sou · GSB3106 · 2005-01-01 00:00:00 — Personuppgiftslagen innehåller bestämmelser som tryggar den registrerades rätt att dels kontrollera om behandling av person- uppgifter om honom eller henne pågår, dels begära rättelse av personuppgifter som har behandlats felaktigt. Information (23–27 §§) Personuppgiftslagens bestämmelser om informationsskyldighet gäller i första hand den information som den personuppgifts- ansvarige självmant har att lämna. Rätten att på begäran få ut uppgifter i allmänna handlingar följer främst av tryckfrihets- förordningen, dock att den rätten i vissa fall begränsas genom bestämmelser i sekretesslagen, men det finns bestämmelser även i personuppgiftslagen. Den personuppgiftsansvarige skall självmant lämna den registrerade information rörande behandlingen, när uppgifter om en person samlas in från denne själv. Har uppgifterna samlats in från en annan källa, skall den registrerade informeras när uppgif- terna noteras eller, om avsikten med behandlingen är att lämna ut uppgifterna till tredje man, när uppgifterna lämnas ut . Informationen skall omfatta uppgifter om vem den personuppgiftsansvarige är, ändamålet med behandlingen samt all övrig information som den registrerade behöver för att kunna tillvarata sina rättigheter i samband med behandlingen. Övergripande rättslig reglering av behandling av personuppgifter sådana uppgifter som den registrerade inte redan känner till behöver lämnas. Har uppgifterna hämtats in från tredje man behöver information inte lämnas om det är omöjligt eller skulle innebära en opropor- tionerligt stor arbetsinsats. Inte heller behöver information lämnas om det i lag eller annan författning finns särskilda bestämmelser om registreringen eller utlämnandet av personuppgifter. Den personuppgiftsansvarige är vidare skyldig att efter ansökan, en gång , gratis informera om huruvida uppgifter som rör sökanden behandlas eller inte, ändamålet med behandlingen, vilka uppgifter som behandlas, varifrån dessa kommer och till vem de lämnas ut. Information behöver emellertid inte lämnas beträffande personuppgifter som behandlas endast i löpande text som ännu inte fått sin slutliga utformning eller som utgör minnesanteckningar, under förutsättning att uppgifterna inte har lämnats ut till tredje man eller – i fråga om uppgifter i löpande text – behandlingen inte har pågått . Bestämmelserna om informationsskyldighet gäller över huvud taget inte om sekretess eller tystnadsplikt för uppgifterna är föreskriven i förhållande till den registrerade. Rättelse (28 §) Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen skall på begäran av den registrerade rättas, utplånas eller blockeras av den personuppgiftsansvarige. Med blockering avses varje åtgärd som kan vidtas för att de aktuella personuppgifterna i alla samman- hang skall vara förknippade med tydlig information om att de är spärrade och inte får lämnas ut till tredje man samt om anledningen till spärren. Om felaktiga personuppgifter har lämnats till tredje man, skall denne i vissa fall underrättas om korrigeringsåtgärden, nämligen om den registrerade begär det eller om det behövs för att undvika mera betydande skada eller olägenhet för den registrerade. Efter- som den personuppgiftsansvarige inte har någon skyldighet att hålla reda på till vem uppgifter lämnas ut och då uppgifter ibland kan lämnas till ett stort antal människor, innehåller bestämmelsen det undantaget att underrättelse inte behöver ske om det är omöj- ligt eller skulle innebära en oproportionerligt stor arbetsinsats. Övergripande rättslig reglering av behandling av personuppgifter Bestämmelser som avser att säkerställa att behandlingen av person- uppgifter sker på ett betryggande sätt finns i 30 och 31 §§ person- uppgiftslagen. Den personuppgiftsansvarige har stort ansvar för säkerheten vid behandling av personuppgifter. Bland annat får de personer som arbetar med personuppgifter behandla dessa endast