sou · GYB34 · 2011-01-01 00:00:00 — Där föreskrivs att varje medborgare ska i den utsträckning som närmare anges i lag skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehandling. Rättsligt sett innebär bestämmelsen endast att lagstiftaren är skyldig att på det aktuella området upprätthålla ett skydd för den personliga integri- Bakgrund – handlingsoffentlighet och integritetsskydd teten (se SOU 2007:22 s. 51). Grundlagsbestämmelsen får härigenom karaktär av normgivningsregel, medan de skyddsregler som ska finnas på området får sökas i vanlig lag, framför allt i personuppgiftslagen (1998:204). Den personliga integriteten har uppmärksammats i flera statliga utredningar och varit föremål för analys även i många andra sammanhang. Det har genomgående visat sig vara svårt att precisera innebörden av begreppet personlig integritet. Bland annat framhöll att det är svårt för att inte säga omöjligt att komma fram till en entydig och allmänt accepterad definition av begreppet personlig integritet (SOU 2007:22 s. 52). Kommittén påpekade att utformandet av integritetsskyddet i praktiken inte heller synes ha tagit sin utgångspunkt i en viss definition av begreppet integritet, utan arbetet har varit inriktat på att från fall till fall förbjuda sådana företeelser som inte ansetts försvarbara med hänsyn till dels skadan för den personliga integriteten, dels den skada som ett upprätthållande av integriteten skulle åsamka andra beaktansvärda intressen. Uppfattningen om vad som omfattas av den personliga integriteten varierar därtill mellan olika individer. Det beror i hög grad på den enskildes subjektiva uppfattning om vad denne anser ingå i den rent personliga sfären. Den enskildes uppfattning kan i sin tur påverkas av t.ex. politisk eller religiös övertygelse. Dessutom förändras inställningen till integritet över tiden då värderingar påverkas av den tidsålder och det samhälle man lever i. När det gäller uppgifter som är personliga kan det också ha betydelse i vilket sammanhang de används om den enskilde uppfattar det som att hans eller hennes integritet har kränkts eller inte. Det finns dock en allmän uppfattning i samhället att varje person har ett välgrundat anspråk på att andra personer handlar på ett sådant sätt att andras personliga integritet respekteras. Oavsett den exakta definitionen av begreppet personlig integritet finns en privat sfär som man inte accepterar intrång i. Skyddet för den personliga integriteten uppfattas också som viktigt av de enskilda människor som är berörda. Man skulle kunna tro att människors upplevda obehag av att personuppgifter behandlas i olika sammanhang skulle ha minskat i takt med att användningen av datorer blivit självklar och IT-samhället en realitet. Emellertid visar de undersökningar som gjorts att många människor är negativa eller åtminstone tveksamma till att deras personuppgifter används utan att de får reda på det och utan att de har någon möjlighet till Bakgrund – handlingsoffentlighet och integritetsskydd Människor upplever det som obehagligt att personliga uppgifter om dem flödar fritt utom deras kontroll, oavsett om uppgifterna i någon mening missbrukas eller om de själva har råkat ut för något negativt på grund av att uppgifterna använts.1 har ett omfattande nationellt regelsystem inom integritetsskyddsområdet. Bland annat offentlighets- och sekretesslagen (2009:400), personuppgiftslagen, personuppgiftsförordningen (1998:1191), och anknytande registerlagstiftning utgör väsentliga beståndsdelar i detta system. Handlingsoffentlighet och integritetsskydd – ett exempel För att illustrera sambandet och avvägningen mellan värnandet av offentlighetsprincipen – främst i form av principen om handlingsoffentlighet – och skyddet av den enskildes personliga integritet ges här ett exempel från hanteringen av personuppgifter hos domstolar. Landets domstolar hanterar en mängd allmänna handlingar som innehåller personuppgifter. Det tydligaste exemplet är domar som till övervägande del är offentliga handlingar, trots att de ofta innehåller en stor mängd personuppgifter av ibland mycket känslig natur. För att medborgarnas förtroende för rättsväsendet ska upprätthållas är det dock en självklar utgångspunkt i det svenska rättssystemet att domar är offentliga. Offentlighetsprincipen stärks ytterligare om allmänhetens möjligheter att få tillgång till domar underlättas och förenklas. En metod för att underlätta tillgången är att ge den enskilde möjlighet att efter begäran få ut domar i elektronisk form exempelvis via en fil som skickas per e-post, något som sker i inte