sou · GSB36 · 2005-01-01 00:00:00 — Men hittillsvarande rättspraxis om tolkningen av EG-direktivet visar det är svårt att finna någon håll- punkt för att avskära något från EG-direktivets tillämpningsområ- de. I de två mål som prövats av kom generaladvoka- ten i sina förslag till avgöranden till slutsatsen att de i målen aktuel- la förfarandena inte omfattades av EG-direktivet, men EG- domstolen gjorde motsatt bedömning. Utredningens slutsats är därför att det inte finns skäl att göra något undantag från personuppgiftslagen för sådant som avses i artikel 3.2 första strecksatsen. 9 Undantag enligt artikel 13 Enligt utredningsdirektiven skall utredningen överväga om de un- dantagsmöjligheter för bl.a. säkerhet och brottsundersökning m.m. som finns enligt artikel 13 i EG-direktivet bör tas in direkt i per- sonuppgiftslagen. I artikel 13.1 i EG-direktivet finns det bestämmelser om att med- lemsstaterna genom lagstiftning får begränsa omfattningen av vissa skyldigheter och rättigheter som följer av EG-direktivet. Det gäller de skyldigheter och rättigheter som anges i artikel 6.1, 10, 11.1, 12 och 21, dvs. de grundläggande kraven på behandlingen av personuppgifter (artikel 6.1, som motsvaras av 9 § personuppgiftslagen) skyldigheten att informera den registrerade (artikel 10 och 11.1, som motsvaras av 23–25 §§ personuppgiftslagen) rätten att på begäran få tillgång till uppgifterna och rättelse (arti- kel 12, som motsvaras av 26 och 28 §§ samt 29 § andra stycket personuppgiftslagen) reglerna om ett offentligt register över anmälda behandlingar och skyldigheten att hålla information om andra behandlingar till- gänglig (artikel 21, som motsvaras av 42 § personuppgiftslagen och 7 § personuppgiftsförordningen) En sådan begränsning måste vara en nödvändig åtgärd med hänsyn till a) statens säkerhet, Undantag enligt artikel 13 b)försvaret, c)allmän säkerhet, d)förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för lagre- glerade yrken, e)ett viktigt ekonomiskt eller finansiellt intresse hos en medlems- stat eller hos Europeiska unionen, inklusive monetära frågor, budgetfrågor och skattefrågor, f)en tillsyns-, inspektions- eller regleringsfunktion som, även om den är av övergående karaktär, är förbunden med myndighetsut- övning i de under punkterna c), d) och e) nämnda fallen, g)skydd av den registrerades eller andras fri- och rättigheter. En del av de intressen som sålunda nämns i artikeln torde avse så- dan verksamhet som faller utanför gemenskapsrätten och därmed inte omfattas av EG-direktivet (jämför avsnitt 8). Personuppgifter som behandlas i verksamheter som omfattas av gemenskapsrätten och därmed av EG-direktivet kan dock t.ex. behöva lämnas ut för att användas i verksamhet som faller utanför gemenskapsrätten. Artikel 13.1 ger i detta fall stöd för att begränsa användningen av vissa bestämmelser i för de verksamheter som i och för sig omfattas av EG-direktivet i syfte att underlätta för verk- samhet som inte omfattas av gemenskapsrätten. Av mötesprotokollet (bilaga 4) framgår att rådet och kommis- sionen anser att sådana rättigheter som att utföra behandling av personuppgifter inte avses med hänvisningen till andras fri- och rättigheter i artikel . I ingresspunkt 44 framhålls att medlemsstaterna för att uppfylla vissa av målsättningarna kan tvingas att avvika från vissa bestäm- melser i direktivet på grund av bestämmelser i gemenskapsrätten. Som exempel på en begränsning med hänsyn till intresset hos den registrerade eller andras fri- och rättigheter (punkt g ovan) anges i ingresspunkt 42 att det kan beslutas att den registrerade har rätt att få tillgång till uppgifter av medicinsk art bara genom förmedling av någon som är yrkesmässigt verksam inom hälso- och sjukvården. I kommissionens förklaring89 anges bestämmelser om övervak- ning av banker och om penningtvätt som exempel på fall då med- lemsstaterna på grund av gemenskapsrätten kan vara tvungna att föreskriva