efter den personuppgiftsansvariges instruktioner. Instruktionerna bör i vart fall vara utformade på ett sådant sätt att var och en som arbetar med personuppgifter skall veta vilka ändamålen är med behandlingen och att behandling som är oförenlig med dessa ändamål är förbjuden. För det allmännas verksamhet gäller att om det i annan lagstift- ning finns bestämmelser om säkerheten vid behandling av person- uppgifter, skall i stället de bestämmelserna tillämpas. Det gäller framför allt bestämmelser om tystnadsplikt och sekretess. Den personuppgiftsansvarige har vidare ansvar för att tekniska och organisatoriska åtgärder vidtagits för att skydda de behandlade personuppgifterna. Åtgärderna skall åstadkomma en lämplig sekretessnivå med beaktande av de tekniska möjligheter som finns, kostnaden för att genomföra åtgärderna, riskerna med behand- lingen och hur känsliga de behandlade uppgifterna är. Ett register som innehåller personuppgifter om ett stort antal personer ställer också ökade krav på säkerhet. Datainspektionen får enligt 32 § personuppgiftslagen i enskilda fall besluta om vilka skyddsåtgärder en personuppgiftsansvarig skall vidta. Om ett sådant beslut inte följs kan inspektionen enligt 45 § föreskriva vite. 4.6.5Överföring av personuppgifter till tredje land Det är enligt 33 § personuppgiftslagen principiellt förbjudet att föra över personuppgifter till ett land som inte är medlem i EU eller anslutet till EES (tredje land) om landet inte har en adekvat nivå för skyddet av personuppgifter. Förbudet gäller både uppgifter som är under behandling och uppgifter som skall undergå behandling i det tredje landet. Vid bedömningen av om ett land utanför EU eller EES har en adekvat skyddsnivå skall hänsyn tas till samtliga omständigheter som har samband med överföringen. I lagen anges uttryckligen att Övergripande rättslig reglering av behandling av personuppgifter särskild vikt skall läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredje landet. Från förbudet mot överföring av personuppgifter till tredje land finns undantag i 34 och 35 §§. Har den registrerade samtyckt till det, får uppgifter om denne föras över till tredje land. Det är också tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till dataskyddskonvention. Uppgifter får även föras över till tredje land om behandlingen är nödvändig för att fullgöra ett avtal – mellan den registrerade och den personuppgiftsansvarige eller mellan den personuppgifts- ansvarige och tredje man – som är i den registrerades intresse eller för att på den registrerades begäran vidta åtgärder innan ett avtal träffas. Vidare får överföring ske om behandlingen är nödvändig för att kunna fastställa, göra gällande eller försvara rättsliga anspråk eller för att skydda vitala intressen för den registrerade. Regeringen får meddela föreskrifter om generella undantag från förbudet att föra över personuppgifter till tredje land. Regeringen eller, om regeringen bestämmer det, Datainspektionen får också föreskriva undantag när det behövs med hänsyn till viktiga allmänna intressen eller om överföringen sker under sådana omständigheter att det finns tillräckliga garantier till skydd för de registrerades rättigheter. Dessutom får regeringen under vissa förutsättningar besluta om undantag från förbudet i enskilda fall. Förbudet mot överföring av personuppgifter till tredje land har ansetts innefatta ett hinder mot att publicera uppgifterna på en hemsida eller motsvarande, som är åtkomlig via Internet. anförde att den omständigheten att någon ges möjlighet att från tredje land komma åt personuppgifter som finns i eller i någon annan medlemsstat via telekommunikation eller datanätverk är förmodligen ett exempel på överföring av uppgifterna till tredje land.4 Även i kommenteraren till person- uppgiftslagen framhålls att publicering av personuppgifter på Internet innebär en sådan överföring av personuppgifter till tredje land som avses i 33 § personuppgiftslagen.5 Genom dom i mål C-101/01 () har numera lagts fast att publicering av uppgifter på en webbsida inte utan vidare omfattas av begreppet överföring av uppgifter till 4Se SOU 1997:39 s. 413. 