obetydlig omfattning. Även för domstolarnas del bör det i många fall vara betydligt enklare att skicka en elektronisk kopia av en efterfrågad dom, jämfört med att skicka en papperskopia. Å andra sidan kan det från ett integritetsskyddsperspektiv finnas risker med att tillåta ett oreglerat uttag av domar i elektronisk form. Den som beställer ett massuttag av domar i elektronisk form kan tämligen enkelt bearbeta och sprida uppgifter 1 På uppdrag av genomförde september – en enkätundersökning med syfte att få en ungefärlig uppfattning om allmänhetens inställning till behovet av skydd för den personliga integriteten (se närmare sammanställningen i SOU 2007:22 s. 77 ff.). Bakgrund – handlingsoffentlighet och integritetsskydd från dessa domar med följd att känsliga personuppgifter kan hamna på t.ex. Internet med åtkomst för alla och envar. Domstolarna omfattas av särskilda registerförfattningar. För de allmänna domstolarnas del gäller förordningen (2001:639) om registerföring m.m. vid allmänna domstolar med hjälp av automatiserad behandling. Förordningen gäller utöver personuppgiftslagen vid automatiserad behandling av personuppgifter i de allmänna domstolarnas rättskipande- och rättsvårdande verksamhet. Av förordningen följer att domstolen får föra vissa register, vilka sökbegrepp som får användas, hur uppgifter ska gallras, i vilka fall domstolen får ägna sig åt automatiserad behandling av personuppgifter m.m. Det sägs dock inget om på vilket sätt domstolen får lämna ut uppgifter, dvs. det finns inga förbud mot eller krav på tillstånd för elektroniskt utlämnande. Å andra sidan finns det inte någon reglering som stadgar att en domstol är skyldig att lämna ut handlingar i elektronisk form. Frågan om formen för utlämnande av en allmän handling i form av en dom kommer därför att falla under huvudregeln i 2 kap. 13 § första stycket tryckfrihetsförordningen, vilket innebär att domstolen inte har någon skyldighet att lämna ut elektroniska kopior av allmänna handlingar. Av 10 § förordningen (2003:234) om tiden för tillhandahållande av domar och beslut, m.m. följer dock att om det är lämpligt får en handling (t.ex. en dom) skickas av domstolen med elektronisk post. Det är alltså upp till domstolen själv att avgöra i vilken form den vill lämna ut en i och för sig offentlig dom. För frågan om den handling som begärs utlämnad överhuvudtaget är offentlig får bl.a. sekretessbestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen betydelse och därmed även regelverket i personuppgiftslagen. Personuppgiftslagens bestämmelser reglerar i vissa fall hur den enskilde får behandla personuppgifter hämtade från en dom. Eftersom personuppgiftslagen dock inte omfattar rent privat behandling av personuppgifter är det utan hinder av regleringen i den lagen möjligt att genom ett massuttag av domar bygga upp egna, privata belastningsregister – en möjlighet som givetvis underlättas väsentligt om sökanden kan få ut domarna i elektronisk form. I de fall där personuppgiftslagen inte är tillämplig på sökandens tilltänkta behandling av de efterfrågade personuppgifterna, saknas följaktligen möjlighet för domstolen att pröva om det råder Bakgrund – handlingsoffentlighet och integritetsskydd sekretess enligt 21 kap. 7 § offentlighets- och sekretesslagen för uppgifterna i de domar etc. som den enskilde begär ut. För behandling av personuppgifter som däremot omfattas av personuppgiftslagen – exempelvis en privatperson som baserat på uppgifter i domar vill bygga upp ett register för annat än rent privat bruk – gäller bl.a. bestämmelsen i 21 § personuppgiftslagen. Av den regeln följer att det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden.2 Regeringen eller den myndighet regeringen bestämmer kan dock meddela föreskrifter om undantag från förbudet.3 I det fall någon begär ut domar, och det kan antas att han eller hon kommer att behandla uppgifterna i strid med exempelvis 21 § personuppgiftslagen, kan domstolen alltså komma fram till att det råder sekretess för uppgifterna med stöd av 21 kap. 7 § offentlighets- och sekretesslagen. En utgångspunkt för verksamheten i domstolarna är att många av de handlingar som förvaras där – och som ofta innehåller personuppgifter – också ska omfattas av handlingsoffentligheten. Å andra sidan kan samma uppgifter sedda i ett annat sammanhang vara omgärdade av sekretess. Domstolar är t.ex. skyldiga att rapportera in uppgifter från domar till det av förda belastningsregistret. Registret ska bl.a. innehålla uppgifter om den som genom dom har ålagts påföljd för brott. Syftet med registret är att kunna ge information om uppgifter i registret till bl.a. polis, åklagare och domstolar. I lagen (1998:620) om belastningsregister anges noga hur länge en viss uppgift ska finnas kvar i registret och när gallring betingad av integritetsskäl ska ske. är vidare sekretessbelagt och för uppgifterna i 2 Datainspektionen har polisanmält två webbplatser med uppgifter om dömda sexualförbrytare efter att Datainspektionen konstaterat att uppgifter om lagöverträdelser behandlas på webbplatserna. 3 Så har skett genom 9 § personuppgiftsförordningen där det föreskrivs att Datainspektionen får meddela föreskrifter om undantag från förbudet i 21 § personuppgiftslagen. I Datainspektionens föreskrifter (1998:3) om undantag från förbudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser m.m. föreskrivs att utan hinder av förbudet i 21 § personuppgiftslagen får sådana personuppgifter behandlas om a) behandlingen är nödvändig för att fullgöra en föreskrift på socialtjänstområdet, b) behandlingen avser uppgift i anteckningar som förs i fristående skolors elevvårdande verksamhet eller i motsvarande verksamhet hos enskilda anordnare av högskoleutbildning, c) behandlingen är nödvändig för kontroll av att jävssituation inte föreligger i advokatverksamhet eller annan juridisk verksamhet, d) behandlingen avser endast enstaka uppgift som är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras i ett enskilt fall, eller e) behandlingen avser endast enstaka uppgift som är nödvändig för att anmälningsskyldighet enligt lag ska kunna fullgöras. Bakgrund – handlingsoffentlighet och integritetsskydd registret gäller absolut sekretess (35 kap. 3 § offentlighets- och sekretesslagen). Detta innebär att uppgifter bara får lämnas ut i de fall det är särskilt angivet att så får ske. Av 6–14 §§ lagen om belastningsregister följer vilka myndigheter och andra som har rätt att ta del av uppgifter ur registret (bl.a. JO, JK, Datainspektionen, polis- och åklagarmyndigheten samt domstolarna). Även förordningen (1999:1134) om belastningsregister reglerar vilka som har rätt att få ut uppgifter ur registret. Utöver vissa uppräknade myndigheter har även en enskild på begäran rätt att skriftligen få ta del av samtliga uppgifter om sig själv i belastningsregistret (9 § lagen om belastningsregister). Det finns också en begränsad rätt för enskilda att få uppgifter om annan enskild då det handlar om att lämna information till exempelvis ett larminstallationsföretag eller enskilda arbetsgivare inom vårdsektorn som behöver få information om personer som ska anställas i verksamheten (10 § lagen om belastningsregister och 21 § förordningen om belastningsregister). Beskrivningen ovan illustrerar hur en uppgift – nämligen uppgiften i domslutet om begånget brott och ådömd påföljd – som är offentlig då den ingår i domstolens dom senare kommer att omfattas av sekretess betingad av skyddet för den enskildes integritet då uppgiften ingår i belastningsregister. Ut- gångspunkten är emellertid att uppgifterna i domslutet är offentliga eftersom det råder särskilda begränsningar beträffande möjligheterna att hemlighålla domslut. I princip härstammar således varje delpost i det sekretessbelagda registret från en dom som i sig är offentlig. har inom det europeiska samarbetets ram anslutit sig till Europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (). Av betydelse för skyddet för den personliga integriteten är framför allt artikel 8 som har följande lydelse. 1.Var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. 2.Offentlig myndighet får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av Bakgrund – handlingsoffentlighet och integritetsskydd oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Det står klart att behandling av personuppgifter och t.ex. rätt till tillgång till registrerade personuppgifter i och för sig kan falla inom tillämpningsområdet för artikel 8 i . All slags behandling av personuppgifter omfattas dock inte, utan frågan måste gälla privatliv, familjeliv, hem eller korrespondens. Primärt innebär artikel 8 att staten ska avhålla sig från ingrepp i den skyddade rättigheten. Artikeln innebär även en skyldighet för staten att vidta positiva åtgärder för att skydda den enskildes privatsfär. Sådana positiva åtgärder kan utgöras av lagstiftning, men också ha till ändamål att på annat sätt tillförsäkra medborgarna skydd mot övergrepp i särskilda situationer (, Mänskliga rättigheter i europeisk praxis, 2007, s. 302.). I sin praxis har också framhållit att kravet på att ingreppet ska vara nödvändigt inte är synonymt med oundgängligt. Vad som krävs är däremot att det finns ett angeläget samhälleligt behov. Inskränkningen i den grundläggande rättigheten måste vidare stå i rimlig proportion till det syfte som ska tillgodoses genom inskränkningen. Varje konventionsstat har själv en viss frihet att avgöra om en inskränkning är nödvändig. förbehåller sig dock rätten att övervaka om denna frihet utnyttjas på ett rimligt sätt. har ansett att bestämmelserna i artikel 8 i har betydelse vid sidan av det s.k. dataskyddsdirektivet vid bedömningen av nationella regler som tillåter behandling av personuppgifter.4 I sammanhanget kan också nämnas artikel 3, enligt vilken ingen får utsättas för tortyr eller omänsklig eller förnedrande behandling eller bestraffning. är inkorporerad i svensk rätt och gäller här i landet som vanlig lag (prop. 1993/94:117, bet. 1993/94:KU24). Den har alltså inte getts ställning av grundlag. I 2 kap. 23 § regeringsformen har emellertid införts en bestämmelse om att lag eller annan föreskrift inte får meddelas i strid med åtaganden på grund av konventionen. är medlem i EU. Genom EU- domstolens praxis har och 4 dom i mål nr C-465/00, C-138 och 139/01, Österreichischer Rundfunk m.fl. Bakgrund – handlingsoffentlighet och integritetsskydd tillämpning av densamma kommit att få ett genomslag i de nationella rättsordningarna som går utöver de rent gemenskapsbaserade reglerna. Rättsligt sett kan detta sägas innebära att väsentliga delar av fri- och rättighetssystem via förmedling av har blivit tillämpligt i såsom EU-rätt och därmed bl.a. kommit i åtnjutande av den företrädesrätt som gemenskapsbestämmelserna har gentemot rent nationell rätt. Vid Europeiska rådets möte i antog medlemsstaterna Europeiska unionens stadga om de grundläggande rättigheterna (EU-stadgan). Stadgan anger bl.a. att var och en har rätt till fysisk och mental integritet (artikel 3), respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer (artikel 7) samt skydd av de personuppgifter som rör honom eller henne (artikel 8). Artikel 8 har följande lydelse. 1.Var och en har rätt till skydd av de personuppgifter som rör honom eller henne. 2.Dessa uppgifter skall behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. 3.En oberoende myndighet skall kontrollera att dessa regler efterlevs. Genom Lissabonfördraget fick stadgan fördragsstatus och är rättsligt bindande när EU-institutionerna och medlemsländerna tillämpar EU:s lagar och regler. I stadgan anges de grundläggande friheterna under sex huvudrubriker: värdighet, frihet, jämlikhet, solidaritet, medborgarskap och rättvisa. Stadgan innehåller dessutom ytterligare rättigheter som inte finns med i den europeiska konventionen om de mänskliga rättigheterna, t.ex. personuppgiftsskydd, bioetik och rätten till god förvaltning. 3.3Internationella åtaganden avseende persondataskyddet Regleringen av enskildas fri- och rättigheter bygger i liksom i många andra rättsstater på dels en nationell grundlagsreglering, dels folkrätten och ingångna internationella avtal. Nedan redovisas i korthet internationella överenskommelser som anslutit sig Bakgrund – handlingsoffentlighet och integritetsskydd till och som har betydelse för skyddet av den personliga integriteten. () generalförsamling antog en universell deklaration om de mänskliga rättigheterna – allmänna förklaring om de mänskliga rättigheterna. Deklarationen är inte formellt bindande för medlemsstaterna, men har betydelse som ett uttryck för vad den internationella opinionen kräver. I artikel 12 sägs att ingen må utsättas för godtyckliga ingripanden i fråga om privatliv, familj, hem eller korrespondens, ej heller angrepp på heder och anseende samt att envar har rätt till lagens skydd mot sådana ingripanden eller angrepp. Vidare sägs i artikel 29 att endast sådana inskränkningar i de i deklarationen angivna fri- och rättigheterna är tillåtna som fastställts i lag i uteslutande syfte att trygga tillbörlig hänsyn till och respekt för andras fri- och rättigheter samt för att tillgodose det demokratiska samhällets rättmätiga krav på moral, allmän ordning och allmän välfärd. Inom FN har också utarbetats en internationell konvention om medborgerliga och politiska rättigheter, som antogs av generalförsamlingen . anslöt sig till konventionen , varefter konventionen trädde 1976. I konventionen behandlas vad som hör till skyddet för den personliga integriteten främst i artikel 17. Enligt denna artikels punkt 1 bör ingen utsättas för godtyckliga eller olagliga ingripanden i sitt privat- och familjeliv, sitt hem eller sin korrespondens, ej heller för olagliga angrepp på sin heder och sitt anseende. Vidare sägs i punkt 2 att envar har rätt till lagens skydd mot sådana ingripanden eller angrepp. De stater som har tillträtt konventionen åläggs således vissa skyldigheter. Ett särskilt inrättat organ benämnt mänskliga rättigheterna () övervakar att de till konventionen anslutna staterna efterlever sina skyldigheter. generalförsamling antog även riktlinjer om datoriserade register med personuppgifter. Riktlinjerna återges i sin helhet i SOU 2004:6 s. 44–47. Bakgrund – handlingsoffentlighet och integritetsskydd är en mellanstatlig organisation med syfte att främja bl.a. medlemsländernas ekonomiska och sociala utveckling. Inom ramen för rådets verksamhet har upprättats för att pröva påstådda kränkningar av de mänskliga rättigheterna. antog en konvention (nr 108) till skydd för enskilda vid automatisk databehandling av personuppgifter, den s.k. dataskyddskonventionen (se prop. 1981/82:189). Konventionen trädde i kraft . Konventionens syfte är att säkerställa respekten för grundläggande fri- och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatisk databehandling av personuppgifter. Utgångspunkten är att vissa av den enskildes rättigheter kan behöva skyddas i förhållande till den princip om fritt flöde av information, oberoende av gränser, som finns inskriven i internationella överenskommelser om mänskliga rättigheter. Konventionens tillämpningsområde är enligt huvudregeln automatiserade personregister och automatisk databehandling av personuppgifter i allmän och enskild verksamhet. I konventionen anges krav på beskaffenheten av de personuppgifter som undergår automatisk databehandling, bl.a. krav på att uppgifterna ska inhämtas och behandlas på ett korrekt sätt och vara relevanta med hänsyn till ändamålet, att vissa typer av uppgifter inte får undergå automatisk databehandling om inte den nationella lagen ger ett ändamålsenligt skydd, samt att lämpliga säkerhetsåtgärder ska vidtas för att skydda personuppgifter gentemot oavsiktlig eller otillåten förstörelse. En redovisning av dataskyddskonventionens innehåll lämnas i SOU 1997:39 s. 172–174 och SOU 2004:6 s. 39–41. Inom har vidare utarbetats ett flertal rekommendationer på dataskyddsområdet. Bland annat kan nämnas rekommendationerna om skydd för personuppgifter som används för anställningsändamål (No. R [89] 2), om skydd för personuppgifter som används för forskning och statistik (No. R [83] 10), om skydd för personuppgifter som används för direktreklamändamål (No. R [85] 20), om utlämnande till tredje man av personuppgifter som finns hos offentliga organ (No. R [91] 10) samt rekommendationen om persondataskydd vid telekommunikation (No. R [95] 4). Bakgrund – handlingsoffentlighet och integritetsskydd har vidare antagit en rekommendation om skydd för privatlivet på Internet (No. R [99] 5). Till rekommendationen har också bifogats riktlinjer. för ekonomiskt samarbete och utveckling, , har en expertgrupp utarbetat vissa riktlinjer i fråga om integritetsskyddet och persondataflödet över gränserna.5 Riktlinjerna antogs av tillsammans med en rekommendation till medlemsländernas regeringar om att beakta riktlinjerna i nationell lagstiftning. Samtliga medlemsländer, däribland , har godtagit rekommendationen och åtagit sig att följa denna. Riktlinjerna är tillämpliga på personuppgifter inom både den offentliga och privata sektorn. De gäller både för uppgifter som lagras automatiskt och som förs manuellt. Syftet med riktlinjerna är att undvika de risker för personlig integritet och individens frihet som personuppgifter kan utgöra på grund av det sätt på vilket de behandlas, på grund av uppgifternas natur eller på grund av de sammanhang i vilka de används. rekommendation finns i sin helhet återgiven i betänkande SOU 1997:39 s. 168. Där finns också en samlad redovisning av riktlinjers innehåll (s. 170–172). Se även redovisningen i SOU 2004:6 s. 41–44. antogs och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, det s.k. dataskyddsdirektivet.6 Genom ett beslut av den tillkallades (Ju 1995:08). Kommitténs uppgift var att analysera på vilket sätt dataskyddsdirektivet skulle kunna införas i svensk lagstiftning och att lägga fram förslag till en ny lag på området (Dir. 1995:91). I betänkandet Integritet Offentlighet 5OECD grundades och är ett samarbetsorgan för 30 länders regeringar. 6Europaparlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT nr L 281, 23.11.1995, s. 31, Celex 395L0046). Bakgrund – handlingsoffentlighet och integritetsskydd Informationsteknik (SOU 1997:39) lämnade sitt förslag till införlivande.