SOU 1997:39 
  
 Missiv 
  
 i 
  
 Till 
  
 statsrådet och chefen för 
  
 Justitiedepartementet 
  
 Vid sitt sammanträde torsdagen den 15 juni 1995 beslutade regeringen att tillkalla en parlamentariskt sammansatt kommitté med uppgift att lägga fram förslag till en ny lag om skydd för personuppgifter och förslag till ändringar i tryckfrihetsförordningens bestämmelser om allmänna hand- lingars offentlighet (dir. 1995:91). 
 Den 7 december 1995 förordnade chefen för Justitiedepartementet, stats- rådet Carlson, justitierådet Wilson till  
 ordförande  
 i kommittén. Den 20 december 1995 förordnades som  
 ledamöter  
 i kommittén 
  
 N  
 advokaten Beltran (kd), 
  
 N  
 universitetslektorn Mcmahon (mp),  
 N  
 riksdagsledamoten Campbell (s), 
  
 N  
 riksdagsledamoten Herman (s), 
  
 N  
 riksdagsledamoten Middleton (c), 
  
 N  
 riksdagsledamoten Barton (s),  
 N  
 utredningsledaren Rose (fp), 
  
 N  
 riksdagsledamoten Gray (m),  
 N  
 riksdagsledamoten Campos (v), 
  
 N  
 riksdagsledamoten Chavez Panke (s) och  
 N  
 riksdagsledamoten  
 Davis (s). 
 Rose har den 12 november 1996 ersatts av fil.lic. Wood (fp). 
 Som  
 experter  
 har arbetat ombudsmannen Stanton, advokaten Davis, universitetslektorn Barron, verkställande direktören Walker, departementssekreteraren Moss, gene- raldirektören Finley, hovrättsassessorn Long, överdirektören Farley, departementsrådet Herrera, professorn Williams, bolagsjuristen Williams, chefsjuristen Jimenez, 
  
 ii 
  
 Missiv 
  
 SOU 1997:39 
  
 professorn Singleton, kanslirådet Mcneil, professorn Norton och datarådet Long. 
 Long har under tiden den 1  
 juli–31 
  augusti 1996 arbetat på heltid för kommittén med ett underlag avseende allmänna handlingars offentlig- het. 
 Till  
 sekreterare  
 förordnades den 15 december 1995 hovrättsassessorer- na Horn, Jönköping, och Deleon, Stockholm. 
 Kommittén (Ju 1995:08) har antagit namnet Datalagskommittén. 
 Bitr. professorn Cook, Centrum för tillämpad etik, Universite- tet i Linköping, och doktoranden Owens, Institutionen för social- medicin, Uppsala universitet, har anlitats som konsulter i fråga om be- greppet personlig integritet respektive allmänhetens inställning till be- handling av personuppgifter. Deras rapporter finns fogade som bilagor till betänkandet. 
 Härmed får kommittén överlämna betänkandet  
 Integritet  Offentlighet 
  
  Informationsteknik  
 (SOU 1997:39). 
  
 Reservationer  
 har lämnats av Beltran (kd), Wood (fp) och Gray (m) gemensamt samt av Mcmahon (mp). 
  
 Särskilda yttranden  
 har lämnats av Mcmahon (mp) och av Barron, med instämmande av Williams, av Walker, Moss, Finley samt av Long. 
 Utredningsarbetet är härmed avslutat. 
  
 Stockholm den 5 mars 1997 
  
 Wilson 
  
 Beltran 
  
 Mcmahon 
  
 Campbell 
  
 Herman 
  
 Middleton 
  
 Barton 
  
 Wood 
  
 Gray 
  
 Campos 
  
 Chavez Panke 
  
 Davis 
  
 /Charlotte Nguyen 
  
 Deleon 
  
 SOU 1997:39 
  
 iii 
  
 INNEHÅLLSFÖRTECKNING 
  
 H 
 UVUDRUBRIKER 
 : 
  
 FÖRKORTNINGAR ........................................................................................................ 
  
 1 
  
 SAMMANFATTNING..................................................................................................... 
  
 3 
  
 FÖRFATTNINGSFÖRSLAG......................................................................................... 
  
 11 
  
 UTREDNINGSARBETET ............................................................................................. 
  
 75 
  
 EN NY PERSONDATALAG.................................................................... 
  
 83 
  
 1 
  
 Gällande rätt i huvuddrag ........................................................................................ 
  
 85 
  
 2 
  
 Datalagsutredningens förslag och utvecklingen därefter ......................................... 
  
 91 
  
 3 
  
 EG-direktivet 
  om personuppgifter ......................................................................... 
  
 107 
  
 4 
  
 Övriga internationella regler.................................................................................. 
  
 165 
  
 5 
  
 Teknikens möjligheter ........................................................................................... 
  
 175 
  
 6 
  
 Reglering av bruk eller missbruk........................................................................... 
  
 177 
  
 7 
  
 En teknikoberoende och generell persondatalag.................................................... 
  
 195 
  
 8 
  
 Förhållandet till särskilda registerförfattningar ..................................................... 
  
 203 
  
 9 
  
 Förhållandet till offentlighetsprincipen ................................................................. 
  
 213 
  
 10 
  
 Förhållandet till yttrandefriheten ........................................................................... 
  
 221 
  
 11 
  
 Forskning och statistik........................................................................................... 
  
 267 
  
 12 
  
 Innehållet i den nya persondatalagen ..................................................................... 
  
 319 
  
 13 
  
 Regler i datalagen som bör flyttas till andra lagar ................................................. 
  
 461 
  
 SOU 1997:39 
  
 Innehållsförteckning  
 v 
  
 D 
 ETALJERAD INNEHÅLLSFÖRTECKNING 
 : 
  
 FÖRKORTNINGAR................................................................................... 
  
 1 
  
 SAMMANFATTNING................................................................................ 
  
 3 
  
 FÖRFATTNINGSFÖRSLAG.................................................................. 
  
 11 
  
 a) Förslag till Persondatalag (1998:000) ............................................ 
  
 11 
  
 b) Förslag till Lag om ändring i Tryckfrihetsförordningen ................ 
  
 29 
  
 c) Förslag till Lag om ändring i Regeringsformen ............................. 
  
 47 
  
 d) 
  
 Förslag till Lag om ändring i Yttrandefrihetsgrundlagen 
  
 (1991:1469) 
  
 ..................................................................................... 
  
 51 
  
 e) 
  
 Förslag till Lag om ändring i Sekretesslagen (1980:100) .............. 
  
 53 
  
 f) 
  
 Förslag till Lag om ändring i Arkivlagen (1990:782) .................... 
  
 71 
  
 UTREDNINGSARBETET ....................................................................... 
  
 75 
  
 Utredningsuppdraget ................................................................................... 
  
 75 
  
 Hur utredningen har bedrivits ..................................................................... 
  
 75 
  
 Dispositionen av betänkandet ..................................................................... 
  
 78 
  
 EN NY PERSONDATALAG.................................................................... 
  
 83 
  
 1 
  
 Gällande rätt i huvuddrag ........................................................... 
  
 85 
  
 2 
  
 Datalagsutredningens förslag och utvecklingen därefter ......... 
  
 91 
  
 2.1 
  
 Inledning ......................................................................................... 
  
 91 
  
 2.2 
  
 Sammanfattning av Datalagsutredningens förslag ......................... 
  
 92 
  
 2.2.1 
  
 Lagens tillämpningsområde........................................ 
  
 92 
  
 2.2.2 
  
 Förhållandet till offentlighetsprincipen...................... 
  
 93 
  
 2.2.3 
  
 Förhållandet till yttrandefriheten................................ 
  
 93 
  
 2.2.4 
  
 Tillstånd eller tillsyn................................................... 
  
 94 
  
 2.2.5 
  
 Den materiella regleringen i datalagen....................... 
  
 95 
  
 2.2.5.1 
  
 Regler för de olika momenten i behandlingen .......................... 
  
 95 
  
 2.2.5.2 
  
 Personuppgift ............................................................................ 
  
 95 
  
 2.2.5.3 
  
 Persondataansvarig .................................................................. 
  
 96 
  
 2.2.5.4 
  
 Ändamålsanknytningen ............................................................. 
  
 96 
  
 2.2.5.5 
  
 Förutsättningarna för att få behandla personuppgifter............ 
  
 97 
  
 2.2.5.6 
  
 Känsliga personuppgifter.......................................................... 
  
 97 
  
 2.2.5.7 
  
 Gallring av personuppgifter...................................................... 
  
 98 
  
 2.2.6 
  
 Bemyndigande att meddela föreskrifter ..................... 
  
 99 
  
 2.3 
  
 Sammanfattning av remissutfallet .................................................. 
  
 99 
  
 2.4 
  
 Genomförda förändringar ............................................................. 
  
 101 
  
 2.4.1 
  
 Sammanfattning........................................................ 
  
 101 
  
 2.4.2 
  
 Normgivningen på dataskyddsområdet.................... 
  
 101 
  
 vi 
  
 Innehållsförteckning 
  
 SOU 1997: 39 
  
 2.4.2.1 
  
 Bakgrund ................................................................................. 
  
 101 
  
 2.4.2.2 
  
 Datainspektionens normgivning .............................................. 
  
 102 
  
 2.4.3 
  
 Yttranden från Datainspektionen ............................. 
  
 103 
  
 2.4.4 
  
 Vite ............................................................................ 
  
 104 
  
 2.4.5 
  
 Överklagande ............................................................ 
  
 104 
  
 3 
  
 EG-direktivet 
  om personuppgifter............................................ 
  
 107 
  
 3.1 
  
 Bakgrund 
  
 ....................................................................................... 
  
 107 
  
 3.1.1 
  
 Inledning ................................................................... 
  
 107 
  
 3.1.2 ................................ 
  
 Genomförandet av EG - direktiv 
  
 107 
  
 3.1.3 ......................................... 
  
 Bakgrunden till direktivet 
  
 110 
  
 3.2 
  
 Tillämpningsområdet .................................................................... 
  
 112 
  
 3.2.1 ................................................................... 
  
 Inledning 
  
 112 
  
 3.2.2 ............................................................... 
  
 Definitioner 
  
 112 
  
 3.2.2.1 ................................................................................. 
  
 Inledning 
  
 112 
  
 3.2.2.2 .................................... 
  
 Personuppgifter och den registrerade 
  
 113 
  
 3.2.2.3 .............................................................................. 
  
 Behandling 
  
 114 
  
 3.2.2.4 ................................................................................... 
  
 Register 
  
 114 
  
 3.2.2.5 ..................................................................... 
  
 Registeransvarig 
  
 115 
  
 3.2.2.6 ......................................................................... 
  
 Registerförare 
  
 116 
  
 3.2.2.7 .............................................................................. 
  
 Tredje man 
  
 116 
  
 3.2.2.8 ................................................................................ 
  
 Mottagare 
  
 116 
  
 3.2.2.9 .................................................................................. 
  
 Samtycke 
  
 116 
  
 3.2.3 ............ 
  
 Sådant som faller utanför gemenskapsrätten 
  
 118 
  
 3.2.4 ..................... 
  
 Privat användning av personuppgifter 
  
 118 
  
 3.2.5 ....................... 
  
 Det territoriella tillämpningsområdet 
  
 119 
  
 3.3 
  
 Förhållandet ..................................................till yttrandefriheten 
  
 121 
  
 3.4 
  
 Grundläggande .............................krav på uppgiftsbehandlingen 
  
 122 
  
 3.4.1 ................................................................... 
  
 Inledning 
  
 122 
  
 3.4.2 .................................. 
  
 Korrekt och laglig behandling 
  
 123 
  
 3.4.3 .................................. 
  
 Ändamålet med behandlingen 
  
 123 
  
 3.4.4 
  
 Personuppgifterna skall vara adekvata, 
  
 ............................. 
  
 relevanta och inte för omfattande 
  
 124 
  
 3.4.5 
  
 Personuppgifterna skall vara riktiga och 
  
 ...................................................................... 
  
 aktuella 
  
 124 
  
 3.4.6 
  
 Personuppgifterna får inte förvaras längre än 
  
 nödvändigt ................................................................ 
  
 125 
  
 3.5 
  
 Förutsättningar för att uppgiftsbehandling skall kunna 
  
 tillåtas 
  
 ............................................................................................ 
  
 125 
  
 3.5.1 
  
 Inledning ................................................................... 
  
 125 
  
 3.5.2 ................................................................... 
  
 Samtycke 
  
 126 
  
 3.5.3 ................................................. 
  
 I samband med avtal 
  
 126 
  
 3.5.4 .................................................. 
  
 Rättslig förpliktelse 
  
 126 
  
 3.5.5 .................................. 
  
 För att skydda vitala intressen 
  
 127 
  
 SOU 1997:39 
 Innehållsförteckning  
 vii 
  
 3.5.6 
  
 Myndighetsutövning eller allmänt intresse .............. 
  
 128 
  
 3.5.7 
  
 Efter en intresseavvägning ....................................... 
  
 128 
  
 3.6 
  
 Behandling av särskilt känsliga uppgifter .................................... 
  
 129 
  
 3.6.1 
  
 Ett principiellt förbud mot behandling av 
  
 uppgifter om ras eller etniskt ursprung, 
  
 religiösa, filosofiska eller politiska åsikter, 
  
 fackföreningsmedlemskap, hälsa och sexualliv ....... 
  
 129 
  
 3.6.2 
  
 Undantag från förbudet............................................. 
  
 130 
  
 3.6.2.1 
  
 Samtycke.................................................................................. 
  
 130 
  
 3.6.2.2 
  
 Inom arbetsrätten .................................................................... 
  
 130 
  
 3.6.2.3 
  
 För att skydda vitala intressen................................................ 
  
 130 
  
 3.6.2.4 
  
 Politiska, filosofiska, religiösa och fackliga 
  
 organisationer......................................................................... 
  
 131 
  
 3.6.2.5 
  
 Den registrerades offentliggörande ........................................ 
  
 131 
  
 3.6.2.6 
  
 Nödvändig med hänsyn till rättsliga anspråk ......................... 
  
 131 
  
 3.6.2.7 
  
 Hälso- och sjukvård ................................................................ 
  
 132 
  
 3.6.2.8 
  
 Viktigt allmänt intresse ........................................................... 
  
 132 
  
 3.6.3 
  
 Uppgifter om brott m.m............................................ 
  
 134 
  
 3.6.4 
  
 Användning av personnummer................................. 
  
 134 
  
 3.7 
  
 Rätten att motsätta sig uppgiftsbehandling .................................. 
  
 135 
  
 3.7.1 
  
 Inledning ................................................................... 
  
 135 
  
 3.7.2 
  
 I vissa fall vid avgörande och berättigade skäl ........ 
  
 135 
  
 3.7.3 
  
 Direkt marknadsföring.............................................. 
  
 136 
  
 3.8 
  
 Rätten att slippa automatiserade beslut ........................................ 
  
 136 
  
 3.9 
  
 Information till den registrerade ................................................... 
  
 137 
  
 3.10 Rätten att på begäran få tillgång till uppgifterna och rättelse ...... 
  
 139 
  
 3.10.1 
  
 Inledning ................................................................... 
  
 139 
  
 3.10.2 
  
 Information om uppgifterna ..................................... 
  
 140 
  
 3.10.3 
  
 Rättelse...................................................................... 
  
 141 
  
 3.10.4 
  
 Underrättelse till tredje man om rättelse .................. 
  
 141 
  
 3.10.5 
  
 Undantag................................................................... 
  
 141 
  
 3.11 Möjlighet till undantag och begränsningar................................... 
  
 142 
  
 3.12 Sekretess och säkerhet vid behandlingen ..................................... 
  
 144 
  
 3.13 
  
 Anmälan till tillsynsmyndigheten................................................. 
  
 146 
  
 3.13.1 
  
 Inledning ................................................................... 
  
 146 
  
 3.13.2 
  
 Anmälningsplikt för alla automatiska 
  
 behandlingar ............................................................. 
  
 146 
  
 3.13.3 
  
 Möjlighet till undantag från och förenklingar 
  
 av anmälningsproceduren......................................... 
  
 147 
  
 3.13.3.1 
  
 Inledning ................................................................................. 
  
 147 
  
 3.13.3.2 
  
 Om det inte är sannolikt att rättigheter kränks....................... 
  
 148 
  
 3.13.3.3 
  
 När ett uppgiftsskyddsombud har utsetts ................................ 
  
 149 
  
 3.13.3.4 
  
 Författningsreglerat register för allmänheten........................ 
  
 149 
  
 viii  
 Innehållsförteckning 
  
 SOU 1997: 39 
  
 3.13.3.5 
  
 Icke vinstdrivande organs behandling av känsliga 
  
 personuppgifter ....................................................................... 
  
 149 
  
 3.13.4 
  
 Förhandskontroll av särskilt riskfyllda 
  
 behandlingar ............................................................. 
  
 150 
  
 3.13.5 
  
 Offentliggörande av behandlingar............................ 
  
 151 
  
 3.13.5.1 
  
 Inledning ................................................................................. 
  
 151 
  
 3.13.5.2 
  
 Offentligt register över anmälda behandlingar ...................... 
  
 151 
  
 3.13.5.3 
  
 Skyldighet att på begäran lämna information om icke 
  
 anmälda behandlingar ............................................................ 
  
 151 
  
 3.14 Överföring av uppgifter utanför EG ............................................. 
  
 152 
  
 3.14.1 
  
 Överföring är tillåten till länder som 
  
 säkerställer en adekvat skyddsnivå .......................... 
  
 152 
  
 3.14.2 
  
 Överföring till länder med sämre skydd................... 
  
 154 
  
 3.14.2.1 
  
 Fall där överföring måste tillåtas ........................................... 
  
 154 
  
 3.14.2.2 
  
 Överföring får tillåtas om den registeransvarige kan 
  
 garantera skydd ....................................................................... 
  
 155 
  
 3.15 
  
 Sanktioner 
  
 ..................................................................................... 
  
 155 
  
 3.15.1 
  
 Rätt till domstolsprövning ........................................ 
  
 155 
  
 3.15.2 
  
 Rätt till skadestånd ................................................... 
  
 156 
  
 3.15.3 ....................................................... 
  
 Andra sanktioner 
  
 156 
  
 3.16 
  
 Uppförandekodexar....................................................................... 
  
 157 
  
 3.16.1 ................................................................... 
  
 Inledning 
  
 157 
  
 3.16.2 .................................................... 
  
 Nationella kodexar 
  
 157 
  
 3.16.3 .................................... 
  
 Kodexar på gemenskapsnivå 
  
 157 
  
 3.17 
  
 Tillsynsmyndighetens ....................................................ställning 
  
 158 
  
 3.18 Tillsynsmyndigheterna ...............inom EG bildar en arbetsgrupp 
  
 159 
  
 3.19 Medlemsstaterna ..........ingår i en kommitté med kommissionen 
  
 160 
  
 3.20 
  
 Ikraftträdande .................................och övergångsbestämmelser 
  
 160 
  
 3.21 
  
 Den fortsatta ............................................utvecklingen inom EG 
  
 162 
  
 4 
  
 Övriga internationella .....................................................regler 
  
 165 
  
 4.1 
  
 Inledning ....................................................................................... 
  
 165 
  
 4.2 
  
 OECD:s riktlinjer .......................................................................... 
  
 168 
  
 4.3 
  
 Europarådets ..............................................................konvention 
  
 170 
  
 4.4 
  
 Utländsk rätt.................................................................................. 
  
