sou · GXB332 · 2009-04-17 00:00:00 — Regeringen får meddela föreskrifter om generella undantag från förbudet att föra över personuppgifter till tredje land. Övergripande rättslig reglering av behandling av personuppgifter eller, om regeringen bestämmer det, Datainspektionen får också föreskriva undantag när det behövs med hänsyn till viktiga allmänna intressen eller om överföringen sker under sådana omständigheter att det finns tillräckliga garantier till skydd för de registrerades rättigheter. Dessutom får regeringen under vissa förutsättningar besluta om undantag från förbudet i enskilda fall. Förbudet mot överföring av personuppgifter till tredje land har ansetts innefatta ett hinder mot att publicera uppgifterna på en hemsida eller motsvarande, som är åtkomlig via Internet. anförde att den omständigheten att någon ges möjlighet att från tredje land komma åt personuppgifter som finns i eller i någon annan medlemsstat via telekommunikation eller datanätverk är förmodligen ett exempel på överföring av uppgifterna till tredje land (Se SOU 1997:39 s. 413). Genom EG- domstolens dom i mål C-101/01 () har numera lagts fast att publicering av uppgifter på en webbsida inte utan vidare omfattas av begreppet överföring av uppgifter till tredje land, även om dessa uppgifter härigenom blir åtkomliga för personer i tredje land. Domstolen uttalade i målet att det inte föreligger någon överföring av uppgifter till tredje land i den mening som avses i artikel 25 i dataskyddsdirektivet när en person som befinner sig i en medlemsstat lägger ut personuppgifter på en hemsida som är lagrad hos den som tillhandahåller honom servertjänster, vilken är etablerad i samma medlemsstat eller i en annan medlemsstat, varvid uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land. Av kommentaren till person- uppgiftslagen (se Personuppgiftslagen En kommentar, m.fl., s. 384) framgår att det förhärskade synsättet i får anses innebära att inte någon Internetpublicering som sker från en server som innehas av någon som är etablerad inom EU och EES innebär en överföring av personuppgifter i den mening som avse i paragrafen. Var den server på vilken uppgifterna finns lagrade faktiskt är placerad synes inte ha någon betydelse för bedömningen bara den som har servern är etablerad inom EU och EES och därmed underkastad lagstiftning som genomför dataskydds- direktivet. I Datainspektionens reviderade informationsblad om personuppgifter och Internet anges att det inte räknas som överföring till tredje land när en person lägger ut uppgifter på en webbplats på Internet som lagras hos en Internetleverantör som är etablerad inom EU. Efter dom på området har ansetts att det inte behövs uttryckliga bestämmelser i lag eller Övergripande rättslig reglering av behandling av personuppgifter förordning som tillåter överföring till tredje land av person- uppgifter som publiceras på Internet. Enligt ovannämnda lagkommentar utesluter inte detta att det av andra skäl kan finnas behov av att reglera frågan om Internetpublicering av information (jfr a.a. s. 386). 4.7.6Datainspektionens befogenheter som tillsynsmyndighet enligt såväl personuppgiftslagen som dataskyddsdirektivet är Datainspektionen. Datainspektionens uppgifter enligt personuppgiftslagen innebär i första hand att informera om gällande regler och utöva tillsyn över att reglerna efterlevs samt att ge råd och hjälp åt personuppgiftsombud. Den personuppgiftsansvariges anmälan om behandlingar av person- uppgifter ska göras till Datainspektionen, som även ska utöva tillsyn över behandlingen. Vissa av de befogenheter som enligt dataskyddsdirektivet tillkommer tillsynsmyndigheten regleras i 43–47 §§ person- uppgiftslagen. Således innehåller lagen bestämmelser om att Data- inspektionen ska ha tillgång till behandlade personuppgifter och dessutom tillträde till lokaler med anknytning till behandlingen. Om lagens regler inte iakttas har Datainspektionen som tillsyns- myndighet bl.a. befogenhet att tillse att rättelse sker och om detta inte hjälper besluta om förbud mot behandling av personuppgifter samt att ansöka hos länsrätt om att personuppgifter ska utplånas. Datainspektionen har även bemyndigats att meddela föreskrifter i anslutning till reglerna i personuppgiftslagen. Anmälningsskyldighet (36 §) Helt eller delvis automatiserad behandling av personuppgifter måste i princip anmälas till tillsynsmyndigheten. Syftet med anmälningsskyldigheten är att göra behandlingens ändamål och dess viktigaste egenskaper kända. Datainspektionen ska föra register över anmälda behandlingar. Personuppgiftslagen har i denna del två motstridiga intressen som utgångspunkt. Det finns å ena sidan ett önskemål om att ta bort anmälningsskyldigheten för automatiserad behandling för att på så sätt koncentrera Datainspektionens verksamhet till att ge råd Övergripande rättslig reglering av behandling av personuppgifter och sprida kunskap om de materiella reglerna samt att utöva tillsyn över att reglerna efterlevs. Å andra sidan föreskriver dataskydds- direktivet som huvudregel att den registeransvarige till tillsyns- myndigheten ska anmäla automatiserade behandlingar som ska genomföras. Från denna anmälningsskyldighet får ett medlemsland dock under vissa förutsättningar föreskriva undantag. I personuppgiftslagen har en principiell anmälningsskyldighet till Datainspektionen införts, som möjligheterna att föreskriva om undantag utnyttjats fullt ut. Vid särskilt integritets- känsliga behandlingar föreskrivs dock inga undantag från anmälningsskyldigheten. Enligt personuppgiftslagen får regeringen eller, efter regeringens bemyndigande, Datainspektionen, föreskriva undantag från anmälningsskyldigheten. Sådana undantag föreskrivs i 3–5 §§ personuppgiftsförordningen (1998:1191). Undantag görs här för bl.a. behandling av personuppgifter som utförs till följd av en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut allmänna handlingar och personuppgifter i löpande text. Personuppgiftsombud (37–40 §§) Anmälan till Datainspektionen behöver inte göras när ett personuppgiftsombud har utsetts av den personuppgiftsansvarige. Personuppgiftsombudet ska ha till uppgift att självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett korrekt och lagligt sätt. Kravet på självständighet innebär att personuppgiftsombudet inte får ha en alltför underordnad ställning i förhållande till den personuppgiftsansvarige och att ombudet ska ha tillräckliga kvalifikationer och kunskaper för att kunna utföra sina uppgifter. I första hand ska personuppgiftsombudet påpeka brister i uppgiftsbehandlingen till den personuppgiftsansvarige, men om den ansvarige inte rättar till bristerna är ombudet skyldigt att anmäla förhållandet till Datainspektionen. Personuppgiftsombudet ska ha en förteckning över de behandlingar som den person- uppgiftsansvarige utför och han eller hon ska även hjälpa registrerade personer att få rättelse vid misstanke om att personuppgifter är felaktiga eller ofullständiga. Övergripande rättslig reglering av behandling av personuppgifter Anmälan för förhandskontroll (41 §) Enligt dataskyddsdirektivet ska medlemsstaterna bestämma vilka behandlingar som kan innebära särskilda risker för den registrerades rättigheter och säkerställa att dessa behandlingar kontrolleras innan de påbörjas. Förhandskontrollen ska enligt direktivet utföras av tillsynsmyndigheten men kan också utgöra ett led i lagstiftningsprocessen. Förhandskontroll kan således ske i samband med att särskilda registerförfattningar beslutas av eller regeringen. I personuppgiftslagen finns ett bemyndigande för regeringen att bestämma att vissa behandlingar av personuppgifter som kan innebära särskilda risker för otillbörligt intrång i den personliga integriteten ska anmälas till Datainspektionen i förväg. I personuppgiftsförordningen finns bestämmelser om sådana behandlingar. gäller enligt 10 § personuppgifts- förordningen att behandling av känsliga personuppgifter för forskningsändamål utan samtycke från den registrerade och som inte godkänts av en forskningsetisk kommitté samt behandling av personuppgifter om genetiska anlag som framkommit efter genetisk undersökning ska anmälas för förhandskontroll. 