sou · GYB34 · 2011-01-01 00:00:00 — Beträffande 7 § konstaterades vid personuppgiftslagens införande att dataskyddsdirektivet tillåter att nödvändiga undantag görs för all behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande (prop. 1997/98:44 s. 52). Det anmärktes att all journalistisk, konstnärlig eller litterär verksamhet inte har grundlagsskydd, eftersom grundlagsskyddet för tryckfriheten och yttrandefriheten inte avser alla former av yttranden. Emellertid ansågs att de nämnda slagen av verksamhet har så stor betydelse att de måste kunna bedrivas obehindrat och det undantag från den nya lagens hanteringsbestämmelser som dataskyddsdirektivet medger därför borde utnyttjas fullt ut. Undantaget i personuppgiftslagen för behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande ska alltså ses i ljuset av att grundlagsskyddet för tryck- och yttrandefriheten i tryckfrihetsförordningen och yttrandefrihetsgrundlagen inte avser alla former av yttranden. Ett exempel på journalistisk verksamhet som ofta faller utanför grundlagsskyddet är journalistisk verksamhet på Internet som resulterar i yttranden som bara sprids där. I förarbetena till personuppgiftslagen uttalades att seriös journalistik, konstnärlig eller litterär verksamhet är skyddsvärd oavsett genom vilket medium resultatet av verksamheten sprids (prop. 1997/98:44 s. 52). Frågan om vad som utgör behandling av personuppgifter uteslutande för journalistiskt ändamål i enlighet med 7 § andra stycket personuppgiftslagen har prövats av i det s.k. Ramsbro-målet (NJA 2001 s. 409). I målet hade en man inrättat en Bakgrund – handlingsoffentlighet och integritetsskydd webbplats på Internet under namnet Stiftelsen . Åtalet gällde att han på webbplatsen hade lagt ut såväl kränkande som andra personuppgifter. anförde bl.a. att det fick anses vara uppenbart att tolkningen av artikel 9 i dataskyddsdirektivet, som ligger till grund för 7 § andra stycket personuppgiftslagen, ska ske med särskilt beaktande av . Domstolen påpekade att gäller som svensk lag här i landet och att lag eller annan föreskrift inte får meddelas i strid med konventionen enligt 2 kap. 23 § regeringsformen. Vidare konstaterade domstolen att rättigheterna enligt artikel 8 (skydd för privatlivet) och artikel 10 (yttrandefrihet) i i enskilda fall kan komma i konflikt med varandra samt att vid sådana konflikter tillämpar den s.k. proportionalitetsprincipen, vilket innebär att en avvägning görs mellan intresset av skydd för privatlivet och intresset av yttrandefrihet. Domstolen anförde att det får antas att det i personuppgiftslagen beskrivna, på direktivet grundade, undantaget för journalistiska ändamål utgör ett försök att i mer generella termer ge uttryck för en sådan intresseavvägning. Att uttrycket journalistiska ändamål använts kunde under sådana förhållanden enligt domstolen inte antas vara i avsikt att privilegiera etablerade massmedier eller personer som är yrkesverksamma inom sådana medier. noterade att med uttrycket torde snarare få anses vara avsett att betona vikten av en fri informationsspridning i frågor av betydelse för allmänheten eller för grupper av människor och en fri debatt i samhällsfrågor. Sammanfattningsvis fann att det inte var visat annat i målet än att mannens behandling av personuppgifter på den aktuella webbsidan skett uteslutande för journalistiska ändamål. Han skulle därför inte dömas till ansvar för den åtalade gärningen. Av 8 § första stycket personuppgiftslagen följer att bestämmelserna i lagen inte ska tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter. Att så är fallet följer dock redan av den vedertagna principen om grundlags företräde vid konflikt mellan författningar. Bakgrund – handlingsoffentlighet och integritetsskydd Inte heller hindrar personuppgiftslagens bestämmelser att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet (8 § andra stycket personuppgiftslagen). Offentlighetsprincipen enligt 2 kap. tryckfrihetsförordningen innebär bl.a. att myndigheterna är skyldiga att lämna ut offentliga allmänna handlingar till den som begär det. Att personuppgifter lämnas ut med stöd av offentlighetsprincipen är i och för sig att se som en sådan behandling av personuppgifter som omfattas av dataskyddsdirektivet. Utgångspunkten enligt direktivet är att personuppgifter ska samlas in för särskilt, uttryckligt angivna ändamål. Enligt den s.k. finalitetsprincipen får senare behandling av uppgifterna inte ske på ett sätt som är oförenligt med