sou · GSB36d2 · 2005-01-01 00:00:00 — Även olaglig behandling av känsliga personuppgifter och uppgifter om lagöverträdelser kriminaliserades. Dessutom kri- minaliserades olaglig överföring av personuppgifter till tredje land, bl.a. eftersom förfarandet innebär att personuppgifterna i praktiken försvinner utom räckhåll för svenska skyddsåtgärder. hade i sitt remissyttrande föreslagit att bara sådan oaktsamhet som är grov skall bestraffas. Regeringen an- såg dock att det förslaget inte borde följas, eftersom vikten av att vara noggrann med de uppgifter som lämnas och med att följa bl.a. 139På engelska Each Party undertakes to establish appropriate sanctions and remedies for violations of provisions of domestic law giving effect to the basic principles for data pro- tection set out in this chapter. 140SOU 1997:39 s. 437–440. reglerna om när känsliga personuppgifter får behandlas inskärps på ett ändamålsenligt sätt genom att det för straffansvar räcker med oaktsamhet.141 I personuppgiftslagen infördes i 49 § en bestämmelse om straff för den som uppsåtligen eller av oaktsamhet a)lämnar osann uppgift i sådan information till registrerade som föreskrivs i lagen, i anmälan till tillsynsmyndigheten enligt 36 §, eller till tillsynsmyndigheten när myndigheten begär information enligt 43 §, b)behandlar känsliga personuppgifter eller personuppgifter om lagöverträdelser i strid med 13–21 §§, c)för över personuppgifter till tredje land i strid med 33–35 §§, el- ler d)låter bli att göra anmälan till tillsynsmyndigheten enligt 36 § för- sta stycket eller enligt föreskrifter meddelade med stöd av 41 §. Straffskalan är böter eller fängelse eller, om brottet är grovt, fängelse i högst . Den som överträtt ett vites- föreläggande skall dock inte dömas till ansvar för en gärning som omfattas av vitesföreläggandet. I samband med att bestämmelserna om överföring av person- uppgifter till tredje land lättades upp avkriminaliserades gärningar som är ringa genom att det föreskrevs att det i ringa fall inte skall dömas till ansvar. Regeringen noterade att det finns överträdelser av personuppgiftslagens straffbestämmelse som i det enskilda fallet inte framstår som särskilt straffvärda och att det ibland kan vara svårt för den personuppgiftsansvarige att på förhand avgöra om en överföring till tredje land är tillåten eller inte enligt de nya bestäm- melserna. Det kunde förutses att det kommer att finnas situationer där det visar sig att den personuppgiftsansvarige gjort en felaktig bedömning men överträdelsen av överföringsförbudet inte är sär- skilt klandervärd. Det ansågs angeläget att motverka sådana negati- va konsekvenser.142 Vad som är ringa fall får bedömas med hänsyn till samtliga omständigheter i det enskilda fallet. Alla faktorer som uppgifternas art och vilken integritetskränkning eller risk för integ- ritetskränkning som behandlingen orsakat skall vägas in vid be- dömningen av om en överträdelse är att betrakta som ringa.143 1997/98:44 s. 108 f. 1999/2000:11 s. 18. 1999/2000:11 s. 21. I de brottmål om personuppgiftslagen som utredningen fått kännedom om – se avsnitt 5.2.1 – har det varit fråga om uppsåtliga brott. I ett fall om åtal mot en person för det att han på sin hemsida på Internet påstått att fem namngivna personer gjort sig skyldiga till våldtäkt och därigenom olovligen dels behandlat personuppgif- ter om lagöverträdelser som innefattar brott, dels fört över person- uppgifterna till tredje land invände den tilltalade att han begått brottet av oaktsamhet.144 uttalade i den de- len följande: [Den tilltalade] måste uppenbarligen ha varit medveten om att han lagt in personuppgifterna och brottspåståendet på sina hemsidor. Han måste också ha insett att uppgifterna blev tillgängliga i hela världen när han lade ut dem på Internet. Vad han däremot måhända inte kände till var att det var förbjudet enligt personuppgiftslagen att göra detta. Det- ta förhållande medför dock inte att [den tilltalade] skall anses ha begått brottet av oaktsamhet. Han har nämligen varit skyldig att ta reda på gällande regler på området innan han lade ut några uppgifter på Inter- net. Tingsrätten anser därför att [den tilltalade] har begått brottet upp- såtligen. 