sou · GUB318 · 2007-01-01 00:00:00 — personuppgifter mot otillåten behandling samt mot förstöring, förlust, ändring eller otillåten spridning. Enligt dataskyddsdirektivet skall varje medlemsstat tillse att det utses en eller flera myndigheter som har till uppgift att inom dess territorium övervaka tillämpningen av de bestämmelser som medlemsstaterna antar till följd av direktivet. Dessa myndigheter skall fullständigt oberoende utöva de uppgifter som åläggs dem. Datainspektionen har utsetts till sådan tillsynsmyndighet i . Varje tillsynsmyndighet skall ha undersökningsbefogenheter, såsom befogenhet att få tillgång till uppgifter som blir föremål för behandling och befogenhet att inhämta alla uppgifter som är nöd- vändiga för att sköta tillsynen, effektiva befogenheter att ingripa och befogenhet att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av direktivet har överträtts eller att uppmärksamma de rättsliga myndigheterna på dessa över- trädelser. I dataskyddsdirektivet föreskrivs ett relativt omfattande anmäl- ningsförfarande till tillsynsmyndigheten när det gäller helt eller delvis automatiserad behandling av personuppgifter. För icke-auto- matiserade behandlingar får medlemsländerna föreskriva ett för- enklat anmälningsförfarande. Undantag från anmälningsplikt alter- nativt tillämpning av ett förenklat anmälningsförfarande får också föreskrivas dels om det med hänsyn till de behandlade uppgifterna inte är sannolikt att den registrerades fri- eller rättigheter kränks, dels om den registeransvarige har utsett uppgiftsskyddsombud (personuppgiftsombud). 3.3.5Överföring av personuppgifter till tredje land Direktivet syftar till ett fritt flöde av personuppgifter mellan medlemsländerna. Som huvudregel gäller att överföring av person- uppgifter som är under behandling, eller är avsedda att behandlas efter överföringen, till ett land utanför EU eller EES (tredje land), får ske endast om det mottagande landets lagstiftning kan säker- ställa en adekvat skyddsnivå. Vad som är en adekvat skyddsnivå får Övergripande rättslig reglering av behandling av personuppgifter avgöras med hänsyn tagen till bl.a. de uppgifter som skall behandlas och ändamålet med behandlingen. I vissa fall får personuppgifter föras över till länder vars lagstift- ning i och för sig inte erbjuder en adekvat skyddsnivå. Det gäller bl.a. om den registrerade går med på att överföring sker eller om överföringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen. Exempel på det sistnämnda är vissa överföringar vid internationellt utbyte av uppgifter mellan skattemyndigheter eller tullmyndigheter. Dataskyddsdirektivet skulle vara införlivat i medlemsländernas nationella lagstiftningar . När det gäller sådan behandling av personuppgifter som pågick vid den tidpunk- ten, skulle denna bringas i överensstämmelse med direktivet senast därefter. I fråga om register gäller dock en över- gångstid . För del har införlivande av direktivet skett genom personuppgiftslagen, som trädde i kraft just . Enligt övergångsbestämmelserna till lagen skall dock äldre lagstiftning, datalagen, tillämpas i sådana fall och under de tider som anges i dataskyddsdirektivet i fråga om bl.a. pågående behandling av personuppgifter. Den europeiska konventionen om skydd för de mänskliga rättig- heterna och de grundläggande friheterna gäller som svensk lag här i landet. I artikel 8 stadgas att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Såvitt gäller laglighetskriteriet krävs, utöver att intrånget skall grundas på nationell lag, att den åberopade lagen uppfyller vissa minimikrav i fråga om kvalitet och tydlighet. Övergripande rättslig reglering av behandling av personuppgifter skränkande tolkning av lagen skall kunna förutses och lagen skall vara allmänt tillgänglig. Att ett ingripande skall vara nödvändigt innebär att det skall föreligga ett angeläget samhälleligt behov av åtgärden i fråga. Åtgärden får dock inte gå längre än vad som är erforderligt med beaktande av proportionalitetsprincipen, dvs. den skall stå i rimlig relation till det intresse åtgärden är avsedd att tillgodose. Vid denna avvägning har staterna ett visst handlings- utrymme att inom rimliga gränser göra de avvägningar i bevis- och andra bedömningsfrågor, vilka läggs till grund för ett ingripande. Primärt innebär artikel 8 att staten skall avhålla sig från ingrepp i den skyddade rättigheten, utom i de fall som omfattas av de i artikeln föreskrivna undantagen. Artikelns räckvidd är dock inte begränsad i detta avseende utan staten är också i viss mån