 172 
  
 5 
  
 Teknikens ................................................................möjligheter 
  
 175 
  
 6 
  
 Reglering ..............................................av bruk eller missbruk 
  
 177 
  
 6.1 
  
 Integritet och ..............................................................effektivitet 
  
 177 
  
 6.2 
  
 Olika modeller .....................................................för regleringen 
  
 179 
  
 6.2.1 .......... 
  
 Hanteringsmodellen och missbruksmodellen 
  
 179 
  
 6.2.2 ............ 
  
 Valet på lång sikt av modell för regleringen 
  
 181 
  
 6.2.3 ........................... 
  
 Valet nu av modell för regleringen 
  
 189 
  
 SOU 1997:39 
 Innehållsförteckning  
 ix 
  
 6.3 
  
 Den lagstiftningsstruktur som  
 EG-direktivet 
  anvisar................... 
  
 191 
  
 7 
  
 En teknikoberoende och generell persondatalag..................... 
  
 195 
  
 7.1 
  
 Förutsättningar .............................................................................. 
  
 195 
  
 7.2 
  
 Överväganden ............................................................................... 
  
 196 
  
 7.2.1 
  
 Olika typer av behandlingar ..................................... 
  
 196 
  
 7.2.2 
  
 Uppgifter om juridiska personer ............................... 
  
 198 
  
 7.2.3 
  
 Den nya lagen bör liksom hittills vara generell ....... 
  
 198 
  
 7.2.4 
  
 Privat användning av personuppgifter ..................... 
  
 199 
  
 7.2.5 
  
 Lagens namn ............................................................. 
  
 201 
  
 8 
  
 Förhållandet till särskilda registerförfattningar..................... 
  
 203 
  
 8.1 
  
 Bakgrund 
  
 ....................................................................................... 
  
 203 
  
 8.2 
  
 Överväganden ............................................................................... 
  
 207 
  
 8.2.1 
  
 De särskilda registerförfattningarna omfattas 
  
 inte av vårt uppdrag .................................................. 
  
 207 
  
 8.2.2 
  
 Undantag från den generella lagstiftningen för 
  
 särskilda registerförfattningar .................................. 
  
 207 
  
 8.2.3 
  
 Datainspektionen skall höras när 
  
 registerförfattningar beslutas.................................... 
  
 210 
  
 9 
  
 Förhållandet till offentlighetsprincipen.................................... 
  
 213 
  
 9.1 
  
 Inledning 
  
 ....................................................................................... 
  
 213 
  
 9.2 
  
 Utlämnande av personuppgifter enligt 
  
 offentlighetsprincipen ................................................................... 
  
 214 
  
 9.3 
  
 Rättelse av uppgifter hos myndigheter ......................................... 
  
 217 
  
 9.4 
  
 Myndigheternas arkiv ................................................................... 
  
 219 
  
 10 
  
 Förhållandet till yttrandefriheten ............................................. 
  
 221 
  
 10.1 
  
 Inledning 
  
 ....................................................................................... 
  
 221 
  
 10.2 
  
 Yttrandefriheten ............................................................................ 
  
 222 
  
 10.2.1 ..................................................................... 
  
 Allmänt 
  
 222 
  
 10.2.2 ............................... 
  
 Vad innebär grundlagsskyddet? 
  
 222 
  
 10.2.3 .......... 
  
 Vilka skrifter omfattas av grundlagsskyddet? 
  
 223 
  
 10.2.4 
  
 Vilka övriga yttranden omfattas av 
  
 .................................................... 
  
 grundlagsskyddet? 
  
 224 
  
 10.2.5 ....... 
  
 Vilka personer omfattas av grundlagsskyddet? 
  
 225 
  
 10.2.6 ....................... 
  
 Skyddet mot myndighetsingripanden 
  
 227 
  
 10.2.6.1 ........................................................................ 
  
 Censurförbudet 
  
 227 
  
 10.2.6.2 ................................................................. 
  
 Anonymitetsskyddet 
  
 228 
  
 10.3 Hur beaktas den personliga integriteten? ..................................... 
  
 229 
  
 10.3.1 
  
 Allmänt ..................................................................... 
  
 229 
  
 10.3.2 
  
 Straffbara förfaranden............................................... 
  
 230 
  
 x 
  
 Innehållsförteckning 
  
 SOU 1997: 39 
  
 10.3.3 
  
 Beriktigande och genmäle ........................................ 
  
 231 
  
 10.3.3.1 
  
 Allmänt .................................................................................... 
  
 231 
  
 10.3.3.2 
  
 Pressen .................................................................................... 
  
 231 
  
 10.3.3.3 
  
 Radio och TV........................................................................... 
  
 231 
  
 10.3.3.4 
  
 Förslag till lagreglering.......................................................... 
  
 232 
  
 10.3.4 
  
 Privatlivets fred......................................................... 
  
 234 
  
 10.3.4.1 
  
 Självsanering........................................................................... 
  
 234 
  
 10.3.4.2 
  
 Förslag till lagreglering.......................................................... 
  
 235 
  
 10.4 Yttrandefriheten i nya massmedier ............................................... 
  
 236 
  
 10.5 
  
 Internationella förhållanden.......................................................... 
  
 236 
  
 10.5.1 
  
 EG-direktivet ............................................................ 
  
 236 
  
 10.5.2 
  
 Europarådsbestämmelser .......................................... 
  
 237 
  
 10.5.3 
  
 En internationell jämförelse ..................................... 
  
 238 
  
 10.6 
  
 Närmare om normkonflikten......................................................... 
  
 242 
  
 10.6.1 
  
 Allmänt ..................................................................... 
  
 242 
  
 10.6.2 
  
 Datalagsutredningens förslag och 
  
 remissutfallet............................................................. 
  
 243 
  
 10.6.3 
  
 Några regeringsavgöranden...................................... 
  
 246 
  
 10.7 
  
 Överväganden ............................................................................... 
  
 247 
  
 10.7.1 
  
 Allmänt om konflikten mellan 
  
 persondatalagstiftningen och yttrandefriheten......... 
  
 247 
  
 10.7.2 
  
 Skall undantaget vara generellt? .............................. 
  
 251 
  
 10.7.3 
  
 Hur skall undantaget utformas?................................ 
  
 252 
  
 10.7.4 
  
 Vilka behandlingar omfattas av undantaget? ........... 
  
 254 
  
 10.7.4.1 
  
 Allmänt .................................................................................... 
  
 254 
  
 10.7.4.2 
  
 Behandlingar som syftar till att framställa yttranden............. 
  
 254 
  
 10.7.4.3 
  
 Behandlingar som syftar till att anskaffa och meddela 
  
 uppgifter .................................................................................. 
  
 256 
  
 10.7.4.4 
  
 Lagring och spridning av uppgifter ........................................ 
  
 257 
  
 10.7.4.5 
  
 Behandling för flera ändamål ................................................. 
  
 258 
  
 10.7.4.6 
  
 Överflödiga uppgifter .............................................................. 
  
 259 
  
 10.7.4.7 
  
 Falska invändningar om grundlagsskydd ............................... 
  
 260 
  
 10.7.4.8 
  
 Prövning av undantagsregeln ................................................. 
  
 260 
  
 10.7.5 
  
 Förhållandet till EG - direktivet ................................. 
  
 261 
  
 11 
  
 Forskning och statistik................................................................ 
  
 267 
  
 11.1 
  
 Inledning 
  
 ....................................................................................... 
  
 267 
  
 11.2 
  
 Statistik.......................................................................................... 
  
 268 
  
 11.2.1 ................................................................... 
  
 Inledning 
  
 268 
  
 11.2.2 .............................................. 
  
 Den statliga statistiken 
  
 269 
  
 11.2.2.1 ................................................................................. 
  
 Inledning 
  
 269 
  
 11.2.2.2 ...................................................................... 
  
 Officiell statistik 
  
 269 
  
 11.2.2.3 .......................................................................... 
  
 Övrig statistik 
  
 271 
  
 11.2.3 
  
 Privat och kommunal statistik .................................. 
  
 271 
  
 11.2.4 
  
 Tillämpningen av datalagen ..................................... 
  
 272 
  
 SOU 1997:39 
 Innehållsförteckning  
 xi 
  
 11.2.5 
  
 Registerutdrag ........................................................... 
  
 274 
  
 11.2.6 
  
 Sekretess ................................................................... 
  
 275 
  
 11.3 
  
 Forskning 
  
 ...................................................................................... 
  
 277 
  
 11.3.1 ................................................................... 
  
 Inledning 
  
 277 
  
 11.3.2 ..................................... 
  
 Tillämpningen av datalagen 
  
 278 
  
 11.3.3 ............ 
  
 Granskning av forskningsetiska kommittéer 
  
 281 
  
 11.3.4 ................................... 
  
 Forskningsetiska utredningen 
  
 288 
  
 11.4 
  
 Internationella .....................................................................regler 
  
 291 
  
 11.4.1 .............. 
  
 Europarådets rekommendation på området 
  
 291 
  
 11.4.2 ............................................................ 
  
 EG - direktivet 
  
 293 
  
 11.5 
  
 Datalagsutredningen ..................................................................... 
  
 295 
  
 11.5.1 ................................................................... 
  
 Förslagen 
  
 295 
  
 11.5.2 ........................................................... 
  
 Remissutfallet 
  
 296 
  
 11.6 
  
 Överväganden ............................................................................... 
  
 296 
  
 11.6.1 ................................................................... 
  
 Inledning 
  
 296 
  
 11.6.2 
  
 Huvudprincipen bör vara samtycke vid 
  
 .................. 
  
 behandling av känsliga personuppgifter 
  
 297 
  
 11.6.3 
  
 Behandling av känsliga personuppgifter utan 
  
 samtycke ................................................................... 
  
 298 
  
 11.6.3.1 
  
 Det måste ske en avvägning i varje enskilt fall ....................... 
  
 298 
  
 11.6.3.2 
  
 Vem bör göra avvägningen ..................................................... 
  
 299 
  
 11.6.3.3 
  
 De forskningsetiska kommittéerna .......................................... 
  
 300 
  
 11.6.3.4 
  
 En avvägningsnorm i lagtexten............................................... 
  
 303 
  
 11.6.3.5 
  
 Förhållandet till internationella regler................................... 
  
 306 
  
 11.6.4 
  
 Behandling av icke känsliga personuppgifter .......... 
  
 307 
  
 11.6.5 
  
 Betydelsen av det ändamål för vilket 
  
 uppgifterna samlats in............................................... 
  
 308 
  
 11.6.5.1 
  
 Inledning ................................................................................. 
  
 308 
  
 11.6.5.2 
  
 Personuppgifter för forskning och statistik används för 
  
 att vidta åtgärder beträffande enskilda................................... 
  
 309 
  
 11.6.5.3 
  
 Verksamhetsstatistik................................................................ 
  
 310 
  
 11.6.5.4 
  
 Personuppgifter för administrativa ändamål lämnas ut 
  
 för forskning och statistik........................................................ 
  
 311 
  
 11.6.5.5 
  
 Personuppgifter för forskning och statistik återanvänds 
  
 i ett annat projekt .................................................................... 
  
 311 
  
 11.6.6 
  
 Strykningsrätt............................................................ 
  
 313 
  
 11.6.7 
  
 Registerutdrag och rättelse ....................................... 
  
 316 
  
 12 
  
 Innehållet i den nya persondatalagen ....................................... 
  
 319 
  
 12.1 
  
 Lagstiftningstekniken.................................................................... 
  
 319 
  
 12.1.1 
  
 Allmänt ..................................................................... 
  
 319 
  
 12.1.2 
  
 Regeringen eller Datainspektionen kan 
  
 precisera lagreglerna................................................. 
  
 321 
  
 xii 
  
 Innehållsförteckning 
  
 SOU 1997: 39 
  
 12.2 
  
 Begrepp som används ................................................................... 
  
 329 
  
 12.2.1 
  
 Inledning ................................................................... 
  
 329 
  
 12.2.2 
  
 Behandling av personuppgifter ................................ 
  
 334 
  
 12.2.3 
  
 Blockering................................................................. 
  
 334 
  
 12.2.4 
  
 Känsliga personuppgifter ......................................... 
  
 335 
  
 12.2.5 
  
 Mottagare och tredje man......................................... 
  
 335 
  
 12.2.6 
  
 Persondataansvarig och persondatabiträde .............. 
  
 336 
  
 12.2.7 
  
 Personuppgifter och den registrerade....................... 
  
 340 
  
 12.2.8 
  
 Register ..................................................................... 
  
 341 
  
 12.2.9 
  
 Samtycke................................................................... 
  
 343 
  
 12.2.10 
  
 Tillsynsmyndigheten ................................................ 
  
 345 
  
 12.2.11 
  
 Tredje land ................................................................ 
  
 346 
  
 12.2.12 
  
 Automatisk respektive icke automatisk 
  
 behandling................................................................. 
  
 346 
  
 12.2.13 
  
 Skriftligen respektive undertecknad......................... 
  
 348 
  
 12.3 
  
 Det territoriella tillämpningsområdet ........................................... 
  
 349 
  
 12.4 Grundläggande krav på all behandling av personuppgifter ......... 
  
 352 
  
 12.4.1 
  
 Inledning ................................................................... 
  
 352 
  
 12.4.2 
  
 Korrekt och laglig behandling.................................. 
  
 352 
  
 12.4.3 
  
 Ändamålet med behandlingen .................................. 
  
 353 
  
 12.4.4 
  
 Personuppgifternas kvalitet och omfattning ............ 
  
 354 
  
 12.4.5 
  
 Personuppgifterna får inte sparas längre än 
  
 nödvändigt ................................................................ 
  
 356 
  
 12.4.6 
  
 Behandling för historiska, statistiska och 
  
 vetenskapliga ändamål.............................................. 
  
 356 
  
 12.4.6.1 
  
 Inledning ................................................................................. 
  
 356 
  
 12.4.6.2 
  
 Särskilt om arkiv ..................................................................... 
  
 356 
  
 12.4.6.3 
  
 Lämpliga skyddsåtgärder........................................................ 
  
 359 
  
 12.5 När behandling av personuppgifter skall vara tillåten ................. 
  
 360 
  
 12.5.1 
  
 Allmänna förutsättningar för när 
  
 personuppgifter får behandlas .................................. 
  
 360 
  
 12.5.1.1 
  
 Inledning ................................................................................. 
  
 360 
  
 12.5.1.2 
  
 Samtycke.................................................................................. 
  
 361 
  
 12.5.1.3 
  
 Nödvändighetskravet............................................................... 
  
 361 
  
 12.5.1.4 
  
 I samband med avtal ............................................................... 
  
 362 
  
 12.5.1.5 
  
 Rättslig skyldighet ................................................................... 
  
 363 
  
 12.5.1.6 
  
 För att skydda vitala intressen................................................ 
  
 364 
  
 12.5.1.7 
  
 Myndighetsutövning eller allmänt intresse ............................. 
  
 364 
  
 12.5.1.8 
  
 Efter en intresseavvägning...................................................... 
  
 365 
  
 12.5.2 
  
 När den registrerade motsätter sig behandling 
  
 av personuppgifter .................................................... 
  
 366 
  
 12.5.2.1 
  
 Inledning ................................................................................. 
  
 366 
  
 12.5.2.2 
  
 Samtycke återkallas................................................................. 
  
 367 
  
 12.5.2.3 
  
 Direkt marknadsföring ............................................................ 
  
 368 
  
 SOU 1997:39 
 Innehållsförteckning  
 xiii 
  
 12.5.3 
  
 Ett principiellt förbud mot behandling av 
  
 känsliga personuppgifter .......................................... 
  
 369 
  
 12.5.3.1 
  
 Inledning ................................................................................. 
  
 369 
  
 12.5.3.2 
  
 Definitionen av känsliga personuppgifter ............................... 
  
 371 
  
 12.5.3.3 
  
 Undantag från förbudet ........................................................... 
  
 372 
  
 12.5.3.4 
  
 Uppgifter om brott ................................................................... 
  
 381 
  
 12.6 
  
 Användning av personnummer..................................................... 
  
 384 
  
 12.7 Information till den registrerade ................................................... 
  
 386 
  
 12.7.1 
  
 Inledning ................................................................... 
  
 386 
  
 12.7.2 
  
 När uppgifterna samlas in ......................................... 
  
 386 
  
 12.7.2.1 
  
 Inledning ................................................................................. 
  
 386 
  
 12.7.2.2 
  
 När skall informationen lämnas .............................................. 
  
 387 
  
 12.7.2.3 
  
 Vilken information skall lämnas .............................................. 
  
 388 
  
 12.7.2.4 
  
 Undantag från informationsskyldigheten ................................ 
  
 389 
  
 12.7.3 
  
 På ansökan av den registrerade ................................ 
  
 391 
  
 12.7.4 
  
 Förhållandet till bestämmelser om sekretess 
  
 och tystnadsplikt ....................................................... 
  
 397 
  
 12.8 
  
 Rättelse 
  
 .......................................................................................... 
  
 399 
  
 12.8.1 ................................................................... 
  
 Inledning 
  
 399 
  
 12.8.2 .................................................... 
  
 Korrigeringsregeln 
  
 400 
  
 12.8.2.1 ................................................................................. 
  
 Inledning 
  
 400 
  
 12.8.2.2 .............................................. 
  
 På begäran av den registrerade 
  
 401 
  
 12.8.2.3 ..................................................... 
  
 Valet av korrigeringsmetod 
  
 401 
  
 12.8.2.4 .................................................................................... 
  
 Rättelse 
  
 402 
  
 12.8.2.5 .............................................................................. 
  
 Utplånande 
  
 402 
  
 12.8.2.6 ............................................................................... 
  
 Blockering 
  
 403 
  
 12.8.3 ........ 
  
 Underrättelse till tredje man om korrigeringen 
  
 403 
  
 12.9 
  
 Automatiserade ...................................................................beslut 
  
 406 
  
 12.9.1 ............................................................ 
  
 EG - direktivet 
  
 406 
  
 12.9.2 ............................................................... 
  
 Vårt förslag 
  
 407 
  
 12.10 Säkerhet .....................................och sekretess vid behandlingen 
  
 410 
  
 12.10.1 ................................................................... 
  
 Inledning 
  
 410 
  
 12.10.2 
  
 Behandling får bara utföras enligt instruktion 
  
 från den persondataansvarige ................................... 
  
 410 
  
 12.10.3 
  
 Säkerhetsåtgärder...................................................... 
  
 412 
  
 12.10.4 
  
 När den persondataansvarige anlitar ett 
  
 persondatabiträde...................................................... 
  
 414 
  
 12.11 Överföring av personuppgifter utanför EU .................................. 
  
 415 
  
 12.11.1 
  
 Inledning ................................................................... 
  
 415 
  
 12.11.2 
  
 Ett principiellt förbud mot överföring...................... 
  
 416 
  
 12.11.3 
  
 Undantag i persondatalagen från förbudet ............... 
  
 417 
  
 12.11.4 
  
 Behörighet att medge ytterligare undantag .............. 
  
 418 
  
 12.12 Anmälningsbyråkrati eller tillsyn ................................................. 
  
 421 
  
 12.12.1 
  
 Våra utgångspunkter................................................. 
  
 421 
  
 xiv  
 Innehållsförteckning 
  
 SOU 1997: 39 
  
 12.12.2 
  
 Genomförandet av EG - direktivet ............................. 
  
 423 
  
 12.12.2.1 
  
 EG - direktivet i korthet ............................................................. 
  
 423 
  
 12.12.2.2 
  
 En principiell anmälningsskyldighet måste införas ................ 
  
 424 
  
 12.12.2.3 
  
 Undantag från anmälningsskyldigheten ................................. 
  
