sou · GSB36 · 2005-01-01 00:00:00 — Samma bekräftelse återfinns i de undantag som anges i artikel 3.2 i direktivet, särskilt de som avser sådan behand- ling av personuppgifter som utgör ett led i sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen el- Sådant som inte omfattas av EG-direktivet ler som sker som ett led i verksamhet av rent privat natur eller som har samband med [en fysisk persons] hushåll. Dessa undantag skulle näm- ligen i vart fall inte ha denna ordalydelse om det nämnda direktivet en- dast var tillämpligt på situationer där det föreligger ett tillräckligt sam- band med utövandet av de fria rörligheterna. 44 Detsamma kan påpekas beträffande de undantag som anges i arti- kel 8.2 i direktiv /46, vilka avser behandling av särskilda kategorier av uppgifter, bland annat dem som föreskrivs i artikel 8.2 d, som avser be- handling som utförs hos en stiftelse, en förening eller ett annat icke vinstdrivande organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte. 45 Det skall slutligen understrykas att den behandling av person- uppgifter som är i fråga i målen vid de nationella domstolarna inte om- fattas av det undantag som avses i artikel 3.2 första strecksatsen i direk- tiv 95/46. Denna behandling sker nämligen inte som ett led i en verk- samhet som inte omfattas av gemenskapsrätten, exempelvis sådan verk- samhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen. Inte heller är det fråga om en behandling som rör allmän sä- kerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. 46 De syften som anges i artiklarna 7 c och e och 13 e och f i direktiv /46 vittnar under alla omständigheter om att direktivet är ämnat att omfatta sådan behandling av uppgifter som den som är i fråga i målen vid de nationella domstolarna. 47 Domstolen finner således att direktiv /46 är tillämpligt på så- dan behandling av personuppgifter som föreskrivs i sådana bestämmel- ser som dem som är i fråga i målen vid den nationella domstolen. I det andra målet – dom i det s.k. konfirmandlärarmålet (mål C-101/01) – kom domstolen till slutsatsen att omnämnandet av olika personer på en hemsida på Internet inte omfattas av något av de undantag som nämns i artikel 3.2 i EG-direktivet. I sin motivering uttalade domstolen: 37 I artikel 3.2 i direktiv /46 återfinns två undantag från direktivets tillämpningsområde. 38 Det första undantaget avser sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskapsrät- ten, exempelvis sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen, och inte under några omständighe- ter behandlingar som rör allmän säkerhet, försvar, statens säkerhet (in- begripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrät- tens område. Sådant som inte omfattas av EG-direktivet 39 Då [konfirmandlärarens] i målet vid den nationella domstolen ak- tuella verksamhet väsentligen inte är ekonomisk, utan ideell och reli- giös, finns det anledning att pröva huruvida denna verksamhet utgör sådan behandling av personuppgifter "som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten" i den mening som avses i arti- kel 3.2 första strecksatsen i direktiv /46. 40 Domstolen har i fråga om direktiv /46, som har utfärdats med stöd av artikel 100a i fördraget, redan fastställt att det inte utgör någon förutsättning för att använda denna rättsliga grund att det föreligger något faktiskt samband med den fria rörligheten mellan medlemssta- terna i varje situation som avses med den rättsakt som har en sådan grund (se dom av i de förenade målen C-465/00, C- 138/01 och C-139/01, Österreichischer Rundfunk m.fl., 2003, s. I-0000, och där angiven rättspraxis). 41 Motsatt tolkning skulle innebära en risk för att gränserna för det nämnda direktivets tillämpningsområde skulle bli synnerligen osäkra och vaga, vilket skulle motverka direktivets huvudsakliga syfte, vilket är tillnärmning av bestämmelser i medlemsstaternas lagar och andra för- fattningar i syfte att undanröja de hinder för att den inre marknaden skall fungera som följer just av att det föreligger skillnader mellan de olika nationella lagstiftningarna (domen i de ovan nämnda förenade målen Österreichischer Rundfunk m.fl., punkt 42). 42 Under dessa omständigheter är det inte lämpligt att tolka ut- trycket verksamhet som inte omfattas av gemenskapsrätten så, att det har en sådan räckvidd att det från fall till fall måste kontrolleras huruvi- da den specifika verksamhet som är i fråga direkt påverkar den fria rör- ligheten mellan medlemsstaterna. 