sou · GSB36 · 2005-01-01 00:00:00 — Justitiekanslern ansåg dock att den omständigheten att en skattskyldig har att betala en del av den slutliga skatten som rätteligen belöper på inkomsterna för ett visst beskattningsår i form av kvarskatt inte i sig var att be- trakta som en ersättningsgill förmögenhetsskada. Utvecklingen i rättstillämpningen och av annan vägledning I beslut , dnr , har Justitiekanslern bedömt om registrerade personuppgifter varit felaktiga eller ofullständiga och funnit att så inte varit fallet. I beslut , dnr 3271-02-42, och i beslut , dnr 3152-02-42, har Justitiekanslern avslagit skadeståndsanspråk med anledning av felaktig registrering av uppgifter om avlidna. 5.5.1Mål om att medlemsstater inte följt EG-direktivet har i väckt talan om att domsto- len skall fastställa att , , och (mål C-443, 449 och 450/00 respektive C-459/01) inte genomfört EG-direktivet . har i dom fastslagit att brutit mot sina förpliktelser enligt EG- direktivet. Målen mot och har återkallats och skrivits av, medan målet mot inte är avgjort . Det finns några mål där nationella domstolar har bett EG- domstolen om ett s.k. förhandsavgörande om tolkningen av EG- direktivet.28 Det gäller dels de frågor som ställt i det mål som berörs i avsnitt 5.2.1 (mål C-101/01), dels frågor som ett par österrikiska domstolar ställt (mål C-465/00 och C-138 och 139/01). Det svenska s.k. konfirmandlärarmålet, som omtalas närmare i av- snitt 5.2.1, gäller en konfirmandlärares publicering av personupp- gifter om arbetskamrater på Internet. hade i målet ställt sju frågor om tolkningen av EG-direktivet. 28I dom i mål C-369/98 har EG-direktivet indirekt berörts. Utvecklingen i rättstillämpningen och av annan vägledning Generaladvokaten vid kom i sitt förslag till avgö- rande () fram till att en behandling av per- sonuppgifter, vilken består i att utan ekonomiskt vinstsyfte skapa en hemsida av aktuell typ, vilken endast är avsedd att utgöra stöd för konfirmationsundervisning som ges i en församling, gratis och helt utan samband med någon anställning, inte omfattas av gemen- skapsrätten, se artikel 3.2 i EG-direktivet. Generaladvokaten besva- rade inte hovrättens övriga frågor. (dom i mål C-101/01) gjorde en annan bedömning. För det första kom domstolen fram till att omnämnandet av olika personer – med namn eller på annat sätt, t.ex. med telefonnummer eller med uppgifter om deras arbets- förhållanden och fritidsintressen – på en hemsida på Internet utgör en sådan helt eller delvis automatiserad behandling av personupp- gifter som i och för sig omfattas av EG-direktivet. En uppgift om att en person har skadat sin fot och är deltidssjukskriven utgör dessutom, enligt , en känslig personuppgift om häl- sa. konstaterade vidare till skillnad från generalad- vokaten att den behandling som utförts inte var undantagen från EG-direktivet enligt artikel 3.2. Det var bl.a. uppenbart enligt dom- stolen att en behandling av personuppgifter som består i att uppgif- terna offentliggörs på Internet för att bli tillgängliga för ett obe- stämt antal personer inte föll under undantaget för rent privat be- handling. Däremot är det enligt inte fråga om någon över- föring av uppgifter till tredje land i EG-direktivets mening när en person, som befinner sig i en medlemsstat, lägger ut personuppgif- ter på en hemsida på Internet som är lagrad hos en fysisk eller juri- disk person, som har den webbplats där man kan komma åt sidan och som är etablerad i samma medlemsstat eller i en annan med- lemsstat, varvid uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land. kom vidare fram till att bestämmelserna i direktivet inte i sig utgör en begränsning som står i strid med den allmänna principen om yttrandefrihet, eller andra fri- och rättighe- ter, som gäller inom EU. Enligt ankommer det på de nationella myndigheter och domstolar som skall tillämpa den nationella genomförandelagstiftningen att garantera en rättvis ba- lans mellan de rättigheter och skyldigheter