prop · GT03173 · 2006-03-21 00:00:00 — Sedvanligt utnyttjande av allmänt använda funktioner I fråga om sedvanligt utnyttjande av allmänt använda funktioner där den personuppgiftsanknutna struktureringen inte framstår som särskilt kvali- ficerad handlar det om sedvanligt utnyttjande av vardagsfunktioner där det med hänsyn till informations- och yttrandefrihetsintressena inte är rimligt att hanteringsreglerna skall behöva tillämpas. Mot bakgrund av dagens situation kan man exempelvis identifiera två typer av personupp- giftsanknuten strukturering som inte bör medföra att hanteringsreglerna behöver tillämpas. Den första situationen gäller sedvanlig användning av datorns fil- system. Det är inte ovanligt att en användare systematiskt namnger filer och mappar eller kataloger i datorns filsystem med hjälp av personupp- gifter. Det kan t.ex. handla om en mapp med ett personnamn som inne- håller filer med korrespondens i datumordning med den aktuella perso- nen eller att filer som berör en person namnges efter dennes namn. I så- dana fall har man skapat ett system för personuppgiftsanknuten strukture- ring som dock inte bör medföra att hanteringsreglerna behöver tillämpas på personuppgifterna i materialet. Vad som sagts bör dock inte gälla om filerna (oavsett hur de har namngetts) i sig ingår i ett mer kvalificerat system för personuppgiftsanknuten strukturering, t.ex. ett kvalificerat dokument- eller ärendehanteringssystem; det avgörande är då vilka regler som är tillämpliga på behandlingen av personuppgifter i det systemet. Den andra situationen gäller sedvanlig användning av datorstödd kommunikation. Vid sådan kommunikation är det oftast på grund av tek- nikens inneboende egenskaper nödvändigt att registrera uppgifter om såväl mottagare som avsändare, annars kan kommunikationen inte för- medlas. Dessa uppgifter utgör för det mesta personuppgifter som auto- matiskt hamnar i en personuppgiftsanknuten struktur som gör det lätt för användaren att söka fram t.ex. meddelanden. Ett exempel utgör e- postprogram. Genom ett enkelt handgrepp kan man som regel få fram de meddelanden som sänts till eller mottagits från en viss person eller i vart fall dennes e-postadress, vilken uppgift normalt utgör en personuppgift. En enskild medarbetares egen sedvanliga användning av t.ex. e- postprogram för sin kommunikation bör dock inte medföra att hanter- ingsreglerna behöver tillämpas. Vad som sagts bör dock inte gälla om meddelandena ingår i ett mer kvalificerat system för personuppgiftsan- knuten strukturering, t.ex. ett dokument- eller ärendehanteringssystem; det avgörande är då vilka regler som är tillämpliga på behandlingen av personuppgifter i det systemet. Man kan utgå från att vid exempelvis marknadsföring ingår personuppgifterna i praktiken alltid i ett sådant system som medför att hanteringsreglerna skall tillämpas på den behand- lingen. Det bör också framhållas att de loggfiler med uppgifter om me- darbetarnas kommunikation som en organisation kan spara inte avses med det som sagts. Avsikten är att undanta medarbetarnas egen sed- vanliga användning av datorstödd kommunikation, inte att undanta orga- nisationens registrering av medarbetarnas kommunikation. Det är således bara behandling av personuppgifter i ett material som har en personuppgiftsanknuten strukturering som når upp till en viss nivå eller kvalitet som bör omfattas av hanteringsreglerna. Om materialet som sådant, dvs. hela samlingen av uppgifter, har strukturerats så att hanter- ingsreglerna är tillämpliga, skall hanteringsreglerna tillämpas vid be- handling av alla personuppgifter strukturerade och ostrukturerade som finns i materialet oavsett om vissa personuppgifter i materialet inte har strukturerats. Personuppgifterna kan nämligen finnas t.ex. i ordbe- handlingsdokument, i inskannade dokument och i ljud- och bildupptag- ningar som i och för sig kan vara ostrukturerade men som ingår i den strukturerade samlingen av uppgifter, t.ex. ett ärendehanteringssystem. Det är