sou · GXB329 · 2009-04-09 00:00:00 — Dessutom finns det ju ett myn- dighetskrav på att just dessa uppgifter ska finnas registrerade, om den centrala organisationen vill kunna få statsbidrag. Personuppgifterna får vidare inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen (9 § första stycket i). Därefter ska uppgifter raderas eller i vart fall avidentifieras så att de inte längre går att hänföra till enskilda indi- vider. Datainspektionen har i sin informationsskrift om hur länge personuppgifter får bevaras angett: Personuppgifter om medlemmar i en förening bör avidentifieras eller förstöras då den registrerade upphör att vara medlem i föreningen eller senast då den personuppgiftsansvarige och den registrerade har regle- rat samtliga sina mellanhavanden såsom exempelvis efter betalning av utestående medlemsavgift eller då lånad utrustning återlämnats.9 Datainspektionen har i ett s.k. samrådsyttrande ansett att en förening får behandla uppgifter om sina egna före detta medlemmar för återvärvningskampanjer från det att medlemmen uteslutits ur föreningen. Därefter bör uppgift- erna gallras enligt Datainspektionen. Mot den bakgrunden framstår rekommen- dation om att personuppgifter ska sparas (åtminstone av den cen- trala organisationen) efter det att en person är 9Datainspektionen 2003, s. 14. medlem (i en nationell organisationen eller lokalavdelning inom denna) som mindre väl förenlig med bestämmelserna i personupp- giftslagen såsom dessa tolkats av Datainspektionen. rekommendation avser i och för sig inte bevarande av personuppgifterna i elektronisk form. Man kan därför fråga sig om det är tillåtet att skriva ut personuppgifterna om avgångna medlemmar, som räknats med vid ansökan om bidrag, på papper innan den elektroniska informationen om dem raderas. Datainspektionen har i den nämnda informationsskriften uttalat sig om detta enligt följande: En särskild fråga är hur man ska bedöma saken om personuppgifterna har förts över på papper genom utskrift. Då uppkommer frågan om uppgifterna på papper också måste förstöras. Personuppgifter i pappersform omfattas normalt inte av [personuppgiftslagens] tillämp- ning om de inte utgör ett sådant manuellt register som avses i 5 § 2 stycket [personuppgiftslagen]. Svaret på frågan är därför nej. Eftersom själva utskriften av personuppgifterna i sig är en personuppgifts- behandling måste man dock fundera över om utskriften är tillåten enligt [personuppgiftslagens] bestämmelser. Om man skriver ut upp- gifterna på papper i samband med att de inte längre behövs för det ändamål som de samlades in för (dvs. när de ska gallras) och utskriften görs enbart för att uppgifterna ändå ska bevaras är utskriften inte till- låten enligt [personuppgiftslagen]. Om utskriften görs därför att upp- gifterna kan behövas i pappersform för andra ändamål såsom t.ex. för bokföringsändamål, är utskriften emellertid tillåten.11 Det uttalandet synes kunna ge visst utrymme för att utskrift för bevarande på papper av uppgifter om före detta medlemmar inte är otillåtet, om det sker för att följa rekommen- dation och göra det möjligt att gå tillbaka och kontrollera organi- sationens medlemsantal. Sammanfattningsvis kan det konstateras att det i vart fall inte står klart att rekommendation om sparande av uppgifter kan följas av organisationer som har datoriserade med- lemsregister. Eftersom det är viktigt att uppgifterna sparas för att göra det möjligt med kontroller i efterhand, bör det för tydlighets skull tas in bestämmelser om sparandet , i bidragsförord- ningen. Jag återkommer till utformningen av sådana bestämmelser nedan i avsnittet Särskild rättslig grund för behandling av känsliga personuppgifter. 