sou · GSB3106 · 2005-01-01 00:00:00 — Det framstår enligt vår mening som en onödig dubbelreglering att i den särskilda lagstiftning vi föreslår ta in en speciell paragraf som är en exakt motsvarighet till en bestämmelse som redan är tillämplig i den aktuella verksamheten. Vi kan inte heller se att föreslagen författningsreglering skulle medföra sådana tillämpningssvårigheter att det enbart på den grunden är motiverat 26 Se SOU 2004:6 s. 276. Författningsregleringen av behandling av folkbokföringsuppgifter med en annan ordning. Vidare kommer endast två författningar att vara tillämpliga i denna fråga om förslag till ändring i personuppgiftslagen genomförs. Vårt förslag: Personuppgiftslagens bestämmelser om rättelse av personuppgifter och om skadestånd skall tillämpas vid behand- ling av personuppgifter i arkivmyndigheternas verksamhet med folkbokföringsuppgifter. En arkivmyndighet kan inte vidta rättelse i det folkbok- föringsmaterial som överlämnats till myndigheten utan endast i anledning av att myndigheten behandlat uppgift i materialet felaktigt. Personuppgiftslagens bestämmelser om rättelse I korthet innebär bestämmelsen om rättelse i 28 § personuppgifts- lagen att den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana person- uppgifter som inte behandlats i enlighet med lagstiftningen. Den personuppgiftsansvarige har även, med vissa undantag, en skyldig- het att underrätta tredje man till vilken uppgifterna lämnats ut om korrigeringsåtgärden. Redan av de grundläggande kraven i 9 § personuppgiftslagen framgår emellertid att den personuppgiftsansvarige på egen hand måste vara aktiv för att se till att de behandlade uppgifterna är korrekta. Bestämmelsen i 28 § personuppgiftslagen innehåller regler om en rätt för den registrerade att påkalla den personupp- giftsansvariges aktivitet för att korrigera uppgifter, som gäller utöver de grundläggande kraven på den personuppgiftsansvarige enligt 9 §.27 Att en personuppgift rättas innebär att den ersätts eller komplet- teras med korrekta uppgifter. Med blockering avses en åtgärd som vidtas för att personuppgifter skall vara förknippade med informa- tion om att de är spärrade och om anledningen till spärren. Att en uppgift utplånas innebär att den förstörs så att den inte kan 27 Jfr m.fl., Personuppgiftslagen En kommentar, 2:uppl. Författningsregleringen av behandling av folkbokföringsuppgifter Skyldigheten att vidta rättelse åligger den personupp- giftsansvarige. Det är enligt vår uppfattning självklart att uppgifter hos en myndighet skall behandlas i enlighet med gällande lagstiftning och av väsentlig betydelse att åtgärder vidtas om personuppgifter behandlats felaktigt, för att intrång i den personliga integriteten skall undvikas. Vi anser därför att bestämmelsen om rättelse i 28 § personuppgiftslagen skall tillämpas vid behandling av folkbok- föringsuppgifter hos arkivmyndigheterna. När skall rättelse vidtas? En personuppgift skall rättas när den har behandlats felaktigt. I princip är all behandling av personuppgifter felaktig som strider mot den lagstiftning som reglerar behandlingen. Att i detalj ange vad som är felaktig behandling är därför inte möjligt, men något förenklat anser vi att en indelning av olika fel kan göras i två grupper. Felaktig behandling kan för det första bestå i att personuppgifter är oriktiga till sitt innehåll, dvs. felet finns inbyggt i uppgifterna (oriktiga uppgifter). Felaktig behandling kan även bestå i att personuppgifter, oavsett om de är korrekta eller inte, används på ett felaktigt sätt i verksamheten, dvs. felet ligger i hur uppgifterna används (oriktig användning). Bedömningen av om en uppgift används på ett oriktigt sätt måste göras mot bakgrund av de bestämmelser som gäller för behandling av personuppgifter i arkivmyndigheternas verksamhet med folkbokföringsuppgifter. Oriktig användning kan t.ex. innebära att en uppgift används på ett