begränsningar. Begreppet statens säkerhet omfattar skydd 89 SOU 1993:10 Bilagor s. 183 f. Undantag enligt artikel 13 av den nationella suveräniteten mot såväl interna som externa hot. Bestämmelsen om ekonomiska eller finansiella intressen hänför sig till alla åtgärder inom den ekonomiska politiken och åtgärder för att finansiera medlemsstaternas eller Europeiska unionens politik, såsom kontroll vid valutaväxling, kontroll av utrikeshandel och uppbörd av skatt. När det gäller skyddet av fri- och rättigheter talas det om företagshemligheter, reglerna om den sekretess under vil- ken advokater och utövare av sjukvård arbetar, rätten att förbereda sig inför en rättegång samt mänskliga rättigheter. Det talas vidare om begränsningar av rätten till tillgång till uppgifter som männi- skorättsorganisationer innehar i de fall där en obegränsad tillgång skulle kunna utsätta andra för fara – t.ex. de personer som i förtro- ende har lämnat uppgifterna – eller riskera de överordnade intres- sen som finns hos sådana organisationer. Regeringen och Lagrådet har ansett att det är osäkert om yttran- defriheten omfattas av de fri- och rättigheter som avses i artikel , eftersom det finns ett särskilt undantag för yttrandefriheten i artikel 9.90 Regeringen har vidare ansett att rätten för var och en att med stöd av den grundlagsfästa offentlighetsprincipen få ta del av all- männa handlingar som inte är sekretessbelagda är en sådan rättighet som kan göra det befogat med undantag enligt artikel 13.1 g.91 dataskyddskonvention har presenterats i avsnitt 4.2.2 och bilaga 5. Enligt artikel 9 i konventionen får avvikelser göras från vissa viktiga bestämmelser i konventionen. För sådana avvikel- ser krävs dock att avvikelserna har stöd i nationell lagstiftning, och att de utgör en nödvändig åtgärd i ett demokratiskt samhälle för att skydda statens säkerhet, allmän säkerhet, statens monetära in- tressen, eller undertrycka brottsliga åtgärder, eller 1997/98:44 s. 49 och 236. Se också SOU 2001:28 s. 273. 1997/98:44 s. 45. Undantag enligt artikel 13 skydda den registrerade eller andra personers fri- och rättighe- ter.92 Vissa avvikelser får också göras i fråga om personregister för stati- stikändamål eller vetenskapliga forskningsändamål. Något generellt undantag som motsvarar det som är tillåtet att göra enligt artikel 13 i EG-direktivet har inte tagits in i personuppgifts- lagen, och frågan om att ta in ett sådant undantag har inte heller diskuterats i förarbetena. Däremot har artikel 13 åberopats som grund för att ta in ett par specifika undantag eller motsvarande i lagen. Det gäller dels definitionen av blockering, dels undantag från skyldigheten att lämna registrerade information. Enligt artikel 12 b i EG-direktivet skall den registrerade i vissa fall ha rätt att få uppgifter blockerade. Blockering har ansetts inne- bära att de blockerade uppgifterna inte skall lämnas ut till tredje man. Genom definitionen av begreppet blockering i 3 § person- uppgiftslagen har det i praktiken införts ett undantag för sådant utlämnande av blockerade uppgifter som sker med stöd av offent- lighetsprincipen i 2 kap. tryckfrihetsförordningen. Som stöd för detta undantag har artikel åberopats.93 Enligt artikel 12 a i EG-direktivet skall en registrerad ha rätt att få begriplig information om vilka uppgifter som behandlas (ett s.k. registerutdrag). Enligt 26 § tredje stycket personuppgiftslagen gäll- er dock undantag för personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör min- nesanteckning eller liknande. Att få ha sina ofärdiga alster och minnesanteckningar i fred kan nämligen enligt regeringen anses som en sådan fri- och rättighet som enligt artikel 13.1 i EG-direktivet berättigar till en begränsning av informations- skyldigheten.94 92På engelska Derogation from the provisions of Articles 5, 6 and 8 of this convention shall be allowed when such derogation is provided for by the law of the Party and consti- tutes a necessary measure in a democratic society in the interest of: a. protecting State se- curity, public safety, the monetary interests of the State or the suppression of criminal offences; b. protecting the data subject or the rights and freedoms of others. 