sou · GSB36d2 · 2005-01-01 00:00:00 — 15 § Känsliga personuppgifter får behandlas, om den registrerade har läm- nat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt of- fentliggjort uppgifterna. Bilaga 2 – Personuppgiftslagen (1998:204) 16 § Känsliga personuppgifter får behandlas om behandlingen är nödvän- dig för att a)den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, b)den registrerades eller någon annans vitala intressen skall kunna skyd- das och den registrerade inte kan lämna sitt samtycke, eller c)rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. Uppgifter som behandlas med stöd av första stycket a får lämnas ut till tredje man bara om det inom arbetsrätten finns en skyldighet för den per- sonuppgiftsansvarige att göra det eller den registrerade uttryckligen har samtyckt till utlämnandet. 17 § Ideella organisationer med politiskt, filosofiskt, religiöst eller fackligt syfte får inom ramen för sin verksamhet behandla känsliga personupp- gifter om organisationens medlemmar och sådana andra personer som på grund av organisationens syfte har regelbunden kontakt med den. Känsli- ga personuppgifter får dock lämnas ut till tredje man bara om den regi- strerade uttryckligen har samtyckt till det. 18 § Känsliga personuppgifter får behandlas för hälso- och sjuk- vårdsändamål, om behandlingen är nödvändig för a)förebyggande hälso- och sjukvård, b)medicinska diagnoser, c)vård eller behandling, eller d)administration av hälso- och sjukvård. Den som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och har tystnadsplikt får även behandla känsliga personuppgifter som omfattas av tystnadsplikten. Detsamma gäller den som är underkastad en liknande tystnadsplikt och som har fått känsliga personuppgifter från verksamhet inom hälso- och sjukvårdsområdet. 19 § Känsliga personuppgifter får behandlas för forskningsändamål om behandlingen godkänts enligt lagen (2003:460) om etikprövning av forsk- ning som avser människor. [SFS 2003:466] Känsliga personuppgifter får behandlas för statistikändamål, om be- handlingen är nödvändig på sätt som sägs i 10 § och om samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. [SFS 2003:466] Bilaga 2 – Personuppgiftslagen (1998:204) Har behandlingen godkänts av en forskningsetisk kommitté, skall för- utsättningarna enligt andra stycket anses uppfyllda. Med forskningsetisk kommitté avses ett sådant särskilt organ för prövning av forskningsetiska frågor som har företrädare för såväl det allmänna som forskningen och som är knutet till ett universitet eller en högskola eller till någon annan in- stans som i mera betydande omfattning finansierar forskning. [SFS 2003:466] Personuppgifter får lämnas ut för att användas i sådana projekt som av- ses i andra stycket, om inte något annat följer av regler om sekretess och tystnadsplikt. [SFS 2003:466] Bemyndigande att föreskriva ytterligare undantag 20 § Regeringen eller den myndighet som regeringen bestämmer får med- dela föreskrifter om ytterligare undantag från förbudet i 13 §, om det be- hövs med hänsyn till ett viktigt allmänt intresse. [SFS 1998:1436] Uppgifter om lagöverträdelser m.m. 21 § Det är förbjudet för andra än myndigheter att behandla personupp- gifter om lagöverträdelser som innefattar brott, domar i brottmål, straff- processuella tvångsmedel eller administrativa frihetsberövanden. Regeringen eller den myndighet som regeringen bestämmer får medde- la föreskrifter om undantag från förbudet i första stycket. [SFS 1998:1436] Regeringen får i enskilda fall besluta om undantag från förbudet i första stycket. Regeringen får överlåta åt tillsynsmyndigheten att fatta sådana beslut. 22 § Uppgifter om personnummer eller samordningsnummer får utan samtycke behandlas bara när det är klart motiverat med hänsyn till a)ändamålet med behandlingen, b)vikten av en säker identifiering, eller c)något annat beaktansvärt skäl. [SFS 1999:1059] Information till den registrerade Information skall lämnas självmant 23 § Om uppgifter om en person samlas in från personen själv, skall den personuppgiftsansvarige i samband därmed självmant lämna den re- gistrerade information om behandlingen av uppgifterna. 