prop · GT03173 · 2006-03-21 00:00:00 — En sak står dock klar redan nu; den särre- glering som även i fortsättningen torde krävas på detta område bör inte tas in i personuppgiftslagen som är en generell lag utan särbestämmelser för vissa myndigheter. De särskilda bestämmelser som det kan finnas behov av för domstolarna bör, som , tas in i särskilda författningar. En sådan ordning blir i och för sig ett avsteg från den grundläggande princip som regeringen ovan ansett i allmänhet bör gälla om att bestäm- melser om meddelande och överklagande av ett och samma beslut bör Prop. 2005/06:173 finnas i samma lag. Denna konsekvens får dock accepteras på det be- gränsade och speciella område som överklagande av domstols beslut ut- gör. Utredningen har föreslagit att det i personuppgiftslagen tas in en erin- ran om att det finns särskilda föreskrifter såvitt avser överklagande av domstolarnas beslut. En sådan informationsbestämmelse är enligt reger- ingens mening överflödig. Personuppgiftslagen är subsidiär i förhållande till andra författningar. Om det finns avvikande bestämmelser i en annan lag eller i en förordning skall, enligt 2 § personuppgiftslagen, de be- stämmelserna gälla. Att det på vissa områden finns sådana avvikande bestämmelser behöver inte särskilt anges. Beslut enligt personuppgiftslagen som meddelats av riksdag och reger- ing bör inte kunna överklagas, jfr ordningen om utlämnande av allmänna handlingar, 15 kap. 7 § tredje stycket sekretesslagen (1980:100). En ut- trycklig bestämmelse därom bör tas in i personuppgiftslagen. ombudsmän () har påpekat att inte heller JO:s beslut bör kunna över- klagas. För utlämnande av allmänna handlingar gäller samma ordning för JO som för och regeringen, se 4 § andra stycket lagen (1989:186) om överklagande av administrativa beslut av riksdagsförvalt- ningen och myndigheter. Det finns inte anledning att se an- norlunda på JO:s beslut enligt personuppgiftslagen. Även JO bör alltså tas med i uppräkningen av de organ vars beslut inte kan överklagas. Genom införandet av en bestämmelse om överklagande i personupp- giftslagen är det inte längre nödvändigt att i särskilda registerförfattning- ar, som hänvisar till personuppgiftslagen, ta in överklagandebestämmel- ser. Så länge sådana särskilda bestämmelser inte upphävts gäller de dock i första hand eftersom särbestämmelser i annan författning gäller framför personuppgiftslagen (2 §). Det kan finnas anledning att vid översyn av registerförfattningar särskilt uppmärksamma frågan om överklagande. 9.4Undantag enligt artikel 13 i EG-direktivet om per- sonuppgifter 9.4.1Artikel 13 i EG-direktivet Som framgått av tidigare avsnitt finns det i artikel 13.1 EG-direktivet bestämmelser om att medlemsstaterna genom lagstiftning får begränsa omfattningen av vissa skyldigheter och rättigheter som följer av direkti- vet. Det gäller de skyldigheter och rättigheter som anges i artikel 6.1, 10, 11.1, 12 och 21, dvs. de grundläggande kraven på behandlingen av personuppgifter (arti- kel 6.1, som motsvaras av 9 § personuppgiftslagen) skyldigheten att informera den registrerade (artikel 10 och 11.1, som motsvaras av 2325 §§ personuppgiftslagen) rätten att på begäran få tillgång till uppgifterna och rättelse (artikel 12, som motsvaras av 26 och 28 §§ samt 29 § andra stycket per- sonuppgiftslagen) reglerna om ett offentligt register över anmälda behandlingar och skyldigheten att hålla information om andra behandlingar tillgäng- lig (artikel 21, som motsvaras av 42 § personuppgiftslagen och 7 § personuppgiftsförordningen) En sådan begränsning måste vara en nödvändig åtgärd med hänsyn till a)statens säkerhet, b)försvaret, c)allmän säkerhet, d)förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för lagreglerade yrken, e)ett viktigt ekonomsikt eller finansiellt intresse hos en medlemsstat eller hos Europeiska unionen, inklusive monetära frågor, budgetfrågor och skattefrågor, f)en tillsyns-, inspektions- eller regleringsfunktion