Regeringens proposition

2000/01:50

Kreditupplysningslagen och dataskyddsdirektivet

Prop.

2000/01:50

Regeringen överlämnar denna proposition till riksdagen.

Stockholm den 30 november 2000

Göran[REDACTED_EFTERNAMN]

 Lars-Erik[REDACTED_EFTERNAMN]

 (Justitiedepartementet)

Propositionens huvudsakliga innehåll

Propositionen innehåller förslag till ändringar i kreditupplysningslagen

(1973:1173). Förslagen syftar i första hand till att anpassa kreditupp-

lysningslagen till EG:s dataskyddsdirektiv och personuppgiftslagen

(1998:204).

Lagändringarna ger förstärkningar i den enskildes integritetsskydd. De

innebär i huvudsak följande.

 I kreditupplysningsverksamhet får uppgifter om fysiska personer

samlas in endast för kreditupplysningsändamål.

 Personuppgiftslagens grundläggande krav på behandling av person-

uppgifter skall gälla också i kreditupplysningsverksamhet.

 Bestämmelserna om begränsningar för behandling av känsliga

uppgifter anpassas till direktivet och personuppgiftslagen.

 Skyldigheten att informera i registerbesked och kreditupplysnings-

kopior utökas. En begäran om registerbesked om en fysisk person

skall göras skriftligen och vara egenhändigt undertecknad.

 En allmän bestämmelse om gallring av uppgifter införs.

 Bestämmelserna om rättelse av uppgifter skall omfatta inte endast

felaktiga och missvisande uppgifter utan även uppgifter som annars

har behandlats i strid med lagen.

I propositionen görs vidare bedömningen att uppgifter också i fort-

sättningen bör få behandlas utan att den enskilde har gett sitt samtycke

till behandlingen, och det föreslås en uttrycklig bestämmelse om detta.

Det föreslås även bestämmelser om datasäkerhet för uppgifter om

juridiska personer.

Regeringen tar även upp frågan om användning av s.k. flödesinforma-

tion i kreditupplysningar avseende näringsidkare. Regeringen gör be-

dömningen att kreditupplysningslagen inte bör ändras för att möjliggöra

en ökad användning av sådana uppgifter.

Vissa andra aktuella frågor som rör kreditupplysningsverksamhet

behandlas inte i propositionen. En sådan fråga är vad som bör gälla för

uppgifter om skuldsanering i kreditupplysningar. En annan gäller de

problem som är förenade med att kreditupplysningar om näringsidkare

får innehålla uppgifter med viss osäkerhet. Dessa frågor övervägs inom

Regeringskansliet.

Registerförfattningsutredningen (SOU 1999:105) och Bulvanutred-

ningen (SOU 1998:47) har lämnat vissa förslag som rör kreditupplys-

ningsverksamhet. Dessa förslag bereds för närvarande inom Regerings-

kansliet.

De här föreslagna lagändringarna föreslås träda i kraft den 1 april

2001.

Innehållsförteckning

Fel! Bokmärket är inte definierat.

2 Förslag till lag om ändring i kreditupplysningslagen (1973:1173)

5

3 Ärendet och dess beredning 11

4 Anpassning till dataskyddsdirektivet 13

4.1 Kreditupplysningslagen och dataskyddsdirektivet 13

4.2 Grundläggande krav 15

4.3 Behandling av uppgifter utan samtycke 19

4.4 Känsliga uppgifter m.m. 21

4.5 Gallring 25

4.6 Information till den registrerade 27

4.7 Rättelse 29

5 Flödesinformation 30

6 Ikraftträdande- och övergångsbestämmelser 32

7 Ekonomiska konsekvenser av förslagen 33

8 Författningskommentar 34

Bilaga 1 Dataskyddsdirektivet. 40

Bilaga 2 Sammanfattning av departementspromemorian 73

Bilaga 3 Departementspromemorians lagförslag 74

Bilaga 4 Datainspektionens rapport 78

Bilaga 5 Förteckning över remissinstanserna 81

Bilaga 6 Lagrådsremissens lagförslag 82

Bilaga 7 Lagrådets yttrande 88

Protokollsutdrag 91

Rättsdatablad 92

1

2 Förslag till riksdagsbeslut

Regeringen föreslår att riksdagen antar regeringens förslag till lag om

ändring i kreditupplysningslagen (1973:1173).

3 Förslag till lag om ändring i

kreditupplysningslagen (1973:1173)

Härigenom föreskrivs i fråga om kreditupplysningslagen

(1973:1173)

dels att 5, 6, 8 och 10 12 §§ skall ha följande lydelse,

dels att det närmast före 5 a, 9, 13, 14 och 23 §§ skall införas nya

rubriker som skall lyda Informationsutbyte , Utlämnande av upplys-

ningar , Överlåtelse och upplåtelse av register , Tystnadsplikt

respektive Överklagande ,

dels att det närmast före 6, 8, 10, 11 och 12 §§ skall införas nya

rubriker av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

5 §

Kreditupplysningsverksamh

et skall bedrivas så att den ej leder

till otillbörligt intrång i personlig

integritet genom innehållet i de

upplysningar som förmedlas eller

på annat sätt eller till att oriktiga

eller missvisande uppgifter lagras

eller lämnas ut.

Kreditupplysningsverksamh

et skall bedrivas så att den inte

leder till otillbörligt intrång i

personlig integritet genom

innehållet i de upplysningar som

förmedlas eller på annat sätt eller

till att oriktiga eller missvisande

uppgifter lagras eller lämnas ut.

För sådan behandling av

personuppgifter som omfattas av

personuppgiftslagen (1998:204)

gäller i stället 9 § första stycket

a, b och d h den lagen.

Uppgifter om fysiska personer

får samlas in endast för

kreditupplysningsändamål.

Vid helt eller delvis automa-

tiserad behandling av uppgifter

om juridiska personer skall den

som bedriver kreditupplysnings-

verksamhet vidta lämpliga tek-

niska och organisatoriska säker-

hetsåtgärder för att hindra att

behandlingen sker på ett

otillåtet sätt och att uppgifterna

utsätts för otillåten insyn.

Bestämmelser om säkerheten vid

behandling av personuppgifter

finns i 30 32 §§

personuppgiftslagen.

Utan hinder av 10 §

personuppgiftslagen får

personuppgifter behandlas utan

samtycke i kreditupp-

lysningsverksamhet. Den

registrerade kan inte heller

motsätta sig behandlingen.

Bestämmelsen i andra stycket

tillämpas inte i den utsträckning

det skulle strida mot bestämmel-

serna i tryckfrihetsförordningen

eller yttrandefrihetsgrundlagen.

Känsliga uppgifter m.m.

6 §

Uppgifter om en persons ras,

etniska ursprung, politiska

uppfattning, religiösa eller

filosofiska övertygelse eller

sexualliv får inte samlas in,

lagras eller lämnas ut i

kreditupplysningsverksamhet.

Uppgifter om en persons ras,

etniska ursprung, politiska

uppfattning, religiösa eller

filosofiska övertygelse,

medlemskap i fackförening,

hälsa eller sexualliv får inte

behandlas i kreditupplys-

ningsverksamhet.

Uppgifter om sjukdom, hälso-

tillstånd eller liknande får inte

utan medgivande av Datainspek-

tionen samlas in, lagras eller

lämnas ut i kreditupplysnings-

verksamhet. Detsamma gäller

uppgifter om att någon

misstänks eller har dömts för

brott eller har avtjänat straff

eller undergått någon annan

påföljd för brott eller har varit

föremål för någon åtgärd enligt

socialtjänstlagen (1980:620),

lagen (1990:52) med särskilda

bestämmelser om vård av unga,

lagen (1988:870) om vård av

missbrukare i vissa fall, lagen

(1991:1128) om psykiatrisk

tvångsvård, lagen (1991:1129)

om rättspsykiatrisk vård, lagen

(1993:387) om stöd och service

till vissa funktionshindrade, 11

14 §§ polislagen (1984:387),

lagen (1976:511) om

omhändertagande av berusade

personer m.m. eller

utlänningslagen (1989:529).

Uppgifter om lagöverträdelser

som innefattar brott, domar i

brottmål, straffprocessuella

tvångsmedel eller administrativa

frihetsberövanden får inte utan

medgivande av

Datainspektionen behandlas i

kreditupplysningsverksamhet.

Ett medgivande som avses i andra stycket får lämnas endast om det

finns synnerliga skäl.

Vad som anges i andra stycket

hindrar inte att uppgifter om betal-

ningsförsummelser, kreditmiss-

bruk eller näringsförbud samlas

in, lagras eller lämnas ut i

kreditupplysningsverksamhet.

Vad som anges i andra stycket

hindrar inte att uppgifter om betal-

ningsförsummelser, kreditmiss-

bruk eller näringsförbud behand-

las i

kreditupplysningsverksamhet.

Gallring

8 §

En uppgift om en fysisk person

skall gallras när det inte längre

är nödvändigt att bevara

uppgiften med hänsyn till

ändamålet med registret.

Kreditupplysningar om fysiska

personer som inte är

näringsidkare får inte innehålla

uppgifter om omständigheter

eller förhållanden som är av

betydelse för bedömningen av

personens vederhäftighet i

ekonomiskt hänseende, om tre år

förflutit från utgången av det år då

omständigheten inträffade eller

förhållandet upphörde. Uppgifter

som inte får lämnas ut skall efter

den angivna tiden gallras ut ur

register som används i

kreditupplysningsverksamhet.

Gallringen skall göras så snart

det kan ske och i vart fall innan

en upplysning lämnas om den

som uppgiften avser.

En uppgift om en fysisk person

som inte är näringsidkare skall

gallras senast när tre år har för-

flutit från utgången av det år då

den omständighet inträffade eller

det förhållande upphörde som

uppgiften avser.

Registerbesked

10 §

Var och en har rätt att mot

skälig avgift hos den som bedriver

kreditupplysningsverksamhet få

skriftligt besked om huruvida det i

verksamheten finns uppgifter

lagrade om honom och, om det

finns sådana uppgifter, vad de

har för innehåll.

Var och en har rätt att mot skä-

lig avgift hos den som bedriver

kreditupplysningsverksamhet få

skriftligt besked om huruvida det i

verksamheten behandlas

uppgifter om honom. Fysiska

personer har rätt att en gång

per kalenderår få ett besked

gratis. Behandlas sådana

uppgifter skall besked lämnas

om

a) vilka uppgifter som behand-

las,

b) om den registrerade är en

fysisk person: varifrån

uppgifterna har hämtats,

c) ändamålen med

behandlingen och

d) till vilka mottagare eller

kategorier av mottagare som

uppgifterna lämnas ut.

Bestämmelserna i första

stycket tillämpas inte i den

utsträckning det skulle strida

mot bestämmelserna i

tryckfrihetsförordningen eller

yttrandefrihetsgrundlagen.

En begäran om besked enligt

första stycket om en fysisk

person skall göras skriftligen

och vara egenhändigt

undertecknad.

Kreditupplysningskopia

11 §

När en kreditupplysning om en

fysisk person lämnas ut, skall till

den som avses med upplysningen

samtidigt och kostnadsfritt sändas

ett skriftligt meddelande om de

uppgifter, omdömen och råd som

upplysningen innehåller rörande

honom och om vem som har

begärt upplysningen.

När en kreditupplysning om en

fysisk person lämnas ut, skall till

den som avses med upplysningen

samtidigt och kostnadsfritt sändas

ett skriftligt meddelande om

a) vem som bedriver

kreditupplysningsverksamheten,

b) ändamålen med behand-

lingen,

c) de uppgifter, omdömen och

råd som upplysningen innehåller

om honom,

d) möjligheten att få rättelse

av de uppgifter som rör honom,

och

e) vem som har begärt upplys-

ningen.

Vad som sägs i första stycket gäller också när en kreditupplysning

lämnas om ett handelsbolag eller kommanditbolag.

Vad som sägs i första och andra

stycket gäller inte kreditupplys-

ningar som lämnas genom offent-

liggörande på ett sådant sätt som

avses i tryckfrihetsförordningen

eller yttrandefrihetsgrundlagen.

Vad som sägs i första och andra

styckena gäller inte kreditupplys-

ningar som lämnas genom offent-

liggörande på ett sådant sätt som

avses i tryckfrihetsförordningen

eller yttrandefrihetsgrundlagen.

Rättelse

12 §6

Förekommer anledning till

misstanke att en uppgift i

kreditupplysning som lämnats

under den senaste

tolvmånadersperioden eller i

register som används i

kreditupplysningsverksamhet är

oriktig eller missvisande, skall

den som bedriver verksamheten

utan dröjsmål vidta skäliga

åtgärder för att utreda

förhållandet.

Finns det anledning att miss-

tänka att en uppgift som

behandlas i

kreditupplysningsverksamhet

eller som har lämnats i en kredit-

upplysning under den senaste tolv-

månadersperioden är oriktig eller

missvisande, eller att den annars

har behandlats i strid med

denna lag, skall den som bedriver

verksamheten utan dröjsmål vidta

skäliga åtgärder för att utreda för-

hållandet.

Visar sig uppgiften vara oriktig

eller missvisande, skall den, om

den förekommer i register, rättas,

kompletteras eller uteslutas ur

registret. Har uppgiften tagits in i

en kreditupplysning som lämnats

på annat sätt än som avses i

tryckfrihetsförordningen och ytt-

randefrihetsgrundlagen, skall rät-

telse eller komplettering så snart

det kan ske tillställas var och en

som under den senaste tolv-

månadersperioden fått del av upp-

giften. Har uppgiften under den

senaste tolvmånadersperioden

lämnats i periodisk skrift eller i

en kreditupplysningsverksamhet

som bedrivs genom

återkommande offentliggöranden

enligt yttrandefrihetsgrundlagen,

skall rättelse eller komplettering

så snart det kan ske införas i ett

följande nummer av skriften eller

motsvarande form av

offentliggörande enligt

yttrandefrihetsgrundlagen. Vad

som sägs i detta stycke gäller

dock icke, om uppgiften uppen-

barligen saknar betydelse för be-

dömningen av vederbörandes

vederhäftighet i ekonomiskt hän-

seende.

Visar det sig att uppgiften är

oriktig eller missvisande, eller att

den annars har behandlats i

strid med lagen, skall den, om

den förekommer i register, rättas,

kompletteras eller uteslutas ur

registret. Har en oriktig eller

missvisande uppgift tagits in i en

kreditupplysning som lämnats på

annat sätt än som avses i

tryckfrihetsförordningen eller

yttrandefrihetsgrundlagen, skall

rättelse eller komplettering så

snart det kan ske tillställas var och

en som under den senaste

tolvmånadersperioden fått del av

uppgiften. Har uppgiften under

den senaste tolvmånadersperioden

lämnats i en periodisk skrift eller

i en kreditupplysningsverksamhet

som bedrivs genom

återkommande offentliggöranden

enligt yttrandefrihetsgrundlagen,

skall rättelse eller komplettering

så snart det kan ske införas i ett

följande nummer av skriften eller

motsvarande form av

offentliggörande enligt

yttrandefrihetsgrundlagen. Vad

som sägs i detta stycke gäller

dock inte, om uppgiften uppen-

barligen saknar betydelse för be-

dömningen av vederbörandes

vederhäftighet i ekonomiskt hän-

seende.

Har en fråga om rättelse eller liknande åtgärd tagits upp efter

framställning från den som uppgiften avser, skall denne kostnadsfritt

underrättas om huruvida sådan åtgärd vidtagits.

1. Denna lag träder i kraft den 1 april 2001.

2. I stället för 5 § första stycket tillämpas 5 § i dess äldre lydelse i

fråga om sådan behandling av personuppgifter för vilken 9 §

personuppgiftslagen (1998:204) enligt övergångsbestämmelserna till

den lagen inte är tillämplig.

4 Ärendet och dess beredning

Kreditupplysningslagen (1973:1173) innehåller regler för den yrkes-

mässigt bedrivna kreditupplysningsverksamheten. Lagen syftar i första

hand till att undanröja riskerna för att kreditupplysningar medför

otillbörligt intrång i de omfrågades personliga integritet eller leder till

skada genom oriktiga eller missvisande uppgifter. Samtidigt är lagen

avsedd att bidra till en effektivt fungerande kreditupplysningsverk-

samhet.

År 1991 tillkallades en särskild utredare för att se över kreditupplys-

ningslagen (dir. 1991:69 och 1993:41), Kreditupplysningsutredningen.

Utredaren presenterade sitt arbete i delbetänkandet EES-anpassning av

kreditupplysningslagen (SOU 1992:22) och i slutbetänkandet Integritet

och effektivitet på kreditupplysningsområdet (SOU 1993:110).

Europaparlamentet och rådet antog den 24 oktober 1995 direktivet

95/46/EG om skydd för enskilda personer med avseende på behandling

av personuppgifter och om det fria flödet av sådana uppgifter (data-

skyddsdirektivet). Direktivet finns i bilaga 1.

År 1995 tillkallades en kommitté med uppgift att göra en total

revision av datalagen (1972:289) och analysera på vilket sätt

dataskyddsdirektivet skulle genomföras (dir. 1995:91),

Datalagskommittén. Kommittén överlämnade år 1997 sitt betänkande

Integritet Offentlighet Informationsteknik (SOU 1997:39). Kommitténs

förslag ledde till personuppgiftslagen (1998:204). Personuppgiftslagen,

som trädde i kraft den 24 oktober 1998, ersatte 1972 års datalag och

genomförde direktivet i huvudsak (prop. 1997/98:44, bet.

1997/98:KU18, rskr. 1997/98:180). I förarbetena konstaterades att ett

stort antal andra författningar, bl.a. kreditupplysningslagen, måste

anpassas till direktivet och till personuppgiftslagen och att detta arbete

skulle drivas vidare inom Regeringskansliet.

De flesta av Kreditupplysningsutredningens förslag har resulterat i

lagstiftning (prop. 1996/97:65, bet. 1996/97:FiU23 och 27, rskr.

1996/97:274). Med hänsyn till Datalagskommitténs då pågående arbete

lämnades dock frågor som behandlas i dataskyddsdirektivet eller som

annars hade beröring med Datalagskommitténs arbete utanför lagstift-

ningsärendet. En fråga som inte togs upp är om kreditupplysningslagen

bör fullständigt reglera vad som skall gälla på kreditupplysningsområdet

eller om lagen bör samverka med andra lagar, särskilt numera person-

uppgiftslagen. En annan fråga som inte behandlades är frågan om

datasäkerhet. Utanför lagstiftningsärendet lämnades också frågan om

uppgifter skall få samlas in och lagras i kreditupplysningsverksamhet

utan att den berörda personen har lämnat sitt samtycke till det.

På uppdrag av Justitiedepartementet har utarbetats promemorian Kre-

ditupplysningslagen anpassning till dataskyddsdirektivet (Ds

1998:44). I promemorian analyseras vilka ändringar som bör göras i

kreditupplysningslagen med anledning av direktivet och

personuppgiftslagen, varvid även de flesta av de återstående frågorna

från Kreditupplysningsutredningens förslag behandlas. En

sammanfattning av promemorian finns i bilaga 2. Promemorians

lagförslag finns i bilaga 3.

I olika sammanhang har framförts kritik, bl.a. från kreditupplysnings-

företag, mot att kreditupplysningslagens grundläggande krav på hur

kreditupplysningsverksamhet skall bedrivas kommit att ges en större

betydelse i praxis än som enligt kritikerna varit avsett när kraven

infördes. Kritiken har skjutit in sig på att uppgifter om vidtagna inkasso-

åtgärder och uppgifter ur företags kundreskontra inte fått användas i

kreditupplysningar om näringsidkare.

År 1997 uppdrog regeringen åt Datainspektionen att utreda vilka upp-

gifter om näringsidkare som bör få användas i kreditupplysningar.

Datainspektionen redovisade uppdraget i en rapport samma år. Data-

inspektionens bedömning finns i bilaga 4.

Promemorian och rapporten har remissbehandlats. En förteckning

över remissinstanserna finns i bilaga 5. Remissyttrandena finns

tillgängliga i lagstiftningsärendet (Ju 98/2403).

I propositionen behandlar regeringen de förslag som lämnats i prome-

morian, kvarstående förslag från Kreditupplysningsutredningen samt de

frågor som berörs i Datainspektionens rapport.

Flera remissinstanser har synpunkter och förslag i andra frågor som

rör kreditupplysningsverksamhet. Dessa och andra frågor som

aktualiserats under arbetet behandlas inte i propositionen.

En fråga som kommit upp är hur länge en uppgift om skuldsanering

bör kvarstå innan den gallras ur kreditupplysningsregister. I dag kvarstår

uppgiften om skuldsanering tre år efter det år då saneringen avslutades.

