sou · GSB36d2 · 2005-01-01 00:00:00 — Svaret gäller vidare bara den situationen att en individ lägger ut personuppgifter på en hemsida som är lagrad hos någon annan som har den webbplats där sidan kan konsulteras. har således inte uttalat sig om det fallet att en person själv har en webbplats ansluten till Internet. Svaret är vidare begränsat till det fallet att den fysiska eller juridiska person som har webbplatsen är Särskilt om dom i konfirmandlärarmålet etablerad i en medlemsstat. Däremot har det enligt domstolens mo- tivering inte någon betydelse var servern med webbplatsen finns. Av domstolens svar, inklusive motiveringen, kan man således dra den slutsatsen att det finns förfaranden som inte utgör överföring till tredje land i EG-direktivets mening trots att personuppgifter läggs ut på en server som finns i tredje land. Domstolens svar är alltså i formell mening begränsat till en viss situation. Å andra sidan är de huvudargument som domstolen ver- kar ha anfört som motivering för svaret av allmängiltig natur – ge- menskapslagstiftarens avsikt mot bakgrund av att aktuell del i EG- direktivet inte innehåller Internetanpassade bestämmelser och att Internet inte var fullt utvecklat då EG-direktivet utarbetades (punkt 68 i domen) och att en tillämpning av överföringsbegreppet på Internetpublicering skulle kunna leda till den orimliga konse- kvensen att inte en enda personuppgift kan läggas ut på Internet (punkt 69 i domen). Trots att argumenten verkar ha giltighet för varje form av åtgärd som leder till Internetpublicering, har EG- domstolen på det sätt som beskrivits valt att uttrycka sig på ett sätt som antyder att svaret har en begränsad räckvidd. Tar man fasta på de argument som för fram, finns det anledning att anta att i kommande mål med an- vändning av samma argument kan komma att finna att även andra förfaranden som leder till Internetpublicering inte utgör en överfö- ring av uppgifter till tredje land i EG-direktivets mening. Argu- menten är nämligen så allmängiltiga att de bör kunna användas på motsvarande sätt även i andra fall. Utredningens sammanfattande bedömning är ändå att EG- domstolens svar inte ger tillräcklig vägledning för att förtydliga lagtexten i personuppgiftslagen. I förarbetena till 33 § personuppgiftslagen har det uttryckligen angetts att de överföring- ar som avses i paragrafen är desamma som avses i artikel 25.1 i EG- direktivet.185 Domstolens svar visar visserligen att vissa förfaranden som syftar till att lägga ut personuppgifter på Internet inte utgör överföring av uppgifterna till tredje land. Men det går inte att med ledning av domstolens svar utforma en generell regel om dessa för- faranden. Och det förefaller för vågat att med ledning av bara dom- stolens huvudargument i motiveringen nu ändra lagtexten så att det framgår att inte någon Internetpublicering omfattas av begreppet överföring. 1997/98:44 s. 137. Särskilt om dom i konfirmandlärarmålet Utredningen vill tillägga att svar, som visar att inte varje åtgärd som leder till Internetpublicering utgör en överfö- ring av uppgifter till tredje land i EG-direktivets mening, kan göra det befogat att se över annan lagstiftning än personuppgiftslagen. När man velat i författningstext uttrycka att viss Internetpublice- ring är tillåten har man nämligen ofta talat om överföring av upp- gifter. Mot bakgrund av svar förefaller det lämpligt att överväga om författningstexten inte i stället borde exempelvis direkt slå fast att under vissa förutsättningar får personuppgifter publiceras öppet på Internet och andra allmänna kommunikations- nätverk. Utredningen tänker här bl.a. på bestämmelserna i 12 § per- sonuppgiftsförordningen (1998:1191), 9 § förordningen (1995:1386) med instruktion för , 23 § rättsinformationsförordningen (1999:175), 8 § andra stycket förordningen (2001:720) om behandling av personuppgifter i verk- samhet enligt utlännings- och medborgarskapslagstiftningen och 1 § förordningen (2002:61) om behandling av personuppgifter i verksamhet med val. Utredningen vill slutligen peka på att, eftersom det nu fastslagits att inte varje åtgärd som leder till Internetpublicering utgör en överföring av uppgifter till tredje land i EG-direktivets och person- uppgiftslagens mening, det i förarbetena finns flera uttalanden av bl.a. regeringen, Lagrådet och som uppen- barligen bygger på delvis felaktiga förutsättningar, nämligen att varje åtgärd som leder till öppen publicering av uppgifter på Inter- net innebär att dessa förs över till tredje land.186 Det är emellertid svårt att göra något åt i efterhand. 14.2.5Förhållandet till andra fri- och rättigheter har slagit fast följande: Bestämmelserna i [EG- direktivet] utgör inte i sig en begränsning som står i strid med den allmänna principen om yttrandefrihet, eller andra fri- och rättighe- ter, som gäller inom Europeiska unionen och som har en motsva- righet i bland annat artikel 10 i []. Det an- kommer på de nationella myndigheter och domstolar som skall till- lämpa de nationella bestämmelser genom vilka [EG-direktivet] har införlivats att garantera en rättvis balans mellan de rättigheter och 186 Se t.ex. prop. 1999/2000:11 och KU 1998/99:15 och 1999/2000:7. Särskilt om dom i konfirmandlärarmålet skyldigheter som är i fråga, inklusive de grundläggande rättigheter som skyddas genom gemenskapens rättsordning. I domstolens motivering anges följande: 79 Av sjunde skälet i direktiv /46 följer att skillnaderna mellan de nationella lagar och andra författningar som är tillämpliga på behand- ling av personuppgifter kan inverka allvarligt på upprättandet av den inre marknaden och hur denna fungerar. Enligt tredje skälet i samma direktiv skall ändamålet för harmoniseringen av dessa nationella be- stämmelser inte bara vara ett fritt flöde av dessa uppgifter mellan med- lemsstaterna, utan även att skydda personers grundläggande rättigheter. Dessa målsättningar kan givetvis komma i konflikt med varandra. 80 Å ena sidan kommer den ekonomiska och sociala integration som är en följd av upprättandet av den inre marknaden och dennas funktion med nödvändighet att leda till en betydande ökning av flödet av per- sonuppgifter mellan samtliga aktörer på de ekonomiska och samhälleli- ga områdena, oavsett om det är fråga om företag eller medlemsstaternas myndigheter. De nämnda aktörerna behöver i viss mån ha tillgång till personuppgifter för att genomföra sina transaktioner eller för att utföra sina arbetsuppgifter inom det område utan inre gränser som den inre marknaden innebär. 81 Å andra sidan begär de personer som berörs av behandlingen av personuppgifter med rätta att dessa uppgifter skall skyddas effektivt. 82 De mekanismer som gör det möjligt att göra en avvägning mellan dessa olika rättigheter och intressen är för det första inskrivna i direktiv /46 självt, i den del i direktivet föreskrivs regler som avgör i vilka si- tuationer och i vilken mån det är tillåtet att behandla personuppgifter och vilket skydd som skall föreskrivas, och följer för det andra av att medlemsstaterna har antagit nationella bestämmelser vilka säkerställer att detta direktiv genomförs och av de nationella myndigheternas even- tuella tillämpning av dessa regler. 83 Vad beträffar själva direktivet 95/46 är bestämmelserna i det med nödvändighet relativt allmänna med hänsyn till att de skall tillämpas på ett stort antal mycket olikartade situationer. I motsats till vad [konfir- mandläraren] har anfört är det således med rätta som detta direktiv in- nehåller regler som karaktäriseras av en viss tänjbarhet och som det i direktivet i fråga i många fall överlåts till medlemsstaterna att fastställa detaljerna eller att välja bland de möjligheter som finns. 