prop · GT03173 · 2006-03-21 00:00:00 — Tvångsmedel Anonymitet Integritet [SOU 1984:54 s. 42]) har man med utgångspunkt bl.a. i de grundläggande fri- och rättigheterna i 2 kap. regeringsformen försökt ringa in begreppet genom att skilja mellan den rumsliga integriteten (hemfriden), den materiella integriteten (egendoms- skyddet), den kroppsliga integriteten (skydd för liv och hälsa, mot in- grepp i eller mot kroppen), den personliga integriteten i fysisk mening (skyddet för den personliga friheten och rörelsefriheten) och den person- liga integriteten i ideell mening (skyddet för privatlivet och för person- ligheten inklusive den privata ekonomin). Ett annat sätt att bestämma begreppet den personliga integriteten är en- ligt (se 1971 s. 695 och Individens skyddade personlighetssfär, i Om våra rättigheter. Antologi utgiven av Rättsfonden, 1980) att ange vilka handlingar som kan anses kränka nå- gons integritet. Man kan då dela in kränkningarna i tre huvudgrupper: 1) intrång i en persons privata sfär, oavsett om det sker i fysisk eller annan mening; 2) insamlande av uppgifter om en persons privata förhållanden; 3) offentliggörande eller annan användning (t.ex. som bevisning i en rät- tegång) av uppgifter om en persons privata förhållanden. Uppfattningen om vad som kan sägas omfattas av den personliga in- tegriteten varierar mellan olika människor. Det beror i hög grad på den enskildes subjektiva uppfattning om vad denne anser ingå i den rent per- sonliga sfären. Den enskildes uppfattning kan i sin tur påverkas av t.ex. politisk eller religiös övertygelse. Dessutom förändras inställningen till integritet över tiden. Värderingar påverkas mycket av den tidsålder och Prop. 2005/06:173 det samhälle man lever i. När det gäller uppgifter som är personliga kan det också ha betydelse i vilket sammanhang de används om den enskilde uppfattar det som att hans eller hennes integritet har kränkts eller inte. Trots att det inte finns någon entydig definition av begreppet personlig integritet kan det måhända sägas att kränkning av densamma innebär ett intrång i en fredad sfär som den enskilde bör vara tillförsäkrad och där ett oönskat intrång, såväl psykiskt som fysiskt, bör kunna avvisas. 6.2Särskilt om personlig integritet vid automatiserad behandling av personuppgifter Att automatiserad behandling av personuppgifter är omgärdad av vissa regler är av avgörande betydelse för att skyddet av den personliga integ- riteten i ideell mening skall kunna upprätthållas. Sådan behandling av personuppgifter kan innebära särskilda risker ur ett integritetsperspektiv då tekniken gör det möjligt att enkelt såväl samla in och sammanställa stora mängder av personuppgifter som att sprida dem. Vissa faktorer har ansetts särskilt viktiga att ta hänsyn till när det gäll- er att bedöma integritetskänsligheten vid automatiserad behandling av personuppgifter. Det gäller arten av personuppgifter som samlas in och registreras, varför detta görs, hur och av vem uppgifterna används samt mängden av uppgifter som samlas på ett och samma ställe eller som på något annat sätt är tillgängliga för bearbetningar och sammanställningar. Sådana tankegångar kan sägas ligga till grund för de dataskyddsprinciper som utarbetats och som hanteringsreglerna i personuppgiftslagen och EG-direktivet tar sin utgångspunkt i. Vilken reglering och begränsning av användningen av personuppgifter som är nödvändig för att skydda den personliga integriteten kan sägas till stora delar vara en fråga som är beroende av rådande värderingar i sam- hället. Värderingarna i samhället påverkas i sin tur bl.a. av hur informa- tionstekniken uppfattas och används. Detta är emellertid ett dynamiskt område där utvecklingen går snabbt. När myndigheter och andra stora organisationer kunde både ha infor- mation lättillgänglig och bearbeta den automatiserat ökade oron för in- trång i den personliga integriteten och utarbetades som ett svar de data- skyddsprinciper som ligger bakom