sou · GYB34 · 2011-01-01 00:00:00 — För skyddet av personuppgifter föreslog att dataskyddsdirektivet skulle genomföras i svensk lagstiftning genom en ny lag benämnd persondatalagen. Den av föreslagna lagen – som fick namnet personuppgiftslagen (1998:204) – trädde i kraft och ersatte då den tidigare gällande datalagen (1973:289). Personuppgiftslagen följer i huvudsak dataskyddsdirektivets text och disposition (se vidare avsnitt 3.5). Syftet med dataskyddsdirektivet är att skapa en gemensam, hög nivå på integritetsskyddet, för att därmed möjliggöra ett fritt flöde av personuppgifter medlemsländerna emellan. En bakomliggande tanke är också att en harmoniserad lagstiftning på detta område bidrar till att undanröja hinder för den inre marknadens förverkligande. Medlemsstaterna får inom den ram som ges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma. Dessa preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. Dataskyddsdirektivet är tillämpligt på all behandling av personuppgifter och således också på register, dock endast på sådana register som är sökbara utifrån särskilda kriterier (artikel 3). Direktivet är däremot inte tillämpligt på sådan behandling av personuppgifter som faller utanför gemenskapsrätten – t.ex. den som gäller allmän säkerhet, statens säkerhet eller statens verksamhet på straffrättens område – och inte heller på register för personligt bruk. Behandling av personuppgifter för journalistiska, konstnärliga och litterära ändamål undantas från direktivets materiella bestämmelser. Personuppgifter får enligt dataskyddsdirektivet endast samlas in för särskilda, uttryckligt angivna och berättigade ändamål och uppgifterna får inte senare användas på ett sätt som är oförenligt med ursprungsändamålet – den s.k. finalitetsprincipen. Enligt dataskyddsdirektivet får personuppgifter behandlas endast när samtycke lämnats, när det är nödvändigt för att fullgöra ett avtal i vilket den registrerade är part, när det finns en i författning reglerad förpliktelse att behandling av uppgifterna ska ske, när Bakgrund – handlingsoffentlighet och integritetsskydd det är nödvändigt för att skydda den enskildes grundläggande intressen, när det är nödvändigt att utföra en arbetsuppgift i det allmännas intresse eller slutligen, om det i övrigt skett en intresseavvägning som resulterat i att behandling av personuppgifter ska få ske. Känsliga uppgifter som uppgifter om ras, religion, politisk åsikt, facklig tillhörighet, hälsotillstånd etc. får som utgångspunkt inte behandlas. Dock gäller vissa undantag bl.a. vid den enskildes uttryckliga samtycke, för ideella föreningars medlemsregister, för hälso- och sjukvårdens administration och vid författningsreglerade skyldigheter. Medlemsstaterna ska vidare enligt direktivet bestämma på vilka villkor nationella identifikationsnummer får behandlas. Dataskyddsdirektivet föreskriver att när personuppgifter samlas in ska de registrerade informeras om bl.a. vem som är registeransvarig och vad uppgifterna ska användas till. All behandling av personuppgifter ska enligt huvudregeln i dataskyddsdirektivet anmälas till en tillsynsmyndighet. Medlemsstaten kan dock genom bransch- och sektorsreglering eller motsvarande från anmälningsskyldigheten undanta sådan behandling av personuppgifter som inte kränker enskildas fri- och rättigheter. Behandling av personuppgifter som innebär särskilda integritetsrisker får enligt direktivet inte förekomma utan att tillsynsmyndigheten först har kontrollerat en sådan behandling. Överföring av personuppgifter till ett tredje land får i princip endast ske om det mottagande landet har en acceptabel skyddsnivå. 3.4.2Dataskyddsdirektivets förenlighet med den svenska offentlighetsprincipen I förarbetena till personuppgiftslagen anförde regeringen att den i förhandlingarna rörande dataskyddsdirektivet hade agerat hårt för att få till stånd sådana lösningar att direktivet inte stod i motsättning till offentlighetsprincipen (prop. 1997/98:44 s. 43). För att undanröja alla eventuella oklarheter vid tolkningen av direktivets förenlighet med offentlighetsprincipen togs på svenskt initiativ in en klausul i direktivets ingress (skäl 72) som enligt regeringens uppfattning gjorde det möjligt att ta hänsyn till offentlighetsprincipen när direktivets bestämmelser genomförs i nationell rätt. Regeringen ansåg således att de svenska ansträng- Bakgrund – handlingsoffentlighet och integritetsskydd ningarna hade varit framgångsrika. Enligt regeringens bedömning fanns i det antagna direktivet inte någon bestämmelse som inte gick att förena med den svenska