Regeringens proposition 2005/06:173

Översyn av personuppgiftslagen

Prop.

2005/06:173

Regeringen överlämnar denna proposition till riksdagen. Harpsund den 16 mars 2006 Göran[REDACTED_EFTERNAMN] Thomas[REDACTED_EFTERNAMN] (Justitiedepartementet) Propositionens huvudsakliga innehåll I propositionen föreslås reformer som syftar till att underlätta behand- lingen av personuppgifter. Personuppgiftslagen utformas i viss utsträck- ning enligt en missbruksmodell. Den innebär att regleringen inte tar sikte på själva hanteringen av personuppgifterna utan på att uppgifterna inte får missbrukas till skada för någons personliga integritet. Behandling av personuppgifter i ostrukturerat material, t.ex. löpande text och enstaka ljud- och bildupptagningar, skall undantas från de flesta av personupp- giftslagens detaljerade hanteringsregler. Sådan behandling skall vara till- låten utan andra restriktioner än att den registrerades personliga integritet inte får kränkas. Personuppgiftslagens bestämmelser om skadestånd skall gälla även för förfaranden i strid med den föreslagna missbruksregeln. Vidare skall det vara straffbart att i strid med missbruksregeln uppsåtligen eller av grov oaktsamhet behandla känsliga personuppgifter och uppgifter om lagöver- trädelser m.m. på ett sätt som kränker den registrerades personliga integ- ritet. Detsamma skall gälla för den som i strid med missbruksregeln för över personuppgifter till tredje land som saknar en adekvat nivå för skyddet av personuppgifter. Straffskalan skall vara densamma som för övriga brott enligt personuppgiftslagen. Gärningar som begås av oaktsamhet av normalgraden skall inte längre vara straffbara. I personuppgiftslagen införs en bestämmelse om att vissa beslut enligt lagen som fattats av myndigheter skall kunna överklagas till allmän för- valtningsdomstol. Prövningstillstånd skall krävas vid överklagande till kammarrätt. 1 Vidare införs ett bemyndigande för regeringen att meddela föreskrifter om sådana undantag som är tillåtna enligt artikel 13.1 i EG-direktivet om personuppgifter. I propositionen görs bedömningen att förslagen är förenliga med EG- direktivet om personuppgifter (95/46/EG). Lagändringarna föreslås träda i kraft den 1 januari 2007. Prop. 2005/06:173 2

Innehållsförteckning

Prop. 2005/06:173

1

Förslag till riksdagsbeslut..................................................................

5

2

Förslag till lag om ändring i personuppgiftslagen (1998:204) ..........

6

3

Ärendet och dess beredning...............................................................

9

4

Allmänt om den rättsliga regleringen av behandling av

personuppgifter..................................................................................

9

4.1

Regeringsformen.................................................................

9

4.2

Europakonventionen .........................................................

10

4.3

EG-direktivet om personuppgifter ....................................

10

4.4

Personuppgiftslagen..........................................................

11

4.5

Europarådets dataskyddskonvention.................................

11

5

Steg mot en missbruksmodell..........................................................

12

5.1

Vad avses med en missbruksmodell respektive

hanteringsmodell? .............................................................

12

5.2

Uttalanden från regeringen och riksdagen i samband med genomförandet av 

EG-direktivet om

personuppgifter.................................................................

12

5.3

Vidtagna åtgärder i syfte att åstadkomma en mer

missbruksinriktad regleringsmodell..................................

13

6

Personlig integritet...........................................................................

14

6.1

Allmänt om begreppet personlig integritet .......................

14

6.2

Särskilt om personlig integritet vid automatiserad

behandling av personuppgifter..........................................

15

6.3

Motstående intressen.........................................................

16

6.4

Integritetsskyddskommittén..............................................

16

7

Några utgångspunkter......................................................................

17

8

Vardaglig behandling av personuppgifter underlättas.....................

18

8.1

Missbruksmodell för personuppgiftsbehandling i

ostrukturerat material ........................................................

18

8.2

Behandlingen får inte innebära en kränkning av den

registrerades personliga integritet .....................................

25

8.3

Förslagets förenlighet med 

EG-direktivet om skydd för

personuppgifter .................................................................

29

8.3.1

Möjligheter till undantag enligt EG-

direktivet .........................................................

29

8.3.2

Missbruksregeln är förenlig med EG-

direktivet .........................................................

31

8.4

Vilka bestämmelser i personuppgiftslagen bör

undantaget omfatta?..........................................................

38

8.5

Skadestånd, straff och tillsyn ............................................

42

9

Övriga förslag

..................................................................................

46

9.1

Avkriminalisering .............................................................

46

9.1.1 ....................................................

Gällande rätt

46

9.1.2

Avkriminalisering av oaktsamhet av

..................................................

normalgraden

47

9.2

Registerutdrag ...................................................................

48

3

9.2.1

Gällande rätt....................................................

48

Prop. 2005/06:173

9.2.2

Ingen ändring av skyldigheten att lämna

registerutdrag avseende behandlingar i

strukturerat material........................................

49

9.3

Överklagande av myndighetsbeslut ..................................

50

9.4

Undantag enligt artikel 13 i 

EG-direktivet om

personuppgifter .................................................................

53

9.4.1

Artikel 13 i EG-direktivet...............................

53

9.4.2

Rätt för regeringen att i fall som avses i

artikel 13 i EG-direktivet föreskriva om

undantag..........................................................

54

10

Ikraftträdande- och övergångsbestämmelser...................................

56

11

Kostnadseffekter..............................................................................

57

12

Författningskommentar ...................................................................

58

Bilaga 1 Sammanfattning av Personuppgiftslagsutredningens

betänkande översyn av personuppgiftslagen (SOU 2004:6) .62

Bilaga 2

Personuppgiftslagsutredningens författningsförslag .............

66

Bilaga 3

Förteckning över remissinstanser (SOU 2004:6) ..................

71

Bilaga 4

Lagrådsremissens lagförslag .................................................

72

Bilaga 5

Lagrådets yttrande .................................................................

75

Utdrag ur protokoll vid regeringssammanträde den 16 mars 2006 .........

80

Rättsdatablad............................................................................................

81

4

1

Förslag till riksdagsbeslut

Prop. 2005/06:173

Regeringen föreslår att riksdagen antar regeringens förslag till lag om ändring i personuppgiftslagen (1998:204). 5

2

Förslag till lag om ändring i personuppgifts-

Prop. 2005/06:173

lagen (1998:204)

Härigenom föreskrivs i fråga om personuppgiftslagen (1998:204) dels att 7, 49 och 51 §§ skall ha följande lydelse, dels att det i lagen skall införas fyra nya paragrafer, 5 a, 8 a, 52 och 53 §§, samt närmast före 5 a och 8 a §§ nya rubriker, av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

Undantag för behandling av per-

sonuppgifter i ostrukturerat ma-

terial

5 a §

Bestämmelserna i 9, 10, 1319,

2126, 28, 33, 34 och 42 §§ behö-

ver inte tillämpas på behandling

av personuppgifter som inte ingår

i eller är avsedda att ingå i en

samling av personuppgifter som

har strukturerats för att påtagligt

underlätta sökning efter eller sam-

manställning av personuppgifter.

Sådan behandling som avses i

första stycket får inte utföras, om

den innebär en kränkning av den

registrerades personliga integritet.

7 § Bestämmelserna i denna lag tillämpas inte i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsför- ordningen eller yttrandefrihetsgrundlagen.

Bestämmelserna i 929 och 33

Bestämmelserna i 5 a, 929 och

44 §§ samt 45 § första stycket och

3344 §§ samt 45 § första stycket

4749 §§ skall inte tillämpas på

och 4749 §§ skall inte tillämpas

sådan behandling av personuppgif-

på sådan behandling av person-

ter som sker uteslutande för jour-

uppgifter som sker uteslutande för

nalistiska ändamål eller konstnär-

journalistiska ändamål eller konst-

ligt eller litterärt skapande.

närligt eller litterärt skapande.

Föreskrifter om undantag från

vissa bestämmelser

8 a §

Regeringen får meddela före-

skrifter om undantag från 9, 2326

och 28 §§ samt 29 § andra stycket

och 42 §, om det är nödvändigt

med hänsyn till

6 Till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år döms den som uppsåtligen eller av oaktsamhet

a)

lämnar osann uppgift i sådan information till registrerade som föreskrivs i denna lag, i anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär information enligt 43 §,

b)

behandlar personuppgifter i strid med 

1321 §§,

c)

för över personuppgifter till tredje land i strid med 

3335 §§, eller

d)

låter bli att göra anmälan en- ligt 36 § första stycket eller enligt föreskrifter meddelade med stöd av 41 §.

a) rikets säkerhet,

Prop. 2005/06:173

b)

försvaret,

c)

allmän säkerhet,

d)

förebyggande, undersökning eller avslöjande av brott eller av överträdelse av etiska regler som gäller för lagreglerade yrken,

e)

åtal för brott,

f)

ett viktigt ekonomiskt eller fi- nansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen,

g)

myndighetsutövning som av- ser tillsyn, inspektion eller regler- ing i fråga om sådant som nämns i 

cf, eller

h)

skyddet av fri- och rättighe-

ter. 49 § 1

Till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år döms den som uppsåtligen eller av grov oaktsamhet

a)

lämnar osann uppgift i sådan information till registrerade som föreskrivs i denna lag, i anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär information enligt 43 §,

b)

behandlar personuppgifter i strid med 

1321 §§,

c)

för över personuppgifter till tredje land i strid med 

3335 §§,

d)

låter bli att göra anmälan en- ligt 36 § första stycket eller enligt föreskrifter meddelade med stöd av 41 §,

e)

behandlar sådana person- uppgifter som avses i 13 och 21 §§

i

strid med 5 a § andra stycket, eller

f)

i strid med 5 a § andra stycket för över personuppgifter till tredje land som inte har en sådan ade- kvat nivå för skyddet av person-

1 Senaste lydelse 1999:1210.

7

uppgifterna som avses i 33 §. I ringa fall döms inte till ansvar. Den som överträtt ett vitesföreläggande enligt 44 § eller 45 § första stycket döms inte till ansvar för en gärning som omfattas av vitesföreläg- gandet. 51 § Tillsynsmyndighetens beslut enligt denna lag om annat än föreskrifter får överklagas hos allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Tillsynsmyndigheten får bestämma att dess beslut skall gälla även om det överklagas. 52 § En myndighets beslut om infor- mation enligt 26 §, om rättelse och underrättelse till tredje man enligt 28 §, om information enligt 29 § andra stycket och om upplysningar enligt 42 § får överklagas hos all- män förvaltningsdomstol. Första stycket gäller inte för be- slut av riksdagen, regeringen eller riksdagens ombudsmän. 53 § Andra beslut enligt denna lag än sådana som avses i 47, 51 och 52 §§ får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. Denna lag träder i kraft den 1 januari 2007. Föreskrifterna i 52 § skall dock inte tillämpas i fråga om överklagande av beslut som har meddelats före ikraftträdandet. Prop. 2005/06:173 8

3

Ärendet och dess beredning

Prop. 2005/06:173

Efter beslut av regeringen den 21 februari 2002 tillkallades en särskild utredare med uppgift att se över personuppgiftslagen (1998:204) i syfte att, inom ramen för EG-direktivet om personuppgifter (Europaparlamen- tets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter), åstadkomma ett regelverk som i större utsträckning än i dag tar sikte på att reglera missbruk av person- uppgifter. I den utsträckning det med hänsyn till EG-direktivet är möjligt med lättnader i hanteringsreglerna skulle utredaren föreslå de bestäm- melser som är nödvändiga för att förhindra missbruk av personuppgifter och andra obefogade intrång i den personliga integriteten. Utredaren skulle också överväga behovet av en ändring i 7 kap. 16 § sekretesslagen (1980:100), som hänvisar till personuppgiftslagen, samt ett förtydligande av hur myndigheters beslut enligt personuppgiftslagen kan överklagas. Utredningen, som antog namnet Personuppgiftslagsutredningen, pre- senterade i januari 2004 betänkandet Översyn av personuppgiftslagen, SOU 2004:6. Utredningens sammanfattning av betänkandet finns i bila- ga 1. Utredningens lagförslag finns i bilaga 2. Utredningens betänkande har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3. En sammanställning av remissvaren finns tillgänglig i Justitiedepartementet (dnr Ju2004/1417/L6). I denna proposition behandlar regeringen bl.a. utredningens förslag till missbruksmodell för viss personuppgiftsbehandling. Utredningens för- slag och bedömningar när det gäller offentlighetsprincipens och sekre- tesslagens förhållande till personuppgiftslagen tas inte upp nu. Regering- en avser att återkomma till de frågorna i ett annat sammanhang. Denna proposition bygger på en överenskommelse mellan den social- demokratiska regeringen, Vänsterpartiet och Miljöpartiet. Lagrådet Regeringen beslutade den 2 februari 2006 att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 4. Lagrådets yttrande finns i bila- ga 5. Lagrådets synpunkter på förslagen behandlas i avsnitt 8 och i för- fattningskommentaren. Regeringen har i allt väsentligt följt Lagrådets förslag. Därutöver har vissa redaktionella ändringar gjorts.

4

Allmänt om den rättsliga regleringen av be- handling av personuppgifter

4.1

Regeringsformen

Den grundläggande bestämmelsen om integritetsskyddet vid automatise- rad behandling av personuppgifter finns i 2 kap. 3 § andra stycket reger- ingsformen. Enligt den bestämmelsen skall varje medborgare i den ut- sträckning som anges i lag skyddas mot att hans eller hennes personliga 9 integritet kränks genom att uppgifter om honom eller henne registreras Prop. 2005/06:173 med hjälp av automatisk databehandling. Sådana integritetsskyddande regler finns huvudsakligen i personuppgiftslagen, genom vilken EG- direktivet om personuppgifter har genomförts.

4.2

Europakonventionen

Den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen) gäller som lag i Sverige. Artikel 8 har betydelse för myndigheters rätt att behandla per- sonuppgifter. Där stadgas att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till vissa uppräknade motstående intressen. Primärt innebär artikel 8 att staten skall avhålla sig från ingrepp i den skyddade rättigheten, utom i de fall som omfattas av de i artikeln före- skrivna undantagen. Artikelns räckvidd är dock inte begränsad i detta avseende utan staten är också i viss mån skyldig att vidta positiva åtgär- der för att skydda den enskildes privata sfär. Sådana positiva åtgärder kan utgöras av lagstiftning men också av skydd mot övergrepp i särskilda situationer.

4.3

EG-direktivet

 om personuppgifter Den 24 oktober 1995 antogs Europaparlamentets och rådets direktiv 95/46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EG- direktivet om personuppgifter). EG-direktivets syfte är att skapa en ge- mensam hög nivå på integritetsskyddet för att därigenom möjliggöra ett fritt flöde av personuppgifter mellan medlemsstaterna. Medlemsstaterna får inom den ram som ges i direktivet närmare precisera villkoren för när personuppgifter får behandlas. Dessa preciseringar får dock inte hindra det fria flödet av personuppgifter inom Europeiska unionen.

EG-direktivet innehåller en rad materiella bestämmelser som reglerar all hantering av personuppgifter och är därmed utformat enligt en s.k. hanteringsmodell (mer om olika regleringsmodeller i avsnitt 5.1). I direk- tivet finns bl.a. generella regler om vilka krav som ställs vid behandling av personuppgifter, när sådan behandling är tillåten, information till den registrerade, rättelse av personuppgifter, säkerheten vid behandlingen och överföring av personuppgifter till tredje land, dvs. till en stat utanför EU och EES.

EG-direktivet gäller inte för sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av EG-rätten, t.ex. statens verksamhet på straffrättens område eller som rör allmän säkerhet och försvar. Det gäller heller inte för sådan behandling av personuppgifter som utförs av en fysisk person som ett led i en verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll. 10

4.4

Personuppgiftslagen

Prop. 2005/06:173

EG-direktivet om personuppgifter har i Sverige genomförts genom bl.a. personuppgiftslagen (prop. 1997/98:44, bet. 1997/98:KU18, rskr. 1997/98:180, SFS 1998:204). Lagen är, liksom EG-direktivet, teknikoberoende och tillämpas på så- väl automatiserad behandling av personuppgifter som på manuell be- handling av personuppgifter om de är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sam- manställning efter särskilda kriterier (manuellt register). Vid genomförandet ansåg regeringen att det inte var möjligt att uppfyl- la skyldigheten att genomföra EG-direktivet på annat sätt än genom att införa en lagstiftning enligt EG-direktivets hanteringsmodell (prop. 1997/98:44 s. 36 ff.). Personuppgiftslagen följer därför i stora delar EG- direktivets text och struktur med följd att lagstiftningen i princip reglerar all hantering av personuppgifter oavsett om hanteringen i det enskilda fallet kan sägas utgöra ett missbruk av uppgifterna och därmed en kränk- ning av den registrerades personliga integritet. I likhet med direktivet gäller personuppgiftslagen inte för sådan be- handling som utförs som ett led i en verksamhet av rent privat natur. Till skillnad från direktivet har personuppgiftslagen däremot gjorts generellt tillämplig på så sätt att den omfattar även sådant som faller utanför EG- rätten. Avvikande bestämmelser i lag eller förordning gäller dock fram- för personuppgiftslagen. Man valde alltså att behålla den sedan datala- gens tid gällande svenska ordningen med en generell skyddslagstiftning och nödvändiga särregler i särskilda författningar. Personuppgiftslagen trädde i kraft den 24 oktober 1998. Enligt lagens övergångsbestämmelser (punkt 2) gällde dock datalagen (1973:289) till och med den 30 september 2001 för sådan automatiserad behandling som påbörjats före personuppgiftslagens ikraftträdande. För viss manuell be- handling av personuppgifter skall vissa bestämmelser i personuppgiftsla- gen inte börja tillämpas förrän den 1 oktober 2007 (punkt 3 i övergångs- bestämmelserna). För sådan behandling har således personuppgiftslagen ännu inte börjat gälla fullt ut.

4.5

Europarådets dataskyddskonvention

Bestämmelser om automatiserad behandling av personuppgifter finns även i Europarådets konvention från 1981 om skydd för enskilda vid au- tomatisk databehandling av personuppgifter (dataskyddskonventionen). Konventionen kan ses som en precisering av skyddet för bl.a. privatlivet enligt artikel 8 i Europakonventionen såvitt avser användning av automa- tisk databehandling. Konventionens tillämpningsområde är enligt huvudregeln automatise- rade personregister och automatisk databehandling av personuppgifter i allmän och enskild verksamhet. Varje konventionsstat kan dock göra vissa allmänna inskränkningar eller utvidgningar i tillämpningsområdet för konventionen i dess helhet. Enligt artikel 9 i konventionen får avvikelser göras från de viktigaste materiella bestämmelserna i konventionen. Sådana avvikelser skall fin- 11 nas i lag och vara nödvändiga i ett demokratiskt samhälle för att bl.a. Prop. 2005/06:173 skydda den registrerades eller andra personers fri- och rättigheter. Dataskyddskonventionens roll i Sverige och i övriga EU har i princip övertagits av dataskyddsdirektivet inom dess tillämpningsområde i och med att direktivet införlivats i medlemsländernas nationella rätt. 5 Steg mot en missbruksmodell

5.1

Vad avses med en missbruksmodell respektive han- teringsmodell?

Begreppen missbruksmodell och hanteringsmodell introducerades i fö- rarbetena till personuppgiftslagen (SOU 1997:39 s. 179 ff. och prop. 1997/98: 44 s. 36 f.). Förenklat uttryckt reglerar en lagstiftning uppbyggd enligt en hanter- ingsmodell själva hanteringen av personuppgifter oavsett om hanteringen kan betecknas som harmlös eller känslig från integritetssynpunkt. Regler- ingen omfattar all användning av personuppgifter oavsett syfte, omfatt- ning och art. I en sådan modell finns därmed regler om hur personuppgif- ter skall hanteras från det att de samlas in till dess de utplånas. En reglering enligt en missbruksmodell koncentrerar sig i stället på så- dant utnyttjande av personuppgifter som kan karakteriseras som ett miss- bruk. Så länge inte personuppgifterna missbrukas på så sätt att den per- sonliga integriteten kränks är behandlingen tillåten. De som förespråkar en sådan modell brukar utgå från att själva hanteringen av personuppgif- terna skall vara i det närmaste fri. Det väsentliga i den modellen blir i stället att identifiera vilken användning av personuppgifter som utgör ett sådant missbruk att den bör förbjudas, dvs. i första hand skadeståndsbe- läggas eller kriminaliseras.

5.2

Uttalanden från regeringen och riksdagen i samband med genomförandet av 

EG-direktivet om personupp- gifter

Vid genomförandet av EG-direktivet konstaterade regeringen att den då

föreslagna hanteringsmodellen framstod som omodern (prop. 1997/98:44

s. 37). Mycket av den användning av personuppgifter som den ökade

datoriseringen har medfört måste enligt regeringen betraktas som harm-

lös. Allt fler medborgare har tillgång till dator samt e-post och annan

kommunikation i världsomspännande nätverk, såsom Internet. Regering-

en ansåg därför att det finns starka skäl att verka för att det blir möjligt

att gå från en lagstiftning efter en hanteringsmodell till en mer miss-

bruksinriktad lagstiftning, dvs. en reglering som mer koncentrerar sig på

att motverka missbruk av personuppgifter.

Även riksdagen har vid flera tillfällen understrukit behovet av dels en

revidering av EG-direktivet, dels en översyn av personuppgiftslagen. I

samband med att riksdagen behandlade motioner från den allmänna mo-

tionstiden 1998 hemställde riksdagen i ett tillkännagivande till regering-

12

en (bet. 1998/99:KU15, rskr. 1998/99:147) att regeringen med kraft bör Prop. 2005/06:173 verka inom EU för att EG-direktivet revideras samt tillse att en översyn av personuppgiftslagen kommer till stånd med syfte att, så långt det är möjligt inom EG-direktivets ram, åstadkomma en förändring av lagstift- ningen i riktning mot ett regelverk som tar sikte på missbruk av person- uppgifter. Riksdagen har därefter vid ett flertal tillfällen hänvisat till sina tidigare uttalanden samt understrukit vikten av att regeringen fortsätter arbetet såväl inom EU som nationellt med att få till stånd en mer miss- bruksinriktad reglering (bet. 1999/2000:KU7, rskr.1999/2000:51, bet. 2000/01:KU19, bet. 2001/02:KU22).

5.3

Vidtagna åtgärder i syfte att åstadkomma en mer missbruksinriktad regleringsmodell

Regeringen har vidtagit en rad åtgärder i syfte att få till stånd en mer missbruksinriktad regleringsmodell. Redan i samband med att person- uppgiftslagen trädde i kraft 1998 gav regeringen Datainspektionen i upp- drag att bl.a. utreda det närmare behovet av att göra undantag från förbu- det i 33 § personuppgiftslagen när det gäller vissa överföringar av per- sonuppgifter till tredje land, t.ex. vid behandling av personuppgifter på Internet. I oktober 1999 lade regeringen fram förslag till ändringar i personuppgiftslagens överföringsregler och straffbestämmelser (prop. 1999/2000:11). Dessa antogs av riksdagen (bet. 1999/2000:KU7, rskr. 1999/2000:51) och trädde i kraft den 1 januari 2000 (SFS 1999:1210). Vidare har regeringen per den 1 januari 2001 ändrat personuppgiftsför- ordningen (1998:1191) för att underlätta för kommuner och landsting att publicera personuppgifter på Internet. Per den 1 oktober 2001 har reger- ingen också gjort ändringar i förordningar för att underlätta dels myndig- heters behandling av känsliga personuppgifter i löpande text, dels arkiv- myndigheternas hantering av bestämmelserna i personuppgiftslagen om registerutdrag. Ett antal s.k. registerförfattningar med modifieringar av bestämmelserna i personuppgiftslagen har också utarbetats. Lagstift- ningsarbetet har sammantaget medfört att skyddet för personuppgifter i högre grad än tidigare inriktas på de förfaranden som medför mer bety- delsefulla integritetsrisker och att lagstiftningen i viss utsträckning kan sägas ha närmat sig en sådan missbruksinriktad regleringsmodell som riksdagen och regeringen förespråkat. Under hösten 2000 presenterade Justitiedepartementet ett utkast med förslag till ändring i EG-direktivet (Ju 2000/4977/L6). Den föreslagna ändringen syftar till en förenklad reglering av skyddet för personuppgif- ter och är inriktad på att förhindra missbruk av sådana uppgifter. Samti- digt bjöd departementet in representanter för riksdagspartierna att ingå i en samrådsgrupp om direktivet. För att få in synpunkter på eventuella tillämpningsproblem som direk- tivet orsakat utarbetade Justitiedepartementet vidare en enkät för en of- fentlig utvärdering av direktivet och utkastet till missbruksmodell. Enkä- ten remitterades till myndigheter, organisationer och företag och kunde också besvaras av var och en via Internet. Enkätsvaren har sammanställts i promemorian EG-direktivet om personuppgifter En offentlig utvärde- ring (Ds 2001:27). Av sammanställningen framgår bl.a. att Justitiedepar- 13 tementets utkast till missbruksmodell fick ett överväldigande positivt Prop. 2005/06:173 gensvar. Den offentliga utvärderingen visade också att det finns en bety- dande osäkerhet om hur nuvarande bestämmelser i personuppgiftslagen skall tillämpas. Åtgärder har också vidtagits på internationell nivå. Således tog bl.a. Sverige initiativ till en seminarieserie med företrädare för EG- kommissionen och medlemsstaterna för att bl.a. diskutera tillämpnings- problem. Sverige har också tagit upp behovet av ändringar mot en mer missbruksinriktad modell inom ramen för Europarådets arbete. Sverige har vidare tillsammans med Storbritannien, Österrike och Fin- land utarbetat förslag till lättnader i direktivet och presenterat dessa för EG-kommissionen i en gemensam skrivelse (dnr EUJu 2002/2852/L6). Sverige har dessutom i olika sammanhang under hand till EG- kommissionen framfört sina önskemål om en revidering av direktivet i riktning mot en missbruksmodell. 6 Personlig integritet

6.1

Allmänt om begreppet personlig integritet

Syftet med personuppgiftslagen är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter (1 §). Begreppet personlig integritet är dock inte definierat i vare sig person- uppgiftslagen eller EG-direktivet. Inte heller på annat håll i svensk lag- stiftning finns det någon definition av begreppet. I olika utredningar (se t.ex. Tvångsmedelskommitténs betänkande Tvångsmedel Anonymitet Integritet [SOU 1984:54 s. 42]) har man med utgångspunkt bl.a. i de grundläggande fri- och rättigheterna i 2 kap. regeringsformen försökt ringa in begreppet genom att skilja mellan den rumsliga integriteten (hemfriden), den materiella integriteten (egendoms- skyddet), den kroppsliga integriteten (skydd för liv och hälsa, mot in- grepp i eller mot kroppen), den personliga integriteten i fysisk mening (skyddet för den personliga friheten och rörelsefriheten) och den person- liga integriteten i ideell mening (skyddet för privatlivet och för person- ligheten inklusive den privata ekonomin). Ett annat sätt att bestämma begreppet den personliga integriteten är en- ligt Stig Strömholm (se Svensk Juristtidning 1971 s. 695 och Individens skyddade personlighetssfär, i Om våra rättigheter. Antologi utgiven av Rättsfonden, 1980) att ange vilka handlingar som kan anses kränka nå- gons integritet. Man kan då dela in kränkningarna i tre huvudgrupper: 1) intrång i en persons privata sfär, oavsett om det sker i fysisk eller annan mening; 2) insamlande av uppgifter om en persons privata förhållanden; 3) offentliggörande eller annan användning (t.ex. som bevisning i en rät- tegång) av uppgifter om en persons privata förhållanden. Uppfattningen om vad som kan sägas omfattas av den personliga in- tegriteten varierar mellan olika människor. Det beror i hög grad på den enskildes subjektiva uppfattning om vad denne anser ingå i den rent per- sonliga sfären. Den enskildes uppfattning kan i sin tur påverkas av t.ex. politisk eller religiös övertygelse. Dessutom förändras inställningen till 14 integritet över tiden. Värderingar påverkas mycket av den tidsålder och Prop. 2005/06:173 det samhälle man lever i. När det gäller uppgifter som är personliga kan det också ha betydelse i vilket sammanhang de används om den enskilde uppfattar det som att hans eller hennes integritet har kränkts eller inte. Trots att det inte finns någon entydig definition av begreppet personlig integritet kan det måhända sägas att kränkning av densamma innebär ett intrång i en fredad sfär som den enskilde bör vara tillförsäkrad och där ett oönskat intrång, såväl psykiskt som fysiskt, bör kunna avvisas.