själva samlingen av uppgifter som skall vara strukturerad på visst sätt, inte varje personuppgift eller handling som ingår i samlingen. I ex- empelvis ett försäkringsbolags ärendehanteringssystem avseende enskil- da personers försäkringar kan det ingå ordbehandlingsdokument eller e- post med korrespondens med den försäkrade eller annan samt inskannade läkarintyg m.m. och genom en enkel sökning på den försäkrades namn kan alla dessa dokument och andra personuppgifter som strukturerats sammanställas. I ett sådant fall skall självfallet hanteringsreglerna tilläm- pas vid behandling av alla personuppgifter oavsett vilken person t.ex. den försäkrade, läkaren eller försäkringshandläggaren uppgifterna rör. En del remissinstanser har tagit upp frågan om vilka regler ett elektro- niskt diarium och de däri registrerade handlingarna bör vara underkasta- de. Svaret är, enligt regeringens mening, i viss mån beroende av om de registrerade handlingarna är elektroniskt knutna till diariet eller inte. Som exempel kan tas en myndighets diarium över allmänna handlingar, vari det enligt 15 kap. 2 § sekretesslagen (1980:100) skall anges t.ex. från vem handlingen har kommit in eller till vem den har expedierats. Efter- som ett sådant diarium är strukturerat bl.a. med avseende på just person- uppgifter, och får anses ha konstruerats för att påtagligt underlätta sök- ning efter just personuppgifter, torde det inte råda något tvivel om att det omfattas av hanteringsreglerna. De handlingar som innehåller person- uppgifter och som registrerats i diariet omfattas också av hanteringsreg- lerna såvida de är elektroniskt åtkomliga via själva diariet. Om det där- emot inte finns någon elektronisk koppling mellan diariet och handling- arna kan dessa inte anses omfattade av hanteringsreglerna enbart av den anledningen att de finns omnämnda där. Ett sådant resonemang kan ap- pliceras också på elektroniska dokument- och ärendehanteringssystem hos t.ex. företag och organisationer. Så länge de enskilda dokumenten kan sägas ingå i det strukturerade och elektroniska systemet (databasen) omfattas all behandling av personuppgifter i dessa dokument av hanter- Detta gäller även de dokument som ännu inte infogats i systemet (databasen) och som kanske ännu befinner sig endast i en me- darbetares dator, men som är avsedda att sedermera infogas i databasen, t.ex. utkast till beslut, brev etc. Det förtjänar vidare påpekas att om vissa personuppgifter är underkas- tade hanteringsreglerna, t.ex. på grund av att de ingår i ett kvalificerat ärendehanteringssystem eller ett regelrätt register, är det hanteringsreg- lerna som avgör om uppgifterna får lämnas ut därifrån för att användas, av tredje man eller den personuppgiftsansvarige själv, i löpande text och annat sådant ostrukturerat material som omfattas av den föreslagna miss- bruksregeln. Hur personuppgifterna får behandlas när de i sådana fall väl lämnats ut avgörs av missbruksregeln, dvs. uppgifterna får inte behandlas på ett sådant sätt att den registrerades personliga integritet kränks. När det gäller att avgöra vad som ingår i det strukturerade materialet, själva samlingen av uppgifter får man, som utredningen har framhållit, anlägga ett naturligt, i bemärkelsen praktiskt, betraktelsesätt. Eftersom det krävs att materialet har strukturerats ligger det i sakens natur att strukturen har sina gränser, dvs. att materialet utgörs av en på något sätt avgränsad mängd uppgifter (de uppgifter som med hjälp av strukturen kan hänföras till varandra). Då det också krävs att struktureringen är per- sonuppgiftsanknuten, ingår helt enkelt alla de uppgifter som kan hänföras till de strukturerade personuppgifterna. Det får överlämnas till rättstil- lämpningen att med ledning av ett praktiskt betraktelsesätt från fall till fall bedöma vilka uppgifter som kan hänföras till de strukturerade per- sonuppgifterna. Kort sammanfattning av vad som bör omfattas av en missbruksregel Sammanfattningsvis innebär förslaget att hanteringsreglerna i