sou · GWB387 · 2008-10-09 00:00:00 — För del har införlivande av direktivet skett genom personuppgiftslagen, som trädde i kraft just . Enligt övergångsbestämmelserna till lagen ska dock äldre lagstiftning, datalagen, tillämpas i sådana fall och under de tider som anges i dataskyddsdirektivet i fråga om bl.a. pågående behandling av personuppgifter. Den europeiska konventionen om skydd för de mänskliga rättig- heterna och de grundläggande friheterna gäller som svensk lag här i landet. I artikel 8 stadgas att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nöd- vändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra perso- ners fri- och rättigheter. Såvitt gäller laglighetskriteriet krävs, utöver att intrånget ska grundas på nationell lag, att den åberopade lagen uppfyller vissa minimikrav i fråga om kvalitet och tydlighet. Övergripande rättslig reglering av behandling av personuppgifter kande tolkning av lagen ska kunna förutses och lagen ska vara all- mänt tillgänglig. Att ett ingripande ska vara nödvändigt innebär att det ska föreligga ett angeläget samhälleligt behov av åtgärden i fråga. Åtgärden får dock inte gå längre än vad som är erforderligt med beaktande av proportionalitetsprincipen, dvs. den ska stå i rimlig relation till det intresse åtgärden är avsedd att tillgodose. Vid denna avvägning har staterna ett visst handlingsutrymme att inom rimliga gränser göra de avvägningar i bevis- och andra bedöm- ningsfrågor, vilka läggs till grund för ett ingripande. Primärt innebär artikel 8 att staten ska avhålla sig från ingrepp i den skyddade rättigheten, utom i de fall som omfattas av de i artikeln föreskrivna undantagen. Artikelns räckvidd är dock inte begränsad i detta avseende utan staten är också i viss mån skyldig att vidta positiva åtgärder för att skydda den enskildes privata sfär. Sådana positiva åtgärder kan utgöras av lagstiftningen men också av skydd mot övergrepp i särskilda situationer. Även utan att det förekommit något ingripande från myndighet eller offentlig tjänsteman kan staten således under vissa förutsättningar anses ha brutit mot artikel 8 genom att tolerera en föreliggande situation eller genom att inte skapa ett tillräckligt rättsligt skydd. Statens ansvar för en underlåtenhet kan då aktualiseras, trots att det över- grepp som visat att det rättsliga skyddet var otillräckligt utförts av en enskild person, för vars handlande staten inte i och för sig kan anses ansvarig. De krav som ställs på staten måste vara rimliga. Vad som i huvudsak kan förväntas är att staten utfärdar lagar och för- ordningar som ger ett tillfredsställande skydd åt privatliv, familje- liv, hem och korrespondens (se , Mänskliga rättig- heter i europeisk praxis – En kommentar till om de mänskliga rättigheterna, uppl. 2:1, s. 261 f.). Det står klart att behandling av personuppgifter och t.ex. rätt till tillgång till registrerade personuppgifter i och för sig kan falla inom tillämpningsområdet för artikel 8 i . All slags behandling av personuppgifter omfattas dock inte, utan frågan måste gälla privatliv, familjeliv, hem eller korrespondens. har ansett att bestämmelserna i artikel 8 i har betydelse vid sidan av EG-direktivet vid bedömningen av nationella regler som tillåter behandling av personuppgifter (se dom i mål nr C-465/00 och C-138 och 139/01). Övergripande rättslig reglering av behandling av personuppgifter 3.6Europeiska unionens stadga om de grundläggande rättigheterna tillkännagavs Europeiska unionens stadga om de grundläggande rättigheterna av parlamentet, rådet och kommissionen. I stadgan bekräftas de rättigheter som har sin grund i medlemsstaternas gemensamma författningstraditioner och inter- nationella förpliktelser samt i Fördraget om Europeiska unionen och gemenskapsfördragen, såsom Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande fri- heterna, gemenskapens och sociala stadgor och rätts- praxis vid Europeiska gemenskapernas domstol och Europeiska domstolen för de mänskliga rättigheterna. Stadgans syfte är att kodifiera de grundläggande fri- och rättigheterna som EU redan erkänner. är stadgan inte mer än en politisk vilje- förklaring avseende de redan existerande rättigheterna. Stadgan är således inte rättsligt bindande. I stadgans artikel 8 föreskrivs att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lag- enlig grund. Var och en har rätt att få tillgång till insamlade upp- gifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet ska kontrollera att reglerna efterlevs. Stadgan riktar sig till EU:s egna organ och institutioner samt till medlemsstaterna endast när de tillämpar