6.2

Särskilt om personlig integritet vid automatiserad behandling av personuppgifter

Att automatiserad behandling av personuppgifter är omgärdad av vissa regler är av avgörande betydelse för att skyddet av den personliga integ- riteten i ideell mening skall kunna upprätthållas. Sådan behandling av personuppgifter kan innebära särskilda risker ur ett integritetsperspektiv då tekniken gör det möjligt att enkelt såväl samla in och sammanställa stora mängder av personuppgifter som att sprida dem. Vissa faktorer har ansetts särskilt viktiga att ta hänsyn till när det gäll- er att bedöma integritetskänsligheten vid automatiserad behandling av personuppgifter. Det gäller arten av personuppgifter som samlas in och registreras, varför detta görs, hur och av vem uppgifterna används samt mängden av uppgifter som samlas på ett och samma ställe eller som på något annat sätt är tillgängliga för bearbetningar och sammanställningar. Sådana tankegångar kan sägas ligga till grund för de dataskyddsprinciper som utarbetats och som hanteringsreglerna i personuppgiftslagen och EG-direktivet tar sin utgångspunkt i. Vilken reglering och begränsning av användningen av personuppgifter som är nödvändig för att skydda den personliga integriteten kan sägas till stora delar vara en fråga som är beroende av rådande värderingar i sam- hället. Värderingarna i samhället påverkas i sin tur bl.a. av hur informa- tionstekniken uppfattas och används. Detta är emellertid ett dynamiskt område där utvecklingen går snabbt. När myndigheter och andra stora organisationer kunde både ha infor- mation lättillgänglig och bearbeta den automatiserat ökade oron för in- trång i den personliga integriteten och utarbetades som ett svar de data- skyddsprinciper som ligger bakom EG-direktivet.

Utvecklingen av informationstekniken har därefter gått snabbt. Dato- rer, och därmed tekniken att enkelt lagra och bearbeta information, har blivit ett vardagligt arbetsredskap och var mans egendom. Internationella datakommunikationsnätverk, såsom Internet, har utvecklats och fått ett enormt genomslag hos organisationer och enskilda. Dessa nätverk kan användas inte bara för att kommunicera enskilt med anslutna användare utan också som ett lättillgängligt massmedium där vem som helst kan publicera information. Därmed har den grundläggande konflikten mellan integritetsskydd å ena sidan och yttrande- och informationsfrihet å andra sidan accentuerats. 15

6.3

Motstående intressen

Prop. 2005/06:173

Rätten till skydd för den personliga integriteten är inte absolut, utan kan bli föremål för inskränkningar. Skyddet för den personliga integriteten måste vägas mot motstående legitima och grundläggande värden och intressen, såsom yttrandefrihet, informationsfrihet, offentlighet och brottsbekämpning. Man måste beakta de helt legitima behov som finns att använda per- sonanknuten information i ett samhälle av sådan komplexitet som det vi lever i. Utgångspunkten i förarbetena till 1973 års datalag var att skyddet för den personliga integriteten inte kan sträcka sig längre än vad som är möjligt med hänsyn till de krav samhällsgemenskapen uppställer (prop. 1973:33 s. 89). Det förutsattes således att en väl fungerande samhällsor- ganisation alltid kommer att medföra intrång i enskilda individers per- sonliga integritet. Frågan blir då vad som kan tolereras och vad som går utöver det som är acceptabelt eller med andra ord vad som är en kränk- ning av den personliga integriteten och vad som inte är det. Mot bakgrund härav kan man säga att en persons integritet kränks i den mån det sker ett intrång i hans eller hennes privata sfär t.ex. genom att uppgifter om honom eller henne, som det finns rimliga skäl att be- teckna som integritetskänsliga, sprids. Dessa uppgifter kan gälla egen- skaper, uppfattningar eller handlingar. Rätten till personlig integritet kan beskrivas som en prima facie-rättighet. Den är en giltig och välgrundad rättighet som dock i en konkret handlingssituation kan sättas ur spel om den kommer i konflikt med någon annan rättighet som väger tyngre.

6.4

Integritetsskyddskommittén

Regeringen har tillsatt en parlamentariskt sammansatt kommitté, Integri- tetsskyddskommittén (Ju 2004:05), som har i uppdrag att kartlägga och analysera sådan lagstiftning som rör den personliga integriteten och överväga om det vid sidan av befintlig lagstiftning behövs generellt till- lämpliga bestämmelser till skydd för den personliga integriteten och i så fall lämna förslag på en sådan reglering (dir. 2004:51). Bakgrunden till kommitténs uppdrag är att frågan om integritetsskydd i svensk rätt har aktualiserats de senaste åren, bl.a. i samband med debat- ten om en effektiv brottsbekämpning och mot bakgrund av den snabba teknikutvecklingen. Kommittén skall också överväga om grundlagsregeln om integritets- skydd i 2 kap. 3 § andra stycket regeringsformen (RF) bör ändras och i så fall föreslå en ny grundlagsreglering. Enligt den bestämmelsen skall var- je medborgare i den utsträckning som närmare anges i lag skyddas mot att hans personliga integritet kränks genom att uppgifter om honom regi- streras med hjälp av automatisk databehandling. Bestämmelsen slår med andra ord fast att det på det här området skall finnas ett skydd för den personliga integriteten. Till skillnad från vad som gäller enligt de flesta andra fri- och rättighetsregler i 2 kap. RF, ges skyddet i detta fall i vanlig lag och inte i grundlag. Kommittén skall överväga dels om det är lämp- ligt och möjligt att utforma en grundlagsbestämmelse om skyddet för integriteten så att den får samma slags rättsliga betydelse som de flesta 16 andra reglerna i 2 kap. RF, dels om den bör utformas så att den inte hän- Prop. 2005/06:173 visar till något visst tekniskt förfarande, som automatisk databehandling. 7 Några utgångspunkter Rådande värderingar i samhället ger vid handen att personuppgiftslagens hanteringsregler i många fall upplevs som alltför restriktiva och byråkra- tiska i förhållande till det integritetsskydd ett upprätthållande av reglerna kan ge. Detta stöds bl.a. av Justitiedepartementets offentliga utvärdering av reglerna (EG-direktivet om personuppgifter En offentlig utvärde- ring, Ds 2001:27). I takt med att datorer blivit tillgängliga för envar och datoranvändning blivit en vardaglig sak har hanteringsreglerna kommit att framstå som alltmer otidsenliga. När reglerna skall tillämpas varje dag inte bara av regelrätta registerförare och deras specialiserade medhjälpare utan också av så gott som varje anställd samt varje privatperson, så snart fråga inte är om behandling av personuppgifter i en verksamhet av rent privat natur (se 6 § personuppgiftslagen), är det naturligt att söka få till stånd enklare regler som på ett mer konkret sätt skyddar den personliga integriteten. De dataskyddsprinciper som ligger bakom hanteringsreglerna i person- uppgiftslagen och de många särskilda registerförfattningar som anknyter till lagen är emellertid fortfarande i allra högsta grad adekvata och rele- vanta i fråga om hantering av personuppgifter i stora, regelrätta register- strukturer. Det gäller t.ex. de stora databaser med personuppgifter som finns hos myndigheter och större företag, såsom banker och försäkrings- bolag, eller företag som specialiserat sig på registerhantering av person- uppgifter vid t.ex. kreditupplysning eller direkt marknadsföring eller vars verksamhet förutsätter sådan hantering i större skala, t.ex. videouthyr- ning. En modern lagstiftning avseende behandling av personuppgifter bör ut- formas så att den är väl anpassad till den snabba tekniska utvecklingen på framförallt på IT-området. Tekniska landvinningar på IT-området bör inte få medföra att regleringen i vissa delar blir orimlig och svår att till- lämpa och efterleva. Å andra sidan skall regleringen vara så utformad att integritetsskyddet inte försvagas i takt med att tekniken utvecklas. Den alltmer utbredda och sammansmälta användningen av informationsteknik i vardagslivet, särskilt i kombination med lagring, bearbetning och kom- munikation av den information som framkommer, har inneburit nya möj- ligheter att kartlägga individer på ett ibland osynligt sätt. Denna utveck- ling ställer nya krav på den lagstiftning som skall skydda enskilda mot att deras integritet otillbörligen kränks. Ytterst sätter naturligtvis EG-direktivet om personuppgifter en gräns för hur den nationella lagstiftningen på området kan utformas. Det står nu klart att kommissionen inte inom någorlunda överskådlig tid lär komma att presentera några förslag till ändringar av direktivet, se Första rapporten om genomförandet av dataskyddsdirektivet (KOM [2003] 265 slutlig s. 8 f.). Under dessa förutsättningar bör enligt regeringens uppfatt- ning utgångspunkten vara att de möjligheter till undantag från och modi- fieringar av direktivets bestämmelser som finns inbyggda i direktivet 17 självt utnyttjas så långt det är möjligt och att personuppgiftslagen därmed Prop. 2005/06:173 utformas så att den, inom direktivets nuvarande ram, underlättar sådan vardaglig behandling av personuppgifter som typiskt sett inte innefattar några större integritetsrisker. För stora traditionella register och databaser där integritetsriskerna generellt sett är större torde däremot personupp- giftslagens detaljerade hanteringsreglering till stora delar vara både än- damålsenlig och, med hänsyn till direktivet, nödvändig samt heller inte vålla några påtagliga tillämpningsproblem.

8

Vardaglig behandling av personuppgifter un- derlättas

8.1

Missbruksmodell för personuppgiftsbehandling i ostrukturerat material

Regeringens förslag: Behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller samman- ställning av personuppgifter skall omfattas av en missbruksmodell. Utredningens förslag: Överensstämmer med regeringens. Remissinstanserna: Samtliga remissinstanser är positiva till att per- sonuppgiftsregleringen lättas upp. En del remissinstanser, bl.a. Kammar- rätten i Stockholm, Länsrätten i Stockholms län, juridiska fakultetsnämn- den vid Stockholms universitet, Sveriges advokatsamfund, Datainspek- tionen och Skatteverket, påpekar dock att förslaget kommer att medföra gränsdragningsproblem och efterlyser fler exempel på vilka behandlingar av personuppgifter som kommer att omfattas av missbruksregeln och vilka som även fortsättningsvis kommer att omfattas av hanteringsregler- na. Skälen för regeringens förslag En missbruksreglering bör införas Som har konstaterats i föregående avsnitt är det vid behandling av per- sonuppgifter i personuppgiftsanknutna registerstrukturer, t.ex. traditio- nella myndighetsregister och stora ärendehanteringssystem där man en- kelt kan söka efter och sammanställa personuppgifter, som hanterings- reglerna i EG-direktivet om personuppgifter och i personuppgiftslagen har ett särskilt berättigande på grund av de integritetsrisker som normalt är förknippade med sådan behandling. Sedan direktivet utarbetades i början och mitten av 1990-talet har emellertid teknikutvecklingen gått starkt framåt. Reglerna kan inte anses anpassade för den i dag utbredda användningen av datoriserad informa- tionsteknik för ostrukturerad vardagshantering och kommunikation som vanligtvis är helt harmlös ur ett integritetsperspektiv. När personuppgif- terna inte ingår i en personuppgiftsanknuten registerstruktur utan finns i ostrukturerad form, t.ex. i löpande text och i form av enstaka ljud- och 18 bildupptagningar, är det texten, ljudet eller bilden som är det centrala och inte möjligheterna att söka efter och sammanställa ett stort antal person- uppgifter. Fokus ligger på att sprida information, väcka debatt och kom- municera med andra. Vid sådan behandling gör sig därmed informations- och yttrandefrihetsintressen extra tydligt gällande och skyddet för den personliga integriteten måste vägas mot sådana motstående intressen i större utsträckning än vid behandling av personuppgifter i traditionella register och databaser. Man kan, som bl.a. Radio- och TV-verket och Sve- riges Television AB gjort, med visst fog hävda att hanteringsreglerna i vissa fall kan hämma yttrandefriheten bl.a. eftersom det inte sällan upp- står osäkerhet om hur de skall tillämpas. Behandling av personuppgifter kan givetvis även i ett ostrukturerat ma- terial innebära en kränkning av den personliga integriteten eller medföra risk för en sådan kränkning i ett enskilt fall. Vid behandling av person- uppgifter som inte finns i en tydligt personuppgiftsanknuten register- struktur framstår emellertid hanteringsreglerna som alltför omfattande och byråkratiska med hänsyn bl.a. till att integritetsriskerna normalt är mindre och till de informations- och yttrandefrihetsintressen som gör sig gällande. Som både utredningen och en del remissinstanser framhållit är det heller inte realistiskt att tro att hanteringsreglerna i praktiken tilläm- pas i någon större utsträckning vid vardaglig, ostrukturerad hantering av personuppgifter. Man riskerar därmed att de grundläggande och viktiga dataskyddsprinciperna råkar i vanrykte och inte tillämpas ens vid sådan strukturerad behandling av personuppgifter där de är nödvändiga för in- tegritetsskyddet. Mot bakgrund av detta skulle enligt regeringens bedöm- ning integritetsskyddet i praktiken stärkas om man undantar typiskt sett mindre riskfylld behandling från hanteringsreglernas tillämpningsområde och i stället skapar enklare regler som direkt tar sikte på skydd mot miss- bruk av personuppgifter. Sammanfattningsvis talar enligt regeringens mening en rad omständig- heter för att personuppgiftsregleringen bör lättas upp för sådan vardaglig behandling av personuppgifter som typiskt sett inte innebär några större risker för kränkningar av de registrerades personliga integritet. Exakt vilka av hanteringsreglerna i personuppgiftslagen som det med hänsyn till EG-direktivet är möjligt att göra undantag från behandlas i avsnitt 8.4. Avgränsningsfrågor inledning Frågan är då hur man avgränsar det slag av personuppgiftsbehandlingar som bör undantas från hanteringsreglernas tillämpningsområde. Utred- ningen har funnit att avgränsningen bör knytas till materialets struktur eftersom det är just struktureringen av ett material med avseende på per- sonuppgifter som kan innebära särskilda integritetsrisker. Remissinstan- serna har inte haft något att invända mot den föreslagna avgränsningen i sig, men påtalat att frågan inte är okomplicerad och att förslaget kan leda till nya tillämpningsproblem. Ingen har dock hävdat att dessa potentiella problem bör leda till att förslaget inte genomförs. Regeringen ansluter sig till utredningens bedömning att det bör vara materialets struktur som bildar utgångspunkt för vad som skall omfattas av ett undantag från hanteringsreglerna. Precis som utredningen själv och Prop. 2005/06:173 19 många remissinstanser framhållit är emellertid ett sådant förslag inte helt oproblematiskt. Allt som finns i digital form i t.ex. datorer är i någon mening strukturerat och utvecklingen går mot att struktureringen omfat- tar allt mer och blir mer automatiserad och avancerad. Den tekniska ut- vecklingen på området medför att det inte är möjligt att ange absolut fas- ta ramar och kriterier för vad som skall omfattas av en missbruksregel. Varje avgränsning som görs måste bli föremål för utveckling och an- passning i rättstillämpningen. Till detta kommer att lagstiftningen bör utformas så att den inte i takt med den tekniska utvecklingen blir orimlig eller svår att tillämpa och efterleva. Å andra sidan bör naturligtvis lagstif- taren ge så mycket vägledning som möjligt. Lagstiftningen måste vara förutsebar för den enskilde särskilt mot bakgrund av att överträdelser kan leda till såväl skadeståndsansvar som, i vissa begränsade fall, straffansvar (se vidare i avsnitt 8.5). Regeringen vill heller inte utesluta att lagstift- ningen efter en tid måste ses över i ljuset av den tekniska utvecklingen. Problemen skall dock inte överdrivas. Till skillnad från Lagrådet menar regeringen att förslaget inte kommer att medföra påtagliga problem från rättssäkerhetssynpunkt, även om gränsdragningen i vissa enskilda fall inte kommer att vara självklar. Man kan, som bl.a. Länsrätten i Stock- holms län framhållit, utgå från att även om gränsdragningen inte är helt lätt att göra torde det i många fall vara ännu svårare för den enskilde att tillämpa hanteringsreglerna på ostrukturerat material. Som kommer att framgå av det följande har den föreslagna missbruksregeln vidare ett tyd- ligt och klart avgränsat kärnområde som torde göra den enkel att tillämpa i praktiken i de allra flesta fall. Till detta kommer att Datainspektionen, i sin egenskap av tillsynsmyndighet, har en viktig funktion att fylla genom att i allmänna råd och annan vägledning konkretisera tillämpningen av regeln. Nedan kommer regeringen att mot bakgrund av de tekniska tillämp- ningar som är mera allmänt förekommande i dag ange dels utgångs- punkter för bedömningen av vad som skall omfattas av en s.k. missbruks- regel, dels några exempel på sådant. Personuppgiftsanknuten struktur Avgränsningen bör alltså knytas till materialets struktur. Behandling av personuppgifter som ingår i en struktur, t.ex. ett regelrätt register eller en databas, bör omfattas av hanteringsreglerna, medan behandling av övriga personuppgifter undantas. Dock bör inte varje strukturering av ett mate- rial med personuppgifter innebära att hanteringsreglerna skall tillämpas på behandlingen av personuppgifterna i materialet. Som konstaterats i det föregående är allt som finns i digital form i t.ex. datorer i någon mening strukturerat. En generell strukturering av ett material bör mot bakgrund härav inte medföra att hanteringsreglerna skall tillämpas. Med generell strukturering avser regeringen, i likhet med utredningen, att ett material har strukturerats, t.ex. genom indexering, med avseende på flera olika slags uppgifter utan att just personuppgifter har markerats som sådana. Enbart det förhållandet att alla teckensträngar i t.ex. ordbehandlingsdo- kument på en eller flera hårddiskar har indexerats eller enkelt kan index- eras bör exempelvis inte medföra att hanteringsreglerna blir tillämpliga. Prop. 2005/06:173 20 Ett annat exempel är s.k. sökmotorer på Internet där teckensträngar m.m. i material som finns tillgängligt på Internet indexeras. Indexering som tar sikte på just personuppgifter, dvs. en märkning av att vissa uppgifter är just personuppgifter, t.ex. ett personnamn eller ett personnummer, innebär dock att en personuppgiftsanknuten struktur ska- pats. Då har man skapat en registerstruktur avseende, inte alla tecken- strängar eller vilka teckensträngar som helst utan just personuppgifter. För att hanteringsreglerna skall bli tillämpliga bör det krävas att det finns en tydlig personuppgiftsanknuten struktur. Det är fråga om en personuppgiftsanknuten struktur om materialet, t.ex. det som ingår i ett dokument- och ärendehanteringssystem, har strukturerats för att underlätta sökning efter och sammanställning av just personuppgifter. Det är fallet om det i ett register eller i en databas finns fält där just personuppgifter har fyllts i, exempelvis fält för namn, per- sonnummer, avsändare och handläggare. Med personuppgiftsanknuten struktur avses alltså att ett material har strukturerats så att just person- uppgifter har markerats som sådana; dessutom kan flera andra slags upp- gifter i materialet ha markerats. En avgränsning som enbart tar hänsyn till om struktureringen av ett material är personuppgiftsanknuten eller inte är förhållandevis enkel att förstå och tillämpa. En sådan avgränsning är emellertid inte tillräcklig, eftersom den skulle medföra att alltför mycket av harmlös eller inte per- sonuppgiftsinriktad behandling skulle omfattas av hanteringsreglerna. Varje personuppgiftsanknuten strukturering av ett material bör därför inte innebära att hanteringsreglerna måste tillämpas på behandlingen av personuppgifter i materialet. För att så skall vara fallet bör krävas att den personuppgiftsanknutna struktureringen av materialet har uppnått en viss nivå eller kvalitet. Som utredningen har föreslagit bör materialet ha strukturerats för att påtagligt underlätta sökning efter eller sammanställ- ning av just personuppgifter för att missbruksregeln inte skall vara till- lämplig. Det är med hänsyn till den tekniska utvecklingen och det förhål- landet att datortekniken kommer till allmän användning på allt fler områ- den svårt att uttömmande ange fasta hållpunkter för vilken nivå eller kva- litet på den personuppgiftsanknutna struktureringen som bör krävas för att hanteringsreglerna skall behöva tillämpas. Avsikten är att sådant som inte framstår som något regelrätt personregister eller någon annan form av system, som upprättats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter, skall vara undantaget från han- teringsreglerna. Det är främst ett par olika typer av personuppgiftsanknuten strukture- ring som kan anföras som exempel på vad som inte bör medföra att han- teringsreglerna behöver tillämpas. Den första gäller enkel personupp- giftsanknuten strukturering. Den andra gäller utnyttjande av allmänt an- vända funktioner där den personuppgiftsanknutna struktureringen inte framstår som särskilt kvalificerad. Enkel personuppgiftsanknuten struktur Med enkel personuppgiftsanknuten strukturering avses sådana situationer där datorteknikens fördelar i fråga om strukturering i förhållande till ma- nuell hantering egentligen inte har använts. I dessa fall gör sig också in- Prop. 2005/06:173 21 formations- och yttrandefrihetsintressena särskilt gällande. Det kan t.ex. handla om en lista med personuppgifter som skrivits in i bokstavsordning i ett ordbehandlingsdokument eller på en webbsida. Har personuppgifter- na inte strukturerats på annat sätt än att de registrerats så att de står i en viss ordning (eventuellt under olika rubriker) bör det anses vara fråga om en enkel personuppgiftsanknuten strukturering som bör vara undantagen från hanteringsreglerna. Det kan exempelvis handla om att en förening presenterar en lista på medlemmarna i styrelsen på sin hemsida eller att en kommun på sin hemsida listar vilka som innehar kommunala förtro- endeuppdrag. Sedvanligt utnyttjande av allmänt använda funktioner I fråga om sedvanligt utnyttjande av allmänt använda funktioner där den personuppgiftsanknutna struktureringen inte framstår som särskilt kvali- ficerad handlar det om sedvanligt utnyttjande av vardagsfunktioner där det med hänsyn till informations- och yttrandefrihetsintressena inte är rimligt att hanteringsreglerna skall behöva tillämpas. Mot bakgrund av dagens situation kan man exempelvis identifiera två typer av personupp- giftsanknuten strukturering som inte bör medföra att hanteringsreglerna behöver tillämpas. Den första situationen gäller sedvanlig användning av datorns fil- system. Det är inte ovanligt att en användare systematiskt namnger filer och mappar eller kataloger i datorns filsystem med hjälp av personupp- gifter. Det kan t.ex. handla om en mapp med ett personnamn som inne- håller filer med korrespondens i datumordning med den aktuella perso- nen eller att filer som berör en person namnges efter dennes namn. I så- dana fall har man skapat ett system för personuppgiftsanknuten strukture- ring som dock inte bör medföra att hanteringsreglerna behöver tillämpas på personuppgifterna i materialet. Vad som nu sagts bör dock inte gälla om filerna (oavsett hur de har namngetts) i sig ingår i ett mer kvalificerat system för personuppgiftsanknuten strukturering, t.ex. ett kvalificerat dokument- eller ärendehanteringssystem; det avgörande är då vilka regler som är tillämpliga på behandlingen av personuppgifter i det systemet. Den andra situationen gäller sedvanlig användning av datorstödd kommunikation. Vid sådan kommunikation är det oftast på grund av tek- nikens inneboende egenskaper nödvändigt att registrera uppgifter om såväl mottagare som avsändare, annars kan kommunikationen inte för- medlas. Dessa uppgifter utgör för det mesta personuppgifter som auto- matiskt hamnar i en personuppgiftsanknuten struktur som gör det lätt för användaren att söka fram t.ex. meddelanden. Ett exempel utgör e- postprogram. Genom ett enkelt handgrepp kan man som regel få fram de meddelanden som sänts till eller mottagits från en viss person eller i vart fall dennes e-postadress, vilken uppgift normalt utgör en personuppgift. En enskild medarbetares egen sedvanliga användning av t.ex. e- postprogram för sin kommunikation bör dock inte medföra att hanter- ingsreglerna behöver tillämpas. Vad som nu sagts bör dock inte gälla om meddelandena ingår i ett mer kvalificerat system för personuppgiftsan- knuten strukturering, t.ex. ett dokument- eller ärendehanteringssystem; det avgörande är då vilka regler som är tillämpliga på behandlingen av personuppgifter i det systemet. Man kan utgå från att vid exempelvis Prop. 2005/06:173 22 marknadsföring ingår personuppgifterna i praktiken alltid i ett sådant system som medför att hanteringsreglerna skall tillämpas på den behand- lingen. Det bör också framhållas att de loggfiler med uppgifter om me- darbetarnas kommunikation som en organisation kan spara inte avses med det som nu sagts. Avsikten är att undanta medarbetarnas egen sed- vanliga användning av datorstödd kommunikation, inte att undanta orga- nisationens registrering av medarbetarnas kommunikation. Helheten är avgörande Det är således bara behandling av personuppgifter i ett material som har en personuppgiftsanknuten strukturering som når upp till en viss nivå eller kvalitet som bör omfattas av hanteringsreglerna. Om materialet som sådant, dvs. hela samlingen av uppgifter, har strukturerats så att hanter- ingsreglerna är tillämpliga, skall hanteringsreglerna tillämpas vid be- handling av alla personuppgifter strukturerade och ostrukturerade som finns i materialet oavsett om vissa personuppgifter i materialet inte har strukturerats. Personuppgifterna kan nämligen finnas t.ex. i ordbe- handlingsdokument, i inskannade dokument och i ljud- och bildupptag- ningar som i och för sig kan vara ostrukturerade men som ingår i den strukturerade samlingen av uppgifter, t.ex. ett ärendehanteringssystem. Det är själva samlingen av uppgifter som skall vara strukturerad på visst sätt, inte varje personuppgift eller handling som ingår i samlingen. I ex- empelvis ett försäkringsbolags ärendehanteringssystem avseende enskil- da personers försäkringar kan det ingå ordbehandlingsdokument eller e- post med korrespondens med den försäkrade eller annan samt inskannade läkarintyg m.m. och genom en enkel sökning på den försäkrades namn kan alla dessa dokument och andra personuppgifter som strukturerats sammanställas. I ett sådant fall skall självfallet hanteringsreglerna tilläm- pas vid behandling av alla personuppgifter oavsett vilken person t.ex. den försäkrade, läkaren eller försäkringshandläggaren uppgifterna rör. En del remissinstanser har tagit upp frågan om vilka regler ett elektro- niskt diarium och de däri registrerade handlingarna bör vara underkasta- de. Svaret är, enligt regeringens mening, i viss mån beroende av om de registrerade handlingarna är elektroniskt knutna till diariet eller inte. Som exempel kan tas en myndighets diarium över allmänna handlingar, vari det enligt 15 kap. 2 § sekretesslagen (1980:100) skall anges t.ex. från vem handlingen har kommit in eller till vem den har expedierats. Efter- som ett sådant diarium är strukturerat bl.a. med avseende på just person- uppgifter, och får anses ha konstruerats för att påtagligt underlätta sök- ning efter just personuppgifter, torde det inte råda något tvivel om att det omfattas av hanteringsreglerna. De handlingar som innehåller person- uppgifter och som registrerats i diariet omfattas också av hanteringsreg- lerna såvida de är elektroniskt åtkomliga via själva diariet. Om det där- emot inte finns någon elektronisk koppling mellan diariet och handling- arna kan dessa inte anses omfattade av hanteringsreglerna enbart av den anledningen att de finns omnämnda där. Ett sådant resonemang kan ap- pliceras också på elektroniska dokument- och ärendehanteringssystem hos t.ex. företag och organisationer. Så länge de enskilda dokumenten kan sägas ingå i det strukturerade och elektroniska systemet (databasen) omfattas all behandling av personuppgifter i dessa dokument av hanter- Prop. 2005/06:173 23 ingsreglerna. Detta gäller även de dokument som ännu inte infogats i systemet (databasen) och som kanske ännu befinner sig endast i en me- darbetares dator, men som är avsedda att sedermera infogas i databasen, t.ex. utkast till beslut, brev etc. Det förtjänar vidare påpekas att om vissa personuppgifter är underkas- tade hanteringsreglerna, t.ex. på grund av att de ingår i ett kvalificerat ärendehanteringssystem eller ett regelrätt register, är det hanteringsreg- lerna som avgör om uppgifterna får lämnas ut därifrån för att användas, av tredje man eller den personuppgiftsansvarige själv, i löpande text och annat sådant ostrukturerat material som omfattas av den föreslagna miss- bruksregeln. Hur personuppgifterna får behandlas när de i sådana fall väl lämnats ut avgörs av missbruksregeln, dvs. uppgifterna får inte behandlas på ett sådant sätt att den registrerades personliga integritet kränks. När det gäller att avgöra vad som ingår i det strukturerade materialet, själva samlingen av uppgifter får man, som utredningen har framhållit, anlägga ett naturligt, i bemärkelsen praktiskt, betraktelsesätt. Eftersom det krävs att materialet har strukturerats ligger det i sakens natur att strukturen har sina gränser, dvs. att materialet utgörs av en på något sätt avgränsad mängd uppgifter (de uppgifter som med hjälp av strukturen kan hänföras till varandra). Då det också krävs att struktureringen är per- sonuppgiftsanknuten, ingår helt enkelt alla de uppgifter som kan hänföras till de strukturerade personuppgifterna. Det får överlämnas till rättstil- lämpningen att med ledning av ett praktiskt betraktelsesätt från fall till fall bedöma vilka uppgifter som kan hänföras till de strukturerade per- sonuppgifterna. Kort sammanfattning av vad som bör omfattas av en missbruksregel Sammanfattningsvis innebär förslaget att hanteringsreglerna i person- uppgiftslagen inte behöver tillämpas på sådan vardaglig hantering som produktion av löpande text i ordbehandlingsprogram, publicering av lö- pande text på Internet, användning av ljud- och bildupptagningar och korrespondens med e-post under förutsättning att materialet inte ingår i eller skall infogas i en databas med en personuppgiftsanknuten struktur såsom ett ärendehanteringssystem. Den som i sin dator vill hantera per- sonuppgifter i löpande text, t.ex. enkla meddelanden eller kortare och längre texter, eller i ljud och bild eller i e-post behöver således normalt inte tillämpa hanteringsreglerna i personuppgiftslagen. Detta kan sägas utgöra vad som inledningsvis benämndes som missbruksregelns kärnom- råde. Om man vill infoga materialet i någon form av databas behöver man dock göra ytterligare överväganden. Har databasen en personupp- giftsanknuten struktur, där just personuppgifter har markerats som såda- na, måste hanteringsreglerna tillämpas. Ett införande av en missbruksregel innebär naturligtvis inte att man skulle vara förhindrad att tillämpa hanteringsreglerna på en behandling av personuppgifter som i och för sig ryms inom missbruksregelns till- lämpningsområde. Om någon i ett enskilt fall är osäker på om hans eller hennes behandling av personuppgifter omfattas av det föreslagna undan- taget står det givetvis honom eller henne fritt att i stället välja att tillämpa hanteringsreglerna. Som utredningen har påpekat kan det nämligen inte Prop. 2005/06:173 24 anses vara fråga om ett missbruk av personuppgifterna om hanteringsreg- Prop. 2005/06:173 lerna faktiskt har följts.

