sou · H3B339 · 2015-04-08 00:00:00 — En förutsättning för att undantaget ska vara tillämpligt är dock att det är nödvändigt att överföra personupp- gifterna. Kan uppgiftsskyldigheten fullgöras utan personuppgifter eller med anonymiserade uppgifter, är nödvändighetsrekvisitet inte uppfyllt. Vidare måste överföringen ske med godtagbar säkerhet till skydd för uppgifterna. Såvitt avser sekretessbelagda personuppgifter måste det vidare självfallet vara fråga om ett tillåtet utlämnande enligt offentlighets- och sekretesslagen, jfr 8 kap. 3 § OSL angående utlämnande till utländska myndigheter eller mellanfolkliga orga- nisationer. Är det fråga om en särskilt föreskriven uppgiftsskyl- dighet i lag eller förordning följer av 8 kap. 3 § första punkten att sekretess inte hindrar ett utlämnande. Med lag eller förordning likställs en EU-förordning. Är det fråga om en skyldighet att över- föra uppgifter till följd av ett internationellt avtal som är bindande för får en prövning göras enligt andra punkten i samma paragraf enligt vilken sekretess inte utgör något hinder om upp- giften i motsvarande fall skulle få lämnas ut till en svensk myndig- het och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgiften lämnas till den utländska myndigheten eller den mellanfolkliga organisationen. En prövning enligt andra punkten i fall som avses torde som regel utmynna i bedömningen att personuppgifterna i fråga kan läm- nas ut utan hinder av sekretess. Vi delar bedömning att dom i det s.k. konfirmandmålet måste förstås på det sättet att pub- licering av uppgifter på internet i de allra flesta fall inte innebär överföring till tredjeland i dataskyddsdirektivets mening. Något undantag från 33 § PuL är därför inte påkallat för att tillgodose myndigheternas behov av internetpubliceringar. Huruvida en viss internetpublicering utgör en tillåten behandling enligt de grundlägg- ande kraven i 9 § PuL är en helt annan sak. 13 Information till den registrerade Att en registrerad kan få information om och insyn i behandlingar av personuppgifter om honom eller henne är en förutsättning för att han eller hon ska kunna kontrollera om behandlingen är lagenlig och i övrigt ta tillvara sina intressen och rättigheter. Direktivet innehåller därför bestämmelser om både skyldigheter för personupp- giftsansvariga att självmant informera och rättigheter för registre- rade att få information. Bestämmelserna om information som registeransvariga själv- mant ska lämna till den registrerade finns i artiklarna 10 och 11. Medlemsstaterna har frihet att föreskriva en vidare informations- plikt än vad som följer av artikel 10 eller 11 i direktivet, som i dessa avseenden är minimikrav. Artiklarna talar alltså om vad personupp- giftsansvariga i vart fall eller åtminstone måste informeras om. Be- stämmelserna om den registrerades rätt att på begäran få informa- tion från den registeransvarige finns i artikel 12 a. Generella möjlig- heter till begränsningar i skyldigheterna respektive rättigheterna anges i artikel 13. Dessutom görs vissa undantag direkt i artiklar- na 10 och 11. Artikel 10 reglerar informationsplikten i samband med att per- sonuppgifter samlas in från den registrerade själv. Medlemsstaterna åläggs att föreskriva att han eller hon då i vart fall ska få informa- tion om följande. a)Den registeransvariges och dennes eventuella företrädares identitet. b)Ändamålen med den behandling för vilken uppgifterna är avsedda. Information till den registrerade c)All ytterligare information, exempelvis –mottagarna eller de kategorier som mottar uppgifterna, –huruvida det är obligatoriskt eller frivilligt att besvara frågorna samt eventuella följder av att inte svara, –förekomsten av rättigheter att få tillgång till och att erhålla rättelse av uppgifter som rör honom, i den utsträckning som den ytterligare informationen – med hän- syn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling. Information enligt artikel 10 behöver dock inte lämnas om den registrerade redan känner till informationen. Artikel 11 reglerar informationsplikten när behandlade uppgifter inte har samlats in från den registrerade. Av bestämmelsen följer att medlemstaterna ska föreskriva att den registeransvarige då ska lämna den registrerade samma information som anges i artikel 10 a, b och c dock att, beträffande den ytterligare information som ska ges enligt punkten c, information ska ges om de kategorier av uppgifter som behandlingen gäller i stället för huruvida det är obligatoriskt eller frivilligt att besvara frågor. Informationen ska lämnas vid tiden för registreringen av personuppgifter eller, om utlämnande till en tredje man