sou · GSB36 · 2005-01-01 00:00:00 — Sådana generella reg- ler måste emellertid – såsom redan aviserats – utredas och analyse- ras i ett större sammanhang än inom ramen för en översyn av per- sonuppgiftslagen med sitt trots allt mera begränsade tillämpnings- område. Utredningen vill för tydlighets skull tillägga att de s.k. data- skyddsprinciper16 som ligger bakom hanteringsreglerna i person- uppgiftslagen och de många särskilda registerförfattningar som anknyter till lagen är i allra högsta grad adekvata och relevanta i fråga om hantering av personuppgifter i stora, regelrätta registerstrukturer. Det gäller t.ex. de stora databaser med person- uppgifter som finns hos myndigheter och större företag, såsom banker och försäkringsbolag, eller företag som specialiserat sig på 14Jämför också studien för enskilda personers privatliv, Ds 1994:51, och , Rapport om skyddet för enskilda personers privatliv – ett mer samlat grepp?, 1995. 15KU 2001/02:21 s. 32 och rskr. 2001/02:233. Analysen skall göras av Tryck- och yttrande- frihetsberedningen (Ju 2003:04), se dir. 2003:58. Jämför också Ds 2003:25 om självsane- ring av Internet. 16Se om dessa principer avsnitt 4. registerhantering av personuppgifter vid t.ex. kreditupplysning el- ler direkt marknadsföring.17 17 Jämför SOU 1997:39 s. 185 f. Förutom EG-direktivet finns det ett par andra för bindande internationella instrument rörande skydd för personuppgifter som utarbetats inom . Det gäller dels artikel 8 i den europe- iska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (), som nu- mera gäller som svensk lag (SFS 1994:1219), dels s.k. dataskyddskonvention (nr 108). Här redovisas därför i relevanta delar innehållet i dessa instrument, som alltså måste följa oberoende av EG-direktivet. Det finns vidare ett par andra internationella instrument än de som utarbetats inom som bör nämnas: rikt- linjer och rekommendation om skyddet för den personliga integri- teten och gränsöverskridande flöden av personuppgifter och FN:s riktlinjer om datoriserade register med personuppgifter. Också dessa instrument redovisas därför här. Det bör här också nämnas att Europeiska unionens stadga om de grundläggande rättigheterna, som inte är bindande, i artikel 8 innehåller följande särskilda bestämmelser om skydd av person- uppgifter: Var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Dessa uppgifter skall behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legi- tim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet skall kontrollera att dessa regler efterlevs. Artikel 8 i lyder enligt följande: Artikel 8 – Rätt till skydd för privat- och familjeliv 1.Var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. 2.Offentlig myndighet får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Det står klart att behandling av personuppgifter och t.ex. rätt till tillgång till registrerade personuppgifter i och för sig kan falla inom tillämpningsområdet för artikel 8 i . All slags behandling av personuppgifter omfattas dock inte, utan frågan måste gälla privatliv, familjeliv, hem eller korrespondens. Europa- konventionen tar i första hand sikte på åtgärder av det allmänna. I viss utsträckning kan de olika artiklarna i konventionen emellertid ha betydelse också för förhållandet mellan enskilda. Det är oklart om och i vilken utsträckning artikel 8 kan ha betydelse i fråga om enskildas behandling av personuppgifter. har ansett att bestämmelserna i artikel 8 i Euro- pakonventionen har betydelse vid sidan av EG-direktivet vid be- dömningen av nationella regler som tillåter behandling av person- uppgifter.18 Här finns vidare anledning att redovisa också artikel 10 i Euro- pakonventionen om yttrandefrihet: 18 dom i mål nr C-465/00 och C-138 och 139/01. Artikel 10 – Yttrandefrihet 1.Var och en har rätt till yttrandefrihet. Denna rätt innefattar åsiktsfri- het samt frihet att ta emot och sprida uppgifter och tankar utan offent- lig myndighets inblandning och oberoende av territoriella gränser. Denna artikel hindrar inte en stat att kräva tillstånd för radio-, televi- sions- eller biografföretag. 