bet · GT01KU37 · 2006-05-02 00:00:00 — I betänkandet behandlas regeringens proposition 2005/06:173 Översyn av personuppgiftslagen samt två motioner som väckts med anledning av propositionen och ett motionsyrkande från allmänna motionstiden . Utskottet tillstyrker regeringens lagförslag och avstyrker motionerna. I betänkandet finns tre reservationer och ett särskilt yttrande. Utskottets förslag till riksdagsbeslut antar regeringens förslag till lag om ändring i personuppgiftslagen (1998:204). Därmed bifaller proposition 2005/06:173. Nytt mer rättssäkert förslag avslår motion 2005/06:K27. Reservation 1 (c) avslår motion 2005/06:K26 yrkande 1. Allmänhetens tillgång till information om förtroendevalda avslår motion 2005/06:T500 yrkande 13. Reservation 2 (fp) avslår motion 2005/06:K26 yrkande 2. Reservation 3 (fp) avslår motion 2005/06:K26 yrkande 3. Följande ledamöter har deltagit i beslutet: (), (), (), (), (), (), (), (), (m), (), (), (), (), (), (), () och (). Ärendet och dess beredning Av propositionen framgår hur ärendet har behandlats fram till dess att propositionen avlämnades till . beslutade att anta regeringens förslag om en ny personuppgiftslag (prop. 1997/98:44, bet. 1997/98:KU18, rskr. 1997/98:180, SFS 1998:204). Personuppgiftslagen ersätter datalagen (1973:289). Genom personuppgiftslagen genomförs och rådets direktiv /46/EG av om skydd för enskilda med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EG-direktivet). Begreppen missbruksmodell och hanteringsmodell introducerades i förarbetena till personuppgiftslagen (SOU 1997:39 s. 179 ff. och prop. 1997/98:44 s. 36 f.). Förenklat uttryckt reglerar en lagstiftning uppbyggd enligt en hanteringsmodell själva hanteringen av personuppgifter oavsett om hanteringen kan betecknas som harmlös eller känslig från integritetssynpunkt. Regleringen omfattar all användning av personuppgifter oavsett syfte, omfattning eller art. I en sådan modell finns därmed regler om hur personuppgifter skall hanteras från det att de samlas in till dess de utplånas. En reglering enligt en missbruksmodell koncentrerar sig i stället på utnyttjande av personuppgifter som kan karakteriseras som ett missbruk. Så länge inte personuppgifterna missbrukas på så sätt att den personliga integriteten kränks är behandlingen tillåten. De som förespråkar en sådan modell brukar utgå från att själva hanteringen av personuppgifterna skall vara i det närmaste fri. Det väsentliga i modellen blir i stället att identifiera vilken användning av personuppgifter som utgör ett sådant missbruk att den bör förbjudas, dvs. i första hand skadeståndsbeläggas eller kriminaliseras. Redan vid genomförandet av EG-direktivet konstaterade regeringen att den då föreslagna hanteringsmodellen framstod som omodern (prop. 1997/98:44 s. 37). Mycket av den användning av personuppgifter som den ökade datoriseringen har medfört måste enligt regeringen betraktas som harmlös. Alltfler medborgare har tillgång till dator samt e-post och annan kommunikation i världsomspännande nätverk såsom Internet. Regeringen ansåg därför att det fanns starka skäl att verka för att det blir möjligt att gå från en lagstiftning efter en hanteringsmodell till en mer missbruksinriktad lagstiftning. Även har understrukit behovet av dels en revidering av EG-direktivet, dels en översyn av personuppgiftslagen. I samband med att behandlade motioner från den allmänna motionstiden gav regeringen till känna att regeringen med kraft bör verka inom EU för att EG-direktivet revideras samt se till att en översyn av personuppgiftslagen kommer till stånd. En sådan översyn skulle ha till syfte att, så långt det är möjligt inom det nuvarande EG-direktivets ram, åstadkomma en förändring av lagstiftningen i riktning mot ett regelverk som tar sikte på missbruk av personuppgifter (bet. 1998/99:KU15, rskr. 1998/99:147). har därefter och understrukit vikten av att regeringen fortsätter arbetet såväl i EU som nationellt med att få till stånd en mer missbruksinriktad reglering (bet. 2001/02:KU22 s. 14). Regeringen har efter personuppgiftslagens tillkomst 1998 vidtagit åtgärder för att underlätta behandlingen av personuppgifter. Sammantaget har lagstiftningsarbetet medfört att skyddet för personuppgifter i högre grad än tidigare inriktas på de förfaranden som medför mer betydelsefulla integritetsrisker och att lagstiftningen i viss utsträckning kan sägas ha närmat sig en sådan missbruksinriktad regleringsmodell som och regeringen har förespråkat. Åtgärder har också vidtagits på internationell nivå hos och . Vidare har tillsammans med , och utarbetat förslag till lättnader i EG-direktivet och presenterat dessa för i en gemensam skrivelse. har för egen del dessutom i olika sammanhang under hand till framfört sina önskemål om en revidering av direktivet mot en missbruksmodell. Ytterst sätter EG-direktivet om personuppgifter en gräns för hur den nationella lagstiftningen på området får utformas. Det står nu enligt regeringen klart att inte inom någorlunda överskådlig tid kommer att presentera några förslag till ändringar i direktivet. Detta framgår av Första rapporten om genomförandet av dataskyddsdirektivet (KOM [2003] 265 slutlig s. 8 f.). Enligt regeringens uppfattning bör personuppgiftslagen inom direktivets nuvarande ram så långt som det är möjligt ändras så att den underlättar sådan vardaglig behandling av personuppgifter som typiskt sett inte innefattar några större integritetsrisker. För stora traditionella register och databaser där integritetsriskerna generellt sett är större torde däremot personuppgiftslagens detaljerade hanteringsreglering till stora delar vara både ändamålsenlig och, med hänsyn till direktivet, nödvändig samt inte heller vålla några påtagliga tillämpningsproblem. I propositionen föreslås att behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter skall omfattas av en missbruksmodell. En sådan behandling får inte utföras om den innebär en kränkning av den registrerades integritet. Det föreslås vara förenat med straff att bryta även mot en missbruksregel. En avkriminalisering föreslås dock så att straff skall få utkrävas endast vid uppsåt och grov oaktsamhet. Vidare föreslår regeringen att den skall få meddela föreskrifter om sådana undantag som är tillåtna enligt artikel 13.1 EG-direktivet. Lagändringen föreslås träda i kraft . Utskottets förslag i korthet Utskottet föreslår att antar regeringens förslag till lag om ändring i personuppgiftslagen (1998:204). Utskottet avstyrker motionerna 2005/06:K26 yrkandena 1 och 2, 2005/06:K27 och 2005/06:T500 yrkande 13. Jämför reservationerna 1 (c), 2 (fp) och 3 (fp). Bestämmelserna syftar till att underlätta en sådan behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter. Som en sammanfattande benämning på detta används begreppet ostrukturerat material. Det är strukturen på materialet där personuppgifterna ingår som är avgörande. Vilken typ av personuppgifter som behandlas eller i vilket medium de förekommer, t.ex. i text, ljud eller bild eller annat, inverkar inte på bedömningen. Behandlingen av personuppgifter i ostrukturerat material föreslås undantas från samtliga hanteringsregler i personuppgiftslagen som det har bedömts möjligt att inom ramen för EG-direktivet om personuppgifter göra undantag från. Detta betyder att den som behandlar personuppgifter t.ex. i löpande text i ordbehandlingsprogram, i e-post eller på Internet samt i enstaka ljud- eller bildupptagningar inte skall behöva beakta bestämmelserna om grundläggande krav på behandling av personuppgifter (9 §) eller när behandling av personuppgifter är tillåten (10 §). Inte heller skall den personuppgiftsansvarige behöva iaktta förbuden i 13 och 21 §§ mot att behandla känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. eller de särskilda villkor för behandling av personnummer som uppställs i 22 §. Vidare skall den personuppgiftsansvarige inte vara skyldig att tillämpa bestämmelserna om när information till den registrerade skall lämnas (23, 24 och 26 §§). Han eller hon skall inte heller vara skyldig att på begäran av den registrerade bl.a. rätta. personuppgifter enligt 28 § samt skall inte behöva iaktta förbudet i 33 § mot överföring av personuppgifter till tredje land som inte har en adekvat nivå för skyddet av personuppgifterna. Slutligen föreslås en sådan behandling undantas från skyldigheten enligt 42 § att lämna upplysningar till allmänheten. Skall materialet, t.ex. den löpande texten, infogas i en databas med en personuppgiftsanknuten struktur, exempelvis ett ärendehanteringssystem, måste däremot hanteringsreglerna tillämpas. För ostrukturerat material som undantas från de angivna hanteringsreglerna föreslås i stället gälla att behandling inte skall få utföras om den innebär en kränkning av den registrerades personliga integritet. Förslagets förenlighet med EG-direktivet När EG-direktivet genomfördes i svensk lagstiftning konstaterade regeringen att bestämmelserna i innebär att själva hanteringen av personuppgifter regleras, oavsett om hanteringen kan sägas utgöra ett missbruk och att såsom medlem i Europeiska