sou · GSB36d2 · 2005-01-01 00:00:00 — Vad som skulle innebära en oproportionerligt stor arbetsinsats får bedömas i det enskilda fallet med beaktande av samtliga om- ständigheter. Om en personuppgiftsansvarig i motsvarande fall ti- digare faktiskt lämnat registerutdrag enligt datalagen eller den hitt- illsvarande bestämmelsen i personuppgiftslagen, kan det i normal- fallet inte anses vara fråga om en oproportionerligt stor arbetsinsats enligt den nya bestämmelsen. Syftet med ändringen är nämligen inte att inskränka det som faktiskt tillämpas . Utredningen har således inte fått kännedom om något fall där ett registerutdrag fak- tiskt lämnats efter en oproportionerligt stor arbetsinsats. Arbetsinsatserna kan gälla insatser för att finna alla uppgifter om den sökande som behandlas. Det kan ha särskild betydelse för en personuppgiftsansvarig som har en större mängd ostrukturerat ma- terial, t.ex. i form av löpande text eller ljud- och bildupptagningar, i synnerhet om materialet finns på olika ställen, t.ex. i hundratals persondatorer. Men det kan också gälla en personuppgiftsansvarig som har väldigt många regelrätta register att söka igenom. göras en bedömning från fall till fall vilken arbetsinsats som är pro- portionerlig. Att personuppgifterna är kodade eller krypterade in- nebär inte i sig att det skulle innebära en oproportionerligt stor ar- betsinsats att lämna information. I de allra flesta fall måste det krävas att den personuppgiftsansva- rige frågar den sökande efter sådana upplysningar som kan under- lätta sökandet efter personuppgifterna. Lämnar den sökande an- vändbara sådana upplysningar, måste det som regel krävas att den personuppgiftsansvarige åtminstone använder sig av upplysningar- na för att söka efter uppgifterna. Om den personuppgiftsansvarige å andra sidan inte får efterfrågade upplysningar från den sökande, ligger det närmare till hands att anse att ett förutsättningslöst sö- kande innebär en oproportionerligt stor arbetsinsats i förhållande till det intresse sökanden visat. I de fall där den sökande kan göra troligt att en annan person använt sökandens identitet vid kontak- ter med den personuppgiftsansvarige, kan den sökande ibland inte lämna konkreta upplysningar om var de felaktiga personuppgifter- na kan finnas. Men det är i detta fall ändå oftast befogat att den personuppgiftsansvarige lägger ned en ganska stor arbetsinsats för att finna alla aktuella personuppgifter av betydelse. Arbetsinsatsen kan också gälla insatser för att lämna information skriftligt till den registrerade. Det kan ha särskild betydelse i fråga om ljud- och bildupptagningar. Om det skulle innebära en opro- portionerligt stor arbetsinsats att lämna informationen skriftligt, bör den registrerade åtminstone beredas tillfälle att få ta del av in- formationen på annat sätt, t.ex. vid besök på plats. Skyldigheten att lämna information bortfaller nämligen bara i den utsträckning den skulle innebära en oproportionerligt stor arbetsinsats. Bemyndigande att meddela undantag Under denna huvudrubrik finns det en ny paragraf med bemyndi- gande för regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter och beslut i enskilda fall i de situationer detta är tillåtet enligt artikel 13.1 i EG-direktivet. 42 a § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från 9, 23–26 och 28 §§ samt 29 § andra stycket och 42 § om det är nödvändigt med hänsyn till a)statens säkerhet, b)försvaret, c)allmän säkerhet, d)åtal eller förebyggande, undersökning eller avslöjande av brott eller av överträdelse av etiska regler, e)ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unio- nen eller en stat som ingår i den unionen eller är ansluten till Euro- peiska ekonomiska samarbetsområdet, f)myndighetsutövning som avser tillsyn, inspektion eller reglering i fråga om sådant som nämns i c–e, eller g)skyddet av fri- och rättigheter. Regeringen får under de förutsättningar som nämns i första