84 Det är riktigt att medlemsstaterna i många avseenden har ett be- tydande handlingsutrymme när de skall införliva direktiv /46. Det finns dock ingenting som medför att bestämmelserna i detta direktiv brister i förutsebarhet eller att bestämmelserna som sådana strider mot de allmänna gemenskapsrättsliga principerna, särskilt inte mot de Särskilt om dom i konfirmandlärarmålet grundläggande rättigheter som skyddas genom gemenskapens rättsord- ning. 85 Det är snarare på det stadium när de bestämmelser genom vilka direktiv /46 har införlivats tillämpas i enskilda fall som en rättvis av- vägning mellan de rättigheter och intressen som är i fråga skall göras. 86 I detta sammanhang har de grundläggande rättigheterna en sär- skild betydelse, såsom visas av målet vid den nationella domstolen, där det sammanfattningsvis måste göras en avvägning mellan å ena sidan [konfirmandlärarens] yttrandefrihet i sitt arbete som handledare för konfirmander samt friheten att utöva verksamhet som bidrar till det re- ligiösa livet, och å andra sidan skyddet av privatlivet för de personer om vilka [konfirmandläraren] har lagt ut uppgifter på sin webbplats på In- ternet. 87 Följaktligen ankommer det på myndigheterna och domstolarna i medlemsstaten inte bara att tolka sin nationella rätt på ett sätt som står i överensstämmelse med direktiv /46, utan även att se till att inte grunda sig på en tolkning av detta direktiv som skulle stå i strid med de grundläggande rättigheter som skyddas genom gemenskapens rättsord- ning eller med andra allmänna gemenskapsrättsliga principer, såsom bland annat proportionalitetsprincipen. 88 Visserligen kräver skyddet av privatlivet att effektiva sanktionsåt- gärder tillämpas gentemot personer som behandlar personuppgifter på ett sätt som inte överensstämmer med direktiv /46, men sådana sank- tionsåtgärder måste alltid stå i överensstämmelse med proportionali- tetsprincipen. Detta gäller i desto högre grad som det är uppenbart att tillämpningsområdet för direktiv /46 är mycket vidsträckt och att skyldigheterna för personer som behandlar personuppgifter är många och betydande. 89 I enlighet med proportionalitetsprincipen ankommer det på den hänskjutande domstolen att beakta alla omständigheterna i det mål som är anhängigt vid den, bland annat överträdelsen av de regler genom vilka direktiv /46 har pågått samt hur viktigt det är för de berörda att de uppgifter som har spritts skyddas. I svar och i motiveringen för det betonas att det ankommer på nationella myndigheter och domstolar att vid till- lämpningen av de nationella bestämmelser som genomför EG- direktivet garantera en rättvis balans mellan olika rättigheter och skyldigheter. Det tyder på att anser att det är i rättstillämpningen i det enskilda fallet – och inte vid genomföran- det av EG-direktivet – som den angivna balansen skall beaktas och garanteras. Bestämmelserna i , som skall genomföras, strider ju enligt inte i sig mot några fri- och rättig- Särskilt om dom i konfirmandlärarmålet Motsvarande resonemang kan föras i fråga om den propor- tionalitetsprincip som talar om i sin motivering. Vad man mot bakgrund av svar kan överväga är att i personuppgiftslagen på något sätt markera att en avvägning mellan olika rättigheter och skyldigheter skall ske i rättstillämp- ningen. I den danska genomförandelagstiftningen finns det t.ex. en bestämmelse om att lagen inte skall tillämpas om det skulle stå i strid med informations- och yttrandefriheten, jämför artikel 10 i Europakonventionen.187 En markering i lagtexten skulle dock inte ge personuppgiftsan- svariga och registrerade mycket vägledning. Härtill kommer att redan gäller som svensk lag (SFS 1994:1219), att det redan i personuppgiftslagen finns förtydliganden om lagens förhållande till vissa grundlagsfästa rättigheter och skyldigheter (7 § första stycket och 8 § första stycket) och att det, såvitt utred- ningen känner till, inte i annan svensk lag finns någon motsvarande markering. har också vid sin tillämpning av per- sonuppgiftslagen tillmätt bestämmelserna i en betydande vikt (se NJA 2001 s. 409, citerad i avsnitt 5.2.1). Ut- redningen har därför kommit fram till att det inte behövs något (ytterligare) förtydligande i personuppgiftslagen. I fråga om pro- portionalitet vid utdömandet av sanktioner kan också hänvisas till avsnitt 12 om avkriminalisering. 