sou · GVB322 · 2008-01-01 00:00:00 — Dataskydds- konventionens syfte är att säkerställa respekten för grundläggande fri- och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatisk databehandling av personuppgifter. Utgångspunkten är att vissa av den enskildes rättigheter kan behöva skyddas i förhållande till den princip om fritt flöde av information, oberoende av gränser, som finns inskriven i internationella överenskommelser om mänskliga rättigheter. Inget hindrar att registrerade personer tillerkänns ett mer omfattande skydd än som föreskrivs i konventionen. En expertgrupp inom och utveckling () har utarbetat vissa riktlinjer som rör integritetsskydd och flödet av personuppgifter över gränserna. Riktlinjerna antogs av tillsammans med en rekommendation till medlemsländernas regeringar att beakta riktlinjerna i nationell lagstiftning. Samtliga medlemsländer, dvs. även , har godtagit rekommendationen och därmed åtagit sig att följa denna. Riktlinjerna är tillämpliga på personuppgifter inom både den offentliga och den privata sektorn. Generella skyddsregler i vanlig lag antogs och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (härefter dataskyddsdirektivet). Enligt artikel 1 punkt 1 skall medlemsstaterna i enlighet med detta direktiv skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter. Vidare sägs att medlemsstaterna varken får begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna av skäl som har samband med det under punkt 1 föreskrivna skyddet. Syftet med dataskyddsdirektivet är således att skapa en gemensam, hög nivå på integritetsskyddet för att därigenom möjliggöra ett fritt flöde av personuppgifter medlemsländerna emellan. En bakomliggande tanke är också att en harmoniserad lagstiftning på detta område är ägnad att undanröja hinder för den inre marknadens förverkligande. Medlemsstaterna får inom den ram som ges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma. Dessa preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. I artikel 3 anges direktivets tillämpningsområde. Direktivet är tillämpligt på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom på behandling av personuppgifter som ingår i eller kommer att ingå i ett register (av artikel 2 framgår att med register avses varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier). Vidare sägs att direktivet inte gäller för sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten (exempelvis allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område). Det är inte heller tillämpligt på sådan behandling av personuppgift som utförs av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll. Dataskyddsdirektivet har införlivats med svensk lagstiftning genom personuppgiftslagen (1998:204). Personuppgiftslagen följer i huvudsak direktivets text och disposition. Generella skyddsregler i vanlig lag redovisning av själva direktivets innehåll lämnas därför inte här. Dataskyddsdirektivet finns återgivet i sin helhet i bl.a. SOU 2004:6. Som nämnts ovan har dataskyddsdirektivet införlivats med svensk lagstiftning genom personuppgiftslagen (1998:204). Lagen gäller för sådan behandling som är helt eller delvis automatiserad (5 §). Den gäller också för annan behandling av personuppgifter om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Personuppgiftslagen trädde i kraft . I fråga om automatiserad behandling fick den på grund av övergångs- bestämmelser fullt genomslag först . Beträf- fande annan behandling av personuppgifter gäller lagen inte fullt ut förrän . Till skillnad från dataskyddsdirektivet är personuppgiftslagen inte begränsad till verksamhet som omfattas av EG-rätten, utan den är generellt tillämplig på sådan behandling som lagen tar sikte på. Lagen är subsidiär i förhållande till annan lag eller förordning (2 §). Vid dess införande anfördes att det traditionella svenska systemet med särregler i särskilda författningar var att föredra framför generella undantag från den nya lagen (prop. 1997/98:44 s. 41). I detta sammanhang framhölls också att det inte fanns anledning att avvika från det tidigare uttalade målet att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll skall regleras särskilt i lag (se prop. 1990/91:60 s. 50 och bet. 1990/91:KU 11 s. 11). Ett arbete med att se över gällande registerförfattningar inleddes