2.Eftersom utövandet av de nämnda friheterna medför ansvar och skyldigheter, får det underkastas sådana formföreskrifter, villkor, in- skränkningar eller straffpåföljder som är föreskrivna i lag och som i ett demokratiskt samhälle är nödvändiga med hänsyn till statens säkerhet, till den territoriella integriteten eller den allmänna säkerheten, till före- byggande av oordning eller brott, till skydd för hälsa eller moral eller för annans goda namn och rykte eller rättigheter, för att förhindra att förtroliga underrättelser sprids eller för att upprätthålla domstolars auktoritet och opartiskhet. antog en konvention (nr 108) till skydd för enskilda vid automatisk databehandling av per- sonuppgifter, Convention for the Protection of Individuals with regard to Automatic Processing of , den s.k. data- skyddskonventionen. Den engelska texten i konventionen till och med kapitel III, jämte en svensk översättning, finns i bilaga 5. Till konventionen har fogats en förklarande rapport av den expertgrupp inom som utarbetat konventionstexten. Konventionen trädde i kraft , då kravet var uppfyllt att fem medlemsländer tillträtt konventionen. Samtliga medlemsstater i EU har ratificerat konventionen. Konventionen är alltså bindande för , liksom för övriga medlemsstater. Det har beslutats om ändringar i dataskyddskonventionen för att göra det möjligt för Europeiska unionen att ansluta sig. Det har också till konventionen utarbetats ett tilläggsprotokoll om tillsynsmyndigheter och flödet av personuppgifter över gränserna. Till konventionen ansluter en rad rekommendationer som inte är direkt bindande.19 19Konventionen och rekommendationerna samt annat material finns på webbplats för dataskyddsfrågor: operation/Data_protection/. Konventionens tillämpningsområde är enligt huvudregeln auto- matiserade personregister och automatisk databehandling av per- sonuppgifter i allmän och enskild verksamhet (artikel 3). Varje konventionsstat kan dock göra vissa allmänna inskränkningar eller utvidgningar i tillämpningsområdet för konventionen i dess helhet. Däremot är det ingenting som hindrar att registrerade personer tillerkänns ett mer omfattande skydd än som föreskrivs i kon- ventionen (artikel 11). Konventionen har fem kapitel. Den centrala delen är kapitel II (artiklarna 4–11) som innehåller de grundläggande principerna för dataskydd. Varje konventionspart skall vidta de åtgärder som be- hövs för att dess nationella lagstiftning skall innehålla dessa grund- läggande principer. Dessa grundläggande principer skall garantera registrerade personer i alla länder där konventionen gäller ett visst minimiskydd i samband med automatisk databehandling av per- sonuppgifter. Detta skall göra det möjligt för konventionsparterna att ömsesidigt avstå från att begränsa dataflödet över gränserna. Kapitel II innehåller krav på beskaffenheten av de personuppgif- ter som undergår automatisk databehandling (artikel 5). Dessa krav innebär bl.a. att uppgifterna skall inhämtas och behandlas på ett korrekt sätt och vara relevanta med hänsyn till ändamålet. Vissa typer av uppgifter får inte undergå automatisk databehandling, om inte den nationella lagen ger ett ändamålsenligt skydd (artikel 6). Det gäller uppgifter om ras, politiska åsikter, religiös tro eller an- nan övertygelse, hälsa, sexualliv samt brott. Lämpliga säker- hetsåtgärder skall vidtas för att skydda personuppgifter gentemot oavsiktlig eller otillåten förstörelse m.m. (artikel 7). Vissa ytterliga- re skyddsåtgärder för registrerade personer föreskrivs (artikel 8). Vidare föreskrivs bl.a. att alla som är registrerade i ett person- register skall ha möjlighet till insyn i registret och möjlighet att få felaktiga uppgifter rättade. Vissa undantag får enligt konventionen göras i fråga om kraven på uppgifternas beskaffenhet och dylikt (artikel 9). För sådana av- vikelser krävs dock dels att de har stöd i nationell lagstiftning, dels att de utgör en nödvändig åtgärd i ett demokratiskt samhälle för att skydda statens säkerhet, allmän säkerhet, statens monetära intres- sen eller för att undertrycka brottsliga åtgärder eller för att skydda den registrerade eller andra personers fri- och rättigheter. Rätten till insyn och rättelse m.m. får också i vissa fall inskränkas i fråga om personregister för statistikändamål eller vetenskapliga forsk- ningsändamål. Kapitel III innehåller bestämmelser om behandlingen i nationell lag av flödet av personuppgifter över gränserna. Kapitel IV och V reglerar formerna för samarbetet mellan konventionsstaterna, me- dan kapitel VI och VII innehåller bestämmelser om hur man kan ansluta sig till konventionen och hur den kan ändras. för ekonomiskt samarbete och utveckling, , har en expertgrupp utarbetat vissa riktlinjer i fråga om in- tegritetsskyddet och flödet av personuppgifter över gränserna, the Protection of Privacy and Transborder Flows of . Riktlinjerna antogs av tillsammans med en rekommendation till medlemsländernas regeringar om att beakta riktlinjerna i nationell lagstiftning. Samtli- ga medlemsländer, däribland , har godtagit rekommendatio- nen och därmed åtagit sig att följa denna. Ytterligare åtgärder som t.ex. ratifikation av medlemsländerna krävs inte varför riktlinjerna har trätt i kraft. Enligt rekommendationen skall