8.2

Behandlingen får inte innebära en kränkning av den registrerades personliga integritet

Regeringens förslag: Behandling av personuppgifter i ostrukturerat material får inte utföras om den innebär en kränkning av den registre- rades personliga integritet. Utredningens förslag: Överensstämmer i sak med regeringens. Ut- redningen har dock föreslagit att rekvisitet otillbörligt intrång i den per- sonliga integriteten används. Remissinstanserna: En majoritet av remissinstanserna har inte haft något att invända mot utredningens förslag. Såväl Länsrätten i Stock- holms län som Justitiekanslern har haft vissa invändningar mot det före- slagna rekvisitet otillbörligt intrång i den personliga integriteten. Data- inspektionen påpekar att det kan bli en svår och känslig uppgift för in- spektionen att avgöra om en behandling av personuppgifter innebär ett otillbörligt intrång i den personliga integriteten. Juridiska fakultetsnämn- den vid Stockholms universitet menar att det är problematiskt att tillåtlig- heten av en stor del av alla personuppgiftsbehandlingar kommer att sty- ras av ett begrepp med så oklar innebörd som personlig integritet. Skälen för regeringens förslag Hur bör ett skydd för den personliga integriteten utformas? Att regeringen gjort bedömningen att behandling av personuppgifter i ostrukturerat material inte bör omfattas av hanteringsreglerna i person- uppgiftslagen innebär givetvis inte att regeringen anser att sådan behand- ling bör vara oreglerad. För det första skulle en sådan ordning inte vara förenlig med vare sig EG-direktivet om personuppgifter eller artikel 8 i Europakonventionen (se avsnitt 4.2). En sådan ordning skulle heller inte vara önskvärd med hänsyn till det allmänna samhälleliga intresset och behovet av att skydda enskilda mot kränkningar av deras personliga in- tegritet. Det råder nämligen ingen tvekan om att behandling av person- uppgifter också i ett ostrukturerat material kan innebära en sådan kränk- ning, även om risken för kränkningar är mindre än när den digitala tekni- kens särskilda möjligheter till sammanställning, strukturering och sprid- ning av en stor mängd personuppgifter utnyttjas. Som beteckningen på den lagstiftningsmodell missbruksmodell som regeringen föreslagit antyder, måste det alltså även vid behandling av personuppgifter i ostrukturerat material finnas regler som skyddar den enskilde mot att hans eller hennes personuppgifter missbrukas. Regeringen delar utredningens bedömning att det inte är vare sig möj- ligt eller lämpligt att i lagen införa en uttömmande uppräkning av alla de fall av behandling av personuppgifter som kan utgöra missbruk av per- sonuppgifter och därmed en kränkning av en enskilds personliga integri- tet. Ingen remissinstans har heller redovisat någon annan uppfattning. 25 Vad som är tillåtet eller inte tillåtet bör i stället styras av en allmän be- stämmelse till skydd mot missbruk. Utredningen har valt att uttrycka det så att sådan behandling som un- dantas från hanteringsreglerna får utföras endast om den inte innebär ett otillbörligt intrång i den personliga integriteten. Såväl Justitiekanslern som Länsrätten i Stockholms län har haft invändningar mot det föreslag- na rekvisitet. Justitiekanslern har påtalat att skadestånd för otillbörligt intrång i den personliga integriteten är en nyhet i svensk rätt. Länsrätten i Stockholms län har å sin sida framhållit att det inte är lämpligt att an- vända sig av det begreppet eftersom motsvarande begrepp fanns i datala- gen och samma innebörd nu inte är avsedd. Regeringen kan väsentligen instämma i dessa invändningar. Som framgår av 1 § personuppgiftslagen är syftet med lagen att skydda människor mot att deras personliga integri- tet kränks genom behandling av personuppgifter. Vidare skall enligt 48 § i lagen skadestånd utgå för bl.a. kränkning av den personliga integriteten. Mot bakgrund härav framstår det som naturligt att knyta utformningen av missbruksregeln närmare till vad som är det grundläggande syftet med lagstiftningen, nämligen att skydda mot kränkningar. Missbruksregeln bör därför enligt regeringens mening utformas så att behandling av per- sonuppgifter som innebär en kränkning av den registrerades personliga integritet inte får utföras. Någon skillnad i sak jämfört med utredningens föreslagna formulering är inte avsedd. Vad kan utgöra en kränkning av den personliga integriteten? Innan regeringen övergår till att utveckla vad som kan utgöra en kränk- ning av den registrerades personliga integritet bör det slås fast att avsik- ten med den föreslagna regleringen inte är att automatiserad personupp- giftsbehandling skall bedömas som en kränkning av den personliga integ- riteten och därmed en överträdelse av personuppgiftslagen i större ut- sträckning än i dag. Förutom att en sådan ordning skulle kunna hävdas vara en omotiverad inskränkning av informations- och yttrandefriheten och strida mot det grundläggande syftet med att införa en missbruksre- glering, skulle den också strida mot EG-direktivet om personuppgifter vars syfte är tvåfalt; dels att skydda fysiska personers privatliv, dels att främja det fria flödet av personuppgifter inom EU. Sverige får inte upp- ställa högre krav på behandlingen av personuppgifter eller tillåta mindre än vad EG-direktivet ger utrymme för eftersom detta skulle innebära en otillåten inskränkning av det fria flödet av personuppgifter. Som framgår av avsnitt 6.1 finns det inte i svensk lagstiftning någon definition av begreppet personlig integritet. Det är svårt att formulera en entydig och allmänt accepterad definition av begreppet. Regeringen finner inte anledning att i detta lagstiftningsärende söka slå fast en sådan definition. Mycket skulle heller inte vara vunnet med detta om man inte samtidigt kunde fastställa t.ex. vilka beståndsdelar av den personliga in- tegriteten som bör skyddas, under vilka omständigheter så bör ske och i vilken omfattning. Detta är inte möjligt att göra på ett generellt plan utan man är hänvisad till att på mer eller mindre kasuistisk basis ta ställning till vad som omfattas av det skyddsvärda området. Det ligger i sakens natur att tillämpningen av en bestämmelse som den föreslagna får bygga på en intresseavvägning där den registrerades intresse av en fredad, pri- Prop. 2005/06:173 26 vat, sfär vägs mot andra motstående intressen i det enskilda fallet. Detta ligger också i linje med vad EG-domstolen uttalat i det s.k. konfirmand- lärarmålet (dom den 6 november 2003 i mål C-101/01, REG. 2003 s. I- 12971) om att det åligger de nationella myndigheterna och domstolarna att vid tolkning av de bestämmelser som genomför EG-direktivet i natio- nell lagstiftning göra en avvägning mellan olika intressen och inte grunda sig på en tolkning som skulle stå i strid med bl.a. de grundläggande rät- tigheter som skyddas genom gemenskapernas rättsordning. Som utgångspunkt för bedömningen av om en behandling av person- uppgifter innebär en kränkning av den registrerades personliga integritet kan tas bestämmelserna om grundläggande krav i 9 § och om när be- handling av personuppgifter är tillåten i 10 § personuppgiftslagen. Har dessa bestämmelser följts, trots att de i och för sig inte är tillämpliga på behandlingen, kan behandlingen inte betraktas som en kränkning. Det kan i vissa fall gälla även om behandlingen har omfattat känsliga person- uppgifter. Över huvud taget bör graden av känslighet hos de personupp- gifter som behandlas vara bara en faktor bland flera som bör beaktas vid en samlad bedömning. Omnämnandet t.ex. av att person A är förkyld och därför hemma från arbetet innefattar behandling av känsliga personupp- gifter (13 §, uppgift om hälsa) och skulle enligt nuvarande regler bedö- mas som en överträdelse av personuppgiftslagen för det fall inte någon av undantagssituationerna i 1419 §§ är för handen. Detta torde ytterst sällan, om ens i något fall, kunna bedömas som en kränkning av den re- gistrerades personliga integritet enligt den föreslagna missbruksregeln ens om uppgiften sprids via Internet. Bedömningen av vad som är en kränkning skall alltså inte göras schablonartat enbart utifrån vilka uppgifter som behandlas utan måste även ta sin utgångspunkt i t.ex. vilket sammanhang uppgifterna före- kommer, för vilket syfte de behandlas, vilken spridning de har fått eller har riskerat att få samt vad behandlingen kan leda till. Om uppgifter samlas in eller annars behandlas med syfte att förfölja el- ler skandalisera en person, får behandlingen givetvis anses innebära en kränkning av den personliga integriteten. Det kan exempelvis gälla pub- licering på Internet av bilder på en f.d. pojk- eller flickvän i eller utan badkläder eller av rent personliga detaljer om dennes beteende. Ett annat exempel som kan anföras är behandling, i form av t.ex. spridning, av uppgifter om meningsmotståndare i syfte att möjliggöra angrepp på dessa på grund av t.ex. deras politiska uppfattning, sexuella läggning eller et- niska ursprung. En enskild person torde ofta ha rätt att kräva att ingen har en i det när- maste fullständig kunskap om honom eller henne. Redan det förhållandet att en personuppgiftsansvarig samlar en stor mängd uppgifter om en per- son utan något godtagbart ändamål måste därför oftast ses som en kränk- ning av den personliga integriteten. Som exempel kan tas en hyresvärd som närmast av nyfikenhet samlar bilder på och anteckningar i löpande text om iakttagelser av en hyresgäst. Vidare får det oftast anses innebära en kränkning av den registrerades personliga integritet om den personuppgiftsansvarige medvetet behandlar personuppgifter som är klart felaktiga eller missvisande. Om skälet till att personuppgifterna behandlas i ostrukturerad form är att kringgå hanteringsreglerna för att på så sätt få behandla t.ex. uppgifter Prop. 2005/06:173 27 om lagöverträdelser, som man annars inte fått behandla, bör det med hänsyn till omständigheterna, t.ex. mängden uppgifter och syftet med behandlingen, kunna vara att betrakta som ett missbruk i missbruksre- gelns mening. De angivna riktlinjerna är relevanta inte bara för intern hantering hos den personuppgiftsansvarige utan också vid spridning av personuppgifter i automatiserad form. Riktlinjerna ger exempelvis skydd mot spridning utan godtagbart skäl av en stor mängd uppgifter om en person och mot medveten spridning av uppgifter som är klart felaktiga eller missvisande. Vad man dessutom skulle kunna överväga är om det behövs skydd mot spridning dels av uppgifter som innebär ett angrepp på någons heder och ära, dels av förtroliga eller djupt personliga uppgifter. I fråga om angrepp på annans heder och ära finns det redan allmängil- tiga regler om förtal och förolämpning. Förtal innebär enligt 5 kap. 1 § första stycket brottsbalken att utpeka någon som brottslig eller klander- värd i sitt levnadssätt eller annars lämna uppgift som är ägnad att utsätta denne för andras missaktning. Enligt andra stycket i samma paragraf skall det dock inte dömas för förtal, om den som lämnat uppgifterna var skyldig att uttala sig eller det annars med hänsyn till omständigheterna var försvarligt att lämna denna uppgift i saken och han eller hon dessut- om visar att uppgiften var sann eller att han eller hon hade skälig grund för den. Förolämpning innebär enligt 5 kap. 3 § brottsbalken att smäda annan genom kränkande tillmäle eller beskyllning eller genom annat skymfligt beteende mot denne. En spridning av personuppgifter som innebär förtal eller förolämpning är givetvis att betrakta som en kränkning av den personliga integriteten i den föreslagna missbruksregelns mening. Regeringen delar utredningens bedömning att det härutöver inte behövs några särskilda regler till skydd mot angrepp på heder och ära vid just automatiserad behandling av per- sonuppgifter i ostrukturerat material. Beträffande spridning av förtroliga eller djupt personliga uppgifter finns det redan i viss utsträckning författningsbestämmelser och etiska regler eller motsvarande som föreskriver tystnadsplikt i fråga t.ex. om uppgifter om personliga förhållanden. Dessa regler kan sägas ge uttryck för vilka förhållanden som bör hemlighållas. En spridning av personupp- gifter som innebär brott mot sådana bestämmelser och riktlinjer bör i de flesta fall anses utgöra en kränkning av den personliga integriteten i missbruksregelns mening. Något allmänt skydd mot spridning genom automatiserad behandling eller på annat sätt, t.ex. manuellt eller muntligen av förtroliga eller djupt personliga uppgifter, som inte innebär förtal, finns däremot inte utan här råder det öppenhet, yttrande- och informationsfrihet. Det finns enligt regeringens mening inte anledning att i det här sammanhanget se annorlunda på automatiserad spridning av sådana personuppgifter i ostrukturerat material än på muntlig eller manuell spridning. Avsikten med missbruksregeln är således inte att tillskapa ett generellt skydd mot vad som i dagligt tal i och för sig kan betecknas som en kränkning av den personliga integriteten. Detta ligger i linje med vad regeringen i inled- ningen av detta avsnitt har framhållit, nämligen att avsikten med den fö- reslagna ändringen inte är att fler förfaranden än i dag skall komma att bedömas som överträdelser av personuppgiftslagen. Prop. 2005/06:173 28

Sammanfattning

Prop. 2005/06:173

De riktlinjer som redovisats i det föregående kan sammanfattas enligt följande.

Behandla inte personuppgifter för otillbörliga syften, såsom för- följelse eller skandalisering.

Samla inte utan godtagbara skäl en stor mängd uppgifter om en person.

Rätta personuppgifter som visar sig vara felaktiga eller missvisan- de.

Förtala eller förolämpa inte någon annan.

Bryt inte mot sekretess eller tystnadsplikt.

Det är således i praktiken fråga om några ganska enkla och självklara handlingsregler, varav flera redan följer av annan lagstiftning. Det är na- turligtvis alltid svårt att göra schablonmässiga bedömningar av vad som skall anses utgöra en kränkning av den personliga integriteten. Som re- geringen framhållit i det föregående är det i slutändan en fråga för rättstillämpningen att i varje enskilt fall, med beaktande av samtliga om- ständigheter, väga det intrång som kan ha skett i den personliga integrite- ten mot eventuella motstående intressen.

8.3

Förslagets förenlighet med 

EG-direktivet om skydd för personuppgifter

8.3.1

Möjligheter till undantag enligt 

EG-direktivet

EG-direktivet om skydd för personuppgifter lämnar ett förhållandevis stort handlingsutrymme till medlemsstaterna att under vissa förutsätt- ningar göra undantag från och modifiera en rad av direktivets bestäm- melser. I det följande redovisar regeringen de artiklar som är av särskilt intresse i detta sammanhang. Enligt artikel 13.1 kan medlemsstaterna genom lagstiftning begränsa omfattningen av vissa skyldigheter och rättigheter som följer av direkti- vet. Det gäller de skyldigheter och rättigheter som anges i artikel 6.1, 10, 11.1, 12 och 21, dvs.

de grundläggande kraven på behandlingen av personuppgifter (arti- kel 6.1, som motsvaras av 9 § personuppgiftslagen)

skyldigheten att informera den registrerade (artikel 10 och 11.1, som motsvaras av 

2325 §§ personuppgiftslagen)

rätten att på begäran få tillgång till uppgifterna och rättelse (artikel 12, som motsvaras av 26 och 28 §§ samt 29 § andra stycket per- sonuppgiftslagen)

reglerna om ett offentligt register över anmälda behandlingar och skyldigheten att hålla information om andra behandlingar tillgäng-

lig (artikel 21, som motsvaras av 42 § personuppgiftslagen och 7 § personuppgiftsförordningen [1998:1191]) En sådan begränsning måste vara en nödvändig åtgärd med hänsyn till olika uppräknade intressen, bl.a., såvitt här är av intresse, skyddet av den registrerades eller andras fri- och rättigheter (punkt g). 29 I artikel 7, från vilken artikel undantag inte kan göras med stöd av arti- kel 13.1, räknas det upp i vilka fall personuppgifter får behandlas. Kan en tilltänkt behandling inte hänföras under något av de uppräknade punkter- na får den inte genomföras. Det är punkt f som kan vara aktuell att till- lämpa när man överväger att generellt tillåta behandling av personuppgif- ter i ostrukturerat material. Av den framgår att medlemsstaterna skall föreskriva att personuppgifter får behandlas om behandlingen är nödvän- dig för ändamål som rör berättigade intressen hos den personuppgiftsan- svarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter. I artikel 8, från vilken artikel undantag inte heller kan göras med stöd av artikel 13.1, finns det tillkommande begränsningar för behandlingen av vissa särskilda kategorier av personuppgifter. Avser en viss behand- ling sådana särskilda kategorier av personuppgifter måste således villko- ren enligt såväl artikel 7 som artikel 8 vara uppfyllda för att behandling- en skall få genomföras. I artikel 8.1 föreskrivs det att medlemsstaterna skall förbjuda behand- ling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. I artikel 8.2 och 8.3 anges i vilka fall sådana s.k. känsliga personuppgifter får behandlas trots det principiella förbudet enligt artikel 8.1. Enligt artikel 8.4 får medlemssta- terna under förutsättning av lämpliga skyddsåtgärder av hänsyn till ett viktigt allmänt intresse antingen i sin nationella lagstiftning eller ge- nom ett beslut av tillsynsmyndigheten besluta om andra undantag från förbudet mot att behandla känsliga personuppgifter. Sådana undantag skall enligt artikel 8.6 anmälas till kommissionen. I artikel 8 finns det vidare bestämmelser om andra kategorier av upp- gifter än s.k. känsliga personuppgifter, nämligen uppgifter om lagöver- trädelser m.m. och nationella identifikationsnummer. Enligt artikel 8.5 får behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder utföras endast under kontroll av en myndighet eller om lämpliga skyddsåtgärder finns i nationell lag med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Medlemsstaterna får alltså i sin lagstiftning tillåta att enskilda, utan att det sker under kontroll av en myndighet, behandlar uppgifter om lagöverträdelser m.m. under förutsättning att lagstiftningen innehåller lämpliga och specifika skyddsåtgärder. Behandling av uppgif- ter om lagöverträdelser som har tillåtits på detta sätt torde medlemssta- terna ha att anmäla till kommissionen enligt artikel 8.6. Enligt artikel 8.7 skall medlemsstaterna bestämma på vilka villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Det måste alltså finnas villkor för behandling av sådana nummer, men det materiella innehållet i villkoren får med- lemsstaterna själva bestämma. Enligt artikel 25.1 skall medlemsstaterna föreskriva att överföringen av personuppgifter som är under behandling eller som är avsedda att be- handlas efter överföring till tredje land endast får ske om ifrågavarande tredje land säkerställer en adekvat skyddsnivå. Bedömningen av om Prop. 2005/06:173 30 skyddsnivån i ett tredje land är adekvat skall enligt artikel 25.2 ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter. Härvid skall särskilt beaktas uppgiftens art, den eller de avsedda behandlingarnas ändamål och varak- tighet, ursprungslandet och det slutliga bestämmelselandet, de allmänna respektive särskilda rättsregler som gäller i ifrågavarande tredje land lik- som de regler för yrkesverksamhet och säkerhet som gäller där. I artikel 26.1 anges i vilka fall medlemsstaterna får föreskriva att över- föring till tredje land som inte har en adekvat skyddsnivå är tillåten. En- ligt artikel 26.1 d får sådan överföring ske om överföringen är nödvän- dig eller bindande enligt författning av skäl som rör viktiga allmänna intressen eller för att fastslå, göra gällande eller försvara rättsliga an- språk. Den bestämmelsen har ansetts innebära bl.a. att det är tillåtet att i författning ange när överföring är tillåten på grund av att den är nödvän- dig med hänsyn till viktiga allmänna intressen. Enligt artikel 18.1 i EG-direktivet, från vilken artikel undantag inte kan göras med stöd av artikel 13.1, skall medlemsstaterna föreskriva att den personuppgiftsansvarige före genomförandet av en behandling eller en serie behandlingar som helt eller delvis genomförs på automatisk väg och som har samma eller flera närbesläktade ändamål skall underrätta till- synsmyndigheten. I artikel 18.24 anges vilka möjligheter till undantag från den anmälningsplikten som finns. Av artikel 18.2 första strecksatsen framgår att undantag får göras om medlemsstaten för de typer av behand- ling, i samband med vilka det med hänsyn till de behandlade uppgifterna inte är sannolikt att de registrerades fri- och rättigheter kränks, anger be- handlingens ändamål, vilka uppgifter eller kategorier av uppgifter som behandlas, vilka registrerade eller kategorier av registrerade som avses, till vilka mottagare eller kategorier av mottagare uppgifterna lämnas ut samt hur länge uppgifterna skall bevaras.