skyldig att vidta positiva åtgärder för att skydda den enskildes privata sfär. Sådana positiva åtgärder kan utgöras av lagstiftningen men också av skydd mot övergrepp i särskilda situationer. Även utan att det före- kommit något ingripande från myndighet eller offentlig tjänsteman kan staten således under vissa förutsättningar anses ha brutit mot artikel 8 genom att tolerera en föreliggande situation eller genom att inte skapa ett tillräckligt rättsligt skydd. Statens ansvar för en underlåtenhet kan då aktualiseras, trots att det övergrepp som visat att det rättsliga skyddet var otillräckligt utförts av en enskild person, för vars handlande staten inte i och för sig kan anses ansvarig. De krav som ställs på staten måste vara rimliga. Vad som i huvudsak kan förväntas är att staten utfärdar lagar och förord- ningar som ger ett tillfredsställande skydd åt privatliv, familjeliv, hem och korrespondens.1 Det står klart att behandling av personuppgifter och t.ex. rätt till tillgång till registrerade personuppgifter i och för sig kan falla inom tillämpningsområdet för artikel 8 i . All slags behandling av personuppgifter omfattas dock inte, utan frågan måste gälla privatliv, familjeliv, hem eller korrespondens. har ansett att bestämmelserna i artikel 8 i har betydelse vid sidan av EG-direktivet vid bedömningen av nationella regler som tillåter behandling av personuppgifter.2 1 Se , Mänskliga rättigheter i europeisk praxis – En kommentar till om de mänskliga rättigheterna, uppl. 2:1, s. 261 f. 2 Se dom i mål nr C-465/00 och C-138 och 139/01. Övergripande rättslig reglering av behandling av personuppgifter 3.5Europeiska unionens stadga om de grundläggande rättigheterna tillkännagavs Europeiska unionens stadga om de grundläggande rättigheterna av parlamentet, rådet och kommissionen. I stadgan bekräftas de rättigheter som har sin grund i medlemsstaternas gemensamma författningstraditioner och inter- nationella förpliktelser samt i Fördraget om Europeiska unionen och gemenskapsfördragen, såsom Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande fri- heterna, gemenskapens och sociala stadgor och rätts- praxis vid Europeiska gemenskapernas domstol och Europeiska domstolen för de mänskliga rättigheterna. Stadgans syfte är att kodifiera de grundläggande fri- och rättigheterna som EU redan erkänner. är stadgan inte mer än en politisk viljeförklaring avseende de redan existerande rättigheterna. Stadgan är således inte rättsligt bindande. I stadgans artikel 8 föreskrivs att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Dessa uppgifter skall behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet skall kontrollera att reglerna efterlevs. Stadgan riktar sig till EU:s egna organ och institutioner samt till medlemsstaterna endast när de tillämpar unionsrätten. Stadgan riktar sig alltså inte till medlemsstaterna när de stiftar nationella lagar inom områden där EU inte har givits lagstiftningskompetens. Varje begränsning i utövningen av de rättigheter och friheter som erkänns i stadgan skall vara föreskrivna i lag och vara förenliga med proportionalitetsprincipen och det väsentliga innehållet i fri- och rättigheterna. De rättigheter som skyddas i stadgan skall ha samma innebörd och räckvidd som de som skyddas i Europakon- ventionen. Stadgans artiklar får inte tolkas som att de inskränker eller inkräktar på fri- och rättigheter enligt andra konventioner eller överenskommelser. Missbruk av rättigheter, såsom att t.ex. utnyttja en bestämmelse i stadgan för att åsidosätta en annan bestämmelse, är uttryckligen förbjudet i stadgan. Övergripande rättslig reglering av behandling av personuppgifter Med anledning av att dataskyddsdirektivet skulle antas, beslutade regeringen att tillsätta . Kommitténs uppgift var att göra en total revision av datalagen och utreda på vilket sätt direktivet skulle införlivas i svensk rätt. Uppdraget redovisades i betänkandet Integritet – Offentlighet – Informations- teknik (SOU 1997:39). Personuppgiftslagen (1998:204) bygger i allt väsentligt på det förslag som lades fram i betänkandet. regleras behandling av personuppgifter i personuppgiftslagen (1998:204), som har ersatt datalagen (1973:289). Personuppgiftslagen har sin utgångspunkt i och rådets direktiv /46/EG av den 24 okto- ber 1995 om skydd för enskilda personer med avseende på behand- ling av personuppgifter och om det fria flödet av sådana uppgifter. 