sou · H4B358 · 2016-09-15 00:00:00 — Känsliga personuppgifter får behandlas om den registrerade har lämnat sitt samtycke eller på ett tydligt sätt offentliggjort uppgif- terna samt i vissa andra angivna undantagsfall (13–20 §§). Enligt en särskild bestämmelse råder det som huvudregel förbud för andra än myndigheter att behandla uppgifter om lagöverträ- delser m.m. (21 §). Det som avses är personuppgifter om lagöver- trädelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel (t.ex. häktning) och administrativa frihetsberövanden såsom omhändertagande enligt lagen (1990:52) med särskilda be- stämmelser om vård av unga och lagen (1988:870) om vård av miss- brukare i vissa fall. Vidare bör det påpekas att enligt praxis avses med uppgift om ”lagöverträdelser som innefattar brott” inte enbart uppgifter som har ursprung i domar eller beslut från myndigheter. Även uppgifter om att någon har eller kan ha begått ett visst brott utgör en uppgift om lagöverträdelse, trots att det inte finns någon dom eller motsvarande beträffande brottet. Det krävs alltså inte att lagföring har ägt rum. Datainspektionen är tillsynsmyndighet enligt PUL. Den personuppgiftsansvarige har en skyldighet att lämna infor- mation om behandlingen till den registrerade och att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter som inte har behandlats i enlighet med PUL. PUL innehåller även bestämmelser om skadestånd och straff. Det föreskrivs straff bl.a. för den som lämnar osanna uppgifter i sådan information till den registrerade som föreskrivs i lagen eller i anmälan till Datainspektionen om behandling av personuppgifter. Vidare är det straffbart enligt PUL att behandla känsliga person- uppgifter och uppgifter om lagöverträdelser m.m. i strid med reglerna om detta. I ringa fall ska det inte dömas till ansvar. Det finns dessutom regler om en skyldighet för den person- uppgiftsansvarige att ersätta den registrerade för skada eller kränk- ning av den personliga integriteten som behandling av personuppgif- ter i strid med PUL har orsakat. I 7 § PUL behandlas förhållandet till tryck- och yttrandefriheten. I första stycket anges att bestämmelserna i lagen inte tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i TF eller YGL. Detta utesluter i praktiken att PUL tillämpas när det gäller förfaranden som omfattas av TF eller YGL. Personlig integritet och grundlagsskydd I 7 § andra stycket finns en bestämmelse som medför att de viktigaste bestämmelserna i inte ska tillämpas på sådan behand- ling av personuppgifter som ”sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande”. PUL innehåller alltså en bestämmelse som tar sikte på bl.a. massmedial verksamhet. Denna bestämmelse har sin grund i artikel 9 i EU:s dataskydds- direktiv enligt vilken medlemsstaterna kan besluta om undantag och avvikelser från direktivet för ”behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande”. Artikeln innehåller också ett krav på att en intresseavvägning ska göras. Det anges nämligen att undantag och avvikelser endast får ske ”om de är nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefriheten”. Uttrycket ”jour- nalistiskt ändamål” har behandlats i domstolspraxis och anses ha en vid innebörd, se bl.a. i NJA 2001 s. 409 och EU- domstolen i mål C 73/07 (”Satakunnan-domen”). Se även Yttrande- frihetskommitténs delbetänkande Ny yttrandefrihetsgrundlag? presenterar tre modeller (SOU 2010:68) s. 303. Bestämmelsen i 7 § andra stycket blir bara tillämplig i situationer som faller utanför det grundlagsskyddade området. Vid prövning av frågan om TF och YGL ska tillämpas i stället för PUL ska hänsyn så- ledes inte tas till undantaget avseende journalistisk verksamhet m.m. infördes en viktig förändring i PUL genom införandet av den s.k. missbruksregeln (5 a §). Den innebär att behandling av personuppgifter i ostrukturerat