sou · GZB320 · 2011-03-15 00:00:00 — Personuppgifter som är föremål för automatisk databehandling ska hämtas in och behandlas på ett korrekt sätt för särskilt angivna ändamål. Uppgifterna måste vara relevanta för och förenliga med ändamålen. Vidare måste uppgifterna vara riktiga och aktuella och uppgifterna får inte bevaras längre än vad som är nödvändigt för ändamålen. Vissa personuppgifter får behandlas endast om den nationella lagen ger ett ändamålsenligt skydd. Till sådana personuppgifter hör uppgifter om enskildas ras, politiska tillhörighet, religiösa tro eller övertygelse i övrigt, hälsa eller sexualliv eller uppgifter som hänför sig till misstanke om brott och dom för brott. För att skydda personuppgifter mot avsiktlig eller otillåten förstörelse m.m. föreskriver konventionen att lämpliga skydds- åtgärder ska vidtas. Vidare ska den registrerade ha möjligheter till insyn i register och till att få uppgifter rättade. I vissa fall får undantag göras från bestämmelserna om uppgifternas beskaffenhet och rätten till insyn. Sådana inskränkningar i den enskildes skydd förutsätter stöd i den nationella lagstiftningen och att inskränkningen är nödvändig i ett demokratiskt samhälle för vissa ändamål, t.ex. statens penningintressen och brottsbekämpning samt för att skydda enskildas fri- och rättigheter. Dataskydds- konventionens roll som riktmärke för automatiserad behandling av personuppgifter övertas i princip av dataskyddsdirektivet i och med att detta införlivas i EU-ländernas nationella lagstiftningar. Direktivet behandlas närmare i avsnitt 2.4. har antagit ett tilläggsprotokoll till dataskyddskonventionen. Tilläggsprotokollet har öppnats för undertecknande. Det innehåller bestämmelser om dataskyddsmyndigheter och överföring av personuppgifter mellan länder. Den beslutade att underteckna och ratificera tilläggsprotokollet, vilket skedde . Övergripande rättslig reglering av behandling av personuppgifter Internationella riktlinjer för integritetsskydd och persondataflöde har även utarbetats inom och utveckling (). Ett antal internationella organisationer och företag har antagit egna regler om dataskydd som bygger på riktlinjer. Riktlinjerna motsvarar i princip de bestämmelser som återfinns i dataskyddskonventionen och redovisas inte närmare här. För ytterligare information om och riktlinjer inom området se SOU 1993:10 s. 62 ff. Det bör tilläggas att antogs ministerdeklaration Protection of Privacy on , som innebär att man slår fast intentionen att i ett internationellt perspektiv harmonisera de regler som bör gälla för hantering av personuppgifter i globala nätverk, för att skydda den personliga integriteten. antogs och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivets principer om skydd för enskilda personers fri- och rättigheter är en precisering och förstärkning av dataskyddskonventionen . Syftet med direktivet är att garantera dels en hög skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, dels en likvärdig skyddsnivå i alla medlems- stater, så att staterna inte ska kunna hindra det fria flödet mellan dem av personuppgifter under hänvisning till enskilda personers fri- och rättigheter. Dataskyddsdirektivet är direkt bindande för medlemsstaterna i fråga om det resultat som ska uppnås. Direktivet måste införlivas i den nationella lagstiftningen. Medlemsstaterna bestämmer själva på vilket sätt direktivet ska införlivas, men är därvid starkt bundna av direktivets innehåll. Medlemsstaterna får inte föreskriva vare sig ett bättre eller sämre skydd för den personliga integriteten vid behandling av personuppgifter eller för det fria flödet av sådana uppgifter än vad som gäller enligt dataskyddsdirektivet. Övergripande rättslig reglering av behandling av personuppgifter Dataskyddsdirektivet handlar om fysiska personers skydd. Skyddet för juridiska personer berörs inte. Dataskyddsdirektivet omfattar inte bara helt eller delvis automatiserad behandling utan också behandling av personuppgifter, dock endast behandling av uppgifter som ingår eller kommer att ingå i ett register. Utanför tillämpningsområdet faller t.ex. ostrukturerade akter. Kriterierna för när uppgifterna är så strukturerade att fråga är om ett manuellt register bestäms inte i direktivet, utan kan utformas av varje enskild medlemsstat. Dataskyddsdirektivet omfattar inte behandling av personuppgifter för privat bruk, oavsett om behandlingen är automatiserad eller . Direktivet gäller inte heller för sådan behandling av person- uppgifter som utgör ett led i en verksamhet som faller utanför gemenskapsrätten, och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet och statens verksamhet inom straffrättens område (artikel 3.2). 2.4.2Bestämmelser om när personuppgifter får behandlas Enligt dataskyddsdirektivet måste all behandling av person- uppgifter vara laglig och korrekt. Uppgifterna måste vara riktiga och aktuella samt adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Ändamålen ska vara uttryckligen angivna vid tiden för insamling av uppgifterna. De ändamål för vilka uppgifterna senare behandlas får inte vara oförenliga med de ursprungliga ändamålen. Personuppgifter får enligt direktivet behandlas bara i vissa fall. Personuppgifter får behandlas efter att den registrerade otvetydigt har lämnat sitt samtycke eller i samband med fullgörande av avtal där den registrerade är part. Behandling får också ske om det är nödvändigt för att fullgöra en rättslig förpliktelse, som åvilar den registeransvarige, eller för att skydda vitala intressen för den registrerade. Vidare får behandling ske om den är nödvändig för att utföra en arbetsuppgift som antingen är av allmänt intresse eller utgör ett led i myndighetsutövning. Slutligen får personuppgifter behandlas efter en intresseavvägning, nämligen om intresset av att Övergripande rättslig reglering av behandling av personuppgifter den registeransvarige får behandla uppgifterna överväger den registrerades intresse av att de inte behandlas. Vissa särskilda i direktivet angivna kategorier av uppgifter får inte behandlas utan uttryckligt samtycke av den registrerade. Det gäller sådana uppgifter som avslöjar den enskildes ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. I vissa, särskilt angivna, undantagsfall får dock sådan behandling ske även utan den enskildes samtycke, t.ex. när behandling av sådana uppgifter är nödvändig för åtgärder inom hälso- och sjukvård eller liknande. Medlemsländerna får under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse besluta om andra undantag än de som anges i direktivet. 2.4.3Information och rättelse m.m. Dataskyddsdirektivet föreskriver att den registeransvarige ska informera den registrerade om att personuppgifter är föremål för behandling och därvid redogöra för ändamålet med behandlingen. Har uppgifterna inte samlats in från den registrerade själv behöver den registeransvarige inte lämna någon information, om det skulle visa sig vara omöjligt eller innebära en ansträngning som inte står i proportion till nyttan. Den registrerade har dock rätt att på begäran få information om de registrerade uppgifterna. Vidare har den registrerade rätt att få sådana uppgifter som inte har behandlats i enlighet med direktivet rättade, utplånade eller blockerade. Om en uppgift rättas ska den registeransvarige underrätta tredje man som fått del av den felaktiga uppgiften. Underrättelse behövs dock inte i de fall där sådan är omöjlig eller förenad med en oproportionerligt stor arbetsinsats. Medlemsstaterna får föreskriva begränsningar i fråga om vissa skyldigheter och rättigheter, bl.a. informationsskyldigheten och rättigheten att på begäran få tillgång till uppgifter. En sådan begränsning måste dock vara en nödvändig åtgärd med hänsyn till vissa allmänna intressen, bl.a. intresset av att undersöka, avslöja och åtala för brott samt skyddet av den registrerades eller andras fri- och rättigheter. Till skydd för den registrerade innehåller direktivet även bestämmelser om säkerhet vid behandlingen. Övergripande rättslig reglering av behandling av personuppgifter tekniska och organisatoriska åtgärder ska den registeransvarige skydda personuppgifter mot otillåten behandling samt mot förstöring, förlust, ändring eller otillåten spridning. Enligt dataskyddsdirektivet ska varje medlemsstat tillse att det utses en eller flera myndigheter som har till uppgift att inom dess territorium övervaka tillämpningen av de bestämmelser som medlemsstaterna antar till följd av direktivet. Dessa myndigheter ska fullständigt oberoende utöva de uppgifter som åläggs dem. Datainspektionen har utsetts till sådan tillsynsmyndighet i . Varje tillsynsmyndighet ska ha undersökningsbefogenheter, såsom befogenhet att få tillgång till uppgifter som blir föremål för behandling och befogenhet att inhämta alla uppgifter som är nödvändiga för att sköta tillsynen, effektiva befogenheter att ingripa och befogenhet att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av direktivet har överträtts eller att uppmärksamma de rättsliga myndigheterna på dessa överträdelser. I dataskyddsdirektivet föreskrivs ett relativt omfattande anmälningsförfarande till tillsynsmyndigheten när det gäller helt eller delvis automatiserad behandling av personuppgifter. För icke- automatiserade behandlingar får medlemsländerna föreskriva ett förenklat anmälningsförfarande. Undantag från anmälningsplikt alternativt tillämpning av ett förenklat anmälningsförfarande får också föreskrivas dels om det med hänsyn till de behandlade uppgifterna inte är sannolikt att den registrerades fri- eller rättigheter kränks, dels om den registeransvarige har utsett uppgiftsskyddsombud (personuppgiftsombud). 2.4.5Överföring av personuppgifter till tredje land Direktivet syftar till ett fritt flöde av personuppgifter mellan medlemsländerna. Som huvudregel gäller att överföring av personuppgifter som är under behandling, eller är avsedda att behandlas efter överföringen, till ett land utanför EU eller EES (tredje land), får ske endast om det mottagande landets lagstiftning kan säkerställa en adekvat skyddsnivå. Vad som är en adekvat Övergripande rättslig reglering av behandling av personuppgifter skyddsnivå får avgöras med hänsyn tagen till bl.a. de uppgifter som ska behandlas och ändamålet med behandlingen. I vissa fall får personuppgifter föras över till länder vars lagstiftning i och för sig inte erbjuder en adekvat skyddsnivå. Det gäller bl.a. om den registrerade går med på att överföring sker eller om överföringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen. Exempel på det sistnämnda är vissa överföringar vid internationellt utbyte av uppgifter mellan skattemyndigheter eller tullmyndigheter. Dataskyddsdirektivet skulle vara införlivat i medlemsländernas nationella lagstiftningar . När det gäller sådan behandling av personuppgifter som pågick vid den tid- punkten, skulle denna bringas i överensstämmelse med direktivet senast därefter. I fråga om register gäller dock en övergångstid . För del har införlivande av direktivet skett genom personuppgiftslagen, som trädde i kraft just . Enligt övergångsbestämmelserna till lagen ska dock äldre lagstiftning, datalagen, tillämpas i sådana fall och under de tider som anges i dataskyddsdirektivet i fråga om bl.a. pågående behandling av personuppgifter. Den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna gäller som svensk lag här i landet. I artikel 8 stadgas att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Såvitt gäller laglighetskriteriet krävs, utöver att intrånget ska grundas på nationell lag, att den åberopade lagen uppfyller vissa minimikrav i fråga om kvalitet och tydlighet. Övergripande rättslig reglering av behandling av personuppgifter inskränkande tolkning av lagen ska kunna förutses och lagen ska vara allmänt tillgänglig. Att ett ingripande ska vara nödvändigt innebär att det ska föreligga ett angeläget samhälleligt behov av åtgärden i fråga. Åtgärden får dock inte gå längre än vad som är erforderligt med beaktande av proportionalitetsprincipen, dvs. den ska stå i rimlig relation till det intresse åtgärden är avsedd att tillgodose. Vid denna avvägning har staterna ett visst handlings- utrymme att inom rimliga gränser göra de avvägningar i bevis- och andra bedömningsfrågor, vilka läggs till grund för ett ingripande. Primärt innebär artikel 8 att staten ska avhålla sig från ingrepp i den skyddade rättigheten, utom i de fall som omfattas av de i artikeln föreskrivna undantagen. Artikelns räckvidd är dock inte begränsad i detta avseende utan staten är också i viss mån skyldig att vidta positiva åtgärder för att skydda den enskildes privata sfär. Sådana positiva åtgärder kan utgöras av lagstiftningen men också av skydd mot övergrepp i särskilda situationer. Även utan att det före- kommit något ingripande från myndighet eller offentlig tjänsteman kan staten således under vissa förutsättningar anses ha brutit mot artikel 8 genom att tolerera en föreliggande situation eller genom att inte skapa ett tillräckligt rättsligt skydd. Statens ansvar för en underlåtenhet kan då aktualiseras, trots att det övergrepp som visat att det rättsliga skyddet var otillräckligt utförts av en enskild person, för vars handlande staten inte i och för sig kan anses ansvarig. De krav som ställs på staten måste vara rimliga. Vad som i huvudsak kan förväntas är att staten utfärdar lagar och förordning- ar som ger ett tillfredsställande skydd åt privatliv, familjeliv, hem och korrespondens (Se , Mänskliga rättigheter i europeisk praxis – En kommentar till om de mänskliga rättigheterna, uppl. 2:1, s. 261 f.). Det står klart att behandling av personuppgifter och t.ex. rätt till tillgång till registrerade personuppgifter i och för sig kan falla inom tillämpningsområdet för artikel 8 i . All slags behandling av personuppgifter omfattas dock inte, utan frågan måste gälla privatliv, familjeliv, hem eller korrespondens. har ansett att bestämmelserna i artikel 8 i har betydelse vid sidan av dataskydds- direktivet vid bedömningen av nationella regler som tillåter behandling av personuppgifter (Se dom i mål nr C-465/00 och C-138 och 139/01). Övergripande rättslig reglering av behandling av personuppgifter 2.6Europeiska unionens stadga om de grundläggande rättigheterna Lissabonfördraget innebär att Europeiska unionens stadga om de grundläggande rättigheterna, tillkännagiven av parlamentet, rådet och kommissionen och anpassad , blir rättsligt bindande. Detta sker genom att en referens till stadgan införs i artikel 6.1 i det ändrade (prop. 2007/08:168 s. 58). I stadgan bekräftas de rättigheter som har sin grund i medlemsstaternas gemensamma författnings- traditioner och internationella förpliktelser, , unionens och sociala stadgor samt rättspraxis vid Europeiska unionens domstol och Europeiska domstolen för de mänskliga rättigheterna. Stadgans syfte är att kodifiera de grundläggande fri- och rättigheter som EU redan erkänner. I stadgans artikel 8 föreskrivs att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet ska kontrollera att reglerna efterlevs. Stadgan riktar sig till EU:s egna organ och institutioner samt till medlemsstaterna endast när de tillämpar unionsrätten (artikel 51). Stadgan riktar sig alltså inte till medlemsstaterna när de stiftar nationella lagar inom områden där EU inte har givits lagstiftnings- kompetens. Varje begränsning i utövningen av de rättigheter och friheter som erkänns i stadgan ska vara föreskrivna i lag och vara förenliga med proportionalitetsprincipen och det väsentliga innehållet i fri och rättigheterna. I den mån rättigheterna i stadgan motsvarar rättigheter som skyddas av ska de ha samma innebörd och räckvidd som de som skyddas enligt konventionen. Stadgans artiklar får inte tolkas som att de inskränker eller inkräktar på rättigheter enligt andra konventioner eller överens- kommelser om fri- och rättigheter. Missbruk av rättigheter, såsom att t.ex. utnyttja en bestämmelse i stadgan för att åsidosätta en annan bestämmelse, är uttryckligen förbjudet i stadgan. Övergripande rättslig reglering av behandling av personuppgifter 2.7Personuppgiftslagen (1998:204) Med anledning av att och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) skulle antas, beslutade regeringen att tillsätta . Kommitténs uppgift var att göra en total revision av datalagen (1973:289) och utreda på vilket sätt direktivet skulle införlivas i svensk rätt. Uppdraget redovisades i betänkandet Integritet – Offentlighet – Informations- teknik (SOU 1997:39). Personuppgiftslagen (1998:204) bygger i allt väsentligt på det förslag som lades fram i betänkandet. regleras behandling av personuppgifter i personuppgiftslagen (1998:204), som har ersatt datalagen. Personuppgiftslagen har sin utgångspunkt i dataskydds- direktivet. 2.7.1Allmänt om lagen och dess tillämpningsområde Dataskyddsdirektivet bygger på att själva hanteringen av person- uppgifter regleras. Personuppgiftslagen följer direktivets struktur och avvikelser görs endast när det finns särskilda skäl för det. I likhet med direktivet reglerar personuppgiftslagen själva hanteringen av personuppgifter och inte bara missbruk av sådana uppgifter. Det innebär att behandling av personuppgifter som inte sker med stöd av personuppgiftslagen är otillåten. Personuppgiftslagen tillämpas på all – helt eller delvis – automatiserad behandling av personuppgifter. Dessutom är lagen tillämplig på behandling av personuppgifter som ingår, eller är avsedda att ingå, i en strukturerad samling av person- uppgifter vilka är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (5 §). 5 a § innehåller dels undantag från de viktigaste bestämmelserna i personuppgiftslagen för behandling av personuppgifter i ostrukturerat material, dels ett förbud mot att utföra sådan behandling om behandlingen innebär en kränkning av den registrerades personliga integritet. Personuppgiftslagen är mer generell än dataskyddsdirektivet och omfattar även sådan verksamhet som faller utanför gemenskaps- rätten. har haft ett system som utgår från en Övergripande rättslig reglering av behandling av personuppgifter generell lag kompletterad med särregler i s.k. registerförfattningar för viktigare eller känsligare register inom det offentliga området. Enligt 2 § personuppgiftslagen gäller särreglering i lag eller förordning framför bestämmelserna i personuppgiftslagen. Att det krävs en särskild författning för att avvika från det integritetsskydd som personuppgiftslagen ger ansåg regeringen vidare vara en garanti för att behovet av särregler övervägs noga i den ordning som gäller för författningsgivning. Målet har också varit att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras särskilt i lag (jfr bet. 1990/91:KU11 s. 11 och 1997/98:KU18 s. 48 samt prop. 1990/91:60 s. 58 och prop. 1997/98:44 s. 40 f.). Behandling av uppgifter om juridiska personer som definitions- mässigt inte utgör personuppgifter (3 §) eller behandling som en fysisk person utför i verksamhet av rent privat natur (6 §) omfattas inte av personuppgiftslagen. Dessutom tillämpas inte lagen om det skulle strida mot tryckfrihetsförordningen (TF) och yttrande- frihetsgrundlagen. De flesta bestämmelserna i lagen tillämpas inte heller på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande (7 §). I 8 § anges dessutom att personuppgiftslagen inte får inskränka myndigheternas skyldighet att lämna ut personuppgifter enligt 2 kap. TF. I samma lagrum anges även att lagen inte heller hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Dataskyddsdirektivet innehåller ett antal huvudregler som måste ingå i personuppgiftslagen. Ofta är dessa huvudregler och principer allmänt hållna i direktivet och de måste för att kunna tillämpas av de personuppgiftsansvariga preciseras och konkreti- seras. Lagen innehåller dock inte några detaljbestämmelser som fyller ut de generellt hållna huvudreglerna. I stället överlämnas det åt regeringen och Datainspektionen att inom den ram som personuppgiftslagen drar upp göra nödvändiga preciseringar och konkretiseringar. Genom 8 a § bemyndigas regeringen att meddela föreskrifter om undantag från en rad bestämmelser i personuppgiftslagen om det är nödvändigt med hänsyn till vissa intressen. Paragrafen är avsedd att ha samma innebörd som artikel 13.1 i dataskydds- direktivet i fråga om både vilka bestämmelser som undantag kan medges från och under vilka förutsättningar så kan ske. Övergripande rättslig reglering av behandling av personuppgifter 2.7.2Förutsättningar för behandling av personuppgifter Grundläggande krav (9 §) I lagen slås fast vissa grundläggande krav på all behandling av personuppgifter. Personuppgifter ska alltid behandlas på ett korrekt och lagligt sätt samt i enlighet med god sed. De ska samlas in och behandlas för särskilda, uttryckligt angivna och berättigade ändamål. får uppgifterna inte behandlas för något ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in. Detta innebär bl.a. att uppgifterna inte får lämnas ut till annan om det är oförenligt med de ursprungliga ändamålen. Att ändamålen ska vara särskilda innebär att en alltför allmänt hållen ändamålsbeskrivning inte får godtas. Hur detaljerad ändamåls- beskrivningen måste vara får avgöras i praxis och genom föreskrifter från regeringen och Datainspektionen. Det anses inte oförenligt med de ursprungliga ändamålen att behandla uppgifterna för historiska, statistiska eller vetenskapliga ändamål. De behandlade uppgifterna måste vara riktiga och relevanta och inte alltför omfattande i förhållande till de ändamål för vilka de behandlas. Om det är nödvändigt ska uppgifterna också vara aktuella. Uppfyller personuppgifter inte kraven måste den person- uppgiftsansvarige vidta alla rimliga åtgärder för att utplåna, blockera eller rätta uppgifterna. Personuppgifterna får inte heller sparas längre än nödvändigt med hänsyn till de ändamål för vilka de behandlas. Därefter måste de avidentifieras eller förstöras. Efter- som personuppgiftslagen är sekundär till annan lagstiftning, får uppgifter emellertid inte avidentifieras eller på annat sätt förstöras (dvs. gallras) om det strider mot bl.a. tryckfrihetsförordningens bestämmelser om allmänna handlingar. När behandling av personuppgifter är tillåten (10–12 §§) Lagen innehåller en uttömmande uppräkning av de fall då behandling av personuppgifter är tillåten. Personuppgifter får alltid behandlas om den registrerade har lämnat sitt samtycke.