24 § Om personuppgifterna har samlats in från någon annan källa än den registrerade, skall den personuppgiftsansvarige självmant lämna den regi- Bilaga 2 – Personuppgiftslagen (1998:204) strerade information om behandlingen av uppgifterna när de registreras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver informatio- nen dock inte ges förrän uppgifterna lämnas ut . Information enligt första stycket behöver inte lämnas, om det finns be- stämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. Information behöver inte heller lämnas enligt första stycket, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor ar- betsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall dock information lämnas senast i samband med att så sker. Den information som skall lämnas självmant 25 § Information enligt 23 eller 24 § skall omfatta a)uppgift om den personuppgiftsansvariges identitet, b)uppgift om ändamålen med behandlingen, och c)all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, såsom informa- tion om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade re- dan känner till. Information skall lämnas efter ansökan 26 § Den personuppgiftsansvarige är skyldig att till var och en som ansö- ker om det en gång per kalenderår gratis lämna besked om personupp- gifter som rör den sökande behandlas eller ej. Behandlas sådana uppgifter skall skriftlig information lämnas också om a)vilka uppgifter om den sökande som behandlas, b)varifrån dessa uppgifter har hämtats, c)ändamålen med behandlingen, och d)till vilka mottagare eller kategorier av mottagare som uppgifterna läm- nas ut. En ansökan enligt första stycket skall göras skriftligen hos den person- uppgiftsansvarige och vara undertecknad av den sökande själv. Infor- mation enligt första stycket skall lämnas inom en månad från det att an- sökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast efter det att ansökan gjordes. Information enligt första stycket behöver inte lämnas om personupp- gifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Vad som sagts gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller veten- Bilaga 2 – Personuppgiftslagen (1998:204) skapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats . Undantag från informationsskyldigheten vid sekretess och tystnads- plikt 27 § I den utsträckning det är särskilt föreskrivet i lag eller annan författ- ning eller i beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade gäller inte bestämmelserna i 23– 26 §§. En personuppgiftsansvarig som inte är en myndighet får därvid i motsvarande fall som avses i sekretesslagen (1980:100) vägra att lämna ut uppgifter till den registrerade. 28 § Den personuppgiftsansvarige är skyldig att på begäran av den regi- strerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har ut- färdats med stöd av lagen. Den personuppgiftsansvarige skall också under- rätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Nå- gon sådan underrättelse behöver dock inte lämnas, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. 29 § Om ett beslut som har rättsliga följder för en fysisk person eller an- nars har märkbara verkningar för den fysiska personen, grundas enbart på automatiserad behandling av sådana personuppgifter som är avsedda att bedöma egenskaper hos personen, skall den som berörs av beslutet ha möjlighet att på begäran få beslutet omprövat av någon person. Var och en som varit föremål för ett sådant beslut som avses i första stycket har rätt att på ansökan få information från den personuppgifts- ansvarige om vad som har styrt den automatiserade behandling som lett fram till beslutet. I fråga om ansökan och lämnandet av information gäller i tillämpliga delar bestämmelserna i 26 §. Personer som behandlar personuppgifter 30 § Ett personuppgiftsbiträde och den eller de personer som arbetar un- der biträdets eller den personuppgiftsansvariges ledning får behandla per- sonuppgifter bara i enlighet med instruktioner från den personuppgifts- ansvarige. Bilaga 2 – Personuppgiftslagen (1998:204) Det skall finnas ett skriftligt avtal om personuppgiftsbiträdets behand- ling av personuppgifter för den personuppgiftsansvariges räkning. I det avtalet skall det särskilt föreskrivas att personuppgiftsbiträdet får behand- la personuppgifterna bara i enlighet med instruktioner från den person- uppgiftsansvarige och att personuppgiftsbiträdet är skyldigt att vidta de åtgärder som avses i 31 § första stycket. Om det i lag eller annan författning finns särskilda bestämmelser om behandlingen av personuppgifter i det allmännas verksamhet i frågor som avses i första stycket, skall dessa gälla i stället för vad som sägs i första stycket. 