 425 
  
 12.12.2.4 
  
 Särskilt om persondataombud ................................................. 
  
 427 
  
 12.12.2.5 
  
 Förhandskontroll av särskilt integritetskänsliga 
  
 behandlingar ........................................................................... 
  
 430 
  
 12.12.2.6 
  
 Upplysningar skall på begäran lämnas om 
  
 behandlingar som inte anmälts ............................................... 
  
 431 
  
 12.12.2.7 
  
 Datainspektionens register över anmälda behandlingar ........ 
  
 431 
  
 12.13 
  
 Sanktioner 
  
 ..................................................................................... 
  
 432 
  
 12.13.1 
  
 Inledning ................................................................... 
  
 432 
  
 12.13.1.1 
  
 EG - direktivet ........................................................................... 
  
 432 
  
 12.13.1.2 
  
 Datalagen ................................................................................ 
  
 433 
  
 12.13.1.3 ................................................. 
  
 Datalagsutredningens förslag 
  
 434 
  
 12.13.1.4 ......................................... 
  
 Skrivelse från Landstingsförbundet 
  
 434 
  
 12.13.2 ......................................................... 
  
 Vår bedömning 
  
 435 
  
 12.13.2.1 .............................. 
  
 Omfattningen av skadeståndsskyldigheten 
  
 435 
  
 12.13.2.2 ................................................................................. 
  
 Jämkning 
  
 436 
  
 12.13.2.3 ................. 
  
 Förhållandet till andra skadeståndsbestämmelser 
  
 439 
  
 12.13.2.4 .................................................................... 
  
 Övriga sanktioner 
  
 440 
  
 12.14 Datainspektionens ..............................uppgifter och finansiering 
  
 443 
  
 12.14.1 ........ 
  
 Datainspektionens uppgifter och befogenheter 
  
 443 
  
 12.14.1.1 ........................................................................... 
  
 EG - direktivet 
  
 443 
  
 12.14.1.2 .................. 
  
 Datainspektionens befogenheter enligt datalagen 
  
 445 
  
 12.14.1.3 ................................................................. 
  
 Våra överväganden 
  
 445 
  
 12.14.2 ............................................................ 
  
 Överklagande 
  
 449 
  
 12.14.3 
  
 Datainspektionens finansiering och 
  
 .............................................................. 
  
 organisation 
  
 450 
  
 12.14.3.1 ............................................................... 
  
 Finansieringen i dag 
  
 450 
  
 12.14.3.2 ................................................................. 
  
 Våra överväganden 
  
 451 
  
 12.15 
  
 Ikraftträdande .................................och övergångsbestämmelser 
  
 454 
  
 12.15.1 ............................................................ 
  
 EG - direktivet 
  
 454 
  
 12.15.2 ................................................... 
  
 Våra överväganden 
  
 455 
  
 12.15.2.1 ....................................................... 
  
 Dagen för ikraftträdandet 
  
 455 
  
 12.15.2.2 ............................. 
  
 Behandling som pågår vid ikraftträdandet 
  
 456 
  
 12.15.2.3 ............... 
  
 Manuell behandling som pågår vid ikraftträdandet 
  
 457 
  
 12.15.2.4 ............... 
  
 Personuppgifter som lagras för historisk forskning 
  
 457 
  
 12.15.2.5 ................................................. 
  
 Vissa övriga övergångsfrågor 
  
 458 
  
 13 
  
 Regler i datalagen ..................som bör flyttas till andra lagar 
  
 461 
  
 13.1 
  
 Inledning ....................................................................................... 
  
 461 
  
 13.2 
  
 Dokumentationsskyldighet ........................................................... 
  
 461 
  
 13.3 
  
 Straff för dataintrång..................................................................... 
  
 462 
  
 13.4 Det statliga ........................................person- och adressregistret 
  
 462 
  
 SOU 1997: 39 
  
 1 
  
 FÖRKORTNINGAR 
  
 A. 
  
 Anförd/anförda 
  
 Arkivlagen 
  
 Arkivlagen (1990:782) 
  
 Arkivförordningen 
  
 Arkivförordningen (1991:446) 
  
 BrB 
  
 Brottsbalken 
  
 Dataförordningen 
  
 Dataförordningen (1982:480) 
  
 Datalagen 
  
 Datalagen (1973:289) 
  
 Datalagsutredningens 
  
 En ny datalag (SOU 1993:10) 
  
 slutbetänkande 
  
 DIFS 
  
 Datainspektionens författningssamling 
  
 Dir. 
  
 Direktiv 
  
 Dnr 
  
 Diarienummer 
  
 Ds 
  
 Departementsserien 
  
 EES 
  
 Europeiska ekonomiska samarbetsområdet 
  
 EG 
  
 Europeiska gemenskapen (tidigare Europeiska 
  
 ekonomiska gemenskapen, EEG) 
  
 EG-direktivet 
  (ibland 
  
 Europaparlamentets 
  
 och 
  
 rådets direktiv 
  
 bara direktivet) 
  
 95/46/EG av den 24 oktober 1995 om skydd 
  
 för enskilda personer med avseende på be- 
  
 handling av personuppgifter och om det fria 
  
 flödet av sådana uppgifter 
  
 EG-domstolen 
  
 Europeiska gemenskapernas domstol 
  
 EG-fördraget 
  
 Fördraget om upprättandet av Europeiska ge- 
  
 menskapen 
  
 EGT 
  
 Europeiska gemenskapernas officiella tidning 
  
 EU 
  
 Europeiska unionen 
  
 FJFT 
  
 Tidskrift utgiven av juridiska föreningen i 
  
 Finland 
  
 Förvaltningslagen 
  
 Förvaltningslagen (1986:223) 
  
 ILO 
  
 International Labour Organization 
  
 IT 
  
 Informationsteknik 
  
 (tidigare: 
  
 Informationstek- 
  
 nologi) 
  
 JT 
  
 Juridisk Tidskrift vid Stockholms universitet 
  
 Kommissionen 
  
 Europeiska gemenskapernas kommission 
  
 KU 
  
 Konstitutionsutskottets betänkande 
  
 2 
  
 Förkortningar 
  
 SOU 1997: 39 
  
 NJA 
  
 Nytt juridiskt arkiv, avdelning 1 
  
 OECD 
  
 Organisation for Economic  
 Co-operation 
  and 
  
 Development 
  
 Prop. 
  
 Proposition 
  
 RA-FS 
  
 Riksarkivets författningssamling 
  
 RF 
  
 Regeringsformen 
  
 RB 
  
 Rättegångsbalken 
  
 RÅ 
  
 Regeringsrättens årsbok 
  
 Rådet 
  
 Europeiska unionens råd 
  
 Sekretesslagen 
  
 Sekretesslagen (1980:100) 
  
 SFS 
  
 Svensk författningssamling 
  
 SOU 
  
 Statens offentliga utredningar 
  
 SPAR 
  
 Det statliga person- och adressregistret 
  
 SvJT 
  
 Svensk Juristtidning 
  
 TF 
  
 Tryckfrihetsförordningen 
  
 UfR 
  
 Ugeskrift for retsvæsen 
  
 URL 
  
 Lagen (1960:729) om upphovsrätt till litterära 
  
 och konstnärliga verk 
  
 Utredningsdirektiven 
  
 Dir. 1995:91 (direktiven till Datalags- 
  
 kommittén) 
  
 Verksförordningen 
  
 Verksförordningen (1995:1322) 
  
 YGL 
  
 Yttrandefrihetsgrundlagen 
  
 SOU 1997: 39 
  
 3 
  
 SAMMANFATTNING 
 En ny persondatalag 
 Vi har haft i uppdrag att göra en översyn av datalagen, som kom till redan år 1973. Syftet har varit att åstadkomma en modern och teknikoberoende lagstiftning om skydd för den personliga integriteten vid behandling av personuppgifter. 
 Vi lämnar förslag till  
 en helt ny persondatalag  
 som till största delen bygger på ett färskt  
 EG-direktiv 
  på området. En förutsättning för att vi skulle kunna lämna ett sådant förslag har varit att direktivet går att förena med det som i Sverige är grundlagsskyddat eller annars särskilt betydelse- fullt från svenska utgångspunkter. Den nya lagstiftningen får inte inkräkta på offentlighetsprincipen eller tryck- och yttrandefriheten. Denna förut- sättning är uppfylld. Genom att Sverige deltog i de slutliga förhandlingarna om direktivet har de svenska synpunkterna kommit att beaktas i det. Vi föreslår tydliga bestämmelser i persondatalagen som klargör att lagen inte skall tillämpas i den utsträckning det skulle inskränka grundlagsskyddade rättigheter. Den föreslagna lagen berör och förändrar således inte dessa rättigheter. 
 Den föreslagna lagstiftningen bygger liksom  
 EG-direktivet 
  på att själva hanteringen av personuppgifter regleras. Ett alternativ skulle vara att lämna hanteringen av personuppgifter i stort sett fri och i stället hindra bara det som kan betecknas som ett missbruk. Med hänsyn till den oro som många människor alltjämt känner för samlingar av elektroniska uppgifter om dem har vi dock inte ansett tiden mogen att i princip släppa hanteringen av databaserade personuppgifter fri. Sverige skulle inte heller fullgöra sina internationella åtaganden om vi valde en helt annan modell än EG- direktivets. Vi anser dock att man i ett längre perspektiv bör inrikta sig mera på att stävja och beivra missbruk än på att reglera en hantering som snart sagt alla kan hålla på med. 
 Den föreslagna persondatalagen kan ses som en ramlag som ger gene- rella riktlinjer för all behandling av personuppgifter. Avsikten är att rege- 
  
 4 
  
 Sammanfattning 
  
 SOU 1997: 39 
  
 ringen och Datainspektionen skall inom den ram som lagen drar upp när- mare precisera regleringen. De särskilda registerförfattningarna, som inne- håller regler för bl.a. många viktiga myndighetsregister, omfattas inte av vårt uppdrag. Vi påpekar att dessa författningar inom de närmaste åren måste ses över och anpassas till den nya persondatalagen. 
 Rent privat användning av personuppgifter undantas från den före- slagna lagen. Som exempel kan nämnas  
 e-post 
  mellan privatpersoner. 
 Med behandling av personuppgifter avses i stort sett allt man kan göra med sådana uppgifter, t.ex. att samla in, söka, bevara och sprida uppgifter. Behandling av personuppgifter som är helt eller delvis automatisk – dvs. i första hand datoriserad – omfattas av den föreslagna lagen. Manuell be- handling av sådana uppgifter (på papper) omfattas bara om uppgifterna skall ingå i ett regelrätt register. 
 I den föreslagna lagen slås fast vissa grundläggande krav på all be- handling av personuppgifter. Den persondataansvarige skall se till att per- sonuppgifter samlas in bara för särskilda, uttryckligt angivna och berätti- gade ändamål. Uppgifterna får sedan inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna ursprungligen samlades in. Fler uppgifter än nödvändigt får inte behandlas, och de behandlade uppgifterna skall vara adekvata och relevanta. Felaktiga, missvisande eller ofullständiga uppgifter skall korrigeras. Uppgifterna får sparas bara så länge det är nödvändigt med hänsyn till ändamålen med behandlingen. För uppgifter som behandlas för historiska, statistiska eller vetenskapliga ända- mål finns särskilda regler. 
 Den föreslagna lagen innehåller en uttömmande uppräkning av de fall då personuppgifter får behandlas. Personuppgifter får alltid behandlas om den registrerade har lämnat sitt samtycke. I annat fall krävs att behandlingen är nödvändig för vissa angivna ändamål. De situationer då behandling är tillå- ten utan samtycke kan sammanfattas enligt följande. 
  
 N  
 I samband med avtal 
  
 N  
 För att fullgöra en rättslig skyldighet 
  
 N  
 För att skydda vitala intressen för den registrerade 
  
 N  
 För att utföra en arbetsuppgift av allmänt intresse eller i samband med myndighetsutövning 
  
 N  
 Efter en intresseavvägning där den registrerades intressen vägs mot in- tressen på den persondataansvariges sida 
 För behandling av känsliga personuppgifter gäller enligt den föreslagna lagen särskilda regler. Som känsliga uppgifter anses sådana uppgifter som 
  
 SOU 1997: 39 
  
 Sammanfattning  
 5 
  
 rör hälsa eller sexualliv eller som avslöjar ras eller etniskt ursprung, poli- tiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening. Sådana uppgifter får behandlas bara i de fall som räknas upp i lagen. Regeringen eller Datainspektionen kan dock tillåta att känsliga per- sonuppgifter behandlas också i andra fall, under förutsättning att det be- hövs med hänsyn till ett viktigt allmänt intresse. 
 Känsliga personuppgifter får behandlas när den registrerade har lämnat sitt samtycke eller när han eller hon på ett tydligt sätt har offentliggjort uppgif- terna. De fall där sådana för ändamålet relevanta uppgifter annars får be- handlas kan sammanfattas enligt följande. 
  
 N  
 För att fullgöra skyldigheter eller utöva rättigheter inom arbetsrätten 
  
 N  
 För att skydda vitala intressen när den registrerade inte kan lämna sam- tycke 
  
 N  
 För att rättsliga anspråk skall kunna fastställas, göras gällande eller för- svaras 
  
 N  
 Inom ideella organisationer får känsliga uppgifter om medlemmar och t.ex. sympatisörer behandlas, men inte lämnas ut till någon utomstående 
  
 N  
 Inom hälso- och sjukvård 
  
 N  
 För forskning och statistik när en forskningsetisk kommitté har godkänt projektet eller när samhällsintresset av behandlingen annars klart över- väger integritetsriskerna 
 Uppgifter om lagöverträdelser m.m. får enligt huvudregeln behandlas bara av myndigheter. Personnummer skall liksom i dag få användas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. 
 De som registreras skall få kännedom om behandlingen av uppgifterna. Enligt förslaget skall den persondataansvarige i samband med insamlingen av uppgifter självmant lämna de registrerade information om behand- lingen. När uppgifterna hämtas in från någon annan källa än den registre- rade, behöver information dock inte lämnas, om registreringen eller utläm- nandet av uppgifterna är författningsreglerat eller om det skulle innebära en oproportionerligt stor arbetsinsats att informera. 
 Den registrerade skall enligt förslaget ha rätt att på begäran en gång per kalenderår gratis få information om de uppgifter som behandlas, dvs. ett registerutdrag. Den persondataansvarige skall vidare på begäran korrigera personuppgifter som är felaktiga, missvisande eller ofullständiga eller annars inte har behandlats enligt de bestämmelser som gäller. 
  
 6 
  
 Sammanfattning 
  
 SOU 1997: 39 
  
 För överföring av personuppgifter utanför EU och EES föreslås vissa restriktioner. 
 Den föreslagna lagen innehåller bestämmelser om säkerheten vid be- handling av personuppgifter. 
 Den nuvarande skyldigheten att i förväg anmäla behandlingar till Data- inspektionen bör begränsas till ett minimum. Inspektionens verksamhet skall i stället koncentreras till tillsyn, information och rådgivning. Datain- spektionen skall också genom föreskrifter precisera lagens regler på olika områden. 
 Om någon bryter mot den föreslagna lagen skall Datainspektionen söka åstadkomma rättelse. Inspektionen får enligt förslaget förelägga vite och föra talan om att personuppgifter skall utplånas. 
 I övrigt är påföljden för brott mot den föreslagna lagen i första hand skadestånd till de registrerade som har drabbats av skada. De skall utom annan ersättning liksom hittills ha rätt till ideellt skadestånd för kränkning. Skadeståndsansvaret bör vara i princip rent strikt, dvs. skadestånd skall be- talas så snart reglerna inte har följts, men vi föreslår en möjlighet att efter skälighet sätta ned skadeståndet för det fall att den persondataansvarige kan bevisa att den felaktiga behandlingen inte berodde på honom eller henne. 
 Den föreslagna lagen bör träda i kraft den 1 januari 1999 och tillämpas fullt ut på behandlingar som påbörjas därefter. För behandlingar som redan pågår vid ikraftträdandet, bör den gamla datalagen få gälla ända till den 1 oktober 2001. 
 Offentlighetsprincipen i  
 IT-samhället 
  
 Den andra delen av vårt uppdrag har varit att se över reglerna i 2 kap. tryckfrihetsförordningen om medborgarnas rätt att ta del av allmänna handlingar – offentlighetsprincipen. Syftet har inte varit att förändra denna princip utan att undersöka hur den kan tillämpas i en modern  
 IT-miljö. 
  Vi har satt upp två utgångspunkter för detta arbete: 
  
 N  
 Offentligheten skall vara så vid som möjligt 
  
 N  
 Reglerna måste vara tydliga och lätta att tillämpa 
 En vidsträckt offentlighetsinsyn medger en kontroll av makten och stärker på så sätt demokratin. Våra förslag syftar också till att på sikt vidga all- mänhetens möjligheter att dra nytta av det enorma uppgiftsmaterial som finns samlat hos de offentliga myndigheterna. 
  
 SOU 1997: 39 
  
 Sammanfattning  
 7 
  
 Vi föreslår att det centrala begreppet i offentlighetsprincipen skall vara allmän uppgift i stället för allmän handling. Begreppet uppgift är tek- nikneutralt och sekretesslagen bygger redan nu på det. Förslaget innebär i denna del ingen större saklig förändring; har man kunnat få ut en handling skall man kunna få ut en uppgift som finns i en handling. En fördel är att man inte behöver använda fiktioner som uttrycket potentiella handlingar för att föra in elektroniska register under offentlighetsprincipen. 
 Begreppet handling finns enligt vårt förslag kvar i lagen som en förvaringsplats för uppgifter. En handling har ett bestämt innehåll, näm- ligen det innehåll som den som en gång skrev handlingen gav den. Det har ingen betydelse om handlingen har formen av ett papper eller om den finns i digital form. 
 Sådana förvaringsplatser som inte är handlingar kallar vi databaser. Det som är typiskt för en databas är att uppgifterna är ordnade på ett sådant sätt att det går att söka bland dem och att man kan kombinera uppgifterna på olika sätt. Register är typiska exempel på databaser. Manuella databaser och sådana som förs med hjälp av digital teknik är likställda. 
 Uppgifter kan alltså finnas antingen i handlingar eller i databaser. 
 En förutsättning för att en uppgift skall vara allmän hos en myndighet är att den förvaras hos myndigheten. På  
 1970-talet 
  infördes en bestämmel- se som innebär att allt som är tekniskt tillgängligt för en myndighet anses förvarat hos denna. I den tidens stordatormiljö var en sådan regel rimlig. Vi konstaterar emellertid att en sådan regel inte går att tillämpa i en mo- dern  
 IT-miljö 
  där snart sagt allt är tekniskt tillgängligt t.ex. via Internet. En förutsättning för att offentlighetsprincipen skall fungera i praktiken är att gränserna mellan myndigheterna upprätthålls. Myndigheterna har annars sämre möjligheter att hålla ordning på sina uppgifter, och därmed försämras förutsättningarna för att allmänheten skall kunna finna dem. 
 Vi föreslår att begreppet förvar återfår sin egentliga betydelse, men att det får innefatta även elektroniska förvar. Myndighetens skyldighet att lämna ut allmänna uppgifter skall alltså omfatta sådana uppgifter som den förvarar, antingen rent fysiskt (på papper eller på en  
 cd-romskiva, 
  diskett eller hårddisk) eller logiskt (i ett elektroniskt arkiv som tillhör myndighe- ten). 
 Sådant som tillhör myndighetens bibliotek omfattas inte av offentlig- hetsprincipen. Det nya sättet att se på förvar innebär att den bestämmelsen kan förenklas. En bok i biblioteket bör behandlas på samma sätt oavsett om den är tryckt på papper eller om den finns på en  
 cd-romskiva. 
  