12.5Förhållandena i andra länder Samtliga medlemsstater i EU som genomfört EG-direktivet – och – verkar ha straffrättsliga sanktioner för olika brott mot ge- nomförandelagstiftningen. I och , liksom i vissa fall i , verkar det krävas uppsåt för straffbarhet. I och krävs det att brottet begåtts uppsåtligen eller av grov oaktsamhet. I , , och finns det föreskrifter om viss strafflindring när brott begåtts utan uppsåt. 144 tingsrätts dom i mål nr B 3915-00. Utredningens förslag: Bara uppsåtliga och grovt oaktsamma förfa- randen skall vara straffbara. Utredningens bedömning: Det finns inte anledning att i övrigt avkriminalisera. 12.6.1Avkriminalisering av någon typ av förseelse Vad först gäller frågan om någon straffbar förseelse mot per- sonuppgiftslagen bör helt avkriminaliseras måste man hålla i min- net att det bara är få olagliga förfarande som gjorts straffbara. Att någon far med osanning eller struntar i att anmäla sin behandling är svårt att komma till rätta med utan straffhot, punkterna a och d i 49 §. I övrigt har bara förfaranden som innebär att känsliga person- uppgifter eller personuppgifter om lagöverträdelser behandlas olag- ligt eller att personuppgifter på ett olagligt sätt i praktiken görs oåtkomliga för svenska skyddsåtgärder (genom att exporteras till tredje land med undermålig skyddsnivå) gjorts straffbara, punkter- na b och c i 49 §. Utredningen anser att det är befogat att bestraffa sådana förfaranden som nämnts. Det gäller särskilt mot bak- grund av att ringa fall är straffria, vilket gör att eventuella orimliga konsekvenser av straffbarheten kan undvikas. Utredningen föreslår således inte att någon typ av förseelse helt avkriminaliseras. 12.6.2Bara uppsåtliga och grovt oaktsamma förfaranden bör vara straffbara Vad härefter gäller frågan om bara uppsåtliga och grovt oaktsamma förfaranden skall vara straffbara gör utredningen följande övervä- ganden. Vid införandet av personuppgiftslagen ansågs det att vikten av att följa reglerna inskärptes på ett ändamålsenligt sätt genom att det för straffansvar räcker med oaktsamhet (av normalgraden).145 har emellertid ett undantag införts för ringa fall av överträ- delser, främst för fall där den personuppgiftsansvarige gjort en fel- aktig bedömning men överträdelsen inte är särskilt klandervärd.146 I 1997/98:44 s. 108 f. 1999/2000:11 s. 18. de särskilda registerförfattningar som införts efter personuppgifts- lagen har det normalt inte heller tagits in några särskilda bestäm- melser om straff.147 Synen på behovet av straffbestämmelser verkar således ha mildrats sedan personuppgiftslagen infördes. I stor utsträckning bör regeln om att ringa fall är straffria vara tillräcklig för att undvika oskäliga resultat vid mindre klandervärda felbedömningar och när den tilltalade inte haft uppsåt. Vad som är ringa fall skall bedömas med hänsyn till samtliga omständigheter i det enskilda fallet.148 Det är alltså möjligt att ta hänsyn till vilken grad av oaktsamhet den tilltalade visat. Även en överträdelse som begåtts uppsåtligen kan vara ett ringa fall. När det gäller sådan olag- lig behandling av personuppgifter som är straffbar (punkterna b och c i 49 §) torde överträdelsen för det mesta ha begåtts uppsåtli- gen och inte av oaktsamhet. Det torde nämligen ofta stå klart att den tilltalade varit fullt medveten om den behandling som skett och således utfört behandlingen uppsåtligen, jämför det som citerats ur domen från i avsnitt 12.4. I mindre klander- värda sådana fall, skulle således inte en avkriminalisering av oakt- samma överträdelser leda till straffrihet utan här får man ta till re- geln om ringa fall för att undvika oskäliga resultat. Det finns dock situationer som regeln om ringa fall inte verkar kunna omfatta men där man