sou · GYB34 · 2011-01-01 00:00:00 — Trots förbudet i 33 § är det enligt 34 § tillåtet att under vissa förutsättningar föra över uppgifter till tredje land men det förutsätter antingen att den registrerade gett sitt samtycke till över- Bakgrund – handlingsoffentlighet och integritetsskydd föringen eller att överföringen är nödvändig bl.a. för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras eller att vitala intressen för den registrerade ska kunna skyddas. Vidare är det tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till dataskyddskonventionen. Regeringen får meddela föreskrifter om ytterligare undantag från förbudet mot överföring. Enligt 35 § första stycket personuppgiftslagen får regeringen meddela undantag från förbudet när överföringen sker till vissa stater. Regeringen har i 13 § personuppgiftsförordningen (1998:1191) utnyttjat sin behörighet i detta avseende och föreskrivit att personuppgifter får föras över till tredje land om och i den utsträckning har konstaterat att landet har en adekvat nivå för skyddet av personuppgifter. Vilka dessa är framgår av en bilaga till personuppgiftsförordningen. Vidare anges i 35 § andra stycket personuppgiftslagen att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från förbudet att föra över personuppgifter till tredje land, om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Av tredje stycket framgår att undantag får medges också i enskilda fall. Regeringen har genom 14 § personuppgiftsförordningen bemyndigat Datainspektionen att meddela föreskrifter om undantag om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Det är vanligt att personuppgifter som behandlas på Internet kommer att överföras till länder utanför EU- eller ESS-området. Bestämmelserna i 33 § personuppgiftslagen om överföring av personuppgifter till tredje land aktualiseras då. Uppgifterna kan bli tillgängliga var som helst i världen även i länder som helt kan sakna skydd för enskildas personliga integritet. Fram till avgörande i det s.k. konfirmandlärarmålet (dom i mål C-101/10) var den allmänna uppfattningen att det är frågan om överföring av personuppgifter till tredje land redan när personuppgifter görs allmänt tillgängliga på Internet genom att de t.ex. läggs ut på en hemsida. I konfirmandlärarmålet har dock EU- domstolen kommit fram till att så inte alltid är fallet. I målet hade en konfirmandlärare lagt ut information på en hemsida om en kollega som var deltidssjukskriven på grund av en fotskada. I förhandsavgörandet från gavs svar på ett antal Bakgrund – handlingsoffentlighet och integritetsskydd frågor från en svensk domstol om tillämpningen av dataskyddsdirektivet på Internet. konstaterade att de uppgifter om konfirmandläraren som fanns på hemsidan utgjorde personuppgifter och att lägga ut personuppgifterna ifråga på en hemsida utgjorde behandling av desamma enligt dataskyddsdirektivet. Enligt domstolen blev undantaget för privat behandling av personuppgifter inte tillämpligt då det enligt domstolen var tämligen uppenbart att en behandling som består i att personuppgifter offentliggörs på Internet i syfte att göra dessa uppgifter tillgängliga för en obestämd krets av personer inte ryms under undantaget. I ovan redovisade delar kom inte domstolens avgörande att avvika från den tidigare uppfattningen om dataskyddsdirektivets innebörd. Beträffande tillämpningen av förbudet mot överföring av personuppgifter till tredje land resonerade emellertid utifrån förutsättningarna vid dataskyddsdirektivets tillkomst, vid då Internet inte alls hade den spridning som . Domstolen utgick från att det inte kunde presumeras att avsikten med att skriva in uppgifter på en hemsida på Internet var att åtgärden skulle omfattas av begreppet överföring av uppgifter till tredje land. I fallet med konfirmandläraren konstaterade domstolen att överföringsreglerna inte blev tillämpliga på åtgärderna att skriva in de aktuella personuppgifterna på hemsidan. Domstolen uttalade att det inte var frågan om någon överföring i överföringsreglernas mening när en person som befinner sig i en medlemsstat lägger ut personuppgifter på en hemsida som är lagrad hos den som tillhandahåller honom servicetjänster, vilken är etablerad i samma medlemsstat eller i en annan medlemsstat, varvid uppgifterna blir åtkomliga för alla som kan koppla upp sig mot Internet inklusive personer i tredje land. Det är något oklart hur långt dessa uttalanden av sträcker sig. Exempelvis är det ovisst hur situationen ska bedömas för en person som i stället själv bedriver en webbplats. Personuppgifter får enligt personuppgiftslagen inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen (9 § första