sou · GSB36d2 · 2005-01-01 00:00:00 — 223Offentlighets- och sekretesskommittén ser över bestämmelserna i sekretesslagen, se dir. 1998:32, och har kommit med förslag till ändringar i 15 kap. sekretesslagen, se SOU 2002:97. 1997/98:44 s. 66 och jämför prop. 1999/2000:40 s. 14. vända uppgifterna för direkt marknadsföring under alla förhållan- den först måste rensa registret från uppgifter om sådana personer som hos honom eller henne (eller till något anvisat reservationsre- gister) motsatt sig direkt marknadsföring. Den som vet att uppgif- ter om honom eller henne finns registrerade hos en privat person- uppgiftsansvarig kan alltså genom en anmälan till denne förhindra att de registrerade uppgifterna används för direkt marknadsföring (av den personuppgiftsansvarige eller någon annan till vilken denne skulle vilja lämna ut uppgifterna). Den registrerade behöver alltså inte vända sig med sin anmälan till alla potentiella marknadsförare som förr eller senare kan tänkas få uppgifterna från den person- uppgiftsansvarige. När det gäller personuppgiftsansvariga myndigheter är läget emellertid ett annat. Den registrerade kan visserligen vända sig till myndigheten med en anmälan och därigenom förhindra att myn- digheten själv använder hans eller hennes uppgifter för direkt marknadsföring (vilket i och för sig inte sker så ofta). En sådan anmälan förhindrar också att myndigheten utan att vara skyldig därtill enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordning- en lämnar ut uppgifterna till någon annan som myndigheten vet kommer att använda uppgifterna för direkt marknadsföring. Det följer av att 11 § personuppgiftslagen är tillämplig på myndighetens utlämnande i detta fall när utlämnandet inte görs till följd av den grundlagsfästa offentlighetsprincipen. Men en anmälan till en myn- dighet hindrar inte i sig automatiskt att myndigheten enligt 2 kap. tryckfrihetsförordningen lämnar ut uppgifterna, trots att myndigheten kan anta att uppgifterna kommer att användas av mottagaren för direkt marknadsföring. Det beror på att offentlig- hetsprincipen tar över personuppgiftslagen (se 8 § första stycket) och att det inte gäller sekretess enligt 7 kap. 16 § sekretesslagen bara för att myndighetens utlämnande skulle stå i strid med 11 § personuppgiftslagen. Att den enskilde hos myndigheten har motsatt sig att hans eller hennes uppgifter används för direkt marknadsföring hindrar alltså inte i sig automatiskt att myndigheten enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen lämnar ut uppgifterna för an- vändning för just det ändamålet. Därför har utredningen övervägt om det bör föreskrivas sekre- tess för personuppgifter om det kan antas att myndighetens utläm- nande av uppgiften står i strid med 11 § personuppgiftslagen. Sek- retessen skulle alltså gälla när den registrerade hos myndigheten har motsatt sig direkt marknadsföring och det kan antas att den som vill ha ut uppgiften skall använda den för det ändamålet. Utred- ningen har den uppfattningen att en sådan sekretessregel i och för sig är befogad och knappast kontroversiell. Utredningen anser emellertid att man generellt sett bör vara re- striktiv med nya sekretessbestämmelser, och något uppdrag att ut- vidga sekretessen har inte utredningen. Utredningen lämnar därför inte något förslag till utvidgad sekretess i den delen. Den slutsatsen har starkt påverkats av att utredningen funnit att de materiella reg- lerna om när man får vidta direkt marknadsföring och de generella s.k. reservationsregister som finns får anse ge ett tillräckligt skydd för den som vill motsätta sig sådan marknadsföring. Den bedömningen grundar sig på följande resonemang. finns det generella reservationsregister (spärregister) – NIX adressat för marknadsföring per post och NIX-Telefon för telefonmarknadsföring – dit enskilda som inte önskar direkt mark- nadsföring enkelt och kostnadsfritt kan anmäla sig. Alla näringsid- kare som avser att genomföra marknadsföring kan mot avgift få tillgång till registren för att undvika att rikta marknadsföring mot personer som registrerat sig. Som redan nämnts bör sekretess gälla om det kan antas att en personuppgift efter ett utlämnande kommer att behandlas i strid med personuppgiftslagen. Behandling för direkt marknadsföring är som regel, förutom vid samtycke, bara tillåten efter en intresseav- vägning enligt 10 § f personuppgiftslagen. Frågan är i vilken ut- sträckning myndigheten vid intresseavvägningen bör beakta om den som vill ha ut uppgifterna för direkt marknadsföring kommer att konsultera de generella reservationsregister som