sou · GSB36 · 2005-01-01 00:00:00 — Person- uppgiftslagen har med hänsyn till EG-direktivet baserats på en an- nan lagstiftningsmodell, en s.k. hanteringsmodell. Det är något oklart vad som menas med en missbruksmodell re- spektive hanteringsmodell för lagstiftningen. , som införde terminologin, beskrev skillnaderna på följande sätt:41 Man kan på ett principiellt plan tänka sig åtminstone två olika model- ler för regleringen av skyddet för den personliga integriteten: Reglering av själva hanteringen av personuppgifter (hanteringsmo- dellen). Reglering av sådant utnyttjande av personuppgifter som kan karak- teriseras som ett missbruk (missbruksmodellen). När man riktar in sig på att reglera själva hanteringen av personuppgif- ter, blir det viktigt med regler som avser t.ex. att precisera godtagbara ändamål med hanteringen och hindra an- vändning som inte stämmer överens med sådana ändamål, att inte fler uppgifter än nödvändigt hanteras, att de hanterade uppgifterna är korrekta och relevanta, att de hanterade uppgifterna inte läcker ut från den som hanterar dem och att de registrerade kan få kännedom om av vem uppgifterna hanteras och vilka uppgifter som hanteras. Den nuvarande datalagen och EG-direktivet kan sägas bygga på en så- dan modell för skyddet av den personliga integriteten. Också Europa- rådets konvention och rekommendationer samt, på det globala planet, riktlinjer verkar bygga på hanteringsmodellen. Även den svenska grundlagen42 kan sägas kräva att det skall finnas en lagstiftning baserad på hanteringsmodellen, innefattande skydd mot integritets- kränkningar genom att personuppgifter registreras (oavsett om de i nå- gon mening missbrukas eller inte). 41SOU 1997:39 s. 181 ff. 422 kap. 3 § 2 st. regeringsformen. Personuppgifter som inte ingår i personregister De som förespråkar den modell som koncentrerar sig på reglering av det som kan karakteriseras som missbruk av personuppgifter, brukar utgå från att själva hanteringen av personuppgifterna skall vara i det närmaste fri. Det har t.ex. talats om ett slags allemansrätt till person- uppgifter.43 Det viktiga med den modellen blir i stället att identifiera vilken användning av personuppgifter som utgör ett sådant missbruk att det bör förbjudas, dvs. i första hand kriminaliseras eller skades- tåndsbeläggas. Båda modellerna har fördelar. Även om en reglering i enlighet med hanteringsmodellen görs i prin- cip teknikoberoende, är det inte praktiskt möjligt att låta den omfatta all hantering av personuppgifter; hanteringen av sådana personuppgif- ter som någon har memorerat (har i huvudet) bör t.ex. lämnas utanför regleringen, trots att de memorerade uppgifterna givetvis kan komma att användas till skada för den som uppgifterna avser. Missbruksmodel- len däremot är helt teknikoberoende och tar sikte på det skadliga ut- nyttjandet av personuppgifterna oberoende av vilket hjälpmedel som har använts vid utnyttjandet (papper och penna, dator, det mänskliga minnet etc.). Med hanteringsmodellen kan man alltså – till skillnad från miss- bruksmodellen – inte komma till rätta med allt missbruk av personupp- gifter eller all användning av personuppgifter som enskilda kan tycka är obehaglig eller skadlig. Med hanteringsmodellen främjas en kontinuerligt god hantering av personuppgifter; man begränsar hanteringen till de uppgifter som be- hövs och hanteringen sker på ett ändamålsenligt sätt som den enskilde kan få insyn i. Den modellen förutsätter också att det finns någon sorts kontroll av eller tillsyn över hanteringen. Missbruksmodellen är å andra sidan mera repressiv till sin karaktär. Där kommer regleringen och till- synen in först sedan skadan har skett, när missbruket är ett faktum. Det torde med den modellen vara svårt att på ett tillräckligt förutsebart sätt reglera och kontrollera olika förberedelser till missbruk. Den hantering som inte innebär ett missbruk lämnas med miss- bruksmodellen i princip utanför regleringen; där gäller allemansrätten till personuppgifter. Med hanteringsmodellen regleras däremot i prin- cip också sådan hantering av personuppgifter som objektivt sett måste betraktas som harmlös. Det kan därför tyckas att hanteringsmodellen spänner över onödigt mycket. Missbruksmodellen lämnar å andra sidan öppet för en hantering av också känsliga personuppgifter som redan genom sin stora omfattning kan oroa många människor. 