5Se Personuppgiftslagen En kommentar, m.fl., s. 244. Övergripande rättslig reglering av behandling av personuppgifter tredje land, även om dessa uppgifter härigenom blir åtkomliga för personer i tredje land. Domstolen uttalade i målet att det inte föreligger någon överföring av uppgifter till tredje land i den mening som avses i artikel 25 i dataskyddsdirektivet när en person som befinner sig i en medlemsstat lägger ut personuppgifter på en hemsida som är lagrad hos den som tillhandahåller honom server- tjänster, vilken är etablerad i samma medlemsstat eller i en annan medlemsstat, varvid uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land. Konfirmandläraren hade som ett led i en datakurs skapat en hemsida på Internet där hon bl.a. lade ut viss information om församlingens personal innehållande namn, arbetsuppgifter och fritidsvanor. I flera fall nämndes familjeförhållande och telefon- nummer och avseende en person vissa hälsouppgifter. EG-dom- stolen konstaterade inledningsvis att begreppet personuppgifter absolut omfattar en persons namn tillsammans med dennes tele- fonnummer eller med uppgifter om vederbörandes arbetsför- hållanden eller fritidsintressen. Åtgärden att på en hemsida på Internet lägga ut sådana uppgifter ansågs vidare vara en sådan behandling som omfattas av dataskyddsdirektivet. När det gällde frågan om en publicering på Internet innebär en överföring av personuppgifter till tredje land konstaterade domstolen bl.a. följande. Med hänsyn dels till det stadium på vilket Internets utveckling befann sig när dataskyddsdirektivet utarbet- ades, dels till att det i det kapitel i vilket artikel 25 ingår inte finns några kriterier som är tillämpliga på Internet kan det inte presu- meras att gemenskapslagstiftaren hade för avsikt att låta inskriv- ning av uppgifter på en hemsida på Internet omfattas av begreppet överföring av uppgifter till tredje land. Om en överföring av uppgifter till tredje land förelåg varje gång personuppgifter lades ut på en hemsida skulle detta enligt domstolen innebära att när kommissionen konstaterade att det fanns ett enda tredje land som inte säkerställer adekvat skyddsnivå skulle medlemsstaterna vara skyldiga att hindra att personuppgifter över huvud taget lades ut på Internet. Vid sådant förhållande drar domstolen slutsatsen att artikel 25 i dataskyddsdirektivet skall tolkas så, att sådana transak- tioner som dem som har genomfört inte i sig utgör en överföring av uppgifter till tredje land. Det är vidare enligt domstolen således inte nödvändigt att utreda huruvida en person från ett tredje land har haft tillgång till den berörda hemsidan på Övergripande rättslig reglering av behandling av personuppgifter Internet eller huruvida denne tjänsteleverantörs server rent fysiskt befinner sig i ett tredje land. 4.6.6Datainspektionens befogenheter som tillsynsmyndighet enligt såväl personuppgiftslagen som data- skyddsdirektivet är Datainspektionen. Datainspektionens uppgifter enligt personuppgiftslagen innebär i första hand att informera om gällande regler och utöva tillsyn över att reglerna efterlevs samt att ge råd och hjälp åt personuppgiftsombud. Den personuppgifts- ansvariges anmälan om behandlingar av personuppgifter skall göras till Datainspektionen, som även skall utöva tillsyn över behand- lingen. Vissa av de befogenheter som enligt dataskyddsdirektivet till- kommer tillsynsmyndigheten regleras i 43–47 §§ personuppgifts- lagen. Således innehåller lagen bestämmelser om att Datainspek- tionen skall ha tillgång till behandlade personuppgifter och dess- utom tillträde till lokaler med anknytning till behandlingen. Om lagens regler inte iakttas har Datainspektionen som tillsynsmyndig- het