person- uppgiftslagen inte behöver tillämpas på sådan vardaglig hantering som produktion av löpande text i ordbehandlingsprogram, publicering av lö- pande text på Internet, användning av ljud- och bildupptagningar och korrespondens med e-post under förutsättning att materialet inte ingår i eller skall infogas i en databas med en personuppgiftsanknuten struktur såsom ett ärendehanteringssystem. Den som i sin dator vill hantera per- sonuppgifter i löpande text, t.ex. enkla meddelanden eller kortare och längre texter, eller i ljud och bild eller i e-post behöver således normalt inte tillämpa hanteringsreglerna i personuppgiftslagen. Detta kan sägas utgöra vad som inledningsvis benämndes som missbruksregelns kärnom- råde. Om man vill infoga materialet i någon form av databas behöver man dock göra ytterligare överväganden. Har databasen en personupp- giftsanknuten struktur, där just personuppgifter har markerats som såda- na, måste hanteringsreglerna tillämpas. Ett införande av en missbruksregel innebär naturligtvis inte att man skulle vara förhindrad att tillämpa hanteringsreglerna på en behandling av personuppgifter som i och för sig ryms inom missbruksregelns till- lämpningsområde. Om någon i ett enskilt fall är osäker på om hans eller hennes behandling av personuppgifter omfattas av det föreslagna undan- taget står det givetvis honom eller henne fritt att i stället välja att tillämpa hanteringsreglerna. Som utredningen har påpekat kan det nämligen inte anses vara fråga om ett missbruk av personuppgifterna om hanteringsreg- Prop. 2005/06:173 lerna faktiskt har följts. 8.2Behandlingen får inte innebära en kränkning av den registrerades personliga integritet Regeringens förslag: Behandling av personuppgifter i ostrukturerat material får inte utföras om den innebär en kränkning av den registre- rades personliga integritet. Utredningens förslag: Överensstämmer i sak med regeringens. Ut- redningen har dock föreslagit att rekvisitet otillbörligt intrång i den per- sonliga integriteten används. Remissinstanserna: En majoritet av remissinstanserna har inte haft något att invända mot utredningens förslag. Såväl Länsrätten i län som Justitiekanslern har haft vissa invändningar mot det före- slagna rekvisitet otillbörligt intrång i den personliga integriteten. Data- inspektionen påpekar att det kan bli en svår och känslig uppgift för in- spektionen att avgöra om en behandling av personuppgifter innebär ett otillbörligt intrång i den personliga integriteten. Juridiska fakultetsnämn- den vid menar att det är problematiskt att tillåtlig- heten av en stor del av alla personuppgiftsbehandlingar kommer att sty- ras av ett begrepp med så oklar innebörd som personlig integritet. Skälen för regeringens förslag Hur bör ett skydd för den personliga integriteten utformas? Att regeringen gjort bedömningen att behandling av personuppgifter i ostrukturerat material inte bör omfattas av hanteringsreglerna i person- uppgiftslagen innebär givetvis inte att regeringen anser att sådan behand- ling bör vara oreglerad. För det första skulle en sådan ordning inte vara förenlig med vare sig EG-direktivet om personuppgifter eller artikel 8 i (se avsnitt 4.2). En sådan ordning skulle heller inte vara önskvärd med hänsyn till det allmänna samhälleliga intresset och behovet av att skydda enskilda mot kränkningar av deras personliga in- tegritet. Det råder nämligen ingen tvekan om att behandling av person- uppgifter också i ett ostrukturerat material kan innebära en sådan kränk- ning, även om risken för kränkningar är mindre än när den digitala tekni- kens särskilda möjligheter till sammanställning, strukturering och sprid- ning av en stor mängd personuppgifter utnyttjas. Som beteckningen på den lagstiftningsmodell missbruksmodell som regeringen föreslagit antyder, måste det alltså även vid behandling av personuppgifter i ostrukturerat material finnas regler som skyddar den enskilde mot att hans eller hennes personuppgifter missbrukas. Regeringen delar utredningens