sou · GSB36 · 2005-01-01 00:00:00 — Genom beslut bemyndigade regeringen stats- rådet att tillkalla en särskild utredare med uppgift att se över personuppgiftslagen. förordnades chefsjuristen att vara särskild utredare. Till experter förordnades hov- rättsassessorn , advokaten , hovrättsrå- det , chefsjuristen , juristen , regeringsrådet , advokaten , bolagsjuristen , professorn , departementssekreteraren , jur.kand. , juristen och förbundsjuristen . Utredningen har antagit namnet . har författat avsnitt 6. dragit med avsnitt 5.3. och har avgett särskilt yttrande. Utredningen överlämnar härmed betänkandet Översyn av per- sonuppgiftslagen (SOU 2004:6). Uppdraget är därmed slutfört. 1.1Förslag till lag om ändring i personuppgiftslagen (1998:204) ....................................................................... 1.2Förslag till lag om ändring i sekretesslagen (1980:100) ....................................................................... Utredningsarbetet och betänkandet.............................. Den personliga integriteten ......................................... Begreppet personlig integritet ....................................... 3.2Personlig integritet vid automatiserad behandling Dataskyddskonvention nr 108 ............................ Utvecklingen i rättstillämpningen och av annan Tillämpning av personuppgiftslagen .................. 5.2.2 ..........Tillämpning av 7 kap. 16 § sekretesslagen Avvikande författningsbestämmelser (2 §)........ Personuppgifter (3 §) .......................................... Personuppgiftsansvar (3 §) ................................. Förhållandet till tryck- och yttrandefriheten (7 §) ...................................................................... Berättigade ändamål (9 §) och tillåten behandling (10 §)................................................. Känsliga personuppgifter (13–19 §§) ................. Personnummer (22 §).......................................... Information till den registrerade (25 §) ............. Registerutdrag (26 §)........................................... 5.3.10 Publicering på Internet (33 §)............................. 5.5.1 Mål om att medlemsstater inte följt EG- Vägledning från Datainspektionen ..................... Eventuella problem med EG-direktivet......................... Personuppgifter som inte ingår i personregister............ 7.3.1 Undantag enligt artikel 3.2 för sådant som faller utanför gemenskapsrätten och för rent privat behandling........................................ 7.3.2 Undantag enligt artikel 9 för journalistiska ändamål eller konstnärligt eller litterärt 7.3.3 Undantag enligt artikel 13 med hänsyn till skyddet av fri- och rättigheter .......................... 7.3.4 Intresseavvägning enligt artikel 7 f ................... 7.3.5 Undantag för uppgifter som avses i artikel 8 7.3.6 Undantag från förbudet mot överföring av personuppgifter i artikel 25............................... 7.3.7 Undantag från anmälningsskyldighet enligt 2 kap. 3 § regeringsformen........................................... Överväganden och förslag............................................ 7.7.2 Vilka behandlingar bör undantas? 7.7.3 Vilka bestämmelser i personuppgiftslagen bör undantaget omfatta?................................... 7.7.4 Vilka bestämmelser behövs till skydd mot Tillsyn och sanktioner....................................... Sådant som inte omfattas av EG-direktivet.................. 8.2.1 Sådant som faller utanför gemenskapsrätten... Rent privat behandling...................................... 8.4.1 Personuppgiftslagen är generellt tillämplig ..... 8.4.2 Undantaget för privat behandling av Genomförandet i andra länder..................................... Undantag enligt artikel 13 ........................................ Genomförandet i andra länder..................................... Överväganden och förslag............................................ Enskildas behandling av personuppgifter om Andra internationella regler ......................................... Det svenska genomförandet......................................... 10.4.2 Datainspektionens undantagsmöjligheter........ 10.4.3 Andra författningar ........................................... Genomförandet i andra länder ..................................... Det svenska genomförandet......................................... 11.4.2 Särskilda registerförfattningar........................... Genomförandet i andra länder ..................................... Överväganden och förslag ............................................ Förhållandena i andra länder ........................................ Överväganden och förslag ............................................ 12.6.1 Avkriminalisering av någon typ av förseelse.... 12.6.2 Bara uppsåtliga och grovt oaktsamma förfaranden bör vara straffbara ......................... Överklagande av myndighetsbeslut ............................. EG-direktivet och andra internationella regler ........... 13.3.1 Avslag på begäran om registerutdrag................ 13.3.2 Hur avslag på begäran om allmän handling Den allmänna bestämmelsen om överklagande i Överväganden och förslag............................................ 13.7.1 Myndighetsbeslut som bör få överklagas......... 13.7.3 Andra möjligheter för den registrerade ........... 14 Särskilt om dom i 14.2.1 Behandling av personuppgifter......................... 14.2.2 Känsliga personuppgifter som rör hälsa........... 14.2.3 Undantaget för rent privat behandling ............ 14.2.4 Överföring av personuppgifter till tredje 14.2.5 Förhållandet till andra fri- och rättigheter....... 14.2.6 Den nationella lagstiftningen om Offentlighetsprincipen och sekretesslagen .................. 15.2.3 Överväganden och förslag ................................ Bestämmelsen i 7 kap. 16 § sekretesslagen.................. 15.3.2 Överväganden och förslag ................................ Ikraftträdande, övergångsbestämmelser och Konsekvenserna av förslagen ..................................... Förslaget till lag om ändring i personuppgiftslagen (1998:204) ..................................................................... Förslaget till lag om ändring i sekretesslagen (1980:100) ..................................................................... Särskilt yttrande av experterna Bilaga 1 – Utredningsdirektiven......................................... Bilaga 2 – Personuppgiftslagen (1998:204) ....................... Bilaga 3 – EG-direktivet 95/46 om personuppgifter ............. – dataskyddskonvention (nr 108) ...... – Summary in English.......................................... Hanteringen av personuppgifter som inte ingår i personregister underlättas har haft i uppdrag att göra en över- syn av personuppgiftslagen. Syftet har varit att undersöka om det trots gällande EG-direktiv om personuppgifter går att införa regler mot missbruk av personuppgifter i stället för regler om hanteringen av sådana uppgifter. Utredningen anser att det är möjligt i fråga om behandling av personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud och bild. Det ställningstagandet har gjorts efter en nog- grann analys av undantagsmöjligheterna i EG-direktivet i belysning av den utveckling som skett sedan personuppgiftslagen trädde i kraft , bl.a. motivering i domen i det svenska s.k. konfirmandlärarmålet. Utredningen föreslår ett undantag från de allra flesta hanterings- reglerna i personuppgiftslagen för behandling av sådana person- uppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personupp- gifter, dvs. i praktiken personregister och personuppgiftsanknutna databaser. Utredningens förslag innebär i korthet att hanteringsreglerna i personuppgiftslagen inte skall tillämpas på bl.a. sådan vardaglig hantering som produktion av löpande text i ordbehandlingspro- gram, publicering av löpande text på Internet, användning av ljud- och bildupptagningar och korrespondens med e-post under förut- sättning att materialet inte skall infogas i en databas med en per- sonuppgiftsanknuten struktur såsom ett ärendehanteringssystem. Den som i sin dator vill hantera personuppgifter i löpande text, t.ex. enkla meddelanden eller kortare och längre texter, eller i ljud och bild eller i e-post behöver således normalt inte bry sig om han- teringsreglerna i personuppgiftslagen. Det är bara om han eller hon vill infoga materialet i någon form av databas som det behövs ytter- ligare överväganden. Har databasen en personuppgiftsanknuten struktur, där just personuppgifter har markerats som sådana, måste hanteringsreglerna tillämpas. Den föreslagna, nya regleringen har i praktiken betydelse bara vid automatiserad behandling som sker med hjälp av datorer. Den behandling som undantas från hanteringsreglerna skall en- ligt förslaget i stället regleras av en enkel regel till skydd mot miss- bruk av personuppgifterna. Behandlingen av personuppgifter får nämligen inte utföras om den innebär ett otillbörligt intrång i den personliga integriteten. För att underlätta tillämpningen har utred- ningen i sina kommentarer sammanfattat några enkla och självklara riktlinjer som bör följas: Behandla inte personuppgifter för otillbörliga syften, såsom för- följelse eller skandalisering Samla inte utan godtagbara skäl en stor mängd uppgifter om en person Rätta personuppgifter som visar sig vara felaktiga eller missvi- sande Förtala eller förolämpa inte någon annan Bryt inte mot tystnadsplikt Den registrerade skall vidare liksom ha rätt att på begäran få ett s.k. registerutdrag med bl.a. de personuppgifter som behandlas. Ett generellt undantag föreslås emellertid för den händelse det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor ar- betsinsats att lämna ett registerutdrag, t.ex. därför att det är svårt att hitta uppgifter om en viss person i löpande text och ljud- och bildupptagningar. Den som bryter mot reglerna till skydd mot missbruk av per- sonuppgifter kan enligt förslaget få betala skadestånd till den regi- strerade. Förslaget innebär vidare att Datainspektionen skall se till att reglerna följs. Skyldigheten att lämna registerutdrag blir mindre betungande Om en personuppgiftsansvarig har väldigt många register, en större mängd ostrukturerat material eller material på många olika ställen, t.ex. i hundratals persondatorer, kan det vara omöjligt eller väldigt betungande att söka fram alla uppgifter om en person som begär ett s.k. registerutdrag. Utredningen föreslår därför att det uttryckligen anges att information enligt 26 § personuppgiftslagen, i form av ett s.k. registerutdrag, inte behöver lämnas i den utsträckning detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Det krävs dock som regel att den sökande först tillfrågas om sådana upplysningar som kan underlätta sökandet ef- ter personuppgifterna. Syftet med den föreslagna ändringen är inte att inskränka det som faktiskt tillämpas utan att verklighetsanpassa lag- texten. Regeringen och myndigheter får föreskriva sådana undantag från personuppgiftslagen som är tillåtna enligt EG-direktivet Enligt EG-direktivet är det tillåtet för medlemsstaterna att före- skriva undantag från vissa bestämmelser i när det är nödvändigt med hänsyn till fullgörandet av vissa uppräknade vikti- ga samhälls- och myndighetsfunktioner eller med hänsyn till skyd- det av fri- och rättigheter. Någon motsvarande undantagsbestäm- melse finns inte i personuppgiftslagen. Utredningen föreslår att undantagsmöjligheterna utnyttjas genom att regeringen och den myndighet som regeringen bestämmer uttryckligen bemyndigas att meddela föreskrifter och beslut i enskilda fall om sådana undantag som är tillåtna enligt EG-direktivet. Bara grovt oaktsamma förfaranden skall vara straffbara kan en person dömas till böter eller fängelse om han eller hon uppsåtligen eller av oaktsamhet bryter mot personuppgiftslagen i fyra uppräknade fall. Utredningen föreslår en avkriminalisering som innebär att, förutom uppsåtliga förfaranden, bara grovt oakt- samma förfaranden skall vara straffbara. Utredningen har inte fun- nit anledning att i övrigt föreslå en avkriminalisering. Det förtydligas hur myndighetsbeslut överklagas kan vissa myndighetsbeslut enligt personuppgiftslagen överklagas enligt allmänna bestämmelser om överklagande. Utred- ningen föreslår att det direkt i personuppgiftslagen tas in bestäm- melser om i vilka fall och hur en myndighets beslut enligt lagen överklagas. Särskilda bestämmelser om hur beslut av domstolar överklagas skall dock enligt förslaget tas in i de registerlagar som reglerar domstolarnas behandling av personuppgifter. Personuppgiftslagens förhållande till offentlighetsprincipen och sekretesslagen förtydligas I syfte att förtydliga föreslår utredningen en uttrycklig regel om att de generella bestämmelserna i personuppgiftslagen inte inskränker myndigheternas skyldighet enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen att på begäran söka efter, sammanställa och lämna ut personuppgifter. Utredningen föreslår vidare att även andra organ än myndigheter som har skyldigheter enligt offentlig- hetsprincipen, t.ex. kommunala bolag, skall omfattas av de undan- tag med hänsyn till offentlighetsprincipen som finns i personupp- giftslagen. Enligt 7 kap. 16 § sekretesslagen gäller sekretess för personupp- gift, om det kan antas att ett utlämnande skulle medföra att uppgif- ten behandlas i strid med personuppgiftslagen. Utredningen har haft i uppdrag att förtydliga bestämmelsen men inte att föreslå att den skall ändras i sak eller upphävas. Utredningen föreslår att be- stämmelsen förtydligas enligt följande. Sekretess skall gälla för en personuppgift om det finns skäl att anta att uppgiften efter ett utlämnande kommer