sou · GWB354 · 2008-05-16 00:00:00 — Personuppgiftslagen innehåller generella regler som ska tillämpas i hela samhället av både myndig- heter och privata organisationer och enskilda, och det förutsattes vid lagens tillkomst att behov av undantag och preciseringar för mer speciella områden liksom tidigare skulle tillgodoses genom särskilda registerförfattningar som tar över bestämmelserna i personuppgiftslagen. Sådan särreglering får dock inte stå i strid med EG-direktivet och dataskyddskonvention eller utformas så att skyldigheter enligt de nämnda internatio- nella instrumenten inte längre uppfylls. I finns det en lång tradition med särskilda registerför- fattningar för främst myndighetsregister som kompletterar den generella dataskyddslagstiftningen, tidigare datalag och personuppgiftslagen. De särskilda registerförfattningarna ger ett anpassat integritetsskydd på de områden författningarna reglerar och innebär en högre grad av konkretion än de generella reglerna i personuppgiftslagen.TPF138FPT För både och gäller som nämnts särskilda registerförfattning- ar. På grund av den inledningsvis nämnda ambitionen från reger- ingens och sida finns grundläggande bestämmelser om myndigheters behandling av personuppgifter ofta i lag beslutad av . En sådan registerlag kompletteras ofta av en av regering- en utfärdad registerförordning med detaljregler som inte ansetts nödvändiga att höra om. finns det åtminstone över etthundra olika författningar som innehåller bestämmelser om behandling av personuppgifter till komplettering av personupp- giftslagen och som därför kan kallas för särskilda registerförfatt- ningar. Innehållet i de särskilda registerförfattningarna varierar. Det är vanligt att registerförfattningar som reglerar en myndighets behandling av personuppgifter innehåller bestämmelser om, förutom givetvis vilket tillämpningsområde författningen har, förhållandet till personuppgiftslagen (om författningen ersätter eller bara kompletterar personuppgiftslagen), vem som är person- uppgiftsansvarig, för vilka ändamål personuppgifter får behandlas, under vilka förutsättningar särskilt integritetskänsliga personupp- gifter får behandlas, under vilka förutsättningar personuppgifter får lämnas ut på elektronisk väg (genom s.k. direktåtkomst eller utlämnande på medium för automatiserad behandling), vilka s.k. sökbegrepp som får användas när man söker bland personuppgif- terna, när personuppgifterna ska gallras och vad som ska gälla i fråga om rättelse och skadestånd om något blivit fel. 12.7.7Lagstiftning om databasen hos uppbördsmyndigheten Mitt förslag: ska med automatiserad behandling föra en särskild databas för att bedöma skyldigheten att betala avgift enligt lagen om arbetslöshetsförsäkringsavgift och handlägga ärenden enligt den lagen. Registerlagen ska heta lagen om databasen hos Myndigheten för arbetslöshetsförsäkringsavgift. 138TP PT Se allmänt om särskilda registerförfattningar , Särskilda registerförfattningar i till , 2006, s. 685–705. Jag har som nämnts i avsnitt 12X .7.1X kommit fram till att uppbörds- myndighetens behandling av personuppgifter ska regleras särskilt i lag, i en s.k. registerlag. har med mitt förslag bara att utföra en enda arbetsuppgift: Att hantera uppbör- den av arbetslöshetsförsäkringsavgiften, dvs. att handlägga ärenden enligt den föreslagna lagen om arbetslöshetsförsäkringsavgift. Den behandling av personuppgifter som uppbördsmyndigheten utför för att fullgöra sin arbetsuppgift bör omfattas av registerlagen. De grundläggande bestämmelserna om vad uppbördsmyndigheten ska och får göra bör finnas i registerlagen. Lagregleringen bör ge det grundläggande integritetsskyddet och spelreglerna för upp- bördsmyndigheten, medan den nödvändiga anpassningen av regleringen bör kunna göras på lägre författningsnivå. Jag åter- kommer till frågan om i vilken utsträckning det bör vara tillåtet för