8.3.2

Missbruksregeln är förenlig med 

EG-direktivet

Regeringens bedömning: Undantaget för behandling av personupp- gifter i ostrukturerat material är förenligt med EG-direktivet om skydd för personuppgifter. Utredningens bedömning: Överensstämmer med regeringens. Remissinstanserna: Endast ett fåtal remissinstanser har yttrat sig i denna del. De som har yttrat sig, bl.a. Justitiekanslern, Datainspektionen, juridiska fakultetsnämnden vid Stockholms universitet och Sveriges ad- vokatsamfund, menar att utredningens tolkning av EG-direktivet inte är självklar men bör kunna godtas. Skälen för regeringens bedömning Undantag enligt artikel 13 med hänsyn till skyddet av fri- och rättigheter Artikel 13.1 innebär således att undantag från vissa bestämmelser i EG- direktivet kan göras om det är en nödvändig åtgärd med hänsyn till bl.a. skyddet av den registrerades eller andras fri- och rättigheter (punkt g). Prop. 2005/06:173 31 Frågan är då om det kan anses vara en sådan fri- och rättighet som av- ses i artikel 13.1 g att få hantera ostrukturerat material, t.ex. i form av löpande text och ljud- och bildupptagningar, utan att begränsas av de hanteringsregler som anges i artikel 13.1. I samband med att den gemen- samma ståndpunkten om direktivet antogs av rådet, avgav rådet och kommissionen en gemensam förklaring, som finns intagen i ett protokoll från mötet (se bilaga 4 i betänkandet), om att sådana rättigheter som att utföra behandling av uppgifter inte avses med hänvisningen till andras fri- och rättigheter i artikel 13.1 g. EG-domstolen har emellertid vid flera tillfällen uttalat att sådana förklaringar inte kan tillmätas någon rättslig status och betydelse vid utrönandet av den rätta innebörden av en be- stämmelse i ett EG-direktiv, i vart fall inte när innehållet i förklaringen inte uttrycks i den aktuella bestämmelsen (se bl.a. mål C-329/95, VAG Sverige [REG 1997 s. I-2675]). Regeringen anser mot bakgrund bl.a. av detta att förklaringen inte skall tillåtas inverka på den bedömning som regeringen gör i det följande. När det ostrukturerade materialet distribueras till andra är det oftast fråga om ett utnyttjande av den yttrandefrihet som tillkommer varje medborgare enligt såväl regeringsformen (2 kap. 1 § första stycket 1) som Europakonventionen (artikel 10). I förarbetena till personuppgiftslagen uttryckte både regeringen och Lagrådet tveksamhet inför att yttrandefriheten skulle omfattas av de fri- och rättigheter som avses i artikel 13.1 g (prop. 1997/98:44 s. 49 och 236). Artikel 9 innehåller nämligen en särskild möjlighet till undantag och avvikelser från vissa av direktivets bestämmelser för behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. Frågan om tolkningen av artikel 13.1 g uppkom i samband med att regeringen behandlade frågan om per- sonuppgiftslagens förhållande till tryckfrihetsförordningen och yttrande- frihetsgrundlagen. Artikel 9 ansågs möjliggöra för Sverige att låta dessa grundlagar gälla oförändrade. Uttalanden gjordes alltså i ett delvis annat sammanhang än det föreliggande. Vid en förnyad analys anser regering- en, i likhet med utredningen, att det förhållandet att yttrandefriheten i ett visst avseende nämns i artikel 9 inte kan anses innebära att just den fri- och rättigheten inte skulle omfattas av uttrycket fri- och rättigheter i arti- kel 13. Enligt ordalydelsen omfattar artikel 9 möjligheter till undantag endast för journalistiska ändamål eller konstnärligt eller litterärt skapan- de, vilket är betydligt mer begränsat än för att använda regeringsfor- mens definition av begreppet en frihet att i tal, skrift eller bild eller på annat sätt meddela upplysningar samt uttrycka tankar, åsikter och käns- lor eller såsom anges i artikel 10.1 Europakonventionen en frihet att ta emot och sprida uppgifter och tankar. Även när materialet inte skall distribueras till andra utan bara användas internt hos den personuppgiftsansvarige kan det vara fråga om ett utnytt- jande av en fri- och rättighet i den mening som avses i artikel 13.1 g. In- hämtande av uppgifter kan nämligen hänföras till den informationsfrihet, dvs. frihet att inhämta och mottaga upplysningar samt att i övrigt taga del av andras yttranden, som varje medborgare är tillförsäkrad skydd för en- ligt 2 kap. 1 § första stycket 2 regeringsformen. Till och med det rent interna upprättandet och användandet av ostrukturerat material i form av t.ex. löpande text och ljud- och bildupptagningar hos en personuppgifts- Prop. 2005/06:173 32 ansvarig såsom minnesanteckningar kan anses vara en fri- och rättig- het. Att under en rimlig tid få ha sina ofärdiga alster och minnesanteck- ningar i fred har exempelvis vid införandet av personuppgiftslagen an- setts som en sådan fri- och rättighet som avses i artikel 13.1 g (a. prop. s. 83). Regeringen gör alltså bedömningen att behandlingen av personuppgif- ter i ostrukturerat material t.ex. i form av text och ljud- och bildupptag- ningar kan hänföras till en sådan fri- och rättighet som avses i artikel 13.1 g och som kan berättiga medlemsstaterna att göra nödvändiga be- gränsningar av vissa bestämmelser i direktivet. Varje begränsning som görs måste vara nödvändig med hänsyn till skyddet av den aktuella fri- och rättigheten. Det är således fråga om en intresseavvägning som skall göras, där de ifrågavarande fri- och rättighe- terna rätten till integritetsskydd och rätten att för t.ex. yttrandefrihets- och informationsfrihetsändamål få hantera ostrukturerat material vägs mot varandra och där bara sådana begränsningar får göras som är nöd- vändiga för att uppnå en balans mellan de motstående intressena. Den balansen nås enligt regeringens uppfattning genom att på sätt som före- slagits i föregående avsnitt tillämpningsområdet för de aktuella hanter- ingsreglerna begränsas endast såvitt gäller sådan hantering av ostrukture- rat material som inte innefattar ett missbruk av personuppgifter. Den delvis nya bedömning som regeringen nu har gjort grundas inte enbart på den tolkning av innebörden av artikel 13.1 g som redovisats ovan utan också bl.a. på vad kommissionen uttalat i sin rapport om ge- nomförandet av dataskyddsdirektivet (KOM [2003] 265 slutlig) om att förenklade villkor för behandling av personuppgifter som inte innebär någon avsevärd risk för den enskildes rättigheter, kan uppnås genom att det handlingsutrymme som direktivet ger genom bl.a. artikel 13 utnyttjas. Se mer om kommissionens rapport nedan under Sammanfattande be- dömning. Intresseavvägning enligt artikel 7 Artikel 7 f i direktivet har införts genom 10 § f personuppgiftslagen som stadgar att personuppgifter får behandlas om behandlingen är nödvändig för att ett ändamål som rör ett berättigat intresse hos den personuppgifts- ansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integri- teten. Det är enligt direktivet tillåtet för medlemsstaterna att närmare precise- ra hur den angivna intresseavvägningen utfaller i olika fall. Enligt reger- ingens mening står det klart att det är möjligt att med stöd av bestämmel- sen om en intresseavvägning i artikel 7 f införa en särskild bestämmelse som tillåter sådan behandling av personuppgifter i ostrukturerat material som inte innefattar ett missbruk av personuppgifterna. Att detta är möj- ligt följer redan av vad som sagts i närmast föregående avsnitt. Ett utnytt- jande av rätten att för t.ex. yttrandefrihets- och informationsfrihetsända- mål få hantera ostrukturerat material, t.ex. i form av löpande text och ljud- och bildupptagningar, utgör givetvis ett berättigat intresse, och det Prop. 2005/06:173 33 intresset får anses överväga de registrerades intresse av integritetsskydd så länge hanteringen inte innefattar ett missbruk av personuppgifter. Undantag för uppgifter som avses i artikel 8 Från förbudet enligt artikel 8.1 mot behandling av känsliga personuppgif- ter får undantag enligt artikel 8.4 göras av hänsyn till ett viktigt allmänt intresse. Frågan är alltså om hantering av ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar kan anses vara ett sådant viktigt allmänt intresse. Regeringen har ovan utvecklat hur denna hantering, som kan ha betydelse för bl.a. utnyttjandet av yttrande- och informationsfriheten, kan anses vara en fri- och rättighet. Att fri- och rättigheter kan utövas i samhället är naturligtvis ett allmänt intresse och dessutom ett viktigt sådant. Regeringen anser därför att det kan hävdas att ett undantag från förbudet mot behandling av känsliga personuppgif- ter för behandling av sådana personuppgifter i ostrukturerat material kan stödjas på undantagsmöjligheten i artikel 8.4 för viktiga allmänna intres- sen. Ett sådant undantag förutsätter emellertid lämpliga skyddsåtgärder. En sådan skyddsåtgärd kan enligt regeringens mening vara att, på sätt som föreslagits i föregående avsnitt, bara tillåta sådan behandling av känsliga personuppgifter som inte innefattar ett missbruk av personupp- gifterna. Bestämmelsen i artikel 8.5 om uppgifter om lagöverträdelser m.m. ut- gör inte hinder mot att generellt tillåta behandling av personuppgifter i ostrukturerat material. För att sådan behandling av uppgifter om lagöver- trädelser m.m. skall få utföras av enskilda utan myndighetskontroll krävs det dock att det finns lämpliga och specifika skyddsåtgärder i lagstift- ningen. En sådan skyddsåtgärd kan vara att på motsvarande vis bara tillå- ta sådan behandling av personuppgifter om lagöverträdelser m.m. som inte innefattar ett missbruk av personuppgifterna. Enligt artikel 8.7 skall medlemsstaterna bestämma på vilka villkor ett nationellt identifikationsnummer får behandlas. I artikeln sägs inget om innehållet i dessa villkor. Artikeln kan inte anses utgöra något hinder mot att generellt tillåta behandling av personnummer i ostrukturerat material, i vart fall inte så länge missbruk av personnummer är förbjudet. Undantag från förbudet mot överföring av personuppgifter i artikel 25 Den allmänna uppfattningen i Sverige har tidigare varit att ett offentlig- görande av personuppgifter på en webbplats som är allmänt tillgänglig på Internet innebär att personuppgifterna blir tillgängliga i hela världen och därmed kan anses överförda till alla länder i direktivets mening (jfr bl.a. prop. 1999/2000:11 s. 11 ff.). Numera har emellertid EG-domstolen i det s.k. konfirmandlärarmålet (dom den 6 november 2003 i mål C-101/01, REG. 2003 s. I-12971) slagit fast att det inte är fråga om någon överfö- ring av uppgifter till tredje land i EG-direktivets mening när en person, som befinner sig i en medlemsstat, lägger ut personuppgifter på en hem- sida på Internet som är lagrad hos en fysisk eller juridisk person, som har den webbplats där man kan komma åt sidan och som är etablerad i sam- ma medlemsstat eller i en annan medlemsstat, varvid uppgifterna blir Prop. 2005/06:173 34 åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land. Det innebär att i vart fall vissa förfaranden för Internetpubli- cering inte hindras av just bestämmelserna om överföring av personupp- gifter till tredje land. Vid de förfaranden som i direktivets mening innebär en överföring av personuppgifter till tredje land blir emellertid tolkningen av begreppet adekvat skyddsnivå av betydelse. Personuppgifter får nämligen alltid överföras till tredje land som säkerställer en adekvat skyddsnivå. Be- dömningen av om skyddsnivån i ett tredje land är adekvat skall ske på grundval av alla de förhållanden som har samband med överföringen. Att en överföring innebär ett utnyttjande av en grundläggande fri- och rättig- het, kan hävdas vara ett förhållande att beakta vid bedömningen av om skyddsnivån i ett tredje land är adekvat. Det har ansetts att det som i di- rektivet kallas adekvat skyddsnivå är ett uttryck för att omständigheterna kring överföringen sammantagna skall vara sådana att personuppgifter har ett tillräckligt skydd och att det därför kan finnas en adekvat skydds- nivå i ett tredje land trots en total avsaknad av skyddsregler (se prop. 1999/2000 s. 15 ff.). Mot denna bakgrund skulle man i princip kunna hävda att en överfö- ring av personuppgifter i ostrukturerat material, som inte innefattar ett missbruk av personuppgifterna, innebär en överföring av uppgifterna till tredje land med adekvat skyddsnivå, eftersom, med hänsyn till omstän- digheterna vid överföringen, någon särskild skyddsnivå inte krävs i det mottagande landet. En sådan överföring skulle därmed vara tillåten redan enligt gällande rätt. Utredningen har emellertid ansett att stöd för att göra undantag från överföringsförbudet för ostrukturerat material i första hand bör hämtas i artikel 26.1 d. Enligt den artikeln kan överföring till tredje land utan ade- kvat skyddsnivå tillåtas om det är nödvändigt av t.ex. skäl som rör vikti- ga allmänna intressen. I enlighet med det resonemang som förts ovan om undantag från artikel 8.4 är det möjligt att hänföra behandling av person- uppgifter i ostrukturerat material till ett sådant intresse. Regeringen har i och för sig inget att invända mot utredningens bedömning i denna del. Oavsett vilket synsätt man anlägger på frågan blir emellertid slutsatsen densamma; en överföring till tredje land av personuppgifter i ostrukture- rat material, som inte innefattar ett missbruk av personuppgifterna, står inte strid med EG-direktivet.

Undantag från anmälningsskyldighet enligt artikel 18 Från kravet på att alla behandlingar skall anmälas till tillsynsmyndighe- ten kan, som framgått i föregående avsnitt, undantag göras med stöd av bl.a. artikel 18.2 första strecksatsen. Bestämmelsen om anmälningsskyldighet har tagits in i 36 § första stycket personuppgiftslagen. Möjligheten att enligt artikel 18.2 första strecksatsen föreskriva undantag från anmälningsskyldigheten har utnytt- jats på så sätt att regeringen eller den myndighet regeringen bestämmer bemyndigats att föreskriva undantag för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personli- ga integriteten. Genom 4 § personuppgiftsförordningen (1998:1191) har regeringen utnyttjat undantagsmöjligheten för att föreskriva att anmäl- Prop. 2005/06:173 35 ningsskyldigheten inte gäller för behandling av personuppgifter i löpande text. Regeringen anser att undantaget bör kunna utvidgas till att gälla för behandling av personuppgifter i ostrukturerat material generellt, dvs. även för t.ex. ostrukturerade ljud- och bildupptagningar. Regeringen har för avsikt att ändra 4 § personuppgiftsförordningen i enlighet därmed. Hanteringsregler som inte är möjliga att göra undantag från De materiella hanteringsbestämmelser i EG-direktivet som det inte är möjligt att göra undantag från eller modifiera är följande.

Bestämmelserna om automatiserade beslut i artikel 15 (som mot- svaras av 29 § personuppgiftslagen).

Bestämmelserna om sekretess och säkerhet vid behandlingen i artikel 16 och 17 (som motsvaras av 30 och 31 §§ personuppgifts- lagen).

Bestämmelserna om rättslig prövning, ansvar och sanktioner i arti- kel 

2224 (som motsvaras av 48 och 49 §§ personuppgiftslagen).

Bestämmelserna om tillsynsmyndighetens befogenheter avseende behandlingen i artikel 28 (som motsvaras av 32 och 

4347 §§ per- sonuppgiftslagen).

Bestämmelserna i artikel 

24 om definitioner av grundläggande begrepp och tillämpningsområdet för direktivet (som motsvaras av 36 §§ personuppgiftslagen). Enligt regeringens mening kan det inte anses innebära någon större be- lastning för den personuppgiftsansvarige att i förekommande fall behöva tillämpa de angivna bestämmelserna på behandling av personuppgifter i ostrukturerat material. Bestämmelsen om automatiserade beslut torde det knappast bli aktuellt att tillämpa på annat än personuppgifter i strukturerat material. Bestämmelsen om sekretess innebär i stort sett bara att den som för en personuppgiftsansvarigs räkning behandlar personuppgifter bara får göra det enligt instruktioner från denne. Bestämmelsen om säkerhet innebär att lämpliga åtgärder skall vidtas för att förhindra t.ex. oavsedd förstöring, förvanskning och spridning av personuppgifter, men vid bedömningen av vilka åtgärder som behöver vidtas för att åstadkomma en lämplig säkerhetsnivå kan man ta hänsyn till bl.a. de risker som är förknippade med behandlingen. När personupp- gifter behandlas i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar torde det därför normalt inte krävas några extraordinära säkerhetsåtgärder utan det kan ofta räcka med de åtgärder som var och en brukar vidta för att skydda sin information. När särskilt känslig information behandlas i strukturerat eller ostrukturerat material, måste givetvis adekvata säkerhetsåtgärder vidtas. Bestämmelserna om rättslig prövning, ansvar och sanktioner torde bara ha aktualitet men å andra sidan då vara relevanta och befogade när behandlingen har inneburit ett missbruk av personuppgifterna. Inte heller bestämmelserna om att en oberoende myndighet skall ha tillsyn över och vissa befogenheter avseende behandlingen torde i prakti- ken innebära någon påtaglig belastning för den personuppgiftsansvarige. Prop. 2005/06:173 36

Sammanfattande och avslutande bedömning

Prop. 2005/06:173

Regeringen har alltså, i likhet med utredningen, funnit att det är möjligt att göra undantag från de flesta materiella bestämmelser i EG-direktivet för sådan behandling av personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar som inte innefattar ett missbruk av personuppgifterna. Den slutsatsen grundas främst på bedömningen att hantering av sådant ostrukturerat material utgör ett utnyttjande av en sådan fri- och rättighet yttrande- eller informationsfriheten som avses i artikel 13.1 g och att det är ett viktigt allmänt intresse i den mening som avses i artikel 8.4 och 26.1 d att detta utnyttjande av fri- och rättigheter inte hindras i samhället. Såväl utredningen som en del remissinstanser har framhållit att den bedömningen och vissa anslutande bedömningar avseende t.ex. beskaf- fenheten av skyddsåtgärder inte är alldeles självklar och kan sättas i fråga. Även Lagrådet har uttryckt tveksamhet inför den nya tolkningen av direktivet, framför allt beträffande artikel 13.1 g. Eftersom EG-direktiv saknar egentliga förarbeten finns det inga direkta hållpunkter för tolkningen av direktiv förutom själva texten i direktivet, inklusive ingressen. Mot bakgrund bl.a. härav är det naturligtvis svårt att med någon nämnvärd säkerhet uttala sig om den tolkning som redovisats i det föregående är oantastlig ur ett EG-rättsligt perspektiv. Enligt EG:s rättsordning är det dessutom EG-domstolen som är exklusivt behörig att göra auktoritativa uttalanden om EG:s rättsregler. Utöver vad som redan anförts till stöd för den tolkning som gjorts kan dock även följande fram- hållas. Sedan EG-direktivet trädde i kraft har en närmast explosionsartad ut- veckling inom informationsteknologin ägt rum. De dataskyddsprinciper som ligger bakom många av hanteringsreglerna i direktivet utarbetades under 1980-talet innan datortekniken blivit en vardagsteknik som snart varje medborgare hanterar i det närmaste dagligen för bl.a. kommunika- tion och spridning av information. Att man vid tolkningen av direktivet kan ta hänsyn till nya användningsområden för informationsteknik och till att tekniken fått en utbredd användning framgår av EG-domstolens dom i det s.k. konfirmandlärarmålet (dom den 6 november 2003 i mål C-101/01, REG. 2003 s. I-12971). Målet rörde behandling av känsliga personuppgifter på Internet. Fråga var bl.a. om en sådan behandling in- nebar en överföring av personuppgifter till tredje land i direktivets me- ning. EG-domstolen uttalade bl.a. följande. 68 Med hänsyn dels till det stadium på vilket Internets utveckling befann sig vid den tidpunkt då direktiv 95/46 utarbetades, dels till att det inte i kapitel IV i direktivet föreligger några kriterier som är tillämpliga på Internetanvändning kan det inte presumeras att gemenskapslagstiftaren hade för avsikt att med tanke på framtiden låta inskrivning av en person i [konfirmandlärarens] situation av uppgifter på en hemsida på Internet omfattas av begreppet överföring av uppgif- ter till tredje land, även om dessa på detta sätt blir åtkomliga för sådana personer i tredje land som har de tekniska möjligheterna att få tillgång till hemsidan. Mot bakgrund av detta resonemang konstaterade EG-domstolen att di- rektivet skulle tolkas så att den behandling som var aktuell i målet inte utgjorde en överföring av personuppgifter till tredje land. Domen ger 37 vidare stöd för att direktivet skall tolkas med viss flexibilitet, särskilt när Prop. 2005/06:173 det gäller skyddet för grundläggande fri- och rättigheter. Domstolen kon- staterade nämligen även bl.a. att direktivet innehåller regler som kan ka- raktäriseras av en viss tänjbarhet och att man, som pekats på i föregående avsnitt, vid en tolkning av direktivet måste göra en avvägning av olika intressen samt inte tolka direktivet på ett sätt som skulle stå i strid med bl.a. de grundläggande rättigheter som skyddas genom gemenskapens rättsordning. Även uttalanden från kommissionen torde kunna anföras till stöd för den tolkning av direktivet som regeringen har gjort. Som nämnts i avsnitt 5.3 har Sverige i olika sammanhang under hand till EG-kommissionen framfört sina önskemål om en revidering av direktivet i riktning mot en missbruksmodell. EG-kommissionen har i sin rapport om genomförandet av EG-direktivet (KOM [2003] 265 slutlig) slagit fast att det av olika anledningar är olämpligt att lägga fram förslag om ändringar av direkti- vet inom den närmaste framtiden, men samtidigt under rubriken Beho- vet av en rimlig och flexibel tolkning uttryckligen berört Sveriges öns- kemål enligt följande (s. 16). Enligt artikel 5 i direktivet ska medlemsstaterna inom de begränsningar som bestämmelserna i kapitel II (artiklarna 621) innebär, precisera på vilka villkor behandling av personuppgifter är tillåten. I detta avseende uppmärksammar kommissionen den oro som Sverige uttryckte inom ramen för den pågående översynen av landets lagstiftning när det gäller tillämpningen av dataskydds- principer på löpande text eller ljud- eller bilduppgifter. Kommissionen anser att förenklade villkor för databehandling då det inte är troligt att sådan behandling skapar någon inte avsevärd risk för den enskildes rättigheter bättre kan uppnås genom att göra bruk av det handlingsutrymme som direktivet ger, i synnerhet de möjligheter som ges i artiklarna 7 f, 9 och 13.

8.4

Vilka bestämmelser i personuppgiftslagen bör undan- taget omfatta?

Regeringens förslag: Vid behandling av personuppgifter i ostrukture- rat material behöver inte följande bestämmelser i personuppgiftslagen tillämpas.

Grundläggande krav på behandlingen av personuppgifter (9 §)

När behandling av personuppgifter är tillåten (10 §)

Förbud mot behandling av känsliga personuppgifter (13 

§19 §§)

Uppgifter om lagöverträdelser (21 §)

Behandling av personnummer (22 §)

Information till den registrerade (23 26 §§)

Rättelse (28 §)

Förbud mot överföring av personuppgifter till tredje land (33 och 34 §§)

Upplysningar till allmänheten om behandlingar som inte anmälts

(42 §) Regeringens bedömning: Det bör i förordning göras undantag från skyldigheten att göra anmälan till tillsynsmyndigheten såvitt avser be- handling av personuppgifter i ostrukturerat material. 38 Utredningens förslag: Överensstämmer i huvudsak med regeringens. Prop. 2005/06:173 Utredningen har dock inte föreslagit att undantag skall göras från 22 och 26 §§. Remissinstanserna: Ingen remissinstans har haft något att invända mot att undantag görs från de hanteringsregler som utredningen har före- slagit. Däremot anser en majoritet av remissinstanserna, bl.a. Riksdagens ombudsmän, Kammarrätten i Stockholm, Länsrätten i Stockholms län, Rikspolisstyrelsen, Patent- och registreringsverket, Sveriges advokatsam- fund, Svenskt näringsliv och Sveriges Television AB, att undantag även bör göras från skyldigheten att lämna information (registerutdrag) enligt 26 § personuppgiftslagen. Skälen för regeringens förslag och bedömning Bestämmelser i personuppgiftslagen som det är möjligt att göra undantag från I föregående avsnitt har regeringen redovisat sin bedömning av i vilken utsträckning det är möjligt att göra undantag från hanteringsreglerna i EG-direktivet. Mot bakgrund av den analysen är det, som utredningen kommit fram till, möjligt att göra undantag från följande bestämmelser i personuppgiftslagen.

a)

9 § om grundläggande krav på behandlingen av personuppgifter,

b)

10 § om när behandling av personuppgifter är tillåten,

c)

13 § om förbud mot behandling av känsliga personuppgifter,

d)

21 § om förbud för andra än myndigheter att behandla personupp- gifter om lagöverträdelser m.m.,

e)

22 § om restriktioner för behandling av uppgifter om personnummer och samordningsnummer,

f)

23 och 24 §§ om information till den registrerade i samband med att personuppgifter samlas in,

g)

26 § om information som skall lämnas efter ansökan (s.k. register- utdrag),

h)

28 § om rättelse,

i)

33 § om förbud mot överföring av personuppgifter till tredje land,

j)

36 § om anmälan till tillsynsmyndigheten, och

k)

42 § om upplysningar till allmänheten om behandlingar som inte anmälts till tillsynsmyndigheten.

Det står enligt regeringens mening klart att punkterna a,c, d, f i och j i uppräkningen (avseende 9, 13, 21, 23, 24, 33 och 36 §§ personuppgifts- lagen) avser sådana hanteringsregler som undantaget bör omfatta. Det är fråga om regler som den personuppgiftsansvarige på eget initiativ har att iaktta och uppfylla och som anger när och hur personuppgifter får be- handlas. Reglerna i punkterna g, h och k i uppräkningen (avseende 26, 28 och 42 §§ personuppgiftslagen) är emellertid av en något annan natur. Det är nämligen fråga om regler som den personuppgiftsansvarige bara behöver beakta när någon begär det i ett enskilt fall. Reglerna är således i allmän- het inte lika betungande för den personuppgiftsansvarige, eftersom han eller hon inte behöver beakta dem vid den dagliga hanteringen av ostruk- turerat material. Man bör därför, precis som utredningen har gjort, sär- 39 skilt överväga om dessa regler bör omfattas av undantaget. Därutöver kommer regeringen i det följande att särskilt kommentera reglerna i punkterna b och e (avseende 10 och 22 § personuppgiftslagen). Rättelse Enligt 28 § personuppgiftslagen är den personuppgiftsansvarige skyldig att på begäran av den registrerade bl.a. rätta sådana personuppgifter som har behandlats i strid med personuppgiftslagen eller föreskrifter som har meddelats med stöd av lagen. Det kan naturligtvis vara av väsentligt in- tresse för den registrerade att felaktiga personuppgifter på begäran korri- geras även i ostrukturerat material. Att den personuppgiftsansvarige fort- sätter att behandla direkt felaktiga personuppgifter trots att den registre- rade har begärt rättelse får dock i regel betraktas som en sådan behand- ling som inte är tillåten enligt den föreslagna missbruksregeln. Som re- geringen angett i avsnitt 8.2 får det nämligen anses innebära en kränk- ning av den registrerades personliga integritet om den personuppgiftsan- svarige medvetet behandlar personuppgifter som är klart felaktiga eller missvisande. Mot bakgrund härav anser regeringen, i likhet med utred- ningen, att undantag bör kunna göras också från bestämmelsen om rättel- se i 28 §. Upplysningar till allmänheten Regeringen instämmer vidare i utredningens bedömning att undantag bör göras från skyldigheten enligt 42 § personuppgiftslagen att på begäran lämna upplysningar till allmänheten om behandlingar. Den skyldigheten kan inte anses bidra till integritetsskyddet i någon nämnvärd omfattning eller ha en sådan praktisk betydelse för de registrerade att det uppväger besväret för den personuppgiftsansvarige att lämna upplysningarna. Registerutdrag Vad därefter gäller skyldigheten enligt 26 § personuppgiftslagen att efter ansökan lämna ett s.k. registerutdrag till den registrerade kan följande anföras. Utredningens bedömning att man inte bör göra undantag från denna skyldighet har mött en i det närmaste enig remisskritik. Många remissinstanser menar att i praktiken är detta en av de mest betungande hanteringsreglerna för de personuppgiftsansvariga. Som skäl för att göra undantag även från skyldigheten att lämna registerutdrag har vissa re- missinstanser anfört att en del av den lättnad som undantaget från hanter- ingsreglerna är tänkt att medföra skulle gå förlorad om den personupp- giftsansvarige alltid måste ha beredskap att genom registerutdrag visa vilka behandlingar som utförs. Det har också anförts att myndigheter och företag kan komma att sträva efter att skapa datasystem i vilka det enkelt kan tas fram uppgifter till registerutdrag även för ostrukturerat material, vilket i förlängningen kan innebära att det kommer att bli enklare att söka reda på personuppgifter även för andra ändamål än registerutdrag. Detta kan i sin tur innebära ett hot mot den personliga integriteten. Regeringen kan väsentligen ansluta sig till dessa synpunkter. Prop. 2005/06:173 40 Det är i och för sig korrekt som utredningen har framhållit att rätten till registerutdrag i sig fyller en viktig kontrollfunktion. Genom rätten till registerutdrag har den registrerade möjlighet att själv kontrollera att be- handlingen av hans eller hennes uppgifter är lagenlig och att, om så inte skulle vara fallet, utnyttja sina övriga rättigheter för att få till stånd rättel- se. Värdet ur kontrollsynpunkt får emellertid anses begränsat när det gäller sådana behandlingar som omfattas av den föreslagna missbruksre- geln. För sådana behandlingar saknar för det första utdragsskyldigheten be- tydelse som ett medel för den registrerade att få till stånd rättelse av fel- aktiga personuppgifter eftersom sådana behandlingar, av skäl som anförts ovan, inte skall vara förknippade med en rätt för den registrerade att be- gära rättelse. Det kan förvisso hävdas att en rätt att begära registerutdrag har bety- delse för att den registrerade skall kunna kontrollera att hans personupp- gifter inte behandlas i strid med missbruksregeln, dvs. missbrukas. Miss- bruksregeln är emellertid avsedd att träffa sådana behandlingar som ty- piskt sett inte innefattar några risker för intrång i den personliga integrite- ten. Det behov av kontroll som den registrerade kan ha kan inte anses förknippat med behandlingen som sådan t.ex. att skriva ett namn i ett ordbehandlingsdokument utan är snarare beroende av i vilket samman- hang personuppgifterna förekommer och av vilken spridning de kan få. I den mån det verkligen är fråga om ett missbruk av personuppgifter kommer detta i normalfallet att komma till den registrerades kännedom på annat sätt än genom ett registerutdrag, t.ex. genom Internetpublice- ring. Rätten att få registerutdrag en gång per kalenderår kan alltså enligt regeringens bedömning inte anses vara en förutsättning för att kränk- ningar av den personliga integriteten i enlighet med missbruksregeln skall kunna uppdagas och beivras. Sammanfattningsvis anser således regeringen att utdragsskyldighetens värde från kontrollsynpunkt vid be- handling av personuppgifter i ostrukturerat material inte är särskilt fram- trädande. Det är vidare av betydelse att en övervägande majoritet av de person- uppgiftsansvariga anser att skyldigheten att lämna registerutdrag är den mest betungande hanteringsregeln i personuppgiftslagen. Det visar såväl remissutfallet i detta lagstiftningsärende som resultatet av Justitiedepar- tementets utvärdering av EG-direktivet (Ds 2001:27). Att ha beredskap för att i varje enskilt fall lämna registerutdrag avseende behandling av personuppgifter i ostrukturerat material kan även enligt regeringens me- ning anses oproportionerligt betungande mot bakgrund av det begränsade värde skyldigheten kan ha för den registrerade i dessa fall. En av ut- gångspunkterna för införande av en missbruksmodell är att underlätta den vardagliga och ur ett integritetsperspektiv oftast harmlösa hantering- en av personuppgifter. Att då inte införa ett undantag från den regel som i det praktiska livet visat sig vålla mest bekymmer framstår inte som än- damålsenligt. Mot bakgrund av det anförda och för att få till stånd en så renodlad missbruksmodell som möjligt finner regeringen att undantag bör göras även från skyldigheten att på begäran lämna registerutdrag för sådana behandlingar som omfattas av den föreslagna missbruksregeln. Se vidare om registerutdrag i avsnitt 9.2. Prop. 2005/06:173 41

Personnummer

Prop. 2005/06:173

Enligt 22 § personuppgiftslagen får personnummer och samordnings- nummer behandlas utan samtycke från den registrerade bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Utredningen har, utan att redovisa något närmare skäl för det, ansett dessa begräns- ningar befogade även vid behandling av personuppgifter i ostrukturerat material. Ingen remissinstans har kommenterat frågan. Som framgått av föregående avsnitt lägger inte EG-direktivet hinder i vägen för att tillåta att personnummer behandlas i ostrukturerat material utan andra begränsningar än att missbruk av uppgifterna inte får äga rum. Regeringen kan inte finna något skäl till varför man inte bör utnyttja denna möjlighet till ytterligare lättnader för de personuppgiftsansvariga. Att låta behandling av personnummer i ostrukturerat material omfattas av en striktare reglering än behandling av t.ex. känsliga personuppgifter framstår inte som vare sig lämpligt eller nödvändigt. Regeringen anser alltså att undantag bör göras även från 22 § personuppgiftslagen. Grundläggande krav Som framgått av avsnitt 8.1 har undantagsbestämmelsen utformats så att den uttryckligen tillåter behandling av personuppgifter i ostrukturerat material, dvs. som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt under- lätta sökning efter eller sammanställning av just personuppgifter, om be- handlingen inte innebär en kränkning av den registrerades personliga integritet. Undantagsbestämmelsen utgör därför i sig en uttolkning av bestämmelsen om intresseavvägning i artikel 7 f i EG-direktivet och 10 § f personuppgiftslagen. Därmed bör även 10 § personuppgiftslagen tas med i uppräkningen av de bestämmelser som inte skall tillämpas. Anmälan till Datainspektionen I enlighet med vad som angetts i avsnitt 8.3.2 bör det vidare i förordning göras ett undantag för behandling av personuppgifter i ostrukturerat ma- terial från skyldigheten enligt 36 § personuppgiftslagen att göra anmälan till Datainspektionen.

8.5

Skadestånd, straff och tillsyn

Regeringens bedömning: Personuppgiftslagens nuvarande bestäm-

melser om skadestånd bör gälla även för förfaranden i strid med den

föreslagna missbruksregeln.

Någon förändring av tillsynsreglerna görs inte. Det innebär att Data-

inspektionen kommer att ha tillsyn över efterlevnaden av missbruks-

regeln.

Regeringens förslag: Den som uppsåtligen eller av grov oaktsam-

het behandlar känsliga personuppgifter eller uppgifter om lagöverträ-

delser m.m. i strid med missbruksregeln döms till böter eller fängelse i

42

högst sex månader. Detsamma skall gälla den som uppsåtligen eller av grov oaktsamhet i strid med missbruksregeln för över personuppgifter till tredje land som inte har en adekvat nivå för skyddet av personupp- gifter. Om brottet är grovt döms till fängelse i högst två år. I ringa fall döms inte till ansvar. Utredningens bedömning: Överensstämmer med regeringens i ska- destånds- och tillsynsdelen. Utredningen har dock gjort bedömningen att behandling av personuppgifter i strid med missbruksregeln inte skall vara straffbelagd. Remissinstanserna: Endast ett fåtal remissinstanser har yttrat sig i denna del. Justitiekanslern anser att skadeståndsfrågan bör övervägas noggrannare bl.a. mot bakgrund av att det inte är självklart att en över- trädelse av missbruksregeln bör föranleda skadeståndsansvar enligt per- sonuppgiftslagen. Ett alternativ vore att i stället tillämpa 2 kap. 3 § ska- deståndslagen. Justitiekanslern påpekar vidare att det kommer att råda oklarheter om vad som är en tillåten behandling enligt missbruksregeln, varför det i hög grad kommer att överlämnas till rättspraxis att avgöra vilka förfaranden som kommer att vara skadeståndsgrundande. Riksåkla- garen och Justitiekanslern menar att det inte är självklart att det skall vara straffritt att behandla känsliga personuppgifter och lagöverträdelser i ostrukturerat material trots att behandlingen i det enskilda fallet kanske inneburit ett otillbörligt intrång i den personliga integriteten. Skälen för regeringens bedömning och förslag Skadestånd Den normala sanktionen vid överträdelse av personuppgiftslagen är ska- destånd till den registrerade enligt 48 § i lagen. Enligt den paragrafen skall den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av person- uppgifter i strid med lagen har orsakat. Den registrerade har alltså rätt till ersättning för såväl personskada, sakskada och ren förmögenhetsskada som för själva kränkningen som sådan. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Bestämmelserna i personuppgiftslagen om skadestånd är sådana speci- albestämmelser som tar över de allmänna skadeståndsreglerna i skades- tåndslagen (1972:207). Rätten till skadestånd enligt personuppgiftslagen för kränkning förutsätter, till skillnad från motsvarande rätt enligt 2 kap. 3 § skadeståndslagen, inte att ett brottsligt förfarande visas. Justitiekans- lern har väckt frågan om överträdelse av den föreslagna missbruksregeln inte bör föranleda skadeståndsansvar enligt 2 kap. 3 § skadeståndslagen i stället för enligt personuppgiftslagen. Som framgår nedan kommer miss- bruksregeln, enligt regeringens förslag, inte att vara förenad med straffansvar i andra fall än när känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. har behandlats, eller när personuppgifter förts över till tredje land, i strid med regeln. Att den enskilde skulle lämnas utan möjligheter till kompensation för kränkning i övriga fall där miss- bruksregeln i och för sig har överträtts framstår som mindre lämpligt, Prop. 2005/06:173 43 inte minst mot bakgrund av att EG-direktivet enligt artikel 24 kräver att överträdelse av bestämmelser som genomför direktivet förenas med sanktioner i någon form. Regeringen instämmer därmed i utredningens bedömning att överträdelser av missbruksregeln skall vara förenade med skadeståndsansvar enligt 48 § personuppgiftslagen. Till ledning för be- dömningen av vilka förfaranden som skall vara skadeståndsgrundande enligt missbruksregeln får tas de allmänna riktlinjer, som regeringen har redovisat i avsnitt 8.2, för vad som skall bedömas som en kränkning av den personliga integriteten i missbruksregelns mening. Straff Vissa förfaranden i strid med personuppgiftslagen är straffbelagda enligt 49 §. Så är fallet om man lämnar osann uppgift i sådan information till registrerade som föreskrivs i lagen, i en anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär informa- tion enligt 43 § (49 § första stycket a). Det är vidare straffbart att behand- la känsliga personuppgifter och uppgifter om lagöverträdelser m.m. i strid med 1321 §§ och att föra över personuppgifter till tredje land i strid med 3335 §§ (49 § första stycket b och c). Slutligen är det straff- bart att låta bli att i vissa fall göra en anmälan till tillsynsmyndigheten (49 § första stycket d). För straffbarhet krävs i samtliga fall uppsåt eller oaktsamhet. Straffskalan är böter eller fängelse i högst sex månader och om brottet är grovt fängelse i högst två år. I ringa fall skall inte dömas till ansvar. Om inte någon ändring görs av straffbestämmelsen skulle ett införande av missbruksregeln, som ju innebär att undantag görs från bestämmelser- na i bl.a. 13, 21 och 33 §§, leda till att t.ex. behandling av känsliga per- sonuppgifter och uppgifter om lagöverträdelser m.m. inte längre skulle vara kriminaliserad så länge behandlingen sker i ostrukturerat material. Däremot skulle lämnande av osann uppgift till tillsynsmyndigheten när myndigheten begär information enligt 43 § rörande behandlingar i ostrukturerat material vara straffbelagt eftersom denna paragraf skall, som framgår nedan när regeringen behandlar frågan om tillsyn, gälla även för sådana behandlingar. Utredningen har, utan att ha redovisat några närmare skäl för det, gjort bedömningen att det inte är nödvändigt att straffbelägga förfaranden i strid med missbruksregeln och har i enlighet därmed inte föreslagit någon ändring av 49 § personuppgiftslagen i detta avseende. Både Riks- åklagaren och Justitiekanslern har ifrågasatt denna bedömning och me- nat att det inte är givet att den som behandlar t.ex. känsliga personuppgif- ter i strid med 13 § personuppgiftslagen i ett personregister skall riskera straff medan motsvarande behandling i ostrukturerat material skall vara straffri. Regeringen instämmer i att detta inte är ett tillfredsställande re- sultat. Skadan för den vars personuppgifter behandlas kan naturligtvis i det enskilda fallet vara lika stor oavsett om behandlingen sker i ett tradi- tionellt register eller i ostrukturerad form. Det finns ur ett straffrättsligt perspektiv inte anledning att se annorlunda på den situationen att behand- ling av känsliga personuppgifter och sådana uppgifter om lagöverträdel- ser m.m. som avses i 21 § personuppgiftslagen behandlas i strid med missbruksregeln, dvs. på så sätt att den registrerades personliga integritet Prop. 2005/06:173 44 kränks, än på den situationen att samma uppgifter behandlas i strid med personuppgiftslagens hanteringsregler i annat än ostrukturerat material. Det kan alltså inte enligt regeringens mening anses befogat att avkrimi- nalisera behandling av denna typ av personuppgifter bara för att behand- lingen av dem äger rum i ett ostrukturerat material. Behandling av känsliga personuppgifter och sådana uppgifter som av- ses i 21 § personuppgiftslagen (bl.a. uppgifter om lagöverträdelser) i strid med missbruksregeln dvs. som innebär att den registrerades personliga integritet kränks bör således vara straffbelagd. För att en gärning skall vara straffbar bör dock krävas att den har begåtts uppsåtligen eller av grov oaktsamhet (se vidare i avsnitt 9.1.2 om vilka subjektiva rekvisit som bör gälla för straffbarhet). Straffskalan bör vara densamma som för övriga brott mot personuppgiftslagen. Som framgått ovan är det i dag även straffbart att föra över personupp- gifter till tredje land i strid med 3335 §§ personuppgiftslagen. Efter EG- domstolens dom i det s.k. konfirmandlärarmålet (dom den 6 november 2003 i mål C-101/01, REG. 2003 s. I-12971) har förbudet mot att överfö- ra personuppgifter till tredje länder utan adekvat skyddsnivå, och det därmed förenade straffansvaret, delvis förlorat i betydelse. Domstolen slog ju, som framgår av avsnitt 8.3.2, fast att utläggande av personupp- gifter på Internet inte, åtminstone under vissa förutsättningar, är att be- trakta som överföring i direktivets mening. Förbudet har dock alltjämt betydelse när överföringen görs i annan form än genom att uppgifterna läggs ut på Internet, t.ex. torde det vara tillämpligt om uppgifterna sprids via e-post.

Enligt den föreslagna missbruksregeln är det tillåtet att föra över per- sonuppgifter till tredje land utan att behöva iaktta hanteringsreglerna i 3335 §§ personuppgiftslagen. Liksom vid all annan behandling av per- sonuppgifter i ostrukturerat material är 5 a § andra stycket, som innebär att den registrerades personliga integritet inte får kränkas, den enda regel man skall behöva beakta. Regeringen kan inte se något skäl till varför en överföring till tredje land av personuppgifter i ostrukturerat material, som innebär en kränk- ning av den registrerades personliga integritet, inte skulle vara straffbar, medan överföring av motsvarande uppgifter i strukturerad form skulle omfattas av straffbestämmelserna. Av samma skäl som anförts beträffan- de behandling av bl.a. känsliga personuppgifter i ostrukturerat material bör överföring av personuppgifter i sådant material till tredje land utan adekvat skyddsnivå vara straffbar om överföringen inneburit en kränk- ning av den personliga integriteten i enlighet med missbruksregeln. På motsvarande sätt som anförts ovan bör dock för straffbarhet krävas att gärningen begåtts uppsåtligen eller av grov oaktsamhet. Den straffskala som gäller för övriga brott mot personuppgiftslagen bör gälla även i detta avseende. Precis som är fallet vid bedömningen av vilka behandlingar som är skadeståndsgrundande får utgångspunkten för vad som skall anses som en kränkning av den personliga integriteten i straffrättslig mening vara vad regeringen redovisat i avsnitt 8.2. Prop. 2005/06:173 45

Tillsyn

Prop. 2005/06:173

Som konstaterats i avsnitt 8.3.2 är det inte möjligt att göra undantag från artikel 28 i EG-direktivet, enligt vilken tillsynsmyndigheten skall ha vis- sa befogenheter avseende behandlingen av personuppgifter. Datainspek- tionen är tillsynsmyndighet i Sverige och myndighetens befogenheter är reglerade i 32 och 4347 §§ personuppgiftslagen samt i personuppgifts- förordningen (1998:1191). Det är naturligt och rimligt att den tillsyn Datainspektionen har rätt att utöva enligt dessa bestämmelser och de befogenheter som är förknippade med denna också omfattar behandling enligt den föreslagna missbruksre- geln. Datainspektionen kommer vidare att ha en viktig funktion att fylla ge- nom att i sin verksamhet ge vägledning, t.ex. genom att ge ut allmänna råd och annat informationsmaterial, i hur den nya missbruksregleringen bör tillämpas. 9 Övriga förslag

9.1

Avkriminalisering

9.1.1

Gällande rätt

Enligt artikel 24 i EG-direktivet skall medlemsstaterna anta lämpliga bestämmelser för att säkerställa att direktivet genomförs fullständigt. Staterna skall särskilt besluta om de sanktioner som skall användas vid överträdelse av de bestämmelser som har antagits till följd av direktivet. Den normala sanktionen vid överträdelse av personuppgiftslagen är skadestånd till den registrerade enligt 48 § i lagen. Som framgått av av- snitt 8.5 är emellertid vissa förfaranden i strid med personuppgiftslagen även straffbelagda enligt 49 § i lagen. Så är fallet om man lämnar osann uppgift i sådan information till registrerade som föreskrivs i lagen, i en anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär information enligt 43 § (49 § första stycket punk- ten a). Det är vidare straffbart att behandla känsliga personuppgifter och uppgifter om lagöverträdelser m.m. i strid med 1321 §§ och att föra över personuppgifter till tredje land i strid med 3335 §§ (49 § första stycket b och c). Slutligen är det straffbart att låta bli att i vissa fall göra en anmälan till tillsynsmyndigheten (49 § första stycket d). För straffbar- het krävs i samtliga fall uppsåt eller oaktsamhet. Straffskalan är böter eller fängelse i högst sex månader och om brottet är grovt fängelse i högst två år. I samband med att bestämmelserna om överföring av personuppgifter till tredje land lättades upp avkriminaliserades gärningar som är ringa genom att det föreskrevs att det i ringa fall inte skall dömas till ansvar (prop. 1999/2000:11 s. 18 f.). Regeringen noterade att det finns överträ- delser av personuppgiftslagens straffbestämmelse som i det enskilda fal- let inte framstår som särskilt straffvärda och att det ibland kan vara svårt för den personuppgiftsansvarige att på förhand avgöra om en överföring till tredje land är tillåten eller inte enligt de nya bestämmelserna. Det 46 kunde förutses att det kommer att finnas situationer där det visar sig att den personuppgiftsansvarige gjort en felaktig bedömning men där över- trädelsen av överföringsförbudet inte är särskilt klandervärd. Det ansågs angeläget att motverka sådana negativa konsekvenser. Vad som är ringa fall får bedömas med hänsyn till samtliga omständigheter i det enskilda fallet. Alla faktorer som uppgifternas art och vilken integritetskränkning eller risk för integritetskränkning som behandlingen orsakat skall vägas in vid bedömningen.

EG-domstolen har i domen i det s.k. konfirmandlärarmålet (dom den 6 november 2003 i mål C-101/01, REG. 2003 s. I-12971) betonat att sank- tionsåtgärder alltid måste stå i överensstämmelse med proportionalitets- principen och att det i enlighet med den principen ankommer på de na- tionella domstolarna att beakta alla omständigheter, bl.a. under hur lång tid överträdelsen av reglerna har pågått och hur viktigt det är för de be- rörda att de uppgifter som har spritts skyddas.