att behandlas i strid med personuppgiftslagen. Därmed förtydligas bl.a. att myn- digheten måste ha något skäl – t.ex. att uppgifter om väldigt många människor begärs utlämnade – för att ställa frågor om den tilltänkta användningen av uppgifterna. Sekretess skall också gälla för en personuppgift om myndighe- tens utlämnande av uppgiften står i strid med bestämmelsen om överföring av personuppgifter till tredje land i 33 § personuppgifts- lagen. Det skall dock inte medföra sekretess för uppgifter i allmänt register som enligt lag eller förordning är avsett att ge allmänheten information, t.ex. fastighetsregistret. Dessa bestämmelser kommer i praktiken bara att vara aktuella i det undantagsfallet att en myn- dighet enligt offentlighetsprincipen är skyldig att sända en person- uppgift till utlandet. Utredningen har haft i uppdrag att se över möjligheten till undan- tag för sådan behandling av personuppgifter inom den privata sfä- ren som faller utanför EG-rätten och därmed inte omfattas av EG- direktivet. Utredningen konstaterar att det undantag för rent privat behandling av personuppgifter som är tillåtet enligt EG-direktivet redan har utnyttjats fullt ut och att det inte finns skäl för att göra ytterligare undantag från personuppgiftslagen. finns det i personuppgiftslagen ett förbud för andra än myndigheter, dvs. enskilda, att behandla personuppgifter om lag- överträdelser m.m., men undantag kan föreskrivas i andra författ- ningar eller i beslut i enstaka fall. Utredningen har haft i uppdrag att analysera om konkreta undantag bör tas in direkt i personupp- giftslagen. Utredningen har kommit fram till att de möjligheter till undantag genom generella föreskrifter i andra författningar och genom beslut i enstaka fall som redan finns är tillräckliga och att några bestämmelser om undantag från förbudet för enskilda att be- handla personuppgifter om lagöverträdelser således inte bör föras in direkt i personuppgiftslagen. Det föreslås inga ändringar i personuppgiftslagen med anledning av dom med tolkningsbesked i det svenska s.k. konfirmandlärarmålet om publicering av personuppgifter på Inter- net. De föreslagna lagändringarna kan i praktiken träda i kraft tidigast . 1.1Förslag till lag om ändring i personuppgiftslagen (1998:204) Härigenom föreskrivs i fråga om personuppgiftslagen (1998:204) dels att 8, 26 och 49 §§ skall ha följande lydelse, dels att det i lagen skall införas fyra nya paragrafer, 5 a, 26 a och 42 a och 52 §§, samt närmast före 5 a och 42 a §§ nya rubriker av följande lydelse. Personuppgifter som inte ingår i personregister 5 a § Bestämmelserna i 9, 10, 13, 21, 23, 24, 28, 33 och 42 §§ skall inte tillämpas på behandling av personuppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter. Sådan behandling får ut- föras bara om den inte innebär ett otillbörligt intrång i den person- liga integriteten. 8 § Bestämmelserna i denna lag 8 § Bestämmelserna i denna lag tillämpas inte i den utsträckning tillämpas inte i den utsträckning det skulle inskränka en myndig- det skulle inskränka en myndig- lämna ut personuppgifter. söka efter, sammanställa och läm- melserna innebär inte heller en sådan begränsning av en myndig- hets befogenhet att göra en sam- manställning tillgänglig som avses i 2 kap. 3 § tredje stycket tryckfri- hetsförordningen. Bestämmelserna hindrar inte heller att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Bestämmelsen i 9 § fjärde stycket gäller inte för en myndighets användning av personuppgifter i allmänna hand- lingar. Vid tillämpningen av denna paragraf jämställs med myndighet ett annat organ i den utsträckning som anges i 1 kap. 8 och 9 §§ sek- retesslagen (1980:100). 26 § Den personuppgiftsansvarige är skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om per- sonuppgifter som rör den sökande behandlas eller ej. Behandlas sådana uppgifter skall skriftlig information lämnas också om a)vilka uppgifter om den sökande som behandlas, b)varifrån dessa uppgifter har hämtats, c)ändamålen med behandlingen, och d)till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. En ansökan enligt första stycket skall göras skriftligen hos den personuppgiftsansvarige och vara undertecknad av den sökande själv. Information enligt första stycket skall lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast efter det att ansökan gjordes. Information enligt första styck- et behöver inte lämnas om person- uppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Vad som sagts gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga än- damål eller, när det gäller löpande text som inte fått sin slutliga ut- formning, om uppgifterna har be- handlats . 