EG-direktivet. Utvecklingen av informationstekniken har därefter gått snabbt. Dato- rer, och därmed tekniken att enkelt lagra och bearbeta information, har blivit ett vardagligt arbetsredskap och var mans egendom. Internationella datakommunikationsnätverk, såsom Internet, har utvecklats och fått ett enormt genomslag hos organisationer och enskilda. Dessa nätverk kan användas inte bara för att kommunicera enskilt med anslutna användare utan också som ett lättillgängligt massmedium där vem som helst kan publicera information. Därmed har den grundläggande konflikten mellan integritetsskydd å ena sidan och yttrande- och informationsfrihet å andra sidan accentuerats. Rätten till skydd för den personliga integriteten är inte absolut, utan kan bli föremål för inskränkningar. Skyddet för den personliga integriteten måste vägas mot motstående legitima och grundläggande värden och intressen, såsom yttrandefrihet, informationsfrihet, offentlighet och brottsbekämpning. Man måste beakta de helt legitima behov som finns att använda per- sonanknuten information i ett samhälle av sådan komplexitet som det vi lever i. Utgångspunkten i förarbetena till datalag var att skyddet för den personliga integriteten inte kan sträcka sig längre än vad som är möjligt med hänsyn till de krav samhällsgemenskapen uppställer (prop. 1973:33 s. 89). Det förutsattes således att en väl fungerande samhällsor- ganisation alltid kommer att medföra intrång i enskilda individers per- sonliga integritet. Frågan blir då vad som kan tolereras och vad som går utöver det som är acceptabelt eller med andra ord vad som är en kränk- ning av den personliga integriteten och vad som inte är det. Mot bakgrund härav kan man säga att en persons integritet kränks i den mån det sker ett intrång i hans eller hennes privata sfär t.ex. genom att uppgifter om honom eller henne, som det finns rimliga skäl att be- teckna som integritetskänsliga, sprids. Dessa uppgifter kan gälla egen- skaper, uppfattningar eller handlingar. Rätten till personlig integritet kan beskrivas som en prima facie-rättighet. Den är en giltig och välgrundad rättighet som dock i en konkret handlingssituation kan sättas ur spel om den kommer i konflikt med någon annan rättighet som väger tyngre. Regeringen har tillsatt en parlamentariskt sammansatt kommitté, (Ju 2004:05), som har i uppdrag att kartlägga och analysera sådan lagstiftning som rör den personliga integriteten och överväga om det vid sidan av befintlig lagstiftning behövs generellt till- lämpliga bestämmelser till skydd för den personliga integriteten och i så fall lämna förslag på en sådan reglering (dir. 2004:51). Bakgrunden till kommitténs uppdrag är att frågan om integritetsskydd i svensk rätt har aktualiserats , bl.a. i samband med debat- ten om en effektiv brottsbekämpning och mot bakgrund av den snabba teknikutvecklingen. Kommittén skall också överväga om grundlagsregeln om integritets- skydd i 2 kap. 3 § andra stycket regeringsformen (RF) bör ändras och i så fall föreslå en ny grundlagsreglering. Enligt den bestämmelsen skall var- je medborgare i den utsträckning som närmare anges i lag skyddas mot att hans personliga integritet kränks genom att uppgifter om honom regi- streras med hjälp av automatisk databehandling. Bestämmelsen slår med andra ord fast att det på det här området skall finnas ett skydd för den personliga integriteten. Till skillnad från vad som gäller enligt de flesta andra fri- och rättighetsregler i 2 kap. RF, ges skyddet i detta fall i vanlig lag och inte i grundlag. Kommittén skall överväga dels om det är lämp- ligt och möjligt att utforma en grundlagsbestämmelse om skyddet för integriteten så att den får samma slags rättsliga betydelse som de flesta andra reglerna i 2 kap. RF, dels om den bör utformas så att den inte hän- Prop. 2005/06:173 visar till något visst tekniskt förfarande, som automatisk databehandling. Rådande värderingar i samhället ger vid handen att personuppgiftslagens hanteringsregler i många fall