sou · H4B341 · 2016-06-07 00:00:00 — En tjänste leverantör som överför eller lagrar elektronisk kommunikation (t.ex. e-post eller inlägg på sociala medier) kan t.ex. begå intrång genom att samla in, använda eller sprida kundernas kommunikation. Vidare kan enskilda personer kränka andra enskildas personliga integritet genom att exempelvis sprida nedsättande uppgifter om dem, oavsett om uppgifterna i sig är sanna eller påhittade. Kommitténs bedömning av intrång i den personliga integriteten När ett intrång i den personliga integriteten ska bedömas måste en avvägning göras utifrån berörda intressen. Faktorer som kommittén avser att beakta vid denna avvägning är bl.a. syftet med och behovet av det aktuella intrånget samt vilken nytta intrånget kan förväntas innebära. Detta ska ställas mot den inverkan som intrånget har för den enskilde. Denna inverkan är bl.a. beroende av graden av känslig- het, både avseende uppgifterna som sådana men också intrångets karaktär, jfr t.ex. rumsavlyssning. Sammanhanget och intrångets om- fattning är också av betydelse, dvs. hur många drabbas och ifall åtgärden är riktad mot en viss krets eller är helt urskillningslös. Möjligheten att uppnå det önskvärda syftet med hjälp av andra mindre ingripande alternativ bör också bedömas. Det har betydelse vilken spridning av uppgifter som intrånget innebär. Risken för oönskad spridning har också betydelse för risk- bedömningen. En faktor, som bör vägas in, är risken för att en viss behandling negativt påverkar allmänhetens förtroende i de fall den person uppgiftsansvarige till exempel är en statlig myndighet. Den enskildes egen inställning till hanteringen av personuppgifter har stor betydelse. När det gäller denna fråga är det förutom frågan om samtycke bl.a. av intresse om den enskilde har rätt till insyn i behandlingen av personuppgifter och möjligheterna till rättelse vid felaktig behandling. Många intrång i den personliga integriteten är i och för sig be fogade. I sådana sammanhang är det av stor vikt att t.ex. lagstiftaren eller en tillämpande myndighet på olika sätt ändå försöker begränsa intrånget. Det kan t.ex. handla om krav på proportionalitet för att en åtgärd ska få vidtas, interna och externa kontrollfunktioner, hur verksamheten organiseras och teknisk säkerhet för information. I det här delbetänkandet fokuserar vi på risker för den personliga integriteten. I slutbetänkandet återkommer vi med förslag till åt gärder för att hantera riskerna. Då ingår det att väga in flera av de faktorer som nämnts här, som t.ex. nyttan med intrånget. 6Det grundläggande rättsliga skyddet Det finns ett stort antal konventioner, EU-direktiv och nationella regleringar som på olika sätt syftar till att skydda den personliga integriteten . I det följande finns en kort beskrivning av de mest grundläggande regleringarna. Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, som gäller som lag i (se även 2 kap. 19 § regeringsformen), innehåller bestämmelser om skydd mot bl.a. kroppsliga ingrepp samt om personlig frihet, rörelse- frihet och egendomsskydd (det sistnämnda i ett tilläggsprotokoll). Enligt artikel 8 gäller vidare att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Rätten till skydd för privatlivet har av getts en vid tolkning. Skyddet omfattar bl.a. uppgifter om den enskildes identitet, inklu- sive namn och kön, uppgifter om hälsa och sexuell läggning samt in- formation som rör den personliga utveckningen och relationer till andra individer. Det krävs inte att det är fråga om rent privata rela tioner, utan skyddet kan även omfatta relationer och aktiviteter som är relaterade till den enskildes yrkesliv.1 Skyddet gäller även mot an- grepp av den enskildes ära och ryktbarhet och mot spridning av in- formation som rör privata förhållanden.2 Vidare omfattar rätten till 1 Se t.ex. Rotaru mot [GC], nr 28341/95. 2 Se t.ex. K.U. mot , nr 2872/02, och mot , nr 59320/00. Det grundläggande rättsliga skyddet respekt för privatlivet ett skydd mot registrering och utlämnande av uppgifter ur allmänna register.3 Av praxis fram- går vidare att artikel 8 ålägger staten såväl en negativ förpliktelse att avstå från att göra intrång i rätten till respekt för privat- och familje- livet som en positiv förpliktelse att skydda enskilda mot att andra enskilda handlar på ett sätt som innebär integritetsintrång.4 Inom har även antagits en särskild konvention om skydd för enskilda vid automatisk databehandling av personuppgifter (den s.k. dataskyddskonventionen). Europeiska unionens stadga om de