sou · GSB36 · 2005-01-01 00:00:00 — I fråga om bestämmelsen i 28 § personuppgiftslagen om rättelse kan det naturligtvis vara ett väsentligt intresse för den registrerade att t.ex. felaktiga personuppgifter även i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar på begäran korrigeras. Att den personuppgiftsansvarige fortsätter att behandla direkt felaktiga personuppgifter trots att den registrerade begärt rättelse får dock i regel betraktas som ett otillbörligt integritetsin- trång som bör vara förbjudet enligt huvudregeln såsom ett miss- bruk av personuppgifterna. Bestämmelsen i 28 § är dessutom for- mulerad på ett sådant sätt att den inte utan vidare kan användas i fråga om behandling som är undantagen från de grundläggande kraven i 9 §. Det skulle alltså vara nödvändigt att införa en särskild bestämmelse rörande rättelse för behandling av personuppgifter i ostrukturerat material. Utredningen anser mot bakgrund av de be- stämmelser till skydd mot missbruk som bör finnas (se avsnitt 7.7.4) att undantag bör kunna göras också från bestämmelsen om rättelse i 28 §. Det är i och för sig tillåtet enligt EG-direktivet att bestämma att personnummer generellt får behandlas i ostrukturerat material t.ex. i form av löpande text och ljud och bild. Utredningen anser emeller- tid att det inte är lämpligt. Den nuvarande regeln i 22 § personupp- giftslagen om att personnummer och samordningsnummer får be- handlas utan samtycke bara när det är klart motiverat med hänsyn till något beaktansvärt skäl får nämligen anses befogad även vid be- handling av ostrukturerat material. Därför bör det inte göras något undantag från 22 § personuppgiftslagen. Som framgått av avsnitt 7.7.2 har undantagsbestämmelsen ut- formats så att den uttryckligen tillåter behandling av personuppgif- ter som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlät- ta sökning efter eller sammanställning av just personuppgifter, om behandlingen inte innebär ett otillbörligt intrång i den personliga integriteten. Undantagsbestämmelsen utgör därför i sig en uttolk- ning av bestämmelsen om intresseavvägning i artikel 7 f i EG- direktivet och 10 § f personuppgiftslagen. Därmed bör även 10 § personuppgiftslagen tas med bland de bestämmelser som inte skall tillämpas. I enlighet med vad som anges i avsnitt 7.3.7 bör det vidare i för- ordning göras ett undantag från skyldigheten enligt 36 § person- uppgiftslagen att göra anmälan till Datainspektionen. Personuppgifter som inte ingår i personregister 7.7.4Vilka bestämmelser behövs till skydd mot missbruk? Utredningens förslag: Behandlingen får bara utföras om den inte innebär ett otillbörligt intrång i den personliga integriteten. Den föreslagna bestämmelsen som tillåter behandling av alla slags personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar och undantar behandlingen från hanteringsreglerna i personuppgiftslagen måste rimligen förknippas med bestämmelser till skydd mot sådant missbruk av personuppgif- terna som innefattar ett otillbörligt integritetsintrång. Ett par sådana skyddsregler har redan berörts. För det första om- fattar undantaget bara material som inte har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just per- sonuppgifter. För det andra har den registrerade rätt att på begäran få ett s.k. registerutdrag med de personuppgifter som behandlas. Det allra bästa vore givetvis att i lagen ha en tydlig och uttöm- mande uppräkning av alla de fall av användning av personuppgifter som utgör ett missbruk av uppgifterna. Utredningen har försökt att åstadkomma en sådan uppräkning. Det har emellertid visat sig att det finns svårigheter med ett sådant angreppssätt. För det första är det svårt att på förhand komma på alla de fall som rimligen bör betecknas som ett missbruk. Det beror på att fan- tasin inte räcker till för att överblicka ens alla de fall av missbruk som kan vara aktuella . Än mindre är det möjligt att över- blicka vad vi i