finns och inte rikta marknadsföring mot personer som registrerat sig där. Följan- de är därvid att beakta. I de två fall från Regeringsrätten som rört direkt marknadsföring har den enskildes rätt att motsätta sig att personuppgifterna an- vänds för direkt marknadsföring särskilt betonats vid intresseav- vägningen.225 I den branschöverenskommelse om direkt marknadsföring som Datainspektionen granskat anges bl.a. följande: För att tillmötesgå privatpersoners önskan att slippa direktmarknads- föring från företag, organisationer och liknande som de inte har någon anknytning till finns för vissa typer av adressuppgifter centrala allmänt 225 RÅ 2001 ref. 60 och RÅ 2002 ref. 54, se avsnitt 5.2.2. Se också SOU 1997:39 s. 362 f. tillgängliga spärregister dit de kan anmäla sig. Då adressuppgifter sam- las in från annan källa än den registrerade och då anknytning saknas mellan denne och den marknadsförare som planerar en direktmark- nadsföringskontakt (), skall den personuppgiftsansvarige som lämnar ut uppgifterna eller mottagaren av dessa tillse att uppgifterna i enlighet med god branschsed kontrolleras mot aktuellt sådant spärre- gister. Enligt branschöverenskommelsen krävs det alltså att den som från en myndighet får ut uppgifter för direkt marknadsföring konsulte- rar de generella spärregistren och, som det får förstås, respekterar spärrarna. I 13 b § tredje stycket marknadsföringslagen (1995:450) har det vidare införts en bestämmelse om att en näringsidkare som använ- der e-post vid icke begärd marknadsföring till fysiska personer skall respektera och regelbundet kontrollera register där personer som inte önskar få sådan marknadsföring med e-post kan registrera sig.226 Något sådant register avseende e-post finns dock såvitt känt inte i Sverige.227 Bakgrunden är bl.a. att branschen avvaktat anta- gandet och genomförandet av ett nytt EG-direktiv om dataskydd vid telekommunikation. Det s.k. kommunikationsdataskydds- direktivet har numera antagits.228 Det nya direktivet, som skulle ha varit genomfört , föreskriver i princip samtycke för direkt marknadsföring med e-post, fax eller automa- tiska uppringningsutrustningar (artikel 13), vilket verkar göra det mindre aktuellt och nödvändigt med ett reservationsregister över personer som motsätter sig direkt marknadsföring med e-post. Genomförandet av det nya direktivet i pågår för närvaran- de.229 Mot den bakgrunden är det utredningens uppfattning att det åt- minstone numera, för att intresseavvägningen skall utfalla till för- mån för direkt marknadsföring och uppgifterna således lämnas ut, 226Bestämmelsen genomför artikel 7.2 i E-handelsdirektivet, och rådets direktiv /31/EG av om vissa rättsliga aspekter på informationssam- hällets tjänster, särskilt elektronisk handel, på den inre marknaden (Direktiv om elek- tronisk handel) (EGT L 178, , s. 1), se prop. 2001/02:150, LU 2001/02:29 och Ds 2001:13. 227Jämför 2000:21 Spärregister för e-postreklam, där den be- dömningen gjordes att det för rapporten inte var möjligt att inrätta ett ef- fektivt spärregister. 228Europaparlamentets och rådets direktiv /58/EG av om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 31.7.2002, s. 37). 2003/04:43 och SOU 2002:109. krävs att den som vill ha ut uppgifterna kommer att konsultera de generella reservationsregister som finns och inte rikta marknadsfö- ring mot personer som registrerat sig där. Därmed skulle det alltså finnas fullgoda möjligheter för personer som vill undvika mark- nadsföring att uppnå det syftet även i fråga om uppgifter som finns hos myndigheter. Den inkonsekvens som ligger i att den som motsatt sig direkt marknadsföring hos en myndighet men inte till de generella reser- vationsregistren skulle kunna bli utsatt för marknadsföring på grund av uppgifter som av myndigheten lämnats ut enligt offent- lighetsprincipen i 2 kap. tryckfrihetsförordningen bör kunna accep- teras. I många fall kan det vara naturligt att den myndighet som får en anmälan om att en enskild motsätter sig direkt marknadsföring, såsom en serviceåtgärd, upplyser den enskilde om möjligheten att anmäla sig också till de generella reservationsregistren. Det är inte heller uteslutet att man vid intresseavvägningen enligt 10 § f personuppgiftslagen i samband med en prövning enligt 7 kap. 16 § sekretesslagen kan ta hänsyn till att vissa registrerade hos myndigheten motsatt sig direkt marknadsföring och anse att sekre- tess därför gäller för just deras uppgifter eftersom deras intressen överväger marknadsförarens.230 Det som talar emot en sådan till- lämpning är främst att intresseavvägningen då skulle göras på ett alldeles speciellt sätt vid utlämnanden som sker enligt offentlig- hetsprincipen. Vid utlämnanden som inte sker med stöd av offent- lighetsprincipen uppkommer nämligen inte frågan. Ett motsättande av direkt marknadsföring utgör då ett absolut hinder mot behand- ling (t.ex. utlämnande) för sådant ändamål enligt 11 § personupp- giftslagen, varför det beträffande den som motsatt sig direkt mark- nadsföring aldrig kan bli aktuellt med någon intresseavvägning en- ligt 10 § f personuppgiftslagen. Frågan får överlämnas till rättstil- lämpningen. 