 8 
  
 Sammanfattning 
  
 SOU 1997: 39 
  
 I dag anser man att myndigheterna har en viss skyldighet att när all- mänheten vill ha ut uppgifter göra extra sökningar och sammanställningar utöver det som myndigheten själv normalt gör. Det brukar uttryckas så att det som kan tas fram med rutinbetonade åtgärder anses vara en allmän handling. Detta bör gälla även i framtiden men bör relateras till kostnaden. Det extra arbete som myndigheten kan utföra utan nämnvärda kostnader skall den vara skyldig att göra. Eftersom tekniken kommer att ge allt vidare och billigare möjligheter att söka och sammanställa uppgifter kommer också allmänhetens möjligheter att få insyn i myndigheternas verksamhet och del av deras kunskaper att öka i framtiden. 
 När det gäller själva utlämnandet av allmänna uppgifter till allmänheten föreslår vi en utvidgning av offentlighetsprincipen. Den bör, enligt vårt förslag, även omfatta en rätt att få ut allmänna uppgifter i elektronisk form. Vi är medvetna om att en sådan rätt inte kan införas generellt och omedel- bart. Enligt den föreslagna regeln skall allmänhetens rätt att få allmänna uppgifter t.ex. på en diskett eller via  
 e-post 
  vara anpassad efter myndighe- tens tekniska möjligheter. Eftersom dessa fortlöpande förbättras kommer också insynen att bli mer effektiv. Det kan finnas särskilda bestämmelser som förbjuder myndigheter att lämna ut uppgifter i digital form och i vissa fall kan sådant utlämnande falla under sekretess, men principen bör vara att man har samma rätt att få uppgifter i elektronisk form som på papper. Detta bör, åtminstone på sikt, vara positivt även för myndigheterna som slipper dyrbar pappershantering. 
 Rätten att få uppgifter i elektronisk form bör inte omfatta datorprogram, eftersom detta skulle kunna inkräkta på upphovsrätten. Vi anser däremot att det finns ett allmänt intresse av att få reda på hur myndigheternas datorprogram fungerar; detta gäller särskilt när myndighetens beslut fattas automatiskt genom datorprogram. För att förstärka offentlighetsinsynen föreslår vi därför att myndigheterna, när det gäller sådana program, skall vara skyldiga att tillhandahålla beskrivningar (systemdokumentation) över hur programmen fungerar. 
 Vårt förslag till ny begreppsapparat i tryckfrihetsförordningen kräver följdändringar i andra lagar. Vi lämnar förslag till sådana ändringar i sekre- tesslagen och arkivlagen. 
 Tryckfrihetsförordningen anger inte i dag vad som skall hända med de allmänna handlingarna när de inte längre är aktuella. Eftersom det är av stor praktisk betydelse för offentlighetsinsynen att allmänna uppgifter be- varas föreslår vi att det införs en bestämmelse i tryckfrihetsförordningen som hänvisar till arkivlagen. 
  
 SOU 1997: 39 
  
 Sammanfattning  
 9 
  
 ___________________ 
  
 Reservationer  
 har lämnats av Beltran (kd), Wood (fp) och Gray (m) gemensamt samt av Mcmahon (mp). 
  
 Särskilda yttranden  
 har lämnats av Mcmahon (mp) och av Barron, med instämmande av Williams, av Walker, Moss, Finley samt av Long. 
 SOU 1997: 39 
 Författningsförslag: Persondatalagen  
 11 
  
 FÖRFATTNINGSFÖRSLAG 
  
 a) 
  
 Förslag till Persondatalag (1998:000) 
  
 Härmed föreskrivs 
 1  
 följande. 
 Inledande bestämmelser 
 Syftet med lagen 
  
 1 §  
 Syftet med denna lag är att skydda människor mot otillbörligt intrång i den personliga integriteten vid behandling av personuppgifter. 
 Avvikande bestämmelser i annan lagstiftning 
  
 2 §  
 Om det i en annan lag eller i en förordning finns bestämmelser som av- viker från denna lag, skall dessa bestämmelser gälla. 
  
 1 
  
 Jfr Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT nr L 281, 23.11.1995, s. 31, Celex 395L0046). 
  
 12  
 Författningsförslag: Persondatalagen 
  
 SOU 1997: 39 
  
 Definitioner 
  
 3 §  
 I denna lag används följande beteckningar med nedan angiven bety- delse. 
  
 Beteckning 
  
 Betydelse 
  
 Behandling 
  
 (av 
  
 per- 
  
 Varje åtgärd som vidtas beträffande personuppgif- 
  
 sonuppgifter) 
  
 ter. 
  
 Blockering 
  
 (av 
  
 per- 
  
 Varje åtgärd som kan vidtas för att personuppgif- 
  
 sonuppgifter) 
  
 terna i alla sammanhang skall vara förknippade 
  
 med tydlig information om att de är spärrade och 
  
 om anledningen till spärren och för att personupp- 
  
 gifterna inte skall lämnas ut till tredje man annat än 
  
 Den registrerade 
  
 med stöd av 2 kap. tryckfrihetsförordningen. 
  
 Den som en personuppgift avser. 
  
 Känsliga personupp- 
  
 Sådana personuppgifter som avses i 13 §. 
  
 gifter 
  
 Mottagare 
  
 Den till vilken personuppgifter lämnas ut. När per- 
  
 sonuppgifter lämnas ut för att en myndighet skall 
  
 kunna utföra sådan tillsyn, kontroll eller revision 
  
 som åligger den, anses dock inte myndigheten som 
  
 Persondataansvarig 
  
 mottagare. 
  
 Den som ensam eller tillsammans med andra be- 
  
 stämmer ändamålen med och medlen för behand- 
  
 Persondatabiträde 
  
 lingen av personuppgifter. 
  
 Den som behandlar personuppgifter för den per- 
  
 Personuppgifter 
  
 sondataansvariges räkning. 
  
 All slags information som direkt eller indirekt kan 
  
 Samtycke 
  
 hänföras till en fysisk person som är i livet. 
  
 Varje slag av frivillig, särskild och informerad 
  
 viljeyttring genom vilken den registrerade godtar 
  
 behandling av personuppgifter som rör honom eller 
  
 Tillsynsmyndigheten 
  
 henne. 
  
 Den myndighet som regeringen utser. 
  
 Tredje land 
  
 En stat som inte ingår i Europeiska unionen eller är 
  
 ansluten till Europeiska ekonomiska samarbetsom- 
  
 Tredje man 
  
 rådet. 
  
 Någon annan än den registrerade, den persondata- 
  
 ansvarige, persondatabiträdet och sådana personer 
  
 som under den persondataansvariges eller person- 
  
 databiträdets direkta ansvar har befogenhet att be- 
  
 handla personuppgifter. Ett sådant persondataom- 
  
 bud som avses i 37 § anses inte som tredje man. 
  
 SOU 1997: 39 
 Författningsförslag: Persondatalagen  
 13 
  
 Tillämpningsområdet 
 Det territoriella tillämpningsområdet 
  
 4 §  
 Denna lag gäller för sådana persondataansvariga som är etablerade i Sverige. 
 Lagen tillämpas också när den persondataansvarige är etablerad i tredje land men för behandlingen av personuppgifter använder sig av utrustning som finns i Sverige. Vad som nu sagts gäller dock inte om utrustningen bara används för att överföra uppgifter mellan ett tredje land och ett annat sådant land. 
 I det fall som avses i andra stycket skall den persondataansvarige utse en företrädare för sig som är etablerad i Sverige. Den persondataansvarige skall, innan utrustningen börjar användas, till tillsynsmyndigheten skriftli- gen anmäla vem som har utsetts och därvid bifoga ett skriftligt medgivande från den utsedde. Vad som anges i denna lag om den persondataansvarige skall också gälla den företrädare som har anmälts på detta sätt. 
 Vilken behandling av personuppgifter omfattas av lagen 
  
 5 §  
 Denna lag gäller för sådan behandling av personuppgifter som helt eller delvis är automatisk. 
 Lagen gäller även för annan behandling av personuppgifter, om uppgif- terna ingår i eller är avsedda att ingå i ett register. Med register avses varje strukturerad samling av personuppgifter vilka är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. 
 Undantag för privat användning av personuppgifter 
  
 6 §  
 Denna lag gäller inte för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur. 
 Undantag med hänsyn till yttrandefriheten 
  
 7 §  
 Bestämmelserna i  
 9–29 
  och  
 33–46 
  §§ samt 47 § första stycket och 49 § skall inte tillämpas på 
  
 a) 
  
 sådana förfaranden som är skyddade enligt tryckfrihetsförordningen eller yttrandefrihetsgrundlagen, 
  
 b) 
  
 spridningen av sådana yttranden som är skyddade enligt tryckfrihets- förordningen eller yttrandefrihetsgrundlagen, eller 
  
 14  
 Författningsförslag: Persondatalagen 
  
 SOU 1997: 39 
  
 c) 
  
 sådan behandling av personuppgifter som annars sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. 
  
 Förhållandet till offentlighetsprincipen 
  
 8 §  
 Bestämmelserna i denna lag skall inte tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförord- ningen att lämna ut personuppgifter. 
 Bestämmelserna hindrar inte heller att en myndighet arkiverar och be- varar sina allmänna uppgifter eller att arkivmaterial tas om hand av en ar- kivmyndighet. Bestämmelserna i 9 § tredje stycket gäller inte för person- uppgifter i en myndighets arkiv. 
 Grundläggande krav på behandlingen av personuppgifter 
  
 9 §  
 Den persondataansvarige skall se till 
  
 a) 
  
 att personuppgifter behandlas bara när det är lagligt, särskilt att sam- tycke inhämtas när så krävs, 
  
 b) 
  
 att personuppgifter alltid behandlas på ett korrekt sätt, 
  
 c) 
  
 att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, 
  
 d) 
  
 att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, 
  
 e) 
  
 att de personuppgifter som behandlas är adekvata och relevanta i för- hållande till ändamålen med behandlingen, 
  
 f) 
  
 att inte fler personuppgifter behandlas än som är nödvändigt med hän- syn till ändamålen med behandlingen, 
  
 g) 
  
 att de personuppgifter som behandlas är riktiga och, om det är nöd- vändigt, aktuella, 
  
 h) 
  
 att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna så- dana personuppgifter som är felaktiga, missvisande eller ofullständiga med hänsyn till ändamålen med behandlingen, och 
  
 i) 
  
 att personuppgifter inte bevaras under en längre tid än vad som är nöd- vändigt med hänsyn till ändamålen med behandlingen. 
  
 Beträffande första stycket d) gäller att en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte skall anses som oförenlig med de ändamål för vilka uppgifterna samlades in. I fråga om första stycket i) gäller att personuppgifter får bevaras under längre tid än som sagts där för historiska, statistiska eller vetenskapliga ändamål. 
 SOU 1997: 39 
 Författningsförslag: Persondatalagen  
 15 
  
 Personuppgifter som behandlas för historiska, statistiska eller veten- skapliga ändamål får användas för att vidta åtgärder beträffande den regist- rerade bara om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades eller någon annans vitala intressen. 
 När behandling av personuppgifter är tillåten 
 Allmänt 
  
 10 §  
 Personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller när behandlingen är nödvändig 
  
 a) 
  
 för att fullgöra ett avtal med den registrerade, 
  
 b) 
  
 för att på den registrerades begäran vidta åtgärder innan ett avtal träffas, 
  
 c) 
  
 för att den persondataansvarige skall kunna fullgöra en rättslig skyl- dighet, 
  
 d) 
  
 för att skydda vitala intressen för den registrerade, 
  
 e) 
  
 för att utföra en arbetsuppgift av allmänt intresse, 
  
 f) 
  
 för att den persondataansvarige eller en tredje man till vilken person- uppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller 
  
 g) 
  
 för ändamål som rör ett berättigat intresse hos den persondataansvarige eller hos sådana tredje män till vilka personuppgifterna lämnas ut när detta intresse väger tyngre än den registrerades intresse. 
  
 Direkt marknadsföring 
  
 11 §  
 Personuppgifter får inte behandlas för ändamål som rör direkt mark- nadsföring, om den registrerade hos den persondataansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling. 
 Samtycke återkallas 
  
 12 §  
 I de fall där behandling av personuppgifter bara är tillåten när den registrerade har lämnat sitt samtycke enligt 10, 15 eller 34 § har den regist- rerade rätt att när som helst återkalla ett lämnat samtycke. Ytterligare per- sonuppgifter om den registrerade får därefter inte behandlas. 
 En registrerad har utöver vad som följer av första stycket och 11 § inte rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt denna lag. 
  
 16  
 Författningsförslag: Persondatalagen 
  
 SOU 1997: 39 
  
 Förbud mot behandling av känsliga personuppgifter 
  
 13 §  
 Det är förbjudet att behandla personuppgifter som avslöjar 
  
 a) 
  
 ras eller etniskt ursprung, 
  
 b) 
  
 politiska åsikter, 
  
 c) 
  
 religiös eller filosofisk övertygelse, eller 
  
 d) 
  
 medlemskap i fackförening. 
  
 Det är också förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. 
 Undantag från förbudet mot behandling av känsliga personuppgifter 
 Allmänt 
  
 14 §  
 Utan hinder av 13 § är det tillåtet att behandla känsliga personuppgif- ter i de fall som anges i  
 15–19 
  §§. 
 I 10 § finns det bestämmelser om i vilka fall behandling av personupp- gifter över huvud taget är tillåten. 
 Samtycke eller offentliggörande 
  
 15 §  
 Känsliga personuppgifter får behandlas, om den registrerade har samtyckt till behandlingen eller på ett tydligt sätt offentliggjort uppgif- terna. 
 Behandlingen är nödvändig i vissa fall 
  
 16 §  
 Känsliga personuppgifter får behandlas när behandlingen är nödvän- dig för att 
  
 a) 
  
 den persondataansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, 
  
 b) 
  
 skydda vitala intressen för den registrerade eller någon annan och den registrerade inte kan lämna samtycke, eller 
  
 c) 
  
 rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. 
  
 Uppgifter som behandlas med stöd av första stycket a) får lämnas ut till tredje man bara om det inom arbetsrätten finns en uttrycklig skyldighet för den persondataansvarige att göra det eller den registrerade har samtyckt till utlämnandet. 
 SOU 1997: 39 
 Författningsförslag: Persondatalagen  
 17 
  
 Ideella organisationer 
  
 17 §  
 Ideella organisationer med politiskt, filosofiskt, religiöst eller fackligt syfte får inom ramen för sin verksamhet behandla känsliga personuppgifter om organisationens medlemmar och sådana andra personer som på grund av organisationens syfte har regelbunden kontakt med denna. Känsliga personuppgifter får dock lämnas ut till tredje man bara om den registrerade har samtyckt till det. 
 Hälso- och sjukvård 
  
 18 §  
 Känsliga personuppgifter får behandlas, om behandlingen är nöd- vändig för 
  
 a) 
  
 förebyggande hälso- och sjukvård, 
  
 b) 
  
 medicinska diagnoser, 
  
 c) 
  
 vård eller behandling, eller 
  
 d) 
  
 administration av hälso- och sjukvård. 
  
 Den som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och har tystnadsplikt får alltid behandla känsliga personuppgifter som omfattas av tystnadsplikten. 
 Forskning och statistik 
  
 19 §  
 Känsliga personuppgifter får behandlas för forsknings- och statistik- ändamål, om behandlingen är nödvändig och om samhällsintresset av det forsknings- eller statistikprojekt vari behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som be- handlingen kan innebära. 
 Har projektet godkänts av en forskningsetisk kommitté, skall förutsätt- ningarna enligt första stycket anses uppfyllda. Med forskningsetisk kommitté avses ett sådant särskilt organ för prövning av forskningsetiska frågor som har företrädare för såväl det allmänna som forskningen och som är knutet till ett universitet eller en högskola eller till någon annan instans som i mera betydande omfattning finansierar forskning. 
 Personuppgifter får lämnas ut för att användas i sådana projekt som av- ses i första stycket, om inte något annat följer av sekretesslagen (1980:100). 
  
 18  
 Författningsförslag: Persondatalagen 
  
 SOU 1997: 39 
  
 Bemyndigande att föreskriva ytterligare undantag 
  
 20 §  
 Regeringen eller den myndighet som regeringen bestämmer får före- skriva ytterligare undantag från förbudet i 13 §, om det behövs med hänsyn till ett viktigt allmänt intresse. 
 Uppgifter om lagöverträdelser 
  
 21 §  
 Det är förbjudet för andra än myndigheter att behandla personuppgif- ter om lagöverträdelser eller om domar och säkerhetsåtgärder i brottmål. 
 Regeringen eller den myndighet som regeringen bestämmer får före- skriva undantag från förbudet i första stycket. 
 Användning av personnummer 
  
 22 §  
 Uppgift om personnummer får behandlas bara när det är klart motive- rat med hänsyn till 
  
 a) 
  
 ändamålet med behandlingen, 
  
 b) 
  
 vikten av en säker identifiering, eller 
  
 c) 
  
 något annat beaktansvärt skäl. 
  
 Information till den registrerade 
 Information skall lämnas självmant när uppgifterna samlas in 
  
 23 §  
 När uppgifter om en person samlas in från denne själv, skall den per- sondataansvarige självmant lämna den registrerade information rörande be- handlingen. 
  
 24 §  
 Om personuppgifterna har samlats in från annan källa än den registre- rade, skall den persondataansvarige självmant lämna den registrerade in- formation rörande behandlingen när uppgifterna noteras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver informationen dock lämnas först när uppgifterna lämnas ut för första gången. 
 Information enligt första stycket behöver inte lämnas, om det finns be- stämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. 
 Information behöver inte heller lämnas enligt första stycket, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor ar- 
 SOU 1997: 39 
 Författningsförslag: Persondatalagen  
 19 
  
 betsinsats. Om uppgifterna används för att vidta åtgärder beträffande den registrerade, skall dock information alltid lämnas senast i samband med att så sker. 
 Vilken information skall lämnas självmant 
  
 25 §  
 Information enligt 23 § eller 24 § första stycket skall omfatta 
  
 a) 
  
 uppgift om den persondataansvariges identitet, 
  
 b) 
  
 uppgift om ändamålen med behandlingen, och 
  
 c) 
  
 all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter, såsom information om mottagarna av uppgif- terna, skyldighet att lämna uppgifter och rätten att ansöka om informa- tion. 
  
 Uppgifter behöver dock inte lämnas om sådant som den registrerade redan känner till. 
 Information skall också lämnas efter ansökan 
  
 26 §  
 Den persondataansvarige är skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna information, om personuppgifter som rör sökanden behandlas eller inte. Behandlas sådana uppgifter skall skriftlig information lämnas också om 
  
 a) 
  
 vilka uppgifter om sökanden som behandlas, 
  
 b) 
  
 varifrån dessa uppgifter har hämtats, 
  
 c) 
  
 ändamålen med behandlingen, och 
  
 d) 
  
 till vilka mottagare eller kategorier av mottagare som uppgifterna läm- nas ut. 
  
 En ansökan enligt första stycket skall göras skriftligen hos den persondata- ansvarige och vara undertecknad av den sökande själv. Information enligt första stycket skall lämnas inom en månad från det att ansökan gjordes. Det är dock tillåtet att lämna information bara vid tre över året jämnt förde- lade tillfällen, om det finns särskilda skäl för det. 
 Information enligt första stycket behöver inte lämnas beträffande per- sonuppgifter i löpande text som inte fått sin slutliga utformning när ansö- kan gjordes eller som utgör minnesanteckning eller liknande. Vad som nu sagts gäller dock inte om uppgifterna har lämnats ut till tredje man, om uppgifterna behandlas bara för historiska, statistiska eller vetenskapliga ändamål eller, såvitt gäller löpande text som inte fått sin slutliga utform- ning, om uppgifterna har behandlats under längre tid än ett år. 
  