bedömning att det inte är vare sig möj- ligt eller lämpligt att i lagen införa en uttömmande uppräkning av alla de fall av behandling av personuppgifter som kan utgöra missbruk av per- sonuppgifter och därmed en kränkning av en enskilds personliga integri- Ingen remissinstans har heller redovisat någon annan uppfattning. Vad som är tillåtet eller inte tillåtet bör i stället styras av en allmän be- stämmelse till skydd mot missbruk. Utredningen har valt att uttrycka det så att sådan behandling som un- dantas från hanteringsreglerna får utföras endast om den inte innebär ett otillbörligt intrång i den personliga integriteten. Såväl Justitiekanslern som Länsrätten i har haft invändningar mot det föreslag- na rekvisitet. Justitiekanslern har påtalat att skadestånd för otillbörligt intrång i den personliga integriteten är en nyhet i svensk rätt. Länsrätten i har å sin sida framhållit att det inte är lämpligt att an- vända sig av det begreppet eftersom motsvarande begrepp fanns i datala- gen och samma innebörd nu inte är avsedd. Regeringen kan väsentligen instämma i dessa invändningar. Som framgår av 1 § personuppgiftslagen är syftet med lagen att skydda människor mot att deras personliga integri- tet kränks genom behandling av personuppgifter. Vidare skall enligt 48 § i lagen skadestånd utgå för bl.a. kränkning av den personliga integriteten. Mot bakgrund härav framstår det som naturligt att knyta utformningen av missbruksregeln närmare till vad som är det grundläggande syftet med lagstiftningen, nämligen att skydda mot kränkningar. Missbruksregeln bör därför enligt regeringens mening utformas så att behandling av per- sonuppgifter som innebär en kränkning av den registrerades personliga integritet inte får utföras. Någon skillnad i sak jämfört med utredningens föreslagna formulering är inte avsedd. Vad kan utgöra en kränkning av den personliga integriteten? Innan regeringen övergår till att utveckla vad som kan utgöra en kränk- ning av den registrerades personliga integritet bör det slås fast att avsik- ten med den föreslagna regleringen inte är att automatiserad personupp- giftsbehandling skall bedömas som en kränkning av den personliga integ- riteten och därmed en överträdelse av personuppgiftslagen i större ut- sträckning än . Förutom att en sådan ordning skulle kunna hävdas vara en omotiverad inskränkning av informations- och yttrandefriheten och strida mot det grundläggande syftet med att införa en missbruksre- glering, skulle den också strida mot EG-direktivet om personuppgifter vars syfte är tvåfalt; dels att skydda fysiska personers privatliv, dels att främja det fria flödet av personuppgifter inom EU. får inte upp- ställa högre krav på behandlingen av personuppgifter eller tillåta mindre än vad EG-direktivet ger utrymme för eftersom detta skulle innebära en otillåten inskränkning av det fria flödet av personuppgifter. Som framgår av avsnitt 6.1 finns det inte i svensk lagstiftning någon definition av begreppet personlig integritet. Det är svårt att formulera en entydig och allmänt accepterad definition av begreppet. Regeringen finner inte anledning att i detta lagstiftningsärende söka slå fast en sådan definition. Mycket skulle heller inte vara vunnet med detta om man inte kunde fastställa t.ex. vilka beståndsdelar av den personliga in- tegriteten som bör skyddas, under vilka omständigheter så bör ske och i vilken omfattning. Detta är inte möjligt att göra på ett generellt plan utan man är hänvisad till att på mer eller mindre kasuistisk basis ta ställning till vad som omfattas av det skyddsvärda området. Det ligger i sakens natur att tillämpningen av en bestämmelse som den föreslagna får bygga på en intresseavvägning där den registrerades intresse av en fredad, pri- vat, sfär vägs mot andra motstående intressen i det enskilda fallet. Detta ligger också i linje med vad uttalat i det s.k. konfirmand- lärarmålet (dom i mål C-101/01, . 