sou · GSB36 · 2005-01-01 00:00:00 — Utredaren har under hand berett i (LO), (), Aka- demikers (), Tidningsutgivarna och tillfälle att komma in med synpunkter på utkast till tex- ter. Utredaren har haft kontakter med företrädare för de politiska partier som är representerade i och därvid informerat om de förslag som utredningen övervägt och inhämtat partiernas syn- Utredaren har bl.a. informerat om huvuddragen i försla- gen vid ett sammanträde med konstitutionsutskott. Utredaren, som varit placerad på grund- lagsenhet och bl.a. verkat inom EU för att EG-direktivet om per- sonuppgifter2 skall ändras, har följt eller del- tagit i viktigare delar av det löpande arbetet med författningar och internationella kontakter och överenskommelser rörande skydd för personuppgifter. Utredaren har haft kontakter med företrädare för . Utredaren har också, bl.a. via Datainspektionens expert i utred- ningen, hållit sig underrättad om Datainspektionens arbete med att utforma konkret vägledning i fråga om personuppgiftslagen (1998:204). Syftet med personuppgiftslagen är att skydda människor mot att deras personliga integritet kränks genom behandling av personupp- gifter. Betänkandet inleds därför med ett kortare avsnitt om per- sonlig integritet (avsnitt 3). Som underlag för sitt arbete har utredningen bl.a. haft, förutom EG-direktivet om personuppgifter och personuppgiftslagen, ut- vecklingen i rättstillämpningen, resultatet av offentliga utvärdering av EG-direktivet och genomförandet av EG- direktivet i andra länder. EG-direktivet om personuppgifter, som ligger till grund för per- sonuppgiftslagen, finns som bilaga 3. De bestämmelser i direktivet som har betydelse för utredningens överväganden pre- senteras i det avsnitt respektive fråga berörs. En allmän genomgång av bestämmelserna i finns i be- tänkande SOU 1997:39 (avsnitt 3) och kortare presentationer av EG-direktivet finns i flera färska betänkanden med förslag till sär- skilda registerförfattningar, t.ex. avsnitt 2.1 i SOU 2001:100. Det har inte ansetts nödvändigt att upprepa något liknande här. Som bilaga 4 finns det protokoll som fördes inom rådet när den gemen- samma ståndpunkten om EG-direktivet antogs och som innehåller 2Europaparlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT nr L 281, 23.11.1995, s. 31, Celex 395L0046), kallas i det föl- jande bara EG-direktivet. vissa uttalanden som kan vara av betydelse vid tolkningen av EG- direktivet. Personuppgiftslagen finns som bilaga 2. De bestämmelser i lagen som har betydelse för utredningens överväganden presenteras i det avsnitt respektive fråga berörs. Eftersom kortare presentationer av bestämmelserna i personuppgiftslagen finns i flera färska betän- kanden med förslag till särskilda registerförfattningar, t.ex. avsnitt 2.2 i SOU 2001:100, har det inte ansetts nödvändigt med någon motsvarande presentation här. Integritetsskyddet vid användandet av information är berört också i andra internationella instrument än EG- direktivet. Avsnitt 4 innehåller en översikt över de viktigaste av dessa instrument. De viktigaste bestämmelserna i da- taskyddskonvention nr 108, som är bindande för , finns i engelsk version och svensk översättning i bilaga 5. De bestämmel- ser i de internationella instrumenten som har direkt betydelse för utredningens överväganden presenteras i det avsnitt respektive frå- ga berörs. Utredningen har gått igenom och följt utvecklingen i rätts- tillämpningen på området. En redovisning av detta finns i avsnitt 5. Relevant domstolspraxis redovisas också i de avsnitt som berör oli- ka sakfrågor. I avsnitt 14 redogörs särskilt för utredningens över- väganden med anledning av dom i det s.k. konfir- mandlärarmålet. har gjort en offentlig utvärdering av EG- direktivet. En sammanfattning av den utvärderingen finns i avsnitt 6. Utredningen har gått igenom den generella lagstiftning som genomför EG-direktivet i andra länder i EU och EES. Utredningen har därvid noterat att det finns