som är i fråga. Slutligen konstaterade att det inte finns något hinder för en medlemsstat att utöka räckvidden av genomförande- lagstiftningen till att omfatta områden som inte ingår i EG- Utvecklingen i rättstillämpningen och av annan vägledning Det gäller naturligtvis bara om inte någon annan gemenskapsrättslig bestämmelse hindrar det. Frågor från österrikiska domstolar Målen från gäller ett speciellt förfarande enligt österri- kisk lagstiftning. Detta förfarande innebär att ett statligt organ är skyldigt att – i syfte att offentliggöra uppgifterna – samla in och vidarebefordra uppgifter om namn och lön för personer med en viss minimiinkomst som är anställda hos vissa myndigheter och andra organ som helt eller delvis står under statligt inflytande. Frå- gan i gällde om förfarandet var förenligt med EG- direktivet. Generaladvokaten vid kom i sitt förslag till avgö- rande fram till att det förfarande som föreskrivs inte omfattas av bestämmelserna i , eftersom behandlingen utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, se ar- tikel 3.2 i EG-direktivet. (dom i mål C-465/00 och C-138 och 139/01) fann emellertid att EG-direktivet är tillämpligt på för- farandet. Domstolen kom vidare fram till att EG-direktivet (artik- larna 6.1 c och 7 c och e) inte utgör något hinder för en sådan na- tionell lagstiftning som den som det var i fråga i målen, under för- utsättning att det är utrett att spridning i stor omfattning av såväl inkomstbeloppen som namnen på de personer som uppbär inkoms- terna är både nödvändig och lämplig för lagstiftarens syfte, nämli- gen att allmänna medel skall förvaltas väl. Enligt ankommer det på de nationella domstolarna att pröva om så är fal- let. ansåg vidare att de tidigare nämnda artiklarna i EG-direktivet har direkt effekt i den meningen att de kan åberopas av en enskild inför nationella domstolar för att dessa inte skall till- lämpa nationella rättsregler som strider mot artiklarna. Utvecklingen i rättstillämpningen och av annan vägledning Datainspektionen har utfärdat föreskrifter om anmälan av behand- lingar29 och om undantag från förbudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser m.m.30 Datainspektionen har vidare utfärdat allmänna råd om säkerhet för personuppgifter och om information till registrerade enligt per- sonuppgiftslagen. Inspektionen har också kommit ut med informa- tionsskrifter om personuppgiftsombud (1999) om personuppgifter i arbetslivet (2001), om hur länge personuppgifter får bevaras (2003), om samtycke (2003) och om intresseavvägning (2003). In- spektionen har dessutom gett ut ett antal kortare informationsblad om personuppgiftsansvar, personuppgiftsombud, personuppgifter och Internet, anmälan och förhandskontroll, känsliga personupp- gifter i forskningen samt övergången till personuppgiftslagen. Ma- terialet är tillgängligt på Datainspektionens webbplats.31 Datainspektionen svarar på tusentals telefon- och e- postförfrågningar bl.a. via ett särskilt inrättat s.k. call-center med två jurister. Inspektionen har också en omfattande konferens- och föreläsningsverksamhet. Det kan vidare nämnas att Datainspektionen medverkar i en ar- betsgrupp enligt artikel 29 i EG-direktivet tillsammans med före- trädare för tillsynsmyndigheter i andra medlemsstater och EG- kommissionen. Den arbetsgruppen har utfärdat en lång rad yttran- den och rekommendationer rörande skyddet för personuppgifter och tolkningen av EG-direktivet.32 Enligt 15 § personuppgiftsförordningen (1998:1191) skall Datain- spektionen på begäran av en organisation som företräder en väsent- lig del av de personuppgiftsansvariga inom en viss bransch eller 29DIFS 1998:2 senast ändrad genom 2001:1. 31http://. 