grundläggande rättigheterna, som fogats till Lissabonfördraget, innehåller bestämmelser som är tänkta att återspegla medlemsstaternas gemensamma konstitutionella tradi- tioner och internationella åtaganden när det gäller grundläggande fri- och rättigheter. Stadgan innehåller bl.a. bestämmelser om skydd för den personliga integriteten. I artikel 3 finns ett generellt stadgande om att var och en har rätt till fysisk och mental integritet. Där finns även vissa mer specifika bestämmelser om integritetsskydd inom medicin och biologi, bl.a. ett förbud mot reproduktiv kloning av människor. Enligt artikel 7 har var och en rätt till respekt för sitt privatliv och familjeliv, sin bo- stad och sina kommunikationer. Vidare innehåller artikel 8 bestäm- melser om skydd för personuppgifter. Där anges att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legi- tim och lagenlig grund. Var och en har vidare rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet ska kontrollera att dessa regler följs. 3 mot , nr 9248/81, och m.fl. mot , nr 62332/00. 4 Se t.ex. Airey mot , dom , Serie A nr 32, samt X och Y mot , dom , Serie A nr 91 och målet E.S mot , appl. 5786/08. Det grundläggande rättsliga skyddet Av målsättningsstadgandet i 1 kap. 2 § regeringsformen framgår att den offentliga makten ska utövas med respekt för den enskilda män- niskans frihet och värdighet samt att det allmänna ska värna den en- skildes privatliv och familjeliv. Vidare innehåller 2 kap. regerings formen bl.a. bestämmelser om skydd mot kroppsliga ingrepp samt om personlig frihet, rörelsefrihet och egendomsskydd. I 2 kap. 6 § föreskrivs ett skydd mot bl.a. husrannsakan och liknande intrång samt mot undersökning av brev eller annan förtrolig försändelse och mot hemlig avlyssning eller upptagning av telefonsamtal eller annat förtroligt meddelande. Även i övrigt är var och en, enligt samma paragraf, gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten som görs utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållan- den. I förarbetena till denna bestämmelse anförs bl.a. att kränkningar av den personliga integriteten utgör intrång i den fredade sfär som den enskilde bör vara tillförsäkrad och där ett oönskat intrång bör kunna avvisas.5 Personuppgiftslagen (1998:204) har sin grund i det s.k. dataskydds- direktivet6 som antogs 1995. Direktivet genomfördes i genom personuppgiftslagen och ett antal särregleringar i förhållande till denna lag. Syftet med direktivet är att skydda fysiska personers grundläggande fri- och rättigheter i samband med behandling av personuppgifter samt att underlätta ett fritt flöde av personuppgifter mellan medlemsstaterna. På EU-nivå finns även vissa kompletterande rättsakter, bl.a. när det gäller skydd av personuppgifter i frågor som rör polisiärt och straffrättsligt samarbete. Ett exempel på detta är rådets rambeslut 5 Regeringens proposition En reformerad grundlag, prop. 2009/10:80 s. 175; se även ingens proposition Översyn av personuppgiftslagen, prop. 2005/06:173 s. 15. 6 och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Det grundläggande rättsliga skyddet 2008/977/RIF om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (dataskydds- rambeslutet). Genom personuppgiftslagen har dataskyddsdirektivet genomförts i svensk rätt. Personuppgiftslagen gäller vid behandling av person uppgifter i verksamheter som bedrivs av såväl enskilda som av myndigheter. Den gäller däremot inte om en fysisk person behandlar uppgifter helt privat. Lagen innehåller allmänna riktlinjer för behand- lingen av personuppgifter, oavsett ändamålet med behandlingen. Personuppgiftslagen ersatte den tidigare datalagen (1973:289). Personuppgiftslagen är subsidiär i förhållande till annan lagstift- ning, vilket innebär att om det i en annan lag eller i en förordning finns bestämmelser som avviker från denna lag, ska de andra bestäm- melserna gälla. Sådana avvikande bestämmelser finns på en rad olika områden och är ofta begränsade till ett visst verksamhetsområde, en viss typ av register eller för ett särskilt register. Som exempel på sådana registerförfattningar kan nämnas lagen (2001:454) om behandling av personuppgifter inom , patientdatalagen (2008:355) och polisdatalagen (2010:361). Utgångspunkten har varit att myndighets- register med ett stort antal registrerade och ett särskilt känsligt inne- håll ska regleras särskilt i lag.7 6.5.3Grundläggande krav för behandlingen I 9 § personuppgiftslagen anges vissa grundläggande krav för all be- handling av personuppgifter. Det är den