4.7.7Upplysningar till allmänheten om behandlingar som inte anmälts Genom 42 § personuppgiftslagen åläggs den personuppgifts- ansvarige en generell skyldighet att till var och en som efterfrågar det lämna information om behandlingar av personuppgifter som inte har anmälts till tillsynsmyndigheten och anges hur långt skyldigheten sträcker sig i förhållande till intresset av skydd för de personuppgifter som behandlas. Paragrafen slår fast att uppgifter om säkerhetsåtgärder inte behöver lämnas ut samt att bestämmelser om sekretess och tystnadsplikt går före skyldigheten att informera. Paragrafen är avsedd att ha samma innebörd som artikel 21.3 första stycket i dataskyddsdirektivet. Övergripande rättslig reglering av behandling av personuppgifter Skadestånd (48 §) Om behandling av personuppgifter i strid med personuppgiftslagen orsakar skada för den registrerade har han eller hon rätt till skadestånd från den personuppgiftsansvarige. Rätten till ersättning omfattar såväl personskada, sakskada och ren förmögenhetsskada som den kränkning av den personliga integriteten som behandlingen kan ha medfört. Ersättningen för kränkning måste uppskattas efter skälighet mot bakgrund av samtliga omständigheter i det aktuella fallet, t.ex. om den registrerade på grund av behandlingen utsatts för något för honom eller henne negativt beslut. Ersättningen ska fastställas för varje kränkt registrerad för sig. Skadeståndsansvaret är i princip strikt. Den registrerade behöver bara bevisa att det förekommit en felaktig behandling och att denna behandling har skadat eller kränkt honom eller henne. Kan den personuppgiftsansvarige visa att felet inte berodde på honom eller henne får emellertid skadeståndet jämkas i skälig utsträckning. Straff (49 §) I personuppgiftslagen har i första hand valts andra sanktioner än straff. Således har vissa företeelser som i datalagen återfanns i straffkatalogen i stället sanktionerats genom vite eller genom möjligheten att utdöma ideellt skadestånd. Vad som återfinns i straffbestämmelsen i personuppgiftslagen är sådana uppsåtliga brott eller grova oaktsamma förfaranden som är svåra att åtgärda på annat sätt än genom straffbestämmelser. Det rör sig om att någon lämnar osanna uppgifter i den information till den registrerade som lagen föreskriver eller i anmälan till Datainspektionen. Vidare tillämpas straffbestämmelsen om någon i strid med lagen behandlar känsliga personuppgifter, för över uppgifter till tredje land eller låter bli att göra föreskriven anmälan om behandling till Datainspektionen. Straffbestämmelsens tillämplighet är begränsad genom att det inte ska dömas till ansvar om förseelsen är ringa. Övergripande rättslig reglering av behandling av personuppgifter Närmare föreskrifter om normgivningsbemyndiganden (50 §) Paragrafen innehåller bestämmelser om möjlighet för regeringen eller den myndighet som regeringen bestämmer att meddela närmare föreskrifter om sådant som regleras i lagen. Bakgrunden härtill är att bl.a. genom artikel 5 i dataskyddsdirektivet har ålagts att, inom ramen för direktivet, precisera på vilka villkor behandling av personuppgifter är tillåten. Överklagande (51–53 §§) Paragraferna innehåller bestämmelser som anger hur olika former av beslut enligt lagen överklagas. 