material, t.ex. löpande text och enstaka ljud- och bildupptagningar undantas från de flesta av . Med en viss förenkling kan sägas att sådan behand- ling blir tillåten, dock med restriktionen att den inte får innebära att den registrerades personliga integritet kränks. Då kan bl.a. straffansvar enligt PUL bli aktuellt. Av betydelse i sammanhanget är vidare bestämmelsen i 21 kap. 7 § offentlighets- och sekretesslagen (2009:400), OSL. I denna anges att sekretess gäller för personuppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med PUL. Bestämmelsen ger t.ex. en domstol stöd för att under vissa förutsättningar vägra lämna ut brottmålsdomar om det kan antas att dessa i strid med PUL sammanställs till ett privat register över lagöverträdelser. Personlig integritet och grundlagsskydd Innebörden av att ett massmedium har grundlagsskydd är, som framgått ovan, att i praktiken inte blir tillämp- liga på personuppgiftshantering som sker inom ramen för denna verksamhet. Bestämmelsen i 21 kap. 7 § OSL aktualiseras då inte heller. antogs EU:s nya dataskyddsförordning (Europa- parlamentets och rådets förordning /EU/ 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG). Dataskyddsförordningen träder i kraft . Förordningen utgör en ny generell reglering för personuppgiftsbehandling inom EU och kommer att ersätta det nuvarande dataskyddsdirektivet. Dataskyddsförordningen kommer att få direkt tillämpning i . Det innebär således att PUL inte kommer att finnas kvar i dess nuvarande form. De regler som personuppgiftsansvariga och andra måste följa kommer i huvudsak i stället att finnas direkt i EU-förordningen. I materiellt avseende har dataskyddsförordningen klara likheter med den nuvarande regleringen. Bland de större förändringarna när det gäller behandling av personuppgifter kan dock nämnas att för- ordningen innehåller fler och mer preciserade definitioner av olika begrepp och tydligare rättigheter för enskilda, bl.a. en rätt att begära att personuppgifter raderas. Förordningen innebär även en förstärkning av rätten att få åt- komst till sina personuppgifter i syfte att föra över dem till en annan leverantör av elektroniska tjänster. Vidare blir det tydligare regler för kommunikation och ansvar hos de som behandlar personuppgifter (främst personuppgiftsansvariga men också personuppgiftsbiträden). Det införs krav på konsekvensanalyser, inbyggda s.k. dataskydds- garantier samt en skyldighet att anmäla eventuella incidenter till tillsynsmyndigheten. Enligt dataskyddsförordningen införs det även regler om förstärkt samarbete mellan de olika medlemsstaternas dataskyddsmyndigheter och en s.k. ”one-stop-shop-mekanism”. Personlig integritet och grundlagsskydd Detta ska underlätta för sådana personuppgiftsansvariga som är verksamma i flera medlemsstater genom att de endast ska behöva vara i kontakt med en av de olika nationella tillsynsmyndigheterna, t.ex. den i det land där ett företag har sitt huvudsakliga verksamhets- ställe. En aspekt av förordningen som bör framhållas är att det lämnas ett visst utrymme för nationell lagstiftning, trots att det är fråga om en förordning. Dataskyddsförordningen ger i olika avseenden utrymme för att mer preciserade bestämmelser införs i nationell lag- stiftning. Svenska nationella regler som rör personuppgiftsbehand- ling kan därför på vissa områden komma att finnas även i fortsätt- ningen. Det gäller t.ex. personuppgiftsbehandling hos myndigheter, som kommer att kunna regleras nationellt i viss utsträckning. Vidare ankommer det på den nationella lagstiftaren att besluta om undantag från förordningen vid personuppgiftsbehandling som sker för journalistiska ändamål eller konstnärligt eller litterärt skap- ande om de är nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefrihet och informationsfrihet. Det kan nämnas att någon bestämmelse som motsvarar den