ändå kan överväga straffrihet. Det gäller främst det fallet att en oaktsamhet av normalgraden har lett till en förhållandevis stor skada eller en kännbar integritetskränk- ning eller en påtaglig risk för det. Då kan det med hänsyn till gär- ningens konsekvenser vara svårt att med fog påstå att det är fråga om ett ringa fall. Även i de situationer där någon av oaktsamhet lämnat osanna uppgifter eller låtit bli att göra en anmälan (punk- terna a och d i 49 §) verkar regeln om ringa fall passa mindre väl. Att göra oaktsamma förfaranden av normalgraden straffria ver- kar således ha en viss betydelse vid sidan av regeln om att ringa fall är straffria. Frågan är då om det finns några bärande skäl emot en sådan avkriminalisering, som får anses ligga i linje med hur synen på behovet av straff utvecklats efter införandet av personuppgifts- lagen. Utredningen anser att så inte är fallet. Om de registrerades integritet kränks eller om de annars lider skada, kan de få skade- stånd av den personuppgiftsansvarige även om den tilltalade över- trätt personuppgiftslagen av oaktsamhet. Det får anses tillräckligt för att inskärpa vikten av att reglerna om behandling av personupp- 2001/02:144 s. 45 f. med vidare hänvisningar. 1999/2000:11 s. 21. gifter följs (jämför punkterna b och c i 49 §). I och med att grovt oaktsamma förfaranden fortfarande skall vara straffbara, kan man vidare komma åt de fall där den tilltalade visat uppenbar nonchalans för bestämmelserna om att riktiga uppgifter skall lämnas och att anmälan skall göras (jämför punkterna a och d i 49 §). Det får anses tillräckligt. Utredningen föreslår således att bara uppsåtliga och grovt oakt- samma förfaranden skall vara straffbara. Det är bl.a. straffbestämmelserna som ger reglerna i personupp- giftslagen dess karaktär av offentligrättsliga föreskrifter. Att reg- lerna har den karaktären har betydelse bl.a. för möjligheten att ge normgivningsbemyndiganden för regeringen och underlydande myndigheter på personuppgiftslagens område.149 Utredningen an- ser att den begränsade avkriminalisering som föreslås inte är av sådan art eller omfattning att den skulle kunna ha betydelse för frå- gan om bestämmelserna i personuppgiftslagen är sådana i grunden offentligrättsliga föreskrifter som gör det möjligt med normgiv- ningsbemyndiganden. Avslutningsvis bör betonas att straffet, såsom an- tytt, alltid måste bestämmas så att det står i proportion till förseel- sen i det aktuella fallet. De svenska straffbestämmelserna, i person- uppgiftslagen och annorstädes, torde redan bygga på ett sådant synsätt eller åtminstone inte hindra domstolarna från att tillämpa en sådan proportionalitetsprincip. De problem som kan vara för- knippade med att i en svensk straffrättslig miljö tillämpa en EG- rättslig proportionalitetsprincip torde vara allmängiltiga och inte direkt knutna till straffbestämmelsen i personuppgiftslagen. 149 Se prop. 1997/98:44 s. 58 ff. och 237 ff. samt KU 1997/98:18 s. 41 ff. Enligt utredningsdirektiven skall utredningen överväga hur det i personuppgiftslagen bör införas ett förtydligande av hur beslut av myndighet enligt lagen kan överklagas, såsom bl.a. beslut om rät- telse och avslag på ansökan om information. Uppdraget omfattar, såsom utredningen uppfattat det, inte frå- gan om hur Datainspektionens beslut i egenskap av tillsynsmyn- dighet överklagas utan bara frågan om hur andra myndighetsbeslut enligt personuppgiftslagen skall kunna överklagas. Utredningsupp- draget omfattar vidare inte frågan om det är lämpligt att sådana myndighetsbeslut kan överklagas utan uppdraget är begränsat till att överväga hur en sådan möjlighet till överklagande skall framgå av personuppgiftslagen. 