43Se , Rapport om skyddet för enskilda personers privatliv – ett mer samlat grepp?, 1995, avsnitt 10.4. Personuppgifter som inte ingår i personregister Regeringen ansåg vid utarbetandet av personuppgiftslagen att det inte var möjligt att uppfylla skyldigheten att genomföra EG- direktivet på annat sätt än genom att införa en lagstiftning av han- teringsmodell och påpekade att ingen hade kunnat konkret ange hur det skulle kunna vara möjligt med hänsyn till EG-direktivet att använda en renodlad missbruksmodell.44 delade regeringens bedömning.45 Såsom anges i utredningsdirekti- ven har det dock efter ikraftträdandet av personuppgiftslagen vid- tagits flera åtgärder i syfte att åstadkomma en mer missbruksinrik- tad regleringsmodell. Det enda mer konkreta utkast till en missbruksmodell för regler- ingen som framkommit är det som presente- rade och som också omnämns i utredningsdirektiven.46 Utkastet innehåller ett konkret förslag till ändring av EG-direktivet som innebär att en ny artikel av följande lydelse skall införas i EG- direktivet: På automatisk behandling av personuppgifter i form av ljud- och bilduppgifter och i text skall, när materialet inte har strukturerats så att sökning av personuppgifter underlättas, bara tillämpas artikel 4, 9 och 22–24.47 Medlemsstaterna skall föreskriva att sådan behandling som avses i punkt 1 och som innebär spridning av personuppgifter till skada för den registrerade inte är tillåten. Detta skall dock inte gälla om den som sprider uppgifterna är skyldig att uttala sig eller det annars med hänsyn till ett allmänt intresse är försvarligt att personuppgifterna sprids. På hemsida på Internet har förslaget sam- manfattats enligt följande: Behandling av personuppgifter som inte har strukturerats för att un- derlätta sökning av personuppgifter, t.ex. vid ord- och textbehandling 1997/98:44 s. 36 f. 45KU 1997/98:18 s. 13 f. 46Utkastet finns som bilaga till Ds 2001:27, som också innehåller en sammanställning av allmänhetens synpunkter på utkastet. – rättsliga observatorium har också gjort ett arbete om utformningen av en missbruksmodell som redovisats i en skri- velse till regeringen , dnr ITK98/3 (se det IT-rättsliga observatoriets rapport 8/98). 47De angivna artiklarna rör det territoriella tillämpningsområdet, undantag med hänsyn till yttrandefriheten och rättslig prövning och sanktioner. Personuppgifter som inte ingår i personregister och användning av Internet och e-post, undantas från bestämmelserna om själva hanteringen av personuppgifter. Sådan behandling är förbjuden bara om spridning av personuppgif- terna är till skada för den registrerade. Spridningen skall dock alltid vara tillåten, om den som sprider uppgifterna är skyldig att uttala sig eller det annars med hänsyn till ett allmänt intresse är försvarligt att person- uppgifterna sprids. Bara behandling av personuppgifter i regelrätta databaser eller andra uppgiftssamlingar som strukturerats för att underlätta sökning av per- sonuppgifter, t.ex. myndigheters, försäkringsbolags och bankers regis- ter med personuppgifter, omfattas alltså av bestämmelser om själva hanteringen av personuppgifter. Det som enligt förslaget skall undantas från hanteringsreglerna i EG-direktivet är således ljud- och bilduppgifter och löpande text när materialet inte har strukturerats så att sökning av personuppgif- ter underlättas. Utredningen anser att det är ändamålsenligt att behandling av sådant ostrukturerat material undantas från hanteringsreglerna i