stycket i). Dock får personuppgift bevaras om det görs för historiska, statistiska eller Bakgrund – handlingsoffentlighet och integritetsskydd Personuppgifterna får emellertid i sådana fall inte bevaras än vad som behövs för dessa ändamål (9 § tredje stycket). Reglerna om bevarande av uppgifter i personuppgiftslagen hindrar inte att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet (8 § andra stycket). Dessa bevarande- och gallringsregler – liksom flertalet av andra hanteringsregler i personuppgiftslagen – behöver dock inte tillämpas vid behandling av personuppgifter i ostrukturerat material, t.ex. löpande text. Sådan behandling är tillåten utan andra restriktioner än att den registrerades personliga integritet inte får kränkas (5 a §). Enligt 48 § personuppgiftslagen ska den personuppgiftsansvarige ersätta den registrerade för sådan skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med personuppgiftslagen har orsakat. Om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne, kan ersättningsskyldigheten jämkas i den utsträckning det är skäligt. Bestämmelserna om skadestånd i personuppgiftslagen har karaktären av specialbestämmelser som tar över de allmänna skadeståndsreglerna i skadeståndslagen (1972:207). Skadeståndsansvaret omfattar personuppgiftsansvariga inom både den privata och den offentliga sektorn. Bestämmelserna innebär en rätt till ekonomisk kompensation för själva kränkningen förutom rätt till ersättning för personskada, sakskada och ren förmögenhetsskada. De huvudsakliga sanktionerna vid överträdelse av personuppgiftslagen är, som framgått ovan, skadestånd och vite. Till böter eller fängelse döms emellertid enligt 49 § första stycket den som uppsåtligen eller av grov oaktsamhet: a)lämnar osann uppgift i information eller anmälan enligt lagen, b)behandlar personuppgifter i strid med bestämmelserna om känsliga personuppgifter eller uppgifter om lagöverträdelser m.m., c)för över personuppgifter till tredje land i strid med 33–35 §§, d)låter bli att göra en anmälan om behandling till tillsynsmyndigheten, Bakgrund – handlingsoffentlighet och integritetsskydd e)behandlar sådana personuppgifter som avses i 13 och 21 §§ i strid med 5 a § andra stycket, eller f)i strid med 5 a § andra stycket för över personuppgifter till tredje land som inte har en sådan adekvat nivå för skyddet av personuppgifterna som avses i 33 §. Om brottet är grovt är straffet fängelse i högst . är inte längre gärningar som utgör ringa fall straffbara. Ändringen hade samband med den tidigare redovisade uppmjukningen av förbudet mot överföring av personuppgifter till tredje land. Registerförfattningarna har till huvudsakligt syfte att reglera inrättandet och användningen av viktigare register inom den offentliga sektorn. Den bakomliggande tanken är att myndighetsregister med ett stort antal registrerade och med ett känsligt innehåll ska regleras särskilt genom lag. Registerförfattningarna reglerar myndigheternas behandling av personuppgifter i huvudsakligt syfte att skydda enskildas personliga integritet. Registerförfattningarna är tänkta att ge ett anpassat integritetsskydd vid myndighetens hantering av personuppgifter då behov finns att avvika från eller komplettera det integritetsskydd som personuppgiftslagen annars ger. har myndigheternas hantering av särskilt integritetskänsliga eller kontroversiella dataregister reglerats genom lag eller förordning. Exempel på detta är den särskilda reglering som funnits kring det statliga person- och adressregistret, Spar, samt register hos domstolar och hos polisen. Den största andelen registerförfattningar härstammar dock från 1990- talet och framåt. Det finns uppskattningsvis runt 200 registerförfattningar med bestämmelser om behandling av personuppgifter till komplettering av personuppgiftslagen. En fullständig överblick över alla nu gällande registerförfattningar saknas dock. Delvis hör den bristande överblicken samman med att en s.k. registerförfattning kan ta sig många olika uttryck. Vissa författningar har enbart bestämmelser om myndigheters informationsbehandling. Andra författningar har en del bestämmelser om informationsbehandling, men också om annat. Bakgrund – handlingsoffentlighet och integritetsskydd handlar i huvudsak om något annat, men har någon enstaka inskjuten regel om hantering av information. En utgångspunkt vid utarbetandet av registerförfattningar är att regleringen så långt som möjligt ska vara i överensstämmelse med personuppgiftslagen och därmed med dataskyddsdirektivets materiella bestämmelser. Behovet av särregler bör övervägas noga och en särskild författningsreglering ska bara tillämpas om det finns beaktansvärda