13.2EG-direktivet och andra internationella regler Det finns inget i EG-direktivet som kräver att myndighetsbeslut – andra än tillsynsmyndighetens150 – om sådant som regleras i EG- direktivet skall kunna överklagas. Däremot krävs det enligt artikel 22 i EG-direktivet att medlemsstaterna föreskriver att var och en har rätt att föra talan inför domstol om sådana kränkningar av rät- tigheter som skyddas av den nationella lagstiftning som är tillämp- lig på behandlingen av personuppgifterna. Den rätten skall inte på- 150 Se artikel 28.3 andra stycket i EG-direktivet. verka möjligheten att utnyttja administrativa förfaranden som kan användas innan ett ärende anhängiggörs hos en rättslig instans. Inte heller dataskyddskonvention kräver en möj- lighet till överklagande. 13.3.1Avslag på begäran om registerutdrag I datalagen fanns det i 25 § tredje stycket en bestämmelse om att om en registeransvarig myndighet avslog en begäran om ett s.k. registerutdrag, skulle avslagsbeslutet överklagas på samma sätt som ett beslut av myndigheten att avslå en begäran om utlämnande av allmän handling. Med myndighet skulle därvid jämställas andra or- gan i den utsträckning som anges i 1 kap. 8 och 9 §§ sekretesslagen (1980:100), dvs. i huvudsak kommunala företag och andra privat- rättsliga subjekt med anknytning till det allmänna, t.ex. genom att verksamheten innebär myndighetsutövning. Den angivna bestämmelsen om överklagande av beslut om avslag på begäran om registerutdrag infördes genom en ändring i datala- gen 1992. Det noterades därvid att registrerade som söker informa- tion om sig själva inom den offentliga sektorn kan välja mellan att åberopa bestämmelserna om registerutdrag och bestämmelserna om allmänna handlingar samt att det ofta inte klart framgår på vil- ken laggrund en framställning bygger. Vidare noterades att en myndighets beslut att avslå en begäran om registerutdrag fick över- klagas enligt allmänna regler om överklagande av en myndighets beslut, vilket innebar att det tillämpades bl.a. skilda instansordning- ar för beslut av statliga och kommunala myndigheter. Ändringen genomfördes för att få enhetliga regler om överklagande av myn- dighets beslut att avslå en begäran om registerutdrag.151 Några andra särskilda bestämmelser om överklagande av andra myndighetsbeslut än Datainspektionens fanns inte i datalagen. 1990/91:60 s. 72 f. 13.3.2Hur avslag på begäran om allmän handling överklagas Bestämmelsen om överklagande i datalagen hänvisade alltså till be- stämmelserna om överklagande av myndighetsbeslut om att avslå en begäran om utlämnande av allmän handling. Bestämmelser om hur beslut om avslag på begäran om utläm- nande av allmän handling överklagas finns i 2 kap. 15 § tryckfri- hetsförordningen, 15 kap. 7 § sekretesslagen152 och 4 § och 7 § för- sta stycket lagen (1989:186) om överklagande av administrativa be- slut av riksdagsförvaltningen och myndigheter. Enligt dessa bestämmelser gäller följande om överklagande av beslut om avslag på begäran om utlämnande av allmän handling. Huvudregeln är att beslut av myndighet eller sådant organ som avses i 1 kap. 8 och 9 §§ sekretesslagen överklagas hos kammarrätt. Det krävs inte något prövningstillstånd för att kammarrätten skall pröva överklagandet. Kammarrättens avgörande kan överklagas till slutinstansen Regeringsrätten. För att Regeringsrätten skall pröva överklagandet krävs prövningstillstånd. I fråga om en del avslagsbeslut som fattats av vissa domstolar gäller särskilda regler. Om det är en kammarrätt som fattat avslags- beslutet, överklagas det till Regeringsrätten. Det krävs i detta fall inte något prövningstillstånd för att Regeringsrätten skall pröva överklagandet. Om en tingsrätt har fattat ett avslagsbeslut som rör handling i domstolens rättskipande eller rättsvårdande verksamhet, överklagas det hos hovrätt, vars avgörande kan – efter överklagande och prövningstillstånd – överprövas av . Om en hovrätt fattat avslagsbeslutet, överklagas det hos Högsta domsto- len, varvid det inte krävs något prövningstillstånd. Beslut av och Regeringsrätten får inte över- klagas. Ett beslut av ett statsråd överklagas till regeringen. Beslut av , regeringen och får inte överklagas. 152Offentlighets- och sekretesskommittén ser över bestämmelserna i sekretesslagen, se dir. 1998:32, och har kommit med förslag till ändringar i 15 kap. sekretesslagen, se SOU 2002:97. Bestämmelsen i datalagen om överklagande av myndighets beslut om avslag på begäran om registerutdrag fördes inte över till per- sonuppgiftslagen. I personuppgiftslagen finns det bara be- stämmelser om hur tillsynsmyndighetens beslut överklagas (51 §). Frågan om hur andra myndighetsbeslut om sådant som regleras i lagen kan överklagas berördes inte särskilt i förarbetena till lagen.153 Av personuppgiftslagen följer dock att en registrerad har andra möjligheter än överklagande att använda om han eller hon anser att en myndighet inte har tillämpat lagen på ett riktigt sätt. Den regi- strerade kan för det första anmäla förhållandet till tillsynsmyndig- heten, som kan utnyttja sina befogenheter för att åstadkomma rät- telse (se 43–47 §§). För det andra kan den registrerade vid varje brott mot personuppgiftslagen genast väcka talan mot den person- uppgiftsansvarige vid allmän domstol och yrka bl.a. ideellt skade- stånd enligt 48 §. Även en fastställelse- och i vissa fall fullgörelseta- lan kan vara aktuell. 13.5Den allmänna bestämmelsen om överklagande i förvaltningslagen I 22 § förvaltningslagen (1986:223) finns det en allmän bestämmel- se om att ett beslut får överklagas av den som beslutet angår, om det har gått honom eller henne emot och beslutet kan överklagas. en knapp månad innan personuppgiftsla- gen trädde i kraft, infördes det i 22 a § förvaltningslagen en allmän bestämmelse om att beslut överklagas hos allmän förvaltningsdom- stol, dvs. länsrätt, och att det vid överklagande till kammarrätt av länsrättens avgörande krävs prövningstillstånd. Den bestämmelsen gäller dock inte beslut i administrativa ärenden. Ett överklagande skall ske skriftligen genom en skrivelse som lämnas in till den be- slutande myndigheten från den dag klaganden fick del av beslutet (23 § förvaltningslagen). Dessa bestämmelser gäller för förvaltningsmyndigheternas hand- läggning av ärenden och domstolarnas handläggning av förvalt- ningsärenden (1 § förvaltningslagen). 153 Jämför dock i fråga om forskningsetiska kommittéers beslut prop. 1997/98:44 s. 72 f. inte om beslutet i stället kan överklagas till länsrätt för laglighets- prövning enligt 10 kap. kommunallagen (1991:900). Av 35 § verksförordningen (1995:1322) följer att huvudregeln är att ett beslut av en myndighet under regeringen som inte kan över- klagas till länsrätt enligt 22 a § förvaltningslagen i stället får över- klagas hos regeringen. Bestämmelserna om överklagande i förvaltningslagen gäller bara om inte något annat föreskrivits i lag eller förordning, t.ex. genom föreskrifter om en annan instansordning eller ett överklagandeför- bud. Även 1998 av den allmänna regeln om överklagande till länsrätt är avsikten att särskilda regler om över- klagande skall finnas i annan förvaltningsrättslig lagstiftning.154 Vad som sagts har i huvudsak gällt frågan om hur ett be- slut överklagas om det kan överklagas. En annan, minst lika viktig fråga är om ett beslut över huvud taget kan överklagas. I den delen anges följande i propositionen med förslag till ändringen 1998 i förvaltningslagen:155 I 22 § förvaltningslagen (1986:223) anges att ett beslut får överklagas av den som beslutet angår, om det gått honom emot och beslutet kan överklagas. Förvaltningslagen ger emellertid, bortsett från vissa beslut som meddelas under handläggning, inget svar på frågan om vilka beslut som kan överklagas. Överklagbarheten regleras i stället i viss mån ge- nom bestämmelser i specialförfattningar och myndighetsinstruktioner. Dessa bestämmelser kompletteras av allmänna principer som har utbil- dats i praxis. I svensk förvaltningsrätt anses den oskrivna huvudregeln gälla, att statliga myndigheters beslut kan överklagas även om bestämmelser om överklagande saknas. Om det för kommunala beslut saknas special- bestämmelser om överklagande kan besluten i vissa fall bli föremål för