Den frågan kommer att behandlas i en kommande departementsprome-

moria om skuldsanering m.m. I Regeringskansliet har också tagits upp

de problem som är förenade med att kreditupplysningar om

näringsidkare får innehålla uppgifter som är förenade med viss

osäkerhet, t.ex. ansökningar om betalningsföreläggande.

Registerförfattningsutredningen (SOU 1999:105) föreslår vissa änd-

ringar vad gäller sekretessen inom exekutionsväsendet som får

betydelse för kreditupplysningsverksamhet. Betänkandet har

remissbehandlats och bereds för närvarande inom Regeringskansliet.

Detsamma gäller för Bulvanutredningens förslag (SOU 1998:47) som

även det berör kreditupplysningsverksamhet.

Lagrådet

Regeringen beslutade den 12 oktober 2000 att inhämta Lagrådets ytt-

rande över de lagförslag som finns i bilaga 6.

Lagrådets yttrande finns i bilaga 7. Lagrådet har godtagit förslagen

men förordat att det i lagen införs en uttrycklig bestämmelse om den

registrerades rätt att motsätta sig behandling av uppgifter. Lagrådet har

också beträffande en lagändring föreslagit en övergångsbestämmelse.

Regeringen har följt Lagrådets förslag. Lagrådets förslag och

synpunkter i övrigt behandlas i avsnitten 4.3, 4.4 och 6 samt i

författningskommentaren.

I förhållande till lagrådsremissens förslag har en bestämmelse som

ger fysiska personer rätt till ett registerutdrag per år gratis lagts till.

Dessutom har några språkliga och redaktionella ändringar gjorts.

5 Anpassning till dataskyddsdirektivet

5.1 Kreditupplysningslagen och dataskyddsdirektivet

Regeringens bedömning: Kreditupplysningslagen bör inte innehålla

en heltäckande reglering, utan även personuppgiftslagen bör vara

tillämplig på kreditupplysningsverksamhet.

Promemorians bedömning överensstämmer med regeringens

bedömning (se promemorian s. 21 f.).

Remissinstanserna instämmer i bedömningen eller lämnar den utan

någon invändning.

Skälen för regeringens bedömning: Med kreditupplysningar avses

uppgifter, omdömen eller råd som lämnas till ledning för bedömning av

någons kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hän-

seende. Kreditupplysningslagen gäller för kreditupplysningar avseende

såväl fysiska som juridiska personer. Sådan

kreditupplysningsverksamhet som omfattas av lagen får, med vissa

undantag, bedrivas endast efter tillstånd av Datainspektionen. Lagen

ställer upp vissa grundläggande krav på hur verksamheten skall bedrivas.

Särskilda och strängare regler gäller för känsliga uppgifter, t.ex.

uppgifter om etniskt ursprung, brott eller hälsa. Uppgifter om fysiska

personer som inte är näringsidkare skall gallras efter tre år. När en

kreditupplysning om en fysisk person lämnas ut, skall den omfrågade få

en kreditupplysningskopia. Var och en har rätt att få besked om vilka

uppgifter som finns registerade om honom eller henne. I

kreditupplysningslagen finns även bestämmelser om bl.a. skadestånd.

Kreditupplysningar avseende fysiska personer utgör som regel

personuppgifter. För behandling av personuppgifter finns en generell

reglering i dataskyddsdirektivet vilket har genomförts i svensk rätt i

personuppgiftslagen. Regleringen omfattar uppgifter om fysiska

personer men inte uppgifter om juridiska personer. Den gäller inte för

all behandling utan är begränsad till automatiserad behandling och viss

strukturerad manuell behandling. Sålunda ryms den behandling som i

praktiken kan innebära störst risker för den enskildes integritet. Till

skillnad från kreditupplysningslagen innehåller direktivet och

personuppgiftslagen inte något allmänt krav på tillstånd innan

personuppgifter får behandlas, utan regleringen bygger i stället på

anmälningsskyldighet. Sådana personuppgifter som innebär särskilda

risker får dock behandlas först efter förhandskontroll. Vid behandling av

personuppgifter skall vissa grundläggande krav följas. I likhet med

kreditupplysningslagen gäller strängare regler för uppgifter som är

särskilt känsliga. Utgångspunkten är vidare att det krävs att den

registerade har gett sitt samtycke för att någon skall få behandla

uppgifter om honom eller henne. Information om behandlingen skall

lämnas till den registrerade, både självmant och efter ansökan. Även

regler om skadestånd finns.

För kreditupplysningsverksamhet gäller sålunda både kreditupplys-

ningslagen och personuppgiftslagen. Kreditupplysningsutredningen tog

upp frågan om kreditupplysningslagen inte i stället borde innehålla en

heltäckande reglering (se SOU 1993:110 s. 114 f.). Utredningen hän-

visade bl.a. till att den rådande ordningen innebär olägenheter eftersom

kreditupplysningsföretagen måste följa inte bara kreditupplysningslagen

utan också andra författningar, främst den då gällande datalagen som

alltså nu har ersatts av personuppgiftslagen. Utredningen ansåg att

kreditupplysningslagen så fullständigt som möjligt borde reglera vad

som skall gälla på kreditupplysningsområdet.

Frågan tas också upp i promemorian. Där görs den bedömningen att

behandling av personuppgifter i kreditupplysningsverksamhet bör regle-

ras i första hand genom personuppgiftslagen.

Det skulle i och för sig kunna innebära praktiska fördelar, inte minst

för kreditupplysningsföretagen, om alla de bestämmelser som är rele-

vanta för verksamheten fanns samlade i kreditupplysningslagen. Rege-

ringen instämmer likväl i promemorians och remissinstansernas bedöm-

ning att det inte är lämpligt att låta kreditupplysningslagen innehålla en

heltäckande reglering. Personuppgiftslagen är avsedd att vara allmänt

tillämplig och innehålla generella regler. Behovet av särregler för vissa

verksamheter förutses bli tillgodosett genom andra författningar. Av

personuppgiftslagen följer sålunda att bestämmelser i en annan lag eller

en förordning skall gälla om de avviker från personuppgiftslagen (2 §). I

författningar för andra verksamheter som regleras av personuppgifts-

lagen, t.ex. beträffande polisregister och hälsodata- och vårdregister, har

inte införts någon fullständig reglering. I stället har man där bara tagit in

de bestämmelser som speciellt reglerar verksamheten eller som annars

ansetts lämpligen böra finnas i författningen. En annan ordning skulle

också göra kreditupplysningslagen otymplig. Kreditupplysningslagen

bör alltså inte innehålla en heltäckande reglering, utan även

personuppgiftslagen bör vara tillämplig i kreditupplysningsverksamhet.

När kreditupplysningslagen anpassas till personuppgiftslagen och

direktivet bör utgångspunkten således vara att lagen skall innehålla de

bestämmelser om behandling av personuppgifter som avviker från

personuppgiftslagen. Även om kreditupplysningslagen sålunda inte skall

innehålla en fullständig reglering, bör ändå eftersträvas att lagen reglerar

de frågor som är av särskild betydelse för kreditupplysningsverksamhet.

Det bör alltså inte vara uteslutet att vissa väsentliga bestämmelser finns i

kreditupplysningslagen trots att de egentligen inte avviker från person-

uppgiftslagens bestämmelser. Som understryks i promemorian är det en

fördel om kreditupplysningslagens bestämmelser kan behållas. Bestäm-

melserna har fungerat väl och både myndigheter och företag är väl

förtrogna med dem. Några mera genomgripande ändringar i kreditupp-

lysningslagen är inte heller påkallade. Av följande avsnitt i

propositionen framgår att ändringar dock bör göras i bestämmelserna i

5 § med allmänna krav, i 6 § om känsliga uppgifter och i 8 § om gallring.

Justeringar bör också göras i bestämmelserna i 10 § om registerbesked,

i 11 § om kreditupplysningskopia och i 12 § om rättelse. I enlighet med

promemorians bedömning krävs inte några andra ändringar. Det kan här

bara nämnas att tillståndsreglerna i 3 och 4 §§ är förenliga med

direktivet (jfr artikel 20 och punkterna 53 och 54 i ingressen till

direktivet).

Sambandet med personuppgiftslagen bör göras tydligare genom att

rubriker införs i kreditupplysningslagen som anknyter till de rubriker

som finns i personuppgiftslagen. I promemorian föreslås det också att

det i inledningen till kreditupplysningslagen tas in en bestämmelse för

att poängtera att personuppgiftslagens bestämmelser som regel gäller

också för sådan behandling av personuppgifter som sker i kreditupplys-

ningsverksamhet. Som bl.a. Hovrätten över Skåne och Blekinge påpekar

gäller emellertid detta redan genom 2 § personuppgiftslagen (jfr

Lagrådets yttrande i prop. 1997/98: 97 s. 265). En bestämmelse som

markerar förhållandet till personuppgiftslagen kan visserligen ha ett

pedagogiskt värde och har därför tagits in i rena registerförfattningar (jfr

anf. prop. s. 168). Särskilt med hänsyn till de förslag till andra ändringar

i lagen som lämnas i propositionen (t.ex. i 5 §, se följande avsnitt) synes

det emellertid inte vara tillräckligt motiverat att ha en sådan

bestämmelse i kreditupplysningslagen.

5.2 Grundläggande krav

Regeringens förslag: Bestämmelserna i 5 § kreditupplysningslagen

med allmänna krav på kreditupplysningsverksamhet ändras inte. För

sådan behandling av personuppgifter som omfattas av person-

uppgiftslagen skall dock de grundläggande kraven på behandling i den

lagen gälla. Vidare föreskrivs att uppgifter om fysiska personer får

samlas in endast för kreditupplysningsändamål. Bestämmelser om

datasäkerhet för uppgifter om juridiska personer förs in i 5 §.

Promemorians förslag om allmänna krav skiljer sig lagtekniskt från

regeringens. Promemorians förslag till ändamålsbestämmelse avser

även lagring och utlämnande (se promemorian s. 25 f.).

Kreditupplysningsutredningens förslag om datasäkerhet överens-

stämmer i sak med regeringens (se betänkandet s. 136 f.).

Remissinstanserna: Datainspektionen anmärker att de krav som

gäller enligt 9 § personuppgiftslagen vid behandling av personuppgifter

gäller till följd av den lagens allmänna tillämplighet och anser att kraven

i 5 § kreditupplysningslagen på kreditupplysningsverksamhet inte bör

ändras. Landsorganisationen (LO) framför liknande synpunkter. Övriga

remissinstanser tillstyrker förslaget eller lämnar det utan någon

invändning. Förslaget om ändamålsbestämmelse tillstyrks.

Remissinstanserna tillstyrker Kreditupplysningsutredningens förslag

om datasäkerhet.

Skälen för regeringens förslag

Förhållandet till 9 § personuppgiftslagen

De allmänna kraven för hur kreditupplysningsverksamhet skall bedrivas

finns i 5 § kreditupplysningslagen. I paragrafen föreskrivs att verk-

samheten skall bedrivas så att den inte leder till otillbörligt intrång i

personlig integritet genom innehållet i de uppgifter som förmedlas eller

på annat sätt eller till att oriktiga eller missvisande uppgifter lagras eller

lämnas ut. Till aktsamhetskraven i 5 § knyts en skadeståndssanktion i

21 §. Den som bedriver kreditupplysningsverksamhet skall ersätta skada

som till följd av verksamheten tillfogas någon genom otillbörligt intrång

i hans personliga integritet eller genom att en oriktig uppgift lämnas om

honom, såvida inte den som bedriver verksamheten kan visa att tillbörlig

omsorg och varsamhet iakttagits.

I 9 § personuppgiftslagen anges en rad grundläggande krav för hur

personuppgifter skall behandlas. Den personuppgiftsansvarige skall se

till att kraven följs. Personuppgifter får behandlas endast om det är

lagligt (första stycket a). Uppgifterna skall alltid behandlas på ett

korrekt sätt och i enlighet med god sed (första stycket b). Uppgifter får

samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål

(första stycket c). Uppgifterna får inte behandlas för något ändamål som

är oförenligt med det för vilket de samlades in (första stycket d). Upp-

gifterna måste vara adekvata och relevanta i förhållande till ändamålet

med behandlingen (första stycket e). Fler uppgifter får inte behandlas än

som är nödvändigt med hänsyn till ändamålet med behandlingen (första

stycket f). Uppgifterna skall vara riktiga och, om det är nödvändigt,

aktuella (första stycket g). Alla rimliga åtgärder skall vidtas för att rätta,

blockera eller utplåna sådana uppgifter som är felaktiga eller ofull-

ständiga med hänsyn till ändamålet med behandlingen (första stycket h).

Uppgifterna får inte bevaras under längre tid än som är nödvändigt med

hänsyn till ändamålet med behandlingen (första stycket i). Kraven i 9 §

överensstämmer med de krav som medlemsstaterna skall ställa på den

personuppgiftsansvarige enligt artikel 6 i direktivet. Den

personuppgiftsansvarige skall enligt 48 § ersätta den registrerade för

skada och kränkning av den personliga integriteten som en behandling av

personuppgifter i strid med personuppgiftslagen har orsakat.

Ersättningsskyldigheten kan dock i den utsträckning det är skäligt

jämkas, om den personuppgiftsansvarige visar att felet inte berodde på

honom. Skadeståndsbestämmelserna i 48 § genomför artikel 23 i

direktivet.

I promemorian görs bedömningen att den reglering till skydd för den

personliga integriteten som följer av 9 § personuppgiftslagen omfattar

motsvarande reglering i 5 § kreditupplysningslagen samtidigt som den är

mer precis till sitt innehåll. Därför föreslås att nuvarande reglering utgår

ur 5 § och att det där i stället tas in krav på verksamheten som motsvarar

kraven i 9 § personuppgiftslagen. Med promemorians förslag skulle det

alltså i kreditupplysningslagen föreskrivas att kreditupplysningsverk-

samhet vad gäller fysiska personer skall uppfylla de krav som framgår av

9 § personuppgiftslagen och att verksamheten i övrigt, dvs. vad gäller

juridiska personer, skall bedrivas så att den inte leder till att oriktiga

eller missvisande uppgifter lagras eller lämnas ut. Någon följdändring i

skadeståndsbestämmelserna i 21 § kreditupplysningslagen föreslås inte.

Förslaget har föranlett kritik från bl.a. Datainspektionen.

Det kan konstateras att direktivet förutsätter att den personuppgifts-

ansvarige vid behandling av personuppgifter skall följa de krav på

behandlingen som anges i artikel 6 i direktivet och som har sin mot-

svarighet i 9 § personuppgiftslagen. Detta gäller också för behandling i

kreditupplysningsverksamhet. Utrymmet lär vara begränsat att ge andra

föreskrifter, vare sig med strängare eller lindrigare krav. Det är knappast

heller motiverat att ställa några andra krav vid behandling av person-

uppgifter i kreditupplysningsverksamhet än dem som finns i 9 §. Som

anförs i promemorian bör alltså kraven i 9 § gälla för sådan behandling

av personuppgifter i kreditupplysningsverksamhet som omfattas av

personuppgiftslagen, dvs. automatiserad behandling och viss

strukturerad manuell behandling (se 5 § personuppgiftslagen). I 5 §

kreditupplysningslagen bör därför klargöras att grundläggande krav på

behandling av personuppgifter finns i 9 § personuppgiftslagen och att

dessa skall tillämpas. En sådan lösning framstår lagtekniskt som

lämpligare än promemorians förslag att kraven i 9 § personuppgiftslagen

tas över i kreditupplysningslagen och att följaktligen

skadeståndsbestämmelserna i 21 § kreditupplysningslagen blir

tillämpliga vid överträdelse av kraven. I så fall kunde ifrågasättas om inte

regleringen av skadeståndsskyldighet i 21 § också borde ändras och

närma sig den i 48 § personuppgiftslagen. Hovrätten över Skåne och

Blekinge nämner exemplet att en skada som inträffat genom intrång i en

dator kanhända inte skulle ersättas enligt 21 § kreditupplysningslagen

men väl enligt 48 § personuppgiftslagen. Propositionens förslag innebär

att skadeståndsbestämmelserna i 48 § personuppgiftslagen skall

tillämpas vid sådan behandling av personuppgifter i

kreditupplysningsverksamhet som görs i strid med 9 § a, b och d-h i den

lagen. Om behandlingen däremot görs i strid med bestämmelserna i

kreditupplysningslagen, gäller 21 § kreditupplysningslagen.

Promemorians bedömning är att regleringen i 9 § personuppgiftslagen

bör få som resultat att man tar bort de allmänna kraven i 5 § kredit-

upplysningslagen om att kreditupplysningsverksamhet skall bedrivas så

att den inte leder till otillbörligt intrång i personlig integritet.

Emellertid är tillämpningsområdena för 5 § kreditupplysningslagen och

9 § personuppgiftslagen inte identiska. Kraven i 9 § är inriktade på den

personuppgiftsansvarige och gäller för hur personuppgifter skall

behandlas, medan kraven i 5 § gäller för hur

kreditupplysningsverksamhet som sådan skall bedrivas. Likaså gäller

kraven i 9 § inte för all manuell behandling av personuppgifter, och

integritetsregeln i 5 § kan fylla en funktion för sådan manuell behandling

som inte omfattas av 9 §. Allmänt sett ter det sig också

otillfredsställande att kreditupplysningslagen inte skulle ge uttryck för

att fysiska personer har ett integritetsskydd vid

kreditupplysningsverksamhet, låt vara att skyddet i praktiken får sitt

huvudsakliga innehåll genom 9 § personuppgiftslagen. Med hänsyn till

det anförda föreslås att de allmänna kraven i 5 § för bedrivande av

kreditupplysningsverksamhet skall bevaras oändrade. Det innebär att

dessa krav kommer att gälla inom kreditupplysningslagens tillämpnings-

område i den mån 9 § personuppgiftslagen inte skall tillämpas i stället.

Angående 9 § första stycket punkterna c och i personuppgiftslagen, se

dock vidare nedan i detta avsnitt och avsnitt 4.5.

I sammanhanget bör uppmärksammas att direktivet inte kräver någon

ändring i skadeståndsbestämmelserna i 21 § kreditupplysningslagen. Det

kan inte heller antas leda till några praktiska eller rättsliga problem om

21 § kreditupplysningslagen behålls med sin något annorlunda lydelse

jämfört med 48 § personuppgiftslagen. De förslag till reglering av

allmänna krav i 5 § kreditupplysningslagen som lämnas i propositionen

motiverar också att 21 § behålls oändrad. Det kan tilläggas att även

skadeståndsbestämmelserna i 1972 års datalag skilde sig från 21 §.

Ett krav på insamling för kreditupplysningsändamål

I 5 § kreditupplysningslagen anges inte uttryckligen att uppgifter om

fysiska personer får samlas in i kreditupplysningsverksamhet endast för

kreditupplysningsändamål. I promemorian görs den bedömningen att

direktivet kräver att detta klart framgår av lagen (jfr 9 § första stycket c

personuppgiftslagen). Regeringen instämmer i bedömningen. Det före-

slås därför att en ändamålsbestämmelse tas in i kreditupplysningslagen. I

likhet med reglerna i direktivet och personuppgiftslagen bör bestäm-

melsen vara begränsad till insamling av uppgifter. Som föreslås i prome-

morian bör bestämmelsen dock inte vara begränsad till bara sådan

insamling som omfattas av personuppgiftslagen (se 5 § i den lagen) utan

bör lämpligen omfatta all insamling av uppgifter om fysiska personer.

Med anledning av att Länsrätten i Stockholms län anmärker att

definitionen av kreditupplysningsändamål framgår endast indirekt genom

begreppet kreditupplysningsverksamhet kan påpekas att det av 2 §

framgår vad som avses med kreditupplysning vilket torde vara tillräckligt

för tillämpningen av ändamålsbestämmelsen.

Den föreslagna ändamålsbestämmelsen aktualiserar frågan om för-

hållandet mellan kreditupplysningslagens bestämmelser och bestäm-

melserna i tryckfrihetsförordningen (TF) och yttrandefrihetsgrundlagen

(YGL).

Kreditupplysningslagen innehåller inte någon generell bestämmelse

som reglerar förhållandet till tryck- och yttrandefriheten. Att kreditupp-

lysningslagen inte skall tillämpas i den utsträckning det skulle strida mot

bestämmelserna i TF och YGL följer i och för sig redan av allmänna

principer. Möjligen borde i förtydligande syfte en upplysning om detta

tas in i kreditupplysningslagen. I personuppgiftslagen har en sådan regel

tagits in i 7 §.

I kreditupplysningslagen har man hittills använt en annan teknik,

nämligen att för varje bestämmelse i lagen ange hur den förhåller sig till

grundlagarna. En sådan ordning är förenad med vissa nackdelar, bl.a.

riskerar den att leda till motsatsslut. En övergång till en generell regle-

ring bör dock föregås av en ingående analys av befintliga bestämmelser.