kan förutses, inte senare än då upp- gifterna först lämnas ut. Inte heller enligt artikel 11 behöver information lämnas om det som den registrerade redan känner till. Dessutom gäller att informa- tion inte behöver lämnas när det visar sig vara omöjligt eller innebär en oproportionerligt stor ansträngning att ge information. Informa- tion behöver inte heller ges om registreringen eller utlämnandet uttryckligen föreskrivs i författning. Detta gäller särskilt i samband med behandling för statistiska ändamål eller historiska eller veten- skapliga forskningsändamål. I sådana fall ska medlemsstaterna före- skriva lämpliga skyddsåtgärder (artikel 11.2). Enligt punkten 40 i ingressen till direktivet kan i detta sammanhang antalet registrerade, uppgifternas ålder och de kompensatoriska åtgärder som kan vidtas tas i beaktande. Artikel 12 a anger att medlemsstaterna ska säkerställa att varje registrerad har rätt att från den registeransvarige Information till den registrerade –få bekräftelse på om uppgifter som rör honom behandlas eller inte och information om åtminstone ändamålen med behand- lingen, de berörda uppgiftskategorierna och mottagarna eller mottagarkategorierna till vilka uppgifterna utlämnas, –få begriplig information om vilka uppgifter som behandlas och all tillgänglig information om varifrån dessa uppgifter kommer, –få kännedom om den logik som används när uppgifter som rör honom behandlas på automatisk väg åtminstone såvitt avser så- dana automatiska beslut som avses i artikel 15.1. Detta ska ske med rimliga intervall samt utan större tidsutdräkt eller kostnader. Medlemsstaterna får genom lagstiftning vidta åtgärder för att begränsa de registeransvarigas skyldigheter och de registrerades rättigheter enligt artiklarna 10–12. Förutsättningarna för detta anges i artikel 13. Det krävs att begränsningarna är en nödvändig åtgärd med hänsyn till a) statens säkerhet, b) försvaret, c) allmän säkerhet, d) förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för lagreg- lerade yrken, e) ett viktigt ekonomiskt eller finansiellt intresse hos en medlemsstat eller hos Europeiska unionen, inklusive monetära frågor, budgetfrågor och skattefrågor, f) en tillsyns-, inspektions- eller regleringsfunktion som, även om den är av övergående karak- tär, är förbunden med myndighetsutövning i de under punkterna c, d och e nämnda fallen, eller g) skydd av den registrerades eller andras fri- och rättigheter. Dessutom får medlemsstaterna, i synnerhet om uppgifterna inte används för åtgärder eller beslut som avser särskilda registrerade personer, i fall då det uppenbarligen inte föreligger någon risk att den berörda personens privatliv kränks, genom lagstiftning begränsa de rättigheter som anges i artikel 12 när uppgifterna endast behand- las för ändamål som har med vetenskaplig forskning att göra eller när uppgifterna endast lagras i form av personuppgifter som inte överstiger den tid som är nödvändig för att framställa statistik (artikel 11.2). Möjligheten till begränsningar enligt denna punkt förutsätter dock lämpliga rättsliga garantier. Information till den registrerade Bestämmelserna i artiklarna 10–12 rörande information har genom- förts i svensk lagstiftning genom 23–26 §§ PuL. Bestämmelserna följer i stort direktivets disposition och innehåll. Samtliga paragrafer hör till dem som räknas upp i den s.k. miss- bruksregeln i 5 a § första stycket PuL. De behöver alltså inte tillämpas vid behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har struktu- rerats för att påtagligt underlätta sökning eller sammanställning av personuppgifter, s.k. ostrukturerat material. Bestämmelserna i 23–26 §§ PuL gäller inte i den utsträckning det är särskilt föreskrivet i lag eller annan förordning eller i beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade. Detta följer av 27 § PuL. För myn- digheters del är det bestämmelser i offentlighets- och sekretess- lagen som åsyftas, dvs. bestämmelser som innebär hinder mot att personuppgifter röjs på grund av sekretess. Sekretess till skydd för enskilda gäller inte gentemot den enskilde själv annat än i rena undantagsfall (12 kap. 1 § OSL). Det innebär i praktiken att sekre- tess begränsar informationsskyldigheten enligt 23–26 §§ PuL bara i fråga om uppgifter som omfattas av sekretess till skydd för det allmännas intresse, t.ex. sekretess för uppgifter till skydd för brotts- bekämpningen, eller avser ett sekretesskyddat intresse hos någon annan enskild än den registrerade. Enligt 50 § e PuL meddelar regeringen, eller myndighet som regeringen bestämmer, närmare föreskrifter om vilken information som ska lämnas till den registrerade