sou · GYB376d2 · 2011-01-01 00:00:00 — Vid prövningen av en utlämnandefråga får den utlämnande myndigheten väga den mottagande myndighetens behov av uppgifterna mot det intresse som sekretesskyddet typiskt sett tillgodoser.18 15Bestämmelser som endast föreskriver att en myndighet får lämna uppgifter till en annan myndighet innebär inte en sådan uppgiftsskyldighet enligt 10 kap. 28 § OSL som bryter sekretessen för uppgifterna. En sådan bestämmelse innebär endast att utlämnande myndig- het får lämna ut myndigheter om detta kan ske utan hinder av sekretess. Se Samsetrapport 2006:1 Elektroniskt informationsutbyte – myndighetsgemensamma rättsfrågor, s. 60. 16Regner m.fl., Sekretesslagen, en kommentar, s. 14:10. 17SOU 2007:45 s. 115 med däri gjorda hänvisningar. 18SOU 2007:45 s. 115. Övergripande rättslig reglering av behandling av personuppgifter Här lämnas en översiktlig redogörelse för de viktigaste för bindande internationella reglerna om behandling av person- uppgifter. Artikel 8 i den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europa- konventionen), som gäller som svensk lag (SFS 1994:1219), lyder enligt följande: Artikel 8 – Rätt till skydd för privat- och familjeliv 1.Var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. 2.Offentlig myndighet får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri och rättigheter. Behandling av personuppgifter kan i och för sig falla inom tillämpningsområdet för artikel 8 i . All slags behandling av personuppgifter omfattas emellertid inte, utan frågan måste gälla privatliv, familjeliv, hem eller korrespondens. Europa- konventionen tar i första hand sikte på åtgärder av det allmänna. har ansett att bestämmelserna i artikel 8 i Europa- konventionen har betydelse vid sidan av EG-direktivet vid bedömningen av nationella regler som tillåter behandling av personuppgifter.20 antog en konvention (nr 108) till skydd för enskilda vid automatisk databehandling av personuppgifter21, den s.k. dataskyddskonventionen. Konventionen trädde i kraft . 19Framställningen i avsnitt 3.4.1 och 3.4.2 bygger på den som finns i SOU 2007:64. 20EG-domstolens dom i mål nr C-465/00 och C-138/01 och C-139/01, 2003 s. . 21Konvention (nr 108) till skydd för enskilda vid automatisk databehandling av person- uppgifter, Convention for the Protection of Individuals with regard to Automatic Processing of . Övergripande rättslig reglering av behandling av personuppgifter medlemsstater i EU har ratificerat konventionen. Konventionen är således bindande för . Till konventionen ansluter en rad rekommendationer som inte är direkt bindande. Konventionens tillämpningsområde är enligt huvudregeln automatiserade personregister och automatisk databehandling av personuppgifter i allmän och enskild verksamhet (artikel 3). Varje konventionsstat kan dock göra vissa allmänna inskränkningar eller utvidgningar i tillämpningsområdet för konventionen i dess helhet. Däremot är det ingenting som hindrar att registrerade personer tillerkänns ett mer omfattande skydd än som föreskrivs i konventionen (artikel 11). Konventionen består av fem kapitel. Kapitel II (artiklarna 4–11) innehåller de grundläggande principerna för dataskydd. Varje konventionspart ska vidta de åtgärder som behövs för att dess nationella lagstiftning ska innehålla dessa grundläggande principer. Dessa principer ska garantera registrerade personer i alla länder där konventionen gäller ett visst minimiskydd i samband med automatisk databehandling av personuppgifter. Detta ska göra det möjligt för konventionsparterna att ömsesidigt avstå från att begränsa dataflödet över gränserna. Kapitel II innehåller krav på beskaffenheten av de person- uppgifter som undergår automatisk databehandling (artikel 5). Kraven innebär bl.a. att uppgifterna ska inhämtas och behandlas på ett korrekt sätt och vara relevanta med hänsyn till ändamålet. Vissa typer av uppgifter får inte undergå automatisk databehandling, om inte den nationella lagen ger ett ändamålsenligt skydd (artikel 6). Det gäller uppgifter om ras, politiska åsikter, religiös tro eller annan övertygelse, hälsa, sexualliv samt brott. Lämpliga säkerhets- åtgärder ska vidtas för att skydda personuppgifter gentemot oavsiktlig eller otillåten förstörelse m.m. (artikel 7). Vissa ytterlig- are skyddsåtgärder för registrerade personer föreskrivs (artikel 8). Vidare föreskrivs bl.a. att alla som är registrerade i ett person- register ska ha möjlighet till insyn i registret och möjlighet att få felaktiga uppgifter