14.2.6Den nationella lagstiftningen om personuppgifter har slagit fast följande: De åtgärder som medlems- staterna vidtar för att säkerställa skyddet av personuppgifter skall stå i överensstämmelse med såväl bestämmelserna i [EG-direktivet] som med dess målsättning att upprätthålla en balans mellan det fria flödet av personuppgifter och skyddet för privatlivet. Däremot hindrar ingenting att en medlemsstat utökar räckvidden av den na- lagstiftning varigenom bestämmelserna i [EG-direktivet] har införlivats till att omfatta områden som inte ingår i direktivets tillämpningsområde, såvida ingen annan gemenskapsrättslig be- stämmelse utgör hinder för detta. I domstolens motivering anges följande: 187 § 2 stk 2. lov nr. 429 af 31.5.2000 om behandling af personoplysninger. Särskilt om dom i konfirmandlärarmålet 95 Såsom följer av bland annat åttonde skälet i direktiv /46 syftar direktivet i fråga till att göra skyddsnivån när det gäller personers fri- och rättigheter med avseende på behandlingen av personuppgifter lik- värdig i alla medlemsstater. I tionde skälet tilläggs att tillnärmningen av de nationella lagstiftningar som är tillämpliga på området inte får med- föra någon inskränkning i det skydd de ger, utan skall i stället syfta till att garantera en hög skyddsnivå inom gemenskapen. 96 Harmoniseringen av de nämnda nationella lagstiftningarna in- skränker sig således inte till en minimiharmonisering, utan leder till en i princip fullständig harmonisering. Det är i detta perspektiv som direk- tiv 95/46 avser att säkerställa det fria flödet av personuppgifter och att garantera en hög skyddsnivå för rättigheter och intressen för de personer som dessa uppgifter avser. 97 Det är riktigt att medlemsstaterna i direktiv /46 tillerkänns ett handlingsutrymme på vissa områden och att de enligt direktivet får bi- behålla eller införa särregleringar för specifika situationer. Ett stort an- tal av bestämmelserna i direktivet vittnar om detta. Sådana möjligheter skall dock användas på det sätt som föreskrivs i direktiv /46 och i en- lighet med syftet med detta direktiv, nämligen att bibehålla en balans mellan det fria flödet av personuppgifter och skyddet för privatlivet. 98 Däremot hindrar ingenting att en medlemsstat utökar räckvidden av den nationella lagstiftning varigenom bestämmelserna i direktiv /46 har införlivats till att omfatta områden som inte ingår i direkti- vets tillämpningsområde, såvida ingen annan gemenskapsrättslig be- stämmelse utgör hinder för detta." Enligt utredningens mening är svar inte av sådan natur att det kan eller bör föranleda några ändringar i personupp- giftslagen. Frågan om sådant som faller utanför gemenskapsrätten bör undantas från personuppgiftslagen berörs i avsnitt 8. Enligt utredningsdirektiven skall utredningen överväga behovet av en ändring i bestämmelsen i 7 kap. 16 § sekretesslagen – som anger att sekretess gäller för personuppgift om det kan antas att ett ut- lämnande skulle medföra att uppgiften behandlas i strid med per- sonuppgiftslagen – i syfte att förtydliga bestämmelsens innebörd. Bestämmelsen ändrades vid personuppgiftslagens tillkomst, varvid uttalades att ändringarna endast utgjorde följdändringar i syfte att samordna bestämmelsen med bestämmelserna i personuppgiftsla- gen. Det anmärks i utredningsdirektiven att bestämmelsen dock har fått ett vidare tillämpningsområde än tidigare och att bestäm- melsen har medfört viss osäkerhet vid rättstillämpningen. Enligt 8 § första stycket personuppgiftslagen skall lagen inte till- lämpas i den utsträckning det skulle inskränka en myndighets skyl- dighet enligt 2 kap. tryckfrihetsförordningen att lämna ut person- uppgifter. Bestämmelserna i sekretesslagen begränsar allmänhetens