sou · H3B373 · 2015-08-03 00:00:00 — Detta är för att försäkra att alla personupp- gifter som samlas in och behandlas är relevanta och adekvata för det angivna ändamålet, att uppgifterna inte används i strid med ända- målet och att uppgifterna inte bevaras längre än som krävs för att uppfylla det angivna ändamålet. Gällande rätt och internationella överenskommelser De rättigheter som anges i FN:s allmänna förklaring om de mänsk- liga rättigheterna har utvecklats vidare i den europeiska konventionen av om skydd för de mänskliga rättigheterna och de grundläggande friheterna (). Konven- tionen inkorporerades i svensk rätt och gäller som lag i . Av 2 kap. 19 § RF framgår att lag eller annan föreskrift inte får meddelas i strid med åtaganden på grund av konventionen. Det är framför allt artikel 8 i konventionen som har betydelse för skyddet av den personliga integriteten. I bestämmelsen anges att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka denna rätt annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den all- männa säkerheten, landets ekonomiska välstånd, till förbyggande av oordning eller brott, till skydd för hälsa och moral eller för andra personers fri och rättigheter. Behandling av personuppgifter kan falla inom tillämpningsom- rådet för artikel 8 i i de fall behandlingen avser uppgifter om privatliv, familjeliv, hem eller korrespondens. Artikel 8 innebär att staten ska avhålla sig från ingrepp i den skyddade rättig- heten, men också en skyldighet för staten att vidta åtgärder för att skydda den enskildes privata sfär (, H., Mänskliga rättig- heter i europeisk praxis, 4 uppl., 2012, s. 347 f.). Bestämmelsen medför en skyldighet för medlemsstaterna att upprätthålla skyddet för privatlivet genom lagstiftning, men kan också medföra en skyl- dighet för myndigheter att agera i enskilda fall. En inskränkning i en konventionsskyddad rättighet ska ha stöd i inhemsk lag. Med det följer också krav på att lagen ska vara så pre- ciserad att inskränkningarna är förutsebara och att lagen är allmänt tillgänglig. Intrånget ska vidare vara nödvändigt, dvs. det ska finnas ett ”angeläget samhälleligt behov” och inskränkningen ska stå i rimlig proportion till det syfte som ska tillgodoses genom den. Gällande rätt och internationella överenskommelser antog en konvention (nr 108) till skydd för enskilda vid automatisk databehandling av personuppgifter (dataskyddskonventionen). Konventionen trädde i kraft . Samtliga medlemsstater i Europeiska union- en (EU) har ratificerat konventionen. Konventionen är bindande för de länder som tillträtt den. Till konventionen ansluter en rad rekommendationer om hur personuppgifter bör behandlas inom olika områden. Rekommendationerna är inte bindande. Dataskyddskonventionen innehåller principer för dataskydd som de anslutna staterna måste iaktta i sin nationella lagstiftning. Konventionen har enligt artikel 1 till syfte att säkerställa respek- ten för grundläggande fri- och rättigheter, särskilt rätten till person- lig integritet i samband med automatisk databehandling av person- uppgifter. Konventionens tillämpningsområde är enligt artikel 2 automatiserade personregister och automatisk databehandling av personuppgifter i allmän och enskild verksamhet. En konventions- stat kan dock göra vissa allmänna inskränkningar eller utvidgningar i tillämpningsområdet. Den centrala delen av konventionen är kapitel II (artikel 4–11) som innehåller de grundläggande principerna för dataskydd. Det finns bland annat krav på att personuppgifter som undergår auto- matisk databehandling ska hämtas in och behandlas på ett korrekt och lagligt sätt för särskilt angivna ändamål. Uppgifterna ska vara relevanta för dessa ändamål och får inte senare användas på ett sätt som är oförenligt med dessa ändamål. Uppgifterna får inte bevaras än vad som är nödvändigt med avseende på ändamålet. Uppgifter som avslöjar ras, politiska åsikter, hälsa och sexualliv samt att någon dömts för brott får inte behandlas om inte nationell lag ger ett ändamålsenligt skydd. Konventionen innehåller också bestäm- melser om bland annat krav på säkerhetsåtgärder, information till den registrerade samt sanktioner och rättsmedel vid brott mot en konventionsskyddad rättighet. Konventionens bestämmelser kan ses som en precisering av skyddet för enskilda vid användning av auto- matisk databehandling enligt artikel 8 i . Det grundläggande skyddet vid automatiserad behandling av per- sonuppgifter inom EU regleras främst genom dataskydds- direktivet (se avsnitt 3.4). Direktivet gäller dock inte vid behandling Gällande