräkt eller kostnad få bekräftelse på om personuppgifter om honom eller henne lagras i det automatiserade registret (på engelska the automated data file) och att få information om så- dana uppgifter i begriplig form. Enligt artikel 9 i konventionen får avvikelser göras från bl.a. arti- kel 8 i konventionen. Sådana avvikelser skall finnas i lag och vara nödvändiga i ett demokratiskt samhälle för att bl.a. skydda den re- gistrerade eller andra personers fri- och rättigheter. Enligt 26 § personuppgiftslagen är den personuppgiftsansvarige skyldig att till var och en som ansöker om det en gång per kalen- derår gratis lämna besked om personuppgifter som rör den sökande behandlas eller inte. Behandlas sådana uppgifter skall skriftlig in- formation – ett s.k. registerutdrag – lämnas också om vilka uppgif- ter om den sökande som behandlas, varifrån dessa uppgifter har hämtats, ändamålen med behandlingen, och till vilka mottagare el- ler kategorier av mottagare som uppgifterna lämnas ut. Registerut- draget skall lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får utdraget dock lämnas senast efter det att ansökan gjordes.131 Det finns ett par undantag i personuppgiftslagen från skyldighe- ten att lämna registerutdrag. Ett sådant utdrag behöver för det första inte omfatta personupp- gifter i löpande text som inte fått sin slutliga utformning när ansö- kan gjordes eller som utgör minnesanteckning eller liknande. Det gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller ve- tenskapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats under läng- re tid än . Utdraget behöver för det andra inte omfatta sådan information som enligt vad som är särskilt föreskrivet i lag eller annan författ- ning eller i beslut som har meddelats med stöd av författning inte får lämnas ut till den registrerade, 27 § personuppgiftslagen. För- fattningsgrundade bestämmelser om sekretess och tystnadsplikt går således före skyldigheten att lämna registerutdrag.132 En person- uppgiftsansvarig som inte är en myndighet får därvid i motsvarande fall som avses i sekretesslagen (1980:100) vägra att lämna ut uppgif- ter till den registrerade. De två nu berörda undantagen har grundats på artikel i EG-direktivet. Att få ha sina ofärdiga alster och minnesanteckningar i fred kan nämligen enligt regeringens mening ses som en sådan fri- och rättighet som enligt artikel 13.1 berättigar till en begränsning av informationsskyldigheten.133 De bestämmel- ser om sekretess och tystnadsplikt som finns i har vidare ansetts vara uppställda till skydd för sådana fri- och rättigheter som avses i EG-direktivet.134 I fråga om personuppgifter i löpande text redovisades i övrigt bl.a. följande överväganden i propositionen med förslag till person- uppgiftslagen:135 131Se beslut av JO , dnr 4388-2001, om myndighets registrering av ansökningar om registerutdrag och avslag på sådana ansökningar samt om utformningen av register- utdrag från myndighet. Se beslut av JO , dnr 2992-2002, om myndighets dröjsmål med att lämna registerutdrag. 132Se om utformningen av en myndighets beslut om att inte lämna ut uppgifter efter en ansökan, beslut av JO , dnr 4388-2001, och Kammarrättens i dom i mål nr 7152-2000 samt jämför prop. 2001/02:191 s. 89 ff., prop. 1997/98:97 s. 68 och RÅ 2000 ref. 15. 1997/98:44 s. 83. 1997/98:44 s. 84. 1997/98:44 s. 82 f. Den nya lagen omfattar till skillnad från den nuvarande datalagen även behandling av personuppgifter som finns i löpande text, t.ex. i ett ord- behandlingsdokument []. Beträffande sådana personuppgifter finns det särskilda svårigheter att söka fram alla uppgifter om en och samma person som behandlas. I vissa fall har en personuppgiftsansvarig så många olika samlingar av personuppgifter och så dåliga sökmöjligheter att det i praktiken är omöjligt att få fram alla uppgifter om den registre- rade som behandlas. Arkivmyndigheterna, som tar emot samlingar av uppgifter med olikartad struktur från många håll, kan vara ett exempel. I EG-direktivet finns det ingen uttrycklig bestämmelse som gör det möjligt att göra undantag från skyldigheten att efter ansökan lämna be- griplig information om vilka uppgifter som behandlas, när det är omöj- ligt eller skulle innebära en oproportionerligt stor ansträngning att söka fram alla uppgifter om en person som behandlas. har berört problemet på följande sätt. EG-direktivet kan inte