sou · GZB320 · 2011-03-15 00:00:00 — Det bör noteras att 28 § personuppgiftslagen endast gäller korrigering av personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen. Detta innebär bl.a. att korrigering enligt paragrafen inte kan ske vid brott mot bestämmelser i s.k. särskilda register- författningar, som enligt 2 § gäller framför personuppgiftslagen. I de fall det krävs enligt dataskyddsdirektivet måste således de särskilda registerförfattningarna innehålla egna bestämmelser om korrigering eller en hänvisning till denna paragraf (jfr prop. 1997/98:136 s. 78 och 97). 2008/09:16 s. 49 har framhållits att det i förordningen (1997:902) om register över strafförelägganden och i förordningen (1997:903) om register över förelägganden om ordningsbot, inte finns några regler om rättelse eller någon hänvisning till person- uppgiftslagens bestämmelse i denna del. I övriga författningar om enskilda register finns hänvisningar till personuppgiftslagens rättelseregel. Vi anser mot bakgrund härav att – för att svensk rätt fullt ut ska motsvara dataskyddsrambeslutets bestämmelser i artikel 18 samt för att erhålla en likformighet i utformningen av de svenska författningarna – nya paragrafer ska införas i nämnda förordningar, med angivande att personuppgiftslagens bestämmelse om rättelse ska tillämpas. Artikel 25 i dataskyddsrambeslutet innehåller bestämmelser om nationella tillsynsmyndigheter och har följande lydelse. 1.Varje medlemsstat ska se till att det utses en eller flera myndigheter med uppgift att inom dess territorium vägleda och övervaka tillämpningen av de bestämmelser som medlemsstaterna antagit i enlighet med detta rambeslut. Dessa myndigheter ska vara fullt oberoende när de fullgör sina åligganden. 2.Varje tillsynsmyndighet ska framför allt ha a)utredande befogenheter, som befogenhet att få tillgång till uppgifter som blir föremål för behandling och befogenhet att samla in all information som är nödvändig för att utföra tillsynen, b)faktisk befogenhet att ingripa, som till exempel att kunna avge yttranden innan en behandling äger rum, att se till att sådana yttranden Rättelse, tillsyn, skadestånd, sanktioner och överklagande i lämplig omfattning offentliggörs, att kunna besluta om blockering, radering eller förstöring av uppgifter, att kunna besluta om tillfälligt eller definitivt förbud mot behandling, att kunna ge den registeransvarige en varning eller tillrättavisning eller att kunna hänskjuta frågor till nationella parlament eller andra politiska institutioner, c) befogenhet att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av detta rambeslut har överträtts eller att uppmärksamma de rättsliga myndigheterna på dessa överträdelser. Beslut av tillsynsmyndigheten, som ger upphov till klagomål bör kunna överklagas till domstol. 3.Var och en ska kunna vända sig till tillsynsmyndigheten med en begäran om skydd för sina fri- och rättigheter med avseende på behandling av personuppgifter. Den berörda personen ska informeras om vilka följder hans begäran har fått. 4.Medlemsstaterna ska föreskriva att tillsynsmyndighetens ledamöter och personal ska vara bundna av de för respektive behörig myndighet gällande dataskyddsbestämmelserna och ha tystnadsplikt med avseende på konfidentiell information som de har tillgång till även sedan deras uppdrag eller anställning upphört. Enligt artikel 10 punkten 2 ska den nationella tillsynsmyndigheten få tillgång till registrering och dokumentation som rör behandlingen av personuppgifter. I dataskyddsrambeslutet finns även bestämmelser i artikel 23 om föregående samråd med nationella tillsynsmyndigheter i vissa fall (se avsnitt 14.2.5). Artikel 28 i dataskyddsdirektivet omfattar regler om tillsyns- myndighet och har följande lydelse. 