med anledning av att personuppgiftslagen infördes. Detta arbete pågår alltjämt. Inledningsvis bör också nämnas att ändringar i personuppgiftslagen trädde i kraft som syftade till att underlätta behandling av personuppgifter i löpande text och annat ostrukturerat material. Vid sådan behandling gäller inte längre flertalet av hanteringsreglerna i lagen. En viss avkrim- inalisering infördes också som innebär att gärningar som begås av Generella skyddsregler i vanlig lag oaktsamhet är straffbara. Den redovisning som lämnas nedan tar sikte på huvudreglerna i lagen. Avslutningsvis lämnas en närmare redogörelse för den nu nämnda avregleringen av behandling i löpande text och för avkriminaliseringen. Enligt 6 § gäller lagen inte för sådan behandling av personuppgifter som en fysisk person utför som ett led i verksamhet av rent privat natur. Vidare föreskrivs i 7 § första stycket att bestämmelserna i lagen inte tillämpas i den utsträckning det skulle strida mot bestäm- melserna om tryck- och yttrandefrihet i tryckfrihetsförordningen och yttrandefrihetsgrundlagen. Av 7 § andra stycket framgår att huvuddelen av lagens bestämmelser inte heller skall tillämpas på sådan behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. Bestämmelserna i 30–32 §§ om säkerhetsåtgärder skall dock tillämpas. Beträffande 7 § konstaterades vid lagens införande att data- skyddsdirektivet tillåter att nödvändiga undantag görs för all be- handling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande (prop. 1997/98:44 s. 52). Det framhölls att all journalistisk, konstnärlig eller litterär verksamhet inte har grundlagsskydd, eftersom grundlagsskyddet för tryckfriheten och yttrandefriheten inte avser alla former av yttranden. Emellertid ansågs att de nämnda slagen av verksamhet har så stor betydelse att de måste kunna bedrivas obehindrat. Det undantag från den nya lagens hanteringsbestämmelser som dataskyddsdirektivet medger borde därför utnyttjas fullt ut. Frågan om vad som utgör behandling av personuppgifter uteslutande för journalistiskt ändamål i enlighet med 7 § andra stycket har prövats av i det s.k. Ramsbro-målet (NJA 2001 s. 409). I det målet hade en man under namnet inrättat en webbplats på Internet. Åtalet gällde att han där lagt ut såväl kränkande som andra personuppgifter varigenom uppgifterna förts över till tredje land. anförde bl.a. att det fick anses vara uppenbart att tolkningen av artikel 9 i dataskyddsdirektivet (som ligger till grund för 7 § andra stycket PuL) skall ske med särskilt beaktande Generella skyddsregler i vanlig lag Man påpekade att gäller som svensk lag här i landet och att lag eller annan föreskrift inte får meddelas i strid med konventionen enligt 2 kap. 23 § regeringsformen. Vidare konstaterade man att rättigheterna enligt artikel 8 (skydd för privatlivet) och artikel 10 (yttrandefrihet) i kan i enskilda fall komma i konflikt med varandra samt att vid sådana konflikter tillämpar den s.k. proportionalitetsprincipen, vilket innebär att en avvägning görs mellan intresset av skydd för privatlivet och intresset av yttrandefrihet. Domstolen anförde att det får antas att det i personuppgiftslagen beskrivna, på direktivet grundade, undantaget för journalistiska ändamål utgör ett försök att i mer generella termer ge uttryck för en sådan intresseavvägning. Att uttrycket journalistiska ändamål använts kunde under sådana förhållanden inte antas vara i avsikt att privilegiera etablerade massmedier eller personer som är yrkesverksamma inom sådana medier. Med uttrycket torde snarare få anses vara avsett att betona vikten av en fri informationsspridning i frågor av betydelse för allmänheten eller för grupper av människor och en fri debatt i samhällsfrågor. Sammanfattningsvis fann att det inte var visat annat i målet än att mannens behandling av personuppgifter på den aktuella webbsidan skett uteslutande för journalistiska ändamål. Han skulle därför inte dömas till ansvar för den åtalade gärningen. Enligt 8 § första stycket skall bestämmelserna i lagen inte tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. TF att lämna ut personuppgifter, dvs. inom ramen för principen om allmänna handlingars offentlighet. Lagrummet kan jämföras med punkt 72 i ingressen till det bakomliggande EG-direktivet: Detta direktiv gör det