personuppgiftslagen. De dataskyddsprinciper som ligger bakom dessa hanteringsregler utarbetades innan den datoriserade informationstekniken blivit en vardagsteknik, som snart sagt varje arbetstagare hanterar , och börjat användas för kommunikation och spridning av information i världsomfat- tande nätverk såsom Internet.48 Att problemen med att tillämpa hanteringsreglerna på en vardagsteknik med nya användningsområ- den verkar ha uppmärksammats först i kan hänga samman med position som ett föregångsland inom informations- tekniken och att var bland de allra första staterna att genomföra EG-direktivet. De generella dataskyddsprinciperna är i och för sig enligt utred- ningens mening i stort sett adekvata och relevanta även för behand- ling av personuppgifter i ostrukturerat material. Det ligger exem- pelvis ett värde i att personuppgifter som behandlas är riktiga och relevanta och att den registrerade är informerad om behandlingen även när den avser ostrukturerat material. I de allra flesta fall leder också en tillämpning av hanteringsreglerna till slutsatsen att be- handlingen av personuppgifter i ostrukturerat material är tillåten och kan utföras. 48 Jämför härtill vad som sägs i avsnitt 3.2 och, i fråga om dataskyddsprinciper, avsnitt 4. Personuppgifter som inte ingår i personregister Men reglerna är ändå inte anpassade för den utbredda an- vändningen av datoriserad informationsteknik för ostrukturerad vardagshantering och kommunikation. Det är nämligen enligt ut- redningens mening inte rimligt att man skall behöva tillämpa sju eller åtta hanteringsregler för att kunna konstatera att en vardaglig behandling av personuppgifter i ostrukturerat material är tillåten. Hanteringsreglerna framstår som alltför omfattande, komplicerade och byråkratiska när det gäller vardaglig, ostrukturerad behandling av personuppgifter som normalt är helt harmlös. Hanteringsregler- na tillför inte integritetsskyddet mycket i dessa fall, i vart fall inte i jämförelse med den byråkrati och kostnad som skulle uppkomma om reglerna i praktiken tillämpades fullt ut. Det är enligt utredningens mening inte realistiskt att tro att han- teringsreglerna i någon större utsträckning i praktiken används vid vardaglig, ostrukturerad hantering av personuppgifter. I och med att reglerna i dessa fall upplevs som byråkratiska, komplicerade och inte kopplade till integritetsskyddet och därför inte tillämpas, riskerar man att de grundläggande och viktiga data- skyddsprinciperna råkar i vanrykte och inte tillämpas ens vid sådan strukturerad behandling av personuppgifter där de är oundgängliga för integritetsskyddet. Därför skulle integritetsskyddet i praktiken stärkas om man undantar behandling av ostrukturerade personupp- gifter från hanteringsreglerna och i stället tillskapar enklare regler som direkt tar sikte på skydd mot missbruk av personuppgifter. Utredningen anser mot den redovisade bakgrunden och utred- ningsdirektiven att den bör inleda sin översyn av personuppgiftsla- gen med att göra en förnyad analys av om och i vilken utsträckning det med hänsyn till EG-direktivet och andra omständigheter är möjligt att från hanteringsreglerna i personuppgiftslagen undanta behandling av personuppgifter i material som inte har strukturerats så att sökning efter eller sammanställning av personuppgifter un- derlättas, t.ex. löpande text och ljud- och bildupptagningar49. Kan ett sådant undantag göras, får det undersökas vilka närmare be- stämmelser som i stället är nödvändiga för att förhindra missbruk av personuppgifter och andra obefogade intrång i den personliga integriteten. I det sammanhanget får beaktas bl.a. de generella reg- 49Här och i det följande används löpande text och ljud- och bildupptagningar som exempel på material som normalt inte har strukturerats för att underlätta sökning efter och sam- manställning av personuppgifter. Det bör dock påpekas att även löpande text och ljud och bild givetvis