sou · GVB322 · 2008-01-01 00:00:00 — Vidare fördes i den svenska lagtexten in de omständigheter som enligt EG-direktivet skall tilläggas särskild vikt vid prövningen om ett tredje lands skyddsnivå är adekvat. Det bör emellertid observeras att det även enligt den nya lydelsen är i princip förbjudet att föra över personuppgifter till ett land där skyddsnivån inte är adekvat. Från förbudet enligt 33 § finns vissa generella undantag i 34 §. Dessa innebär att en överföring av personuppgifter till tredje land i vissa situationer är tillåten även om landet eller länderna i fråga inte har en adekvat skyddsnivå. Sådana undantagsfall föreligger om överföringen är nödvändig för att a)ett avtal mellan den registrerade och den personuppgifts- ansvarige skall kunna fullgöras eller åtgärder som registrerade begärt skall kunna vidtas innan ett avtal träffas, Generella skyddsregler i vanlig lag b)ett sådant avtal mellan den personuppgiftsansvarige och tredje man som är i den registrerades intresse skall kunna ingås eller fullgöras, c)rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras, eller d)vitala intressen för den registrerade skall kunna skyddas. Det är enligt samma paragraf också tillåtet att föra över person- uppgifter för användning enbart i en stat som har anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. I 35 § finns vissa bemyndiganden som avser möjligheten att besluta om ytterligare undantag från förbudet i 33 §. Regeringen får meddela föreskrifter om sådant undantag för överföring till vissa stater eller för det fall att överföringen regleras av ett avtal som ger tillräckliga garantier till skydd för de registrerades rättigheter. Under dessa förutsättningar kan regeringen också besluta om undantag i enskilda fall. Regeringen kan även överlåta åt tillsynsmyndighet att fatta sådana beslut. Datainspektionen har fått ett sådant bemyndigande. Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om undantag också om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Regeringen har meddelat sådana föreskrifter bl.a. i fråga om kommuners, landstings och kommunalförbunds möjlighet att lägga ut diarier och protokoll på Internet. För att en överföring av personuppgifter till tredje land skall vara tillåten räcker det enligt lagen inte med att de i 33 § eller 34 § angivna förutsättningarna är uppfyllda. Den behandling som överföringen utgör måste också vara tillåten enligt person- uppgiftslagens övriga bestämmelser. Den huvudsakliga förklaringen till att förbudet mot överföring av personuppgifter till tredje land kommit att kritiseras i samhällsdebatten är att förbudet antagits gälla också för utläggande av personuppgifter på Internet, varigenom stora delar av vad som ganska allmänt uppfattats som normal elektronisk kommunikation kommit att betraktas som olaglig. Som i korthet berörts ovan har denna problematik kommit i nytt ljus genom avgörande i det s.k. konfirmandlärarmålet. Domstolen framhöll att EG-direktivet utarbetades då Generella skyddsregler i vanlig lag Internet ännu var föga utvecklat och att det inte kunde vara gemenskapslagstiftarens avsikt att förbjuda utläggandet av personuppgifter på Internet enbart av den anledningen att uppgifterna härigenom blev tillgängliga även i länder som inte har en adekvat skyddsnivå. Med stöd av praxis skulle det alltså numera kunna hävdas att publicering på Internet är generellt undantaget från förbudet i 33 § personuppgiftslagen mot överföring av personuppgifter till tredje land. Den svenska lagstiftaren synes emellertid inte ha velat dra en så långtgående slutsats av uttalande, se kapitel 23. Enligt 36 § gäller som huvudregel att behandling av person- uppgifter som är helt eller delvis automatiserad omfattas av anmälningsskyldighet. Regeringen eller den myndighet som regeringen bestämmer får dock meddela föreskrifter om undantag från anmälningsskyldigheten