sou · H3B339 · 2015-04-08 00:00:00 — En sådan bestämmelse gör det också tydligt att skyldigheten att rätta inte enbart gäller felaktiga uppgifter i beslut, utan gäller i fråga om alla former av dokumentation där personuppgifter före- kommer. I materiellt hänseende avses skyldigheten att rätta en felaktig eller komplettera en ofullständig personuppgift inte i någon nämn- värd utsträckning skilja sig från den befogenhet för en myndighet som följer av förvaltningslagen. Det ska alltså vara frågan om ett fel eller en ofullständighet som har uppstått på grund av en åtgärd som inte har sin grund i myndighetens eller någon annans bedömning. Det kan alltså handla om sådana förbiseendefel som omfattas av 26 § FL eller exempelvis ett fel som uppstått p.g.a. något tekniskt förfarande. Inom ramen för denna bestämmelse ska det alltså inte finnas utrymme för att korrigera en personuppgift som ur ett objektivt perspektiv är riktig, men som den registrerade av något skäl anser är felaktig eller ofullständig i förhållande till ändamålet med behandlingen. I det fallet handlar det ju inte om att en uppgift är felaktig eller ofullständig utifrån direktivets krav på att uppgifter som behandlas ska vara riktiga. I stället behöver det göras en be- dömning av om uppgiften är adekvat eller relevant med hänsyn till ändamålet med den aktuella behandlingen. Den typen av bedöm- ningar hör i stället samman med den bestämmelse som vi föreslår nedan. För att det ska vara frågan om en rättelse eller komplet- tering i den mening som avses ska den felaktiga uppgiften kunna ersättas av en annan uppgift som är riktig eller kompletteras med en uppgift så att den blir fullständig i en objektiv mening, exem- pelvis om ett namn är felaktigt eller om endast delar av ett namn har återgetts i en handling hos myndigheten. I 26 § FL, liksom i de processrättsliga reglerna som är utformade på motsvarande sätt, sägs att det ska vara fråga om en ”uppenbar oriktighet” som har orsakats av ”skrivfel, räknefel eller annat lik- nande förbiseende”. En felaktighet eller ofullständighet på grund av en åtgärd som inte har sin grund i någons bedömning kan dock per definition uppfattas vara uppenbar till sin natur. Kravet att oriktig- heten ska vara uppenbar kan dock anses medföra att en viss ytter- ligare utredningsskyldighet åligger den som påkallar en rättelse enligt förvaltningslagens bestämmelse. Mot den bakgrunden bör något sådant krav inte ställas upp. Men även om ett sådant krav inte tas in Skyldighet att vidta åtgärder då personuppgifter är oriktiga eller behandlas otillåtet i den bestämmelse som vi nu föreslår, torde enligt vår mening detta knappast innebära någon större skillnad i sak. Det kan sägas ligga i sakens natur att om en felaktighet av nu aktuellt slag kan konsta- teras föreligga, så är felaktigheten uppenbar. Den bestämmelse som vi nu föreslår innebär därför enligt vår uppfattning i detta hän- seende inte någon nämnvärd skillnad i förhållande till den möjlig- het som förvaltningslagen ger myndigheter att rätta oriktiga upp- gifter. Genom att det införs en särskild bestämmelse i den nya lagen om en skyldighet att rätta eller komplettera en felaktig eller ofull- ständig personuppgift, som åtskiljs från en myndighets skyldighet att korrigera behandlingar som är otillåtna i andra avseenden, upp- nås enligt vår mening en ökad tydlighet. En sådan bestämmelse stämmer också bättre överens med de övriga regelverk som rör myndigheters hantering av uppgifter. Inom ramen för de krav som följer av dataskyddsdirektivet åstadkommer man på så sätt en reg- lering som så nära som möjligt ansluter till förvaltningslagens och de processrättsliga regelverkens bestämmelser om rättelse. Dessa bestämmelser avses ge uttryck för en rimlig balans mellan intressen som rör å ena sidan att de uppgifter som en myndighet hanterar bör vara korrekta och å andra sidan att ett beslut som är slutgiltigt avfattat inte ska kunna ändras på ett godtyckligt sätt. Några särskilda regler om en myndighets