kan struktureras på detta sätt. Och har så skett, är materialet naturligtvis inte längre ostrukturerat. Personuppgifter som inte ingår i personregister ler till skydd för den personliga integriteten som redan finns. Det gäller här att skapa ett kompletterande skydd mot otillbörligt in- trång i den personliga integriteten. Ett sådant generellt undantag för behandling av personuppgifter i ostrukturerat material finns således inte i personuppgiftsla- gen. Utredningen har inte heller funnit något motsvarande undan- tag i andra medlemsstaters genomförandelagstiftning, jämför dock vad som sägs i avsnitt 7.3.2 om avsikter. Utredningen anser alltså att det är strukturen på materialet som bör utgöra kriteriet för om hanteringsreglerna eller regler som bara förhindrar missbruk skall tillämpas. Här bör avslutningsvis noteras att utredningen i och för sig övervägt också andra möjliga avgräns- ningskriterier än materialets struktur, t.ex. syftet med behandling- en, arten av personuppgifter, vem som behandlar uppgifterna, vem personuppgifterna avser osv. Som kommer att framgå i det följande är inte användningen av materialets struktur som kriterium utan svårigheter och definitionsproblem. Varje avgränsningskriterium har emellertid inneboende svårigheter och kan vara mer eller mind- re ändamålsenligt. En avgränsning utifrån syftet med behandlingen innebär t.ex. bl.a. den svårigheten att syftet oftast inte syns utåt. Utredningen har funnit att det valda kriteriet (materialets struktur) är det mest ändamålsenliga, vilket naturligtvis är av största vikt, och att definitionsproblemen och andra svårigheter med det kriteriet kan bemästras. 7.3.1Undantag enligt artikel 3.2 för sådant som faller utanför gemenskapsrätten och för rent privat behandling Enligt artikel 3.2 första strecksatsen i EG-direktivet gäller inte EG- direktivet för sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten. Enligt andra strecksatsen i artikeln gäller inte EG-direktivet för sådan be- handling av personuppgifter av en fysisk person som ett led i verk- samhet av rent privat natur eller som har samband med hans eller hennes hushåll. Bestämmelserna i artikeln berörs närmare i avsnitt 8.2. Personuppgifter som inte ingår i personregister Enligt utredningens mening står det ganska klart att de nu nämnda undantagen inte kan användas för att generellt undanta behandling av personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar. Viss sådan behand- ling kan visserligen utföras av en fysisk person för rent privat bruk, men något generellt undantag finns det knappast stöd för. Undan- taget för rent privat behandling i EG-direktivet har för övrigt redan tagits in i 6 § personuppgiftslagen. 7.3.2Undantag enligt artikel 9 för journalistiska ändamål eller konstnärligt eller litterärt skapande Enligt artikel 9 i EG-direktivet skall medlemsstaterna besluta om undantag och avvikelser från de flesta av bestämmelserna i direktivet för sådan behandling av personuppgifter som sker ute- slutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. Sådana undantag och avvikelser får dock beslutas bara om de är nödvändiga för att förena rätten till privatlivet med reg- lerna om yttrandefriheten. Av det protokoll som fördes inom rådet när den gemensamma ståndpunkten om EG-direktivet antogs (i fortsättningen kallat mö- tesprotokollet51; se bilaga 4) framgår det att förklarat att man kommer att använda sig av de undantag som föreskrivs i arti- kel 9 för all den verksamhet inom den audiovisuella sektorn som omfattas av EG-direktivet. Mot bakgrund av förklaring skulle man kunna över- väga att stödja ett generellt undantag för behandling av personupp- gifter i ostrukturerat material på artikel 9. Enligt utredningens me- ning förefaller det dock högst osäkert om undantagsmöjligheterna enligt artikel 9 kan användas för ett så generellt undantag. Undan- tagsmöjligheten enligt artikel 9 i EG-direktivet har för övrigt redan utnyttjats fullt ut i 7 § personuppgiftslagen. 