Vissa av dem har införts i förtydligande syfte medan andra har införts

därför att den allmänna regleringen av kreditupplysningsverksamheten

lämpar sig mindre väl när sådan verksamhet bedrivs genom offent-

liggörande på ett sådant sätt som avses i TF och YGL. En sådan analys

bör inte göras i detta lagstiftningsärende. I ställer bör i kreditupp-

lysningslagen klargöras att den föreslagna ändamålsbestämmelsen inte

gäller i den mån den skulle strida mot anskaffarskyddet i TF och YGL.

Regeringen avser dock att i lämpligt sammanhang återkomma till frågan

om en generell reglering av förhållandet mellan reglerna i kredit-

upplysningslagen och reglerna i TF och YGL.

Datasäkerhet

I 30 32 §§ personuppgiftslagen finns en utförlig reglering av säkerheten

vid behandling av personuppgifter. Bestämmelserna reglerar bl.a. vilka

säkerhetsåtgärder som skall vidtas och vilken säkerhetsnivå som skall

uppnås. Regeringen delar promemorians och remissinstansernas bedöm-

ning att regleringen i personuppgiftslagen är tillräcklig när det gäller

säkerheten för uppgifter om fysiska personer i kreditupplysnings-

verksamhet och att någon särskild reglering för fysiska personer inte

bör tas in i kreditupplysningslagen. I detta avseende bör alltså

personuppgiftslagen gälla.

Personuppgiftslagens säkerhetsbestämmelser gäller dock bara för

uppgifter om fysiska personer och inte för uppgifter om juridiska

personer. Kreditupplysningsutredningen övervägde frågan om

datasäkerhet och ansåg att regler om säkerhetsåtgärder behövdes också

för juridiska personer. Utredningen föreslog därför att det i

kreditupplysningslagen skulle införas en bestämmelse om att den som

har rätt att bedriva kreditupplysningsverksamhet är ansvarig för

databehandlingen och skall vidta lämpliga tekniska och organisatoriska

säkerhetsåtgärder för att hindra att behandlingen sker på ett otillbörligt

sätt och att uppgifterna utsätts för otillåten insyn. Som framgår av avsnitt

3 lämnades frågan utanför prop. 1995/96:65 med hänvisning till

Datalagskommitténs då pågående arbete. Även regeringen gör

bedömningen att det behövs regler om säkerhet för uppgifter avseende

juridiska personer. En sådan bestämmelse bör nu tas in i

kreditupplysningslagen och den bör utformas efter utredningens förslag.

Eftersom kreditupplysningslagen därmed kommer att innehålla en

säkerhetsbestämmelse för juridiska personer, bör det i lagen även tas in

en erinran om att personuppgiftslagen innehåller bestämmelser om

säkerhet vid behandling av personuppgifter.

5.3 Behandling av uppgifter utan samtycke

Regeringens förslag: I kreditupplysningsverksamhet skall uppgifter

även i fortsättningen få behandlas utan samtycke av den registrerade.

Den registrerade kan inte heller motsätta sig viss behandling av

uppgifter eller utlämnande av vissa uppgifter.

Promemorians förslag överensstämmer med regeringens förslag

(se promemorian s. 29 f. och 40 f.).

Remissinstanserna: De flesta remissinstanser tillstyrker prome-

morians förslag eller lämnar dem utan någon invändning. Datainspek-

tionen instämmer i slutsatsen att kreditupplysningsverksamhet måste få

bedrivas utan samtycke men anser att den registrerade själv skall ges rätt

att bestämma om kreditupplysningar skall lämnas ut om honom eller

henne. Sveriges advokatsamfund ifrågasätter om en ordning som

tillåter behandling utan samtycke står i överensstämmelse med

direktivet.

Skälen för regeringens förslag: Enligt personuppgiftslagen får per-

sonuppgifter normalt behandlas bara om den registrerade har lämnat sitt

samtycke till behandlingen (10 §). I lagen anges emellertid vissa

situationer då behandling får ske utan samtycke. Det gäller om

behandlingen är nödvändig bl.a. för att en arbetsuppgift av allmänt

intresse skall kunna utföras (10 § d) eller för att ett ändamål som rör ett

berättigat intresse hos den personuppgiftsansvarige eller hos tredje man

skall kunna tillgodoses (10 § f). I det sistnämnda fallet krävs dessutom

att intresset väger tyngre än den registrerades intresse av skydd mot

kränkning av den personliga integriteten. Bestämmelserna motsvarar

artikel 7 i direktivet.

Kreditupplysningslagen innehåller inte något krav på samtycke för att

personuppgifter skall få behandlas i kreditupplysningsverksamhet. Lagen

ger inte heller den enskilde möjlighet att motsätta sig viss behandling

eller utlämnande av vissa uppgifter.

Det finns ett allmänt intresse att kreditupplysningsverksamhet kan

bedrivas effektivt. Om möjligheten att behandla uppgifter i varje enskilt

fall var beroende av att ett samtycke hade lämnats, skulle effektiviteten

allvarligt hämmas och fördyringar uppkomma. Som regel kan det förut-

sättas att en person som t.ex. söker kredit eller förutser behovet av en

kredit går med på att uppgifter om honom eller henne behandlas.

Resultatet blir många gånger annars att krediten inte beviljas eller ges på

väsentligt sämre villkor. Det bör inte heller frånkännas betydelse att

enskilda som väljer att inte lämna sitt samtycke till behandling av

uppgifter kanske inte alltid inser nackdelarna med detta, nämligen att de

riskerar att t.ex. vägras kredit eller nekas hyra en bostad om deras

vederhäftighet i ekonomiskt avseende inte kan kontrolleras.

Ett krav på samtycke för att uppgifter om fysiska personer skall få

behandlas i kreditupplysningsverksamhet skulle alltså medföra problem,

inte bara för kreditupplysningsföretagen utan också för andra närings-

idkare och för enskilda. Mot detta måste ställas den enskildes intresse

av integritetsskydd. Därvid skall dock beaktas att de uppgifter som

behandlas i kreditupplysningsverksamhet som regel kommer från

offentliga register och att utlämnandet av uppgifterna till tredje man är

reglerat i kreditupplysningslagen. Till exempel får en kreditupplysning

om en privatperson inte lämnas ut om det finns anledning att anta att

upplysningen kommer att användas av någon annan än den som på grund

av ett ingånget eller ifrågasatt kreditavtal eller av någon annan liknande

anledning har behov av upplysningen (9 §). Därtill kommer att vissa inte-

gritetskänsliga uppgifter över huvud taget inte får behandlas i kredit-

upplysningsverksamhet eller behandlas bara efter medgivande från

Datainspektionen (6 §).

I promemorian anses att personuppgifter bör få behandlas i kredit-

upplysningsverksamhet utan att den som uppgiften avser har lämnat sitt

samtycke till behandlingen. Kreditupplysningsutredningen gjorde

samma bedömning (se bet. s. 135 f.). Inte någon av remissinstanserna

ger uttryck för motsatt uppfattning. Även regeringen anser att den

ordning som gäller i dag är ändamålsenlig och att den om möjligt bör

behållas.

Frågan är då om direktivet medger att uppgifter får behandlas utan den

enskildes samtycke i kreditupplysningsverksamhet. Advokatsamfundet

ifrågasätter om så är fallet. Som framgår ovan är det emellertid i

direktivet förutsett att viss behandling av personuppgifter måste få ske

utan samtycke. I promemorian görs den bedömningen att de undantag

från samtyckeskravet som redogjorts för ovan (se 10 § d och f person-

uppgiftslagen) är tillämpliga när det gäller behandling av uppgifter i

kreditupplysningsverksamhet. Även Kreditupplysningsutredningen ansåg

att direktivet skulle medge detta. Lagrådet har menat att artikel 7 f i

direktivet (10 f § i personuppgiftslagen) inte ger erforderligt stöd för en

generell föreskrift om att personuppgifter i

kreditupplysningsverksamhet får behandlas utan den registrerades

samtycke men har godtagit en sådan regel med hänvisning till artikel 7 e

(10 d §). Det står klart att det råder delade meningar om hur artikel 7 f

skall tolkas. Regeringen konstaterar dock att direktivet i sig, även med

Lagrådets synsätt, medger en sådan regel. Direktivet lär då inte heller

tillåta att det uppställs ett krav på samtycke.

En annan fråga är om den enskilde bör ges rätt att i framtiden motsätta

sig behandling. Direktivet utgår från en sådan rätt, men tillåter medlems-

staterna att i nationell lagstiftning meddela avvikande bestämmelser (se

artikel 14 samt 12 § personuppgiftslagen). En rätt för den enskilde att

motsätta sig behandling är visserligen mindre hämmande från effek-

tivitetssynpunkt än ett allmänt krav på samtycke för behandling. Den

innebär ändå klara nackdelar för de berörda.

Även den mindre ingripande reglering som Datainspektionen förordar,

nämligen att den registrerade skall ges rätt att själv bestämma om

kreditupplysningar om honom eller henne skall lämnas ut eller inte, är

förenad med nackdelar. I likhet med vad som anförts beträffande sam-

tycke finns det en risk för att enskilda som väljer att motsätta sig utläm-

nande inte alltid skulle inse nackdelarna med detta. Det har inte heller

framkommit något som tyder på att det finnas behov av den förordade

regleringen. Därtill kommer, som redan påpekats, att en enskild som

t.ex. söker kredit som regel kan förutsättas gå med på att uppgifter om

honom eller henne lämnas ut.

Regeringen instämmer således även i dessa avseende i promemorians

bedömning. Det bör alltså inte införas någon rätt för den enskilde att

motsätta sig viss behandling av uppgifter eller utlämnande av vissa

uppgifter.

För att klargöra vad som gäller i förhållande till 10 § personuppgifts-

lagen bör en uttrycklig bestämmelse tas in i 5 § kreditupplysningslagen

om att upplysningar får behandlas utan den enskildes samtycke. I

enlighet med Lagrådets förslag bör dessutom uttryckligen anges att den

enskilde inte heller kan motsätta sig behandlingen.

5.4 Känsliga uppgifter m.m.

Regeringens förslag: Uppgifter om hälsa och medlemskap i fack-

förening får inte behandlas i kreditupplysningsverksamhet. De sär-

skilda reglerna i kreditupplysningslagen om behandling av uppgifter

om åtgärder enligt främst det socialrättsliga regelsystemet tas bort.

Möjligheten att behandla uppgifter om brott m.m. anpassas till

personuppgiftslagen och dataskyddsdirektivet.

Promemorians förslag överensstämmer med regeringens förslag

med den skillnaden att förbudet mot behandling av uppgifter om åtgärder

enligt främst det socialrättsliga regelsystemet föreslås behållas och

göras absolut (se promemorian s. 32 f.).

Remissinstanserna: De flesta remissinstanser tillstyrker förslagen

eller lämnar dem utan någon invändning. Justitiekanslern ifrågasätter

om en uppgift om misstanke om brott uppfyller kraven i 9 §

personuppgiftslagen (artikel 6 i direktivet), särskilt kravet att uppgifter

skall vara riktiga och nödvändiga. Hovrätten över Skåne och Blekinge

är tveksam till om behandlingen av brottmålsdomar m.m. bör regleras i

kreditupplysningslagen. Kammarrätten i Stockholm ifrågasätter om inte

uppgifter om att någon varit föremål för åtgärder av ekonomisk natur

enligt socialtjänstlagen bör få behandlas efter tillstånd från

Datainspektionen. Finansbolagens Förening och Svenska

Inkassoföreningen anser att det bör vara tillåtet att i kreditupplysningar

använda uppgifter om hälsa och medlemskap i fackförening, om den

berörde samtycker till det. Dun detta direktiv bör därför tillämpas på

behandling av sådana uppgifter.

15) Behandlingen av sådana uppgifter omfattas av detta direktiv endast

om den sker med hjälp av automatisk databehandling eller om de

uppgifter som behandlas ingår eller avses ingå i ett register som är

uppbyggt efter vissa med utgångspunkt i för enskilda personer

utformade kriterier för att underlätta tillgång till de berörda

uppgifterna.

16) Behandlingen av ljud- och bilduppgifter exempelvis i samband

med videoövervakning omfattas inte av detta direktiv om den

utförs för att tillgodose den allmänna säkerheten, försvaret, statens

säkerhet eller statens verksamhet på straffrättens område eller till

annan verksamhet som inte faller inom gemenskapsrättens

tillämpningsområde.

17) När det gäller behandling av ljud- och bilduppgifter för journa-

listiska ändamål eller i litterärt eller konstnärligt skapande, särskilt

på det audiovisuella området, skall direktivets principer i enlighet

med bestämmelserna i artikel 9 tillämpas restriktivt.

18) För att undvika att en enskild person förvägras det skydd som

tillkommer honom enligt detta direktiv skall varje behandling av

personuppgifter inom gemenskapen ske i enlighet med lagstift-

ningen i en av medlemsstaterna. Med hänsyn till detta bör

behandlingen av uppgifter som utförs av någon som på uppdrag av

en registeransvarig som är etablerad i en medlemsstat regleras av

den statens lagstiftning.

19) Etablering på en medlemsstats territorium förutsätter effektiv och

faktisk verksamhet med hjälp av en stabil struktur. Härvid har den

berörda verksamhetens rättsliga form inte avgörande betydelse,

oavsett om det är fråga om en filial eller om ett dotterbolag som är

en juridisk person. Om den ansvarige är etablerad på flera

medlemsstaters territorier, särskilt genom dotterbolag, måste han

för att undvika varje kringgående garantera att varje verksamhet

uppfyller bestämmelserna i den nationella lagstiftning som gäller

för aktiviteterna.

20) Den omständigheten att den registeransvarige är etablerad i ett

tredje land får inte utgöra ett hinder för det skydd som enskilda

personer ges i detta direktiv. I sådana fall skall på behandlingen av

uppgifter tillämpas den medlemsstats lagstiftning som innehåller

de hjälpmedel som används för behandlingen. Det bör finnas

garantier för att de rättigheter som följer av detta direktiv

respekteras i praktiken.

21) Detta direktiv påverkar inte de territorialitetsregler som gäller på

straffrättens område.

22) Medlemsstaterna bör i sin lagstiftning eller genom andra bestäm-

melser som antas för att genomföra detta direktiv närmare ange de

allmänna villkoren för att en behandling skall vara tillåten. Särskilt

artikel 5 jämförd med artiklarna 7 och 8 tillåter medlemsstaterna

att, oavsett de allmänna regler som gäller, ange särskilda villkor för

behandlingen av uppgifter på särskilda områden och för de olika

kategorier av uppgifter som behandlas i artikel 8.

23) Medlemsstaterna har befogenhet att genomföra skyddet för

enskilda personer både genom en generell lagstiftning om skydd

för enskilda personer såvitt avser behandling av personuppgifter

och genom särskild lagstiftning som till exempel om statistiska

institut.

24) Sådan lagstiftning som rör skydd för juridiska personer med

avseende på behandling av uppgifter som angår dem berörs inte av

detta direktiv.

25) Principerna för skyddet måste avspeglas dels i de förpliktelser som

åvilar personer, myndigheter, företag, institutioner, organ eller

andra registeransvariga särskilt med avseende på uppgifternas

kvalitet, den tekniska säkerheten, anmälningar till

tillsynsmyndigheten och de omständigheter under vilka behandling

får utföras, dels i de rättigheter som tillkommer enskilda personer,

vilkas personuppgifter blir föremål för behandling, att bli

informerade om att behandling sker, att få tillgång till uppgifterna,

att begära rättelse och att under vissa omständigheter invända mot

behandlingen.

26) Principerna för skyddet måste gälla all information som rör en

identifierad eller identifierbar person. För att avgöra om en person

är identifierbar skall härvid beaktas alla hjälpmedel som i syfte att

identifiera vederbörande rimligen kan komma att användas antingen

av den registeransvarige eller av någon annan person. Skydds-

principerna gäller inte för uppgifter som gjorts anonyma på ett

sådant sätt att den registrerade inte längre är identifierbar. En sådan

uppförandekodex som avses i artikel 27 kan vara ett användbart

redskap för att ge vägledning om hur uppgifter kan göras anonyma

och behållas i en form som gör det omöjligt att identifiera den

registrerade.

27) Enskilda personer skall skyddas både i samband med automatisk

databehandling av uppgifterna och i samband med manuell behand-

ling. Omfattningen av detta skydd får inte faktiskt bero på den

teknik som används eftersom detta skulle kunna skapa en allvarlig

risk för kringgående. När det gäller manuell behandling omfattar

detta direktiv endast register och inte ostrukturerade akter. Särskilt

innehållet i ett register måste vara strukturerat efter bestämda

kriterier som avser enskilda personer, för att lätt ge tillgång till

personuppgifter. I enlighet med definitionen i artikel 2 c) kan de

olika kriterier som gör det möjligt att fastställa de enskilda delarna

av en strukturerad samling personuppgifter och de olika kriterier

som reglerar möjligheten att få tillgång till en sådan samling

utformas av varje medlemsstat. Akter eller grupper av akter liksom

dessas omslag, vilka inte är strukturerade enligt särskilda kriterier,

faller inte under några omständigheter inom detta direktivs

tillämpningsområde.

28) Varje behandling av personuppgifter måste vara laglig och korrekt

gentemot berörda personer. Uppgifterna måste särskilt vara ade-

kvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka

de behandlas. Dessa ändamål skall vara uttryckligt angivna,

berättigade och bestämda vid tiden för insamling av uppgifterna.

Sådana ändamål med behandlingen som läggs fast sedan uppgifterna

samlats in får inte vara oförenliga med de ändamål som

ursprungligen angavs.

29) Senare behandling av personuppgifter för historiska, statistiska

eller vetenskapliga ändamål kan förutsatt att medlemsstaterna ger

lämpliga garantier inte allmänt sett anses oförenliga med de

ändamål för vilka uppgifterna tidigare samlades in. Dessa garantier

skall särskilt hindra att uppgifterna används för att vidta åtgärder

mot eller fatta beslut som rör en viss person.

30) För att vara tillåten skall en behandling av personuppgifter

dessutom utföras med den registrerades samtycke eller vara

nödvändig för ingåendet eller utförandet av förpliktelser i enlighet

med ett avtal som är bindande för den registrerade, eller fordras

enligt lagstiftning vid utförandet av något som är i det allmännas

intresse eller är ett led i myndighetsutövning eller vara i en fysisk

eller juridisk persons intresse förutsatt att skyddet av den

registrerades fri- och rättigheter inte går före. För att särskilt

garantera jämvikt mellan de berörda intressena och för att samtidigt

säkerställa en effektiv konkurrens får medlemsstaterna närmare

ange på vilka villkor användning och utlämnande till tredje man av

personuppgifter får äga rum inom ramen för tillåtna aktiviteter som

av företag och andra organ utövas i deras löpande verksamhet.

Medlemsstaterna får även närmare ange på vilka villkor

personuppgifter i marknadsföringssyfte får vidarebefordras till

tredje man, oavsett om detta sker kommersiellt eller av

välgörenhetsorganisationer, föreningar eller stiftelser, exempelvis

av politisk karaktär, men förutsatt att regler iakttas som har till

syfte att ge den registrerade möjlighet att invända mot att de

uppgifter som rör honom behandlas utan att behöva ange sina skäl

och utan att åsamkas kostnader för detta.

31) Behandling av personuppgifter måste även anses tillåten när den

utförs för att skydda ett intresse som är av avgörande betydelse för

den registrerades liv.

32) Det ankommer på den nationella lagstiftningen att avgöra om den

som ansvarar för en behandling som utförs i det allmännas intresse

eller vid myndighetsutövning skall vara en myndighet eller något

annat offentligrättsligt eller civilrättsligt subjekt, såsom

exempelvis en yrkesorganisation.

33) Uppgifter som på grund av sin natur kan kränka grundläggande fri-

och rättigheter eller privatlivets helgd får inte behandlas utan

samtycke av den registrerade. Dock måste det finnas en uttrycklig

möjlighet att för att tillgodose särskilda behov, i synnerhet när

behandlingen av uppgifterna utförs för ändamål som har samband

med hälso- och sjukvården av personer som är underkastade

tystnadsplikt eller för att genomföra berättigade åtgärder av vissa

föreningar eller stiftelser vilkas syften är att skydda utövningen av

vissa grundläggande fri- och rättigheter.

34) När det av hänsyn till viktiga allmänna intressen är nödvändigt,

måste medlemsstaterna kunna avvika från förbudet mot att behandla

känsliga kategorier av uppgifter på sådana områden som exempelvis

folkhälsa och socialskydd, särskilt för att säkerställa kvalitet och

lönsamhet när det gäller förfaranden som används i samband med

ansökningar om förmåner och tjänster inom sjukförsäkringssyste-

met, i samband med vetenskaplig forskning och i samband med

offentlig statistik. Dock åligger det medlemsstaterna att sörja för

att det finns lämpliga och konkreta garantier för att skydda enskilda

personers grundläggande rättigheter och privatliv.

