prop · GT03173 · 2006-03-21 00:00:00 — Regeringens proposition 2005/06:173 Regeringen överlämnar denna proposition till . I propositionen föreslås reformer som syftar till att underlätta behand- lingen av personuppgifter. Personuppgiftslagen utformas i viss utsträck- ning enligt en missbruksmodell. Den innebär att regleringen inte tar sikte på själva hanteringen av personuppgifterna utan på att uppgifterna inte får missbrukas till skada för någons personliga integritet. Behandling av personuppgifter i ostrukturerat material, t.ex. löpande text och enstaka ljud- och bildupptagningar, skall undantas från de flesta av personupp- giftslagens detaljerade hanteringsregler. Sådan behandling skall vara till- låten utan andra restriktioner än att den registrerades personliga integritet inte får kränkas. Personuppgiftslagens bestämmelser om skadestånd skall gälla även för förfaranden i strid med den föreslagna missbruksregeln. Vidare skall det vara straffbart att i strid med missbruksregeln uppsåtligen eller av grov oaktsamhet behandla känsliga personuppgifter och uppgifter om lagöver- trädelser m.m. på ett sätt som kränker den registrerades personliga integ- ritet. Detsamma skall gälla för den som i strid med missbruksregeln för över personuppgifter till tredje land som saknar en adekvat nivå för skyddet av personuppgifter. Straffskalan skall vara densamma som för övriga brott enligt personuppgiftslagen. Gärningar som begås av oaktsamhet av normalgraden skall inte längre vara straffbara. I personuppgiftslagen införs en bestämmelse om att vissa beslut enligt lagen som fattats av myndigheter skall kunna överklagas till allmän för- valtningsdomstol. Prövningstillstånd skall krävas vid överklagande till kammarrätt. Vidare införs ett bemyndigande för regeringen att meddela föreskrifter om sådana undantag som är tillåtna enligt artikel 13.1 i EG-direktivet om personuppgifter. I propositionen görs bedömningen att förslagen är förenliga med EG- direktivet om personuppgifter (95/46/EG). Lagändringarna föreslås träda i kraft . Förslag till riksdagsbeslut.................................................................. Förslag till lag om ändring i personuppgiftslagen (1998:204) .......... Ärendet och dess beredning............................................................... Allmänt om den rättsliga regleringen av behandling av EG-direktivet om personuppgifter .................................... Steg mot en missbruksmodell.......................................................... 5.1Vad avses med en missbruksmodell respektive 5.2Uttalanden från regeringen och i samband med genomförandet av EG-direktivet om 5.3Vidtagna åtgärder i syfte att åstadkomma en mer Allmänt om begreppet personlig integritet ....................... 6.2Särskilt om personlig integritet vid automatiserad behandling av personuppgifter.......................................... Vardaglig behandling av personuppgifter underlättas..................... 8.1Missbruksmodell för personuppgiftsbehandling i 8.2Behandlingen får inte innebära en kränkning av den registrerades personliga integritet ..................................... 8.3Förslagets förenlighet med EG-direktivet om skydd för 8.3.1Möjligheter till undantag enligt EG- 8.3.2Missbruksregeln är förenlig med EG- 8.4Vilka bestämmelser i personuppgiftslagen bör undantaget omfatta?.......................................................... Skadestånd, straff och tillsyn ............................................ Avkriminalisering av oaktsamhet av Ingen ändring av skyldigheten att lämna registerutdrag avseende behandlingar i Överklagande av myndighetsbeslut .................................. 9.4Undantag enligt artikel 13 i EG-direktivet om Artikel 13 i EG-direktivet............................... Rätt för regeringen att i fall som avses i artikel 13 i EG-direktivet föreskriva om Ikraftträdande- och övergångsbestämmelser................................... Bilaga 1 Sammanfattning av betänkande översyn av personuppgiftslagen (SOU 2004:6) .62 Förteckning över remissinstanser (SOU 2004:6) .................. Utdrag ur protokoll vid regeringssammanträde ......... Regeringen föreslår att antar regeringens förslag till lag om ändring i personuppgiftslagen (1998:204). Förslag till lag om ändring i personuppgifts- lagen (1998:204) Härigenom föreskrivs i fråga om personuppgiftslagen (1998:204) dels att 7, 49 och 51 §§ skall ha följande lydelse, dels att det i lagen skall införas fyra nya paragrafer, 5 a, 8 a, 52 och 53 §§, samt närmast före 5 a och 8 a §§ nya rubriker, av följande lydelse. Undantag för behandling av