31 § Den personuppgiftsansvarige skall vidta lämpliga tekniska och orga- nisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åt- gärderna skall åstadkomma en säkerhetsnivå som är lämplig med beaktan- de av a)de tekniska möjligheter som finns, b)vad det skulle kosta att genomföra åtgärderna, c)de särskilda risker som finns med behandlingen av personuppgifterna, och d)hur pass känsliga de behandlade personuppgifterna är. När den personuppgiftsansvarige anlitar ett personuppgiftsbiträde, skall den personuppgiftsansvarige förvissa sig om att personuppgiftsbiträdet kan genomföra de säkerhetsåtgärder som måste vidtas och se till att per- sonuppgiftsbiträdet verkligen vidtar åtgärderna. får besluta om säkerhetsåtgärder 32 § får i enskilda fall besluta om vilka säker- hetsåtgärder som den personuppgiftsansvarige skall vidta enligt 31 §. I 45 § finns det bestämmelser om tillsynsmyndighetens möjligheter att förena beslutet med vite. Överföring av personuppgifter till tredje land Förbud mot överföring av personuppgifter till tredje land 33 § Det är förbjudet att till tredje land föra över personuppgifter som är under behandling om landet inte har en adekvat nivå för skyddet av per- sonuppgifterna. Förbudet gäller också överföring av personuppgifter för behandling i tredje land. [SFS 1999:1210] Frågan om en skyddsnivå är adekvat skall bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt skall läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ursprungslandet, det slutliga bestämmelse- Bilaga 2 – Personuppgiftslagen (1998:204) landet och de regler som finns för behandlingen i det tredje landet. [SFS 1999:1210] Undantag från förbudet mot överföring av personuppgifter till tredje land 34 § Det är trots förbudet i 33 § tillåtet att föra över personuppgifter till tredje land, om den registrerade har lämnat sitt samtycke till överföringen eller om överföringen är nödvändig för att a)ett avtal mellan den registrerade och den personuppgiftsansvarige skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, b)ett sådant avtal mellan den personuppgiftsansvarige och tredje man som är i den registrerades intresse skall kunna ingås eller fullgöras, c)rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras, eller d)vitala intressen för den registrerade skall kunna skyddas. Det är också tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till konvention om skydd för en- skilda vid automatisk databehandling av personuppgifter. 35 § Regeringen får meddela föreskrifter om undantag från förbudet i 33 § för överföring av personuppgifter till vissa stater. Regeringen får också meddela föreskrifter om att överföring av personuppgifter till tredje land är tillåten, om överföringen regleras av ett avtal som ger tillräckliga garan- tier till skydd för de registrerades rättigheter. [SFS 1998:1436] Regeringen eller den myndighet som regeringen bestämmer får vidare meddela föreskrifter om undantag från förbudet i 33 §, om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. [SFS 1998:1436] Regeringen får under de förutsättningar som nämns i andra stycket i enskilda fall besluta om undantag från förbudet i 33 §. Regeringen får överlåta åt tillsynsmyndigheten att fatta sådana beslut. 36 § Behandling av personuppgifter som är helt eller delvis automatiserad omfattas av anmälningsskyldighet. Den personuppgiftsansvarige skall göra en skriftlig anmälan till tillsynsmyndigheten innan en sådan behandling eller en serie av sådana behandlingar med samma eller liknande ändamål genomförs. Om den personuppgiftsansvarige utser ett personuppgiftsombud skall detta anmälas till tillsynsmyndigheten. Även ett entledigande av ett per- sonuppgiftsombud skall anmälas till tillsynsmyndigheten. Bilaga 2 – Personuppgiftslagen (1998:204) Regeringen eller den myndighet som regeringen bestämmer får med- dela föreskrifter om undantag från anmälningsskyldigheten enligt första stycket för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integriteten. Anmälan behöver inte göras om det finns ett personuppgiftsombud 37 § Om den personuppgiftsansvarige har anmält till tillsynsmyndigheten att ett personuppgiftsombud utsetts och vem det är, behöver anmälan enligt 36 § första stycket inte göras. 