möjligt att vid genomförandet av dessa bestämmelser ta hänsyn till principen om allmänna handlingars offentlighet. Vidare föreskrivs i 8 § andra stycket att bestämmelserna i lagen inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Av förarbetena framgår att det inte förutsätts att bevarandet är föreskrivet i författning (prop. 1997/98:44 s. 119 f.). Det är tillräckligt att det är fråga om allmänna handlingar. Generella skyddsregler i vanlig lag Personuppgiftslagen innehåller vissa grundläggande krav på behandlingen av personuppgifter (9 §). Den personuppgifts- ansvarige, vilken oftast är den organisation där personuppgifterna behandlas, skall se till att personuppgifter behandlas bara om det är lagligt och att de alltid behandlas på ett korrekt sätt och i enlighet med god sed. Vidare skall personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. De får inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Det sistnämnda kan bli aktuellt att pröva när personuppgifter lämnas ut till tredje man. Ett sådant utlämnande får alltså inte vara oförenligt med det ändamål för vilket uppgifterna ursprungligen samlades in. Om personuppgifter lämnas ut i form av allmänna handlingar med stöd av bestämmelserna i 2 kap. TF blir en sådan prövning dock inte aktuell. De personuppgifter som behandlas skall vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Inte heller får fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Därutöver skall de uppgifter som behandlas vara riktiga och, om det är nödvändigt, aktuella. Alla rimliga åtgärder skall vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Personuppgifter får inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. För behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål gäller vissa särregler. När behandling är tillåten I 10 § anges vilka krav som i allmänhet måste vara uppfyllda för att behandling av personuppgifter skall vara tillåten. Som huvudregel gäller att behandling av personuppgifter är tillåten bara om den registrerade har lämnat sitt samtycke till behandlingen. Har så inte skett får behandling ändå ske om den är nödvändig för att Generella skyddsregler i vanlig lag a)ett avtal med den registrerade skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, b)den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet, c)vitala intressen för den registrerade skall kunna skyddas, d)en arbetsuppgift av allmänt intresse skall kunna utföras, e)den personuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller f)ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifter lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot den personliga integriteten. Vid lagens införande konstaterades att behandling av person- uppgifter som rör direkt marknadsföring kan vara tillåten med stöd av en sådan intresseavvägning som anvisas i punkt f (prop. 1997/98:44 s. 66), trots att den registrerade inte har lämnat sitt samtycke till behandlingen. Om den registrerade skriftligen har anmält att han eller hon motsätter sig sådan behandling innehåller lagen ett uttryckligt förbud mot behandling av personuppgifter för sådana ändamål (11 §). finns centrala och allmänt tillgängliga register dit enskilda kan anmäla att de inte vill ha direktadresserad reklam eller reklamerbjudanden per telefon. I detta sammanhang kan också nämnas att det enligt marknadsföringslagen (1995:450), om samtycke inte föreligger, som huvudregel är förbjudet med marknadsföring genom e-post, telefax eller sådana uppringnings- automater eller andra liknande automatiska system för individuell kommunikation som inte betjänas av någon enskild. Enligt 14 § är det generellt sett förbjudet att behandla känsliga personuppgifter. Med känsliga uppgifter avses ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i en fackförening eller uppgifter som rör hälsa eller sexualliv. Generella skyddsregler i vanlig lag Från förbudet att behandla känsliga personuppgifter finns vissa undantag. Sålunda är det tillåtet att behandla känsliga person- uppgifter, om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna (15 §). Även om uttryckligt samtycke inte föreligger får enligt 16 § personuppgifter behandlas om behandlingen är nödvändig för att a)den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter inom arbetsrätten, b)den