bl.a. befogenhet att tillse att rättelse sker och om detta inte hjälper besluta om förbud mot behandling av personuppgifter samt att ansöka hos länsrätt om att personuppgifter skall utplånas. Datainspektionen har även bemyndigats att meddela föreskrifter i anslutning till reglerna i personuppgiftslagen. Anmälningsskyldighet (36 §) Helt eller delvis automatiserad behandling av personuppgifter måste i princip anmälas till tillsynsmyndigheten. Syftet med anmälningsskyldigheten är att göra behandlingens ändamål och dess viktigaste egenskaper kända. Datainspektionen skall föra register över anmälda behandlingar. Personuppgiftslagen har i denna del två motstridiga intressen som utgångspunkt. Det finns å ena sidan ett önskemål om att ta bort anmälningsskyldigheten för automatiserad behandling för att på så sätt koncentrera Datainspektionens verksamhet till att ge råd och sprida kunskap om de materiella reglerna samt att utöva tillsyn över att reglerna efterlevs. Å andra sidan föreskriver dataskydds- direktivet som huvudregel att den registeransvarige till tillsyns- Övergripande rättslig reglering av behandling av personuppgifter myndigheten skall anmäla automatiserade behandlingar som skall genomföras. Från denna anmälningsskyldighet får ett medlemsland dock under vissa förutsättningar föreskriva undantag. I personuppgiftslagen har en principiell anmälningsskyldighet till Datainspektionen införts, som möjligheterna att före- skriva om undantag utnyttjats fullt ut. När det gäller särskilt integritetskänsliga behandlingar föreskrivs dock inga undantag från anmälningsskyldigheten. Enligt personuppgiftslagen får regeringen eller, efter regeringens bemyndigande, Datainspektionen föreskriva undantag från anmäl- ningsskyldigheten. Sådana undantag föreskrivs i 3–5 §§ personupp- giftsförordningen (1998:1191). Undantag görs här för bl.a. behand- ling av personuppgifter som utförs till följd av en myndighets skyldighet enligt 2 kap. TF att lämna ut allmänna handlingar och personuppgifter i löpande text. Personuppgiftsombud (37–40 §§) Anmälan till Datainspektionen behöver inte göras när ett person- uppgiftsombud har utsetts av den personuppgiftsansvarige. Person- uppgiftsombudet skall ha till uppgift att självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett korrekt och lagligt sätt. Kravet på självständighet innebär att personupp- giftsombudet inte får ha en alltför underordnad ställning i förhållande till den personuppgiftsansvarige och att ombudet skall ha tillräckliga kvalifikationer och kunskaper för att kunna utföra sina uppgifter. I första hand skall personuppgiftsombudet påpeka brister i uppgiftsbehandlingen till den personuppgiftsansvarige, men om den ansvarige inte rättar till bristerna är ombudet skyldigt att anmäla förhållandet till Datainspektionen. Personuppgiftsombudet skall ha en förteckning över de behandlingar som den personupp- giftsansvarige utför och han eller hon skall även hjälpa registrerade personer att få rättelse vid misstanke om att personuppgifter är felaktiga eller ofullständiga. Övergripande rättslig reglering av behandling av personuppgifter Anmälan för förhandskontroll (41 §) Enligt dataskyddsdirektivet skall medlemsstaterna bestämma vilka behandlingar som kan innebära särskilda risker för den registre- rades rättigheter och säkerställa att dessa behandlingar kontrolleras innan de påbörjas. Förhandskontrollen skall enligt direktivet utföras av tillsynsmyndigheten men kan också utgöra ett led i lagstiftningsprocessen. Förhandskontroll kan således ske i samband med att särskilda registerförfattningar beslutas av eller regeringen. I personuppgiftslagen finns ett bemyndigande för regeringen att bestämma att vissa behandlingar av personuppgifter som kan innebära särskilda risker för otillbörligt intrång i den personliga integriteten skall anmälas till Datainspektionen i förväg. I personuppgiftsförordningen finns bestämmelser om sådana