skyldighet att doku- mentera att en rättelse av en felaktig eller ofullständig person- uppgift har skett behöver inte införas. I stället gäller vad som följer av andra regler (se t.ex. 32 § tredje stycket andra meningen FPL). Underrättelse till tredje man om en rättelse Enligt artikel 12 c i dataskyddsdirektivet ska den registrerade ha rätt att få ”genomfört” att tredje man, som fått del av en felaktig eller ofullständig personuppgift, underrättas om varje rättelse som utförts enligt artikel 12 b. En sådan skyldighet finns dock inte om det visar sig vara omöjligt eller innebära en oproportionerligt stor ansträngning. Vi vill inledningsvis framhålla att det inte kan anses följa av direktivets krav att det skulle finnas en underrättelseskyldighet enligt artikel 12 c i förhållande till varje tredje man som tagit del av SOU 2015:39 Skyldighet att vidta åtgärder då personuppgifter är oriktiga eller behandlas otillåtet uppgifter i ett offentligt register eller fått del av personuppgifter genom rätten att ta del av allmänna handlingar. En sådan skyldighet skulle rimligen vara omöjlig att uppfylla eller innebära en opropor- tionerligt stor ansträngning. I en myndighets verksamhet torde underrättelseskyldigheten i förhållande till tredje man därför i första hand bli aktuell beträffande en annan part som figurerar i eller direkt berörs av samma ärende som den registrerade. Enligt 26 § förvaltningslagen är tredje mans intresse tillvarataget på så sätt att den som är part ska ges tillfälle att yttra sig innan rättelse sker, om ärendet avser myndighetsutövning mot någon enskild och åtgärden inte är obehövlig. Eftersom befogenheten att rätta enligt denna bestämmelse är begränsad till en myndighets beslut, gäller alltså skyldigheten att ge part tillfälle att yttra sig också enbart när rättelse avses ske i ett beslut. Det förefaller främ- mande att det skulle finnas en skyldighet att låta part yttra sig över en sådan sak innan myndigheten har fattat sitt beslut. Fram till denna tidpunkt förfogar ju parterna i princip över de uppgifter som genom dem själva tillförts ärendet. Av såväl förvaltningslagen som de processrättsliga regelverken följer däremot att en myndighet eller domstol under ett pågående mål eller ärende har en skyldighet att låta part ta del av vad som tillförts ärendet eller målet. Därigenom sker alltså en underrättelse av om uppgifter har ändrats som rör någon av parterna. Dessutom följer av 21 § FL att part ska under- rättas om det beslut som ersätter det rättade beslutet. Motsvarande skyldigheter följer även av de processrättsliga regelverken. Enligt vår uppfattning bör det inte föras in någon bestämmelse i den nya lagen som ger den registrerade en särskild rätt att påkalla underrättelse till tredje man då en rättelse eller komplettering har skett. Det får anses tillräckligt med de skyldigheter som myn- digheten ändå har enligt övriga regelverk att låta parter ta del av vad som tillförts ett ärende och att höra part innan rättelse görs i ett beslut. Enbart den omständigheten att det i så fall inte blir fråga om en åtgärd som den registrerade förfogar över på det sätt som är fallet enligt artikel 12 c i dataskyddsdirektivet innebär enligt vår mening inte att direktivets krav inte är uppfyllda i detta avseende. Vi anser alltså att det är förenligt med dataskyddsdirektivets bestämmelser att inte föreslå att det av den nya lagen ska följa någon särskild rätt för den registrerade att begära att en myndighet underrättar tredje man om en rättelse eller komplettering. Skyldighet att vidta åtgärder då personuppgifter är oriktiga eller behandlas otillåtet 15.4.4En särskild bestämmelse om skyldighet att korrigera en behandling som är otillåten Förslag och bedömning: En bestämmelse införs som föreskriver att en personuppgift på begäran av den registrerade ska avskiljas från fortsatt behandling och inte lämnas ut till en enskild annat än med stöd av 2 kap. TF eller utplånas, om uppgiften rör honom eller henne och inte får behandlas