sätt som är oförenligt med de ändamål som gäller för verksam- heten. Det är emellertid inte alltid självklart om en uppgift är oriktig. Det viktiga i det här sammanhanget är enligt vår uppfattning att bedömningen av om en uppgift skall anses vara oriktig eller inte, dvs. om den skall rättas, görs mot bakgrund av vilka krav verk- samheten ställer på uppgiftsbehandlingen. Även om det inte är möjligt att ge en exakt definition på vad som är en oriktig uppgift, anser vi att följande utgångspunkt bör kunna föreligga. En uppgift är, trots att den inte återger en korrekt bild av ett sakförhållande, inte oriktig i den bemärkelsen att den måste rättas, om den korrekt återger ett händelseförlopp i verksamheten och dessutom behövs i densamma. Författningsregleringen av behandling av folkbokföringsuppgifter Omständigheterna när det gäller rättelse är något speciella i fråga om uppgifter som behandlas hos arkivmyndigheterna. Folkbok- föringsmaterialet är överlämnat material som arkivmyndigheterna inte kan ändra i. Arkivmyndigheternas uppgift är att bevara folkbokföringsmaterialet i det skick och med de uppgifter materialet innehöll när det överlämnades till arkivmyn- digheten. Uppgifterna är därför inte felaktiga och skall heller inte rättas så länge de korrekt återspeglar det material som överlämnats till den aktuella arkivmyndigheten. Det ligger därför närmare tillhands att en arkivmyndighet kan bli skyldig att göra rättelse därför att uppgifterna använts felaktigt (oriktig användning), än att rättelse behöver ske av de registrerade uppgifterna i sig (oriktig uppgift). I praktiken innebär detta att arkivmyndigheterna endast kan upphöra med behandling som är felaktig. Enskildas rätt till skadestånd Enligt 48 § personuppgiftslagen skall den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen har orsakat. Skadestånd kan komma i fråga vid varje brott mot lagen och utgår trots att ingen har skadats fysiskt eller ekonomiskt och trots att den personuppgiftsansvarige inte haft uppsåt att göra fel eller varit försumlig vid behandlingen. Bakgrunden till denna stränga reglering är att bestämmelsen om skadestånd, precis som enskildas rättigheter i övrigt enligt lagen, rätt till information och rättelse m.m., har till syfte att skydda människor mot kränkning av den personliga integriteten genom behandling av personuppgifter.28 Rätt till skadestånd bör finnas även för skada och kränkning som uppstår när uppgifter behandlas i strid med de särskilda bestäm- melserna i våra lagförslag. Beroende på personuppgiftslagens utformning av 28 § om rättelse och 48 § om skadestånd är det nödvändigt att i den föreslagna lagen ha en särskild bestämmelse som anger att dessa bestämmelser är tillämpliga på behandling enligt den lag vi föreslår. 28 Jfr prop. 1997/98:44 s. 106 och SOU 1997:39 s. 432. Författningsregleringen av behandling av folkbokföringsuppgifter Våra förslag: beslut om rättelse och om information som skall lämnas efter ansökan av en registrerad skall kunna överklagas. Överklagande skall ske hos allmän förvaltningsdomstol, dvs. Prövningstillstånd skall krävas vid överklagande till kammarrätt. Inom de särskilda registerförfattningarnas områden har det av rättssäkerhetsskäl ansetts viktigt att myndigheternas beslut i frågor som rör rätten till information och krav på att behandlade uppgifter är korrekta, kan överklagas av enskilda i den för förvaltningsbeslut gällande ordningen. Således tas i registerförfattningar regelmässigt in en bestämmelse som innebär att en myndighets beslut om rättelse och om information som skall lämnas enligt 26 § person- uppgiftslagen får överklagas hos allmän förvaltningsdomstol. har utrett hur myndighetsbeslut enligt personuppgiftslagen skall kunna överklagas. Med utgångs- punkt från vilka myndighetsbeslut enligt personuppgiftslagen som direkt berör den enskilde på ett sådant sätt att de bör få överklagas har utredningen