sou · GVB345 · 2008-01-01 00:00:00 — RF innehåller grundläggande bestämmelser till skydd för den per- sonliga integriteten. I 1 kap. 2 § fjärde stycket RF anges att det allmänna skall värna den enskildes privatliv. Enligt 2 kap. 3 § andra stycket RF skall den enskilde medborgaren i den utsträckning som närmare anges i lag skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehandling. Den närmare omfattningen av skyddet anges i PuL och andra författningar. Inom en stor del av den offentliga verksamheten finns särskilda registerförfattningar som reglerar behandlingen av personuppgifter. En registerförfattning innebär en specialreglering i förhållande till PuL i syfte att komplettera eller i vissa delar ersätta den. Som fram- går av redovisningen i avsnitt 3 innehåller även SekrL bestämmelser till skydd för den personliga integriteten. I detta avsnitt redogör vi för regler som styr behandlingen av personuppgifter som finns lagrade elektroniskt hos de myndigheter som berörs av vårt uppdrag. Redogörelsen är inte uttömmande utan tar enbart sikte på sådana bestämmelser i och aktuella register- författningar som är av särskilt intresse för vårt uppdrag. och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) har genomförts i genom PuL. Lagen trädde i kraft . I likhet med dataskydds- direktivet bygger PuL på att själva hanteringen av personuppgifter regleras. Lagen omfattar således formellt även behandlingar som inte på något sätt kan sägas utgöra intrång i den personliga integriteten. Behandling av personuppgifter som inte sker med stöd av PuL är otillåten. PuL är teknikoberoende. Den gäller för all behandling av per- sonuppgifter som är helt eller delvis automatiserad. Lagen gäller därutöver för annan behandling av personuppgifter, om upp- gifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller samman- ställning enligt särskilda kriterier (5 §). PuL är mer generell än dataskyddsdirektivet och omfattar även sådan verksamhet som faller utanför gemenskapsrätten. Lagen syftar till att skydda enskilda personer mot kränkning av den personliga integriteten vid behandling av personuppgifter på automatiserad väg i datorer eller på väg i register. Som framgår av det anförda gäller de krav som lagen ställer upp vid behandling av uppgifter i alla verksamheter. Av 2 § PuL framgår att om det i annan lag eller i en förordning finns bestämmelser som avviker från PuL, skall dock de bestämmelserna gälla. Särreglering måste stå i överensstämmelse med dataskyddsdirektivet. Av 3 § PuL framgår att med behandling av personuppgifter avses varje åtgärd som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte. Det innebär att inhämtande och utläm- nande av uppgifter från ett register eller databas i en verksamhet till en annan verksamhet är behandling i lagens mening. Bestämmelserna i tillämpas inte i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i TF eller yttrandefrihetsgrundlagen (7 § första stycket). Av 8 § framgår vidare att PuL inte får inskränka myndigheternas skyldig- het att lämna ut personuppgifter enligt 2 kap. TF. trädde vissa ändringar i PuL i kraft. De syftar till att underlätta den vardagliga behandlingen av personuppgifter i löpande text och annat ostrukturerat material. Vid sådan behand- ling behöver inte längre flertalet av PuL:s detaljerade hanterings- regler tillämpas. Det som i stället avgör om en sådan behandling är tillåten eller inte är huruvida behandlingen innebär en kränkning av den registrerades personliga integritet, dvs. en s.k. missbruksmodell skall tillämpas. En viss avkriminalisering infördes också som innebär att gärningar som begås av oaktsamhet av normalgraden är straffbara. Grundläggande krav på behandling av personuppgifter PuL ställer stora krav på att ändamålsbestämmelserna i de lagar och förordningar som reglerar behandling av personuppgifter i myndig- heters verksamhet är utformade på ett sådant sätt att det tydligt framgår för vilka syften uppgifter får behandlas, oavsett om det gäller insamling, användning av uppgifter i den egna verksamheten eller utlämnande av uppgifter till andra. I lagen används beteck- ningen personuppgiftsansvarig för den som ensam eller till- sammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter (3 §). I 9 § PuL anges vissa grundläggande krav på behandlingen av personuppgifter. Personuppgifter skall alltid behandlas på ett korrekt och lagligt sätt samt i enlighet med god sed. De skall samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgifterna får därefter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (den s.k. finalitetsprincipen). Det innebär bl.a. att uppgifter inte får lämnas ut till annan om det är oförenligt med de ursprungliga ändamålen. Att ändamålen skall vara särskilda innebär att en alltför allmänt hållen ändamålsbeskrivning inte får godtas. Hur detaljerad ändamålsbeskrivningen måste vara får avgöras i praxis och genom föreskrifter från regeringen och Datainspektionen. Det anses inte oförenligt med de ursprungliga ändamålen att behandla uppgifter för historiska, statistiska eller vetenskapliga ändamål. De krav som anges i 9 § innebär vidare att de uppgifter som behandlas skall vara adekvata och relevanta i förhållande till ändamålen med behand- lingen och att fler personuppgifter inte får behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. De behandlade uppgifterna måste även vara riktiga och, om det är nöd- vändigt, aktuella. Alla rimliga åtgärder skall vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Per- sonuppgifter får inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Det bör nämnas att frågan om hur bestämmelser om behandling av personuppgifter i PuL eller i annan lag förhåller sig till SekrL:s regler har befunnits utgöra ett problem vid rättstillämpningen. OSEK har i betänkandet Ny sekretesslag (SOU 2003:99 Del 1 s. 230 ff.) behandlat frågan hur SekrL:s bestämmelser om uppgiftsutbyte mellan myndigheter förhåller sig till den i PuL uttryckta finalitetsprincipen, dvs. principen om att uppgifter inte får behandlas för ett ändamål som är oförenligt med det ändamål för vilket de samlats in. Enligt OSEK har man i sekretess- bestämmelser som reglerar uppgiftsutbyte mellan myndigheter redan tagit hänsyn till integritetsaspekterna. De utlämnanden av personuppgifter till en annan myndighet som sker i överens- stämmelse med SekrL är därför, enligt OSEK, att anse som en tillåten behandling enligt PuL:s bestämmelser. Om sekretess hindrar utbytet av uppgifter myndigheter emellan skulle utläm- nandet av uppgifterna vara oförenligt med något ändamål för vilket uppgifterna samlades in. Om det däremot inte finns något sekre- tesshinder, skulle det inte heller kunna vara fråga om någon otillåten behandling. För att undanröja oklarheterna i detta avseende har OSEK föreslagit att det i 2 § PuL skall införas en särskild bestämmelse av innebörd att bestämmelser i den lagen inte hindrar att en myndighet lämnar en personuppgift till en annan myndighet, om utlämnandet sker i överensstämmelse med SekrL. OSEK:s förslag bereds inom . PuL saknar bestämmelser om sättet att lämna ut personupp- gifter, dvs. om det sker manuellt eller elektroniskt, t.ex. genom direktåtkomst till elektroniskt lagrad information. Sådana bestäm- melser förekommer däremot i lagar och förordningar om behand- ling av personuppgifter som utförs av myndigheter inom olika verksamhetsområden, dvs. När behandling av personuppgifter är tillåten Som ytterligare en generell förutsättning gäller att behandlingen av personuppgifter är tillåten enbart på någon av de grunder som anges i 10 § PuL. Personuppgifter får alltid behandlas om den registrerade har lämnat sitt samtycke till behandlingen. Återkallar den registrerade sitt samtycke får ytterligare personuppgifter om den registrerade inte behandlas. I 10 § redovisas vidare flera situa- tioner då personuppgifter får behandlas trots att samtycke från den registrerade saknas. En förutsättning för detta är dock att behand- lingen är nödvändig för ändamålen. Här kan anmärkas att de flesta automatiserade bearbetningar av personuppgifter också kan utföras Nödvändighetskriteriet har av tolkats så att personuppgifter får behandlas även i de fall det är faktiskt möjligt att utföra uppgiften på annat sätt, om förfarandet underlättas genom användningen av automatisk databehandling (SOU 1997:39 s. 359). De i 10 § angivna fallen då personuppgifter får behandlas trots att samtycke från den registrerade saknas är bl.a. följande. Behandlingen är nödvändig för att den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet, en arbetsuppgift av allmänt intresse skall kunna utföras eller den personuppgifts- ansvarige eller en tredje man till vilken personuppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighets- utövning. Ytterligare ett fall är att behandlingen är nödvändig för att ett ändamål som rör ett berättigat intresse hos den person- uppgiftsansvarige