sou · H4B365 · 2016-10-05 00:00:00 — I de följande avsnitten redovisas bestämmelser som avser att skydda den enskildes personliga integritet i svensk lagstiftning och i några internationella överenskommelser. Behandling av personuppgifter och skyddet av den personliga integriteten 3.2.3Svensk lagstiftning till skydd för den personliga integriteten Den personliga integriteten skyddas i svensk rätt både i grundlag och i vanlig lag. Det allmänna ska enligt 1 kap. 2 § fjärde stycket regeringsformen bland annat verka för att demokratins idéer blir vägledande inom samhällets alla områden och värna den enskildes privatliv och familjeliv. Bestämmelsen är en del av regeringsformens s.k. program- eller målsättningsstadganden. Placeringen i regeringsformens första kapitel, bland andra bestämmelser som gäller grunderna för det svenska statsskicket, markerar den vikt lagstiftaren har velat lägga vid dem. De utgör emellertid inte rättsligt bindande föreskrifter som kan grunda några krav eller anspråk på det allmänna. De anger i stället mål för den samhälleliga verksamheten och anses bekräfta inställningen att lagstiftaren och myndigheterna så långt som möjligt bör beakta den enskildes intresse av integritet.6 Som målsättningsstadganden kan de få politisk betydelse och frågan om deras effekt kan bli föremål för politisk kontroll.7 Den enskildes integritet i vid mening skyddas i regeringsformens andra kapitel genom förbudet mot dödsstraff samt mot kroppsstraff, tortyr och medicinsk påverkan i syfte att framtvinga eller hindra yttranden (2 kap. 4 och 5 §§). Var och en är också i övrigt skyddad mot påtvingat kroppslig ingrepp, liksom mot kroppsvisitation, husrannsakan, brevkontroll och hemlig avlyssning samt åsiktsregistrering (2 kap. 3 § och 6 § första stycket). De senare bestämmelsernas skydd har emellertid inte primärt motiverats av hänsyn till den enskildes integritet utan främst av att skydda den fria åsiktsbildningen.8 Av 2 kap. 15 § regeringsformen följer vidare ett egendomsskydd genom ett skydd mot tvångsexpropriation. Om egendom trots allt exproprieras, vilket ska vara 6Holmberg m.fl., Grundlagarna (3 uppl. 2012), s. 61. 1973:90 s. 194 f., prop. 1975/76:209 s. 128 och SOU 1975:75 s. 184. 8SOU 1975:75 s. 134 f. Behandling av personuppgifter och skyddet av den personliga integriteten möjligt för att tillgodose angelägna allmänna intressen, ska den enskilde som huvudregel få full ersättning för sin förlust. föreskrevs det i 2 kap. 3 § andra stycket regeringsformen att varje medborgare, i den utsträckning som närmare angavs i lag, skulle skyddas mot att hans eller hennes personliga integritet kränktes genom att uppgifter om honom eller henne registreras med hjälp av automatisk databehandling. ersattes denna bestämmelse av 2 kap. 6 § andra stycket regeringsformen, enligt vilken var och en är skyddad gentemot det allmänna mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Bestämmelsen infördes sedan i sitt slutbetänkande Skyddet för den personliga integriteten – Bedömningar och förslag (SOU 2008:3) anfört att det var en brist att det på grundlagsnivå saknades bestämmelser om skydd för den personliga integriteten som på ett mer påtagligt sätt balanserade de övriga grundlagsreglerade fri- och rättigheterna. En svag förankring av skyddet för den personliga integriteten i grundlagen kunde enligt kommittén innebära att integritetsskyddsaspekterna inte gavs tillräcklig vikt när ny lagstiftning arbetades fram. Ett utvidgat materiellt grundlagsskydd för den personliga integriteten borde enligt kommittén ta sikte på från integritetssynpunkt särskilt skyddsvärda områden, dvs. områden där det är särskilt motiverat att begränsa lagstiftarens handlingsfrihet när det gäller i vilken utsträckning och i vilken form intrång kan tillåtas (bet. s. 255 f.). , som redovisade sitt uppdrag