föreslagit att en bestämmelse om i vilka fall och hur en myndighets beslut överklagas tas in direkt i personuppgifts- lagen. Enligt förslaget skall en myndighets beslut om information enligt 26 §, om rättelse och underrättelse till tredje man om rättelseåtgärder enligt 28 §, om information om automatiserade beslut enligt 29 § andra stycket och om allmänna upplysningar om pågående behandlingar enligt 42 § personuppgiftslagen få över- klagas hos allmän förvaltningsdomstol. Andra beslut av myndighet enligt personuppgiftslagen skall inte få överklagas och prövnings- tillstånd krävs vid överklagande till kammarrätten.29 förslag har ännu inte resulterat i lagstiftning. Denna omständighet medför att en särskild bestäm- melse, som anger i vilka fall och hur en arkivmyndighets beslut överklagas av en enskild, alltjämt måste tas in i den av oss före- slagna lagen. Vi har noga beaktat förslag om hur myndighetsbeslut enligt personuppgiftslagen skall kunna över- klagas. Vi har emellertid inte funnit skäl att nu gå så långt som 29 Se SOU 2004:6 s. 218 ff. Författningsregleringen av behandling av folkbokföringsuppgifter utredningen föreslår utan stannar vid att för arkivmyndigheternas behandling av folkbokföringsuppgifter föreslå vad som normalt gäller för särskilda registerförfattningar. Således skall en arkivmyn- dighets beslut om rättelse och om information som skall lämnas enligt 26 § personuppgiftslagen få överklagas hos allmän förvalt- ningsdomstol. Frågan bör eventuellt ånyo aktualiseras sedan ställning tagits till förslag. Som framgår av avsnitt 7.8.1 är det vår uppfattning att 26 § personuppgiftslagen, i den utsträckning som anges i 7 a § arkiv- förordningen (1991:446), inte skall gälla för arkivmyndigheternas behandling av folkbokföringsuppgifter. Av nämnda undantags- bestämmelse i arkivförordningen följer att information enligt 26 § personuppgiftslagen inte behöver lämnas om det är omöjligt eller skulle medföra en oproportionerligt stor arbetsinsats. Enligt vår mening talar mycket för att arkivmyndigheternas verksamhet, inklusive behandlingen av folkbokföringsuppgifter, är av sådan art och omfattning att det typiskt sett innebär en oproportionerligt stor arbetsinsats att lämna s.k. registerutdrag enligt 26 § person- uppgiftslagen. Vad som i det enskilda fallet är en sådan oproportionerligt stor arbetsinsats att det berättigar en arkiv- myndighet att vägra lämna information måste emellertid slutligen få avgöras av domstol. beslut om information som skall lämnas efter ansökan från en registrerad bör därför få överklagas. Beslut av en myndighet som direkt berör en enskild och som inte är av rent intern administrativ karaktär, bör enligt vår uppfattning i allmänhet kunna överklagas. I enlighet härmed bör det även finnas möjlighet att överklaga arkivmyndighets beslut om rättelse. Den normala ordningen när en myndighet fattar beslut av förvaltningskaraktär är enligt 22 a § förvaltningslagen (1986:223) att beslutet kan överklagas hos allmän förvaltningsdomstol (länsrätt) och att det krävs prövningstillstånd för vidare över- klagande till kammarrätten. Detta är också vad som generellt gäller för nyare författningar om behandling av personuppgifter i offentlig verksamhet.30 Vi föreslår därför en sådan ordning. 30 Jfr t.ex. SFS 2001:85, 181–185, 454 och 935. 8.1Behandling av känsliga personuppgifter Vårt förslag: Behandling av känsliga personuppgifter i arkiv- myndigheternas verksamhet med folkbokföringsuppgifter skall inte regleras särskilt, utan personuppgiftslagens bestämmelser skall vara tillämpliga. Med känsliga personuppgifter avses enligt personuppgiftslagen uppgifter om ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller upp- gifter som rör hälsa eller sexualliv. Det är enligt personuppgifts- lagen i princip förbjudet att behandla känsliga personuppgifter. Förbudet är emellertid inte undantagslöst. Liksom andra person- uppgifter