för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integriteten. Sådana föreskrifter har meddelats bl.a. för behandlingar som utförs till följd av bestämmelserna i 2 kap. TF om utlämnande av allmän handling eller som utförs av arkiv- myndighet till följd av bestämmelser om arkiv i lag eller för- ordning. Undantag från anmälningsskyldigheten gäller också behandlingar som i andra fall följer av lag eller förordning. Man behöver inte heller anmäla behandling av personuppgifter i löpande text. Undantag från anmälningsskyldigheten gäller vidare om den personuppgiftsansvarige har utsett ett personuppgiftsombud och anmält denne till tillsynsmyndigheten (37 §). I regeringens proposition inför personuppgiftslagens införande anfördes att tillsynsmyndighetens verksamhet borde koncentreras till att ge råd och sprida kunskap om de materiella reglerna och att utöva tillsyn över att reglerna följs (prop. 1997/98:44 s. 98). Det var därför viktigt att fullt ut utnyttja de möjligheter till undantag från anmälningsskyldigheten som dataskyddsdirektivet medgav. På det sättet borde anmälningsskyldigheten kunna begränsas till ett minimum. Lagstiftarens intentioner att minimera anmälningsskyldigheten till ett minimum förefaller ha lyckats. Generella skyddsregler i vanlig lag rapporterade Datainspektionen att systemet med personuppgifts- ombud hade utvecklats över all förväntan. Långt fler ombud har anmälts än vad man hade räknat med. uppgår antalet anmälda behandlingar av personuppgifter till en relativt låg siffra. Obligatorisk anmälan av särskilt integritetskänsliga behand- lingar I 41 § anges att regeringen får meddela föreskrifter om att särskilt integritetskänsliga behandlingar skall anmälas till tillsyns- myndigheten för förhandskontroll i förväg. Sådana före- skrifter har meddelats i fråga om behandling av personuppgifter om genetiska anlag som framkommit efter genetisk undersökning. Bestämmelser om tillsynsmyndighetens, dvs. Datainspektionens, befogenheter finns i 43 – 47 §§ personuppgiftslagen. Dessa befog- enheter innebär att Datainspektionen har rätt att på begäran få a) tillgång till de personuppgifter som behandlas, b) upplysningar om och dokumentation av behandlingen av personuppgifter och säkerheten vid denna samt c) tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter (43 §). Om en begäran enligt 43 § inte leder till ett tillräckligt underlag eller man konstaterar att uppgifter behandlas eller kommer att behandlas på ett olagligt sätt har Datainspektionen möjlighet att vid vite förbjuda annan behandling än lagring (44 och 45 §§). skall myndigheten dock försöka åstadkomma rättelse genom påpekanden eller liknande förfaranden. Om saken är brådskande får ett tillfälligt beslut om vite meddelas även utan att den personuppgiftsansvarige har fått yttra sig (46 §). kan också ansöka hos länsrätt om att personuppgifter som behandlats på ett olagligt sätt skall utplånas om det inte är oskäligt (47 och 48 §§). I förarbetena uttalades att det ligger i sakens natur att möjligheten att ansöka om utplånande av personuppgifter bör användas bara i sådana fall där det inte genom andra åtgärder är möjligt att förena behandlingen av uppgifterna med de regler som gäller (prop. 1997/98:44 s. 104). Generella skyddsregler i vanlig lag Enligt 48 § skall den personuppgiftsansvarige ersätta den registrerade för sådan skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med personuppgiftslagen har orsakat. Om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne, kan ersättnings- skyldigheten jämkas i den utsträckning det är skäligt. Bestämmelserna om skadestånd i personuppgiftslagen har karaktären av specialbestämmelser som tar över de allmänna skadeståndsreglerna i skadeståndslagen (1972:207). Skadestånds- ansvaret omfattar personuppgiftsansvariga inom både den privata och den offentliga sektorn. Bestämmelserna innebär en rätt till ekonomisk kompensation för själva kränkningen förutom rätt till