sou · GYB376d2 · 2011-01-01 00:00:00 — Regeringen eller, om regeringen bestämmer det, Datainspek- tionen får också föreskriva undantag när det behövs med hänsyn till viktiga allmänna intressen eller om överföringen sker under sådana omständigheter att det finns tillräckliga garantier till skydd för de registrerades rättigheter. Dessutom får regeringen under vissa förutsättningar besluta om undantag från förbudet i enskilda fall. har all öppen Internetpublicering av personuppgifter ansetts innebära att personuppgifter överförs till tredje land (se t.ex. SOU 1997:39 s. 413 och prop. 1999/00:39 s. 101 f.) EG- domstolen har i det s.k. Bodil-målet emellertid nu slagit fast att det inte föreligger någon överföring av uppgifter till tredje land i den mening som avses i artikel 25 i dataskyddsdirektivet när en person som befinner sig i en medlemsstat lägger ut uppgifter på en hemsida på Internet som är lagrad hos en fysisk eller en juridisk person som har sin webbplats där sidan kan konsulteras och som är etablerad i samma medlemsstat eller i en annan medlemsstat, varvid uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land.30 I SOU 2004:6 s. 232 ff. gjorde tolkningen att, även om svar i formell mening var begränsad till en viss situation, det fanns anledning att anta att EG- domstolen i kommande mål med användning av samma argument kan komma att finna att även andra förfaranden som leder till en Internetpublicering inte utgör en överföring av uppgifter till tredje land i dataskyddsdirektivets mening. Personuppgiftslags- utredningen ansåg att argumenten var så allmängiltiga att de borde kunna användas på motsvarande sätt även i andra fall, men att EG- domstolens svar inte gav tillräcklig vägledning för att förtydliga texterna i PUL och utforma en generell regel om dessa förfaranden. anses det rådande synsättet i vara att inte någon Internetpublicering som sker från en server som innehas av någon som är etablerad inom EU och EES innebär en överföring av personuppgifter i den mening som avses i 33 § PUL. Det anses inte heller ha någon betydelse var den server på vilken uppgifterna finns lagrade faktiskt är placerad, bara den om har servern är etablerad 30 Samma källa s. 379, med vidare hänvisning till dom med förhands- avgörande i mål C-101/01, 2003 s. . Övergripande rättslig reglering av behandling av personuppgifter inom EU och EES och därmed underkastad lagstiftningen som genomför dataskyddsdirektivet.31 I kommentaren till PUL har det framhållits att det särskilt bör noterats att dom i det s.k. Bodil-målet berörde öppen publicering på Internet och att resonemanget inte utan vidare kan anses tillämplig på publiceringen av internationella nät, eller Internetpublicering med åtkomstskydd eller internationell e- post kommunikation.32 3.5.6Bestämmelser om tillsyn, skadestånd och straff PUL innehåller även bestämmelser om bl.a. anmälningsskyldighet av behandling av personuppgifter, tillsynsmyndighetens (Data- inspektionen) befogenheter och om skadeståndsskyldighet för den personuppgiftsansvarige avseende skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med PUL kan åstadkomma. Med stöd av 49 § PUL kan den som uppsåtligen eller av grov oaktsamhet bryter mot vissa i paragrafen angivna bestämmelser i dömas till böter eller fängelse . Är brottet att anses som grovt kan fängelse i högst dömas ut. De allmänna bestämmelserna för behandling av personuppgifter finns alltså i PUL. Det kan dock vara svårt att generellt lösa alla problem och beakta alla frågeställningar genom att använda sig av . Därför behövs ofta en särskild författnings- reglering. En sådan särreglering får dock inte stå i strid med dataskyddsdirektivet och dataskyddskonvention. LVTR är en specialreglering i förhållande till PUL i syfte att komplettera den lagen och i vissa delar ersätta den. Genom att det krävs en särskild författning för att avvika från det integritetsskydd som PUL ger, har det ansetts att det 31Samma källa s. 384. Se även Högsta Domstolens dom i det s.k. Lundsbergs-målet (NJA 2005 s. 361) och dom i mål B 4151-04, som refereras i samma källa, s. 384 f. Se även Datainspektionens reviderade informationsblad om personuppgifter och Internet. 