sou · GSB36 · 2005-01-01 00:00:00 — struktureringen som tidigare berörts. Utredningen har i detta hän- seende mot bakgrund av dagens situation identifierat två situatio- ner av personuppgiftsanknuten strukturering som inte bör medföra att hanteringsreglerna skall tillämpas. Den första situationen gäller sedvanlig användning av datorns fil- system. Det är inte ovanligt att en användare eller organisation sys- tematiskt namnger filer och mappar eller kataloger i datorns filsy- stem med hjälp av personuppgifter. Det kan t.ex. handla om en mapp med ett personnamn som innehåller filer med korrespondens i datumordning med den aktuella personen eller att filer som berör en person namnges efter dennes namn. I sådana fall har man skapat ett system för personuppgiftsanknuten strukturering (som måhän- da är vad utredningen tidigare kallat banal) som dock inte bör med- föra att hanteringsreglerna skall tillämpas på personuppgifterna i materialet, eftersom det skulle få oönskade konsekvenser för in- formations- och yttrandefriheten. Vad som sagts gäller dock inte om filerna (oavsett hur de namngetts) i sig ingår i ett mer kva- lificerat system för personuppgiftsanknuten strukturering, t.ex. ett kvalificerat dokument- eller ärendehanteringssystem; det avgöran- de är då vilka regler som är tillämpliga på behandlingen av person- uppgifter i det systemet. Den andra situationen gäller sedvanlig användning av datorstödd kommunikation, där det också finns en tydlig koppling till informa- tions- och yttrandefrihetsintressena. Vid datorstödd kommunika- tion är det oftast på grund av teknikens inneboende egenskaper nödvändigt att registrera uppgifter om såväl mottagare som avsän- dare, annars kan kommunikationen inte förmedlas. Dessa uppgifter utgör för det mesta personuppgifter som automatiskt hamnar i en personuppgiftsanknuten struktur som gör det lätt för användaren att t.ex. söka fram meddelanden till eller från en användare. Ett ex- empel utgör e-postprogram. Genom ett musklick kan man som regel få fram de meddelanden som sänts till eller mottagits från en viss person (eller i vart fall dennes e-postadress, vilken uppgift normalt utgör en personuppgift). En enskild medarbetares egen sedvanliga användning av t.ex. e-postprogram för sin kommunika- tion bör dock inte medföra att hanteringsreglerna skall tillämpas. Vad som sagts gäller inte om meddelandena ingår i ett mer kva- lificerat system för personuppgiftsanknuten strukturering, t.ex. ett dokument- eller ärendehanteringssystem; det avgörande är då vilka regler som är tillämpliga på behandlingen av personuppgifter i det systemet. Man kan utgå från att vid marknadsföring ingår person- uppgifterna i praktiken alltid i ett sådant system som medför att Personuppgifter som inte ingår i personregister hanteringsreglerna skall tillämpas på den behandlingen.68 Det bör också framhållas att de loggfiler med uppgifter om medarbetarnas kommunikation som en organisation kan spara inte avses med det som sagts. Avsikten är att undanta medarbetarnas egen sedvan- liga användning av datorstödd kommunikation, inte att undanta organisationens registrering av medarbetarnas kommunikation. Frågan om vilka situationer i övrigt som kan anses avse sedvan- ligt utnyttjande av allmänt använda funktioner där den personupp- giftsanknutna struktureringen inte framstår som särskilt kvalifice- rad på ett sådant sätt att hanteringsreglerna – av hänsyn till infor- mations- och yttrandefrihetsintressena – inte skall tillämpas får överlämnas till rättstillämpningen. Det är således bara behandling av personuppgifter i ett material som har en personuppgiftsanknuten strukturering som når upp till en viss nivå eller kvalitet som bör omfattas av hanteringsreglerna. Om materialet som sådant (hela samlingen av uppgifter) har struk- turerats så att hanteringsreglerna är tillämpliga, skall hanteringsreg- lerna tillämpas