prop · GT03173 · 2006-03-21 00:00:00 — Enligt artikel 13.1 kan medlemsstaterna genom lagstiftning begränsa omfattningen av vissa skyldigheter och rättigheter som följer av direkti- vet. Det gäller de skyldigheter och rättigheter som anges i artikel 6.1, 10, 11.1, 12 och 21, dvs. de grundläggande kraven på behandlingen av personuppgifter (arti- kel 6.1, som motsvaras av 9 § personuppgiftslagen) skyldigheten att informera den registrerade (artikel 10 och 11.1, som motsvaras av 2325 §§ personuppgiftslagen) rätten att på begäran få tillgång till uppgifterna och rättelse (artikel 12, som motsvaras av 26 och 28 §§ samt 29 § andra stycket per- sonuppgiftslagen) reglerna om ett offentligt register över anmälda behandlingar och skyldigheten att hålla information om andra behandlingar tillgäng- lig (artikel 21, som motsvaras av 42 § personuppgiftslagen och 7 § personuppgiftsförordningen [1998:1191]) En sådan begränsning måste vara en nödvändig åtgärd med hänsyn till olika uppräknade intressen, bl.a., såvitt här är av intresse, skyddet av den registrerades eller andras fri- och rättigheter (punkt g). I artikel 7, från vilken artikel undantag inte kan göras med stöd av arti- kel 13.1, räknas det upp i vilka fall personuppgifter får behandlas. Kan en tilltänkt behandling inte hänföras under något av de uppräknade punkter- na får den inte genomföras. Det är punkt f som kan vara aktuell att till- lämpa när man överväger att generellt tillåta behandling av personuppgif- ter i ostrukturerat material. Av den framgår att medlemsstaterna skall föreskriva att personuppgifter får behandlas om behandlingen är nödvän- dig för ändamål som rör berättigade intressen hos den personuppgiftsan- svarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter. I artikel 8, från vilken artikel undantag inte heller kan göras med stöd av artikel 13.1, finns det tillkommande begränsningar för behandlingen av vissa särskilda kategorier av personuppgifter. Avser en viss behand- ling sådana särskilda kategorier av personuppgifter måste således villko- ren enligt såväl artikel 7 som artikel 8 vara uppfyllda för att behandling- en skall få genomföras. I artikel 8.1 föreskrivs det att medlemsstaterna skall förbjuda behand- ling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. I artikel 8.2 och 8.3 anges i vilka fall sådana s.k. känsliga personuppgifter får behandlas trots det principiella förbudet enligt artikel 8.1. Enligt artikel 8.4 får medlemssta- terna under förutsättning av lämpliga skyddsåtgärder av hänsyn till ett viktigt allmänt intresse antingen i sin nationella lagstiftning eller ge- nom ett beslut av tillsynsmyndigheten besluta om andra undantag från förbudet mot att behandla känsliga personuppgifter. Sådana undantag skall enligt artikel 8.6 anmälas till kommissionen. I artikel 8 finns det vidare bestämmelser om andra kategorier av upp- gifter än s.k. känsliga personuppgifter, nämligen uppgifter om lagöver- trädelser m.m. och nationella identifikationsnummer. Enligt artikel 8.5 får behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder utföras endast under kontroll av en myndighet eller om lämpliga skyddsåtgärder finns i nationell lag med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Medlemsstaterna får alltså i sin lagstiftning tillåta att enskilda, utan att det sker under kontroll av en myndighet, behandlar uppgifter om lagöverträdelser m.m. under förutsättning att lagstiftningen innehåller lämpliga och specifika skyddsåtgärder. Behandling av uppgif- ter om lagöverträdelser som har tillåtits på detta sätt torde medlemssta- terna ha att anmäla till kommissionen enligt artikel 8.6. Enligt artikel 8.7 skall medlemsstaterna bestämma på vilka villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Det måste alltså finnas villkor för behandling av sådana nummer, men det materiella innehållet i villkoren får med- lemsstaterna själva bestämma. Enligt artikel 25.1 skall medlemsstaterna föreskriva att överföringen av personuppgifter som är under behandling eller som är avsedda att be- handlas efter överföring till tredje land endast får ske om ifrågavarande tredje land säkerställer en adekvat skyddsnivå. skyddsnivån i ett tredje land är adekvat skall enligt artikel 25.2 ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter. Härvid skall särskilt beaktas uppgiftens art, den eller de avsedda behandlingarnas ändamål och varak- tighet, ursprungslandet och det slutliga bestämmelselandet, de allmänna respektive särskilda rättsregler som gäller i ifrågavarande tredje land lik- som de regler för yrkesverksamhet och säkerhet som gäller där. I artikel 26.1 anges i vilka fall medlemsstaterna får föreskriva att över- föring till tredje land som inte har en adekvat skyddsnivå är tillåten. En- ligt artikel 26.1 d får sådan överföring ske om överföringen är nödvän- dig eller bindande enligt författning av skäl som rör viktiga allmänna intressen eller för att fastslå, göra gällande eller försvara rättsliga an- språk. Den bestämmelsen har ansetts innebära bl.a. att det är tillåtet att i författning ange när överföring är tillåten på grund av att den är nödvän- dig med hänsyn till viktiga allmänna intressen. Enligt artikel 18.1 i EG-direktivet, från vilken artikel undantag inte kan göras med stöd av artikel 13.1, skall medlemsstaterna föreskriva att den personuppgiftsansvarige före genomförandet av en behandling eller en serie behandlingar som helt eller delvis genomförs på automatisk väg och som har samma eller flera närbesläktade ändamål skall underrätta till- synsmyndigheten. I artikel 18.24 anges vilka möjligheter till undantag från den anmälningsplikten som finns. Av artikel 18.2 första strecksatsen framgår att undantag får göras om medlemsstaten för de typer av behand- ling, i samband med vilka det med hänsyn till de behandlade uppgifterna inte är sannolikt att de registrerades fri- och rättigheter kränks, anger be- handlingens ändamål, vilka uppgifter eller kategorier av uppgifter som behandlas, vilka registrerade eller kategorier av registrerade som avses, till vilka mottagare eller kategorier av mottagare uppgifterna lämnas ut samt hur länge uppgifterna skall bevaras. 8.3.2Missbruksregeln är förenlig med EG-direktivet Regeringens bedömning: Undantaget för behandling av personupp- gifter i ostrukturerat material är förenligt med EG-direktivet om skydd för personuppgifter. Utredningens bedömning: Överensstämmer med regeringens. Remissinstanserna: Endast ett fåtal remissinstanser har yttrat sig i De som har yttrat sig, bl.a. Justitiekanslern, , juridiska fakultetsnämnden vid och ad- vokatsamfund, menar att utredningens tolkning av EG-direktivet inte är självklar men bör kunna godtas. Skälen för regeringens bedömning Undantag enligt artikel 13 med hänsyn till skyddet av fri- och rättigheter Artikel 13.1 innebär således att undantag från vissa bestämmelser i direktivet kan göras om det är en nödvändig åtgärd med hänsyn till bl.a. skyddet av den registrerades eller andras fri- och rättigheter (punkt g). Frågan är då om det kan anses vara en sådan fri- och rättighet som av- ses i artikel att få hantera ostrukturerat material, t.ex. i form av löpande text och ljud- och bildupptagningar, utan att begränsas av de hanteringsregler som anges i artikel 13.1. I samband med att den gemen- samma ståndpunkten om direktivet antogs av rådet, avgav rådet och kommissionen en gemensam förklaring, som finns intagen i ett protokoll från mötet (se bilaga 4 i betänkandet), om att sådana rättigheter som att utföra behandling av uppgifter inte avses med hänvisningen till andras fri- och rättigheter i artikel . har emellertid uttalat att sådana förklaringar inte kan tillmätas någon rättslig status och betydelse vid utrönandet av den rätta innebörden av en be- stämmelse i ett EG-direktiv, i vart fall inte när innehållet i förklaringen inte uttrycks i den aktuella bestämmelsen (se bl.a. mål C-329/95, VAG [1997 s. I-2675]). Regeringen anser mot bakgrund bl.a. av detta att förklaringen inte skall tillåtas inverka på den bedömning som regeringen gör i det följande. När det ostrukturerade materialet distribueras till andra är det oftast fråga om ett utnyttjande av den yttrandefrihet som tillkommer varje medborgare enligt såväl regeringsformen (2 kap. 1 § första stycket 1) som (artikel 10). I förarbetena till personuppgiftslagen uttryckte både regeringen och Lagrådet tveksamhet inför att yttrandefriheten skulle omfattas av de fri- och rättigheter som avses i artikel (prop. 1997/98:44 s. 49 och 236). Artikel 9 innehåller nämligen en särskild möjlighet till undantag och avvikelser från vissa av direktivets bestämmelser för behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. Frågan om tolkningen av artikel uppkom i samband med att regeringen behandlade frågan om per- sonuppgiftslagens förhållande till tryckfrihetsförordningen och yttrande- frihetsgrundlagen. Artikel 9 ansågs möjliggöra för att låta dessa grundlagar gälla oförändrade. Uttalanden gjordes alltså i ett delvis annat sammanhang än det föreliggande. Vid en förnyad analys anser regering- en, i likhet med utredningen, att det förhållandet att yttrandefriheten i ett visst avseende nämns i artikel 9 inte kan anses innebära att just den fri- och rättigheten inte skulle omfattas av uttrycket fri- och rättigheter i arti- kel 13. Enligt ordalydelsen omfattar artikel 9 möjligheter till undantag endast för journalistiska ändamål eller konstnärligt eller litterärt skapan- de, vilket är betydligt mer begränsat än för att använda regeringsfor- mens definition av begreppet en frihet att i tal, skrift eller bild eller på annat sätt meddela upplysningar samt uttrycka tankar, åsikter och käns- lor eller såsom anges i artikel 10.1 en frihet att ta emot och sprida uppgifter och tankar. Även när materialet inte skall distribueras till andra utan bara användas internt hos den personuppgiftsansvarige kan det vara fråga om ett utnytt- jande av en fri- och rättighet i den mening som avses i artikel . In- hämtande av uppgifter kan nämligen hänföras till den informationsfrihet, dvs. frihet att inhämta och mottaga upplysningar samt att i övrigt taga del av andras yttranden, som varje medborgare är tillförsäkrad skydd för en- ligt 2 kap. 1 § första stycket 2 regeringsformen. Till och med det rent interna upprättandet och användandet av ostrukturerat material i form av t.ex. löpande text och ljud- och bildupptagningar hos en personuppgifts- ansvarig såsom minnesanteckningar kan anses vara en fri- och rättig- het. Att få ha sina ofärdiga alster och minnesanteck- ningar i fred har exempelvis vid införandet av personuppgiftslagen an- setts som en sådan fri- och rättighet som avses i artikel (a. prop. s. 83). Regeringen gör alltså bedömningen att behandlingen av personuppgif- ter i ostrukturerat material t.ex. i form av text och ljud- och bildupptag- ningar kan hänföras till en sådan fri- och rättighet som avses i artikel och som kan berättiga medlemsstaterna att göra nödvändiga be- gränsningar av vissa bestämmelser i direktivet. Varje begränsning som görs måste vara nödvändig med hänsyn till skyddet av den aktuella fri- och rättigheten. Det är således fråga om en intresseavvägning som skall göras, där de ifrågavarande fri- och rättighe- terna rätten till integritetsskydd och rätten att för t.ex. yttrandefrihets- och informationsfrihetsändamål få hantera ostrukturerat material vägs mot varandra och där bara sådana begränsningar får göras som är nöd- vändiga för att uppnå en balans mellan de motstående intressena. Den balansen nås enligt regeringens uppfattning genom att på sätt som före- slagits i föregående avsnitt tillämpningsområdet för de aktuella hanter- ingsreglerna begränsas endast såvitt gäller sådan hantering av ostrukture- rat material som inte innefattar ett missbruk av personuppgifter. Den delvis nya bedömning som regeringen nu har gjort grundas inte enbart på den tolkning av innebörden av artikel som redovisats ovan utan också bl.a. på vad kommissionen uttalat i sin rapport om ge- nomförandet av dataskyddsdirektivet (KOM [2003] 265 slutlig) om att förenklade villkor för behandling av personuppgifter som inte innebär någon avsevärd risk för den enskildes rättigheter, kan uppnås genom att det handlingsutrymme som direktivet ger genom bl.a. artikel 13 utnyttjas. Se mer om kommissionens rapport nedan under Sammanfattande be- dömning. Intresseavvägning enligt artikel 7 Artikel 7 f i direktivet har införts genom 10 § f personuppgiftslagen som stadgar att personuppgifter får behandlas om behandlingen är nödvändig för att ett ändamål som rör ett berättigat intresse hos den personuppgifts- ansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integri- teten. Det är enligt direktivet tillåtet för medlemsstaterna att närmare precise- ra hur den angivna intresseavvägningen utfaller i olika fall. Enligt reger- ingens mening står det klart att det är möjligt att med stöd av bestämmel- sen om en intresseavvägning i artikel 7 f införa en särskild bestämmelse som tillåter sådan behandling av personuppgifter i ostrukturerat material som inte innefattar ett missbruk av personuppgifterna. Att detta är möj- ligt följer redan av vad som sagts i närmast föregående avsnitt. Ett utnytt- jande av rätten att för t.ex. yttrandefrihets- och informationsfrihetsända- mål få hantera ostrukturerat material, t.ex. i form av löpande text och ljud- och bildupptagningar, utgör givetvis ett berättigat intresse, och det intresset får anses överväga de registrerades intresse av integritetsskydd så länge hanteringen inte innefattar ett missbruk av personuppgifter. Undantag för uppgifter som avses i artikel 8 Från förbudet enligt artikel 8.1 mot behandling av känsliga personuppgif- ter får undantag enligt artikel 8.4 göras av hänsyn till ett viktigt allmänt intresse. Frågan är alltså om hantering av ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar kan anses vara ett sådant viktigt allmänt intresse. Regeringen har ovan utvecklat hur denna hantering, som kan ha betydelse för bl.a. utnyttjandet av yttrande- och informationsfriheten, kan anses vara en fri- och rättighet. Att fri- och rättigheter kan utövas i samhället är naturligtvis ett allmänt intresse och dessutom ett viktigt sådant. Regeringen anser därför att det kan hävdas att ett undantag från förbudet mot behandling av känsliga personuppgif- ter för behandling av sådana personuppgifter i ostrukturerat material kan stödjas på undantagsmöjligheten i artikel 8.4 för viktiga allmänna intres- sen. Ett sådant undantag förutsätter emellertid lämpliga skyddsåtgärder. En sådan skyddsåtgärd kan enligt regeringens mening vara att, på sätt som föreslagits i föregående avsnitt, bara tillåta sådan behandling av känsliga personuppgifter som inte innefattar ett missbruk av personupp- gifterna. Bestämmelsen i artikel 8.5 om uppgifter om lagöverträdelser m.m. ut- gör inte hinder mot att generellt tillåta behandling av personuppgifter i ostrukturerat material. För att sådan behandling av uppgifter om lagöver- trädelser m.m. skall få utföras av enskilda utan myndighetskontroll krävs det dock att det finns lämpliga och specifika skyddsåtgärder i lagstift- ningen. En sådan skyddsåtgärd kan vara att på motsvarande vis bara tillå- ta sådan behandling av personuppgifter om lagöverträdelser m.m. som inte innefattar ett missbruk av personuppgifterna. Enligt artikel 8.7 skall medlemsstaterna bestämma på vilka villkor ett nationellt identifikationsnummer får behandlas. I artikeln sägs inget om innehållet i dessa villkor. Artikeln kan inte anses utgöra något hinder mot att generellt tillåta behandling av personnummer i ostrukturerat material, i vart fall inte så länge missbruk av personnummer är förbjudet. Undantag från förbudet mot överföring av personuppgifter i artikel 25 Den allmänna uppfattningen i har varit att ett offentlig- görande av personuppgifter på en webbplats som är allmänt tillgänglig på Internet innebär att personuppgifterna blir tillgängliga i hela världen och därmed kan anses överförda till alla länder i direktivets mening (jfr bl.a. prop. 1999/2000:11 s. 11 ff.). har emellertid i det s.k. konfirmandlärarmålet (dom i mål C-101/01, . 2003 s. I-12971) slagit fast att det inte är fråga om någon överfö- ring av uppgifter till tredje land i EG-direktivets mening när en person, som befinner sig i en medlemsstat, lägger ut personuppgifter på en hem- sida på Internet som är lagrad hos en fysisk eller juridisk person, som har den webbplats där man kan komma åt sidan och som är etablerad i sam- ma medlemsstat eller i en annan medlemsstat, varvid uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land. Det innebär att i vart fall vissa förfaranden för Internetpubli- cering inte hindras av just bestämmelserna om överföring av personupp- gifter till tredje land. Vid de förfaranden som i direktivets mening innebär en överföring av personuppgifter till tredje land blir emellertid tolkningen av begreppet adekvat skyddsnivå av betydelse. Personuppgifter får nämligen alltid överföras till tredje land som säkerställer en adekvat skyddsnivå. Be- dömningen av om skyddsnivån i ett tredje land är adekvat skall ske på grundval av alla de förhållanden som har samband med överföringen. Att en överföring innebär ett utnyttjande av en grundläggande fri- och rättig- het, kan hävdas vara ett förhållande att beakta vid bedömningen av om skyddsnivån i ett tredje land är adekvat. Det har ansetts att det som i di- rektivet kallas adekvat skyddsnivå är ett uttryck för att omständigheterna kring överföringen sammantagna skall vara sådana att personuppgifter har ett tillräckligt skydd och att det därför kan finnas en adekvat skydds- nivå i ett tredje land trots en total avsaknad av skyddsregler (se prop. 1999/2000 s. 15 ff.). Mot denna bakgrund skulle man i princip kunna hävda att en överfö- ring av personuppgifter i ostrukturerat material, som inte innefattar ett missbruk av personuppgifterna, innebär en överföring av uppgifterna till tredje land med adekvat skyddsnivå, eftersom, med hänsyn till omstän- digheterna vid överföringen, någon särskild skyddsnivå inte krävs i det mottagande landet. En sådan överföring skulle därmed vara tillåten redan enligt gällande rätt. Utredningen har emellertid ansett att stöd för att göra undantag från överföringsförbudet för ostrukturerat material i första hand bör hämtas i artikel 26.1 d. Enligt den artikeln kan överföring till tredje land utan ade- kvat skyddsnivå tillåtas om det är nödvändigt av t.ex. skäl som rör vikti- ga allmänna intressen. I enlighet med det resonemang som förts ovan om undantag från artikel 8.4 är det möjligt att hänföra behandling av person- uppgifter i ostrukturerat material till ett sådant intresse. Regeringen har i och för sig inget att invända mot utredningens bedömning i denna del. Oavsett vilket synsätt man anlägger på frågan blir emellertid slutsatsen densamma; en överföring till tredje land av personuppgifter i ostrukture- rat material, som inte innefattar ett missbruk av personuppgifterna, står inte strid med EG-direktivet. Undantag från anmälningsskyldighet enligt artikel 18 Från kravet på att alla behandlingar skall anmälas till tillsynsmyndighe- ten kan, som framgått i föregående avsnitt, undantag göras med stöd av bl.a. artikel 18.2 första strecksatsen. Bestämmelsen om anmälningsskyldighet har tagits in i 36 § första stycket personuppgiftslagen. Möjligheten att enligt artikel 18.2 första strecksatsen föreskriva undantag från anmälningsskyldigheten har utnytt- jats på så sätt att regeringen eller den myndighet regeringen bestämmer bemyndigats att föreskriva undantag för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personli- ga integriteten. Genom 4 § personuppgiftsförordningen (1998:1191) har regeringen utnyttjat undantagsmöjligheten för att föreskriva att anmäl- ningsskyldigheten inte gäller för behandling av personuppgifter i löpande text. Regeringen anser att undantaget bör kunna utvidgas till att gälla för behandling av personuppgifter i ostrukturerat material generellt, dvs. även för t.ex. ostrukturerade ljud- och bildupptagningar. Regeringen har för avsikt att ändra 4 § personuppgiftsförordningen i enlighet därmed. Hanteringsregler som inte är möjliga att göra undantag från De materiella hanteringsbestämmelser i som det inte är möjligt att göra undantag från eller modifiera är följande. Bestämmelserna om automatiserade beslut i artikel 15 (som mot- svaras av 29 § personuppgiftslagen). Bestämmelserna om sekretess och säkerhet vid behandlingen i artikel 16 och 17 (som motsvaras av 30 och 31 §§ personuppgifts- lagen). Bestämmelserna om rättslig prövning, ansvar och sanktioner i arti- kel 2224 (som motsvaras av 48 och 49 §§ personuppgiftslagen). Bestämmelserna om tillsynsmyndighetens befogenheter avseende behandlingen i artikel 28 (som motsvaras av 32 och 4347 §§ per- sonuppgiftslagen). Bestämmelserna i artikel 24 om definitioner av grundläggande begrepp och tillämpningsområdet för direktivet (som motsvaras av 36 §§ personuppgiftslagen). Enligt regeringens mening kan det inte anses innebära någon större be- lastning för den personuppgiftsansvarige att i förekommande fall behöva tillämpa de angivna bestämmelserna på behandling av personuppgifter i ostrukturerat material. Bestämmelsen om automatiserade beslut torde det knappast bli aktuellt att tillämpa på annat än personuppgifter i strukturerat material. Bestämmelsen om sekretess innebär i stort sett bara att den som för en personuppgiftsansvarigs räkning behandlar personuppgifter bara får göra det enligt instruktioner från denne. Bestämmelsen om säkerhet innebär att lämpliga åtgärder skall vidtas för att förhindra t.ex. oavsedd förstöring, förvanskning och spridning av personuppgifter, men vid bedömningen av vilka åtgärder som behöver vidtas för att åstadkomma en lämplig säkerhetsnivå kan man ta hänsyn till bl.a. de risker som är förknippade med behandlingen. När personupp- gifter behandlas i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar torde det därför normalt inte krävas några extraordinära säkerhetsåtgärder utan det kan ofta räcka med de åtgärder som var och en brukar vidta för att skydda sin information. När särskilt känslig information behandlas i strukturerat eller ostrukturerat material, måste givetvis adekvata säkerhetsåtgärder vidtas. Bestämmelserna om rättslig prövning, ansvar och sanktioner torde bara ha aktualitet men å andra sidan då vara relevanta och befogade när behandlingen har inneburit ett missbruk av personuppgifterna. Inte heller bestämmelserna om att en oberoende myndighet skall ha tillsyn över och vissa befogenheter avseende behandlingen torde i prakti- ken innebära någon påtaglig belastning för den personuppgiftsansvarige. Sammanfattande och avslutande bedömning Regeringen har alltså, i likhet med utredningen, funnit att det är möjligt att göra undantag från de flesta materiella bestämmelser i för sådan behandling av personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar som inte innefattar ett missbruk av personuppgifterna.