ersättning för personskada, sakskada och ren förmögenhetsskada. De huvudsakliga sanktionerna vid överträdelse av person- uppgiftslagen är, som framgått ovan, skadestånd och vite. Till böter eller fängelse döms således enligt 49 § den som uppsåtligen eller av grov oaktsamhet a)lämnar osann uppgift i information eller anmälan enligt lagen, b)behandlar personuppgifter i strid med bestämmelserna om känsliga personuppgifter eller uppgifter om lagöverträdelser m.m., c)för över personuppgifter till tredje land i strid med 33–35 §§, d)låter bli att göra en anmälan om behandling till tillsyns- myndigheten, e)behandlar sådana personuppgifter som avses i 13 och 21 §§ i strid med 5 a § andra stycket, eller f)i strid med 5 a § andra stycket för över personuppgifter till tredje land som inte har en sådan adekvat nivå för skyddet av personuppgifterna som avses i 33 §. Om brottet är grovt är straffet fängelse i högst . är inte längre gärningar som utgör ringa brott straffbara. Ändringen hade samband med den tidigare redovisade uppmjukningen av förbudet mot överföring av personuppgifter till tredje land. Generella skyddsregler i vanlig lag Enligt 51 § får tillsynsmyndighetens beslut enligt personuppgifts- lagen överklagas hos allmän förvaltningsdomstol. 4.5.4Avkriminalisering och avreglering när personuppgifter behandlas i löpande text m.m. trädde ändringar i personuppgiftslagen i kraft som syftade till att underlätta behandling av personuppgifter i löpande text och annat ostrukturerat material (prop. 2005/06:173, bet. 2005/06:KU37). Ändringarna innebar bl.a. att det i en ny paragraf – 5 a § – införts bestämmelser om att behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av personuppgifter inte omfattas av flertalet av de hanteringsregler som anges i personuppgiftslagen. Det som i stället avgör om en sådan be- handling är tillåten eller inte är huruvida behandlingen innebär en kränkning av den registrerades personliga integritet, dvs. en s.k. missbruksmodell skall tillämpas. Att hanteringsreglerna inte behöver tillämpas på behandling av personuppgifter i t.ex. löpande text innebär att den som behandlar uppgifterna inte behöver beakta bestämmelserna om grundläggande krav på behandlingen (9 §) eller om när behandling av uppgifter är tillåten (10 §). Inte heller behöver förbuden mot att behandla känsliga personuppgifter (13 §) eller uppgifter om lagöverträdelser m.m. (21 §) iakttas eller de särskilda villkoren för behandling av personnummer (22 §) beaktas. Bestämmelserna om skyldighet att lämna information behöver inte tillämpas (23, 24 och 26 §§). Rättelse av uppgifter behöver inte heller vidtas (28 §) och förbudet mot överföring av personuppgifter till tredje land behöver inte iakttas (33 §). I förarbetena anfördes (prop. 2005/06:173 s. 19) att även behandling av personuppgifter i ett ostrukturerat material kan innebära en kränkning av den av personliga integriteten eller medföra risk för en sådan kränkning i ett enskilt fall. Vid behandling av personuppgifter som inte finns i en tydligt personuppgiftsanknuten registerstruktur framstod emellertid enligt regeringen hanteringsreglerna som alltför omfattande och Generella skyddsregler i vanlig lag byråkratiska med hänsyn bl.a. till att integritetsriskerna normalt är mindre och till de informations- och yttrandefrihetsintressen som gör sig gällande. Som både utredningen och en del remissinstanser framhållit var det heller inte realistiskt att tro att hanteringsreglerna i praktiken tillämpas i någon större utsträckning vid vardaglig, ostrukturerad hantering av personuppgifter. Man riskerade därmed att de grundläggande och viktiga dataskyddsprinciperna råkar i vanrykte och inte tillämpas ens vid sådan strukturerad behandling av personuppgifter där de är nödvändiga för integritetsskyddet. Mot bakgrund av detta skulle enligt regeringen integritetsskyddet i praktiken stärkas om man undantog typiskt sett mindre