registrerades eller någon annans vitala intressen skall kunna skyddas och den registrerade inte kan lämna sitt samtycke, eller c)rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. Undantag från kravet på uttryckligt samtycke gäller även vid behandling inom ideella organisationer (17 §) och inom hälso- och sjukvården (18 §). Vidare finns ett undantag som gäller behandling av känsliga personuppgifter inom området för forskning och för statistik- ändamål (19 §). I det förstnämnda fallet är behandling tillåten om den godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor. I det sistnämnda fallet kan behandlingen vara tillåten om samhällsintresset av statistikprojektet klart väger över riskerna för otillbörligt intrång i den personliga integriteten. Denna förutsättning skall anses vara uppfylld om en forskningsetisk kommitté har godkänt behandlingen. Enligt 20 § får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om ytterligare undantag från förbudet att behandla känsliga personuppgifter, om det behövs med hänsyn till ett viktigt allmänt intresse. En annan kategori av personuppgifter som har reglerats särskilt är uppgifter om lagöverträdelser. I 21 § sägs att det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöver- trädelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Dock har regeringen eller den myndighet som regeringen bestämmer bemyndigats att meddela undantag från detta förbud. Generella skyddsregler i vanlig lag regeringen i enskilda fall besluta om undantag. Regeringen får också överlåta åt tillsynsmyndighet att fatta sådana beslut. Enligt artikel 8.7 i dataskyddsdirektivet skall medlemsstaterna bestämma på vilka villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Direktivet innebär alltså att det i måste finnas en reglering för användningen av personnummer. Däremot innehåller direktivet inte några bestämmelser om hur denna reglering skall se ut. Vid personuppgiftslagens införande valde man att i princip oförändrade föra över reglerna om användning av personnummer i den dåvarande datalagen (1973:289) till den nya lagen (prop. 1997/98:44 s. 76 f.). Därmed gäller fortfarande att personnummer får behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av säker identifiering eller något annat beaktansvärt skäl (22 §). Denna bestämmelse i personuppgiftslagen gäller numera också sådant samordningsnummer som i stället för personnummer tilldelas personer som fr.o.m. inte är eller har varit folk- bokförda här i landet (prop. 1999/2000:6, bet. 1999/2000:SkU7). Information till den registrerade Personuppgiftslagen skiljer på två olika slag av information till den registrerade; information som skall lämnas självmant av den personuppgiftsansvarige och information som skall lämnas efter ansökan. Om uppgifter om en person samlas in från personen själv skall enligt 23 § den personuppgiftsansvarige i samband därmed själv- mant lämna information om den behandling man avser att företa. Även om uppgifter har samlats in från någon annan än den registrerade skall den personuppgiftsansvarige självmant lämna information (24 §). I detta fall behöver informationen dock lämnas först när uppgifterna registreras. Om uppgifterna är avsedda att lämnas till tredje man, behöver information inte ges förrän uppgifterna lämnas ut . Generella skyddsregler i vanlig lag Det finns dock undantag från skyldigheten enligt 24 § att självmant lämna information. Information behöver inte lämnas om det finns bestämmelser om registrerandet eller utlämnandet i lag eller annan författning. Inte heller behöver information lämnas, om det visar sig omöjligt – ett undantag som förefaller ganska självklart – eller skulle innebära en oproportionerligt stor arbetsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall emellertid information lämnas senast i samband med att så sker. Den information som lämnas enligt 23 och 24 §§ skall omfatta uppgift om den personuppgiftsansvariges identitet, ändamålet med behandlingen och all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen (25 §). Som exempel på sådan information nämns mottagarna av uppgifterna, samt skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. De fall då den personuppgiftsansvarige är skyldig att lämna information efter ansökan tas upp i 26 §. En gång per kalenderår