enligt den nya lagen eller före- skrifter som har meddelats med stöd av den. Rätten att begära korrigering i form av avskiljande från fort- satt behandling och hinder mot spridning eller genom utplåning ska inte gälla personuppgifter i en myndighets beslut. En allmän skyldighet att korrigera Enligt artikel 12 b i dataskyddsdirektivet ska medlemsstaterna säker- ställa att varje registrerad får personuppgifter rättade, utplånade eller blockerade som inte behandlas i enlighet med bestämmelserna i direktivet även i andra fall än då uppgifterna är ofullständiga eller felaktiga. Denna skyldighet tar ospecificerat sikte på alla krav som uppställs i direktivet för att en behandling ska vara tillåten. Det kan alltså handla om personuppgifter som varken är felaktiga eller ofull- ständiga, dvs. personuppgifter som i och för sig är riktiga, men ändå inte får behandlas enligt direktivet på grund av att de exempelvis är för gamla eller inte relevanta. Den generella lagen bör därför innehålla en bestämmelse som ger registrerade rätt att, förutom att åberopa att en rättelse eller komplettering bör ske, göra gällande att en personuppgift inte får behandlas av myndigheten i fråga. Av bestämmelsen bör också framgå att myndigheten är skyldig att korrigera en behandling om den är otillåten. Frågan om en personuppgift behandlas i strid med den nya lagen får bedömas mot bakgrund av de bestämmelser som är tillämpliga på behandlingen och för det ändamål som myndig- heten behandlar uppgiften (jfr RÅ 2006 ref. 86). SOU 2015:39 Skyldighet att vidta åtgärder då personuppgifter är oriktiga eller behandlas otillåtet Vilka korrigeringsåtgärder ska vidtas? I såväl dataskyddsdirektivet som personuppgiftslagen används begreppen att rätta, blockera eller utplåna för att beskriva de for- mer av korrigering som ska göras för att en behandling av person- uppgifter ska bli tillåten. Enligt vår mening bör alltså begreppet rättelse förbehållas de fall då en myndighet korrigerar en person- uppgift som är felaktig till sitt innehåll. Den skyldighet som vi nu talar om, dvs. att myndigheten ska korrigera en behandling av per- sonuppgifter som inte är förenlig med gällande bestämmelser, måste alltså benämnas på annat sätt än genom termen rättelse. I såväl dataskyddsdirektivet och personuppgiftslagen används begreppen blockera eller utplåna en personuppgift för att beskriva de åtgärder som ska vidtas. Vilken metod som ska användas har det i princip ansetts vara upp till den personansvarige att avgöra, även när den ansvarige är en myndighet (se t.ex. prop. 2007/08:116 s. 20 om rättelse i databaser). Eftersom utplåning anses innebära att personuppgifter tas bort från informationssamlingarna på ett sådant sätt att de inte ur dessa samlingar kan återskapas, bör en sådan åtgärd vidtas av en myn- dighet bara om den är förenlig med huvudprincipen att allmänna handlingar ska bevaras i myndigheternas arkiv. Detta innebär att utplåning av personuppgifter i allmänna handlingar som utgör s.k. färdiga elektroniska handlingar, handlingar i pappersform och så- dana handlingar som tagits om hand för arkivering inte bör ske utan uttryckligt lagstöd. Sådant stöd torde finnas endast i absoluta undantagsfall. Som exempel kan nämnas att det i 7 kap. 2 § andra stycket patientdatalagen (2008:355) finns bestämmelser om att personuppgifter ska utplånas ur kvalitetsregister om den enskilde motsätter sig att de behandlas. Enligt 8 kap. 4 § samma lag får Inspek- tionen får vård och omsorg på ansökan av en patient eller någon annan som omnämns i en patientjournal besluta att journalen helt eller delvis ska förstöras. Den bestämmelse som vi nu föreslår bör alltså inte kunna åberopas till stöd för en myndighet att utplåna personuppgifter i allmänna handlingar utan en bedömning att en Skyldighet att vidta åtgärder då personuppgifter är oriktiga eller behandlas otillåtet sådan åtgärd är förenlig med de intressen som bär upp regler om arkiv. Såvitt avser personuppgifter i allmänna handlingar torde