35) Myndigheters behandling av personuppgifter för officiellt erkända

religiösa sammanslutningars räkning för att uppfylla målsättningar

som uttrycks i grundlagen eller folkrätten utförs för att tillgodose

viktiga samhälleliga intressen.

36) Om det i samband med att allmänna val hålls för att det

demokratiska systemet skall fungera är nödvändigt att de politiska

partierna i vissa medlemsstater samlar in uppgifter om enskilda

personers politiska uppfattning får behandling av sådana uppgifter

tillåtas av hänsyn till viktiga allmänna intressen, på villkor att

bestämmelser om lämpliga garantier föreskrivs.

37) För sådan behandling av personuppgifter som sker för

journalistiska ändamål eller för konstnärligt eller litterärt skapande

 särskilt på det audiovisuella området bör det fastställas

undantag från eller begränsningar i förhållande till vissa

bestämmelser i detta direktiv så långt detta är nödvändigt för att

förena enskilda personers grundläggande rättigheter med

yttrandefriheten, särskilt den rätt att ta emot och lämna

upplysningar som särskilt fastslås i artikel 10 i den europeiska

konventionen om skydd för de mänskliga rättigheterna och de

grundläggande friheterna. För att åstadkomma en avvägning mellan

de grundläggande fri- och rättigheterna åligger det medlemsstaterna

att besluta om nödvändiga undantag och begränsningar såvitt avser

de generella åtgärder som har avseende på uppgiftsbehandlingens

berättigande, åtgärder för att vidareföra uppgifter till tredje land

och tillsynsmyndighetens befogenheter. Detta får dock inte leda till

att medlemsstaterna beslutar om undantag från åtgärder som vidtas

för att säkerställa behandlingens säkerhet. Den tillsynsmyndighet

som är behörig på området bör utrustas med i vart fall vissa

befogenheter att utövas efter behandlingen i fråga, exempelvis

befogenhet att med jämna mellanrum offentliggöra en rapport eller

att överlämna ärenden till rättsliga myndigheter.

38) En korrekt behandling av uppgifter förutsätter att de registrerade

kan få kännedom om behandlingen och att de när uppgifter samlas

in hos dem kan få korrekt och fullständig information med hänsyn

till de närmare omständigheterna vid insamlingen.

39) I vissa fall rör behandlingen uppgifter som den registeransvarige

inte har samlat in direkt från den registrerade. Vidare kan

utlämnande av uppgifter till tredje man vara tillåten även om

utlämnandet inte kunde förutses när uppgifterna samlades in från

den registrerade. I samtliga dessa fall skall den registrerade

informeras när uppgifterna registreras eller senast när uppgifterna

för första gången lämnas ut till tredje man.

40) Det är dock inte nödvändigt att ställa detta krav om den registrerade

redan känner till informationen. Detta krav behöver inte heller

ställas om registreringen eller utlämnandet uttryckligen regleras i

lagstiftningen eller om lämnande av information till den berörda

personen visar sig vara omöjligt eller innebära oproportionerligt

stora ansträngningar, vilket skulle kunna vara fallet i samband med

behandling för historiska, statistiska eller vetenskapliga ändamål. I

detta sammanhang kan antalet registrerade, uppgifternas ålder och

de kompensatoriska åtgärder som kan vidtas tas i beaktande.

41) Alla måste kunna utöva sin rätt att få tillgång till uppgifter som rör

dem och som är föremål för behandling, för att i detalj kunna

försäkra sig om att uppgifterna är korrekta och om att behandlingen

är tillåten. Av samma anledning måste var och en ha rätt att få reda

på den logik som gäller för den automatiska databehandlingen av

uppgifter som rör honom, åtminstone såvitt avser sådana auto-

matiska beslut som avses i artikel 15.1. Denna rättighet får inte

kränka affärshemligheten eller upphovsrätten, särskilt inte den

upphovsrätt som skyddar programvaran. Detta bör dock inte få

resultera i att den registrerade nekas all information.

42) Medlemsstaterna kan av hänsyn till intresset hos den registrerade

eller till andras fri- och rättigheter begränsa rätten till tillgång till

uppgifter och information. De kan till exempel besluta att tillgång

till uppgifter av medicinsk art endast får erhållas genom förmedling

av någon som är yrkesmässigt verksam inom hälso- och sjukvården.

43) Rätten till tillgång till uppgifter och information samt vissa

skyldigheter hos den registeransvarige kan inskränkas av medlems-

staterna i den utsträckning som det är nödvändigt för att skydda till

exempel statens säkerhet, försvaret, allmän säkerhet eller viktiga

ekonomiska eller finansiella intressen som är av betydelse för en

medlemsstat eller för unionen, liksom för brottsutredningar och

åtal och åtgärder som rör överträdelser av etiska regler som gäller

för sådana yrken som särskilt regleras i lagstiftning. På

förteckningen över undantag och begränsningar bör upptas de

uppgifter för övervakning, tillsyn eller reglering som är nödvändiga

på de tre sistnämnda områdena, nämligen allmän säkerhet,

ekonomiska och finansiella intressen samt beivrande av brott.

Uppräkningen av uppgifter på dessa tre områden påverkar inte

undantag eller begränsningar av hänsyn till statens säkerhet och

försvaret.

44) För att uppfylla vissa av de nämnda målsättningarna kan medlems-

staterna på grund av bestämmelser i gemenskapsrätten tvingas att

avvika från bestämmelserna i detta direktiv om rätten till tillgång

till uppgifter, skyldigheten att informera enskilda personer och

kvaliteten på uppgifterna.

45) I sådana fall då uppgifter av hänsyn till allmänna intressen, på grund

av myndighetsutövning eller av hänsyn till en persons berättigade

intressen kan bli föremål för tillåten behandling, skall varje berörd

person ändå, på berättigade och avgörande skäl som avser hans

särskilda situation, ha rätt att invända mot att uppgifter som rör

honom själv behandlas. Medlemsstaterna har dock möjlighet att

anta bestämmelser av motsatt innehåll.

46) Skyddet för de registrerades fri- och rättigheter förutsätter såvitt

avser behandling av personuppgifter att lämpliga tekniska och

organisatoriska åtgärder vidtas både när systemet för behandlingen

utformas och när själva behandlingen sker, särskilt för att garantera

säkerheten och för att på så sätt hindra all otillåten behandling. Det

åligger medlemsstaterna att säkerställa att de registeransvariga

respekterar dessa åtgärder. Åtgärderna skall garantera en lämplig

säkerhetsnivå med hänsyn till den nuvarande utvecklingsnivån och

till kostnaderna för genomförandet under hänsynstagande till de

risker som behandlingen innebär och arten av de uppgifter som

skall skyddas.

47) När ett meddelande som innehåller personuppgifter översänds

genom förmedling av en organisation för telekommunikation eller

elektronisk post, vars enda ändamål är att översända sådana

meddelanden, blir det normalt den från vilken meddelandet härrör

och inte den person som erbjuder nämnda tjänst som anses ansvara

för behandlingen av personuppgifterna. De som erbjuder sådana

tjänster kommer dock normalt att anses som ansvariga för behand-

lingen av de ytterligare personuppgifter som fordras för att tjänsten

skall kunna användas.

48) Anmälningsförfarandet är avsett för att göra en behandlings syfte

och viktigaste egenskaper allmänt kända för att säkerställa att

behandlingen sker i enlighet med de nationella åtgärder som vidtas

för att genomföra detta direktiv.

49) För att undvika olämpliga administrativa formaliteter kan medlems-

staterna besluta om undantag från och förenklingar av anmälnings-

plikten såvitt avser sådana fall då behandlingen sannolikt inte

kommer att kränka de berörda personernas fri- och rättigheter,

förutsatt att detta är i överensstämmelse med en åtgärd som

vidtagits av en medlemsstat och som särskilt anger

begränsningarna. Medlemsstaterna kan även besluta om undantag

och förenklingar i fall då någon som utsetts av den

registeransvarige försäkrar sig om att de utförda behandlingarna

inte kommer att kränka de registrerades fri- och rättigheter. Den

person som sålunda utsetts att skydda uppgifterna måste vare sig

han är anställd av den registeransvarige eller inte ha möjlighet att

utöva sin verksamhet på ett fullständigt oberoende sätt.

50) Undantag från anmälningsplikten och förenklad anmälan bör kunna

tillåtas särskilt då det är fråga om behandling av uppgifter som

endast syftar till att ett register skall föras, som är avsett för att i

enlighet med nationell lagstiftning ge allmänheten information och

som är tillgängligt för allmänheten eller var och en som kan styrka

att han har ett berättigat intresse.

51) Det förhållandet att den registeransvarige omfattas av förenklat

anmälningsförfarande eller är undantagen från anmälningsplikt

befriar honom inte från de övriga förpliktelser som följer av detta

direktiv.

52) I detta sammanhang måste en efterföljande kontroll från den

behöriga myndighetens sida i allmänhet anses som en tillräcklig

åtgärd.

53) Vissa typer av behandling till exempel behandling som har till

ändamål att utesluta den berörde från möjligheten att utöva en

rättighet, motta en förmån eller ingå ett avtal eller sådan behandling

som innebär användning av ny teknik kan på grund av sin natur, sin

omfattning eller sitt ändamål innebära särskilda risker för att de

registrerades fri- och rättigheter skall kränkas. Medlemsstaterna

kan om de önskar det precisera dessa risker i sin lagstiftning.

54) Med tanke på omfattningen av den behandling av uppgifter som

utförs i samhället torde det antal behandlingar som innebär

särskilda risker vara mycket begränsat. Medlemsstaterna måste

föreskriva att tillsynsmyndigheten eller den som utövar tillsyn i

samråd med tillsynsmyndigheten företar en förhandskontroll av

dessa behandlingar innan de utförs. Sedan en sådan

förhandskontroll genomförts får tillsynsmyndigheten i enlighet

med den nationella lagstiftningen som gäller för myndigheten yttra

sig över eller tillåta behandlingen. En sådan kontroll kan även

företas som ett led i det nationella parlamentets förberedande

arbete med en åtgärd eller som ett led i arbetet med en åtgärd som

grundas på en sådan lagstiftande åtgärd som definierar

behandlingens art och anger lämpliga skyddsåtgärder.

55) För de fall då den registeransvarige inte respekterar de

registrerades rättigheter måste det i medlemsstatens lagstiftning

finnas möjlighet till rättslig prövning. Personer som lider skada till

följd av otillåten behandling skall ha rätt till ersättning av den

registeransvarige, vilken kan befrias från skadeståndsansvar om han

kan visa att han inte är ansvarig för skadan, särskilt i fall då han kan

påvisa att ett fel begåtts av den registrerade eller i fall av force

majeure. Sanktioner skall vidtas mot såväl privaträttsliga som

offentligrättsliga subjekt som överträder de nationella

bestämmelser som antagits för att genomföra detta direktiv.

56) Gränsöverskridande flöden av personuppgifter är nödvändiga för

den internationella handelns utveckling. Det skydd som genom

detta direktiv tillförsäkras enskilda personer inom gemenskapen

hindrar inte att personuppgifter överförs till sådana tredje länder

som garanterar en adekvat skyddsnivå. Frågan om skyddsnivåns

adekvans skall bedömas med hänsyn till alla de omständigheter som

har samband med en överföring eller en grupp av överföringar.

57) Om ett tredje land inte garanterar en adekvat skyddsnivå skall

överföring av personuppgifter till det landet förbjudas.

58) Undantag från detta förbud skall under vissa omständigheter kunna

medges om den registrerade lämnar sitt samtycke, om överföring

är nödvändig för ett avtal eller ett rättsligt anspråk, när skyddet av

väsentliga samhällsintressen kräver det, till exempel vid interna-

tionellt utbyte av uppgifter mellan skattemyndigheter eller tullmyn-

digheter eller mellan socialförsäkringsmyndigheter eller om över-

föringen utförs med utgångspunkt i ett register som upprättats

genom lagstiftning och som är avsett att vara tillgängligt för

allmänheten eller för personer som har ett berättigat intresse. En

sådan överföring bör inte omfatta alla uppgifter eller hela

kategorier av uppgifter som finns i registret. När registret är avsett

att vara tillgängligt för personer med ett berättigat intresse skall

överföringen göras endast på begäran av dessa personer eller om de

själva är mottagarna.

59) Särskilda åtgärder kan vidtas för att uppväga en otillräcklig skydds-

nivå i ett tredje land om den registeransvarige ställer lämpliga

garantier. Bestämmelser om förfaranden för förhandling mellan

gemenskapen och tredje land måste antas.

60) Överföring till tredje land får i vilket fall som helst endast utföras i

enlighet med bestämmelser som medlemsstaterna antagit för

genomförande av detta direktiv, särskilt artikel 8 i detta.

61) Medlemsstaterna och kommissionen måste på sina respektive

kompetensområden uppmuntra berörda delar av näringslivet att anta

uppförandekodexar för att underlätta genomförandet av detta direk-

tiv med beaktande av de särskilda former av behandling som utförs

på vissa områden och med respekt för de nationella bestämmelser

som antagits för dess genomförande.

62) För skyddet av enskilda personer med avseende på behandlingen av

personuppgifter är det av avgörande betydelse att medlemsstaterna

inrättar oberoende tillsynsmyndigheter.

63) Dessa myndigheter måste ges nödvändiga resurser för att utföra

sina uppgifter, såsom befogenhet att särskilt när det gäller

klagomål från enskilda personer undersöka och intervenera samt

befogenheter att inleda rättsliga förfaranden. De måste även bidra

till att garantera insyn i behandlingen av uppgifter i de

medlemsstater under vilkas jurisdiktion de hör.

64) Tillsynsmyndigheterna i de olika medlemsstaterna kommer att

behöva bistå varandra i samband med utförandet av de uppgifter som

åligger dem för att säkerställa att skyddsreglerna respekteras på ett

tillfredsställande sätt i hela Europeiska unionen.

65) En arbetsgrupp för skydd av enskilda personer i samband med

behandling av personuppgifter skall inrättas på gemenskapsnivå.

Gruppen skall vid utförandet av sina uppgifter vara fullständigt

oberoende. Gruppen skall med hänsyn till sin särskilda karaktär ge

kommissionen råd och bidra till den enhetliga tillämpningen av de

nationella regler som antagits för att genomföra detta direktiv.

66) Med avseende på överföring av uppgifter till tredje land fordrar

genomförandet av detta direktiv att kommissionen ges befogenhet

att besluta om genomförandet och att ett förfarande i enlighet med

riktlinjerna i rådets beslut 87/373/EEG(1) införs.

67) Den 20 december 1994 träffade Europaparlamentet, rådet och

kommissionen en överenskommelse om ett modus vivendi

beträffande genomförandeåtgärder för rättsakter som antagits i

enlighet med förfarandet i artikel 189b i Romfördraget.

68) De principer för skyddet av enskilda personers fri- och rättigheter,

och då särskilt rätten till privatliv, som i detta direktiv uppställs

med avseende på behandling av personuppgifter skall för vissa

områdens vidkommande kunna kompletteras eller preciseras med

hjälp av särskilda bestämmelser som skall överensstämma med

dessa principer.

69) Medlemsstaterna bör ges en frist på högst tre år räknat från

ikraftträdandet av de nationella bestämmelser som antas för att

genomföra detta direktiv, så att de stegvis kan tillämpa de nya

nationella bestämmelserna på alla sådana behandlingar som redan

påbörjats. För att möjliggöra ett kostnadseffektivt genomförande av

dessa bestämmelser skall medlemsstaterna tillåtas att under

ytterligare en tidsperiod, som löper ut tolv år efter dagen för

antagandet av detta direktiv, vidta åtgärder för att säkerställa att då

befintliga manuella register bringas i överensstämmelse med vissa

av direktivets bestämmelser. Uppgifter som ingår i dessa register

och som behandlas manuellt under denna förlängda övergångs-

period skall dock när det är föremål för en ytterligare sådan

behandling bringas i överensstämmelse med dessa bestämmelser.

70) Det är inte nödvändigt att den registrerade på nytt lämnar sitt

samtycke till att den registeransvarige fortsätter att behandla käns-

liga uppgifter, när en sådan behandling är nödvändig för genom-

förandet av att avtal som har slutits på grundval av frivilligt och

informerat samtycke före dessa bestämmelsers ikraftträdande.

71) Detta direktiv hindrar inte en medlemsstat från att anta bestämmel-

ser för att reglera sådan marknadsföring som riktar sig till

konsumenter som har hemvist inom dess territorium, förutsatt att

dessa regler inte rör skyddet av enskilda personer med avseende på

behandling av personuppgifter.

72) Detta direktiv gör det möjligt att vid genomförandet av dessa

bestämmelser ta hänsyn till principen om allmänhetens rätt till

tillgång till allmänna handlingar.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

KAPITEL 1

ALLMÄNNA BESTÄMMELSER

Artikel 1

Direktivets syfte

1. Medlemsstaterna skall i enlighet med detta direktiv skydda fysiska

personers grundläggande fri och rättigheter, särskilt rätten till privatliv, i

samband med behandling av personuppgifter.

2. Medlemsstaterna får varken begränsa eller förbjuda det fria flödet av

personuppgifter mellan medlemsstaterna av skäl som har samband med

det under punkt 1 föreskrivna skyddet.

Artikel 2

Definitioner

I detta direktiv avses med

a) personuppgifter: varje upplysning som avser en identifierad eller

identifierbar fysisk person (den registrerade). En identifierbar person

är en person som kan identifieras, direkt eller indirekt, framför allt

genom hänvisning till ett identifikationsnummer eller till en eller flera

faktorer som är specifika för hans fysiska, fysiologiska, psykiska,

ekonomiska, kulturella eller sociala identitet,

b) behandling av personuppgifter (behandling): varje åtgärd eller

serie av åtgärder som vidtas beträffande personuppgifter, vare sig det

sker på automatisk väg eller inte, till exempel insamling, registrering,

organisering, lagring, bearbetning eller ändring, återvinning, inhämtande,

användning, utlämnande genom översändande, spridning eller annat

tillhandahållande av uppgifter, sammanställning eller samkörning,

blockering, utplåning eller förstöring,

c) register med personuppgifter (register): varje strukturerad samling

av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett

om samlingen är centraliserad, decentraliserad eller spridd på grundval

av funktionella eller geografiska förhållanden,

d) registeransvarig: den fysiska eller juridiska person, den myndighet,

den institution eller det andra organ som ensamt eller tillsammans med

andra bestämmer ändamålen och medlen för behandlingen av person-

uppgifter. När ändamålen och medlen för behandlingen bestäms av

nationella lagar och andra författningar eller av gemenskapsrätten kan

den registeransvarige eller de särskilda kriterierna för att utse honom

anges i nationell rätt eller i gemenskapsrätten,

e) registerförare: den fysiska eller juridiska person, den myndighet,

den institution eller det andra organ som behandlar personuppgifter för

den registeransvariges räkning,

f) tredje man: den fysiska eller juridiska person, den myndighet, den

institution eller det andra organ än den registrerade, den register-

ansvarige, registerföraren och de personer som under den register-

ansvariges eller registerförarens direkta ansvar har befogenhet att

behandla uppgifterna,

g) mottagare: den fysiska eller juridiska person, den myndighet, den

institution eller det andra organ till vilket uppgifterna utlämnas, vare sig

det är en tredje man eller inte. Myndigheter som kan komma att motta

uppgifter inom ramen för ett särskilt uppdrag skall dock inte betraktas

som mottagare,

h) den registrerades samtycke: varje slag av frivillig, särskild och

informerad viljeyttring genom vilken den registrerade godtar behandling

av personuppgifter som rör honom.

Artikel 3

Tillämpningsområde

1. Detta direktiv gäller för sådan behandling av personuppgifter som helt

eller delvis företas på automatisk väg liksom för annan behandling än

automatisk av personuppgifter som ingår i eller kommer att ingå i ett

register.

2. Detta direktiv gäller inte för sådan behandling av personuppgifter

 som utgör ett led i en verksamhet som inte omfattas av gemenskaps-

rätten, exempelvis sådan verksamhet som avses i avdelningarna V och VI

i Fördraget om Europeiska unionen, och inte under några

omständigheter behandlingar som rör allmän säkerhet, försvar, statens

säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har

samband med frågor om statens säkerhet) och statens verksamhet på

straffrättens område,

 av en fysisk person som ett led i verksamhet av rent privat natur eller

som har samband med hans hushåll.