3.6.1Allmänt om lagen och dess tillämpningsområde Dataskyddsdirektivet bygger på att själva hanteringen av person- uppgifter regleras. Personuppgiftslagen följer direktivets struktur och avvikelser görs endast när det finns särskilda skäl för det. I likhet med direktivet reglerar personuppgiftslagen själva hanter- ingen av personuppgifter och inte bara missbruk av sådana uppgif- ter. Det innebär att behandling av personuppgifter som inte sker med stöd av personuppgiftslagen är otillåten. Personuppgiftslagen tillämpas på all – helt eller delvis – auto- matiserad behandling av personuppgifter. Dessutom är lagen tillämplig på behandling av personuppgifter som ingår, eller är avsedda att ingå, i en strukturerad samling av personupp- gifter vilka är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (5 §). Personuppgiftslagen är mer generell än dataskyddsdirektivet och omfattar även sådan verksamhet som faller utanför gemenskaps- rätten. har haft ett system som utgår från en generell lag kompletterad med särregler i s.k. registerförfattningar för viktigare eller känsligare register på det offentliga området. Enligt 2 § personuppgiftslagen gäller särreglering i lag eller förord- ning framför bestämmelserna i personuppgiftslagen. Att det krävs en särskild författning för att avvika från det integritetsskydd som personuppgiftslagen ger ansåg regeringen vidare vara en garanti för SOU 2006:18 Övergripande rättslig reglering av behandling av personuppgifter att behovet av särregler övervägs noga i den ordning som gäller för författningsgivning. Målet har också varit att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll skall regleras särskilt i lag.3 Behandling av uppgifter om juridiska personer som definitions- mässigt inte utgör personuppgifter (3 §) eller behandling som en fysisk person utför i verksamhet av rent privat natur (6 §) omfattas inte av personuppgiftslagen. Dessutom tillämpas inte lagen om det skulle strida mot tryckfrihetsförordningen (TF) och yttrande- frihetsgrundlagen. De flesta bestämmelserna i lagen tillämpas inte heller på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande (7 §). I 8 § anges dessutom att personuppgiftslagen inte får inskränka myndigheternas skyldighet att lämna ut personuppgifter enligt 2 kap. TF. I samma lagrum anges även att lagen inte heller hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Dataskyddsdirektivet innehåller ett antal huvudregler som måste ingå i personuppgiftslagen. Ofta är dessa huvudregler och principer allmänt hållna i direktivet och de måste för att kunna tillämpas av de personuppgiftsansvariga preciseras och konkretiseras. Lagen innehåller dock inte några detaljbestämmelser som fyller ut de generellt hållna huvudreglerna. I stället överlämnas det åt rege- ringen och Datainspektionen att inom den ram som personupp- giftslagen drar upp göra nödvändiga preciseringar och konkreti- seringar. 3.6.2Förutsättningar för behandling av personuppgifter Grundläggande krav (9 §) I lagen slås fast vissa grundläggande krav på all behandling av personuppgifter. Personuppgifter skall alltid behandlas på ett korrekt och lagligt sätt samt i enlighet med god sed. De skall samlas in och behandlas för särskilda, uttryckligt angivna och berättigade ändamål. får uppgifterna inte behandlas för något ändamål som är oförenligt med det ändamål 3 Jfr bet. 1990/91:KU11 s. 11 och 1997/98:KU18 s. 48 samt prop. 1990/91:60 s. 58 och prop. 1997/98:44 s. 40 f. Övergripande rättslig reglering av behandling av personuppgifter för vilket uppgifterna samlades in. Detta innebär bl.a. att uppgift- erna inte får lämnas ut till annan om det är oförenligt med de ursprungliga ändamålen. Att ändamålen skall vara särskilda innebär att en alltför allmänt hållen ändamålsbeskrivning inte får godtas. Hur detaljerad ändamålsbeskrivningen måste vara får avgöras i praxis och genom föreskrifter från regeringen och Datainspek- tionen. Det anses inte oförenligt med de ursprungliga ändamålen att behandla uppgifterna för historiska, statistiska eller vetenskap- liga ändamål. De behandlade uppgifterna måste vara riktiga och relevanta och inte alltför omfattande i förhållande till de ändamål för vilka de behandlas. Om det är nödvändigt skall uppgifterna också vara aktu- ella. Uppfyller personuppgifter inte kraven måste den personupp- giftsansvarige vidta alla rimliga åtgärder för att utplåna, blockera eller rätta uppgifterna. Personuppgifterna får inte heller sparas längre än nödvändigt med hänsyn till de ändamål för vilka de behandlas. Därefter måste de avidentifieras eller förstöras. Efter- som personuppgiftslagen är sekundär till annan lagstiftning, får uppgifter emellertid