prop · GT03173 · 2006-03-21 00:00:00 — Den slutsatsen grundas främst på bedömningen att hantering av sådant ostrukturerat material utgör ett utnyttjande av en sådan fri- och rättighet yttrande- eller informationsfriheten som avses i artikel och att det är ett viktigt allmänt intresse i den mening som avses i artikel 8.4 och 26.1 d att detta utnyttjande av fri- och rättigheter inte hindras i samhället. Såväl utredningen som en del remissinstanser har framhållit att den bedömningen och vissa anslutande bedömningar avseende t.ex. beskaf- fenheten av skyddsåtgärder inte är alldeles självklar och kan sättas i fråga. Även Lagrådet har uttryckt tveksamhet inför den nya tolkningen av direktivet, framför allt beträffande artikel . Eftersom EG-direktiv saknar egentliga förarbeten finns det inga direkta hållpunkter för tolkningen av direktiv förutom själva texten i direktivet, inklusive ingressen. Mot bakgrund bl.a. härav är det naturligtvis svårt att med någon nämnvärd säkerhet uttala sig om den tolkning som redovisats i det föregående är oantastlig ur ett EG-rättsligt perspektiv. Enligt EG:s rättsordning är det dessutom som är exklusivt behörig att göra auktoritativa uttalanden om . Utöver vad som redan anförts till stöd för den tolkning som gjorts kan dock även följande fram- hållas. Sedan EG-direktivet trädde i kraft har en närmast explosionsartad ut- veckling inom informationsteknologin ägt rum. De dataskyddsprinciper som ligger bakom många av hanteringsreglerna i direktivet utarbetades innan datortekniken blivit en vardagsteknik som snart varje medborgare hanterar i det närmaste för bl.a. kommunika- tion och spridning av information. Att man vid tolkningen av direktivet kan ta hänsyn till nya användningsområden för informationsteknik och till att tekniken fått en utbredd användning framgår av dom i det s.k. konfirmandlärarmålet (dom i mål C-101/01, . 2003 s. I-12971). Målet rörde behandling av känsliga personuppgifter på Internet. Fråga var bl.a. om en sådan behandling in- nebar en överföring av personuppgifter till tredje land i direktivets me- ning. uttalade bl.a. följande. 68 Med hänsyn dels till det stadium på vilket Internets utveckling befann sig då direktiv /46 utarbetades, dels till att det inte i kapitel IV i direktivet föreligger några kriterier som är tillämpliga på Internetanvändning kan det inte presumeras att gemenskapslagstiftaren hade för avsikt att med tanke låta inskrivning av en person i [konfirmandlärarens] situation av uppgifter på en hemsida på Internet omfattas av begreppet överföring av uppgif- ter till tredje land, även om dessa på detta sätt blir åtkomliga för sådana personer i tredje land som har de tekniska möjligheterna att få tillgång till hemsidan. Mot bakgrund av detta resonemang konstaterade att di- rektivet skulle tolkas så att den behandling som var aktuell i målet inte utgjorde en överföring av personuppgifter till tredje land. vidare stöd för att direktivet skall tolkas med viss flexibilitet, särskilt när Prop. 2005/06:173 det gäller skyddet för grundläggande fri- och rättigheter. staterade nämligen även bl.a. att direktivet innehåller regler som kan ka- raktäriseras av en viss tänjbarhet och att man, som pekats på i föregående avsnitt, vid en tolkning av direktivet måste göra en avvägning av olika intressen samt inte tolka direktivet på ett sätt som skulle stå i strid med bl.a. de grundläggande rättigheter som skyddas genom gemenskapens rättsordning. Även uttalanden från kommissionen torde kunna anföras till stöd för den tolkning av direktivet som regeringen har gjort. Som nämnts i avsnitt 5.3 har i olika sammanhang under hand till framfört sina önskemål om en revidering av direktivet i riktning mot en missbruksmodell. har i sin rapport om genomförandet av EG-direktivet (KOM [2003] 265 slutlig) slagit fast att det av olika anledningar är olämpligt att lägga fram förslag om ändringar av direkti- vet , men under rubriken