sou · GUB318 · 2007-01-01 00:00:00 — Med blockering avses varje åtgärd som kan vidtas för att de aktuella personuppgifterna i alla samman- hang skall vara förknippade med tydlig information om att de är spärrade och inte får lämnas ut till tredje man samt om anledningen till spärren. Om felaktiga personuppgifter har lämnats till tredje man, skall denne i vissa fall underrättas om korrigeringsåtgärden, nämligen om den registrerade begär det eller om det behövs för att undvika mera betydande skada eller olägenhet för den registrerade. Efter- som den personuppgiftsansvarige inte har någon skyldighet att hålla reda på till vem uppgifter lämnas ut och då uppgifter ibland kan lämnas till ett stort antal människor, innehåller bestämmelsen det undantaget att underrättelse inte behöver ske om det är omöj- ligt eller skulle innebära en oproportionerligt stor arbetsinsats. Övergripande rättslig reglering av behandling av personuppgifter Bestämmelser som avser att säkerställa att behandlingen av person- uppgifter sker på ett betryggande sätt finns i 30 och 31 §§ person- uppgiftslagen. Den personuppgiftsansvarige har stort ansvar för säkerheten vid behandling av personuppgifter. Bland annat får de personer som arbetar med personuppgifter behandla dessa endast efter den personuppgiftsansvariges instruktioner. Instruktionerna bör i vart fall vara utformade på ett sådant sätt att var och en som arbetar med personuppgifter skall veta vilka ändamålen är med behandlingen och att behandling som är oförenlig med dessa ändamål är förbjuden. För det allmännas verksamhet gäller att om det i annan lagstift- ning finns bestämmelser om säkerheten vid behandling av person- uppgifter, skall i stället de bestämmelserna tillämpas. Det gäller framför allt bestämmelser om tystnadsplikt och sekretess. Den personuppgiftsansvarige har vidare ansvar för att tekniska och organisatoriska åtgärder vidtagits för att skydda de behandlade personuppgifterna. Åtgärderna skall åstadkomma en lämplig sekretessnivå med beaktande av de tekniska möjligheter som finns, kostnaden för att genomföra åtgärderna, riskerna med behand- lingen och hur känsliga de behandlade uppgifterna är. Ett register som innehåller personuppgifter om ett stort antal personer ställer också ökade krav på säkerhet. Datainspektionen får enligt 32 § personuppgiftslagen i enskilda fall besluta om vilka skyddsåtgärder en personuppgiftsansvarig skall vidta. Om ett sådant beslut inte följs kan inspektionen enligt 45 § föreskriva vite. 3.6.5Överföring av personuppgifter till tredje land Det är enligt 33 § personuppgiftslagen principiellt förbjudet att föra över personuppgifter till ett land som inte är medlem i EU eller anslutet till EES (tredje land) om landet inte har en adekvat nivå för skyddet av personuppgifter. Förbudet gäller både uppgifter som är under behandling och uppgifter som skall undergå behandling i det tredje landet. Vid bedömningen av om ett land utanför EU eller EES har en adekvat skyddsnivå skall hänsyn tas till samtliga omständigheter som har samband med överföringen. I lagen anges uttryckligen att Övergripande rättslig reglering av behandling av personuppgifter särskild vikt skall läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredje landet. Från förbudet mot överföring av personuppgifter till tredje land finns undantag i 34 och 35 §§. Har den registrerade samtyckt till det, får uppgifter om denne föras över till tredje land. Det är också tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till dataskyddskonvention. Uppgifter får även föras över till tredje land om behandlingen är nödvändig för att fullgöra ett avtal – mellan den registrerade och den personuppgiftsansvarige eller mellan den personuppgifts- ansvarige och tredje man – som är i den registrerades intresse eller för att på den registrerades begäran vidta åtgärder innan ett avtal träffas. Vidare får