1.Varje medlemsstat skall tillse att det utses en eller flera myndigheter som har till uppgift att inom dess territorium övervaka tillämpningen av de bestämmelser som medlemsstaterna antar till följd av detta direktiv. Dessa myndigheter skall fullständigt oberoende utöva de uppgifter som åläggs dem. 2.Varje medlemsstat skall tillse att tillsynsmyndigheten hörs när sådana lagar eller andra författningar utarbetas som rör skyddet av enskilda personers fri- och rättigheter med avseende på behandlingen av personuppgifter. 3.Varje tillsynsmyndighet skall särskilt ha Rättelse, tillsyn, skadestånd, sanktioner och överklagande –undersökningsbefogenheter, såsom befogenhet att få tillgång till uppgifter som blir föremål för behandling och befogenhet att inhämta alla uppgifter som är nödvändiga för att sköta tillsynen, –effektiva befogenheter att ingripa, som till exempel att kunna avge yttranden i enlighet med artikel 20 innan en behandling äger rum, och se till att sådana yttranden i lämplig omfattning offentliggörs, att kunna besluta om blockering, utplåning eller förstöring av uppgifter, att kunna besluta om tillfälligt eller slutligt förbud mot behandling, att kunna ge den registeransvarige varning eller tillrättavisning eller att kunna hänvisa saken till nationella parlament eller till andra politiska institutioner, –befogenhet att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av detta direktiv har överträtts eller att uppmärksamma de rättsliga myndigheterna på dessa över- trädelser. Sådana beslut av tillsynsmyndigheten som går en part emot kan överklagas till domstol. 4.Var och en kan, på egen hand eller företrädd av en organisation, vända sig till tillsynsmyndigheten med begäran om skydd för sina fri- och rättigheter med avseende på behandling av personuppgifter. Den berörda personen skall informeras om vilka följder hans begäran har fått. Var och en kan i samband med tillämpningen av de nationella bestämmelser som har antagits med stöd av artikel 13 i detta direktiv till tillsynsmyndigheten ge in en begäran om att få kontrollera om en behandling är tillåten. Den berörda personen skall informeras om vilka följder hans begäran har fått. 5.Varje tillsynsmyndighet skall regelbundet upprätta en rapport om sin verksamhet. Denna rapport skall offentliggöras. 6.En tillsynsmyndighet har, oavsett vilken nationell lagstiftning som gäller för den aktuella behandlingen, behörighet att inom sin egen medlemsstats territorium utöva de befogenheter som i enlighet med punkt 3 åligger den. Varje myndighet kan av en myndighet i en annan medlemsstat anmodas att utöva sina befogenheter. De övervakande myndigheterna skall i den utsträckning som det behövs samarbeta med varandra, särskilt genom att utbyta användbar information. 7.Medlemsstaterna skall föreskriva att tillsynsmyndighetens ledamöter och personal, även sedan deras anställning upphört, skall ha tystnadsplikt med avseende på förtrolig information som de har tillgång till. Dataskyddsrambeslutets bestämmelser motsvarar det som anges i artikel 28 punkterna 1–2 samt del av punkten 3 i dataskydds- direktivet ovan. Rättelse, tillsyn, skadestånd, sanktioner och överklagande 14.2.3Personuppgiftslagen (1998:204) Dataskyddsdirektivets bestämmelser har genomförts i svensk rätt genom reglerna om tillsynsmyndighetens befogenheter i 43–47 §§ personuppgiftslagen. Dessa paragrafer har följande lydelse. har rätt att för sin tillsyn på begäran få a)tillgång till de personuppgifter som behandlas, b)upplysningar om och dokumentation av behandlingen av personuppgifter och säkerheten vid denna, och c)tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. Om tillsynsmyndigheten inte efter begäran enligt 43 § kan få tillräckligt underlag för att konstatera att behandlingen av personupp- gifter är laglig, får myndigheten vid vite förbjuda den person- uppgiftsansvarige att behandla personuppgifter på något annat sätt än genom att lagra dem. Om tillsynsmyndigheten konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt, skall myndigheten genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. Går det inte att få rättelse på