skillnader i genomförandet och att dessa skillnader kan innebära olägenheter för personuppgiftsansva- riga med verksamhet i flera länder eller i en internationell koncern. Det är emellertid inget som man kan råda bot på genom ändringar i bara den svenska personuppgiftslagen, utan ett avhjälpande kräver internationellt samarbete. har i sin rapport3 om genomförandet av EG-direktivet i medlemsstaterna presenterat ett arbetsprogram för ett bättre genomförande av EG- direktivet. innehåller i en bilaga en omfattande redovisning av genomförandet i medlemsstaterna. KOM(2003) 265 slutlig av . redningen har därför inte ansett det meningsfullt att i betänkandet redovisa alla olikheter i genomförandet eller att här försöka lämna en allmän presentation av genomförandet i andra länder. Genomfö- randet i andra länder av relevanta bestämmelser i re- dovisas dock kortfattat i de avsnitt som berör olika sakfrågor. Utredningens huvuduppgift är att se hur långt man inom ramen för EG-direktivet kan gå för att åstadkomma ett regelverk som mera tar sikte på missbruk av personuppgifter än hanteringen av dessa. Utredningens överväganden och förslag i den delen redovisas i avsnitt 7 om personuppgifter som inte ingår i personregister. Utredningen har därutöver enligt utredningsdirektiven vissa sär- skilda uppdrag som redovisas i följande avsnitt. I avsnitt 8 berörs möjligheterna att göra undantag från personuppgiftslagen för så- dant som inte omfattas av EG-direktivet, och i avsnitt 9 berörs möjligheterna att göra undantag från vissa bestämmelser i lagen för bl.a. säkerhet och brottsundersökning m.m. Avsnitt 10 innehåller en redovisning av möjligheterna att genom uttryckliga bestämmel- ser i personuppgiftslagen tillåta att andra än myndigheter behandlar personuppgifter om lagöverträdelser. Frågan om möjligheterna att justera bestämmelserna om registerutdrag, som utredningen funnit anledning att ta upp, berörs i avsnitt 11. Uppdraget att se över om något som är straffbelagt enligt personuppgiftslagen kan av- kriminaliseras redovisas i avsnitt 12. Avsnitt 13 innehåller utred- ningens överväganden och förslag om hur det i personuppgiftsla- gen kan införas ett förtydligande av hur myndighetsbeslut överkla- gas. Avslutningsvis redovisar utredningen i avsnitt 15 uppdraget att förtydliga bestämmelsen i 7 kap. 16 § sekretesslagen (1980:100). Avsnitt 16 innehåller utredningens överväganden i fråga om ikraftträdande av föreslagna lagändringar och övergångsbestämmel- ser till dessa. I avsnitt 17 berörs konsekvenserna av utredningens förslag. I det avslutande avsnittet finns författningskommentarer till ut- redningens förslag till lagändringar. Därefter finns det särskilda yttrande som avgetts. I bilaga 6 finns det en sammanfattning på engelska. 3 Den personliga integriteten Syftet med personuppgiftslagen är att skydda människor mot att deras personliga integritet kränks genom behandling av personupp- gifter (1 §). Den personliga integriteten har uppmärksammats i många statli- ga utredningar och varit föremål för analys även i många andra sammanhang. Det genomgående för dessa överväganden har varit att det alltid visat sig vara svårt att precisera innebörden av begrep- pet personlig integritet.4 Uppfattningen om vad som omfattas av den personliga integrite- ten varierar mellan olika människor. Det beror i hög grad på den enskildes subjektiva uppfattning om vad denne anser ingå i den rent personliga sfären. Den enskildes uppfattning kan i sin tur påverkas av t.ex. politisk eller religiös övertygelse. Dessutom förändras in- ställningen till integritet över tiden. Värderingar påverkas mycket av den tidsålder och det samhälle man lever i. När det gäller uppgif- ter som är personliga kan det också ha betydelse i vilket samman- hang de används om den enskilde uppfattar det som att hans eller hennes integritet har kränkts eller inte. Det finns en allmän uppfattning i samhället att varje person har ett välgrundat anspråk på att