och hur informationen ska lämnas. Datainspektionen har genom 16 § PuF bemyndigats att meddela sådana föreskrifter. Några föreskrifter har dock inte med- delats. Däremot har inspektionen utfärdat allmänna råd om infor- mation till registrerade. Information som den personuppgiftsansvarige ska lämna självmant Bestämmelserna i 23–25 §§ PuL motsvarar artiklarna 10 och 11 i dataskyddsdirektivet. I förarbetena anmärktes att dessa artiklar måste genomföras i svensk lagstiftning och att det borde ske genom att bestämmelserna fördes över till personuppgiftslagen, som alltså Information till den registrerade inte går längre än vad som krävs enligt direktivet (prop. 1997/98:44 s. 79). I 23 § PuL föreskrivs att om uppgifter om en person samlas in från personen själv, ska den personuppgiftsansvarige i samband där- med självmant lämna den registrerade information om behandlingen av uppgifterna. Om personuppgifterna har samlats in från någon annan källa än den registrerade, ska, enligt 24 § första stycket PuL, den person- uppgiftsansvarige självmant lämna den registrerade information om behandlingen av uppgifterna när de registreras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver informationen dock inte ges förrän uppgifterna lämnas ut . Enligt 24 § andra stycket behöver information dock inte lämnas, om det finns bestämmelser om registrerandet eller utlämnandet av personupp- gifterna i en lag eller någon annan författning. För att detta undan- tag ska vara tillämpligt, krävs att författningsregleringen uttryck- ligen tar sikte på registrering eller utlämnande av personuppgifter, se artikel 11.2 i direktivet. Tanken bakom undantaget är att den registrerade har möjlighet att genom att ta del av författningen få kännedom om vad som kan komma att hända med uppgifterna. I Datainspektionens allmänna råd om information till registrerade anges att myndigheters registrering av allmänna handlingar enligt 5 kap. 1 och 2 §§ OSL omfattas av undantaget. anförde att bestämmelser om arkivmyndigheters omhändertagande av arkivmaterial är tillräckligt preciserade för att omfattas av det nämnda undantaget (SOU 1997:39 s. 388). I 24 § tredje stycket PuL föreskrivs vidare att information enligt första stycket inte be- höver lämnas, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade, ska dock information lämnas senast i samband med att så sker. I 25 § första stycket PuL anges närmare vad information enligt 23 eller 24 § ska innehålla, nämligen följande. a)uppgift om den personuppgiftsansvariges identitet, b)uppgift om ändamålen med behandlingen, och Information till den registrerade c)all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Det har alltså inte meddelats några föreskrifter om hur information enligt 23 eller 24 § ska lämnas, utan det är en fråga som i hög grad beror på omständigheterna i det enskilda fallet. Vägledning finns i Datainspektionens allmänna råd. Där lämnas bl.a. rekommenda- tioner om hur information bör ges när uppgifter samlas in munt- ligen, via blanketter, via loggning då internet används m.m. En viktig begränsning i informationsskyldigheten enligt 23 och 24 §§ är att information inte behöver lämnas om sådant som den registrerade redan känner till (25 § andra stycket PuL). Det är ett undantag som har stor relevans för myndigheters behandling av personuppgifter. I förarbetena uttalades att eftersom utlämnande av allmänna handlingar enligt offentlighetsprincipen föreskrivits i svensk grundlag, kan det förutsättas att all- mänheten redan känner till att så kan ske. Därför torde det inte vara nödvändigt att lämna särskild information i det hänseendet (prop. 1997/98:44 s. 44 f.). Däremot kan givetvis information läm- nas om att uppgifterna kan komma att lämnas ut enligt 2 kap. TF till var och en som begär det. Datainspektionen framhåller i sina allmänna råd att den registre- rade under vissa förutsättningar får anses känna till behandlingen även om någon information inte har lämnats av den personupp- giftsansvarige eller någon annan. Om den registrerade själv har lämnat in personuppgifter till den personuppgiftsansvarige, t.ex. genom att till en kommun lämna in en ansökan om ekonomiskt bistånd, behöver kommunen inte lämna information så länge upp- gifterna bara behandlas för de ändamål som den registrerade kan förutse. I en sådan situation får den registrerade anses känna till den personuppgiftsansvariges identitet och ändamålen med behand- lingen. Det får också anses att den registrerade under nämnda förutsättning inte är i behov av ytterligare information för att kunna ta tillvara sina rättigheter. I sammanhanget bör nämnas att de principer om