per- sonuppgifter i ostrukturerat ma- Bestämmelserna i 9, 10, 1319, 2126, 28, 33, 34 och 42 §§ behö- ver inte tillämpas på behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sam- manställning av personuppgifter. Sådan behandling som avses i första stycket får inte utföras, om den innebär en kränkning av den registrerades personliga integritet. Bestämmelserna i denna lag tillämpas inte i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsför- ordningen eller yttrandefrihetsgrundlagen. Bestämmelserna i 929 och 33 Bestämmelserna i 5 a, 929 och 44 §§ samt 45 § första stycket och 3344 §§ samt 45 § första stycket 4749 §§ skall inte tillämpas på och 4749 §§ skall inte tillämpas sådan behandling av personuppgif- på sådan behandling av person- ter som sker uteslutande för jour- uppgifter som sker uteslutande för nalistiska ändamål eller konstnär- journalistiska ändamål eller konst- ligt eller litterärt skapande. närligt eller litterärt skapande. Föreskrifter om undantag från Regeringen får meddela före- skrifter om undantag från 9, 2326 och 28 §§ samt 29 § andra stycket och 42 §, om det är nödvändigt Till böter eller fängelse eller, om brottet är grovt, till fängelse i högst döms den som uppsåtligen eller av oaktsamhet a)lämnar osann uppgift i sådan information till registrerade som föreskrivs i denna lag, i anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär information enligt 43 §, b)behandlar personuppgifter i strid med 1321 §§, c)för över personuppgifter till tredje land i strid med 3335 §§, eller d)låter bli att göra anmälan en- ligt 36 § första stycket eller enligt föreskrifter meddelade med stöd av 41 §. a) rikets säkerhet, b)försvaret, c)allmän säkerhet, d)förebyggande, undersökning eller avslöjande av brott eller av överträdelse av etiska regler som gäller för lagreglerade yrken, e)åtal för brott, f)ett viktigt ekonomiskt eller fi- nansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen, g)myndighetsutövning som av- ser tillsyn, inspektion eller regler- ing i fråga om sådant som nämns i cf, eller h)skyddet av fri- och rättighe- Till böter eller fängelse eller, om brottet är grovt, till fängelse i högst döms den som uppsåtligen eller av grov oaktsamhet a)lämnar osann uppgift i sådan information till registrerade som föreskrivs i denna lag, i anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär information enligt 43 §, b)behandlar personuppgifter i strid med 1321 §§, c)för över personuppgifter till tredje land i strid med 3335 §§, d)låter bli att göra anmälan en- ligt 36 § första stycket eller enligt föreskrifter meddelade med stöd av 41 §, e)behandlar sådana person- uppgifter som avses i 13 och 21 §§ istrid med 5 a § andra stycket, eller f)i strid med 5 a § andra stycket för över personuppgifter till tredje land som inte har en sådan ade- kvat nivå för skyddet av person- 1 Senaste lydelse 1999:1210. uppgifterna som avses i 33 §. I ringa fall döms inte till ansvar. Den som överträtt ett vitesföreläggande enligt 44 § eller 45 § första stycket döms inte till ansvar för en gärning som omfattas av vitesföreläg- gandet. beslut enligt denna lag om annat än föreskrifter får överklagas hos allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. får bestämma att dess beslut skall gälla även om det överklagas. En myndighets beslut om infor- mation enligt 26 §, om rättelse och underrättelse till tredje man enligt 28 §, om information enligt 29 § andra stycket och om upplysningar enligt 42 § får överklagas hos all- män förvaltningsdomstol. Första stycket gäller inte för be- slut av , regeringen eller ombudsmän. Andra beslut enligt denna lag än sådana som avses i 47, 51 och 52 §§ får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. Denna lag träder i kraft . Föreskrifterna i 52 § skall dock inte tillämpas i fråga om överklagande av beslut som har meddelats före ikraftträdandet. Ärendet och dess beredning Efter beslut av regeringen tillkallades en särskild utredare med uppgift att se över personuppgiftslagen (1998:204) i syfte att, inom ramen för EG-direktivet om personuppgifter (Europaparlamen- tets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter), åstadkomma ett regelverk som i större utsträckning än tar sikte på att reglera missbruk av person- uppgifter. I den utsträckning det med hänsyn till EG-direktivet är möjligt med lättnader i hanteringsreglerna skulle utredaren föreslå de bestäm- melser som är nödvändiga för att förhindra missbruk av personuppgifter och andra obefogade intrång i den personliga integriteten. Utredaren skulle också överväga behovet av en ändring i 7 kap. 16 § sekretesslagen (1980:100), som hänvisar till personuppgiftslagen, samt ett förtydligande av hur myndigheters beslut enligt personuppgiftslagen kan överklagas. Utredningen, som antog namnet , pre- senterade betänkandet Översyn av personuppgiftslagen, SOU 2004:6. Utredningens sammanfattning av betänkandet finns i bila- ga 1. Utredningens lagförslag finns i bilaga 2. Utredningens betänkande har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3. En sammanställning av remissvaren finns tillgänglig i (dnr Ju2004/1417/L6). I denna proposition behandlar regeringen bl.a. utredningens förslag till missbruksmodell för viss personuppgiftsbehandling. Utredningens för- slag och bedömningar när det gäller offentlighetsprincipens och sekre- tesslagens förhållande till personuppgiftslagen tas inte upp . Regering- en avser att återkomma till de frågorna i ett annat sammanhang. Denna proposition bygger på en överenskommelse mellan den social- demokratiska regeringen, och . Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 4. Lagrådets yttrande finns i bila- ga 5. Lagrådets synpunkter på förslagen behandlas i avsnitt 8 och i för- fattningskommentaren. Regeringen har i allt väsentligt följt Lagrådets förslag. Därutöver har vissa redaktionella ändringar gjorts. 4Allmänt om den rättsliga regleringen av be- handling av personuppgifter Den grundläggande bestämmelsen om integritetsskyddet vid automatise- rad behandling av personuppgifter finns i 2 kap. 3 § andra stycket reger- ingsformen. Enligt den bestämmelsen skall varje medborgare i den ut- sträckning som anges i lag skyddas mot att hans eller hennes personliga integritet kränks genom att uppgifter om honom eller henne registreras Prop. 2005/06:173 med hjälp av automatisk databehandling. regler finns huvudsakligen i personuppgiftslagen, genom vilken EG- direktivet om personuppgifter har genomförts. Den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna () gäller som lag i . Artikel 8 har betydelse för myndigheters rätt att behandla per- sonuppgifter. Där stadgas att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till vissa uppräknade motstående intressen. Primärt innebär artikel 8 att staten skall avhålla sig från ingrepp i den skyddade rättigheten, utom i de fall som omfattas av de i artikeln före- skrivna undantagen. Artikelns räckvidd är dock inte begränsad i detta avseende utan staten är också i viss mån skyldig att vidta positiva åtgär- der för att skydda den enskildes privata sfär. Sådana positiva åtgärder kan utgöras av lagstiftning men också av skydd mot övergrepp i särskilda situationer. antogs och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EG- direktivet om personuppgifter). EG-direktivets syfte är att skapa en ge- mensam hög nivå på integritetsskyddet för att därigenom möjliggöra ett fritt flöde av personuppgifter mellan medlemsstaterna. Medlemsstaterna får inom den ram som ges i direktivet närmare precisera villkoren för när personuppgifter får behandlas. Dessa preciseringar får dock inte hindra det fria flödet av personuppgifter inom Europeiska unionen. EG-direktivet innehåller en rad materiella bestämmelser som reglerar all hantering av personuppgifter och är därmed utformat enligt en s.k. hanteringsmodell (mer om olika regleringsmodeller i avsnitt 5.1). I direk- tivet finns bl.a. generella regler om vilka krav som ställs vid behandling av personuppgifter, när sådan behandling är tillåten, information till den registrerade, rättelse av personuppgifter, säkerheten vid behandlingen och överföring av personuppgifter till tredje land, dvs. till en stat utanför EU och EES. EG-direktivet gäller inte för sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av EG-rätten, t.ex. statens verksamhet på straffrättens område eller som rör allmän säkerhet och försvar. Det gäller heller inte för sådan behandling av personuppgifter som utförs av en fysisk person som ett led i en verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll. EG-direktivet om personuppgifter har i genomförts genom bl.a. personuppgiftslagen (prop. 1997/98:44, bet. 1997/98:KU18, rskr. 1997/98:180, SFS 1998:204). Lagen är, liksom EG-direktivet, teknikoberoende och tillämpas på så- väl automatiserad behandling av personuppgifter som på be- handling av personuppgifter om de är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sam- manställning efter särskilda kriterier (manuellt register). Vid genomförandet ansåg regeringen att det inte var möjligt att uppfyl- la skyldigheten att genomföra EG-direktivet på annat sätt än genom att införa en lagstiftning enligt EG-direktivets hanteringsmodell (prop. 1997/98:44 s. 36 ff.). Personuppgiftslagen följer därför i stora delar EG- direktivets text och struktur med följd att lagstiftningen i princip reglerar all hantering av personuppgifter oavsett om hanteringen i det enskilda fallet kan sägas utgöra ett missbruk av uppgifterna och därmed en kränk- ning av den registrerades personliga integritet. I likhet med direktivet gäller personuppgiftslagen inte för sådan be- handling som utförs som ett led i en verksamhet av rent privat natur. Till skillnad från direktivet har personuppgiftslagen däremot gjorts generellt tillämplig på så sätt att den omfattar även sådant som faller utanför EG- rätten. Avvikande bestämmelser i lag eller förordning gäller dock fram- för personuppgiftslagen. Man valde alltså att behålla den sedan datala- gens tid gällande svenska ordningen med en generell skyddslagstiftning och nödvändiga särregler i särskilda författningar. Personuppgiftslagen trädde i kraft . Enligt lagens övergångsbestämmelser (punkt 2) gällde dock datalagen (1973:289) till och med för sådan automatiserad behandling som påbörjats före personuppgiftslagens ikraftträdande. För viss be- handling av personuppgifter skall vissa bestämmelser i personuppgiftsla- gen inte börja tillämpas förrän (punkt 3 i övergångs- bestämmelserna). För sådan behandling har således personuppgiftslagen ännu inte börjat gälla fullt ut. Bestämmelser om automatiserad behandling av personuppgifter finns även i konvention om skydd för enskilda vid au- tomatisk databehandling av personuppgifter (dataskyddskonventionen). Konventionen kan ses som en precisering av skyddet för bl.a. privatlivet enligt artikel 8 i såvitt avser användning av automa- tisk databehandling. Konventionens tillämpningsområde är enligt huvudregeln automatise- rade personregister och automatisk databehandling av personuppgifter i allmän och enskild verksamhet. Varje konventionsstat kan dock göra vissa allmänna inskränkningar eller utvidgningar i tillämpningsområdet för konventionen i dess helhet. Enligt artikel 9 i konventionen får avvikelser göras från de viktigaste materiella bestämmelserna i konventionen. Sådana avvikelser skall fin- nas i lag och vara nödvändiga i ett demokratiskt samhälle för att bl.a. Prop. 2005/06:173 skydda den registrerades eller andra personers fri- och rättigheter. Dataskyddskonventionens roll i och i övriga EU har i princip övertagits av dataskyddsdirektivet inom dess tillämpningsområde i och med att direktivet införlivats i medlemsländernas nationella rätt. 5 Steg mot en missbruksmodell 5.1Vad avses med en missbruksmodell respektive han- teringsmodell? Begreppen missbruksmodell och hanteringsmodell introducerades i fö- rarbetena till personuppgiftslagen (SOU 1997:39 s. 179 ff. och prop. 1997/98: 44 s. 36 f.). Förenklat uttryckt reglerar en lagstiftning uppbyggd enligt en hanter- ingsmodell själva hanteringen av personuppgifter oavsett om hanteringen kan betecknas som harmlös eller känslig från integritetssynpunkt. Regler- ingen omfattar all användning av personuppgifter oavsett syfte, omfatt- ning och art. I en sådan modell finns därmed regler om hur personuppgif- ter skall hanteras från det att de samlas in till dess de utplånas. En reglering enligt en missbruksmodell koncentrerar sig i stället på så- dant utnyttjande av personuppgifter som kan karakteriseras som ett miss- bruk. Så länge inte personuppgifterna missbrukas på så sätt att den per- sonliga integriteten kränks är behandlingen tillåten. De som förespråkar en sådan modell brukar utgå från att själva hanteringen av personuppgif- terna skall vara i det närmaste fri. Det väsentliga i den modellen blir i stället att identifiera vilken användning av personuppgifter som utgör ett sådant missbruk att den bör förbjudas, dvs. i första hand skadeståndsbe- läggas eller kriminaliseras. 5.2Uttalanden från regeringen och i samband med genomförandet av EG-direktivet om personupp- gifter Vid genomförandet av EG-direktivet konstaterade regeringen att den då föreslagna hanteringsmodellen framstod som omodern (prop. s. 37). Mycket av den användning av personuppgifter som den ökade datoriseringen har medfört måste enligt regeringen betraktas som harm- Allt fler medborgare har tillgång till dator samt e-post och annan kommunikation i världsomspännande nätverk, såsom Internet. en ansåg därför att det finns starka skäl att verka för att det blir möjligt att gå från en lagstiftning efter en hanteringsmodell till en mer miss- bruksinriktad lagstiftning, dvs. en reglering som mer koncentrerar sig på att motverka missbruk av personuppgifter. Även har understrukit behovet av dels en revidering av EG-direktivet, dels en översyn av personuppgiftslagen. samband med att behandlade motioner från den allmänna mo- tionstiden hemställde i ett tillkännagivande till regering- en (bet. 1998/99:KU15, rskr. 1998/99:147) att regeringen med kraft bör Prop. 2005/06:173 verka inom EU för att EG-direktivet revideras samt tillse att en översyn av personuppgiftslagen kommer till stånd med syfte att, så långt det är möjligt inom EG-direktivets ram, åstadkomma en förändring av lagstift- ningen i riktning mot ett regelverk som tar sikte på missbruk av person- uppgifter. har därefter vid ett flertal tillfällen hänvisat till sina tidigare uttalanden samt understrukit vikten av att regeringen fortsätter arbetet såväl inom EU som nationellt med att få till stånd en mer miss- bruksinriktad reglering (bet. 1999/2000:KU7, rskr.1999/2000:51, bet. 2000/01:KU19, bet. 2001/02:KU22). 5.3Vidtagna åtgärder i syfte att åstadkomma en mer missbruksinriktad regleringsmodell Regeringen har vidtagit en rad åtgärder i syfte att få till stånd en mer missbruksinriktad regleringsmodell. Redan i samband med att person- uppgiftslagen trädde i kraft gav regeringen i upp- drag att bl.a. utreda det närmare behovet av att göra undantag från förbu- det i 33 § personuppgiftslagen när det gäller vissa överföringar av per- sonuppgifter till tredje land, t.ex. vid behandling av personuppgifter på Internet. lade regeringen fram förslag till ändringar i personuppgiftslagens överföringsregler och straffbestämmelser (prop. 1999/2000:11). Dessa antogs av (bet. 1999/2000:KU7, rskr. 1999/2000:51) och trädde i kraft (SFS 1999:1210). Vidare har regeringen per ändrat personuppgiftsför- ordningen (1998:1191) för att underlätta för kommuner och landsting att publicera personuppgifter på Internet. Per har reger- ingen också gjort ändringar i förordningar för att underlätta dels myndig- heters behandling av känsliga personuppgifter i löpande text, dels arkiv- myndigheternas hantering av bestämmelserna i personuppgiftslagen om registerutdrag. Ett antal s.k. registerförfattningar med modifieringar av bestämmelserna i personuppgiftslagen har också utarbetats. Lagstift- ningsarbetet har sammantaget medfört att skyddet för personuppgifter i högre grad än tidigare inriktas på de förfaranden som medför mer bety- delsefulla integritetsrisker och att lagstiftningen i viss utsträckning kan sägas ha närmat sig en sådan missbruksinriktad regleringsmodell som och regeringen förespråkat. presenterade ett utkast med förslag till ändring i EG-direktivet (Ju 2000/4977/L6). Den föreslagna ändringen syftar till en förenklad reglering av skyddet för personuppgif- ter och är inriktad på att förhindra missbruk av sådana uppgifter. Samti- digt bjöd departementet in representanter för riksdagspartierna att ingå i en samrådsgrupp om direktivet. För att få in synpunkter på eventuella tillämpningsproblem som direk- tivet orsakat utarbetade vidare en enkät för en of- fentlig utvärdering av direktivet och utkastet till missbruksmodell. Enkä- ten remitterades till myndigheter, organisationer och företag och kunde också besvaras av var och en via Internet. Enkätsvaren har sammanställts i promemorian EG-direktivet om personuppgifter En offentlig utvärde- ring (Ds 2001:27). Av sammanställningen framgår bl.a. att Justitiedepar- tementets utkast till missbruksmodell fick ett överväldigande positivt Prop. 2005/06:173 gensvar. Den offentliga utvärderingen visade också att det finns en bety- dande osäkerhet om hur nuvarande bestämmelser i personuppgiftslagen skall tillämpas. Åtgärder har också vidtagits på internationell nivå. Således tog bl.a. initiativ till en seminarieserie med företrädare för EG- kommissionen och medlemsstaterna för att bl.a. diskutera tillämpnings- problem. har också tagit upp behovet av ändringar mot en mer missbruksinriktad modell inom ramen för arbete. har vidare tillsammans med , och Fin- land utarbetat förslag till lättnader i direktivet och presenterat dessa för i en gemensam skrivelse (dnr EUJu 2002/2852/L6). har dessutom i olika sammanhang under hand till EG- kommissionen framfört sina önskemål om en revidering av direktivet i riktning mot en missbruksmodell. 6.1Allmänt om begreppet personlig integritet Syftet med personuppgiftslagen är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter (1 §). Begreppet personlig integritet är dock inte definierat i vare sig person- uppgiftslagen eller EG-direktivet. Inte heller på annat håll i svensk lag- stiftning finns det någon definition av begreppet. I olika utredningar (se t.ex. betänkande