11 Datainspektionen 2003, s. 10. Det bör avslutningsvis i denna del nämnas att personuppgifts- lagen innehåller krav på att den personuppgiftsansvarige självmant ska lämna de registrerade information om bl.a. ändamålen med behandlingen (23–25 §§). Jag utgår från att organisationerna lämnar den föreskrivna informationen. Det finns inget som hindrar att information om organisationens behandling av personuppgifter lämnas till medlemmarna av lokalavdelningarna. I vissa fall måste den behandling av personuppgifter som före- kommer anmälas till Datainspektionen. Allmän rättslig grund för behandlingen Varje behandling av personuppgifter måste kunna hänföras under någon av de tillåtna rättsliga grunderna som anges i 10 § person- uppgiftslagen, t.ex. att den registrerade har lämnat sitt samtycke. För behandling av känsliga personuppgifter krävs det att ytterligare förutsättningar är uppfyllda, vilka berörs i nästa underavsnitt. I detta fall (då det inte rör sig om känsliga personuppgifter) torde en allmän rättslig grund för behandlingen i vart fall stå att finna i den regel som avser en intresseavvägning (10 § f). Den personuppgiftsansvariga organisationens berättigade intressen av att kunna administrera medlemskapen och få finansiering för orga- nisationsstrukturens verksamhet torde nämligen utan tvekan väga tyngre än medlemmarnas eventuella motstående integritets- skyddsintressen. Behandlingen av personuppgifter i medlemsregist- ren får alltså ske utan medlemmarnas samtycke. Särskild rättslig grund för behandling av känsliga personuppgifter Som nämnts utgår analysen från att det är känsliga personuppgifter enligt definitionen i personuppgiftslagen som behandlas. Person- uppgiftslagen innehåller ett principiellt förbud mot att behandla sådana uppgifter (13 §) och ett antal undantag från det förbudet (14–19 §§). Har den registrerade lämnat sitt uttryckliga samtycke till att känsliga personuppgifter behandlas, får behandlingen ske (15 §). Det finns en särskild bestämmelse om ideella organisationers behandling utan samtycke av känsliga personuppgifter om organi- sationens medlemmar (17 §). Bestämmelsen kan tillämpas av ideella organisationer med politiskt, filosofiskt, religiöst eller fackligt syfte. Enligt , vars utredningsbetänkande låg till grund för regeringens förslag till personuppgiftslagen, bör man när det gäller organisationens syfte kunna göra en ganska vidsträckt tolkning.12 Om en organisation på något sätt vill påverka samhället, bör organisationen kunna anses ha ett sådant politiskt syfte som avses. Med en sådan tolkning bör i flertalet fall ideella sammanslut- ningar av t.ex. utlänningar, invandrare eller personer med viss sexuell läggning eller viss sjukdom kunna behandla känsliga person- uppgifter om sina medlemmars egenskaper. Det är min bedömning att i de fall där organisationen ställer upp krav på att fysiska personer ska ha någon sådan egenskap som avses med definitionen av känsliga personuppgifter i personuppgiftslagen (t.ex. viss funktionsnedsättning eller vissa politiska åsikter) för att få bli medlem får organisationen också antas ha ett sådant syfte att bestämmelsen är tillämplig. Enligt bestämmelsen får organisationen inom ramen för sin verksamhet behandla känsliga personuppgifter om organisatio- nens medlemmar och sådana andra personer som på grund av orga- nisationens syfte har regelbunden kontakt med den. Kravet på att behandlingen ska ske inom ramen för organisationens verksamhet torde inte innebära några svårigheter i fråga om behandling som syftar till att organisationsstrukturen ska kunna få finansiering för sin verksamhet. Kravet på att behandlingen bara får avse känsliga personuppgifter som rör organisationens medlemmar och liknande är däremot problematiskt. Problemet uppstår när en nationell organisationen för ett centralt medlemsregister och i de fall de fysiska personerna som är medlemmar i lokalavdelningarna inte (också) är medlemmar i den nationella organisationen. Medlem- marna i lokalavdelningarna är då inte medlemmar i den centrala organisationen, som utför behandlingen, och de kan knappast heller anses som sådana andra personer som på grund av den centrala organisationens syfte har regelbunden kontakt med den.13 Slutsatsen blir att bestämmelsen i 17 § personuppgiftslagen ger en nödvändig särskild rättslig grund för behandlingen av känsliga personuppgifter i lokalavdelningarnas medlemsregister (om sina egna medlemmar) och i den centrala organisationens medlems- register i de fall lokalorganisationernas medlemmar också är med- lemmar i den centrala organisationen. 