 20  
 Författningsförslag: Persondatalagen 
  
 SOU 1997: 39 
  
 Undantag från informationsskyldigheten vid sekretess och tystnadsplikt 
  
 27 §  
 I den utsträckning det är särskilt föreskrivet i lag eller annan författ- ning eller i beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade gäller inte bestämmelserna i 23– 26 §§. 
 Regeringen eller den myndighet som regeringen bestämmer får medge undantag från bestämmelserna i  
 23–26 
  §§, om det behövs för att skydda grundläggande intressen för enskilda eller för att förebygga, undersöka eller avslöja brott. 
 Rättelse 
  
 28 §  
 Den persondataansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behand- lats i enlighet med denna lag eller föreskrifter som har utfärdats med stöd av lagen. Den persondataansvarige skall också underrätta de tredje män till vilka uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om en underrättelse skulle kunna undvika mera betydande skada eller olägenhet för den registrerade. Någon sådan underrättelse behöver dock inte lämnas om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. 
 Automatiserade beslut 
  
 29 §  
 Ett beslut som har rättsliga följder för en fysisk person eller annars har märkbara verkningar för denne får grundas enbart på automatisk be- handling av personuppgifter, vilka är avsedda att bedöma egenskaper hos den berörda personen, bara om den som berörs av beslutet har möjlighet att på begäran få beslutet omprövat på manuell väg. 
 Var och en som varit föremål för ett sådant beslut som avses i första stycket har rätt att på ansökan få information från den persondataansvarige om vilka regler som har styrt den automatiska behandling som har lett fram till beslutet. I fråga om ansökan och lämnandet av information gäller i tillämpliga delar bestämmelserna i 26 §. 
 SOU 1997: 39 
 Författningsförslag: Persondatalagen  
 21 
  
 Säkerheten vid behandling 
 De personer som arbetar med personuppgifter 
  
 30 §  
 Ett persondatabiträde och den eller de personer som arbetar under dennes eller den persondataansvariges ledning får behandla personuppgif- ter bara i enlighet med instruktioner från den persondataansvarige. I fråga om sekretess och tystnadsplikt i det allmännas verksamhet tillämpas i stället bestämmelserna i sekretesslagen (1980:100). 
 Det skall finnas ett skriftligt avtal om persondatabiträdets behandling av personuppgifter för den persondataansvariges räkning. I det avtalet skall det särskilt föreskrivas att persondatabiträdet får behandla personuppgif- terna bara i enlighet med instruktioner från den persondataansvarige och att persondatabiträdet är skyldigt att vidta de åtgärder som avses i 31 § första stycket. 
 Skyddsåtgärder 
  
 31 §  
 Den persondataansvarige skall vidta lämpliga tekniska och organisa- toriska åtgärder för att skydda de personuppgifter som behandlas. Åtgär- derna skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av 
  
 a) 
  
 de tekniska möjligheter som finns, 
  
 b) 
  
 vad det skulle kosta att genomföra åtgärderna, 
  
 c) 
  
 de särskilda risker som finns med behandlingen av personuppgifterna, och 
  
 d) 
  
 hur pass känsliga de behandlade personuppgifterna är. 
  
 När den persondataansvarige anlitar ett persondatabiträde, skall den per- sondataansvarige förvissa sig om att persondatabiträdet kan genomföra de säkerhetsåtgärder som måste vidtas och se till att persondatabiträdet verk- ligen vidtar åtgärderna. 
 Tillsynsmyndigheten får besluta om skyddsåtgärder 
  
 32 §  
 Tillsynsmyndigheten får besluta om vilka skyddsåtgärder som den persondataansvarige skall vidta enligt 31 §. 
 I 47 § finns det bestämmelser om tillsynsmyndighetens möjligheter att förena beslutet med vite. 
  
 22  
 Författningsförslag: Persondatalagen 
  
 SOU 1997: 39 
  
 Överföring av personuppgifter till tredje land 
 Förbud mot överföring 
  
 33 §  
 Det är förbjudet att till tredje land föra över personuppgifter som be- handlas. Förbudet gäller också överföring av personuppgifter för behand- ling i tredje land. 
 Undantag från förbudet 
  
 34 §  
 Utan hinder av 33 § är det tillåtet att föra över personuppgifter till tredje land, om den registrerade har samtyckt till överföringen eller när överföringen är nödvändig för att 
  
 a) 
  
 fullgöra ett avtal mellan den registrerade och den persondataansvarige, 
  
 b) 
  
 på den registrerades begäran vidta åtgärder innan ett avtal träffas, 
  
 c) 
  
 ingå eller fullgöra ett sådant avtal mellan den persondataansvarige och tredje man som är i den registrerades intresse, 
  
 d) 
  
 rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras, eller 
  
 e) 
  
 skydda vitala intressen för den registrerade. 
  
 Det är också tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till Europarådets konvention om skydd för en- skilda vid automatisk databehandling av personuppgifter. 
  
 35 §  
 Regeringen får för överföring av personuppgifter till vissa stater före- skriva undantag från förbudet i 33 §. Regeringen får också föreskriva att överföring av personuppgifter till tredje land är tillåten, om överföringen regleras av ett avtal som innehåller vissa bestämmelser till skydd för de registrerades rättigheter. 
 Regeringen eller den myndighet som regeringen bestämmer får vidare medge undantag från förbudet i 33 §, om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. 
 SOU 1997: 39 
 Författningsförslag: Persondatalagen  
 23 
  
 Anmälan till tillsynsmyndigheten 
 Anmälningsskyldighet 
  
 36 §  
 Behandling av personuppgifter som är helt eller delvis automatisk omfattas av anmälningsskyldighet. Den persondataansvarige skall innan en sådan behandling eller en serie av sådana behandlingar, som har samma eller liknande ändamål, genomförs göra en skriftlig anmälan till tillsyns- myndigheten. 
 Regeringen eller den myndighet som regeringen bestämmer får före- skriva undantag från anmälningsskyldigheten för sådana typer av behand- lingar som sannolikt inte kommer att leda till otillbörligt intrång i den per- sonliga integriteten. 
 Anmälan behöver inte göras om det finns ett persondataombud 
  
 37 §  
 När den persondataansvarige har offentliggjort en uppgift om att ett persondataombud utsetts och vem det är, behöver anmälan enligt 36 § inte göras. 
 Persondataombudets uppgifter 
  
 38 §  
 Persondataombudet skall ha till uppgift att självständigt se till att den persondataansvarige behandlar personuppgifter på ett korrekt och lagligt sätt och påpeka eventuella brister för denne. 
 Har persondataombudet anledning att misstänka att den persondataan- svarige bryter mot de bestämmelser som gäller för behandlingen av person- uppgifter och vidtas inte rättelse så snart det kan ske efter påpekande, skall persondataombudet anmäla förhållandet till tillsynsmyndigheten. 
 Persondataombudet skall även i övrigt samråda med tillsynsmyndighe- ten vid tveksamhet om hur de bestämmelser som gäller för behandlingen av personuppgifter skall tillämpas. 
  
 39 §  
 Persondataombudet skall föra en förteckning över de behandlingar som den persondataansvarige genomför och som skulle ha omfattats av an- mälningsskyldighet om ombudet inte hade funnits. Förteckningen skall omfatta åtminstone de uppgifter som en anmälan enligt 36 § skulle ha innehållit. 
  
 24  
 Författningsförslag: Persondatalagen 
  
 SOU 1997: 39 
  
 40 §  
 Persondataombudet skall hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga, missvisande eller ofullständiga. 
 Obligatorisk anmälan för särskilt integritetskänsliga behandlingar 
  
 41 §  
 Regeringen får föreskriva att vissa behandlingar av personuppgifter som kan innebära särskilda risker för otillbörligt intrång i den personliga integriteten skall för förhandskontroll anmälas till tillsynsmyndigheten en- ligt 36 § tre veckor i förväg. Om regeringen har meddelat sådana föreskrif- ter, gäller inte undantaget från anmälningsskyldigheten enligt 37 §. 
 Upplysningar till allmänheten om behandlingar som inte anmälts 
  
 42 §  
 Den persondataansvarige skall till var och en som begär det skynd- samt och på lämpligt sätt lämna upplysningar om sådana automatiska eller andra behandlingar av personuppgifter som inte har anmälts till tillsyns- myndigheten. Upplysningarna skall omfatta det som en anmälan enligt 36 § skulle ha omfattat. Den persondataansvarige är dock inte skyldig att lämna ut uppgifter om vilka säkerhetsåtgärder som har vidtagits. 
 Skadestånd 
  
 43 §  
 Den persondataansvarige skall ersätta den registrerade för den skada som en behandling av personuppgifter i strid med denna lag eller föreskrif- ter som har meddelats med stöd av lagen har fört med sig. Ersättning skall också betalas för ren förmögenhetsskada och för den kränkning av den per- sonliga integriteten som behandlingen har inneburit. 
 Ersättningsskyldigheten enligt första stycket kan i den utsträckning det är skäligt sättas ned eller helt falla bort, om den persondataansvarige visar att felet inte berodde på honom eller henne. 
 SOU 1997: 39 
 Författningsförslag: Persondatalagen  
 25 
  
 Straff för osanna uppgifter 
  
 44 §  
 Till böter eller fängelse högst sex månader eller, om brottet är grovt, till fängelse i högst två år döms den som uppsåtligen eller av oaktsamhet lämnar osann uppgift 
  
 a) 
  
 i information till registrerade som föreskrivs i denna lag, 
  
 b) 
  
 i anmälan till tillsynsmyndigheten enligt 36 §, eller 
  
 c) 
  
 till tillsynsmyndigheten när myndigheten begär information enligt 45 §. 
  
 Tillsynsmyndighetens befogenheter 
  
 45 §  
 Tillsynsmyndigheten har rätt att för sin tillsyn på begäran få 
  
 a) 
  
 tillgång till de personuppgifter som behandlas, 
  
 b) 
  
 upplysningar och dokumentation rörande behandlingen av personupp- gifter och säkerheten vid denna, och 
  
 c) 
  
 tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. 
  
 46 §  
 Om tillsynsmyndigheten inte efter begäran enligt 45 § kan få tillräck- ligt underlag för att konstatera att behandlingen av personuppgifter är lag- lig, får myndigheten vid vite förbjuda den persondataansvarige att be- handla personuppgifter på annat sätt än genom att lagra dem. 
  
 47 §  
 Om tillsynsmyndigheten konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt, skall myndigheten ge- nom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. Går det inte att få rättelse på annat sätt eller är det riskfyllt att vänta, får myndigheten vid vite förbjuda den persondataansvarige att fortsätta att be- handla personuppgifterna på annat sätt än genom att lagra dem. 
 Om den persondataansvarige inte frivilligt följer ett beslut om skyddsåtgärder enligt 32 §, som vunnit laga kraft, får tillsynsmyndigheten föreskriva vite för att beslutet skall genomföras. 
  
 48 §  
 Innan tillsynsmyndigheten beslutar om vite enligt 46 eller 47 §, skall den persondataansvarige ha fått tillfälle att yttra sig. Om det är riskfyllt att vänta, får myndigheten dock i avvaktan på yttrandet meddela ett tillfälligt beslut om vite. Det tillfälliga beslutet skall prövas om, när yttrandetiden har gått ut. 
 Ett vitesföreläggande skall delges den persondataansvarige. Delgivning enligt 12 § delgivningslagen (1970:428) får dock användas bara om det 
  
 26  
 Författningsförslag: Persondatalagen 
  
 SOU 1997: 39 
  
 finns skäl att anta att den persondataansvarige har avvikit eller håller sig undan på något annat sätt. 
  
 49 §  
 Tillsynsmyndigheten får hos länsrätten i det län där myndigheten är belägen ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt skall utplånas. 
 Beslut om utplånande får inte meddelas om det är oskäligt. 
 Överklagande 
  
 50 §  
 Tillsynsmyndighetens beslut enligt denna lag om annat än generella föreskrifter får överklagas hos allmän förvaltningsdomstol. 
 Prövningstillstånd krävs vid överklagande till kammarrätten. Tillsynsmyndigheten får bestämma att dess beslut skall gälla även om 
 det överklagas. 
 Närmare föreskrifter 
  
 51 §  
 Regeringen eller den myndighet som regeringen bestämmer får med- dela närmare föreskrifter om 
  
 a) 
  
 i vilka fall behandling av personuppgifter är tillåten, 
  
 b) 
  
 vilka krav som ställs på den persondataansvarige vid behandling av personuppgifter, 
  
 c) 
  
 i vilka fall användning av personnummer är tillåten, 
  
 d) 
  
 innehållet i en anmälan eller ansökan till en persondataansvarig, 
  
 e) 
  
 vilken information som skall lämnas till registrerade och hur lämnandet av information skall gå till, och 
  
 f) 
  
 anmälan till tillsynsmyndigheten och förfarandet när anmälda uppgifter har ändrats. 
  
 Övergångsbestämmelser 
  
 1. 
  
 Denna lag träder i kraft den 1 januari 1999, då datalagen (1973:289) skall upphöra att gälla. Den äldre lagen gäller dock fortfarande i fråga om överklagande av beslut som har meddelats före den 1 januari 1999. 
  
 2. 
  
 Beträffande sådan behandling av personuppgifter som pågår vid ikraft- trädandet skall till utgången av september månad 2001 den äldre lagen tillämpas i stället för den nya. Detta gäller även bestämmelserna i den äldre lagen om överklagande. 
  
 SOU 1997: 39 
  
 Författningsförslag: Persondatalagen  
 27 
  
 3. 
  
 Bestämmelserna i 9, 10, 13 och 21 §§ i den nya lagen skall inte börja tillämpas förrän den 1 oktober 2007 beträffande sådan manuell behand- ling av personuppgifter som pågår vid ikraftträdandet. 
  
 4. 
  
 Beträffande personuppgifter som vid ikraftträdandet lagras för historisk forskning skall bestämmelserna i 9, 10, 13 och 21 §§ i den nya lagen börja tillämpas först när uppgifterna behandlas på något annat sätt. Dessförinnan skall motsvarande bestämmelser i den äldre lagen tilläm- pas. De angivna bestämmelserna i den nya lagen skall dock inte till följd av vad som nu sagts börja tillämpas tidigare än vad som följer av punkt 2 eller 3 ovan. 
  
 5. 
  
 Anmälan enligt 36 § i den nya lagen får göras före ikraftträdandet. 
  
 6. 
  
 Ett samtycke som har lämnats före ikraftträdandet skall gälla även efter ikraftträdandet om samtycket uppfyller kraven i den nya lagen. 
  
 7. 
  
 Har en begäran om registerutdrag enligt 10 § i den äldre lagen kommit in före ikraftträdandet men har utdraget inte expedierats före ikraftträ- dandet skall framställningen anses som en ansökan enligt 26 § i den nya lagen. 
  
 8. 
  
 Den nya lagens bestämmelser om skadestånd skall bara tillämpas om den omständighet som yrkandet hänför sig till har inträffat efter ikraft- trädandet. I annat fall tillämpas de äldre bestämmelserna. 
  
 SOU 1997: 39 
  
 Författningsförslag: Tryckfrihetsförordningen  
 29 
  
 b) 
  
 Förslag till 
  
 Lag om ändring i Tryckfrihetsförordningen 
 Härigenom föreskrivs i fråga om tryckfrihetsförordningen (1949:105)  
 dels  
 att 1 kap. 1 §, 2 kap.  
 1–19 
  §§, 7 kap. 3 och 5 §§ samt rubriken till 
 2 kap. skall ha följande lydelse, 
  
 dels  
 att det skall införas en ny paragraf, 2 kap. 20 §, av följande lydelse. 
  
 Nuvarande lydelse 
  
 Föreslagen lydelse 
  
 1 kap. 
 1 § 
 Med tryckfrihet förstås varje svensk medborgares rätt att, utan några av myndighet eller annat allmänt organ i förväg lagda hinder, utgiva skrifter, att sedermera endast inför laglig domstol kunna tilltalas för deras inne- håll, och att icke i annat fall kunna straffas därför, än om detta innehåll strider mot tydlig lag, given att bevara allmänt lugn, utan att återhålla allmän upplysning. 
  
 30 
  
 Författningsförslag: Tryckfrihetsförordningen 
  
 SOU 1997: 39 
  
 I överensstämmelse med de i 
  
 I överensstämmelse med de i 
  
 första 
  
 stycket angivna 
  
 grunderna 
  
 första 
  
 stycket angivna 
  
 grunderna 
  
 för en allmän tryckfrihet och till 
  
 för en allmän tryckfrihet och till 
  
 säkerställande av ett fritt menings- 
  
 säkerställande av ett fritt menings- 
  
 utbyte och en allsidig upplysning 
  
 utbyte och en allsidig upplysning 
  
 skall det stå varje svensk medbor- 
  
 skall det stå varje svensk medbor- 
  
 gare fritt att, med iakttagande av de 
  
 gare fritt att, med iakttagande av de 
  
 bestämmelser som äro i denna för- 
  
 bestämmelser som äro i denna för- 
  
 ordning meddelade till skydd för 
  
 ordning meddelade till skydd för 
  
 enskild rätt och allmän säkerhet, i 
  
 enskild rätt och allmän säkerhet, i 
  
 tryckt skrift yttra sina tankar och 
  
 tryckt skrift yttra sina tankar och 
  
 åsikter, 
  
 offentliggöra 
  
 allmänna 
  
 åsikter, 
  
 offentliggöra 
  
 handlingar 
  
 handlingar samt meddela uppgifter 
  
 som innehåller  
 allmänna  
 uppgifter 
  
 och underrättelser i vad ämne som 
  
 samt meddela uppgifter och under- 
  
 helst. 
  
 rättelser i vad ämne som helst. 
  
 Det skall ock stå envar fritt att, i alla de fall då ej annat är i denna för- ordning föreskrivet, meddela uppgifter och underrättelser i vad ämne som helst för offentliggörande i tryckt skrift till författare eller annan som är att anse som upphovsman till framställning i skriften, till skriftens utgi- vare eller, om för skriften finnes särskild redaktion, till denna eller till företag för yrkesmässig förmedling av nyheter eller andra meddelanden till periodiska skrifter. 
 Vidare skall envar äga rätt att, om ej annat följer av denna förordning, anskaffa uppgifter och underrättelser i vad ämne som helst för att offent- liggöra dem i tryckt skrift eller för att lämna meddelande som avses i föregående stycke. 
 2 kap. 
  
 Om allmänna  
 handlingars  
 offent- 
  
 Om allmänna  
 uppgifters  
 offent- 
  
 lighet 
  
 lighet 
  
 1 § 
  
 1 § 
  
 Till främjande av ett fritt menings- utbyte och en allsidig upplysning skall varje svensk medborgare ha rätt att  
 taga  
 del av allmänna  
 hand- lingar. 
  
 Till främjande av ett fritt menings- utbyte och en allsidig upplysning skall varje svensk medborgare ha rätt att  
 ta  
 del av allmänna  
 uppgif- ter. 
  