Artikel 4

Tillämplig nationell rätt

1. Varje medlemsstat skall tillämpa de nationella bestämmelser som

den för genomförandet av detta direktiv antar för behandlingen av

personuppgifter när

a) behandlingen utförs som ett led i verksamhet inom den medlemsstats

territorium, där den registeransvarige är etablerad. Om en register-

ansvarig är etablerad inom flera medlemsstaters territorier skall han

vidta nödvändiga åtgärder för att säkerställa att alla verksamheter

uppfyller kraven enligt den tillämpliga nationella lagstiftningen,

b) den registeransvarige inte är etablerad inom en medlemsstats

territorium utan på en plats där medlemsstatens lagstiftning gäller på

grund av folkrätten,

c) den registeransvarige inte är etablerad på gemenskapens territorium

och för behandling av personuppgifter använder databehandlad eller icke

databehandlad utrustning som befinner sig på den nämnda medlems-

statens territorium, om inte sådan utrustning endast används för att låta

uppgifter passera genom gemenskapen.

2. Under de omständigheter som avses i punkt 1 c) måste den

registeransvarige utse en företrädare som är etablerad inom den berörda

medlemsstatens territorium, utan att detta i övrigt påverkar de eventuella

rättsliga åtgärder som kan komma att inledas mot den ansvarige själv.

KAPITEL II

ALLMÄNNA BESTÄMMELSER OM NÄR

PERSONUPPGIFTER FÅR BEHANDLAS

Artikel 5

Medlemsstaterna skall inom de begränsningar som bestämmelserna i

detta kapitel innebär, precisera på vilka villkor behandling av

personuppgifter är tillåten.

AVDELNING I

PRINCIPER OM UPPGIFTERNAS KVALITET

Artikel 6

1. Medlemsstaterna skall föreskriva att personuppgifter

a) skall behandlas på ett korrekt och lagligt sätt,

b) skall samlas in för särskilda, uttryckligt angivna och berättigade

ändamål; senare behandling får inte ske på ett sätt som är oförenligt med

dessa ändamål. Senare behandling av uppgifter för historiska, statistiska

eller vetenskapliga ändamål skall inte anses oförenlig med dessa

ändamål förutsatt att medlemsstaterna beslutar om lämpliga

skyddsåtgärder,

c) skall vara adekvata och relevanta och inte får omfatta mer än vad som

är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och

för vilka de senare behandlas,

d) skall vara riktiga och, om nödvändigt, aktuella. Alla rimliga åtgärder

måste vidtas för att säkerställa att personuppgifter som är felaktiga eller

ofullständiga i förhållande till de ändamål för vilka de samlades in eller

för vilka de senare behandlas, utplånas eller rättas,

e) förvaras på ett sätt som förhindrar identifiering av den registrerade

under en längre tid än vad som är nödvändigt för de ändamål för vilka

uppgifterna samlades in eller för vilka de senare behandlades. Medlems-

staterna skall vidta lämpliga skyddsåtgärder för de personuppgifter som

lagras under längre perioder för historiska, statistiska eller

vetenskapliga ändamål.

2. Det åligger den registeransvarige att säkerställa att punkt 1 efterlevs.

AVDELNING II

PRINCIPER SOM GÖR ATT UPPGIFTSBEHANDLING KAN

TILLÅTAS

Artikel 7

Medlemsstaterna skall föreskriva att personuppgifter får behandlas

endast om

a) den registrerade otvetydigt har lämnat sitt samtycke, eller

b) behandlingen är nödvändig för att fullgöra ett avtal i vilket den

registrerade är part eller för att vidta åtgärder på begäran av den

registrerade innan ett sådant avtal ingås, eller

c) behandlingen är nödvändig för att fullgöra en rättslig förpliktelse

som åvilar den registeransvarige, eller

d) behandlingen är nödvändig för att skydda intressen som är av

grundläggande betydelse för den registrerade, eller

e) behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt

intresse eller som är ett led i myndighetsutövning som utförs av den

registeransvarige eller tredje man till vilken uppgifterna har lämnats ut,

eller

f) behandlingen är nödvändig för ändamål som rör berättigade intressen

hos den registeransvarige eller hos den eller de tredje män till vilka

uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den

registrerades intressen eller dennes grundläggande fri- och rättigheter

som kräver skydd under artikel 1.1.

AVDELNING III

SÄRSKILDA BEHANDLINGSKATEGORIER

Artikel 8

Behandlingen av särskilda kategorier av uppgifter

1. Medlemsstaterna skall förbjuda behandling av personuppgifter som

avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller

filosofisk övertygelse, medlemskap i fackförening samt uppgifter som

rör hälsa och sexualliv.

2. Punkt 1 gäller inte om

a) den registrerade har lämnat sitt uttryckliga samtycke till en sådan

behandling, utom när det enligt medlemsstatens lagstiftning anges att

förbudet i punkt 1 inte kan upphävas genom den registrerades samtycke,

eller

b) behandlingen är nödvändig för att fullgöra de skyldigheter och

särskilda rättigheter som åligger den registeransvarige inom

arbetsrätten, i den omfattning detta är tillåtet enligt en nationell

lagstiftning som föreskriver lämpliga skyddsåtgärder, eller

c) behandlingen är nödvändig för att skydda den registrerades eller

någon annan persons grundläggande intressen när den registrerade är

fysiskt eller rättsligt förhindrad att ge sitt samtycke, eller

d) behandlingen utförs inom ramen för berättigad verksamhet hos en

stiftelse, en förening eller ett annat icke vinstdrivande organ, som har ett

politiskt, filosofiskt, religiöst eller fackligt syfte, förutsatt att behand-

lingen endast rör sådana organs medlemmar eller personer som på grund

av organets ändamål har regelbunden kontakt med detta och uppgifterna

inte lämnas ut till tredje man utan den registrerades samtycke, eller

e) behandlingen rör uppgifter som på ett tydligt sätt offentliggörs av

den registrerade eller är nödvändiga för att kunna fastslå, göra gällande

eller försvara rättsliga anspråk.

3. Punkt 1 gäller inte när behandlingen av uppgifterna är nödvändig med

hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser,

vård eller behandling eller administration av hälso- eller sjukvård eller

när dessa uppgifter behandlas av någon som är yrkesmässigt verksam på

hälso- och sjukvårdsområdet och som enligt nationell lagstiftning eller

bestämmelser som antagits av behöriga nationella organ är underkastad

tystnadsplikt eller av en annan person som är ålagd en liknande

tystnadsplikt.

4. Under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett

viktigt allmänt intresse får medlemsstaterna antingen i sin nationella

lagstiftning eller genom ett beslut av tillsynsmyndigheten besluta om

andra undantag än de som nämns i punkt 2.

5. Behandling av uppgifter om lagöverträdelser, brottmålsdomar eller

säkerhetsåtgärder får utföras endast under kontroll av en myndighet eller

 om lämpliga skyddsåtgärder finns i nationell lag med förbehåll för

de ändringar som medlemsstaterna kan tillåta med stöd av nationella

bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett

fullständigt register över brottmålsdomar får dock föras endast under

kontroll av en myndighet.

Medlemsstaterna får föreskriva att uppgifter som rör administrativa

sanktioner eller avgöranden i tvistemål också skall behandlas under

kontroll av en myndighet.

6. De undantag från punkt 1 som anges i punkterna 4 och 5 skall anmälas

till kommissionen.

7. Medlemsstaterna skall bestämma på vilka villkor ett nationellt

identifikationsnummer eller något annat vedertaget sätt för identifiering

får behandlas.

Artikel 9

Behandling av personuppgifter och yttrandefriheten

Medlemsstaterna skall med avseende på behandling av personuppgifter

som sker uteslutande för journalistiska ändamål eller konstnärligt eller

litterärt skapande besluta om undantag och avvikelser från bestämmel-

serna i detta kapitel, kapitel IV och kapitel VI endast om de är

nödvändiga för att förena rätten till privatlivet med reglerna om

yttrandefriheten.

AVDELNING IV

INFORMATIONSPLIKT TILL DEN REGISTRERADE

Artikel 10

Information vid insamling av uppgifter från den registrerade

Medlemsstaterna skall föreskriva att den registeransvarige eller hans

företrädare i vart fall skall ge den person från vilken uppgifter om

honom själv samlas in följande information, utom i fall då han redan

känner till informationen:

a) Den registeransvariges och dennes eventuella företrädares identitet.

b) Ändamålen med den behandling för vilken uppgifterna är avsedda.

c) All ytterligare information, exempelvis

 mottagarna eller de kategorier som mottar uppgifterna,

 huruvida det är obligatoriskt eller frivilligt att besvara

frågorna

samt eventuella följder av att inte svara,

 förekomsten av rättigheter att få tillgång till och att erhålla

rättelse av uppgifter som rör honom,

i den utsträckning som den ytterligare informationen med hänsyn till

de särskilda omständigheter under vilka uppgifterna samlas in är

nödvändig för att tillförsäkra den registrerade en korrekt behandling.

Artikel 11

Information när uppgifterna inte har samlats in från den

registrerade

1. Om uppgifterna inte har samlats in från den registrerade, skall

medlemsstaterna föreskriva att den registeransvarige eller hans före-

trädare vid tiden för registreringen av personuppgifter eller, om utläm-

nande till en tredje man kan förutses, inte senare än vid den tidpunkt då

uppgifterna först lämnas ut, skall ge den registrerade åtminstone

följande information, utom när den registrerade redan känner till

informationen:

a) Den registeransvariges och dennes eventuella företrädares identitet.

b) Ändamålen med behandlingen.

c) All ytterligare information, exempelvis

 de kategorier av uppgifter som behandlingen gäller,

 mottagarna eller de kategorier som mottar uppgifterna,

 förekomsten av rättigheter att få tillgång till och att erhålla rättelse av

de uppgifter som rör honom, i den utsträckning som den ytterligare

informationen med hänsyn till de särskilda omständigheter under vilka

uppgifterna samlas in är nödvändig för att tillförsäkra den registrerade

en korrekt behandling.

2. Bestämmelserna i punkt 1 skall inte gälla när det särskilt i samband

med behandling för statistiska ändamål eller historiska eller veten-

skapliga forskningsändamål visar sig omöjligt eller innebära en

oproportionerligt stor ansträngning att ge information eller om regist-

rering eller utlämnande uttryckligen föreskrivs i författning. I sådana fall

skall medlemsstaterna föreskriva lämpliga skyddsåtgärder.

AVDELNING V

DEN REGISTRERADES RÄTT ATT FÅ TILLGÅNG TILL

UPPGIFTER

Artikel 12

Rätt till tillgång

Medlemsstaterna skall säkerställa att varje registrerad har rätt att från

den registeransvarige

a) utan hinder och med rimliga intervall samt utan större tidsutdräkt

eller kostnader

 få bekräftelse på om uppgifter som rör honom behandlas eller inte

och information om åtminstone ändamålen med behandlingen, de

berörda uppgiftskategorierna och mottagarna eller mottagarkate-

gorierna till vilka uppgifterna utlämnas,

 få begriplig information om vilka uppgifter som behandlas och all

tillgänglig information om varifrån dessa uppgifter kommer,

 få kännedom om den logik som används när uppgifter som rör

honom behandlas på automatisk väg åtminstone såvitt avser sådana

automatiska beslut som avses i artikel 15.1,

b) i förekommande fall få sådana uppgifter som inte behandlats i

enlighet med bestämmelserna i detta direktiv rättade, utplånade eller

blockerade, särskilt om dessa är ofullständiga eller felaktiga,

c) få genomfört att en tredje man till vilken sådana uppgifter utlämnats

underrättas om varje rättelse, utplåning eller blockering som utförts i

enlighet med punkt b), om detta inte visar sig vara omöjligt eller

innebär en oproportionerligt stor ansträngning.

AVDELNING VI

UNDANTAG OCH BEGRÄNSNINGAR

Artikel 13

Undantag och begränsningar

1. Medlemsstaterna får genom lagstiftning vidta åtgärder för att

begränsa omfattningen av de skyldigheter och rättigheter som anges i

artiklarna 6.1, 10, 11.1, 12 och 21 i fall då en sådan begränsning är en

nödvändig åtgärd med hänsyn till

a) statens säkerhet,

b) försvaret,

c) allmän säkerhet,

d) förebyggande, undersökning, avslöjande av brott eller åtal för brott

eller av överträdelser av etiska regler som gäller för lagreglerade

yrken,

e) ett viktigt ekonomiskt eller finansiellt intresse hos en medlemsstat

eller hos Europeiska unionen, inklusive monetära frågor,

budgetfrågor och skattefrågor,

f) en tillsyns-, inspektions- eller regleringsfunktion som, även om

den är av övergående karaktär, är förbunden med

myndighetsutövning i de under punkterna c), d) och e) nämnda

fallen,

g) skydd av den registrerades eller andras fri- och rättigheter.

2. Under förutsättning av lämpliga rättsliga garantier får medlems-

staterna, i synnerhet om uppgifterna inte används för åtgärder eller

beslut som avser särskilda registrerade personer, i fall då det

uppenbarligen inte föreligger någon risk att den berörda personens

privatliv kränks, genom lagstiftning begränsa de rättigheter som anges i

artikel 12 när uppgifterna endast behandlas för ändamål som har med

vetenskaplig forskning att göra eller när uppgifterna endast lagras i form

av personuppgifter under en begränsad tid som inte överstiger den tid

som är nödvändig för att framställa statistik.

AVDELNING VII

DEN REGISTRERADES RÄTT ATT GÖRA INVÄNDNINGAR

Artikel 14

Den registrerades rätt att göra invändningar

Medlemsstaterna skall tillförsäkra den registrerade rätten att

a) åtminstone i de fall som avses i artikel 7 e) och f) när som helst av

avgörande och berättigade skäl som rör hans personliga situation

motsätta sig behandling av uppgifter som rör honom, utom när den

nationella lagstiftningen föreskriver något annat. När invändningen är

berättigad får den behandling som påbörjats av den registeransvarige

inte längre avse dessa uppgifter,

b) efter anmodan och utan kostnader motsätta sig behandling av

personuppgifter som rör honom och som den registeransvarige

bedömer kan komma att behandlas för ändamål som rör direkt

marknadsföring, eller att bli informerad innan personuppgifter för

första gången lämnas ut till tredje man eller används för tredje mans

räkning för ändamål som rör direkt marknadsföring, och att

uttryckligen få erbjudande om att utan kostnader motsätta sig ett

sådant utlämnande eller sådan användning.

Medlemsstaterna skall vidta nödvändiga åtgärder för att säkerställa att de

registrerade känner till den rättighet som anges i första stycket i b).

Artikel 15

Databehandlade beslut

1. Medlemsstaterna skall ge varje person rätten att inte bli föremål för

ett beslut som har rättsliga följder för honom eller som märkbart

påverkar honom och som enbart grundas på automatisk behandling av

uppgifter som är avsedda att bedöma vissa personliga egenskaper hos

honom, exempelvis hans arbetsprestationer, kreditvärdighet, pålitlighet

och uppträdande.

2. Om inte annat följer av övriga bestämmelser i detta direktiv skall

medlemsstaterna föreskriva att en person får bli föremål för ett beslut

av det slag som avses i punkt 1 om beslutet

a) fattas som ett led i ingåendet eller fullgörandet av ett avtal, förutsatt

att den registrerades begäran om ingående eller fullgörande av avtalet

har bifallits eller att det vidtas lämpliga åtgärder för att skydda hans

berättigade intressen, exempelvis möjligheten för honom att göra sin

uppfattning gällande, eller

b) tillåts i lagstiftning som innehåller bestämmelser till skydd för den

registrerades berättigade intressen.

AVDELNING VIII

SEKRETESS OCH SÄKERHET VID BEHANDLING

Artikel 16

Sekretess vid behandling

Den som utför arbete under den registeransvarige eller registerföraren,

liksom registerföraren själv, och som får tillgång till personuppgifter,

får behandla dem endast enligt instruktion från den registeransvarige,

om han inte är skyldig att göra det enligt lag.

Artikel 17

Säkerhet vid behandling

1. Medlemsstaterna skall föreskriva att den registeransvarige skall

genomföra lämpliga tekniska och organisatoriska åtgärder för att skydda

personuppgifter från förstöring genom olyckshändelse eller otillåtna

handlingar eller förlust genom olyckshändelse samt mot ändringar,

otillåten spridning av eller otillåten tillgång till uppgifterna, särskilt om

behandlingen innefattar överföring av uppgifter i ett nätverk, och mot

varje annat slag av otillåten behandling.

Dessa åtgärder skall med beaktande av den nuvarande tekniska nivån och

de kostnader som är förenade med åtgärdernas genomförande

åstadkomma en lämplig säkerhetsnivå i förhållande till de risker som är

förknippade med behandlingen och arten av de uppgifter som skall

skyddas.

2. Medlemsstaterna skall föreskriva att den registeransvarige, när

behandlingen utförs för dennes räkning, skall välja en registerförare som

kan ge tillräckliga garantier vad gäller de tekniska säkerhetsåtgärder och

de organisatoriska åtgärder som måste vidtas och tillse att dessa

åtgärder genomförs.

3. När uppgifter behandlas av en registerförare skall hanteringen

regleras genom ett avtal eller genom en annan rättsligt bindande

handling mellan registerföraren och den registeransvarige och i

handlingen skall särskilt föreskrivas att

 registerföraren endast får handla på instruktioner från den register-

ansvarige,

 de skyldigheter som anges i punkt 1, såsom de definieras i

lagstiftningen i den medlemsstat i vilken registerföraren är

etablerad, även skall åvila registerföraren.

4. För att säkra bevisning skall de delar av avtalet eller den rättsligt

bindande handlingen som rör skyddet av uppgifter och de krav som rör

åtgärder som anges i punkt 1 föreligga i skriftlig eller därmed jämförlig

form.

AVDELNING IX

ANMÄLAN

Artikel 18

Anmälningsplikt gentemot tillsynsmyndigheten

1. Medlemsstaterna skall föreskriva att den registeransvarige eller hans

eventuella företrädare före genomförandet av en behandling eller en

serie behandlingar som helt eller delvis genomförs på automatisk väg

och som har samma eller flera närbesläktade ändamål skall underrätta

den tillsynsmyndighet som avses i artikel 28.

2. Medlemsstaterna får endast i följande fall och på följande villkor

föreskriva om undantag från anmälningsplikten eller förenklad anmäl-

ningsplikt:

 Om medlemsstaten för de typer av behandling, i samband med vilka

det med hänsyn till de behandlade uppgifterna inte är sannolikt att de

registrerades fri- och rättigheter kränks, anger behandlingens ända-

mål, vilka uppgifter eller kategorier av uppgifter som behandlas,

vilka registrerade eller kategorier av registrerade som avses, till

vilka mottagare eller kategorier av mottagare uppgifterna lämnas ut

samt hur länge uppgifterna skall bevaras och/eller

 om den registeransvarige i enlighet med den nationella lagstiftning

som gäller för denne, utser ett uppgiftsskyddsombud, som särskilt

skall ha till uppgift

 att på ett oberoende sätt säkerställa den interna tillämpningen av de

nationella bestämmelser som antagits till följd av detta direktiv,

 att föra ett register över de behandlingar som utförs av den register-

ansvarige, vilket register skall innehålla den information som nämns

i artikel 21.2,

 för att på detta sätt säkerställa att de registrerades fri- och

rättigheter sannolikt inte kommer att kränkas som en följd av

behandlingarna.

3. Medlemsstaterna får föreskriva att punkt 1 inte skall gälla för en

sådan behandling vars enda syfte är förandet av ett register, som enligt

lagar eller andra författningar är avsett att förse allmänheten med

information och som är tillgängligt antingen för allmänheten eller för

var och en som kan styrka ett berättigat intresse.

4. Medlemsstaterna får föreskriva undantag från anmälningsplikten eller

ett förenklat anmälningsförfarande för sådan behandling som avses i

artikel 8.2 d).

5. Medlemsstaterna får föreskriva att vissa eller alla icke-automatiska

behandlingar av personuppgifter skall anmälas eller att ett förenklat

anmälningsförfarande skall gälla för dem.

Artikel 19

Anmälans innehåll

1. Medlemsstaterna skall precisera vilka uppgifter som anmälan skall

innehålla. Den skall åtminstone innehålla

a) den registeransvariges och dennes eventuella företrädares namn och

adress,

b) ändamålen med behandlingen,

c) en beskrivning av den eller de kategorier av registrerade som berörs

och av de uppgifter eller kategorier av uppgifter som hänför sig till

dem,

d) mottagarna eller de kategorier av mottagare till vilka uppgifterna kan

komma att lämnas ut,

e) föreslagna överföringar av uppgifter till tredje land,

f) en allmän beskrivning som gör det möjligt att preliminärt bedöma

lämpligheten av de åtgärder som i enlighet med artikel 17 vidtagits

för att trygga säkerheten i behandlingen.