s.k. missbruksregeln i 5 a § PUL eller någon regel med liknande inne- börd inte förekommer i dataskyddsförordningen. Regeringen har gett (Ju 2016:04) i upp- drag att föreslå de anpassningar och kompletterande författnings- bestämmelser på generell nivå som dataskyddsförordningen ger an- ledning till. Syftet enligt direktiven är att säkerställa att det finns en ändamålsenlig och välbalanserad kompletterande nationell reglering om personuppgiftsbehandling på plats när förordningen börjar tillämpas (se dir. 2016:15). Utredningen ska bl.a. undersöka vilka kompletterande nationella föreskrifter, exempelvis processuella bestämmelser, som förord- ningen kräver samt analysera vilka bestämmelser om administrativa sanktionsavgifter och andra sanktioner som behöver eller bör införa. Vidare ingår det att överväga vilka kompletterande bestäm- melser om t.ex. behandling av känsliga personuppgifter och person- nummer som bör införas i den svenska generella regleringen. Data- skyddsutredningens uppdrag ska redovisas . Personlig integritet och grundlagsskydd Särskilt om känsliga personuppgifter i dataskyddsförordningen Dataskyddsförordningen innehåller i likhet med dataskyddsdirek- tivet och personuppgiftslagen ett principiellt förbud mot att be- handla känsliga personuppgifter (artikel 9.1). Med känsliga person- uppgifter avses enligt förordningen uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk överty- gelse, medlemskap i fackförening, genetiska uppgifter, biometriska uppgifter som specifikt behandlas för att unikt identifiera individer eller uppgifter som rör hälsa eller sexualliv. Förbudet är förenat med ett antal undantag (artikel 9.2–9.4). För att vissa av undantagen ska vara tillämpliga krävs att grunden för sådana behandlingar på olika sätt kommer till uttryck i unionsrätten eller i nationell lagstiftning. Förordningen innebär en utvidgning av kategorin ”känsliga per- sonuppgifter” så att även genetiska uppgifter och vissa typer av bio- metriska uppgifter omfattas. I artikel 4 i dataskyddsförordningen definieras dessa enligt följande. (13)genetiska uppgifter: alla personuppgifter som rör nedärvda eller förvärvade genetiska kännetecken för en fysisk person, vilka ger unik information om denna fysiska persons fysiologi eller hälsa och vilka framför allt härrör från en analys av ett biologiskt prov från den fysiska personen i fråga, (14)biometriska uppgifter: personuppgifter som erhållits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysio- logiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar identifieringen av denna fysiska person, såsom ansiktsbilder eller fingeravtrycksuppgifter, Behandling av personuppgifter om lagöverträdelser och liknande uppgifter som regleras i 21 § PUL kommer genom artikel 10 i dataskyddsförordningen även fortsättningsvis att vara föremål för särskilda begränsningar. Som huvudregel får sådana uppgifter endast behandlas under kontroll av en officiell myndighet eller om det är tillåtet i unionsrätten eller i nationell rätt, som i så fall ska innehålla adekvata regler till skydd för den registrerades fri- och rättigheter. Det bör noteras att i jämförelse med dataskyddsdirektivet (artikel 8.5) innebär dataskyddsförordningen en viss inskränkning när det gäller tillämpningsområdet för den särskilda regleringen i fråga om behandling av personuppgifter m.m. Frågan regleras i den nämnda artikel 10 i förordningen. Personlig integritet och grundlagsskydd Behandling av personuppgifter som rör fällande domar i brottmål samt överträdelser Behandling av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 får endast utföras under kontroll av myndighet eller då be- handling är tillåten enligt unionsrätten eller medlemsstaternas natio- nella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet. Skillnaden i förhållande till direktivet blir att enbart fällande domar i brottmål omfattas samt att regleringen inte längre kommer att avse administrativa frihetsberövanden. 