9.1.2

Avkriminalisering av oaktsamhet av normalgraden

Regeringens förslag: Oaktsamhet av normalgraden skall inte längre vara straffbar. Utredningens förslag: Överensstämmer med regeringens. Remissinstanserna: Samtliga remissinstanser som har yttrat sig i den- na del tillstyrker förslaget. Skälen för regeringens förslag: Vid införandet av personuppgiftsla- gen ansågs det att vikten av att följa vissa, särskilt angivna, regler in- skärptes på ett ändamålsenligt sätt genom att straffansvar kan inträda redan vid oaktsamhet av normalgraden (prop. 1997/98:44 s. 108 f.). Där- efter har emellertid ett undantag införts för ringa fall av överträdelser, främst för fall där den personuppgiftsansvarige gjort en felaktig bedöm- ning men överträdelsen inte är särskilt klandervärd (prop. 1999/2000:11 s. 18 f.). I de särskilda registerförfattningar som införts efter personupp- giftslagen har det normalt inte tagits in några särskilda bestämmelser om straff. Att som utredningen föreslagit avkriminalisera oaktsamhet av normal- graden vid överträdelse av personuppgiftslagen skulle utgöra ytterligare ett steg mot en missbruksinriktad regleringsmodell på såväl det område som faller in under den föreslagna missbruksregeln, som på det som fal- ler utanför och fortfarande styrs av lagens hanteringsregler. Den ändring som regeringen föreslår för behandling av personuppgif- ter i ostrukturerat material kan, som vissa remissinstanser påpekat, inne- bära att det kan uppstå gränsfall där det för personuppgiftsansvariga kan vara svårt att, innan en fast rättspraxis har utbildats, på förhand avgöra om den behandling de avser att utföra faller inom ramen för det undan- tagna området eller inte. Det kan t.ex. förutses att det kommer att uppstå situationer där det visar sig att den personuppgiftsansvariga gjort en fel- aktig bedömning av om behandlingen utförs i ett strukturerat material eller inte men där överträdelsen inte är särskilt allvarlig. I stor utsträck- ning bör i och för sig regeln om att ringa fall är straffria vara tillräcklig för att undvika oskäliga resultat vid mindre klandervärda felbedömning- Prop. 2005/06:173 47 ar. Det finns dock situationer som regeln om ringa fall inte torde omfatta Prop. 2005/06:173 men där det ändå kan finnas anledning att överväga straffrihet. Det gäller främst det fallet att en oaktsamhet har lett till en skada eller en integri- tetskränkning som inte är försumbar. Då kan det med hänsyn till gär- ningens konsekvenser vara svårt att med fog påstå att det är fråga om ett ringa fall. Den oaktsamhet som den personuppgiftsansvarige uppvisat, t.ex. i förhållande till om behandlingen utförts i ett ostrukturerat material eller till att känsliga personuppgifter har behandlats, kan emellertid i det enskilda fallet ha varit mindre klandervärd. En avkriminalisering av oaktsamhet av normalgraden skulle i sådana fall motverka oskäliga resul- tat. Detta gäller både för det område som faller in under missbruksregeln och det som fortfarande regleras av hanteringsreglerna. Frågan är då om det finns några bärande skäl emot en sådan avkrimi- nalisering som ligger i linje med hur synen på behovet av straff utveck- lats efter införandet av personuppgiftslagen. Så kan enligt regeringens mening inte anses vara fallet. Som framhållits inledningsvis har utveck- lingen snarare gått mot att straff inte är en nödvändig reaktion på över- trädelser av personuppgiftslagen eller anslutande registerförfattningar. Om de registrerades integritet kränks eller om de annars lider skada kan de i första hand begära skadestånd av den personuppgiftsansvarige oav- sett om denne begått en straffbar överträdelse av personuppgiftslagen eller inte. Vidare skall grovt oaktsamma förfaranden fortfarande vara straffbara. Därmed kan man beivra de fall där den tilltalade visat uppen- bar nonchalans. Det får anses tillräckligt för att inskärpa vikten av att reglerna om behandling av personuppgifter följs. Regeringen föreslår således att bara uppsåtliga och grovt oaktsamma förfaranden skall vara straffbara.

9.2

Registerutdrag

9.2.1

Gällande rätt

Rätten för den registrerade att på begäran få ett s.k. registerutdrag med de uppgifter om honom eller henne som en personuppgiftsansvarig behand- lar har funnits under lång tid. Bestämmelser om rätt till registerutdrag fanns redan i datalagen (1973:289) och finns i dag i 26 § personuppgifts- lagen som genomför artikel 12 i EG-direktivet.

Enligt 26 § personuppgiftslagen är den personuppgiftsansvarige skyl- dig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande behandlas eller inte. Behandlas sådana uppgifter skall skriftlig information ett s.k. re- gisterutdrag lämnas också om vilka uppgifter om den sökande som be- handlas, varifrån dessa uppgifter har hämtats, ändamålen med behand- lingen, och till vilka mottagare eller kategorier av mottagare som uppgif- terna lämnas ut. Registerutdraget skall lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får utdraget dock lämnas senast fyra månader efter det att ansökan gjordes. Det finns ett par undantag i personuppgiftslagen från skyldigheten att lämna registerutdrag. Ett sådant utdrag behöver inte omfatta personupp- gifter i löpande text som inte fått sin slutliga utformning när ansökan 48 gjordes eller som utgör minnesanteckning eller liknande. Det gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats under längre tid än ett år. Utdraget behöver inte heller omfatta sådan information som enligt vad som är särskilt före- skrivet i lag eller annan författning eller i beslut som har meddelats med stöd av författning inte får lämnas ut till den registrerade, 27 § person- uppgiftslagen. Författningsgrundade bestämmelser om sekretess och tystnadsplikt går således före skyldigheten att lämna registerutdrag. En personuppgiftsansvarig som inte är en myndighet får därvid i motsvaran- de fall som avses i sekretesslagen (1980:100) vägra att lämna ut uppgifter till den registrerade. De två nu berörda undantagen har grundats på artikel 13.1 g i EG- direktivet. Att under en rimlig tid få ha sina ofärdiga alster och minnes- anteckningar i fred har nämligen betraktats som en sådan fri- och rättig- het som enligt artikel 13.1 berättigar till en begränsning av informations- skyldigheten. De bestämmelser om sekretess och tystnadsplikt som finns i Sverige har vidare ansetts vara uppställda till skydd för sådana fri- och rättigheter som avses i EG-direktivet.

9.2.2

Ingen ändring av skyldigheten att lämna registerutdrag avseende behandlingar i strukturerat material

Regeringens bedömning: Det bör inte göras någon ändring av skyl- digheten att lämna information enligt 26 § personuppgiftslagen för så- dana behandlingar som även fortsättningsvis skall omfattas av person- uppgiftslagens hanteringsregler. Utredningens förslag: Överensstämmer inte med regeringens. Utred- ningen har föreslagit att information enligt 26 § personuppgiftslagen inte skall behöva lämnas i den utsträckning det skulle visa sig omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats för den personupp- giftsansvarige. Remissinstanserna: En majoritet av remissinstanserna, bl.a. Riksda- gens ombudsmän, Stockholms tingsrätt, Socialstyrelsen, Statistiska cen- tralbyrån och juridiska fakultetsnämnden vid Stockholms universitet, tillstyrker förslaget. Malmö tingsrätt och Rikspolisstyrelsen menar att det är tveksamt om förslaget är förenligt med EG-direktivet om skydd för personuppgifter. Skälen för regeringens bedömning: Höga kostnader och oproportio- nerligt stor arbetsbörda för de personuppgiftsansvariga har, såväl av re- missinstanserna som av dem som svarat på Justitiedepartementets enkät om EG-direktivet (Ds 2001:27), framförts som argument mot skyldighe- ten att lämna registerutdrag i den utsträckning som personuppgiftslagen kräver. Sådana synpunkter har i första hand förts fram med anledning av att skyldigheten omfattar inte endast, som på datalagens tid, sådana upp- gifter som finns i regelrätta register utan också uppgifter i ostrukturerat material. Personuppgiftsansvariga som har en större mängd sådant mate- rial, t.ex. i form av löpande text, upplever problem med att uppfylla sin Prop. 2005/06:173 49 skyldighet att lämna korrekta registerutdrag särskilt om materialet finns Prop. 2005/06:173 på olika ställen, t.ex. i hundratals persondatorer. Redan vid införandet av personuppgiftslagen uppmärksammade regeringen att det beträffande sådant material kan innebära särskilda svårigheter att söka fram alla upp- gifter om en och samma person (se prop. 1997/98:44 s. 82 f.). Som framgår av avsnitt 8.4 föreslår regeringen nu, till skillnad från ut- redningen, att det beträffande sådant ostrukturerat material, t.ex. löpande text, som omfattas av den föreslagna missbruksregeln införs ett undantag från skyldigheten att lämna registerutdrag. På så sätt kommer man enligt regeringens uppfattning till rätta med många av de problem som remiss- instanserna och övriga personuppgiftsansvariga har påtalat. Att därutöver införa undantag från eller lättnader i skyldigheten att lämna registerutdrag vore enligt regeringens mening att föra för långt. Rätten att på begäran få ett registerutdrag är grundläggande för den regi- strerade och har funnits alltsedan 1973 års datalag antogs. Som framhål- lits i avsnitt 8.4 fyller den en viktig kontrollfunktion, framför allt när uppgifterna finns i regelrätta register och stora databaser där integritets- riskerna typiskt sett är större. Genom registerutdraget får den registrerade möjlighet att kontrollera om han eller hon är registrerad och, om så är fallet, att de registrerade uppgifterna är riktiga. Rätten till insyn är vidare en förutsättning för att den registrerade i praktiken skall kunna få felakti- ga uppgifter rättade i sådant material som inte omfattas av den föreslagna missbruksregeln. Skyldigheten för den personuppgiftsansvarige att lämna registerutdrag inträder först när den registrerade begär ett sådant utdrag. I enlighet med vad som angetts i förarbetena till personuppgiftslagen (prop. 1997/98:44 s. 82 f.) krävs det i princip inte heller att den personuppgiftsansvarige vidtar några förberedande åtgärder innan en begäran framställts; en an- nan sak är att allmänna administrativa skäl talar för att den personupp- giftsansvarige på förhand utarbetar rutiner för att på ett så effektivt sätt som möjligt kunna uppfylla registerutdragsskyldigheten, på samma sätt som sådana rutiner behövs för ett effektivt uppfyllande av andra skyldig- heter i verksamheten. Det är således inte fråga om någon betungande skyldighet i den vardagliga hanteringen av personuppgifter. Vidare är, som regeringen konstaterade i a. prop. (s. 83) den personuppgiftsansvari- ge bara skyldig att utnyttja de sök- och sammanställningsmöjligheter som han eller hon har tillgång till för att få fram information att lämna till den registrerade. Den personuppgiftsansvarige har således ingen skyldighet att tillskapa t.ex. nya program eller funktioner som det i övrigt inte finns behov av i verksamheten. Sammanfattningsvis anser alltså regeringen att övervägande skäl talar för att någon ändring av skyldigheten enligt 26 § personuppgiftslagen att på begäran lämna registerutdrag inte bör göras såvitt gäller uppgifter som behandlas i sådant material som faller utanför den föreslagna missbruks- regelns tillämpningsområde.

9.3

Överklagande av myndighetsbeslut

Regeringens förslag: En myndighets beslut om information, om rät- telse och underrättelse till tredje man om rättelseåtgärder, om informa- 50

tion om automatiserade beslut och om allmänna upplysningar om på- gående behandlingar får överklagas hos allmän förvaltningsdomstol. Andra beslut enligt personuppgiftslagen får inte överklagas. Pröv- ningstillstånd krävs vid överklagande till kammarrätten. Bestämmel- serna om överklagande skall dock inte gälla beslut av riksdagen, re- geringen och riksdagens ombudsmän. Regeringens bedömning: Särskilda bestämmelser om hur beslut av allmänna domstolar och allmänna förvaltningsdomstolar överklagas bör tas in i de registerlagar som skall reglera domstolarnas behandling av personuppgifter. Utredningens förslag: Överensstämmer i huvudsak med regeringens. Utredningen har dock inte föreslagit någon särreglering för Riksdagens ombudsmän. Remissinstanserna: De flesta remissinstanserna tillstyrker förslaget. Riksdagens ombudsmän (JO) menar dock att JO:s beslut inte bör kunna överklagas. Kammarrätten i Stockholm och Stockholms tingsrätt anser att man bör överväga om inte även överklagande av en domstols egna beslut om behandling av personuppgifter bör tas in i personuppgiftslagen. Dom- stolsverket påpekar att även överklagande av hyres- och arrendenämn- ders beslut bör regleras särskilt. Skälen för regeringens förslag och bedömning: EG-direktivet om personuppgifter kräver inte att andra beslut än tillsynsmyndighetens skall kunna överklagas. I personuppgiftslagen finns det heller inga andra be- stämmelser om överklagande än 51 § som endast reglerar överklagande av tillsynsmyndighetens beslut. Frågan om överklagande av andra myn- digheters beslut enligt personuppgiftslagen berördes inte heller särskilt i förarbetena till lagen. Trots avsaknad av uttryckliga bestämmelser därom torde dock, som utredningen konstaterat (bet. s. 210), tillämpningen av allmänna förvaltningsrättsliga principer leda till att åtminstone vissa be- slut av en myndighet enligt personuppgiftslagen kan överklagas. I samband med utformningen av särskilda registerlagar efter ikraftträ- dandet av personuppgiftslagen har ofta den bedömningen gjorts att myn- dighetsbeslut som direkt berör den enskilde skall kunna överklagas, me- dan myndighetsbeslut som ansetts som interna eller administrativa t.ex. beslut om att inrätta ett register och således inte direkt berör den en- skilde inte bör kunna överklagas. Det har därför införts bestämmelser som vanligen anger att beslut om rättelse och om information som skall lämnas enligt 26 § personuppgiftslagen (s.k. registerutdrag) får överkla- gas till allmän förvaltningsdomstol, dvs. länsrätt, och bestämmelser som ibland dessutom anger att andra beslut inte får överklagas. Prövningstill- stånd krävs för överklagande till kammarrätt. Bilden är dock något splitt- rad i fråga om existensen och utformningen av bestämmelser om över- klagande i särskilda registerlagar. Lagrådet har vid några tillfällen i yttranden över särskilda registerför- fattningar framfört synpunkten att regeringen bör överväga möjligheten att i personuppgiftslagen införa överklagandebestämmelser i fråga om myndigheters rättelse- och informationsbeslut (se bl.a. prop. 2000/01:54 s. 77 f. och prop. 2002/03:40 s. 241). På så sätt skulle bestämmelserna om meddelande av t.ex. rättelse- och informationsbeslut och om överkla- gande av dessa beslut finnas i en och samma lag. Prop. 2005/06:173 51 Regeringen kan instämma i att det i allmänhet inte är tillfredsställande att bestämmelser om överklagande av beslut finns i en lag och bestäm- melser om beslutens meddelande i en annan. Till detta kommer att inte alla myndigheters personuppgiftsbehandling regleras i en särskild regis- terförfattning. Dessa myndigheter stödjer i stället sin behandling direkt på personuppgiftslagen. För att avgöra om sådana myndigheters beslut enligt lagen kan överklagas måste utgångspunkt tas i allmänna förvalt- ningsrättsliga principer om överklagande i stället för i en uttrycklig be- stämmelse i lagen. Mot bakgrund av dessa förhållanden bör det, som ut- redningen föreslagit, i personuppgiftslagen införas särskilda bestämmel- ser om överklagande av myndighetsbeslut. Med den principiella utgångspunkten att beslut som direkt berör den enskilde skall kunna överklagas och att andra beslut, som kan betecknas som interna eller administrativa, inte bör få överklagas står det klart att, som utredningen konstaterat, följande beslut enligt personuppgiftslagen som meddelats av en myndighet bör få överklagas.

Beslut om information (registerutdrag) enligt 26 §.

Beslut om rättelse och underrättelse till tredje man om rättelseåt- gärder enligt 28 §.

Beslut om information om automatiserade beslut enligt 29 § andra stycket.

Beslut om allmänna upplysningar om pågående behandlingar en-

ligt 42 §. Det bör alltså införas en uttrycklig bestämmelse i personuppgiftslagen om att dessa beslut av myndighet får överklagas. Det bör också tas in en uttrycklig bestämmelse i personuppgiftslagen om att andra beslut av en myndighet inte får överklagas. I likhet med vad som gäller enligt i prin- cip samtliga registerförfattningar som innehåller särskilda bestämmelser om överklagande bör prövningen göras av allmän förvaltningsdomstol, dvs. länsrätt. Prövningstillstånd bör krävas för överklagande till kammar- rätt. För överklagande av domstolarnas beslut gäller i dag en delvis annan ordning än den föreslagna. Deras beslut om rättelse och information överklagas i dag enligt särskilda regler i förordningar för respektive domstol (10 § förordningen [2001:639] om registerföring m.m. vid all- männa domstolar med hjälp av automatiserad behandling, 10 § förord- ningen [2001:640] om registerföring m.m. vid länsrätt med hjälp av au- tomatiserad behandling och 11 § förordningen [2001:641] om registerfö- ring m.m. vid Regeringsrätten och kammarrätterna med hjälp av automa- tiserad behandling). Frågan om en lagreglering av domstolarnas samt hyres- och arrendenämndernas behandling av personuppgifter övervägs för närvarande inom Regeringskansliet med anledning av Domstolsdata- utredningens förslag (SOU 2001:100). I det arbetet inbegrips även frågan om ordningen för överklagande av beslut. Det finns inte anledning att nu föregripa dessa överväganden. En sak står dock klar redan nu; den särre- glering som även i fortsättningen torde krävas på detta område bör inte tas in i personuppgiftslagen som är en generell lag utan särbestämmelser för vissa myndigheter. De särskilda bestämmelser som det kan finnas behov av för domstolarna bör, som hittills, tas in i särskilda författningar. En sådan ordning blir i och för sig ett avsteg från den grundläggande princip som regeringen ovan ansett i allmänhet bör gälla om att bestäm- Prop. 2005/06:173 52 melser om meddelande och överklagande av ett och samma beslut bör Prop. 2005/06:173 finnas i samma lag. Denna konsekvens får dock accepteras på det be- gränsade och speciella område som överklagande av domstols beslut ut- gör. Utredningen har föreslagit att det i personuppgiftslagen tas in en erin- ran om att det finns särskilda föreskrifter såvitt avser överklagande av domstolarnas beslut. En sådan informationsbestämmelse är enligt reger- ingens mening överflödig. Personuppgiftslagen är subsidiär i förhållande till andra författningar. Om det finns avvikande bestämmelser i en annan lag eller i en förordning skall, enligt 2 § personuppgiftslagen, de be- stämmelserna gälla. Att det på vissa områden finns sådana avvikande bestämmelser behöver inte särskilt anges. Beslut enligt personuppgiftslagen som meddelats av riksdag och reger- ing bör inte kunna överklagas, jfr ordningen om utlämnande av allmänna handlingar, 15 kap. 7 § tredje stycket sekretesslagen (1980:100). En ut- trycklig bestämmelse därom bör tas in i personuppgiftslagen. Riksdagens ombudsmän (JO) har påpekat att inte heller JO:s beslut bör kunna över- klagas. För utlämnande av allmänna handlingar gäller samma ordning för JO som för riksdagen och regeringen, se 4 § andra stycket lagen (1989:186) om överklagande av administrativa beslut av riksdagsförvalt- ningen och riksdagens myndigheter. Det finns inte anledning att se an- norlunda på JO:s beslut enligt personuppgiftslagen. Även JO bör alltså tas med i uppräkningen av de organ vars beslut inte kan överklagas. Genom införandet av en bestämmelse om överklagande i personupp- giftslagen är det inte längre nödvändigt att i särskilda registerförfattning- ar, som hänvisar till personuppgiftslagen, ta in överklagandebestämmel- ser. Så länge sådana särskilda bestämmelser inte upphävts gäller de dock i första hand eftersom särbestämmelser i annan författning gäller framför personuppgiftslagen (2 §). Det kan finnas anledning att vid översyn av registerförfattningar särskilt uppmärksamma frågan om överklagande.

9.4

Undantag enligt artikel 13 i 

EG-direktivet om per- sonuppgifter

9.4.1

Artikel 13 i 

EG-direktivet

Som framgått av tidigare avsnitt finns det i artikel 13.1 EG-direktivet bestämmelser om att medlemsstaterna genom lagstiftning får begränsa omfattningen av vissa skyldigheter och rättigheter som följer av direkti- vet. Det gäller de skyldigheter och rättigheter som anges i artikel 6.1, 10, 11.1, 12 och 21, dvs.

de grundläggande kraven på behandlingen av personuppgifter (arti- kel 6.1, som motsvaras av 9 § personuppgiftslagen)

skyldigheten att informera den registrerade (artikel 10 och 11.1, som motsvaras av 

2325 §§ personuppgiftslagen)

rätten att på begäran få tillgång till uppgifterna och rättelse (artikel 12, som motsvaras av 26 och 28 §§ samt 29 § andra stycket per- sonuppgiftslagen)

reglerna om ett offentligt register över anmälda behandlingar och skyldigheten att hålla information om andra behandlingar tillgäng-

53 lig (artikel 21, som motsvaras av 42 § personuppgiftslagen och 7 § personuppgiftsförordningen) En sådan begränsning måste vara en nödvändig åtgärd med hänsyn till

a)

statens säkerhet,

b)

försvaret,

c)

allmän säkerhet,

d)

förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för lagreglerade yrken,

e)

ett viktigt ekonomsikt eller finansiellt intresse hos en medlemsstat eller hos Europeiska unionen, inklusive monetära frågor, budgetfrågor och skattefrågor,

f)

en 

tillsyns-, inspektions- eller regleringsfunktion som, även om den är av övergående karaktär, är förbunden med myndighetsutövning i de under punkterna c), d) och e) nämnda fallen eller

g)

skydd av den registrerades eller andras fri- och rättigheter.

En del av de intressen som nämns i artikeln avser sådan verksamhet som faller utanför gemenskapsrätten och därmed inte omfattas av direk- tivet (se artikel 3.2 i direktivet). Personuppgifter som behandlas i verk- samheter som omfattas av gemenskapsrätten och därmed av direktivet kan dock t.ex. behöva lämnas ut för att användas i verksamhet som faller utanför gemenskapsrätten. Artikel 13.1 ger i detta fall stöd för att begrän- sa användningen av vissa bestämmelser i direktivet för de verksamheter som i och för sig omfattas av direktivet i syfte att underlätta för verksam- het som inte omfattas av gemenskapsrätten. Något generellt undantag som motsvarar det som är tillåtet att göra en- ligt artikel 13 i EG-direktivet har inte tagits in i personuppgiftslagen, och frågan om att ta in ett sådant undantag har inte heller diskuterats i förar- betena. Däremot har artikel 13 åberopats som grund för ett par specifika undantag eller motsvarande i lagen. Det gäller dels definitionen av blockering, dels undantag från skyldigheten att lämna registrerade infor- mation (se prop. 1997/98:44 s. 47 och s. 83 f.).

9.4.2

Rätt för regeringen att i fall som avses i artikel 13 i EG- direktivet föreskriva om undantag

Regeringens förslag: Regeringen skall få meddela föreskrifter om så- dana undantag som är tillåtna enligt artikel 13.1 i EG-direktivet om skydd för personuppgifter. Utredningens förslag: Överensstämmer delvis med regeringens. Ut- redningen har dock föreslagit att rätten att meddela föreskrifter även skall kunna delegeras till den myndighet regeringen bestämmer samt att reger- ingen eller den myndighet regeringen bestämmer skall få meddela beslut i enskilda fall. Remissinstanserna: En majoritet av de remissinsatser som har yttrat sig i denna del, bl.a. Kammarrätten i Stockholm och juridiska fakultets- nämnden vid Stockholms universitet, tillstyrker förslaget. Datainspektio- Prop. 2005/06:173 54 nen invänder mot att delegation till myndighet skall kunna ske eftersom de intressen som anges i artikel 13 i EG-direktivet är sådana som reger- ingen i fråga om förbudet mot att överföra personuppgifter till tredje land inte ansett det lämpligt att delegera till myndighet. Försvarsmakten me- nar att begreppet statens säkerhet bör bytas ut mot rikets säkerhet och att begreppet försvaret bör konkretiseras till det militära försva- ret om det är vad som avses. Skälen för regeringens förslag: Artikel 13.1 i EG-direktivet ger möj- lighet till undantag från vissa bestämmelser när det är nödvändigt med hänsyn till fullgörandet av viktiga samhälls- eller myndighetsfunktioner (punkt af). Dessutom finns det, som framgått i avsnitt 8.3.2, möjlighet att göra undantag om det är nödvändigt med hänsyn till skyddet av fri- och rättigheter (punkt g). Som ett led i att, inom ramen för nuvarande lydelse av EG-direktivet, i så stor utsträckning som möjligt införa undantag från personuppgiftsla- gens hanteringsregler har utredningen haft att överväga om de undan- tagsmöjligheter som artikel 13 erbjuder bör tas in direkt i personuppgifts- lagen. Utredningen har dock kommit fram till att dessa undantag är allt- för generella och vaga för att det lämpligen skall låta sig göras. Reger- ingen har ingen annan uppfattning. Att låta alla personuppgiftsansvariga själva bedöma om det är befogat med ett undantag i ett konkret fall skulle kunna leda till rättsosäkerhet och risk för integritetskränkningar. Resulta- tet skulle också kunna bli att personuppgiftsansvariga, av rädsla för att göra fel, inte utnyttjar undantagsbestämmelserna i tillräcklig utsträckning för att t.ex. viktiga samhälls- och myndighetsfunktioner skall fungera tillfredsställande. Bedömningen av om det är nödvändigt för att sådana funktioner skall fungera eller för skyddet för fri- och rättigheter att vissa regler i personuppgiftslagen inte tillämpas bör vidare inte göras av varje enskild personuppgiftsansvarig. Regeringen anser därför, i likhet med utredningen, att sådana undantag som är tillåtna enligt artikel 13.1 nor- malt bör utformas som skyldigheter för personuppgiftsansvariga och inte som regler som ger denne möjlighet att, om han eller hon så skulle önska, göra undantag. Att i någon större utsträckning ta in bestämmelser i personuppgiftsla- gen om sådana skyldigheter, som grundar sig på andra intressen än integ- ritetsskyddet, skulle strida mot systematiken i och syftet med personupp- giftslagen. I särlagstiftning med bestämmelser som avviker från person- uppgiftslagen (se 2 §) är det emellertid möjligt att på speciella områden införa preciserade bestämmelser med undantag som baserar sig på artikel 13.1. Det kan t.ex. gälla bestämmelser om uppgiftsskyldighet till myn- digheter som skall gälla oavsett vilket ändamål den personuppgiftsansva- rige ursprungligen bestämt för sin behandling av personuppgifterna och oavsett den s.k. finalitetsprincipen i 9 § första stycket d personuppgifts- lagen. Konkreta bestämmelser som grundar sig på möjligheterna till un- dantag enligt artikel 13.1 bör vid behov tas in i sådana författningar. Det ger den bästa garantin för en välgrundad och rimlig avvägning i den ak- tuella situationen mellan integritetsskyddet och andra intressen. Den nu- varande lagstiftningssystematiken där undantagsbestämmelser som stöder sig på artikel 13.1 normalt inte finns i personuppgiftslagen utan i särlagstiftning med avvikande bestämmelser är således ändamålsenlig och bör bestå. Prop. 2005/06:173 55 Som utredningen har påtalat kan det uppkomma situationer, som inte Prop. 2005/06:173 varit möjliga att förutse vid utarbetandet av sådan särlagstiftning, där det är befogat att undantag görs med stöd av artikel 13. För sådana fall kan det behövas en möjlighet för regeringen att enligt personuppgiftslagen föreskriva om undantag, t.ex. i avvaktan på att särlagstiftning hinner ut- arbetas eller ändras. Som utredningen föreslagit bör därför regeringen bemyndigas att meddela generella föreskrifter om sådana undantag som är tillåtna enligt artikel 13.1 i direktivet. Enligt utredningens förslag skall denna rätt kunna delegeras även till den myndighet regeringen bestäm- mer, i första hand Datainspektionen. Regeringen anser dock, i likhet med Datainspektionen, att de intressen som det enligt artikel 13.1 kan göras undantag för, t.ex. statens säkerhet, allmän säkerhet och försvaret, är så- dana som i första hand bör ankomma på riksdag eller regering att beakta. Det bör därför inte vara möjligt att delegera rätten att föreskriva undantag med stöd av artikel 13.1 till någon annan än regeringen. Något behov av att i enskilda fall besluta om undantag torde enligt regeringens mening inte föreligga. Det bör därför inte, som utredningen har föreslagit, införas en sådan möjlighet för regeringen eller myndighet. Personuppgiftslagen följer i stort sett direktivets text och struktur. Det- ta har motiverats med att det är EG-domstolen som har att tolka de be- grepp och uttryck som direktivet innehåller (se prop. 1997/98:44 s. 38). Mot bakgrund av detta bör man vid införandet av de undantagsmöjlighe- ter som artikel 13 erbjuder så långt möjligt nära ansluta till de formule- ringar som används i artikeln. Försvarsmakten har påtalat att man i lag- texten bör byta ut begreppet statens säkerhet mot rikets säkerhet. Av kommissionens förklaring till direktivet (se SOU 1993:10 s. 184) fram- går att begreppet statens säkerhet är avsett att omfatta skydd av den na- tionella suveräniteten mot såväl interna som externa hot. Detta får anses motsvara vad som innefattas även i begreppet rikets säkerhet. Mot bak- grund härav bör man som Försvarsmakten föreslagit använda det i svensk författningstext mer gängse uttrycket rikets säkerhet. Vad som innefattas i EG-direktivets uttryck försvaret är emellertid mera oklart. Det torde enligt regeringens mening kunna omfatta såväl det militära som det civila försvaret. Regeringen finner inte anledning att i detta av- seende i lagtexten introducera något annat begrepp än direktivets.