medlemsländerna i sin nationella lagstiftning beakta de principer om personlig integritet och indivi- dens grundläggande rättigheter som har presenterats i de riktlinjer som fogats till rekommendationen. Medlemsländerna skall vidare försöka undanröja opåkallade hinder för internationell datakom- munikation som gäller personuppgifter och undvika att nya sådana skapas under förevändning av behov av skydd för personlig integri- tet. Samarbete skall bedrivas vid verkställigheten av riktlinjerna och skall länderna avtala om särskilda procedurer för överläggningar och samarbete som gäller tillämpningen av rikt- linjerna. Syftet med riktlinjerna är att söka undvika de risker för personlig integritet och individens frihet som personuppgifter kan utgöra på grund av det sätt på vilket de behandlas, på grund av uppgifternas natur eller på grund av det sammanhang i vilket de används. Rikt- linjerna är tillämpliga på personuppgifter inom både den offentliga och den privata sektorn. De är tillämpliga både för uppgifter som lagras automatiskt och uppgifter som förs manuellt. Det finns inget hinder mot att man tillämpar olika skyddsåtgärder för olika slag av 20 Framställningen bygger på den som finns i SOU 1993:10 s. 62 ff. personuppgifter, att man från riktlinjernas tillämpning undantar personuppgifter som uppenbart inte innebär någon risk för person- lig integritet eller att man tillämpar riktlinjerna endast på automa- tisk databehandling av personuppgifter. Undantagen från riktlin- jernas grundläggande principer för nationell och internationell till- lämpning skall vara så få som möjligt och göras kända för allmänhe- ten. Riktlinjerna skall betraktas som minimiregler, varför ingenting hindrar att integritetsskyddet görs mer omfattande. Riktlinjerna innehåller en särskild avdelning som behandlar åtta grundläggande principer rörande skyddet för personlig integritet på det nationella planet. 1.Insamlingen av personuppgifter skall vara begränsad och uppgif- ter skall inhämtas på ett lagligt och korrekt sätt samt, när det är skäligt, med den registrerades kännedom eller samtycke (Col- lection Limitation Principle). 2.Personuppgifter skall vara relevanta för de ändamål för vilka de skall användas och, i den utsträckning det behövs för dessa än- damål, vara riktiga och fullständiga samt hållas aktuella (Data Quality Principle). 3.De ändamål för vilka personuppgifterna samlas in skall vara pre- ciserade senast vid insamlingen. Den efterföljande användningen skall vara begränsad till att uppfylla dessa ändamål eller sådana ändamål som är förenliga med ursprungsändamålen och som preciseras vid varje förändring (Purpose Specification Prin- ciple). 4.Personuppgifter får inte röjas, göras tillgängliga eller på annat sätt användas för andra ändamål än de preciserade, om det inte sker med den registrerades medgivande eller med stöd av för- fattning (Use Limitation Principle). 5.Personuppgifter skall genom rimliga säkerhetsåtgärder skyddas mot risker för förlust eller otillåten tillgång, förstörelse, an- vändning, förändring eller otillåtet röjande (Security Safeguards Principle). 6.En öppenhet skall råda beträffande personuppgifter i fråga om utveckling, tillämpning och policy. Det skall vara möjligt att få veta existensen och beskaffenheten av personuppgifter samt hu- vudändamålen för vilka de används. Det skall också vara möjligt att få uppgift om vem som är registeransvarig och om var denne finns (Openness Principle). 7.Den enskilde skall ha rätt att av den registeransvarige eller av an- nan få reda på om denne har personuppgifter om honom/henne, att få sig tillsänt eventuella personuppgifter inom rimlig tid, utan alltför stor kostnad, på rimligt sätt och i begriplig form. Vidare skall den enskilde ha rätt att vid avslag på en begäran om upp- gifter få veta skälen härför och ha möjlighet att överklaga. Den enskilde skall även ha rätt att ifrågasätta uppgifter som gäller ho- nom eller henne och, om så är nödvändigt, få dessa utraderade, rättade eller kompletterade (Individual Participation Princip- le). 