upplevs som alltför restriktiva och byråkra- tiska i förhållande till det integritetsskydd ett upprätthållande av reglerna kan ge. Detta stöds bl.a. av offentliga utvärdering av reglerna (EG-direktivet om personuppgifter En offentlig utvärde- ring, Ds 2001:27). I takt med att datorer blivit tillgängliga för envar och datoranvändning blivit en vardaglig sak har hanteringsreglerna kommit att framstå som alltmer otidsenliga. När reglerna skall tillämpas inte bara av regelrätta registerförare och deras specialiserade medhjälpare utan också av så gott som varje anställd samt varje privatperson, så snart fråga inte är om behandling av personuppgifter i en verksamhet av rent privat natur (se 6 § personuppgiftslagen), är det naturligt att söka få till stånd enklare regler som på ett mer konkret sätt skyddar den personliga integriteten. De dataskyddsprinciper som ligger bakom hanteringsreglerna i person- uppgiftslagen och de många särskilda registerförfattningar som anknyter till lagen är emellertid fortfarande i allra högsta grad adekvata och rele- vanta i fråga om hantering av personuppgifter i stora, regelrätta register- strukturer. Det gäller t.ex. de stora databaser med personuppgifter som finns hos myndigheter och större företag, såsom banker och försäkrings- bolag, eller företag som specialiserat sig på registerhantering av person- uppgifter vid t.ex. kreditupplysning eller direkt marknadsföring eller vars verksamhet förutsätter sådan hantering i större skala, t.ex. videouthyr- ning. En modern lagstiftning avseende behandling av personuppgifter bör ut- formas så att den är väl anpassad till den snabba tekniska utvecklingen på framförallt på IT-området. Tekniska landvinningar på IT-området bör inte få medföra att regleringen i vissa delar blir orimlig och svår att till- lämpa och efterleva. Å andra sidan skall regleringen vara så utformad att integritetsskyddet inte försvagas i takt med att tekniken utvecklas. Den alltmer utbredda och sammansmälta användningen av informationsteknik i vardagslivet, särskilt i kombination med lagring, bearbetning och kom- munikation av den information som framkommer, har inneburit nya möj- ligheter att kartlägga individer på ett ibland osynligt sätt. Denna utveck- ling ställer nya krav på den lagstiftning som skall skydda enskilda mot att deras integritet otillbörligen kränks. Ytterst sätter naturligtvis EG-direktivet om personuppgifter en gräns för hur den nationella lagstiftningen på området kan utformas. Det står nu klart att kommissionen inte inom någorlunda överskådlig tid lär komma att presentera några förslag till ändringar av direktivet, se Första rapporten om genomförandet av dataskyddsdirektivet (KOM [2003] 265 slutlig s. 8 f.). Under dessa förutsättningar bör enligt regeringens uppfatt- ning utgångspunkten vara att de möjligheter till undantag från och modi- fieringar av direktivets bestämmelser som finns inbyggda i direktivet självt utnyttjas så långt det är möjligt och att personuppgiftslagen därmed Prop. 2005/06:173 utformas så att den, inom direktivets nuvarande ram, underlättar sådan vardaglig behandling av personuppgifter som typiskt sett inte innefattar några större integritetsrisker. För stora traditionella register och databaser där integritetsriskerna generellt sett är större torde däremot personupp- giftslagens detaljerade hanteringsreglering till stora delar vara både än- damålsenlig och, med hänsyn till direktivet, nödvändig samt heller inte vålla några påtagliga tillämpningsproblem. 