32Arbetsgruppens material finns på webbplats: . Utvecklingen i rättstillämpningen och av annan vägledning inom ett visst område avge yttrande över förslag till överenskom- melser vad avser behandling av personuppgifter inom branschen eller området (branschöverenskommelse). Yttrandet skall avse branschöverenskommelsens förenlighet med personuppgiftslagen och andra författningar som reglerar den behandling av personupp- gifter det är fråga om. Datainspektionen skall innan den avger ytt- rande om det är lämpligt se till att organisationer som företräder de registrerade har fått tillfälle att yttra sig över förslagen till bransch- överenskommelser. Datainspektionen har yttrat sig över tre branschöverenskommel- ser, en om direkt marknadsföring, en om marknadsundersökningar och en om behandling av personuppgifter på inkassoområdet. Datainspektionen granskar utkast till branschöverenskommelser om behandling av personuppgifter i finansieringsverksamhet och i skolfotoverksamhet samt ett förslag om ändringar i branschöverenskommelsen om maRegeringenk adsu dersökningarhar satt som. mål att Datainspektionen aktivt skall arbeta för att det kommer till stånd en ökad självreglering genom bl.a. flera branschöverenskommelser. På många områden, särskilt i fråga om myndighetsregister, kan mera konkret vägledning för behandlingen av personuppgifter fås genom s.k. särskilda registerförfattningar. Enligt 2 § personupp- giftslagen gäller nämligen avvikande bestämmelser i lag eller för- fattning före personuppgiftslagen. Sedan personuppgiftslagen träd- de i kraft har det utfärdats en lång rad författningar med särbe- stämmelser som är anpassade till lagen.33 Även förarbetena till sär- skilda registerförfattningar kan i viss utsträckning ge vägledning för tillämpningen av personuppgiftslagen. Det finns en hel del litteratur kring personuppgiftslagen. Det har getts ut en traditionell lagkommentar och några mera praktiskt inriktade publikationer. Genomförandet av EG-direktivet i de nor- 33Se t.ex. uppräkningen på s. 26 ff. i , Personuppgifts- lagen – En kommentar, andra upplagan 2001. Utvecklingen i rättstillämpningen och av annan vägledning diska länderna har beskrivits i en antologi, och personuppgifts- skyddet i och har jämförts i en doktorsavhand- ling. Vidare finns det en hel del tidskriftsartiklar med rättsfalls- kommentarer och belysning av särskilda aspekter. Flera branschorganisationer och liknande har gett ut vägledning om personuppgiftslagen. Det finns på det internationella planet åtminstone två kommen- tarer till EG-direktivet (på tyska). Personuppgiftslagen har gällt , men inte tilläm- pats fullt ut på automatiserad behandling förrän . Un- der den förhållandevis korta tid som lagen tillämpats har det, såsom den tidigare redovisningen visar, förekommit en utveckling i rättstillämpningen och tillkommit en hel del annan vägledning för tillämpningen. Det har exempelvis redan kommit fyra vägledande avgöranden från högsta instans. Enligt utredningens bedömning har man knappast haft anledning att vänta sig fler vägledande avgö- randen i svensk domstolspraxis. Utvecklingen i rättspraxis fort- skrider således i normal eller till och med snabbare än normal takt. Eftersom personuppgiftslagen grundar sig på ett EG-direktiv, som har att uttolka, och i stort sett följer EG- direktivets struktur och text, har regeringen medvetet avstått från att i förarbetena närmare uttala sig om tolkningen.34 Regeringen var emellertid medveten om att de generella regler som finns i person- uppgiftslagen behöver preciseras och utvecklas och delegerade där- för kompetens att göra det till Datainspektionen.35 Regeringen in- struerade också Datainspektionen att särskilt inrikta sin verksam- het på att informera om gällande regler36 och gav senare inspektio- nen i särskilt uppdrag att publicera konkret vägledning i vissa avse- enden37. När det gäller just förekomsten av annan vägledning för tillämp- ningen av personuppgiftslagen än rättspraxis finns det delade me- ningar. En del menar att mera konkret vägledning borde ha kommit fram vid det här laget och att osäkerheten om vad som gäller är be- 1997/98:44 s. 38. 1997/98:44 s. 56 f. 361 § andra stycket förordningen (1998:1192) med instruktion för Datainspektionen. 