14.1.4Diskussionen om skyddet för den personliga integriteten i relation till TF och YGL Frågor om integritetsskydd i samband med bl.a. fotografering och spridning av information har varit föremål för utredning och diskus- sion . En mer heltäckande sammanfattning av utredningar m.m. på området har lämnats av Yttrandefrihetskom- mittén i slutbetänkandet SOU 2012:55 Del 1 s. 420 f. Här kan också nämnas att integritetsskyddskommitté föreslog en kriminalisering av olovlig respektive otillbörlig fotogra- fering i delbetänkandet Fotografering och integritet (SOU 1974:85). Förslaget genomfördes inte. I slutbetänkandet Privatlivets fred (SOU 1980:8) kunde kommittén inte enas och presenterade därför tre olika förslag om hur skyddet för den enskildes integritet kunde förbättras; självsaneringslinjen, ersättningslinjen och lagstiftnings- linjen. Det mest långtgående förslaget – lagstiftningslinjen – inne- bar att skyddet för den personliga integriteten skulle förstärkas genom att kränkningar av privatlivets fred kriminaliserades. Krimi- naliseringen skulle omfatta även de grundlagsskyddade mediernas verksamhet. Frågan överlämnades till för vidare överväganden. Den utredningen avrådde i sitt slutbetänkande yttrandefriheten (SOU 1983:70) från att genom generell lagstiftning Personlig integritet och grundlagsskydd förstärka integritetsskyddet och ansåg att det allmänna borde fort- sätta att visa förtroende för pressens självsaneringsverksamhet. I departementspromemorian Skyddet för enskilda personers privat- liv – En studie (Ds 1994:51) redovisades ett uppdrag att utreda vissa frågor om skyddet för enskilda personers privatliv. Utredaren konstaterade att det föreliggande skyddet för den personliga integriteten inte allmänt uppfattades som tillfredsställande och att en särskild anledning till den ökande oron angående skyddet för den personliga integriteten var den snabba utvecklingen av möjlig- heterna att i detalj kartlägga varje enskild individ. integritetsskyddskommitté föreslog i sitt slutbetän- kande Skyddet för den personliga integriteten (SOU 2008:3) att det i skulle föras in en bestämmelse om ansvar för olovlig fotografering. Tanken var att det skulle bli förbjudet att utan sam- tycke fotografera eller filma någon som befinner sig på en plats dit allmänheten inte har insyn. Kommittén fick enligt sina direktiv inte föreslå förändringar i integritetsskyddet i förhållande till de grund- lagsskyddade medierna. Mot bakgrund av bl.a. remissynpunkterna på kommitténs för- slag övervägdes frågan om straffansvar för integritetskränkande fotografering på nytt i departementspromemorian Olovlig foto- grafering (Ds 2011:1). Efter viss ytterligare behandling ledde för- slaget till att brottet kränkande fotografering infördes i 4 kap. 6 a § (prop. 2012/13:69). Frågan om införandet av en straffbestämmelse i TF och YGL om integritetsskydd diskuterades av (SOU 2012:55 Del 1 s. 433 f.). Det utarbetades ett antal olika versioner av ett tänkt sådant straffstadgande. En särskild diskussionsfråga i kommittén var om integritetsskyddet i svensk rätt behövde stärkas för att undvika konflikter med artikel 8 i . Kommittén drog slutsatsen att den behovsanalys som hade gjorts gav vid handen att det i princip inte förekom några sådana integri- tetskränkningar inom det grundlagsskyddade området som kunde motivera en särskild straffbestämmelse. förpliktelser enligt kunde inte heller anses tillräckligt tydliga för att ensamma motivera införandet av ett nytt tryck- och yttrande- frihetsbrott. Mot denna bakgrund föreslogs ingen straffbestäm- melse. Kommitténs ordförande, justitierådet , reser- verade sig och ansåg att en bestämmelse av det slaget borde införas. Personlig integritet och grundlagsskydd Särskilt om PUL