8Vardaglig behandling av personuppgifter un- derlättas 8.1Missbruksmodell för personuppgiftsbehandling i ostrukturerat material Regeringens förslag: Behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller samman- ställning av personuppgifter skall omfattas av en missbruksmodell. Utredningens förslag: Överensstämmer med regeringens. Remissinstanserna: Samtliga remissinstanser är positiva till att per- sonuppgiftsregleringen lättas upp. En del remissinstanser, bl.a. Kammar- rätten i , Länsrätten i , juridiska fakultetsnämn- den vid , , Datainspek- tionen och , påpekar dock att förslaget kommer att medföra gränsdragningsproblem och efterlyser fler exempel på vilka behandlingar av personuppgifter som kommer att omfattas av missbruksregeln och vilka som även fortsättningsvis kommer att omfattas av hanteringsregler- na. Skälen för regeringens förslag En missbruksreglering bör införas Som har konstaterats i föregående avsnitt är det vid behandling av per- sonuppgifter i personuppgiftsanknutna registerstrukturer, t.ex. traditio- nella myndighetsregister och stora ärendehanteringssystem där man en- kelt kan söka efter och sammanställa personuppgifter, som hanterings- reglerna i EG-direktivet om personuppgifter och i personuppgiftslagen har ett särskilt berättigande på grund av de integritetsrisker som normalt är förknippade med sådan behandling. Sedan direktivet utarbetades i början och mitten av har emellertid teknikutvecklingen gått starkt framåt. Reglerna kan inte anses anpassade för den utbredda användningen av datoriserad informa- tionsteknik för ostrukturerad vardagshantering och kommunikation som vanligtvis är helt harmlös ur ett integritetsperspektiv. När personuppgif- terna inte ingår i en personuppgiftsanknuten registerstruktur utan finns i ostrukturerad form, t.ex. i löpande text och i form av enstaka ljud- och bildupptagningar, är det texten, ljudet eller bilden som är det centrala och inte möjligheterna att söka efter och sammanställa ett stort antal person- uppgifter. Fokus ligger på att sprida information, väcka debatt och kom- municera med andra. Vid sådan behandling gör sig därmed informations- och yttrandefrihetsintressen extra tydligt gällande och skyddet för den personliga integriteten måste vägas mot sådana motstående intressen i större utsträckning än vid behandling av personuppgifter i traditionella register och databaser. Man kan, som bl.a. Radio- och och Sve- riges gjort, med visst fog hävda att hanteringsreglerna i vissa fall kan hämma yttrandefriheten bl.a. eftersom det inte sällan upp- står osäkerhet om hur de skall tillämpas. Behandling av personuppgifter kan givetvis även i ett ostrukturerat ma- terial innebära en kränkning av den personliga integriteten eller medföra risk för en sådan kränkning i ett enskilt fall. Vid behandling av person- uppgifter som inte finns i en tydligt personuppgiftsanknuten register- struktur framstår emellertid hanteringsreglerna som alltför omfattande och byråkratiska med hänsyn bl.a. till att integritetsriskerna normalt är mindre och till de informations- och yttrandefrihetsintressen som gör sig gällande. Som både utredningen och en del remissinstanser framhållit är det heller inte realistiskt att tro att hanteringsreglerna i praktiken tilläm- pas i någon större utsträckning vid vardaglig, ostrukturerad hantering av personuppgifter. Man riskerar därmed att de grundläggande och viktiga dataskyddsprinciperna råkar i vanrykte och inte tillämpas ens vid sådan strukturerad behandling av personuppgifter där de är nödvändiga för in- tegritetsskyddet. Mot bakgrund av detta skulle enligt regeringens bedöm- ning integritetsskyddet i praktiken stärkas om man undantar typiskt sett mindre riskfylld behandling från hanteringsreglernas tillämpningsområde och i stället skapar enklare regler som direkt tar sikte på skydd mot miss- bruk av personuppgifter. Sammanfattningsvis talar enligt regeringens mening en rad omständig- heter för att personuppgiftsregleringen bör lättas upp för sådan vardaglig behandling av personuppgifter som typiskt sett inte innebär några större risker för kränkningar av de registrerades personliga integritet. Exakt vilka av hanteringsreglerna i personuppgiftslagen som det med hänsyn till EG-direktivet är möjligt att göra undantag från behandlas i avsnitt 8.4. Frågan är då hur man avgränsar det slag av personuppgiftsbehandlingar som bör undantas från hanteringsreglernas tillämpningsområde. Utred- ningen har