sou · GXB329 · 2009-04-09 00:00:00 — Lagen tillämpas på helt eller delvis automatiserad behandling av personuppgifter och dessutom på behandling av person- uppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (5 §). 1 antogs och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EG-direktivet). Personuppgiftslagen är dock subsidiär i den meningen att avvi- kande bestämmelser i någon annan lag eller i en förordning tar över bestämmelserna i personuppgiftslagen (2 §). Avvikande bestäm- melser som bara finns i föreskrifter utfärdade av myndighet tar dock inte över bestämmelserna i personuppgiftslagen. Tillämpningsområdet för personuppgiftslagen har begränsats genom en rad bestämmelser. Lagen omfattar t.ex. inte sådan behandling som en fysisk person utför som ett led i en verksamhet av rent privat natur (6 §). gäller undantag för behandling av personuppgifter i ostrukturerat material (5 a §). Undantag görs därmed från de allra flesta bestämmelserna i lagen för behandling av personuppgifter som inte ingår i, eller är avsedda att ingå i, en samling av personpersonuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sam- manställning av personuppgifter. För sådan behandling gäller i stället att den inte får utföras, om den innebär en kränkning av den regi- strerades personliga integritet. Personuppgiftslagen innehåller i 3 § en rad definitioner av olika begrepp som används i lagen. Med behandling (av personuppgifter) avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Personuppgifter är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Personupp- giftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Personuppgiftsbiträde är den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Den registrerade är den som en personuppgift avser. Med samtycke avses varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör henne eller honom. Grundläggande krav på behandlingen av personuppgifter I personuppgiftslagen åläggs den personuppgiftsansvarige att upp- rätthålla vissa grundläggande krav på behandlingen av personupp- gifter (9 §). Personuppgifter ska behandlas bara om det är lagligt. Behandlingen ska alltid ske på ett korrekt sätt och i enlighet med god sed. Personuppgifter får endast samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in (den s.k. finalitetsprincipen). Personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ända- målet med behandlingen. Fler personuppgifter än som är nöd- vändigt med hänsyn till behandlingen får inte behandlas. De personuppgifter som behandlas ska vara riktiga och, om det är nödvändigt, aktuella. Alla rimliga åtgärder ska vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Personuppgifter får inte bevaras än vad som är nödvändigt med hänsyn till de ursprungliga ändamålen med behandlingen, om det inte behövs för historiska, statistiska eller vetenskapliga ändamål. Förutsättningar för att behandlingen av personuppgifter ska vara tillåten I personuppgiftslagen anges det vidare vissa förutsättningar för när en behandling av personuppgifter över huvud taget är tillåten (10 §). Minst en av dessa förutsättningar måste alltså finnas för att en be- handling ska vara tillåten enligt lagen. Den inledande av de alterna- tiva förutsättningarna är att den registrerade har lämnat samtycke till behandlingen. Finns det inte något samtycke, kan en behandling vara tillåten om den är nödvändig för ett antal uppräknade syften. Är en behandling nödvändig för att ett avtal med den registrerade ska kunna fullgöras eller åtgärder som den registrerade begärt ska kunna vidtas innan ett avtal träffas, så kan den vara tillåten. En behandling kan också vara tillåten om den är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig skyldighet, för att vitala intressen för den registrerade ska kunna skyddas eller för att en arbetsuppgift av allmänt intresse ska kunna utföras. Vidare kan en behandling vara tillåten om den är nödvändig för att den personuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut ska kunna utföra en arbetsuppgift i samband med myndighetsutövning. Slutligen kan en behandling vara tillåten om den är nödvändig för att ett visst ändamål ska kunna tillgodoses. Detta ändamål ska röra ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut, och ska väga tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Huvudregeln i lagen innebär att det är förbjudet att behandla personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Det är också förbjudet att behandla sådana