rätt att på begäran få del av allmänna handlingar med stöd av of- fentlighetsprincipen, 2 kap. 2 § tryckfrihetsförordningen.188 Genom hänvisningen i 7 kap. 16 § sekretesslagen till personuppgiftslagen har det uppkommit viss osäkerhet om den senare lagens förhållan- de till offentlighetsprincipen. Emellertid finns det redan i själva de- finitionen av vad som utgör en allmän handling, som allmänheten har rätt att ta del av, i 2 kap. 3 § tredje stycket tryckfrihetsförord- ningen en hänvisning till lag som begränsar myndighets befogenhet 188Bestämmelserna i sekretesslagen har också ett vidare syfte och begränsar även utlämnan- de av uppgifter i andra fall än som avses med offentlighetsprincipen, t.ex. när en myndig- het eller en tjänsteman utan begäran skulle vilja lämna ut uppgifter. att göra tillgänglig en sammanställning från datalagrat material som innehåller personuppgifter, varmed enligt förarbetena avses bl.a. personuppgiftslagen. Sådana lagfästa begränsningar skall nämligen – i enlighet med den verkan definitionsregeln har – respekteras även när någon begär att få ta del av allmänna handlingar med stöd av offentlighetsprincipen. Även definitionen av vad som är en all- män handling kan därmed leda till osäkerhet om personuppgiftsla- gens förhållande till offentlighetsprincipen. Utredningen har därför ansett att den bör se vad som kan göras för att förtydliga personuppgiftslagens förhållande till såväl offent- lighetsprincipen som 7 kap. 16 § sekretesslagen. Utredningen vill betona att det inte handlar om att göra någon inskränkning i of- fentlighetsprincipen eller att annars utöka sekretessen. Av förarbe- tena till personuppgiftslagen framgår otvetydigt att avsikten varit att ge den grundlagsfästa offentlighetsprincipen företräde framför bestämmelserna i personuppgiftslagen189, och konstitutionsutskot- tet har även senare uttalat bl.a. att ändringen i sekretesslagen inte innebar att det gjordes någon inskränkning av offentlighetsprinci- pen190. Detta är naturligtvis också utredningens utgångspunkt. Vad det handlar om är att se om det går att förtydliga regelver- ket så att det inte i praktiken genom otydlighet och svårtillgänglig- het leder till oavsedda inskränkningar av offentlighetsprincipen i myndigheternas tillämpning. Avslutningsvis bör nämnas att Offentlighets- och sekretess- kommittén i anslutning till ett förslag om en ny sekretesslag har lämnat förslag till ett tillägg i 2 § personuppgiftslagen. Enligt det föreslagna tillägget hindrar inte bestämmelserna i personuppgiftsla- gen att visst lämnande av personuppgifter sker mellan myndigheter och inom en myndighet, om uppgiftslämnandet sker i överens- stämmelse med den föreslagna, nya sekretesslagen.191 189SOU 1997:39 s. 194 och 213–220, prop. 1997/98:44 s. 43–48 och KU 1997/98:18 s. 15– 29. 190KU 1999/2000:7 s. 14. 191SOU 2003:99 s. 223–228, 230–237, och 470 f. Av förarbetena till personuppgiftslagen framgår det som nämnts att avsikten varit att ge den grundlagsfästa offentlighetsprincipen före- träde framför bestämmelserna i personuppgiftslagen. Första stycket i 8 § personuppgiftslagen lyder: Bestämmelserna i denna lag tillämpas inte i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförord- ningen att lämna ut personuppgifter. I författningskommentaren anges kortfattat att bestämmelsen in- nehåller i syfte att förtydliga en upplysning om att lagen inte till- lämpas om det skulle strida mot en myndighets skyldigheter enligt 2 kap. tryckfrihetsförordningen.192 Det ansågs att det i klargö- rande syfte borde tas in en bestämmelse som uttryckligen anger det förhållandet att bestämmelser i grundlag alltid tar över be- stämmelser i vanlig lag.193 Såsom framgår av förarbetena är bestämmelsen i 8 § första styck- et personuppgiftslagen inte avsedd att ha någon materiell innebörd utan bara att erinra om att grundlagsbestämmelser gäller före per- sonuppgiftslagen.194 Bestämmelserna i 8 § personuppgiftslagen handlar om hantering av allmänna handlingar. I andra stycket finns det främst bestäm- melser rörande arkivering. Det är dock i bestämmelserna bara myndighets hantering av allmänna handlingar som uttryckligen nämns. Även andra organ än myndigheter kan dock ha allmänna handlingar och skyldigheter enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen. Det framgår av bl.a. 2 kap. 17 § tryckfri- hetsförordningen och 1 kap. 8 och 9 §§ sekretesslagen. 