samhället kan komma att anse vara ett missbruk eller vilka möjligheter framtida teknik eller andra förhål- landen kan medföra. Med en uttömmande uppräkning riskerar man alltså att skyddet mot missbruk inte blir heltäckande. finns det en risk för att man i uppräkningen tar med fall som normalt måste betecknas som ett missbruk, men som i det enskilda fallet kan utgöra en befogad användning av personuppgif- terna. Det finns alltså också en risk för att man förbjuder för mycket, t.ex. för att man inte har fantasi nog att inse när det kan vara befogat att använda personuppgifter. antydda svårigheter skulle i och för sig kunna bemästras ge- nom att man gör uppräkningen av missbruksfall vag och försedd med bestämmelser om intresseavvägning eller andra generalklausuler. Men då har man ju inte vunnit särskilt mycket med att ha en uppräkning. Ett alternativ till att ha uppräkningen i lagen skulle kunna vara att ha den i en förordning som regeringen utfärdar eller i myndig- Personuppgifter som inte ingår i personregister Sådana normer av lägre rang är nämligen betydligt enklare att ändra allteftersom förhållandena kräver det än en lag. Inte heller det alternativet förefaller emellertid särskilt praktiskt. Den som hanterar ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar skulle exempelvis i sådant fall behöva hålla sig uppdaterad om en ständigt skiftande regelmassa. Härtill kommer att det är möjligt för t.ex. Datainspektionen att ge ut oförbindande allmänna råd eller annan vägledning om tillämp- ningen av en mera allmänt hållen bestämmelse i lag. Utredningen har därför kommit fram till att det trots allt är bäst att i personuppgiftslagen ha en relativt allmänt hållen bestämmelse om vad som utgör missbruk, som mot bakgrund av förarbetsutta- landen får uttolkas i rättspraxis och genom oförbindande vägled- ning från t.ex. Datainspektionen. Därmed kan den nödvändiga flex- ibiliteten och anpassningen efter skiftande förhållanden uppnås som regelanvändaren har en grundläggande norm i lag- texten att hålla sig till. Man måste i sammanhanget också hålla i minnet att vad som un- dantas från hanteringsreglerna i personuppgiftslagen till stora delar är sådant som mycket väl kan göras på ett sätt som inte alls omfat- tas av den lagen. Löpande text och ljud- och bildupptagningar som inte strukturerats har ju hanterats med sådan analog teknik som inte torde omfattas av begreppet automatiserad i personuppgiftslagen72 och som inte alls omfattades av da- talag. Hanteringen av sådant material med digital teknik, tillsam- mans med utvecklingen inom datakommunikationstekniken, har dock väsentligt underlättat möjligheterna för i princip envar att sprida materialet, såväl till en obegränsad krets (genom publice- ring) som till enstaka mottagare. Med hjälp av digital teknik och öppna, internationella datakom- munikationsnätverk, såsom Internet, kan var och en till näs- tan ingen kostnad alls göra material tillgängligt i hela världen. Det står klart att denna utveckling medför såväl fördelar för varje med- borgares rätt till yttrande- och informationsfrihet, som risker för missbruk av personuppgifter och andra integritetsintrång. Avväg- ningen mellan fördelarna och integritetsriskerna får dock sägas ha redan preliminärt gjorts i och med införandet av möjligheten för i princip envar att få grundlags- skydd för spridningen av uppgifter via internationella datakommu- 72Se närmare , Personuppgiftslagen – En kommentar, andra upplagan 2001, s. 70 f. Personuppgifter som inte ingår i personregister nikationsnätverk.73 Personuppgiftslagen skall nämligen inte tilläm- pas på det som är grundlagsskyddat, jämför 7 § första stycket per- sonuppgiftslagen. Här gäller i stället den s.k. brottskatalogen över tryckfrihetsbrott, vilken bara i begränsad utsträckning – t.ex. vid rent förtal och förolämpningar – skyddar den personliga integrite- ten. har emellertid av regeringen beställt en analys av om det