12SOU 1997:39 s. 375. 13Ungdomsstyrelsen 2005, s. 152. inte tillämpas i fråga om den centrala organisationens behandling av känsliga personuppgifter i andra fall. Bestämmelsen i 17 § personuppgiftslagen innehåller vidare den restriktionen att känsliga personuppgifter får lämnas ut till tredje man bara om den registrerade uttryckligen har samtyckt till det. Med tredje man avses någon annan än den registrerade, den personuppgiftsansvarige, personuppgiftsombudet, personuppgifts- biträdet och sådana personer som under den personuppgifts- ansvariges eller personuppgiftsbiträdets direkta ansvar har befo- genhet att behandla personuppgifter (3 §). I förhållande till en personuppgiftsansvarig lokalavdelning är alltså den personuppgifts- ansvariga centrala organisationen att betrakta som en tredje man till vilken känsliga personuppgifter inte får lämnas ut utan uttryckligt samtycke. Av vad uttalat framgår dock att restrik- tionen i bestämmelsen mot utlämnande av känsliga personuppgifter inte är tillämplig, om utlämnandet kan stödjas på någon annan sär- skild rättslig grund för att behandla känsliga personuppgifter.14 Det återstår alltså att undersöka om det finns någon annan sär- skild rättslig grund för att behandla känsliga personuppgifter än bestämmelsen i 17 § personuppgiftslagen (eller ett uttryckligt sam- tycke) som kan användas för dels lokalavdelningarnas utlämnande av känsliga personuppgifter om sina medlemmar till den bidrags- sökande centrala organisationen, dels den bidragssökande centrala organisationens behandling av de känsliga personuppgifterna vid förandet av ett register över medlemmarna i lokalavdelningarna. I 16 § första stycket c personuppgiftslagen finns det en bestäm- melse om att känsliga personuppgifter får behandlas, t.ex. genom att lämnas ut till tredje man, om behandlingen är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. Den bestämmelsen har tolkats extensivt i förarbetena och av Data- inspektionen. I många fall kan förmodligen undantaget beträffande rättsliga anspråk användas []. Ett exempel kan vara den behandling som skedde inom skatterätten när det fanns möjlighet att göra avdrag vid inkomstbe- skattningen för fackföreningsavgift. Ett annat exempel kan vara när, inom socialrätten, ersättning i form av socialbidrag ges för sådan avgift 14SOU 1997:39 s. 374 f. Se också och , 2006 s. 249 f. Jämför dock Hanqvist, 2004 s. 243 ff. 15SOU 1997:39 s. 373, 374 f. och 375 f. för att en skälig levnadsnivå skall uppnås. Ytterligare exempel är den registrering av medlemskap som t.ex. privata företag kan ägna sig åt till följd av att fackliga organisationer avtalar om individuella eller kollek- tiva förmåner eller tjänster för sina medlemmar, t.ex. gruppförsäkring. Träffar organisationen avtal med annan om kollektiva förmåner för sina medlemmar – t.ex. en gruppförsäkring eller en kollektiv anslut- ning till annan organisation – kan således medlemsregistret lämnas ut om det är nödvändigt för att de rättsliga anspråk som avtalet ger med- lemmarna skall kunna fastslås eller göras gällande []. Krävs det en uppgift om någon är eller inte är medlem i en fackförening för att fast- ställa vid vilken instans talan skall väckas eller föras [fotnot utesluten], bör organisationen kunna lämna ut uppgiften, eftersom den på avsett sätt är nödvändig för att kunna fastslå om någon har rätt att föra talan vid en viss instans. Att en person har en sådan egenskap som avses med definitionen av känsliga personuppgifter kan vara en förutsättning för att denne skall ha rätt till en förmån eller ha en rättslig skyldighet gentemot någon annan. I sådana fall får uppgifter om den rättsligt relevanta egenskapen behandlas. Att någon är sjuk kan t.ex. ha