230 Jämför Ds 2002:60 s. 228 f. 16Ikraftträdande, övergångsbestämmelser och följdändringar Utredningen har inte funnit anledning att ange något exakt datum när de föreslagna lagändringarna bör träda i kraft. Det tidigaste da- tumet för ikraftträdande torde i praktiken vara . I fråga om övergångsbestämmelser har utredningen gjort följande överväganden. Enligt förslagen i fråga om behandling av personuppgifter som inte ingår i register (avsnitt 7) undantas viss behandling från vissa bestämmelser i personuppgiftslagen. För behandlingsåtgärder som vidtagits med sådana personuppgifter före ikraftträdandet har såle- des äldre föreskrifter gällt. Om en fråga om skadeståndsansvar med anledning av sådana behandlingsåtgärder kommer upp först efter ikraftträdandet, skall naturligtvis åtgärderna bedömas efter de före- skrifter som gällde när de vidtogs. Det har inte ansetts nödvändigt med en särskild övergångsbestämmelse om detta. I fråga om straffansvar ställer sig saken annorlunda, se nedan om 5 § lagen (1964:163) om införande av . För förslagen om registerutdrag (avsnitt 11) har det inte ansetts nödvändigt med någon övergångsbestämmelse. Den personupp- giftsansvarige som efter ikraftträdandet lämnar ett registerutdrag skall tillämpa de nya föreskrifterna, oavsett när ansökan om regis- terutdraget gjordes. För den avkriminalisering som föreslås (avsnitt 12) behövs inte någon särskild övergångsbestämmelse. I 5 § lagen (1964:163) om införande av finns det allmänna bestämmelser om vil- ken lag som skall tillämpas i fråga om straffansvar när det skett lag- ändringar efter det att en gärning begicks. I fråga om förslagen om överklagande av myndighetsbeslut (av- snitt 13) bör det i enlighet med allmänna principer uttryckligen Ikraftträdande, övergångsbestämmelser och följdändringar föreskrivas att de nya bestämmelserna inte skall tillämpas i fråga om överklagande av beslut som har meddelats före ikraftträdandet. Förslagen som rör offentlighetsprincipen och sekretesslagen (av- snitt 15) behöver inte förses med några övergångsbestämmelser. Utlämnande av uppgifter och allmänna handlingar som sker efter ikraftträdandet måste följa de nya föreskrifterna, oavsett när begä- ran om att få ta del av uppgifterna eller handlingarna gjordes. I fråga om följdändringar med anledning av de föreslagna lagänd- ringarna vill utredningen anföra följande. Utredningens förslag i fråga om personuppgifter i löpande text (avsnitt 7) och om överklagande av myndighetsbeslut (avsnitt 13) torde innebära att det är lämpligt att se över och eventuellt anpassa de särskilda registerförfattningar som innehåller bestämmelser om löpande text och om överklagande. Jämför också vad som sägs i avsnitt 14.2.4 om viss översyn med anledning av dom i det s.k. konfirmandlärarmålet. Också personuppgiftsförordningen innehåller bestämmelser om löpande text (4 och 8 §§) som kan behöva ses över. Utredningens förslag i fråga om registerutdrag (avsnitt 11) torde innebära att bestämmelsen i 7 a § arkivförordningen (1991:446) om registerutdrag bör ses över. 17 Konsekvenserna av förslagen Om förslagen i ett betänkande påverkar kostnaderna eller intäkter- na för det allmänna eller för enskilda, skall dessa beräknas och re- dovisas. Även de samhällsekonomiska konsekvenser i övrigt som förslagen kan innebära, skall redovisas. Om förslagen har betydelse för den kommunala självstyrelsen, för brottsligheten och det brottsförebyggande arbetet, för sysselsättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, kon- kurrensförmåga eller villkor i övrigt i förhållande till större före- tags, för jämställdheten mellan kvinnor och män eller för möjlighe- terna att nå de integrationspolitiska målen, skall konsekvenserna i dessa avseenden anges.231 Enligt utredningsdirektiven skall utredningen analysera eventuel- la ekonomiska konsekvenser med anledning av förslagen. När det gäller ekonomiska konsekvenser kan följande sägas. Ut- redningens förslag i fråga om behandling av personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar (avsnitt 7) och registerutdrag (avsnitt 11) innebär att behandlingen av personuppgifter underlättas i förhållande till vad som gäller utan att integritetsskyddet försvagas i prakti- ken. Utredningens förslag i dessa delar innebär således inte några ökade kostnader. Hur stora kostnadsminskningarna blir, efter så- dana initiala utbildnings- och uppdateringskostnader som alltid uppkommer vid lagändringar, har inte varit möjligt att beräkna. Det beror bl.a. på att man inte kan veta om eller i vilken utsträckning dagens regler faktiskt följs. För Datainspektionens verksamhet medför utredningens förslag behov av informationsinsatser riktade till personuppgiftsansvariga, personuppgiftsombud och allmänheten. Härtill kommer att inspek- tionen enligt utredningens förslag skall kunna ges ytterligare be- myndiganden att meddela föreskrifter och beslut i enskilda fall (av- 231 14 och 15 §§ kommittéförordningen (1998:1474). snitt 9). Detta innebär en åtminstone initial ansträngning för Data- inspektionen och medför att inspektionens resurser bör få bestå på åtminstone nuvarande nivå. Förslagen om avkriminalisering (avsnitt 12) innebär enligt ut- redningens bedömning inte några ökade kostnader och inte heller några nämnvärda intäktsminskningar (i form av uteblivna böter) eller kostnadsminskningar. Som redovisats i avsnitt 13 finns det möjlighet att överklaga myndighetsbeslut enligt personuppgiftslagen. Utred- ningens bedömning är att den enhetliga bestämmelse om överkla- gande som föreslås inte innebär några ökade kostnader. Förslagen som rör offentlighetsprincipen och sekretesslagen (av- snitt 15) innebär i princip bara förtydliganden som inte för med sig några nämnvärda ekonomiska konsekvenser. Utredningen kan vidare inte finna att lämnade förslag i övriga avseenden har några konsekvenser, som skall redovisas enligt 15 § kommittéförordningen. I vart fall kan några negativa sådana konse- kvenser inte förväntas. 18.1Förslaget till lag om ändring i personuppgiftslagen (1998:204) Personuppgifter som inte ingår i personregister Under denna underrubrik under huvudrubriken råde finns det en ny paragraf – 5 a § – om behandling av person- uppgifter som inte ingår i personregister. Ordet personregister har ansetts kunna användas såsom en sammanfattande beskrivning i rubriken trots att ordet inte återkommer i lagtexten. Paragrafen har placerats under huvudrubriken , eftersom dess huvudsakliga verkan är att – liksom 6–8 §§ under samma rubrik – föreskriva undantag från tillämpningen av vissa av paragraferna i lagen. Att paragrafen dessutom innehåller en materiell bestämmelse om att sådan behandling som undantas från andra paragrafer i lagen är tillåten bara under förutsättning att den inte innebär ett otillbör- ligt intrång i den personliga integriteten har inte ansetts hindra en sådan placering. 5 a § Bestämmelserna i 9, 10, 13, 21, 23, 24, 28, 33 och 42 §§ skall inte tillämpas på behandling av personuppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller samman- ställning av just personuppgifter. Sådan behandling får utföras bara om den inte innebär ett otillbörligt intrång i den personliga integrite- ten. Bestämmelsen, som är ny, har berörts i avsnitt 7.7 i den allmänna motiveringen. Bestämmelsen i första meningen innebär att vissa behandlingar av personuppgifter är undantagna från de angivna bestämmelserna i Vad som avses med en samling av personupp- gifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter har utförligt beskrivits i avsnitt 7.7.2. Personuppgifter som finns i en sådan samling som avses i 5 § andra stycket (om sådan annan än automatiserad behandling som omfattas av personuppgiftslagen) får alltid anses ingå i en sådan samling som avses i denna paragraf. Det innebär att undantaget i denna paragraf bara har betydelse för automatiserad behandling av personuppgifter (eftersom behandling av personuppgifter över huvud taget omfattas av lagen bara om uppgifterna ingår i ett register i enlighet med 5 § andra stycket). Eftersom hanteringsreglerna i personuppgiftslagen omfattar hela kedjan av behandlingar av en viss personuppgift från det att uppgif- ten samlas in till dess den utplånas, räcker det att insamlade eller producerade personuppgifter inte är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlät- ta sökning efter eller sammanställning av just personuppgifter. Om det finns flera avsikter med en enda insamling eller annan behand- ling av personuppgifter, skall lagens hanteringsregler tillämpas på den behandling av personuppgifter som inte är undantagen. Bestämmelsen i