1997/98:44 s. 119. 1997/98:44 s. 46. 194För en annan tolkning se SOU 2001:3 s. 149. Offentlighetsprincipen i 2 kap. tryckfrihetsförordningen ger envar rätt att ta del av allmänna handlingar hos myndigheter (1 §). Det finns också en rätt att på begäran skyndsamt få en papperskopia eller avskrift av handlingen eller, när det finns en lagfäst skyldighet för myndigheten, en kopia i datorformat (13 §). Myndigheten får efterforska vem den sökande är och vilket syfte han eller hon har med sin begäran bara i den utsträckning det behövs för att myndig- heten skall kunna pröva om det finns något hinder mot att hand- lingen lämnas ut, t.ex. i form av sekretess (14 § tredje stycket). Med handling förstås en framställning i skrift eller bild samt upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas bara med ett tekniskt hjälpmedel. En handling är allmän och där- med omfattad av offentlighetsprincipen om den förvaras hos en myndighet och är att anse som inkommen till eller upprättad hos myndigheten. (3 § första stycket.) Kravet på att handlingen skall förvaras hos myndigheten har en speciell innebörd i fråga om datorlagrat material som kan uppfattas bara med ett tekniskt hjälpmedel. Sådant material anses förvarat hos myndigheten bara om det är tillgängligt för myndigheten med ett tekniskt hjälpmedel som myndigheten själv utnyttjar för över- föring i sådan form att materialet kan läsas, avlyssnas eller annars uppfattas. När det gäller en viss sammanställning av uppgifter ur datorlagrat material (upptagning för automatiserad behandling), är en sådan sammanställning att anse som förvarad hos myndigheten bara om myndigheten kan göra sammanställningen tillgänglig med rutinbetonade åtgärder. En uttrycklig regel om detta har tagits in i 2 kap. 3 § andra stycket tryckfrihetsförordningen . Det sagda innebär i princip att en myndighet måste använda alla sina tekniska hjälpmedel för att, med rutinbeto- nade åtgärder, göra och lämna ut en sådan sammanställning av sina datorlagrade uppgifter som sökanden begär. Skyldigheten är alltså inte begränsad t.ex. till sådana sammanställningar som myndighe- ten normalt gör eller själv skulle ha nytta av. En sådan sammanställning skall dock inte anses förvarad hos myndigheten om sammanställningen innehåller personuppgifter och myndigheten enligt lag eller förordning saknar befogenhet att göra sammanställningen tillgänglig (3 § tredje stycket). Före gällde den regeln bara upptagning som ingår i person- register, om myndigheten enligt lag eller förordning eller särskilt beslut som grundar sig på lag, saknar befogenhet att göra överfö- ringen. Det är den sistnämnda regeln i 2 kap. 3 § tredje stycket tryckfri- hetsförordningen som kan vålla tveksamhet i förhållande till per- sonuppgiftslagen. Den hänvisar alltså till lag eller förordning som begränsar myndigheters befogenhet att göra sammanställningar av personuppgifter tillgängliga. Med lag eller förordning åsyftas i första hand s.k. registerlagar eller re- gisterförordningar som meddelas för olika myndigheters behandling av personuppgifter. I viss mån torde det även av personuppgiftslagen kunna följa att en myndighet är förhindrad att göra vissa sammanställ- ningar av personuppgifter. Som Kammarrätten i påpekat om- fattar hänvisningen till lag också personuppgiftslagen på samma sätt som hänvisningen omfattar datalagen. Offentlighets- och sekretesskommittén ansåg däremot – med hän- visning till utformningen av 8 § första stycket personuppgiftslagen