stycket i enskilda fall besluta om undantag från 9, 23–26 och 28 §§ samt 29 § andra stycket och 42 §. Regeringen får överlåta åt myndighet att fatta sådana beslut. Paragrafen är ny och har berörts i avsnitt 9. Paragrafen innehåller bemyndiganden för regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter och be- slut i enskilda fall om undantag från vissa bestämmelser i person- uppgiftslagen. I fråga om både vilka bestämmelser som undantag kan medges från och under vilka förutsättningar undantag får med- ges skall paragrafen ha samma innebörd som artikel 13.1 i EG- direktivet. 49 § Till böter eller fängelse eller, om brottet är grovt, till fängelse i högst döms den som uppsåtligen eller av grov oaktsamhet a)lämnar osann uppgift i sådan information till registrerade som föreskrivs i denna lag, i anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär infor- mation enligt 43 §, b)behandlar personuppgifter i strid med 13–21 §§, c)för över personuppgifter till tredje land i strid med 33–35 §§, el- ler d)låter bli att göra anmälan enligt 36 § första stycket eller enligt föreskrifter meddelade med stöd av 41 §. I ringa fall döms inte till ansvar. Den som överträtt ett vitesföreläggande enligt 44 § eller 45 § för- sta stycket döms inte till ansvar för en gärning som omfattas av vi- tesföreläggandet. Genom ändringen i första stycket har förfaranden som begåtts av oaktsamhet som inte är grov avkriminaliserats. Ändringen har be- rörts i avsnitt 12. Frågan om en visad oaktsamhet är grov eller inte får avgöras med tillämpning av allmänna straffrättsliga principer. 52 § En myndighets beslut om information enligt 26 §, om rättelse och underrättelse till tredje man enligt 28 §, om information enligt 29 § andra stycket och om upplysningar enligt 42 § får överklagas hos all- Andra beslut av myndighet enligt denna lag får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. Första och andra styckena gäller inte beslut av och reger- I fråga om överklagande av beslut av allmän domstol och all- män förvaltningsdomstol finns särskilda föreskrifter. Paragrafen, som innehåller bestämmelser om överklagande av myndighetsbeslut, är ny och har berörts i avsnitt 13. I 51 § finns det en bestämmelse om överklagande av tillsyns- myndighetens beslut enligt personuppgiftslagen. Den paragrafen gäller bara beslut enligt personuppgiftslagen som tillsynsmyndighe- ten fattar i egenskap av just tillsynsmyndighet. Förevarande para- graf gäller i stället överklagande av vissa beslut enligt personupp- giftslagen som varje myndighet kan fatta i egenskap av personupp- giftsansvarig. beslut i egenskap av person- uppgiftsansvarig för sin egen behandling av personuppgifter kan således i förekommande fall överklagas enligt förevarande paragraf, men inte enligt 51 §. I första stycket anges vilka beslut enligt personuppgiftslagen av en personuppgiftsansvarig myndighet som får överklagas. Med ut- trycket beslut om information enligt 26 § avses också besked en- ligt 26 § första stycket första meningen om personuppgifter som rör den sökande behandlas eller ej. Med myndighet avses i denna paragraf detsamma som enligt re- geringsformen, dvs. samtliga statliga och kommunala organ med undantag av och de kommunala beslutande församling- arna.232 De beslut av myndighet som räknas upp får överklagas hos all- män förvaltningsdomstol, dvs. Andra beslut av myndighet enligt personuppgiftslagen än de uppräknade får enligt en särskild bestämmelse inte överklagas. Av andra stycket framgår att det krävs prövningstillstånd vid överklagande till kammarrätt. Av tredje stycket framgår att bestämmelserna om överklagande i första och andra styckena i paragrafen inte gäller beslut av riksda- gen och regeringen. I tredje stycket har det också tagits in en erinran om att det finns särskilda föreskrifter i fråga om överklagande av beslut av allmän domstol och allmän förvaltningsdomstol. 