något annat sätt eller är saken brådskande, får myndigheten vid vite förbjuda den personuppgifts- ansvarige att fortsätta att behandla personuppgifterna på något annat sätt än genom att lagra dem. Om den personuppgiftsansvarige inte frivilligt följer ett beslut om säkerhetsåtgärder enligt 32 § som vunnit laga kraft, får tillsyns- myndigheten föreskriva vite. Innan tillsynsmyndigheten beslutar om vite enligt 44 eller 45 §, skall den personuppgiftsansvarige ha fått tillfälle att yttra sig. Om saken är brådskande, får myndigheten dock i avvaktan på yttrandet meddela ett tillfälligt beslut om vite. Det tillfälliga beslutet skall omprövas, när yttrandetiden har gått ut. Ett vitesföreläggande skall delges den personuppgiftsansvarige. Delgivning enligt 12 § delgivningslagen (1970:428) får användas bara om det finns skäl att anta att den personuppgiftsansvarige har avvikit eller på annat sätt håller sig undan. får hos förvaltningsrätten inom vars domkrets tillsynsmyndigheten är belägen ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt ska utplånas. Rättelse, tillsyn, skadestånd, sanktioner och överklagande Datainspektionen är enligt 2 § personuppgiftsförordningen (1998:1191) tillsynsmyndighet angående personuppgiftslagens bestämmelser. Mot bakgrund av vad som anförts ovan kommer således Datainspektionen att utöva tillsyn över behandlingen av person- uppgifter som omfattas av dataskyddsrambeslutet. Det kan noteras att – som ett komplement till Datainspektionen – () också har vissa tillsynsuppgifter angående bl.a. Säkerhetspolisens personuppgifts- behandling enligt 1 § lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet. ska nämnden även utöva tillsyn över polisens behandling av personuppgifter enligt polisdatalagen (2010:361) och lagen (2010:362) om polisens allmänna spanings- register. Tillsynen ska särskilt avse sådan behandling som avses i 2 kap. 10 § polisdatalagen och 12 § lagen om polisens allmänna spaningsregister, dvs. behandling av känsliga personuppgifter. 14.2.4Jämförelse mellan EU-rätt och svensk rätt Vår bedömning: Artikel 25 i dataskyddsrambeslutet föranleder inte någon ändring i lag eller förordning. Bestämmelserna i 43-47 §§ personuppgiftslagen om tillsynsmyndighetens befogenheter (se avsnitt 14.2.3) uppfyller enligt vår mening kraven i artikel 25 i dataskyddsrambeslutet. Artikeln föranleder därför inte någon ändring i lag eller förordning. 14.2.5Föregående samråd med tillsynsmyndigheten Vår bedömning: Artikel 23 i dataskyddsrambeslutet föranleder inte någon ändring i lag eller förordning. Artikel 23 i dataskyddsrambeslutet reglerar frågan om föregående samråd och har följande lydelse. Medlemsstaterna ska sörja för att de behöriga nationella tillsynsmyndigheterna rådfrågas före behandling av personuppgifter när nya behandlingssystem inrättas om Rättelse, tillsyn, skadestånd, sanktioner och överklagande a)särskilda uppgiftskategorier enligt artikel 6 behandlas, eller om b)behandlingens typ, särskilt användning av ny teknik, nya mekanismer eller förfaranden, i övrigt innebär särskilda risker för registrerades grundläggande fri- och rättigheter och framför allt deras rätt till privatliv. I dataskyddsrambeslutet finns således, enligt vad som anges ovan, inte något uttryckligt krav på att en anmälan för förhandskontroll av tillsynsmyndigheten ska ske av särskilt integritetskänsliga behandlingar (jfr artikel 20 i dataskyddsdirektivet). 