således utrymmet för myndigheter att utplåna personuppgifter som har be- handlats på ett sätt som inte är förenligt med gällande bestäm- melser vara mycket litet. Frågan är vilken åtgärd myndigheten i stället ska vidta för att korrigera en behandling som kommer till uttryck eller dokumenteras på det sättet fast den inte är tillåten. Frågan om personuppgifter har behandlats be- döms på myndighetsområdet utifrån vad som föreskrivs i bestäm- melser om gallring. Den åtgärd som ska vidtas i så fall är alltså att följa tillämplig gallringsbestämmelse. Någon särskild bestämmelse om detta behöver därför inte föras in i den nya lagen (se vidare kapitel 14). Blockering ersätts med en åtgärd som innebär att personuppgifter avskiljs från fortsatt behandling I den händelse en myndighet har behandlat personuppgifter som inte är adekvata eller relevanta utifrån ändamålet med den aktuella behandlingen är emellertid frågan om vilken åtgärd som bör vidtas. När det gäller det s.k. hos i , som befunnits olagligt i flera avseenden (se avsnitt 18.1) har åtgärder vidtagits som inneburit att uppgiftssamlingen har av- slutats och gallrats (Säkerhets- och integritetsskyddsnämndens uttalande , dnr 463-2013). Två kopior av upp- giftssamlingen har dock sparats för att kunna besvara frågor om förekomst. Den åtgärd som dataskyddsdirektivet och personuppgiftslagen anvisar som alternativ åtgärd till utplåning för att korrigera en otillåten behandling är att blockera personuppgifterna. I 3 § PuL definieras blockering som en åtgärd som vidtas för att personupp- gifterna ska vara förknippade med information om att de är spärrade och om anledningen till spärren och för att uppgifterna inte ska lämnas ut till tredje man annat än med stöd av 2 kap. TF. Av SOU 2015:39 Skyldighet att vidta åtgärder då personuppgifter är oriktiga eller behandlas otillåtet definitionen anses följa att de blockerade uppgifterna får användas internt hos den personuppgiftsansvarige och hos ett personupp- giftsbiträde under förutsättning att det framgår att de är blockerade och anledningen till den åtgärden. Däremot får uppgifterna inte lämnas ut till tredje man. Det anses vara upp till den person- uppgiftsansvarige att bestämma hur det tekniskt ska åstadkommas att de blockerade uppgifterna är förknippade med information om blockeringen (/, s. 85). Det är emellertid svårt att se framför sig på vilket sätt åtgärden blockering skulle fylla någon funktion från den registrerades perspek- tiv när det gäller en myndighets verksamhet. Såvitt avser hans eller hennes intresse av att myndigheten endast ska behandla person- uppgifter som är adekvata, relevanta och nödvändiga för det ända- mål som behandlingen sker förefaller åtgärder av den typ som har vidtagits i fråga om det s.k. vara mer rele- vanta än att en blockering görs, oavsett vad det sistnämnda nu kan tänkas innebära. Det centrala i sammanhanget förefaller nämligen vara att myndigheten upphör med att behandla personuppgifter som inte får ingå i den aktuella behandlingen. Det kan exempelvis handla om att uppgifterna inte är relevanta utifrån syftet med ett visst register eller att känsliga personuppgifter behandlas trots att det inte finns någon tillämplig undantagsbestämmelse som tillåter det. En åtgärd som innebär att myndigheten upphör med behandling av en personuppgift som inte är tillåten utifrån syftet med den aktuella behandlingen kan lämpligen beskrivas som att uppgiften avskiljs från fortsatt behandling. Genom begreppet avskiljs uttrycks att den aktuella personuppgiften i fortsättningen inte får ingå i den behandling som är i fråga. framgår att det inte är frågan om att i teknisk mening fullständigt gallra uppgiften eller att utplåna den, utan den kan och bör bevaras i enlighet med vad som i övrigt gäller för myndighetens verksamhet och är lämpligt i sammanhanget. Om och på vilket sätt personuppgiften bör bevaras hos myndig- heten efter ett avskiljande får alltså bedömas med utgångspunkt i vilken verksamhet myndigheten bedriver och för vilka skäl ett fortsatt bevarande kan vara nödvändigt. I fråga om det s.k. Kring- resanderegistret hade det exempelvis, med hänsyn till möjligheterna att ställa eventuella beslutsfattare till ansvar och att reglera krav på skadestånd, varit högst olämpligt att utplåna de personuppgifter Skyldighet att vidta åtgärder då personuppgifter är oriktiga eller behandlas otillåtet som ingick i registret liksom registret som sådant. Det kan vidare tilläggas att begreppet avskiljande i dataskyddsdirektivets perspek- tiv kan liknas vid att personuppgifterna blockeras eller spärras, i vart fall med avseende på den aktuella behandlingen hos myndig- heten. I och med att uppgifter på detta sätt avskiljs från den aktu- ella behandlingen, saknas det vidare ett behov av att särskilt göra en markering av uppgiften att den är ”blockerad”. Begreppet blockering innebär enligt legaldefinitionen i person- uppgiftslagen att personuppgifterna inte ska lämnas ut till tredje man annat än med stöd av 2 kap TF. Den senare markeringen förefaller i och för sig överflödig, eftersom detta redan följer av att bestämmelserna i 2 kap. TF gäller före bestämmelserna i person- uppgiftslagen (jfr 8 § PuL). Någon motsvarande rätt att få uppgifter ur allmänna handlingar som finns beträffande själva handlingen finns inte. Om en myn- dighet inte vill lämna ut en uppgift ur en allmän handling, saknas möjlighet för den enskilde att överklaga beslutet (6 kap. 4 och 7 §§ OSL). Såvitt vi har erfarit finns det inga indikationer på att åtgär- den ”blockering” skulle ha åberopats som skäl för att inte lämna ut en personuppgift till tredje man eller att bestämmelsen i person- uppgiftslagen i detta avseende har lett till några problem på myn- dighetsområdet. Det förefaller vidare främmande att en myndighet självmant skulle ägna sig åt att sprida personuppgifter som av något skäl bör ”blockeras”. Å andra sidan finns inget tungt vägande skäl mot att en bestämmelse om rätt till korrigering av en otillåten behandling i en myndighets verksamhet även bör omfatta att upp- gifterna i fråga inte får lämnas ut annat än med stöd av 2 kap. TF. En sådan rätt kan emellertid på myndighetsområdet bara avse utlämnande till enskilda och inte till en annan myndighet, eftersom myndigheter har en överklagbar rätt enligt 6 kap. 5 § OSL att be- gära ut både uppgifter och handlingar. I vilken utsträckning en myndighet ska vara skyldig att lämna ut en ”blockerad” person- uppgift till en annan myndighet får därför avgöras utifrån de andra bestämmelser som gäller sådant uppgiftsutbyte. Vi föreslår mot bakgrund av det anförda att begreppet blockering inte ska användas i den nya lagen utan ersättas av en åtgärd som avser att en myndighet, om en personuppgift inte får behandlas, ska avskilja uppgiften från fortsatt behandling och inte heller lämna ut en sådan uppgift till en enskild annat än med stöd av 2 kap. TF. SOU 2015:39 Skyldighet att vidta åtgärder då personuppgifter är oriktiga eller behandlas otillåtet Avslutningsvis kan nämnas att enligt förslaget till uppgifts- skyddsförordning ska en otillåten behandling åtgärdas genom radering (artiklarna 17.1–17.3) eller att behandlingen av personupp- gifter begränsas (artiklarna 17.4). Enligt vår bedömning ryms den bestämmelse som vi nu föreslår även inom de krav som förord- ningen föreslås uppställa i denna del. Undantag för en myndighets beslut Enligt 1 kap. 9 § RF ska domstolar och myndigheter i sin verksam- het beakta allas likhet inför lagen samt iaktta saklighet och opartisk- het. Detta grundlagsstadgade krav innebär att t.ex. att domstolar och myndigheter ska utforma sina beslut så att de även betraktade ut- ifrån framstår som sakliga och opartiska. Redan genom detta grund- läggande krav på myndigheternas verksamhet, oavsett i vilken form den tar sig uttryck, finns en starkt styrande kraft som verkar för att domstolars och myndigheters beslut ska hålla hög kvalitet i så måtto att de inte innehåller andra uppgifter än sådana som är korrekta och