skäl för det (, Särskilda registerförfattningar, till , s. 694 f.). En omständighet som kan tala för en särreglering i förhållande till personuppgiftslagen är att en särskild författning under vissa förutsättningar anses innebära en bättre garanti för utformningen av integritetsskyddet vad gäller särskilt känsliga register. Sådan författningsreglering av personregister har skett utifrån det principiella ställningstagandet att myndighetsregister med ett stort antal registrerade personer och ett integritetskänsligt innehåll bör regleras särskilt i lag. Exempel på fall då en särskild författningsreglering i form av en registerförfattning kan anses motiverad är när en nödvändig behandling av personuppgifter över huvud taget inte är tillåten enligt personuppgiftslagen, när personuppgiftslagen visserligen reglerar ett visst förhållande men det finns anledning att avvika från eller precisera den regleringen, när personuppgiftslagens bestämmelser kan ge upphov till tolkningsproblem och det finns anledning att ha tydliga bestämmelser, när det finns anledning att begränsa möjligheterna till behandling av uppgifter av integritetsskäl i fråga om myndigheters registrering och åtkomst till stora och känsliga uppgiftsmängder, eller när det finns anledning att vara särskilt tydlig gentemot allmänheten, t.ex. i fråga om vilka uppgifter om enskilda som en myndighet registrerar. Registerförfattningar kan utformas antingen som lag eller förordning. För det fall det finns skyldigheter för enskilda att bidra med uppgifter till registret kommer förhållandet mellan enskilda och det allmänna att beröras och avse ingrepp i enskildas personliga förhållanden. Regler med denna innebörd är av sådant slag som avses i 8 kap. 3 § regeringsformen och ska därför meddelas genom lag. Regeringen och har därtill vid olika tillfällen uttalat att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras särskilt i lag, även om det inte är nödvändigt med lagform enligt grundlagen (prop. 1997/98:44 s. 41 och bet. 1997/98:KU18 s. 43 samt prop. 1990/91:60 s. 50 och Bakgrund – handlingsoffentlighet och integritetsskydd 1990/91:KU11 s. 11). Likaledes i de fall då det är möjligt för andra myndigheter att ta del av uppgifter i ett register genom s.k. direktåtkomst har uttryckt att de integritetsrisker som ett tillåtande av direktåtkomst innebär bör medföra att frågan regleras i lag (bet. 2001/02:KU3). Utgångspunkten vid tillkomsten av en registerförfattning är att bestämmelserna i personuppgiftslagen ska gälla för den aktuella registreringen jämte de särbestämmelser som kan behövas. Frågan uppkommer dock i regel hur bestämmelserna i personuppgiftslagen ska infogas i det nya regelverket. Olika lösningar har därvid valts. En modell har varit att i den författning som reglerar behandling av personuppgifter i en viss verksamhet över huvud taget inte nämna personuppgiftslagen. Det innebär att personuppgiftslagens bestämmelser utan vidare kommer att vara tillämpliga, i den mån den särskilda författningen inte innehåller avvikande bestämmelser (jfr 2 § personuppgiftslagen). En liknande modell, som ger samma effekt, är att i den särskilda författningen ange att den gäller utöver personuppgiftslagen. Den modellen används i bl.a. polisdatalagen (1998:622).9 En nackdel med en sådan lösning är att det kan vara svårt att överblicka vilka bestämmelser i personuppgiftslagen som är tillämpliga. En annan modell, som valts för Försvarsmakten och , är att ha en heltäckande reglering och upprepa de bestämmelser i personuppgiftslagen som ska gälla (prop. 2006/07:46; SFS 2007:258 och 2007:259). Fördelen med en sådan lösning är att tillämparen snabbt får klart för sig vilka bestämmelser som gäller utan att behöva gå till personuppgiftslagen. En nackdel är dock att det i viss mån blir fråga om en dubbelreglering eftersom personuppgiftslagens bestämmelser ändå gäller om inget annat anges. En annan nackdel är att lagen blir omfattande. Ytterligare en lösning har valts i lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet. Lagen innehåller, utöver de bestämmelser som avviker från personuppgiftslagen, en hänvisning till de lagrum i personuppgiftslagen som ska vara tillämpliga. Fördelarna med en sådan koppling till personuppgiftslagen är att lagstiftningen blir mer överskådlig, tydlig och lättillämpad jämfört med om inga hänvisningar görs till person- 9 I propositionen Integritet och effektivitet i polisens brottsbekämpande verksamhet (prop. 2009/10:85) lämnas förslag till en ny lag om behandling av personuppgifter i polisens brottsbekämpande verksamhet. Den föreslagna lagen ska ersätta den nuvarande polisdatalagen samt gälla i stället