efter , ansåg att det var angeläget att grundlagsskyddet för den personliga integriteten stärktes och föreslog att en bestämmelse i linje med förslag infördes i regeringsformen (SOU 2008:125 s. 473 f.). Regeringen anförde i propositionen att respekten för individens självbestämmande är grundläggande i en demokrati. Genom att på grundlagsnivå stärka skyddet för den personliga integriteten, utan att detta skyddsintresse i första hand värderas utifrån intresset av att skydda den fria åsiktsbildningen, kommer vikten av respekt för individens rätt att själv förfoga över och ta ställning till det all- Behandling av personuppgifter och skyddet av den personliga integriteten männas tillgång till sådan information som rör hans eller hennes privata förhållanden att betonas på ett tydligare sätt.9 Uttrycket personliga förhållanden i den nya bestämmelsen ska anses ha samma innebörd som i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400), förkortad OSL.10 Det innebär att regleringen omfattar information av vitt skilda slag, såsom uppgifter om namn och andra personliga identifikationsuppgifter, adress, familjeförhållanden, hälsa och vandel. Även fotografiska bilder och uppgifter som inte är direkt knutna till den enskildes privata sfär, t.ex. uppgifter om en anställning, omfattas av uttrycket, liksom uppgifter om den enskildes ekonomi. Den nu arbetande (Ju 2014:09) har bland annat i uppdrag att genomföra en uppföljning av hur denna reform av grundlagsskyddet har fallit ut. Uppföljningen bör enligt kommitténs direktiv innefatta en kartläggning och analys av de integritetsaspekter som har aktualiserats i lagstiftningsarbetet sedan den nya grundlagsbestämmelsen trädde i kraft. Kommittén, vars uppdrag behandlas ytterligare i kapitel 5, lämnade ett delbetänkande och ska slutredovisa sitt uppdrag (dir. 2014:65 och 2016:12). Skyddet mot döds- och kroppsstraff, tortyr och medicinsk påverkan i syfte att framtvinga eller hindra yttranden är absolut, dvs. dessa rättigheter får inte begränsas på annat sätt än genom en grundlagsändring. Skyddet mot de övriga begränsningarna av den personliga sfären, såsom kroppsvisitation, husrannsakan och intrång i övrigt som innebär övervakning och kartläggning av den enskildes personliga förhållanden, får begränsas genom lag. Sådana begränsningar får göras endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningarna får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett dem och heller inte sträcka sig så långt att de utgör ett hot mot den fria åsiktsbildningen. Begränsningar får inte göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning (2 kap. 20 och 21 §§ regeringsformen). 2009/10:80 s. 176. 11Hur står det till med den personliga integriteten? – En kartläggning av (SOU 2016:41). Behandling av personuppgifter och skyddet av den personliga integriteten Det relativt nya skyddet mot övervakning och kartläggning i 2 kap. 6 § andra stycket regeringsformen, och det faktum att begränsningar i skyddet endast får göras i lag, har bland annat inneburit att viss personuppgiftsbehandling som har reglerats i förordning numera regleras i lag.12 Personuppgiftslagens (1998:204) syfte är att skydda enskilda mot kränkning av den personliga integriteten vid behandling av personuppgifter. Lagen innehåller bestämmelser som anger under vilka förutsättningar personuppgifter får behandlas. Överträdelser av bestämmelserna kan leda till skadeståndsansvar och i vissa fall också straff i form av böter eller fängelse. Lagen gäller all helt eller delvis automatiserad behandling av personuppgifter, oavsett om det är det allmänna eller en privat aktör som utför behandlingen. Rent privat behandling av personuppgifter, som exempelvis en privatpersons adressregister eller elektroniska dagbok, undantas dock. Även manuellt förda register eller liknande