frivilliga grundlagsskyddet kan komma i konflikt med bestäm- melserna med syfte att skydda den personliga integriteten och, om så behövs, förslag till ändrad lagstiftning.74 Analysen skall göras av Tryck- och yttrandefrihetsberedningen (Ju 2003:04).75 Frågan om spridning av material med digital teknik och integritetsskyddet kommer alltså att analyseras i särskild ordning. När det sedan gäller sådan automatiserad behandling av person- uppgifter som faktiskt inte utnyttjar den digitala teknikens särskil- da möjligheter till strukturering och spridning, måste man fråga sig varför den behandlingen skulle behöva omgärdas av integritets- skyddande bestämmelser i större utsträckning än andra behand- lingsformer såsom rent behandling eller muntlig spridning av uppgifter. För den registrerade är det givetvis ofta ovidkom- mande om en integritetskränkning uppkommit genom automatise- rad behandling eller genom andra förfaranden såsom muntligt skvaller. När den automatiserade behandlingens särskilda möjlighe- ter i förhållande till andra behandlingsformer faktiskt inte utnytt- jas, finns det därför enligt utredningens mening sällan anledning att ha särskilda skyddsregler utan det allmängiltiga skyddet mot integ- ritetskränkning bör vara tillräckligt. Regeringen avser, såsom fram- går av utredningsdirektiven, att tillsätta en särskild kommitté med uppdrag att göra en bred kartläggning avseende skyddet för den personliga integriteten i det moderna samhället.76 Det nu sagda talar också för att man i personuppgiftslagen tills vidare kan nöja sig med en grundläggande, relativt allmänt hållen bestämmelse till skydd mot missbruk. Det förefaller rimligt, och kanske också ofrånkomligt, att en re- lativt allmänt hållen bestämmelse bygger på en intresseavvägning, där den registrerades integritetsintresse får vägas mot andra, mot- stående intressen. En sådan intresseavvägning brukar traditionellt 73 Se 1 kap. 9 § yttrandefrihetsgrundlagen, prop. 2001/02:74, KU 2001/02:21, KU 2002/03:8 och SFS 2002:909. 74KU 2001/02:21 s. 32 och rskr. 2001/02:233. Jämför också Ds 2003:25 om självsanering av Internet. 76Jämför också studien för enskilda personers privatliv, Ds 1994:51, och , Rapport om skyddet för enskilda personers privatliv – ett mer samlat grepp?, 1995. Personuppgifter som inte ingår i personregister uttryckas genom ett förbud mot åtgärder som innebär ett otillbör- ligt intrång i den personliga integriteten. Utredningen anser att det är lämpligt att använda den formuleringen. Vad gäller den avsedda innebörden av begreppet otillbörligt intrång i den personliga integ- riteten kan, mot bakgrund av ovanstående överväganden, följande sägas till ledning för tillämpningen. Först bör framhållas att utredningen i fråga om begreppet otill- börligt intrång i den personliga integriteten inte direkt hänfört sig till motsvarande begrepp i datalagen. Det beror bl.a. på att begrep- pet i datalagen hade betydelse bara beträffande hantering av per- sonuppgifter i register, medan den regel utredningen föreslår bara har betydelse när personuppgifterna inte finns i ett register. Om behandlingen faktiskt följer bestämmelserna om grundläg- gande krav i 9 § och om när behandling av personuppgifter är tillå- ten i 10 § personuppgiftslagen, trots att dessa bestämmelser i och för sig inte är tillämpliga på behandlingen, torde det knappast komma i fråga att anse att behandlingen innebär ett otillbörligt in- trång i den personliga integriteten. Det gäller även om känsliga per- sonuppgifter används. Över huvud taget bör graden av känslighet hos de personuppgifter som behandlas vara bara en faktor bland flera som bör beaktas vid en samlad bedömning. Det viktiga är ofta i vilket sammanhang och för vilka syften personuppgifterna be- handlas samt vad behandlingen kan leda till. Om uppgifter samlas in eller annars behandlas med syfte att för- följa eller skandalisera en person, får behandlingen givetvis anses innebära