offentlighetsprincipen. delade regeringens uppfattning (bet. 1997/98:KU18). Vid riksdagsbehandlingen framhöll dock att det enligt EU:s rättsordning är som är exklusivt behörig att göra auktoritativa uttalanden om innebörden av . Först genom prövning kan man därför veta hur direktivet egentligen ska tolkas och tillämpas (a. bet. s. 27). När det gäller frågan om direktivets förenlighet med offentlighetsprincipen är det framför allt följande artiklar i direktivet som är av intresse att studera. För det första ska personuppgifter enligt artikel 6 i dataskyddsdirektivet samlas in för särskilda, uttryckligt angivna och berättigade ändamål, och senare behandling av uppgifterna får i princip inte ske på ett sätt som är oförenligt med de ändamål för vilka uppgifterna ursprungligen samlades in. I propositionen om införandet av personuppgiftslagen anförde regeringen med anledning härav att en myndighets utlämnande av personuppgifter med stöd av offentlighetsprincipen inte kunde anses vara oförenligt med de ändamål för vilka uppgifterna ursprungligen samlades in (prop. 1997/98:44 s. 44). Regeringen påpekade att offentlighetsprincipen framgår av grundlagen och får anses utgöra en integrerad del av all förvaltningsverksamhet som myndigheterna ägnar sig åt. Vidare får enligt artikel 7 i direktivet personuppgifter behandlas bl.a. om det är nödvändigt för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige eller för att fullgöra en arbetsuppgift som ett led i en myndighetsutövning. Regeringen anförde med anledning av denna bestämmelse att en myndighets utlämnande av personuppgifter är tillåtet också enligt den aktuella artikeln, eftersom de registeransvariga myndigheterna är rättsligt förpliktade att följa bl.a. grundlagsreglerna om utlämnande av allmänna handlingar och utlämnandet är också ett led i deras myndighetsutövning (prop. 1997/98:44 s. 44). Dataskyddsdirektivet innehåller vidare i artikel 8 ett principiellt förbud mot behandling av känsliga personuppgifter. Det är dock tillåtet att av hänsyn till ett viktigt allmänt intresse göra undantag från förbudet, om det finns lämpliga skyddsåtgärder (artikel 8.4). I propositionen anförde regeringen med anledning av föreskrifterna i artikel 8 att det är ett viktigt allmänt intresse att utlämnanden av allmänna handlingar kan ske enligt offentlighetsprincipen (prop. Bakgrund – handlingsoffentlighet och integritetsskydd 1997/98:44 s. 44). Regeringen framhöll att de svenska sekretessbestämmelserna medför att sådana känsliga personuppgifter som avses i artikeln inte kommer att lämnas ut om den enskilde kan skadas eller drabbas negativt av utlämnandet. Sekretessbestämmelserna fick enligt regeringens mening anses utgöra sådana lämpliga skyddsåtgärder som avses i dataskyddsdirektivet. I direktivet finns också bestämmelser om informationsplikt. När information om en viss person samlas in från den berörde själv ska enligt artikel 10 den information lämnas som är nödvändig för att tillförsäkra den registrerade en korrekt behandling, exempelvis information om mottagarna och eller de kategorier som mottar uppgifterna. Information behöver dock inte lämnas i den utsträckning den registrerade redan känner till informationen. I artikel 11.1 finns motsvarande bestämmelser för det fallet att personuppgifter har samlats in från något annat håll än från den berörde själv. I proposition 1997/98:44 anförde regeringen att den myndighet som samlar in personuppgifter inte kan lämna information om till vilka personer uppgifterna kan komma att lämnas ut, eftersom offentlighetsprincipen innebär att var och en kan få ut icke sekretessbelagda personuppgifter och att den som får uppgifterna i princip har rätt att vara anonym (s. 44 f.). Regeringen erinrade om att information däremot kan lämnas om att uppgifterna kan komma att lämnas ut enligt offentlighetsprincipen till den som begär det. Enligt regeringens uppfattning får de registrerade härigenom – på det sätt som direktivet kräver – information om till vilka kategorier av mottagare som uppgifterna kan komma att lämnas ut. Regeringen anförde att eftersom utlämnande enligt offentlighetsprincipen föreskrivits i svensk grundlag, kan det vidare förutsättas att allmänheten redan känner till att så kan ske. Därför torde det enligt regeringen inte vara nödvändigt att lämna särskild information i detta avseende. Därutöver påpekade regeringen att det enligt artikel 13.1 i direktivet är tillåtet för medlemsstaterna att göra nödvändiga undantag från bl.a. bestämmelserna i artikel 6.1, 10 och 11 med hänsyn till skyddet av den registrerades eller andras fri- och rättigheter. Regeringen ansåg att rätten för var och en att få ta del av allmänna handlingar som inte är sekretessbelagda med stöd av den grundlagsfästa offentlighetsprincipen är en sådan rättighet som kan göra det befogat med undantag (prop. 1997/98:44 s. 45). Lagrådet var däremot inte övertygat om att dataskyddsdirektivet gick att förena med offentlighetsprincipen (prop. Bakgrund – handlingsoffentlighet och integritetsskydd s. 234). Enligt Lagrådets mening framstod de tolkningar som regeringen gjorde av de ovan berörda artiklarna som pressade. Efter att ha erinrat om direktivets övergripande syfte konstaterade att den svenska offentlighetsprincipen torde gå väsentligt längre än vad som gäller i de flesta EU-länder. En tillämpning av denna princip på personuppgifter medför således en lägre nivå vad gäller skydd för den personliga integriteten än i andra medlemsländer. Mot denna bakgrund var det enligt Lagrådets mening inte sannolikt att skulle godta en tolkning av direktivet i den riktning som regeringen hade gjort. Lagrådet anförde att det således föreligger en påtaglig risk för att domstolen skulle finna offentlighetsprincipen oförenlig med dataskyddsdirektivet. Regeringen delade dock inte Lagrådets farhågor (prop. 1997/98:44 s. 45 f.) Regeringen framhöll att det rör sig om en svensk grundlagsskyddad rättighet med lång tradition. Den svenska offentlighetsprincipens starka ställning och grundläggande betydelse för det svenska förvaltningssystemet var enligt regeringen väl känd i de övriga medlemsstaterna. Regeringen anförde att direktivet förändrades på flera punkter av särskilt stor betydelse för frågan om förhållandet till offentlighetsprincipen under det förhandlingsarbete som ägde rum efter att blivit medlem i EU. Det var också av betydelse, noterade regeringen, att förändringarna till stor del föranletts av den svenska inställningen och att förändringarna alltså syftade till att göra det möjligt för medlemsstaterna att förena regler om skydd för personuppgifter med en offentlighetsprincip. Detta hade enligt regeringen särskilt tydligt manifesterats i skäl 72 i ingressen. Regeringen påpekade vidare att också i samband med förhandlingarna som resulterade i Amsterdamfördraget hårt hade drivit frågan om ökad öppenhet inom EU. Den bedömning som regeringen redovisat rörande tolkningen av olika artiklar i direktivet var enligt regeringens mening, särskilt mot bakgrund av förklaringen om offentlighetsprincipen i direktivets ingress, ytterst välgrundad. Regeringen anförde att det därför inte fanns anledning att anta att vid en eventuell prövning av frågan skulle se saken på ett annat sätt. Vid riksdagsbehandlingen hemställde ett enigt konstitutionsutskott att skulle avslå två motioner från enskilda riksdagsledamöter där avslag yrkades på regeringens proposition (bet. 1997/98:KU18 s. 57). Kammaren biföll utskottets hemställan (prot. 1997/98:91). Samtliga riksdagspartier ställde sig alltså bakom Bakgrund – handlingsoffentlighet och integritetsskydd regeringens förslag att personuppgiftslagen skulle införas. Däremot förekom reservationer till hemställan när det gällde vissa enskilda frågor med anledning av regeringens proposition. Bland annat förekom reservationer som gällde frågan om offentlighetsprincipens förenlighet med EU-direktivet. I propositionen Godkännande av Dataskyddsrambeslutet (prop. 2008/09:16) föreslår regeringen att ska godkänna ett inom Europeiska unionen upprättat rambeslut om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete – det s.k. Dataskyddsrambeslutet.7 har beslutat att godkänna rambeslutet (bet. 2008/09:JuU7).8 Rambeslut förpliktar medlemsstaterna att behandla sådana uppgifter som utbyts mellan staterna på de nämnda områdena på visst sätt. Det innehåller bestämmelser som avser att förstärka skyddet av information vid behandling av personuppgifter som överförs. Rambeslutet utgör, när det gäller dataskydd, ett komplement till andra instrument om informationsutbyte inom ramen för polisiärt och straffrättsligt samarbete. Rambeslutet innehåller bestämmelser om allmänna utgångspunkter för behandlingen av personuppgifter, behandling av känsliga personuppgifter, rättelse, radering och gallring av personuppgifter, information till den registrerade samt skadestånd och sanktioner. I stora delar motsvarar rambeslutet det s.k. dataskyddsdirektivet, vilket har genomförts i svensk rätt genom personuppgiftslagen. Rambeslutet innehåller härutöver bl.a. särskilda skyddsbestämmelser avsedda att begränsa möjligheterna att behandla utbytta personuppgifter. I propositionen gör regeringen en preliminär bedömning av vilka lagändringar som kan bli nödvändiga med anledning av rambeslutet. Propositionen innehåller inga lagförslag. Frågan om det eventuella behovet av lagändringar i med anledning av rambeslutet är under beredning i . 7Rådet antog rambeslutet (2008/977/RIF) . 8Riksdagen beslutade att godkänna det som då fortfarande var ett utkast till rambeslut. Bakgrund – handlingsoffentlighet och integritetsskydd Dataskyddsdirektivet har alltså genomförts i svensk rätt genom personuppgiftslagen (1998:204). Bestämmelserna i personuppgiftslagen har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Det har ansetts att användningen av datateknik kräver en viss skyddsreglering på grund av de särskilda integritetsproblemen som tekniken medför genom möjligheterna att enkelt sammanställa och sprida information. Att en sådan skyddsreglering ska finnas föreskrivs i 2 kap. 3 § andra stycket regeringsformen där det stadgas att varje medborgare, i den utsträckning som närmare angives i lag, ska skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehandling. Både den tidigare datalagen och den nu gällande personuppgiftslagen utgör en generellt tillämplig skyddsreglering som gäller både för myndigheter och enskilda som behandlar personuppgifter. Rent privat behandling av personuppgifter har traditionellt varit undantagen denna skyddslagstiftning. Personuppgiftslagen är subsidiär i förhållande till annan lag eller förordning (2 §). Vid lagens införande anfördes att det traditionella svenska systemet med särregler i särskilda författningar var att föredra framför generella undantag från den nya lagen (prop. 1997/98:44 s. 41). I lagens förarbeten framhölls också att det inte fanns anledning att avvika från det tidigare uttalade målet att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras särskilt i lag genom s.k. registerförfattningar (jfr prop. 1990/91:60 s. 50 och bet. 1990/91:KU11 s. 11). Personuppgiftslagen, som i huvudsak följer dataskyddsdirektivets text och disposition, omfattar all helt eller delvis automatiserad behandling av personuppgifter (5 § första stycket). Personuppgiftslagen är teknikoberoende i den meningen att den i fråga om automatiserad behandling inte begränsas till dataregister. All automatiserad behandling omfattas, alltså även personuppgifter som framgår av bilder och ljud. Begreppet register saknar vidare betydelse för personuppgiftslagens tillämpning på behandling av Bakgrund – handlingsoffentlighet och integritetsskydd personuppgifter som helt eller delvis är automatiserad. Det avgörande är att personuppgifterna är föremål för automatiserad behandling, inte om de är ordnade i ett register eller inte. Det är vidare tillräckligt att behandlingen av personuppgifter delvis är automatiserad för att den ska falla under personuppgiftslagens bestämmelser. Om uppgifter samlas in manuellt och sedan behandlas automatiserat är även insamlandet ett slag av behandling som omfattas av personuppgiftslagen. På samma sätt faller ett utlämnande genom utskrifter från ett automatiserat register under personuppgiftslagens bestämmelser. Personuppgiftslagen gäller även för register med personuppgifter som är strukturerade eller ordnade så att de är sökbara på person (5 § andra stycket). För att personuppgiftslagen ska vara tillämplig på register krävs det i princip att det finns uppgifter samlade om fler än en person. Vidare måste det gå att söka bland uppgifterna i samlingen. De särskilda sökkriterierna ska avse enskilda personer. Alltså kommer inte ett manuellt register som visserligen innehåller personuppgifter, men som inte är sökbart med hjälp av någon personuppgift, att omfattas av personuppgiftslagen. Personuppgifterna ifråga måste också vara sorterade enligt något slags system. Det krävs vidare att någon form av förberedelse eller bearbetning har ägt rum för att personuppgifter i ett antal dokument ska kunna anses ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Tillgängligheten måste ha skapats genom något särskilt arrangemang för sökning bland uppgifterna, t.ex. kortregister eller sökmarkörer. Sökning av personuppgifter ska kunna ske på ett effektivare sätt än genomgång och granskning dokument för dokument (RÅ 2001 ref. 35). I 3 § personuppgiftslagen definieras vissa i lagen använda begrepp. Några av dessa berörs nedan. Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Enligt dataskyddsdirektivet är en person identifierbar om han eller hon kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans eller hennes fysiska, fysiologiska, psykiska, Bakgrund – handlingsoffentlighet och integritetsskydd ekonomiska, kulturella eller sociala identitet. För att avgöra om en person är identifierbar ska alla hjälpmedel beaktas som i syfte att identifiera personen rimligen kan komma att användas antingen av den personuppgiftsansvarige eller av någon annan (/, Personuppgiftslagen i praktiken, 2007, s. 47). Det krävs inte att den personuppgiftsansvarige själv ska förfoga över samtliga uppgifter som gör identifieringen möjlig. Exempel på personuppgifter är personnummer, registreringsnummer för fordon, kundnummer och lägenhetsnummer. Personuppgifter kan vara uppgifter av objektiv och subjektiv karaktär. Krypterade uppgifter är också personuppgifter så länge någon kan göra dem läsbara och därmed identifiera individer (/, Personuppgiftslagen i praktiken, 2007, s. 47). Personuppgiftslagens bestämmelser omfattar i princip inte juridiska personer. Detta gäller även om den juridiska personen endast ägs av en person eller har ett namn som innefattar ett personnamn (/, Personuppgiftslagen – En kommentar, 2007, s. 73). Begreppet behandling av personuppgift är ett vitt begrepp och omfattar varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte. Exempel på behandling av personuppgifter är insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Personuppgiftsansvarig är det företag, myndighet eller organisation eller fysisk person som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Slutligen, ett personuppgiftsombud är den fysiska person som efter förordnande av den personuppgiftsansvarige självständigt ska se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Det finns några viktiga undantag från personuppgiftslagens tillämpningsområde. Lagen gäller t.ex. inte vid behandling av personuppgifter som en fysik person utför som ett led i en verksamhet av rent privat natur. Bestämmelserna i lagen tillämpas inte Bakgrund – handlingsoffentlighet och integritetsskydd heller i den utsträckning det skulle strida mot grundlagsbestämmelserna om tryck- och yttrandefrihet. I princip ska inte heller personuppgiftslagens bestämmelser tillämpas för journalistisk, konstnärlig eller litterär verksamhet. gäller personuppgiftslagen inte om det skulle inskränka offentlighetsprincipen. De här berörda undantagen från personuppgiftslagens tillämpningsområde beskrivs närmare nedan. Behandling av personuppgifter i verksamhet av rent privat natur Behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur omfattas inte av personuppgiftslagen (6 § personuppgiftslagen). Att exempelvis i sin dator föra ett adressregister över sina privata vänner omfattas inte av lagens bestämmelser. Var den exakta gränsen ska dras för vad som utgör privat verksamhet måste bedömas med beaktande av omständigheterna i det enskilda fallet. Det är dock rimligt att utgå från att begränsningen till den privata sfären innebär att de behandlade personuppgifterna inte görs tillgängliga för en obestämd krets av personer (/, Personuppgiftslagen i praktiken, 2007, s. 76). Undantaget för bestämmelserna om tryck- och yttrandefriheten Undantag från personuppgiftslagens tillämpningsområde görs även med hänsyn till tryck- och yttrandefriheten (7 § första stycket personuppgiftslagen). Bestämmelserna i lagen ska inte tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen och yttrandefrihetsgrundlagen. Personuppgiftslagen kommer därför t.ex. inte att tillämpas när personuppgifter publiceras på webbplatser med grundlagsskydd, t.ex. massmedieföretags webbplatser eller webbplatser med utgivningsbevis. Om man utser en ansvarig utgivare och registrerar ett utgivningsbevis hos Radio- och så grundlagsskyddas innehållet på webbplatsen på samma sätt som t.ex. innehållet i en dagstidning, vilket betyder att personuppgiftslagens bestämmelser inte ska tillämpas. Om någon hävdar att personuppgiftslagen inte kan tillämpas på grund av det här beskrivna undantaget ska en sådan invändning Bakgrund – handlingsoffentlighet och integritetsskydd enligt lagmotiven godtas om invändningen inte är så osannolik att den kan lämnas utan avseende (prop. 1997/98:44 s. 119). Undantaget för journalistiska ändamål m.m. Av 7 § andra stycket personuppgiftslagen framgår att huvuddelen av lagens bestämmelser inte heller ska tillämpas på sådan behandling av personuppgifter som sker uteslutande för journalistiskt ändamål eller konstnärligt eller litterärt skapande. Om någon hävdar att personuppgiftslagen inte kan tillämpas på grund av detta undantag ska även en sådan invändning godtas om invändningen inte är så osannolik att den kan lämnas utan avseende.