2008/09:16 s. 54 har framhållits att artikel 23 endast innehåller förpliktelser av sådana slag som anges i artikel 28 punkten 2 i dataskyddsdirektivet, dvs. regler om att varje medlems- stat ska se till att tillsynsmyndigheten hörs när sådana lagar eller andra författningar utarbetas som rör skyddet av enskilda personers fri- och rättigheter med avseende på behandlingen av personuppgifter. Förhandskontrollen ska således endast tolkas så att medlems- staterna ska ge en nationell tillsynsmyndighet möjlighet att yttra sig i ett lagstiftningsärende. Reglerna ovan åligger alltså inte medlemsstaterna att ha ett system med obligatorisk förhands- kontroll av enskilda register. Å andra sidan finns inte regler som hindrar medlemsstaterna att införa sådana strängare regler (jfr prop. 2008/09:16 s. 54). Vi gör motsvarande bedömning som redogjorts i förarbetena. Skäl att föreslå ändringar eller tillägg i svensk rätt med anledning av artikel 23 i dataskyddsrambeslutet föreligger mot bakgrund härav inte. Artikel 19 dataskyddsrambeslutet reglerar rätt till ersättning och har följande lydelse. Var och en som lidit skada till följd av en otillåten behandling av personuppgifter eller av någon annan åtgärd som är oförenlig med de nationella bestämmelser som antagits till följd av detta rambeslut ska ha rätt till ersättning för den skada han lidit av den registeransvarige eller av en annan ansvarig myndighet enligt nationell lagstiftning. Rättelse, tillsyn, skadestånd, sanktioner och överklagande Om den behöriga myndigheten i en medlemsstat överför person- uppgifter kan mottagaren inte åberopa det faktum att de överförda uppgifterna varit felaktiga för att undgå det ansvar som denne i enlighet med den nationella lagstiftningen har gentemot den skade- lidande. Om mottagaren utbetalar skadestånd för en skada som vållats av att felaktigt överförda uppgifter kommit till användning ska den överförande behöriga myndigheten ersätta mottagaren det skadestånd som utbetalats men därvid ta med i beräkningen eventuella felaktigheter som kan ha begåtts av mottagaren. Av artikeln framgår således att den, som har lidit skada till följd av en otillåten behandling av personuppgifter eller någon annan åtgärd som är oförenlig med nationell lagstiftning, ska ha rätt till ersättning av den registeransvarige, eller av en annan myndighet, för den skada som han eller hon har lidit. Vad gäller översända uppgifter kan mottagaren inte åberopa att dessa var felaktiga för att på detta sätt undgå ansvar. Mottagaren kan dock i vissa fall ha regressrätt mot den översändande för det skadestånd som har betalats ut. Av artikel 23 dataskyddsdirektivet framgår under rubriken ansvar följande. 1.Medlemsstaterna skall föreskriva att var och en som lidit skada till följd av en otillåten behandling eller av någon annan åtgärd som är oförenlig med de nationella bestämmelser som antagits till följd av detta direktiv, har rätt till ersättning av den registeransvarige för den skada som han har lidit. 2.Den registeransvarige kan helt eller delvis undgå detta ansvar om han bevisar att han inte är ansvarig för den händelse som orsakade skadan. Punkten 1 ovan motsvarar delvis det som finns angivet i data- skyddsrambeslutet. Enligt punkten 2 kan den personuppgiftsansvarige helt eller delvis befrias från ersättningsskyldigheten om han eller hon bevisar att han eller hon inte var ansvarig för den händelse som orsakade skadan (jfr även punkt 55 i ingressen till dataskyddsdirektivet). Rättelse, tillsyn, skadestånd, sanktioner och överklagande 14.3.3Personuppgiftslagen (1998:204) Regeln i dataskyddsdirektivet finns införd i svensk rätt genom 48 § personuppgiftslagen som har följande innehåll. Den personuppgiftsansvarige skall ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med denna lag har orsakat. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas, om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Denna bestämmelse omfattar således varje typ av skada eller kränkning av den personliga integriteten orsakad genom en behandling i strid med reglerna i personuppgiftslagen eller föreskrifter som har meddelats med stöd av den lagen. Det är den personuppgiftsansvarige som ska ersätta den registrerade. Skadestånd kan komma ifråga vid varje brott mot lagen och utgår trots att ingen har skadats fysiskt eller ekonomiskt och trots att den personuppgiftsansvarige inte haft uppsåt att göra fel eller varit försumlig vid behandlingen. Bakgrunden till