10

Ikraftträdande- och övergångsbestämmelser

Regeringens förslag: Ändringarna skall träda i kraft den 1 januari

2007. Föreskrifterna om överklagande skall dock inte tillämpas i fråga

om överklagande av beslut som meddelats före ikraftträdandet.

Utredningens förslag: Utredningen har inte föreslagit något datum för

ikraftträdande. I övrigt överensstämmer det med regeringens.

Remissinstanserna: Några särskilda synpunkter har inte framförts i

denna del.

Skälen för regeringens förslag: De föreslagna ändringarna i person-

uppgiftslagen bör träda i kraft den 1 januari 2007. På så sätt ges tid för

Datainspektionen att förbereda informationsinsatser för personuppgifts-

56

ansvariga, personuppgiftsombud och allmänhet samt utarbeta och vid Prop. 2005/06:173 behov omarbeta informationsmaterial. Den nya bestämmelsen om överklagande bör dock inte tillämpas på beslut som meddelats före ikraftträdandet. Av 5 § andra stycket lagen (1964:163) om införande av brottsbalken följer att en gärning som begåtts före ikraftträdandet av den nya lydelsen av straffbestämmelsen i personuppgiftslagen och som är att bedöma som oaktsamhet av normalgraden, inte skall leda till straff om dom meddelas efter ikraftträdandet. 11 Kostnadseffekter Regeringens bedömning: De föreslagna ändringarna bedöms endast leda till marginella merkostnader. Dessa skall finansieras inom befint- liga ramar. Utredningens bedömning: Överensstämmer med regeringens. Remissinstanserna: Länsrätten i Stockholms län efterlyser en bättre analys av kostnadseffekterna för domstolarna och menar att även om det redan i dag torde vara möjligt att överklaga myndigheters beslut enligt personuppgiftslagen kommer en uttrycklig bestämmelse därom att leda till att fler får kännedom om möjligheten. Datainspektionen menar att extra resurser kommer att behövas, både för dess vägledande informa- tionsinsatser och för hanteringen av frågor och klagomål. Skälen för regeringens bedömning: Lagförslaget innebär bl.a. att behandling av personuppgifter i ostrukturerat material underlättas i för- hållande till vad som gäller i dag. Detta medför i sig inte några kostnads- ökningar. För Datainspektionens del innebär förslaget i ett initialt skede ett ökat behov av informationsinsatser riktade till personuppgiftsansvari- ga, personuppgiftsombud och allmänheten. Detta skall hanteras inom ramen för befintligt anslag. Förslaget att införa en uttrycklig bestämmelse i personuppgiftslagen om att vissa beslut enligt personuppgiftslagen som fattas av myndigheter skall kunna överklagas till allmän förvaltningsdomstol innebär i prakti- ken endast en kodifiering av vad som får anses gälla redan i dag enligt allmänna förvaltningsrättsliga principer. Införandet av en uttrycklig be- stämmelse i lagen kan i och för sig sägas leda till att fler får kännedom om möjligheten att överklaga och därmed utnyttjar denna möjlighet i större utsträckning än i dag. Detta kan dock inte förutses ske i sådan om- fattning att domstolarna skulle behöva kompenseras ekonomsikt. Övriga förslag kan heller inte anses vara av sådan karaktär att de bör föranleda några kostnadsmässiga konsekvenser. 57 12 Författningskommentar 5 a § Paragrafen, som är ny och som har utformats i enlighet med Lagrådets förslag, har behandlats i avsnitt 8.1

8.4.

Den syftar till att underlätta sådan behandling av personuppgifter som inte ingår i eller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller samman- ställning av personuppgifter. Som en sammanfattande benämning på vad som avses med denna formulering har i rubriken till paragrafen begrep- pet ostrukturerat material använts. I avsnitt 8.1 har utvecklats och ex- emplifierats vad som avses med den i paragrafen valda formuleringen. Det är strukturen på materialet, där personuppgifterna ingår, som avgör om paragrafen är tillämplig eller inte. Vilken typ av personuppgifter som behandlas eller i vilket medium de förekommer, t.ex. i text, ljud eller bild eller annat, inverkar inte på bedömningen. Personuppgifter som finns i en sådan samling som avses i 5 § andra stycket (s.k. manuella register) får alltid anses ingå i en sådan strukture- rad samling som avses i förevarande paragraf. Det innebär att undantaget i denna paragraf bara har betydelse för automatiserad behandling av per- sonuppgifter eftersom manuell behandling av personuppgifter omfattas av lagen endast om uppgifterna ingår i en strukturerad samling (register) i enlighet med 5 § andra stycket. Bestämmelsen i första stycket innebär att behandling av personuppgif- ter i ostrukturerat material är undantagen från samtliga hanteringsregler i personuppgiftslagen som det har bedömts möjligt att inom ramen för EG- direktivet om personuppgifter göra undantag från. Detta betyder att den som behandlar personuppgifter t.ex. i löpande text i ordbehandlingspro- gram, i e-post eller på Internet samt i enstaka ljud- eller bildupptagningar inte behöver beakta bestämmelserna om grundläggande krav på behand- lingen av personuppgifter (9 §) och om när behandling av personuppgif- ter är tillåten (10 §). Inte heller behöver den personuppgiftsansvarige iaktta förbuden i 13 och 21 §§ mot att behandla känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. eller de särskilda villkor för behandling av personnummer som uppställs i 22 §. Vidare är den per- sonuppgiftsansvarige inte skyldig att tillämpa bestämmelserna om när information till den registrerade skall lämnas (23, 24 och 26 §§). Han eller hon är inte heller skyldig att på begäran av den registrerade rätta m.m. personuppgifter enligt 28 § samt behöver inte iaktta förbudet i 33 § mot överföring av personuppgifter till tredje land som inte har en adekvat nivå för skyddet av personuppgifterna. Slutligen undantas sådan behand- ling från skyldigheten enligt 42 § att lämna upplysningar till allmänheten. Skall materialet, t.ex. den löpande texten, infogas i en databas med en personuppgiftsanknuten struktur, exempelvis ett ärendehanteringssystem, måste däremot hanteringsreglerna tillämpas. Sådan behandling av personuppgifter som undantas från de i första stycket angivna hanteringsreglerna regleras i stället av bestämmelsen i andra stycket. Behandlingen får nämligen inte utföras om den innebär en kränkning av den registrerades personliga integritet. Regeringen har valt att följa Lagrådets förslag till formulering av andra stycket trots att det Prop. 2005/06:173 58 av Statsrådsberedningens riktlinjer för författningsspråket (PM 1994:4) följer att man i normalfallet inte behöver använda sig av så utförliga hän- visningar mellan styckena i en och samma paragraf. Vad som kan utgöra en kränkning av den personliga integriteten har utvecklats i avsnitt 8.2. Bedömningen av vad som är en kränkning skall inte göras schablonartat enbart utifrån vilka uppgifter som behandlas utan måste ta sin utgångspunkt också i t.ex. vilket sammanhang uppgifterna förekommer i, för vilket syfte de behandlas, vilken spridning de har fått eller riskerat att få samt vad behandlingen kan leda till. Det bör även be- aktas att vad som kan utgöra en kränkning för en viss person eller i ett visst sammanhang inte behöver utgöra det för en annan person eller i ett annat sammanhang. En uppgift om exempelvis en persons politiska åsik- ter kan i ett visst sammanhang t.ex. rörande en politiker vara fullstän- digt harmlös medan motsvarande uppgift om en politiskt icke aktiv per- son för denne kan vara väldigt känslig ur integritetssynpunkt. Som påpekats i avsnitt 8.1 innebär inte bestämmelsen att den person- uppgiftsansvarige skulle vara förhindrad att tillämpa de i första stycket uppräknade hanteringsreglerna på ostrukturerat material. Om någon i ett enskilt fall är osäker på om hans eller hennes behandling av personupp- gifter omfattas av undantaget kan han eller hon välja att i stället tillämpa hanteringsreglerna. Har dessa tillämpats kan det inte anses vara fråga om ett missbruk av personuppgifter i den mening som avses i andra stycket. För att det av lagtexten tydligt skall framgå att den personuppgiftsansva- rige har en sådan valmöjlighet anges i första stycket, på inrådan av Lag- rådet, att de angivna hanteringsreglerna inte behöver, i stället för inte skall, tillämpas på behandling av ostrukturerat material. Avsikten med bestämmelsen är inte att behandling av personuppgifter skall bedömas som en kränkning av den personliga integriteten och där- med en överträdelse av personuppgiftslagen i större utsträckning än i dag. Bestämmelsens syfte är således inte att, för automatiserad person- uppgiftsbehandling, tillskapa ett generellt skydd mot vad som i dagligt tal kan betecknas som en kränkning av den personliga integriteten. Om sådan behandling som avses i paragrafen har inneburit en kränk- ning av den registrerades personliga integritet har personuppgifterna be- handlats i strid med personuppgiftslagen på ett sådant sätt att skades- tåndsskyldighet inträder enligt 48 §. Under vissa förutsättningar är hand- landet även straffbelagt, se nedan i anslutning till 49 §. Av 12 § andra stycket följer att den registrerade inte har rätt att motsät- ta sig sådan behandling som är tillåten enligt paragrafen. Tillämpningen av de till 13, 23, 24 och 33 §§ anslutande bestämmel- serna, 14

19, 25 och 34 §§ på behandling av personuppgifter i ostruktu- rerat material blir inte aktuell redan genom att tillämpningen av de först- nämnda paragraferna undantas såvitt avser sådan behandling. På inrådan av Lagrådet har dock dessa tagits med i uppräkningen av de undantagna paragraferna. 7 § I andra stycket har 5 a § lagts till i uppräkningen. Ändringen är en följd- ändring och innebär att den nya föreslagna paragrafen inte i likhet med de flesta andra bestämmelser i personuppgiftslagen skall tillämpas på Prop. 2005/06:173 59 sådan behandling av personuppgifter som sker uteslutande för journalis- tiska ändamål eller konstnärligt och litterärt skapande. 8 a § Paragrafen, som är ny, har behandlats i avsnitt 9.4. I paragrafen bemyndigas regeringen att meddela föreskrifter om un- dantag från vissa bestämmelser i personuppgiftslagen. I fråga om både vilka bestämmelser som undantag kan medges ifrån och under vilka förutsättningar så kan ske skall paragrafen ha samma innebörd som artikel 13.1 i EG-direktivet om personuppgifter. 49 § I paragrafen har två nya punkter (e och f) införts. Dessa tillägg har be- handlats i avsnitt 8.5. Vidare har paragrafen ändrats så att de i bestäm- melsen angivna gärningarna inte är straffbara om de begås av oaktsamhet av normalgraden. Skälen härtill har redovisats i avsnitt 9.1.2. Den som uppsåtligen eller av grov oaktsamhet behandlar sådana upp- gifter som avses i 13 och 21 §§, dvs. känsliga personuppgifter och upp- gifter om lagöverträdelser m.m., i strid med 5 a §, dvs. på ett sätt som innebär en kränkning av den registrerades personliga integritet, skall dö- mas för brott mot personuppgiftslagen till böter eller fängelse i högst sex månader eller om brottet är grovt till fängelse i högst två år. I ringa fall skall inte dömas till ansvar. Detsamma skall gälla för den som uppsåtli- gen eller av grov oaktsamhet i strid med 5 a § för över personuppgifter till tredje land som inte har en sådan adekvat nivå för skyddet av person- uppgifterna som avses i 33 §. Utgångspunkten för vad som skall bedö- mas som en kränkning av den personliga integriteten har behandlats i avsnitt 8.2 och i anslutning till 5 a §. Att oaktsamhet av normalgraden inte längre skall vara straffbar inne- bär bl.a. att sådana fall där överträdelsen i sig är mindre klandervärd, men som p.g.a. att oaktsamheten lett till en skada eller en integritets- kränkning som inte är försumbar ändå inte kan bedömas som ringa och därmed straffri, skall falla utanför det straffbara området. 51 § Efter förslag från Lagrådet har andra stycket om att prövningstillstånd krävs vid överklagande till kammarrätt flyttats till en ny paragraf, 53 §. 52 § Paragrafen, som är ny och som har utformats i enlighet med Lagrådets förslag, har behandlats i avsnitt 9.3 och innebär att sådana beslut enligt personuppgiftslagen som fattats av myndighet och som direkt berör den enskilde skall kunna överklagas till allmän förvaltningsdomstol. Av den nya 53 § framgår att prövningstillstånd krävs vid överklagande till kam- marrätt. Prop. 2005/06:173 60 Enligt andra stycket kan inte beslut av riksdagen, regeringen och riks- dagens ombudsmän överklagas. 53 § Paragrafen, som är ny, har införts på inrådan av Lagrådet. För att det inte skall råda någon tvekan om att inte bara beslut enligt 51 och 52 §§, utan också länsrätts beslut enligt 47 §, kan överklagas har dock regeringen valt en annan formulering av paragrafen än den av Lagrådet föreslagna. Kravet på prövningstillstånd i andra stycket gäller för beslut som avses i såväl 47 § som 51 och 52 §§. Ikraftträdande- och övergångsbestämmelse Bestämmelsen har behandlats i avsnitt 10. Ändringarna föreslås träda i kraft den 1 januari 2007. Föreskrifterna om överklagande skall dock inte tillämpas i fråga om överklagande av beslut som har meddelats före ikraftträdandet. Prop. 2005/06:173 61 Sammanfattning av Personuppgiftslagsutredningens betänkande översyn av personuppgiftslagen (SOU 2004:6) Prop. 2005/06:173 Bilaga 1 Hanteringen av personuppgifter som inte ingår i personregister under- lättas Personuppgiftslagsutredningen har haft i uppdrag att göra en översyn av personuppgiftslagen. Syftet har varit att undersöka om det trots gällande EG-direktiv om personuppgifter går att införa regler mot missbruk av personuppgifter i stället för regler om hanteringen av sådana uppgifter. Utredningen anser att det är möjligt i fråga om behandling av person- uppgifter i ostrukturerat material t.ex. i form av löpande text och ljud och bild. Det ställningstagandet har gjorts efter en noggrann analys av undan- tagsmöjligheterna i EG-direktivet i belysning av den utveckling som skett sedan personuppgiftslagen trädde i kraft 1998, bl.a. EG-domstolens motivering i domen i det svenska s.k. konfirmandlärarmålet. Utredningen föreslår ett undantag från de allra flesta hanteringsregler- na i personuppgiftslagen för behandling av sådana personuppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av personupp- gifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter, dvs. i praktiken personregister och personuppgiftsanknutna databaser. Utredningens förslag innebär i korthet att hanteringsreglerna i person- uppgiftslagen inte skall tillämpas på bl.a. sådan vardaglig hantering som produktion av löpande text i ordbehandlingsprogram, publicering av lö- pande text på Internet, användning av ljud- och bildupptagningar och korrespondens med e-post under förutsättning att materialet inte skall infogas i en databas med en personuppgiftsanknuten struktur såsom ett ärendehanteringssystem. Den som i sin dator vill hantera personuppgifter i löpande text, t.ex. enkla meddelanden eller kortare och längre texter, eller i ljud och bild eller i e-post behöver således normalt inte bry sig om hanteringsreglerna i personuppgiftslagen. Det är bara om han eller hon vill infoga materialet i någon form av databas som det behövs ytterligare överväganden. Har databasen en personuppgiftsanknuten struktur, där just personuppgifter har markerats som sådana, måste hanteringsreglerna tillämpas. Den föreslagna, nya regleringen har i praktiken betydelse bara vid au- tomatiserad behandling som sker med hjälp av datorer. Den behandling som undantas från hanteringsreglerna skall enligt för- slaget i stället regleras av en enkel regel till skydd mot missbruk av per- sonuppgifterna. Behandlingen av personuppgifter får nämligen inte utfö- ras om den innebär ett otillbörligt intrång i den personliga integriteten. För att underlätta tillämpningen har utredningen i sina kommentarer sammanfattat några enkla och självklara riktlinjer som bör följas:

Behandla inte personuppgifter för otillbörliga syften, såsom förföljel- se eller skandalisering

Samla inte utan godtagbara skäl en stor mängd uppgifter om en per-

son 62

Rätta personuppgifter som visar sig vara felaktiga eller missvisande

Prop. 2005/06:173

Förtala eller förolämpa inte någon annan

Bilaga 1

Bryt inte mot tystnadsplikt

Den registrerade skall vidare liksom i dag ha rätt att på begäran få ett s.k. registerutdrag med bl.a. de personuppgifter som behandlas. Ett generellt undantag föreslås emellertid för den händelse det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats att lämna ett registerutdrag, t.ex. därför att det är svårt att hitta uppgifter om en viss person i löpande text och ljud- och bildupptagningar. Den som bryter mot reglerna till skydd mot missbruk av personuppgif- ter kan enligt förslaget få betala skadestånd till den registrerade. Försla- get innebär vidare att Datainspektionen skall se till att reglerna följs. Skyldigheten att lämna registerutdrag blir mindre betungande Om en personuppgiftsansvarig har väldigt många register, en större mängd ostrukturerat material eller material på många olika ställen, t.ex. i hundratals persondatorer, kan det vara omöjligt eller väldigt betungande att söka fram alla uppgifter om en person som begär ett s.k. registerut- drag. Utredningen föreslår därför att det uttryckligen anges att informa- tion enligt 26 § personuppgiftslagen, i form av ett s.k. registerutdrag, inte behöver lämnas i den utsträckning detta visar sig vara omöjligt eller skul- le innebära en oproportionerligt stor arbetsinsats. Det krävs dock som regel att den sökande först tillfrågas om sådana upplysningar som kan underlätta sökandet efter personuppgifterna. Syftet med den föreslagna ändringen är inte att inskränka det som fak- tiskt tillämpas i dag utan snarast att verklighetsanpassa lagtexten. Regeringen och myndigheter får föreskriva sådana undantag från per- sonuppgiftslagen som är tillåtna enligt EG-direktivet

Enligt EG-direktivet är det tillåtet för medlemsstaterna att föreskriva un- dantag från vissa bestämmelser i EG-direktivet när det är nödvändigt med hänsyn till fullgörandet av vissa uppräknade viktiga samhälls- och myndighetsfunktioner eller med hänsyn till skyddet av fri- och rättighe- ter. Någon motsvarande undantagsbestämmelse finns inte i dag i person- uppgiftslagen. Utredningen föreslår att undantagsmöjligheterna utnyttjas genom att regeringen och den myndighet som regeringen bestämmer ut- tryckligen bemyndigas att meddela föreskrifter och beslut i enskilda fall om sådana undantag som är tillåtna enligt EG-direktivet.

Bara grovt oaktsamma förfaranden skall vara straffbara I dag kan en person dömas till böter eller fängelse om han eller hon upp- såtligen eller av oaktsamhet bryter mot personuppgiftslagen i fyra upp- räknade fall. Utredningen föreslår en avkriminalisering som innebär att, förutom uppsåtliga förfaranden, bara grovt oaktsamma förfaranden skall vara straffbara. Utredningen har inte funnit anledning att i övrigt föreslå en avkriminalisering. 63 Det förtydligas hur myndighetsbeslut överklagas Redan i dag kan vissa myndighetsbeslut enligt personuppgiftslagen över- klagas enligt allmänna bestämmelser om överklagande. Utredningen fö- reslår att det direkt i personuppgiftslagen tas in bestämmelser om i vilka fall och hur en myndighets beslut enligt lagen överklagas. Särskilda be- stämmelser om hur beslut av domstolar överklagas skall dock enligt för- slaget tas in i de registerlagar som reglerar domstolarnas behandling av personuppgifter. Personuppgiftslagens förhållande till offentlighetsprincipen och sekre- tesslagen förtydligas I syfte att förtydliga föreslår utredningen en uttrycklig regel om att de generella bestämmelserna i personuppgiftslagen inte inskränker myndig- heternas skyldighet enligt offentlighetsprincipen i 2 kap. tryckfrihetsför- ordningen att på begäran söka efter, sammanställa och lämna ut person- uppgifter. Utredningen föreslår vidare att även andra organ än myndighe- ter som har skyldigheter enligt offentlighetsprincipen, t.ex. kommunala bolag, skall omfattas av de undantag med hänsyn till offentlighetsprinci- pen som finns i personuppgiftslagen. Enligt 7 kap. 16 § sekretesslagen gäller sekretess för personuppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen. Utredningen har haft i uppdrag att förtyd- liga bestämmelsen men inte att föreslå att den skall ändras i sak eller upphävas. Utredningen föreslår att bestämmelsen förtydligas enligt föl- jande. Sekretess skall gälla för en personuppgift om det finns skäl att anta att uppgiften efter ett utlämnande kommer att behandlas i strid med person- uppgiftslagen. Därmed förtydligas bl.a. att myndigheten måste ha något skäl t.ex. att uppgifter om väldigt många människor begärs utlämnade för att ställa frågor om den tilltänkta användningen av uppgifterna. Sekretess skall också gälla för en personuppgift om myndighetens ut- lämnande av uppgiften står i strid med bestämmelsen om överföring av personuppgifter till tredje land i 33 § personuppgiftslagen. Det skall dock inte medföra sekretess för uppgifter i allmänt register som enligt lag eller förordning är avsett att ge allmänheten information, t.ex. fastighetsregist- ret. Dessa bestämmelser kommer i praktiken bara att vara aktuella i det undantagsfallet att en myndighet enligt offentlighetsprincipen är skyldig att sända en personuppgift till utlandet. Övriga frågor Utredningen har haft i uppdrag att se över möjligheten till undantag för sådan behandling av personuppgifter inom den privata sfären som faller utanför EG-rätten och därmed inte omfattas av EG-direktivet. Utredning- en konstaterar att det undantag för rent privat behandling av personupp- gifter som är tillåtet enligt EG-direktivet redan har utnyttjats fullt ut och att det inte finns skäl för att göra ytterligare undantag från personupp- giftslagen. Prop. 2005/06:173 Bilaga 1 64 I dag finns det i personuppgiftslagen ett förbud för andra än myndighe- ter, dvs. enskilda, att behandla personuppgifter om lagöverträdelser m.m., men undantag kan föreskrivas i andra författningar eller i beslut i enstaka fall. Utredningen har haft i uppdrag att analysera om konkreta undantag bör tas in direkt i personuppgiftslagen. Utredningen har kom- mit fram till att de möjligheter till undantag genom generella föreskrifter i andra författningar och genom beslut i enstaka fall som redan finns är tillräckliga och att några bestämmelser om undantag från förbudet för enskilda att behandla personuppgifter om lagöverträdelser således inte bör föras in direkt i personuppgiftslagen. Det föreslås inga ändringar i personuppgiftslagen med anledning av EG-domstolens dom med tolkningsbesked i det svenska s.k. konfirmand- lärarmålet om publicering av personuppgifter på Internet. _______________ De föreslagna lagändringarna kan i praktiken träda i kraft tidigast den 1 juli 2005. Prop. 2005/06:173 Bilaga 1 65

Nuvarande lydelse

8 § Bestämmelserna i denna lag till-

lämpas inte i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfri- hetsförordningen att lämna ut per- sonuppgifter.