vet av en rimlig och flexibel tolkning uttryckligen berört öns- kemål enligt följande (s. 16). Enligt artikel 5 i direktivet ska medlemsstaterna inom de begränsningar som bestämmelserna i kapitel II (artiklarna 621) innebär, precisera på vilka villkor behandling av personuppgifter är tillåten. I detta avseende uppmärksammar kommissionen den oro som uttryckte inom ramen för den pågående översynen av landets lagstiftning när det gäller tillämpningen av dataskydds- principer på löpande text eller ljud- eller bilduppgifter. Kommissionen anser att förenklade villkor för databehandling då det inte är troligt att sådan behandling skapar någon inte avsevärd risk för den enskildes rättigheter bättre kan uppnås genom att göra bruk av det handlingsutrymme som direktivet ger, i synnerhet de möjligheter som ges i artiklarna 7 f, 9 och 13. 8.4Vilka bestämmelser i personuppgiftslagen bör undan- taget omfatta? Regeringens förslag: Vid behandling av personuppgifter i ostrukture- rat material behöver inte följande bestämmelser i personuppgiftslagen tillämpas. Grundläggande krav på behandlingen av personuppgifter (9 §) När behandling av personuppgifter är tillåten (10 §) Förbud mot behandling av känsliga personuppgifter (13 §19 §§) Uppgifter om lagöverträdelser (21 §) Behandling av personnummer (22 §) Information till den registrerade (23 26 §§) Rättelse (28 §) Förbud mot överföring av personuppgifter till tredje land (33 och 34 §§) Upplysningar till allmänheten om behandlingar som inte anmälts (42 §) Regeringens bedömning: Det bör i förordning göras undantag från skyldigheten att göra anmälan till tillsynsmyndigheten såvitt avser be- handling av personuppgifter i ostrukturerat material. Utredningens förslag: Överensstämmer i huvudsak med regeringens. 2005/06:173 Utredningen har dock inte föreslagit att undantag skall göras från 22 och Remissinstanserna: Ingen remissinstans har haft något att invända mot att undantag görs från de hanteringsregler som utredningen har före- slagit. Däremot anser en majoritet av remissinstanserna, bl.a. ombudsmän, i , Länsrätten i , , , advokatsam- fund, Svenskt näringsliv och , att undantag även bör göras från skyldigheten att lämna information (registerutdrag) enligt 26 § personuppgiftslagen. Skälen för regeringens förslag och bedömning Bestämmelser i personuppgiftslagen som det är möjligt att göra undantag från I föregående avsnitt har regeringen redovisat sin bedömning av i vilken utsträckning det är möjligt att göra undantag från hanteringsreglerna i EG-direktivet. Mot bakgrund av den analysen är det, som utredningen kommit fram till, möjligt att göra undantag från följande bestämmelser i personuppgiftslagen. a)9 § om grundläggande krav på behandlingen av personuppgifter, b)10 § om när behandling av personuppgifter är tillåten, c)13 § om förbud mot behandling av känsliga personuppgifter, d)21 § om förbud för andra än myndigheter att behandla personupp- gifter om lagöverträdelser m.m., e)22 § om restriktioner för behandling av uppgifter om personnummer och samordningsnummer, f)23 och 24 §§ om information till den registrerade i samband med att personuppgifter samlas in, g)26 § om information som skall lämnas efter ansökan (s.k. register- utdrag), h)28 § om rättelse, i)33 § om förbud mot överföring av personuppgifter till tredje land, j)36 § om anmälan till tillsynsmyndigheten, och k)42 § om upplysningar till allmänheten om behandlingar som inte anmälts till tillsynsmyndigheten. Det står enligt regeringens mening klart att punkterna a,c, d, f i och j i uppräkningen (avseende 9, 13, 21, 23, 24, 33 och 36 §§ personuppgifts- lagen) avser sådana hanteringsregler som undantaget bör omfatta. Det är fråga om regler som den personuppgiftsansvarige på eget initiativ har att iaktta och uppfylla och som anger när och hur personuppgifter får be- handlas. Reglerna i punkterna g, h och k i uppräkningen (avseende 26, 28 och 42 §§ personuppgiftslagen) är emellertid av en något annan natur. Det är nämligen fråga om regler som den personuppgiftsansvarige bara behöver beakta när någon begär det i ett enskilt fall. Reglerna är således i allmän- het inte lika betungande för den personuppgiftsansvarige, eftersom han eller hon inte behöver beakta dem vid den dagliga hanteringen av ostruk- turerat material. Man bör därför, precis som utredningen har gjort, sär- skilt överväga om dessa regler bör omfattas av undantaget. Därutöver kommer regeringen i det följande att särskilt kommentera reglerna i punkterna b och e (avseende 10 och 22 § personuppgiftslagen). Enligt 28 § personuppgiftslagen är den personuppgiftsansvarige skyldig att på begäran av den registrerade bl.a. rätta sådana personuppgifter som har behandlats i strid med personuppgiftslagen eller föreskrifter som har meddelats med stöd av lagen. Det kan naturligtvis vara av väsentligt in- tresse för den registrerade att felaktiga personuppgifter på begäran korri- geras även i ostrukturerat material. Att den personuppgiftsansvarige fort- sätter att behandla direkt felaktiga personuppgifter trots att den registre- rade har begärt rättelse får dock i regel betraktas som en sådan behand- ling som inte är tillåten enligt den föreslagna missbruksregeln. Som re- geringen angett i avsnitt 8.2 får det nämligen anses innebära en kränk- ning av den registrerades personliga integritet om den personuppgiftsan- svarige medvetet behandlar personuppgifter som är klart felaktiga eller missvisande. Mot bakgrund härav anser regeringen, i likhet med utred- ningen, att undantag bör kunna göras också från bestämmelsen om rättel- se i 28 §. Regeringen instämmer vidare i utredningens bedömning att undantag bör göras från skyldigheten enligt 42 § personuppgiftslagen att på begäran lämna upplysningar till allmänheten om behandlingar. Den skyldigheten kan inte anses bidra till integritetsskyddet i någon nämnvärd omfattning eller ha en sådan praktisk betydelse för de registrerade att det uppväger besväret för den personuppgiftsansvarige att lämna upplysningarna. Vad därefter gäller skyldigheten enligt 26 § personuppgiftslagen att efter ansökan lämna ett s.k. registerutdrag till den registrerade kan följande anföras. Utredningens bedömning att man inte bör göra undantag från denna skyldighet har mött en i det närmaste enig remisskritik. Många remissinstanser menar att i praktiken är detta en av de mest betungande hanteringsreglerna för de personuppgiftsansvariga. Som skäl för att göra undantag även från skyldigheten att lämna registerutdrag har vissa re- missinstanser anfört att en del av den lättnad som undantaget från hanter- ingsreglerna är tänkt att medföra skulle gå förlorad om den personupp- giftsansvarige alltid måste ha beredskap att genom registerutdrag visa vilka behandlingar som utförs. Det har också anförts att myndigheter och företag kan komma att sträva efter att skapa datasystem i vilka det enkelt kan tas fram uppgifter till registerutdrag även för ostrukturerat material, vilket i förlängningen kan innebära att det kommer att bli enklare att söka reda på personuppgifter även för andra ändamål än registerutdrag. Detta kan i sin tur innebära ett hot mot den personliga integriteten. Regeringen kan väsentligen ansluta sig till dessa synpunkter. Det är i och för sig korrekt som utredningen har framhållit att rätten till registerutdrag i sig fyller en viktig kontrollfunktion. Genom rätten till registerutdrag har den registrerade möjlighet att själv kontrollera att be- handlingen av hans eller hennes uppgifter är lagenlig och att, om så inte skulle vara fallet, utnyttja sina övriga rättigheter för att få till stånd rättel- se. Värdet ur kontrollsynpunkt får emellertid anses begränsat när det gäller sådana behandlingar som omfattas av den föreslagna missbruksre- geln. För sådana behandlingar saknar för det första utdragsskyldigheten be- tydelse som ett medel för den registrerade att få till stånd rättelse av fel- aktiga personuppgifter eftersom sådana behandlingar, av skäl som anförts ovan, inte skall vara förknippade med en rätt för den registrerade att be- gära rättelse. Det kan förvisso hävdas att en rätt att begära registerutdrag har bety- delse för att den registrerade skall kunna kontrollera att hans personupp- gifter inte behandlas i strid med missbruksregeln, dvs. Miss- bruksregeln är emellertid avsedd att träffa sådana behandlingar som ty- piskt sett inte innefattar några risker för intrång i den personliga integrite- ten. Det behov av kontroll som den registrerade kan ha kan inte anses förknippat med behandlingen som sådan t.ex. att skriva ett namn i ett ordbehandlingsdokument utan är snarare beroende av i vilket samman- hang personuppgifterna förekommer och av vilken spridning de kan få. I den mån det verkligen är fråga om ett missbruk av personuppgifter kommer detta i normalfallet att komma till den registrerades kännedom på annat sätt än genom ett registerutdrag, t.ex. genom Internetpublice- ring. Rätten att få registerutdrag en gång per kalenderår kan alltså enligt regeringens bedömning inte anses vara en förutsättning för att kränk- ningar av den personliga integriteten i enlighet med missbruksregeln skall kunna uppdagas och beivras. Sammanfattningsvis anser således regeringen att utdragsskyldighetens värde från kontrollsynpunkt vid be- handling av personuppgifter i ostrukturerat material inte är särskilt fram- trädande. Det är vidare av betydelse att en övervägande majoritet av de person- uppgiftsansvariga anser att skyldigheten att lämna registerutdrag är den mest betungande hanteringsregeln i personuppgiftslagen. Det visar såväl remissutfallet i detta lagstiftningsärende som resultatet av Justitiedepar- tementets utvärdering av EG-direktivet (Ds 2001:27). Att ha beredskap för att i varje enskilt fall lämna registerutdrag avseende behandling av personuppgifter i ostrukturerat material kan även enligt regeringens me- ning anses oproportionerligt betungande mot bakgrund av det begränsade värde skyldigheten kan ha för den registrerade i dessa fall. En av ut- gångspunkterna för införande av en missbruksmodell är att underlätta den vardagliga och ur ett integritetsperspektiv oftast harmlösa hantering- en av personuppgifter. Att då inte införa ett undantag från den regel som i det praktiska livet visat sig vålla mest bekymmer framstår inte som än- damålsenligt. Mot bakgrund av det anförda och för att få till stånd en så renodlad missbruksmodell som möjligt finner regeringen att undantag bör göras även från skyldigheten att på begäran lämna registerutdrag för sådana behandlingar som omfattas av den föreslagna missbruksregeln. Se vidare om registerutdrag i avsnitt 9.2. Enligt 22 § personuppgiftslagen får personnummer och samordnings- nummer behandlas utan samtycke från den registrerade bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Utredningen har, utan att redovisa något närmare skäl för det, ansett dessa begräns- ningar befogade även vid behandling av personuppgifter i ostrukturerat material. Ingen remissinstans har kommenterat frågan. Som framgått av föregående avsnitt lägger inte EG-direktivet hinder i vägen för att tillåta att personnummer behandlas i ostrukturerat material utan andra begränsningar än att missbruk av uppgifterna inte får äga rum. Regeringen kan inte finna något skäl till varför man inte bör utnyttja denna möjlighet till ytterligare lättnader för de personuppgiftsansvariga. Att låta behandling av personnummer i ostrukturerat material omfattas av en striktare reglering än behandling av t.ex. känsliga personuppgifter framstår inte som vare sig lämpligt eller nödvändigt. Regeringen anser alltså att undantag bör göras även från 22 § personuppgiftslagen. Som framgått av avsnitt 8.1 har undantagsbestämmelsen utformats så att den uttryckligen tillåter behandling av personuppgifter i ostrukturerat material, dvs. som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt under- lätta sökning efter eller sammanställning av just personuppgifter, om be- handlingen inte innebär en kränkning av den registrerades personliga integritet. Undantagsbestämmelsen utgör därför i sig en uttolkning av bestämmelsen om intresseavvägning i artikel 7 f i EG-direktivet och 10 § f personuppgiftslagen. Därmed bör även 10 § personuppgiftslagen tas med i uppräkningen av de bestämmelser som inte skall tillämpas. I enlighet med vad som angetts i avsnitt 8.3.2 bör det vidare i förordning göras ett undantag för behandling av personuppgifter i ostrukturerat ma- terial från skyldigheten enligt 36 § personuppgiftslagen att göra anmälan till Datainspektionen. Skadestånd, straff och tillsyn Regeringens bedömning: Personuppgiftslagens nuvarande bestäm- melser om skadestånd bör gälla även för förfaranden i strid med den Någon förändring av tillsynsreglerna görs inte. Det innebär att Data- inspektionen kommer att ha tillsyn över efterlevnaden av missbruks- Regeringens förslag: Den som uppsåtligen eller av grov oaktsam- het behandlar känsliga personuppgifter eller uppgifter om lagöverträ- delser m.m. i strid med missbruksregeln döms till böter eller fängelse i Detsamma skall gälla den som uppsåtligen eller av grov oaktsamhet i strid med missbruksregeln för över personuppgifter till tredje land som inte har en adekvat nivå för skyddet av personupp- gifter. Om brottet är grovt döms till fängelse i högst . I ringa fall döms inte till ansvar. Utredningens bedömning: Överensstämmer med regeringens i ska- destånds- och tillsynsdelen. Utredningen har dock gjort bedömningen att behandling av personuppgifter i strid med missbruksregeln inte skall vara straffbelagd. Remissinstanserna: Endast ett fåtal remissinstanser har yttrat sig i denna del. Justitiekanslern anser att skadeståndsfrågan bör övervägas noggrannare bl.a. mot bakgrund av att det inte är självklart att en över- trädelse av missbruksregeln bör föranleda skadeståndsansvar enligt per- sonuppgiftslagen. Ett alternativ vore att i stället tillämpa 2 kap. 3 § ska- deståndslagen. Justitiekanslern påpekar vidare att det kommer att råda oklarheter om vad som är en tillåten behandling enligt missbruksregeln, varför det i hög grad kommer att överlämnas till rättspraxis att avgöra vilka förfaranden som kommer att vara skadeståndsgrundande. Riksåkla- garen och Justitiekanslern menar att det inte är självklart att det skall vara straffritt att behandla känsliga personuppgifter och lagöverträdelser i ostrukturerat material trots att behandlingen i det enskilda fallet kanske inneburit ett otillbörligt intrång i den personliga integriteten. Skälen för regeringens bedömning och förslag Den normala sanktionen vid överträdelse av personuppgiftslagen är ska- destånd till den registrerade enligt 48 § i lagen. Enligt den paragrafen skall den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av person- uppgifter i strid med lagen har orsakat. Den registrerade har alltså rätt till ersättning för såväl personskada, sakskada och ren förmögenhetsskada som för själva kränkningen som sådan. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Bestämmelserna i personuppgiftslagen om skadestånd är sådana speci- albestämmelser som tar över de allmänna skadeståndsreglerna i skades- tåndslagen (1972:207). Rätten till skadestånd enligt personuppgiftslagen för kränkning förutsätter, till skillnad från motsvarande rätt enligt 2 kap. 3 § skadeståndslagen, inte att ett brottsligt förfarande visas. Justitiekans- lern har väckt frågan om överträdelse av den föreslagna missbruksregeln inte bör föranleda skadeståndsansvar enligt 2 kap. 3 § skadeståndslagen i stället för enligt personuppgiftslagen. Som framgår nedan kommer miss- bruksregeln, enligt regeringens förslag, inte att vara förenad med straffansvar i andra fall än när känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. har