32Se och , Personuppgiftslagen En kommentar, tredje uppl., s. 386, med där gjorda hänvisningar. Övergripande rättslig reglering av behandling av personuppgifter garanteras att behovet av särregler alltid övervägs noga i den ordning som gäller för författningsgivning.33 Målsättningen är att i de fall register med ett stort antal registrerade och ett särskilt känsligt innehåll inrättas ska bestämmelser meddelas i form av lag. Regeringen har uttalat att de särskilda registerförfattningarna som huvudregel bör gälla utöver PUL och begränsas till att avse frågor som är specifika för den verksamhet som regleras av lagstiftningen.34 Det har i olika sammanhang framförts att register- författningarna bör ses över (se E-delegationens bestänkanden SOU 2009:86 s. 65 och SOU 2010:20 s, 17 f. samt E-offentlighets- kommitténs betänkande SOU 2010:4 s. 366 f.). Nedan redogör vi översiktligt för vad som kännetecknar särskilda registerförfattningar. 3.6.1Särskilda registerförfattningars förhållande till personuppgiftslagen I den utsträckning en registerförfattning saknar bestämmelser om sådant som regleras i PUL, ska tillämpas. Vissa bestämmelser i har emellertid utformats på ett sätt som innebär att de inte blir automatiskt tillämpliga, bl.a. bestäm- melserna om rättelse i 28 §, skadeståndsbestämmelserna i 48 § och straffbestämmelserna i 49 §. I dessa fall måste en hänvisning göras till de aktuella bestämmelserna för att de ska bli tillämpliga.35 Hur den särskilda registerförfattningen rent författnings- tekniskt ska förhålla sig till PUL har emellertid varit föremål för diskussion i olika lagstiftningsarbeten. I t.ex. DS 2007:4336 förs följande alternativ fram: a)En modell har varit att i den författning som reglerar behand- ling av personuppgifter i en viss verksamhet överhuvudtaget inte nämna PUL. Detta innebär att utan vidare kommer att vara tillämpliga i den mån den särskilda författningen inte innehåller någon avvikande bestämmelse (jfr 2 § PUL). 33Sören , Särskilda registerförfattningar i till , 2006, s. 685 ff. 34Samma källa, s. 695. 35Sören och , Personuppgiftslagen, En kommentar, tredje uppl. 36Ds 2007:43 s. 106 ff. Övergripande rättslig reglering av behandling av personuppgifter b)En liknande modell är att i den särskilda författningen ange att den gäller utöver PUL. c)Ett annat alternativ är att upprepa de bestämmelser i som ska gälla för behandlingen. d)En fjärde modell är att lagen innehåller, utöver de bestämmelser som avviker från PUL, en hänvisning till de lagrum i PUL som ska vara tillämpliga. I Ds 2007:43 förs ett resonemang om vilket alternativ som är att föredra. Enligt departementet är nackdelen med alternativ A och B att det är svårt att överblicka vilka bestämmelser i som är tillämpliga. Fördelen med alternativ C är att tillämparen snabbt får klart för sig vad som gäller, medan nackdelen är att det blir fråga om en dubbelreglering eftersom ändå gäller om inget annat anges. Lagen riskerar även att bli omfattande. Fördelarna med alternativ D är enligt departementet att lagstiftningen blir mer överskådlig, tydlig och lättillämpad jämfört med om inga hänvisningar görs till PUL och att undviks en omfattande dubbelreglering. I gällande registerförfattningar förekommer samtliga fyra alternativ. 3.6.2De särskilda registerförfattningarnas tillämpningsområde Det finns i princip två typer av särskilda registerförfattningar. En särskild typ av registerförfattningar är sådana som reglerar de s.k. publicitetsregister som finns över olika slags egendom eller rättigheter (fastigheter, bilar, fartyg, bolag, varumärken etc.) eller behörigheter (t.ex. försäkringsmäklare) eller egenskaper (t.ex. personer med viss insyn i näringsverksamhet, s.k. insiders). Det är här fråga om regelrätta register som har till ändamål att förse allmänheten med viss i författning preciserad information.39 Dessa författningars tillämpningsområde bestäms av begreppet personregister, trots att detta begrepp har utmönstrats i den grund- läggande regleringen i PUL. 37En sådan lösning har valts för personuppgiftsbehandlingen hos Försvarsmakten och (prop. 2006/07:46). 