överföring ske om behandlingen är nödvändig för att kunna fastställa, göra gällande eller försvara rättsliga anspråk eller för att skydda vitala intressen för den registrerade. Regeringen får meddela föreskrifter om generella undantag från förbudet att föra över personuppgifter till tredje land. Regeringen eller, om regeringen bestämmer det, Datainspektionen får också föreskriva undantag när det behövs med hänsyn till viktiga allmänna intressen eller om överföringen sker under sådana omständigheter att det finns tillräckliga garantier till skydd för de registrerades rättigheter. Dessutom får regeringen under vissa förutsättningar besluta om undantag från förbudet i enskilda fall. Förbudet mot överföring av personuppgifter till tredje land har ansetts innefatta ett hinder mot att publicera uppgifterna på en hemsida eller motsvarande, som är åtkomlig via Internet. anförde att den omständigheten att någon ges möjlighet att från tredje land komma åt personuppgifter som finns i eller i någon annan medlemsstat via telekommunikation eller datanätverk är förmodligen ett exempel på överföring av uppgifterna till tredje land.4 Även i kommenteraren till person- uppgiftslagen framhålls att publicering av personuppgifter på Internet innebär en sådan överföring av personuppgifter till tredje land som avses i 33 § personuppgiftslagen.5 Genom dom i mål C-101/01 () har numera lagts fast att publicering av uppgifter på en webbsida inte utan vidare omfattas av begreppet överföring av uppgifter till 4Se SOU 1997:39 s. 413. 5Se Personuppgiftslagen En kommentar, m.fl., s. 244. Övergripande rättslig reglering av behandling av personuppgifter tredje land, även om dessa uppgifter härigenom blir åtkomliga för personer i tredje land. Domstolen uttalade i målet att det inte föreligger någon överföring av uppgifter till tredje land i den mening som avses i artikel 25 i dataskyddsdirektivet när en person som befinner sig i en medlemsstat lägger ut personuppgifter på en hemsida som är lagrad hos den som tillhandahåller honom server- tjänster, vilken är etablerad i samma medlemsstat eller i en annan medlemsstat, varvid uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land. 3.6.6Datainspektionens befogenheter som tillsynsmyndighet enligt såväl personuppgiftslagen som data- skyddsdirektivet är Datainspektionen. Datainspektionens uppgifter enligt personuppgiftslagen innebär i första hand att informera om gällande regler och utöva tillsyn över att reglerna efterlevs samt att ge råd och hjälp åt personuppgiftsombud. Den personuppgifts- ansvariges anmälan om behandlingar av personuppgifter skall göras till Datainspektionen, som även skall utöva tillsyn över behand- lingen. Vissa av de befogenheter som enligt dataskyddsdirektivet till- kommer tillsynsmyndigheten regleras i 43–47 §§ personuppgifts- lagen. Således innehåller lagen bestämmelser om att Datainspek- tionen skall ha tillgång till behandlade personuppgifter och dess- utom tillträde till lokaler med anknytning till behandlingen. Om lagens regler inte iakttas har Datainspektionen som tillsynsmyndig- het bl.a. befogenhet att tillse att rättelse sker och om detta inte hjälper besluta om förbud mot behandling av personuppgifter samt att ansöka hos länsrätt om att personuppgifter skall utplånas. Datainspektionen har även bemyndigats att meddela föreskrifter i anslutning till reglerna i personuppgiftslagen. Anmälningsskyldighet (36 §) Helt eller delvis automatiserad behandling av personuppgifter måste i princip anmälas till tillsynsmyndigheten. Syftet med anmälningsskyldigheten är att göra behandlingens ändamål och dess viktigaste egenskaper kända. Datainspektionen skall föra register över anmälda behandlingar. Övergripande rättslig reglering av behandling av personuppgifter Personuppgiftslagen har i denna del två motstridiga intressen som utgångspunkt. Det finns å ena sidan ett önskemål om att