 SOU 1997: 39 
 Författningsförslag: Tryckfrihetsförordningen  
 31 
  
 3 § 
  
 2 § 
  
 Med handling  
 förstås  
 framställning i skrift eller bild  
 samt upptagning  
 som kan läsas, avlyssnas eller på annat sätt uppfattas endast med  
 tek- niskt  
 hjälpmedel. Handling är all- män om den  
 förvaras hos myndig- het och  
 enligt  
 6  
 eller  
 7 §  
 är att anse som inkommen till eller upprättad hos  
 myndighet. 
  
 En uppgift  
 är allmän om den  
 finns i myndighetens förvar 
  
 a) 
  
 i en  
 handling  
 som  
 enligt  
 7  
 eller  
 8 §  
 är att anse som inkommen till eller upprättad hos  
 myndig- heten eller 
  
 b) 
  
 i ett register eller någon annan samling av uppgifter som har färdigställts för införing, sök- ning eller sammanställning av uppgifter (databas). 
  
 Upptagning som avses i första stycket anses förvarad hos myn- dighet, om upptagningen är till- gänglig för myndigheten med tek- niskt hjälpmedel som myndigheten själv utnyttjar för överföring i så- dan form att den kan läsas, avlyss- nas eller på annat sätt uppfattas. Detta gäller dock ej upptagning som ingår i personregister, om myndigheten enligt lag eller för- ordning eller särskilt beslut, som grundar sig på lag, saknar befo- genhet att göra överföringen. Med personregister förstås register, för- teckning eller andra anteckningar som innehålla uppgift som avser enskild person och som kan hänfö- ras till denne. 
 Uppgifter är allmänna oavsett om de finns  
 i skrift eller bild  
 eller i en form  
 som kan läsas, avlyssnas eller på annat sätt uppfattas endast med  
 tekniska  
 hjälpmedel  
 som myndighe- ten har. 
 Med handling  
 avses en  
 fram- ställning  
 som har ett bestämt inne- håll. 
  
 32 
  
 Författningsförslag: Tryckfrihetsförordningen 
  
 SOU 1997: 39 
  
 2 § 
  
 3 § 
  
 Rätten att  
 taga  
 del av allmänna  
 handlingar  
 får begränsas endast om det är påkallat med hänsyn till 
 Rätten att  
 ta  
 del av allmänna  
 uppgif- ter  
 får begränsas endast om det är påkallat med hänsyn till 
  
 1. 
  
 rikets säkerhet eller dess förhållande till annan stat eller mellanfolklig organisation, 
  
 2. 
  
 rikets centrala finanspolitik, penningpolitik eller valutapolitik, 
  
 3. 
  
 myndighets verksamhet för inspektion, kontroll eller annan tillsyn, 
  
 4. 
  
 intresset att förebygga eller beivra brott, 
  
 5. 
  
 det allmännas ekonomiska intresse, 
  
 6. 
  
 skyddet för enskilds personliga eller ekonomiska förhållanden, 
  
 7. 
  
 intresset att bevara djur- eller växtart. 
  
 Begränsning  
 av rätten att  
 taga  
 del av allmänna  
 handlingar  
 skall  
 angi- vas  
 noga i  
 bestämmelse  
 i en sär- skild lag eller, om  
 så  
 i visst fall  
 befinnes  
 lämpligare, i annan lag  
 vartill  
 den särskilda lagen hänvisar. Efter bemyndigande i sådan be- stämmelse får dock regeringen ge- nom förordning meddela närmare föreskrifter om bestämmelsens til??lämplighet. 
 Utan hinder av andra stycket får i bestämmelse som där avses riks- dagen eller regeringen  
 tilläggas  
 befogenhet att efter omständighe- terna  
 medgiva  
 att viss  
 handling  
 lämnas ut. 
  
 Begränsningar  
 av rätten att  
 ta  
 del av allmänna  
 uppgifter  
 skall  
 anges  
 noga i  
 bestämmelser  
 i en särskild lag eller, om  
 det är  
 lämpligare i  
 ett  
 visst fall, i  
 en  
 annan lag  
 till vilken  
 den särskilda lagen hänvisar. Efter bemyndigande i  
 en  
 sådan be- stämmelse får dock regeringen ge- nom förordning meddela närmare föreskrifter om bestämmelsens til??lämplighet. 
 Utan hinder av andra stycket får i  
 en  
 bestämmelse som där avses riksdagen eller regeringen  
 ges  
 be- fogenhet att efter omständigheterna  
 medge  
 att  
 en  
 viss  
 uppgift  
 lämnas ut. 
 SOU 1997: 39 
 Författningsförslag: Tryckfrihetsförordningen  
 33 
  
 4 § 
 Om en myndighets rätt att själv söka efter eller sammanställa upp- gifter av hänsyn till enskildas per- sonliga integritet har begränsats genom lag eller annan författning 
 ,  
 gäller den begränsningen även för den som vill ta del av allmänna uppgifter. 
  
 4 § 
  
 5 § 
  
 Brev eller annat meddelande som är ställt personligen till den som inne- har befattning vid myndighet anses som allmän  
 handling,  
 om  
 hand- lingen  
 gäller ärende eller annan fråga som ankommer på myndighe- ten och  
 ej  
 är avsedd för mottagaren endast som innehavare av annan ställning. 
 En uppgift i ett  
 brev eller annat meddelande som är ställt personli- gen till den som innehar  
 en  
 befatt- ning vid  
 en  
 myndighet anses som allmän, om  
 uppgiften  
 gäller  
 ett  
 ärende eller  
 en  
 annan fråga som an- kommer på myndigheten och  
 inte  
 är avsedd för mottagaren endast som innehavare av annan ställning. 
  
 5 § 
  
 6 § 
  
 Med myndighet  
 likställas  
 i detta kapitel riksdagen, kyrkomötet och beslutande kommunal församling. 
 Med myndighet  
 likställs  
 i detta ka- pitel riksdagen, kyrkomötet och be- slutande kommunal församling. 
  
 34 
  
 Författningsförslag: Tryckfrihetsförordningen 
  
 SOU 1997: 39 
  
 6 § 
  
 7 § 
  
 Handling anses inkommen till myn- dighet, när den har anlänt till myn- digheten eller kommit behörig be- fattningshavare till handa.  
 I fråga om upptagning som avses i 3 § första stycket gäller i stället att den anses inkommen till myndighet när annan har gjort den tillgänglig för myndigheten på sätt som angives i 3 § andra stycket. 
  
 Tävlingsskrift, anbud eller annan sådan handling som enligt tillkännagivande skall avlämnas i förseglat omslag anses  
 ej  
 in- kommen före den tidpunkt som har bestämts för öppnandet. 
 Åtgärd som någon vidtager en- dast som led i teknisk bearbetning eller teknisk lagring av handling, som myndighet har tillhandahållit, skall ej anses leda till att handling är inkommen till den myndigheten 
 . 
  
 En  
 handling anses inkommen till  
 en  
 myndighet, när den har anlänt till myndigheten eller kommit behörig befattningshavare till handa. 
 Tävlingsskrift, anbud eller annan sådan handling som enligt tillkännagivande skall avlämnas i förseglat omslag anses  
 inte  
 inkom- men före den tidpunkt som har be- stämts för öppnandet. 
  
 7 § 
  
 8 § 
  
 Handling anses upprättad hos myn- dighet, när den har expedierats 
 .  
 Handling som  
 ej  
 har expedierats anses upprättad när det ärende till vilket den hänför sig har slutbe- handlats  
 hos  
 myndigheten eller, om handlingen  
 ej  
 hänför sig till visst ärende, när den har justerats av myndigheten eller på annat sätt fär- digställts. 
  
 En  
 handling anses upprättad hos  
 en  
 myndighet, när den har expedierats. Handling som  
 inte  
 har expedierats anses upprättad när det ärende till vilket den hänför sig har slutbe- handlats  
 av  
 myndigheten eller, om handlingen  
 inte  
 hänför sig till  
 ett  
 visst ärende, när den har justerats av myndigheten eller på annat sätt fär- digställts. 
 SOU 1997: 39 
 Författningsförslag: Tryckfrihetsförordningen  
 35 
  
 I stället för  
 vad som  
 föreskrives  
 i första stycket gäller  
 att handling anses upprättad, 
  
 1. 
  
 diarium, journal samt sådant register eller annan förteckning som föres fortlöpande, när hand- lingen har färdigställts för an- teckning eller införing, 
  
 2. 
  
 dom  
 och  
 annat  
 beslut, som enligt  
 vad därom är föreskrivet  
 skall avkunnas eller expedieras, samt protokoll och  
 annan handling  
 i vad  
 den  
 hänför sig till  
 sådant  
 be- slut, när beslutet har avkunnats eller expedierats, 
  
 3. 
  
 annat myndighets  
  
 protokoll och därmed jämförliga anteckningar, när handlingen har justerats av myndigheten eller på annat sätt färdigställts 
 ,  
 dock  
 ej  
 protokoll hos riksdagens eller kyrkomötets utskott, riksdagens eller kommuns revisorer eller statliga kommittéer eller hos kommunal myndighet i ärende som denna endast bereder till avgörande. 
  
 Följande undantag  
 gäller  
 från  
 vad som  
 föreskrivs  
 i första stycket. 
  
 1. 
  
 Domar  
 och  
 andra  
 beslut, som enligt  
 föreskrift  
 skall avkunnas eller expedieras, samt protokoll och  
 andra handlingar  
 i vad  
 de  
 hänför sig till  
 sådana  
 beslut,  
 anses upprättade  
 när beslutet har avkunnats eller expedierats. 
  
 2. 
  
 Andra  
 protokoll och därmed jämförliga anteckningar  
 anses upprättade,  
 när handlingen har justerats av myndigheten eller färdigställts på annat sätt, dock  
 inte  
 protokoll hos riksdagens eller kyrkomötets utskott, riks- dagens eller kommuns revisorer eller statliga kommittéer eller hos kommunal myndighet i ärende som denna endast bere- der till avgörande. 
  
 36 
  
 Författningsförslag: Tryckfrihetsförordningen 
  
 SOU 1997: 39 
  
 8 § 
  
 9 § 
  
 Har organ som ingår i eller är knutet till ett verk eller liknande myndig- hetsorganisation överlämnat hand- ling till annat organ inom samma myndighetsorganisation eller fram- ställt handling för sådant överläm- nande, skall handlingen  
 ej  
 anses som därigenom inkommen eller upprättad i annat fall än då organen  
 uppträda  
 som självständiga i för- hållande till varandra. 
 Har  
 ett  
 organ som ingår i eller är knutet till ett verk eller  
 en  
 liknande myndighetsorganisation överlämnat  
 en  
 handling till  
 ett  
 annat organ inom samma myndighetsorganisation eller framställt  
 en  
 handling för  
 ett  
 sådant överlämnande, skall hand- lingen  
 inte  
 anses som därigenom inkommen eller upprättad i annat fall än då organen  
 uppträder  
 som självständiga i förhållande till var- andra. 
  
 9 § 
  
 10 § 
  
 Hos myndighet tillkommen minnes- anteckning  
 som  
 ej  
 har expedierats  
 skall ej heller efter den tidpunkt då den enligt 7 § är att anse som upp- rättad anses som allmän handling hos myndigheten 
 ,  
 om den icke tages  
 om hand för arkivering.  
 Med minnesanteckning förstås prome- moria och annan uppteckning eller upptagning  
 som har  
 kommit till  
 en- dast för ärendes föredragning eller beredning,  
 dock ej till den del den  
 har tillfört ärendet  
 sakuppgift 
 . 
  
 Utkast eller koncept till myn- dighets beslut eller skrivelse  
 och  
 annan därmed jämställd handling  
 som ej  
 har expedierats  
 anses ej som allmän handling, såvida den icke tages  
 om hand för arkivering. 
 Uppgifter  
 som har  
 antecknats eller införts  
 endast för  
 ett  
 ärendes före- dragning eller beredning  
 är inte allmänna om de inte  
 har tillfört ärendet  
 något i sak. Inte heller upp- gifter i  
 utkast eller koncept till  
 en  
 myndighets beslut eller skrivelse  
 eller uppgifter i någon  
 annan där- med jämställd handling  
 är all- männa 
 . 
  
 Uppgifter som har tagits  
 om hand för arkivering  
 eller som före- kommer i handlingar  
 som har ex- pedierats  
 är dock alltid allmänna. 
 SOU 1997: 39 
 Författningsförslag: Tryckfrihetsförordningen  
 37 
  
 10 § 
  
 11 § 
  
 Handling  
 som  
 förvaras hos myn- dighet  
 endast som led i teknisk be- arbetning eller teknisk lagring för annans räkning  
 anses ej som allmän handling  
 hos den myndigheten. 
  
 Uppgifter  
 som  
 finns i en myndighets förvar  
 endast som  
 ett  
 led i  
 en  
 tek- nisk bearbetning eller teknisk lag- ring för annans räkning  
 är inte all- männa  
 hos den myndigheten.  
 Upp- gifterna blir inte heller att anse som allmänna hos den myndighet som har tillhandahållit dem endast på grund av att de i samband med eller efter åtgärden återlämnas till den myndigheten 
 . 
  
 11 § 
 Som allmän handling anses ej 
  
 1. 
  
 brev, telegram eller annan sådan handling som har inlämnats till eller upprättats hos myndighet endast för befordran av medde- lande, 
  
 2. 
  
 meddelande eller annan handling som har inlämnats till eller upp- rättats hos myndighet endast för offentliggörande i periodisk skrift som  
  
 utgives  
 genom myn- digheten, 
 12 § 
 Sådana uppgifter är inte allmänna  
 som  
 ingår i 
  
 1. 
  
 brev, telegram eller  
  
 någon  
 annan sådan handling som har inlämnats till eller upprättats hos  
 en  
 myndighet endast för be- fordran av meddelande, 
  
 2. 
  
 meddelande eller  
  
 någon  
 annan handling som har inlämnats till eller upprättats hos  
 en  
 myndig- het endast för offentliggörande i  
 en  
 periodisk skrift som  
 utges  
 genom myndigheten, 
  
 38 
  
 Författningsförslag: Tryckfrihetsförordningen 
  
 SOU 1997: 39 
  
 3. 
  
 tryckt skrift, ljud- eller bildupp- tagning eller annan handling  
  
 som ingår i bibliotek  
 eller  
 som från enskild har tillförts  
 allmänt arkiv  
 uteslutande för förvaring och vård eller forsknings- och studieändamål eller privata brev, skrifter eller  
 upptagningar  
 som  
 eljest ha  
 överlämnats till myn- dighet uteslutande för ändamål  
 som nu angivits, 
  
 4. 
  
 upptagning av innehållet i hand- ling som avses i 3, om upptag- ningen förvaras hos myndighet där den ursprungliga hand- lingen ej skulle vara att anse som allmän. 
  
 Det som föreskrivs i första stycket 3 om handling som ingår i bibliotek tillämpas inte på upptagning för automatisk databehandling i sådant register som myndighet har tillgång till enligt avtal med annan myndig- het. 
  
 3. 
  
 tryckta skrifter, ljud- eller bildupptagningar samt andra handlingar och databaser  
  
 som ingår i bibliotek 
 , 
  
 4. 
  
 handlingar och databaser  
  
 som från  
 en  
 enskild har tillförts  
 en myndighet  
 uteslutande för för- varing och vård eller forsk- nings- och studieändamål eller privata brev, skrifter eller  
 upp- gifter  
 som  
 annars har  
 överläm- nats till  
 en  
 myndighet uteslu- tande för  
 ett sådant  
 ändamål. 
  
 SOU 1997: 39 
 Författningsförslag: Tryckfrihetsförordningen  
 39 
  
 13 § 
 Den som begär att få ta del av all- männa uppgifter skall precisera sin begäran så att det är möjligt att finna den handling där uppgifterna ingår eller utföra den sökning eller sammanställning som annars krävs för att uppgifterna skall kunna tas fram. 
  
 12 § 
  
 14 § 
  
 Allmän  
 handling som får lämnas ut skall  
 på begäran  
 genast eller så snart det är möjligt på stället utan avgift  
 tillhandahållas den 
 ,  
 som önskar taga del därav 
 , så att  
 hand- lingen  
 kan läsas, avlyssnas eller på annat sätt uppfattas.  
 Handling  
 får även skrivas av, avbildas eller  
 tagas  
 i anspråk för ljudöverföring. Kan handling  
 ej  
 tillhandahållas utan att  
 sådan del därav  
 som  
 icke  
 får läm- nas ut  
 röjes,  
 skall  
 den  
 i övriga delar göras tillgänglig för sökanden i  
 av- skrift  
 eller kopia. 
 Om någon begär att få ta del av allmänna uppgifter  
 som får lämnas ut, skall  
 myndigheten  
 genast, eller så snart det är möjligt, utan avgift på stället 
  
 1. 
  
 tillhandahålla den  
  
 handling  
 där uppgifterna ingår  
 så att  
 den  
 kan läsas, avlyssnas eller uppfattas på annat sätt,  
 eller 
  
 2. 
  
 ta fram de begärda uppgifterna ur en databas, om det kan ske med användning av de tekniska hjälpmedel som myndigheten har eller annars utan nämn- värda kostnader. 
  
 40 
  
 Författningsförslag: Tryckfrihetsförordningen 
  
 SOU 1997: 39 
  
 Myndighet är  
 icke  
 skyldig att tillhandahålla handling på stället, om betydande hinder möter.  
 I fråga om upptagning som avses i 3 § första stycket föreligger ej heller sådan skyldighet, om sökanden utan beaktansvärd olägenhet kan taga del av upptagningen hos när- belägen myndighet. 
  
 Handlingar och uppgifter som till- handahålls på stället  
 får även skri- vas av, avbildas eller  
 tas  
 i anspråk för ljudöverföring. Kan  
 en  
 handling  
 inte  
 tillhandahållas utan att  
 uppgif- ter  
 som  
 inte  
 får lämnas ut  
 röjs,  
 skall  
 handlingen  
 i övriga delar göras till- gänglig för sökanden i  
 utskrift  
 eller kopia.  
 Motsvarande gäller om upp- gifter ur databaser. 
  
 En  
 myndighet är  
 inte  
 skyldig att tillhandahålla  
 en  
 handling på stället  
 eller ta fram uppgifter ur en data- bas 
 , om  
 det  
 möter betydande hin- der. 
  
 13 § 
  
 15 § 
  
 Den som  
 önskar taga del av allmän handling  
 har även rätt att mot fast- ställd avgift få  
 avskrift eller  
 kopia  
 av handlingen  
 till den del  
 den  
 får lämnas ut.  
 Myndighet är dock ej skyldig att lämna ut upptagning för automatisk databehandling i annan form än utskrift. Ej heller föreligger skyldighet  
 att framställa  
 kopia  
 av  
 karta, ritning, bild  
 eller  
 annan i 3 § första stycket avsedd upptagning än som nyss har angivits 
 , om  
 svårighet  
 möter och handlingen kan tillhan- dahållas på stället. 
  
 Den som  
 begär det  
 har även rätt att mot  
 en  
 fastställd avgift  
 i utskrift,  
 kopia  
 eller elektronisk form  
 få  
 ut en handling eller uppgifter ur en databas, allt  
 till den del  
 uppgif- terna  
 får lämnas ut. 
 SOU 1997: 39 
 Författningsförslag: Tryckfrihetsförordningen  
 41 
  
 Begäran att få  
 avskrift eller ko- pia av  
 allmän  
 handling  
 skall be- handlas skyndsamt. 
  
 Myndigheten är dock inte skyl- dig  
 att framställa  
 kopior  
 av  
 kartor, ritningar, bilder  
 eller  
 andra lik- nande handlingar  
 om  
 det  
 möter  
 svårigheter  
 och handlingen kan tillhandahållas på stället. 
  