38 § Personuppgiftsombudet skall ha till uppgift att självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed samt påpeka eventuella brister för honom eller henne. Har personuppgiftsombudet anledning att misstänka att den person- uppgiftsansvarige bryter mot de bestämmelser som gäller för behand- lingen av personuppgifter och vidtas inte rättelse så snart det kan ske efter påpekande, skall personuppgiftsombudet anmäla förhållandet till till- synsmyndigheten. Personuppgiftsombudet skall även i övrigt samråda med tillsynsmyn- digheten vid tveksamhet om hur de bestämmelser som gäller för behand- lingen av personuppgifter skall tillämpas. 39 § Personuppgiftsombudet skall föra en förteckning över de be- handlingar som den personuppgiftsansvarige genomför och som skulle ha omfattats av anmälningsskyldighet om ombudet inte hade funnits. För- teckningen skall omfatta åtminstone de uppgifter som en anmälan enligt 36 § skulle ha innehållit. 40 § Personuppgiftsombudet skall hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. Obligatorisk anmälan av särskilt integritetskänsliga behandlingar 41 § Regeringen får meddela föreskrifter om att sådana behandlingar av personuppgifter som innebär särskilda risker för otillbörligt intrång i den personliga integriteten skall för förhandskontroll anmälas till tillsyns- myndigheten enligt 36 § i förväg. Om regeringen har meddelat sådana föreskrifter, gäller inte undantaget från anmälningsskyldigheten enligt 37 §. [SFS 1998:1436] Bilaga 2 – Personuppgiftslagen (1998:204) Upplysningar till allmänheten om behandlingar som inte anmälts 42 § Den personuppgiftsansvarige skall till var och en som begär det skyndsamt och på lämpligt sätt lämna upplysningar om sådana automati- serade eller andra behandlingar av personuppgifter som inte har anmälts till tillsynsmyndigheten. Upplysningarna skall omfatta det som en anmä- lan enligt 36 § första stycket skulle ha omfattat. Den personuppgifts- ansvarige är dock inte skyldig att lämna ut sekretessbelagda uppgifter eller uppgifter om vilka säkerhetsåtgärder som har vidtagits. En personupp- giftsansvarig som inte är myndighet får därvid i motsvarande fall som av- ses i sekretesslagen (1980:100) vägra att lämna ut uppgifter. 43 § har rätt att för sin tillsyn på begäran få a)tillgång till de personuppgifter som behandlas, b)upplysningar om och dokumentation av behandlingen av personupp- gifter och säkerheten vid denna, och c)tillträde till sådana lokaler som har anknytning till behandlingen av per- sonuppgifter. 44 § Om tillsynsmyndigheten inte efter begäran enligt 43 § kan få tillräck- ligt underlag för att konstatera att behandlingen av personuppgifter är lag- lig, får myndigheten vid vite förbjuda den personuppgiftsansvarige att be- handla personuppgifter på något annat sätt än genom att lagra dem. 45 § Om tillsynsmyndigheten konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt, skall myndigheten ge- nom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. Går det inte att få rättelse på något annat sätt eller är saken brådskande, får myndigheten vid vite förbjuda den personuppgiftsansvarige att fort- sätta att behandla personuppgifterna på något annat sätt än genom att lagra dem. Om den personuppgiftsansvarige inte frivilligt följer ett beslut om sä- kerhetsåtgärder enligt 32 § som vunnit laga kraft, får tillsynsmyndigheten föreskriva vite. 46 § Innan tillsynsmyndigheten beslutar om vite enligt 44 eller 45 §, skall den personuppgiftsansvarige ha fått tillfälle att yttra sig. Om saken är brådskande, får myndigheten dock i avvaktan på yttrandet meddela ett tillfälligt beslut om vite. Det tillfälliga beslutet skall omprövas, när yttran- detiden har gått ut. Ett vitesföreläggande skall delges den personuppgiftsansvarige. Del- givning enligt 12 § delgivningslagen (1970:428) får användas bara om det finns skäl att anta att den personuppgiftsansvarige har avvikit eller på an- nat sätt håller sig undan. Bilaga 2 – Personuppgiftslagen (1998:204) 47 § får hos länsrätten i det län där myndigheten är belägen ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt skall utplånas. Beslut om utplånande får inte meddelas om det är oskäligt. 48 § Den personuppgiftsansvarige skall ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av per- sonuppgifter i strid med denna lag har orsakat. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas, om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. 49 § Till böter eller fängelse eller, om brottet är grovt, till fängelse i högst döms den som uppsåtligen eller av oaktsamhet a)lämnar osann uppgift i sådan information till registrerade som före- skrivs i denna lag, i anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär information enligt 43 §, b)behandlar personuppgifter i strid med 13–21 §§, c)för över personuppgifter till tredje land i strid med 33–35 §§, eller d)låter bli att göra anmälan enligt 36 § första stycket eller enligt föreskrif- ter meddelade med stöd av 41 §. I ringa fall döms inte till ansvar. [SFS 1999:1210] Den som överträtt ett vitesföreläggande enligt 44 § eller 45 § första stycket döms inte till ansvar för en gärning som omfattas av vites- föreläggandet. 50 § Regeringen eller den myndighet som regeringen bestämmer får med- dela närmare föreskrifter om a)i vilka fall behandling av personuppgifter är tillåten, b)vilka krav som ställs på den personuppgiftsansvarige vid behandling av personuppgifter, c)i vilka fall användning av personnummer är tillåten, d)vad en anmälan eller ansökan till en personuppgiftsansvarig skall inne- hålla, e)vilken information som skall lämnas till registrerade och hur informa- tionen skall lämnas, och f)anmälan till tillsynsmyndigheten och förfarandet när anmälda uppgifter har ändrats. [SFS 1998:1436] SOU 2004:6 Bilaga 2 – Personuppgiftslagen (1998:204) 51 § beslut enligt denna lag om annat än före- skrifter får överklagas hos allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. får bestämma att dess beslut skall gälla även om Bilaga 3 – EG-direktivet 95/46 om personuppgifter OCH RÅDETS DIREKTIV 95/46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA DIREKTIV med beaktande av Fördraget om upprättandet av Europeiska gemen- skapen, särskilt artikel 100a i detta, med beaktande av kommissionens förslag(1), med beaktande av Ekonomiska och sociala kommitténs yttrande(2), i enlighet med det förfarande som anges i fördragets artikel 189b(3), och med beaktande av följande: 1)Gemenskapens målsättningar som uttryckts i fördraget, såsom detta ändrats genom Fördraget om Europeiska unionen, består i att för- verkliga en allt fastare sammanslutning av de europeiska folken, i att upprätta allt närmare relationer mellan de stater som förenas i gemen- skapen, i att säkerställa ekonomiska och sociala framsteg i sina länder genom gemensamma åtgärder för att undanröja de barriärer som delar , i att fortgående förbättra levnadsvillkoren för dess folk, i att bevara och stärka fred och frihet och i att främja demokratin på grundval av de grundläggande rättigheter som erkänns i medlemssta- ternas grundlagar och lagar liksom i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. (1) EGT nr C 277, 5.11.1990, s. 3, och EGT nr C 311, 27.11.1992, s. 30. (2) EGT nr C 159, , s. 38. (3) yttrande av (EGT nr C 94, , s. 198), bekräftat (EGT nr C 342, 20.12.1993, s. 30) rådets gemensamma ståndpunkt av (EGT nr C 93, , s. 1) och Europaparlamen- tets beslut av (EGT nr C 166, . Bilaga 3 – EG-direktivet 95/46 om personuppgifter 2)Systemen för databehandling av uppgifter är till för människornas skull. Oavsett fysiska personers medborgarskap eller hemvist måste systemen respektera dessa personers grundläggande fri- och rättighe- ter – särskilt rätten till privatlivet – och bidra till ekonomiska och so- ciala framsteg, handelns utveckling och enskilda personers välfärd. 3)Upprättandet av den inre marknaden och dennas funktion, som i en- lighet med artikel 7a i fördraget innebär fri rörlighet för varor, perso- ner, tjänster och kapital, förutsätter inte bara att personuppgifter fritt kan överföras från en medlemsstat till en annan utan också att en- skilda personers grundläggande rättigheter skyddas. 4)Inom gemenskapen behandlas och används personuppgifter allt oftare inom olika ekonomiska och samhälleliga områden. Framstegen på in- formationsteknikens område har gjort det avsevärt lättare att behandla och utbyta sådana uppgifter. 5)Den ekonomiska och sociala integration som är en följd av upprättan- det av den inre marknaden och dennas funktion i enlighet med artikel 7a i fördraget kommer med nödvändighet att leda till en betydande ökning av flödet av personuppgifter över gränserna mellan samtliga aktörer på de ekonomiska och samhälleliga områdena, oavsett om des- sa aktörer tillhör den privata eller den offentliga sektorn. Utbytet av personuppgifter mellan företag i olika medlemsstater kommer att öka.