unionsrätten. Stadgan riktar sig alltså inte till medlemsstaterna när de stiftar nationella lagar inom områden där EU inte har givits lagstiftningskompetens. Varje begränsning i utövningen av de rättigheter och friheter som erkänns i stadgan ska vara föreskrivna i lag och vara förenliga med proportionalitetsprincipen och det väsentliga innehållet i fri- och rättigheterna. De rättigheter som skyddas i stadgan ska ha samma innebörd och räckvidd som de som skyddas i Europa- konventionen. Stadgans artiklar får inte tolkas som att de inskrän- ker eller inkräktar på fri- och rättigheter enligt andra konventioner eller överenskommelser. Missbruk av rättigheter, såsom att t.ex. utnyttja en bestämmelse i stadgan för att åsidosätta en annan bestämmelse, är uttryckligen förbjudet i stadgan. Övergripande rättslig reglering av behandling av personuppgifter Med anledning av att och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) skulle antas, beslutade regeringen att tillsätta . Kommitténs uppgift var att göra en total revision av datalagen (1973:289) och utreda på vilket sätt direktivet skulle införlivas i svensk rätt. Uppdraget redovisades i betänkandet Integritet – Offentlighet – Informations- teknik (SOU 1997:39). Personuppgiftslagen (1998:204) bygger i allt väsentligt på det förslag som lades fram i betänkandet. regleras behandling av per- sonuppgifter i personuppgiftslagen, som har ersatt datalagen. Per- sonuppgiftslagen har sin utgångspunkt i dataskyddsdirektivet. 3.7.1Allmänt om personuppgiftslagen och dess tillämpningsområde Dataskyddsdirektivet bygger på att själva hanteringen av person- uppgifter regleras. Personuppgiftslagen följer direktivets struktur. Avvikelser görs endast när det finns särskilda skäl för det. I likhet med direktivet reglerar personuppgiftslagen själva hanteringen av personuppgifter och inte bara missbruk av sådana uppgifter. Det innebär att behandling av personuppgifter som inte sker med stöd av personuppgiftslagen är otillåten. Personuppgiftslagen tillämpas på all – helt eller delvis – automa- tiserad behandling av personuppgifter. Dessutom är lagen tillämp- lig på behandling av personuppgifter som ingår, eller är avsedda att ingå, i en strukturerad samling av personuppgifter vilka är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (5 §). 5 a § innehåller dels undantag från de viktigaste bestämmelserna i personuppgiftslagen för behandling av personuppgifter i ostruk- turerat material, dels ett förbud mot att utföra sådan behandling om behandlingen innebär en kränkning av den registrerades per- sonliga integritet. Personuppgiftslagen är mer generell än dataskyddsdirektivet och omfattar även sådan verksamhet som faller utanför gemenskaps- rätten. har haft ett system som utgår från en Övergripande rättslig reglering av behandling av personuppgifter generell lag kompletterad med särregler i s.k. registerförfattningar för viktigare eller känsligare register inom det offentliga området. Enligt 2 § personuppgiftslagen gäller särreglering i lag eller förord- ning framför bestämmelserna i personuppgiftslagen. Att det krävs en särskild författning för att avvika från det integritetsskydd som personuppgiftslagen ger ansåg regeringen vidare vara en garanti för att behovet av särregler övervägs noga i den ordning som gäller för författningsgivning. Målet har också varit att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras särskilt i lag (jfr bet. 1990/91:KU11 s. 11 och 1997/98:KU18 s. 48 samt prop. 1990/91:60 s. 58 och prop. 1997/98:44 s. 40 f). Behandling av uppgifter om juridiska personer som defini- tionsmässigt inte utgör personuppgifter (3 §) eller behandling som en fysisk person utför i verksamhet av rent privat natur (6 §) omfattas inte av personuppgiftslagen. Dessutom tillämpas inte lagen om det skulle strida mot tryckfrihetsförordningen (TF) och yttrandefrihetsgrundlagen. De flesta bestämmelserna i lagen tilläm- pas inte heller på behandling av personuppgifter som sker uteslu- tande för journalistiska ändamål eller konstnärligt eller litterärt skapande (7 §). I 8 § anges dessutom att personuppgiftslagen inte får inskränka myndigheternas skyldighet att lämna ut personuppgifter enligt 2 kap. TF. I samma lagrum anges även att lagen inte heller hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Dataskyddsdirektivet innehåller ett antal huvudregler som måste ingå i personuppgiftslagen. Ofta är dessa huvudregler och principer allmänt hållna i direktivet och de måste för att kunna till- lämpas av de personuppgiftsansvariga preciseras och konkretiseras. Lagen innehåller