vid behandling av alla personuppgifter – strukturerade och ostrukturerade – som finns i materialet oberoende av att vissa per- sonuppgifter i materialet inte har strukturerats. Personuppgifterna kan nämligen finnas t.ex. i ordbehandlingsdokument, i inskannade dokument och i ljud- och bildupptagningar som i och för sig kan vara ostrukturerade men som ingår i den strukturerade samlingen av uppgifter, t.ex. ett ärendehanteringssystem. Det är själva sam- lingen av uppgifter (t.ex. ärendehanteringssystemet) som skall vara strukturerad på visst sätt, inte varje personuppgift eller handling som ingår i samlingen. I ett försäkringsbolags ärendehanteringssy- stem avseende enskilda personers försäkringar kan det t.ex. ingå ordbehandlingsdokument eller e-post med korrespondens med den försäkrade eller annan och inskannade läkarintyg m.m., och genom en enkel sökning på den försäkrades namn kan alla dessa dokument och andra personuppgifter som strukturerats sammanställas. För tydlighets skull bör det nämnas att hanteringsreglerna i detta fall naturligtvis bör tillämpas vid behandling av alla personuppgifter oavsett vilken person – den försäkrade, läkaren, försäkringshand- läggaren osv. – uppgifterna rör. När det gäller att avgöra vad som ingår i det strukturerade materi- alet (samlingen av uppgifter) får man använda ett naturligt betrak- 68Särskilt vid direkt marknadsföring med hjälp av e-post kan också andra regler vara till- lämpliga, jämför t.ex. prop. 2003/04:43 och SOU 2002:109 om genomförandet av det s.k. kommunikationsdataskyddsdirektivet 2002/58/EG. Personuppgifter som inte ingår i personregister Eftersom det krävs att materialet har strukturerats, ligger det i sakens natur att strukturen har sina gränser, dvs. att materialet utgörs av en på något sätt avgränsad mängd uppgifter (de uppgifter som med hjälp av strukturen kan hänföras till varandra). Och efter- som det krävs att struktureringen är personuppgiftsanknuten, ingår helt enkelt alla de uppgifter som kan hänföras till de strukturerade personuppgifterna. Det får överlämnas till rättstillämpningen att med ledning av ett naturligt betraktelsesätt från fall till fall bedöma vilka uppgifter som kan hänföras till de strukturerade personupp- gifterna. Som en sammanfattning av det som berörts i detta underavsnitt kan följande sägas. Det är bara behandling av personuppgifter i ett material som har en personuppgiftsanknuten strukturering som bör omfattas av han- teringsreglerna. En struktur är personuppgiftsanknuten om materi- alet har strukturerats så att just personuppgifter har markerats som sådana. För att hanteringsreglerna skall tillämpas bör det vidare krävas att den personuppgiftsanknutna struktureringen av materialet har uppnått en viss nivå eller kvalitet. Samlingen av personuppgifter skall nämligen ha strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter. En banal personuppgiftsanknuten strukturering där personupp- gifterna inte har strukturerats på annat sätt än att de registrerats så att de står i en viss ordning (t.ex. en lista med namn i bokstavsord- ning som skrivits in i ett ordbehandlingsdokument eller på en webbsida) når inte upp till den nivå som krävs. Inte heller sedvanligt utnyttjande av allmänt använda funktioner där den personuppgiftsanknutna struktureringen inte framstår som särskilt kvalificerad når upp till den nivå som krävs. Det gäller t.ex. sedvanlig användning av datorns filsystem för att namnge filer och mappar eller kataloger och sedvanlig användning av datorstödd kommunikation såsom e-post. Om ett material således har en personuppgiftsanknuten struktu- rering som når upp till en viss nivå eller kvalitet, bör hanteringsreg- lerna tillämpas vid behandling av alla personuppgifter som finns i materialet oberoende av att vissa personuppgifter i materialet inte har strukturerats (t.ex. personuppgifter i inskannade dokument i ett