får även känsliga personuppgifter behandlas bl.a. efter den registrerades samtycke. Vidare får regeringen eller den myn- dighet regeringen bestämmer, dvs. Datainspektionen, meddela föreskrifter om ytterligare undantag, om det behövs med hänsyn till ett viktigt allmänt intresse. Det folkbokföringsmaterial som förvaras av arkivmyndigheterna är, som tidigare framhållits, överlämnat material som arkivmyndig- heterna inte får ändra eller gallra i. En naturlig följd av detta är att arkivmyndigheterna måste få behandla alla typer av uppgifter som finns i materialet, även om det till viss del består av känsliga personuppgifter. Enligt den av oss föreslagna lagstiftningen gäller personuppgiftslagen vid arkivmyndigheternas hantering av folk- bokföringsuppgifter när det gäller behandling av känsliga person- uppgifter. Mot bakgrund härav finns det anledning att närmare beröra arkivmyndigheternas möjlighet att med hänsyn till person- uppgiftslagens bestämmelser behandla känsliga personuppgifter. Av personuppgiftslagens bestämmelser följer alltså ett generellt förbud för arkivmyndigheterna att behandla känsliga personupp- Emellertid gäller enligt 8 § första stycket personuppgifts- lagen att personuppgiftslagens regler inte tillämpas i den utsträck- ning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut uppgifter. Vidare gäller enligt 8 § andra stycket personuppgiftslagen att lagens bestäm- melser inte hindrar att en myndighet arkiverar och bevarar all- männa handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Den verksamhet som är aktuell består i att arkivmyndighet tar hand om arkivmaterial och syftet med verksamheten är att bevara materialet och bl.a. tillgodose rätten enligt tryckfrihets- förordningen att ta del av allmänna handlingar. Personuppgifts- lagens regler hindrar således inte arkivmyndigheternas hantering av folkbokföringsmaterial på den grunden att den innefattar behand- ling av känsliga personuppgifter. Detta framstår också som helt naturligt när det som påpekats tas i beaktande att folkbokföringsuppgifterna består av överlämnat arkivmaterial som arkivmyndigheterna inte får ändra i och det föreligger en i lag reglerad rättslig förpliktelse för arkiv- myndigheterna att bevara materialet . I samman- hanget kan också påpekas att arkivmyndigheterna inte för in några nya uppgifter eller gallrar i folkbokföringsmaterialet. Vad som behöver diskuteras särskilt, när det gäller arkivmyndig- heternas behandling av känsliga personuppgifter i förhållande till personuppgiftslagen, är den direktåtkomst som föreslås bli möjlig för enskilda beträffande uppgifter som är äldre än sjuttio respektive . Sådan direktåtkomst av personuppgifter innebär en behandling som inte omfattas av myndigheternas skyldighet enligt tryckfrihetsförordningen att lämna ut allmänna handlingar och kan inte heller sägas vara en åtgärd som sker för arkivändamål i övrigt. Beträffande denna behandling är således inte personuppgiftslagens regler om förbud mot behandling av känsliga personuppgifter undantagna med stöd av bestämmelserna i 8 § personuppgiftslagen. Enligt vår mening får emellertid utformningen av de föreslagna bestämmelserna om direktåtkomst i sig anses utgöra undantag från personuppgiftslagens förbud mot behandling av känsliga person- uppgifter. Arkivmyndigheterna får därför anses ha rätt att behandla känsliga personuppgifter i sin verksamhet med folkbokförings- uppgifter. Genom möjlighet till direktåtkomst tillgodoses ett starkt allmänt intresse av att få tillgång till viktiga och mycket efterfrågade Det är vår mening att detta allmänna intresse överväger den begränsade risk för integritetsintrång som föreligger i fråga om uppgifter som är så gamla att de enligt våra förslag kan bli tillgängliga för direktåtkomst. Detta får särskilt anses gälla när uppgifterna är . I fråga om de uppgifter som är äldre än , men yngre än , gäller vidare