37Se regleringsbreven för Datainspektionen . Utvecklingen i rättstillämpningen och av annan vägledning svärande och borde avhjälpas t.ex. genom möjlighet till förhandsbe- sked från exempelvis Datainspektionen. Andra menar att det inte är så konstigt att det till en EG-baserad lagstiftning inte finns mer vägledning. Enligt dessa är osäkerheten inte heller särskilt besvä- rande, eftersom detta ger den som skall tillämpa lagstiftningen ett större, eget spelrum tills vidare. Utredningen kan för egen del konstatera att det nu faktiskt kommit en hel del vägledning från bl.a. Datainspektionen. Å andra sidan kan det också konstateras att det, trots den praxis och väg- ledning som finns, på många punkter är oklart hur lagstiftningen skall tillämpas i konkreta situationer. Så är det emellertid ofta med relativt ny lagstiftning, särskilt sådan som bygger på EG-direktiv. Utredningen har dock inte fått uppfattningen att oklarheten om vad som gäller i olika situationer är så besvärande att den hindrat en önskvärd samhällsutveckling eller allvarligt försvårat genomföran- det av önskvärda behandlingar. Om det på något visst område skul- le finnas ett särskilt behov av mer konkret vägledning, finns det för övrigt alltid möjlighet för organisationer av personuppgiftsansvari- ga att själva utarbeta en branschöverenskommelse med vägledning som Datainspektionen har att granska.38 Målet för Datainspektio- nens verksamhet är också att inspektionen aktivt skall arbeta för att det kommer till stånd en ökad självreglering genom bl.a. flera branschöverenskommelser.39 Det kan inte anses ligga inom ramen för utredningsuppdraget att överväga ett helt nytt system för normgivning och vägledning, t.ex. ett system med förhandsbesked. Datainspektionens framtida verk- samhetsinriktning har också setts över av en annan utred- ning.40 38Se 15 § personuppgiftsförordningen (1998:1191). 39Se regleringsbreven för Datainspektionen . har gjort en enkät för en offentlig utvärde- ring av EG-direktivet som remitterades till 109 myndigheter, organisationer och företag. Allmänheten inbjöds också att svara på enkäten på Internet via webbplats. Sammanlagt kom det in 94 svar på enkäten, varav 79 svar bedömdes vara allvarligt menade i sak. Enkäten innehöll 16 frågor om eventuella problem med olika be- stämmelser i EG-direktivet. Enkäten innehöll också ett par frågor om synpunkter på det utkast till lagstiftningsmodell som utarbetats av och som är mer inriktat på att ingripa mot missbruk av personuppgifter än på att reglera själva hanteringen av personuppgifter (missbruksmodell) samt en fråga om övriga syn- punkter på ändringar av EG-direktivet. Den offentliga utvärderingen avsåg alltså EG-direktivet, men det står klart att de allra flesta som svarat i praktiken uttalat sig om de bestämmelser i personuppgiftslagen som genomför EG-direktivet. Enkätsvaren innefattar en mängd meningsyttringar. Förutom allmänna påpekanden om lagens tillämpning och konstruktion märks särskilt synpunkter som rör yttrandefriheten på Internet. När det gäller konkreta problem med EG-direktivet och person- uppgiftslagen framkommer främst en osäkerhet om hur olika be- stämmelser skall tolkas. förslag till miss- bruksmodell har fått ett överväldigande positivt gensvar. Enkätsvaren har publicerats i Ds 2001:27 EG-direktivet om per- sonuppgifter – En offentlig utvärdering. Svaren kan sammanfattas enligt följande. 