person- uppgifter som rör hälsa eller sexualliv (13 §). Dessa olika slag av uppgifter kallas med en samlingsbeteckning känsliga personuppgifter. Det finns emellertid en rad undantag från förbudet mot behandling av känsliga personuppgifter (huvudregeln) angivna direkt i personuppgiftslagen. Sålunda får sådana uppgifter enligt lagen behandlas med den registrerades uttryckliga samtycke eller när denne offentliggjort uppgifterna på ett tydligt sätt (15 §). Känsliga uppgifter får vidare i vissa fall behandlas om det är nödvändigt för att den personuppgiftsansvarige ska kunna fullgöra sina skyldig- heter eller utöva sina rättigheter inom arbetsrätten, om det är nöd- vändigt för att den registrerades eller någon annans vitala intressen ska kunna skyddas och den registrerade inte kan lämna sitt sam- tycke eller om det är nödvändigt för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras (16 §). Förbudet mot att behandla känsliga personuppgifter gäller inte heller när ideella organisationer med politiskt, filosofiskt, religiöst eller fackligt syfte inom ramen för sin verksamhet behandlar personuppgifter om organisationens medlemmar och sådana andra personer som på grund av organisationens syfte har regelbunden kontakt med den. Endast om den registrerade uttryckligen har samtyckt till det får dock känsliga personuppgifter lämnas ut till tredje man från en sådan ideell organisation (17 §). Uppgifter om personnummer och samordningsnummer får enligt 22 § personuppgiftslagen behandlas bara om den registrerade samtycker till det eller när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Regeringen eller myndighet får besluta om undantag från förbudet att behandla känsliga personuppgifter Regeringen, eller den myndighet som regeringens bestämmer, får om det behövs med hänsyn till ett viktigt allmänt intresse medge ytterligare undantag från förbudet att behandlad känsliga uppgifter (20 §). I tidigare kapitel analyserar jag nuvarande förordning i olika delar och lämnar förslag på kompletteringar och definitioner. Detta gäller även systemet för revisorernas kontroll av medlemsuppgifter. Jag väljer trots detta att i detta kapitel göra en kort samlad beskrivning av just de bestämmelser i nuvarande förordning som har betydelse för organisationernas redovisning av medlemsuppgifter i samband med ansökan om bidrag. De förändringar jag tidigare föreslagit påverkar inte analysen i detta kapitel. Enligt nuvarande förordning2 om statsbidrag till ungdomsorganisa- tioner är uppgifterna om antal medlemmar och andelen unga med- lemmar viktiga för bedömningen av både rätt till ett visst bidrag och bidragets storlek. Med en medlem i en avses i förordningen den som är ansluten till en lokalavdelning inom organisationen, har stadgeenliga möjligheter att påverka 2 SFS 2001:1060. beslut om organisationens verksamhet och inriktning, och för året närmast före bidragsåret aktivt tagit ställning för ett medlemskap genom att ha betalat medlemsavgift eller ansökt om medlemskap (4 §). Begreppet lokalavdelning har också en central betydelse i bidragssystemet. Dels definieras medlem som den som är medlem i en lokalavdelning, dels bestämmer antalet aktiva lokalavdelningar bidragets storlek. Med en lokalavdelning inom en ungdomsorga- nisation avses i förordningen en sådan avdelning som har antagit stadgar och är införd i ungdomsorganisationens register över lokalavdelningar, i vilken medlemmar och organ utsedda av med- lemmarna beslutar om avdelningens verksamhet och ekonomi, och som bedriver verksamhet (5 §). Definitionen av medlem och lokalavdelning spelar också en central roll i analysen av detta kapitels frågeställningar. Definitionen av lokalavdelning torde innebära att en sådan avdelning är att betrakta som en egen juridisk person, liksom den bidragsmottagande organisationen är det. Definitionen av medlem innebär att det är den fysiska personens medlemskap i lokalavdel- ningen som är avgörande. Det förekommer att en fysisk person som är medlem i en lokalavdelning inte är medlem (också) i den bidragsmottagande organisationen.3 (12 §), får meddela föreskrifter för verkställig- heten av bidragsförordningen (16 §). får besluta att ett bidrag som beviljats eller lämnats på grund av felaktiga upp- gifter inte ska betalas ut eller ska betalas tillbaka (14 §). En organisa- tion som har tagit emot bidrag enligt bidragsförordningen är skyldig att lämna de redovisningshandlingar, verksamhetsberättel- ser och andra uppgifter som bestämmer (13 §). har meddelat