inte avidentifieras eller på annat sätt förstöras (dvs. gallras) om det strider mot bl.a. tryckfrihetsförordningens bestämmelser om allmänna handlingar. När behandling av personuppgifter är tillåten (10–12 §§) Lagen innehåller en uttömmande uppräkning av de fall då behand- ling av personuppgifter är tillåten. Personuppgifter får alltid behandlas om den registrerade har lämnat sitt samtycke. Återkallar den registrerade sitt samtycke får ytterligare personuppgifter om denne inte registreras. I vissa fall får dock personuppgifter behand- las även om den registrerade inte lämnat sitt samtycke till det. En förutsättning i samtliga dessa fall är att behandlingen är nödvändig för ändamålen. Här kan anmärkas att de flesta automatiserade bearbetningar av personuppgifter också kan utföras manuellt. Nödvändighetsrekvisitet har av tolkats så att personuppgifter får behandlas även i de fall det är faktiskt möjligt att utföra uppgiften på annat sätt, om förfarandet underlättas genom användningen av automatisk databehandling. Personuppgifter får behandlas i samband med ett avtal med den registrerade när det krävs för fullgörandet av avtalet eller när det behövs för att på den registrerades begäran vidta åtgärder innan Övergripande rättslig reglering av behandling av personuppgifter Behandling får vidare utföras om det är nödvändigt för att den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet som åvilar honom eller henne. Personuppgifter får också behandlas för att skydda vitala intressen för den registrerade. Likaså får sådana uppgifter behandlas om det är nödvändigt för att en arbetsuppgift av allmänt intresse skall kunna utföras och för att den personuppgiftsansvarige, eller någon annan till vilken person- uppgifter har lämnats ut, skall kunna utföra en arbetsuppgift i samband med myndighetsutövning. Slutligen får personuppgifter behandlas om en avvägning ger vid handen att den personuppgiftsansvariges berättigade intresse av en behandling väger tyngre än den registrerades intresse av skydd. Vid intresseavvägningen jämställs med den personuppgiftsansvarige också sådana tredje män till vilka uppgiften lämnas ut. Förbud mot att behandla känsliga personuppgifter (13 §) I personuppgiftslagen återfinns dataskyddsdirektivets förbud i fråga om behandling av känsliga personuppgifter. Personuppgifter som gäller ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse samt medlemskap i fackförening får inte behandlas. Det är också förbjudet att behandla sådana personupp- gifter som rör hälsa eller sexualliv. Undantag från förbudet mot att behandla känsliga personuppgifter (14–20 §§) Förbudet mot behandling av känsliga uppgifter är inte undantags- löst. Liksom andra personuppgifter får sådana uppgifter behandlas efter den registrerades samtycke. Till skillnad från när samtycke krävs i andra sammanhang måste i fråga om känsliga personupp- gifter samtycket emellertid vara uttryckligt, dvs. Även när den registrerade har offentliggjort känsliga uppgifter på ett tydligt sätt får de behandlas. Vidare får behandling bl.a. utföras om den är nödvändig för att den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller rättigheter inom arbetsrätten. I stort sett gäller det fullgör- andet av alla skyldigheter och rättigheter för arbetsgivaren beträf- fande de anställda och deras organisationer. Övergripande rättslig reglering av behandling av personuppgifter behandlas under denna förutsättning får lämnas ut till tredje man endast om det inom arbetsrätten finns en uttrycklig skyldighet för den personuppgiftsansvarige att göra det eller om den registrerade har samtyckt till utlämnandet. Förbudet mot att behandla känsliga personuppgifter gäller inte heller när behandlingen sker inom ramen för ideella organisationers berättigade verksamhet med ett politiskt, filosofiskt, religiöst eller fackligt syfte. Behandlingen får bara avse uppgifter om medlemmar eller personer som organisationen på grund av sitt ändamål har regelbunden kontakt med. Utlämnande av sådana uppgifter till tredje man kräver den registrerades samtycke. Förbudet gäller inte om behandlingen rör uppgifter som är nödvändiga för att rättsliga anspråk skall kunna slås fast, göras gällande eller försvaras. Detta gäller när det förhållande som faller in under definitionen av känsliga personuppgifter också är en förutsättning för att personen i fråga skall ha rätt till en förmån eller ha en rättslig skyldighet gentemot någon annan. Som exempel kan nämnas rätten för en sjuk person att få försäkringsersättning eller skyldigheten