6.2Eventuella problem med EG-direktivet De flesta svarande – såväl myndigheter, organisationer och större företag som privatpersoner – har anfört att definitionerna av grund- läggande begrepp som personuppgift, behandling, sam- tycke, personuppgiftsansvarig och personuppgiftsbiträde är svåra att tolka. Ett flertal myndigheter och organisationer har också påta- lat att definitionerna av begreppen personuppgift och behandling är mycket vidsträckta och att detta kan innebära problem vid tillämp- ningen av EG-direktivet och personuppgiftslagen. Många svarande har anfört att tillämpningsområdet för direktivet är för omfattande och att bl.a. vardaglig behandling av personupp- gifter bör undantas från dess tillämpningsområde. Flera har kritise- rat föreskrifterna om undantag från lagens tillämpningsområde, särskilt undantagen för journalistisk, konstnärlig och litterär verk- samhet samt förhållandet till tryck- och yttrandefriheten och of- fentlighetsprincipen, för att vara för svårtolkade och oklara. Hur avgörs t.ex. om en bild eller en text är konstnärlig eller journalis- tisk? Motsvarande osäkerhet har uttryckts beträffande bestämmel- sen om territoriellt tillämpningsområde. Vidare har ett flertal svarande, bl.a. vissa fackförbund, befarat att tillämpningsområdet för personuppgiftslagen innebär att offentlig- hetsprincipen inskränkts. Ett flertal privatpersoner har också kriti- serat undantaget för privat behandling för att vara för snävt och oklart, t.ex. då det inte synes omfatta fallet där enskilda sluter sig samman i en ideell organisation och där behandlar personuppgifter inom ramen för organisationens ändamål och då det inte heller framgår om undantaget omfattar släktforskning. Bestämmelserna om de grundläggande kraven på behandling av personuppgifter har rönt mindre kritik. En del instanser har dock pekat på oklarheter vad gäller innebörden av olika krav på behand- lingens ändamål samt tolkning av vissa begrepp som korrekt sätt och god sed. Flera instanser har pekat på problem med föreskriften om när be- handling är tillåten. Detta gäller särskilt svårigheter med att inhäm- ta samtycke samt tolkning av nödvändighetskravet och den intres- seavvägning som i vissa fall skall göras vid bedömning av om en behandling är nödvändig. De flesta svarande har härvid – i stället för EG-direktivets och personuppgiftslagens nuvarande s.k. hanter- ingsmodell – förespråkat den missbruksmodell som tagits fram av . En del svarande har hänvisat till konkreta problem med bestäm- melserna om känsliga personuppgifter och personuppgifter om lag- överträdelser. har påtalat problem med att med- lemskap i fackförening anses som en känslig personuppgift. Vissa sammanslutningar av konstnärer och fotografer har kritiserat be- stämmelsens tillämplighet på fotografier. Utgör t.ex. ett fotografi av en person med kryckor en personuppgift som rör hans eller hennes hälsa? har påtalat problem med kravet på regelbunden kontakt när kyrkan behandlar känsliga personuppgif- ter som avslöjar religiös övertygelse hos andra än medlemmar, t.ex. . har pekat på problem med kommunernas behandling av känsliga personuppgifter i skolans verksamhet, t.ex. hos skolpsykologer och i skolbespisningen samt i färdtjänsten. Bestämmelsen med ett absolut förbud för andra än myndigheter att behandla uppgifter om lagöverträdelser m.m. har också kritiserats för att vara för snäv. Många instanser – såväl myndigheter, organisationer, företag och enskilda – har ansett att tillämpningen av bestämmelserna om infor- mationsplikt är betungande, kostsam och i vissa fall onödig. Svårig- heter har också påtalats i fråga om tolkningen av vad som är en oproportionerligt stor arbetsinsats och undantaget för sådant som den enskilde redan känner till i de fall då han eller hon själv har lämnat in uppgifter till t.ex. en myndighet. Föreskriften om sökan- des rätt till registerutdrag har rönt något mindre kritik. En del sva- rande har dock anfört att denna informationsskyldighet är tidskrä- vande och kostsam, särskilt i fråga om personuppgifter som finns i löpande text och i form av fotografier. Bl.a. arkivmyndigheterna har mot denna bakgrund påtalat behovet av och det angelägna med ett undantag från skyldigheten att lämna registerutdrag när det vi- sar sig vara omöjligt eller skulle innebära en oproportionerligt stor ansträngning (motsvarande det i 24 § tredje stycket personupp- giftslagen och artikel 11.2 i EG-direktivet). Ett stort antal svarande har kritiserat bestämmelserna om överfö- ring av personuppgifter till tredje land. Kritiken har främst gällt