Personuppgiftslagsutredningens författningsförslag 1. Förslag till lag om ändring i personuppgiftslagen (1998:204) Härigenom föreskrivs i fråga om personuppgiftslagen (1998:204 dels att 8, 26 och 49 §§ skall ha följande lydelse, dels att det i lagen skall införas fyra nya paragrafer, 5 a, 26 a och 42 a och 52 §§, samt närmast före 5 a och 42 a §§ nya rubriker av följande lydelse. Föreslagen lydelse Prop. 2005/06:173 Bilaga 2 Personuppgifter som inte ingår i register 5 a § Bestämmelserna i 9, 10, 13, 21, 23, 24, 28, 33 och 42 §§ skall inte tillämpas på behandling av per- sonuppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just person- uppgifter. Sådan behandling får utföras bara om den inte innebär ett otillbörligt intrång i den per- sonliga integriteten. Bestämmelserna i denna lag till- lämpas inte i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfri- hetsförordningen att söka efter, sammanställa och lämna ut per- sonuppgifter. Bestämmelserna innebär inte heller en sådan be- gränsning av en myndighets befo- genhet att göra en sammanställ- ning tillgänglig som avses i 2 kap. 3 § tredje stycket tryckfrihetsför- ordningen. Bestämmelserna hindrar inte heller att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Bestämmelsen i 9 § fjärde stycket gäller inte för en myndighets användning av personuppgifter i allmänna handlingar. Vid tillämpningen av denna pa- ragraf jämställs med myndighet ett 66 annat organ i den utsträckning som anges i 1 kap. 8 och 9 §§ sek- retesslagen (1980:100). 26 § Den personuppgiftsansvarige är skyldig att till var och en som an- söker om det en gång per kalenderår gratis lämna besked om personupp- gifter som rör den sökande behandlas eller ej. Behandlas sådana uppgif- ter skall skriftlig information lämnas också om

a)

vilka uppgifter om den sökande som behandlas,

b)

varifrån dessa uppgifter har hämtats,

c)

ändamålen med behandlingen, och

d)

till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut.

En ansökan enligt första stycket skall göras skriftligen hos den per- sonuppgiftsansvarige och vara undertecknad av den sökande själv. In- formation enligt första stycket skall lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast fyra månader efter det att ansökan gjordes. Information enligt första stycket behöver inte lämnas om person- uppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Vad som nu sagts gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga än- damål eller, när det gäller löpande text som inte fått sin slutliga ut- formning, om uppgifterna har be- handlats under längre tid än ett år. 26 a § Information enligt 26 § behöver inte lämnas i den utsträckning det- ta visar sig vara omöjligt eller skulle innebära en oproportioner- ligt stor arbetsinsats. Information enligt 26 § behöver inte heller lämnas om personupp- gifter i löpande text som inte fått sin slutliga utformning när ansö- kan gjordes eller som utgör min- nesanteckning eller liknande. Vad som nu sagts gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, Prop. 2005/06:173 Bilaga 2 67 Till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år döms den som uppsåtligen eller av oaktsamhet statistiska eller vetenskapliga än- damål eller, när det gäller löpande text som inte fått sin slutliga ut- formning, om uppgifterna har be- handlats under längre tid än ett år. Bemyndigande att meddela un- dantag 42 a § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från 9, 2326 och 28 §§ samt 29 § andra stycket och 42 § om det är nödvändigt med hänsyn till

a)

statens säkerhet,

b)

försvaret,

c)

allmän säkerhet,

d)

åtal eller förebyggande, ut- redning eller avslöjande av brott eller av överträdelse av etiska reg- ler,

e)

ett viktigt ekonomiskt eller fi- nansiellt intresse hos Europeiska unionen eller en stat som ingår i den unionen eller är ansluten till Europeiska samarbetsområdet,

g)

myndighetsutövning som av- ser tillsyn, inspektion eller regler- ing i fråga om sådant som nämns i 

ce, eller

h)

skyddet av fri- och rättighe-

ter. Regeringen får under de förut- sättningar som nämns i första stycket i enskilda fall besluta om undantag från 9, 23-26 och 28 §§ samt 29 § andra stycket och 42 §. Regeringen får överlåta åt myn- dighet att fatta sådant beslut. 49 § Till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år döms den som uppsåtligen eller av grov oaktsamhet Prop. 2005/06:173 Bilaga 2 68

a) lämnar osann uppgift i sådan information till registrerade som före-

Prop. 2005/06:173

skrivs i denna lag, i anmälan till tillsynsmyndigheten enligt 36 § eller till

Bilaga 2

tillsynsmyndigheten när myndigheten begär information enligt 43 §,

b)

behandlar personuppgifter i strid med 

1321 §§,

c)

för över personuppgifter till tredje land i strid med 

3335 §§, eller

d)

låter bli att göra anmälan enligt 36 § första stycket eller enligt före- skrifter meddelade med stöd av 41 §.

I ringa fall döms inte till ansvar. Den som överträtt ett vitesföreläggande enligt 44 § eller 45 § första stycket döms inte till ansvar för en gärning som omfattas av vitesföreläg- gandet. 52 § En myndighets beslut om infor- mation enligt 26 §, om rättelse och underrättelse till tredje man enligt 28 §, om information enligt 29 § andra stycket och om upplysningar enligt 42 § får överklagas hos all- män förvaltningsdomstol. Andra beslut av myndighet enligt denna lag får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. Första och andra styckena gäll- er inte för beslut av riksdagen och regeringen. I fråga om överkla- gande av beslut av allmän domstol och allmän förvaltningsdomstol finns särskilda föreskrifter. Denna lag träder i kraft den . Föreskrifterna i 52 § skall dock inte tillämpas i fråga om överklagande av beslut som har meddelats före ikraftträdandet. 2. Förslag till lag om ändring i sekretesslagen (1980:100)

Härigenom föreskrivs att 7 kap. 16 § sekretesslagen (1980:100) skall ha

följande lydelse.

7 kap.

16 §

Nuvarande lydelse

Föreslagen lydelse

Sekretess gäller för personupp-

Sekretess gäller för personupp-

gift, om det kan antas att ett ut-

gift, om

lämnande skulle medföra att upp-

1. det finns skäl att anta att upp-

giften behandlas i strid med per-

giften efter ett utlämnande kom-

sonuppgiftslagen (1980:100).

mer att behandlas i strid med per-

sonuppgiftslagen (1998:204), eller

69

Denna lag träder i kraft den.. 2. myndighetens utlämnande av uppgiften står i strid med 33 § personuppgiftslagen. Att myndighetens utlämnande står i strid med 33 § personupp- giftslagen skall dock inte medföra sekretess för uppgifter i allmänt register som enligt lag eller för- ordning är avsett att ge allmänhe- ten information. Prop. 2005/06:173 Bilaga 2 70 Förteckning över remissinstanser (SOU 2004:6) Remissyttranden över betänkandet har avgetts av följande instanser. Riksdagens ombudsmän, Svea hovrätt, Hovrätten över Skåne och Ble- kinge, Stockholms tingsrätt, Malmö tingsrätt, Kammarrätten i Stock- holm, Kammarrätten i Jönköping, Länsrätten i Stockholms län, Länsrät- ten i Uppsala län, Justitiekanslern, Domstolsverket, Riksåklagaren, Riks- polisstyrelsen, Kriminalvårdsstyrelsen, Rättsmedicinalverket, Ombuds- mannen mot etnisk diskriminering, Styrelsen för ackreditering och tek- nisk kontroll (SWEDAC), Stockholms Handelskammare, Försvarsmak- ten, Räddningsverket, Pliktverket, Riksförsäkringsverket, Socialstyrel- sen, Statens institutionsstyrelse, Tullverket, Ekonomistyrningsverket, Skatteverket, Arbetsgivarverket, Datainspektionen, Kammarkollegiet, Statskontoret, Statens personadressregisternämnd, Statistiska centralby- rån, Statens pensionsverk, Länsstyrelsen i Stockholms län, Skolverket, Kungliga biblioteket, Vetenskapsrådet, Centrala studiestödsnämnden, Juridiska fakulteten vid Stockholms universitet, Riksarkivet, Radio- och TV-verket, Lantmäteriverket, Post- och telestyrelsen, Vägverket, Sjö- fartsverket, Luftfartsverket, Arbetsmarknadsstyrelsen, Konkurrensverket, Patent- och registreringsverket, Bolagsverket, Stockholms kommun, Jön- köpings kommun, Malmö kommun, Stockholms läns landsting, Östergöt- lands läns landsting, Svenska kyrkans Församlingsförbund, Svenska ar- kivsamfundet, Svenska Kommunförbundet, Landstingsförbundet, Sveri- ges advokatsamfund, Svenskt Näringsliv, Sveriges Försäkringsförbund, Sveriges Television AB, Tjänstemännens Centralorganisation, Svenska Journalistförbundet, Svenska Tidningsutgivareföreningen Tidningsutgi- varna, Svenska Bankföreningen, Konstnärliga och litterära utövares sam- arbetsnämnd, Svenska IT-företagens organisation. Därutöver har följande instanser/personer yttrat sig. Ekobrottsmyndig- heten, Krisberedskapsmyndigheten, Svensk Handel, Sveriges Radio AB, Sveriges Utbildningsradio AB, Svenska Inkassoföreningen, Finansbola- gens Förening och Annica Tiger. Följande instanser har inbjudits att yttra sig över betänkandet men av- stått. Sveriges Akademikers Centralorganisation, Landsorganisationen i Sverige, Atos Origin, Dataföreningen i Sverige, Folkrörelsernas arkiv- förbund, Föreningen arkivverksamma i landsting och kommun, Före- ningen Grävande Journalister, Swedish Direct Marketing Association (SWEDMA). Prop. 2005/06:173 Bilaga 3 71 Lagrådsremissens lagförslag Förslag till lag om ändring i personuppgiftslagen (1998:204) Härigenom föreskrivs i fråga om personuppgiftslagen (1998:204) dels att 7 och 49 §§ skall ha följande lydelse,

dels att det i lagen skall införas tre nya paragrafer, 5 a, 8 a och 52 §§, samt närmast före 5 a och 8 a §§ två nya rubriker, av följande lydelse. Prop. 2005/06:173 Bilaga 4

Nuvarande lydelse

Föreslagen lydelse

Undantag för behandling av per-

sonuppgifter i ostrukturerat ma-

terial

5 a §

Bestämmelserna i 9, 10, 13, 21

24, 26, 28, 33 och 42 §§ skall inte

tillämpas på behandling av per-

sonuppgifter som inte ingår i eller

är avsedda att ingå i en samling

av personuppgifter som har struk-

turerats för att påtagligt underlät-

ta sökning efter eller samman-

ställning av just personuppgifter.

Sådan behandling får dock inte

utföras om den innebär en kränk-

ning av den registrerades person-

liga integritet.

7 § Bestämmelserna i denna lag tillämpas inte i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihets- förordningen eller yttrandefrihetsgrundlagen.

Bestämmelserna i 929 och 33

Bestämmelserna i 5 a, 

929 och

44 §§ samt 45 § första stycket och

3344 §§ samt 45 § första stycket

4749 §§ skall inte tillämpas på

och 4749 §§ skall inte tillämpas

sådan behandling av personuppgif-

på sådan behandling av person-

ter som sker uteslutande för jour-

uppgifter som sker uteslutande för

nalistiska ändamål eller konstnär-

journalistiska ändamål eller konst-

ligt eller litterärt skapande.

närligt eller litterärt skapande.

Föreskrifter om undantag från

vissa bestämmelser

8 a §

Regeringen får meddela före-

skrifter om undantag från 9, 2326

72

Till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år döms den som uppsåtligen eller av oaktsamhet

a)

lämnar osann uppgift i sådan information till registrerade som föreskrivs i denna lag, i anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär information enligt 43 §,

b)

behandlar personuppgifter i strid med 

1321 §§,

c)

för över personuppgifter till tredje land i strid med 

3335 §§, eller

d)

låter bli att göra anmälan en- ligt 36 § första stycket eller enligt föreskrifter meddelade med stöd av 41 §.

2 Senaste lydelse 1999:1210. Prop. 2005/06:173 Bilaga 4 och 28 §§ samt 29 § andra stycket och 42 § om det är nödvändigt med hänsyn till

a)

rikets säkerhet,

b)

försvaret,

c)

allmän säkerhet,

d)

förebyggande, undersökning eller avslöjande av brott eller av överträdelse av etiska regler,

e)

åtal för brott,

f)

ett viktigt ekonomiskt eller fi- nansiellt intresse hos Europeiska unionen eller en stat som ingår i unionen,

g)

myndighetsutövning som av- ser tillsyn, inspektion eller regler- ing i fråga om sådant som nämns i 

cf, eller

h)

skyddet av fri- och rättighe-

ter. 49 § 2

Till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år döms den som uppsåtligen eller av grov oaktsamhet

a)

lämnar osann uppgift i sådan information till registrerade som föreskrivs i denna lag, i anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär information enligt 43 §,

b)

behandlar personuppgifter i strid med 

1321 §§,

c)

för över personuppgifter till tredje land i strid med 

3335 §§,

d)

låter bli att göra anmälan en- ligt 36 § första stycket eller enligt föreskrifter meddelade med stöd av 41 §,

e)

behandlar sådana person- uppgifter som avses i 13 och 21 §§

i

strid med 5 a § andra stycket,

73 Prop. 2005/06:173 Bilaga 4 eller f) i strid med 5 a § andra stycket för över personuppgifter till tredje land som inte har en sådan ade- kvat nivå för skyddet av person- uppgifterna som avses i 33 §. I ringa fall döms inte till ansvar. Den som överträtt ett vitesföreläggande enligt 44 § eller 45 § första stycket döms inte till ansvar för en gärning som omfattas av vitesföreläg- gandet. 52 § En myndighets beslut om infor- mation enligt 26 §, om rättelse och underrättelse till tredje man enligt 28 §, om information enligt 29 § andra stycket och om upplysningar enligt 42 § får överklagas hos all- män förvaltningsdomstol. Andra beslut enligt denna lag får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. Första och andra styckena gäll- er inte för beslut av riksdagen, regeringen och riksdagens om- budsmän. Denna lag träder i kraft den 1 januari 2007. Föreskrifterna i 52 § skall dock inte tillämpas i fråga om överklagande av beslut som har meddelats före ikraftträdandet. 74 Lagrådets yttrande Utdrag ur protokoll vid sammanträde 2006-02-23

Närvarande: f.d. justitierådet Staffan[REDACTED_EFTERNAMN], justitierådet Leif[REDACTED_EFTERNAMN] och f.d. regeringsrådet Karl-Ingvar Rundqvist. Översyn av personuppgiftslagen Prop. 2005/06:173 Bilaga 5 Enligt en lagrådsremiss den 2 februari 2006 (Justitiedepartementet) har regeringen beslutat inhämta Lagrådets yttrande över förslag till lag om ändring i personuppgiftslagen (1998:204). Förslaget har inför Lagrådet föredragits av kanslirådet Katrin Hollunger Wågnert. Förslaget föranleder följande yttrande av Lagrådet: Allmänt I lagrådsremissen föreslås ändringar i personuppgiftslagen i syfte att med bibehållet integritetsskydd underlätta behandlingen av personupp- gifter och bättre anpassa lagen till utvecklingen på främst IT-området. Eftersom några ändringar i EG-direktivet om skydd för personuppgifter inte är att vänta inom närmast överskådlig tid, sägs i remissen att försla- get har som utgångspunkt att så långt som möjligt utnyttja de möjligheter till undantag från och modifieringar av direktivets bestämmelser som är inbyggda i direktivet. Inriktningen anges sålunda vara att, inom direkti- vets ram, utforma personuppgiftslagen så att vardaglig behandling av personuppgifter som typiskt sett inte innefattar några större integritetsris- ker förenklas. Personuppgiftslagen är nu utformad så att den reglerar i princip all han- tering av personuppgifter, dvs. enligt vad som kallas hanteringsmodellen. Vid lagens tillkomst bedömdes det inte möjligt att genomföra EG- direktivet, som bygger på en sådan modell, på annat sätt. I förevarande lagstiftningsärende konstateras emellertid att hanteringsreglerna framstår som alltför omfattande och byråkratiska och att det i praktiken skulle stärka integritetsskyddet om man gör undantag för typiskt sett mindre riskfylld behandling och för det undantagna området skapar enklare reg- ler som direkt tar sikte på skydd mot missbruk av personuppgifter (en s.k. missbruksmodell). I lagrådsremissen diskuteras förslagets förenlighet med EG-direktivet, varvid den bedömningen görs att ett undantag från de flesta materiella bestämmelserna i direktivet för behandling av personuppgifter i ostruktu- rerat material är förenligt med direktivet, om behandlingen inte tillåts innebära en kränkning av den registrerades personliga integritet. Bedöm- ningen grundas främst på en förnyad tolkning av direktivet, innebärande 75 att hantering av sådant ostrukturerat material utgör ett utnyttjande av en sådan fri- och rättighet yttrande- eller informationsfriheten som avses i artikel 13.1 g och att det är ett viktigt allmänt intresse i den mening som avses i artikel 8.4 och artikel 26.1 d att detta utnyttjande inte hindras i samhället. Mot bakgrund av att personuppgiftslagutredningen och en del remissinstanser uttalat viss tvekan beträffande en sådan bedömning framhålls att det är svårt att med någon nämnvärd säkerhet uttala sig om tolkningen är oantastlig ur ett EG-rättsligt perspektiv. Därför framhålls också några andra omständigheter till stöd för tolkningen, nämligen dels att EG-domstolen i en dom år 2003 har tagit särskild hänsyn till utveck- lingen inom informationsteknologin och därvid tolkat direktivet med viss flexibilitet, dels att EG-kommissionen i en rapport om genomförandet av direktivet gjort uttalanden om att förenklade villkor för behandling av personuppgifter som inte innebär någon avsevärd risk för den enskildes rättigheter kan uppnås genom att göra bruk av det handlingsutrymme som direktivet ger, bl.a. i artikel 13. Vid en återblick på förarbetena till personuppgiftslagen (främst prop. 1997/98:44 s. 36 f.) konstaterar Lagrådet att den diskussion som fördes kring lagens uppbyggnad berörde i synnerhet frågan om det fanns något tillfredsställande alternativ till en lagstiftning som reglerade i princip all hantering av personuppgifter. Svaret på frågan blev nekande och det framhölls därvid bl.a. att ingen kunnat konkret ange hur det skulle kunna vara möjligt med hänsyn till direktivet att använda en renodlad miss- bruksmodell. Inriktningen skulle därför vara att söka utöva påverkan inom EU för att framdeles kunna använda en lagstiftning som mera kon- centrerades till vad som kunde karaktäriseras som ett missbruk av per- sonuppgifter. Av det tämligen kortfattade resonemanget i propositionen att döma synes valet ha stått mellan att bygga lagens grund antingen på en genomgående hanteringsmodell eller på en mera utpräglad miss- bruksmodell. När frågan om lagstiftningens utformning nu tas upp igen är att notera att ändringsförslaget inte syftar till att gå ifrån lagens grund- konstruktion utan i stället till att i viss begränsad utsträckning tillföra lagen inslag av en missbruksmodell, nämligen i sådana hänseenden där vägande praktiska skäl talar för förenkling och lättnad i hanteringsregler- ingen. Lagrådet har vid sin genomgång av lagförslaget i relation till direktivets bestämmelser inte kunnat undgå att känna tvekan inför den friare tolk- ning av direktivet som nu förordas för att möjliggöra den föreslagna par- tiella systemändringen. Det kan kanppast påstås att det i ärendet har framkommit säkra hållpunkter för att ändringarna i alla delar är EG- rättsligt godtagbara. Osäkerhet kvarstår främst om huruvida hänvisning- en i direktivets artikel 13.1 g till skyddet av den registrerades eller andras fri- och rättigheter har så generell syftning som den nu framlagda tolk- ningen bygger på. Ett problem är dessutom att den allmänt hållna lagre- gel (första stycket i en ny 5 a §) som föreslås för att avgränsa det område som avses undantaget från hanteringsregleringen inrymmer uttryck som måste antas ge upphov till tillämpningssvårigheter. Därmed finns en risk för att tillämpningen kan variera betydligt i avgränsningsfrågan och att Prop. 2005/06:173 Bilaga 5 76 beslut fattas som inte visar sig hålla vid prövning mot innehållet i direk- tivet. Även bortsett från de EG-rättsliga aspekterna ger utformningen av den föreslagna undantagsregleringen anledning till tvekan. Varken den nya bestämmelse som skall begränsa tillämpningsområdet för ett antal centra- la hanteringsregler eller den bestämmelse som skall gälla för det undan- tagna området (förbudet mot kränkning av den registrerades personliga integritet) ger någon fastare vägledning för rättstillämpningen. Mot detta har också framförts kritik under remissbehandlingen av utredningsbetän- kandet bakom lagrådsremissen. Bl.a. har Datainspektionen i sitt remiss- yttrande starkt ifrågasatt om reglerna kan vinna förståelse och acceptans hos en bred allmänhet för vilken dessa skall gälla; enligt Datainspektio- nen bör krävas att det går att förutse vad som är tillåtet och vad som är förbjudet. Förslaget måste således antas medföra påtagliga problem från rättssäkerhetssynpunkt och det ter sig ovisst om svårigheterna kan be- mästras någotsånär tillfredsställande genom praxisbildning, allmänna råd från Datainspektionen och informationsinsatser. Vid en slutlig bedömning av förslaget får vägas in att det, såvitt fram- kommit, finns ett mycket framträdande behov av att förverkliga de med förslaget avsedda lättnaderna i nuvarande lagreglering. Remissinstanser- na har genomgående ställt sig övervägande positiva till åtgärden. Något bearbetningsbart alternativ till den valda utformningen av lagförslaget har inte kommit till synes i ärendet. Trots de betänkligheter som förslaget väcker vill Lagrådet inte avstyrka att reformen genomförs. I det följande tar Lagrådet upp några detaljbetonade frågor i anslutning till två av de nya paragrafer som föreslås införda i personuppgiftslagen. 5 a § Den föreslagna bestämmelsen anger ett antal paragrafer i personupp- giftslagen som inte skall tillämpas när personuppgifter är avsedda att ingå i en samling som inte strukturerats på visst angivet sätt. Som anges i remissens författningskommentar följer härav att vissa andra, anslutande bestämmelser då inte heller skall tillämpas. Det är riktigt att dessa logiskt utesluts från tillämpning, men förståelsen av lagen underlättas om även dessa paragrafer anges i 5 a §. Den tekniken har redan använts i lagens 7 §. Vidare framgår av remissen att personuppgifter i det angivna fallet trots undantaget i 5 a § får behandlas med tillämpning av de där angivna be- stämmelserna. I sådant fall blir inte den föreslagna bestämmelsen i 5 a § andra stycket tillämplig; en otillåten kränkning av den personliga integri- teten presumeras alltså inte ske om hanteringsreglerna följs även vid be- handling i en samling personuppgifter som inte strukturerats för att på- tagligt underlätta sökning eller sammanställning av personuppgifterna. Det blir då missvisande att tala om att hanteringsreglerna inte skall tillämpas eftersom det faktiskt är tillåtet. Prop. 2005/06:173 Bilaga 5 77

Uttrycket [s]ådan behandling i andra stycket behöver tydliggöras.

Prop. 2005/06:173

Bilaga 5

Enligt Lagrådets mening bör paragrafen följaktligen lyda så:

Bestämmelserna i 9, 10, 1319, 2126, 28, 33, 34 och 42 §§ behöver inte

tillämpas på behandling av personuppgifter som inte ingår i eller är av-

sedda att ingå i en samling av personuppgifter som har strukturerats för

att påtagligt underlätta sökning efter eller sammanställning av person-

uppgifter.

Sådan behandling som avses i första stycket får inte utföras, om den in-

nebär en kränkning av den registrerades personliga integritet.

52 §

I en ny 52 § har tagits in bestämmelser om överklagande av vissa myn-

dighetsbeslut enligt personuppgiftslagen. Paragrafen kompletterar den

nuvarande 51 §, som handlar om överklagande av tillsynsmyndighetens

beslut.

I första stycket av 52 § anges vilka myndighetsbeslut som det är fråga

om. Vidare sägs att andra beslut enligt personuppgiftslagen inte får

överklagas.

I andra stycket föreskrivs att prövningstillstånd krävs vid överklagande

till kammarrätten, medan tredje stycket anger att de båda föregående

styckena inte gäller beträffande beslut av riksdagen, regeringen och riks-

dagens ombudsmän.

Lagrådet förordar att det görs en omredigering av såväl de nuvarande

som de föreslagna överklagandebestämmelserna, så att innebörden blir

klarare och onödiga upprepningar undviks. Bestämmelserna kan lämpli-

gen delas upp på tre olika paragrafer och ges följande lydelse:

51 §

Tillsynsmyndighetens beslut enligt denna lag om annat än föreskrifter får

överklagas hos allmän förvaltningsdomstol.

Tillsynsmyndigheten får bestämma att dess beslut skall gälla även om det

överklagas.

52 §

En myndighets beslut om information enligt 26 §, om rättelse och under-

rättelse till tredje man enligt 28 §, om information enligt 29 § andra

stycket och om upplysningar enligt 42 § får överklagas hos allmän för-

valtningsdomstol.

Första stycket gäller inte för beslut av riksdagen, regeringen eller riksda-

gens ombudsmän.

78

53 § I andra fall än när en överklaganderätt följer av 51 och 52 §§ får beslut enligt denna lag inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. Prop. 2005/06:173 Bilaga 5 79

Justitiedepartementet Utdrag ur protokoll vid regeringssammanträde den 16 mars 2006 Närvarande: Statsministern[REDACTED_EFTERNAMN], statsråden Freivalds,[REDACTED_EFTERNAMN], Pagrot- sky,[REDACTED_EFTERNAMN], Y.[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN], Nykvist,[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN], M.[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN], Jäm- tin,[REDACTED_EFTERNAMN], Orback,[REDACTED_EFTERNAMN] Föredragande: statsrådet[REDACTED_EFTERNAMN] Regeringen beslutar proposition 2005/06:173 Översyn av personupp- giftslagen Prop. 2005/06:173 80

Rättsdatablad

Prop. 2005/06:173

Författningsrubrik

Bestämmelser som

Celexnummer för bak-

inför, ändrar, upp-

omliggande EG-regler

häver eller upprepar

ett normgivnings-

bemyndigande

Lag om ändring i person-

8 a §

Celex395L0046

uppgiftslagen (1998:204)

81