för den som tillhör att betala avgift. Ett ytterligare undantag från förbudet att behandla känsliga personuppgifter är när den registrerade är rättsligt eller fysiskt förhindrad att lämna samtycke och behandlingen är nöd- vändig för att skydda dennes eller någon annans vitala intressen. Vidare undantas behandling som är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling samt administration av hälso- och sjukvård. Behandlas uppgifterna av någon som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och som är underkastad tystnads- plikt, gäller förbudet inte heller. Slutligen undantas, under vissa förutsättningar, behandling för forskning och statistik från förbudet. Regeringen eller den myndighet regeringen bestämmer, dvs. Datainspektionen, får meddela föreskrifter om ytterligare undan- tag, om det behövs med hänsyn till ett viktigt allmänt intresse. Uppgifter om brott och användning av personnummer (21–22 §§) Vissa uppgifter som inte omfattas av definitionen av känsliga personuppgifter är ändå sådana att behandlingen av dem regleras särskilt i personuppgiftslagen, liksom i dataskyddsdirektivet. Övergripande rättslig reglering av behandling av personuppgifter således förbjudet för andra än myndigheter att behandla person- uppgifter om lagöverträdelser, domar och säkerhetsåtgärder i brottmål. Regeringen eller Datainspektionen har dock möjlighet att föreskriva undantag från förbudet, om det är befogat att behand- lingen utförs av annan än myndighet och behandlingen står under tillfredsställande kontroll av en myndighet. Regeringen eller, om regeringen bestämmer det, Datainspektionen får dessutom föreskriva undantag från förbudet i vissa fall. Uppgifter om personnummer och samordningsnummer får behandlas bara när den registrerade samtycker till det eller när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. 3.6.3Information och rättelse m.m. Personuppgiftslagen innehåller bestämmelser som tryggar den registrerades rätt att dels kontrollera om behandling av person- uppgifter om honom eller henne pågår, dels begära rättelse av personuppgifter som har behandlats felaktigt. Information (23–27 §§) Personuppgiftslagens bestämmelser om informationsskyldighet gäller i första hand den information som den personuppgifts- ansvarige självmant har att lämna. Rätten att på begäran få ut uppgifter i allmänna handlingar följer främst av tryckfrihets- förordningen, dock att den rätten i vissa fall begränsas genom bestämmelser i sekretesslagen, men det finns bestämmelser även i personuppgiftslagen. Den personuppgiftsansvarige skall självmant lämna den registrerade information rörande behandlingen, när uppgifter om en person samlas in från denne själv. Har uppgifterna samlats in från en annan källa, skall den registrerade informeras när uppgif- terna noteras eller, om avsikten med behandlingen är att lämna ut uppgifterna till tredje man, när uppgifterna lämnas ut . Informationen skall omfatta uppgifter om vem den personuppgiftsansvarige är, ändamålet med behandlingen samt all övrig information som den registrerade behöver för att kunna tillvarata sina rättigheter i samband med behandlingen. Övergripande rättslig reglering av behandling av personuppgifter sådana uppgifter som den registrerade inte redan känner till behöver lämnas. Har uppgifterna hämtats in från tredje man behöver information inte lämnas om det är omöjligt eller skulle innebära en opropor- tionerligt stor arbetsinsats. Inte heller behöver information lämnas om det i lag eller annan författning finns särskilda bestämmelser om registreringen eller utlämnandet av personuppgifter. Den personuppgiftsansvarige är vidare skyldig att efter ansökan, en gång , gratis informera om huruvida uppgifter som rör sökanden behandlas eller inte, ändamålet med behandlingen, vilka uppgifter som behandlas, varifrån dessa kommer och till vem de lämnas ut. Information behöver emellertid inte lämnas beträffande personuppgifter som behandlas endast i löpande text som ännu inte fått sin slutliga utformning eller som utgör minnesanteckningar, under förutsättning att uppgifterna inte har lämnats ut till tredje man eller – i fråga om uppgifter i löpande text – behandlingen inte har pågått . Bestämmelserna om informationsskyldighet gäller över huvud taget inte om sekretess eller tystnadsplikt för uppgifterna är föreskriven i förhållande till den registrerade. Rättelse (28 §) Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen skall på begäran av den registrerade rättas, utplånas eller blockeras av den personuppgiftsansvarige.