unionen hade att i svensk lagstiftning genomföra de hanteringsregler som direktivet föreskriver (prop. 1997/98:44 s. 36). Ändringsförslaget syftar inte till att helt gå ifrån grundkonstruktionen med en hanteringsmodell. Förslaget syftar snarare till att i en begränsad omfattning tillföra lagen inslag av en missbruksmodell i sådana hänseenden där vägande praktiska skäl talar för förenkling och en lättnad i hanteringsregleringen. Regeringen lämnar i propositionen en redovisning för förslagets förenlighet med EG-rätten, bl.a. möjligheten till begränsning av omfattningen av direktivet, intresseavvägning enligt artikel 7 och undantaget i artikel 8 för hänsynen till viktigt allmänt intresse. En summarisk beskrivning av den förnyade analys som regeringen gjort och som resulterar i ståndpunkten att behandling av personuppgifter i ostrukturerat material t.ex. i form av text och ljud- och bildupptagningar kan hänföras till en sådan fri- och rättighet som avses i artikel ges här. För en mer utförlig redogörelse hänvisas till propositionen s. 29 ff. En begränsning av omfattningen av direktivet måste vara en nödvändig åtgärd med hänsyn till olika uppräknade intressen bl.a. - såvitt här är av intresse - skyddet av den registrerades eller andras fri- och rättigheter (artikel ). Regeringen anför att rådet och kommissionen visserligen i samband med att den gemensamma ståndpunkten om direktivet antogs av rådet avgett en gemensam förklaring om att sådana rättigheter som att utföra behandling av uppgifter inte avses med hänvisningen till andras fri- och rättigheter. Enligt regeringen skall denna förklaring dock inte inverka på bedömningen eftersom uttalat att sådana förklaringar inte kan tillmätas någon rättslig status och betydelse vid utrönandet av den rätta innebörden av en bestämmelse i ett EG-direktiv, i vart fall inte när innehållet i förklaringen inte uttrycks i den aktuella bestämmelsen. Utgångspunkten för regeringens bedömning är att distribuering av ostrukturerat material till andra oftast är fråga om ett utnyttjande av den yttrandefrihet som tillkommer varje medborgare enligt såväl regeringsformen som . De tidigare bedömningar som redovisas i förarbetena till personuppgiftslagen, om regeringens och Lagrådets tveksamhet inför att yttrandefriheten skulle omfattas av de fri- och rättigheter som avsågs i artikel 13.1 eftersom artikel 9 särskilt nämner personuppgifter "som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande", har gjorts i ett annat sammanhang i samband med att regeringen behandlade frågan om personuppgiftslagens förhållande till tryckfrihetsförordningen och yttrandefrihetsgrundlagen. Artikel 9 ansågs möjliggöra för att låta dessa grundlagar gälla oförändrade. Det förhållandet att yttrandefriheten i ett visst avseende nämns i artikel 9 kan inte anses innebära att just den fri- och rättigheten inte skulle omfattas av uttrycket fri- och rättigheter i artikel 13. Regeringen gör alltså bedömningen att behandlingen av personuppgifter i ostrukturerat material t.ex. i form av text och ljud- och bildupptagningar kan hänföras till en sådan fri- och rättighet som avses i artikel och som kan berättiga medlemsstaterna att göra nödvändiga begränsningar av vissa bestämmelser i direktivet. Att begränsningarna skall vara nödvändiga innebär att det skall göras en intresseavvägning mellan de ifrågavarande fri- och rättigheterna dvs. rätten till integritetsskydd och rätten att för t.ex. yttrandefrihets- och informationsändamål få hantera ostrukturerat material vägs mot varandra. Artiklarna 7 och 8 Vissa artiklar i direktivet får medlemsstaterna i sina nationella lagar inte göra undantag från. Till dessa hör artiklarna 7 och 8. Enligt artikel 7 f EG-direktivet får personuppgifter behandlas om behandlingen är nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intresse eller dennes grundläggande fri- och rättigheter som kräver skydd under artikel 1.1. Enligt regeringen står det klart att det är möjligt att med stöd av bestämmelsen om en intresseavvägning i artikel 7 f införa en särskild bestämmelse som tillåter sådan behandling av personuppgifter i ostrukturerat material som inte innefattar ett missbruk av personuppgiften. Från förbudet i artikel 8.1 mot behandling av känsliga personuppgifter får undantag enligt artikel 8.4 göras med hänsyn till ett viktigt allmänt intresse. Som framgått av regeringens bedömning av undantag från direktivet enligt 13.1 anser regeringen att hantering av ostrukturerat material kan anses vara en fri- och rättighet. Att fri- och