2003 s. I- 12971) om att det åligger de nationella myndigheterna och domstolarna att vid tolkning av de bestämmelser som genomför EG-direktivet i natio- nell lagstiftning göra en avvägning mellan olika intressen och inte grunda sig på en tolkning som skulle stå i strid med bl.a. de grundläggande rät- tigheter som skyddas genom gemenskapernas rättsordning. Som utgångspunkt för bedömningen av om en behandling av person- uppgifter innebär en kränkning av den registrerades personliga integritet kan tas bestämmelserna om grundläggande krav i 9 § och om när be- handling av personuppgifter är tillåten i 10 § personuppgiftslagen. Har dessa bestämmelser följts, trots att de i och för sig inte är tillämpliga på behandlingen, kan behandlingen inte betraktas som en kränkning. Det kan i vissa fall gälla även om behandlingen har omfattat känsliga person- uppgifter. Över huvud taget bör graden av känslighet hos de personupp- gifter som behandlas vara bara en faktor bland flera som bör beaktas vid en samlad bedömning. Omnämnandet t.ex. av att person A är förkyld och därför hemma från arbetet innefattar behandling av känsliga personupp- gifter (13 §, uppgift om hälsa) och skulle enligt nuvarande regler bedö- mas som en överträdelse av personuppgiftslagen för det fall inte någon av undantagssituationerna i 1419 §§ är för handen. Detta torde ytterst sällan, om ens i något fall, kunna bedömas som en kränkning av den re- gistrerades personliga integritet enligt den föreslagna missbruksregeln ens om uppgiften sprids via Internet. Bedömningen av vad som är en kränkning skall alltså inte göras schablonartat enbart utifrån vilka uppgifter som behandlas utan måste även ta sin utgångspunkt i t.ex. vilket sammanhang uppgifterna före- kommer, för vilket syfte de behandlas, vilken spridning de har fått eller har riskerat att få samt vad behandlingen kan leda till. Om uppgifter samlas in eller annars behandlas med syfte att förfölja el- ler skandalisera en person, får behandlingen givetvis anses innebära en kränkning av den personliga integriteten. Det kan exempelvis gälla pub- licering på Internet av bilder på en f.d. pojk- eller flickvän i eller utan badkläder eller av rent personliga detaljer om dennes beteende. Ett annat exempel som kan anföras är behandling, i form av t.ex. spridning, av uppgifter om meningsmotståndare i syfte att möjliggöra angrepp på dessa på grund av t.ex. deras politiska uppfattning, sexuella läggning eller et- niska ursprung. En enskild person torde ofta ha rätt att kräva att ingen har en i det när- maste fullständig kunskap om honom eller henne. Redan det förhållandet att en personuppgiftsansvarig samlar en stor mängd uppgifter om en per- son utan något godtagbart ändamål måste därför oftast ses som en kränk- ning av den personliga integriteten. Som exempel kan tas en hyresvärd som närmast av nyfikenhet samlar bilder på och anteckningar i löpande text om iakttagelser av en hyresgäst. Vidare får det oftast anses innebära en kränkning av den registrerades personliga integritet om den personuppgiftsansvarige medvetet behandlar personuppgifter som är klart felaktiga eller missvisande. Om skälet till att personuppgifterna behandlas i ostrukturerad form är att kringgå hanteringsreglerna för att på så sätt få behandla t.ex. uppgifter om lagöverträdelser, som man annars inte fått behandla, bör det med hänsyn till omständigheterna, t.ex. mängden uppgifter och syftet med behandlingen, kunna vara att betrakta som ett missbruk i missbruksre- gelns mening. De angivna riktlinjerna är relevanta inte bara för intern hantering hos den personuppgiftsansvarige utan också vid spridning av personuppgifter i automatiserad form. Riktlinjerna ger exempelvis skydd mot spridning utan godtagbart skäl av en stor mängd uppgifter om en person och mot medveten spridning av uppgifter som är klart felaktiga eller missvisande. Vad man dessutom skulle kunna överväga är om det behövs skydd mot spridning dels av uppgifter som innebär ett angrepp på någons heder och ära, dels av förtroliga eller djupt personliga uppgifter. I fråga om angrepp