riskfylld behandling från hanteringsreglernas tillämpningsområde och i stället skapade enklare regler som direkt tar sikte på skydd mot missbruk av personuppgifter. Lagrådet ansåg det problematiskt att den nya, allmänt hållna regeln i 5 a § inrymde uttryck som måste antas ge upphov till tillämpningssvårigheter. Regeringen delade inte denna bedömning, utan ansåg att regeln inte kommer att medföra påtagliga problem från rättssäkerhetssynpunkt, även om gränsdragningen i vissa enskilda fall inte kommer att vara självklar (a. prop. s. 20 f.). De behandlingar som omfattas av den nya missbruksregeln var enligt regeringen sammanfattningsvis vardaglig hantering som pro- duktion av löpande text i ordbehandlingsprogram, publicering av löpande text på Internet, användning av ljud- och bildupptagningar och korrespondens med e-post under förutsättning att materialet inte ingår i eller skall infogas i en databas med en person- uppgiftsanknuten struktur såsom ett ärendehanteringssystem. Vill man infoga materialet i någon form av databas blir frågan om databasen har en personuppgiftsanknuten struktur avgörande. Om så är fallet, måste hanteringsreglerna tillämpas. När det gäller frågan om när en behandling av personuppgifter i ostrukturerat material innebär en kränkning av den registrerades personliga integritet anförde regeringen att det ligger i sakens natur att tillämpningen av missbruksregeln får bygga på en intresse- avvägning, där den registrerades intresse av en fredad, privat sfär vägs mot andra motstående intressen i det enskilda fallet (a. prop. s. 27 f.). Enligt regeringen låg detta också i linje med vad EG- domstolen uttalat i det s.k. konfirmandlärarmålet om att det åligger de nationella myndigheterna och domstolarna att vid en tolkning av de bestämmelser som genomför EG-direktivet i nationell lagstiftning göra en avvägning mellan olika intressen och inte Generella skyddsregler i vanlig lag grunda sig på en tolkning som skulle i strid med bl.a. de grund- läggande rättigheter som skyddas genom gemenskapernas rättsordning. Bedömningen av vad som är en kränkning skall alltså inte göras schablonartat enbart utifrån vilka uppgifter som behandlas utan måste även ta sin utgångspunkt i t.ex. vilket sammanhang uppgifterna förekommer, för vilket syfte de behandlas, vilken spridning de har fått eller har riskerat att få samt vad behandlingen kan leda till. Om uppgifter samlas in eller annars behandlas med syfte att förfölja eller skandalisera en person, får behandlingen anses innebära en kränkning av den personliga integriteten. Regeringen anförde vidare att en enskild person ofta torde ha rätt att kräva att ingen har en i det närmaste fullständig kunskap om honom eller henne. Redan det förhållandet att en personuppgifts- ansvarig samlar en stor mängd uppgifter om en person utan något godtagbart ändamål måste därför ses som en kränkning av den personliga integriteten. Vidare får det oftast anses innebära en kränkning av den registrerades personliga integritet om den personuppgiftsansvarige medvetet behandlar personuppgifter som är klart felaktiga eller missvisande. Regeringen ansåg att det inte behövdes några särskilda regler till skydd mot angrepp på heder och ära vid just automatiserad behandling av personuppgifter i ostrukturerat material, utan de befintliga reglerna om förtal och förolämpning var tillräckliga även i detta sammanhang (a. prop. s. 28). När det gällde spridning av förtroliga eller djupt personliga uppgifter fanns det enligt regeringen redan i viss utsträckning författningsbestämmelser och etiska regler eller motsvarande som föreskriver tystnadsplikt i fråga t.ex. om uppgifter om personliga förhållanden. Dessa regler kunde sägas ge uttryck för vilka förhållanden som bör hemlighållas. En spridning av personuppgifter som innebär brott mot sådana bestämmelser och riktlinjer borde i de flesta fall anses utgöra en kränkning av den personliga