ärendehanteringssystem). I materialet ingår alla de uppgifter som kan hänföras till de strukturerade personuppgifterna. Utredningens förslag innebär i korthet att hanteringsreglerna i personuppgiftslagen inte skall tillämpas på sådan vardaglig hanter- Personuppgifter som inte ingår i personregister ing som produktion av löpande text i ordbehandlingsprogram, pub- licering av löpande text på Internet, användning av ljud- och bild- upptagningar och korrespondens med e-post under förutsättning att materialet inte skall infogas i en databas med en personuppgifts- anknuten struktur såsom ett ärendehanteringssystem. Den som i sin dator vill hantera personuppgifter i löpande text, t.ex. enkla meddelanden eller kortare och längre texter, eller i ljud och bild eller i e-post behöver således normalt inte bry sig om han- teringsreglerna i personuppgiftslagen. Det är bara om han eller hon vill infoga materialet i någon form av databas som det behövs ytter- ligare överväganden. Har databasen en personuppgiftsanknuten struktur, där just personuppgifter har markerats som sådana, måste hanteringsreglerna tillämpas. Utredningen har prövat olika sätt att utforma den lagtext som bäst uttrycker det som angetts i närmast föregående underavsnitt. Ut- redningen har sammanfattningsvis funnit att det lämpligaste är att föreslå en lagtext om att från hanteringsreglerna undantas behand- ling av personuppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter. Utredningen har bl.a. övervägt att utgå från den definition av re- gister som i praktiken redan finns i 5 § andra stycket personupp- giftslagen och som avser (icke automatiserad) behandling av personuppgifter. Undantaget från hanteringsreglerna skulle t.ex. kunna omfatta behandling av personuppgifter som inte ingår i och inte heller är avsedda att ingå i en strukturerad samling av person- uppgifter som är tillgängliga för sökning eller sammanställning en- ligt särskilda kriterier. Den definitionen härrör emellertid från EG- direktivet. Det innebär att det ytterst är som be- stämmer vad definitionen innebär. Utredningen anser att det är olämpligt att i ett läge där vi själva får välja använda en definition som vi inte kan råda över. Det är bättre och ger oss i mera frihet om vi väljer att ha en egen, inhemsk definition. Härtill kom- mer att definitionen i EG-direktivet inte kan anses helt otvetydig, jämför om rättspraxis kring definitionen avsnitt 5.2. I fråga om register och definitionen i 5 § andra stycket personuppgiftslagen bör här vidare nämnas att personuppgifter Personuppgifter som inte ingår i personregister som finns i en sådan samling som avses i 5 § andra stycket alltid får anses ingå i en sådan samling som avses i den definition som utred- ningen föreslår. Det innebär att det undantag som utredningen fö- reslår bara har betydelse för automatiserad behandling av person- uppgifter (eftersom behandling av personuppgifter över huvud taget omfattas av lagen bara om uppgifterna ingår i ett regis- ter i enlighet med 5 § andra stycket). Hanteringsreglerna i personuppgiftslagen omfattar hela kedjan av behandlingar av en viss personuppgift från det att uppgiften samlas in till dess den utplånas. Det är anledningen till att undanta- get föreslås gälla för behandling av personuppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter. Om det finns flera avsik- ter med en enda insamling eller annan behandling av personuppgif- ter, skall lagens hanteringsregler naturligtvis tillämpas på den be- handling av personuppgifter som inte är undantagen. Av vad som anförts i avsnitt 7.3.8 framgår att det inte är möjligt att göra något undantag från bestämmelserna i artikel 7 i EG- direktivet om när behandling av personuppgifter är tillåten. Där- emot är det enligt utredningens mening möjligt att med stöd av bestämmelsen om en intresseavvägning i artikel 7 f införa en be- stämmelse i personuppgiftslagen