anses kräva att en persondataansvarig ordnar sina uppgiftssamlingar på ett sådant sätt att det är möjligt att söka fram alla uppgifter om en registrerad som behandlas. Ett införande eller tillåtande av sådana sök- och sammanställningsmöjligheter, som inte behövs av något annat skäl, skulle i själva verket kunna hota den personliga integriteten; det skulle då bli enkelt att kartlägga en per- son. Enligt vår mening är det inte rimligt att utforma informations- skyldigheten på ett sådant sätt att den tvingar fram förfaranden som i själva verket kan hota den personliga integriteten. Den person- dataansvarige bör, som vi ser det, bara vara skyldig att utnyttja alla de sök- och sammanställningsmöjligheter som han eller hon faktiskt och rättsligt har tillgång till för att få fram information att lämna till den registrerade. Därmed garanteras att den registrerade får tillgång till all information som den persondataansvarige faktiskt kan få fram om den registrerade, vilket måste anses tillräckligt; inte ens EG- rätten kan tvinga någon att göra det som i praktiken är omöjligt. Den som har en stor mängd ordbehandlingsdokument och som bara har en funktion för att söka i öppnade dokument kan exempel- vis i praktiken inte få fram alla uppgifter om en person som kan fin- nas i dokumenten. En persondataansvarig med hundratals anställda med persondatorer vilka kan sökas igenom en och en kan inte heller i praktiken söka fram de personuppgifter som kan finnas i alla dato- rerna, om det inte finns några mera centraliserade sökmöjligheter. Möjligheterna att söka bland datorlagrade uppgifter utvecklas dock ständigt, och det finns i standardprogram funktioner för att snabbt söka igenom alla dokument på en hårddisk eller via nät ef- ter viss text, t.ex. ett namn eller personnummer. Med den föreslagna ordningen kommer den registrerades rätt att få information att ut- vidgas i precis samma takt som de persondataansvarigas möjligheter att göra integritetskänsliga sökningar och sammanställningar utveck- las. Det finns inte anledning att driva på utvecklingen och använd- ningen av möjligheterna att göra känsliga sammanställningar. En persondataansvarig som behandlar många personuppgifter i olika konstellationer, exempelvis , kan med den föreslagna ordningen ändå behöva göra stora ansträngningar för att pröva alla sök- och sammanställningsmöjligheter som faktiskt finns. Men den som samlar på sig stora mängder personuppgifter får som regel finna sig i att också behöva göra stora ansträngningar för att kunna tillgodose de registrerades grundläggande rättigheter. Enligt vår mening är det rimligt att utgå från att slutsats att EG-direktivet innebär att den personuppgiftsansvarige bara är skyldig att utnyttja alla de sök- och sammanställningsmöjligheter som han eller hon har tillgång till för att få fram information att lämna till den registrerade är riktig. När det gäller skyldigheten att efter ansö- kan lämna information om bl.a. vilka uppgifter om sökanden som be- handlas, skall bestämmelserna i den nya lagen ha samma innebörd som enligt direktivet och inte gå längre än vad direktivet kräver. I några särskilda registerförfattningar med bestämmelser som avvi- ker från personuppgiftslagen (se 2 § personuppgiftslagen) har det gjorts vissa undantag från skyldigheten enligt personuppgiftslagen att lämna registerutdrag.136 Genom SFS 2001:556 har det införts en bestämmelse i 7 a § ar- kivförordningen (1991:446) om att en arkivmyndighet inte behöver lämna besked och information enligt 26 § personuppgiftslagen när det gäller personuppgifter i arkivmaterial som tagits emot för för- av myndigheten, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Vid elektronisk ärendehantering inom skatt, tull och exekution samt socialförsäkringssystemet har det ansetts möjligt att föreskri- 136Ibland har det också föreskrivits att uppgifter i vissa register inte alls får lämnas ut till den registrerade, se t.ex. 18 § lagen (2002:44) om straff för finansiering av särskilt allvarlig brottslighet i vissa fall, m.m. va att uppgifter i elektroniska handlingar inte behöver tas med i ett registerutdrag enligt 26 § personuppgiftslagen.137 I fråga om elektroniska handlingar hos domstolar har det före- slagits att uppgifter i sådana handlingar som den enskilde tagit del av inte behöver tas med i ett registerutdrag enligt 26 § personupp- giftslagen.138 