8.Den registeransvarige skall ha ansvaret för att de lagstiftningsåt- gärder eller andra åtgärder som vidtas för att genomföra de tidi- gare angivna principerna följs (Accountability Principle). En avdelning av riktlinjerna innehåller principer för internationell tillämpning. Här föreskrivs bl.a. att medlemsländerna skall vidta alla rimliga och lämpliga åtgärder för att se till att personuppgifter kan passera gränserna säkert och utan avbrott. Vidare skall med- lemsländerna avhålla sig från att göra inskränkningar i fråga om flödet av personuppgifter från det egna landet till andra med- lemsländer. Sådana inskränkningar är dock tillåtna i förhållande till ett annat land, om detta inte iakttar riktlinjerna eller om person- uppgifter bara skall passera genom det andra landet till ett tredje land och avsändarlandets integritetslagstiftning därigenom kring- gås. Ett medlemsland får också göra inskränkningar i fråga om per- sonuppgifter för vilka den inhemska integritetslagstiftningen inne- håller särskilda skyddsregler, om sådana uppgifter inte har ett lik- värdigt skydd i mottagarlandet. Medlemsländerna skall undvika att – under åberopande av skydd för personlig integritet och individens friheter – i lag, tillämpning eller förfarande ställa upp hinder för flödet av personuppgifter över gränserna som går utöver vad som är nödvändigt för sådant skydd. Regler om ömsesidigt bistånd mellan medlemsländerna m.m. finns i en särskild avdelning av riktlinjerna. Medlemsländerna skall införa legala, administrativa eller andra förfaranden eller vidta andra åtgärder för att beträffande personuppgifter ge skydd för personlig integritet och individens friheter. Medlemsländerna skall särskilt sträva efter att anta lämplig inhemsk lagstiftning, att främja och understödja självreglering i form av etiska regler eller på annat sätt, att införa lämpliga sanktioner och rättsmedel samt att se till att re- gistrerade inte utsätts för orättvis särbehandling. På begäran skall medlemsländerna ge ett annat medlemsland upplysning om hur de principer iakttas som riktlinjerna innehåller. Medlemsländerna skall också se till att de förfaranden som tillämpas för flöden av person- uppgifter över gränserna och för skyddet av personlig integritet och individens friheter är enkla och jämförbara med dem som andra medlemsländer tillämpar. Medlemsländerna skall vidare genom sär- skilda förfaranden underlätta utbyte av information rörande riktlin- jerna och ömsesidigt bistånd i fråga om de förfaranden och utred- ningar som kan bli aktuella. Vidare skall medlemsländerna arbeta för att utveckla inhemska och internationella principer för vilket lands lag som blir tillämplig i fråga om flöden av personuppgifter över gränserna. antog följande riktlinjer om datori- serade register med personuppgifter (computerized personal data files): GUIDELINES CONCERNING COMPUTERIZED PERSONAL adopted by the General on The procedures for implementing regulations concerning computerized personal data files are left to the initiative of each State subject to the following orientations: Principles concerning the minimum guarantees that should be provided in national legislations PRINCIPLE OF LAWFULNESS AND FAIRNESS Information about persons should not be collected or processed in un- fair or unlawful ways, nor should it be used for ends contrary to the purposes and principles of the Charter of the United Nations. Persons responsible for the compilation of files or those responsible for them have an obligation to conduct regular checks on the accuracy and relevance of the data recorded and to ensure that they are kept as complete as possible in order to avoid errors of omission and that they are kept up to date regularly or when the information con- tained in a file is used, as long as they are being processed. PRINCIPLE OF THE PURPOSE-SPECIFICATION The purpose which a file is to serve and its utilization in terms of that purpose should be specified, legitimate and, when it is established, re- ceive a certain amount of publicity or be brought to the attention of the person concerned, in order to make it possible subsequently to en- sure that: (a)All the personal data collected and recorded remain relevant and adequate to the purposes so specified; (b)None of the said personal data is used or disclosed, except with the consent of the person concerned, for purposes incompatible with those specified; (c)The period for which the personal data are kept does not exceed that which would enable the achievement of the purpose so specified. PRINCIPLE OF INTERESTED-PERSON ACCESS Everyone who offers proof of identity has the right to know whether information concerning him is being processed and to obtain it in an intelligible form, without undue delay or expense, and to have appro- priate rectifications or erasures made in the case of unlawful, unneces- sary or inaccurate entries and, when it is being communicated, address- ees. Provision should be made for a remedy, if need be with the super- visory authority specified in principle 8 below. The cost of any rectifi- cation shall be borne by the person responsible for the file. It is desir- able that the provisions of this principle should apply to everyone, irre- spective of nationality or place of . Subject to cases of exceptions