parts rätt till insyn i ärenden och myndigheternas skyldighet att se till att parten får del av uppgifter som tillförts ett ärende av annan än parten själv Information till den registrerade medför att registrerades behov av insyn i personuppgiftsbehand- lingen i praktiken ofta tillgodoses genom förfaranderegleringar som gäller i mål- och ärendehantering hos domstolar och myndig- heter. Centrala bestämmelser om rätten till partsinsyn och myndig- heters kommunikationsplikt finns i 16 och 17 §§ FL. Motsvarande rätt till insyn och skyldigheter att självmant kommunicera upp- gifter med parter finns i de processuella regelverken, se t.ex. 10–12, 18, 19 och 43 §§ FPL eller 22 § lagen (1996:242) om domstolsären- den. Motsvarande följer även av . Rätten till insyn och skyldigheten att kommunicera uppgifter enligt förfarandereg- lerna är mer vidsträckt än enligt personuppgiftslagens informations- regler genom att de inte annat än i undantagsfall kan begränsas på grund av sekretess, se 10 kap. 3 § OSL. Information som ska lämnas efter ansökan Bestämmelserna i 26 § första stycket PuL handlar om information som den personuppgiftsansvarige är skyldig att lämna efter ansökan från den registrerade. Enligt bestämmelserna ska var och en som ansöker om det en gång per kalenderår lämnas gratis besked om personuppgifter som rör den sökande behandlas eller inte. Behandlas sådana uppgifter, ska dessutom skriftlig information lämnas om a)vilka uppgifter om den sökande som behandlas, b)varifrån dessa uppgifter har hämtats, c)ändamålen med behandlingen, och d)till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Det ska observeras att det i 26 § inte finns någon motsvarande be- gränsning som i 25 § beträffande uppgifter som den registrerade redan känner till. Även sådan information ska alltså lämnas. Det kan t.ex. innebära att information måste omfatta uppgifter som den registrerade redan har fått del av i ett numera avgjort ärende på grund av ovan nämnda bestämmelser i förvaltningslagen om kom- munikationsplikt m.m. i det då pågående förfarandet. Information till den registrerade När det gäller information om varifrån uppgifterna kommer, punkt b, behöver den personuppgiftsansvarige bara lämna den infor- mation som finns tillgänglig för denne. Den personuppgifts- ansvarige behöver alltså inte hålla reda på varifrån uppgifterna har hämtats, men vet den personuppgiftsansvarige det när den registre- rade ansöker om information ska det uppges (prop. 1997/98:44 s. 81 f.). När det gäller punkten d kan man utgå från att personuppgifts- lagen inte kräver att myndigheter dokumenterar utlämnande till mottagare som begärt insyn enligt 2 kap. TF. Det är nämligen inte förenligt med det s.k. frågeförbudet enligt 2 kap. 14 § TF att myn- digheter vid offentlighetsuttag dokumenterar vilka mottagare som fått del av allmänna handlingar med personuppgifter. Däremot bör i informationen allmänt anges att uppgifterna kan komma att lämnas ut enligt offentlighetsprincipen till den som begär det, i den mån de inte är sekretessbelagda (jfr prop. 1997/98:44 s. 45). Datainspektionen framhåller i sina allmänna råd att avsikten är att den personuppgiftsansvarige från sina register eller andra sam- lingar av personuppgifter ska lämna ett utdrag med alla de upp- lysningar som är att anse som personuppgifter beträffande den registrerade. När personuppgifter behandlas automatiserat ska alltså enligt Datainspektionen information om vilka uppgifter som be- handlas ges genom att den registrerade erhåller en datautskrift. När det gäller behandling av personuppgifter ska information i stället lämnas genom att den registrerade erhåller en kopia av de personuppgifter som finns i det registret. En ansökan om information kan inte göras formlöst. Det krävs att ansökan görs skriftligen hos den personuppgiftsansvarige. Ansökan ska vara undertecknad av den sökande själv (26 § andra stycket första meningen PuL). Enligt Datainspektionens allmänna råd medför det att ansökan måste göras per pappersskrift. Det vik- tiga i sammanhanget torde vara att på något sätt kunna kontrollera att begäran verkligen härrör från den registrerade själv. Något väg- ledande avgörande om att ansökan bara kan göras per pappersskrift eller om en kvalificerad elektronisk signatur skulle kunna vara god- tagbar finns inte. Informationen ska lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får informationen läm- nas senare, dock senast efter det att ansökan gjordes Information till den registrerade (26 § andra stycket andra och tredje meningarna PuL). Sådana sär- skilda skäl kan vara att personuppgifterna är krypterade, att sök- möjligheterna