38Denna lösning har valts i lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet och i polisdatalagen (2010:361). 39Sören , Särskilda registerförfattningar, till , 2006, s. 688. Övergripande rättslig reglering av behandling av personuppgifter genom vad som ingår i registret, inte utifrån vissa utpekade behandlingar eller vissa reglerade verksamheter.40 En annan typ av registerförfattningar är sådana som gäller för myndigheters behandling av personuppgifter mer generellt. Det normala för dessa registerförfattningar är att det anges att författningen gäller vid behandling av uppgifter i en viss myndighets eller vissa myndigheters verksamhet av visst slag. Ofta anges att författningen gäller för en hel myndighetsstruktur, t.ex. polisen och kriminalvården. Vilken verksamhet som författningen omfattar kan anges på olika sätt. I en del fall anknyts till verksamhet som myndigheten har att bedriva enligt författningar som reglerar sakverksamheten, t.ex. verksamhet enligt lag- stiftningen om . I lag (2001:454) om behandling av personuppgifter inom , som är tillämplig på behandling av personuppgifter inom finns det i 3 § en definition av vad som avses med socialtjänst och som utgör ett komplement till den bestämmelse som anger lagens tillämpnings- område. I förslaget till ny lag om behandling av personuppgifter inom (SOU 2009:32) föreslås att det fortsatt ska finnas en definition av socialtjänst. Det finns i vissa författningar mera allmänna beskrivningar av verksamheten, t.ex. beskattningsverksamhet och folkbokförings- verksamhet. I sådana fall anges ofta en konkretisering i förarbetena. Det finns även författningar som är begränsade till att gälla bara behandling av uppgifter om vissa angivna personer som har anknytning till myndighetens verksamhet och ibland finns det detaljerade regler om vilka uppgifter som får behandlas om en viss kategori av personer. Utanför tillämpningsområdet faller normalt verksamhet som avser myndighetens interna administrativa verksamhet, t.ex. personaladministration.41 3.6.3Begreppet register eller databas? I PUL används varken registerbegreppet eller begreppet databas. I stället talas det om behandling av personuppgifter. PUL är teknikoberoende, dvs. den gäller för såväl automatiserad som för viss hantering av personuppgifter. 40Samsetrapport 2006:1 Elektroniskt informationsutbyte – myndighetsgemensamma rätts- frågor, s. 69. 41Sören , Särskilda registerförfattningar, till , 2006, s. 693. Övergripande rättslig reglering av behandling av personuppgifter Begreppet register användes tidigare i datalagen, men kritiserades vid PUL:s tillkomst för att vara otidsenligt. I förarbetena till PUL anfördes att det på grund av den tekniska utvecklingen blivit allt svårare att i en komplex och sammansatt datamiljö fastställa vad som är ett register i förhållande till ett annat och att det vuxit fram allt flexiblare och kraftfullare metoder för att med hjälp av datorer söka och hantera uppgifter som inte finns i någon registerstruktur. Det var därför en fördel att PUL omfattade all automatiserad behandling av personuppgifter utan hänsyn till det föråldrade registerbegreppet. I förarbetena poängterades dock att det nu sagda givetvis inte hindrade att det som faktiskt är ett regelrätt datoriserat register också kallades för det. Det konstaterades att flertalet särskilda registerförfattningar rörde just upprättandet och förandet av traditionella datoriserade register och registerformen hade därvid ofta valts medvetet för att skapa förutsägbarhet och säkerhet beträffande de uppgifter som behandlas med hjälp av datorer(prop. 1997/98:44 s. 38 f.). Definitionen av ett register finns i 5 § andra stycket PUL: uppgifterna ingår eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. I senare lagstiftning har begreppet databas införts som en juridisk beteckning på vissa fastställda automatiserade uppgifts- samlingar som används gemensamt inom en verksamhet och för vilka särskilda regler ska gälla. De registerlagar som bygger på databasbegreppet har getts ett vidare tillämpningsområde än den äldre typen av registerlag, som utgår från vilka uppgifter som ingår i registret. I stället gäller lagen för alla automatiserade behandlingar av personuppgifter som äger rum inom ett visst angivet verksamhets- området. Utöver denna yttre avgränsning finns en inre uppdelning i lagen mellan regler för behandlingar av uppgiftssamlingar för gemensamt bruk, som brukar benämnas databas, respektive samlingar av uppgifter som inte används gemensamt. Exempel på det förstnämnda är ärendehanteringssystem och på det senare koncept och utkast som en handläggare arbetar på för egen del. Här kan nämnas de lagar om behandling av uppgifter och personuppgifter som införts för med avseende på beskattningsverksamheten och folkbokföringsverksamheten42 och 42 Lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet och lagen (2001:182) om behandling av personuppgifter i folkbokförings- verksamhet. Övergripande rättslig reglering av behandling av personuppgifter den lag som införts för med avseende på exekutionsväsendets verksamhet.43 Det är vanligt att en databas i sin tur – för att tillgodose olika regelbehov – har olika regler beroende på materialets struktur. Något förenklat kan dessa olika kategorier betecknas som egentliga register respektive handlingar. I en registerförfattning för ett visst verksamhetsområde finns det ofta inte någon begreppsmässig skillnad mellan dessa kategorier. I vissa fall har olika regler införts för dessa kategorier, dels med avseende på vilka uppgifter som får registreras, dels för att begränsa vilka uppgifter som får utbytas genom direktåtkomst eller på medium för automatiserad behandling. T.ex. kan inte samma sökmöjligheter i alla fall tillämpas på handlingar och på registerdelen.44 Som ett exempel på en författning där begreppet databas har införts kan nämnas lagen (2001:185) om behandling av uppgifter i verksamhet. I propositionen (prop. 2000/01:33, Behandling av personuppgifter inom skatt, tull och exekution, s. 88 ff.) angavs att det skulle vara möjligt att även i special- författningar undvika begreppet register utan att ersätta det med något specifikt alternativ, dvs. endast tala om behandling av personuppgifter. Regeringen framhöll att detta dock i vissa fall kunde föranleda att lagtexten tyngdes och blev svårhanterlig, t.ex. när man inte avser behandling i allmänhet utan endast behandling i fastställda samlingar av uppgifter för vilka särskilda handlingsregler bör gälla. Regeringen ansåg att begreppet databas skulle användas i stället för registerbegreppet. Begreppet databas definierades som en samling uppgifter som med hjälp av automatiserad behandling används gemensamt inom en verksamhet. En uppgift anses gemen- samt tillgänglig och därmed en del av en databas om den registreras och lagras i ett datasystem på ett sådant sätt att tjänstemännen inom en eller flera myndigheter har möjlighet att vid behov och i olika sammanhang – t.ex. i samband med handläggningen av ett ärende – ta del av uppgiften direkt på automatiserad väg. Att olika personalkategorier har olika behörighet och att vissa uppgifter därför i praktiken är åtkomliga endast för ett begränsat antal personer hos olika myndigheter inom en myndighetsorganisa- tion, förtar i sig inte uppgifternas egenskaper som gemensamma. Detsamma gäller om vissa uppgifter görs åtkomliga endast för 43Lagen (2001:184) om behandling av uppgifter i verksamhet. 44Samsetrapport 2006:1, Elektroniskt informationsutbyte, myndig¬hetsgemensamma rätts- frågor, s. 69 f. Övergripande rättslig reglering av behandling av personuppgifter handläggare inom en regional myndighet. En uppgift som lagras elektroniskt på hårddisken i en dator eller i en server hos en myndighet i samband med att en tjänsteman arbetar med ord- behandling, och som normalt är åtkomlig endast för tjänstemannen själv och exempelvis systemadministratören vid myndigheten, kan däremot inte anses vara gemensamt tillgänglig. Syftet med sådan tillfällig behandling är inte att uppgifterna som lagras i datorn ska användas av andra än den som utför behandlingen. Det förhållandet att systemadministratören – eller en annan tjänsteman vid myndig- heten eller inom myndighetsorganisationen – kan få åtkomst till uppgiften genom ett visst tekniskt förfarande, kan inte anses innebära att uppgiften som sådan är lagrad för att användas gemensamt i verksamheten. Regeringen konstaterade vidare att flera samlingar av person- uppgifter i elektronisk form är att se som register i ordets mer egentliga bemärkelse, dvs. uppgifter förs in på ett systematiserat sätt efter vissa kriterier och är sökbara endast med särskilda sökord eller dylikt. Det finns därför anledning att inte helt frångå register- begreppet. Å andra sidan är begreppet inte alltid lämpligt. Inte minst gäller detta datasystem som innefattar elektronisk ärende- hantering, där inkomna handlingar bildfångas och beslut upprättas med automatiserad behandling för att sedan lagras elektroniskt tillsammans med uppgiftssamlingar av mer registerartad karaktär. Vad som kunde konstateras var att databas rent språkligt har mer naturlig anknytning till automatiserade sammanställningar av upp- gifter. Enligt regeringen var redan detta ett argument för att den termen är att föredra framför det traditionella registerbegreppet. Regeringen ansåg även att definitionen har den fördelen att den inte tekniskt avgränsar hur en samling uppgifter är uppbyggd eller organiserad. Det innebär att om flera register – i egentlig bemärkelse – är sammanlänkande och samtliga uppgifter i de olika registren på ett gemensamt sätt är tillgängliga för sökning med automatiserad behandling inom en avgränsad verksamhet, så utgör dessa register en databas. En databas kan således innehålla flera mindre databaser, varav en del kan vara regelrätta register. Begreppet register bör i stället förbehållas sådana automatiserade uppgiftssamlingar som faktiskt utgör register i en mer strikt betydelse, nämligen när uppgifterna är organiserade på ett systematiserat sätt enligt fastställda kriterier (prop. 2000/01:33, s. 90 f.). Övergripande rättslig reglering av behandling av personuppgifter I den nya polisdatalagen (2010:361), som träder i kraft , (prop. 2009/10:85 Integritet och effektivitet i polisens brottsbekämpande verksamhet) finns särskilda bestämmelser om behandling av personuppgifter som görs eller har gjorts gemensamt tillgängliga i den brottsbekämpande verksamheten, i stället för bestämmelser om register eller databaser. Bestämmelsen ska framför allt reglera sådan behandling av uppgifter som sker i för verksamheten gemensamma uppgiftssamlingar. Registerbegreppet behålls emellertid för vissa särskilda fall (se även SOU 2008:87 Åklagarväsendets brottsbekämpning; Integritet – effektivitet). 3.6.4Ändamålsbestämmelser i särskilda registerförfattningar och finalitetsprincipen För behandling av personuppgifter som omfattas av PUL gäller vissa grundläggande krav. I 9 § PUL finns bestämmelser om krav på behandling av personuppgifter som en personuppgiftsansvarig måste följa. När det gäller ändamål anges i 9 § första stycket PUL att personuppgifter får samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål (punkt c). De insamlade person- uppgifterna får inte senare behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (punkt d), den s.k. finalitetsprincipen. Finalitetsprincipen medför att det är väsentligt att alla de ändamål för vilka man kan tänkas behöva använda de insamlade personuppgifterna finns angivna redan då uppgifterna samlas in. Något hinder mot att ange flera ändamål vid insamlingen finns alltså inte. Enligt 9 § andra stycket PUL ska senare behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål dock inte anses som oförenliga med de ändamål för vilka uppgifterna samlades in. Registerförfattningar innehåller i regel bestämmelser om ändamål med behandlingar av de uppgifter som omfattas av den särskilda regleringen. I registerförfattningarna finns ofta en hänvisning till 9 § PUL eller en bestämmelse i själva registerförfatt- ningen med samma innehåll. Den ram för tillåtna behandlingar som ges genom en angivelse av ändamål definieras i regel av 9 § första stycket c) och d) PUL i förening med den aktuella register- författningen (jfr. SOU 2003:99 s. 236 och prop. 2002/03:135 s. 55). Övergripande rättslig reglering av behandling av personuppgifter Det har diskuterats i vad mån ändamålsbestämningar i register- författningar ska anses vara uttömmande eller inte. Med andra ord om andra med ändamålsbestämningen inte oförenliga ändamål ska anses vara tillåtna eller inte vid sidan av de uttryckliga ändamålen, då det handlar om en behandling av redan insamlade person- uppgifter. Att myndigheten inom ramen för registerförfattningens tillämpningsområde inte får behandla personuppgifter för helt andra ändamål än de i författningen angivna, trots att det om författningen inte funnits skulle ha varit tillåtet enligt 10 § PUL, torde stå klart. Det är likaså klart att myndigheten oberoende av ändamålsangivelserna och registerförfattningen i övrigt ska uppfylla sina skyldigheter att enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen söka efter, sammanställa och lämna ut personuppgifter. Det följer om inte annat av att grundlag gäller före författningar av lägre rang. I de särskilda register- författningarna anges de tillåtna ändamålen, men av 9 § PUL – som normalt gäller vid behandling som omfattas av en register- författning – framgår indirekt (första stycket punkt d) att det inte är otillåtet att personuppgifterna också behandlas för alla ändamål som inte är oförenliga med det för vilket uppgifterna samlades in och (andra stycket) under alla förhållanden för historiska, statistiska och vetenskapliga ändamål45. I dessa sammanhang har det uttolkats (bl.a. av Patientdata- utredningen 2006:82) att även andra icke angivna ändamål torde vara tillåtna, om dessa andra ändamål är förenliga med de i författningen angivna ändamålen eller om det är fråga om behandling för historiska, statistiska eller vetenskapliga ändamål. Detta gäller under förutsättning att det inte framgår av den aktuella registerförfattningen att ändamålsbestämmelsen syftar till att vara uttömmande. Från integritetssynpunkt har det ansetts att fördelen med att uttömmande reglera ändamålen i en registerlag är att det därigenom direkt av regleringen framgår vilket skydd för respektive vilka inskränkningar i den enskildes integritet som är aktuella. Fördelen har vidare ansetts vara att en sådan typ av bestämmelse befrämjar tydlighet 45 , Särskilda registerförfattningar, till , 2006, s. 700. Övergripande rättslig reglering av behandling av personuppgifter som den förhindrar att myndigheten på eget initiativ sprider personuppgifter, när det inte är förutsatt i författningen46 Lagrådet har i ett lagstiftningsärende avseende den lag som gäller för socialförsäkringsadministrationen (prop. 2002/03:135 s. 160 och 56) uttalat att det allmänt är önskvärt att samtliga ändamål för vilka behandling ska vara tillåten framgår av register- författningen. Lagrådet ansåg att de formuleringar som normalt används i registerförfattningar inte tillräckligt tydligt ger uttryck för att personuppgifterna ska få behandlas för andra ändamål än de som anges i författningen. Trots Lagrådets synpunkter angav regeringen i ärendet följande: