sou · GXB344 · 2010-01-01 00:00:00 — Kan man inte med hjälp av t.ex. ett datoriserat index eller diarium söka fram uppgifter om individer i de handlingar som finns i akt- materialet, är lagen inte tillämplig såvitt avser innehållet i hand- lingarna. Det kan dock finnas anledning att uppmärksamma att ett index eller diarium i sig ofta är sökbart efter personuppgifter, och till följd härav omfattas av personuppgiftslagen. Bedömningen av om personuppgiftslagen är tillämplig eller inte kan därför komma att falla ut på olika sätt beträffande ett diarium och det aktmaterial som det avser. Förhållandet till andra författningar Den kanske viktigaste begränsningen i personuppgiftslagens mat- eriella tillämpningsområde är att lagen är subsidiär i förhållande till andra författningar. Om det i en annan lag eller förordning finns bestämmelser som avviker från lagen, gäller således dessa bestäm- melser (2 §). Personuppgiftslagen gäller i princip för alla verksamheter inom såväl den offentliga som privata sektorn. I de fall där det kan anses befogat med vissa särskilda regler för en viss verksamhet är tanken att dessa kompletterande regler ska ges i särskilda s.k. register- författningar. Så har också skett i stor utsträckning. Även i lag- stiftning som reglerar ett visst tekniskt fenomen, kan det finnas enskilda bestämmelser som tar över motsvarande bestämmelser i personuppgiftslagen (t.ex. lagen [1998:150] om allmän kamera- övervakning och lagen [2003:289] om elektronisk kommunikation). Utgångspunkten vid utarbetandet av registerförfattningar är normalt att regleringen i registerförfattningen så långt möjligt ska stämma överens med personuppgiftslagens och dataskyddsdirektivets materiella bestämmelser. Det gäller även på områden som inte omfattas av direktivet. Grundinställningen är således att all sär- reglering i förhållande till personuppgiftslagen ska övervägas noga och bara ges i de fall det finns ett verkligt behov av sådana regler.12 När det sedan gäller själva lagstiftningstekniken har regeringen uttalat att de särskilda register- författningarna som huvudregel bara bör gälla utöver personuppgifts- lagen och bör begränsas till att avse frågor som är specifika för den verksamhet som regleras av lagstiftningen. Kort sagt innebär detta att personuppgiftslagen gäller i den utsträckning som inte särreglerna i registerförfattningen tar över. Det förekommer dock att man i lagstiftningsarbetet frångår denna huvudregel på så sätt att det ges en särregel i register- författningen om att den ska gälla i stället för personuppgiftslagen, som det i författningen uttryckligen hänvisas till de bestämmelser i personuppgiftslagen som trots allt ska gälla. Det förekommer till och med att de regler i personuppgiftslagen som ska gälla upprepas ordagrant i registerförfattningen.13 För den teknik som följer av huvudregeln talar framför allt praktiska hänsyn genom att eventuella ändringar i personuppgifts- lagen inte föranleder följdändringar i ett stort antal register- författningar. För de två andra alternativen kan tala att det blir enklare för den som ska tillämpa eller rätta sig efter reglerna att i första hand bara ha en författning att hålla sig till. 12Jfr , Särskilda registerförfattningar, till , 2006, s. 694 ff. 13Se , Särskilda registerförfattningar, till , 2006, s. 695 f. med där gjorda hänvisningar till förarbeten. som väljs kan det finnas en risk för att det normhierarkiska förhållandet blir oklart. Tillämpas huvudregeln kan det bli oklart om och i vilken utsträckning bestämmelserna i registerförfattningen ska ta över bestämmelserna i personuppgiftslagen. Tillämpas de två andra alternativen finns det risk för att det uppstår normkonflikter mellan olika registerförfattningar, eftersom man i dessa fall lyfter upp personuppgiftslagens bestämmelser till en högre normhierarkisk nivå. Övriga undantag från lagens materiella tillämpningsområde Personuppgiftslagen gäller inte för sådan behandling av person- uppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur (6 §). Efter dom i det s.k. konfir- mandlärarmålet står det klart att detta undantag ska tolkas restriktivt. Undantaget för verksamhet av rent privat natur avser endast sådan verksamhet som utgör en del av enskildas privat- eller familjeliv.14 Bestämmelsen bör därmed sakna betydelse för arbetslivets vid- kommande. Personuppgiftslagen ska inte tillämpas i den utsträckning som det kan anses strida mot det grundlagsfästa skyddet för tryck- och yttrandefrihet (7 § första stycket). För behandlingar av person- uppgifter som inte omfattas av grundlagsskyddet finns det i lagen ytterligare en undantagsregel för sådana behandlingar som sker uteslutande för journalistiska ändamål eller konstnärligt eller litte- rärt skapande (7 § andra stycket). I sådana fall tillämpas bara de regler i lagen som rör säkerheten. Den senare undantagsbestämmelsen har i rättspraxis getts en vid och yttrandefrihetsvänlig tolkning.15 Personuppgiftslagen ska inte heller tillämpas i den utsträckning den innebär en inskränkning i offentlighetsprincipen, dvs. den i 2 kap. tryckfrihetsförordningen grundlagsfästa rätten för var och en att ta del av allmänna handlingar hos myndigheter i den utsträckning innehållet i handlingarna är offentliga (8 § första stycket). Lagen utgör inte heller något hinder mot att en myndighet arkiverar och bevarar allmänna handlingar, eller att arkivmaterial tas om hand av en arkivmyndighet (8 § andra stycket). Vad som sagts om lagens förhållande till offentlighets- principen är emellertid en sanning som kräver viss modifikation. 14EG-domstolens dom i mål C-101/01. 15NJA 2001 s. 409. Av 7 kap. 16 § sekretesslagen (1980:100) framgår det nämligen att sekretess gäller för personuppgifter i allmänna handlingar, om det kan antas att ett utlämnande skulle medföra att dessa behandlas i strid med personuppgiftslagen. Sekretessbestämmelsen är tillämplig vid alla former av utlämnande från en myndighet av allmänna hand- lingar som innehåller personuppgifter. Sekretessprövningen omfattar frågan om det kan antas att sökanden, efter det att handlingen med personuppgifter lämnats ut, skulle behandla uppgifterna i strid med lagen. Saken kompliceras emellertid ytterligare av att myndigheter enligt det s.k. frågeförbudet i 2 kap. 14 § andra stycket tryckfrihets- förordningen inte får efterforska vem som begär att få ut en allmän handling, eller vad som är syftet med en sådan begäran, i större utsträckning än vad som behövs för att myndigheten ska kunna pröva frågan om sekretess. Med hänsyn härtill bör det krävas att det finns någon konkret omständighet som tyder på att sökanden kommer att behandla personuppgifter i strid med personuppgifts- lagen för att myndigheten ska ha anledning att fråga sökanden vad denne ska göra med personuppgifterna och i praktiken göra en reell sekretessprövning. Vid en sådan prövning har myndigheten själv- fallet att först ta ställning till frågan om det kan antas att sökanden över huvud taget kommer att behandla personuppgifterna på ett sätt som omfattas av personuppgiftslagen. Först om så är fallet, finns det anledning att bedöma huruvida det kan antas att upp- gifterna kommer att behandlas i strid med lagens bestämmelser. Det utreds nu om bestämmelsen i 7 kap. 16 § sekretesslagen bör ändras eller upphävas.16 Den materiella begränsning som följer av att ett stort antal bestämmelser i personuppgiftslagen inte ska tillämpas i vissa fall som följer av den införda missbruksregeln i 5 a § berörs i avsnitt 5.1.7. Personuppgiftslagen innebär i allt väsentligt rättigheter och skyldig- heter för två olika subjekt. Lagens skyddssubjekt är den person som en personuppgift avser. I lagtexten benämns den personen som den registrerade (3 §). Det måste enligt personuppgiftslagen alltid vara fråga om en enskild 16 Dir. 2008:54. fysisk person som är i livet. Har man väl kommit fram till att en behandling avser en personuppgift, dvs. information som kan hän- föras till en viss identifierbar individ, har man också automatiskt fått svar på frågan om vem som är den registrerade. Det andra subjektet är den personuppgiftsansvarige. Det är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen som bär personuppgiftsansvaret (3 §). Det innebär bl.a. att, även om andra personer deltagit i en behand- ling, det bara är den personuppgiftsansvarige som kan göras skade- ståndsansvarig för behandlingar som sker i strid med bestämmelserna i personuppgiftslagen. En annan sak är att det kan finnas möjlighet för den personuppgiftsansvarige att föra en regresstalan mot andra personer som har medverkat i behandlingen, antingen med stöd av avtal eller allmänna skadeståndsrättsliga principer.17 Personuppgiftslagen innehåller ett stort antal hanteringsregler som innebär olika skyldigheter för den personuppgiftsansvarige. innebär lagen en rättighet att behandla personuppgifter under förutsättning att nämnda skyldigheter iakttas. Harmoniserings- kravet i det bakomliggande dataskyddsdirektivet innebär att denna rättighet är förhållandevis stark, eftersom alla försök att med lagstiftning inskränka rätten att behandla personuppgifter måste prövas mot direktivet. Såväl fysiska som juridiska personer kan vara personuppgifts- ansvariga. Så snart det förekommer en behandling av personupp- gifter finns det alltid någon eller några som är ansvariga för den behandlingen. Formuleringen i lagtexten Den som kan leda tanken till att det först och främst är en fysisk person som är person- uppgiftsansvarig. I själva verket vilar personuppgiftsansvaret på en juridisk person, inte minst lär så vara fallet på arbets- livets område. Enligt personuppgiftslagen förekommer även andra subjekt vid behandling av personuppgifter. Den som behandlar personuppgifter för den personuppgiftsansvariges räkning kallas för personuppgifts- biträde (3 §). Även andra personer kan vara inblandade i behandlingen av personuppgifter under den personuppgiftsansvarige eller person- uppgiftsbiträdets direkta ansvar. 17 För arbetslivets vidkommande begränsas dock möjligheterna att med framgång föra en sådan talan mot en arbetstagare av skadeståndslagens bestämmelse om att arbetstagare endast är ansvarig för skada som han eller hon vållar genom fel eller försummelse i tjänsten i den mån synnerliga skäl föreligger med hänsyn till handlingens beskaffenhet, arbetstagarens ställning, den skadelidandes intresse och övriga omständigheter, 4 kap. 1 § skadeståndslagen (1972:207). brukar benämnas medhjälpare. Ett personuppgiftsbiträde finns alltid utanför den egna organisationen. Det innebär att en anställd eller någon annan som behandlar personuppgifter under den personupp- giftsansvariges direkta ansvar inte kan vara personuppgiftsbiträde. Vidare kan den personuppgiftsansvarige förordna en fysisk person, ett s.k. personuppgiftsombud, att självständigt se till att person- uppgifter behandlas på ett korrekt och lagligt sätt (3 §). Den viktigaste rättsverkningen av ett sådant förordnande är att den personuppgiftsansvarige, genom att anmäla till Datainspektionen att ett personuppgiftsombud utsetts, i stor utsträckning slipper undan den anmälningsskyldighet till inspektionen som annars skulle ha följt av lagen. Till skillnad från ett personuppgiftsbiträde kan en anställd vara personuppgiftsombud, förutsatt att denne har en sådan ställning att arbetsuppgifterna som personuppgiftsombud kan utövas på ett självständigt sätt i förhållande till arbetsgivaren.18 De fysiska eller juridiska personer som inte går att hänföra under de ovan beskrivna begreppen benämns i personuppgiftslagen som tredje män. Ytterligare ett subjekt som förekommer i lagen är mottagare (3 §), varmed avses den till vilken en personuppgift lämnas ut. Begreppet omfattar i princip samtliga till vilka personuppgifter lämnas ut, även om den som tar emot uppgifterna inte skulle vara att se som tredje man. När personuppgifter lämnas ut för att en myndighet ska kunna utföra sådan tillsyn, kontroll eller revision som den är skyldig att utföra anses dock inte myndigheten vara mottagare av uppgiften. Personuppgiftslagen tar inga hänsyn till eventuella avtals- förhållanden mellan de parter som är inblandade i en behandling. Om en arbetsgivare bestämmer ändamålen för en behandling av arbetstagares personuppgifter, är arbetsgivaren personuppgiftsansvarig och arbetstagaren den registrerade. Det är de faktiska förhållandena som avgör rollfördelningen, oavsett eventuella avtalsförhållanden eller liknande. När det gäller frågor om övervakning och kontroll av arbets- tagare eller arbetssökande, är det i allmänhet arbetsgivaren som bestämmer ändamålen för de behandlingar av personuppgifter som sker i anslutning till sådana åtgärder. Arbetsgivaren är personuppgifts- ansvarig och arbetstagaren eller arbetssökanden är den registrerade, med alla de rättigheter och skyldigheter som lagen ger dessa subjekt. kan det förekomma situationer där personuppgifts- 18 Vilka arbetsuppgifter ett personuppgiftsombud har framgår av 38–40 §§. och arbetsgivaransvaret vilar på olika subjekt. Om t.ex. en arbets- tagare är anställd i ett dotterbolag i en koncern, kan man mycket väl tänka sig fall där moderbolaget eller ett annat dotterbolag bär personuppgiftsansvaret. Andra fall där personuppgifts- och arbets- givaransvaret vilar på olika subjekt, kan förekomma om personal hyrs in eller ut. Samma sak kan gälla om olika funktioner, t.ex. personalhanteringen, i ett företag läggs ut på någon utomstående aktör, s.k. outsourcing. Den som gör en databas tillgänglig för andra via nätverk eller annan teknisk förbindelse är ensam ansvarig för de behandlingar som de utomståendes sökningar och bearbetningar av databasen inne- bär. Däremot är det den som söker efter eller bearbetar material i en databas som bär personuppgiftsansvaret för de behandlingar som han eller hon utför. Ett sådant ansvar uppkommer så snart personen i fråga själv – med eller utan rättslig befogenhet – börjar bestämma över ändamålen och medlen för behandlingen, t.ex. genom att ändra, komplettera eller radera uppgifter. Att personuppgifter sparas ned i den utomståendes dator är tillräckligt för att ett personuppgiftsansvar ska uppkomma för den behandlingen. Personuppgiftslagen gäller som huvudregel bara för personuppgifts- ansvariga som är etablerade i (4 § första stycket). Uttrycket etablerad anses förutsätta att en effektiv och faktisk verksamhet med hjälp av en stabil struktur har etablerats i . Bestämmelserna om lagens territoriella tillämpningsområde är i flera avseenden oklara och svårtolkade. Från vårt perspektiv blir saken dock möjligen enklare, eftersom juridiska och fysiska personer som bedriver verk- samhet i med anställd personal utan vidare bör anses etablerade här. En annan sak är att den omständigheten att person- uppgifts- och arbetsgivaransvaret kan vila på olika subjekt i t.ex. koncernförhållanden kan innebära att den svenska personuppgifts- lagen i vissa fall inte blir tillämplig på behandlingar av person- uppgifter avseende svenska arbetstagare. 5.1.3De allmänna grunderna för tillåtna behandlingar Enligt personuppgiftslagen är det bara tillåtet att behandla person- uppgifter under de förutsättningar som anges i lagen. Lagen bygger således principiellt sett på att det är förbjudet att behandla person- uppgifter, såvida inte behandlingen sker på det sätt och för de syften som lagen ställer upp. De centrala och allmänna reglerna beträffande vilka förutsätt- ningar som gäller för att det ska vara tillåtet att behandla person- uppgifter återfinns i dels en bestämmelse som på ett utförligt sätt anger särskilda och grundläggande kvalitetskrav (9 §), dels i en bestämmelse som uttömmande anger förutsättningarna för att det över huvud taget ska vara tillåtet att behandla personuppgifter (10 §). Som redan framgått är det alltid den personuppgiftsansvarige som ansvarar för att de behandlingar som vidtas är förenliga med lagen. Det bör framhållas att de allmänna regler vi berör i detta avsnitt i princip alltid gäller. Utöver dessa regler måste behandlingar av vissa särskilt integritetskänsliga personuppgifter eller av särskilt integritetskänslig karaktär uppfylla ytterligare krav för att vara tillåtna. Dessa regler kommer vi att beröra i avsnitt 5.1.4–5.1.6. Lagligt, korrekt och i enlighet med god sed Enligt personuppgiftslagen får personuppgifter bara behandlas om det är lagligt, om det sker på ett korrekt sätt och om det sker i enlighet med god sed. Hänvisningen till god sed återfinns inte i dataskyddsdirektivet, utan är en svensk konstruktion. Den ger dock den som ska tillämpa lagen en tydlig fingervisning om att viktiga tolkningsdata är t.ex. myndighetsföreskrifter som utfärdats med stöd av lagen, bransch- regler och hur ansvarsfulla personuppgiftsansvariga i allmänhet beter sig. Det innebär också att vad som är god sed på arbetsmarknaden och som bl.a. kan komma till uttryck i bestämmelser i kollektiv- avtal och Arbetsdomstolens praxis har betydelse när lagen ska tillämpas på arbetslivets område. Särskilda, uttryckligt angivna och berättigade ändamål Personuppgifter får bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Lagens huvudregel är att den registrerade ska informeras om behandlingens ändamål i samband med att upp- gifterna samlas in från denne, eller, om uppgifterna samlas in från annan källa, när de registreras. Det innebär i praktiken att ända- målen med behandlingen måste bestämmas av den personuppgifts- ansvarige innan uppgifterna samlas in och dessutom uttryckas på ett någorlunda preciserat sätt. Det finns inget som hindrar att en behandling kan ha flera ändamål och dessa ändamål behöver inte vara sinsemellan förenliga. Grundkravet är således att den regi- strerade ska känna till för vilka ändamål uppgifter behandlas. Syftet med detta är att ge den registrerade en chans att ta till vara sina rättigheter enligt lagen. Datainspektionen har intagit den ståndpunkten att det inte är tillräckligt att ange kontroller som ändamål för teknisk över- vakning och kontroll, utan att också syftet med åtgärden måste anges, t.ex. övervakning av säkerhetsmässiga skäl eller att följa upp att interna regler följs.19 Hur pass detaljerad en ändamålsangivelse ska vara för att uppfylla lagens krav måste avgöras med hänsyn till omständigheterna i det enskilda fallet. Ledning för den bedömningen bör kunna sökas i det förhållandet att behandlingens ändamål har betydelse vid tillämpningen av en rad bestämmelser i lagen. Ända- målet med behandlingen måste ha en sådan grad av precision att det blir möjligt att tillämpa dessa bestämmelser. Kravet på att ändamålet ska vara berättigat, som ju i praktiken bestäms av personuppgiftslagen och eventuella anknytande register- författningar, har knappast någon självständig betydelse. Personuppgiftslagen skyddar den registrerade mot s.k. ändamåls- glidning, dvs. att uppgifter behandlas för något annat ändamål än det som bestämdes när uppgifterna samlades in. Enligt den s.k. finalitetsprincipen i lagen får nämligen personuppgifter inte behandlas för något ändamål som är oförenligt med det som bestämdes då uppgifterna samlades in. Även att lämna ut uppgifterna till någon 19 Datainspektionens rapport 2005:3 s. 14 och inspektionens beslut , dnr 1897– 2005. annan måste vara förenligt med de ursprungligen bestämda ända- målen. Om flera ändamål har bestämts för behandlingen, kan det nya ändamålet behöva prövas mot samtliga ändamål som gäller för den redan pågående behandlingen. Från integritetsskyddssynpunkt är detta en av de viktigaste bestämmelserna i lagen. Bestämmelsen ger uttryck för ett högt ställt krav på transparens. Den registrerade ska i princip vara till- försäkrad att de personuppgifter som denne inte längre har kon- troll över ska behandlas på ett sätt som inte är oförenligt med de ändamål som angavs när han eller hon förlorade kontrollen över uppgifterna, eller, i de fall uppgifterna hämtats in från någon annan, blev upplyst om behandlingen. Därmed begränsas bl.a. möjligheterna att samköra register med olika ursprungliga ändamål. Det innebär också att den personuppgifts- ansvarige i praktiken måste ha god kännedom om de tekniska systemen och deras användning. Över huvud taget måste den personuppgiftsansvarige ha en översikt och en effektiv struktur för hur personuppgifterna hanteras, eftersom denne i princip måste ha klart för sig vilka behandlingar som pågår och för vilka ändamål det sker. För en arbetsgivare innebär detta att det bör finnas noggrant utarbetade riktlinjer för hur personuppgifter ska hanteras i verksamheten och att det också ofta kan finnas behov av att utse ett personuppgiftsombud. När det gäller prövningen av om ett nytt ändamål är oförenligt med de som gäller för den redan pågående behandlingen hävdade att utgångspunkten för bedömningen bör vara hur en registrerad typiskt sett skulle se på saken. Det blir därmed fråga om en rent hypotetisk bedömning. Uppfattningen hos den person som behandlingen rent faktiskt avser tillmäts inte någon egentlig betydelse. Om en sådan tänkt person, som antas vara en normalbegåvad och någorlunda allmänbildad genomsnitts- person, rimligen har att räkna med att de insamlade uppgifterna också får behandlas för det nya ändamålet, kan detta inte anses vara oförenligt med det ursprungliga.20 Datainspektionen synes ha ställt sig bakom den bedömningen.21 Datainspektionen har också gett uttryck för uppfattningen att personuppgifter som har samlats in för personaladministration inte får användas för t.ex. prestationsmätning.22 Samma sak gäller nog 20SOU 1999:109 s. 160. 21Se Datainspektionens informationsskrift om hur länge personuppgifter får bevaras, s. 8. 22Se Datainspektionens informationsskrift om personuppgifter i arbetslivet, s. 9. vid kontroller av loggar. Om en arbetsgivare t.ex. har angett att ändamålet med en viss loggning är att kontrollera den tekniska funktionen i ett visst system, är det inte tillåtet att senare använda loggarna för att kontrollera arbetstagares prestationer.23 Ett annat exempel på en otillåten hantering kan vara att en arbetsgivare av säkerhetsskäl samlar in uppgifter om arbetstagares hälsotillstånd, för att sedan använda dessa för ändamål som rör befordran.24 Sammanfattningsvis kan sägas att utrymmet att behandla personuppgifter i syfte att övervaka eller kontrollera arbetstagare framstår som litet, om detta ändamål inte har angivits när uppgifterna samlades in. Bedömningen av om det är fråga om en tillåten ändamålsglidning eller inte bör grunda sig på den information den registrerade fick när uppgifterna samlades in och förhållandena i övrigt . Vad som hänt i tiden därefter saknar förmodligen betydelse för bedömningen. Relevans, kvalitet, omfattning och gallringstider Enligt personuppgiftslagen får personuppgifter bara behandlas om uppgifterna är adekvata och relevanta i förhållande till ändamålen med behandlingen. I princip får således inte ovidkommande upp- gifter behandlas. Dessutom ska personuppgifterna vara riktiga. Om det är nödvändigt, ska de också vara aktuella. Den personuppgiftsansvarige måste självmant vidta alla rimliga åtgärder för att rätta, blockera eller utplåna personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behand- lingen. Vad som i det enskilda fallet är att anse som rimliga åtgärder får troligen bedömas i ljuset av behandlingens ändamål, hur många personuppgifter som behandlas och vilka konsekvenser en felaktig eller ofullständig uppgift kan få för den registrerade. Enligt personuppgiftslagen är det dessutom inte tillåtet att behandla fler personuppgifter än vad som är nödvändigt med hänsyn till de angivna ändamålen och uppgifterna får inte heller bevaras än vad som är nödvändigt med hänsyn till de ändamål som ligger till grund för behandlingen. För arbetslivets vidkommande kan noteras att Datainspektionen har ansett att de nu behandlade kraven innebär att det inte är 23Jfr SOU 2002:18 s. 136 och 297. 24Jfr SOU 2002:18 s. 158.