5Rättslig reglering av behandling av personuppgifter behandling av personuppgifter regleras i lagen (2001:454) om behandling av personuppgifter inom (SoLPUL) och förordningen (2001:637) om behandling av person- uppgifter inom . Dessutom tillämpas personuppgifts- lagen (1998:204, PUL). Nedan kommer närmare att redogöras för den aktuella regleringen på varje område. Vidare kommer mer ingående1 behandlas frågan om ändamålen i SoLPUL. 5.2Lagen (2001:454) om behandling av personuppgifter inom Lagen tillämpas vid behandling av personuppgifter inom social- tjänsten, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt ett eller flera särskilda kriterier (1 §). 1 § anger – med de begränsningar som följer av 3 § – lagens tillämpningsområde. Av sistnämnda paragraf framgår att lagen inte ska tillämpas vid behandling av personuppgifter hos domstolar. Den tillämpas inte heller vid behandling av personuppgifter för forsknings- och statistikändamål. 1 Se 5.4 kap. Rättslig reglering av behandling av personuppgifter Lagen omfattar myndigheter och enskilda verksamheter som behandlar personuppgifter inom område. Lagen gäller – liksom PUL – för sådan behandling av personuppgifter som är helt eller delvis automatiserad och även för annan behandling, om uppgifterna ingår eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt ett eller flera särskilda kriterier, dvs. för behandling av personuppgifter (jfr 5 § PUL). Begreppen behandling och personuppgifter definieras i 3 § PUL. Med behandling av personuppgifter avses2 varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Med behandling avses således i princip allt man gör med personuppgifter, vare sig det sker genom databehandling eller inte. Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Uppgifter om avlidna och ännu inte födda personer omfattas således varken av PUL eller SoLPUL (jfr prop. 1997/98:44). I 2 § ges en bestämning av begreppet socialtjänst. Definitionen har utformats med utgångspunkt i 7 kap 4 § sekretesslagen, som behandlar sekretessen inom . När det gäller (SiS) har dock en viss avvikelse gjorts från vad som gäller enligt sekretesslagen. Enligt paragrafen avses med socialtjänst enligt denna lag 1.verksamhet enligt lagstiftningen om socialtjänst och den särskilda lagstiftningen om vård utan samtycke av unga eller missbrukare, 2.verksamhet som i annat fall enligt lag handhas av socialnämnd, 3.verksamhet som i övrigt bedrivs av , 4.verksamhet hos invandrarbyrå, 2 Sammanställning i /Thunved: Socialtjänst, 20 uppl., s. 483 f. Rättslig reglering av behandling av personuppgifter 5.verksamhet enligt lagstiftningen om stöd och service till vissa funktionshindrade, 6.handläggning av ärenden om bistånd som lämnas av social- nämnd enligt lagstiftningen om mottagande av asylsökande m.fl., 7.handläggning av ärenden om introduktionsersättning för flyktingar och vissa andra utlänningar, 8.handläggning av ärenden om tillstånd till parkering för rörelsehindrade, samt 9.verksamhet enligt lagen (2007:606) om utredningar avseende bans om har avlidit i anledning av brott m.m. Med socialtjänst avses även tillsyn, uppföljning, utvärdering, kvalitetssäkring och administration av verksamhet som avses i första stycket 1–9. För närmare genomgång av innehållet i respektive punkt ovan se 3.6.3 kap. – en genomgång av propositionen Ny socialtjänstlag, prop. 2000/01:80 s. 236 f. 5.2.3Förhållandet till personuppgiftslagen m.m. Enligt 4 § SoLPUL gäller personuppgiftslagen (1998:204) vid behandling av personuppgifter inom , om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av denna lag eller annars av 2 § PUL. SoLPUL har utformats så att den endast gör vissa undantag från PUL. 5.2.4Tillåten behandling av personuppgifter I 6 § första stycket SoLPUL anges att personuppgifter bara får behandlas om behandlingen är nödvändig för att arbetsuppgifter inom ska kunna utföras. Detta stycke ersätter 10 § PUL. Av stycket följer att samtliga kategorier av personuppgifter i och för sig får behandlas. Någon uttömmande reglering av för vilka ändamål personuppgifter ska få behandlas innehåller SoLPUL inte. Rättslig reglering av behandling av personuppgifter Av 6 § andra stycket SoLPUL framgår att personuppgifter även får behandlas för uppgiftslämnande som föreskrivs i lag eller förordning. Det finns en rad författningar/föreskrifter som innebär att myndigheter eller enskilda får eller ska lämna ut uppgifter. Skäl har inte ansetts föreligga att i en integritetsskyddslagstiftning som den nu föreliggande särskilt reglera dessa fall av redan författnings- reglerat uppgiftslämnande. Enligt 6 § tredje stycket kan den enskilde inte motsätta sig att personuppgifter behandlas enligt lagen. Närmare om ändamålet i SoLPUL, se 5.4 kap. 5.2.5Personuppgifter som får behandlas I 7 § SoLPUL anges att socialnämnden får behandla 1.person- och samordningsnummer, 2.känsliga personuppgifter som avses i 13 § PUL, samt 3.uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Personuppgifter enligt första stycket får behandlas endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för verksamheten. Första stycket punkt 1: Enligt PUL får person- och samordnings- nummer som huvudregel endast behandlas om samtycke lämnats (22 §). Sådana uppgifter får dock behandlas även när det är klart motiverat med hänsyn till a) ändamålet med behandlingen, b) vikten av en säker identifiering eller c) något annat beaktansvärt skäl. I syfte att få en säker identifiering har det inom ansetts föreligga ett behov av att regelmässigt behandla uppgifter om person- och samordningsnummer. Skäl att tillåta behandling av sådana uppgifter har således ansetts föreligga. Av punkt 2 framgår att för att ska kunna fullgöra sina uppgifter har det ansetts föreligga ett behov av att behandla även personuppgifter som är känsliga i PUL:s mening. Det finns i PUL ett principiellt förbud mot att behandla s.k. känsliga personuppgifter som avslöjar ras eller etniskt ursprung, Rättslig reglering av behandling av personuppgifter politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, eller som rör hälsa eller sexualliv (13 §), jfr 4.7.2 kap. Punkt 3: I PUL (21 §) ges ett förbud för andra än myndigheter att behandla personuppgifter om lagöverträdelser, som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Då det finns ett behov inom av att låta såväl myndigheter som andra än myndigheter behandla personuppgifter får även sådana uppgifter behandlas inom . Som förutsättning gäller emellertid att de personuppgifter som behandlas enligt dessa bestämmelser ska var nödvändiga med hänsyn till den behandling som är tillåten. Det har i förarbetena särskilt understrukits att ska iaktta försiktighet vid behandlingen av personuppgifter. Det har därför ansetts motiverat att ta in en erinran som bygger på 9 § första stycket e och f PUL. Personuppgifter enligt första stycket får således enligt andra stycket behandlas om uppgifterna har lämnats i ett ärende eller är nödvändiga för verksamheten. I sammanställningar av personuppgifter får det inte, enligt 7 a § SoLPUL, tas in känsliga personuppgifter eller uppgifter i övrigt om ömtåliga personliga förhållanden. Undantag från första stycket gäller 1.uppgifter om åtgärder som har beslutats inom som innebär myndighetsutövning och om den bestämmelse som ett sådant beslut grundar sig på, 2.uppföljning, utvärdering och kvalitetssäkring, 3.tillsynsverksamhet som bedrivs av eller länsstyrelserna, 4.administration och tillsynsverksamhet som bedrivs av centralt, och 5.verksamhet enligt lagen (2007:606) om utredningar avseende barn som har avlidit i anledning av brott m.m. Uppgift som avslöjar medlemskap i fackförening får aldrig tas in. Rättslig reglering av behandling av personuppgifter Förutom personakter