regeringen eller någon myndighet att komplettera de grundläggan- de lagreglerna eller besluta om undantag från dem. När det gäller frågan om vilka områden som de grundläggande bestämmelserna i registerlagen bör täcka kan vägledning hämtas från vad som brukar regleras i särskilda registerlagar om behand- lingen av personuppgifter i verksamhet hos myndigheter (se avsnitt 12X .7.6)X . I enlighet härmed bör det övervägas bl.a. i vilken utsträck- ning det behövs lagregler om förhållandet till personuppgiftslagen (om författningen ersätter eller bara kompletterar personuppgifts- lagen), vem som är personuppgiftsansvarig, för vilka ändamål personuppgifter får behandlas, under vilka förutsättningar särskilt integritetskänsliga personuppgifter får behandlas, vilka s.k. sökbegrepp som får användas när man söker bland personuppgif- terna, hur den interna elektroniska tillgången till personuppgifter inom myndigheten bör vara ordnad, under vilka förutsättningar personuppgifter får lämnas ut på elektronisk väg (genom s.k. direktåtkomst eller utlämnande på medium för automatiserad behandling), vad som ska gälla i fråga om rättelse och skadestånd om något blivit fel och när personuppgifterna ska gallras. Bara automatiserad behandling av personuppgifter omfattas Det vanliga är att särskilda registerförfattningar omfattar samma typer av behandling som personuppgiftslagen, dvs. helt eller delvis automatiserad behandling av personuppgifter och dessutom annan, behandling av personuppgifter under förutsättning att uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (5 §). Det förekommer att särskilda registerförfattningar omfattar förutom behandling av personuppgifter även behandling av uppgifter om juridiska personer eller avlidna fysiska personer. I praktiken måste uppbördsmyndigheten behandla personupp- gifter strukturerat i datorer, dvs. automatiserat, och inte i personregister för att kunna utföra sin arbetsuppgift. Uppbörds- myndighetens behandling torde – bortsett från uppgifter om medlemskap i arbetslöshetskassa – bara undantagsvis omfatta uppgifter om juridiska personer och avlidna fysiska personer. Jag anser därför att det räcker att registerlagen omfattar automatiserad behandling personuppgifter. En databas för handläggningen av ärenden enligt lagen om arbetslöshetsförsäkringsavgift I och med genomförandet av EG-direktivet om personuppgifter i svensk lagstiftning har de rättsliga begreppen vid datoranvändning förändrats. Det traditionella registerbegreppet som användes datalag har kritiserats , främst eftersom det för tankarna till på visst sätt organiserade eller systematiserade samlingar av uppgifter, vilket är ett helt relevant sätt att se på samlingar av uppgifter i elektronisk form. Regeringen har ansett att registerbegreppet inte är lämpligt när det gäller datorsy- stem som innefattar elektronisk ärendehantering, där inkomna handlingar kan skannas och beslut upprättas med automatiserad behandling, för att sedan lagras elektroniskt tillsammans med uppgiftssamlingar av registerkaraktär.TPF139FPT Ett alternativ till register- begreppet är termen databas, som bl.a. förekommer i flera olika registerförfattningar, t.ex. i lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet. 139TP PT Se prop. 2004/05:164 s. 60. definieras i de registerförfattningar där begreppet förekommer oftast som en samling uppgifter som med hjälp av automatiserad behandling används gemensamt inom en viss verksamhet. bör enligt min mening åläggas att med automatiserad behandling föra en särskild databas för att bedöma skyldigheten att betala avgift enligt lagen om arbetslöshetsförsäk- ringsavgift och handlägga ärenden enligt den lagen. Därmed uppnår man en lämplig avgränsning av registerlagens tillämpningsområde. måste alltså enligt förslaget ha en särskild databas och i den utföra all automatiserad behandling av person- uppgifter som