1997/98:44 s. 47. 1997/98:44 s. 83. Undantag enligt artikel 13 Enligt artikel 10 och 11 i EG-direktivet skall viss information också lämnas självmant till de registrerade. Enligt 27 § personupp- giftslagen gäller dock vissa undantag från den informationsskyldig- heten och från rätten till registerutdrag vid sekretess och tystnads- plikt, varvid anmärkts att undantag får göras enligt artikel 13 i EG- direktivet med hänsyn till skyddet av den registrerades eller andras fri- och rättigheter.95 Undantag gäller i den utsträckning det är sär- skilt föreskrivet att uppgifter inte får lämnas ut till den registrerade. Därvid får en personuppgiftsansvarig som inte är myndighet i mot- svarande fall som avses i sekretesslagen (1980:100) vägra lämna ut uppgifter till den registrerade. 9.5Genomförandet i andra länder Det vanliga verkar vara att medlemsstaterna i sin genomförandelag- stiftning har tagit in bestämmelser om undantag från informations- skyldighet som mer eller mindre motsvarar de fall som räknas upp i artikel 13 i EG-direktivet. krävs det – såsom i och – att den personuppgiftsansvarige har ett tillstånd från dataskyddsmyndigheten för att låta bli att lämna information. Det är mera ovanligt att ett generellt undantag från de grundläggande kraven för behandling av personuppgifter eller rättelseskyldigheten har gjorts i genomförandelagstiftningen för de fall som räknas upp i artikel 13. och verkar ha ganska ge- nerella undantag. Utredningens förslag: Regeringen och den myndighet som reger- ingen bestämmer bemyndigas att meddela föreskrifter eller beslut i enskilda fall om sådana undantag som är tillåtna enligt artikel 13.1 i EG-direktivet. Artikel 13.1 i EG-direktivet ger i stora drag möjlighet till undantag från vissa bestämmelser när det är nödvändigt med hänsyn till full- görandet av viktiga samhälls- eller myndighetsfunktioner (punkt a– f). Dessutom finns det enligt artikel 13.1 möjlighet att göra undan- 1997/98:44 s. 84 f. Undantag enligt artikel 13 tag enligt en mycket generell bestämmelse om skyddet av fri- och rättigheter (punkt g). Enligt utredningens mening är bestämmelserna om undantag från viktiga integritetsskyddsregler i artikel 13.1 alltför generella och vaga för att lämpligen kunna direkt tas in i personuppgiftsla- gen. Att låta alla personuppgiftsansvariga med ledning av bara de generella bestämmelserna i artikel 13.1 själva bedöma om det är be- fogat med ett undantag i ett konkret fall, skulle kunna leda till rättsosäkerhet och risk för integritetskränkningar. Det skulle å andra sidan också kunna leda till att personuppgiftsansvariga, t.ex. av rädsla för att göra fel, inte utnyttjar de generella undantagsbe- stämmelserna i tillräcklig utsträckning för att viktiga samhälls- och myndighetsfunktioner och skyddet för fri- och rättigheter skall fungera tillfredsställande. Det är därför bättre för både integritets- skyddet och skyddet av de intressen som avses i artikel 13.1 med mera preciserade regler än att låta personuppgiftsansvariga själva på ett riktigt sätt försöka tillämpa de generella regler som finns i den artikeln. Om det verkligen är nödvändigt för att viktiga samhälls- och myndighetsfunktioner skall fungera eller för skyddet för fri- och rättigheter att vissa regler i personuppgiftslagen inte tillämpas, bör det vidare normalt inte vara upp till varje personuppgiftsansvarig att bedöma om så skall ske. Utredningen anser därför att sådana undantag som är tillåtna enligt artikel 13.1 normalt bör utformas som skyldigheter för personuppgiftsansvariga och inte som regler som bara ger denne möjlighet att, om han eller hon så skulle önska, göra undantag. Att i någon större utsträckning ta in