föreskrifter om statsbidrag till ungdomsorganisationer4. Av föreskrifterna framgår det att det hos den organisation som ansöker om statsbidrag ska finnas en för- teckning eller andra handlingar med uppgifter om varje medlems namn, adress, födelseår, kön, datum för inbetalning av medlems- avgift eller, om sådan uppgift saknas, datum för skriftlig eller elek- 3Jämför 2005, s. 59. troniskt dokumenterad ansökan om medlemskap samt om till vilken lokalavdelning medlemmen är ansluten (3 §). Med bidrags- grundande medlem avses vidare bara den som fyllt sju men inte och som enligt vad som framgår av organisationens medlems- förteckning eller motsvarande dokument har betalat fastställd medlemsavgift för året eller – utan att ha betalat sådan avgift – efter dokumenterad ansökan har beviljats medlemskap i organisationen under underlagsåret (2 §). Medlem i lokalavdelningen och i den nationella organisationen – eller bara i lokalavdelningen. I de allra flesta av de ungdomsorganisationer som beviljas stats- bidraget är en medlem i lokalavdelningen också medlem i den nationella organisationen. Men det förekommer att det är lokalav- delningarna såsom föreningar som är medlemmar på den nationella nivån. I dessa fall är den enskilde medlemmen endast medlem i sin lokalförening och inte (också) i den nationella organisationen. Kraven i föreskrifterna innebär att det hos den bidragsmot- tagande organisationen ska finnas en förteckning (eller andra handlingar) med uppgifter om alla de fysiska personer som är medlemmar i organisationens lokalavdelningar oberoende av om personerna är medlemmar i den bidragssökande organisationen. Det krävs inte att förteckningen förs med hjälp av dator, men såsom framgår av utredningsdirektiven kan det förutsättas att flera av organisationerna som ansöker om bidrag har medlemsförteck- ningen på dator. Ungdomsorganisationer vars medlemsförteckningar innehåller känsliga personuppgifter Det förekommer att den bidragsmottagande organisationen eller lokalavdelningarna ställer upp krav på att fysiska personer ska ha någon sådan egenskap som avses med definitionen av känsliga personuppgifter i personuppgiftslagen (t.ex. viss funktionsnedsätt- ning eller vissa politiska åsikter) för att få bli medlem. I sådana fall innefattar en medlemsförteckning känsliga personuppgifter om de förtecknade medlemmarna.5 Av de 91 ungdomsorganisationer som 5 Se t.ex. Datainspektionen 2008, dnr 1176-2008, beslut . beviljades bidrag 2008 samlade 48 organisationer ungdomar med en viss politisk eller religiös åskådning, en viss sexuell läggning, viss etnisk bakgrund eller en funktionsnedsättning. att en stor andel av ungdomsorganisationerna hanterar känsliga personuppgifter. rekommendation att spara medlems- uppgifter Av föreskrifterna följer bara att den bidragssökande organisationen ska ha en förteckning över de fysiska personer som faktiskt är medlemmar, dvs. en aktuell medlemsförteckning. Av Ungdomssty- relsens vägledning om statsbidraget framgår det dock att myndig- heten anser att dokumentationen av varje medlemskap måste sparas så att det är möjligt att gå tillbaka och kontrollera organisa- tionens medlemsantal6. rekommenderar att dokumentationen sparas . Rekommendationen får anses innebära att en bidragsmottagande organisation bör spara uppgifter om personer som är medlemmar i organisationen eller dess lokalavdelningar. Av vägledning om stats- bidraget framgår det vidare att det är medlemsantalet året före det år som ansökan görs, som har betydelse för statsbidraget näst- kommande år. Av föreskrifterna framgår det att det till en organisations ansökan om bidrag ska fogas en rapport från en av organisationen utsedd auktoriserad eller godkänd revisor med bl.a. bestyrkande av upp- gifterna i ansökan vad avser antalet bidragsgrundande medlemmar och aktiva lokalavdelningar (7 §). Vidare föreskrivs det att revisorn för sin granskning ska ha tillgång till förteckningen eller handling- arna med uppgifterna om medlemmarna. I allmänna råd om statsbidrag till ungdomsorganisationer finns det bl.a. råd om hur revisorn bör göra vid stickprov och vad revisors- rapporten bör innehålla i fråga om granskningen av medlemsupp- gifterna. 