de ändamål för vilka uppgifterna ursprungligen samlades in. Från svenskt håll har förutsättningen vid tillkomsten av personuppgiftslagen varit att en myndighets utlämnande av personuppgifter med stöd av offentlighetsprincipen inte kan anses oförenligt med de ändamål för vilka uppgifterna ursprungligen samlades in. Vidare har det i förarbetena till lagen betonats att personuppgifter enligt dataskyddsdirektivet får behandlas (t.ex. lämnas ut) om det är nödvändigt för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige eller för att fullgöra en arbetsuppgift som är ett led i myndighetsutövning som utförs av den registeransvarige (se vidare avsnitt 3.4.2 om förhållandet mellan dataskyddsdirektivet och den svenska offentlighetsprincipen). har föreslagit en ändring av förtydligande karaktär i bestämmelsen om förhållandet mellan personuppgiftslagens bestämmelser och offentlighetsprincipen (SOU 2004:6 s. 244 ff.). Förslaget innebär att det i lagtexten uttryckligen slås fast att även skyldigheten enligt 2 kap. tryckfrihetsförordningen att söka efter och sammanställa uppgifter omfattas. Utredningen föreslog också ett klargörande om att bestämmelsen i personuppgiftslagen inte innebär någon begränsning av myndighetens befogenhet att göra en sammanställning tillgänglig. Därtill föreslog utredningen att ett tillägg skulle göras så att bestämmelsen skulle omfatta även organ som inte är myndigheter men för vilka offentlighetsprincipen gäller. De förslag som lämnade i dessa delar har ännu inte lett till lagstiftning. Bakgrund – handlingsoffentlighet och integritetsskydd 3.5.4Behandling av personuppgifter i ostrukturerat material I propositionen Översyn av personuppgiftslagen (prop. 2005/06:173) föreslog regeringen en reformering av personuppgiftslagen i syfte att underlätta behandlingen av personuppgifter genom att personuppgiftslagen i viss utsträckning utformas enligt en missbruksmodell. Förslaget grundade sig på betänkande Översyn av personuppgiftslagen (SOU 2004:6). Syftet var att underlätta behandling av personuppgifter i löpande text och annat ostrukturerat material. Förslaget innebar att regleringen inte skulle ta sikte på själva hanteringen av personuppgifterna utan på att uppgifterna inte får missbrukas till skada för någons personliga integritet. Behandling av personuppgifter i ostrukturerat material, t.ex. löpande text och enstaka ljud- och bildupptagningar, skulle enligt propositionen undantas från de flesta av personuppgiftslagens detaljerade hanteringsregler. Sådan behandling skulle vara tillåten utan andra restriktioner än att den registrerades personliga integritet inte får kränkas. Enligt förslaget skulle personuppgiftslagens bestämmelser om skadestånd gälla även för förfaranden i strid med den föreslagna missbruksregeln. Vidare skulle det vara straffbart att i strid med missbruksregeln uppsåtligen eller av grov oaktsamhet behandla känsliga personuppgifter och uppgifter om lagöverträdelser m.m. på ett sätt som kränker den registrerades personliga integritet. Detsamma skulle gälla för den som i strid med missbruksregeln för över personuppgifter till tredje land som saknar en adekvat nivå för skyddet av personuppgifter. Gärningar som begås av oaktsamhet av normalgraden skulle enligt förslaget inte längre vara straffbara. De föreslagna ändringarna i personuppgiftslagen trädde i kraft (prop. 2005/06:173, bet. 2005/06:KU37). Av den nya 5 a § följer därför nu att behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökningen efter eller sammanställningen av personuppgifter inte omfattas av flertalet av de hanteringsregler som anges i personuppgiftslagen. Det som i stället avgör om en sådan behandling är tillåten eller inte är huruvida behandlingen innebär en kränkning av den registrerades personliga integritet – en s.k. missbruksmodell ska tillämpas. Bakgrund – handlingsoffentlighet och integritetsskydd Att hanteringsreglerna inte behöver tillämpas på behandling av personuppgifter i t.ex. löpande text innebär att den som behandlar uppgifterna inte behöver beakta bestämmelserna om grundläggande krav på behandlingen (9 §) eller om när behandling av uppgifter är tillåten (10 §). Inte heller behöver förbuden mot att behandla känsliga personuppgifter (13 §) eller uppgifter om lagöverträdelser m.m. (21 §) iakttas eller de särskilda villkoren för behandling av personnummer (22 §) beaktas. Bestämmelserna om skyldighet att lämna information behöver inte tillämpas (23, 24 och 26 §§) liksom