till- lämpligheten på behandling av personuppgifter på Internet. Många instanser – såväl myndigheter, företag och organisationer som pri- vatpersoner – har påtalat att regleringen förhindrar utnyttjandet av modern informationsteknologi, t.ex. offentliggörande av myndig- heters beslut och diarier på Internet. Vidare har regeln om s.k. harmlösa personuppgifter kritiserats för att vara otydlig. De svarande har inte haft några omfattande synpunkter på före- skrifterna om skadestånd och straff. En del har dock pekat på att till- lämpningen av sanktionsreglerna kan bli problematisk när lagen är oklar samt att en sådan osäkerhet är otillfredsställande ur rättssä- kerhetssynpunkt. Bestämmelserna om rättelse, automatiserade beslut och säkerhet har varken givit anledning till särskilda synpunkter eller större missnöje. Bestämmelserna om anmälan till Datainspektionen och om upplysning till allmänheten har inte heller medfört någon större reaktion. Vissa instanser har emellertid ifrågasatt nyttan av dessa bestämmelser. De svarande har inte heller haft några omfattande synpunkter på föreskrifterna om Datainspektionens befogenheter. I princip samtliga svarande har anfört att en lagstiftning i enlighet med utkast till missbruksinriktade regler- ingsmodell är att föredra framför EG-direktivets nuvarande s.k. hanteringsmodell, även om en del har velat gå ännu längre. Det har bl.a. framhållits att den föreslagna missbruksmodellen tillgodoser kravet på skydd mot kränkningar av enskilda personers integritet, är mer flexibel och möjliggör användandet av ny informationstek- nologi. Vissa instanser har dock påtalat ett behov av ett förtydligande av begreppen strukturerad text, spridning, skada samt allmänt intres- se. En del har också anfört att det över huvud taget inte är me- ningsfullt att göra en distinktion mellan strukturerade uppgifter och löpande text eftersom de flesta uppgifter som behandlas auto- matiserat – t.ex. i elektroniska dokument – lätt kan struktureras så att sökning underlättas. 7Personuppgifter som inte ingår i personregister Enligt utredningsdirektiven skall utredningen närmare analysera förutsättningarna – inom ramen för EG-direktivet – för en regler- ing som tar sikte på missbruk av personuppgifter snarare än varje slags hantering av sådana uppgifter. Syftet skall i första hand vara att underlätta vardaglig hantering av personuppgifter och opinions- bildning samt kommunikation som enskilda ges ett effektivt skydd mot missbruk av uppgifterna och andra obefogade intrång i den personliga integriteten. Regleringen skall liksom hit- tills vara teknikoberoende. I den utsträckning det med hänsyn till EG-direktivet är möjligt med lättnader i hanteringsreglerna skall utredningen föreslå de bestämmelser som är nödvändiga för att förhindra missbruk av personuppgifter och andra obefogade in- trång i den personliga integriteten. Enligt utredningsdirektiven skall utredningen vidare särskilt ana- lysera om det är möjligt och lämpligt med en generell bestämmelse – baserad på bestämmelsen i artikel 7 f i EG-direktivet om en in- tresseavvägning – av innebörd att personuppgifter får behandlas om det är nödvändigt för information och debatt eller opinionsbild- ning, om det inte finns risk för otillbörligt intrång i den personliga integriteten eller om det finns ett allmänintresse som överväger integritetsintrånget. Utredningen skall vidare särskilt analysera möjligheterna till undantag avseende behandling av känsliga per- sonuppgifter och överföring av personuppgifter till tredje land för viktiga allmänna intressen enligt artikel 8.4 och 26.1 d i EG- direktivet med hänsyn till intresset för information, debatt och opinionsbildning. Personuppgifter som inte ingår i personregister Utredningsuppdraget avser alltså i första hand att undersöka om och i vilken utsträckning det med hänsyn till EG-direktivet är möj- ligt att i personuppgiftslagen genomföra en s.k. missbruks- modell för regleringen av behandling av personuppgifter.