2. Medlemsstaterna skall ange villkoren för anmälan till tillsyns-

myndigheten av förändringar som rör den i punkt 1 angivna informa-

tionen.

Artikel 20

Förhandskontroll

1. Medlemsstaterna skall bestämma vilka behandlingar som kan innebära

särskilda risker för den registrerades fri- och rättigheter och skall

säkerställa att dessa behandlingar kontrolleras innan de påbörjas.

2. Sådana förhandskontroller skall utföras av tillsynsmyndigheten när

den mottagit anmälan från den registeransvarige eller från uppgifts-

skyddsombudet, som i tveksamma fall skall rådfråga tillsynsmyndig-

heten.

3. Medlemsstaterna kan också utföra sådana kontroller som ett led i det

nationella parlamentets förberedande arbete med en åtgärd eller som ett

led i arbetet med en åtgärd som grundas på en sådan lagstiftande åtgärd,

som definierar behandlingens art och anger lämpliga skyddsåtgärder.

Artikel 21

Behandlingarnas offentlighet

1. Medlemsstaterna skall vidta åtgärder för att tillse att behandlingarna

görs offentligt tillgängliga.

2. Medlemsstaterna skall föreskriva att tillsynsmyndigheten skall föra

ett register över sådana behandlingar som har anmälts i enlighet med

artikel 18.

Registret skall innehålla åtminstone den information som anges i artikel

19.1 a) e).

Registret skall vara allmänt tillgängligt.

3. För sådan behandling som inte omfattas av anmälningsplikt skall

medlemsstaterna föreskriva att de registeransvariga eller något annat

organ, som medlemsstaterna utser, på lämpligt sätt skall tillhandahålla

var och en som begär det åtminstone den information som anges i

artikel 19.1 a e).

Medlemsstaterna får föreskriva att denna bestämmelse inte skall

tillämpas på sådan behandling vars enda ändamål är att föra ett register,

som i enlighet med lagar eller andra författningar är avsett att ge

allmänheten information och som är tillgängligt för allmänheten eller

för var och en som kan styrka ett berättigat intresse.

KAPITEL III

RÄTTSLIG PRÖVNING, ANSVAR OCH SANKTIONER

Artikel 22

Rättslig prövning

Medlemsstaterna skall utan att det påverkar möjligheten att utnyttja

något administrativt förfarande, till exempel vid den tillsynsmyndighet

som avses i artikel 28, som kan användas innan ett ärende anhängiggörs

hos en rättslig instans föreskriva att var och en har rätt att föra talan

inför domstol om sådana kränkningar av rättigheter som skyddas av den

nationella lagstiftning som är tillämplig på ifrågavarande behandling.

Artikel 23

Ansvar

1. Medlemsstaterna skall föreskriva att var och en som lidit skada till

följd av en otillåten behandling eller av någon annan åtgärd som är

oförenlig med de nationella bestämmelser som antagits till följd av

detta direktiv, har rätt till ersättning av den registeransvarige för den

skada som han har lidit.

2. Den registeransvarige kan helt eller delvis undgå detta ansvar om han

bevisar att han inte är ansvarig för den händelse som orsakade skadan.

Artikel 24

Sanktioner

Medlemsstaterna skall anta lämpliga bestämmelser för att säkerställa att

detta direktiv genomförs fullständigt och skall särskilt besluta om de

sanktioner som skall användas vid överträdelse av de bestämmelser som

antagits för att genomföra detta direktiv.

KAPITEL IV

ÖVERFÖRING AV PERSONUPPGIFTER TILL TREDJE LAND

Artikel 25

Principer

1. Medlemsstaterna skall föreskriva att överföringen av personuppgifter

som är under behandling eller som är avsedda att behandlas efter

överföring till tredje land endast får ske om ifrågavarande tredje land

utan att detta påverkar tillämpningen av de nationella bestämmelser som

antagits till följd av de andra bestämmelserna i detta direktiv

säkerställer en adekvat skyddsnivå.

2. Bedömningen av om skyddsnivån i ett tredje land är adekvat skall ske

på grundval av alla de förhållanden som har samband med en överföring

eller en grupp av överföringar av uppgifter. Härvid skall särskilt beaktas

uppgiftens art, den eller de avsedda behandlingarnas ändamål och varak-

tighet, ursprungslandet och det slutliga bestämmelselandet, de allmänna

respektive särskilda rättsregler som gäller i ifrågavarande tredje land

liksom de regler för yrkesverksamhet och säkerhet som gäller där.

3. Medlemsstaterna och kommissionen skall informera varandra när de

anser att ett tredje land inte erbjuder en adekvat skyddsnivå enligt punkt

2.

4. Om kommissionen i enlighet med ett sådant förfarande som beskrivs

i artikel 31.2 finner att ett tredje land inte erbjuder en sådan adekvat

skyddsnivå som beskrivs i punkt 2 i denna artikel, skall medlemsstaterna

vidta de åtgärder som är nödvändiga för att hindra överföring av

uppgifter av samma slag till ifrågavarande tredje land.

5. Vid lämpligt tillfälle skall kommissionen inleda förhandlingar för att

avhjälpa den situation som uppstått när kommissionen kommit till den

slutsats som anges i punkt 4.

6. Kommissionen kan, i enlighet med det i artikel 31.2 angivna

förfarandet, konstatera att ett tredje land genom sin interna lagstiftning

eller på grund av de internationella förpliktelser som särskilt till följd

av sådana förhandlingar som anges i punkt 5 och som gäller skyddet för

privatliv och enskilda personers grundläggande fri- och rättigheter

åligger landet har en skyddsnivå som är adekvat i den mening som avses i

punkt 2 i denna artikel.

Medlemsstaterna skall vidta de åtgärder som är nödvändiga för att följa

kommissionens beslut.

Artikel 26

Undantag

1. Med undantag från artikel 25 skall medlemsstaterna om det inte

finns tvingande regler om detta i deras lagstiftning före-skriva att

överföring av personuppgifter till ett tredje land som inte har en adekvat

skyddsnivå i den mening som avses i artikel 25.2 får ske om

a) den registrerade otvetydigt har samtyckt till den planerade

överföringen, eller

b) överföringen är nödvändig för att fullgöra ett avtal mellan den

registrerade och den registeransvarige eller för att på den registrera-

des begäran genomföra åtgärder som vidtas innan avtalet ingås, eller

c) överföringen är nödvändig för att ingå eller fullgöra ett avtal mellan

den registeransvarige och tredje man i den registrerades intresse,

eller

d) överföringen är nödvändig eller bindande enligt författning av skäl

som rör viktiga allmänna intressen eller för att fastslå, göra gällande

eller försvara rättsliga anspråk, eller

e) överföringen är nödvändig för att skydda intressen som är av

avgörande betydelse för den registrerade, eller

f) överföringen görs från ett offentligt register som enligt lagar eller

andra författningar är avsett att ge allmänheten information och som

är tillgängligt antingen för allmänheten eller för var och en som kan

styrka ett berättigat intresse, i den utsträckning som de i lag-

stiftningen angivna villkoren för tillgänglighet uppfylls i det enskilda

fallet.

2. Utan att detta påverkar tillämpningen av punkt 1 får en medlemsstat

tillåta överföring av personuppgifter till ett tredje land som inte säker-

ställer en skyddsnivå som är adekvat enligt artikel 25.2, om den

registeransvarige ställer tillräckliga garantier för att privatliv och

enskilda personers grundläggande fri- och rättigheter skyddas samt för

utövningen av motsvarande rättigheter. Sådana garantier kan framgå av

lämpliga avtalsklausuler.

3. Medlemsstaten skall informera kommissionen och de övriga

medlemsstaterna om de överföringar som tillåtits enligt punkt 2.

Om en medlemsstat eller kommissionen på grunder som är berättigade

med hänsyn till skyddet för privatliv och enskilda personers grund-

läggande fri- och rättigheter gör en invändning skall kommissionen vidta

lämpliga åtgärder i enlighet med det förfarande som avses i artikel 31.2.

Medlemsstaterna skall vidta de åtgärder som är nödvändiga för att följa

kommissionens beslut.

4. Om kommissionen i enlighet med det förfarande som anges i artikel

31.2 beslutar att vissa standardavtalsklausuler erbjuder tillräckliga

garantier enligt punkt 2, skall medlemsstaterna vidta nödvändiga åtgärder

för att följa kommissionens beslut.

KAPITEL V

UPPFÖRANDEKODEX

Artikel 27

1. Medlemsstaterna och kommissionen skall uppmuntra utarbetande av

uppförandekodexar som med beaktande av de särskilda förhållandena

på olika områden skall bidra till att på ett riktigt sätt genomföra de

nationella bestämmelser som medlemsstaterna antar för att genomföra

detta direktiv.

2. Medlemsstaterna skall föreskriva att branschorganisationer eller

andra organ som företräder andra kategorier av registeransvariga, som

har upprättat förslag till nationella kodexar eller som avser att ändra

eller utöka existerande nationella kodexar, kan lägga fram dessa för

bedömning av den nationella myndigheten.

Medlemsstaterna skall föreskriva att denna myndighet bland annat skall

kontrollera att de förslag som har lagts fram för myndigheten är i

överensstämmelse med de nationella bestämmelser som antagits till

följd av detta direktiv. Om myndigheten anser det lämpligt skall den

inhämta synpunkter från de registrerade eller deras företrädare.

3. Förslag till gemenskapskodexar och förslag till ändringar eller tillägg

till existerande sådana kodexar kan läggas fram för den arbetsgrupp som

avses i artikel 29. Denna arbetsgrupp skall bland annat avgöra om de

förslag som lagts fram för gruppen är i överensstämmelse med de

nationella bestämmelser som antagits för att genomföra detta direktiv.

Om gruppen anser det lämpligt skall den inhämta synpunkter från de

registrerade eller deras företrädare. Kommissionen kan tillse att de

kodexar som godkänts av arbetsgruppen offentliggörs på lämpligt sätt.

KAPITEL VI

TILLSYNSMYNDIGHET OCH ARBETSGRUPP FÖR SKYDD AV

ENSKILDA MED AVSEENDE PÅ BEHANDLINGEN AV

PERSONUPPGIFTER

Artikel 28

Tillsynsmyndighet

1. Varje medlemsstat skall tillse att det utses en eller flera myndigheter

som har till uppgift att inom dess territorium övervaka tillämpningen av

de bestämmelser som medlemsstaterna antar till följd av detta direktiv.

Dessa myndigheter skall fullständigt oberoende utöva de uppgifter som

åläggs dem.

2. Varje medlemsstat skall tillse att tillsynsmyndigheten hörs när sådana

lagar eller andra författningar utarbetas som rör skyddet av enskilda

personers fri- och rättigheter med avseende på behandlingen av

personuppgifter.

3. Varje tillsynsmyndighet skall särskilt ha

 undersökningsbefogenheter, såsom befogenhet att få tillgång till

uppgifter som blir föremål för behandling och befogenhet att

inhämta alla uppgifter som är nödvändiga för att sköta tillsynen,

 effektiva befogenheter att ingripa, som till exempel att kunna avge

yttranden i enlighet med artikel 20 innan en behandling äger rum,

och se till att sådana yttranden i lämplig omfattning offentliggörs, att

kunna besluta om blockering, utplåning eller förstöring av uppgifter,

att kunna besluta om tillfälligt eller slutligt förbud mot behandling,

att kunna ge den registeransvarige varning eller tillrättavisning eller

att kunna hänvisa saken till nationella parlament eller till andra

politiska institutioner,

 befogenhet att inleda rättsliga förfaranden när de nationella

bestämmelser som antagits till följd av detta direktiv har överträtts

eller att uppmärksamma de rättsliga myndigheterna på dessa

överträdelser.

Sådana beslut av tillsynsmyndigheten som går en part emot kan

överklagas till domstol.

4. Var och en kan, på egen hand eller företrädd av en organisation, vända

sig till tillsynsmyndigheten med begäran om skydd för sina fri- och

rättigheter med avseende på behandling av personuppgifter. Den berörda

personen skall informeras om vilka följder hans begäran har fått.

Var och en kan i samband med tillämpningen av de nationella bestäm-

melser som har antagits med stöd av artikel 13 i detta direktiv till

tillsynsmyndigheten ge in en begäran om att få kontrollera om en

behandling är tillåten. Den berörda personen skall informeras om vilka

följder hans begäran har fått.

5. Varje tillsynsmyndighet skall regelbundet upprätta en rapport om sin

verksamhet. Denna rapport skall offentliggöras.

6. En tillsynsmyndighet har, oavsett vilken nationell lagstiftning som

gäller för den aktuella behandlingen, behörighet att inom sin egen

medlemsstats territorium utöva de befogenheter som i enlighet med

punkt 3 åligger den. Varje myndighet kan av en myndighet i en annan

medlemsstat anmodas att utöva sina befogenheter.

De övervakande myndigheterna skall i den utsträckning som det behövs

samarbeta med varandra, särskilt genom att utbyta användbar informa-

tion.

7. Medlemsstaterna skall föreskriva att tillsynsmyndighetens ledamöter

och personal, även sedan deras anställning upphört, skall ha tystnadsplikt

med avseende på förtrolig information som de har tillgång till.

Artikel 29

Arbetsgrupp för skydd av enskilda med avseende på

behandlingen av personuppgifter

1. En arbetsgrupp för skydd av enskilda med avseende på behandling av

personuppgifter, hädanefter kallad arbetsgruppen inrättas härmed.

Arbetsgruppen skall vara rådgivande och oberoende.

2. Arbetsgruppen skall vara sammansatt av en företrädare för den eller

de tillsynsmyndigheter som utsetts av varje medlemsstat, av en

företrädare för den eller de myndigheter som har inrättats för

gemenskapens institutioner och organ samt av en företrädare för

kommissionen.

Varje medlem av arbetsgruppen skall utses av den institution eller av den

eller de myndigheter som han företräder. När en medlemsstat har fler

tillsynsmyndigheter än en, skall dessa utse en gemensam företrädare.

Detsamma skall gälla för de myndigheter som inrättats för

gemenskapens institutioner och organ.

3. Arbetsgruppen skall fatta beslut med enkel majoritet av tillsyns-

myndigheternas företrädare.

4. Arbetsgruppen skall välja sin ordförande. Ordförandens mandattid

skall vara två år. Mandatet kan förlängas.

5. Arbetsgruppens sekretariatsuppgifter skall ombesörjas av kommis-

sionen.

6. Arbetsgruppen skall själv fastställa sin arbetsordning.

7. Arbetsgruppen skall behandla frågor som förts upp på dess dagordning

av ordföranden, antingen på dennes eget initiativ eller på begäran av en

företrädare för tillsynsmyndigheterna eller för kommissionen.

Artikel 30

1. Arbetsgruppen skall

a) utreda varje fråga som rör tillämpningen av de nationella bestäm-

melser som antagits för genomförandet av detta direktiv, för att

bidra till en enhetlig tillämpning av bestämmelserna,

b) yttra sig till kommissionen om skyddsnivån inom gemenskapen och i

tredje land,

c) ge kommissionen råd om varje föreslagen ändring av detta direktiv,

om vilka ytterligare eller särskilda åtgärder som bör vidtas för att

skydda fysiska personers fri- och rättigheter med avseende på

behandling av personuppgifter och om alla andra föreslagna gemen-

skapsåtgärder som rör sådana fri- och rättigheter,

d) avge yttranden om de uppförandekodexar som utarbetas på gemen-

skapsnivå.

2. Om arbetsgruppen konstaterar förekomsten av sådana skillnader

mellan medlemsstaternas lagstiftning eller praxis, som kan vara till

nackdel för likvärdigheten i skyddet för personer med avseende på

behandlingen av personuppgifter inom gemenskapen, skall gruppen

informera kommissionen om detta.

3. Arbetsgruppen kan på eget initiativ utfärda rekommendationer i alla

frågor som rör skyddet av personer med avseende på behandlingen av

personuppgifter inom gemenskapen.

4. Arbetsgruppens yttranden och rekommendationer skall framläggas för

kommissionen och den kommitté som avses i artikel 31.

5. Kommissionen skall informera arbetsgruppen om det sätt på vilket

den har tagit hänsyn till yttrandena och rekommendationerna. För att

göra detta skall kommissionen utarbeta en rapport som också skall

framläggas för Europaparlamentet och rådet. Rapporten skall

offentliggöras.

6. Arbetsgruppen skall utarbeta en årsrapport om situationen rörande

skyddet för fysiska personer med avseende på behandlingen av person-

uppgifter inom gemenskapen och i tredje land, som den skall översända

till kommissionen, Europaparlamentet och rådet. Rapporten skall

offentliggöras.

KAPITEL VII

GEMENSKAPENS ÅTGÄRDER FÖR GENOMFÖRANDE

Artikel 31

Kommittén

1. Kommissionen skall biträdas av en kommitté som är sammansatt av

företrädare för medlemsstaterna och som har kommissionens

företrädare som ordförande.

2. Kommissionens företrädare skall förelägga kommittén ett förslag till

åtgärder. Kommittén skall yttra sig över förslaget inom en tid som

ordföranden bestämmer med hänsyn till hur brådskande ärendet är.

Yttrandet skall avges med den majoritet som anges i artikel 148.2 i

fördraget. Vid omröstning i kommittén skall medlemsstaternas röster

vägas på det sätt som anges i den artikeln. Ordföranden skall inte rösta.

Kommissionen skall besluta om åtgärder som skall ha omedelbar

verkan. Om emellertid åtgärderna avviker från kommitténs yttrande,

skall kommissionen omedelbart underställa rådet ärendet. I detta fall

gäller följande:

 Kommissionen skall uppskjuta genomförandet av åtgärderna under

en tidsfrist om tre månader räknad från meddelandedatum,

 Rådet kan med kvalificerad majoritet fatta ett avvikande beslut inom

den tidsfrist som anges i den första strecksatsen.

SLUTBESTÄMMELSER

Artikel 32

1. Medlemsstaterna skall sätta i kraft de lagar och andra författningar,

som är nödvändiga för att följa detta direktiv, senast tre år efter dess

antagande.

När en medlemsstat antar dessa bestämmelser skall de innehålla en

hänvisning till detta direktiv eller åtföljas av en sådan hänvisning när de

offentliggörs. Närmare föreskrifter om hur hänvisningen skall göras

skall varje medlemsstat själv utfärda.

2. Medlemsstaterna skall se till att sådan behandling som redan pågår när

de nationella bestämmelser som antas till följd av detta direktiv träder i

kraft bringas i överensstämmelse med dessa bestämmelser inom tre år

från denna tidpunkt.

I fråga om sådana uppgifter som redan finns i manuella register vid

ikraftträdandet av de nationella bestämmelser som antas för att genom-

föra detta direktiv får medlemsstaterna, med avvikelse från föregående

stycke, föreskriva att behandlingen skall bringas i överensstämmelse

med artiklarna 6 8 i detta direktiv inom tolv år räknat från dagen för

direktivets antagande. Medlemsstaterna skall dock ge den registrerade

rätt att på begäran och särskilt i samband med att han utövar sin rätt till

tillgång till uppgifter, erhålla rättelse, utplåning eller blockering av

uppgifter som är ofullständiga, felaktiga eller lagrade på ett sätt som

inte är förenligt med de legitima ändamål som den registeransvarige vill

uppnå.

3. Med undantag från punkt 2 kan medlemsstaterna under förutsättning

av lämpliga skyddsåtgärder föreskriva att uppgifter som endast bevaras

för historisk forskning inte behöver överensstämma med artiklarna 6 8

i detta direktiv.

4. Medlemsstaterna skall till kommissionen överlämna texten till de

nationella bestämmelser som de antar inom det område som omfattas av

detta direktiv.

Artikel 33

Kommissionen skall första gången senast tre år efter den tidpunkt som

anges i artikel 32.1 och därefter regelbundet till rådet och Europa-

parlamentet avge en rapport om genomförandet av detta direktiv, even-

tuellt försedd med lämpliga ändringsförslag. Rapporten skall offent-

liggöras.

Kommissionen skall särskilt undersöka tillämpningen av detta direktiv

på behandling av ljud- och bilduppgifter som rör fysiska personer och

skall framlägga alla lämpliga förslag som med beaktande av

informationsteknikens och informationssamhällets utveckling, visar sig

nödvändiga.

Artikel 34

Detta direktiv riktar sig till medlemsstaterna.