bestämmelser i personuppgiftslagen om sådana skyldigheter, som grundar sig på andra intressen än integritetsskyddet, skulle strida mot systemati- ken i och syftet med personuppgiftslagen. Syftet med den lagen är ju att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter (1 §). I särlagstiftning med bestämmelser som avviker från personupp- giftslagen (se 2 §) kan det alltid på speciella områden tas in precise- rade bestämmelser med undantag som baserar sig på artikel 13.1. Det kan t.ex. gälla bestämmelser om uppgiftsskyldighet till myn- digheter som skall gälla oavsett vilket ändamål den personuppgifts- ansvarige ursprungligen bestämt för sin behandling av personupp- gifterna och oavsett den s.k. finalitetsprincipen i 9 § första stycket d personuppgiftslagen. De samhälls- och myndighetsfunktioner som avses i artikel 13.1 är normalt författningsreglerade, och även beträffande skyddet av Undantag enligt artikel 13 fri- och rättigheter finns det ofta lagstiftning. Utredningen anser att det är bäst att mer konkreta bestämmelser som grundar sig på möjligheterna till undantag enligt artikel 13.1 tas in i sådana för- fattningar. Det ger den bästa garantin för en välgrundad och rimlig avvägning i den aktuella situationen mellan integritetsskyddet och andra intressen. Det framstår också som ogörligt att inom utred- ningens ram framleta och analysera alla konkreta intressen och si- tuationer som gör det befogat med särregler som grundar sig på artikel 13.1. Utredningen anser således att den nuvarande lagstiftningssyste- matiken – där undantagsbestämmelser som stöder sig på artikel 13.1 normalt finns inte i personuppgiftslagen utan i särlagstiftning med avvikande bestämmelser – är ändamålsenlig och bör bestå. Vad som kan behövas i personuppgiftslagen är däremot ett slags säkerhetsventil som t.ex. i brådskande fall ger möjlighet att tillska- pa befogade undantag baserade på artikel 13.1. Det kan nämligen hända att det upptäcks fall, som är svåra att överblicka på förhand, där det är befogat att personuppgiftsansvariga får göra undantag i en viss situation eller där någon personuppgiftsansvarig upptäcker att det i ett enskilt fall behövs ett undantag för att t.ex. skydda nå- gons fri- och rättigheter. För dessa fall kan det behövas en möjlig- het enligt personuppgiftslagen att tillåta undantag, t.ex. i avvaktan på att särlagstiftning hinner utarbetas eller ändras. Utredningen föreslår därför att regeringen uttryckligen bemyndigas att meddela generella föreskrifter eller beslut i enskilda fall om sådana undantag som är tillåtna enligt artikel 13.1 i EG-direktivet. Bemyndigandet bör också omfatta en möjlighet för regeringen att genom vidare delegation bestämma att en myndighet – utredningen tänker här i första hand på Datainspektionen – får meddela sådana föreskrifter och beslut, varvid det givetvis bör övervägas om sådan vidare dele- gation till myndighet är lämplig. Kravet enligt , dataskydds- konvention och EG-direktivet på lagstiftning för avvikelser får an- ses uppfyllt genom det föreslagna bemyndigandet, även om det är fråga om just ett lagfäst bemyndigande som ger regeringen eller underlydande myndighet möjlighet att inom vissa ramar meddela föreskrifter och beslut i enskilda fall om undantag. Frågan om det med hänsyn till regeringsformen är möjligt att ge sådana normgivningsbemyndiganden för regeringen och underly- dande myndigheter på personuppgiftslagens område har varit om- Undantag enligt artikel 13 diskuterad.96 Såväl regeringen som har dock – till skillnad från Lagrådet – ansett att bestämmelserna i personuppgiftslagen är sådana i grunden offentligrättsliga föreskrifter som gör det möjligt med normgivningsbemyndiganden, och regeringsformen har till och med ändrats i enlighet med den bedömningen. Utredningen ser inte anledning att göra någon annan bedömning, utan finner att även det föreslagna, ytterligare bemyndigandet i personuppgiftsla- gen är förenligt med regeringsformen. 