eller hos en sådan tredje man till vilken person- uppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Förbud mot behandling av känsliga personuppgifter m.m. PuL innehåller ett principiellt förbud mot att behandla känsliga personuppgifter, 13 §. föreskrivs en rad undantag från detta principiella förbud, 14 §. Lagen innehåller bestämmelser om särskilda restriktioner för behandling av uppgifter om lagöver- trädelser m.m. samt personnummer, 21 och 22 §§. PuL innehåller bestämmelser som tryggar den registrerades rätt att dels kontrollera behandling av personuppgifter om honom eller henne, dels begära rättelse av personuppgifter som har behandlats felaktigt. Enligt 23 § skall den personuppgiftsansvarige självmant lämna den registrerade information rörande behandlingen, när uppgifter om en person samlas in från denne själv. Har uppgifterna samlats in från en annan källa skall den registrerade enligt 24 § informeras när uppgifterna registreras eller, om avsikten med behandlingen är att lämna ut uppgifterna till tredje man, när uppgifterna lämnas ut för Information enligt 24 § behöver inte lämnas om det finns bestämmelser om registrerandet eller utlämnandet av person- uppgifterna i en lag eller någon annan författning. Information behöver inte heller lämnas om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Om uppgif- terna används för att vidta åtgärder som rör den registrerade, skall dock information lämnas senast i samband med att så sker. Den information som skall lämnas skall omfatta uppgifter om vem som är personuppgiftsansvarig, ändamålet med behandlingen samt all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Den personuppgiftsansvarige är enligt 26 § skyldig att efter ansökan, en gång , gratis lämna besked om personuppgifter som rör sökanden behandlas eller inte. Behandlas sådana uppgifter skall skriftlig information lämnas också om ändamålet med behandlingen, vilka uppgifter som behandlas, varifrån dessa kommer och till vem de lämnas ut. Information behöver dock inte lämnas om personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Detta gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats . Bestämmelserna om informationsskyldighet gäller inte om sekretess eller tystnadsplikt för uppgifterna är föreskriven i för- hållande till den registrerade. PuL innehåller bl.a. regler om rättelse, säkerhet vid behandling, överföring av personuppgifter till tredje land, Datainspektionens befogenheter som tillsynsmyndighet samt sanktioner. Enligt 36 § PuL omfattas all behandling av personuppgifter som är helt eller delvis automatiserad av anmälningsskyldighet. Den personuppgiftsansvarige skall göra en skriftlig anmälan till Data- inspektionen innan en sådan behandling eller en serie av sådana behandlingar med samma eller liknande ändamål genomförs. Från anmälningsskyldigheten finns omfattande undantag. Av 37 § fram- går att anmälan inte behöver göras om den personuppgiftsansvarige till Datainspektionen har anmält att ett personuppgiftsombud har utsetts och vem det är. Enligt 36 § tredje stycket får regeringen eller den myndighet som regeringen bestämmer (Datainspek- tionen) meddela föreskrifter om undantag från anmälnings- skyldigheten för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integri- teten. Sådana undantag föreskrivs i 3–5 §§ personuppgiftsförord- ningen (1998:1191) och i 4 och 5 §§ Datainspektionens föreskrifter (1998:2; omtryckt 2001:1). Undantag görs bl.a. för behandling av personuppgifter som utförs till följd av myndighets skyldighet enligt 2 kap. TF att lämna ut allmän handling samt för behandling av personuppgifter som i övrigt regleras genom särskilda föreskrifter i lag eller förordning. Detta innebär att anmälningsskyldigheten inte gäller för behandling av person- uppgifter som framgår av särskild registerförfattning. 