Utfärdat i Luxemburg den 24 oktober 1995

På Europaparlamentets vägnar På rådets vägnar

K. HÄNSCH L. ATIENZA SERNA

Ordförande Ordförande

Sammanfattning av departementspromemorian

I utredningen tar jag inledningsvis upp frågan om reglerna angående

personuppgifter bör införas i kreditupplysningslagen. Som skäl för detta

har nämnts att kreditupplysningsföretagen och Datainspektionen inte

skall behöva tillämpa både kreditupplysningslagen och den kommande

personuppgiftslagen för sin verksamhet. Jag har dock stannat för att

regleringen av hur personuppgifter skall behandlas i princip bör finnas

enbart i personuppgiftslagen och att endast sådana regler som avviker

från den lagen bör föras in i kreditupplysningslagen. I kreditupplys-

ningslagen bör dock tas in en regel som hänvisar till att också

personuppgiftslagen är tillämplig.

Av dataskyddsdirektivet följer att medlemsstaterna skall precisera på

vilka villkor behandling av personuppgifter är tillåten. Dessa villkor

föreslås angivna i lagen. Genom bestämmelsen får uppgifter, omdömen

och råd samlas in, lagras eller lämnas ut endast om det är påkallat av

kreditupplysningsändamål. Att automatiserad databehandling får använ-

das i kreditupplysningsverksamhet följer av reglerna i personuppgifts-

lagen och behöver därför inte särskilt anges i kreditupplysningslagen.

Också frågor om teknisk och organisatorisk säkerhet bör lösas genom

personuppgiftslagens bestämmelser.

Det föreslås att en allmän regel om gallring tas in. Personuppgifter får

enligt regeln inte bevaras under en längre tid än vad som är nödvändigt

med hänsyn till ändamålen med behandlingen.

Beträffande känsliga personuppgifter föreslås ett förbud mot att

behandla uppgifter avseende medlemskap i fackförening och hälsa.

Vidare föreslås att nuvarande möjlighet för Datainspektionen att medge

att uppgifter om att någon har varit föremål för åtgärder enligt

socialtjänstlagen, lagen med särskilda bestämmelser om vård av unga

m.fl. angivna lagar upphävs. Däremot bibehålls möjligheten att använda

uppgifter om brott och påföljder av brott. Också personnummer bör få

användas i kreditupplysningsverksamhet; i detta hänseende är dock

regleringen i personuppgiftslagen tillfyllest.

Beträffande information till den registrerade föreslås att person-

uppgiftslagen skall reglera frågan; kopior till handels och kommandit-

bolag skall dock alltjämt regleras i kreditupplysningslagen. Avsikten är

att nuvarande system med att sända ut upplysningskopior skall behållas

och regleras genom föreskrifter från Datainspektionen.

Det föreslås att den registrerade inte skall ha någon möjlighet att

motsätta sig registrering. Personuppgiftslagens bestämmelse bör

reglera frågan.

Kreditupplysningsverksamhet innebär att företagen lämnar uppgifter,

råd och omdömen till exempelvis kreditinstitut. Däremot beslutar inte

kreditupplysningsföretagen om kredit skall beviljas. Dataskyddsdirek-

tivets regler om s.k. automatiserade beslut rör således inte kreditupplys-

ningsverksamhet, varför en bestämmelse om sådana beslut inte är

nödvändig i kreditupplysningslagen.

Efter en genomgång av övriga bestämmelser i direktivet och kredit-

upplysningslagen konstaterar jag att direktivets villkor är uppfyllda.

Ändringarna föreslås träda i kraft den 1 juli 1999

Departementspromemorians lagförslag

Förslag till lag om ändring i kreditupplysningslagen (1973:1173)

Härigenom föreskrivs i fråga om kreditupplysningslagen

(1973:1173)

dels att 11 § skall upphöra att gälla,

dels att 5, 6, 8, 10 och 19 §§ skall ha följande lydelse,

dels att det i lagen skall införas en ny bestämmelse, 1 a §, av följande

lydelse,

dels att närmast före 1 a, 5, 6, 8 och 10 §§ skall införas nya rubriker

av följande lydelse,

dels att rubriken närmast före 2 § skall lyda Definitioner , att rubri-

ken närmast före 9 § skall lyda Utlämnande av kreditupplysningar ,

att rubriken närmast före 12 § skall lyda Rättelse , att rubriken

närmast före 13 § skall lyda Överlåtelse , att rubriken närmast före 14

§ skall lyda Sekretess samt att rubriken närmast före 23 § skall lyda

 Överklagande .

Nuvarande lydelse

Föreslagen lydelse

Förhållande till personuppgiftsagen

1 a §

Om inget annat följer av

denna lag eller villkor som

meddelats med stöd därav,

tillämpas personppgiftslagen

(1998:204) vid beandingen av

personuppgifter för

kreditupplysningsändamål.

Allmänt om

kreditupplysningsverksamhet

5 §

I fråga om fysiska personer får

uppgifter, omdömen och råd

samlas in, lagras eller lämnas ut

i kreditupplysningsverksamhet

endast om det är påkallat av

kreditupplysningsändamål.

Därvid skall verksamheten

uppfylla de krav som framgår av

9 § personuppgiftslagen.

Verksamheten får bedrivas utan

samtycke från den registrerade.t

Kreditupplysningsverksamhet

skall bedrivas så att den ej leder

till otillbörligt intrång i

personlig integritet genom

innehållet i de upplysningar som

förmedlas eller på annat sätt

eller till att oriktiga eller

missvisande uppgifter lagras eller

lämnas ut.

Kreditupplysningsverksamhet i

övrigt skall bedrivas så att den

inte leder till att oriktiga eller

missvisande uppgifter lagras eller

lämnas ut.

Känsliga personuppgifter

6 §

Uppgifter om en persons ras,

etniska ursprung, politiska

uppfattning, religiösa eller

filosofiska övertygelse eller

sexualliv får inte samlas in, lagras

eller lämnas ut i

kreditupplysningsverksamhet

Uppgifter om en persons ras,

etniska ursprung, politiska

uppfattning, religiösa eller

filosofiska övertygelse,

medlemskap i fackförening,

hälsa eller sexualliv får inte

samlas in, lagras eller lämnas ut i

kreditupplysningsverksamhet.

Detsamma gäller uppgifter att

någon har varit föremål för

någon åtgärd enligt

socialtjänstlagen (1980:620),

lagen (1990:52) med särskilda

bestämmelser om vård av unga,

lagen (1988:870) om vård av

missbrukare i vissa fall, lagen

(1991:1128) om psykiatrisk

tvångsvård, lagen (1991:1129)

om rättspsykiatrisk vård, lagen

(1993:387) om stöd och service

till vissa funktionshindrade, 11

14 §§ polislagen (1984:387),

lagen (1976:511) om

omhändertagande av berusade

personer m.m. eller

utlänningslagen (1989:529).

Uppgifter om sjukdom, hälso-

tillstånd eller liknande får inte

utan medgivande av Datainspek-

tionen samlas in, lagras eller

lämnas ut i kreditupplysnings-

verksamhet. Detsamma gäller

uppgifter om att någon misstänks

eller har dömts för brott eller har

avtjänat straff eller undergått

någon annan påföljd för brott eller

har varit föremål för någon

åtgärd enligt socialtjänstlagen

(1980:620), lagen (1990:52) med

särskilda bestämmelser om vård

av unga, lagen (1988:870) om

vård av missbrukare i vissa fall,

lagen (1991:1128) om

psykiatrisk tvångsvård, lagen

(1991:1129) om rättspsykiatrisk

vård, lagen (1993:387) om stöd

och service till vissa

funktionshindrade, 11 14 §§

polislagen (1984:387), lagen

(1976:511) om

omhändertagande av berusade

personer m.m. eller

utlänningslagen (1989:529).

Uppgifter om att någon miss-

tänks eller har dömts för brott

eller har avtjänat straff eller

undergått någon annan påföljd för

brott får inte utan medgivande

av Datainspektionen samlas in,

lagras eller lämnas ut i kredit-

upplysningsverksamhet.

Ett medgivande som avses i andra stycket får lämnas endast om det

finns synnerliga skäl.

Vad som anges i andra stycket hindrar inte att uppgifter om

betalningsförsummelser, kreditmissbruk eller näringsförbud samlas in,

lagras eller lämnas ut i kreditupplysningsverksamhet.

Gallring

8 §

Uppgifter om fysiska personer

i register som används i

kreditupplysningsverksamhet får

inte bevaras under en längre tid

än vad som är nödvändigt med

hänsyn till ändamålen med

registret.

Kreditupplysningar om fysiska personer som inte är näringsidkare får

inte innehålla uppgifter om omständigheter eller förhållanden som är av

betydelse för bedömningen av personens vederhäftighet i ekonomiskt

hänseende, om tre år förflutit från utgången av det år då omständigheten

inträffade eller förhållandet upphörde. Uppgifter som inte får lämnas ut

skall efter den angivna tiden gallras ut ur register som används i

kreditupplysningsverksamhet. Gallringen skall göras så snart det kan ske

och i vart fall innan en upplysning lämnas om den som uppgiften avser.

Information till den registrerade

10 §

Var och en har rätt att mot

skälig avgift hos den som

bedriver

kreditupplysningsverksamhet få

skriftligt besked om huruvida det

i verksamheten finns uppgifter

lagrade om honom och, om det

finns sådana uppgifter, vad de

har för innehåll.

Information skall beträffande

fysiska personer lämnas i den

omfattning som framgår av 23

27 §§ personuppgiftslagen.

När en kreditupplysning om

ett handelsbolag eller ett

kommanditbolag lämnas ut, skall

till den som avses med

upplysningen samtidigt och

kostnadsfritt sändas ett skriftligt

meddelande om de uppgifter,

omdömen och råd som upplys-

ningen innehåller rörande

honom och om vem som har

begärt upplysningen.

Vad som sägs i andra stycket

gäller inte kreditupplysningar

som lämnas genom

offentliggörande på ett sådant

sätt som avses i tryck-

frihetsförordningen eller ytt-

randefrihetsgrundlagen

19 §

Till böter eller fängelse i högst ett år döms den som uppsåtligen eller

av oaktsamhet

1. bedriver kreditupplysningsverksamhet utan att ha rätt till det enligt

3 §,

2. bryter mot 6 9 §§, 13 § första stycket eller andra stycket första

meningen eller 16 § tredje stycket,

3. bryter mot ett villkor som har meddelats enligt 4 § andra stycket,

13 § andra stycket andra meningen eller 17 § första stycket, eller

4. lämnar en osann uppgift i

sådana fall som avses i 10 § eller

16 § andra stycket eller i ett

meddelande enligt 11 §.

4. lämnar en osann uppgift i

sådana fall som avses i 16 § andra

stycket eller i ett meddelande

enligt 10 § andra stycket.

Till böter döms den som genom oriktiga uppgifter uppsåtligen

föranleder att någon som bedriver kreditupplysningsverksamhet, i annat

fall än som avses i 9 § andra meningen, lämnar ut en kreditupplysning

utan att ha grund till detta enligt 9 §. Till samma straff döms den som

genom att utnyttja uppgifter hos någon som bedriver kreditupplysnings-

verksamhet uppsåtligen bereder sig tillgång till en kreditupplysning utan

att ha grund till detta enligt 9 §. I ringa fall döms dock inte till ansvar.

Denna lag träder i kraft den 1 juli 1999.

Datainspektionens rapport

Datainspektionen skall i enlighet med regeringens uppdrag, Ju97/2458,

bedöma förutsättningarna för en ökad tillgång till uppgifter om närings-

idkare i kreditupplysningar och väga behovet mot främst riskerna för att

missvisande eller oriktiga uppgifter används i kreditupplysningssam-

manhang. De uppgifter som avses är huvudsakligen uppgifter om

inkassoåtgärder vidtagna av företag och information ur företags kund-

reskontra. Vidare har frågan aktualiserats om de möjligheter som

juridiska personer i dag har att kontrollera riktigheten av de uppgifter

som lämnas om dem i kreditupplysningar är tillräckliga. Förslag till

eventuella lagändringar skall även läggas fram.

Mot bakgrund av den gjorda utredningen, som redovisas i bilaga 1 och

2 , gör Datainspektionen följande bedömning.

Den aktuella informationen om inkassoåtgärder vidtagna av företag och

om leverantörsskulder och betalningsbeteende ur företags

kundreskontra kan utgöra tidiga indikationer på bristande

betalningsförmåga eller betalningsovilja hos den omfrågade

näringsidkaren. Dessa indikationer kan vara av viss betydelse för en

kreditgivare som skall bilda sig en uppfattning om

kundens/näringsidkarens framtida betalningsbeteende i syfte att göra en

god affär och därvid undvika kreditförluster.

En förutsättning för att dessa uppgifter skall fylla funktionen av at ge

tidiga indikationer på bristande betalningsförmåga eller betalningsovilja

är att uppgifterna är av god kvalitet och varken felaktiga eller

missvisande. Felaktiga eller missvisande uppgifter i en kreditupplysning

kan leda till att felaktiga beslut fattas genom att affärer inte blir av och

krediter inte beviljas trots att kunden/näringsidkaren har en god

betalningsmoral och är kreditvärdig.

En ytterligare förutsättning som måste uppfyllas är att kunden/nä-

ringsidkaren får information om att uppgifter om dennes betalningar och

eventuella bristande betalningar översänds till kreditupplysningsföretag

för att utlämnas i kreditupplysningar. Utan information om att detta sker

får näringsidkaren ingen reeell möjlighet att reagera på felaktiga

uppgifter. Problemet att informera berörda näringsidkare skulle kunna

lösas antingen genom att det rapporterande företaget i avtal åläggs att

lämna relevant information till sina kunder eller att kopia av utlämnad

kreditupplysning tillställs näringsidkaren. I det senare fallet behöver

bestämmelsen i 11 § kreditupplysningslagen (1973:1173) utvidgas att

gälla även aktiebolag.

Datainspektionen har i två beslut rörande kreditupplysningsföretag

öppnat för möjligheterna att under vissa förutsättningar registrera sådan

information som tidigare inte tillåtits. Dels har inspektionen meddelat

att inget fanns att erinra mot att en metod tas i bruk som innebär att en

statistisk sammanställning av den sammanvägda informationen från olika

fakturor beträffande en juridisk person (som inhämtats från utvalda

företag med vilka kreditupplysningsföretaget tecknat avtal) redovisas i

kreditupplysning om den juridiska personen. Inspektionen påpekade

dock att dess inställning kunde komma att ändras om det visade sig att en

missvisande bild lämnades om det omfrågade företagets betalnings-

beteende (se sid 20 och 21, dnr 1447-97, i bilaga 1). Dels har ett

tidsbegränsat tillstånd meddelats beträffande registrering och

utlämnande av uppgifter om gäldenärers (såväl fysiska som juridiska

personer) sammanlagda skuldsaldon hos kronofogdemyndigheterna (se

sid 13 och 14, dnr 4190-95, i bilaga 1).

Anledningen till att Datainspektionen inte ansett sig kunna gå längre

hänför sig till följande faktorer.

En faktor är att det ibland finns en ovilja hos företag att lämna ut

fullständiga uppgifter ur kundreskontra till följd av att företags-

hemligheter därigenom skulle kunna avslöjas. En annan faktor är den

tystnadsplikt som föreligger i inkassoverksamhet enligt 11 § inkasso-

lagen (1974:182) beträffande enskildas personliga förhållanden samt

yrkes- eller affärshemligheter. Detta hinder mot ulämnande av uppgifter

om inkassoåtgärder vidtagna av inkassobolag skulle således behöva

undanröjas genom lagändring. En ytterligare faktor är att informationen

inte heller av praktiska skäl kan bli fullständig och heltäckande eftersom

det torde vara omöjligt att inhämta information från samtliga företag

och inkassobolag. Materialet skulle sålunda inte vara representativt.

Datainspektionen har vidare vid sin ärendehantering konstaterat att

informationen redan idag är missvisande och att oriktiga uppgifter

förekommer till följd av bl.a. felaktig identifiering av gäldenärer och

bakomliggande tivster och utredningar. Datainspektionen vill under-

stryka att felaktig gäldenärsidentifikation är ett mycket vanligt före-

kommande problem i inkassoverksamhet. Därav torde slutsatsen kunna

dras att detta problem är ännu större i företagens kundreskontra.

Felaktigheter i materialet kommer att föras över till

kreditupplysningsregistren utan någon kontroll av uppgifternas riktighet.

Följden skulle bli att antalet felaktiga och missvisande uppgifter i

kreditupplysningar skulle öka.

Att kräva rättning av uppgifter i kreditupplysningsregistren skulle med-

föra svårigheter för kreditupplysningsföretagen eftersom utredningarna

skulle bli mycket omfattande och kräva tillgång till företagens reskontra

och även bakomliggande köpeavtal m.fl. handlingar som upprättats i

samband med affärsförbindelsen med kunden.

Datainspektionen har inhämtat synpunkter från elva intressenter, näm-

ligen kreditupplysningsbolag, inkassobolag och inkassobolagens

branschorganisationer samt dessutom vissa andra närstående

intressenter. Majoriteten är positiva till utökning av uppgifter. Många av

dessa anser emellertid att kvaliteten på uppgifterna måste säkras före ett

genomförande. Ett par intressenter, bl.a. den inkassobranschorganisation

som organiserar de flesta inkassobolagen, är direkt negativa till

utvidgning på grund av att de anser att uppgifterna på reskontra- och

inkassostadiet är av för dålig kvalitet för att ligga till grund för

kreditupplysning. Majoriteten visar också på svårigheter att rätta

felaktiga uppgifter, att genomföra dementier och att göra rättvisande

uppgiftsval. Vidare anför de att inkassolagen behöver ändras för att

ändringarna skall kunna genomföras.

Två av intressenterna har vidare pekat på att många andra länder tillåter

vidgad information i kreditupplysningssammanhang (se sid 6 och 7 i

bilaga 2). Enligt Datainspektionens mening är dock en jämförelse med

andra länder inte rättvisande, eftersom myndighetsinformation inte är

lika lättillgänglig utomlands som i Sverige.

Önskemål har även framförts om att uppgifter om ekonomisk

brottslighet bör finnas i kreditupplysningar om näringsidkare (se sid 9 i

bilaga 2). En särskild utredare har redan regeringens uppdrag att utreda

frågor om åtgärder mot vissa bulvanförhållanden m.m. i syfte att

effektivisera bekämpningen av ekonomisk brottslighet genom att

förhindra eller försvåra den (Dir. 1996:55). I detta uppdrag ingår också

att överväga möjligheterna att lättare avslöja bulvanförhållanden.

Utredaren skall därvid bl.a. överväga om registeruppgifter om

brottmålsdomar i första hand rörande ekonomisk brottslighet bör göras

tillgängliga i samband med affärskontroll. Uppdraget skall vara slutfört

före utgången av december 1997. Resultatet av utredningen bör avvaktas.

Mot bakgrund av vad som sålunda framkommit och särskilt vad som

framförts av inkassobranschorganisationen anser Datainspektionen inte

att det finns skäl till ändringar i kreditupplysningslagen och inkasso-

lagen.

Förteckning över remissinstanserna

Efter remiss har yttranden över promemorian och rapporten avgetts av

Riksdagens ombudsmän, Riksåklagaren, Justitiekanslern, Hovrätten över

Skåne och Blekinge, Jönköpings tingsrätt, Kammarrätten i Stockholm,

Länsrätten i Stockholms län, Rikspolisstyrelsen, Datainspektionen

(endast beträffande promemorian), Finansinspektionen,

Riksskatteverket, Konkurrensverket, Konsumentverket (endast

beträffande promemorian), Juridiska fakultetsstyrelsen vid Lunds

universitet, Svenska Kommunförbundet, Svenska Bankföreningen,

Finansbolagens Förening, Svensk Handel, Sveriges Försäkringsförbund,

Svenska fondhandlareföreningen, Stockholms Handelskammare (endast

beträffande promemorian), Sveriges advokatsamfund, Svenska

Inkassoföreningen, Sveriges Inkassoorganisation, UpplysningsCentralen

UC AB, Dun & Bradstreet Sverige AB och Landsorganisationen i

Sverige (endast beträffande promemorian).

Kommerskollegium, Sveriges Industriförbund, Sveriges Köpmanna-

förbund, Företagarnas Riksorganisation, Kooperativa förbundet, Svenska

Kreditmannaföreningen i Stockholm, Svensk Upplysningstjänst, EKO

företagsupplysningar AB, Tjänstemännens centralorganisation och

Sveriges akademikers centralorganisation har beretts tillfälle att yttra

sig men avstått från att göra det.