som uttryckligen tillåter behand- ling av personuppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter i de fall behandlingen inte utgör ett missbruk av personuppgifterna. Utredningen har därför utformat förslaget till undantagsbestämmelse på det nämnda sättet. Därmed framgår ock- så att den registrerade enligt 12 § andra stycket personuppgiftsla- gen inte har rätt att motsätta sig sådan behandling som är tillåten. Särskilda undantag för information, debatt och opinionsbildning behövs inte Enligt utredningsdirektiven skall utredningen särskilt analysera om det är lämpligt med vissa undantag för information, debatt och opinionsbildning. Utredningen anser mot bakgrund av det allmän- giltiga undantag avseende personuppgifter som inte ingår i person- register som således föreslås och den tolkning av artikel 7 i EG- direktivet och 7 § personuppgiftslagen som Personuppgifter som inte ingår i personregister gjort i rättsfallet NJA 2001 s. 409 (se avsnitt 5.2.1) att det inte är nödvändigt med uttryckliga bestämmelser om att behandling av personuppgifter för just ändamålen information, debatt och opini- onsbildning är tillåten. Den uttolkning som antyds i utredningsdi- rektiven av bestämmelsen om en intresseavvägning i 10 § f person- uppgiftslagen – att personuppgifter får behandlas om det är nöd- vändigt för information och debatt eller opinionsbildning, om det inte finns risk för otillbörligt intrång i den personliga integriteten eller om det finns ett allmänintresse som överväger integritetsin- trånget – är för övrigt enligt utredningens mening så självklar att någon uttrycklig bestämmelse inte bör vara nödvändig. Särskilt om sökning efter personuppgifter i ostrukturerat material Många har, bl.a. vid offentliga utvärdering69, pekat på att det med dagens och framtidens informationsteknik kan vara enkelt att även i ostrukturerat material söka efter och stäl- la samman personuppgifter. Det är en riktig iakttagelse. En utveck- lingslinje är som redan nämnts att struktureringen omfattar allt mer och blir mer automatiserad. En annan, parallell utvecklingslinje är emellertid att verktygen för att få fram relevant information ur ett ostrukturerat material blir allt bättre och allmänt använda. Att det kan vara förhållandevis enkelt att söka efter personupp- gifter i ostrukturerat material innebär i sig en integritetsrisk. Det är emellertid enligt utredningens mening inte något bärkraftigt argu- ment mot att undanta all behandling av personuppgifter i ostruktu- rerat material. Argumentet träffar nämligen inte sådan behandling avseende ostrukturerat material som faktiskt inte avser sökning efter eller sammanställning av personuppgifter. Vad man kan över- väga är att ha särskilda restriktioner för behandling som avser sök- ning efter eller sammanställning av personuppgifter som finns i ostrukturerat material. Sökning efter just personuppgifter även i ostrukturerat material innebär typiskt sett sådana särskilda integritetsrisker som skulle kunna mötas med sådana hanteringsregler som finns i personupp- giftslagen. En möjlighet vore därför att inte undanta just sådan be- handling från hanteringsreglerna. Det skulle emellertid vara onö- digt komplicerat och i vissa helt harmlösa fall obefogat att helt plötsligt vid en sökning tillämpa alla hanteringsregler på redan in- 69 Ds 2001:27. Personuppgifter som inte ingår i personregister samlat eller producerat ostrukturerat material med personuppgif- ter. En annan möjlighet vore att föreskriva att sökning efter eller sammanställning av personuppgifter som finns i ostrukturerat ma- terial är tillåten bara i vissa befogade fall t.ex. efter en intresseav- vägning exempelvis motsvarande den som finns i 10 § f personupp- giftslagen. Utredningen har prövat dessa möjligheter, men funnit dels att en sådan reglering riskerar att bli onödigt krånglig och svår att få ge- nomslag för