laglighetsprövning enligt kommunallagen (1991:900) eller kyrkolagen (1992:300). För att förvaltningsbeslut som meddelas av organ som står utanför den statliga och kommunala organisationen skall kunna över- klagas krävs däremot uttryckligt författningsstöd. [] Överklagbarheten är [] begränsad till följd av de allmänna principer som har utbildats i praxis. Bland dessa principer kan nämnas följande. En förutsättning för att ett beslut skall kunna överklagas är att beslutet har karaktären av ett skriftligt uttalande. En myndighets fak- tiska handlande eller underlåtenhet att handla kan inte överklagas. 1997/98:101 s. 62. 1997/98:101 s. 50 ff. annan förutsättning för överklagbarhet är att beslutet har någon inte alltför obetydlig verkan för parter eller andra. En myndighets förslag eller yttrande till en annan myndighet, som har att besluta i saken, är normalt inte heller överklagbart. Beslut som rör myndigheternas inter- na förhållanden kan som huvudregel inte överklagas. Ett principbeslut, som är avsett att vara vägledande i kommande enskilda fall, är som regel inte heller överklagbart. Samma sak gäller för förhandsbesked som inte är bindande. Normbeslut får däremot i princip överklagas i samma ut- sträckning som beslut i enskilda fall. Beslut under beredningen av ett ärende är som regel inte överklagbara annat än i samband med att det slutliga avgörandet i ärendet överklagas. Beslut på verkställighetsstadiet kan i allmänhet inte heller överklagas. Normalt saknas också möjlighet att klaga över motiveringen till ett beslut. Slutsatsen av det sagda är att åtminstone vissa beslut av en myndig- het enligt personuppgiftslagen torde kunna överklagas enligt de allmänna bestämmelser som nämnts. Utredningen har dock inte kännedom om något fall där sådant överklagande skett. Det bör påpekas att ett överklagande inte inskränker den registrerades möjligheter att väcka talan om saken vid allmän domstol eller att påtala missförhållanden för Datainspektionen, eller för den delen inspektionens möjligheter att ingripa med stöd av personuppgifts- lagen. Bilden är splittrad när det gäller bestämmelser om överklagande i särskilda registerförfattningar, som meddelats genom lag och som gäller myndigheters behandling av personuppgifter. Några bestämmelser om överklagande finns inte i vissa lagar som utfärdats kort efter personuppgiftslagen. Det gäller t.ex. följande lagar: Lagen (1998:527) om det statliga personadressregistret Lagen (1998:543) om hälsodataregister Lagen (1998:544) om vårdregister Lagen (1998:620) om belastningsregister Lagen (1998:621) om misstankeregister Polisdatalagen (1998:622) Lagen (1998:938) om behandling av personuppgifter om total- försvarspliktiga I senare utfärdade eller ändrade lagar brukar det dock finnas be- stämmelser om överklagande av vissa beslut. Undantag utgör föl- jande lagar: Vapenlagen (1996:97) som i fråga om vapenregister som förs av polisen ändrats genom SFS 1999:74 och som inte innehåller nå- gon särskild bestämmelse om överklagande av beslut om behand- ling av personuppgifter. Lagen (1999:889) om registrering av krigsskada på egendom, som bara innehåller bestämmelser om rätt att överklaga beslut om att vägra registrering. Lagen (2000:537) om märkning och registrering av hundar, som såvitt nu är aktuellt bara innehåller bestämmelser om att beslut om registrering får överklagas. Lagen (2000:1087) om anmälningsskyldighet för vissa innehav av finansiella instrument, som reglerar ett insynsregister och som innehåller bara en erinran om bestämmelsen i 22 a § förvaltnings- lagen. Alkohollagen (1994:1738) som i fråga om registerföring ändrats genom SFS 2001:414, men som inte innehåller någon särskild be- stämmelse om överklagande av beslut om behandling av person- uppgifter. Lagen (2000:224) om fastighetsregister och lagen (2003:528) om företagsinteckning156, som reglerar s.k. publicitetsregister där regi- streringen innebär rättsverkningar, innehåller speciella bestämmel- ser om överklagande.157