ett otillbörligt intrång i den personliga integriteten. Det kan exempelvis gälla publicering på Internet av bilder på en f.d. pojk- eller flickvän i eller utan baddräkt eller av rent personliga de- taljer om dennes beteende. Redan det förhållandet att en personuppgiftsansvarig samlar en stor mängd uppgifter om en person utan något godtagbart ändamål måste oftast ses som ett otillbörligt intrång i den personliga integri- teten. Ett exempel kan vara en hyresvärd som närmast av nyfiken- het samlar bilder på och anteckningar i löpande text om iakttagelser av en hyresgäst. Att den personuppgiftsansvarige använder personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar som underlag för att fatta beslut som berör den registrerade kan inte i sig anses som ett otillbörligt intrång i den personliga integriteten. Den registrerade har alltid möjlighet att begära ett registerutdrag. Därmed kan den registrerade få reda på Personuppgifter som inte ingår i personregister vilka uppgifter som legat till grund för beslutet och framföra even- tuella invändningar. Ofta får det anses vara ett otillbörligt intrång i den personliga in- tegriteten om den personuppgiftsansvarige medvetet behandlar personuppgifter som är klart felaktiga eller missvisande. Vad som sagts har främst tagit sikte på intern hantering av personuppgifter hos den personuppgiftsansvarige. Också vid spridning av personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar behövs det ett skydd mot missbruk. De redan berörda riktlinjerna i fråga om intern han- tering ger dock ett gott skydd även mot spridning. Dessa ger ex- empelvis skydd mot spridning utan godtagbart skäl av en stor mängd uppgifter om en person och mot medveten spridning av uppgifter som är klart felaktiga eller missvisande. Vad som därut- över skulle kunna behövas är främst ett skydd mot spridning av förtroliga eller djupt personliga uppgifter och spridning av uppgif- ter som innebär ett angrepp på någons heder och ära. I fråga om angrepp på annans heder och ära finns det redan all- mängiltiga regler om förtal och förolämpning. Förtal innebär enligt 5 kap. 1 § första stycket att utpeka någon som brotts- lig eller klandervärd i sitt levnadssätt eller annars lämna uppgift som är ägnad att utsätta denne för andras missaktning. Enligt andra stycket i samma paragraf skall det dock inte dömas för förtal, om den som lämnat uppgifterna var skyldig att uttala sig eller det an- nars med hänsyn till omständigheterna var försvarligt att lämna denna uppgift i saken och han eller hon dessutom visar att uppgif- ten var sann eller att han eller hon hade skälig grund för den. För- olämpning innebär enligt 5 kap. 3 § att smäda annan genom kränkande tillmäle eller beskyllning eller genom annat skymfligt beteende mot denne. En spridning av personuppgifter som innebär förtal eller för- olämpning utgör givetvis ett otillbörligt intrång i den personliga integriteten. Utredningen anser att det inte beträffande just auto- matiserad behandling av ostrukturerat material behövs särskilda regler till skydd mot angrepp på annans heder och ära. Beträffande spridning av förtroliga eller djupt personliga uppgif- ter finns det redan författningsbestämmelser och etiska regler eller motsvarande som föreskriver tystnadsplikt. Dessa regler kan sägas ge uttryck för vilka förhållanden som bör hemlighållas. Något helt allmänt skydd mot spridning – genom automatiserad behandling eller på annat sätt – av uppgifter om personliga förhållanden, som inte innebär förtal, finns inte utan här råder det öppenhet, yttran- Personuppgifter som inte ingår i personregister de- och informationsfrihet. En spridning av personuppgifter som innebär brott mot författningsbestämmelser och etiska regler eller motsvarande som föreskriver tystnadsplikt utgör givetvis ett otill- börligt intrång i den personliga integriteten. Utredningen anser att det inte beträffande just automatiserad behandling av