rätt och internationella överenskommelser av personuppgifter på områden som faller utanför EU:s kompetens- område, till exempel allmän säkerhet, försvar och statens säkerhet. På sådana områden är dataskyddskonventionen således fortfarande relevant. för ekonomiskt samarbete och utveckling () har en expertgrupp utarbetat riktlinjer avseende integri- tetsskyddet och flödet av personuppgifter över gränserna (the Protection of Privacy and Transborder Flows of ). Riktlinjerna antogs av . antogs en rekommendation till medlemsländernas regeringar att beakta rikt- linjerna i nationell lagstiftning. har liksom samtliga andra medlemsländer godtagit rekommendationerna och därmed åtagit sig att följa riktlinjerna. Riktlinjerna, som är att uppfatta som minimiregler, motsvarar i princip de bestämmelser som finns i dataskyddskonventionen. De är tillämpliga på personuppgifter inom både den offentliga och den privata sektorn och avser både uppgifter som lagras automatiskt och uppgifter som förs manuellt. Riktlinjerna innehåller en särskild avdelning som anger åtta grundläggande principer till skydd för den personliga integriteten på det nationella planet. Här anges bland annat att personuppgifter ska vara relevanta för de ändamål för vilka de ska användas. Vidare anges att personuppgifterna även ska vara riktiga och fullständiga samt hållas aktuella. En annan grundläggande prin- cip är att de ändamål för vilka personuppgifterna samlades in ska vara preciserade senast vid insamlingen. 3.3.5Europeiska unionens stadga om de grundläggande rättigheterna Vid Europeiska rådets möte i antog EU:s medlems- stater Europeiska unionens stadga om de grundläggande rättigheterna (EU-stadgan). Lissabonfördraget, som trädde i kraft , innebär att EU-stadgan numera är rättligt bindande när EU-institutionerna och medlemsländerna tillämpar EU:s lagar och regler. Gällande rätt och internationella överenskommelser kodifierades de grundläggande fri- och rättigheterna som EU redan hade erkänt. I stadgan anges de grundläggande rättigheterna under sex huvud- rubriker: värdighet, frihet, jämlikhet, solidaritet, medborgarskap och rättvisa. Liksom förbjuder stadgan bland annat tortyr, slaveri och tvångsarbete och den ger ett skydd för män- niskans rätt till frihet och säkerhet och rätten till en rättvis rätte- gång. Stadgan innehåller dessutom ytterligare rättigheter som inte finns med i , till exempel personuppgiftsskydd. När det gäller skyddet för den personliga integriteten anges i stadgan att var och en har rätt till fysisk och mental integritet (arti- kel 3). Alla har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer (artikel 7) samt skydd för person- uppgifter som rör honom eller henne (artikel 8). I artikel 8 anges vidare att personuppgifter ska behandlas lag- enligt för bestämda ändamål och på grundval av den berörda per- sonens samtycke eller någon annan legitim grund. Vidare ska var och en ha rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få dem rättade. I artikeln stadgas också att en oberoende myndighet ska kontrollera att reglerna efterlevs. Stadgan är enligt artikel 51 tillämplig i verksamhet som utförs av unionens institutioner, organ och byråer samt av medlemsstaterna när dessa tillämpar unionsrätten. Stadgan ska således inte tillämpas på nationell lagstiftning inom områden där EU inte har lagstiftnings- kompetens. Av artikel 52 följer att varje begränsning av stadgans fri- och rättigheter ska vara föreskriven i lag och förenlig med det väsentliga innehållet i stadgan. Proportionalitetsprincipen ska beaktas och be- gränsningar får endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors fri- och rättigheter. I de fall stadgan omfattar rättigheter som motsvarar sådana som garanteras av ska de ha samma innebörd och räckvidd som i konventionen. Bestämmelsen hindrar dock inte unionsrätten från att tillförsäkra ett mer långtgående skydd. Gällande rätt och internationella överenskommelser Inom EU regleras behandling av personuppgifter i Europaparlamen- tets och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet). Syftet med direktivet är enligt artikel 1.1 att skydda fysiska per- soners grundläggande fri- och rättigheter (särskilt rätten till privat- liv) i samband med behandling av personuppgifter. Medlemsstaterna får inom den ram som ges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma, men de in- hemska reglerna får inte hindra det fria flödet av personuppgifter inom unionen. Direktivet är tillämpligt på all behandling av personuppgifter som sker helt eller delvis på automatisk väg. Direktivet