betydelse för rätten att få försäkrings- ersättning. Och det förhållandet att någon är medlem i har betydelse för vilken skatt den registrerade är skyldig att betala in till skattemyndigheten. I vissa försäkringssammanhang är det vidare en förutsättning för att få teckna viss försäkring att uppgifter om hälsa lämnas eller inhämtas. Också i detta fall får registreringen som regel anses nödvändig för rättsliga anspråk på det sätt som direktivet kräver. Datainspektionen har i en rapport om behandling av elevers personuppgifter i uttalat följande:16 Vad beträffar uppgift om en elevs modersmål, kan detta i vissa fall vara en uppgift som indirekt avslöjar etniskt ursprung. En uppgift om modersmål kan därför vara att betrakta som känslig enligt [personupp- giftslagen]. Enligt grundskoleförordningen (1994:1194) har eleven i vissa fall rätt att få undervisning i sitt modersmål. Det kan således vara nöd- vändigt att behandla en uppgift om modersmål för att elevens rättsliga anspråk skall kunna fastställas eller göras gällande. En uppgift om modersmål bör därför kunna behandlas utan att samtycke inhämtas. 16 Datainspektionen, 2002 s. 8. Utredningen om offentlighet och sekretess i skolan (U 2002:10) hade ingen avvikande uppfattning, se SOU 2003:103 s. 203. – Det kan noteras att rektors eller annan arbetstagares beslut om modersmålsundervisning enligt grundskoleförordningen inte får överklagas (8 kap. 2 §). Det verkar alltså inte möjligt att föra talan i domstol eller liknande om det rättsliga anspråket på modersmålsundervisning. När det nu finns en förordning med bestämmelser om att en nationell organisation har möjlighet (rätt) att få statsbidrag, skulle det kunna hävdas att den nationella organisationens anspråk på att få stats- bidrag är ett sådant rättsligt anspråk som avses i bestämmelsen. Den bidragssökande centrala organisationens registrering av med- lemmarna i lokalavdelningarna skulle därmed – särskilt i belysning av de mer konkreta kraven på registreringen i föreskrifter – vara nödvändig för att detta rättsliga anspråk skulle kunna göras gällande och fastställas. På motsvarande sätt skulle lokalavdelningarnas utlämnande av medlemsuppgifterna till den bidragssökande centrala organisationen vara nödvändigt för att det rättsliga anspråket skulle kunna göras gällande och fastställas. Enligt min mening är det dock inte säkert att denna tolkning av bestämmelsen i 16 § första stycket c personuppgiftslagen är korrekt. Detta framför allt mot bakgrund av att det i doktrinen har hävdats att ett rättsligt anspråk i bestämmelsens mening är ett sådant varom man kan föra talan i domstol. Det finns ingen rätt att föra talan i domstol om att få den typen av bidrag som är i fråga. Det är dessutom så att den som, uppsåtligen eller av grov oaktsam- het i icke ringa fall, behandlar känsliga personuppgifter när det inte är tillåtet enligt personuppgiftslagen kan straffas för det (49 § personuppgiftslagen). Jag anser därför att det bör införas uttryck- liga bestämmelser i bidragsförordningen som tillåter den behandling av känsliga personuppgifter om lokalavdelningarnas medlemmar som är nödvändig för bidragsansökan enligt föreskrifter. Dessa föreskrifter förefaller både nödvändiga och ändamålsenliga i detta hänseende. Dessutom bör det för tydlighets skull i bidragsförordningen tas in bestämmelser om att den organisation som tagit emot bidrag är skyldig att spara uppgifter om de medlemmar som legat till grund för bidraget från det år då ansökan om bidraget gjordes (se ovan under rubriken med behandlingen). Sådana bestämmelser kan enligt 20 § personuppgiftslagen meddelas i för- ordning, om det behövs med hänsyn till ett viktigt allmänt intresse. Detta anser jag att det är fråga om här på grund av intresset av att kunna kontrollera att uppställda bestämmelser om förutsättningar för att erhålla statsbidraget följts. Jag föreslår alltså att det i bidragsförordningen införs bestäm- melser om att en medlemsförening17 inom en 17 I kapitel 3.3 