26 a § Information enligt 26 § behöver inte lämnas i den utsträck- ning detta visar sig vara omöjligt eller skulle innebära en opropor- tionerligt stor arbetsinsats. Information enligt 26 § behöver inte heller lämnas om person- uppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Vad som sagts gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har be- handlats . Bemyndigande att meddela undantag 42 a § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från 9, 23–26 och 28 §§ samt 29 § andra stycket och 42 § om det är nödvändigt med hänsyn till a)statens säkerhet, b)försvaret, c)allmän säkerhet, d)åtal eller förebyggande, undersökning eller avslöjande av brott eller av överträdelse av etiska regler, e)ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i den unionen eller är ansluten till Europeiska ekonomiska samarbetsområdet, f)myndighetsutövning som avser tillsyn, inspektion eller reglering i fråga om sådant som nämns i c–e, eller g)skyddet av fri- och rättigheter. Regeringen får under de förutsättningar som nämns i första stycket i enskilda fall besluta om undantag från 9, 23–26 och 28 §§ samt 29 § andra stycket och 42 §. Regeringen får överlåta åt myn- dighet att fatta sådana beslut. 49 §1 Till böter eller fängelse eller, om brottet är grovt, till fängelse i högst döms den som upp- såtligen eller av oaktsamhet 49 § Till böter eller fängelse eller, om brottet är grovt, till fängelse i högst döms den som upp- såtligen eller av grov oaktsamhet a)lämnar osann uppgift i sådan information till registrerade som föreskrivs i denna lag, i anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär infor- mation enligt 43 §, b)behandlar personuppgifter i strid med 13–21 §§, c)för över personuppgifter till tredje land i strid med 33–35 §§, el- ler d)låter bli att göra anmälan enligt 36 § första stycket eller enligt föreskrifter meddelade med stöd av 41 §. I ringa fall döms inte till ansvar. Den som överträtt ett vitesföreläggande enligt 44 § eller 45 § för- sta stycket döms inte till ansvar för en gärning som omfattas av vi- tesföreläggandet. 52 § En myndighets beslut om information enligt 26 §, om rättelse och underrättelse till tredje man enligt 28 §, om information enligt 29 § andra stycket och om upplysningar enligt 42 § får överklagas hos allmän förvaltningsdomstol. Andra beslut av myndighet enligt denna lag får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. Första och andra styckena gäller inte beslut av och re- I fråga om överklagande av beslut av allmän domstol och allmän förvaltningsdomstol finns särskilda föreskrifter. Senaste lydelse SFS 1999:1210. Denna lag träder i kraft den []. Föreskrifterna i 52 § skall dock inte tillämpas i fråga om överklagande av beslut som har meddelats före ikraftträdandet. 1.2Förslag till lag om ändring i sekretesslagen (1980:100) Härigenom föreskrivs1 att 7 kap. 16 § sekretesslagen (1980:100) skall ha följande lydelse. Sekretess gäller för personupp- Sekretess gäller för personupp- gift, om det kan antas att ett ut- lämnande skulle medföra att 1. det finns skäl att anta att upp- uppgiften behandlas i strid med personuppgiftslagen (1998:204). kommer att behandlas i strid (1998:204), eller uppgiften står i strid med 33 § står i strid med 33 § personupp- giftslagen skall dock inte medföra sekretess för uppgifter i allmänt register som enligt lag eller för- ordning är avsett att ge allmänhe- ten information. Denna lag träder i kraft den []. 1Jfr och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT nr L 281, 23.11.1995, s. 31, Celex 395L0046). 2Senaste lydelse SFS 1998:205. Utredningens utredningsdirektiv (dir. 2002:31) finns som bilaga 1. Utredningen har enligt tilläggsdirektiv (dir. 2003:53 och 2003:164) fått förlängd utredningstid för att kunna beakta dom i det s.k. konfirmandlärarmålet. Domen meddelades den 6 no- vember 2003. Utredningen har haft 10 sammanträden, varav ett internatsam- manträde . Vid sammanträdena har utkast till texter till betänkandet gåtts igenom och diskuterats. Utredningen har haft en hemsida på Internet.1 Den särskilde utredaren har samrått med Offentlighets- och sek- retesskommittén (Ju 1999:06) och haft informationsutbyte med (Fö 2002:01). Det uppdrag om sam- råd med den kommitté som får i uppdrag att göra en bred kartlägg- ning avseende skyddet för den personliga integriteten i det moder- na samhället som anges i utredningsdirektiven har inte kunnat full- göras, eftersom den nämnda kommittén inte tillsatts .