1973:90 s. 232 f. I 21 § första stycket finns ett annat myndighetsbegrepp som har samma innebörd som EG-direktivet, se prop. 1997/98:44 s. 129. skrifter finns i och för sig inte , men som framgår av av- snitt 13.7.2 föreslår utredningen att sådana föreskrifter skall tas in i den särskilda lagstiftningen om behandling av personuppgifter vid domstolarna som förbereds. 18.2Förslaget till lag om ändring i sekretesslagen (1980:100) 7 kap. 16 § Sekretess gäller för personuppgift, om 1.det finns skäl att anta att uppgiften efter ett utlämnande kommer att behandlas i strid med personuppgiftslagen (1998:204), eller 2.myndighetens utlämnande av uppgiften står i strid med 33 § per- sonuppgiftslagen. Att myndighetens utlämnande står i strid med 33 § personuppgifts- lagen skall dock inte medföra sekretess för uppgifter i allmänt register som enligt lag eller förordning är avsett att ge allmänheten informa- tion. Ändringen har berörts i avsnitt 15.3. I paragrafen förskrivs sekretess för personuppgifter. Med per- sonuppgift avses detsamma som enligt personuppgiftslagen. Para- grafen är tillämplig oavsett var personuppgiften finns hos myndig- heten, i ett pappersdokument, i ett register, i ett ordbehandlings- dokument, i en tjänstemans huvud osv. Paragrafen är vidare till- lämplig oavsett hur utlämnandet av uppgiften skall ske, på papper, i elektroniskt format, muntligt osv. Första punkten i första stycket föreskriver sekretess för person- uppgift, om det finns skäl att anta att uppgiften efter ett utlämnan- de från myndigheten kommer att behandlas i strid med personupp- giftslagen. Sekretess enligt bestämmelsen kan således komma i fråga bara om det finns skäl att anta både att personuppgiften efter utlämnan- det kommer att behandlas på ett sätt som omfattas av personupp- giftslagen och att den behandlingen står i strid med den lagen. Det krävs för det första att det finns någon konkret omständig- het som gör att det finns skäl att anta att personuppgiften efter ut- lämnandet kommer att behandlas på ett sätt som omfattas av per- sonuppgiftslagen (se 5 § personuppgiftslagen för vilka behandlingar som omfattas av lagen). Sådana omständigheter kan – förutom de upplysningar som sökanden på eget initiativ kan ha lämnat om sin tilltänkta användning av uppgifterna – vara att sökanden begär att få ut uppgifter om väldigt många personer från ett register (ett s.k. massuttag) eller uppgifter om ett urval av personer med vissa ka- rakteristika, t.ex. inkomst, språktillhörighet, politisk tillhörighet osv. (s.k. selekterade uppgifter). Den omständigheten att någon begär att få ut uppgifter på papper om bara en handfull personer, oavsett hur dessa har valts ut, är dock normalt inte tillräckligt för att det skall finnas skäl att anta en efterföljande behandling enligt personuppgiftslagen. Den omständigheten att ett företag begär att få ut uppgifter i elektronisk form visar å andra sidan att företaget är berett att behandla personuppgifterna på ett sätt som avses i 5 § personuppgiftslagen, dvs. automatiserat i dator. Först om det på grund av någon konkret omständighet finns skäl att anta att sökanden kommer att behandla uppgifterna på ett sätt som omfattas av personuppgiftslagen, t.ex. därför att begäran om- fattar uppgifter om många personer, finns det anledning att genom frågor till sökanden försöka ta reda på hur och till vad sökanden skall använda uppgifterna för att kunna bedöma om den tilltänkta behandlingen strider mot personuppgiftslagen. I den allmänna mo- tiveringen har framhållits att myndigheten inte får ställa mer in- trängande eller fler frågor än som behövs för att göra en sekretess- bedömning och att myndigheten därför inledningsvis bara bör fråga om sökanden över huvud taget avser att behandla den begärda per- sonuppgiften på ett sätt som omfattas av 5 § personuppgiftslagen. Först om så är fallet, är det befogat att myndigheten ställer flera frågor om den tilltänkta behandlingen, bl.a. för att ta reda på