denna reglering är att bestämmelsen om skadestånd, precis som enskildas rättigheter i övrigt enligt lagen – rätt till information och rättelse m.m. – har till syfte att skydda människor mot kränkning av den personliga integriteten genom behandling av personuppgifter (jfr prop. 1997/98:44 s. 106 och SOU 1997:39 s. 432). De svenska skadeståndsbestämmelserna måste betecknas som strängare än vad som krävs enligt dataskyddsdirektivet (jfr prop. 1999/2000:40 s. 37 f.). I likhet med vad som gäller de rättsliga möjligheterna att få information eller att få uppgifter rättade, gäller rätten till skadestånd endast fysiska personer. En juridisk person får i stället i den ordning som gäller för statlig verksamhet i allmänhet vända sig till Justitiekanslern – eller till allmän domstol – om den juridiska personen anser att behandling av uppgifter inom myndigheten i fråga har vållat skada. I huvudsak motsvarar således svensk rätt de krav som ställs genom dataskyddsrambeslutets bestämmelser om rätt till ersättning. Enligt paragrafens andra stycke kan skadeståndet i vissa fall jämkas. Någon motsvarande bestämmelse finns inte i dataskydds- rambeslutet (se vidare avsnitt 14.3.5 nedan). Rättelse, tillsyn, skadestånd, sanktioner och överklagande I princip samtliga författningar i svensk rätt som är berörda av dataskyddsrambeslutet innehåller hänvisningar till personuppgifts- lagens skadeståndsbestämmelser (se nedan avsnitt 14.3.6). Vår bedömning: regressanspråk är att se som ett folk- rättsligt åtagande som inte föranleder någon ändring i lag eller förordning. Frågan bör ses över i ett annat större sammanhang. Artikel 19 punkten 2 i dataskyddsrambeslutet reglerar möjligheten till regressrätt mellan stater. Varken dataskyddsdirektivet – som enbart reglerar förhållandet mellan det allmänna och enskilda – eller personuppgiftslagen innehåller några bestämmelser i dessa delar. Regeringen har i propositionen 2008/09:16 – Godkännande av dataskyddsrambeslutet i denna del anfört att staternas skyldighet beträffande regressanspråk är att se som ett folkrättsligt åtagande som därmed inte kräver några lagstiftningsåtgärder, men att det kan finnas anledning att i ett lämpligt sammanhang överväga en reglering av formerna för handläggningen av sådana regresskrav. Vi gör i denna del motsvarande bedömning som den som redogjorts för i propositionen, men konstaterar att frågan om sådana regresskrav bör ses över i ett större övergripande sammanhang. Denna frågeställning föranleder därför inte några förslag i betänkandet. 14.3.5Personuppgiftslagens jämkning av skadestånd Vår bedömning: Bestämmelserna i artikel 19 punkten 2 i data- skyddsrambeslutet föranleder inte någon ändring av reglerna om jämkning av skadeståndet enligt 48 § andra stycket person- uppgiftslagen (1998:204). Skyldigheten till ersättning kan, enligt 48 § andra stycket person- uppgiftslagen, jämkas. Detta innebär att ersättningsskyldigheten helt kan komma att falla bort eller sättas ner delvis. Rättelse, tillsyn, skadestånd, sanktioner och överklagande SOU 2011:20 Jämkningen sker i den utsträckning det är skäligt om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Vad som är skäligt eller inte är en fråga som vid en rättslig prövning ska bedömas i varje enskilt fall av domstol. I de fall där jämkningsbestämmelsen inte kan användas därför att den personuppgiftsansvarige inte har förmått visa att felet inte berodde på honom eller henne, har lagrådet framhållit att jämkningsbestämmelserna i skadeståndslagen bör kunna tillämpas (prop. 1997/98:44 s. 243 och s. 144). 