50Artikel 9 har berörts utförligt i t.ex. SOU 1997:39 s. 123 f. och 221 ff., SOU 1997:49 s. 241 ff. och SOU 2001:28 s. 259 ff. 51Dokument 4730/95 ECO 20 av . Personuppgifter som inte ingår i personregister 7.3.3Undantag enligt artikel 13 med hänsyn till skyddet av fri- och rättigheter I artikel 13.1 i EG-direktivet finns det bestämmelser om att med- lemsstaterna genom lagstiftning får begränsa omfattningen av vissa skyldigheter och rättigheter som följer av EG-direktivet. Det gäller de skyldigheter och rättigheter som anges i artikel 6.1, 10, 11.1, 12 och 21, dvs. de grundläggande kraven på behandlingen av personuppgifter (artikel 6.1, som motsvaras av 9 § personuppgiftslagen) skyldigheten att informera den registrerade (artikel 10 och 11.1, som motsvaras av 23–25 §§ personuppgiftslagen) rätten att på begäran få tillgång till uppgifterna och rättelse (arti- kel 12, som motsvaras av 26 och 28 §§ samt 29 § andra stycket personuppgiftslagen) reglerna om ett offentligt register över anmälda behandlingar och skyldigheten att hålla information om andra behandlingar till- gänglig (artikel 21, som motsvaras av 42 § personuppgiftslagen och 7 § personuppgiftsförordningen) En sådan begränsning måste vara en nödvändig åtgärd med hänsyn till a)statens säkerhet, b)försvaret, c)allmän säkerhet, d)förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för lagre- glerade yrken, e)ett viktigt ekonomiskt eller finansiellt intresse hos en medlems- stat eller hos Europeiska unionen, inklusive monetära frågor, budgetfrågor och skattefrågor, f)en tillsyns-, inspektions- eller regleringsfunktion som, även om den är av övergående karaktär, är förbunden med myndighetsut- övning i de under punkterna c), d) och e) nämnda fallen, g)skydd av den registrerades eller andras fri- och rättigheter. Av mötesprotokollet (bilaga 4) framgår att rådet och kommissio- nen anser att sådana rättigheter som att utföra behandling av per- sonuppgifter inte avses med hänvisningen till andras fri- och rättig- heter i artikel . Bestämmelserna i artikel 13.1 berörs närmare i avsnitt 9.2. Personuppgifter som inte ingår i personregister Artikel 13.1 innebär således att undantag från vissa bestämmelser i kan göras om det är en nödvändig åtgärd med hän- syn till vissa intressen. Det enda intresse som kan vara aktuellt när man överväger ett generellt undantag för behandling av personupp- gifter i ostrukturerat material är det som avser skyddet av den regi- strerades eller andras fri- och rättigheter (punkt g). Frågan är då om det kan anses vara en sådan fri- och rättighet som avses i artikel att få hantera ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar utan att be- gränsas av de hanteringsregler som avses i artikel 13.1. När materialet skall distribueras till andra kan det vara fråga om ett sådant utnyttjande av yttrandefriheten som varje medborgare är tillförsäkrad skydd för enligt 2 kap. 1 § första stycket 1 regerings- formen, dvs. en frihet att i tal, skrift eller bild eller på annat sätt meddela upplysningar samt uttrycka tankar, åsikter och känslor. Yttrandefriheten är onekligen en fri- och rättighet som är fastsla- gen också i bl.a. artikel 10.1 i . Regeringen och Lagrådet har emellertid ansett att det är osäkert om yttrandefrihe- ten omfattas av de fri- och rättigheter som avses i artikel , eftersom det finns ett särskilt undantag för yttrandefriheten i arti- kel 9.52 Utredningen anser dock att det förhållandet att yttrandefri- heten nämns i artikel 9 inte kan anses innebära att just den väleta- blerade fri- och rättigheten inte skulle omfattas av uttrycket fri- och rättigheter i artikel 13. Enligt ordalydelsen omfattar artikel 9 bara undantag för behandling av personuppgifter som sker uteslu- tande för journalistiska ändamål eller konstnärligt eller litterärt skapande, vilket verkar vara mera begränsat än en frihet att med- dela upplysningar