omfattar även icke automatisk behandling av personuppgifter om de ingår eller är avsedda att ingå i ett register. Med register avses i sammanhanget varje strukturerad samling av personuppgifter som är tillgänglig en- ligt särskilda kriterier, oavsett om samlingen är centraliserad, decentra- liserad eller spridd på grundval av funktionella eller geografiska förhållanden. Direktivet är inte tillämpligt på sådan behandling av personuppgifter som faller utanför gemenskapsrätten, till exempel den som gäller allmän säkerhet, statens säkerhet eller statens verk- samhet på straffrättens område eller register för privat bruk. Även behandling av personuppgifter för uteslutande journalistiska, konst- närliga och litterära ändamål undantas. Personuppgifter får samlas in endast för särskilda, uttryckligt an- givna och berättigade ändamål och uppgifterna får inte senare användas på ett sätt som är oförenligt med ursprungsändamålet. behandling av uppgifter för historiska, statistiska eller veten- skapliga ändamål ska inte anses oförenlig med dessa ändamål, förut- satt att medlemsstaterna beslutar om lämpliga skyddsåtgärder. Personuppgifter får behandlas när den enskilde lämnat sitt sam- tycke. Därutöver får personuppgifter behandlas endast 1) när det är nödvändigt för att fullgöra ett avtal i vilket den registrerade är part, 2) när det finns en författningsreglerad förpliktelse att behandling av uppgifterna ska ske, 3) när det är nödvändigt för att skydda den enskildes grundläggande intressen, 4) när det är nödvändigt att utföra en arbetsuppgift i det allmännas intresse eller 5) om det i övrigt Gällande rätt och internationella överenskommelser skett en intresseavvägning som resulterat i att behandling av person- uppgifter ska få ske. Medlemsstaterna ska förbjuda behandling av känsliga person- uppgifter, dvs. uppgifter som avslöjar ras, religion, politisk åsikt, facklig tillhörighet eller som rör hälsa och sexualliv. Det finns dock vissa undantag från denna huvudregel, bland annat vid den enskildes uttryckliga samtycke, för ideella föreningars medlemsregister och för hälso- och sjukvårdens administration. Medlemsstaterna får i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag från för- budet än dem som anges i direktivet, dock endast under förutsätt- ning att det sker av hänsyn till ett viktigt allmänt intresse och att lämpliga skyddsåtgärder vidtas. Medlemsstaterna ska vidare bestämma på vilka villkor nationella identifikationsnummer får behandlas. När personuppgifter samlas in ska den registrerade informeras om bland annat vem som är registeransvarig och vad uppgifterna ska användas till. Har uppgifterna inte samlats in från den registrerade själv behöver den registeransvarige emellertid inte lämna någon in- formation i de fall den registrerade redan känner till informationen eller om det skulle visa sig omöjligt eller innebära en arbetsinsats som inte står i proportion till nyttan. Den registrerade har dock rätt att på begäran få information om de registrerade uppgifterna. Den registrerade har också rätt att få sådana uppgifter som inte har behandlats i enlighet med direktivet rättade, utplånade eller blocke- rade. Direktivet innehåller vidare regler om säkerhet vid behand- lingen. All behandling av personuppgifter ska enligt huvudregeln anmälas till en tillsynsmyndighet. Medlemsstaten kan dock genom bransch- och sektorsreglering eller motsvarande undanta sådan behandling av personuppgifter som inte kränker enskildas fri- och rättigheter från anmälningsskyldigheten. Den registrerade ska ha rätt att få sina rättigheter enligt den natio- nella lagen prövad av tillsynsmyndigheten och av domstol. Tillsyns- myndigheten ska vara ett oberoende organ. Den ska ha befogenhet att undersöka och ingripa effektivt mot otillåten behandling av per- sonuppgifter. Överföring av personuppgifter till ett tredjeland, dvs. ett land utanför EU, får i princip endast ske om det mottagande landet har en adekvat skyddsnivå. Gällande rätt och internationella överenskommelser Europeiska kommissionen presenterade meddelan- det Ett samlat grepp på skyddet av personuppgifter i Europeiska unionen (KOM/2010/0609) som innehöll en strategi för att stärka om dataskydd. Både rådet och parlamentet uttryckte sitt stöd för kommissionens strategi. lade kom- missionen fram ett förslag till reform av om skydd för personuppgifter. Syftet var att modernisera reglerna i dataskydds- direktivet och få till stånd en mer enhetlig tillämpning inom EU. Förslaget innebär bland annat att dataskyddsdirektivet ska ersättas av en uppgiftsskyddsförordning. En