rättigheter kan utövas i samhället är enligt regeringen naturligtvis ett allmänt intresse och dessutom ett viktigt sådant. Lagrådet har i sitt yttrande anfört att det vid sin genomgång av lagförslaget i relation till direktivets bestämmelser inte kunnat undgå att känna tvekan inför den friare tolkning av direktivet som förordas för att möjliggöra den föreslagna partiella systemändringen. Enligt Lagrådet kvarstår osäkerhet främst om huruvida hänvisningen i direktivets artikel till skyddet av den registrerades eller andras fri- och rättigheter har så generell syftning som den nu framlagda tolkningen bygger på. Ett annat problem som Lagrådet ser är att den allmänt hållna lagregel (första stycket i en ny 5 a §) som föreslås för att avgränsa det område som avses undantaget från hanteringsregleringen inrymmer uttryck som måste antas ge upphov till tillämpningssvårigheter. Lagrådet har vidare anfört att utformningen av den föreslagna undantagsregleringen, även bortsett från de EG-rättsliga aspekterna, ger anledning till tvekan. Varken bestämmelsen om begränsning av tillämpningsområdet eller den bestämmelse som skall gälla för det undantagna området ger enligt Lagrådet någon fastare ledning för rättstillämpningen. Förslaget måste således antas medföra påtagliga problem från rättssäkerhetssynpunkt. Trots de betänkligheter som förslaget väcker vill Lagrådet inte avstyrka att reformen genomförs. Lagrådet noterar här att remissinstanserna har ställt sig övervägande positiva till åtgärden och att något bearbetningsbart alternativ till den valda utformningen av lagförslaget inte har kommit till synes i ärendet. Lagen föreslås träda i kraft . På så sätt ges tid för Datainspektionen att förbereda informationsinsatser för personuppgiftsansvariga m.fl. I motion 2005/06:K27 av m.fl. (c) anför motionärerna att regeringen skyndsamt bör återkomma till med åtgärder som säkrar en rättssäker tillämpning av lagen. I motion 2005/06:K26 av m.fl. (fp) anför motionärerna att regeringen skall fortsätta anstränga sig för att förmå att ändra personuppgiftsdirektivet i enlighet med tidigare riksdagsbeslut (yrkande 1). Motionärerna anför vidare att även sammanställningar med en tydligt personuppgiftsanknuten struktur skall omfattas av missbruksregeln om sammanställningen fyller ett allmännyttigt ändamål som kan omfattas av informations- och yttrandefriheten (yrkande 2). Motionärerna nämner som exempel databaser över författare som innehåller biografiska och/eller bibliografiska uppgifter. I motion 2005/06:T500 av m.fl. (fp) anför motionärerna att regeringen skall se över personuppgiftslagen för att säkerställa allmänhetens tillgång till information om förtroendevalda (yrkande 13). Motionärerna menar att en del kommuner är så restriktiva att de inte publicerar fullmäktigeledamöterna på kommunens hemsida. Gällande rätt när det gäller publicering av uppgifter om förtroendevalda Enligt 10 § personuppgiftslagen får personuppgifter behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för att a) ett avtal med den registrerade skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, b) den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet, c) vitala intressen för den registrerade skall kunna skyddas, d) en arbetsuppgift av allmänt intresseskall kunna utföras, e) den personuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller f) ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Känsliga uppgifter, till vilka bl.a. politisk uppfattning hör, får med vissa undantag inte behandlas alls (13 §). Det är endast om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna som uppgifterna får behandlas (16 §). När det gäller publicering på Internet gäller förutom ovanstående grundförutsättningar att det enligt 33 § är förbjudet att till tredje land föra över personuppgifter som är under behandling om landet inte har en adekvat nivå för skyddet av personuppgifterna. Förbudet gäller också överföring av personuppgifter för behandling i tredje land. Överföringsförbudet har fått minskad betydelse efter en dom från om överföring till tredje land. Utskottet återkommer till detta i det följande. Frågan om en skyddsnivå är adekvat skall bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt skall läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredje landet. Överföringsreglerna fick denna lydelse . var överföringsförbudet strängare och träffade också från integritetssynpunkt okänsliga uppgifter som oavsett var i världen de hamnar knappast behöver något särskilt skydd (prop. 1999/2000:11, bet. 