funnit att avgränsningen bör knytas till materialets struktur eftersom det är just struktureringen av ett material med avseende på per- sonuppgifter som kan innebära särskilda integritetsrisker. Remissinstan- serna har inte haft något att invända mot den föreslagna avgränsningen i sig, men påtalat att frågan inte är okomplicerad och att förslaget kan leda till nya tillämpningsproblem. Ingen har dock hävdat att dessa potentiella problem bör leda till att förslaget inte genomförs. Regeringen ansluter sig till utredningens bedömning att det bör vara materialets struktur som bildar utgångspunkt för vad som skall omfattas av ett undantag från hanteringsreglerna. Precis som utredningen själv och många remissinstanser framhållit är emellertid ett sådant förslag inte helt oproblematiskt. Allt som finns i digital form i t.ex. datorer är i någon mening strukturerat och utvecklingen går mot att struktureringen omfat- tar allt mer och blir mer automatiserad och avancerad. Den tekniska ut- vecklingen på området medför att det inte är möjligt att ange absolut fas- ta ramar och kriterier för vad som skall omfattas av en missbruksregel. Varje avgränsning som görs måste bli föremål för utveckling och an- passning i rättstillämpningen. Till detta kommer att lagstiftningen bör utformas så att den inte i takt med den tekniska utvecklingen blir orimlig eller svår att tillämpa och efterleva. Å andra sidan bör naturligtvis lagstif- taren ge så mycket vägledning som möjligt. Lagstiftningen måste vara förutsebar för den enskilde särskilt mot bakgrund av att överträdelser kan leda till såväl skadeståndsansvar som, i vissa begränsade fall, straffansvar (se vidare i avsnitt 8.5). Regeringen vill heller inte utesluta att lagstift- ningen måste ses över i ljuset av den tekniska utvecklingen. Problemen skall dock inte överdrivas. Till skillnad från Lagrådet menar regeringen att förslaget inte kommer att medföra påtagliga problem från rättssäkerhetssynpunkt, även om gränsdragningen i vissa enskilda fall inte kommer att vara självklar. Man kan, som bl.a. Länsrätten i län framhållit, utgå från att även om gränsdragningen inte är helt lätt att göra torde det i många fall vara ännu svårare för den enskilde att tillämpa hanteringsreglerna på ostrukturerat material. Som kommer att framgå av det följande har den föreslagna missbruksregeln vidare ett tyd- ligt och klart avgränsat kärnområde som torde göra den enkel att tillämpa i praktiken i de allra flesta fall. Till detta kommer att Datainspektionen, i sin egenskap av tillsynsmyndighet, har en viktig funktion att fylla genom att i allmänna råd och annan vägledning konkretisera tillämpningen av regeln. Nedan kommer regeringen att mot bakgrund av de tekniska tillämp- ningar som är mera allmänt förekommande ange dels utgångs- punkter för bedömningen av vad som skall omfattas av en s.k. missbruks- regel, dels några exempel på sådant. Avgränsningen bör alltså knytas till materialets struktur. Behandling av personuppgifter som ingår i en struktur, t.ex. ett regelrätt register eller en databas, bör omfattas av hanteringsreglerna, medan behandling av övriga personuppgifter undantas. Dock bör inte varje strukturering av ett mate- rial med personuppgifter innebära att hanteringsreglerna skall tillämpas på behandlingen av personuppgifterna i materialet. Som konstaterats i det föregående är allt som finns i digital form i t.ex. datorer i någon mening strukturerat. En generell strukturering av ett material bör mot bakgrund härav inte medföra att hanteringsreglerna skall tillämpas. Med generell strukturering avser regeringen, i likhet med utredningen, att ett material har strukturerats, t.ex. genom indexering, med avseende på flera olika slags uppgifter utan att just personuppgifter har markerats som sådana. Enbart det förhållandet att alla teckensträngar i t.ex. ordbehandlingsdo- kument på en eller flera hårddiskar har indexerats eller enkelt kan index- eras bör exempelvis inte medföra att hanteringsreglerna blir tillämpliga. Ett annat exempel är s.k. sökmotorer på Internet där teckensträngar m.m. i material som finns tillgängligt på Internet indexeras. Indexering som tar sikte på just personuppgifter, dvs. en märkning av att vissa uppgifter är just personuppgifter, t.ex. ett personnamn eller ett personnummer, innebär dock att en personuppgiftsanknuten struktur ska- pats. Då har man skapat en registerstruktur avseende, inte alla tecken- strängar eller vilka teckensträngar som helst utan just personuppgifter. För att hanteringsreglerna skall bli tillämpliga bör det krävas att det finns en tydlig personuppgiftsanknuten struktur. Det är fråga om en personuppgiftsanknuten struktur om materialet, t.ex. det som ingår i ett dokument- och ärendehanteringssystem, har strukturerats för att underlätta sökning efter och sammanställning av just personuppgifter. Det är fallet om det i ett register eller i en databas finns fält där just personuppgifter har fyllts i, exempelvis fält för namn, per- sonnummer, avsändare och handläggare. Med personuppgiftsanknuten struktur avses alltså att ett material har strukturerats så att just person- uppgifter har markerats som sådana; dessutom kan flera andra slags upp- gifter i materialet ha markerats. En avgränsning som enbart tar hänsyn till om struktureringen av ett material är personuppgiftsanknuten eller inte är förhållandevis enkel att förstå och tillämpa. En sådan avgränsning är emellertid inte tillräcklig, eftersom den skulle medföra att alltför mycket av harmlös eller inte per- sonuppgiftsinriktad behandling skulle omfattas av hanteringsreglerna. Varje personuppgiftsanknuten strukturering av ett material bör därför inte innebära att hanteringsreglerna måste tillämpas på behandlingen av personuppgifter i materialet. För att så skall vara fallet bör krävas att den personuppgiftsanknutna struktureringen av materialet har uppnått en viss nivå eller kvalitet. Som utredningen har föreslagit bör materialet ha strukturerats för att påtagligt underlätta sökning efter eller sammanställ- ning av just personuppgifter för att missbruksregeln inte skall vara till- lämplig. Det är med hänsyn till den tekniska utvecklingen och det förhål- landet att datortekniken kommer till allmän användning på allt fler områ- den svårt att uttömmande ange fasta hållpunkter för vilken nivå eller kva- litet på den personuppgiftsanknutna struktureringen som bör krävas för att hanteringsreglerna skall behöva tillämpas. Avsikten är att sådant som inte framstår som något regelrätt personregister eller någon annan form av system, som upprättats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter, skall vara undantaget från han- teringsreglerna. Det är främst ett par olika typer av personuppgiftsanknuten strukture- ring som kan anföras som exempel på vad som inte bör medföra att han- teringsreglerna behöver tillämpas. Den första gäller enkel personupp- giftsanknuten strukturering. Den andra gäller utnyttjande av allmänt an- vända funktioner där den personuppgiftsanknutna struktureringen inte framstår som särskilt kvalificerad. Med enkel personuppgiftsanknuten strukturering avses sådana situationer där datorteknikens fördelar i fråga om strukturering i förhållande till ma- nuell hantering egentligen inte har använts. I dessa fall gör sig också in- formations- och yttrandefrihetsintressena särskilt gällande. Det kan t.ex. handla om en lista med personuppgifter som skrivits in i bokstavsordning i ett ordbehandlingsdokument eller på en webbsida. Har personuppgifter- na inte strukturerats på annat sätt än att de registrerats så att de står i en viss ordning (eventuellt under olika rubriker) bör det anses vara fråga om en enkel personuppgiftsanknuten strukturering som bör vara undantagen från hanteringsreglerna. Det kan exempelvis handla om att en förening presenterar en lista på medlemmarna i styrelsen på sin hemsida eller att en kommun på sin hemsida listar vilka som innehar kommunala förtro- endeuppdrag.