96 Se prop. 1997/98:44 s. 58 ff. och 237 ff. samt KU 1997/98:18 s. 41 ff. 10Enskildas behandling av personuppgifter om lagöverträdelser Enligt utredningsdirektiven skall utredningen analysera om möjlig- heten enligt artikel 8.5 i EG-direktivet att tillåta att andra än myn- digheter behandlar personuppgifter om lagöverträdelser m.m. bör utnyttjas genom uttryckliga bestämmelser direkt i personuppgifts- lagen. Utredningen skall särskilt överväga om den registrerades samtycke bör göra behandling av personuppgifter om lagöverträ- delser m.m. tillåten. Därvid skall utredningen beakta behovet av skydd för den registrerade i de fall där den enskilde kan befinna sig i ett underläge såsom bl.a. vid upptagande av kredit och sökande av anställning. I artikel 8.5 i EG-direktivet finns det särskilda regler rörande be- handling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder. Behandling av personuppgifter om lagöverträ- delser, brottmålsdomar eller säkerhetsåtgärder får utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de avvikelser som medlems- staterna kan tillåta med stöd av nationella bestämmelser som inne- håller lämpliga och specifika skyddsåtgärder. Ett fullständigt regis- ter över brottmålsdomar får dock föras endast under kontroll av en myndighet. Det är tillåtet för medlemsstaterna att föreskriva att Enskildas behandling av personuppgifter om lagöverträdelser uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också skall behandlas under kontroll av en myndighet. De nationella bestämmelser som medlemsstaterna beslutar enligt artikel 8.5 i EG-direktivet torde – enligt artikel 8.6 – behöva anmä- las till kommissionen. Det har ansetts att artikel 8.5 i EG-direktivet innebär att det får finnas nationella bestämmelser som tillåter enskilda att utan myn- dighetskontroll behandla personuppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder (så länge det inte är fråga om ett fullständigt register över brottmålsdomar) under förutsätt- ning att det också finns bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Även när det finns nationella bestämmel- ser som tillåter enskilda att behandla personuppgifter om lagöver- trädelser, brottmålsdomar eller säkerhetsåtgärder, måste behand- lingen följa övriga bestämmelser i , t.ex. om när be- handling av personuppgifter över huvud taget är tillåten (artikel 7) och om när personuppgifter får överföras till tredje land (artikel 25 och 26). dataskyddskonvention har presenterats i avsnitt 4.2.2 och bilaga 5. Enligt artikel 6 i konventionen får personuppgifter som hänför sig till att någon dömts för brott97 inte undergå auto- matisk databehandling, såvida inte nationell lag ger ett ändamålsen- ligt skydd98. 97På engelska personal data relating to criminal convictions. I förklaringen till rekom- mendationen (Explanatory Memorandum) anges (punkt 47): By criminal convictions in the sense of this article should be understood: convictions based on criminal law and in the framework of a criminal procedure. 98På engelska unless domestic law provides appropriate safeguards. Enskildas behandling av personuppgifter om lagöverträdelser Till dataskyddskonvention anknyter en rad oförbin- dande rekommendationer. Ett par av dessa berör särskilt behand- ling av personuppgifter om att någon dömts för brott. I rekommendation R (90) 19 om behandling av personuppgifter för betalning99 finns det en bestämmelse (punkt 3.8) om att behandling av personuppgifter som hänför sig till att någon dömts för brott bara får ske när uppgifterna är av sådan na- tur att de är klart befogade att använda för att avgöra om individen är lämplig för att motta eller fortsätta att använda ett betalnings- medel och under förutsättning att individen har lämnat sitt uttryckliga och informerade samtycke eller att behandlingen sker i enlighet med skyddsåtgärder som är föreskrivna i nationell lag.100 I rekommendation R (89) 2 om skydd för person- uppgifter