6 2008 a, s. 18. Det förekommer inte att efterfrågar personuppgifter om medlemmarna. Enligt utredningsdirektiven ska jag se över kontroll och uppföljning av stats- bidraget samt granskning av bidragsansökningar. Jag ska också bedöma om de kontroller som är möjliga att utföra, med hänsyn till regeringsformens bestämmelser, är tillfredsställande för att kon- trollera riktigheten i de uppgifter som en organisation har lämnat. Jag har behandlat dessa frågeställningar i kapitel 6 respektive 7. En av mina slutsatser är att kontroll av medlemsförteckningar för en organisation som söker statsbidrag inte strider mot regeringsformens bestämmelser om åsikts- och föreningsfrihet, men att den är inte lämplig. Däremot bör myndig- heten ha möjlighet att undantagsvis genomföra vissa kontroller av medlemsuppgifter på plats hos de sökande organisationerna. En sådan kontroll är enligt min bedömning tillfredsställande och rimlig. Enligt utredningsdirektiven är det bestämmelserna om behandling av känsliga personuppgifter i personuppgiftslagen som ska analyseras i förhållande till hanteringen av medlemsuppgifterna. Analysen i detta avsnitt utgår därför, när inget annat sägs, från att det är käns- liga personuppgifter enligt definitionen i personuppgiftslagen som behandlas. Analysen ska enligt utredningsdirektiven avse redovisningen av medlemsantal i en organisation. Det bör därför inledningsvis nämnas att en uppgift om medlemsantal – att en viss organisation har ett visst antal medlemmar i viss ålder – inte i sig utgör en personuppgift. Uppgifterna om medlemsantal kan alltså behandlas utan att bestämmelserna i personuppgiftslagen måste följas. För att kunna ange eller kontrollera uppgiften om medlemsantal behövs det däremot personuppgifter enligt definitionen i personuppgifts- lagen. Personuppgiftslagen behöver bara tillämpas när personuppgifter ska behandlas automatiserat (i dator) eller när de ska ingå i ett regelrätt manuellt personregister (företrädesvis på papper). Analysen i detta avsnitt utgår därför, när inget annat sägs, från att det är känsliga personuppgifter enligt definitionen i personupp- giftslagen som behandlas på ett sådant sätt att lagen är tillämplig. Det bör redan här nämnas att ett utlämnande oavsett formen (elektroniskt, på papper eller muntligen) av personuppgifter som behandlas på ett sådant sätt att personuppgiftslagen är tillämplig är en sådan typ av behandling som också omfattas av lagen. Utläm- nandet av personuppgifterna måste alltså vara tillåtet enligt person- uppgiftslagen för att det ska få ske. I det följande berörs först medlemsregistreringen hos den bidrags- sökande organisationen och dess lokalavdelningar (avsnitt 8.3.1). Därefter berörs den av den bidragssökande organisationen utsedde revisorns medlemskontroll (avsnitt 8.3.2). Sedan berörs Ungdoms- styrelsens granskning och kontroll av uppgifter om medlemsantal (avsnitt 8.3.3). 8.3.1Förordningsstöd för viss medlemsregistreringen hos den bidragssökande organisationen och dess lokalavdelningar En medlemsförening7 inom en som ansöker om bidrag enligt förordningen om statsbidrag till ung- domsorganisationer får lämna uppgifter om medlemsförening- ens medlemmar till den bidragssökande ungdomsorganisation- en. De uppgifter som ska få lämnas är namn, adress, födelseår, kön, medlemsförening, datum för inbetalning av medlemsavgift eller, om sådan uppgift saknas, datum för ansökan om medlem- skap. En som ansöker om bidrag enligt denna förordning får vidare behandla sådana personuppgifter för att ansöka om bidraget. En som har tagit emot sådant bidrag får från det år ansökan om bidraget gjordes spara nämnda uppgifter i fråga om de medlemmar som legat till grund för bidraget för att göra det möjligt att i efterhand kontrollera medlemsantalet. 7 I kapitel 3.3 föreslår jag att medlemsförening ersätter begreppet lokalavdelning. används genomgående i förslaget till ny förordning. Att föra ett datoriserat medlemsregister – en förteckning över fysiska personer som är medlemmar – utgör en s.k. strukturerad behandling av personuppgifter. Undantaget i 5 a § personuppgifts- lagen för behandling av personuppgifter i ostrukturerat material (som redogjordes för i avsnitt 8.1 Begränsningar i tillämpnings- området) är därför inte tillämpligt. Inte heller kan något annat generellt undantag från bestämmelserna i personuppgiftslagen anses gälla för den behandlingen. I princip samtliga bestämmelser i personuppgiftslagen måste därför följas vid förandet av medlems- registret. Analysen har utgått från att varje lokalavdelning har varsitt register över sina medlemmar och att den bidragssökande organi- sationen – i enlighet med vad som krävs enligt föreskrifter – har en förteckning över alla fysiska personer som är medlemmar i samtliga lokalavdelningar. Analysen