förordning har direkt effekt i medlemsländerna. Det innebär att förslaget, om det genomförs, inte bara kommer att ersätta dataskyddsdirektivet utan även nationell lagstiftning. För del berörs bland annat personuppgifts- lagen (1998:204). I behandlas dataskyddsreformen i utskottet för medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor (). Ett förslag till betänkande lades fram och röstade fram ett förslag. antog Europarlamentet en resolution efter en omröstning som resulterade i en mycket stark majoritet för för- slaget till uppgiftsskyddsförordning. I resolutionen beträffande upp- giftsskyddsförordningen har föreslagit ett flertal ändringar och tillägg. Alltsedan år 2012 har uppgiftsskyddsförordningen förhandlats i Rådet för rättsliga och inrikes frågor, . Förhandlingarna pågår fortfarande (). har emellertid tre delöverens- kommelser uppnåtts och det synes föreligga en relativt stor enighet inom rådet om bland annat att det finns behov av att skapa ytter- ligare flexibilitet för den offentliga sektorn. Den fortsatta processen med uppgiftsskyddsförordningen är beroende av att förhandlingarna inom rådet kan slutföras. Ambition- en synes vara att ska kunna besluta om en allmän inriktning om hela uppgiftsskyddsförordningen, dvs. rådets förslag till förordningstext. Det förslaget kommer sedan att vara utgångspunkten för rådets förhandlingar med och kommissionen om uppgiftsskyddsförordningen. Gällande rätt och internationella överenskommelser (stats- och regeringscheferna) har ställt i utsikt att man bör kunna nå fram till en överenskommelse mellan institutionerna . Ett införande av förordningen har bedömts viktigt för att för- verkliga ambitionen om en ”digital inre marknad” (Digital Single Market), vilken är av pelarna i den gällande digitala agendan för EU samt också en prioriterad fråga i kommissionens arbetsprogram för . Ambitionen synes således vara att lagstiftningsprocessen ska drivas med inriktning på ett slutförande och ett beslut om in- förande av förordningen inom en inte alltför avlägsen tid. Enligt kom- missionens förslag ska uppgiftsskyddsförordningen börja tillämpas efter offentliggörandet. Dataskyddsdirektivet har genomförts i svensk rätt genom person- uppgiftslagen (1998:204, PUL) och personuppgiftsförordningen (1998:1191, PUF). Personuppgiftslagen följer i princip dataskydds- direktivets text och disposition och innehåller bland annat bestäm- melser om behandling av personuppgifter, personuppgiftsansvar, information till den registrerade, skadestånd och straff. Syftet med lagen är, enligt 1 §, att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Av 2 § PUL framgår att lagen är subsidiär i förhållande till andra författningar. Det innebär att om det finns en annan lag eller förordning som av- viker från personuppgiftslagen, ska de bestämmelserna tillämpas i stället. Sådana avvikande bestämmelser finns ofta i särskilda register- författningar som reglerar behandling av personuppgifter hos vissa myndigheter eller inom viss verksamhet på det offentliga området. I 3 § PUL finns definitioner av vissa grundläggande begrepp. Be- handling (av personuppgifter) avser varje åtgärd eller serie av åtgär- der som vidtas i fråga om personuppgifter, oavsett om det sker på automatisk väg eller inte. Som exempel på behandling anges i bestäm- melsen insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, Gällande rätt och internationella överenskommelser sammanställning eller samkörning, blockering, utplåning eller för- störing. Så snart personuppgifter på något sätt hanteras är det enligt för- arbetena fråga om en behandling som faller inom personuppgifts- lagens tillämpningsområde, oavsett om behandlingen är automatisk eller avser ett manuellt personregister (se SOU 1997:39 s. 332). Av- sikten är att alla former av hantering ska omfattas. Mottagare definieras som den till vilken personuppgifter lämnas ut. När personuppgifter lämnas ut för att en myndighet ska kunna utföra sådan tillsyn, kontroll eller revision som den är skyldig att sköta, anses dock inte myndigheten som mottagare. Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Som exem- pel på personuppgifter kan nämnas personnummer, registrerings- nummer för fordon och kundnummer. Definitionen av personupp- gifter innebär att behandling av uppgifter om avlidna eller ännu inte födda personer inte omfattas av lagen. Det bör dock tilläggas att en uppgift om en avliden person i vissa fall kan säga något om en levande person och därmed också utgöra en personuppgift. I förarbetena till personuppgiftslagen anförs att en uppgift om en persons arvs- anlag (DNA) kan vara en uppgift som avser flera personer, eftersom denna uppgift i kombination med andra uppgifter kan ge upplys- ning om den personens föräldrar och avkomma (se SOU 1997:39 s. 338). Enligt förarbetena omfattas även krypterade personuppgifter av lagen om uppgifterna kan göras läsbara och därmed identifiera individer. Även sådana uppgifter som i sig är anonyma, men som möjliggör identifikation genom s.k. bakvägsidentifikation av en fysisk person omfattas. I förarbetena tolkas begreppet så att det endast krävs att en fysisk person kan identifieras med hjälp av uppgifterna, inte att den personuppgiftsansvarige själv förfogar över samtliga upp- gifter som gör identifieringen möjlig. Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Så snart det förekommer en behandling av person- uppgifter i lagens mening finns det en eller flera personuppgifts- ansvariga för den behandlingen. Den personuppgiftsansvarige har ansvar för att behandlingen av personuppgifter sker i enlighet med personuppgiftslagen. Om behandling sker i strid med lagen kan den personuppgiftsansvarige bli skadeståndsskyldig. Gällande rätt och internationella överenskommelser därför bara fysiska och juridiska personer, utländska filialer och myndigheter betraktas som personuppgiftsansvariga. Personuppgiftsbiträde är den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Både fysiska och juridiska personer kan vara personuppgiftsbiträden. Den personuppgiftsan- svarige har skadeståndsansvar gentemot de registrerade för person- uppgiftsbiträdets behandling av personuppgifter. Personuppgifts- biträden har inte enligt lagen något eget skadeståndsansvar gentemot de registrerade, men de kan genom avtal eller allmänna regler bli skadeståndsskyldiga gentemot den personuppgiftsansvarige för sina handlingar. Ett personuppgiftsombud är en fysisk person som, efter förord- nande av den personuppgiftsansvarige, självständigt ska se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Den registrerade är den som en personuppgift avser. Av defini- tionen av personuppgifter framgår att den registrerade måste vara en fysisk person som är i livet. Med samtycke avses enligt definitionen varje slag av frivillig, sär- skild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. I personuppgiftslagen finns inte några sär- skilda, rättsliga krav för att någon ska få avge ett samtycke. Det anges i förarbetena att ett samtycke ska vara en informerad viljeyttring från den registrerade (se SOU 1997:39 s. 342) Den som faktiskt kan tillgodogöra sig information om vad en behandling innebär och som kan avge en frivillig viljeyttring, som innebär att han eller hon god- tar behandlingen, kan lämna ett rättsligt giltigt samtycke. Det anses naturligt att en lagstiftning som avser att skydda och inskärpa respekt för individers rättigheter i fråga om personlig integritet också respek- terar individen i den meningen att den som förstår vad det handlar om får bestämma själv. Frågan om när någon har sådan mognad att han eller hon förstår vad samtycket innebär får avgöras med beak- tande av omständigheterna i varje särskilt fall. Föräldrar och andra ställföreträdare bör kunna lämna samtycke för den som inte själv kan bli informerad eller kan avge en egen viljeyttring. är den myndighet som regeringen utser för att utöva tillsyn. Enligt 2 § PUF är Datainspektionen tillsynsmyn- dighet. Gällande rätt och internationella överenskommelser Tredjeland är en stat som inte ingår i EU eller är ansluten till Europeiska ekonomiska samarbetsområdet (EES). Det följer av 4 § PUL att bestämmelserna gäller för sådana person- uppgiftsansvariga som är etablerade i . Lagen ska som huvud- regel också tillämpas när den personuppgiftsansvarige är etablerad i en stat som inte ingår i EU eller är ansluten till EES, men som för behandlingen av personuppgifter använder sig av utrustning som finns i . Undantag gäller dock om utrustningen bara används för att överföra uppgifter mellan två sådana länder. 3.5.3Behandling av uppgifter som omfattas av lagen I 5 § PUL slås det fast att lagen gäller för all behandling av person- uppgifter som är helt eller delvis automatiserad. Enligt förarbetena är behandling i datorer av personuppgifter som finns i datorformat (i binärform), inklusive överföringen av personuppgifter till sådant format, som regel att betrakta som automatiserad behandling (se SOU 1997:39 s. 344). Så snart en personuppgift har kommit in i en dator eller motsvarande maskin är det att betrakta som sådan auto- matiserad behandling som omfattas av lagen.