ta bort anmälningsskyldigheten för automatiserad behandling för att på så sätt koncentrera Datainspektionens verksamhet till att ge råd och sprida kunskap om de materiella reglerna samt att utöva tillsyn över att reglerna efterlevs. Å andra sidan föreskriver dataskydds- direktivet som huvudregel att den registeransvarige till tillsyns- myndigheten skall anmäla automatiserade behandlingar som skall genomföras. Från denna anmälningsskyldighet får ett medlemsland dock under vissa förutsättningar föreskriva undantag. I personuppgiftslagen har en principiell anmälningsskyldighet till Datainspektionen införts, som möjligheterna att före- skriva om undantag utnyttjats fullt ut. När det gäller särskilt integritetskänsliga behandlingar föreskrivs dock inga undantag från anmälningsskyldigheten. Enligt personuppgiftslagen får regeringen eller, efter regeringens bemyndigande, Datainspektionen, föreskriva undantag från anmäl- ningsskyldigheten. Sådana undantag föreskrivs i 3–5 §§ personupp- giftsförordningen (1998:1191). Undantag görs här för bl.a. behand- ling av personuppgifter som utförs till följd av en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut allmänna handlingar och personuppgifter i löpande text. Personuppgiftsombud (37–40 §§) Anmälan till Datainspektionen behöver inte göras när ett person- uppgiftsombud har utsetts av den personuppgiftsansvarige. Person- uppgiftsombudet skall ha till uppgift att självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett korrekt och lagligt sätt. Kravet på självständighet innebär att personupp- giftsombudet inte får ha en alltför underordnad ställning i förhållande till den personuppgiftsansvarige och att ombudet skall ha tillräckliga kvalifikationer och kunskaper för att kunna utföra sina uppgifter. I första hand skall personuppgiftsombudet påpeka brister i uppgiftsbehandlingen till den personuppgiftsansvarige, men om den ansvarige inte rättar till bristerna är ombudet skyldigt att anmäla förhållandet till Datainspektionen. Personuppgiftsombudet skall ha en förteckning över de behandlingar som den personupp- giftsansvarige utför och han eller hon skall även hjälpa registrerade Övergripande rättslig reglering av behandling av personuppgifter personer att få rättelse vid misstanke om att personuppgifter är felaktiga eller ofullständiga. Anmälan för förhandskontroll (41 §) Enligt dataskyddsdirektivet skall medlemsstaterna bestämma vilka behandlingar som kan innebära särskilda risker för den registre- rades rättigheter och säkerställa att dessa behandlingar kontrolleras innan de påbörjas. Förhandskontrollen skall enligt direktivet utföras av tillsynsmyndigheten men kan också utgöra ett led i lagstiftningsprocessen. Förhandskontroll kan således ske i samband med att särskilda registerförfattningar beslutas av eller regeringen. I personuppgiftslagen finns ett bemyndigande för regeringen att bestämma att vissa behandlingar av personuppgifter som kan innebära särskilda risker för otillbörligt intrång i den personliga integriteten skall anmälas till Datainspektionen i förväg. I personuppgiftsförordningen finns bestämmelser om sådana behandlingar. gäller enligt 10 § personuppgiftsförordningen att behandling av känsliga personuppgifter för forskningsändamål utan samtycke från den registrerade och som inte godkänts av en forskningsetisk kommitté samt behandling av personuppgifter om genetiska anlag som framkommit efter genetisk undersökning skall anmälas för förhandskontroll. För del finns bestämmelser om förhands- anmälan i 10 § tredje stycket förordningen (2003:188) om behand- ling av personuppgifter inom . Härvid gäller att behandling enligt första stycket, av uppgifter om en person som det inte finns misstanke om något visst brott mot, och som innebär att register inrättas som kan antas komma att omfatta fler än 25 personer skall anmälas för förhandskontroll till Datainspektionen