och tryck- och yttrandefriheten I vårt uppdrag ingår inte att föreslå en generell straffbestämmelse om integritetsskydd i TF och YGL. Direktiven får i stället anses ta sikte på PUL och det förhållandet att lagens regler till skydd för den personliga integriteten inte gäller medier som omfattas av TF och YGL. Det finns därför skäl att här något beröra den diskussion som har förts om dessa aspekter, bl.a. när PUL infördes. PUL:s förhållande till tryck- och yttrandefriheten var omdisku- terat vid införandet (prop. 1997/98:44). Det gällde främst frågan om dataskyddsdirektivet (artikel 9) tillät ett så omfattande undan- tag från direktivets bestämmelser som 7 § första stycket PUL inne- bär, dvs. att PUL inte tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i TF eller YGL. Artikel 9 i dataskyddsdirektivet har följande lydelse. Behandling av personuppgifter och yttrandefriheten Medlemsstaterna skall med avseende på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande besluta om undantag och avvikelser från bestämmel- serna i detta kapitel, kapitel IV och kapitel VI endast om de är nödvän- diga för att förena rätten till privatlivet med reglerna om yttrande- friheten. Lagrådet uttalade att det fick anses tveksamt om skulle acceptera att de bestämmelser i direktivet som införlivas med svensk rätt genom den nya lagen fick vika för de svenska grund- lagarna i vidare mån än som medges enligt ordalagen av artikel 9 i direktivet. Lagrådet avstyrkte ett så vittgående undantag från integritetsskyddsintressena som följer av att TF och YGL tolkas in i artiklarna (a. prop. s. 241 f.). Lagrådet uttalade också att ville man vara säker på att inte lagstifta i strid med direktivet borde i stället reglerna i TF och YGL ändras så att en konflikt undviks. Under behandlingen i gjorde lagstiftaren emellertid bedömningen att det vid införandet av PUL var möjligt att låta TF och YGL gälla oförändrade med stöd av artikel 9 i direktivet (bet. 1997/98:KU18 s. 35). Vid införandet av möjligheten till frivilligt grundlagsskydd för databaser genom ansökan om utgivningsbevis väcktes på nytt frågan om integritetsskyddet. uttalade, som nämns i avsnitt 13.1.1, att konflikter skulle kunna uppstå med bestäm- Personlig integritet och grundlagsskydd melser som fanns i syfte att skydda den personliga integriteten. Utskottet ansåg att utvidgningen av YGL:s tillämpningsområde i och för sig var förenlig med dataskyddsdirektivet. Det fanns ändå skäl att ytterligare undersöka om det kunde uppstå konflikter. Utskottet pekade särskilt på att grundlagsskyddet i värsta fall skulle kunna komma att omfatta databaser som är rena personregister (bet. 2001/02:KU21 s. 32). I uppdrag ingick att analysera frågan. Kommittén undersökte databaserna med utgivnings- bevis. Undersökningarna var inriktade på i vilken mån det förekom integritetskränkningar på dessa webbplatser. Resultatet av den första undersökningen redovisades i delbetänkandet Grundlagsskydd för digital bio och andra yttrandefrihetsrättsliga frågor (SOU 2009:14 s. 98 f.), och avsåg databaser som hade erhållit utgivningsbevis t.o.m. . Totalt undersöktes 509 databaser. Kommit- téns slutsats var att integritetskränkningar kunde bedömas före- komma i 20 av dessa, alltså i av databaserna. I sex av fallen kunde kränkningarna bedömas utgöra förtal. Resterande kränk- ningar bestod i vad som kunde anses utgöra brott mot PUL eller kreditupplysningslagen (1973:1173). I slutbetänkandet (SOU 2012:55 Del 2 bilaga 8) redovisades en undersökning av ytterligare 229 webbplatser med liknande resultat. Enligt kommittén var det bestämda intrycket att databasverksam- heten i allt väsentligt bedrevs på ett seriöst och ansvarstagande sätt samt att innehållet i databaserna till helt övervägande del utgjorde värdefulla bidrag till ett fritt meningsutbyte och en allsidig upplys- ning. Undersökningen