 En myndighet är inte skyldig att tillhandahålla uppgifter i elektro- nisk form om det finns en särskild bestämmelse i lag eller annan för- fattning som förbjuder detta eller om det möter betydande hinder 
 .  
 Datorprogram behöver aldrig till- handahållas i elektronisk form. 
  
 En  
 begäran att få  
 ut en  
 allmän  
 uppgift i någon av de angivna for- merna  
 skall behandlas skyndsamt. 
  
 14 § 
  
 16 § 
  
 Begäran att få  
 taga  
 del av allmän  
 handling göres  
 hos myndighet som  
 förvarar handlingen 
 . 
  
 En  
 begäran att få  
 ta  
 del av  
 en  
 allmän  
 uppgift skall göras  
 hos  
 den  
 myn- dighet som  
 har uppgiften i sitt förvar. 
  
 42 
  
 Författningsförslag: Tryckfrihetsförordningen 
  
 SOU 1997: 39 
  
 Begäran prövas av myndighet som  
 angives  
 i första stycket. Om särskilda skäl  
 föranleda  
 det, får dock i bestämmelse som avses i  
 2 §  
 andra stycket föreskrivas att pröv- ningen vid tillämpningen av be- stämmelsen skall ankomma på annan myndighet. I fråga om hand- ling som är av synnerlig betydelse för rikets säkerhet kan även genom förordning föreskrivas att endast viss myndighet får pröva frågan om utlämnande. I de nu nämnda fallen skall begäran om utlämnande ge- nast hänskjutas till behörig myn- dighet. 
 Myndighet får inte på grund av att någon begär att få  
 taga  
 del av allmän  
 handling  
 efterforska vem han är eller vilket syfte han har med sin begäran i större utsträck- ning än som behövs för att myndig- heten skall kunna pröva om hinder föreligger mot att  
 handlingen  
 läm- nas ut. 
 Begäran  
 skall  
 prövas av  
 den  
 myndighet som  
 anges  
 i första stycket. Om det  
 finns  
 särskilda skäl får  
 det  
 dock föreskrivas i  
 en  
 be- stämmelse som avses i  
 3 §  
 andra stycket att prövningen vid tillämp- ningen av bestämmelsen skall an- komma på  
 en  
 annan myndighet. I fråga om  
 en  
 handling  
 eller en da- tabas  
 som är av synnerlig betydelse för rikets säkerhet kan även genom förordning föreskrivas att endast  
 en  
 viss myndighet får pröva frågan om utlämnande. I de nu nämnda fallen skall  
 en  
 begäran om utlämnande genast hänskjutas till behörig myndighet. 
  
 En  
 myndighet får inte på grund av att någon begär att få  
 ta  
 del av  
 en  
 allmän  
 uppgift  
 efterforska vem han är eller vilket syfte han har med sin begäran i större utsträck- ning än som behövs för att myn- digheten skall kunna pröva om hinder föreligger mot att  
 uppgiften  
 lämnas ut. 
 SOU 1997: 39 
 Författningsförslag: Tryckfrihetsförordningen  
 43 
  
 15 § 
  
 17 § 
  
 Om annan än riksdagen eller rege- ringen avslår begäran att få  
 taga  
 del av  
 handling  
 eller lämnar ut  
 allmän handling  
 med förbehåll, som in- skränker sökandens rätt att yppa dess innehåll eller  
 eljest  
 förfoga över den, får sökanden föra talan mot beslutet. Talan mot beslut av statsråd skall föras hos regeringen och talan mot beslut av annan myn- dighet hos domstol. 
 I den i  
 2 §  
 omnämnda lagen skall närmare  
 angivas  
 hur talan mot beslut som avses i första stycket skall föras. Sådan talan skall alltid prövas skyndsamt. 
 Angående rätt att föra talan mot beslut av myndighet som lyder un- der riksdagen är särskilt föreskri- vet. 
 Om  
 någon  
 annan än riksdagen eller regeringen avslår  
 en  
 begäran att få  
 ta  
 del av  
 en allmän uppgift  
 eller lämnar ut  
 den  
 med förbehåll, som inskränker sökandens rätt att yppa dess innehåll eller  
 annars  
 förfoga över den, får sökanden föra talan mot beslutet.  
 Detsamma gäller om en begäran att få ut uppgifter i en viss form avslås.  
 Talan mot beslut av statsråd skall föras hos rege- ringen och talan mot beslut av  
 en  
 annan myndighet hos domstol. 
 I den i  
 3 §  
 omnämnda lagen skall närmare  
 anges  
 hur talan mot beslut som avses i första stycket skall föras. Sådan talan skall alltid prövas skyndsamt. 
 Angående rätt att föra talan mot beslut av  
 en  
 myndighet som lyder under riksdagen är särskilt före- skrivet. 
  
 16 § 
  
 18 § 
  
 Anteckning  
 om hinder att lämna ut allmän  
 handling  
 får göras endast  
 på  
 handling som omfattas av be- stämmelse som avses i  
 2 §  
 andra stycket. Härvid skall tillämplig be- stämmelse  
 angivas. 
  
 En markering  
 om  
 att det finns  
 hin- der att lämna ut  
 en  
 allmän  
 uppgift  
 får göras endast  
 i anslutning till en sådan uppgift i en  
 handling  
 eller databas  
 som omfattas av  
 en  
 be- stämmelse som avses i  
 3 §  
 andra stycket. Härvid skall tillämplig be- stämmelse  
 anges. 
  
 44 
  
 Författningsförslag: Tryckfrihetsförordningen 
  
 SOU 1997: 39 
  
 17 § 
  
 19 § 
  
 I lag får föreskrivas att regeringen eller beslutande kommunal försam- ling får besluta att allmänna  
 hand- lingar  
 som hänför sig till myndig- hets verksamhet,  
 vilken  
 skall övertas av enskilt organ, får överlämnas till det organet för förvaring, om detta behöver  
 handlingarna  
 i verk- samheten, utan att  
 handlingarna  
 därigenom upphör att vara all- männa. Ett sådant organ skall i fråga om överlämnade  
 handlingar  
 jäm- ställas med myndighet vid tillämp- ningen av  
  
 12–16 
  
  §§. 
  
 I lag får föreskrivas att regeringen eller beslutande kommunal försam- ling får besluta att allmänna  
 uppgif- ter  
 som hänför sig till  
 en  
 myndig- hets verksamhet,  
 som  
 skall övertas av  
 ett  
 enskilt organ, får överlämnas till det organet för förvaring, om detta behöver  
 uppgifterna  
 i verk- samheten, utan att  
 dessa  
 därigenom upphör att vara allmänna. Ett sådant organ skall i fråga om överlämnade  
 uppgifter  
 jämställas med  
 en  
 myn- dighet vid tillämpningen av  
 13– 18 §§. 
  
 20 § 
 Grundläggande bestämmelser om bevarande och gallring av allmänna uppgifter och om överlämnande av handlingar och databaser till arkiv- myndighet eller annan myndighet finns i lag. 
 7 kap. 
 3 § 
 Om någon lämnar meddelande, som avses i 1 kap. 1 § tredje stycket, eller, utan att svara enligt 8 kap., medverkar till framställning, som är avsedd att införas i tryckt skrift, såsom författare eller annan upphovsman eller såsom utgivare och därigenom gör sig skyldig till 
  
 1. 
  
 högförräderi, spioneri, grovt spioneri, grov obehörig befattning med hemlig uppgift, uppror, landsförräderi, landssvek eller försök, förbere- delse eller stämpling till sådant brott; 
  
 SOU 1997: 39 
 Författningsförslag: Tryckfrihetsförordningen  
 45 
  
 2. 
  
 oriktigt utlämnande av  
  
 allmän  
 handling som ej är  
 tillgänglig  
 för envar eller tillhandahållande av sådan handling i strid med myn- dighets förbehåll vid dess utläm- nade, när gärningen är uppsåtlig; eller 
  
 2. 
  
 oriktigt utlämnande av handling  
  
 som innehåller allmänna upp- gifter  
 som ej är  
 tillgängliga  
 för envar eller tillhandahållande av sådan handling i strid med myndighets förbehåll vid dess utlämnade, när gärningen är uppsåtlig; eller 
  
 3. 
  
 uppsåtligt åsidosättande av tystnadsplikt i de fall som angivas i särskild lag, 
  
 gäller om ansvar för sådant brott vad i lag är stadgat. 
 Om någon anskaffar uppgift eller underrättelse i sådant syfte som avses i 1 kap. 1 § fjärde stycket och därigenom gör sig skyldig till brott som an- gives i förevarande paragrafs första stycke 1, gäller om ansvar härför vad i lag är stadgat. 
 Det som sägs i 2 kap. 12 § tredje stycket regeringsformen skall gälla också i fråga om förslag till föreskrifter som avses i första stycket 3. 
 5 § 
 Som tryckfrihetsbrott skall anses också sådana gärningar, begångna ge- nom tryckt skrift och straffbara enligt lag, som innebär att någon 
  
 1. uppsåtligen offentliggör  
 allmän 
  
 1. uppsåtligen offentliggör hand- 
  
 handling som ej är  
 tillgänglig  
 för 
  
 ling  
 som innehåller allmänna 
  
 envar, om han fått tillgång till 
  
 uppgifter  
 som ej är  
 tillgängliga 
  
 handlingen i allmän tjänst, under 
  
 för envar, om han fått tillgång 
  
 utövande av tjänsteplikt eller i 
  
 till handlingen i allmän tjänst, 
  
 därmed jämförbart förhållande; 
  
 under utövande av tjänsteplikt 
  
 eller i därmed jämförbart för- 
  
 hållande; 
  
 2. 
  
 offentliggör uppgift och därvid uppsåtligen åsidosätter tystnadsplikt som avses i den i 3 § första stycket angivna särskilda lagen; 
  
 3. 
  
 när riket är i krig eller omedelbar krigsfara offentliggör uppgift om förhållanden vilkas röjande enligt lag innefattar annat brott mot rikets 
  
 säkerhet än som anges i 4 §. 
 ___________________ 
 1. Denna lag träder i kraft den 1 januari 1999. 
  
 46 
  
 Författningsförslag: Tryckfrihetsförordningen 
  
 SOU 1997: 39 
  
 2. 
  
 Bestämmelsen i 2 kap. 4 § nya lydelsen tillämpas även när myndighe- tens rätt att söka efter eller sammanställa uppgifter begränsats genom ett beslut som avses i 2 kap. 3 § andra stycket andra meningen äldre lydel- sen och som meddelats före ikraftträdandet, dock längst till utgången av september 2001. 
  
 SOU 1997: 39 
 Författningsförslag: Regeringsformen  
 47 
  
 c) 
  
 Förslag till 
  
 Lag om ändring i Regeringsformen 
 Härigenom föreskrivs att 2 kap. 1 § samt 8 kap. 7 och 18 §§ regeringsfor- men skall ha följande lydelse. 
  
 Nuvarande lydelse 
  
 Föreslagen lydelse 
  
 2 kap. 
 1 § 
 Varje medborgare är gentemot den allmänna tillförsäkrad 
  
 1. 
  
 yttrandefrihet: frihet att i tal, skrift eller bild eller på annat sätt meddela upplysningar samt uttrycka tankar, åsikter och känslor, 
  
 2. 
  
 informationsfrihet: frihet att inhämta och mottaga upplysningar samt att i övrigt taga del av andras yttranden, 
  
 3. 
  
 mötesfrihet: frihet att anordna och bevista sammankomst för upplys- ning, meningsyttring eller annat liknande syfte eller för framförande av konstnärligt verk, 
  
 4. 
  
 demonstrationsfrihet: frihet att anordna och deltaga i demonstration på allmän plats, 
  
 5. 
  
 föreningsfrihet: frihet att sammansluta sig med andra för allmänna eller enskilda syften, 
  
 6. 
  
 religionsfrihet: frihet att ensam eller tillsammans med andra utöva sin religion. 
  
 Beträffande tryckfriheten och motsvarande frihet att yttra sig i ljudradio, television och vissa liknande överföringar, filmer, videogram och andra upptagningar av rörliga bilder samt ljudupptagningar gäller vad som är föreskrivet i tryckfrihetsförordningen och yttrandefrihetsgrundlagen. 
  
 48  
 Författningsförslag: Regeringsformen 
  
 SOU 1997: 39 
  
 I tryckfrihetsförordningen finns också bestämmelser om rätt att taga del av allmänna  
 handlingar 
 . 
 I tryckfrihetsförordningen finns också bestämmelser om rätt att taga del av allmänna  
 uppgifter. 
  
 8 kap. 
 7 § 
 Utan hinder av 3 eller 5 § kan regeringen efter bemyndigande i lag genom förordning meddela föreskrifter om annat än skatt, om föreskrifterna avser något av följande ämnen: 
  
 1. 
  
 skydd för liv, personlig säkerhet eller hälsa, 
  
 2. 
  
 utlännings vistelse i riket, 
  
 3. 
  
 in- eller utförsel av varor, av pengar eller av andra tillgångar, tillverk- ning, kommunikationer, kreditgivning, näringsverksamhet, ransonering, återanvändning och återvinning av material, utformning av byggnader, anläggningar eller tillståndsplikt i fråga om åtgärder med byggnader och anläggningar, 
  
 4. 
  
 jakt, fiske, djurskydd eller natur- och miljövård, 
  
 5. 
  
 trafik eller ordningen på allmän plats, 
  
 6. 
  
 undervisning och utbildning, 
  
 7. 
  
 förbud att röja sådant som någon har erfarit i allmän tjänst eller under utövande av tjänsteplikt, 
  
 8. 
  
 skydd för personlig integritet vid  
  
 registrering av uppgifter med hjälp av automatisk databehand- ling 
 . 
  
 8. 
  
 skydd för personlig integritet vid  
  
 behandling av personupp- gifter 
 . 
 Bemyndigande som avses i första stycket medför ej rätt att meddela före- skrifter om annan rättsverkan av brott än böter. Riksdagen kan i lag, som innehåller bemyndigande med stöd av första stycket, föreskriva även annan rättsverkan än böter för överträdelse av föreskrift som regeringen meddelar med stöd av bemyndigandet. 
 18 § 
 För att avge yttrande över lagförslag skall finnas ett lagråd, vari ingår domare i Högsta domstolen och Regeringsrätten. Yttrande från Lagrådet inhämtas av regeringen eller, enligt vad som närmare angives i riksdags- ordningen, av riksdagsutskott. 
  
 SOU 1997: 39 
  
 Författningsförslag: Regeringsformen  
 49 
  
 Yttrande av Lagrådet bör in- 
  
 Yttrande av Lagrådet bör in- 
  
 hämtas innan riksdagen 
  
 beslutar 
  
 hämtas 
  
 innan 
  
 riksdagen 
  
 beslutar 
  
 grundlag om tryckfriheten, eller om 
  
 grundlag om tryckfriheten, eller om 
  
 motsvarande frihet att yttra sig i 
  
 motsvarande frihet att yttra sig i 
  
 ljudradio, television och vissa lik- 
  
 ljudradio, television och vissa lik- 
  
 nande överföringar, filmer, video- 
  
 nande överföringar, filmer, video- 
  
 gram och andra upptagningar av 
  
 gram och andra upptagningar av 
  
 rörliga bilder samt ljudupptag- 
  
 rörliga bilder samt ljudupptag- 
  
 ningar, lag om begränsning av 
  
 ningar, lag om begränsning av 
  
 rätten att taga del av allmänna 
  
 rätten att taga del av allmänna  
 upp- 
  
 handlingar 
 , lag som avses i 2 kap. 
  
 gifter 
 , lag som avses i 2 kap. 3 § 
  
 3 § 
  
 andra 
  
 stycket, 
  
 12 § 
  
 första 
  
 andra stycket, 12 § första stycket, 
  
 stycket,  
 17–19 
  §§ eller 22 § andra 
  
 17–19 
  §§ 
  
 eller 22 § andra stycket 
  
 stycket eller lag som ändrar eller 
  
 eller lag som ändrar eller upphäver 
  
 upphäver sådan lag, lag om 
  
 sådan lag, lag om kommunal be- 
  
 kommunal 
  
 beskattning, lag som 
  
 skattning, lag som avses i 2 eller 
  
 avses i 2 eller 3 § eller lag som av- 
  
 3 § eller lag som avses i 11 kap., 
  
 ses i 11 kap., om lagen är viktig för 
  
 om lagen är viktig för enskilda eller 
  
 enskilda eller från allmän syn- 
  
 från allmän synpunkt. Vad nu har 
  
 punkt. Vad nu har sagts gäller dock 
  
 sagts gäller dock icke, om Lag- 
  
 icke, om Lagrådets hörande skulle 
  
 rådets hörande skulle sakna bety- 
  
 sakna betydelse på grund av frå- 
  
 delse på grund av frågans be- 
  
 gans beskaffenhet eller skulle för- 
  
 skaffenhet eller skulle fördröja lag- 
  
 dröja 
  
 lagstiftningsfrågans 
  
 behand- 
  
 stiftningsfrågans behandling så att 
  
 ling så att avsevärt men skulle 
  
 avsevärt 
  
 men 
  
 skulle 
  
 uppkomma. 
  
 uppkomma. 
  
 Föreslår 
  
 regeringen 
  
 Föreslår 
  
 regeringen riksdagen att 
  
 riksdagen att stifta lag i något av de 
  
 stifta lag i något av de ämnen som 
  
 ämnen som avses i första meningen 
  
 avses i första meningen och har 
  
 och har Lagrådets yttrande dessför- 
  
 Lagrådets 
  
 yttrande 
  
 dessförinnan 
  
 innan inte inhämtats, skall rege- 
  
 inte inhämtats, 
  
 skall 
  
 regeringen 
  
 ringen samtidigt för riksdagen re- 
  
 samtidigt 
  
 för riksdagen 
  
 redovisa 
  
 dovisa skälen härtill. Att Lagrådet 
  
 skälen härtill. Att Lagrådet icke har 
  
 icke har hörts över ett lagförslag 
  
 hörts över ett lagförslag utgör 
  
 utgör aldrig hinder mot lagens 
  
 aldrig hinder mot lagens tillämp- 
  
 til??lämpning. 
  
 ning. 
  
 50  
 Författningsförslag: Regeringsformen 
  
 SOU 1997: 39 
  
 Lagrådets granskning skall avse 
  
 1. 
  
 hur förslaget förhåller sig till grundlagarna och rättsordningen i övrigt, 
  
 2. 
  
 hur förslagets föreskrifter förhåller sig till varandra, 
  
 3. 
  
 hur förslaget förhåller sig till rättssäkerhetens krav, 
  
 4. 
  
 om förslaget är så utformat att lagen kan antagas tillgodose angivna syften, 
  
 5. 
  
 vilka problem som kan uppstå vid tillämpningen. 
  