43 Den verksamhet som nämns såsom exempel i artikel 3.2 första strecksatsen i direktiv /46 (det vill säga sådan verksamhet som avses i avdelningarna V och VI i fördraget om Europeiska unionen och be- handlingar som rör allmän säkerhet, försvar, statens säkerhet och sta- tens verksamhet på straffrättens område) är i samtliga fall statens eller statliga myndigheters verksamhet och har ingenting att göra med en- skildas verksamhetsområden. 44 Domstolen finner således att de verksamheter som nämns såsom exempel vi artikel 3.2 första strecksatsen i direktiv /46 är avsedda att definiera räckvidden av det där föreskrivna undantaget, varför detta un- dantag endast är tillämpligt på sådan verksamhet som uttryckligen nämns där eller som kan placeras i samma kategori (ejusdem generis). 45 Sådan ideell eller religiös verksamhet som den som [konfirmand- läraren] utövar kan emellertid inte likställas med den verksamhet som nämns i artikel 3.2 första strecksatsen i direktiv /46 och omfattas så- ledes inte av detta undantag. Sådant som inte omfattas av EG-direktivet Enligt artikel 3.2 andra strecksatsen i EG-direktivet gäller inte EG- direktivet för sådan behandling av personuppgifter av en fysisk per- son som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll82. Av mötesprotokollet (bilaga 4) framgår att rådet och kommis- sionen anser att det inte är tillåtet att med hänvisning till den be- stämmelsen undanta behandling av personuppgifter som utförs av en enskild person när dessa uppgifter förmedlas inte bara till en eller flera personer utan till ett obestämt antal personer. I ingresspunkt 12 framhålls att en fysisk persons behandling av uppgifter uteslutande för personliga ändamål eller för hemma- bruk83, såsom korrespondens eller förandet av adressregister, inte omfattas av EG-direktivet. I kommissionens förklaring ges som exempel förandet av en elektronisk dagbok.84 Generaladvokaten har i sitt förslag till avgörande det s.k. kon- firmandlärarmålet (mål C-101/01) ansett att en- dast verksamheter såsom korrespondens eller förande av adressre- gister, som omnämns som exempel i ingresspunkt 12, dvs. verk- samheter som är uppenbart privata och av förtrolig karaktär och är avsedda att begränsas till de berördas personliga sfär eller den sfär som har samband med deras hushåll, omfattas av undantaget. EG- domstolen gjorde motsvarande bedömning som generaladvokaten och uttalade i sin dom att undantaget för rent privat behandling skall tolkas så, att det endast avser sådan verk- samhet som utgör en del av enskildas privat- eller familjeliv, vilket uppenbart inte är fallet i fråga om sådan behandling av personupp- gifter som består i att de offentliggörs på Internet för att dessa uppgifter skall bli tillgängliga för ett obestämt antal personer. 82På engelska a purely personal or household activity, på franska dactivités exclusive- ment personelles ou domestiques, på tyska Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten. 83På engelska activities which are exclusively personal or domestic, på franska dactivités exclusivement personelles ou domestiques, på tyska Ausübung ausschließlich persönli- cher oder familiärer Tätigkeiten. 84SOU 1993:10 Bilagor s. 172. Sådant som inte omfattas av EG-direktivet dataskyddskonvention har presenterats i avsnitt 4.2.2 och bilaga 5. Konventionen gäller i princip för all automatisk be- handling av personuppgifter, och det finns i konventionen inte nå- got generellt undantag för sådant som faller utanför gemenskaps- rätten. Enligt artikel 3 i konventionen kan dock en konventionsstat deklarera att den inte kommer att tillämpa konventionen för vissa kategorier av automatiserade personregister. 8.4.1Personuppgiftslagen är generellt tillämplig Personuppgiftslagen innehåller inte något generellt undantag för sådant som faller utanför gemenskapsrätten. Personuppgiftslagen är alltså i och för sig generellt tillämplig. Däremot gäller särregler i andra författningar framför bestämmelserna i personuppgiftslagen (2 §). I denna del gjorde regeringen följande överväganden (prop. 1997/98:44 s. 40 f.): Den nuvarande datalagen är i princip generellt tillämplig på all auto- matisk databehandling av personregister, men i den utsträckning ett personregister är reglerat i en annan författning är det undantaget Da- tainspektionens tillståndsprövning och föreskriftsrätt. EG-direktivet gäller däremot inte för sådan behandling av person- uppgifter som utgör ett led i en verksamhet som inte omfattas av EG- rätten, t.ex. statens verksamhet på straffrättens område eller som rör allmän säkerhet eller försvar. Det innebär att det står fritt att begränsa den nya lagens till- lämpningsområde till sådana verksamheter som omfattas av