annars är begränsade eller att den personuppgifts- ansvarige har många personuppgifter uppdelade på olika register eller andra datasamlingar (prop. 1997/98:44 s. 132). Föreskrifterna i 26 § första stycket PuL avses genomföra arti- kel 12 a i dataskyddsdirektivet. finns inslag i bestämmel- sen som härrör från en motsvarande bestämmelse om register- utdrag som fanns i 10 § datalagen (1973:289). Kravet på skriftlig och egenhändigt undertecknad ansökan är ett sådant inslag. Likaså ettårsbegränsningen och huvudregeln om enmånadsfristen för när utdraget ska lämnas. Än är det vanligt att information enligt 26 § PuL kallas för registerutdrag, vilket är en missvisande benäm- ning eftersom personuppgiftslagen, och därmed informationsplikten, till skillnad från datalagen omfattar mer än bara personuppgifter som behandlas i register. I förarbetena angavs att det är rimligt att utgå från att regle- ringen i 26 § PuL inte innebär mer än att den personuppgifts- ansvarige är skyldig att utnyttja alla de sök- och sammanställnings- möjligheter som han eller hon har tillgång till för att få fram information att lämna till den registrerade (prop. 1997/98:44 s. 82 f.). Regeringen anslöt sig därmed till vad hade anfört (SOU 1997:39 s. 392 f.). Enligt kommittén var det inte rim- ligt att informationsskyldigheten skulle utformas på ett sådant sätt att den tvingar fram förfaranden som i själva verket kan hota den personliga integriteten. Den personuppgiftsansvarige bör, som kom- mittén såg det, bara vara skyldig att utnyttja alla de sök- och sammanställningsmöjligheter som han eller hon faktiskt och rätts- ligt har tillgång till för att få fram information att lämna till den registrerade. Därmed garanteras att den registrerade får tillgång till all information som den personuppgiftsansvarige själv kan få fram om den registrerade. Vad som närmare kan ha avsetts med sök- och sammanställningsmöjligheter som en personuppgiftsansvarig har tillgång till framgår dock inte. Någon vägledande praxis om hur långtgående sökningar som måste göras finns inte heller. I 26 § tredje stycket PuL finns dock ett visst begränsat undan- tag. Enligt den bestämmelsen behöver den personuppgiftsansvarige inte informera om personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnes- Information till den registrerade anteckning eller liknande. Information måste dock ändå ges i vissa fall, bl.a. om uppgifterna i den löpande texten har behandlats . I förarbetena påpekade regeringen att infor- mationsskyldigheten innebär att registrerade i vissa fall kan ha rätt att med stöd av personuppgiftslagen få ta del av uppgifter om sig själva som allmänheten inte har rätt att få ta del av med stöd av 2 kap. TF. Den registrerade har alltså i viss utsträckning rätt att ta del av uppgifter i handlingar som inte är allmänna, t.ex. person- uppgifter i utkast som har behandlats (prop. 1997/98:44 s. 83 f.). Till skillnad från vad som gäller beträffande information enligt 23–25 §§ PuL kan en myndighets beslut rörande information enligt 26 § överklagas till allmän förvaltningsdomstol enligt 52 § PuL. Denna överklagandebestämmelse infördes vid ändringar av personuppgiftslagen. Även hade motsvarande överklag- andebestämmelser förekommit i en del registerförfattningar. Som allmän princip inom förvaltningsrätten gäller att det bara är sådana beslut som på ett eller annat sätt har gått den klagande emot som är överklagbara. Såvitt avser information enligt 26 § PuL torde detta normalt innebära att det enbart är beslut innebärande helt eller delvis avslag på en begäran som kan överklagas. Rätten att överklaga en myndighets beslut om information en- ligt 26 § är en inhemsk reglering. Dataskyddsdirektivet ställer inget sådant krav. Vad direktivet dock kräver är en rätt att föra talan vid domstol. Se vidare om överklagande i avsnitt 18.3. Missbruksregeln och 26 § PuL Rätten till s.k. registerutdrag fanns alltså redan enligt data- lag. Från tid till annan har emellertid skyldigheten att lämna register- utdrag setts som betungande administrativt och ekonomiskt, se t.ex. utvärdering av dataskyddsdirektivet enligt vilken många myndigheter tog upp registerutdragen som ett problem (Ds 2001:27 s. 75 f.). tog mot den bakgrunden upp frågan om det var möjligt eller lämpligt att genom en ändring i personuppgiftslagen göra någon inskränkning i skyldigheten att lämna registerutdrag. Utredningen uttalade bl.a. följande (SOU 2004:6 Information till den registrerade s. 195 f.). Det som brukar anföras som särskilt betungande för personuppgiftsansvariga är att i vissa fall söka fram alla de person- uppgifter om den registrerade som behandlas.