11.5Genomförandet i andra länder I de flesta genomförandelagstiftningarna finns det exempel på att undantag eller begränsningar gjorts på olika sätt i skyldigheten att lämna registerutdrag. Som exempel kan nämnas följande. Det finns exempel, t.ex. från , och , på att personuppgifter i interna eller preliminära dokument har undanta- gits från rätten till registerutdrag. I har det gjorts ett generellt undantag från rätten till registerutdrag för sådana personuppgifter som den personupp- giftsansvarige inte kan hitta. Undantaget lyder: A data controller is not obliged to comply with a request under this section unless he is supplied with such information as he may reasonably require in order to satisfy himself as to the identity of the person making the request and to locate the information which that person seeks. I genomförandelagstiftningen i har det införts en möj- lighet att genom lag begränsa rätten till registerutdrag när uppgif- terna inte används för att vidta åtgärder eller fatta beslut beträffan- de individer, om det är tydligt att det inte finns någon risk för kränkning av den registrerades grundläggande fri- och rättigheter. I genomförandelagstiftningen i har det införts en skyldighet för den registrerade som ansöker om ett registerutdrag att på begäran samarbeta i rimlig omfattning för att undvika en obefogad eller oproportionerligt stor arbetsinsats för den person- uppgiftsansvarige. 2000/01:33 s. 104 ff., prop. 2000/01:69 s. 26 ff. och prop. 2002/03:135 s. 116 f. 138SOU 2001:100 s. 173 ff. Utredningens förslag: Information enligt 26 § personuppgifts- lagen, i form av ett s.k. registerutdrag, behöver inte lämnas i den utsträckning detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Enligt utredningens mening är rätten att på begäran få ett register- utdrag grundläggande för den registrerade på de skäl som angetts inledningsvis. Det kan därför inte komma i fråga att göra några in- gripande inskränkningar i den rätten. Skyldigheten för den personuppgiftsansvarige att lämna register- utdrag inträder först när den registrerade begär ett sådant utdrag. I enlighet med vad som angetts i de svenska förarbetena (se avsnitt 11.4.1) krävs det i princip inte heller att den personuppgiftsansvari- ge vidtar några förberedande åtgärder innan en begäran framställts; en annan sak är att allmänna administrativa skäl talar för att den personuppgiftsansvarige på förhand utarbetar rutiner för att på ett så effektivt sätt som möjligt kunna uppfylla registerutdragsskyldig- heten, liksom sådana rutiner behövs för ett effektivt uppfyllande av andra skyldigheter i verksamheten. Det är således inte fråga om någon betungande skyldighet i den vardagliga hanteringen av per- sonuppgifter. Det som i stället brukar anföras som särskilt betungande för per- sonuppgiftsansvariga är att i vissa fall söka fram alla de personupp- gifter om den registrerade som behandlas. Det gäller främst när en personuppgiftsansvarig har en större mängd ostrukturerat material, t.ex. i form av löpande text eller ljud- och bildupptagningar, särskilt om materialet finns på olika ställen, t.ex. i hundratals persondato- rer. Men det gäller också när en personuppgiftsansvarig har väldigt många regelrätta register att söka igenom. Utredningen anser att nu nämnda svårigheter är värda att beakta. Om den personuppgiftsansvarige bara efter väldigt stora ansträng- ningar kan få fram uppgifter om en person, är det mindre sannolikt att dessa uppgifter kommer att användas på ett sätt som innebär ett otillbörligt intrång i den personliga integriteten. Det kan i vart fall konstateras att informationsteknikens särskilda möjligheter att ef- fektivt strukturera, söka och sammanställa uppgifter då inte har utnyttjats på ett sätt som innebär särskilda integritetsrisker. Utredningen anser bl.a. därför att det skulle vara befogat och inte innebära någon egentlig och beaktansvärd inskränkning i in- tegritetsskyddet att uttryckligen i personuppgiftslagen ange att skyldigheten att lämna registerutdrag inte gäller i den utsträckning det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats att lämna utdrag. Frågan är om ett sådant uttryck- ligt undantag är förenligt med EG-direktivet. Det kan för det första konstateras att det inte i artikel 12 i EG- direktivet finns någon sådan möjlighet till undantag. En motsva- rande undantagsmöjlighet finns