rättade. Vissa undantag får enligt konventionen göras i fråga om kraven på uppgifternas beskaffenhet och dylikt (artikel 9). För sådana avvikelser krävs det dels att de har stöd i nationell lagstiftning, dels att de utgör en nödvändig åtgärd i ett demokratiskt samhälle för att skydda statens säkerhet, allmän säkerhet, statens monetära intressen eller för att undertrycka brottsliga åtgärder eller för att skydda den registrerade eller andra personers fri- och rättigheter. Övergripande rättslig reglering av behandling av personuppgifter Rätten till insyn och rättelse m.m. får också i vissa fall inskränkas i fråga om personregister för statistikändamål eller vetenskapliga forskningsändamål. Kapitel III innehåller bestämmelser om behandlingen i nationell lag av flödet av personuppgifter över gränserna. Kapitel IV och V reglerar formerna för samarbetet mellan konventionsstaterna, medan kapitel VI och VII innehåller bestämmelser om hur man kan ansluta sig till konventionen och hur den kan ändras. antogs och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Dataskyddsdirektivets principer om skydd för enskilda personers fri- och rättigheter är en precisering och förstärkning av dataskyddskonven- tion. Syftet med dataskyddsdirektivet är att garantera dels en hög skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, dels en likvärdig skyddsnivå i alla medlemsstater, så att staterna inte ska kunna hindra det fria flödet mellan dem av personuppgifter under hänvis- ning till enskilda personers fri- och rättigheter. Dataskyddsdirektivet är direkt bindande för medlemsstaterna när det gäller det resultat som ska uppnås. Dataskyddsdirektivet måste införlivas i den nationella lagstiftningen. Medlemsstaterna bestämmer själva på vilket sätt det ska införlivas, men de är därvid starkt bundna av själva innehållet i dataskyddsdirektivet. Medlems- staterna får alltså inte föreskriva vare sig ett bättre eller sämre skydd för den personliga integriteten vid behandling av person- uppgifter eller för det fria flödet av sådana uppgifter. Dataskyddsdirektivet omfattar för det första helt eller delvis automatiserad behandling av personuppgifter. För det andra omfattas behandling av personuppgifter, om uppgifterna ingår i eller kommer att ingå i ett register. Utanför tillämpnings- området faller t.ex. ostrukturerade akter. Dataskyddsdirektivet innehåller en rad grundläggande krav på behandlingen av personuppgifter. All behandling av person- uppgifter måste vara laglig och korrekt. Uppgifterna måste vara riktiga och aktuella samt adekvata, relevanta och nödvändiga med Övergripande rättslig reglering av behandling av personuppgifter hänsyn till de ändamål för vilka de behandlas. Ändamålen ska vara uttryckligen angivna vid tiden för insamling av uppgifterna och ändamålsangivelsen ska vara särskild och inte alltför allmänt hållen. De ändamål för vilka uppgifterna senare behandlas får inte vara oförenliga med de ursprungliga ändamålen (den s.k. finalitets- principen). Personuppgifter får behandlas bara i vissa fall; efter att den registrerade otvetydigt har lämnat sitt samtycke eller i samband med fullgörande av avtal där den registrerade är part. Behandling får emellertid även ske om det är nödvändigt för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige, eller för att skydda vitala intressen för den registrerade. Vidare får behandling ske om den är nödvändig för att utföra en arbetsuppgift som antingen är av allmänt intresse eller utgör ett led i myndighets- utövning. Slutligen får personuppgifter behandlas efter en intresse- avvägning, nämligen om intresset av att den registeransvarige får behandla uppgifterna överväger den registrerades intresse av att de inte behandlas. Vissa uppgifter får inte behandlas utan uttryckligt samtycke av den registrerade. Det gäller sådana uppgifter som avslöjar den enskildes ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap. i fackförening samt uppgifter som rör hälsa och sexualliv. I vissa särskilt angivna undantagsfall får dock sådan behandling ske även utan den enskildes samtycke, t.ex. när behandling av sådana uppgifter är nödvändig för åtgärder inom hälso- och sjukvård eller liknande. Medlemsstaterna får, under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse, besluta om andra undantag. Dataskyddsdirektivet förpliktar den registeransvarige att informera den registrerade om att personuppgifter är föremål för behandling och att redogöra för ändamålet med behandlingen. Har uppgifterna inte samlats in från den registrerade själv, behöver den registeransvarige inte lämna någon information om det skulle visa sig vara omöjligt eller innebära en ansträngning som inte står i proportion till nyttan. Den registrerade har emellertid rätt att på begäran få information om de registrerade uppgifterna. Den registrerade har även rätt att få sådana uppgifter som inte har behandlats i enlighet med dataskyddsdirektivets bestämmelser rättade, utplånade eller blockerade. Om en uppgift rättas ska den registeransvarige underrätta tredje man som fått del av den felaktiga uppgiften. Underrättelse behövs inte i de fall där sådan är Övergripande rättslig reglering av behandling av personuppgifter omöjlig eller förenad med en oproportionerligt stor arbetsinsats. Medlemsstaterna får föreskriva begränsningar i fråga om vissa skyldigheter och rättigheter, bl.a. informationsskyldigheten och rättigheten att på begäran få tillgång till uppgifter. En sådan begränsning måste vara en nödvändig åtgärd med hänsyn till vissa allmänna intressen, bl.a. intresset av att undersöka, avslöja och åtala för brott samt skyddet av den registrerades eller andras fri- och rättigheter. Till skydd för den registrerade innehåller dataskyddsdirektivet även bestämmelser om säkerhet vid behandlingen. Genom lämpliga tekniska och organisatoriska åtgärder ska den registeransvarige skydda personuppgifter mot otillåten behandling samt mot förstöring, förlust, ändring eller otillåten spridning. Det åligger varje medlemsstat att tillse att det utses en eller flera myndigheter som har till uppgift att inom dess territorium övervaka tillämpningen av de bestämmelser som medlemsstaterna antar till följd av dataskyddsdirektivet. Det föreskrivs ett relativt omfattande anmälningsförfarande till tillsynsmyndigheten när det gäller helt eller delvis automatiserad behandling av personuppgifter. Undantag från anmälningsplikt får dock föreskrivas under vissa förutsättningar. Dataskyddsdirektivet syftar till ett fritt flöde av personuppgifter mellan medlemsstaterna. Som huvudregel gäller att överföring av personuppgifter som är under behandling, eller är avsedda att behandlas efter överföringen, till ett land utanför EU eller EES (tredje land), får ske endast om det mottagande landets lagstiftning kan säkerställa en adekvat skyddsnivå. Vad som är en adekvat skyddsnivå får avgöras med hänsyn tagen till bl.a. de uppgifter som ska behandlas och ändamålet med behandlingen. I vissa fall får personuppgifter föras över till länder vars lagstiftning i och för sig inte erbjuder en adekvat skyddsnivå. Det gäller bl.a. om den registrerade går med på att överföring sker eller om överföringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen. undertecknades Lissabonfördraget om ändring av fördraget om Europeiska unionen och fördraget om upprättandet av Europeiska gemenskapen (Lissabonfördraget) Övergripande rättslig reglering av behandling av personuppgifter samt de protokoll som har förtecknats i slutakten till fördraget, av stats- och regeringschefer och ministrar från alla EU-länder. Fördraget trädde i kraft . Lissabonfördraget innebär bl.a. att EU:s stadga om de grund- läggande rättigheterna av , anpassad i , blir rättsligt bindande. Stadgan tydliggör vilka grundläggande rättigheter och principer som EU:s institutioner ska värna i sin verksamhet och inom ramen för sina befogenheter. Det blir mer synligt för medborgare, myndigheter och nationella domstolar vilka rättigheter medborgarna har inom ramen för unionsrätten. I stadgan finns bestämmelser som klargör förhållandet mellan stadgan och andra regelverk, t.ex. Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (), och som tydliggör att stadgan inte innebär att unionen får utvidgade befogenheter.22 I stadgan, avdelning II, Friheter, artikel 8, anges att var och en har rätt till skydd av de personuppgifter som rör honom eller henne (1.). Det anges vidare att dess uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens sam- tycke eller någon annan legitim och lagenlig grund (2.). Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och få rättelse av dem (2.). Slutligen ska en oberoende myndighet kontrollera att dessa regler efterlevs (3. Den grundläggande ramen för behandling av personuppgifter återfinns i personuppgiftslagen (1998:204) (PUL). Lagen bygger till största delen på och rådets direktiv av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, det s.k. dataskyddsdirektivet, vars innehåll beskrivs i avsnitt 3.4.2 ovan. Syftet med PUL är att skydda människor mot att deras personliga integritet kränks genom behandling av person- uppgifter. Varje behandling kan per definition sägas utgöra ett intrång i den personliga integriteten och det är uppenbart att sådana intrång 22 Se närmare om Lissabonfördraget och Europiska unionens stadga om de grundläggande rättigheterna i prop. 2007/08:168 Lissabonfördraget s. 76 ff. Övergripande rättslig reglering av behandling av personuppgifter i viss mån måste tillåtas. Intrånget måste dock stå i rimlig proportion till det intresse som ska tillgodoses med behandlingen. De grundläggande bestämmelserna om skydd för den personliga integriteten finns, som nämnts ovan, i 2 kap. 3 § RF och PUL har alltså till syfte att uppfylla RF:s intentioner i fråga om integritets- skydd i automatiserad verksamhet.23 Som framgår av namnet avser PUL behandling av personuppgifter, vilket i lagens 3 § definieras som all slags information som direkt eller indirekt kan hänföras till en fysisk person i livet. Begreppet behandling av personuppgifter omfattar i stort sett allt man kan göra med sådana uppgifter, exempelvis samla in, söka, bevara och sprida uppgifter. Lagen omfattar i princip endast behandling av personuppgifter som är helt eller delvis automati- serad, dvs. i första hand datoriserad. Även behandling kan dock omfattas, nämligen om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter vilka är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, se 5 §. Lagen är subsidiär i förhållande till andra författningar, se 2 §. Finns det bestämmelser i en annan lag eller i en förordning som avviker från PUL, ska alltså de bestämmelserna tillämpas i stället. I den utsträckning som en lag eller förordning med avvikande bestämmelser inte innehåller bestämmelser om sådant som regleras i PUL, ska tillämpas.24 Även bestämmelser som föreskriver att myndigheter eller enskilda får eller ska lämna ut uppgifter omfattas av 2 § och ska alltså ha företräde framför bestämmelserna i . Enligt 6 kap. 5 § OSL ska t.ex. en myndighet på begäran av en annan myndighet lämna ut uppgift som den förfogar över i den mån hinder inte möter på grund av bestämmelser om sekretess (se mer avsnitt 3.5).25 PUL ska enligt 8 § inte tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet att lämna ut personuppgifter enligt 2 kap. TF, som reglerar allmänna handlingars offentlighet. 23Ds 2007:43 s. 101. 1997/98:44, s. 114. 25Sören och , Personuppgiftslagen, En kommentar, Tredje upplagan, s. 63. Övergripande rättslig reglering av behandling av personuppgifter Offentlighetsprincipen innebär i praktiken bl.a. att myndigheter är skyldiga att sprida en stor mängd personuppgifter till en obestämd krets av mottagare som kan utnyttja uppgifterna för ett okänt antal ändamål.26 Enligt TF får rätten att ta del av allmänna handlingar begränsas bl.a. om det är påkallat med hänsyn till skyddet för den enskildes personliga och ekonomiska förhållanden. En sådan begränsning, som alltså i motsvarande mån inskränker en myndighets skyldighet att lämna ut allmänna handlingar, finns i 21 kap. 7 § OSL, som i sin tur hänvisar till PUL. Enligt paragrafen gäller sekretess för person- uppgift om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med PUL. Det är således bestämmelsen i 21 kap. 7 § OSL, med sin hänvisning till PUL, och inte PUL i sig som inskränker myndighetens skyldighet att lämna ut person- uppgifter enligt 2 kap. TF. 3.5.2Förutsättningar för behandling av personuppgifter Enligt 9 § ska en personuppgiftsansvarig se till att personuppgifter behandlas bara om det är lagligt. Den personuppgiftsansvarige ska vidare se till att personuppgifter behandlas på ett korrekt sätt och i enlighet med god sed, att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, att de inte behandlas för något ändamål som är oförenligt med det för vilket de samlades in, att de personuppgifter som behandlas är riktiga och om nödvändigt aktuella, att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålet med behandlingen och att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. I 10 § anges uttömmande i vilka fall det över huvud taget är tillåtet att behandla personuppgifter, nämligen om den registrerade har lämnat sitt samtycke till det eller behandlingen är nödvändig för olika uppräknade syften. Bland annat får en behandling ske utan samtycke i syfte att skydda vitala intressen för den registrerade. Det krävs inte att den registrerade inte kan lämna sitt samtycke till behandlingen. Även om den registrerade uttryckligen mottsätter sig behandlingen får den utföras för att kunna skydda vitala intressen för den registrerade. 26 Samma källa s. 148. Övergripande rättslig reglering av behandling av personuppgifter Personuppgiftslagen innehåller ett principiellt förbud att behandla personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap. Det är också förbjudet att behandla sådana uppgifter som rör hälsa eller sexualliv. En gemensam beteckning för uppgifter av denna art är känsliga personuppgifter. När det gäller begreppet hälsa anses det omfatta bl.a. uppgifter som indirekt rör hälsotillstånd, t.ex. uppgift om behov av rullstol eller andra hjälpmedel.27 Känsliga personuppgifter får, trots förbudet, behandlas om den registrerade har lämnat sitt samtycke till behandlingen (15 §). Även utan samtycke kan en sådan behandling ske under vissa förutsätt- ningar. För det första krävs att behandlingen är nödvändig för något av de syften som anges i 10 §. Därutöver måste behandlingen ske med stöd av en särskild bestämmelse som tillåter behandling av känsliga personuppgifter. Enligt 16 § kan det ske om det är nödvändigt för att den registrerades eller någon annans vitala intressen ska kunna skyddas och den registrerade inte kan lämna sitt samtycke. Vid bedömningen av om den registrerade kan eller inte kan lämna sitt samtycke torde tidsaspekten behöva beaktas. Det är således tillräckligt att den registrerade inte kan tillfrågas om sitt samtycke i sådan tid som krävs för att de vitala intressena ska kunna skyddas.28 Enligt en särskild bestämmelse i PUL får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om ytterligare undantag från förbudet att behandla känsliga person- uppgifter, om det behövs med hänsyn till ett viktigt allmänt intresse. Det har i lagstiftningsärenden ansetts att det är ett viktigt allmänt intresse t.ex. att kommuner, trafikhuvudmän och beställningscentraler ska ha möjlighet att utföra sina arbets- uppgifter på ett tillfredsställande sätt.29 När det gäller uppgifter om personnummer och samordnings- nummer är en behandling utan samtycke endast tillåtet när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl (22 §). Även här krävs som en första förutsättning att behandlingen sker i överensstämmelse med 10 §. 27Samma källa s. 230. 28Samma källa s. 242. 29Samma källa s. 265. Övergripande rättslig reglering av behandling av personuppgifter Som utgångspunkt ska den registrerade erhålla information av den personuppgiftsansvarige om behandlingen av uppgifterna. Den skyldighet att lämna information som anges i personuppgiftslagen gäller i princip utöver den informationsskyldighet som kan vara föreskriven i annan lagstiftning. Den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana person- uppgifter som inte har behandlats i enlighet med personuppgifts- lagen eller föreskrifter som har utfärdats med stöd av lagen, se 28 §. All behandling av personuppgifter ska ske på ett betryggande sätt, se 30 och 31 §§ PUL. Den personuppgiftsansvarige har stort ansvar för säkerheten vid behandling av personuppgifter. Bland annat får de personer som arbetar med personuppgifter behandla dessa endast efter den personuppgiftsansvariges instruktioner. Instruk- tionerna bör i vart fall vara utformade på ett sådant sätt att var och en som arbetar med personuppgifter ska veta vilka ändamålen är med behandlingen och att behandling som är oförenlig med dessa ändamål är förbjuden. Den personuppgiftsansvarige har vidare ansvar för att tekniska och organisatoriska åtgärder vidtas för att skydda de behandlade personuppgifterna. 3.5.5Överföring av personuppgifter till tredje land Det är förbjudet att föra över personuppgifter till ett land som inte är medlem i EU eller ansluten till EES (tredje land) om landet inte har en adekvat nivå för skyddet av personuppgifterna, se 33 §. Frågan om en skyddsnivå är adekvat ska bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt ska läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen ska pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i tredje landet. Även när det gäller förbudet att föra över personuppgifter till tredje land föreskrivs i 34 § vissa undantag, bl.a. för det fall att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. Övergripande rättslig reglering av behandling av personuppgifter Vidare får regeringen enligt 35 § meddela föreskrifter om generella undantag från förbudet att föra över personuppgifter till tredje land.