som, även om den är av övergående karaktär, är förbunden med myndighetsutövning i de under punkterna c), d) och e) nämnda fallen eller g)skydd av den registrerades eller andras fri- och rättigheter. En del av de intressen som nämns i artikeln avser sådan verksamhet som faller utanför gemenskapsrätten och därmed inte omfattas av direk- tivet (se artikel 3.2 i direktivet). Personuppgifter som behandlas i verk- samheter som omfattas av gemenskapsrätten och därmed av direktivet kan dock t.ex. behöva lämnas ut för att användas i verksamhet som faller utanför gemenskapsrätten. Artikel 13.1 ger i detta fall stöd för att begrän- sa användningen av vissa bestämmelser i direktivet för de verksamheter som i och för sig omfattas av direktivet i syfte att underlätta för verksam- het som inte omfattas av gemenskapsrätten. Något generellt undantag som motsvarar det som är tillåtet att göra en- ligt artikel 13 i EG-direktivet har inte tagits in i personuppgiftslagen, och frågan om att ta in ett sådant undantag har inte heller diskuterats i förar- betena. Däremot har artikel 13 åberopats som grund för ett par specifika undantag eller motsvarande i lagen. Det gäller dels definitionen av blockering, dels undantag från skyldigheten att lämna registrerade infor- mation (se prop. 1997/98:44 s. 47 och s. 83 f.). 9.4.2Rätt för regeringen att i fall som avses i artikel 13 i EG- direktivet föreskriva om undantag Regeringens förslag: Regeringen skall få meddela föreskrifter om så- dana undantag som är tillåtna enligt artikel 13.1 i EG-direktivet om skydd för personuppgifter. Utredningens förslag: Överensstämmer delvis med regeringens. Ut- redningen har dock föreslagit att rätten att meddela föreskrifter även skall kunna delegeras till den myndighet regeringen bestämmer samt att reger- ingen eller den myndighet regeringen bestämmer skall få meddela beslut i enskilda fall. Remissinstanserna: En majoritet av de remissinsatser som har yttrat sig i denna del, bl.a. Kammarrätten i och juridiska fakultets- nämnden vid , tillstyrker förslaget. nen invänder mot att delegation till myndighet skall kunna ske eftersom de intressen som anges i artikel 13 i EG-direktivet är sådana som reger- ingen i fråga om förbudet mot att överföra personuppgifter till tredje land inte ansett det lämpligt att delegera till myndighet. Försvarsmakten me- nar att begreppet statens säkerhet bör bytas ut mot rikets säkerhet och att begreppet försvaret bör konkretiseras till det militära försva- ret om det är vad som avses. Skälen för regeringens förslag: Artikel 13.1 i EG-direktivet ger möj- lighet till undantag från vissa bestämmelser när det är nödvändigt med hänsyn till fullgörandet av viktiga samhälls- eller myndighetsfunktioner (punkt af). Dessutom finns det, som framgått i avsnitt 8.3.2, möjlighet att göra undantag om det är nödvändigt med hänsyn till skyddet av fri- och rättigheter (punkt g). Som ett led i att, inom ramen för nuvarande lydelse av EG-direktivet, i så stor utsträckning som möjligt införa undantag från personuppgiftsla- gens hanteringsregler har utredningen haft att överväga om de undan- tagsmöjligheter som artikel 13 erbjuder bör tas in direkt i personuppgifts- lagen. Utredningen har dock kommit fram till att dessa undantag är allt- för generella och vaga för att det lämpligen skall låta sig göras. Reger- ingen har ingen annan uppfattning. Att låta alla personuppgiftsansvariga själva bedöma om det är befogat med ett undantag i ett konkret fall skulle kunna leda till rättsosäkerhet och risk för integritetskränkningar. Resulta- tet skulle också kunna bli att personuppgiftsansvariga, av rädsla för att göra fel, inte utnyttjar undantagsbestämmelserna i tillräcklig utsträckning för att t.ex. viktiga samhälls- och myndighetsfunktioner skall fungera tillfredsställande. Bedömningen av om det är nödvändigt för att sådana funktioner skall fungera eller för skyddet för fri- och rättigheter att vissa regler i personuppgiftslagen inte tillämpas bör vidare inte göras av varje enskild personuppgiftsansvarig. Regeringen anser därför, i likhet med utredningen, att sådana undantag som är tillåtna enligt artikel 13.1 nor- malt bör utformas som skyldigheter för personuppgiftsansvariga och inte som regler som ger denne möjlighet att, om han eller hon så skulle önska, göra undantag. Att i någon större utsträckning ta in bestämmelser i personuppgiftsla- gen om sådana skyldigheter, som grundar sig på andra intressen än integ- ritetsskyddet, skulle strida mot systematiken i och syftet med personupp- giftslagen. I särlagstiftning med bestämmelser som avviker från person- uppgiftslagen (se 2 §) är det emellertid möjligt att på speciella områden införa preciserade bestämmelser med undantag som baserar sig på artikel 13.1. Det kan t.ex. gälla bestämmelser om uppgiftsskyldighet till myn- digheter som skall gälla oavsett vilket ändamål den personuppgiftsansva- rige ursprungligen bestämt för sin behandling av personuppgifterna och oavsett den s.k. finalitetsprincipen i 9 § första stycket d personuppgifts- lagen. Konkreta bestämmelser som grundar sig på möjligheterna till un- dantag enligt artikel 13.1 bör vid behov tas in i sådana författningar. Det ger den bästa garantin för en välgrundad och rimlig avvägning i den ak- tuella situationen mellan integritetsskyddet och andra intressen. Den nu- varande lagstiftningssystematiken där undantagsbestämmelser som stöder sig på artikel 13.1 normalt inte finns i personuppgiftslagen utan i särlagstiftning med avvikande bestämmelser är således ändamålsenlig och bör bestå. Som utredningen har påtalat kan det uppkomma situationer, som inte Prop. 2005/06:173 varit möjliga att förutse vid utarbetandet av sådan särlagstiftning, där det är befogat att undantag görs med stöd av artikel 13. För sådana fall kan det behövas en möjlighet för regeringen att enligt personuppgiftslagen föreskriva om undantag, t.ex. i avvaktan på att särlagstiftning hinner ut- arbetas eller ändras. Som utredningen föreslagit bör därför regeringen bemyndigas att meddela generella föreskrifter om sådana undantag som är tillåtna enligt artikel 13.1 i direktivet. Enligt utredningens förslag skall denna rätt kunna delegeras även till den myndighet regeringen bestäm- mer, i första hand Datainspektionen. Regeringen anser dock, i likhet med Datainspektionen, att de intressen som det enligt artikel 13.1 kan göras undantag för, t.ex. statens säkerhet, allmän säkerhet och försvaret, är så- dana som i första hand bör ankomma på riksdag eller regering att beakta. Det bör därför inte vara möjligt att delegera rätten att föreskriva undantag med stöd av artikel 13.1 till någon annan än regeringen. Något behov av att i enskilda fall besluta om undantag torde enligt regeringens mening inte föreligga. Det bör därför inte, som utredningen har föreslagit, införas en sådan möjlighet för regeringen eller myndighet. Personuppgiftslagen följer i stort sett direktivets text och struktur. Det- ta har motiverats med att det är som har att tolka de be- grepp och uttryck som direktivet innehåller (se prop. 1997/98:44 s. 38). Mot bakgrund av detta bör man vid införandet av de undantagsmöjlighe- ter som artikel 13 erbjuder så långt möjligt nära ansluta till de formule- ringar som används i artikeln. Försvarsmakten har påtalat att man i lag- texten bör byta ut begreppet statens säkerhet mot rikets säkerhet. Av kommissionens förklaring till direktivet (se SOU 1993:10 s. 184) fram- går att begreppet statens säkerhet är avsett att omfatta skydd av den na- suveräniteten mot såväl interna som externa hot. Detta får anses motsvara vad som innefattas även i begreppet rikets säkerhet. Mot bak- grund härav bör man som Försvarsmakten föreslagit använda det i svensk författningstext mer gängse uttrycket rikets säkerhet. Vad som innefattas i EG-direktivets uttryck försvaret är emellertid mera oklart. Det torde enligt regeringens mening kunna omfatta såväl det militära som det civila försvaret. Regeringen finner inte anledning att i detta av- seende i lagtexten introducera något annat begrepp än direktivets. Regeringens förslag: Ändringarna skall träda i kraft Föreskrifterna om överklagande skall dock inte tillämpas i fråga om överklagande av beslut som meddelats före ikraftträdandet. Utredningens förslag: Utredningen har inte föreslagit något datum för I övrigt överensstämmer det med regeringens. Remissinstanserna: Några särskilda synpunkter har inte framförts i Skälen för regeringens förslag: De föreslagna ändringarna i person- uppgiftslagen bör träda i kraft . På så sätt ges tid för Datainspektionen att förbereda informationsinsatser för personuppgifts- ansvariga, personuppgiftsombud och allmänhet samt utarbeta och vid Prop. 2005/06:173 behov omarbeta informationsmaterial. Den nya bestämmelsen om överklagande bör dock inte tillämpas på beslut som meddelats före ikraftträdandet. Av 5 § andra stycket lagen (1964:163) om införande av följer att en gärning som begåtts före ikraftträdandet av den nya lydelsen av straffbestämmelsen i personuppgiftslagen och som är att bedöma som oaktsamhet av normalgraden, inte skall leda till straff om dom meddelas efter ikraftträdandet. Regeringens bedömning: De föreslagna ändringarna bedöms endast leda till marginella merkostnader. Dessa skall finansieras inom befint- liga ramar. Utredningens bedömning: Överensstämmer med regeringens. Remissinstanserna: Länsrätten i efterlyser en bättre analys av kostnadseffekterna för domstolarna och menar att även om det torde vara möjligt att överklaga myndigheters beslut enligt personuppgiftslagen kommer en uttrycklig bestämmelse därom att leda till att fler får kännedom om möjligheten. Datainspektionen menar att extra resurser kommer att behövas, både för dess vägledande informa- tionsinsatser och för hanteringen av frågor och klagomål. Skälen för regeringens bedömning: Lagförslaget innebär bl.a. att behandling av personuppgifter i ostrukturerat material underlättas i för- hållande till vad som gäller . Detta medför i sig inte några kostnads- ökningar. För Datainspektionens del innebär förslaget i ett initialt skede ett ökat behov av informationsinsatser riktade till personuppgiftsansvari- ga, personuppgiftsombud och allmänheten. Detta skall hanteras inom ramen för befintligt anslag. Förslaget att införa en uttrycklig bestämmelse i personuppgiftslagen om att vissa beslut enligt personuppgiftslagen som fattas av myndigheter skall kunna överklagas till allmän förvaltningsdomstol innebär i prakti- ken endast en kodifiering av vad som får anses gälla enligt allmänna förvaltningsrättsliga principer. Införandet av en uttrycklig be- stämmelse i lagen kan i och för sig sägas leda till att fler får kännedom om möjligheten att överklaga och därmed utnyttjar denna möjlighet i större utsträckning än . Detta kan dock inte förutses ske i sådan om- fattning att domstolarna skulle behöva kompenseras ekonomsikt. Övriga förslag kan heller inte anses vara av sådan karaktär att de bör föranleda några kostnadsmässiga konsekvenser. Paragrafen, som är ny och som har utformats i enlighet med Lagrådets förslag, har behandlats i avsnitt 8.18.4. Den syftar till att underlätta sådan behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller samman- ställning av personuppgifter. Som en sammanfattande benämning på vad som avses med denna formulering har i rubriken till paragrafen begrep- pet ostrukturerat material använts. I avsnitt 8.1 har utvecklats och ex- emplifierats vad som avses med den i paragrafen valda formuleringen. Det är strukturen på materialet, där personuppgifterna ingår, som avgör om paragrafen är tillämplig eller inte. Vilken typ av personuppgifter som behandlas eller i vilket medium de förekommer, t.ex. i text, ljud eller bild eller annat, inverkar inte på bedömningen. Personuppgifter som finns i en sådan samling som avses i 5 § andra stycket (s.k. register) får alltid anses ingå i en sådan strukture- rad samling som avses i förevarande paragraf. Det innebär att undantaget i denna paragraf bara har betydelse för automatiserad behandling av per- sonuppgifter eftersom behandling av personuppgifter omfattas av lagen endast om uppgifterna ingår i en strukturerad samling (register) i enlighet med 5 § andra stycket. Bestämmelsen i första stycket innebär att behandling av personuppgif- ter i ostrukturerat material är undantagen från samtliga hanteringsregler i personuppgiftslagen som det har bedömts möjligt att inom ramen för EG- direktivet om personuppgifter göra undantag från. Detta betyder att den som behandlar personuppgifter t.ex. i löpande text i ordbehandlingspro- gram, i e-post eller på Internet samt i enstaka ljud- eller bildupptagningar inte behöver beakta bestämmelserna om grundläggande krav på behand- lingen av personuppgifter (9 §) och om när behandling av personuppgif- ter är tillåten (10 §). Inte heller behöver den personuppgiftsansvarige iaktta förbuden i 13 och 21 §§ mot att behandla känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. eller de särskilda villkor för behandling av personnummer som uppställs i 22 §. Vidare är den per- sonuppgiftsansvarige inte skyldig att tillämpa bestämmelserna om när information till den registrerade skall lämnas (23, 24 och 26 §§). Han eller hon är inte heller skyldig att på begäran av den registrerade rätta m.m. personuppgifter enligt 28 § samt behöver inte iaktta förbudet i 33 § mot överföring av personuppgifter till tredje land som inte har en adekvat nivå för skyddet av personuppgifterna. Slutligen undantas sådan behand- ling från skyldigheten enligt 42 § att lämna upplysningar till allmänheten. Skall materialet, t.ex. den löpande texten, infogas i en databas med en personuppgiftsanknuten struktur, exempelvis ett ärendehanteringssystem, måste däremot hanteringsreglerna tillämpas. Sådan behandling av personuppgifter som undantas från de i första stycket angivna hanteringsreglerna regleras i stället av bestämmelsen i andra stycket. Behandlingen får nämligen inte utföras om den innebär en kränkning av den registrerades personliga integritet. Regeringen har valt att följa Lagrådets förslag till formulering av andra stycket trots att det av Statsrådsberedningens riktlinjer för författningsspråket (PM 1994:4) följer att man i normalfallet inte behöver använda sig av så utförliga hän- visningar mellan styckena i en och samma paragraf. Vad som kan utgöra en kränkning av den personliga integriteten har utvecklats i avsnitt 8.2. Bedömningen av vad som är en kränkning skall inte göras schablonartat enbart utifrån vilka uppgifter som behandlas utan måste ta sin utgångspunkt också i t.ex. vilket sammanhang uppgifterna förekommer i, för vilket syfte de behandlas, vilken spridning de har fått eller riskerat att få samt vad behandlingen kan leda till. Det bör även be- aktas att vad som kan utgöra en kränkning för en viss person eller i ett visst sammanhang inte behöver utgöra det för en annan person eller i ett annat sammanhang. En uppgift om exempelvis en persons politiska åsik- ter kan i ett visst sammanhang t.ex. rörande en politiker vara fullstän- digt harmlös medan motsvarande uppgift om en politiskt icke aktiv per- son för denne kan vara väldigt känslig ur integritetssynpunkt. Som påpekats i avsnitt 8.1 innebär inte bestämmelsen att den person- uppgiftsansvarige skulle vara förhindrad att tillämpa de i första stycket uppräknade hanteringsreglerna på ostrukturerat material. Om någon i ett enskilt fall är osäker på om hans eller hennes behandling av personupp- gifter omfattas av undantaget kan han eller hon välja att i stället tillämpa hanteringsreglerna. Har dessa tillämpats kan det inte anses vara fråga om ett missbruk av personuppgifter i den mening som avses i andra stycket. För att det av lagtexten tydligt skall framgå att den personuppgiftsansva- rige har en sådan valmöjlighet anges i första stycket, på inrådan av Lag- rådet, att de angivna