senast i förväg. Behandling av uppgifter i kustbevak- ningsdatabasen behöver dock inte anmälas för förhandskontroll. I 2 § polisdataförordningen (1999:81) finns föreskrifter om anmälan av viss automatiserad behandling enligt polisdatalagen. Beträffande skattemyndigheterna finns bestämmelser om anmälan i 2 § förordningen (1999:105) om behandling av personuppgifter vid medverkan i brottsutredningar. Övergripande rättslig reglering av behandling av personuppgifter Skadestånd (48 §) Om behandling av personuppgifter i strid med personuppgiftslagen orsakar skada för den registrerade har han eller hon rätt till skadestånd från den personuppgiftsansvarige. Rätten till ersättning omfattar såväl personskada, sakskada och ren förmögenhetsskada som den kränkning av den personliga integriteten som behand- lingen kan ha medfört. Ersättningen för kränkning måste upp- skattas efter skälighet mot bakgrund av samtliga omständigheter i det aktuella fallet, t.ex. om den registrerade på grund av behand- lingen utsatts för något för honom eller henne negativt beslut. Ersättningen skall fastställas för varje kränkt registrerad för sig. Skadeståndsansvaret är i princip strikt. Den registrerade behöver bara bevisa att det förekommit en felaktig behandling och att denna behandling har skadat eller kränkt honom eller henne. Kan den personuppgiftsansvarige visa att felet inte berodde på honom eller henne får emellertid skadeståndet jämkas i skälig utsträckning. Straff (49 §) I personuppgiftslagen har i första hand valts andra sanktioner än straff. Således har vissa företeelser som i datalagen återfanns i straffkatalogen i stället sanktionerats genom vite eller genom möjligheten att utdöma ideellt skadestånd. Vad som återfinns i straffbestämmelsen i personuppgiftslagen är sådana uppsåtliga brott eller oaktsamma förfaranden som är svåra att åtgärda på annat sätt än genom straffbestämmelser. Det rör sig om att någon lämnar osanna uppgifter i den information till den registrerade som lagen föreskriver eller i anmälan till Datainspektionen. Vidare tillämpas straffbestämmelsen om någon i strid med lagen behandlar känsliga personuppgifter, för över uppgifter till tredje land eller låter bli att göra föreskriven anmälan om behandling till Datainspektionen. Straffbestämmelsens tillämplighet är begränsad genom att det inte skall dömas till ansvar om förseelsen är ringa. Övergripande rättslig reglering av behandling av personuppgifter Personuppgiftslagen trädde i kraft och upphörde datalagen att gälla. I fråga om behandlingar som påbörjades före ikraft- trädandet skall vissa bestämmelser i lagen tillämpas först . Det gäller 9 och 10 §§ som reglerar de grundläggande kraven på behandling av personuppgifter och när behandling är tillåten samt 13 och 21 §§ om behandling av känsliga personuppgifter och uppgifter om lagöverträdelser m.m. 4Rättslig reglering av behandling av personuppgifter 4.1Förordningen (2003:188) om behandling av personuppgifter inom behandling av personuppgifter regleras genom bestämmelserna i personuppgiftslagen (1998:204) och förordningen (2003:188) om behandling av personuppgifter inom (förordningen). I förordningen anges att får behandla person- uppgifter i sin brottsbekämpande verksamhet, om det är nödvän- digt för att förhindra eller upptäcka brottslig verksamhet som innefattar brott mot vilka enligt lag eller förord- ning har att ingripa mot eller för att utreda sådana brott. Person- uppgifter får också behandlas i den kontroll- och tillsynsverk- samhet som enligt lag eller förordning har att genomföra, om det är nödvändigt för att inrikta och genomföra verksamheten. Personuppgifter får vidare behandlas vid Kust- bevakningens handläggning av ärenden om vattenföroreningsavgift. Slutligen får även behandla personuppgifter om det är nödvändigt för att planera, följa upp eller utvärdera nu nämnda verksamheter. I förordningen skiljer man mellan behandling av uppgifter som är gemensamt tillgängliga i verksamheten (kustbevakningsdata- basen) och sådan behandling där uppgifterna endast är tillgängliga för en enskild tjänsteman eller en begränsad grupp av tjänstemän. Tillgången till uppgifterna i databasen skall vara förbehållen de personer som på grund av sina arbetsuppgifter behöver ha tillgång till uppgifterna. Behandling av uppgifter i kustbevakningsdatabasen är också omgärdad av särskilda regler vad gäller de personer om vilka uppgifter får behandlas i databasen, vilka uppgifter som får behandlas i databasen samt sökbegrepp. I förordningen regleras också vilka andra myndigheter som kan få åtkomst till uppgifterna i kustbevakningsdatabasen. Rättslig reglering av behandling av personuppgifter anges att endast de personer som har användning för uppgifterna på grund av sina arbetsuppgifter skall få tillgång till databasen. Förordningen gäller utöver personuppgiftslagen i fråga om behandling av personuppgifter i verksamhet som rör brottsbekämpning, kontroll och tillsyn, samt ärenden om vattenföroreningsavgift (1 §). Att förordningen gäller utöver personuppgiftslagen innebär att personuppgiftslagen är tillämplig i sin helhet men att från person- uppgiftslagen avvikande bestämmelser i förordningen gäller före personuppgiftslagens regler. Förordningen omfattar sådan grundläggande behandling som omfattas av personuppgiftslagen. Detta uttrycks genom att förord- ningen endast gäller om behandlingen av personuppgifter är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (1 §). De begrepp som används i förordningen har också samma betydelse som i personuppgiftslagen (3 §). Personuppgiftslagen gäller endast vid behandling av person- uppgifter, dvs. all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Bestämmelserna i för- ordningen om tillämpningsområde och ändamål samt de särskilda reglerna om behandling av uppgifter i kustbevakningsdatabasen gäller dock även vid behandling av uppgifter om juridiska personer (1 §). I 4–7 §§ förordningen anges för vilka ändamål personuppgifter får behandlas i de aktuella verksamheterna. I brottsbekämpande verksamhet får person- uppgifter behandlas om det är nödvändigt för att förhindra eller upptäcka brottslig verksamhet som innefattar brott som enligt lag eller förordning har som uppgift att ingripa mot eller för att utreda sådana brott (4 §). Rättslig reglering av behandling av personuppgifter Personuppgifter får behandlas i den kontroll- och tillsyns- verksamhet som enligt lag eller förordning har att genomföra, om det är nödvändigt för att inrikta och genomföra verksamheten (5 §). Personuppgifter får också behandlas vid handläggning av ärenden om vattenföroreningsavgift enligt lagen (1980:424) om åtgärder mot förorening från fartyg eller förord- ningen (1980:789) om åtgärder mot förorening från fartyg, om det är nödvändigt för att utreda frågan om sådan avgift, besluta om att påföra någon sådan avgift, eller besluta om förbud eller föreläggande som avses i 8 kap. lagen om åtgärder mot förorening från fartyg (6 §). Utöver vad som anges i 4–6 §§ får personuppgifter behandlas av om det är nödvändigt för att planera, följa upp och utvärdera verksamhet som anges i nämnda bestämmelser. Känsliga personuppgifter och sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen får därvid behandlas bara om uppgifterna har behandlats för ändamål som avses i 4–6 §§ (7 §). är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför (8 §). Personuppgifts- ansvaret innebär att den myndighet som registrerar en uppgift i t.ex. ett datorsystem har ansvaret för att uppgiften är korrekt och att den inte behandlas på ett sätt som strider mot gällande lagstiftning. Personuppgiftsansvaret medför även ett ansvar för att en behandling faktiskt utförs när den skall ske, t.ex. att rättelse, blockering eller gallring sker i föreskriven tid eller på rätt sätt. I 9 § förordningen finns särskilda bestämmelser om behandling av känsliga personuppgifter. Uppgifter om en person får i verksam- heterna med brottsbekämpning eller kontroll och tillsyn inte behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Rättslig reglering av behandling av personuppgifter uppgifter om en person behandlas på annan grund får uppgifterna dock kompletteras med sådana uppgifter, om det är oundgängligen nödvändigt för syftet med behandlingen. När det gäller behandling av känsliga personuppgifter i ärenden om vattenföroreningsavgift gäller personuppgiftslagens bestämmelser. Utanför kustbevakningsdatabasen får i den brottsbekämpande verksamheten uppgifter om personer som inte är misstänkta för brott behandlas endast om det är nödvändigt för att förhindra eller upptäcka brott för vilket är föreskrivet fängelse och endast under förutsättning att behandlingen inte leder till ett otillbörligt integritetsintrång. Uppgifterna skall förses med en särskild upplysning om att personen inte misstänks för något visst brott och om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak. Inrättas ett register som kan antas komma att omfatta fler än 25 personer skall det anmälas för förhandskontroll till Datainspektionen (10 §). I verksamhet får det finnas en samling uppgifter och handlingar som med hjälp av automatiserad behandling används gemensamt i verksamheten för de i 4–7 §§ förordningen angivna ändamålen (kustbevakningsdatabasen). Åtkomst till upp- gifter i kustbevakningsdatabasen är förbehållen de personer som på grund av sina arbetsuppgifter behöver ha tillgång till uppgifterna. Uppgifter som får behandlas I kustbevakningsdatabasen får behandlas uppgifter om personer som kan antas ha samband med brottslig verksamhet för vilken är föreskriven fängelse . Uppgifter om personer som är misstänkta för lindrigare brottslighet får behandlas endast om den brottsliga verksamheten har samband med sådan brottslighet som kan leda till fängelse . Uppgifter om en fysisk person skall förses med upplysning om uppgiftslämnarens trovärdighet och uppgifternas riktighet i sak (12 §). Vidare får i kustbevakningsdatabasen behandlas uppgifter om personer som förekommer i ett ärende om utredning av brott (13 §). Rättslig reglering av behandling av personuppgifter För att inrikta och genomföra kontroll- och tillsynsverksamhet får i kustbevakningsdatabasen behandla uppgifter om personer som har anknytning till ett transportmedel eller en verksamhet som omfattas av kontrollen eller tillsynen (14 §). I kustbevakningsdatabasen får även behandlas uppgifter om personer som förekommer i ett ärende om vattenföroreningsavgift (15 §). Uppgifter om en person som inte är misstänkt för någon brottslighet eller för brottslighet som endast kan leda till lindrigare fängelsestraff än skall förses med upplysning om att så är fallet (12–15 §§). Personuppgifter skall behandlas så att det klart framgår om behandlingen sker med stöd av 12, 13, 14 eller 15 § (16 §). Uppgifter som får behandlas i kustbevakningsdatabasen Om förutsättningarna i övrigt är uppfyllda får följande uppgifter behandlas i kustbevakningsdatabasen: 1.uppgifter om en fysisk persons identitet, arbetsplats och yrke samt adress, telefonnummer och andra liknande uppgifter som behövs för kommunikation med personen, 2.uppgifter om en juridisk persons identitet, firmatecknare, säte, och verksamhet samt adress, telefonnummer och andra liknade uppgifter som behövs för kommunikation med personen, 3.upplysningar om varifrån en uppgift kommer och om uppgifts- lämnarens trovärdighet, 4.upplysningar om de omständigheter och händelser som är orsaken till att uppgifter om en person behandlas, 5.uppgifter om särskilda fysiska kännetecken, 6.uppgifter om varor, brottshjälpmedel och transportmedel, 7.varning om att en person tidigare varit beväpnad, våldsam eller flyktbenägen,