personuppgiftsansvarige som gentemot den registrerade ansvarar för att dessa grundläggande krav alltid uppfylls vid behandlingen. Personuppgifter får behandlas bara om det är lagligt och behand- lingen ska alltid göras på ett korrekt sätt och i enlighet med god sed. Insamling och annan behandling av personuppgifter får endast göras för särskilda, uttryckligt angivna och berättigade ändamål. Ända målen med en behandling av personuppgifter måste alltså bestämmas 7 Se t.ex. Regeringens proposition Om offentlighet, integritet och ADB, prop. 1990/91:60 s. 58. Det grundläggande rättsliga skyddet redan när uppgifterna samlas in. Det eller de ändamål som anges får inte vara alltför allmänt hållna. Som exempel kan nämnas att det har ansetts otillräckligt att ange kontroller som ändamål för loggning och övervakning; även syftet med kontrollerna måste anges med t.ex. övervakning av tekniska och säkerhetsmässiga skäl eller upp- följning av att interna regler följs.8 Enligt den s.k. finalitetsprincipen får uppgifterna efter att de sam- lats in inte behandlas för något ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in. Det innebär t.ex. att upp- gifter om anställda som samlas in för att utgöra underlag för presta- tionslön inte får användas för att i realtid övervaka hur de utför sina arbetsuppgifter och när de tar raster.9 Det innebär också att möjlig- heterna till s.k. samkörning av register begränsas. Vidare följer en skyldighet för den personuppgiftsansvarige att som uppgifterna behandlas hålla reda på för vilka ändamål varje person- uppgift har samlats in.10 Den personuppgiftsansvarige anses vara skyldig att se till att personuppgifter för olika ändamål inte blandas.11 Det krävs inte att en registrerad samtycker till eventuell behand- ling för nya ändamål som inte är oförenliga med det ursprungliga ändamålet eller att ny information lämnas till den registrerade. Ett utlämnande av personuppgifterna till annan måste emellertid vara förenligt med de ursprungliga ändamålen. Vid bedömningen av detta krävs att man beaktar vad den som vill ha ut uppgifterna ska använda dem till och jämföra den tilltänkta användningen med de ursprung- liga ändamålen.12 Den som har fått ut uppgifterna anses däremot inte vara bunden av de ändamål som ursprungligen bestämts av den personuppgiftsansvarige som lämnat ut uppgifterna.13 Det finns vidare krav på att personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behand- lingen. Det innebär att ovidkommande uppgifter inte får behandlas. De behandlade personuppgifterna ska vidare vara riktiga och aktu- 8 Datainspektionens rapport 2005:3 s. 14. 9 Datainspektionens beslut , dnr 87-2207. 10 och , Personuppgiftslagen – En kommentar, fjärde upp- lagan, s. 203. 11 Regeringens proposition Omreglering av apoteksmarknaden, prop. 2008/09:145 s. 336. 12 Regeringens proposition Effektivare pantbrevshantering m.m, prop. 2002/03:57 s. 26). 13 och , s. 204. Det grundläggande rättsliga skyddet Uppgifterna får inte heller vara fler än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Även för bedöm- ningen av detta krävs att ändamålet har preciserats i tillräcklig grad. Om kraven på behandlingen av personuppgifter inte uppfylls ska den personuppgiftsansvarige vidta alla rimliga åtgärder för att ut- plåna, blockera eller rätta uppgifterna. Slutligen gäller att personuppgifter inte får sparas längre än nöd- vändigt med hänsyn till de ändamål för vilka de behandlas. Därefter ska uppgifterna avidentifieras eller förstöras. Behandling för histo- riska, statistiska eller vetenskapliga ändamål får dock pågå än vad som är nödvändigt med hänsyn till de ursprungliga ändamålen. Personuppgiftslagen innehåller en uttömmande uppräkning av under vilka förutsättningar behandling av personuppgifter är tillåten (10– 12 §§). Som utgångspunkt gäller att personuppgifter endast får behand- las om den registrerade har lämnat sitt samtycke till det. Samtycket måste lämnas innan behandlingen påbörjas.14 Har den registrerade inte lämnat sitt samtycke till behandlingen krävs att den är nödvändig för något av vissa i lagen angivna ändamål. Det kan vara för att fullgöra ett avtal med den registrerade eller för att fullgöra en rättslig skyldighet, men också när det krävs för att vitala intressen för den registrerade ska kunna skyddas eller för att en arbetsuppgift av allmänt intresse ska kunna utföras. Slutligen får personuppgifter även behandlas om en intresseavvägning ger vid handen att den personuppgiftsansvariges berättigade intresse av en behandling väger tyngre än den registrerades intresse av integritetsskydd. Som exempel på tillämpning av nämnda bestämmelse kan nämnas att Datainspektionen efter en intresse avvägning har ansett att det av trafiksäkerhetsskäl är tillåtet att logga personuppgifter om utandningsprov som lämnats av bl.a. bussförare i samband med arbetspass.15 Av 13 § personuppgiftslagen följer ett förbud mot behandling av känsliga personuppgifter. Känsliga personuppgifter definieras som uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, 14 Jfr NJA 2005 s. 361. 