avsåg databaser som hade fått utgivnings- bevis fr.o.m. t.o.m. . föreslog som framgått inte några ändringar i detta avseende. Kommitténs ordförande anförde däremot i sin reservation att en bestämmelse skulle införas på grundlagsnivå som i vissa fall gjorde PUL tillämplig på bl.a. databaser med utgiv- ningsbevis (a. bet. Del 2 s. 315 f.). Personlig integritet och grundlagsskydd 14.1.5Förnyad kartläggning av databaser med utgivningsbevis Utgångspunkter, metod och omfattning Vi har låtit genomföra en genomgång av databaser med utgivnings- bevis enligt 1 kap. 9 § andra stycket YGL motsvarande den som utfördes av 2008 resp. 2011 (se ovan). Syftet har i första hand varit att få en övergripande bild av i vilken mån det förekommer integritetskränkningar i databaser som har fått utgivningsbevis efter , dvs. Det bör framhållas att kartläggningen inte tar sikte på frågan om hur allvarliga de kränk- ningar som förekommer är eller vilken omfattning en integritets- kränkande verksamhet har på en viss webbplats med utgivningsbevis. I likhet med tidigare genomgångar, har utgångspunkten för den kartläggning som vi har låtit utföra varit de regler till skydd för den personliga integriteten som gäller när grundlagsskydd enligt TF och YGL inte föreligger. Under kartläggningen har samma fem frågor ställts som under tidigare genomgångar, nämligen följande. 1.Vilket är databasens syfte och innehåll? I likhet med Yttrande- frihetskommitténs genomgång har databaserna delats in och förtecknats i fyra grupper: –Grupp A) Databaser med organisationsformen ”privatperson” eller ”övrigt” om de kan antas drivas av privatpersoner. –Grupp B) Databaser med kreditupplysningsverksamhet eller liknande verksamhet med utlämning av uppgifter ur register. –Grupp C) Databaser som drivs av aktiebolag, handelsbolag, enskilda näringsidkare, ekonomiska eller ideella föreningar, stiftelser, klubbar eller liknande privata organ. –Grupp D) Databaser som drivs av myndigheter, kommuner, landsting, städer, skolor, högskolor, universitet, stift, för- samlingar eller andra kyrkliga organ, museer, bibliotek, andra offentliga organ o.d. 2.Förekommer överträdelser av t.ex. förtal, hets mot folkgrupp, brott mot tystnadsplikt och olaga hot? 3.Förekommer överträdelser av PUL? Personlig integritet och grundlagsskydd 4.Förekommer överträdelser av kreditupplysningslagen? 5.Förekommer överträdelser av annan lagstiftning? Därutöver har det i fråga om databaser som fått utgivningsbevis före gjorts en förnyad granskning enligt punk- terna 2–5. Utöver genomgången av databaser med utgivningsbevis har upp- lysningar inhämtats från , Polismyndig- heten, Datainspektionen, Justitiekanslern och Myndigheten för press, radio och tv. Resultatet av kartläggningen av innehållet i databaser med utgivningsbevis Undersökningen redovisas i dess helhet i bilaga 7. Här nedan läm- nas en sammanfattning av resultatet. Det kan nämnas att kartlägg- ningen i allt väsentligt visar samma resultat som de undersökningar som utförde. 1.Innehållet i databaser med utgivningsbevis efter den 10 decem- ber 2010 –Totalt antal databaser i gruppen: 355. –Totalt antal databaser som kan bedömas innehålla integritets- kränkningar: 19 (). –Totalt antal databaser utan innehåll: 57 (). –Totalt antal databaser som kräver lösenord, inloggning eller lik- nande för att få del av hela eller delar av innehållet: 26 (). 2.Resultatet av undersökningen av innehållet i alla databaser med utgivningsbevis –Totalt antal databaser i gruppen: 928. –Totalt antal databaser som kan bedömas innehålla integritets- kränkningar: 36 (). –Totalt antal databaser utan innehåll: 205 (). –Totalt antal databaser som kräver lösenord, inloggning eller lik- nande för att få del av hela eller delar av innehållet: 49 (). Personlig integritet och grundlagsskydd 14.1.6Grundlagsskyddade databaser med personuppgifter