föreskrifterna om rättelse av uppgifter (28 §). Inte heller behöver förbudet mot överföring av personuppgifter till tredje land iakttas (33 §). De behandlingar som omfattas av den nya missbruksregeln är vardaglig hantering som produktion av löpande text i ordbehandlingsprogram, publicering av löpande text på Internet, användning av ljud- och bildupptagningar och korrespondens med e-post under förutsättning att materialet inte ingår i eller ska infogas i en databas med en personuppgiftsanknuten struktur, såsom ett ärendehanteringssystem. När det gäller frågan om när en behandling av personuppgifter i ostrukturerat material innebär en kränkning av den registrerades personliga integritet påpekades i förarbetena att det ligger i sakens natur att tillämpningen av missbruksregeln får bygga på en intresseavvägning där den registrerades intresse av en fredad, privat sfär vägs mot andra motstående intressen i det enskilda fallet (prop. 2005/06:173 s. 27 f.). Bedömningen av vad som är en kränkning ska alltså inte göras schablonartat enbart utifrån vilka uppgifter som behandlas utan måste även ta sin utgångspunkt i t.ex. vilket sammanhang uppgifterna förekommer, för vilket syfte de behandlas, vilken spridning de har fått eller har riskerat att få samt vad behandlingen kan leda till. Om uppgifter samlas in eller annars behandlas med syfte att förfölja eller skandalisera en person, får behandlingen anses innebära en kränkning av den personliga integriteten. Regeringen ansåg att det inte behövdes några särskilda regler till skydd mot angrepp på heder och ära vid just automatiserad behandling av personuppgifter i ostrukturerat material, utan de befintliga reglerna om förtal och förolämpning var tillräckliga även i detta sammanhang (prop. 2005/06:173 s. 28). När det gällde spridning av förtroliga eller djupt personliga uppgifter fanns det enligt regeringen redan i viss utsträckning författningsbestämmel- Bakgrund – handlingsoffentlighet och integritetsskydd ser och etiska regler eller motsvarande som föreskriver tystnadsplikt i fråga t.ex. om uppgifter om personliga förhållanden. Dessa regler kunde sägas ge uttryck för vilka förhållanden som bör hemlighållas. En spridning av personuppgifter som innebär brott mot sådana bestämmelser och riktlinjer borde i de flesta fall anses utgöra en kränkning av den personliga integriteten i missbruksregelns mening. 3.5.5Grundläggande krav på behandling av personuppgifter I 9 § personuppgiftslagen ges vissa grundläggande krav på all behandling av personuppgifter som omfattas av personuppgiftslagen. Dessa krav ska i princip alltid vara uppfyllda när personuppgifter behandlas (jfr de undantag som gäller för behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål). För det första ska den personuppgiftsansvarige, vilken oftast är den organisation där personuppgifterna behandlas, se till att personuppgifter behandlas bara om det är lagligt samt att personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed. Grundprincipen att personuppgifter får behandlas bara när det är lagligt innebär att personuppgifter endast får behandlas under de förutsättningar som anges i personuppgiftslagen eller i annan tillämplig lagstiftning. När det gäller att fastställa vad som är god sed vid behandling av personuppgifter får bl.a. de branschöverenskommelser som finns för vissa slag av behandling stor betydelse. Vidare ska personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. Ändamålet med en behandling av personuppgifter måste bestämmas redan när uppgifterna samlas in. Den personuppgiftsansvarige ska definiera avsikten med insamlingen och användningen av personuppgifterna på ett så precist sätt som möjligt. Personuppgifterna får inte sedan behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (finalitetsprincipen). Det sistnämnda kan bli aktuellt att pröva när personuppgifter lämnas ut till tredje man. Ett sådant utlämnande får alltså inte vara oförenligt med det ändamål för vilket uppgifterna ursprungligen samlades in. Om personuppgifter lämnas ut i form av allmänna handlingar med stöd av bestämmelserna i 2 kap. tryckfrihetsförordningen blir en sådan prövning dock inte aktuell. Bakgrunden till finalitetsprincipen är Bakgrund – handlingsoffentlighet och integritetsskydd att den största anledningen till att behandling av personuppgifter innebär risker för den personliga integriteten är att insamlade personuppgifter används på ett sätt som inte var avsett vid insamlingen. De personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Med detta krav avses att personuppgifterna ska vara av sådant slag att de hör till saken (relevanta) och är ägnade att uppnå det mål man har med behandlingen (adekvata). Inte heller får fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Därutöver ska de uppgifter som behandlas vara riktiga och, om det är nödvändigt, aktuella. Alla rimliga åtgärder ska vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Personuppgifter får inte heller bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. 