EG-rätten. Detta skulle emellertid strida mot vad som tillämpats i , nämligen ett system som utgår från en generell lag komplette- rad med särregler i s.k. registerförfattningar för viktigare eller känsliga- re register. Registerförfattningarna innehåller många preciserade och viktiga regler som inte rimligen kan ersättas av de generella bestämmelser som den nya lagen innehåller. står det klart att det är nödvändigt med särregler i förhållande till den nya lagen på flera viktiga områden, t.ex. beträffande polisens verksamhet. Frågan är därför om det redan i Sådant som inte omfattas av EG-direktivet den nya lagen skall göras undantag för vissa verksamheter eller om nödvändiga särregler för dessa verksamheter liksom skall ges i särskilda författningar som får gälla framför den nya lagen. Vi anser att det traditionella svenska systemet med särregler i sär- skilda författningar är att föredra framför generella undantag från den nya lagen. Det är i stort sett bara verksamhet inom den offentliga sek- torn som med hänsyn till EG-direktivet skulle kunna undantas från den nya lagen. Inom den sektorn förekommer det t.ex. ofta stora mängder känsliga uppgifter och uppgifter som har hämtats in med stöd av straff- sanktionerad uppgiftsplikt. Därför är det särskilt viktigt med ett starkt integritetsskydd när det gäller uppgifter inom all offentlig verksamhet. Om viss offentlig verksamhet skulle generellt undantas från lagen, finns det risk för att viss behandling inom den sektorn inte kommer att omfattas av någon lagstiftning med motsvarande syfte som den nya la- gen. Genom att det krävs en särskild författning för att avvika från det integritetsskydd som den nya lagen ger, garanteras däremot att behovet av särregler alltid övervägs noga i den ordning som gäller för författ- ningsgivning. Målet har också varit att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll skall regleras särskilt i lag (prop. 1990/91:60 s. 50 och KU 1990/91:11 s. 11). Det finns inte anledning att nu avvika från det målet. Den nya lagen bör således vara generellt tillämplig och omfatta även sådan verksamhet som faller utanför EG-rätten som avvikan- de bestämmelser i lag eller förordning skall gälla framför den nya lagen. Detta innebär också att den nya lagen i princip bara bör innehålla gene- rella regler och att behovet av undantag och särregler för mer speciella områden får tillgodoses genom andra författningar. De flesta remissinstanserna hade godtagit förslaget eller lämnat det utan erinran. Riksåklagaren hade dock föreslagit att statens verk- samhet på det straffrättsliga området skulle undantas från person- uppgiftslagen. 8.4.2Undantaget för privat behandling av personuppgifter Enligt 6 § personuppgiftslagen gäller lagen inte för sådan behand- ling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur. Regeringen ansåg att möjligheten enligt EG-direktivet att undanta rent privat användning av person- uppgifter borde utnyttjas fullt ut. Avsikten är att paragrafen skall Sådant som inte omfattas av EG-direktivet ha samma innebörd som artikel 3.2 andra strecksatsen i EG- direktivet.85 8.5Genomförandet i andra länder I har EG-direktivet således genomförts genom en generellt tillämplig lag, medan särregler för bl.a. sådant som faller utanför gemenskapsrätten finns i särlagstiftning som tar över de generella bestämmelserna i personuppgiftslagen. Ett sådant förfaringssätt förefaller vara det normala också i andra medlemsstater (och i Nor- ge), även om det inte är ovanligt att den generella genomförande- lagstiftningen innehåller en hel del undantag – eller bemyndiganden att medge undantag – för bl.a. sådant som faller utanför gemen- skapsrätten. Utredningen har inte funnit någon genomförandelag- stiftning som innehåller ett generellt undantag för allt sådant som faller utanför gemenskapsrätten.86 Undantaget i EG-direktivet för rent privat behandling synes där- emot normalt ha intagits i medlemsstaternas generella genomfö- randelagstiftning. I har det ansetts att undantaget omfattar privata hemsidor på Internet med information av privat och per- sonlig karaktär.87 Utredningens bedömning: Det undantag för rent privat behand- ling av personuppgifter som är tillåtet enligt EG-direktivet har re- dan utnyttjats fullt ut. Det finns inte skäl för att göra undantag från personuppgiftslagen för sådant som faller utanför gemenskapsrät- ten. Enligt utredningsdirektiven skall utredningen särskilt se över möj- ligheten till undantag för sådan behandling av personuppgifter inom den privata sfären som – till sin natur – faller utanför gemen- skapsrätten och därmed inte omfattas av EG-direktivet. I EG- direktivet finns det två bestämmelser om vad som faller utanför 1997/98:44 s. 53 f. och 118. 