integriteten i missbruksregelns mening. Vid samma tillfälle gjordes också en avkriminalisering vid behandling av personuppgifter på så sätt att gärningar som begås av oaktsamhet inte längre skall vara straffbara, utan bara uppsåtliga eller grovt oaktsamma förfaranden. I förarbetena påpekades att den oaktsamhet som den personuppgiftsansvarige uppvisat, t.ex. i förhållande till om behandlingen utförts i ett ostrukturerat material eller till att känsliga personuppgifter har behandlats, kan i det Generella skyddsregler i vanlig lag enskilda fallet vara mindre klandervärd (a. prop. s. 47 f.). En avkriminalisering av oaktsamhet av normalgraden skulle i sådana fall motverka oskäliga resultat. Detta gäller både för det område som faller in under missbruksregeln och det som fortfarande regleras av hanteringsreglerna. I 7 kap. 16 § SekrL (1980:100) finns ett allmänt sekretesskydd för personuppgifter, vilket träder i funktion om det kan antas att ett utlämnande skulle medföra att uppgifterna behandlas i strid med personuppgiftslagen. Bestämmelsen har ersatt en motsvarande bestämmelse i sekretesslagen som refererade till datalagen (1973:289). När bestämmelsen infördes, vilket skedde i samband med att personuppgiftslagen ersatte datalagen, uttalades i förarbetena att ändringen endast innebar en samordning med bestämmelserna i personuppgiftslagen (prop. 1997/98:44 s. 147). Emellertid har den ändrade bestämmelsen kommit att få ett vidare tillämpningsområde än tidigare och sekretessprövningen har blivit mer komplicerad (se betänkandet Offentlighetsprincipen och den nya tekniken SOU 2001:3 s. 190 f. och 213 f. samt Översyn av personuppgiftslagen SOU 2004:6 s. 253). Bestämmelsen skall nu- mera tillämpas vid alla utlämnanden av personuppgifter från en myndighet och inte enbart vid utlämnanden från myndigheternas personregister. Den omständigheten att sekretessprövningen nu- mera tar sikte på personuppgiftslagens bestämmelser och inte reglerna i datalagen innebär också att tillämpningsområdet blivit vidare. Personuppgiftslagen omfattar ju all helt eller delvis automatiserad behandling av personuppgifter samt behandling i register, medan datalagen enbart omfattade behandling av personuppgifter i dataregister. Regleringen i datalagen byggde på ett system där inrättande och förande av personregister förutsatte licens från Datainspektionen. Därutöver krävdes tillstånd för vissa typer av känsliga person- register. Systemet med licens och tillståndsprövning innebar att sekretessprövningen enligt dåvarande 7 kap. 16 § i flertalet fall kunde inskränkas till ett konstaterande av huruvida den sökande hade licens eller tillstånd av Datainspektionen för det aktuella personregistret. Som framgått ovan bygger personuppgiftslagens regler i stället på ett system med anmälningsskyldighet, som är Generella skyddsregler i vanlig lag förenat med tämligen vittgående undantag. Detta system innebär att den myndighet som skall pröva om sekretess enligt 7 kap. 16 § föreligger har att på egen hand ta ställning till om den behandling som de begärda uppgifterna skall användas till är förenlig med bestämmelserna i personuppgiftslagen. Ändringen av 7 kap. 16 § har medfört ett ökat antal mål i förvaltningsdomstolarna som rör tillämpningen av bestämmelsen. Det har också hunnit avgöras ett antal mål i högsta instans. En viss rättspraxis har således hunnit utbildas sedan bestämmelsen i dess nya lydelse trädde i kraft (för en redovisning av praxis, se SOU 2004:6 s. 62 f.). Den ändring i lydelsen av 7 kap. 16 § SekrL som gjordes i samband med personuppgiftslagens införande innebar vidare att ett andra stycke i paragrafen upphävdes. I detta stycke angavs vad som gällde i fråga om sekretess vid utlämnande av personuppgifter i personregister till utlandet. Motivet för att upphäva det andra stycket var att det i 33–35 §§ personuppgiftslagen finns bestämmelser om överföring av personuppgifter