3.5.6Tillåten behandling av personuppgifter Personuppgiftslagen anger under vilka förutsättningar behandling av personuppgifter är tillåten. Lagen bygger i stor utsträckning på samtycke från den enskilde respektive information till de registrerade. Varje behandling av personuppgifter måste kunna hänföras till någon av de situationer som anges i personuppgiftslagens regler om när behandling av personuppgifter är tillåten. Av 10 § personuppgiftslagen följer att personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för att: a)ett avtal med den registrerade ska kunna fullgöras eller åtgärder som den registrerade begärt ska kunna vidtas innan ett avtal träffas, b)den personuppgiftsansvarige ska kunna fullgöra en rättslig skyldighet, c)vitala intressen för den registrerade ska kunna skyddas (avser i vart fall sådant som är livsviktigt för den registrerade, se SOU 1997:39 s. 361), d)en arbetsuppgift av allmänt intresse ska kunna utföras, Bakgrund – handlingsoffentlighet och integritetsskydd e)den personuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut ska kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller f)ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten (se en närmare beskrivning av denna intresseavvägning nedan). Kravet är alltså att någon av förutsättningarna i paragrafen ska vara uppfyllda för att personuppgifter ska få behandlas. Det är emellertid inte alltid tillåtet att utföra en behandling bara för att någon av de situationer som anges i denna regel är uppfylld. Behandling av vissa slag av personuppgifter, t.ex. känsliga personuppgifter, förutsätter att ytterligare förutsättningar är uppfyllda. Det finns också särskilda regler för behandling av personuppgifter om lagöverträdelser som innefattar brott, för behandling av personnummer, för överföring av personuppgifter till tredje land samt i fråga om behandling av personuppgifter för ändamål för direkt marknadsföring. Enligt 11 § personuppgiftslagen får inte personuppgifter behandlas för ändamål som rör direkt marknadsföring, om den registrerade hos den personuppgiftsansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling. Inte heller får personuppgifter behandlas i de fall där behandling bara är tillåten när den registrerade har lämnat sitt samtycke och han eller hon har återkallat detta (12 §). Utöver vad som följer av 11–12 §§ har den enskilde ingen rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt personuppgiftslagen. Bestämmelser om i vilka fall information om behandling av personuppgifter ska lämnas till den enskilde finns i 23–29 §§ och föreskrifter om säkerheten vid behandling av personuppgifter finns i 30–32 §§. Bakgrund – handlingsoffentlighet och integritetsskydd Närmare om behandling av personuppgifter efter en intresseavvägning Enligt 10 § f personuppgiftslagen får alltså personuppgifter behandlas om det är nödvändigt för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Det kan här vara frågan om ett berättigat intresse hos både en juridisk som en fysisk person. Endast då behandlingen avser uppgifter om sådana registrerade vars intresse inte väger lika tungt som den personuppgiftsansvariges, eller den tredje mans intresse till vilken uppgifterna lämnas ut, får behandling av personuppgifter äga rum. Det är vanligt att en intresseavvägning med stöd av 10 § f sker då företag vill behandla personuppgifter för kommersiella ändamål. Efter en helhetsbedömning i det enskilda fallet får det då avgöras om företagets intresse av att använda uppgifterna för kommersiellt bruk väger över den registrerades intresse av att personuppgifterna inte behandlas. Förutom när personuppgifter behandlas med stöd av samtycke eller för direkt marknadsföring har den registrerade inte någon generell rätt att motsätta sig en behandling som är tillåten. Om en registrerad meddelar att han eller hon vill slippa fortsatt behandling väger dock den registrerades intresse av att slippa behandlingen som regel över den personuppgiftsansvariges intresse av att utföra den. Tillämpningen av sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen aktualiserar ofta en intresseavvägning i enlighet med 10 § f personuppgiftslagen (se t.ex. RÅ 2001 ref. 68 och RÅ 2002 ref. 54). Enligt 36 § omfattas behandling av personuppgifter som är helt eller delvis automatiserad av anmälningsskyldighet. Den personuppgiftsansvarige ska göra en skriftlig anmälan till tillsynsmyndigheten (Datainspektionen) innan en sådan behandling, eller en serie av sådana behandlingar med samma eller liknande ändamål, genomförs. Anmälan behöver dock inte göras om det finns ett person- Bakgrund – handlingsoffentlighet och integritetsskydd uppgiftsombud (37 §). Vidare gäller ytterligare undantag enligt personuppgiftsförordningen och enligt föreskrifter meddelade av Datainspektionen, allt i syfte att minimera en onödig byråkrati. Regeringen får emellertid meddela föreskrifter om att sådana behandlingar av personuppgifter som innebär särskilda risker för otillbörligt intrång i den personliga integriteten ska anmälas till tillsynsmyndigheten i förväg för förhandskontroll (41 §). Om regeringen har meddelat sådana föreskrifter, gäller inte undantaget från anmälningsskyldigheten enligt 37 §. Enligt 14 § är det generellt sett förbjudet att behandla känsliga personuppgifter. Med känsliga uppgifter avses ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i en fackförening eller uppgifter som rör hälsa eller sexualliv (13 §). Från förbudet att behandla känsliga personuppgifter finns vissa undantag. Sålunda är det tillåtet att behandla känsliga personuppgifter om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna (15 §). Även om uttryckligt samtycke inte föreligger får enligt 16 § personuppgifter behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra sina skyldigheter inom arbetsrätten, den registrerades eller någon annans vitala intressen ska kunna skyddas och den registrerade inte kan lämna sitt samtycke, eller rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. Undantag från kravet på uttryckligt samtycke gäller även vid behandling inom ideella organisationer (17 §) och inom hälso- och sjukvården (18 §). Vidare finns ett undantag som gäller behandling av känsliga personuppgifter inom området för forskning och för statistikändamål (19 §). Enligt 20 § får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om ytterligare undantag från förbudet att behandla känsliga personuppgifter, om det behövs med hänsyn till ett viktigt allmänt intresse. Bakgrund – handlingsoffentlighet och integritetsskydd 3.5.9Behandling av personuppgifter för direkt marknadsföring Då personuppgifter behandlas för ändamål som rör direkt marknadsföring gäller en särskild regel för behandlingen. Enligt 11 § personuppgiftslagen får behandlingen inte äga rum om den registrerade hos den personuppgiftsansvarige skriftligen har anmält att han eller hon motsätter sig en sådan behandling. En effekt av denna möjlighet att motsätta sig att personuppgifter behandlas för direkt marknadsföring är att den registrerade som inte har gjort en sådan anmälan har att räkna med att han eller hennes intresse kommer att väga ganska lätt jämfört med den personuppgiftsansvariges kommersiella intressen. 3.5.10Överföring av personuppgifter till tredje land Enligt 33 § personuppgiftslagen är det förbjudet att till tredje land, dvs. ett land utanför EU eller ESS, föra över personuppgifter som är under behandling, om landet inte har en adekvat nivå för skydd av personuppgifter. Förbudet omfattar även överföring av personuppgifter för behandling i tredje land. Förbudet gäller i princip alla slag av personuppgifter och är alltså inte begränsat till exempelvis kategorierna känsliga personuppgifter eller uppgifter om lagöverträdelser. Frågan om skyddsnivån är adekvat ska bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt ska läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen ska pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i tredje landet. Paragrafen fick sin nuvarande lydelse (prop. 1999/2000:11 och bet. 1999/2000:KU7). Den tidigare lydelsen ansågs innebära ett mer strikt överföringsförbud som också träffade uppgifter som inte alls var känsliga från integritetssynpunkt och som knappast behövde något särskilt skydd. Reglerna ansågs medföra en oönskad begränsning av möjligheten att använda sig av modern informationsteknik (se t.ex. bet. 1998/99:KU15).