enligt vårt förslag att regeringen, eller den myndighet som regeringen bestämmer, meddelar närmare före- skrifter om vilka uppgifter som får omfattas av direktåtkomsten. Enligt personuppgiftslagen får regeringen, eller den myndighet som regeringen bestämmer, meddela undantag från förbudet mot behandling av känsliga personuppgifter om det behövs med hänsyn till ett viktigt allmänt intresse. Enligt vår uppfattning är allmän- hetens tillgång till historiska folkbokföringsuppgifter ett sådant viktigt allmänt intresse. Regeringen, eller den myndighet rege- ringen bestämmer, kan härvid föreskriva att såväl den typ av upp- gifter som enligt personuppgiftslagen betraktas som känsliga som andra uppgifter inte får omfattas av direktåtkomsten. Härigenom får nödvändigt skydd för den personliga integriteten anses vara tillvarataget och personuppgiftslagens förbud mot behandling av känsliga personuppgifter undantaget. Mot bakgrund härav anser vi att det inte behövs några särskilda bestämmelser om behandling av känsliga personuppgifter i den lagstiftning vi föreslår för arkivmyndigheternas behandling av folkbokföringsuppgifter. 8.2Överföring av personuppgifter till tredje land Vår bedömning: Överföring av personuppgifter till tredje land behöver inte regleras särskilt för att arkivmyndigheterna skall kunna göra folkbokföringsuppgifter tillgängliga för allmänheten genom utlämnande på Internet. Det är enligt 33 § personuppgiftslagen principiellt förbjudet att föra över personuppgifter till ett land som inte är medlem i EU eller anslutet till EES om landet inte har en adekvat nivå för skyddet av personuppgifter. Från förbudet finns i 34 och 35 §§ personuppgiftslagen undantag, bl.a. om den registrerade har samtyckt till en överföring till tredje land. Regeringen får vidare meddela föreskrifter om generella undantag från förbudet att föra över personuppgifter till tredje land. Regeringen eller, om rege- ringen bestämmer det, Datainspektionen får också föreskriva undantag när det behövs med hänsyn till viktiga allmänna intressen eller om överföringen sker under sådana omständigheter att det finns tillräckliga garantier till skydd för de registrerades rättigheter. Dessutom får regeringen under vissa förutsättningar besluta om undantag från förbudet i enskilda fall. Förbudet mot överföring av personuppgifter till tredje land har ansetts innefatta ett hinder mot att publicera uppgifter på en hemsida eller motsvarande, som är åtkomlig via Internet.1 Genom ett avgörande i har som tidigare nämnts numera lagts fast att publicering av uppgifter på en webbsida inte utan vidare omfattas av begreppet överföring av uppgifter till tredje land, även om dessa uppgifter härigenom blir åtkomliga för personer i tredje land (jfr avsnitt 4.6.5). En kvinna som arbetade som ledare för konfirmander hade skapat webbsidor med uppgifter om henne själv och hennes arbetskamrater inom pastoratet. Hemsidan innehöll bl.a. namn, familjeförhållanden och tele- fonnummer. Även arbetskamraternas arbetsuppgifter och fritids- vanor beskrevs och i något fall fanns även vissa hälsouppgifter angivna. Domstolen uttalade i målet att det inte föreligger någon överföring av uppgifter till tredje land i den mening som avses i artikel 25 i dataskyddsdirektivet när en person som befinner sig i en medlemsstat lägger ut personuppgifter på en hemsida som är lagrad hos den som tillhandahåller honom servertjänster, vilken är etablerad i samma medlemsstat eller i en annan medlemsstat, varvid uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land.2 avgörande har blivit föremål för särskild analys av i betänkandet Översyn av personuppgiftslagen. Enligt är det svårt att dra några generella slutsatser av svar, eftersom det i formell mening är begränsat till en viss situation och domstolen uttryckt sig på ett sätt som antyder att svaret har en begränsad räckvidd. Utredningen gör därför den sammanfattande