hanteringsreglerna inte behöver, i stället för inte skall, tillämpas på behandling av ostrukturerat material. Avsikten med bestämmelsen är inte att behandling av personuppgifter skall bedömas som en kränkning av den personliga integriteten och där- med en överträdelse av personuppgiftslagen i större utsträckning än . Bestämmelsens syfte är således inte att, för automatiserad person- uppgiftsbehandling, tillskapa ett generellt skydd mot vad som i dagligt tal kan betecknas som en kränkning av den personliga integriteten. Om sådan behandling som avses i paragrafen har inneburit en kränk- ning av den registrerades personliga integritet har personuppgifterna be- handlats i strid med personuppgiftslagen på ett sådant sätt att skades- tåndsskyldighet inträder enligt 48 §. Under vissa förutsättningar är hand- landet även straffbelagt, se nedan i anslutning till 49 §. Av 12 § andra stycket följer att den registrerade inte har rätt att motsät- ta sig sådan behandling som är tillåten enligt paragrafen. Tillämpningen av de till 13, 23, 24 och 33 §§ anslutande bestämmel- serna, 1419, 25 och 34 §§ på behandling av personuppgifter i ostruktu- rerat material blir inte aktuell redan genom att tillämpningen av de först- nämnda paragraferna undantas såvitt avser sådan behandling. På inrådan av Lagrådet har dock dessa tagits med i uppräkningen av de undantagna paragraferna. I andra stycket har 5 a § lagts till i uppräkningen. Ändringen är en följd- ändring och innebär att den nya föreslagna paragrafen inte i likhet med de flesta andra bestämmelser i personuppgiftslagen skall tillämpas på sådan behandling av personuppgifter som sker uteslutande för journalis- tiska ändamål eller konstnärligt och litterärt skapande. Paragrafen, som är ny, har behandlats i avsnitt 9.4. I paragrafen bemyndigas regeringen att meddela föreskrifter om un- dantag från vissa bestämmelser i personuppgiftslagen. I fråga om både vilka bestämmelser som undantag kan medges ifrån och under vilka förutsättningar så kan ske skall paragrafen ha samma innebörd som artikel 13.1 i EG-direktivet om personuppgifter. I paragrafen har två nya punkter (e och f) införts. Dessa tillägg har be- handlats i avsnitt 8.5. Vidare har paragrafen ändrats så att de i bestäm- melsen angivna gärningarna inte är straffbara om de begås av oaktsamhet av normalgraden. Skälen härtill har redovisats i avsnitt 9.1.2. Den som uppsåtligen eller av grov oaktsamhet behandlar sådana upp- gifter som avses i 13 och 21 §§, dvs. känsliga personuppgifter och upp- gifter om lagöverträdelser m.m., i strid med 5 a §, dvs. på ett sätt som innebär en kränkning av den registrerades personliga integritet, skall dö- mas för brott mot personuppgiftslagen till böter eller fängelse eller om brottet är grovt till fängelse i högst . I ringa fall skall inte dömas till ansvar. Detsamma skall gälla för den som uppsåtli- gen eller av grov oaktsamhet i strid med 5 a § för över personuppgifter till tredje land som inte har en sådan adekvat nivå för skyddet av person- uppgifterna som avses i 33 §. Utgångspunkten för vad som skall bedö- mas som en kränkning av den personliga integriteten har behandlats i avsnitt 8.2 och i anslutning till 5 a §. Att oaktsamhet av normalgraden inte längre skall vara straffbar inne- bär bl.a. att sådana fall där överträdelsen i sig är mindre klandervärd, men som p.g.a. att oaktsamheten lett till en skada eller en integritets- kränkning som inte är försumbar ändå inte kan bedömas som ringa och därmed straffri, skall falla utanför det straffbara området. Efter förslag från Lagrådet har andra stycket om att prövningstillstånd krävs vid överklagande till kammarrätt flyttats till en ny paragraf, 53 §. Paragrafen, som är ny och som har utformats i enlighet med Lagrådets förslag, har behandlats i avsnitt 9.3 och innebär att sådana beslut enligt personuppgiftslagen som fattats av myndighet och som direkt berör den enskilde skall kunna överklagas till allmän förvaltningsdomstol.