skall till var och en som ansöker om det lämnas besked huruvida personuppgifter som rör den sökande behandlas eller ej. Sådant besked skall vara gratis. Om uppgifter behandlas skall den personuppgiftsansvarige skriftligen lämna information om vilka uppgifter som behandlas, varifrån uppgifterna har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Enligt 28 § är den personuppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med person- uppgiftslagen eller i enlighet med föreskrifter som har meddelats med stöd av lagen. Om den registrerade begär det skall den personuppgiftsansvarige också underrätta den tredje man som uppgifterna har lämnats till om rättelseåtgärden. Även om den registrerade inte har begärt det är den personuppgiftsansvarige skyldig att underrätta tredje man angående en rättelseåtgärd, om mera betydande skada eller olägen- Generella skyddsregler i vanlig lag het därmed kan undvikas för den registrerade. Någon skyldighet att underrätta tredje man föreligger dock inte om det skulle visa sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. I personuppgiftslagen finns i 29 § en bestämmelse som reglerar vad som gäller i fråga om s.k. automatiserade beslut. Bestämmelsen avser beslut som grundas enbart på sådan automatiserad behandling av personuppgifter som är avsedda att bedöma egenskaper hos den berörda personen. Med egenskaper avses här personliga egenskaper såsom arbetsprestationer, kreditvärdighet, pålitlighet och upp- trädande (prop. 1997/98:44 s. 88). Om ett sådant beslut har rättsliga följder för en fysisk person eller annars har märkbara verkningar för denne, skall den som berörs av beslutet ha möjlighet att på begäran få beslutet omprövat. Rätten av få ett automatiserat beslut omprövat innebär en rätt att få beslutet granskat av en person som har makt att ersätta det automatiserade beslutet med ett annat (prop. 1997/98:44 s. 135). Var och en som har varit föremål för ett sådant automatiserat beslut som avses har också rätt att på ansökan få information från den personuppgiftsansvarige om vad som har styrt den automatiserade behandling som har lett fram till beslutet. Överföring av personuppgifter till tredje land Enligt 33 § personuppgiftslagen är det som huvudregel förbjudet att till tredje land (dvs. ett land som varken ingår i EU eller är anslutet till EES-samarbetet) föra över personuppgifter som är under behandling, om landet inte har en adekvat nivå för skyddet av personuppgifter. Detsamma gäller vid överföring av person- uppgifter för behandling i tredje land. Förbudet gäller i princip alla slag av personuppgifter och är alltså inte begränsat till exempelvis kategorierna känsliga uppgifter eller uppgifter om lagöverträdelser. Även en sådan till synes harmlös uppgift som att en viss person har skadat en fot omfattas av förbudet (se dom i målet , C-101/01, det s.k. konfirmandlärarmålet varom mera nedan). Generella skyddsregler i vanlig lag Frågan om en adekvat skyddsnivå föreligger skall bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt skall läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredje landet. Paragrafen fick sin nuvarande lydelse . Den tidigare lydelsen ansågs innebära ett mer strikt överföringsförbud, som också träffade uppgifter som inte alls var känsliga från integritetssynpunkt och som knappast behövde något särskilt skydd. då personuppgiftslagen skulle träda i kraft möttes reglerna om överföring av uppgifter till tredje land av kritik. Reglerna ansågs medföra en oönskad begränsning av möjligheten att använda sig av modern informationsteknik, som t.ex. elektronisk post och elektroniska anslagstavlor (se t.ex. bet. 1998/99:KU15). I debatten nämndes exempel där en tillämpning av reglerna ansågs leda till orimliga resultat, eftersom uppgifterna bedömdes vara harmlösa i den mening att en spridning av uppgifterna inte borde leda till någon integritetskränkning. Regeringen föreslog därför att bestämmelsen om överföring av personuppgifter till tredje land skulle få den lydelse som den nu har (prop. 1999/2000:11). antog regeringens förslag (bet. 1999/2000:KU7). Därmed kom lydelsen att närmare ansluta till motsvarande bestämmelse i EG-direktivet. Överföring till tredje land kom härigenom inte längre att vara förbjuden om skyddsnivån i det tredje landet är adekvat.