bedömningen att svar inte ger tillräcklig vägled- ning för att förtydliga lagtexten i personuppgiftslagen. Utredningen anser emellertid att det med hänsyn till de argument som för fram finns anledning att anta att domstolen 1Se t.ex. SOU 1997:39 s. 413 och m.fl., Personuppgiftslagen En kommentar s. 246 f. 2Se dom i mål C-101/01. i kommande mål med användning av samma argument kommer att finna att även andra förfaranden som leder till Internetpublicering inte utgör en överföring av uppgifter till tredje land i dataskydds- direktivets mening.3 Domstolen anför bl.a. att det med hänsyn till att Internet inte var fullt utvecklat då direktivet utarbetades inte kan presumeras att gemenskapslagstiftarens avsikt var att en inskrivning av person- uppgifter på en hemsida på Internet skall omfattas av begreppet överföring av personuppgifter till tredje land för sådana personer som har de tekniska möjligheterna att få tillgång till hemsidan (punkt 68 i domen). Domstolen framhåller också att en tillämpning av överföringsbegreppet på Internetpublicering skulle kunna leda till den orimliga konsekvensen att inte en enda personuppgift kan läggas ut på Internet (punkt 69 i domen). Mot bakgrund härav utgör personuppgiftslagens regler om förbud mot överföring av personuppgifter till tredje land enligt vår uppfattning inte hinder mot att arkivmyndigheterna publicerar personuppgifter på Internet.4 Någon särskild bestämmelse om undantag från personuppgiftslagens förbud mot överföring av personuppgifter till tredje land är därför enligt vår mening inte nödvändig för att arkivmyndigheterna, i den utsträckning som anges i 4 § författningsförslaget, skall kunna göra folkbokförings- uppgifter tillgängliga för allmänheten genom utlämnande på Internet. 8.3Utlämnande av uppgifter på medium för automatiserad behandling Vårt förslag: Utlämnande av uppgifter på medium för auto- matiserad behandling skall inte regleras särskilt i lagen om behandling av folkbokföringsuppgifter hos de statliga arkiv- myndigheterna. Ett utlämnande på medium för automatiserad behandling innebär att informationen lämnas ut i elektronisk form på ett sådant sätt att mottagaren kan bearbeta informationen, t.ex. genom användning av e-post, utlämnande på diskett eller cd-rom. Det betyder att elek- 3Se SOU 2004:6 s. 229 ff. 4Jfr dom i mål B 4151-04 och Datainspektionens beslut Dnr 454-2004. troniskt utlämnade av uppgifter och handlingar som innebär att mottagaren endast kan läsa informationen och inte bearbeta den, t.ex. genom en allmänhetens terminal i arkivmyndighetens forskar- sal, inte är ett utlämnande på medium för automatiserad behand- ling. Genom direktåtkomst, t.ex. via Internet, kan mottagaren utan föregående begäran hos myndigheten i regel kopiera informationen och därefter bearbeta den. Direktåtkomst är därför den mest känsliga formen av utlämnande på medium för automatiserad behandling och av den anledningen har för denna kategori av utlämnande föreslagits särskilda regler, se avsnitt 7.6.3. I föreliggande avsnitt tas sådant elektroniskt utlämnande upp som inte innebär direktåtkomst till uppgifterna, utan utlämnande som föregås av myndighetens kontroll av vilka uppgifter som mottagaren vid visst tillfälle tar del av. Enligt 9 § personuppgiftslagen får uppgifter samlas in bara för särskilda, uttryckliga och berättigade ändamål och senare behand- ling får inte ske på ett sätt som är oförenligt med de ändamålen. En uppgift som samlats in för ett visst ändamål får inte lämnas ut, om utlämnandet är oförenligt med det ursprungliga ändamålet. För författningsreglerad offentlig verksamhet innebär detta att utläm- nande av personuppgifter som omfattas av personuppgiftslagen inte får vara oförenligt med de olika ändamål som gäller för behandling av personuppgifterna. Oavsett ändamålen gäller dock att uppgifter alltid får lämnas ut till enskilda med stöd av offentlighetsprincipen.