restrictively envisaged under principle 6, data likely to give rise to unlawful or arbitrary discrimination, including information on racial or ethnic origin, colour, sex life, political opin- ions, religious, philosophical and other beliefs as well as membership of an association or trade union, should not be compiled. Departures from principles 1 to 4 may be authorized only if they are necessary to protect national security, public order, public health or morality, as well as, inter alia, the rights and freedoms of others, espe- cially persons being persecuted (humanitarian ) provided that such departures are expressly specified in a law or equivalent regulation promulgated in accordance with the internal legal system which ex- pressly states their limits and sets forth appropriate safeguards. Exceptions to principle 5 relating to the prohibition of discrimination, in addition to being subject to the same safeguards as those prescribed for exceptions to principles 1 and 4, may be authorized only within the limits prescribed by the International of Human Rights and the other relevant instruments in the field of protection of human rights and the prevention of discrimination. Appropriate measures should be taken to protect the files against both natural dangers, such as accidental loss or destruction and human dan- gers, such as unauthorized access, fraudulent misuse of data or con- tamination by computer viruses. The law of every country shall designate the authority which, in accor- dance with its domestic legal system, is to be responsible for supervis- ing observance of the principles set forth above. This authority shall of- fer guarantees of impartiality, independence vis-a-vis persons or agen- cies responsible for processing and establishing data, and technical competence. In the event of violation of the provisions of the national law implementing the aforementioned principles, criminal or other penalties should be envisaged together with the appropriate individual remedies. When the legislation of two or more countries concerned by a trans- border data flow offers comparable safeguards for the protection of privacy, information should be able to circulate as freely as inside each of the territories concerned. If there are no reciprocal safeguards, limi- tations on such circulation may not be imposed unduly and only in so far as the protection of privacy demands. The present principles should be made applicable, in the first instance, to all public and private computerized files as well as, by means of op- tional extension and subject to appropriate adjustments, to manual files. Special provision, also optional, might be made to extend all or part of the principles to files on legal persons particularly when they contain some information on individuals. B. Application of the guidelines to personal data files kept by gov- ernmental international organizations The present guidelines should apply to personal data files kept by gov- ernmental international organizations, subject to any adjustments re- quired to take account of any differences that might exist between files for internal purposes such as those that concern personnel manage- ment and files for external purposes concerning third parties having re- lations with the organization. Each organization should designate the authority statutorily compe- tent to supervise the observance of these guidelines. Humanitarian : a derogation from these principles may be spe- cifically provided for when the purpose of the file is the protection of human rights and fundamental freedoms of the individual concerned or humanitarian assistance. A similar derogation should be provided in national legislation for governmental international organizations whose headquarters agree- ment does not preclude the implementation of the said national legisla- tion as well as for non-governmental international organizations to which this law is applicable. 5Utvecklingen i rättstillämpningen och av annan vägledning I enlighet med utredningsdirektiven har utredningen som underlag för sin översyn av personuppgiftslagen bl.a. haft utvecklingen i rättstillämpningen sedan personuppgiftslagen trädde i kraft i okto- ber 1998. I detta avsnitt redovisas kortfattat den svenska domstols- praxis som utredningen fått kännedom om (avsnitt 5.2). I fråga om domstolspraxis redovisas i övrigt kortfattat de mål angående EG- direktivet som förekommit i (avsnitt 5.4). Såvitt utredningen kunnat finna har det inte efter personuppgiftslagens ikraftträdande förekommit något avgörande från Europeiska dom- stolen för de mänskliga rättigheterna som har direkt betydelse för utredningsuppdraget.