som upprättas i socialtjänstverksamheten görs även olika typer av sammanställningar av uppgifter om klienterna. Dessa sammanställningar utgör register i mer inskränkt bemärkelse och är upprättade för att underlätta administrationen. Sammanställningarna kan vara både automatiserade och och sökbara på ett eller flera kriterier. Mot bakgrund härav har ett förbud införts mot att i sådana register ta in uppgifter om känsliga personuppgifter eller uppgifter i övrigt om ömtåliga personliga förhållanden. Begreppet känsliga uppgifter definieras i PUL (jfr ovan i 5.2.5 kap.). Begreppet ömtåliga personliga förhållanden omfattar, förutom känsliga uppgifter enligt PUL, även andra uppgifter om personliga förhållanden som kan förekomma inom och vars behandling kan anses vara kränkande mot den personliga integriteten, t.ex. uppgifter om försörjningsförmåga och familje- förhållanden. I första stycket anges det generella förbudet för mot att föra s.k. sammanställningsregister med känsliga och ömtåliga personuppgifter. I andra stycket anges undantag från det principiella förbudet i första stycket. I tredje stycket görs ett undantag från undantaget i andra stycket. Enligt 7 b § ska regeringen eller den myndighet som regeringen bestämmer meddela ytterligare föreskrifter om sammanställning av Paragrafen innehåller en upplysning om den föreskriftsrätt som ska tillkomma regeringen och om regeringens rätt att vidare- delegera normgivningskompetensen. I fråga om utlämnande av personuppgifter som finns inom gäller de begränsningar som följer av sekretesslagen (1980:100), socialtjänstlagen (2001:453) och lagen (1993:387) om stöd och service till vissa funktionshindrade. Här föreligger hänvisningar till – i de allmännas verksamhet – sekretessen (7 kap. 4 § sekretesslagen) och – för den som är eller har varit verksam inom yrkesmässigt bedriven enskild verksamhet – till tystnadsplikten (15 kap. 1 och 2 §§ socialtjänstlagen och 29 § lagen om stöd och service till vissa funktionshindrade) Rättslig reglering av behandling av personuppgifter I 9 § anges att bestämmelserna i om rättelse och skadestånd även ska vara gällande vid behandling av personuppgifter enligt denna lag. I 10 § stadgas att beslut inom om rättelse och om avslag på ansökan om information enligt 26 § PUL får överklagas hos allmän förvaltningsdomstol. Andra beslut enligt lagen får inte överklagas. Regeringen eller den myndighet som regeringen bestämmer får, enligt 11 §, meddela föreskrifter om vilka som är personuppgifts- ansvariga och om begränsning av den i 6 § tillåtna behandlingen av personuppgifter samt om sökbegrepp, direktåtkomst och samkörning av personuppgifter. Regeringen får även meddela föreskrifter om när person- uppgifter får föras över till tredje land. 5.3Förordningen (2001:637) om behandling av personuppgifter inom Förordningen reglerar behandlingen av personuppgifter inom för , kommunala myndig- heter, privat verksamhet och enligt SoLPUL och innehåller -bestämmelser om personuppgiftsansvar -bestämmelser om för vilka ändamål personuppgifter får behandlas -bestämmelser om direktåtkomst, -bestämmelser om sökbegrepp och samkörning -bestämmelser om överföring av personuppgifter till tredje land, och Rättslig reglering av behandling av personuppgifter -bestämmelser om bemyndigande och verkställighetsföreskrifter (1 och 3 §§). I 6 § anges att (SiS) är personuppgifts- ansvarig för behandling av personuppgifter inom som görs i dess verksamhet. SiS får, enligt 7 §, behandla personuppgifter för 1.platsanvisning och institutionsplaceringar inom styrelsens verksamhetsområde, 2.dokumentation av vård, behandling och behandlingsresultat samt verkställighet, 3.underlag, beslut och övriga åtgärder i ärenden inom verksam- hetsområdet, samt 4.tillsyn, uppföljning, utvärdering, kvalitetssäkring och admi- nistration av verksamheten.