ostrukturerat material behövs särskilda regler till skydd mot sådan spridning av förtroliga eller djupt personliga uppgifter som inte innebär förtal. De riktlinjer som getts kan sammanfattas i följande kortfatta- de punktuppställning: Behandla inte personuppgifter för otillbörliga syften, såsom för- följelse eller skandalisering Samla inte utan godtagbara skäl en stor mängd uppgifter om en person Rätta personuppgifter som visar sig vara felaktiga eller missvi- sande Förtala eller förolämpa inte någon annan Bryt inte mot tystnadsplikt Det är således i praktiken fråga om några ganska enkla och självkla- ra handlingsregler, varav flera redan följer av annan lagstiftning. Enligt utredningens mening kommer den föreslagna ordningen att underlätta tillämpningen hos både personuppgiftsansvariga och Da- tainspektionen. Utredningens bedömning: Det behövs inga nya bestämmelser om tillsyn och sanktioner. Utredningen föreslår således en ny bestämmelse i personuppgifts- lagen om att viss behandling av personuppgifter får utföras bara om behandlingen inte innebär ett otillbörligt intrång i den personliga integriteten. Datainspektionen är tillsynsmyndighet enligt personuppgiftsla- gen77 och har vissa befogenheter enligt 32 och 43–47 §§ i den lagen. Enligt utredningens mening bör Datainspektionen, liksom , ha tillsyn över och befogenheter beträffande sådan behandling som omfattas av den föreslagna bestämmelsen. 77 2 § personuppgiftsförordningen (1998:1191). Personuppgifter som inte ingår i personregister Den normala sanktionen vid brott mot personuppgiftslagen är skadestånd till den registrerade enligt 48 § i lagen. Utredningen an- ser att även brott mot den föreslagna bestämmelsen bör vara för- knippat med sådant skadestånd. Vissa förfaranden i strid med personuppgiftslagen är straffbelag- da enligt 49 § i den lagen. Utredningen anser att det inte är nöd- vändigt att straffbelägga brott mot den föreslagna bestämmelsen. Skadestånd bör nämligen vara tillräckligt. 8Sådant som inte omfattas av EG-direktivet Enligt utredningsdirektiven skall utredningen särskilt se över möj- ligheten till undantag för sådan behandling av personuppgifter inom den privata sfären som – till sin natur – faller utanför gemen- skapsrätten och därmed inte omfattas av EG-direktivet. 8.2.1Sådant som faller utanför gemenskapsrätten Enligt artikel 3.2 första strecksatsen i EG-direktivet gäller inte EG- direktivet för sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten. Som exempel anges sådan verksamhet som avses i avdelning V och VI i Fördraget om Europeiska unionen.78 Det anges vidare att EG- direktivet inte under några omständigheter omfattar behandlingar som rör a)allmän säkerhet, b)försvar, 78Dessa avdelningar i fördraget innehåller bestämmelser om en gemensam utrikes- och säkerhetspolitik respektive bestämmelser om polissamarbete och straffrättsligt samarbe- te, dvs. det samarbete som äger rum inom vad som vanligen kallas för andra och tredje pelaren. Sådant som inte omfattas av EG-direktivet c)statens säkerhet (inbegripet statens ekonomiska välstånd när be- handlingen har samband med frågor om statens säkerhet) och d)statens verksamhet på straffrättens område. I ingresspunkt 13 används ett något annorlunda uttryckssätt. Där talas det om att sådan verksamhet som avses i de angivna avdel- ningarna i Unionsfördraget och som rör allmän säkerhet osv. inte faller inom tillämpningsområdet för gemenskapsrätten. Det påpe- kas i den nämnda ingresspunkten också att detta gäller med förbe- håll för medlemsstaternas skyldigheter enligt artiklarna 56.2, 57 eller 100a79 i Fördraget om upprättandet av Europeiska gemenska- pen. I ingresspunkt 16 pekas det särskilt på att behandling av ljud- och bilduppgifter, t.ex. i samband med videoövervakning, inte om- fattas av EG-direktivet om behandlingen utförs för att tillgodose den allmänna säkerheten, försvaret, statens säkerhet eller någon annan statens verksamhet på