på annans heder och ära finns det redan allmängil- tiga regler om förtal och förolämpning. Förtal innebär enligt 5 kap. 1 § första stycket att utpeka någon som brottslig eller klander- värd i sitt levnadssätt eller annars lämna uppgift som är ägnad att utsätta denne för andras missaktning. Enligt andra stycket i samma paragraf skall det dock inte dömas för förtal, om den som lämnat uppgifterna var skyldig att uttala sig eller det annars med hänsyn till omständigheterna var försvarligt att lämna denna uppgift i saken och han eller hon dessut- om visar att uppgiften var sann eller att han eller hon hade skälig grund för den. Förolämpning innebär enligt 5 kap. 3 § att smäda annan genom kränkande tillmäle eller beskyllning eller genom annat skymfligt beteende mot denne. En spridning av personuppgifter som innebär förtal eller förolämpning är givetvis att betrakta som en kränkning av den personliga integriteten i den föreslagna missbruksregelns mening. Regeringen delar utredningens bedömning att det härutöver inte behövs några särskilda regler till skydd mot angrepp på heder och ära vid just automatiserad behandling av per- sonuppgifter i ostrukturerat material. Beträffande spridning av förtroliga eller djupt personliga uppgifter finns det redan i viss utsträckning författningsbestämmelser och etiska regler eller motsvarande som föreskriver tystnadsplikt i fråga t.ex. om uppgifter om personliga förhållanden. Dessa regler kan sägas ge uttryck för vilka förhållanden som bör hemlighållas. En spridning av personupp- gifter som innebär brott mot sådana bestämmelser och riktlinjer bör i de flesta fall anses utgöra en kränkning av den personliga integriteten i missbruksregelns mening. Något allmänt skydd mot spridning genom automatiserad behandling eller på annat sätt, t.ex. manuellt eller muntligen av förtroliga eller djupt personliga uppgifter, som inte innebär förtal, finns däremot inte utan här råder det öppenhet, yttrande- och informationsfrihet. Det finns enligt regeringens mening inte anledning att i det här sammanhanget se annorlunda på automatiserad spridning av sådana personuppgifter i ostrukturerat material än på muntlig eller spridning. Avsikten med missbruksregeln är således inte att tillskapa ett generellt skydd mot vad som i dagligt tal i och för sig kan betecknas som en kränkning av den personliga integriteten. Detta ligger i linje med vad regeringen i inled- ningen av detta avsnitt har framhållit, nämligen att avsikten med den fö- reslagna ändringen inte är att fler förfaranden än skall komma att bedömas som överträdelser av personuppgiftslagen. De riktlinjer som redovisats i det föregående kan sammanfattas enligt följande. Behandla inte personuppgifter för otillbörliga syften, såsom för- följelse eller skandalisering. Samla inte utan godtagbara skäl en stor mängd uppgifter om en person. Rätta personuppgifter som visar sig vara felaktiga eller missvisan- de. Förtala eller förolämpa inte någon annan. Bryt inte mot sekretess eller tystnadsplikt. Det är således i praktiken fråga om några ganska enkla och självklara handlingsregler, varav flera redan följer av annan lagstiftning. Det är na- turligtvis alltid svårt att göra schablonmässiga bedömningar av vad som skall anses utgöra en kränkning av den personliga integriteten. Som re- geringen framhållit i det föregående är det i slutändan en fråga för rättstillämpningen att i varje enskilt fall, med beaktande av samtliga om- ständigheter, väga det intrång som kan ha skett i den personliga integrite- ten mot eventuella motstående intressen. 8.3Förslagets förenlighet med EG-direktivet om skydd för personuppgifter 8.3.1Möjligheter till undantag enligt EG-direktivet EG-direktivet om skydd för personuppgifter lämnar ett förhållandevis stort handlingsutrymme till medlemsstaterna att under vissa förutsätt- ningar göra undantag från och modifiera en rad av direktivets bestäm- melser. I det följande redovisar regeringen de artiklar som är av särskilt intresse i detta sammanhang.