föreslår jag att medlemsförening ersätter begreppet lokalavdelning. används genomgående i förslaget till ny förordning. som ansöker om bidrag enligt förordningen om statsbidrag till ung- domsorganisationer får, trots 13 § personuppgiftslagen, lämna upp- gifter om medlemsföreningens medlemmar till den bidragssökande ungdomsorganisationen. De uppgifter som får lämnas om med- lemsföreningens medlemmar bör vara namn, adress, födelseår, kön, medlemsförening, datum för inbetalning av medlemsavgift eller, om sådan uppgift saknas, datum för ansökan om medlemskap. Underlag om inbetalning av medlemsavgift eller datum för ansökan om medlemskap (verifikationer) bör anses ingå i de uppgifter om medlemmar som får överlämnas. Dessutom bör bestämmelser införas om att en som ansöker om bidrag enligt förordningen om statsbidrag till ungdomsorganisationer får, trots 13 § personuppgiftslagen, behandla sådana personuppgifter för att ansöka om bidraget. En särskild bestämmelse bör också införas i bidragsförordningen om att en central organisation som har tagit emot sådant bidrag ska, trots 13 § personuppgiftslagen, från det år ansökan om bidraget gjordes spara uppgifterna om medlemmarna för att göra det möjligt att i efterhand kontrol- lera medlemsantalet. Den sistnämnda skyldigheten att spara upp- gifter bör dock – för att inte införa en skyldighet så att säga retro- aktivt – gälla bara i fråga om medlemmar som legat till grund för bidrag som söks efter det att ändringen i förordningen trätt i kraft. 8.3.2Förordningsstöd för revisorns medlemskontroll En som ansöker om bidrag enligt förord- ningen får tillhandahålla uppgifter om medlemmarna till av organisationen utsedd auktoriserad eller godkänd revisor för sådant intygande och sådan rapportering som Ungdomsstyrel- sen bestämmer. Den behandling av dessa personuppgifter som revisorn behöver utföra för sin granskning och kontroll bör kunna ske inom ramen för bestämmelserna i personuppgiftslagen. Det torde vara uppenbart att den granskning och kontroll som revisorn ska utföra för att kunna avge den av föreskrivna rapporten inte förutsätter en sådan strukturerad be- handling av personuppgifter som gör att undantaget i 5 a § person- uppgiftslagen för behandling av personuppgifter i ostrukturerat material inte är tillämpligt. Det är alltså möjligt för revisorn att utföra sitt uppdrag på ett sådant sätt att bl.a. förbudet mot behand- ling av känsliga personuppgifter i 13 § personuppgiftslagen inte är tillämpligt. Det är givetvis också möjligt för revisorn att utföra sitt uppdrag så att den behandling av personuppgifter i ostrukturerat material som kan förekomma inte – i strid med 5 a § personupp- giftslagen – innebär en kränkning av de registrerades personliga integritet. Det som revisorn behöver göra kan alltså ske inom ramen för bestämmelserna i personuppgiftslagen. Den bidragssökande centrala organisationen behöver dock i enlighet med föreskrifter ge revisorn tillgång till medlemsförteckningen, som kan innehålla känsliga personupp- gifter. Om medlemmarna i lokalavdelningarna även är medlemmar i den bidragssökande organisationen kan den nationella organisa- tionen föra medlemsförteckningen med stöd av 17 § personupp- giftslagen. Då uppkommer frågan om restriktionen, i bestämmel- sen om att känsliga personuppgifter får lämnas ut till tredje man bara om den registrerade uttryckligen har samtyckt till det, är till- lämplig när organisationen ska ge revisorn tillgång till medlems- förteckningen.18 Motsvarande fråga kan uppkomma om en lokalav- delning skulle behöva ge revisorn tillgång till lokalavdelningens medlemsregister. När det gäller den bidragssökande organisationens agerande i förhållande till den revisor organisationen anlitat och utsett, är svaret på frågan beroende på om revisorn ska betraktas som tredje man i förhållande till den personuppgiftsansvariga organisationen. Med tredje man avses som nämnts någon annan än den registrerade, den personuppgiftsansvarige, personuppgiftsombudet, personupp- giftsbiträdet och sådana personer som under den personuppgifts- ansvariges eller personuppgiftsbiträdets direkta ansvar har befogen- het att behandla personuppgifter (3 §). Den frågan är inte alldeles enkel att besvara. 