samt uttrycka tankar, åsikter och känslor eller – såsom anges i artikel 10.1 – en frihet att ta emot och sprida uppgifter och tankar. Även när materialet inte skall distribueras till andra utan bara an- vändas internt hos den personuppgiftsansvarige kan det vara fråga om ett utnyttjande av en fri- och rättighet i den mening som avses i artikel . Det kan nämligen vid inhämtande av uppgifter vara fråga om ett sådant utnyttjande av informationsfriheten som varje medborgare är tillförsäkrad skydd för enligt 2 kap. 1 § första styck- et 2 regeringsformen, dvs. en frihet att inhämta och mottaga upp- lysningar samt att i övrigt taga del av andras yttranden. Enligt ut- redningens mening kan till och med det rent interna upprättandet 1997/98:44 s. 49 och 236. Se också SOU 2001:28 s. 273. Personuppgifter som inte ingår i personregister och användandet av ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar hos en personuppgiftsansvarig – t.ex. såsom minnesanteckningar – anses vara en fri- och rättighet. Att få ha sina ofärdiga alster och minnesanteck- ningar i fred har exempelvis vid införandet av personuppgiftslagen ansetts som en sådan fri- och rättighet som avses i artikel 13.1 g.53 I samband med antagandet av EG-direktivet förklarade rådet och kommissionen som nämnts att sådana rättigheter som att utföra behandling av personuppgifter inte avses med hänvisningen till andras fri- och rättigheter i artikel . Det är för det första inte säkert att man alls kan tillmäta sådana förklaringar någon rättslig status och betydelse vid utrönandet av den rätta innebörden av en bestämmelse i ett EG-direktiv.54 För det andra rör hanteringen av ostrukturerat material inte bara behandling av personuppgifter utan rätten till sådan hantering är generell och avser all slags informa- tion. Att fri- och rättigheter som kan involvera behandling av per- sonuppgifter avses i artikel är uppenbart; annars skulle ju bestämmelsen aldrig kunna tillämpas. Utredningen anser alltså sammanfattningsvis att det bör vara möjligt att hävda att hanteringen av ostrukturerat material t.ex. i form av text och ljud- och bildupptagningar i och för sig är en så- dan fri- och rättighet som avses i artikel och som kan berät- tiga medlemsstaterna att göra nödvändiga begränsningar av vissa bestämmelser i direktivet. Den slutsatsen framstår som än mer be- fogad när det gäller att bara göra begränsningar för sådan hantering av ostrukturerat material som inte innefattar ett missbruk av per- sonuppgifter. Det bör betonas att varje begränsning som görs mås- te vara nödvändig med hänsyn till skyddet av den aktuella fri- och rättigheten. Det kan sägas vara fråga om en intresseavvägning där de båda fri- och rättigheterna – rätten till integritetsskydd och rät- ten att för t.ex. yttrandefrihets- och informationsfrihetsändamål få hantera ostrukturerat material – vägs mot varandra och där bara sådana begränsningar görs som är nödvändiga för att uppnå en ba- lans mellan de motstående fri- och rättigheterna. 1997/98:44 s. 83. 54Jämför t.ex. mål C-292/89, Antonissen (1991 ECR I-2867, svenska specialutgåvan vol. XI s. 55) och mål C-329/95, VAG (1997 s. I-2675) Personuppgifter som inte ingår i personregister 7.3.4Intresseavvägning enligt artikel 7 f I artikel 7 i EG-direktivet, från vilken artikel undantag inte kan gö- ras med stöd av artikel 13.1, räknas det upp i vilka fall personupp- gifter får behandlas. Kan en tilltänkt behandling inte hänföras un- der något av de uppräknade fallen, får den inte genomföras. Det fall som kan vara aktuellt när man överväger att generellt tillåta behandling av personuppgifter i ostrukturerat material är det som finns i artikel 7 f. Av artikel 7 f framgår att medlemsstaterna skall föreskriva att personuppgifter får behandlas om behandlingen är nödvändig för ändamål som rör berättigade intressen hos den personuppgiftsan- svarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter.