prop · GT03173 · 2006-03-21 00:00:00 — Behandling av känsliga personuppgifter och sådana uppgifter som av- ses i 21 § personuppgiftslagen (bl.a. uppgifter om lagöverträdelser) i strid med missbruksregeln dvs. som innebär att den registrerades personliga integritet kränks bör således vara straffbelagd. För att en gärning skall vara straffbar bör dock krävas att den har begåtts uppsåtligen eller av grov oaktsamhet (se vidare i avsnitt 9.1.2 om vilka subjektiva rekvisit som bör gälla för straffbarhet). Straffskalan bör vara densamma som för övriga brott mot personuppgiftslagen. Som framgått ovan är det även straffbart att föra över personupp- gifter till tredje land i strid med 3335 §§ personuppgiftslagen. Efter EG- domstolens dom i det s.k. konfirmandlärarmålet (dom i mål C-101/01, . 2003 s. I-12971) har förbudet mot att överfö- ra personuppgifter till tredje länder utan adekvat skyddsnivå, och det därmed förenade straffansvaret, delvis förlorat i betydelse. Domstolen slog ju, som framgår av avsnitt 8.3.2, fast att utläggande av personupp- gifter på Internet inte, åtminstone under vissa förutsättningar, är att be- trakta som överföring i direktivets mening. Förbudet har dock alltjämt betydelse när överföringen görs i annan form än genom att uppgifterna läggs ut på Internet, t.ex. torde det vara tillämpligt om uppgifterna sprids via e-post. Enligt den föreslagna missbruksregeln är det tillåtet att föra över per- sonuppgifter till tredje land utan att behöva iaktta hanteringsreglerna i 3335 §§ personuppgiftslagen. Liksom vid all annan behandling av per- sonuppgifter i ostrukturerat material är 5 a § andra stycket, som innebär att den registrerades personliga integritet inte får kränkas, den enda regel man skall behöva beakta. Regeringen kan inte se något skäl till varför en överföring till tredje land av personuppgifter i ostrukturerat material, som innebär en kränk- ning av den registrerades personliga integritet, inte skulle vara straffbar, medan överföring av motsvarande uppgifter i strukturerad form skulle omfattas av straffbestämmelserna. Av samma skäl som anförts beträffan- de behandling av bl.a. känsliga personuppgifter i ostrukturerat material bör överföring av personuppgifter i sådant material till tredje land utan adekvat skyddsnivå vara straffbar om överföringen inneburit en kränk- ning av den personliga integriteten i enlighet med missbruksregeln. På motsvarande sätt som anförts ovan bör dock för straffbarhet krävas att gärningen begåtts uppsåtligen eller av grov oaktsamhet. Den straffskala som gäller för övriga brott mot personuppgiftslagen bör gälla även i detta avseende. Precis som är fallet vid bedömningen av vilka behandlingar som är skadeståndsgrundande får utgångspunkten för vad som skall anses som en kränkning av den personliga integriteten i straffrättslig mening vara vad regeringen redovisat i avsnitt 8.2. Som konstaterats i avsnitt 8.3.2 är det inte möjligt att göra undantag från artikel 28 i EG-direktivet, enligt vilken tillsynsmyndigheten skall ha vis- sa befogenheter avseende behandlingen av personuppgifter. Datainspek- tionen är tillsynsmyndighet i och myndighetens befogenheter är reglerade i 32 och 4347 §§ personuppgiftslagen samt i personuppgifts- förordningen (1998:1191). Det är naturligt och rimligt att den tillsyn Datainspektionen har rätt att utöva enligt dessa bestämmelser och de befogenheter som är förknippade med denna också omfattar behandling enligt den föreslagna missbruksre- geln. Datainspektionen kommer vidare att ha en viktig funktion att fylla ge- nom att i sin verksamhet ge vägledning, t.ex. genom att ge ut allmänna råd och annat informationsmaterial, i hur den nya missbruksregleringen bör tillämpas. Enligt artikel 24 i EG-direktivet skall medlemsstaterna anta lämpliga bestämmelser för att säkerställa att direktivet genomförs fullständigt. Staterna skall särskilt besluta om de sanktioner som skall användas vid överträdelse av de bestämmelser som har antagits till följd av direktivet. Den normala sanktionen vid överträdelse av personuppgiftslagen är skadestånd till den registrerade enligt 48 § i lagen. Som framgått av av- snitt 8.5 är emellertid vissa förfaranden i strid med personuppgiftslagen även straffbelagda enligt 49 § i lagen. Så är fallet om man lämnar osann uppgift i sådan information till registrerade som föreskrivs i lagen, i en anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär information enligt 43 § (49 § första stycket punk- ten a). Det är vidare straffbart att behandla känsliga personuppgifter och uppgifter om lagöverträdelser m.m. i strid med 1321 §§ och att föra över personuppgifter till tredje land i strid med 3335 §§ (49 § första stycket b och c). Slutligen är det straffbart att låta bli att i vissa fall göra en anmälan till tillsynsmyndigheten (49 § första stycket d). För straffbar- het krävs i samtliga fall uppsåt eller oaktsamhet. Straffskalan är böter eller fängelse och om brottet är grovt fängelse i högst . I samband med att bestämmelserna om överföring av personuppgifter till tredje land lättades upp avkriminaliserades gärningar som är ringa genom att det föreskrevs att det i ringa fall inte skall dömas till ansvar (prop. 1999/2000:11 s. 18 f.). Regeringen noterade att det finns överträ- delser av personuppgiftslagens straffbestämmelse som i det enskilda fal- let inte framstår som särskilt straffvärda och att det ibland kan vara svårt för den personuppgiftsansvarige att på förhand avgöra om en överföring till tredje land är tillåten eller inte enligt de nya bestämmelserna. kunde förutses att det kommer att finnas situationer där det visar sig att den personuppgiftsansvarige gjort en felaktig bedömning men där över- trädelsen av överföringsförbudet inte är särskilt klandervärd. Det ansågs angeläget att motverka sådana negativa konsekvenser. Vad som är ringa fall får bedömas med hänsyn till samtliga omständigheter i det enskilda fallet. Alla faktorer som uppgifternas art och vilken integritetskränkning eller risk för integritetskränkning som behandlingen orsakat skall vägas in vid bedömningen. har i domen i det s.k. konfirmandlärarmålet (dom i mål C-101/01, . 2003 s. I-12971) betonat att sank- tionsåtgärder alltid måste stå i överensstämmelse med proportionalitets- principen och att det i enlighet med den principen ankommer på de na- domstolarna att beakta alla omständigheter, bl.a. överträdelsen av reglerna har pågått och hur viktigt det är för de be- rörda att de uppgifter som har spritts skyddas. 9.1.2Avkriminalisering av oaktsamhet av normalgraden Regeringens förslag: Oaktsamhet av normalgraden skall inte längre vara straffbar. Utredningens förslag: Överensstämmer med regeringens. Remissinstanserna: Samtliga remissinstanser som har yttrat sig i den- na del tillstyrker förslaget. Skälen för regeringens förslag: Vid införandet av personuppgiftsla- gen ansågs det att vikten av att följa vissa, särskilt angivna, regler in- skärptes på ett ändamålsenligt sätt genom att straffansvar kan inträda redan vid oaktsamhet av normalgraden (prop. 1997/98:44 s. 108 f.). Där- efter har emellertid ett undantag införts för ringa fall av överträdelser, främst för fall där den personuppgiftsansvarige gjort en felaktig bedöm- ning men överträdelsen inte är särskilt klandervärd (prop. 1999/2000:11 s. 18 f.). I de särskilda registerförfattningar som införts efter personupp- giftslagen har det normalt inte tagits in några särskilda bestämmelser om straff. Att som utredningen föreslagit avkriminalisera oaktsamhet av normal- graden vid överträdelse av personuppgiftslagen skulle utgöra ytterligare ett steg mot en missbruksinriktad regleringsmodell på såväl det område som faller in under den föreslagna missbruksregeln, som på det som fal- ler utanför och fortfarande styrs av lagens hanteringsregler. Den ändring som regeringen föreslår för behandling av personuppgif- ter i ostrukturerat material kan, som vissa remissinstanser påpekat, inne- bära att det kan uppstå gränsfall där det för personuppgiftsansvariga kan vara svårt att, innan en fast rättspraxis har utbildats, på förhand avgöra om den behandling de avser att utföra faller inom ramen för det undan- tagna området eller inte. Det kan t.ex. förutses att det kommer att uppstå situationer där det visar sig att den personuppgiftsansvariga gjort en fel- aktig bedömning av om behandlingen utförs i ett strukturerat material eller inte men där överträdelsen inte är särskilt allvarlig. I stor utsträck- ning bör i och för sig regeln om att ringa fall är straffria vara tillräcklig för att undvika oskäliga resultat vid mindre klandervärda felbedömning- Det finns dock situationer som regeln om ringa fall inte torde omfatta Prop. 2005/06:173 men där det ändå kan finnas anledning att överväga straffrihet. främst det fallet att en oaktsamhet har lett till en skada eller en integri- tetskränkning som inte är försumbar. Då kan det med hänsyn till gär- ningens konsekvenser vara svårt att med fog påstå att det är fråga om ett ringa fall. Den oaktsamhet som den personuppgiftsansvarige uppvisat, t.ex. i förhållande till om behandlingen utförts i ett ostrukturerat material eller till att känsliga personuppgifter har behandlats, kan emellertid i det enskilda fallet ha varit mindre klandervärd. En avkriminalisering av oaktsamhet av normalgraden skulle i sådana fall motverka oskäliga resul- tat. Detta gäller både för det område som faller in under missbruksregeln och det som fortfarande regleras av hanteringsreglerna. Frågan är då om det finns några bärande skäl emot en sådan avkrimi- nalisering som ligger i linje med hur synen på behovet av straff utveck- lats efter införandet av personuppgiftslagen. Så kan enligt regeringens mening inte anses vara fallet. Som framhållits inledningsvis har utveck- lingen snarare gått mot att straff inte är en nödvändig reaktion på över- trädelser av personuppgiftslagen eller anslutande registerförfattningar. Om de registrerades integritet kränks eller om de annars lider skada kan de i första hand begära skadestånd av den personuppgiftsansvarige oav- sett om denne begått en straffbar överträdelse av personuppgiftslagen eller inte. Vidare skall grovt oaktsamma förfaranden fortfarande vara straffbara. Därmed kan man beivra de fall där den tilltalade visat uppen- bar nonchalans. Det får anses tillräckligt för att inskärpa vikten av att reglerna om behandling av personuppgifter följs. Regeringen föreslår således att bara uppsåtliga och grovt oaktsamma förfaranden skall vara straffbara. Rätten för den registrerade att på begäran få ett s.k. registerutdrag med de uppgifter om honom eller henne som en personuppgiftsansvarig behand- lar har funnits . Bestämmelser om rätt till registerutdrag fanns redan i datalagen (1973:289) och finns i 26 § personuppgifts- lagen som genomför artikel 12 i EG-direktivet. Enligt 26 § personuppgiftslagen är den personuppgiftsansvarige skyl- dig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande behandlas eller inte. Behandlas sådana uppgifter skall skriftlig information ett s.k. re- gisterutdrag lämnas också om vilka uppgifter om den sökande som be- handlas, varifrån dessa uppgifter har hämtats, ändamålen med behand- lingen, och till vilka mottagare eller kategorier av mottagare som uppgif- terna lämnas ut. Registerutdraget skall lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får utdraget dock lämnas senast efter det att ansökan gjordes. Det finns ett par undantag i personuppgiftslagen från skyldigheten att lämna registerutdrag. Ett sådant utdrag behöver inte omfatta personupp- gifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Det gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats . Utdraget behöver inte heller omfatta sådan information som enligt vad som är särskilt före- skrivet i lag eller annan författning eller i beslut som har meddelats med stöd av författning inte får lämnas ut till den registrerade, 27 § person- uppgiftslagen. Författningsgrundade bestämmelser om sekretess och tystnadsplikt går således före skyldigheten att lämna registerutdrag. En personuppgiftsansvarig som inte är en myndighet får därvid i motsvaran- de fall som avses i sekretesslagen (1980:100) vägra att lämna ut uppgifter till den registrerade. De två nu berörda undantagen har grundats på artikel i EG- direktivet. Att få ha sina ofärdiga alster och minnes- anteckningar i fred har nämligen betraktats som en sådan fri- och rättig- het som enligt artikel 13.1 berättigar till en begränsning av informations- skyldigheten. De bestämmelser om sekretess och tystnadsplikt som finns i har vidare ansetts vara uppställda till skydd för sådana fri- och rättigheter som avses i EG-direktivet. 9.2.2Ingen ändring av skyldigheten att lämna registerutdrag avseende behandlingar i strukturerat material Regeringens bedömning: Det bör inte göras någon ändring av skyl- digheten att lämna information enligt 26 § personuppgiftslagen för så- dana behandlingar som även fortsättningsvis skall omfattas av person- uppgiftslagens hanteringsregler. Utredningens förslag: Överensstämmer inte med regeringens. Utred- ningen har föreslagit att information enligt 26 § personuppgiftslagen inte skall behöva lämnas i den utsträckning det skulle visa sig omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats för den personupp- giftsansvarige. Remissinstanserna: En majoritet av remissinstanserna, bl.a. Riksda- gens ombudsmän, , , Statistiska cen- tralbyrån och juridiska fakultetsnämnden vid , tillstyrker förslaget. och menar att det är tveksamt om förslaget är förenligt med EG-direktivet om skydd för personuppgifter. Skälen för regeringens bedömning: Höga kostnader och oproportio- nerligt stor arbetsbörda för de personuppgiftsansvariga har, såväl av re- missinstanserna som av dem som svarat på enkät om EG-direktivet (Ds 2001:27), framförts som argument mot skyldighe- ten att lämna registerutdrag i den utsträckning som personuppgiftslagen kräver. Sådana synpunkter har i första hand förts fram med anledning av att skyldigheten omfattar inte endast, som , sådana upp- gifter som finns i regelrätta register utan också uppgifter i ostrukturerat material. Personuppgiftsansvariga som har en större mängd sådant mate- rial, t.ex. i form av löpande text, upplever problem med att uppfylla sin skyldighet att lämna korrekta registerutdrag särskilt om materialet finns Prop. 2005/06:173 på olika ställen, t.ex. i hundratals persondatorer. Redan vid införandet av personuppgiftslagen uppmärksammade regeringen att det beträffande sådant material kan innebära särskilda svårigheter att söka fram alla upp- gifter om en och samma person (se prop. 1997/98:44 s. 82 f.). Som framgår av avsnitt 8.4 föreslår regeringen , till skillnad från ut- redningen, att det beträffande sådant ostrukturerat material, t.ex. löpande text, som omfattas av den föreslagna missbruksregeln införs ett undantag från skyldigheten att lämna registerutdrag. På så sätt kommer man enligt regeringens uppfattning till rätta med många av de problem som remiss- instanserna och övriga personuppgiftsansvariga har påtalat. Att därutöver införa undantag från eller lättnader i skyldigheten att lämna registerutdrag vore enligt regeringens mening att föra för långt. Rätten att på begäran få ett registerutdrag är grundläggande för den regi- strerade och har funnits alltsedan 1973 års datalag antogs. Som framhål- lits i avsnitt 8.4 fyller den en viktig kontrollfunktion, framför allt när uppgifterna finns i regelrätta register och stora databaser där integritets- riskerna typiskt sett är större. Genom registerutdraget får den registrerade möjlighet att kontrollera om han eller hon är registrerad och, om så är fallet, att de registrerade uppgifterna är riktiga. Rätten till insyn är vidare en förutsättning för att den registrerade i praktiken skall kunna få felakti- ga uppgifter rättade i sådant material som inte omfattas av den föreslagna missbruksregeln. Skyldigheten för den personuppgiftsansvarige att lämna registerutdrag inträder först när den registrerade begär ett sådant utdrag. I enlighet med vad som angetts i förarbetena till personuppgiftslagen (prop. 1997/98:44 s. 82 f.) krävs det i princip inte heller att den personuppgiftsansvarige vidtar några förberedande åtgärder innan en begäran framställts; en an- nan sak är att allmänna administrativa skäl talar för att den personupp- giftsansvarige på förhand utarbetar rutiner för att på ett så effektivt sätt som möjligt kunna uppfylla registerutdragsskyldigheten, på samma sätt som sådana rutiner behövs för ett effektivt uppfyllande av andra skyldig- heter i verksamheten. Det är således inte fråga om någon betungande skyldighet i den vardagliga hanteringen av personuppgifter. Vidare är, som regeringen konstaterade i a. prop. (s. 83) den personuppgiftsansvari- ge bara skyldig att utnyttja de sök- och sammanställningsmöjligheter som han eller hon har tillgång till för att få fram information att lämna till den registrerade. Den personuppgiftsansvarige har således ingen skyldighet att tillskapa t.ex. nya program eller funktioner som det i övrigt inte finns behov av i verksamheten. Sammanfattningsvis anser alltså regeringen att övervägande skäl talar för att någon ändring av skyldigheten enligt 26 § personuppgiftslagen att på begäran lämna registerutdrag inte bör göras såvitt gäller uppgifter som behandlas i sådant material som faller utanför den föreslagna missbruks- regelns tillämpningsområde. Regeringens förslag: En myndighets beslut om information, om rät- telse och underrättelse till tredje man om rättelseåtgärder, om informa- tion om automatiserade beslut och om allmänna upplysningar om på- gående behandlingar får överklagas hos allmän förvaltningsdomstol. Andra beslut enligt personuppgiftslagen får inte överklagas. Pröv- ningstillstånd krävs vid överklagande till kammarrätten. Bestämmel- serna om överklagande skall dock inte gälla beslut av , re- geringen och ombudsmän. Regeringens bedömning: Särskilda bestämmelser om hur beslut av allmänna domstolar och allmänna förvaltningsdomstolar överklagas bör tas in i de registerlagar som skall reglera domstolarnas behandling av personuppgifter. Utredningens förslag: Överensstämmer i huvudsak med regeringens. Utredningen har dock inte föreslagit någon särreglering för ombudsmän. Remissinstanserna: De flesta remissinstanserna tillstyrker förslaget. ombudsmän () menar dock att JO:s beslut inte bör kunna överklagas. Kammarrätten i och anser att man bör överväga om inte även överklagande av en domstols egna beslut om behandling av personuppgifter bör tas in i personuppgiftslagen. Dom- stolsverket påpekar att även överklagande av hyres- och arrendenämn- ders beslut bör regleras särskilt. Skälen för regeringens förslag och bedömning: EG-direktivet om personuppgifter kräver inte att andra beslut än tillsynsmyndighetens skall kunna överklagas. I personuppgiftslagen finns det heller inga andra be- stämmelser om överklagande än 51 § som endast reglerar överklagande av tillsynsmyndighetens beslut. Frågan om överklagande av andra myn- digheters beslut enligt personuppgiftslagen berördes inte heller särskilt i förarbetena till lagen. Trots avsaknad av uttryckliga bestämmelser därom torde dock, som utredningen konstaterat (bet. s. 210), tillämpningen av allmänna förvaltningsrättsliga principer leda till att åtminstone vissa be- slut av en myndighet enligt personuppgiftslagen kan överklagas. I samband med utformningen av särskilda registerlagar efter ikraftträ- dandet av personuppgiftslagen har ofta den bedömningen gjorts att myn- dighetsbeslut som direkt berör den enskilde skall kunna överklagas, me- dan