behandlats, eller när personuppgifter förts över till tredje land, i strid med regeln. Att den enskilde skulle lämnas utan möjligheter till kompensation för kränkning i övriga fall där miss- bruksregeln i och för sig har överträtts framstår som mindre lämpligt, inte minst mot bakgrund av att EG-direktivet enligt artikel 24 kräver att överträdelse av bestämmelser som genomför direktivet förenas med sanktioner i någon form. Regeringen instämmer därmed i utredningens bedömning att överträdelser av missbruksregeln skall vara förenade med skadeståndsansvar enligt 48 § personuppgiftslagen. Till ledning för be- dömningen av vilka förfaranden som skall vara skadeståndsgrundande enligt missbruksregeln får tas de allmänna riktlinjer, som regeringen har redovisat i avsnitt 8.2, för vad som skall bedömas som en kränkning av den personliga integriteten i missbruksregelns mening. Vissa förfaranden i strid med personuppgiftslagen är straffbelagda enligt 49 §. Så är fallet om man lämnar osann uppgift i sådan information till registrerade som föreskrivs i lagen, i en anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär informa- tion enligt 43 § (49 § första stycket a). Det är vidare straffbart att behand- la känsliga personuppgifter och uppgifter om lagöverträdelser m.m. i strid med 1321 §§ och att föra över personuppgifter till tredje land i strid med 3335 §§ (49 § första stycket b och c). Slutligen är det straff- bart att låta bli att i vissa fall göra en anmälan till tillsynsmyndigheten (49 § första stycket d). För straffbarhet krävs i samtliga fall uppsåt eller oaktsamhet. Straffskalan är böter eller fängelse och om brottet är grovt fängelse i högst . I ringa fall skall inte dömas till ansvar. Om inte någon ändring görs av straffbestämmelsen skulle ett införande av missbruksregeln, som ju innebär att undantag görs från bestämmelser- na i bl.a. 13, 21 och 33 §§, leda till att t.ex. behandling av känsliga per- sonuppgifter och uppgifter om lagöverträdelser m.m. inte längre skulle vara kriminaliserad så länge behandlingen sker i ostrukturerat material. Däremot skulle lämnande av osann uppgift till tillsynsmyndigheten när myndigheten begär information enligt 43 § rörande behandlingar i ostrukturerat material vara straffbelagt eftersom denna paragraf skall, som framgår nedan när regeringen behandlar frågan om tillsyn, gälla även för sådana behandlingar. Utredningen har, utan att ha redovisat några närmare skäl för det, gjort bedömningen att det inte är nödvändigt att straffbelägga förfaranden i strid med missbruksregeln och har i enlighet därmed inte föreslagit någon ändring av 49 § personuppgiftslagen i detta avseende. Både Riks- åklagaren och Justitiekanslern har ifrågasatt denna bedömning och me- nat att det inte är givet att den som behandlar t.ex. känsliga personuppgif- ter i strid med 13 § personuppgiftslagen i ett personregister skall riskera straff medan motsvarande behandling i ostrukturerat material skall vara straffri. Regeringen instämmer i att detta inte är ett tillfredsställande re- sultat. Skadan för den vars personuppgifter behandlas kan naturligtvis i det enskilda fallet vara lika stor oavsett om behandlingen sker i ett tradi- tionellt register eller i ostrukturerad form. Det finns ur ett straffrättsligt perspektiv inte anledning att se annorlunda på den situationen att behand- ling av känsliga personuppgifter och sådana uppgifter om lagöverträdel- ser m.m. som avses i 21 § personuppgiftslagen behandlas i strid med missbruksregeln, dvs. på så sätt att den registrerades personliga integritet kränks, än på den situationen att samma uppgifter behandlas i strid med personuppgiftslagens hanteringsregler i annat än ostrukturerat material. Det kan alltså inte enligt regeringens mening anses befogat att avkrimi- nalisera behandling av denna typ av personuppgifter bara för att behand- lingen av dem äger rum i ett ostrukturerat material.