Lagrådsremissens lagförslag

Förslag till lag om ändring i kreditupplysningslagen (1973:1173)

Härigenom föreskrivs i fråga om kreditupplysningslagen

(1973:1173)

dels att 5, 6, 8 och 10 12 §§ skall ha följande lydelse,

dels att det närmast före 5 a, 9, 13, 14 och 23 §§ skall införas nya

rubriker som skall lyda Informationsutbyte , Utlämnande av upplys-

ningar , Överlåtelse och upplåtelse av register , Tystnadsplikt

respektive Överklagande ,

dels att det närmast före 6, 8, 10 12 §§ skall införas nya rubriker av

följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

5 §

Kreditupplysningsverksamh

et skall bedrivas så att den ej leder

till otillbörligt intrång i personlig

integritet genom innehållet i de

upplysningar som förmedlas eller

på annat sätt eller till att oriktiga

eller missvisande uppgifter lagras

eller lämnas ut.

Kreditupplysningsverksamh

et skall bedrivas så att den inte

leder till otillbörligt intrång i

personlig integritet genom

innehållet i de upplysningar som

förmedlas eller på annat sätt eller

till att oriktiga eller missvisande

uppgifter lagras eller lämnas ut.

För sådan behandling av

personuppgifter som omfattas av

personuppgiftslagen (1998:304)

gäller i stället 9 § första stycket

a, b och d h den lagen.

Uppgifter om fysiska personer

får samlas in endast för

kreditupplysningsändamål.

Vid helt eller delvis automa-

tiserad behandling av uppgifter

om juridiska personer skall den

som bedriver kreditupplysnings-

verksamhet vidta lämpliga

tekniska och organisatoriska

säkerhetsåtgärder för att hindra

att behandlingen sker på ett

otillåtet sätt och att uppgifterna

utsätts för otillåten insyn.

Bestämmelser om säkerheten vid

behandling av personuppgifter

finns i 30 32 §§ personupp-

giftslagen.

Utan hinder av 10 §

personuppgiftslagen får

personuppgifter behandlas utan

samtycke i kreditupp-

lysningsverksamhet.

Bestämmelsen i första stycket

andra meningen tillämpas inte i

den utsträckning det skulle

strida mot bestämmelserna i

tryckfrihetsförordningen och

yttrandefrihetsgrundlagen.

Känsliga uppgifter m.m.

6 §

Uppgifter om en persons ras,

etniska ursprung, politiska

uppfattning, religiösa eller

filosofiska övertygelse eller

sexualliv får inte samlas in,

lagras eller lämnas ut i

kreditupplysningsverksamhet.

Uppgifter om en persons ras,

etniska ursprung, politiska

uppfattning, religiösa eller

filosofiska övertygelse,

medlemskap i fackförening,

hälsa eller sexualliv får inte

behandlas i kreditupplys-

ningsverksamhet.

Uppgifter om sjukdom, hälso-

tillstånd eller liknande får inte

utan medgivande av Datainspek-

tionen samlas in, lagras eller

lämnas ut i kreditupplysnings-

verksamhet. Detsamma gäller

uppgifter om att någon

misstänks eller har dömts för

brott eller har avtjänat straff

eller undergått någon annan

påföljd för brott eller har varit

föremål för någon åtgärd enligt

socialtjänstlagen (1980:620),

lagen (1990:52) med särskilda

bestämmelser om vård av unga,

lagen (1988:870) om vård av

missbrukare i vissa fall, lagen

(1991:1128) om psykiatrisk

tvångsvård, lagen (1991:1129)

om rättspsykiatrisk vård, lagen

(1993:387) om stöd och service

till vissa funktionshindrade, 11

14 §§ polislagen (1984:387),

lagen (1976:511) om

omhändertagande av berusade

personer m.m. eller

utlänningslagen (1989:529).

Uppgifter om lagöverträdelser

som innefattar brott, domar i

brottmål, straffprocessuella

tvångsmedel eller administrativa

frihetsberövanden får inte utan

medgivande av

Datainspektionen behandlas i

kreditupplysningsverksamhet.

Ett medgivande som avses i andra stycket får lämnas endast om det

finns synnerliga skäl.

Vad som anges i andra stycket

hindrar inte att uppgifter om betal-

ningsförsummelser, kreditmiss-

bruk eller näringsförbud samlas

in, lagras eller lämnas ut i

kreditupplysningsverksamhet.

Vad som anges i andra stycket

hindrar inte att uppgifter om

betalningsförsummelser, kredit-

missbruk eller näringsförbud be-

handlas i kreditupplysningsverk-

samhet.

Gallring

8 §

En uppgift om en fysisk person

skall gallras när det inte längre

är nödvändigt att bevara

uppgiften med hänsyn till

ändamålet med registret.

Kreditupplysningar om fysiska

personer som inte är

näringsidkare får inte innehålla

uppgifter om omständigheter

eller förhållanden som är av

betydelse för bedömningen av

personens vederhäftighet i

ekonomiskt hänseende, om tre år

förflutit från utgången av det år då

omständigheten inträffade eller

förhållandet upphörde. Uppgifter

som inte får lämnas ut skall efter

den angivna tiden gallras ut ur

register som används i

kreditupplysningsverksamhet.

Gallringen skall göras så snart

det kan ske och i vart fall innan

en upplysning lämnas om den

som uppgiften avser.

En uppgift om en fysisk person

som inte är näringsidkare skall

gallras senast när tre år har

förflutit från utgången av det år då

den omständighet inträffade eller

det förhållande upphörde som

uppgiften avser.

Registerbesked

10 §

Var och en har rätt att mot

skälig avgift hos den som bedriver

kreditupplysningsverksamhet få

skriftligt besked om huruvida det i

verksamheten finns uppgifter

lagrade om honom och, om det

finns sådana uppgifter, vad de

har för innehåll.

Var och en har rätt att mot

skälig avgift hos den som bedriver

kreditupplysningsverksamhet få

skriftligt besked om huruvida det i

verksamheten behandlas

uppgifter om honom. Behandlas

sådana uppgifter skall besked

lämnas om

a) vilka uppgifter som behand-

las,

b) om den registrerade är en

fysisk person: varifrån

uppgifterna har hämtats,

c) ändamålen med be-

handlingen och

d) till vilka mottagare eller

kategorier av mottagare som

uppgifterna lämnas ut.

Bestämmelserna i första

stycket tillämpas inte i den

utsträckning det skulle strida

mot bestämmelserna i

tryckfrihetsförordningen och

yttrandefrihetsgrundlagen.

En begäran om besked enligt

första stycket om en fysisk

person skall göras skriftligen

och vara egenhändigt

undertecknad.

Kreditupplysningskopia

11 §

När en kreditupplysning om en

fysisk person lämnas ut, skall till

den som avses med upplysningen

samtidigt och kostnadsfritt sändas

ett skriftligt meddelande om de

uppgifter, omdömen och råd som

upplysningen innehåller rörande

honom och om vem som har

begärt upplysningen.

När en kreditupplysning om en

fysisk person lämnas ut, skall till

den som avses med upplysningen

samtidigt och kostnadsfritt sändas

ett skriftligt meddelande om

a) vem som bedriver

kreditupplysningsverksamheten,

b) ändamålen med behand-

lingen,

c) möjligheten att få rättelse,

d) de uppgifter, omdömen och

råd som upplysningen innehåller

om honom och

e) vem som har begärt upplys-

ningen.

Vad som sägs i första stycket gäller också när en kreditupplysning

lämnas om ett handelsbolag eller kommanditbolag.

Vad som sägs i första och andra

stycket gäller inte kreditupp-

lysningar som lämnas genom

offentliggörande på ett sådant sätt

som avses i tryckfrihetsförord-

ningen eller yttrandefrihetsgrund-

lagen.

Vad som sägs i första och andra

styckena gäller inte kreditupplys-

ningar som lämnas genom offent-

liggörande på ett sådant sätt som

avses i tryckfrihetsförordningen

eller yttrandefrihetsgrundlagen.

Rättelse

12 §

Förekommer anledning till

misstanke att en uppgift i kredit-

upplysning som lämnats under

den senaste tolvmånadersperioden

eller i register som används i

kreditupplysningsverksamhet är

oriktig eller missvisande, skall

den som bedriver verksamheten

utan dröjsmål vidta skäliga

åtgärder för att utreda

förhållandet.

Finns det anledning att miss-

tänka att en uppgift som

behandlas i kreditupplysnings-

verksamhet eller som har

lämnats i en kreditupplysning

under den senaste

tolvmånadersperioden är oriktig

eller missvisande, eller att den

annars har behandlats i strid

med denna lag, skall den som

bedriver verksamheten utan dröjs-

mål vidta skäliga åtgärder för att

utreda förhållandet.

Visar sig uppgiften vara oriktig

eller missvisande, skall den, om

den förekommer i register, rättas,

kompletteras eller uteslutas ur

registret. Har uppgiften tagits in i

en kreditupplysning som lämnats

på annat sätt än som avses i

tryckfrihetsförordningen och ytt-

randefrihetsgrundlagen, skall

rättelse eller komplettering så

snart det kan ske tillställas var och

en som under den senaste tolv-

månadersperioden fått del av upp-

giften. Har uppgiften under den

senaste tolvmånadersperioden

lämnats i periodisk skrift eller i

en kreditupplysningsverksamhet

som bedrivs genom

återkommande offentliggöranden

enligt yttrandefrihetsgrundlagen,

skall rättelse eller komplettering

så snart det kan ske införas i ett

följande nummer av skriften eller

motsvarande form av

offentliggörande enligt

yttrandefrihetsgrundlagen. Vad

som sägs i detta stycke gäller

dock icke, om uppgiften uppen-

barligen saknar betydelse för

bedömningen av vederbörandes

vederhäftighet i ekonomiskt hän-

seende.

Visar det sig att uppgiften är

oriktig eller missvisande, eller att

den annars har behandlats i

strid med lagen, skall den, om

den förekommer i register, rättas,

kompletteras eller uteslutas ur

registret. Har en oriktig eller

missvisande uppgift tagits in i en

kreditupplysning som lämnats på

annat sätt än som avses i

tryckfrihetsförordningen och

yttrandefrihetsgrundlagen, skall

rättelse eller komplettering så

snart det kan ske tillställas var och

en som under den senaste

tolvmånadersperioden fått del av

uppgiften. Har uppgiften under

den senaste tolvmånadersperioden

lämnats i en periodisk skrift eller

i en kreditupplysningsverksamhet

som bedrivs genom

återkommande offentliggöranden

enligt yttrandefrihetsgrundlagen,

skall rättelse eller komplettering

så snart det kan ske införas i ett

följande nummer av skriften eller

motsvarande form av

offentliggörande enligt

yttrandefrihetsgrundlagen. Vad

som sägs i detta stycke gäller

dock inte, om uppgiften uppen-

barligen saknar betydelse för

bedömningen av vederbörandes

vederhäftighet i ekonomiskt hän-

seende.

Har en fråga om rättelse eller liknande åtgärd tagits upp efter fram-

ställning från den som uppgiften avser, skall denne kostnadsfritt

underrättas om huruvida sådan åtgärd vidtagits.

Denna lag träder i kraft den 1 april 2001.

Lagrådets yttrande

Utdrag ur protokoll vid sammanträde 2000-10-30

Närvarande: f.d. justitierådet Staffan Vängby, justitierådet

Leif[REDACTED_EFTERNAMN], regeringsrådet Rune Lavin.

Enligt en lagrådsremiss den 12 oktober 2000 (Justitiedepartementet)

har regeringen beslutat inhämta Lagrådets yttrande över förslag till lag

om ändring i kreditupplysningslagen (1973:1173).

Förslaget har inför Lagrådet föredragits av ämnesrådet Anita

Wickström.

Förslaget föranleder följande yttrande av Lagrådet:

5 §

Enligt fjärde stycket i paragrafen får personuppgifter utan hinder av 10 §

personuppgiftslagen behandlas utan samtycke i kreditupplysningsverk-

samhet. Det kan ifrågasättas om bestämmelsen är förenlig med EG:s

dataskyddsdirektiv. I motiveringen åberopas som skäl för att så är fallet

bestämmelserna i artikel 7 e) och f) i direktivet.

Enligt artikel 7 f) får personuppgifter behandlas utan den registrerades

samtycke om behandlingen är nödvändig för ändamål som rör

berättigade intressen hos den registeransvarige eller hos den eller de

tredje män till vilka uppgifterna har lämnats ut, utom när sådana in-

tressen uppvägs av den registrerades intressen eller dennes grund-

läggande fri- och rättigheter som kräver skydd under artikel 1.1, dvs.

särskilt rätten till privatliv. Det är här fråga om intresseavvägning där

kommersiella intressen står mot den enskildes intresse av att få ha sina

uppgifter i fred. Bara i undantagsfall bör den personuppgiftsansvariges

intresse av behandlingen anses väga över intresset hos en registrerad

som uttryckligen motsatt sig behandlingen (jfr SOU 1997:39 s. 362 f).

Lagrådet menar att ifrågavarande punkt, som kan sägas utgöra en

reservbestämmelse i förhållande till föregående punkter i paragrafen,

inte ger erforderligt stöd för en generell föreskrift om att

personuppgifter i kreditupplysningssammanhang får behandlas utan den

registrerades samtycke.

Artikel 7 e) medger att personuppgifter får behandlas utan den regi-

strerades samtycke bl.a. om behandlingen är nödvändig för att utföra en

arbetsuppgift av allmänt intresse. Vissa skäl som anförs i motiveringen

och som kan sägas gå ut på att det gäller att skydda den enskilde mot

dennes eget oförstånd hör knappast hemma i modern lagstiftning. I

första hand åberopas emellertid att det är ett allmänt intresse att kredit-

upplysningsverksamhet kan bedrivas effektivt och att om möjligheten att

behandla uppgifter i varje enskilt fall var beroende av att ett samtycke

hade lämnats, så skulle effektiviteten allvarligt hämmas och fördyringar

uppkomma. Det är här fråga om en värdering där större eller mindre vikt

kan tillmätas det ena eller andra intresset. Till dess frågan eventuellt

avgjorts av EG-domstolen kan en sådan värdering antas ligga inom ramen

för vad direktivet tillåter.

Enligt artikel 14 första stycket a) skall dock medlemsstaterna

tillförsäkra den registrerade rätten att åtminstone i de fall som avses i

artikel 7 e) och f) när som helst av avgörande och berättigade skäl som

rör hans personliga situation motsätta sig behandling av uppgifter som

rör honom, utom när den nationella lagstiftningen föreskriver något

annat. Enligt lagrådsremissen behöver det utöver bestämmelsen i

förevarande paragraf att upplysningar får behandlas utan den enskildes

samtycke inte dessutom uttryckligen anges att den enskilde inte heller

kan motsätta sig en viss behandling av personuppgifter eller ett

utlämnande av vissa uppgifter. Lagrådet är inte helt övertygat om att

denna bedömning är korrekt. Större trygghet för att kreditupp-

lysningslagen kommer att anses överensstämma med datadirektivet

skulle vinnas, om till det föreslagna stycket läggs meningen: Den

registrerade kan inte heller motsätta sig behandlingen .

6 §

Förslaget innebär bl.a. att behandlingen av uppgifter om åtgärder enligt

socialtjänstlagen och lagen om stöd och service till vissa funk-

tionshindrade inte längre skall kräva Datainspektionens medgivande.

Anledningen är att dataskyddsdirektivet som är ett harmoniseringsdi-

rektiv inte medger förbud mot behandling av dylika uppgifter. Enligt

Lagrådets mening innebär den föreslagna lagändringen en försvagning av

den enskildes integritetsskydd. Till skillnad från vad som anges i

motiveringen anser Lagrådet att beslut enligt de båda nämnda lagarna kan

komma att innehålla viktig information från kreditvärde-ringssynpunkt.

Den omständigheten att information av denna art hittills inte använts i

någon större utsträckning kan bero på att kreditupplysningsföretagen

avstått från att söka medgivande hos Datainspektionen. Om behandlingen

av dessa uppgifter släpps fri, kommer det inte att finnas någon direkt

tillbakahållande faktor i hanteringen av uppgifterna.

Bestämmelserna i 7 kap. 4 § sekretesslagen omfattar beslut enligt

båda lagarna. De ifrågavarande uppgifterna bör därför inte kunna erhållas

från en socialnämnd. Däremot bör det i allmänhet inte möta något hinder

för ett kreditupplysningsföretag att få tillgång till

förvaltningsdomstolars domar med tillhörande bilagor i frågor som

gäller tillämpningen av någondera lagen.

Lagrådet vill med det sagda peka på den faktiska möjlighet som här

öppnar sig för kreditupplysningsföretag att använda social information i

sin verksamhet. Dataskyddsdirektivet tycks dock inte möjliggöra att

uppgifter om åtgärder enligt socialtjänstlagen och lagen om stöd och

service till vissa funktionshindrade får behålla sitt hittillsvarande skydd

enligt kreditupplysningslagen.

Övergångsbestämmelse

Några övergångsbestämmelser föreslås inte. Enligt motiveringen

innebär förslaget, att personuppgiftslagens grundläggande krav på

behandling av personuppgifter skall gälla också i

kreditupplysningsverksamhet, att kraven skall tillämpas bara om

personuppgiftslagen är tillämplig. Om personuppgiftslagen enligt sina

övergångsbestämmelser inte är tillämplig, skulle kraven alltså inte

tillämpas.

Enligt 5 § första stycket andra meningen i förslaget gäller vissa

angivna bestämmelser i personuppgiftslagen för sådan behandling av

personuppgifter som omfattas av personuppgiftslagen. Av bestämmelsen

kan utläsas att den skall tillämpas på sådan behandling av personuppgifter

på vilka personuppgiftslagen i princip är tillämplig. Visserligen skulle

ordet omfattas kunna anses undanta sådan behandling som

personuppgiftslagen inte skall tillämpas på enligt övergångsbestäm-

melserna till lagen. Formuleringen kan emellertid föranleda tvekan i det

hänseendet. Det är också så att i vissa hänseenden, t.ex. i fråga om

manuell behandling, är det endast vissa angivna paragrafer, bland dem

just 9 §, som inte är tillämpliga. Den angivna avsikten bör ges ett klarare

uttryck genom en övergångsbestämmelse som förslagsvis kan ges

följande lydelse: I stället för 5 § första stycket tillämpas 5 § i dess

äldre lydelse i fråga om sådan behandling av personuppgifter för vilken 9

§ personuppgiftslagen (1998:204) enligt övergångsbestämmelserna till

den lagen inte är tillämplig.

Justitiedepartementet

Utdrag ur protokoll vid regeringssammanträde den 30 november 2000

Närvarande: statsministern[REDACTED_EFTERNAMN], ordförande, och statsråden[REDACTED_EFTERNAMN],
[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN], von[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN], Engqvist,
[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN]

Föredragande: statsrådet[REDACTED_EFTERNAMN]

Regeringen beslutar proposition 2000/01:50 Kreditupplysningslagen

och dataskyddsdirektivet

Rättsdatablad

Författningsrubrik

Bestämmelser som

inför, ändrar, upp-

häver eller upprepar

ett normgivnings-

bemyndigande

Celexnummer för

bakomliggande EG-

regler

Kreditupplysningslagen

(1973:1173)

Celex 31995L0046

 Jfr Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om

skydd för

enskilda personer med avseende på behandling av personuppgifter och om det fria

flödet av

sådana uppgifter (EGT L 281, 23.11.1995, s. 31, Celex 31995L0046).

 Lagen omtryckt 1981:737.

 Senaste lydelse 1997:556.

 Senaste lydelse 1997:556.

 Senaste lydelse 1997:556.

6 Senaste lydelse 1991:1563.

 Jfr Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om

skydd för

enskilda personer med avseende på behandling av personuppgifter och om det fria

flödet av

sådana uppgifter (EGT nr L 281, 23.11.1995, s. 31, Celex 395L0046).

 Lagen omtryckt 1981:737.

 Senaste lydelse 1981:737.

 Utelämnade här.

 Jfr Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om

skydd för

enskilda personer med avseende på behandling av personuppgifter och om det fria

flödet av

sådana uppgifter (EGT L 281, 23.11.1995, s. 31, Celex 395L0046).

 Lagen omtryckt 1981:737.

 Senaste lydelse 1997:556.

 Senaste lydelse 1997:556.

 Senaste lydelse 1997:556.

 Senaste lydelse 1991:1563.

Prop. 2000/01:50

28

1

Prop. 2000/01:50

Prop. 2000/01:50

Bilaga 1

72

Prop. 2000/01:50

Bilaga 1

40

72

Prop. 2000/01:50

Bilaga 2

73

Prop. 2000/01:50

Bilaga 3

77

Prop. 2000/01:50

Bilaga 3

74

Prop. 2000/01:50

Bilaga 4

80

Prop. 2000/01:50

Bilaga 4

78

1

Prop. 2000/01:50

Bilaga 5

81

Prop. 2000/01:50

Bilaga 6

87

Prop. 2000/01:50

Bilaga 6

82

Prop. 2000/01:50

Bilaga 7

90

Prop. 2000/01:50

Bilaga 7

88

93

Prop. 2000/01:50

92