2008/09:16 s. 56 ställs frågan om reglerna om jämkning av skadeståndsansvar i svensk rätt till fullo är förenliga med dataskyddsrambeslutets bestämmelser. Enligt artikel 19 punkten 2 i dataskyddsrambeslutet kan regress- ansvar mot en utländsk myndighet aktualiseras (jfr avsnitt 13.3.4 ovan). Vid skälighetsbedömningen bör man, enligt doktrinen (/; Personuppgiftslagen, en kommentar, tredje upplagan, s. 449), beakta följande. Staten framstår som en enda enhet även när den agerar genom olika myndigheter. Motsvarande synsätt bör gälla vid uppgiftslämnandet inom en privat koncern eller liknande. Om en huvudman har splittrat sin verksamhet på olika enheter med eget personuppgiftsansvar, bör man vid skälighetsbedömningen som regel se till att den splittringen inte får några negativa effekter i skadeståndshänseende för den registrerade. Det är mera osäkert hur skälighetsbedömningen i övrigt bör utfalla vid uppgiftslämnande mellan stat och kommun och landsting. 2008/09:16 s. 56 har regeringen – mot bakgrund härav – anfört att detta torde regelmässigt medföra att jämkning inte kommer ifråga. I propositionen framhålls dock vidare att frågan om det finns andra situationer i vilka jämkning skulle kunna aktualiseras på ett sätt som inte är förenligt med rambeslutet, bör utredas närmare. Jämkningsreglernas räckvidd har tidigare diskuterats. I nämnda kommentar till personuppgiftslagen (/s. 437) anges följande. Det förhållandet att varje litet brott mot lagen för med sig ersättningsskyldighet har i någon mån parerats genom möjligheten att jämka ersättningsskyldigheten för den som bevisligen är oskyldig. Den jämkningsmöjligheten är emellertid inte särskilt långtgående. Rättelse, tillsyn, skadestånd, sanktioner och överklagande ifrågasatte t.ex. om inte EG-direktivet innebär att ersättnings- skyldigheten faktiskt skall jämkas i den utsträckning den person- uppgiftsansvarige bevisligen är oskyldig (prop. 1997/98:44 s. 243). Regeringen vidhöll dock sin inställning att det enligt EG-direktivet är tillåtet att ålägga även den som är bevisligen oskyldig full ersättningsskyldighet (prop. s. 107). Se härtill också prop. 1997/98:160 s. 247 f. och 137 f. I sammanhanget kan framhållas att i det s.k. Bodil- målet anfört att sanktionsåtgärder alltid måste stå i överens- stämmelse med proportionalitetsprincipen och att det i enlighet med den principen ankommer på de nationella domstolarna att beakta alla omständigheter, bl.a. överträdelsen av reglerna har pågått och hur viktigt det är för de berörda att de uppgifter som har spritts skyddas (dom i mål C-101/01, 2003 s. I-12971). Även med de i dataskyddsrambeslutet angivna regress- möjligheterna finner vi inte skäl att föreslå några ändringar eller tillägg angående reglerna om jämkning av skadeståndet enligt 48 § andra stycket personuppgiftslagen. 14.3.6Särskilt om vissa förordningar i svensk rätt Våra förslag: Nya paragrafer ska införas, dels i förordningen (1997:902) om register över strafförelägganden, dels i för- ordningen (1997:903) om register över förelägganden av ordningsbot, vari det anges att bestämmelserna i person- uppgiftslagen (1998:204) om skadestånd ska tillämpas vid behandling av personuppgifter enligt respektive förordning. Det som ovan anförts om att det inom i princip samtliga av dataskyddsrambeslutet berörda områden sker en hänvisning till 48 § personuppgiftslagen gäller dock inte i förordningen (1997:902) om register över strafförelägganden och förordningen (1997:903) om register över förelägganden av ordningsbot. 2008/09:16 s. 56 har, angående dessa förordningar, anförts följande. När det gäller förordningarna --- torde bestämmelserna om skadestånd i respektive sektorslag inte vara tillämpliga, eftersom de bestäm- melserna tar sikte på behandling i strid med bestämmelser i respektive lag. Det kan också ifrågasättas om statens allmänna skadeståndsansvar Rättelse, tillsyn, skadestånd, sanktioner och överklagande enligt skadeståndslagen är tillräckligt. Om uppgifter som finns i registret eller tillförs registret kan förväntas överföras eller göras tillgängliga på det sätt som avses i rambeslutet kan det alltså finnas anledning att överväga behovet av författningsändringar. Med hänsyn till att regleringen finns i förordning torde dock eventuella kompletteringar kunna göras på förordningsnivå.