behandlingar. gäller enligt 10 § personuppgiftsförordningen att behandling av känsliga personuppgifter för forskningsändamål utan samtycke från den registrerade och som inte godkänts av en forskningsetisk kommitté samt behandling av personuppgifter om genetiska anlag som framkommit efter genetisk undersökning skall anmälas för förhandskontroll. I 2 § polisdataförordningen (1999:81) finns föreskrifter om anmälan av viss automatiserad behandling enligt polisdatalagen. Beträffande finns bestämmelser om anmälan i 2 § förordningen (1999:105) om behandling av personuppgifter vid medverkan i brottsutredningar. För finns föreskrifter om anmälan i 2 § förordningen (2001:88) om behand- ling av personuppgifter i brottsbekämpande verksamhet. Skadestånd (48 §) Om behandling av personuppgifter i strid med personuppgiftslagen orsakar skada för den registrerade har han eller hon rätt till skadestånd från den personuppgiftsansvarige. Rätten till ersättning omfattar såväl personskada, sakskada och ren förmögenhetsskada som den kränkning av den personliga integriteten som behand- lingen kan ha medfört. Ersättningen för kränkning måste upp- skattas efter skälighet mot bakgrund av samtliga omständigheter i Övergripande rättslig reglering av behandling av personuppgifter det aktuella fallet, t.ex. om den registrerade på grund av behand- lingen utsatts för något för honom eller henne negativt beslut. Ersättningen skall fastställas för varje kränkt registrerad för sig. Skadeståndsansvaret är i princip strikt. Den registrerade behöver bara bevisa att det förekommit en felaktig behandling och att denna behandling har skadat eller kränkt honom eller henne. Kan den personuppgiftsansvarige visa att felet inte berodde på honom eller henne får emellertid skadeståndet jämkas i skälig utsträckning. Straff (49 §) I personuppgiftslagen har i första hand valts andra sanktioner än straff. Således har vissa företeelser som i datalagen återfanns i straffkatalogen i stället sanktionerats genom vite eller genom möjligheten att utdöma ideellt skadestånd. Vad som återfinns i straffbestämmelsen i personuppgiftslagen är sådana uppsåtliga brott eller oaktsamma förfaranden som är svåra att åtgärda på annat sätt än genom straffbestämmelser. Det rör sig om att någon lämnar osanna uppgifter i den information till den registrerade som lagen föreskriver eller i anmälan till Datainspektionen. Vidare tillämpas straffbestämmelsen om någon i strid med lagen behandlar känsliga personuppgifter, för över uppgifter till tredje land eller låter bli att göra föreskriven anmälan om behandling till Datainspektionen. Straffbestämmelsens tillämplighet är begränsad genom att det inte skall dömas till ansvar om förseelsen är ringa. Personuppgiftslagen trädde i kraft och upphörde datalagen att gälla. I fråga om behandlingar som påbörjades före ikraft- trädandet skall vissa bestämmelser i lagen tillämpas först . Det gäller 9 och 10 §§ som reglerar de grundläggande kraven på behandling av personuppgifter och när behandling är tillåten samt 13 och 21 §§ om behandling av känsliga personuppgifter och uppgifter om lagöverträdelser m.m. Utredningen har utformat en enkät som ställts till motsvarigheter i vissa EU-länder samt . I enkäten beskrivs utredningens uppdrag och de bakomliggande förutsättningarna kortfattat samt ställs vissa frågor om behandling av folkbokförings- uppgifter hos arkivmyndigheterna. Frågorna gäller bl.a. data- skyddsdirektivets tillämplighet och annan lagstiftning som särkilt gäller arkivmyndigheternas behandling av folkbokföringsuppgifter. Enkäten i sin helhet framgår av bilaga 3. Utredningen har inte fått svar från samtliga de länder som enkäten ställts till och de svar som erhållits skiljer sig åt både i omfattning och innehåll. Mot bakgrund härav är det svårt att dra några säkra slutsatser och det kan här endast ges en översiktlig bild av lagstiftningen och hur verksamheten bedrivs i de olika