omfattas i vissa fall. Med personuppgifter avses enligt personuppgiftslagen all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Uppgiften behöver inte avse sådant som kan betecknas som privat eller känsligt utan kan vara helt neutral, så länge den går att hänföra till en viss individ. Begreppet personuppgifter omfattar heller inte bara uppgifter i vanlig text. Även bilder och ljudupptagningar kan vara personuppgifter, liksom krypterade uppgifter eller olika slags elektroniska identiteter, såsom IP-adresser. En förutsättning är dock alltid att uppgifterna kan kopplas till en fysisk person som är i livet. Med behandling av personuppgifter menas varje åtgärd eller serie av åtgärder som vidtas med dessa personuppgifter. Som exempel på sådana åtgärder nämns i personuppgiftslagen bland annat insamling, registrering, lagring, användning, utlämnande genom översändande och spridning eller annat tillhandahållande av uppgifter. I stort sett all hantering av personuppgifter, även att bara 12 Som exempel kan nämnas domstolsdatalagen (2015:728) och utlänningsdatalagen (2016:27). Behandling av personuppgifter och skyddet av den personliga integriteten lämna ut eller ta del av en uppgift, omfattas därmed av begreppet behandling. Det krävs heller inte att uppgifterna sparas; även uppgifter som bara tillfälligt förekommer i digital form, t.ex. bildupptagningar i en webbkamera som visas på internet men som inte sparas, har ansetts utgöra behandling av personuppgifter.13 Personuppgiftslagen innehåller grundläggande krav på behandlingen av personuppgifter. Personuppgifter får exempelvis behandlas bara när det är lagligt och på ett korrekt sätt. Uppgifterna får bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål, och de får inte sedan behandlas för något annat, oförenligt ändamål. Den som är ansvarig för behandlingen måste vidta alla rimliga åtgärder för att rätta eller ta bort felaktiga eller ofullständiga personuppgifter, liksom sådana uppgifter som inte längre behövs. Den enskilde måste som huvudregel samtycka till behandlingen av personuppgifter, om den inte är nödvändig för att exempelvis vissa lagstadgade skyldigheter ska kunna fullgöras eller vissa intressen ska kunna skyddas. Personuppgifter får också behandlas om den personuppgiftsansvariges berättigade intresse av en behandling vid en intresseavvägning väger tyngre än den registrerades intresse av integritetsskydd. De registrerades inställning till behandlingen ska beaktas vid intresseavvägningen. Om den registrerade motsätter sig en behandling av uppgifter om honom eller henne och invändningen anses vara sakligt motiverad bör den personuppgiftsansvariges intresse av att behandla uppgifterna enligt Datainspektionens praxis endast i undantagsfall anses väga över.14 Känsliga personuppgifter, dvs. uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i en fackförening eller som rör hälsa eller sexualliv får som huvudregel enligt personuppgiftslagen inte behandlas. Behandling kan dock vara tillåten med den registrerades uttryckliga samtycke eller om behandlingen av olika anledningar kan anses nödvändig, exempelvis för att ge någon vård eller behandling. Också inom ramen för etikgodkänd forskning kan känsliga personuppgifter få behandlas. Datainspektionens beslut (dnr 763-2005) och (dnr 390- 2008). 