om behandlingen är helt eller delvis undantagen från personuppgiftsla- gen. Om sökanden inte besvarar myndighetens frågor på ett konkret sätt, finns det vanligtvis skäl att anta att sökanden kommer att be- handla uppgifterna i strid med personuppgiftslagen och vägra ut- lämnande på grund av sekretess. Om sökanden lämnar en upplysning om sin tilltänkta behandling får den godtas, om det inte av omständigheterna framgår att upp- lysningen är så osannolik att den kan lämnas utan avseende.233 Om myndigheten fått en redogörelse av den tilltänkta behand- lingen från sökanden, som inte kan lämnas utan avseende, får myn- digheten göra en bedömning av om den uppgivna behandlingen omfattas av personuppgiftslagen och, om så är fallet, om den be- handlingen strider mot personuppgiftslagen. 233 Jämför prop. 1997/98:44 s. 119. Enligt andra punkten i första stycket föreskrivs sekretess för per- sonuppgift, om myndighetens utlämnande av uppgiften står i strid med bestämmelsen i 33 § personuppgiftslagen om förbud mot överföring av personuppgifter till tredje land. I detta fall är det så- ledes myndighetens utlämnande, och inte sökandens tilltänkta be- handling efter utlämnandet, som skall bedömas i förhållande till personuppgiftslagen. Vid bedömningen av om myndighetens utlämnande står i strid med förbudet i 33 § personuppgiftslagen skall beaktas också de be- stämmelser som finns i personuppgiftslagen och andra lagar och förordningar med avvikelser från förbudet. Är utlämnandet tillåtet enligt en bestämmelse med undantag eller andra avvikelser från förbudet, står utlämnandet inte i strid med 33 § personuppgiftsla- gen. Utlämnandet kan t.ex. vara tillåtet enligt 34 § personuppgifts- lagen eller enligt ett beslut som meddelats med stöd av 35 § per- sonuppgiftslagen. Såsom anförs i avsnitt 15.3.2 skall man vid be- dömningen av om myndighetens utlämnande står i strid med 33 § personuppgiftslagen givetvis bortse från bestämmelsen i 8 § första stycket personuppgiftslagen om att bestämmelserna i lagen inte tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut per- sonuppgifter (eftersom sistnämnda skyldighet har inskränkts ge- nom bestämmelsen i sekretesslagen). I andra stycket föreskrivs ett undantag från sekretessen enligt andra punkten i första stycket för uppgifter i allmänt register som enligt lag eller förordning är avsett att ge allmänheten information. Uppgifter i sådana register får således lämnas ut för att fullgöra skyldighet enligt 2 kap. tryckfrihetsförordningen, även om myn- dighetens utlämnande skulle stå i strid med 33 § personuppgiftsla- gen. Utlämnanden som sker utan att sådan skyldighet finns, t.ex. öppen publicering på Internet, får dock inte stå i strid med 33 § personuppgiftslagen (vilket inte beror på sekretess, utan på den nämnda bestämmelsen, se avsnitt 15.3.2). I andra stycket avses samma utlämnanden som enligt artikel 26.1 f i EG-direktivet. Tillämpningsområdet för bestämmelsen har berörts i avsnitt 15.3.2. Särskilt yttrande av experterna Om förpliktelsen att tillhandahålla registerutdrag även för vardaglig och harmlös hantering av personuppgifter Utredningen föreslår att behandling av personuppgifter i ostruktu- rerat material ska undantas från flertalet bestämmelser i person- uppgiftslagen. I stället ska en regel om missbruk av personuppgifter införas. Avsikten är att lagen inte ska tillämpas på vardaglig hanter- ing av personuppgifter så länge det inte innebär ett otillbörligt in- trång i den personliga integriteten. Hanteringen av personuppgifter ska underlättas och förenklas. Vi ställer oss bakom dessa föränd- ringar men anser att utredningen inte går tillräckligt långt. När utredningen föreslår att vardaglig hantering av personupp- gifter ska undantas från nästan samtliga hanteringsregler motiveras detta av att hanteringsreglerna framstår som alltför omfattande och byråkratiska och att integritetsriskerna normalt sett är små vid så- dan