15 Datainspektionens beslut , dnr 500-2010. Det grundläggande rättsliga skyddet religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Förbudet omfattar enligt 5 a § inte personuppgifter som inte ingår i eller är avsedda att ingå i struk- turerat material, dvs. en samling av personuppgifter som är tillgäng- lig för sökning eller sammanställning enligt särskilda kriterier. I 14–19 §§ anges ett antal fall då känsliga uppgifter får behandlas trots förbudet i 13 §. Känsliga personuppgifter får till att börja med behandlas om den registrerade har samtyckt till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna. Vidare får känsliga person uppgifter behandlas om det är nödvändigt med hänsyn till vissa sär- skilt angivna ändamål, t.ex. för att den registrerades eller någon annans vitala intressen ska kunna skyddas och den registrerade inte kan lämna samtycke till behandlingen, eller för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. Det finns även undantag för ideella organisationer med vissa syften. Omfattande undantag gäller också i fråga om behandling av känsliga person uppgifter för hälso- och sjukvårdsändamål samt för forsknings- och statistikändamål. Dessutom finns utrymme för regeringen, eller den myndighet regeringen bestämmer, att enligt 20 § meddela föreskrifter om ytterligare undantag från förbudet i 13 §, om det behövs med hän- syn till ett viktigt allmänt intresse. Sådana föreskrifter finns i 8 § personuppgiftsförordningen (1998:1191). Enligt den bestämmelsen får myndigheter generellt behandla känsliga personuppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ärendet. Enligt 21 § personuppgiftslagen är det som huvudregel förbjudet för andra än myndigheter att behandla sådana personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straff processuella tvångsmedel eller administrativa frihetsberövanden. Uppgifter om personnummer och samordningsnummer får enligt 22 § behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identi fiering eller något annat beaktansvärt skäl. Med hänsyn till vikten av säker identifiering har det t.ex. ansetts motiverat att behandla personnummer i bl.a. vårdregister, inom och i kredit- upplysningsverksamhet.16 16 och s. 347 med hänvisningar. Det grundläggande rättsliga skyddet I 23–27 §§ personuppgiftslagen finns bestämmelser som syftar till att trygga den enskildes rätt att kontrollera om behandling av person uppgifter om honom eller henne pågår. Om uppgifterna samlas in från personen själv ska den personuppgiftsansvarige självmant lämna information till den registrerade om behandlingen av uppgifterna. Har uppgifterna samlats in från någon annan än den enskilde, ska han eller hon informeras när uppgifterna registreras, eller, om avsikten med behandlingen är att lämna ut dem till tredje man, när uppgifterna lämnas ut första gången. Information behöver dock inte lämnas om det finns bestämmelser om registrerandet eller utlämnande av upp gifterna i författning eller om det skulle vara omöjligt eller kräva en oproportionerligt stor arbetsinsats att informera. Informationen ska omfatta uppgift om vem som är personuppgiftsansvarig, ändamålet med behandlingen samt all övrig information som den registrerade behöver för att kunna ta tillvara sina rättigheter i samband med be- handlingen. Den personuppgiftsansvarige är vidare skyldig att efter ansökan, en gång , gratis informera om ifall, och i så fall vilka uppgifter om sökanden som behandlas, ändamålet med behandlingen, varifrån uppgifterna kommer och till vem de lämnas ut. Uppgifts skyldigheten omfattar dock inte alla uppgifter, bl.a. inte uppgifter som omfattas av sekretess eller tystnadsplikt gentemot den registrerade. Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen, ska enligt 28 § på begäran av den registrerade rättas, utplånas eller block- eras av den personuppgiftsansvarige. Om felaktiga personuppgifter har lämnats ut till tredje man, ska denne i vissa fall informeras om korrigeringen. I 31 § personuppgiftslagen finns bestämmelser om säkerhet vid be- handling av personuppgifter. Den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjlig- Det grundläggande rättsliga skyddet heter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur känsliga de behandlade personuppgifterna är. De tekniska möjligheterna handlar om vilka hjälpmedel som finns tillgängliga på marknaden. Tekniska system kan bl.a. innehålla funk- tioner för behörighetskontroll, förande av behandlingshistorik så- som loggning, och kryptering. De särskilda risker som finns med en behandling kan exempelvis vara beroende av antalet personer som de behandlade uppgifterna rör.17 Känsligheten hos personuppgifterna kan handla om arten hos de personuppgifter som behandlas, men även om andra faktorer som t.ex. mängden av uppgifter om enskilda personer. Datainspektionen har utfärdat allmänna råd om säkerhet för personuppgifter. I dessa råd anges bl.a. att en personuppgiftsansvarig bör ha en fastställd säkerhetspolicy, i vart fall om en omfattande be- handling av personuppgifter utförs eller om känsliga personuppgifter behandlas, samt att kontroller bör genomföras för att säkerställa att riktlinjer och regler följs. Det kan bl.a. handla om system för be hörighetskontroll, för att säkerställa vilka anställda som får del av åtkomstskyddade personuppgifter. Det bör vidare finnas rutiner för rapportering och uppföljning av säkerhetsincidenter.18 Det är den personuppgiftsansvarige som ansvarar för säkerheten. Om ett personuppgiftsbiträde anlitas ska den personuppgifts ansvarige förvissa sig om att biträdet kan genomföra de säkerhets åtgärder som måste vidtas och att se till att det verkligen görs. Även om den faktiska behandlingen av uppgifterna överlåts, så kvarstår alltid det yttersta ansvaret hos den personuppgiftsansvarige. 6.5.7Överföring av personuppgifter till tredje land Enligt 33 § personuppgiftslagen är det förbjudet att föra över person uppgifter till tredje land om landet inte har en adekvat nivå för skyd- det av personuppgifter. Förbudet gäller också överföring av person- uppgifter för behandling i tredje land. Bestämmelsen gäller däremot inte vid behandling av personuppgifter i ostrukturerat material. Den som uppsåtligen eller av grov oaktsamhet kränker den registrerades 17 och s. 437 f. 18 Se vidare Datainspektionens allmänna råd – Säkerhet för personuppgifter. Det grundläggande rättsliga skyddet personliga integritet genom att föra över personuppgifter till tredje land som inte har en adekvat skyddsnivå kan göra sig skyldig till brott mot personuppgiftslagen (se nedan). Frågan om skyddsnivån är adekvat ska bedömas med hänsyn till samtliga omständigheter som har samband med överföringen i det enskilda fallet. I paragrafen anges att särskild vikt ska läggas vid upp- gifternas art, ändamålet med behandlingen, hur länge behandlingen ska pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredje landet. I 34 § anges ett antal undantag från förbudet i 33 §. Det är bl.a. tillåtet att föra över personuppgifter till tredje land om den registre- rade har lämnat sitt samtycke därtill eller om överföringen är nöd- vändig för vissa närmare angivna syften, bl.a. för att den registrerades vitala intressen ska kunna skyddas. Vidare är det tillåtet att föra över personuppgifter för användning i en stat som har anslutit sig till dataskyddskonvention. I 35 § finns bemyndiganden som framför allt ger regeringen möjlighet att besluta om ytterligare undantag från förbudet i 33 §. kom , och överens om ett förslag till ny EU-förordning om dataskydd som ska ersätta såväl dataskyddsdirektivet som personuppgiftslagen. beslutade att anta förordningen. Förordningen publicerades i Europeiska unionens officiella tidning med den korta benämningen ”allmän dataskyddsförordning”.19 Förordningen ska tillämpas . Syftet med förordningen har framför allt varit att ytterligare harmonisera och effektivisera skyddet av person- uppgifter för att förbättre den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. Förordningen är direkt tillämplig i medlemsstaterna. 19 Den fullständiga benämningen är och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av person uppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Det grundläggande rättsliga skyddet publicerades även det direktiv som ska ersätta data- skyddsrambeslutet (rambeslut /977/RIF).20 Direktivet omfattar, till skillnad från dataskyddsrambeslutet, inte endast utbyte av infor- mation över gränserna, utan även nationell personuppgiftsbehandling inom den brottsbekämpande sektorn.