andra personer handlar på ett sådant sätt att hans eller hennes personliga integritet respekteras. Oavsett den exakta definitionen av begreppet personlig integritet finns en privat sfär som man inte accepterar intrång i. Skyddet för den per- sonliga integriteten uppfattas också som viktigt av de enskilda människor som är berörda. Man skulle kunna tro att människors 4Redogörelsen i förevarande avsnitt bygger exempelvis på motsvarande redogörelse i SOU 2002:2 s. 138 ff. upplevda obehag av att personuppgifter behandlas i olika samman- hang skulle ha minskat i takt med att användningen av datorer bli- vit vardagsmat och IT-samhället krupit närmare. Emellertid visar de undersökningar som gjorts att många människor är negativa eller åtminstone tveksamma till att deras personuppgifter används utan att de får reda på det och utan att de har någon möjlighet till infly- tande. Människor upplever det som obehagligt att deras person- uppgifter flödar fritt utom deras kontroll, oavsett om uppgifterna i någon mening missbrukas eller om de själva har råkat ut för något negativt på grund av att uppgifterna använts.5 Skyddet för den personliga integriteten anses vidare vara en grundläggande mänsklig rättighet, skyddad genom internationella instrument, nationell lagstiftning, tradition och kultur. Till grund för stadgandet om värnandet av den enskildes privatliv i 1 kap. 2 § tredje stycket regeringsformen ligger uppfattningen att grundsatsen om den enskildes rätt till en fredad sektor är av så vä- sentlig betydelse i en demokratisk stat att den bör komma till all- mänt uttryck i grundlag.6 Det kan dock konstateras att varken svensk lagstiftning eller doktrin innehåller någon enhetlig definition av begreppet personlig integritet. Så används t.ex. i 1 kap. 2 § tredje stycket regeringsfor- men begreppet enskilds privatliv när den grundläggande ambitio- nen för det allmänna att skydda den personliga integriteten slås fast, eftersom det senare begreppet ansågs svårbegripligt och svårt att avgränsa.7 Begreppet finns emellertid i 2 kap. 3 § andra stycket regeringsformen. Oavsett svårigheten att definitivt klarlägga innebörden i begrep- pet personlig integritet måste man på något sätt ta sig an begreppet i alla sammanhang som rör behandling av personuppgifter och till- lämpning av personuppgiftslagen. Det grundläggande syftet med lagstiftningen är skyddet för den personliga integriteten. Man mås- te därför i vart fall ha en föreställning om begreppets innebörd i allmänhet och dess betydelse för den praktiska tillämpningen i det enskilda fallet. Personlig integritet kan vara att slippa få vissa personliga uppgif- ter om sig själv spridda till andra människor. Svårigheten att defini- era begreppet positivt har dock lett till att man i stället försökt att identifiera vad som konstituerar en kränkning av den personliga SOU 1997:39 s. 183 f. Prop. 1975/76:209 s. 131. 1975/76:209 s. 131. En integritetskränkning beskrivs i dessa sammanhang som att förlora kontrollen över sin egen person eller en viss typ av uppgifter om sig själv. När det gäller frågan om vilka förhållanden som generellt sett anses utgöra intrång i annans personliga integritet hänvisas ofta till en av professorn upprättad kränkningskatalog. Som exempel ur denna kan nämnas spridande av förtroliga uppgif- ter, avslöjande inför offentligheten av annans privata förhållanden, utnyttjande av annans namn eller bild och angrepp på annans heder och ära.8 Professorn delar in försöken att precisera innebör- den av begreppet personlig integritet i följande kategorier:9 Den enskilde har en innersta sfär, där förhållanden, egenskaper och handlingar inte bör vara kända av andra än den enskilde själv. Utanför denna innersta sfär finns andra sfärer med gradvis avtag- ande känslighet och med växande anspråk från omvärlden på att information måste vara tillgänglig. Det finns olika kategorier av data som kan känslighetsgraderas. Exempelvis är adressuppgifter, generellt sett, mindre integritets- känsliga än uppgifter om politisk övertygelse. Det finns inga kategorier av data som å priori kan anses okäns- liga från integritetsskyddssynpunkt. Intrångsmöjligheterna hänger helt och hållet samman med i vilken situation uppgifter används, dvs. av vem, för vilket syfte, tillsammans med vilka and- ra uppgifter osv. Data om individen är individens egendom. Han eller hon måste alltid samtycka till att andra får del av dem. Integritetsskyddets kärna består i en rätt att bli lämnad ifred, att själv få avgöra i vilka sammanhang och under vilka förutsättning- ar man träder i förbindelse med omvärlden, framför allt med myndigheter och andra representanter för samhället. Vad som uppfattas som integritetsintrång måste fastställas på statistisk väg. Man måste således hämta vägledning i undersök- SvJT 1971 s. 698 f. , Juridik och IT, 7:e uppl. ningar av det slag som har utförts av . Rätten till personlig integritet är vidare inte absolut, utan från tid till annan föremål för inskränkningar. Skyddet för den personliga integriteten måste avvägas mot andra grundläggande demokratiska rättigheter och värden, t.ex. informationsfriheten och yttrandefri- heten. Man måste också beakta de helt legitima behov som finns att an- vända personanknuten information i ett samhälle av sådan storlek och komplexitet som det vi lever i. Utgångspunkten var i förarbe- tena till datalag att skyddet för den personliga integriteten inte kan sträcka sig längre än vad som är möjligt med hänsyn till de krav samhällsgemenskapen uppställer. Det förutsattes således att en väl fungerande samhällsorganisation alltid kommer att medföra in- trång i enskilda individers personliga integritet. Frågan blir då vad som kan tolereras och vad som går utöver det som är acceptabelt samt vad som är ett otillbörligt intrång i den personliga integriteten och vad som inte är det. Mot bakgrund härav kan man säga att personers integritet kränks i den mån som det sker ett intrång i deras privata sfär och/eller uppgifter om dem, som det finns rimliga skäl att beteckna som in- tegritetskänsliga, sprids. Dessa uppgifter kan gälla personers egen- skaper, uppfattningar eller handlingar. Rättigheten till personlig integritet kan beskrivas som en prima facie-rättighet. Den är en giltig och välgrundad rättighet som dock i en konkret handlingssi- tuation kan sättas ur spel om den kommer i konflikt med någon annan rättighet som väger tyngre.10 3.2Personlig integritet vid automatiserad behandling av personuppgifter Det klassiska målet för integritetsskyddet i samband med automa- tiserad behandling av personuppgifter – att få bli lämnad i fred – har enligt vissa fått ett nytt innehåll genom att datakvalitetsfrågor tagit över. Man framhåller härvid vikten av att behandlade uppgifter 10 SOU 1997:39 s. 796 och 801. är korrekta, att uppgifterna används i rätt sammanhang och endast för berättigade ändamål. Skyddsintresset kan i detta sammanhang anses vara lika viktigt för juridiska personer som för enskilda indi- vider. Fokus är mer inriktat på att informationsbehandlingen håller en hög kvalitet än att individens personuppgifter inte får behandlas. Vissa faktorer har ansetts särskilt viktiga att ta hänsyn till när det gäller att bedöma integritetskänsligheten vid automatiserad be- handling av personuppgifter. Det gäller arten av personuppgifter som samlas in och registreras och varför detta görs, hur och av vem uppgifterna används samt mängden av uppgifter som samlas på ett och samma ställe eller som på något annat sätt är tillgängliga för bearbetningar och sammanställningar. Sådana tankegångar kan sägas ligga till grund för de dataskydds- principer som utarbetats11 och som ligger till grund för hanterings- reglerna i personuppgiftslagen. Att den personliga integriteten skyddas innebär enligt att användningen av personuppgifter regleras och be- gränsas. Enligt dess uppfattning står det klart att en integritets- skyddslagstiftning måste hämma användningen av personuppgifter; ju mera användningen hämmas, desto starkare blir integritetsskyd- det. Vilken reglering och begränsning av användningen av person- uppgifter som är nödvändig för att skydda den personliga integrite- ten ansåg kommittén till stora delar vara en fråga som är beroende av rådande värderingar i samhället. Sådan användning som enligt dessa värderingar framstår som otillbörligt intrång i annans person- liga integritet skall så långt som möjligt förebyggas. När person- uppgifter som är felaktiga eller missvisande används, kan det få svå- ra konsekvenser för såväl enskilda som verksamheten i samhället. Då kan det bli fråga om direkt mätbara fysiska eller ekonomiska skador, t.ex. när fel person sätts i fängelse eller fel ben amputeras. Att användningen av personuppgifter leder till sådana skador kan givetvis aldrig accepteras; det är därför ett oeftergivligt krav att de uppgifter som används är riktiga och inte missvisande. när och hur i och för sig korrekta personuppgifter används – utgör regleringen av integritetsskyddet en värderingsfråga.12 Per- sonuppgiftslagen skall alltså utgöra den reglering och begränsning av användningen av personuppgifter som enligt rådande värderingar i samhället är nödvändig för att skydda den personliga integriteten. 11Se om dessa principer avsnitt 4. 12SOU 1997:39 s. 180 f. Värderingarna i samhället påverkas bl.a. av hur informationstek- niken uppfattas och används. Detta är emellertid ett dynamiskt område där utvecklingen går snabbt. Man kan dock urskilja åtmin- stone fem aspekter när det gäller hur informationstekniken uppfat- tas och används: automation, informationshantering, kommunika- tion, vardagsteknik och konvergens.13 I datorernas barndom var det automation som stod i fokus. De nya maskinerna utgjorde ett effektivt alternativ till hanter- ing av t.ex. beräkningar, eftersom de kunde automatiserat bearbeta information på ett strukturerat sätt. I takt med att tekniken för att lagra och återhämta information i datorläsbart format förbättrades ökade intresset för informations- hantering. Man kunde nu ha enorma mängder information tillgäng- lig för datorbehandling, och med rätt struktur och teknik kunde man också lätt finna relevant information. Ungefär i detta skede – när myndigheter och andra stora organi- sationer kunde både ha informationen lättillgänglig och bearbeta den automatiserat – ökade oron för intrång i den personliga integri- teten och utarbetades som ett svar de s.k. dataskyddsprinciper som ligger bakom EG-direktivet. Men utvecklingen av informationstekniken och synen på och an- vändningen av den stannade inte där. Datorer, och därmed tekniken att enkelt lagra och bearbeta in- formation, har för det första blivit ett vardagligt arbetsredskap och var mans egendom, en vardagsteknik. har för det andra kommunikation alltmer betonats. Internationella datakommunikationsnätverk, såsom Internet, har utvecklats och fått ett enormt genomslag hos organisationer och enskilda. Dessa nätverk kan användas inte bara för att kommunice- ra enskilt med anslutna användare utan också som ett lättillgängligt massmedium där vem som helst kan publicera information. Där- med har den grundläggande konflikten mellan integritetsskydd och yttrande- och informationsfrihet blivit akut. Det faktum att så många datorer är sammankopplade i världsomspännande nätverk gör också säkerhetsfrågor akuta. För det tredje har ett fenomen som brukar benämnas konvergens uppmärksammats . Olika former av informationsteknik smälter samman alltmer – datorkommunikation, telefon, radio och television m.m. – och informationstekniken kommer in på allt fler 13Indelningen och begreppsbildningen i denna del har inspirerats av en artikel av i SOU 2002:112 s. 21–32. områden i vårt vardagsliv – positionsbestämning av vardagsföremål såsom fordon och telefoner, intelligenta kylskåp eller hela hem, inpasseringssystem m.m. Den alltmer utbredda och sammansmälta