straffrättens område. I kommissionens förklaring80 anges säkerhetstjänst81 som exem- pel på en aktivitet som faller utanför tillämpningsområdet. har i två domar uttalat sig om tolkningen av arti- kel 3.2 första strecksatsen i EG-direktivet. I det första målet om förhandsavgörande av frågor som österrikiska domstolar ställt (dom i mål C-465-00 och C-138/01 och 139/01) om den österrikiska revisionsrättens (Rechnungshof) verksamhet med att samla in och offentliggöra uppgift om namn och lön för högavlönade anställda vid vissa myndigheter m.m. uttalade domsto- len följande: 39 Domstolen erinrar om att direktiv /46, som har antagits med stöd av artikel 100a i fördraget, syftar till att genom tillnärmning av na- bestämmelser om skyddet av fysiska personer i samband med behandlingen av personuppgifter säkerställa det fria flödet av dessa uppgifter mellan medlemsstaterna. I artikel 1.2 i direktivet, vari föremå- let för direktivet i fråga anges, stadgas nämligen att medlemsstaterna varken får begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna av skäl som har samband med skyddet av fy- siska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter. 79Nuvarande artikel 46.2, 47 och 95. 80SOU 1993:10 Bilagor s. 172. 81På engelska secret services. Sådant som inte omfattas av EG-direktivet 40 Eftersom alla personuppgifter kan cirkulera mellan medlemssta- terna krävs enligt direktiv /46 i princip att reglerna om skydd för så- dana uppgifter vid all sådan behandling av dessa som avses i artikel 3 i direktivet i fråga iakttas. 41 Domstolen vill tillägga att det inte utgör någon förutsättning för att använda artikel 100a i fördraget som rättslig grund att det föreligger något faktiskt samband med den fria rörligheten mellan medlemssta- terna i varje situation som avses med den rättsakt som har en sådan grund. Såsom domstolen redan har konstaterat (se dom av den 5 okto- ber 2000 i mål C-376/98, mot parlamentet och rådet, 2000, s. I-8419, punkt 85, och av i mål C-491/01, (Investments) och , 2002, s. I-0000, punkt 60) är det för att artikel 100a i fördraget skall kunna användas som rättslig grund avgörande att den rättsakt som an- tas med denna grund faktiskt syftar till att förbättra möjligheterna att upprätta den inre marknaden och få den att fungera. I förevarande fall har denna grundläggande egenskap emellertid aldrig bestritts inför domstolen beträffande bestämmelserna i direktiv /46, särskilt inte vad gäller de bestämmelser som har fått de nationella domstolarna att ifrågasätta huruvida den ifrågavarande nationella lagstiftningen är förenlig med gemenskapsrätten. 42 Vid sådant förhållande beror inte tillämpligheten av direktiv /46 på huruvida det i de konkreta situationer som är i fråga i målen vid de nationella domstolarna finns ett tillräckligt samband med ut- övandet av de grundläggande friheter som garanteras i fördraget och, särskilt, i de nämnda målen med den fria rörligheten för arbetstagare. Motsatt tolkning skulle nämligen innebära en risk för att gränserna för det nämnda direktivets tillämpningsområde skulle bli synnerligen osäk- ra och vaga, vilket skulle motverka direktivets huvudsakliga syfte, vilket är tillnärmning av bestämmelser i medlemsstaternas lagar och andra författningar i syfte att undanröja de hinder för att den inre marknaden skall fungera som följer just av att det föreligger skillnader mellan de olika nationella lagstiftningarna. 43 Därutöver bekräftas det genom ordalydelsen i artikel 3.1 i direk- tiv 95/46 att direktivet i fråga är tillämpligt på situationer där det inte finns något direkt samband med utövandet av de grundläggande fria rörligheter som garanteras i fördraget. I den nämnda bestämmelsen ges en mycket vid definition av direktivets tillämpningsområde genom att det inte görs till någon förutsättning för tillämpning av skyddsreglerna att behandlingen skall ha ett faktiskt samband med den fria rörligheten mellan medlemsstaterna.