för personuppgiftslagen och innehålla hänvisningar till de bestämmelser i personuppgiftslagen som ska vara tillämpliga i polisens brottsbekämpande verksamhet. Bakgrund – handlingsoffentlighet och integritetsskydd undviks en omfattande dubbelreglering. I de fall de särbestämmelser som behövs utöver personuppgiftslagen är förhållandevis få kan skäl tala för att den nya lagen bör begränsas till att avse just dessa särbestämmelser. I annat fall ska alltså personuppgiftslagen tillämpas. Denna teknik har bl.a. använts i patientdatalagen (2008:355) samt i den föreslagna lagen om register för personuppgifter vid vissa händelser i utlandet (se Ds 2009:12). Vissa registerförfattningar innehåller även bestämmelser om metoden för utlämnande av elektronisk information genom bestämmelser om direktåtkomst eller utlämnande på medium för automatiserad behandling. Den tekniska utvecklingen har emellertid lett till att skillnaderna mellan det som traditionellt betecknas som direktåtkomst och annat utlämnande på automatiserad väg har blivit så små att det ibland kan vara svårt att dra en gräns mellan dessa utlämnandemetoder (se t.ex. prop. 2007/08:160 s. 58). Trots dessa oklarheter finns det anledning att närmare beröra de två huvudsakliga metoderna för utlämnande av uppgifter i elektronisk form eftersom begreppen är ofta förekommande i registerförfattningar. Kommittén återkommer därför nedan till denna fråga. 3.6.1Närmare om den rättsliga regleringen En registerförfattning innehåller bl.a. bestämmelser om vilka uppgifter myndigheten får samla in och behandla i sina register, samt för vilka ändamål detta får ske. Registerförfattningen utgör således en reglering av hur myndigheten får handskas med sin information. Den behandling av uppgifter som bestämmelserna i en registerförfattning medger ska tillgodose myndighetens behov av information, som en gräns ska sättas för rätten att behandla information bortom denna punkt. Det vanligaste är att de särskilda registerförfattningarna gäller för samma slags behandling som personuppgiftslagen omfattar. Detta innebär behandling som helt eller delvis är automatiserad eller annan behandling, dvs. behandling, som avser personuppgifter som ingår i eller är avsedda att ingå i register. De uppgifter som behandlingen i registerförfattningarna åsyftar är till största delen personuppgifter i enlighet med definitionen i personuppgiftslagen. Det förkommer dock att registerförfattningar även Bakgrund – handlingsoffentlighet och integritetsskydd omfattar uppgifter om avlidna personer och juridiska personer (jfr 3 § personuppgiftslagen). Den behandling av uppgifter som omfattas av en registerförfattning gäller vid behandling i en viss myndighets, eller vissa myndigheters, verksamhet av ett visst slag (t.ex. beskattningsverksamhet eller folkbokföringsverksamhet). Registerförfattningarna innehåller regelmässigt bestämmelser om ändamålen med den ifrågavarande behandlingen. Det är vanligt att ändamålen delas in i primära och sekundära ändamål. De primära ändamålen avser myndighetens eget behov av att behandla uppgifter. Det kan t.ex. handla om att handlägga de ärenden som ankommer på myndigheten. De sekundära ändamålen avser myndighetens utlämnande av personuppgifter för att tillgodose andras behov. Exempelvis kan ett sekundärt ändamål vara tillhandahållande av information för pensionsberäkningar. Därutöver innehåller registerförfattningar ofta bestämmelser om vilka sökbegrepp myndigheten får använda när den hämtar uppgifter ur sina register och databaser. Sökbegreppen begränsar myndighetens möjlighet och skyldighet att ställa samman personuppgifter (2 kap. 3 § tredje stycket tryckfrihetsförordningen, se vidare avsnitt 3.7). I vissa fall reglerar författningarna också på vilket sätt informationen får lämnas ut (i pappersform eller elektroniskt) och metoden för utlämnandet (genom direktåtkomst eller på medium för automatiserad behandling). Vidare föreskriver i regel registerförfattningen vad som ska ske med uppgifterna i registret när myndigheten inte längre behöver dem. 3.6.2Särskilt om elektroniskt utlämnande av information Myndigheter är som påpekats tidigare enligt 2 kap. 13 § tryckfrihetsförordningen inte skyldiga att, i större utsträckning än vad som följer av lag, lämna ut en upptagning för automatiserad behandling i annan form än utskrift. Myndigheten kan dock välja att som en ren serviceåtgärd lämna ut handlingar i elektronisk form via exempelvis e-post. Begränsningar av möjligheten att lämna ut uppgifter elektroniskt föreskrivs emellertid i vissa registerförfattningar. Det förekommer t.ex. att utlämnande av uppgifter i elektronisk form till enskilda