4.2Behandling av personuppgifter inom socialför- säkringens administration 4.2.1Allmänt om registerförfattningarna och deras tillämpningsområde hanterar stora mängder uppgifter om nästan hela landets befolkning. Uppgifterna hämtas in dels från de enskil- da själva, dels från andra myndigheter och organ. Uppgifterna behandlas i register som används för att handlägga socialförsäk- ringsförmåner. Det finns ett tjugotal s.k. socialförsäkringsregister som tillsam- mans utgör socialförsäkringsdatabasen. Behandlingen av personuppgifter inom verk- samhet regleras i SofdL och SofdF. Lagen och förordningen är komplement till PuL. Enligt 1 § SofdL tillämpas lagen vid behandling av personupp- gifter i verksamhet som gäller socialförsäkringsförmåner samt andra förmåner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av eller (socialförsäkringens administra- tion). Lagen gäller endast om behandlingen är helt eller delvis auto- matiserad eller om personuppgifter ingår i eller är avsedda att ingå i en strukturerad samling av uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. I 4 § SofdL föreskrivs att den samling uppgifter som med hjälp av automatiserad behandling används gemensamt i verksamhet som avses i 1 § utgör socialförsäkringsdatabasen. Av 5 § framgår att PuL gäller vid behandling av personuppgifter inom socialförsäkringens administration, om inte annat följer av SofdL eller föreskrifter som meddelas med stöd av denna lag eller av PuL. Ändamålen med behandlingen av personuppgifter är i den aktuella registerlagen indelade i primära (7 §) och sekundära (8 §) ändamål. De primära ändamålen avser behandling av personuppgifter för tillgodoseende av de behov som finns inom socialförsäkringens administration. och Premiepensionsmyndig- heten får således i sin verksamhet behandla personuppgifter om det är nödvändigt bl.a. för att tillgodose behov av underlag som krävs för att den registrerades eller annans rättigheter eller skyldigheter i fråga om förmåner och ersättningar som nämns i 1 § skall kunna bedömas eller fastställas (7 § punkten 2) samt för att handlägga ärenden (7 § punkten 4). När det gäller ändamålet under punkten 2, dvs. tillgodoseende av underlag för bedömning av rättigheter och skyldigheter, angav regeringen i förarbetena (prop. 2002/03:135 s. 63 f.) att hand- läggning av ärenden naturligtvis kan förekomma först när ett ären- de anhängiggjorts. Regeringen pekade dock på att det ofta är nödvändigt att företa vissa behandlingar av personuppgifter hos exempelvis även utan att ett ärende aktualiserats i egentlig mening. Ett exempel är sådan registrering och uppda- tering av uppgifter om identitet, födelsenummer, adress, folk- bokföringsort m.m. som sker utan att ett ärende anhängiggjorts och som är nödvändig för att handläggningen av vissa till- kommande ärenden skall kunna ske på ett rättssäkert och rationellt sätt. I sammanhanget nämnde regeringen barnbidragen, som regel- mässigt utan föregående ansökan utbetalas enbart på grundval av uppgifter som inhämtas automatiskt från folkbokföringen. Enligt regeringen förutsätter detta att behandling av personuppgifter kan ske hos utan att ett ärende inletts. när behandling av personuppgifter aktualiseras utan att ett ärende finns anhängigt är riktade informationsinsatser avseende försäkrade vars förhållanden är sådana att ett ärende rörande dem kan tänkas bli aktualiserat inom en nära förestående framtid, t.ex. information om de pensionsvillkor som kommer att gälla vid en framtida pen- sionering. Vidare förekommer inom socialförsäkringssystemet en avsevärd mängd materiella bestämmelser om fastställande av rätten till förmåner respektive beräkning av förmåners storlek m.m. som förutsätter registrering av personuppgifter under en längre eller innan ett egentligt ärende eventuellt anhängiggörs. I många fall är det så att en registrering måste ske utan att man med säkerhet kan säga att ett ärende kommer att anhängiggöras. Rege- ringen pekade vidare på att det mest omfattande insamlandet av personuppgifter sker för ålderspensionssystemet, som förutsätter registrering av uppgifter om inkomster, familjeförhållanden m.m. och i vissa fall under en individs hela vuxna liv. Den övervägande delen av uppgifterna kan vidare i händelse av dödsfall komma att behövas vid fastställande av efterlevande- förmåner till andra än den registrerade själv. Regeringen framhöll att personuppgifter som registreras i anledning av ett ärende, exem- pelvis en uppgift om SGI i ett sjukpenningärende, måste i ett stort antal fall kunna användas i efterkommande ärenden avseende sam- ma eller andra förmånsslag. Regeringen ansåg att dessa typer av behandlingar, dvs. insamlandet av personuppgifter som är nöd- vändiga för att den registrerades eller andra personers rättigheter i fråga om socialförsäkringsförmåner skall kunna bedömas eller fast- ställas, har en sådan omfattning att de bör omfattas av ett särskilt ändamål i lagen. De sekundära ändamålen behandlas i 8 §. Dessa ändamål avser utlämnande av personuppgifter från myndigheter inom socialför- säkringens administration. I 8 § första stycket anges de ändamål som omfattar utlämnande av personuppgifter till organ utanför socialförsäkringens administration som har direktåtkomst till upp- gifter i socialförsäkringsdatabasen. Bestämmelsen innehåller tre punkter och avser utlämnande av personuppgifter till CSN, arbets- löshetskassorna, SPV och de för kommunerna och landstingen gemensamma organet för administration av personalpensioner. Av 8 § första stycket 1 framgår att personuppgifter som behandlas för ändamål som anges i 7 § också får behandlas av för tillhandahållande av information som behövs som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskilda i den verksamhet som bedrivs av CSN och arbetslös- hetskassorna. I 8 § andra stycket föreskrivs de ändamål som avser utlämnande till andra organ än de som har direktåtkomst till uppgifter i socialförsäkringsdatabasen. Det anges att och även får behandla personuppgifter som behandlas för ändamål som anges i 7 § för att tillhandahålla information utanför den egna myndigheten på grund av bl.a. sådan bestämmelse om skyldighet att lämna ut uppgifter till andra myndigheter som avses i 14 kap. 1 § andra meningen SekrL och sådant medgivande att lämna ut uppgifter som följer av särskilda bestämmelser i lag eller förordning. 4.2.3Uppgifter som får behandlas och elektroniskt uppgiftsutlämnande SofdF innehåller närmare föreskrifter om den behandling av personuppgifter som omfattas av SofL. I förordningen anges bl.a. detaljerat vilka personuppgifter som får behandlas i socialförsäk- ringsdatabasen (2 §) samt de uppgifter som omfattas av den direkt- åtkomst som vissa myndigheter och organ har enligt SofdL (3–5 §§ förordningen). Uppgifter som anges i 2 § förordningen är bl.a. uppgifter om kön, civilstånd, studiemedel och andra ekonomiska förhållanden, uppgifter i och formerna för ansökningar eller anmäl- ningar samt uppgifter om tidpunkter, tidsperioder och belopp dels för ersättningar, dels för ersättningsgrundande förhållanden, i ären- den. I 17–20 §§ SofdL återfinns bestämmelser om direktåtkomst till uppgifter i socialförsäkringsdatabasen. Vi återkommer i avsnitt 5 till begreppet direktåtkomst och dess innebörd. Enligt 17 § är direktåtkomst till socialförsäkringsdatabasen tillåten endast i den utsträckning som anges i lag eller förordning. I 18–20 §§ föreskrivs vilka myndigheter och organ som får ha direkt- åtkomst till socialförsäkringsdatabasen samt under vilka förutsätt- ningar direktåtkomst får förekomma. När det gäller direktåtkomst för CSN och arbetslöshetskassorna anges att regeringen meddelar föreskrifter om vilka uppgifter direktåkomsten får omfatta. SofdL innehåller bestämmelser om utlämnande av uppgifter på medium för automatiserad behandling som tar sikte även på svenska myndigheter. Enligt 21 § får personuppgifter i socialför- säkringsdatabasen som får lämnas ut till den registrerade lämnas ut till denne på medium för automatiserad behandling. Personupp- gifter i socialförsäkringsdatabasen får i övrigt lämnas ut på medium för automatiserad behandling endast om det behövs för något av de ändamål som anges i 8 §, dvs. de sekundära ändamålen. 4.2.4Information till den registrerade Av 5 § SofdL följer att bestämmelserna i om information till den registrerade är tillämpliga vid behandling av personuppgifter inom socialförsäkringens administration, dock med den begräns- ningen att uppgifter i handlingar som kommit in i ett ärende eller upprättats i ett ärende inte behöver tas med i information enligt 26 § PuL om den registrerade tagit del av handlingens innehåll (se 27 § SofdL). 4.3Behandling av personuppgifter inom beskattningsverksamhet 4.3.1Allmänt om registerförfattningarna och deras tillämpningsområde behandling av uppgifter i beskattningsdatabasen regleras i skattedatabaslagen och skattedatabasförordningen. I 1 kap. 1 § skattedatabaslagen anges att lagen tillämpas vid behandling av personuppgifter i beskattningsverk- samhet, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Enligt 1 kap. 2 § lagen gäller PuL, om inte annat följer av 1 kap. 3 § eller av 3 kap. skattedatabaslagen. I 1 kap. 3 § sistnämnda lag hänvisas i vissa delar till PuL, bl.a. till 9 § som innehåller krav på att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål samt att uppgifterna inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Enligt 2 kap. 1 § skattedatabaslagen skall det i beskattnings- verksamheten finnas en samling uppgifter som med hjälp av auto-