hantering. Skyddet av den personliga integriteten i sådana fall kan garanteras genom en missbruksregel. Trots detta vill utred- ningen inte undanta en av de mer besvärande hanteringsreglerna nämligen bestämmelsen om den registrerades rätt att på begäran utfå ett registerutdrag av den personuppgiftsansvarige. Utredningen anför flera skäl till stöd för tillämpning av regeln om registerutdrag även för sådan behandling av personuppgifter som i övrigt är undantagen från hanteringsreglerna. Först och främst motiveras bestämmelsen med att den inte skall tillämpas självmant av den personuppgiftsansvarige utan endast på begäran av den registrerade. Vidare sägs att rätten till registerutdrag är en självständig rättighet, och att den därtill har en kontrollfunktion. Vi anser att vägande skäl talar mot utredningens förslag. För det första finner vi det omotiverat att behålla en enda hanteringsregel Särskilt yttrande av experterna för den vardagliga och harmlösa behandlingen. Det måste framstå som märkligt för allmänheten att lagstiftaren i ena sekunden fram- håller att hanteringen är harmlös och därför får utföras utan annan tanke än att missbruk är förbjudet, för att i nästa sekund framhålla att riktigt så harmlös är ändå inte behandlingen att den helt kan frigöras från de i personuppgiftslagen fastlagda hanteringsprinci- perna. För det andra innebär bibehållandet av registerutdragsregeln att de personuppgiftsansvariga alltid måste ha beredskap att till perso- ner, som begär registerutdrag, kunna redovisa vilka behandlingar som utförs. Regeln medför en så betungande plikt att värdet av en befrielse av de övriga hanteringsreglerna kan ifrågasättas. Det blir sannolikt enklare att använda hanteringsreglerna på all behandling än att försöka avgöra vad som ska falla under hanteringsdelen och vad som ska falla under missbruksdelen av lagstiftningen. Det finns enligt vår uppfattning en inneboende motsättning i en lag som klargör att vid vardaglig behandling av personuppgifter behöver hanteringsreglerna inte tillämpas, men ändå kräver att en redogö- relse skall lämnas vid förfrågan. För det tredje anser vi att utredningens ståndpunkt att rätten till registerutdrag utgör en självständig rättighet, dvs. en bärande prin- cip inom rättsområdet för personuppgiftsskydd, saknar bärkraft i denna del. Det är i och för sig riktigt som utredningen anför att regeln inte i sig är en hanteringsregel vilken införts genom person- uppgiftslagen, men eftersom regeln onekligen utformats som en hanteringsregel i personuppgiftslagen och syftar till att förstärka övriga hanteringsregler bör den värderas som en sådan när frågan om lindring av lagens bestämmelser skall avgöras. För det fjärde ifrågasätter vi utredningens bedömning att regis- terutdragsförpliktelsen fullgör en viktig kontrollfunktion. Person- uppgiftslagen tar sikte på att reglera behandlingen av personuppgif- ter, dvs. åtgärder som vidtas med dessa uppgifter såsom att regi- strera och organisera uppgifterna. Det som genom utredningens förslag undantas från behandlingsreglerna är sådana åtgärder som inte i sig anses utgöra någon egentlig integritetsrisk, t.ex. att i en löpande text använda personuppgifter. Eftersom behandlingen inte anses utgöra ett integritetsintrång i normalfallet är kontrollbehovet knappast av sådan vikt att det ska motivera en utdragsförpliktelse. Det behov av kontroll som den registrerade kan ha är inte förknip- pat med behandlingen som sådan – t.ex. att skriva ett namn i ett ordbehandlingsdokument – utan snarare beroende av det samman- hang personnamnet förekommer. En text i vilken ett personnamn Särskilt yttrande av experterna nämns kan t.ex. utgöra förtal eller ett annat brott, men för detta föreslås missbruksregler och därtill finns redan annan skyddslag- stiftning på straffrättens område som ska gripa in. För missbruk av personuppgifter ska kontrollbehovet tillgodoses med hjälp av andra regler än