användningen av informationsteknik i vardagslivet, särskilt i kom- bination med lagring, bearbetning och kommunikation av den in- formation som framkommer, har inneburit nya möjligheter att kartlägga individer på ett ibland osynligt sätt. Kommunikation i nätverk förutsätter vidare oftast att de datorer som är sändare och mottagare är identifierade på något sätt, t.ex. genom s.k. IP- nummer, vilket gör att kommunikationen i sig kan ge upphov till nya former av personanknuten information som kan sparas och användas för att kartlägga individer. Enligt utredningsdirektiven skall utredningen närmare analysera förutsättningarna – inom ramen för EG-direktivet – för en regler- ing som tar sikte på missbruk av personuppgifter snarare än varje slags hantering av sådana uppgifter. Syftet skall i första hand vara att underlätta vardaglig hantering av personuppgifter och opinions- bildning samt kommunikation som enskilda ges ett ef- fektivt skydd mot missbruk av uppgifterna och andra obefogade intrång i den personliga integriteten. Regleringen skall liksom hit- tills vara teknikoberoende. I den utsträckning det med hänsyn till EG-direktivet är möjligt med lättnader i hanteringsreglerna skall utredningen föreslå de bestämmelser som är nödvändiga för att förhindra missbruk av personuppgifter och andra obefogade in- trång i den personliga integriteten. Skillnaden mellan lagstiftning efter en hanteringsmodell respektive en missbruksmodell beskrivs i avsnitt 7.2. Utgångspunkten är alltså att hanteringsreglerna till skydd för den personliga integriteten vid behandling av personuppgifter om möjligt skall lättas upp. Rådande värderingar i samhället får anses ge vid handen att dessa hanteringsregler i många fall upplevs som alltför restriktiva och byråkratiska i förhållande till det integritets- skydd ett upprätthållande av reglerna kan ge. Detta stöds av Justi- tiedepartementets offentliga utvärdering av reglerna (EG-direktivet om personuppgifter – En offentlig utvärdering, Ds 2001:27; i fort- sättningen benämnd offentliga utvärdering). Hanteringsreglerna i personuppgiftslagen tar främst sikte på auto- matiserad behandling av personuppgifter i datorer. Man kanske kan säga att i takt med att datorer blivit tillgängliga för envar och dator- användning blivit en vardaglig sak, har hanteringsreglerna kommit att framstå som alltmer otidsenliga. När reglerna skall tillämpas inte bara av regelrätta registerförare och deras specialise- rade medhjälpare utan också av så gott som varje anställd och egen- företagare, är det naturligt att söka efter enklare regler som på ett mer konkret sätt skyddar den personliga integriteten. Det må vara svårt att förstå varför något så vardagligt som nor- mal datoranvändning skall vara underkastat särskilda regler som upplevs som byråkratiska och inte påtagligt kopplade till integri- tetsskyddet. Det är dock inte utredningens uppfattning att intres- set i samhället för ett starkt integritetsskydd i sig minskat utan det finns som utredningen ser det en större förståelse och ett större intresse för generellt verkande och teknikoberoende regler som mera direkt och konkret skyddar den personliga integriteten. Re- geringen avser exempelvis, såsom framgår av utredningsdirektiven, att tillsätta en särskild kommitté med uppdrag att göra en bred kartläggning avseende skyddet för den personliga integriteten i det moderna samhället.14 har också av regeringen beställt en analys av om det frivilliga grundlagsskyddet för t.ex. hemsidor på Internet kan komma i konflikt med bestämmelserna med syfte att skydda den personliga integriteten och, om så behövs, förslag till ändrad lagstiftning.15 Det är utredningens uppfattning att sådana generellt verkande och teknikoberoende regler till direkt skydd för den personliga in- tegriteten, som skall analyseras i särskild ordning, ofta är att fö- redra framför sådana hanteringsregler som finns i personuppgifts- lagen när det gäller alldaglig datoranvändning.