1999/2000:KU7, rskr. 1999/2000:51). När det gäller frågan om överföring av personuppgifter till tredje land har i en dom i mål C-101/01, det s.k. konfirmandlärarmålet, uttalat att det inte föreligger någon "överföring av .uppgifter till tredje land" i den mening som avses i artikel 25 i direktiv /46 när en person som befinner sig i en medlemsstat lägger ut personuppgifter på en webbsida som är lagrad hos en fysisk eller juridisk person som hyser den webbplats där sidan kan läsas och som är etablerad i samma medlemsstat eller i en annan medlemsstat, varvid uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land. Regeringen har ändrat personuppgiftsförordningen (1998:1191) för att underlätta för kommuner och landsting att publicera namnuppgifter per Internet. Som exempel kan nämnas att en kommun eller ett landsting till tredje land enligt 12 § får föra över personuppgifter som ingår i 1. ett diarium och som anges i 15 kap. 2 § sekretesslagen (1980:100), 2. en kallelse till ett sammanträde med fullmäktige eller en nämnd, 3. en kungörelse om sammanträde med fullmäktige, eller 4. ett justerat protokoll som har förts vid ett sammanträde med fullmäktige eller en nämnd. Personuppgifter som direkt pekar ut den registrerade får med några undantag inte föras över. Detta gäller dock inte en förtroendevald, när det gäller hans eller hennes uppdrag. har tidigare gett regeringen till känna att den med kraft bör verka inom EU för att en revidering sker av EG-direktivet. Syftet med ändringen skulle vara att direktivet ger uttryck för en missbruksmodell. I avvaktan på att en ändring av direktivet kommer till stånd, har begärt att regeringen återkommer med förslag om en missbruksmodell inom EG-direktivets nuvarande ram. Så har regeringen gjort och det finns ingen anledning att anta att inte regeringen fortsätter att verka för en ändring av EG-direktivet. Utskottet anser att motion 2005/06:K26 yrkande 1 (fp) är tillgodosedd och att den skall avstyrkas. I en motion begärs, med hänvisning till att Lagrådet har haft invändningar när det gäller rättssäkerheten i det lämnade förslaget, att regeringen skyndsamt skall återkomma med åtgärder för att säkerställa rättssäkerheten i lagens tillämpning. Lagrådet har påpekat att något bearbetningsbart alternativ till den valda utformningen inte har kommit till synes i ärendet. Mot bakgrund av detta, att Datainspektionen givits tid att utarbeta informationsmaterial innan den föreslagna lagen träder i kraft samt att regeringen naturligtvis är oförhindrad att även innan EG-direktivet har ändrats återkomma med lagstiftningsförslag i frågan avstyrker utskottet motion 2005/06:K27 (c). De föreslagna lättnaderna i hanteringsmodellen förutsätter att det material som bearbetas är ostrukturerat. Ytterligare undantag från hanteringsmodellen kräver med största sannolikhet att EG-direktivet ändras först. Hur lagstiftningen skall se ut när det gäller sammanställningar som fyller ett allmännyttigt ändamål som kan omfattas av informations- och yttrandefriheten är en fråga som får anstå till dess att EG-direktivet ändras. Motion 2005/06:K26 yrkande 2 (fp) avstyrks. Redan med gällande bestämmelser finns ett utrymme att publicera uppgifter om de förtroendevalda. Någon ytterligare åtgärd är utskottet inte berett att föreslå. Motion 2005/06:T550 yrkande 13 (fp) avstyrks. Utskottets förslag i korthet Utskottet avstyrker en motion om revidering av yttrandefrihetsgrundlagen med hänvisning till pågående utredningsarbete. Jämför särskilt yttrande (fp). Yttrandefrihetsgrundlagens bestämmelser om utgivare Enligt 4 kap. 1 § yttrandefrihetsgrundlagen (YGL) skall radioprogram och tekniska upptagningar ha en utgivare. Med teknisk upptagning avses enligt 1 kap. 1 § fjärde stycket YGL upptagningar som innehåller text, bild eller ljud och som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel. Enligt 4 kap. 4 § skall det av en teknisk upptagning framgå vem som är utgivare. Utgivaren skall se till att varje exemplar av upptagningen har en sådan uppgift. Av sådan teknisk upptagning, skrift eller bild som avses i 1 kap. 9 § första stycket 1 skall framgå vem som är utgivare av databasen. Utgivaren skall se till att varje exemplar har en sådan uppgift. Databasregeln i 1 kap. 9 § innebär att om radioprogram skall tillämpas också när vissa särskilt uppräknade aktörer med hjälp av elektromagnetiska vågor på särskild begäran tillhandahåller allmänheten upplysningar direkt ur en databas under förutsättning att den mottagande inte kan ändra innehållet i registret.