i praktiken, dels att de regler som föreslås till skydd mot missbruk (se avsnitt 7.7.4) bör vara tillräckliga för att skydda mot obefogade integritetskränkningar till följd av sökningen efter och sammanställning av personuppgifter.70 70Av förslaget i avsnitt 15.2 framgår att bestämmelserna i personuppgiftslagen inte skall tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att söka efter, sammanställa och lämna ut personuppgifter. Personuppgifter som inte ingår i personregister 7.7.3Vilka bestämmelser i personuppgiftslagen bör undantaget omfatta? Utredningens förslag: Undantag görs från bestämmelserna i per- sonuppgiftslagen om a)grundläggande krav på behandlingen av personuppgifter (9 §) b)när behandling av personuppgifter är tillåten (10 §) c)förbud mot behandling av känsliga personuppgifter (13 §) d)förbud för andra än myndigheter att behandla personuppgifter om lagöverträdelser m.m. (21 §) e)information till den registrerade i samband med att personupp- gifter samlas in (23 och 24 §§) f)rättelse (28 §) g)förbud mot överföring av personuppgifter till tredje land (33 §) h)upplysningar till allmänheten om behandlingar som inte anmälts till tillsynsmyndigheten (42 §) Utredningens bedömning: Den registrerade skall på begäran ha rätt att få ett s.k. registerutdrag med bl.a. de personuppgifter som behandlas (26 §). Personnummer och samordningsnummer bör få behandlas utan samtycke bara när det är klart motiverat med hän- syn till något beaktansvärt skäl (22 §). I avsnitt 7.3 har det angetts i vilken utsträckning det enligt utred- ningens mening är möjligt att göra undantag eller motsvarande från hanteringsreglerna i EG-direktivet. Utredningen anser att undan- tagsmöjligheterna bör utnyttjas i så stor utsträckning som möjligt för att underlätta harmlös hantering av personuppgifter i ostruktu- rerat material. De bestämmelser i personuppgiftslagen som man med hänsyn till EG-direktivet kan överväga att göra undantag från är enligt utred- ningens mening följande: a)9 § om grundläggande krav på behandlingen av personuppgifter b)13 § om förbud mot behandling av känsliga personuppgifter c)21 § om förbud för andra än myndigheter att behandla person- uppgifter om lagöverträdelser m.m. d)22 § om restriktioner för behandling av uppgifter om person- nummer och samordningsnummer e)23 och 24 §§ om information till den registrerade i samband med att personuppgifter samlas in f)26 § om information som skall lämnas efter ansökan (s.k. regis- terutdrag) g)28 § om rättelse Personuppgifter som inte ingår i personregister h)33 § om förbud mot överföring av personuppgifter till tredje land i)42 § om upplysningar till allmänheten om behandlingar som inte anmälts till tillsynsmyndigheten Punkterna a–c, e och h i uppräkningen ovan (avseende 9, 13, 21, 23, 24 och 33 §§ personuppgiftslagen) avser helt klart sådana hanter- ingsregler som undantaget bör omfatta. Det är fråga om regler som den personuppgiftsansvarige på eget initiativ har att iaktta och upp- fylla och som anger när och hur personuppgifter får behandlas. Reglerna i punkterna f, g och i i uppräkningen ovan (avseende 26, 28 och 42 §§ personuppgiftslagen) är av en något annan natur. Det är nämligen fråga om regler som den personuppgiftsansvarige bara behöver beakta när någon begär det i ett enskilt fall. Reglerna är således i allmänhet inte lika betungande för den personuppgifts- ansvarige, eftersom han eller hon inte behöver beakta dem vid den dagliga hanteringen av ostrukturerat material utan bara när någon begär det. Det bör därför särskilt övervägas om dessa regler bör omfattas av undantaget. Vad först gäller skyldigheten enligt 26 § personuppgiftslagen att efter ansökan lämna ett s.k. registerutdrag kan följande sägas. Rätten till registerutdrag kan sägas ha dels en kontrollfunktion, dels en funktion som självständig rättighet. Genom rätten till registerutdrag har den