har vidare utgått från att varje lokalavdelning är en egen juridisk person – en ideell förening – och att den bidragssökande organisationen också är en egen juridisk person, en ideell förening. Den första fråga som uppkommer är vem som är personuppgifts- ansvarig för behandlingen av personuppgifter i de olika medlems- registren inom en organisationsstruktur. Enligt personuppgifts- lagen är den personuppgiftsansvarig som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behand- lingen av personuppgifter (3 §). Vem det är som bestämt beträf- fande en viss behandling är en fråga om fakta som alltid kan bli föremål för bedömning, i sista hand av domstol. Det är de faktiska omständigheterna i det enskilda fallet som är avgörande, dvs. vem eller vilka som faktiskt har bestämt över behandlingen.8 En person- uppgiftsansvarig kan anlita någon annan som ett personuppgifts- biträde, dvs. som någon som behandlar personuppgifterna för den personuppgiftsansvariges räkning (3 §). Personuppgiftsansvaret i en organisationsstruktur kan ordnas på flera olika sätt, t.ex. på grund av bestämmelser i avtal eller stadgar. Samtliga organisationer inom strukturen kan vara gemensamt personuppgiftsansvariga för all behandling av personuppgifter i medlemsregistren (eller för bara det register som organisationen 8 och , 2006 s. 78. för över lokalavdelningarnas medlemmar). Den nationella organi- sationen kan vara ensam personuppgiftsansvarig för all behandling av personuppgifter i medlemsregistren. Lokalavdelningarna torde då vara personuppgiftsbiträden till den centrala organisationen. De olika lokalavdelningar kan var och en vara personuppgiftsansvarig för behandlingen av personuppgifter i sitt medlemsregister, och den nationella organisationen kan vara personuppgiftsansvarig för behandlingen av personuppgifter i det centrala registret över alla fysiska personer som är medlemmar i samtliga lokalavdelningar. Också andra kombinationer kan tänkas. Det har inte framstått som ändamålsenligt att inom ramen för utredningen gå igenom samtliga alternativ för personuppgifts- ansvaret som kan finnas. Det bör räcka att peka på en realistisk möjlighet att anordna personuppgiftsansvaret. Därmed bör de organisationer som vill förlita sig på utredningens analys kunna anpassa sig. Det är troligt att det sist nämnda sättet att anordna personuppgiftsansvaret – att respektive juridisk person inom orga- nisationsstrukturen är personuppgiftsansvarig för den behandling som denna utför – är vanligt och jag väljer därför att i analysen utgå från att personuppgiftsansvaret är ordnat på det sättet. All behandling av personuppgifter måste uppfylla de grundläggande kraven på behandling av personuppgifter som anges i 9 § person- uppgiftslagen. Bland annat måste ett särskilt ändamål anges för behandlingen av personuppgifterna i medlemsregistren. Min analys har utgått från att ändamålet med behandlingen av personupp- gifterna i medlemsregistren har angetts till något i stil med att behandlingen sker för att administrera medlemskapet och redovis- ning för bidragsadministration. Även om ändamålet angetts utan uttrycklig referens till redovisning för bidragsadministration, torde behandling för det ändamålet vara ett sådant senare uppkommet ändamål med behandlingen av personuppgifterna som inte är oför- enligt med det ursprungligen bestämda ändamålet avseende admi- nistration av medlemskapet (9 § första stycket d). Att en lokalav- delning för bidragsredovisning lämnar ut personuppgifter till den centrala organisationen eller en av denna anlitad revisor är natur- ligtvis något som i och för sig ingår i det ursprungligen bestämda ändamålet avseende redovisning för bidragsadministration. Man får bara behandla sådana personuppgifter som är adekvata och relevanta i förhållande till ändamålen med behandlingen, och flera personuppgifter än vad som är nödvändigt med hänsyn till ändamålen med behandlingen får inte behandlas (9 § första stycket e och f). I medlemsregistren kan det finnas många olika personupp- gifter. De uppgifter som föreskrivit att den bidragssökande organisationen ska ha förtecknade – uppgifter om varje medlems namn, adress, födelseår, kön, datum för inbetalning av medlemsavgift eller, om sådan uppgift saknas, datum för skriftlig eller elektroniskt dokumenterad ansökan om medlemskap samt om till vilken lokalavdelning medlemmen är ansluten – torde vara sådana uppgifter som typiskt sett är nödvändiga, adekvata och rele- vanta att ha i ett medlemsregister.