18 För den bidragssökande organisationen medlemsregistret med stöd av 16 § första stycket c personuppgiftslagen – för att det är nödvändigt för att ett rättsligt anspråk ska kunna göras gällande och fastställas – gäller inte den angivna restriktionen mot utlämnande av känsliga personuppgifter till tredje man. Datainspektionen har i ett s.k. samrådsyttrande ansett att lands- tingsrevisionen inte är att anse som tredje man i förhållande till utan att bör anses som personuppgiftsansvarig även för revisorernas behandling av personuppgifter.19 Sedan landstingsrevisorerna ifrågasatt den slut- satsen med stöd av ett par utlåtanden och frågat om samråds- yttrandet fortfarande gällde, anförde Datainspektionen bl.a. följande:20 Det som är viktigt ur ett integritetsperspektiv – och det som därmed även ligger i Datainspektionens intresse att bevaka – är att det finns någon som är personuppgiftsansvarig och att det klart framgår utåt vem som bär ansvaret. Om [aktuellt] landsting kan enas om att lands- tingsrevisorerna ska bära detta ansvar ifråga om den personuppgifts- behandling revisorerna utför, har Datainspektionen ingen erinran. Datainspektionens inställning synes således närmast vara att det som revisorn och den granskade kan enas om godtas enligt person- uppgiftslagen så länge det står klart för utomstående vem som är personuppgiftsansvarig. Med det synsättet skulle det således kunna gå att ordna revisorns granskning och kontroll avseende medlems- förteckningen så att revisorn inte blir att anse som tredje man (och personuppgiftsansvarig för sin behandling av personuppgifterna). Därmed skulle restriktionen i 17 § personuppgiftslagen om utläm- nande av känsliga personuppgifter till tredje man inte vara tillämplig. I avsnitt 8.3.1 prövades om det kan anses rimligt att anse att organisationens anspråk för att få statsbidrag kan anses som ett sådant rättsligt anspråk som avses i 16 § personuppgiftslagen. Hade den tolkningen kunnat tillämpas på utlämnandet av känsliga personuppgifter från medlemsförteckningen till den anlitade revi- sorn skulle inte den angivna frågan om revisorns egenskap av tredje man behöva besvaras. En sådan tolkning21 kan emellertid inte anses som helt säker. Av motsvarande skäl som angetts i det nämnda avsnittet bör där- för uttryckliga bestämmelser införas i bidragsförordningen. Dessa bestämmelser bör, trots 13 § personuppgiftslagen (1998:204), tillåta en som ansöker om bidrag enligt förordningen om statsbidrag till ungdomsorganisationer som grundas på medlems- 19Datainspektionen 2006, dnr 2061-2005, . 20Datainspektionen 2006, dnr 926 och 1019-2006, Brev . 21Nämligen att den granskning och kontroll som revisorn ska utföra för att kunna avge den föreskrivna rapporten är en sådan behandling som är nödvändig för att organisationens rättsliga anspråk (på statsbidrag) ska kunna göras gällande och fastställas. antalet, att tillhandahålla uppgifterna om medlemmarna till av organisationen utsedd auktoriserad eller godkänd revisor, för sådant bestyrkande och sådan rapportering som bestämmer. Med hänsyn till att det föreslås en bestämmelse om att en lokalavdelning får lämna uppgifter om medlemmar till den bidragssökande organisationen (se avsnitt 8.3.1), torde det inte behövas någon bestämmelse om lokalavdelningens utlämnande av uppgifter om medlemmar direkt till den av den bidragssökande organisationen utsedde revisorn. 8.3.3Förordningsstöd för granskning och kontroll En som ansöker om bidrag ska lämna de uppgifter och handlingar som Ungdoms- styrelsen begär för prövning av ansökan. Den behandling av personuppgifter som skulle behöva ske för att själv ska kunna utföra granskning och kontroll avseende uppgifter om medlemmarna bör kunna ske inom ramen för bestämmelserna i personuppgiftslagen.