86I den tyska genomförandelagstiftningen – Bundesdatenschutzgesetz – finns det dock direkta hänvisningar till sådant som faller eller inte faller utanför gemenskapsrätten. 87Ot prp nr 92 (1998-99) s. 105. Sådant som inte omfattas av EG-direktivet EG-direktivet som kan ha betydelse i det sammanhanget. Enligt dessa gäller EG-direktivet inte för dels (1) sådan behandling av per- sonuppgifter av en fysisk person som (utgör) ett led i verksamhet av rent privat natur eller som har samband med hans hushåll, dels (2) sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten. I personuppgiftslagen har den första bestämmelsen (om rent pri- vat behandling) redan genomförts fullt ut (6 §), medan den andra bestämmelsen (om det som inte omfattas av gemenskapsrätten) inte genomförts. Det undantag för rent privat behandling av per- sonuppgifter som är tillåtet att göra enligt EG-direktivet (artikel 3.2 andra strecksatsen) har redan utnyttjats fullt ut i personupp- giftslagen. Den rent privata behandling som avses i bestämmelsen omfattas således inte av personuppgiftslagen (eller EG-direktivet) oavsett om behandlingen utgör ett led i en verksamhet som omfat- tas av gemenskapsrätten eller inte. Något mer att göra i formellt hänseende i den delen för att undanta det som faller inom den pri- vata sfären finns alltså inte. Utredningen anser vidare att det inte finns tillräcklig anledning att – i syfte att förtydliga – ändra eller komplettera lagtexten i 6 § personuppgiftslagen (se också det som sägs i avsnitt 14.2.3). Vad som kan anses vara verksamhet av rent privat natur har varit föremål för olika uppfattningar. Enligt en uppfattning kan det inte vara fråga om privat behandling när uppgifterna sprids till ett obe- stämt antal personer, t.ex. via en hemsida på Internet. Som redovi- sats i avsnitt 8.2.2 har det varit t.ex. rådets och kommissionens uppfattning, och synsättet har återspeglats även i avgöranden i svensk domstol (se avsnitt 5.2.1). Enligt en annan uppfattning är det uppgifternas karaktär, eller möjligen syftet med deras använd- ning, som är avgörande. Det skulle då principiellt sakna betydelse hur och till vilka uppgifterna sprids. Ett sådant synsätt tycks ha anammats i (se avsnitt 8.5). dom den 6 no- vember 2003 i det s.k. konfirmandlärarmålet har numera visat att det förstnämnda synsättet är det riktiga (se avsnitt 8.2.2). Tankegången i utredningsdirektiven verkar vara att det kan fin- nas sådan behandling av personuppgifter inom den privata sfären som inte faller utanför EG-direktivet på grund av bestämmelsen om rent privat behandling, men som faller utanför EG-direktivet på grund av bestämmelsen om det som inte omfattas av gemenskaps- rätten. Artikel 3.2 första strecksatsen i EG-direktivet har följande lydel- se: Sådant som inte omfattas av EG-direktivet Detta direktiv gäller inte för sådan behandling av personuppgifter som – utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen, och inte under några om- ständigheter behandlingar som rör allmän säkerhet, försvar, statens sä- kerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område Den naturliga läsningen är att all behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemen- skapsrätten är undantagen från EG-direktivet. har emellertid i domen i det s.k. konfirmandlä- rarmålet kommit fram till att de verksamheter som nämns såsom exempel i artikel 3.2 första strecksatsen i EG-direktivet är avsedda att definiera räckvidden av det där föreskrivna undantaget (punkt 44). Domstolens slutsats blev därför att undantaget bara är tillämp- ligt på sådan verksamhet som uttryckligen nämns där eller som kan placeras i samma kategori. EG-direktivet kan alltså vara tillämpligt på en behandling av personuppgifter som utgör ett led i en verk- samhet som inte omfattas av gemenskapsrätten, nämligen om verk- samheten inte är sådan som avses i avdelning V och VI i Unions- fördraget och om behandlingen inte heller rör allmän säkerhet, för- svar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område. I artikel 3.2 första strecksatsen i EG-direktivet nämns som ex- empel två olika kategorier: Verksamhetsfallet (behandling av per- sonuppgifter som utgör ett led i en verksamhet som avses i avdel- ning V och VI i Unionsfördraget) och behandlingsfallet (behand- ling av personuppgifter som rör allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område). Verk- samhetsfallet avser sådant som definitionsmässigt inte utgör ge- menskapsrätt, nämligen