14Öman och , Personuppgiftslagen, en kommentar (4 uppl. 2011), s. 243. Behandling av personuppgifter och skyddet av den personliga integriteten Personuppgiftslagen ska inte tillämpas om det skulle strida mot grundlagsbestämmelserna om tryck- och yttrandefrihet eller om tillämpningen skulle inskränka offentlighetsprincipen. I princip ska lagen inte heller tillämpas vid journalistisk, konstnärlig eller litterär verksamhet. Behandling av personuppgifter ska som huvudregel anmälas till en tillsynsmyndighet.15 Det är Datainspektionen som är denna tillsynsmyndighet. Om Datainspektionen i sin tillsynsverksamhet konstaterar att personuppgifter behandlas på ett felaktigt sätt kan myndigheten vid vite förbjuda en fortsatt behandling, eller förelägga den behandlande att vidta rättelse. Datainspektionens tillsynsansvar beskrivs närmare i redovisningen av utredningens kartläggningsarbete i kapitel 6. Personuppgiftslagen grundar sig på ett EU-direktiv, och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, ofta kallad dataskyddsdirektivet. Direktivet liksom de beslutade nya EU-rättsakterna på dataskyddsområdet, beskrivs ytterligare nedan. Den nya dataskyddsförordningen medför bland annat att personuppgiftslagen måste upphävas. Personuppgiftslagen kompletteras av en stor mängd s.k. registerförfattningar, som reglerar register och andra personuppgiftssamlingar i den offentliga sektorn. Syftet med registerförfattningarna är att ge ett anpassat skydd för den personliga integriteten vid vissa myndigheters personuppgiftsbehandling, där det ansetts föreligga ett behov av att avvika från eller komplettera personuppgiftslagens skydd. Detta gäller exempelvis vid särskilt känsliga register. Exempel på särskilda registerförfattningar är polisdatalagen (2010:361), domstolsdatalagen (2015:728) och patientdatalagen (2008:355) samt ett stort antal lagar om behandling av personuppgifter i särskilt angivna verksamheter, såsom lagen (2001:185) om behandling av uppgifter i verksamhet och lagen (2002:546) om behandling av personuppgifter inom den 15 Det finns emellertid många undantag från anmälningsskyldigheten. En anmälan behöver t.ex. inte göras om det finns ett personuppgiftsombud eller om något av undantagen som regeringen föreskrivit i personuppgiftsförordningen(1998:1191) är tillämpligt. Behandling av personuppgifter och skyddet av den personliga integriteten Också sådan särskild registerlagstiftning påverkas av EU:s reform på dataskyddsområdet. har i sitt slutbetänkande Myndighetsdatalag (SOU 2015:39) föreslagit att personuppgiftslagen på myndighetsområdet ersätts med en ny lag, en myndighetsdatalag, som ska innehålla bestämmelser som kan gälla generellt för personuppgiftsbehandling vid alla statliga och kommunala myndigheter, med undantag för myndigheterna inom den brottsbekämpande sektorn. Förslaget har varit föremål för remissbehandling och bereds inom . Utöver personuppgiftslagen och registerförfattningarna finns i svensk lag också bestämmelser i annan lagstiftning som syftar till att skydda den personliga integriteten. I (BrB) finns bland annat bestämmelserna i 4 kap. om brott mot frihet och frid såsom hemfridsbrott, olaga intrång och brytande av post- eller telehemlighet samt bestämmelserna i 5 kap. om förtal och förolämpning. Även 3 kap. om brott mot liv och hälsa samt 6 kap. om sexualbrotten innehåller regler som kan sägas utgöra ett skydd för den personliga integriteten i vid mening. gäller enligt 4 kap. 6 a § BrB att den som olovligen med tekniskt hjälpmedel i hemlighet tar upp bilder av någon som befinner sig inomhus i en bostad eller på en toalett, i ett omklädningsrum eller ett annat liknande utrymme kan dömas för kränkande fotografering. Ansvar ska inte utdömas om gärningen med hänsyn till syftet och övriga omständigheter är försvarlig. Av förarbetena till bestämmelsen framgår att exempel på försvarlig fotografering kan vara fotografering som ett led i nyhetsförmedling, t.ex. för publicering i ett grundlagsskyddat medium, eller fotografering i syfte att dokumentera bevisning om ett brott (prop. 2012/13:69 s. 30 f.). Det är inte ett brott om bildupptagningen sker som ett led i en myndighets verksamhet. gäller också kameraövervakningslagen (2013:460), som då ersatte den tidigare lagen (1998:150) om allmän kameraövervakning. Lagen ska tillgodose behovet av kameraöver- Behandling av