relevanta för den fråga som avgjorts genom beslutet. I förvaltningslagen samt i de processrättsliga regelverken finns kompletterande bestämmelser som styr hur myndigheters och dom- stolars beslut ska vara utformade. Ett gemensamt krav är bl.a. att det av ett beslut ska framgå de skäl som bestämt utgången i ärendet eller målet. Av dessa bestämmelser, liksom av de grundläggande bestämmelserna i 9 § PuL, följer att en omständighet som anges i ett beslut ska vara adekvat, relevant och påkallad för att motivera utgången i ärendet eller målet. Det innebär i sin tur att de krav som ställs i 9 § PuL måste bedömas med beaktande av de legitima och grundläggande värden och intressen som ligger till grund för en domstols eller förvaltningsmyndighets verksamhet (jfr RH 2008:87). Vad gäller en sådan verksamhet ligger det i sakens natur att det i allmänhet måste finnas ett relativt stort utrymme för myndigheten eller domstolen att själv avgöra vilka omständigheter som bör åter- ges i en handling där domstolens eller myndighetens ställnings- tagande beträffande ett visst mål eller ärende redovisas. Av andra regelverk som styr hur myndigheter och domstolar ska utforma sina beslut finns alltså redan högt ställda krav som Skyldighet att vidta åtgärder då personuppgifter är oriktiga eller behandlas otillåtet motsvarar de grundläggande krav som gäller för behandling av per- sonuppgifter i dataskyddsdirektivet. Enligt förvaltningslagen och processrättsliga regelverk finns vidare uttryckliga bestämmelser om möjlighet att få beslut om- prövade av den beslutande instansen eller, efter ett överklagande, av en högre instans. Det finns också särskilda regler om omprövning som gäller i viss myndighetsverksamhet. Det finns därutöver möj- lighet att på extraordinär väg föra talan om ändring genom s.k. res- ning. Av allmänna rättsgrundsatser följer också ytterligare möjlig- heter för myndigheter att ompröva sina beslut. Både en omprövning av ett beslut av beslutinstansen eller en ändring efter ett överklagande syftar till att ändra ett besluts rättsverkningar, dvs. att själva beslutet ska ändras. En förutsättning för att det ska finnas en rätt att överklaga ett beslut är således enligt 22 § FL att beslutet har gått den klagande emot. Det innebär att om en persons klagomål rörande ett beslut inte går ut på att själva beslutet ska ändras eller upphävas utan enbart avser beslutsmoti- veringen, finns det ingen klagorätt (se t.ex. RÅ 2006 ref. 21). Genom JO och JK:s verksamhet kan den enskilde däremot få prövat om en myndighet eller domstol, eller en enskild tjänsteman som är anställd där, förtjänar kritik för att ett beslut inte har utfor- mats i överensstämmelse med gällande regelverk, exempelvis genom att i motiveringen ta med omständigheter som inte är relevanta för att avgöra den fråga som är aktuell i målet eller ärendet (se t.ex. JO:s beslut , dnr 511-2011, angående hur en tingsrätts dom hade formulerats). Ett sådant ärende kan vidare i sin tur leda till, om det är fråga om ett tillräckligt klandervärt beteende, att beslutsfattaren blir föremål för disciplinåtgärd eller att det väcks åtal för brottet tjänstefel. Grava felbedömningar som kommit till uttryck i ett beslut kan också ge utrymme för att utkräva ett skade- ståndsrättsligt ansvar enligt 3 kap. 2 § skadeståndslagen (1972:207) på grund av fel eller försummelse från statens eller en kommuns sida (se t.ex. NJA 2003 s. 285). Om ett beslut har utformats på ett så klandervärt sätt att beslutsfattaren i fråga gör sig skyldig till brott, kan en person som har orsakats lidande på grund av det undermåligt utformade be- slutet få skadestånd enligt de allmänna bestämmelserna i skade- ståndslagen. I de fall ett beslut har ändrats till följd av att en person har begärt omprövning av det eller överklagat detsamma kan det SOU 2015:39 Skyldighet att vidta åtgärder då personuppgifter är oriktiga eller behandlas otillåtet vidare också uppstå en situation där en rätt till skadestånd enligt 48 § PuL kan föreligga.