myndigheten utför för att bedöma skyldigheten att betala avgift enligt lagen om arbetslöshetsförsäkringsavgift och handlägga ärenden enligt den lagen. Det är således inte tillåtet för myndigheten att utanför databasen – och därmed lagens tillämp- ningsområde – utföra automatiserad behandling av personuppgifter för dessa ändamål. Jag har alltså valt att i registerlagen använda begreppet databas i stället för begreppet register. I mitt förslag används begreppet databas helt enkelt för att beteckna de personuppgifter som behandlas automatiserat av uppbördsmyndigheten för att bedöma skyldigheten att betala avgift enligt lagen om arbetslöshetsförsäk- ringsavgift och handlägga ärenden enligt den lagen. Dessa person- uppgifter, som alltså samtliga ingår i databasen, kan finnas i ett eller flera olika register av traditionellt slag eller i en eller flera olika deldatabaser eller rent av i en fristående dokumentfil. Det avgöran- de är om uppbördsmyndigheten automatiserat behandlar person- uppgiften för handläggningen av ärenden enligt lagen om arbets- löshetsförsäkringsavgift. Behandling av personuppgifter i ostrukturerat material omfattas Något undantag från bestämmelserna i registerlagen för sådan behandling av personuppgifter i ostrukturerat material som avses i 5 a § personuppgiftslagen föreslås inte. De bestämmelser som föreslås i registerlagen kan nämligen utan större besvär tillämpas även på sådan behandling, när det förekommer t.ex. vid författan- det av promemorior. Härtill kommer att uppbördsmyndigheten som nämnts i praktiken måste behandla personuppgifterna struktu- rerat för att kunna utföra sin arbetsuppgift. Behandlingen av personuppgifter för intern administration omfattas inte Behandling av personuppgifter vid allmänt internt administrativt arbete i en myndighets verksamhet är normalt inte reglerad i särskilda registerförfattningar, och jag har inte sett något behov av eller skäl för att låta uppbördsmyndighetens automatiserade behandling av personuppgifter för den interna administrationen, såsom lokal-, personal- och fakturahantering, utan direkt koppling till handläggningen av ärenden enligt lagen om arbetslöshetsförsäk- ringsavgift omfattas av registerlagen. Behandlingen av personupp- gifter för den interna administrationen regleras således enligt förslaget enbart av personuppgiftslagen. Av kravet på att upp- bördsmyndigheten ska föra en särskild databas för att bedöma skyldigheten att betala avgift enligt lagen om arbetslöshetsförsäk- ringsavgift och handlägga ärenden enligt den lagen följer att behandlingen av personuppgifter i den databasen ska vara skild från annan automatiserad behandling av personuppgifter som myndig- heten kan komma att utföra. Jag tycker att lagen om databasen hos Myndigheten för arbetslös- hetsförsäkringsavgift är ett bra och beskrivande namn på registerla- gen och föreslår därför det namnet. Mitt förslag: Behandling av personuppgifter som enligt register- lagen är tillåten utan den registrerades samtycke får utföras även om den registrerade motsätter sig behandlingen. I de fall då behandling av personuppgifter i databasen bara är tillåten enligt registerlagen när den registrerade lämnat sitt samtycke har den registrerade rätt att när som helst återkalla ett lämnat samtycke, varefter ytterligare personuppgifter om den registrerade inte får behandlas. Den registrerade ska enligt EG-direktivet om personuppgifter (artikel 14) åtminstone i vissa fall, bl.a. när det gäller en behandling som är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den registeransvarige eller tredje man till vilken uppgiften har lämnats ut, ha rätt att motsätta sig behandling av uppgifter som rör honom, utom när den nationella lagstiftningen föreskriver något annat. Det är alltså enligt EG-direktivet tillåtet att föreskriva att den registre- rade inte har rätt att motsätta sig behandlingen. Den registrerade har dock enligt EG-direktivet en ovillkorlig rätt att motsätta sig behandling som rör direkt marknadsföring. I personuppgiftslagen finns det en bestämmelse om att den registrerade inte har rätt att motsätta sig sådan behandling som är tillåten utan samtycke enligt personuppgiftslagen (12 §) och en bestämmelse om att personuppgifter inte får behandlas för ändamål som rör direkt marknadsföring, om den registrerade hos den per- sonuppgiftsansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling (11 §). Mot bakgrund av bestämmelserna i föreskrivs det i särskilda registerförfattningar ofta i vilken utsträckning den registrerade kan eller har rätt att motsätta sig sådan behandling som regleras i den aktuella författningen.TPF140FPT Utformningen av bestäm- melsen i 12 § personuppgiftslagen har ansetts medföra att det är svårt att i särskilda registerförfattningar direkt hänvisa till den.TPF141FPT De registerlagar som trädde i kraft närmast efter personupp- giftslagen saknade uttryckliga bestämmelser om den registrerades möjlighet att motsätta sig behandling av personuppgifter som var tillåten enligt lagen. Mot bakgrund av bestämmelserna i direktivet förordade Lagrådet 2000/01 om behandling av personuppgifter inom skatt, tull och exekution att uttryckliga bestämmelser om den registrerades möjlighet att motsätta sig behandling av personuppgifter skulle tas in i de då aktuella registerlagarna.TPF142FPT I registerlagar som tillkommit därefter har det i stor utsträckning tagits in sådana bestämmelser.TPF143FPT Men det finns även från senare tid exempel på registerlagstiftning som 140TP PT Se , Personuppgiftslagen – En kommentar, tredje upplagan 2007, s. 66 f. med vidare hänvisningar. 141TP PT Se bl.a. prop. 2000/01:33 s. 346 och prop. 2001/02:144 s. 20. 142TP PT Prop. 2000/01:33 s. 346. 143TP PT Se t.ex. lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten, lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration, lagen (2005:258) om läkemedelsförteckning, lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet, lagen (2006:444) om passagerarregister och lagen (2006:469) om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen. saknar sådan uttrycklig reglering.TPF144FPT har Lagrådet påtalat för att en uttrycklig sådan reglering bör införas. Utskottet gjorde dock en annan bedömning.TPF145FPT Det står klart att uppbördsmyndighetens automatiserade be- handling av personuppgifter i databasen i samband med handlägg- ningen av ärenden enligt lagen om arbetslöshetsförsäkringsavgift inte rimligen bör vara beroende av den registrerades inställning till behandlingen. Jag anser att det av bestämmelserna i registerlagen bör framgå när sådan behandling får ske, och en registrerad bör inte kunna förhindra en enligt lagen tillåten rationell och datoriserad handläggning av hans eller hennes ärende. För tydlighets skull bör det, i enlighet med vad Lagrådet ansett och som är vanli- gast, i registerlagen uttryckligen slås fast att behandling av person- uppgifter som enligt lagen är tillåten utan den registrerades samtycke får utföras även om den registrerade motsätter sig behandlingen. I de fall där det enligt registerlagen krävs den registrerades sam- tycke för att behandlingen ska få utföras har den registrerade givetvis ett inflytande över om behandlingen ska få komma till stånd i den meningen att han eller hon kan vägra att lämna ett efterfrågat samtycke. De situationer det gäller är enligt förslaget behandling av personuppgifter för andra ändamål än de uttryckli- gen angivna (avsnitt 12X .7.11),X vissa fall av behandling av person- uppgifter av känslig natur (avsnitt 12X .7.12)X och vissa fall av direktåtkomst eller annat elektroniskt utlämnande av personupp- gifter (avsnitt 12X .7.15)X . Den registrerade bör i dessa fall – i enlighet med vad som gäller enligt personuppgiftslagen (12 § första stycket) – även ha rätt att när som helst återkalla ett lämnat samtycke och därmed förhindra att uppbördsmyndigheten därefter behandlar ytterligare personuppgifter om honom eller henne på det aktuella sättet, dvs. behandlar ytterligare personuppgifter för andra ändamål än de uttryckligen angivna, behandlar ytterligare personuppgifter av känslig natur respektive lämnar ut ytterligare personuppgifter genom direktåtkomst eller annat elektroniskt utlämnande. Enligt personuppgiftslagen är ett samtycke en frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne (3 §). Den information som måste lämnas till den registrerade enligt definitionen av samtycke torde behöva 144TP PT Lagen (2006:378) om lägenhetsregister. 2007/08:KU2 s. 10 och 16 (registrering av riksdagsledamöters åtaganden). innefatta all väsentlig information kring den tilltänkta behandling- en, inklusive information om den nu aktuella rätten att när som helst återkalla samtycket. Jag har därför inte ansett det nödvändigt att föreslå en uttrycklig bestämmelse i registerlagen om att information ska lämnas i detta hänseende. 12.7.9Förhållandet till personuppgiftslagen och annan lagstiftning Mitt förslag: Personuppgiftslagen (1998:204) gäller vid behand- ling av personuppgifter vid förandet av databasen, om inte annat följer av registerlagen. Min bedömning: Det är onödigt att i registerlagen ta in en uttrycklig upplysning om att lagen inte får tillämpas i strid med grundlag. Personuppgiftslagen är generellt tillämplig men subsidiär, och avvikande bestämmelser i annan lag eller i förordning har företräde framför personuppgiftslagen (2 §). Detta förhållande medför att en särskild registerförfattning kan utformas på olika sätt. En metod är att konstruera en särskild registerförfattning så att den bara kompletterar personuppgiftslagen. Den särskilda register- författningen kommer då att gälla utöver personuppgiftslagen, vilket innebär att när reglering saknas i den särskilda författningen kommer bestämmelserna i personuppgiftslagen att vara tillämpliga. Nackdelen med denna lösning är att lagtillämparen kan ha svårt att få överblick över vilka bestämmelser i personuppgiftslagen som är tillämpliga. Metoden har använts i de allra flesta särskilda register- författningar. En annan metod är att ta in de bestämmelser som avviker från personuppgiftslagen i den särskilda registerförfattningen, ange att författningen gäller i stället för personuppgiftslagen och uttryckli- gen hänvisa till de lagrum i personuppgiftslagen som trots allt ska vara tillämpliga. Fördelarna med denna metod är att lagstiftningen blir mer överskådlig, tydlig och lättillämpad än om inga hänvisning- ar görs till personuppgiftslagen. Metoden har emellertid fått kritik av Lagrådet som bl.a. ansett att lagstiftningstekniken är riskfylld, med hänsyn såväl till svårigheten att överblicka om EG-direktivet om personuppgifter (se avsnitt 12X .7.4)X blir till fullo genomfört i registerförfattningarna som till möjligheten att vid kommande lagändringar hänvisningarna till personuppgiftslagen blir felaktiga eller ofullständiga.TPF146FPT Metoden har dock använts i lagen (2005:787) om behandling av uppgifter i brotts- bekämpande verksamhet, som reglerar en verksamhet som delvis faller utanför tillämpningsområdet för EG-direktivet. En tredje metod är att låta den särskilda registerförfattningen gälla i stället för personuppgiftslagen och innehålla en fullständig reglering av behandlingen av personuppgifter inom sitt tillämp- ningsområde. De bestämmelser i personuppgiftslagen som trots allt ska vara tillämpliga upprepas således i registerförfattningen. Exempel på sådan lagstiftning finns i den antagna lagstift- ningen om behandling av personuppgifter hos Försvarsmakten respektive Försvarets radioanstalt.TPF147FPT Dessa två lagar är speciella såtillvida att de reglerar behandling av personuppgifter som faller utanför EG-direktivets tillämpningsområde.TPF148FPT Jag anser att det i fråga om registerlagen för uppbördsmyndig- heten inte finns tillräckliga skäl för att använda någon annan lagstiftningsmetod än den som är absolut vanligast, dvs. att låta registerlagen gälla utöver personuppgiftslagen och bara innehålla de bestämmelser som avviker från, eller kompletterar, bestämmelserna i personuppgiftslagen. Jag föreslår i enlighet härmed att det, på sedvanligt sätt, i registerlagen tas in en uttrycklig upplysning om att personuppgiftslagen gäller vid behandling av personuppgifter vid förandet av databasen, om inte något annat följer av registerla- gen. Det gäller t.ex. bestämmelserna om säkerheten vid behandling av personuppgifter i 30 32 §§ personuppgiftslagen och bestämmel- serna om tillsynsmyndighetens, dvs. Datainspektionens, befogen- heter enligt 43 47 §§ personuppgiftslagen. De kompletterande föreskrifter som kan komma att meddelas av regeringen eller underlydande myndigheter med stöd av registerlagen torde inte i sig innehålla bestämmelser som avviker från personuppgiftslagen. Någon uttrycklig bestämmelse i register- 146TP PT Se prop. 2000/01:33 s. 345. 147TP PT Lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrät- telseverksamhet och militära säkerhetstjänst och lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet. 2006/07:46. 148TP PT Artikel 3.2 första strecksatsen i EG-direktivet. 2006/07:46 s. 45 f. lagen om förhållandet mellan sådana kompletterande föreskrifter och personuppgiftslagen föreslås därför inte. Sådan behandling av personuppgifter i ostrukturerat material som avses i 5 a § personuppgiftslagen får enligt den bestämmelsen inte utföras, om behandlingen innebär en kränkning av den registrerades personliga integritet. När det uttryckligen anges i registerlagen att uppbördsmyndigheten får behandla personuppgif- ter, innebär det en särreglering i förhållande till personuppgiftsla- gen. Att uppbördsmyndigheten behandlar personuppgifter när det uttryckligen tillåtits i registerlagen kan således inte angripas med stöd av bestämmelsen i 5 a § personuppgiftslagen om att viss behandling inte får utföras, om den innebär en kränkning av den registrerades personliga integritet. Bestämmelser i grundlag tar alltid över bestämmelser i vanlig lag, såsom den föreslagna registerlagen, utan att det behöver anges i varje vanlig lag. I personuppgiftslagen har det i klargörande syfte – trots Lagrådets protester – införts uttryckliga bestämmelser om att personuppgiftslagen inte får tillämpas i strid med bestämmelser i grundlag (7 § första stycket och 8 § första stycket).TPF149FPT Det klart vanligaste är dock att vanlig lag inte förses med sådana i princip onödiga bestämmelser med upplysning om förhållandet till grundlagarna. ska alltså oberoende av vad som anges i registerlagen följa grundlag. Det gäller t.ex. skyldigheterna enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen att söka efter, sammanställa och lämna ut (allmänna handlingar med) personuppgifter. I enlighet med vad som är vanligast anser jag att det är onödigt att i registerlagen ta in en uttrycklig upplysning om att lagen inte får tillämpas i strid med grundlag. 149TP PT Prop. 1997/98:44 s. 46 och 51 f. Bestämmelser om uppgiftsskyldighet och sekretess Mot bakgrund bl.a. av att haft synpunkter rörande otydlig reglering i de särskilda registerförfatt- ningarnaTPF150FPT har jag ansett att det finns skäl att här lämna en samlad redogörelse för hur den föreslagna registerlagen förhåller sig till bestämmelser om uppgiftsskyldighet och sekretess. Med bestäm- melser om uppgiftsskyldighet avser jag här bestämmelser i lag eller förordning som innebär att uppbördsmyndigheten ska lämna ut vissa uppgifter till annan myndighet eller sådana privata organ som vid tillämpningen av sekretesslagen jämställs med myndighet, såsom arbetslöshetskassorna, eller till enskilda.