andra meningen slår fast när sådan behandling som avses i första meningen – dvs. behandling av personuppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter – är tillåten respektive förbjuden. Det anges således uttryckligen i be- stämmelsen att behandlingen får utföras, men bara under förutsätt- ning att behandlingen inte innebär ett otillbörligt intrång i den per- sonliga integriteten. Vad som avses med ett otillbörligt intrång i den personliga integriteten har berörts i avsnitt 7.7.4. Av 12 § andra stycket följer att den registrerade inte har rätt att motsätta sig sådan behandling som är tillåten enligt paragrafen. Om sådan behandling som avses i första meningen utförts trots att den innebär ett otillbörligt intrång i den personliga integriteten, har personuppgifterna behandlats i strid med personuppgiftslagen på ett sådant sätt att skadeståndsskyldighet inträder enligt 48 §. 8 § Bestämmelserna i denna lag tillämpas inte i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfri- hetsförordningen att söka efter, sammanställa och lämna ut person- uppgifter. Bestämmelserna innebär inte heller en sådan begränsning av en myndighets befogenhet att göra en sammanställning tillgänglig som avses i 2 kap. 3 § tredje stycket tryckfrihetsförordningen. Bestämmelserna hindrar inte heller att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Bestämmelsen i 9 § fjärde stycket gäller inte för en myndighets användning av personuppgifter i allmänna hand- lingar. Vid tillämpningen av denna paragraf jämställs med myndighet ett annat organ i den utsträckning som anges i 1 kap. 8 och 9 §§ sekre- tesslagen (1980:100). Ändringarna i första stycket och det nya tredje stycket har berörts i avsnitt 15.2 i den allmänna motiveringen. Genom ändringarna i första stycket klargörs att bestämmelserna om offentlighetsprincipen i 2 kap. tryckfrihetsförordningen alltid går före bestämmelserna i personuppgiftslagen. Ändringen i första meningen klargör att även sådan skyldighet att söka efter och sammanställa personuppgifter som finns enligt 2 kap. tryckfrihets- förordningen avses. Den nya andra meningen klargör uttryckligen att personuppgiftslagen inte är en lag som innehåller sådana befo- genhetsinskränkningar avseende sammanställningar som avses i 2 kap. 3 § tredje stycket tryckfrihetsförordningen. Genom det nya tredje stycket jämställs vid tillämpningen av para- grafen med myndigheter de organ som har skyldigheter enligt of- fentlighetsprincipen i 2 kap. tryckfrihetsförordningen. 26 § Den personuppgiftsansvarige är skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om per- sonuppgifter som rör den sökande behandlas eller ej. Behandlas sådana uppgifter skall skriftlig information lämnas också om a)vilka uppgifter om den sökande som behandlas, b)varifrån dessa uppgifter har hämtats, c)ändamålen med behandlingen, och d)till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. En ansökan enligt första stycket skall göras skriftligen hos den personuppgiftsansvarige och vara undertecknad av den sökande själv. Information enligt första stycket skall lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast efter det att ansökan gjordes. Sista stycket i paragrafen har överförts i sak oförändrat till 26 a § andra stycket. 26 a § Information enligt 26 § behöver inte lämnas i den utsträckning detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Information enligt 26 § behöver inte heller lämnas om personupp- gifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Vad som sagts gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats . Paragrafen är ny. Andra stycket har överförts i sak oförändrat från nuvarande 26 § tredje stycket. Bestämmelsen i första stycket, som är ny, har berörts i avsnitt 11.6. Bestämmelse innebär att information enligt 26 § inte behöver lämnas i den utsträckning detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Bestämmelsen har utformats efter förebild från 24 § tredje stycket första meningen. Det har dock klargjorts att det är bara i den utsträckning det visar sig vara omöjligt etc. som information inte behöver lämnas. Att information inte behöver lämnas om det visar sig vara omöj- ligt torde inte i sak innebära någon förändring av vad som gäller . I den utsträckning behandling av personuppgifter i ostrukture- rat material t.ex. i form av löpande text och ljud- och bildupptag- ningar är undantagen från skyldigheten enligt 9 § att bestämma än- damålen med behandlingen (se 5 a §) kan det dock vara omöjligt att ange ändamålen med den behandlingen, eftersom sådana ändamål faktiskt inte bestämts.