myndighetsbeslut som ansetts som interna eller administrativa t.ex. beslut om att inrätta ett register och således inte direkt berör den en- skilde inte bör kunna överklagas. Det har därför införts bestämmelser som vanligen anger att beslut om rättelse och om information som skall lämnas enligt 26 § personuppgiftslagen (s.k. registerutdrag) får överkla- gas till allmän förvaltningsdomstol, dvs. länsrätt, och bestämmelser som ibland dessutom anger att andra beslut inte får överklagas. Prövningstill- stånd krävs för överklagande till kammarrätt. Bilden är dock något splitt- rad i fråga om existensen och utformningen av bestämmelser om över- klagande i särskilda registerlagar. Lagrådet har i yttranden över särskilda registerför- fattningar framfört synpunkten att regeringen bör överväga möjligheten att i personuppgiftslagen införa överklagandebestämmelser i fråga om myndigheters rättelse- och informationsbeslut (se bl.a. prop. 2000/01:54 s. 77 f. och prop. 2002/03:40 s. 241). På så sätt skulle bestämmelserna om meddelande av t.ex. rättelse- och informationsbeslut och om överkla- gande av dessa beslut finnas i en och samma lag. Regeringen kan instämma i att det i allmänhet inte är tillfredsställande att bestämmelser om överklagande av beslut finns i en lag och bestäm- melser om beslutens meddelande i en annan. Till detta kommer att inte alla myndigheters personuppgiftsbehandling regleras i en särskild regis- terförfattning. Dessa myndigheter stödjer i stället sin behandling direkt på personuppgiftslagen. För att avgöra om sådana myndigheters beslut enligt lagen kan överklagas måste utgångspunkt tas i allmänna förvalt- ningsrättsliga principer om överklagande i stället för i en uttrycklig be- stämmelse i lagen. Mot bakgrund av dessa förhållanden bör det, som ut- redningen föreslagit, i personuppgiftslagen införas särskilda bestämmel- ser om överklagande av myndighetsbeslut. Med den principiella utgångspunkten att beslut som direkt berör den enskilde skall kunna överklagas och att andra beslut, som kan betecknas som interna eller administrativa, inte bör få överklagas står det klart att, som utredningen konstaterat, följande beslut enligt personuppgiftslagen som meddelats av en myndighet bör få överklagas. Beslut om information (registerutdrag) enligt 26 §. Beslut om rättelse och underrättelse till tredje man om rättelseåt- gärder enligt 28 §. Beslut om information om automatiserade beslut enligt 29 § andra stycket. Beslut om allmänna upplysningar om pågående behandlingar en- ligt 42 §. Det bör alltså införas en uttrycklig bestämmelse i personuppgiftslagen om att dessa beslut av myndighet får överklagas. Det bör också tas in en uttrycklig bestämmelse i personuppgiftslagen om att andra beslut av en myndighet inte får överklagas. I likhet med vad som gäller enligt i prin- cip samtliga registerförfattningar som innehåller särskilda bestämmelser om överklagande bör prövningen göras av allmän förvaltningsdomstol, dvs. Prövningstillstånd bör krävas för överklagande till kammar- rätt. För överklagande av domstolarnas beslut gäller en delvis annan ordning än den föreslagna. Deras beslut om rättelse och information överklagas enligt särskilda regler i förordningar för respektive domstol (10 § förordningen [2001:639] om registerföring m.m. vid all- männa domstolar med hjälp av automatiserad behandling, 10 § förord- ningen [2001:640] om registerföring m.m. vid länsrätt med hjälp av au- tomatiserad behandling och 11 § förordningen [2001:641] om registerfö- ring m.m. vid Regeringsrätten och kammarrätterna med hjälp av automa- tiserad behandling). Frågan om en lagreglering av domstolarnas samt hyres- och arrendenämndernas behandling av personuppgifter övervägs inom med anledning av Domstolsdata- utredningens förslag (SOU 2001:100). I det arbetet inbegrips även frågan om ordningen för överklagande av beslut. Det finns inte anledning att nu föregripa dessa överväganden.