begränsas. Bakgrund – handlingsoffentlighet och integritetsskydd Begränsningar rörande formen för utlämnande (på papper eller elektroniskt) syftar – i likhet med begränsningarna av tillåtna sökbegrepp – till att skydda den personliga integriteten. Utlämnande på papper anses i viss utsträckning kunna förhindra att utlämnade uppgifter brukas för sådan obehörig dataregistrering som medför intrång i den personliga integriteten. Den bakomliggande tanken är att det är mera omständligt att skapa en databas genom att hämta uppgifter från pappershandlingar, särskilt om databasen ska uppdateras kontinuerligt vilket t.ex. kan vara fallet vid kommersiellt utnyttjande. Personuppgiftslagen säger inget om formen för utlämnande av personuppgifter, inte heller om metoden för utlämnande (utlämnande på medium för automatiserad behandling eller direktåtkomst). Sådana utlämnandeföreskrifter återfinns i stället i registerförfattningarna, vilka dels kan föreskriva om och när en viss uppgift över huvud taget får lämnas ut i elektronisk form och i så fall om det får ske genom utlämnande på medium för automatiserad behandling eller via direktåtkomst till uppgifterna. I princip har det överlämnats till regeringen att genom förordning bestämma närmare om förutsättningarna för elektroniskt utlämnande av myndighetsinformation. I 25 § lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet anges dock direkt att det är tillåtet med elektroniskt utlämnande av enstaka personuppgifter på medium för automatiserad behandling, exempelvis via e-post. Ett exempel – behandling av uppgifter i beskattningsdatabasen Ett exempel på en registerförfattning som reglerar frågan om elektroniskt utlämnande är lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet. I lagen anges även ändamålen med behandling av uppgifter i beskattningsverksamheten och de begränsningar som gäller för användningen av dessa. Vidare föreskrivs att uppgifter ur beskattningsdatabasen får lämnas ut till enskild på medium för automatiserad behandling endast om regeringen har meddelat föreskrifter om det. Så har skett i förordningen (2001:588) om behandling av uppgifter i beskattningsverksamhet. I förordningen anges närmare i vilka fall det är tillåtet för myndigheten att lämna uppgifter om exempelvis namn och personnummer Bakgrund – handlingsoffentlighet och integritetsskydd till enskild på medium för automatiserad behandling (9–15 §§). Uppgifter får med stöd av dessa bestämmelser lämnas ut på medium för automatiserad behandling till bl.a. arbetsgivare eller uppdragsgivare samt till den som har tillstånd att bedriva kreditupplysningsverksamhet. Ytterligare ett exempel – behandling av uppgifter i katastrofregistret Ett aktuellt exempel på en registerförfattning vilken föreslås reglera frågan om elektroniskt utlämnande av information är en föreslagen lag om registrering av personuppgifter vid katastrofer utomlands. I departementspromemorian Registrering av personuppgifter vid katastrofer utomlands (Ds 2009:12) har lämnats förslag till en lag om register för personuppgifter vid vissa händelser i utlandet.10 Det bakomliggande syftet är att det ska finnas en möjlighet att registrera uppgifter om personer som har drabbats av, eller kan befaras ha drabbats av, bl.a. allvarliga katastrofer utomlands. Lagen föreslås träda i kraft . Den nya lagen har tagits fram bl.a. för att komma till rätta med de brister som framkommit när det gäller informationshanteringen vid allvarliga katastrofer utomlands och för att klargöra ansvarsfördelningen mellan berörda myndigheter. Förslaget innebär att kan fatta beslut om att ska inleda en registrering av personuppgifter i samband med att en sådan händelse har inträffat och som har drabbat eller kan befaras ha drabbat ett stort antal personer med anknytning till . Syftet med förslaget är i första hand att underlätta berörda myndigheters arbete med att söka efter och identifiera de som är drabbade samt att underlätta arbetet med att på olika sätt hjälpa och bistå dessa personer. Ett annat syfte är att förbättra möjligheten att förse anhöriga och andra med relevanta uppgifter. Den föreslagna regleringen innebär en avvägning mellan å ena sidan intresset av att ett effektivt hjälparbete kan utföras och det därmed sammanhängande behovet av informationsutbyte, och å andra sidan intresset av att den enskilde skyddas från intrång i den personliga integriteten. 10 Förslaget i departementspromemorian har remissbehandlats och bereds inom . Bakgrund – handlingsoffentlighet och integritetsskydd Lagen tillåter, utan hänsyn till den registrerades inställning, en behandling av de personuppgifter som behövs för att uppfylla registrets ändamål.