registrerade en möjlig- het att själv kontrollera att behandlingen av hans eller hennes upp- gifter är lagenlig och att, om så inte skulle vara fallet, utnyttja sina övriga rättigheter för att få till stånd rättelse. Om nu viss behand- ling skall vara undantagen från de flesta vanliga regler, skulle man kunna sätta i fråga om inte rätten till registerutdrag också är över- flödig. Det finns ju då inte särskilt många regler att kontrollera och rättigheter att bevaka. Men så länge regler till skydd mot missbruk skall gälla, fyller rätten till registerutdrag en kontrollfunktion. Utan den rätten skulle det vara svårare för den registrerade att kunna konstatera om missbruk förekommit och avgöra om åtgärder bör vidtas med anledning av ett missbruk. Möjligheten att vända sig till Datainspektionen, som i sin tillsynsfunktion har rätt att få ta del av de behandlade personuppgifterna, kan inte helt ersätta en egen rätt för den registrerade att få ta del av sina uppgifter. Rätten att få ta del av de uppgifter om en själv som någon annan behandlar har också ett självständigt värde för den registrerade även när det gäller ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar. Genom den rätten kan den registrerade Personuppgifter som inte ingår i personregister få reda på hur han eller hon återspeglas i de uppgifter som finns registrerade. Därigenom kan den registrerade också framställa in- vändningar om det som registrerats inte stämmer överens med den egna självbilden. Det kan t.ex. gälla vilka uppgifter som legat till grund för ett beslut som påverkar den registrerade. Enligt Europa- domstolen ingår i rätten till skydd för privatlivet enligt artikel 8 i en positiv skyldighet att i vissa fall ge den re- gistrerade tillgång till sina egna uppgifter.71 Både da- taskyddskonvention och riktlinjer innehåller vidare be- stämmelser om rätt till tillgång till sina uppgifter, trots att dessa instrument inte egentligen innehåller materiella regler om när be- handling av personuppgifter är tillåten eller förbjuden. Rätten att få ta del av sina egna uppgifter framstår således som grundläggande och av väsentlig och självständig betydelse för den registrerade. Den rätten är internationellt erkänd och har funnits i den svenska datalagen . Frågan är då närmast vilka beak- tansvärda motstående intressen som kan tala för en inskränkning av den rätten i fråga om personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar. Den personuppgiftsansvariges intresse av att få ha ofärdiga alster och minnesanteckningar i fred och av sekretess har be- aktats genom bestämmelserna i 26 § tredje stycket och 27 § per- sonuppgiftslagen. Det ytterligare intresse för den personuppgifts- ansvarige som kan vara värt att beakta är att det är betungande att på begäran söka fram personuppgifter i material som inte har struk- turerats för att underlätta sökning efter eller sammanställning av just personuppgifter. Såsom framgår av avsnitt 11 föreslår utred- ningen i den delen dock att registerutdrag inte skall behöva lämnas i den utsträckning detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Utredningen anser att denna bestämmelse, som får särskild betydelse vid ostrukturerat material, innebär att den personuppgiftsansvariges intressen i nu berört hän- seende beaktas i tillräcklig grad. Utredningen kommer därför fram till att något undantag inte bör göras från bestämmelsen i 26 § om registerutdrag. Vad därefter gäller skyldigheten enligt 42 § personuppgiftslagen att på begäran lämna upplysningar till allmänheten om behandlingar anser utredningen att den skyldigheten inte har sådan praktisk be- tydelse för de registrerade som uppväger besväret för den person- 71Se t.ex. dom i målet Gaskin ./. och dom i målet M.G. Personuppgifter som inte ingår i personregister uppgiftsansvarige att lämna upplysningarna. Ett undantag bör såle- des göras från bestämmelsen i 42 §.