länderna. Den mest informativa beskrivningen har i lämnat. Denna information är också av särskilt intresse med hänsyn till att den finska folkbokföringen, tillsammans med den svenska, brukar beskrivas som unik i världen på grund av sin noggrannhet och omfattning. De övriga länder som svarat på enkäten är , och . Från har svar erhållits så sent att det dessvärre inte har kunnat beaktas i betänkandet. Det statliga arkivverket i består av /och även av landsarkiven. Genom en ny kyrkolag , vilken upphävde svenska kyrkolag, fick den evangelisk-lutherska kyrkan i vidsträckt autonomi, vilket bl.a. innebär att lagstiftning avseende kyrkans angelägenheter endast kan genomföras om kyrkan Genom kyrkolag uppfattas de enskilda lutherska församlingarna vidare som juridiska personer som äger kyrkobyggnader och all annan egendom som församlingen dispo- nerar över, inklusive församlingarnas handlingar i dess arkiv. är således församlingarnas egendom och kan inte utan deras samtycke överföras till det statliga arkivverket. Genom kyrkolag gavs emellertid församlingarna möjlighet att besluta om deponering av sina handlingar hos eller ett landsarkiv. Enligt gällande kyrkoordning kan i enlighet härmed kyrkoböcker och övriga handlingar i en församlings arkiv som är äldre än deponeras i allmänt arkiv. Flertalet av de evangelisk-lutherska församlingarna har deponerat de delar av sina arkiv som är gamla i landsarkiven, men ett betyd- ande antal församlingar har inte gjort det trots uppmaningar. Eftersom den evangelisk-lutherska kyrkan inte varit villig att avstå från uppgiften att sköta folkbokföringen har ett parallellt befolkningsregister (hemortsregistret) förts, omfattande hela befolkningen och anslutet till det centrala befolkningsregistret. Först blev det statliga datoriserade befolkningsregister- systemet officiellt befolkningsregister för hela befolkningen. Församlingarnas folkbokföring fick nu karaktären av trossamfunds medlemsregister, från vilka nödvändiga uppgifter överförts till befolkningsregistersystemet och vice versa. Folkbokföringens centralmyndighet är Befolkningsregister- centralen som lyder under inrikesministeriet. De statliga folkbok- föringsmyndigheterna förfogar över ett modernt befolkningsdata- system som innehåller aktuella uppgifter om hela befolkningen. Befolkningsdatasystemet är ett enhetligt datasystem som upprätt- hålls med automatisk databehandling och som innehåller aktuella person-, fastighets-, byggnads- och lägenhetsuppgifter för hela landet. Avsikten är att uppgifterna skall användas vid domstols- förfarande, administrativt beslutsfattande, vetenskaplig forskning, uppförande av statistik, àjourföring av kundregister, gallupp- och marknadsundersökningar, direkt marknadsföring samt annan adresstjänst. har implementerat dataskyddsdirektivet på folkbokförings- materialet på så sätt att den finska offentlighetslagen och person- uppgiftslagen har harmoniserats med direktivet. Personuppgifts- lagen är subsidiär till annan lagstiftning, alltså även till offent- lighetslagen. Eftersom särskilda stadganden om behandling av personuppgifter inte finns i annan lag gäller dock personuppgifts- lagen även för myndigheternas handlingar. Befolkningsdatalagen reglerar offentligheten och sekretessen i fråga om det kyrkliga folkbokföringsmaterialet. Lagstiftningen innehåller inga särskilda bestämmelser om offentlighet, sekretess, utlämnande av folkbokföringshandlingar eller folkbokförings- uppgifter som förvaras hos arkivmyndigheterna utan samma regel- verk gäller för statliga registermyndigheter och för arkivmyndig- heterna. Det saknar härvid betydelse om folkbokförings- handlingarna är på papper, mikrofilm eller datamedium. Enligt befolkningsdatalagen gäller att en uppgift i befolk- ningsböckerna blir offentlig då förflutit sedan personens död samt att en befolkningsbok blir helt och hållet offentlig då förflutit sedan den senaste anteckningen gjordes i boken.