registerutdragsförpliktelsen i personuppgiftslagen, t.ex. editionsbestämmelser i . Även det förhållandet att den registrerade enligt det framlagda lagförslaget är betagen rätten att begära rättelse av felaktiga uppgifter pekar på att registerut- dragsrätten inte har någon direkt betydelse för den registrerade – det är svårt att se någon verklig nytta med att behålla regeln. I den mån det verkligen är fråga om missbruk av personuppgifter kom- mer detta i normalfallet att uppmärksammas på annat sätt, t.ex. vid Internetpublicering av en text. Över huvud taget förefaller det svårt att konstruera en praktisk situation när rätten till registerutdrag kan leda till en förbättring av den registrerades integritetsskydd. Här skall först noteras att det undantag från personuppgiftslagen som utredningen lägger fram endast avser vardaglig hantering av personuppgifter och att det un- dantagna området vid närmare betraktande är ganska smalt. Att inte låta undantaget under dessa förhållande få genomslag även på en så pass betungande regel som registerutdragsförpliktelsen, kan därför te sig magert. Med den utformning regeln om registerutdrag erhållit i utredningen kan det därtill förväntas att förpliktelsen kan- ske inte kommer att tillämpas i särdeles många fall i det praktiska livet. Att hålla beredskap för registerutdrag kommer därmed att innebära en oproportionerligt stor arbetsinsats för de personupp- giftsansvariga. Slutligen bör också påpekas att lättnadsreglerna föreslås i syfte att undanröja hinder för vardaglig hantering av personuppgifter och inte minst för att underlätta debatt och diskussion, t.ex. via e-post och vid Internetpublicering. Även yttrandefrihetsskäl talar därför med viss styrka för att det undantagna området skall belastas i så liten utsträckning som möjligt för att dessa syften skall nås. Beslut vid regeringssammanträde . Redan vid utarbetandet av personuppgiftslagen beaktades möjlighe- ten att ha en lagstiftning som inriktar sig på att förhindra missbruk av personuppgifter. Regeringen har också efter antagandet av per- sonuppgiftslagen vidtagit åtgärder i denna riktning. Det är viktigt att detta arbete fortsätter. En särskild utredare tillkallas därför med uppgift att se över per- sonuppgiftslagen i syfte att, inom ramen för EG-direktivet om per- sonuppgifter, åstadkomma ett regelverk som mera tar sikte på missbruk av personuppgifter. I den utsträckning det med hänsyn till EG-direktivet är möjligt med lättnader i hanteringsreglerna skall utredaren föreslå de bestämmelser som är nödvändiga för att för- hindra missbruk av personuppgifter och andra obefogade intrång i den personliga integriteten. Utredaren skall också överväga beho- vet av en ändring i 7 kap. 16 § sekretesslagen, som hänvisar till per- sonuppgiftslagen, samt ett förtydligande av hur myndigheters be- slut enligt personuppgiftslagen kan överklagas. Bilaga 1 – Utredningsdirektiven antogs och rådets direk- tiv 95/46/EG om skydd för enskilda personer med avseende på be- handling av personuppgifter och om det fria flödet av sådana upp- gifter (EG-direktivet om personuppgifter). EG-direktivets syfte är att skapa en gemensam, hög nivå på integritetsskyddet för att där- igenom möjliggöra ett fritt flöde av personuppgifter mellan med- lemsstaterna. Medlemsstaterna får inom den ram som ges i EG- direktivet närmare precisera villkoren för när personuppgifter får behandlas. Dessa preciseringar får dock inte hindra det fria flödet av personuppgifter inom Europeiska unionen. EG-direktivet inne- håller generellt verkande bestämmelser som reglerar all hantering av personuppgifter och är därmed utformat efter en s.k. hanter- ingsmodell. Förutom automatiserad behandling omfattas också så- dan behandling som sker i register som är sökbara utifrån särskilda kriterier. EG-direktivet skulle ha varit genomfört i med- lemsstaterna . är det endast Frank- rike och som ännu inte har genomfört EG-direktivet i någon del.