det samarbete mellan medlemsstaterna av i grunden mellanstatlig karaktär som äger rum inom vad som vanli- gen kallas för andra och tredje pelaren. Man kan då, mot bakgrund av det uttryckssätt som valts i ingresspunkt 13 (se avsnitt 8.2.1), fråga sig om den behandling som avses i behandlingsfallet är un- dantagen bara om den utgör ett led i en verksamhet som inte om- fattas av gemenskapsrätten; en behandling som rör t.ex. allmän sä- kerhet kan ju mycket väl utgöra ett led i en verksamhet som faller Sådant som inte omfattas av EG-direktivet under den första pelaren, t.ex. i samband med tillämpningen av reg- lerna om personers fria rörlighet. uttalanden i do- men (punkt 45) i målen från österrikiska domsto- lar (mål C-465/00 och C-138/01 och 139/01) ger dock ett klart stöd för att den behandling som avses i behandlingsfallet är un- dantagen oavsett om den utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten. Domstolen uttalade nämligen först att den i målen aktuella verksamheten inte skedde som ett led i en verksamhet som inte omfattas av gemenskapsrätten. Sedan konsta- terade domstolen att det inte heller var fråga om en behandling som rör allmän säkerhet osv.88 Den naturliga läsningen av bestämmelsen är vidare enligt utredningens mening att den behandling som avses i behandlingsfallet är undantagen oavsett om den utgör ett led i en verksamhet som avses i avdelning V och VI i Unionsfördraget; det anges ju uttryckligen i artikeln att EG-direktivet inte under några omständigheter gäller för sådana behandlingar som avses i behand- lingsfallet. EG-direktivet gäller alltså inte för behandling av personuppgifter som antingen a)utgör ett led i den verksamhet som avses i avdelning V och VI i Unionsfördraget, eller b)rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område. När det gäller den nu i första hand aktuella frågan om i vilken ut- sträckning behandling av personuppgifter inom den privata sfären kan anses falla utanför EG-direktivet har i domen i det s.k. konfirmandlärarmålet (punkt 43) konstaterat att den verksamhet som avses i såväl verksamhetsfal- let som behandlingsfallet inte har någonting med enskildas verksamhetsområden att göra utan i samtliga fall är statens eller statliga myndigheters verksamhet (se direkt citat i avsnitt 8.2.1). Undantaget i artikel 3.2 första strecksatsen i EG-direktivet gäller alltså bara behandling av personuppgifter som antingen utgör ett led i en verksamhet som avses i avdelning V och VI i Unionsför- draget eller rör allmän säkerhet, försvar, statens säkerhet (inbegri- pet statens ekonomiska välstånd när behandlingen har samband 88 Punkt 45. Se direkt citat ur domen i avsnitt 8.2.1. Sådant som inte omfattas av EG-direktivet med frågor om statens säkerhet) och statens verksamhet på straff- rättens område, vilken behandling inte har någonting med enskildas verksamhetsområden att göra. Mot den bakgrunden förefaller det uteslutet att någon behand- ling av personuppgifter inom den privata sfären skulle kunna falla utanför EG-direktivet på grund av bestämmelsen i artikel 3.2 första strecksatsen, såsom uppfattat den bestämmelsen. Utredningens slutsats är att det inte finns något utrymme enligt EG-direktivet för att göra ett undantag för behandling av person- uppgifter inom den privata sfären utöver det som redan finns i 6 § personuppgiftslagen. När det sedan gäller den mer vittsyftande frågan om något annat, som faller under undantaget i artikel 3.2 första strecksatsen i EG- direktivet om det som inte omfattas av gemenskapsrätten, bör helt eller delvis undantas från tillämpningsområdet för personuppgifts- lagen kan följande sägas. Vid införandet av personuppgiftslagen ansågs det att det tradi- svenska systemet med en generell skyddslagstiftning och nödvändiga särregler och undantag i särskilda författningar var att föredra framför undantag i den generella lagstiftningen (person- uppgiftslagen). Utredningen anser att de skäl som anfördes för den bedömningen – se avsnitt 8.4.1 – alltjämt har bärkraft. Härtill kommer att ett sådant system verkar vara det som åtminstone i princip använts vid genomförandet av EG-direktivet i många andra medlemsstater. Ett stort arbete har också lagts ned efter person- uppgiftslagen på att utarbeta särskilda registerförfattningar. Härtill kommer att det är svårt att på något mer konkret sätt ange vad som faller utanför gemenskapsrät- ten och att gränserna för gemenskapsrätten är föränderliga. Efter- som EG-direktivet i sig självt är en del av gemenskapsrätten, kan det definitionsmässigt bara reglera sådant som omfattas av gemen- skapsrätten.