till tredje land som gäller även för myndigheter (prop. 1997/98:44 s. 147). I förarbetena erinrades om att redan första stycket i 7 kap. 16 § innebär att sekretess gäller om ett utlämnande av personuppgifter till tredje land skulle stå i strid med de nämnda bestämmelserna i personuppgiftslagen. Andra stycket i paragrafen behövdes därför inte längre. Lagstiftaren tycks emellertid ha blandat samman vilken behandling av personuppgifter det är som skall prövas mot bestäm- melserna i personuppgiftslagen. Är det den behandling som myndighetens utlämnande innebär som skall prövas, eller är det frågan om den behandling som kan antas ske efter utlämnandet? Att det enbart är sökandens efterföljande behandling som avses får numera anses klarlagt genom den rättspraxis som kommit till efter ändringen (SOU 2004:6 s. 62 f. och 252). Hur 7 kap. 16 § i sin ändrade lydelse skall tillämpas vid begäran om utlämnande till en sökande som befinner sig utanför personuppgiftslagens territoriella tillämpningsområde har inte prövats, åtminstone inte i de högre rättsinstanserna. Det har i lagstiftningen inte lämnats någon godtagbar för- till att möjligheterna att lämna ut uppgifter till andra myndigheter måste vara mycket större på skatteområdet än vad som är fallet på andra områden där absolut sekretess gäller. Bestämmelserna om att skattebrottsenheterna inom Skatte- verket skall ha direktåtkomst till beskattningsdatabasen har införts utan att en tillräcklig redovisning och analys har gjorts av behovet av en sådan åtkomst och dess effektivitet å ena sidan och konsekvenserna för integritetsskyddet å andra sidan. Någon avvägning mellan behov och konsekvenser för integritets- skyddet har därför inte varit möjlig att göra. Även detta för- hållande är otillfredsställande från integritetsskyddssynpunkt. bildade och landets tio regionala skattemyndigheter den nya myndigheten . är en sammanhållen myndighet med hela landet som verksamhetsområde. De regionala skattemyndigheterna har därmed upphört. är därtill chefsmyndighet för exekutions- väsendet. huvuduppgift är att administrera stora delar av det svenska skattesystemet. Dessutom ansvarar för bl.a. folkbokföring, fastighetstaxering och registrering av boupp- teckningar. medverkar även i brottsutredningar. Denna verksamhet bedrivs av en särskild enhet inom och är att betrakta som en självständig verksamhetsgren i för- hållande till beskattningsverksamheten. En annan uppgift för är att företräda staten vid domstol. är värdmyndighet för , som ansvarar för statens person- och adressregister. I 9 kap. 1 och 2 §§ SekrL finns regler om sekretess till skydd för enskildas personliga och ekonomiska förhållanden i beskattningsverksamhet. Sekretessen omfattar såväl taxerings- ärendena som registerföring och annan verksamhet som har anknytning till taxeringsförfarandet. Den omfattar också Skatte- verkets brottsbekämpande verksamhet. Även uppgiften att före- träda det allmänna som part i skatteprocess i domstol faller in under sådan verksamhet som omfattas av sekretess. Sekretessen är absolut, dvs. något skaderekvisit finns inte. Ett undantag är skatteprocess hos domstol, där sekretess gäller med ett rakt skaderekvisit för uppgift i mål hos domstolen. I en skatte- process i domstol gäller alltså presumtion för offentlighet. För den del av verksamhet som avser att ansvara för folkbokföringen finns bestämmelser om sekretess i 7 kap. 15 § SekrL. Förutsättningen för sekretess är att det av särskild anledning kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs, dvs. det är fråga om ett rakt skaderekvisit som innebär presumtion för offentlighet. Denna sekretess är också tillämplig på uppgifter i det statliga person- och adresseregistret (SPAR). Sekretess i skatteverkets brottsbekämpande verksamhet regleras i 9 kap. 17 § SekrL, där bestämmelser finns om s.k. förundersök- ningssekretess. Sådan sekretess gäller med omvänt skaderekvisit, dvs.