som används för ändamål som rör anställning101 finns det en bestämmelse (punkt 10.1) om att sådana personuppgifter bara bör samlas in och lagras i särskilda fall inom de gränser som sätts av nationell lag och i enlighet med de ändamålsenliga skyddsåtgärder som finns i den lagstiftningen. Saknas sådana skyddsåtgärder, bör sådana uppgifter bara samlas in och lagras med arbetstagarnas ut- tryckliga och informerade samtycke.102 I Internationella arbetsorganisationens () oförbindande rikt- linjer 1996 om skydd för arbetares personuppgifter finns det en bestämmelse (punkt 6.5) om att en arbetsgivare inte bör samla in personuppgifter om att en arbetare dömts för brott. R (90) 19 on the protection of personal data used for payment and other related operations. 100På engelska The processing of personal data relating to the criminal convictions of an individual should only be carried out where the data are of such a nature that they are clearly justified for determining the suitability of that individual for receipt or continued use of a means of payment, and provided the individual has given his express and in- formed consent or the processing is in accordance with safeguards laid down by domestic law. 101Recommendation R (89) 2 on the protection of personal data used for employment pur- poses. 102På engelska Personal data relating to [] criminal convictions [], should only be collected and stored in particular cases within the limits laid down by domestic law and in accordance with appropriate safeguards provided therein. In the absence of such safe- guards, such data should only be collected and stored with the express and informed con- sent of the employees. Enskildas behandling av personuppgifter om lagöverträdelser omständigheter får en arbetsgivare dock samla in sådana uppgifter, om uppgifterna är direkt relevanta för ett beslut som rör anställning och i enlighet med nationell lagstiftning.103 I 21 § första stycket personuppgiftslagen har det tagits in ett prin- cipiellt förbud för andra än myndigheter104 att behandla personupp- gifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövan- den (i det följande personuppgifter om lagöverträdelser). Från det förbudet för enskilda, dvs. andra än myndigheter, kan enligt andra och tredje styckena i paragrafen göras undantag genom antingen generella föreskrifter eller beslut i enskilda fall, beslutade av reger- ingen eller, efter vidare delegation, av myndighet. Förbudet kan däremot inte upphävas med den registrerades sam- tycke. Ett samtycke till en viss behandling eller till och med ett samtycke till att för visst ändamål behandla just personuppgifter om lagöverträdelser berättigar således inte enskilda att behandla sådana personuppgifter. Att behandla personuppgifter i strid med 21 § personuppgiftsla- gen är straffbart, se 49 § första stycket b105, och kan föranleda ska- deståndsansvar, se 48 §, och ingripanden från Datainspektionen. I förarbetena106 anfördes att personuppgifter om lagöverträdelser otvivelaktigt är av så känslig natur att vem som helst inte bör få hantera uppgifterna hur som helst. Det stod dock klart att myndig- heter ofta behöver hantera just sådana uppgifter för att kunna full- göra de samhällsuppdrag som lagts på dem. I vilken utsträckning myndigheter får hantera sådana uppgifter framgår av de föreskrifter 103På engelska In exceptional circumstances, an employer may collect [such data], if the data are directly relevant to an employment decision and in conformity with national Legislation. Jämför också punkt 6.8 om möjligheten för arbetaren att lämna felaktiga el- ler ofullständiga svar på frågor om bl.a. brottmålsdomar. 104Uttrycket myndighet är avsett att ha samma innebörd som motsvarande uttryck i arti- kel 8.5 första stycket i EG-direktivet, se prop. 1997/98:44 s. 129. 105I tingsrätts dom I mål nr B 3915-00 har en person dömts till dagsböter för bl.a. detta, se avsnitt 5.2.1. 1997/98:44 s. 75 f.