personuppgifter och skyddet av den personliga integriteten vakning för berättigade ändamål som enskilda skyddas mot otillbörliga intrång i den personliga integriteten. Utredningen om ett modernt och starkt straffrättsligt skydd för den personliga integriteten har som ovan nämnts bland annat föreslagit att det införs en ny straffbestämmelse om olaga integritetsintrång i 4 kap. BrB. Bestämmelsen tar sikte på gärningar som innebär exempelvis att någon gör intrång i en annan persons privatliv genom att sprida bilder eller andra uppgifter om sexualliv, hälsotillstånd eller om att denne har utsatts för ett allvarligt brott. Också spridande av bilder på någon som är naken eller befinner sig i en mycket utsatt situation ska omfattas av straffbestämmelsen. För straffansvar krävs att spridningen varit ägnad att för den som uppgifterna rör innebära en kännbar skada för privatlivet och den personliga interiteten.16 I OSL finns många bestämmelser om sekretess för uppgifter om enskildas personliga förhållanden. Ett av syftena med dessa är att hindra att den enskildes personliga integritet kränks genom att personliga och kanske känsliga uppgifter sprids. Som exempel kan nämnas bestämmelser om sekretess för uppgifter om den enskildes personliga förhållanden i verksamhet som avser folkbokföring (22 kap.), hälso- och sjukvård (25 kap.) och brottsbekämpning (35 kap.) Av 21 kap. 7 § OSL följer vidare att sekretess gäller för en personuppgift, om det kan antas att utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen. Denna bestämmelse tar, till skillnad från vad som annars är vanligast i OSL, alltså inte sikte på uppgiften som sådan utan på vad mottagaren tänker göra med den, och avser att ge ett skydd mot otillåten behandling av personuppgifter. OSL gäller för myndigheter samt för och kommunala beslutande församlingar. Den gäller också i vissa fall för enskilda, exempelvis en person som i sin anställning vid en myndighet har fått del av en sekretessbelagd uppgift för myndighetens räkning och för ett enskilt organ som med stöd av lag förvarar allmänna handlingar. Sekretess innebär ett förbud att röja en uppgift, vare sig det sker muntligen, genom utlämnande av allmän handling eller på något annat sätt. 16 SOU 2016:7, s. 282 f. Behandling av personuppgifter och skyddet av den personliga integriteten Den som har blivit utsatt för en otillåten personuppgiftsbehandling kan ha rätt till skadestånd. Den personuppgiftsansvarige ska enligt 48 § personuppgiftslagen ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen har orsakat. Det krävs inte att den personuppgiftsansvarige har haft för avsikt att skada den registrerade, eller ens att han eller hon har varit slarvig, utan skadeståndsansvaret uppkommer så snart bestämmelserna i lagen har åsidosatts. Bara om den personuppgiftsansvarige kan visa att felet inte berodde på honom eller henne finns det en möjlighet att genom jämkning minska eller helt ta bort skadeståndsskyldigheten. När den personuppgiftsansvarige är en statlig myndighet kan den enskilde få sitt skadeståndsanspråk prövat av Justitiekanslern som i förekommande fall ålägger den felande myndigheten att utge ersättning. (), som utövar tillsyn över bland annat behandling av personuppgifter inom polisens brottsbekämpande verksamhet, har en särskilt reglerad skyldighet att till Justitiekanslern anmäla felaktigheter som nämnden har uppmärksammat i sin tillsyn som kan medföra skadeståndsansvar för staten gentemot en fysisk eller juridisk person.17 En motsvarande anmälningsskyldighet har Statens inspektion för försvarsunderrättelseverksamheten (Siun).18 3.2.4Dataskyddsdirektivet och EU:s dataskyddsreform Personuppgiftslagen grundar sig som nämnts på det s.k. dataskyddsdirektivet. Syftet med direktivet är dels att skapa en hög och likvärdig skyddsnivå i alla medlemsstater när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, dels att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Direktivet gäller bara behandling av personuppgifter om fysiska personer och inte på områden som faller utanför unionsrätten, såsom försvar och allmän säkerhet. Det finns också andra rättsakter som kompletterar dataskyddsdirek- 1720 § förordningen (2007:1141) med instruktion för . 1815 § förordningen (2009:969) med instruktion för Statens inspektion för försvarsunderrättelseverksamheten. Behandling av personuppgifter och skyddet av den personliga integriteten tivet, bland annat rådets rambeslut /977/RIF av om skydd för personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete, det s.k. dataskyddsrambeslutet. Dataskyddsdirektivet har genomförts i medlemsstaterna genom nationell lagstiftning – i alltså genom främst personuppgiftslagen – och medlemsstaterna får inom direktivets ram precisera villkoren för personuppgiftsbehandling. De nationella preciseringarna får dock inte hindra det fria flödet av personuppgifter inom EU. Både dataskyddsdirektivet och dataskyddsrambeslutet har varit föremål för ett omfattande reformarbete inom EU, i syfte att ytterligare harmonisera och effektivisera skyddet av personuppgifter. EU-förhandlingarna har pågått och antog rådet och parlamentet dels en dataskyddsförordning med en generell reglering som ska ersätta dataskyddsdirektivet, dels ett nytt direktiv med särskilda regler om dataskydd för den brottsbekämpande verksamheten.19 Förordningen ska börja tillämpas i medlemsstaterna och direktivet ska vara implementerat . En EU-förordning är direkt tillämplig i medlemsstaterna och därför kommer dataskyddsförordningen att ersätta inte bara dataskyddsdirektivet utan även den nationella lagstiftning i medlemsstaterna som har antagits för att genomföra direktivet, dvs. i framför allt personuppgiftslagen. En särskild utredare har fått i uppdrag att föreslå de anpassningar och kompletterande författningsbestämmelser på generell nivå som förordningen ger anledning till.20 Även registerförfattningar och annan sektorsspecifik nationell lagstiftning som berörs av dataskyddsförordningens tillämpningsområde kommer att behöva ses över. Här lämnar förordningen dock ett visst utrymme för medlemsstaterna 19Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv (95/46/EG (allmän dataskyddsförordning) respektive och rådets direktiv (EU) 2016/680 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. 20Dataskyddsutredningen (Ju 2016:04, dir. 2016:15) ska redovisa sitt uppdrag . Behandling av personuppgifter och skyddet av den personliga integriteten att behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av förordningen. Ett direktiv ska genomföras i medlemsstaterna genom nationell lagstiftning. Även här har en särskild utredare utsetts, med uppdraget att föreslå hur genomförandet i svensk rätt ska ske.21 De nya dataskyddsrättsakterna, och vissa av de anpassningar som behöver göras i när det gäller tillsyn, behandlas vidare i kapitel 9. 3.2.5Några andra internationella förpliktelser är också bundet av ett flertal andra internationella överenskommelser, varav vissa utgör bindande rättsliga regler och andra har formen av rekommendationer och riktlinjer. Av artikel 8 följer att var och en har rätt till skydd för sitt privat- och familjeliv, sitt hem och sin korrespondens. En genomgång av praxis visar att vad som bland annat skyddas är renodlade uppgifter om en enskilds person och identitet, men också uppgifter som rör relationen till andra människor och uppgifter som rör den enskildes yrkesliv. Härutöver ska den enskilde ha rätt till skydd när det gäller angrepp mot ”ära och ryktbarhet”.22 Behandling av personuppgifter omfattas av artikeln, om denna avser uppgifter om den enskildes privatliv, familjeliv, hem eller korrespondens.