dock i fråga om skyldigheten enligt artikel 11 i EG-direktivet att självmant lämna information i sam- band med att personuppgifter samlas in från någon annan källa än den registrerade själv. Däremot är det enligt artikel i EG- direktivet tillåtet att begränsa omfattningen av rätten till register- utdrag enligt artikel 12 under förutsättning att en sådan begräns- ning är en nödvändig åtgärd med hänsyn till skyddet av den regi- strerades eller andras fri- och rättigheter. Det kan vidare konstateras att många medlemsstater vid genom- förandet av EG-direktivet på olika sätt har gjort en rad undantag eller begränsningar i skyldigheten att lämna registerutdrag (se av- snitt 11.5). Såvitt utredningen kan förstå måste en hel del av dessa undantag och begränsningar grunda sig på bestämmelsen i artikel i EG-direktivet om skydd för andras fri- och rättigheter. Slutligen kan det konstateras att regeringen, genom en ändring i arkivförordningen, för personuppgifter i arkivmaterial hos arkiv- myndigheter redan infört ett sådant uttryckligt undantag som diskuteras (se avsnitt 11.4.2). Såvitt utredningen kan förstå grundar sig det undantaget på bestämmelsen i artikel i EG-direktivet om skydd för andras fri- och rättigheter. Ändringen skulle i så fall också tyda på att det ansetts att även staten och dess myndigheter kan ha sådana fri- och rättigheter som avses i den nämnda artikeln. Mot den bakgrunden anser utredningen att det med fog kan gö- ras gällande att det är en sådan fri- och rättighet som avses i artikel i EG-direktivet att slippa göra en oproportionerligt stor ar- betsinsats. Det bör därför vara möjligt att införa ett uttryckligt un- dantag från registerutdragsskyldigheten för sådant som visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbets- insats. Vad det föreslagna undantaget närmare innebär berörs i författ- ningskommentaren. Enligt utredningsdirektiven skall utredningen analysera vilka regler som bör gälla vid brott mot personuppgiftslagen för straffansvar i subjektivt hänseende – dvs. om oaktsamhet av normalgraden som räcker för straffansvar bör ersättas med ett krav på grov oakt- samhet eller uppsåt – samt om någon förseelse mot personupp- giftslagen helt bör avkriminaliseras, såsom t.ex. vissa överföringar av personuppgifter till tredje land. Enligt artikel 24 i EG-direktivet skall medlemsstaterna anta lämpli- ga bestämmelser för att säkerställa att EG-direktivet genomförs fullständigt. Staterna skall särskilt besluta om de sanktioner som skall användas vid överträdelse av de bestämmelser som har antagits till följd av EG-direktivet. har i sin motivering i domen i det s.k. konfirmandlärarmålet (mål C-101/01) betonat att sanktionsåtgärder alltid måste stå i överensstämmelse med propor- tionalitetsprincipen och att det i enlighet med den principen an- kommer på de nationella domstolarna att beakta alla omständighe- ter, bl.a. överträdelsen av reglerna har pågått och hur viktigt det är för de berörda att de uppgifter som har spritts skyddas. dataskyddskonvention har presenterats i avsnitt 4.2.2 och bilaga 5. Enligt artikel 10 i konventionen åtar sig konventions- staterna att införa lämpliga sanktioner och påföljder för brott mot de nationella föreskrifter som genomför de grundläggande data- skyddsprinciperna i konventionen.139 Enligt 45 § personuppgiftslagen kan Datainspektionen ingripa med vitesföreläggande vid olaglig behandling av personuppgifter. En behandling av personuppgifter i strid med personuppgiftslagen medför också i princip skyldighet att betala s.k. ideellt skadestånd till den registrerade för den kränkning som skett. ansåg mot bakgrund av dessa sanktionsmöj- ligheter att det inte behövdes några särskilda bestämmelser om straff i lagen med hänsyn till EG-direktivet. Kommittén föreslog att bara uppsåtligt eller oaktsamt lämnande av osann uppgift skulle vara straffbart, eftersom det ansågs svårt att stävja sådant på annat sätt än med ett ganska rejält straff.140 Regeringen ansåg att sanktionerna vite och skadestånd fick anses effektiva och i stort sett tillräckliga. Regeringen kom dock fram till att även vissa andra uppsåtliga eller oaktsamma förfaranden än läm- nande av osann uppgift borde kriminaliseras. Underlåtenhet att göra anmälan till tillsynsmyndigheten kriminaliserades, eftersom det ansågs svårt att stävja sådan underlåtenhet med andra medel än ett straffhot.