dock inte några detaljbestämmelser som fyller ut de generellt hållna huvudreglerna. I stället överlämnas det åt reger- ingen och Datainspektionen att inom den ram som personupp- giftslagen drar upp göra nödvändiga preciseringar och konkretise- ringar. Genom 8 a § bemyndigas regeringen att meddela föreskrifter om undantag från en rad bestämmelser i personuppgiftslagen om det är nödvändigt med hänsyn till vissa intressen. Paragrafen är avsedd att ha samma innebörd som artikel 13.1 i dataskyddsdirekti- vet i fråga om både vilka bestämmelser som undantag kan medges från och under vilka förutsättningar så kan ske. Övergripande rättslig reglering av behandling av personuppgifter 3.7.2Förutsättningar för behandling av personuppgifter Grundläggande krav (9 §) I lagen slås fast vissa grundläggande krav på all behandling av per- sonuppgifter. Personuppgifter ska alltid behandlas på ett korrekt och lagligt sätt samt i enlighet med god sed. De ska samlas in och behandlas för särskilda, uttryckligt angivna och berättigade ända- mål. får uppgifterna inte behandlas för något ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in. Detta innebär bl.a. att uppgifterna inte får lämnas ut till annan om det är oförenligt med de ursprungliga ändamålen. Att ändamålen ska vara särskilda innebär att en alltför allmänt hållen ändamålsbeskrivning inte får godtas. Hur detaljerad ändamåls- beskrivningen måste vara får avgöras i praxis och genom föreskrif- ter från regeringen och Datainspektionen. Det anses inte oförenligt med de ursprungliga ändamålen att behandla uppgifterna för histo- riska, statistiska eller vetenskapliga ändamål. De behandlade uppgifterna måste vara riktiga och relevanta och inte alltför omfattande i förhållande till de ändamål för vilka de behandlas. Om det är nödvändigt ska uppgifterna också vara aktu- ella. Uppfyller personuppgifterna inte kraven måste den person- uppgiftsansvarige vidta alla rimliga åtgärder för att utplåna, block- era eller rätta uppgifterna. Personuppgifterna får inte heller sparas längre än nödvändigt med hänsyn till de ändamål för vilka de behandlas. Därefter måste de avidentifieras eller förstöras. Efter- som personuppgiftslagen är sekundär till annan lagstiftning, får uppgifter emellertid inte avidentifieras eller på annat sätt förstöras (dvs. gallras) om det strider mot bl.a. om all- männa handlingar. När behandling av personuppgifter är tillåten (10–12 §§) Lagen innehåller en uttömmande uppräkning av de fall då behand- ling av personuppgifter är tillåten. Personuppgifter får alltid behandlas om den registrerade har lämnat sitt samtycke. Återkallar den registrerade sitt samtycke får ytterligare personuppgifter om denne inte registreras. I vissa fall får dock personuppgifter behandlas även om den registrerade inte lämnat sitt samtycke till det. En förutsättning i samtliga dessa fall är att behandlingen är nödvändig för ändamålen. Här kan anmärkas att de flesta automati- Övergripande rättslig reglering av behandling av personuppgifter serade bearbetningar av personuppgifter också kan utföras manu- ellt. Nödvändighetsrekvisitet har av tolkats så att personuppgifter får behandlas även i de fall det är faktiskt möj- ligt att utföra uppgiften på annat sätt, om förfarandet underlättas genom användningen av automatisk databehandling. Personupp- gifter får behandlas i samband med ett avtal med den registrerade när det krävs för fullgörandet av avtalet eller när det behövs för att på den registrerades begäran vidta åtgärder innan avtalet träffas. Behandling får vidare utföras om det är nödvändigt för att den per- sonuppgiftsansvarige ska kunna fullgöra en rättslig skyldighet som åvilar honom eller henne. Personuppgifter får också behandlas för att skydda vitala intressen för den registrerade. Likaså får sådana uppgifter behandlas om det är nödvändigt för att en arbetsuppgift av allmänt intresse ska kunna utföras och för att den personupp- giftsansvarige, eller någon annan till vilken personuppgifter har lämnats ut, ska kunna utföra en arbetsuppgift i samband med myn- dighetsutövning. Slutligen får personuppgifter behandlas om en avvägning ger vid handen att den personuppgiftsansvariges berättigade intresse av en behandling väger tyngre än den registrerades intresse av skydd. Vid intresseavvägningen jämställs med den personuppgiftsansvarige också sådana tredje män till vilka uppgiften lämnas ut. Förbud mot att behandla känsliga personuppgifter (13 §) I personuppgiftslagen återfinns dataskyddsdirektivets förbud i fråga om behandling av känsliga personuppgifter. Personuppgifter som gäller ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse samt medlemskap i fackförening får inte behandlas. Det är också förbjudet att behandla sådana personupp- gifter som rör hälsa eller sexualliv. Undantag från förbudet mot att behandla känsliga personuppgifter (14–20 §§) Förbudet mot behandling av känsliga uppgifter är inte undantags- löst. Liksom andra personuppgifter får sådana uppgifter behandlas efter den registrerades samtycke. Till skillnad från när samtycke krävs i andra sammanhang måste i fråga om känsliga personupp- Övergripande rättslig reglering av behandling av personuppgifter gifter samtycket emellertid vara uttryckligt, dvs. Även när den registrerade har offentliggjort känsliga uppgifter på ett tydligt sätt får de behandlas. Vidare får behandling bl.a. utföras om den är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra sina skyldigheter eller rättigheter inom arbetsrätten. I stort sett gäller det fullgöran- det av alla skyldigheter och rättigheter för arbetsgivaren beträf- fande de anställda och deras organisationer. De uppgifter som behandlas under denna förutsättning får lämnas ut till tredje man endast om det inom arbetsrätten finns en uttrycklig skyldighet för den personuppgiftsansvarige att göra det eller om den registrerade har samtyckt till utlämnandet. Förbudet mot att behandla känsliga personuppgifter gäller inte heller när behandlingen sker inom ramen för ideella organisationers berättigade verksamhet med ett politiskt, filosofiskt, religiöst eller fackligt syfte. Behandlingen får bara avse uppgifter om medlemmar eller personer som organisationen på grund av sitt ändamål har regelbunden kontakt med. Utlämnande av sådana uppgifter till tredje man kräver den registrerades samtycke. Förbudet gäller inte om behandlingen rör uppgifter som är nödvändiga för att rättsliga anspråk ska kunna slås fast, göras gällande eller försvaras. Detta gäller när det förhållande som faller in under definitionen av käns- liga personuppgifter också är en förutsättning för att personen i fråga ska ha rätt till en förmån eller ha en rättslig skyldighet gent- emot någon annan. Som exempel kan nämnas rätten för en sjuk person att få försäkringsersättning eller skyldigheten för den som tillhör att betala avgift. Ett ytterligare undantag från förbudet att behandla känsliga personuppgifter är när den regi- strerade är rättsligt eller fysiskt förhindrad att lämna samtycke och behandlingen är nödvändig för att skydda dennes eller någon annans vitala intressen. Vidare undantas behandling som är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling samt administration av hälso- och sjukvård. Behandlas uppgifterna av någon som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och som är underkastad tystnads- plikt, gäller förbudet inte heller. Slutligen undantas, under vissa förutsättningar, behandling för forskning och statistik från för- budet. Övergripande rättslig reglering av behandling av personuppgifter Regeringen eller den myndighet regeringen bestämmer, dvs. Datainspektionen, får meddela föreskrifter om ytterligare undan- tag, om det behövs med hänsyn till ett viktigt allmänt intresse. Uppgifter om brott (21 §) Vissa uppgifter som inte omfattas av definitionen av känsliga per- sonuppgifter är ändå sådana att behandlingen av dem regleras sär- skilt i personuppgiftslagen, liksom i dataskyddsdirektivet. Det är således förbjudet för andra än myndigheter att behandla person- uppgifter om lagöverträdelser, domar och säkerhetsåtgärder i brottmål. Regeringen eller Datainspektionen har dock möjlighet att föreskriva undantag från förbudet, om det är befogat att behand- lingen utförs av annan än myndighet och behandlingen står under tillfredsställande kontroll av en myndighet. Regeringen eller, om regeringen bestämmer det, Datainspektionen får dessutom före- skriva undantag från förbudet i vissa fall. Användning av personnummer (22 §) Uppgifter om personnummer och samordningsnummer får behandlas bara när den registrerade samtycker till det eller när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Paragrafen har införts mot bakgrund av artikel 8.7 i dataskydds- direktivet. Det materiella innehållet i paragrafen är dock en rent inhemsk konstruktion. En motsvarande bestämmelse fanns i 7 § andra stycket datalagen. 3.7.3Information och rättelse m.m. Personuppgiftslagen innehåller bestämmelser som tryggar den regi- strerades rätt att dels kontrollera om behandling av personupp- gifter om honom eller henne pågår, dels begära rättelse av person- uppgifter som har behandlats felaktigt. Övergripande rättslig reglering av behandling av personuppgifter Information (23–27 §§) Personuppgiftslagens bestämmelser om informationsskyldighet gäller i första hand den information som den personuppgiftsansva- rige självmant har att lämna. Rätten att på begäran få ut uppgifter i allmänna handlingar följer främst av TF, dock att den rätten i vissa fall begränsas genom bestämmelser i sekretesslagen (1980:100), men det finns bestämmelser även i personuppgiftslagen. Den personuppgiftsansvarige ska självmant lämna den registre- rade information rörande behandlingen, när uppgifter om en per- son samlas in från denne själv. Har uppgifterna samlats in från en annan källa, ska den registrerade informeras när uppgifterna note- ras eller, om avsikten med behandlingen är att lämna ut uppgifterna till tredje man, när uppgifterna lämnas ut . Infor- mationen ska omfatta uppgifter om vem den personuppgiftsansva- rige är, ändamålet med behandlingen samt all övrig information som den registrerade behöver för att kunna tillvarata sina rättig- heter i samband med behandlingen. Endast sådana uppgifter som den registrerade inte redan känner till behöver lämnas. Har uppgifterna hämtats in från tredje man behöver information inte lämnas om det är omöjligt eller skulle innebära en oproportio- nerligt stor arbetsinsats. Inte heller behöver information lämnas om det i lag eller annan författning finns särskilda bestämmelser om registreringen eller utlämnandet av personuppgifter. Den personuppgiftsansvarige är vidare skyldig att efter ansökan, en gång , gratis informera om huruvida uppgifter som rör sökanden behandlas eller inte, ändamålet med behandlingen, vilka uppgifter som behandlas, varifrån dessa kommer och till vem de lämnas ut. Information behöver emellertid inte lämnas beträffande personuppgifter som behandlas endast i löpande text som ännu inte fått sin slutliga utformning eller som utgör minnesanteckningar, under förutsättning att uppgifterna inte har lämnats ut till tredje man eller – i fråga om uppgifter i löpande text – behandlingen inte har pågått . Bestämmelserna om informationsskyldighet gäller över huvud taget inte om sekretess eller tystnadsplikt för uppgifterna är före- skriven i förhållande till den registrerade. Övergripande rättslig reglering av behandling av personuppgifter Rättelse (28 §) Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen ska på begäran av den registrerade rättas, utplånas eller blockeras av den personuppgiftsansvarige. Med blockering avses varje åtgärd som kan vidtas för att de aktuella personuppgifterna i alla samman- hang ska vara förknippade med tydlig information om att de är spärrade och inte får lämnas ut till tredje man samt om anledningen till spärren. Om felaktiga personuppgifter har lämnats till tredje man, ska denne i vissa fall underrättas om korrigeringsåtgärden, nämligen om den registrerade begär det eller om det behövs för att undvika mera betydande skada eller olägenhet för den registrerade. Efter- som den personuppgiftsansvarige inte har någon skyldighet att hålla reda på till vem uppgifter lämnas ut och då uppgifter ibland kan lämnas till ett stort antal människor, innehåller bestämmelsen det undantaget att underrättelse inte behöver ske om det är omöj- ligt eller skulle innebära en oproportionerligt stor arbetsinsats. Bestämmelser som avser att säkerställa att behandlingen av person- uppgifter sker på ett betryggande sätt finns i 30 och 31 §§ person- uppgiftslagen. Den personuppgiftsansvarige har stort ansvar för säkerheten vid behandling av personuppgifter. Bland annat får de personer som arbetar med personuppgifter behandla dessa endast efter den personuppgiftsansvariges instruktioner. Instruktionerna bör i vart fall vara utformade på ett sådant sätt att var och en som arbetar med personuppgifter ska veta vilka ändamålen är med behandlingen och att behandling som är oförenlig med dessa ändamål är förbjuden. För det allmännas verksamhet gäller att om det i annan lagstift- ning finns bestämmelser om säkerheten vid behandling av person- uppgifter, ska i stället de bestämmelserna tillämpas. Det gäller framför allt bestämmelser om tystnadsplikt och sekretess. Den personuppgiftsansvarige har vidare ansvar för att tekniska och organisatoriska åtgärder vidtagits för att skydda de behandlade personuppgifterna. Åtgärderna ska åstadkomma en lämplig sekre- tessnivå med beaktande av de tekniska möjligheter som finns, Övergripande rättslig reglering av behandling av personuppgifter kostnaden för att genomföra åtgärderna, riskerna med behand- lingen och hur känsliga de behandlade uppgifterna är.