 Närmare bestämmelser om lagrådets sammansättning och tjänstgöring meddelas i lag. 
 ___________________ 
 Denna lag träder i kraft den 1 januari 1999. 
 SOU 1997: 39 
 Författningsförslag: Yttrandefrihetsgrundlagen  
 51 
  
 d) 
  
 Förslag till 
  
 Lag om ändring i Yttrandefrihetsgrundlagen (1991:1469) 
 Härigenom föreskrivs att 5 kap. 3 § yttrandefrihetsgrundlagen skall ha följande lydelse. 
 5 kap. 
 3 § 
 Om någon lämnar ett meddelande, som avses i 1 kap. 2 §, eller, utan att svara enligt 6 kap., medverkar till en framställning som är avsedd att offentliggöras i ett radioprogram, en film eller en ljudupptagning, som författare eller annan upphovsman eller genom att framträda i radiopro- grammet och därigenom gör sig skyldig till 
  
 1. 
  
 högförräderi, spioneri, grovt spioneri, grov obehörig befattning med hemlig uppgift, uppror, landsförräderi, landssvek eller försök, förbere- delse eller stämpling till sådant brott; 
  
 2. oriktigt utlämnande av  
 allmän 
  
 2. oriktigt utlämnande av handling 
  
 handling som ej är  
 tillgänglig  
 för 
  
 som innehåller allmänna upp- 
  
 envar eller tillhandahållande av 
  
 gifter  
 som ej är  
 tillgängliga  
 för 
  
 sådan handling i strid med myn- 
  
 envar eller tillhandahållande av 
  
 dighets förbehåll vid dess utläm- 
  
 sådan handling i strid med 
  
 nande, när gärningen är uppsåt- 
  
 myndighets 
  
 förbehåll vid dess 
  
 lig; eller 
  
 utlämnande, 
  
 när gärningen är 
  
 uppsåtlig; eller 
  
 52 
  
 Författningsförslag: Yttrandefrihetsgrundlagen 
  
 SOU 1997: 39 
  
 3. uppsåtligt åsidosättande av tystnadsplikt i de fall som anges i särskild lag, 
 gäller vad som föreskrivs i lag om ansvar för sådant brott. 
 Om någon anskaffar en uppgift eller underrättelse i sådant syfte som av- ses i 1 kap. 2 § och därigenom gör sig skyldig till brott som anges i första stycket 1, gäller vad som föreskrivs i lag om ansvar för brottet. 
 Det som sägs i 2 kap. 12 § tredje stycket regeringsformen om särskilt lagstiftningsförfarande skall gälla också i fråga om förslag till föreskrifter som avses i första stycket 3. 
 ___________________ 
 Denna lag träder i kraft den 1 januari 1999. 
 SOU 1997: 39 
 Författningsförslag: Sekretesslagen  
 53 
  
 e) 
  
 Förslag till 
  
 Lag om ändring i Sekretesslagen (1980:100) 
 Härigenom föreskrivs i fråga om sekretesslagen (1980:100)  
 dels  
 att 15 kap. 13 § skall upphöra att gälla, 
  
 dels  
 att i 2 kap. 1 och 2 §§, 3 kap. 1 §, 5 kap. 1 §, 6 kap.  
 1–7 
  §§, 7 kap. 1 §, 4 §,  
 6–15 
  §§ och  
 19–36 
  §§, 8 kap.  
 1–3 
  §§,  
 5–19 
  §§, 21 §, 23 § och 24 § samt 9 kap.  
 1–5 
  §§, 8 §,  
 10–17 
  §§ och  
 19–24 
  §§ orden uppgift i allmän handling skall bytas ut mot allmän uppgift, 
  
 dels  
 att 1 kap. 1 § och  
 8–10 
  §§, 2 kap. 3 §, 5 kap. 2 §, 7 kap. 16 §, 9 kap. 6 §, 15 kap.  
 1–4 
  §§ och  
 6–12 
  §§, rubriken till 15 kap. samt rubrikerna närmast före 15 kap. 1 och 9 §§ skall ha följande lydelse, 
  
 dels  
 att det i lagen skall införas närmast före 15 kap. 3 §, 4 §, 6 §, 7 §, 11 § och 12 § nya rubriker av följande lydelse. 
  
 Nuvarande lydelse 
  
 Föreslagen lydelse 
  
 1 kap. 
 1 § 
 Denna lag innehåller bestämmelser om tystnadsplikt i det allmännas verksamhet och om förbud att lämna ut allmänna  
 handlingar 
 . I sistnämnda hänseende innefattar bestämmelserna begränsning i den i tryckfrihetsförordningen stadgade rätten att ta del av allmänna  
 hand- lingar 
 . 
 Denna lag innehåller bestämmelser om tystnadsplikt i det allmännas verksamhet och om förbud att lämna ut allmänna  
 uppgifter 
 . I sist- nämnda hänseende innefattar be- stämmelserna begränsning i den i tryckfrihetsförordningen stadgade rätten att ta del av allmänna  
 uppgif- ter 
 . 
  
 54  
 Författningsförslag: Sekretesslagen 
  
 SOU 1997: 39 
  
 Bestämmelserna avser förbud att 
  
 Bestämmelserna avser förbud att 
  
 röja uppgift, vare sig det sker munt- 
  
 röja  
 en  
 uppgift, vare sig det sker 
  
 ligen eller  
 genom att allmän hand- 
  
 muntligen eller på annat sätt  
 (sekre- 
  
 ling lämnas ut eller det sker  
 på 
  
 tess). 
  
 annat sätt  
 (sekretess). 
  
 Lagen innehåller även andra 
  
 Lagen innehåller även andra 
  
 föreskrifter om allmänna  
 hand- 
  
 föreskrifter om allmänna  
 uppgifter. 
  
 lingar 
 . 
  
 I denna lag finns också bestämmelser om begränsning av den rätt att lämna meddelande för offentliggörande i tryckt skrift eller därmed jämställd skrift eller i radioprogram, film, ljudupptagningar eller därmed jämställt me- dium varom grundläggande bestämmelser ges i tryckfrihetsförordningen och yttrandefrihetsgrundlagen. 
 8 § 
 Vid tillämpningen av denna lag skall med myndighet jämställas riksdagen, kyrkomötet och beslutande kommunal församling. 
  
 Vad som föreskrivs i tryckfri- 
  
 Vad som föreskrivs i tryckfri- 
  
 hetsförordningen om rätt att ta del 
  
 hetsförordningen om rätt att ta del 
  
 av  
 handlingar  
 hos en myndighet 
  
 av  
 allmänna uppgifter  
 hos en myn- 
  
 skall i tillämpliga delar gälla också 
  
 dighet skall i tillämpliga delar gälla 
  
 handlingar  
 hos de organ som anges 
  
 också  
 uppgifter  
 hos de organ som 
  
 i bilagan till denna lag, i den mån 
  
 anges i bilagan till denna lag, i den 
  
 handlingarna  
 hör till den verksam- 
  
 mån  
 uppgifterna  
 hör till den verk- 
  
 het som nämns där. De i bilagan 
  
 samhet som nämns där. De i bila- 
  
 angivna organen skall vid tillämp- 
  
 gan angivna organen skall vid 
  
 ningen av denna lag jämställas med 
  
 til??lämpningen av denna lag jäm- 
  
 myndighet. Detsamma gäller ett 
  
 ställas med myndighet. Detsamma 
  
 enskilt organ som med stöd av la- 
  
 gäller ett enskilt organ som med 
  
 gen (1994:1383) om överlämnande 
  
 stöd av lagen (1994:1383) om 
  
 av allmänna handlingar till andra 
  
 överlämnande av allmänna hand- 
  
 organ än myndigheter för förvaring 
  
 lingar till andra organ än myndig- 
  
 förvarar  
 sådana  
 handlingar 
  
 såvitt 
  
 heter för förvaring  
 har  
 sådana 
  
 avser befattningen med 
  
 dessa 
  
 uppgifter i sitt förvar  
 såvitt avser 
  
 handlingar 
 . 
  
 befattningen med dessa  
 uppgifter 
 . 
  
 SOU 1997: 39 
 Författningsförslag: Sekretesslagen  
 55 
  
 9 § 
 Vad som föreskrivs i tryckfrihets- förordningen om rätt att ta del av  
 handlingar  
 hos myndighet skall i tillämpliga delar också gälla  
 hand- lingar  
 hos aktiebolag, handelsbo- lag, ekonomiska föreningar och stiftelser där kommuner eller lands- ting utövar ett rättsligt bestämman- de inflytande. Sådana bolag, föreningar och stiftelser skall vid tillämpningen av denna lag jäm- ställas med myndighet. 
 Vad som föreskrivs i tryckfrihets- förordningen om rätt att ta del av  
 allmänna uppgifter  
 hos myndighet skall i tillämpliga delar också gälla  
 uppgifter  
 hos aktiebolag, handels- bolag, ekonomiska föreningar och stiftelser där kommuner eller lands- ting utövar ett rättsligt bestämman- de inflytande. Sådana bolag, föreningar och stiftelser skall vid tillämpningen av denna lag jäm- ställas med myndighet. 
 Kommuner och landsting skall anses utöva ett rättsligt bestämmande infly- tande om de ensamma eller tillsammans 
  
 1. 
  
 äger aktier i ett aktiebolag eller andelar i en ekonomisk förening med mer än hälften av samtliga röster i bolaget eller föreningen eller på något annat sätt förfogar över så många röster i bolaget eller föreningen, 
  
 2. 
  
 har rätt att utse eller avsätta mer än hälften av ledamöterna i styrelsen för ett aktiebolag, en ekonomisk förening eller en stiftelse, 
  
 3. 
  
 utgör samtliga obegränsat ansvariga bolagsmän i ett handelsbolag. Vid tillämpningen av  
  
 1–3 
  skall inflytande som utövas av en juridisk person över vilken en kommun eller ett landsting bestämmer på det sätt som anges i de nämnda punkterna anses utövat av kommunen eller lands- tinget. 
  
 Första stycket gäller också be- 
  
 Första stycket gäller också be- 
  
 träffande  
 handlingar  
 som efter 
  
 träffande  
 uppgifter  
 som efter med- 
  
 medgivande av en kommun eller ett 
  
 givande av en kommun eller ett 
  
 landsting för viss bestämd tid 
  
 landsting för viss bestämd tid  
 finns 
  
 förvaras  
 hos aktiebolag, handels- 
  
 i förvar  
 hos aktiebolag, handelsbo- 
  
 bolag, ekonomiska föreningar eller 
  
 lag, ekonomiska föreningar eller 
  
 stiftelser där kommuner eller lands- 
  
 stiftelser där kommuner eller lands- 
  
 ting har utövat ett rättsligt inflytan- 
  
 ting har utövat ett rättsligt inflytan- 
  
 de. 
  
 de. 
  
 Vad som sägs om kommuner och landsting i  
 första–tredje 
  styckena til??lämpas också på kommunförbund. 
  
 56  
 Författningsförslag: Sekretesslagen 
  
 SOU 1997: 39 
  
 10 § 
 Har i denna lag föreskrivits att sek- retessen i fråga om uppgift  
 i  
 allmän  
 handling  
 är begränsad till viss tid, räknas tiden från  
 handlingens till- komst 
 , om inte annat anges. I fråga om  
 diarium, journal samt sådant register eller annan förteckning som förs fortlöpande  
 räknas tiden från det uppgiften fördes in i  
 hand- lingen. 
  
 Har i denna lag föreskrivits att sek- retessen i fråga om allmän uppgift är begränsad till viss tid, räknas tiden från  
 tillkomsten av den hand- ling i vilken uppgiften finns 
 , om inte annat anges. I fråga om  
 allmän uppgift i en databas  
 räknas tiden från det uppgiften fördes in i  
 data- basen. 
  
 2 kap. 
 3 § 
 Av 2 kap.  
 14 §  
 andra stycket tryck- frihetsförordningen framgår att det genom förordning kan föreskrivas, att endast viss myndighet får pröva fråga om utlämnande till enskild av allmän  
 handling  
 som är av synner- lig betydelse för rikets säkerhet. 
 Av 2 kap.  
 16 §  
 andra stycket tryck- frihetsförordningen framgår att det genom förordning kan föreskrivas, att endast viss myndighet får pröva fråga om utlämnande till enskild av allmän  
 uppgift  
 som är av synnerlig betydelse för rikets säkerhet. 
 5 kap. 
 2 § 
 Sekretess gäller för uppgift som lämnar eller kan bidra till upplysning om säkerhets- eller bevakningsåtgärd med avseende på 
  
 1. 
  
 byggnader eller andra anläggningar, lokaler eller inventarier, 
  
 2. 
  
 tillverkning, förvaring, utlämning eller transport av pengar eller andra värdeföremål samt transport eller förvaring av vapen, ammunition, sprängämnen, klyvbart material eller radioaktivt avfall, 
  
 3. 
  
 telekommunikation, 
  
 4. 
  
 behörighet att få tillgång till 4. behörighet att få tillgång till 
  
 upptagning för automatisk data- 
  
 handlingar eller databaser, 
  
 behandling eller annan hand- 
  
 ling, 
  
 om det kan antas att syftet med åtgärden motverkas om uppgiften röjs. 
 SOU 1997: 39 
 Författningsförslag: Sekretesslagen  
 57 
  
 7 kap. 
 16 § 
 Sekretess gäller för personuppgift  
 i personregister som avses i datala- gen (1973:289) 
 , om det kan antas att utlämnande skulle medföra att uppgiften  
 används för automatisk databehandling  
 i strid med  
 datala- gen 
 . 
 Sekretess för uppgift som anges i första stycket gäller också, om det kan antas att utlämnande skulle medföra att uppgiften används för automatisk databehandling i utlan- det och att detta medför otillbörligt intrång i personlig integritet. Vid tillämpning av denna bestämmelse ankommer det på datainspektionen att pröva fråga om utlämnande. Sekretess enligt detta stycke gäller dock ej, om uppgiften skall använ- das för automatisk databehandling enbart i en stat som har anslutit sig till Europarådets konvention om skydd för enskilda vid automatisk behandling av personuppgifter. 
 Sekretess gäller för personuppgift, om det kan antas att  
 ett  
 utlämnande skulle medföra att uppgiften  
 be- handlas  
 i strid med  
 persondatala- gen (1998:000) 
 . 
  
 58  
 Författningsförslag: Sekretesslagen 
  
 SOU 1997: 39 
  
 9 kap. 
 6 § 
 Sekretess gäller hos  
 datainspektio- nen  
 i ärende om tillstånd eller till- syn, som enligt lag ankommer på inspektionen, och i ärende om så- dant bistånd som avses i Europarå- dets konvention om skydd för en- skilda vid automatisk databehand- ling av personuppgifter, för uppgift om enskilds personliga eller eko- nomiska förhållanden, om det kan antas att den enskilde eller någon honom närstående lider skada eller men om uppgiften röjs. Har upp- gift, för vilken gäller sekretess en- ligt vad nu har sagts, lämnats till  
 regeringen eller justitiekanslern 
 , gäller sekretessen också där. 
 I fråga om uppgift  
 i  
 allmän  
 handling  
 gäller sekretessen i högst sjuttio år. 
 Sekretess gäller hos  
 Datainspek- tionen  
 i ärende om tillstånd eller tillsyn, som enligt lag  
 eller annan författning  
 ankommer på inspek- tionen, och i ärende om sådant bi- stånd som avses i Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter, för uppgift om enskilds personliga eller ekono- miska förhållanden, om det kan antas att den enskilde eller någon honom närstående lider skada eller men om uppgiften röjs. Har upp- gift, för vilken gäller sekretess en- ligt vad nu har sagts, lämnats till  
 Justitiekanslern 
 , gäller sekretessen också där. 
 I fråga om allmän uppgift gäller sekretessen i högst sjuttio år. 
 SOU 1997: 39 
 Författningsförslag: Sekretesslagen  
 59 
  
 15 kap. 
  
 Bestämmelser 
  
 om 
  
 registrering 
  
 Bestämmelser 
  
 om 
  
 registrering 
  
 och utlämnande 
  
 av allmänna 
  
 och 
  
 utlämnande 
  
 av allmänna 
  
 handlingar  
 m.m. 
  
 uppgifter  
 m.m. 
  
 Allmänna bestämmelser 
  
 Registrering av 
  
 handlingar 
  
 med 
  
 allmänna uppgifter 
  
 1 § 
  
 När  
 allmän  
 handling har kommit in 
  
 När  
 en  
 handling  
 med allmänna 
  
 till eller upprättats hos myndighet 
  
 uppgifter  
 har kommit in till eller 
  
 skall handlingen registreras utan 
  
 upprättats hos  
 en  
 myndighet skall 
  
 dröjsmål, om det inte är uppenbart 
  
 handlingen registreras utan dröjs- 
  
 att den är av ringa betydelse för 
  
 mål, om det inte är uppenbart att 
  
 myndighetens 
  
 verksamhet. I fråga 
  
 den är av ringa betydelse för myn- 
  
 om allmänna handlingar, för vilka 
  
 dighetens verksamhet. I fråga om 
  
 sekretess inte gäller, får dock re- 
  
 handlingar  
 med  
 allmänna  
 uppgifter 
 , 
  
 gistrering underlåtas om handling- 
  
 för vilka sekretess inte gäller, får 
  
 arna hålls så ordnade att det utan 
  
 dock 
  
 registrering underlåtas 
  
 om 
  
 svårighet kan fastställas om hand- 
  
 handlingarna hålls så ordnade att 
  
 ling har kommit in eller upprättats. 
  
 det utan svårighet kan fastställas 
  
 om handling har kommit in eller 
  
 upprättats. 
  
 Om särskilda skäl föreligger får regeringen föreskriva undantag från registreringsskyldighet enligt första stycket i fråga om handlingar av visst slag som hos myndighet förekommer i betydande omfattning. 
 I 13 § finns bestämmelser om undantag från registreringsskyldig- heten i fråga om vissa upptagningar för automatisk databehandling. 
 2 § 
 Beträffande handling som registrerats enligt 1 § skall av registret framgå 
  
 1. 
  
 datum, då handlingen kom in eller upprättades, 
  
 2. 
  
 diarienummer eller annan beteckning som har åsatts handlingen, 
  
 60  
 Författningsförslag: Sekretesslagen 
  
 SOU 1997: 39 
  
 3. 
  
 i förekommande fall från vem handlingen har kommit in eller till vem den har expedierats, 
  
 4. 
  
 i korthet vad handlingen rör. 
  
 Vid registrering skall dock uppgift 
  
 Vid registrering skall dock uppgift 
  
 enligt första stycket 3 eller 4 ute- 
  
 enligt första stycket 3 eller 4 ute- 
  
 lämnas eller särskiljas om det be- 
  
 lämnas eller särskiljas om det be- 
  
 hövs för att registret i övriga delar 
  
 hövs för att registret i övriga delar 
  
 skall kunna  
 företes  
 för allmänhe- 
  
 skall kunna  
 visas  
 för allmänheten. 
  
 ten. 
  
 Regeringen får beträffande visst register föreskriva att föreskriften i andra stycket inte skall tillämpas, om denna annars skulle omfatta flertalet i registret upptagna handlingar. 
 Hemligstämpling 
 3 § 
 Kan det antas att hinder mot ut- lämnande av uppgift  
 i  
 allmän  
 hand- ling  
 föreligger enligt sekretessbe- stämmelse i denna lag eller annan författning, får  
 myndighet utmärka  
 detta  
 genom särskild anteckning 
 . Sådan  
 anteckning  
 skall innehålla beteckningen hemlig samt ange tillämplig bestämmelse, dagen för  
 anteckningen  
 och den myndighet, som har låtit göra den. 
 Kan det antas att hinder mot ut- lämnande av allmän uppgift före- ligger enligt  
 någon  
 sekretessbe- stämmelse i denna lag eller annan författning, får  
 myndigheten mar- kera  
 detta  
 särskilt 
 .  
 En  
 sådan  
 mar- kering  
 skall innehålla beteckningen hemlig samt ange tillämplig be- stämmelse, dagen för  
 markeringen  
 och den myndighet, som har låtit göra den. 
 SOU 1997: 39 
 Författningsförslag: Sekretesslagen  
 61 
  
 Har genom förordning medde- lats föreskrift att fråga om utläm- nande till enskild av allmän  
 hand- ling 
 , som är av synnerlig betydelse för rikets säkerhet, får prövas en- dast av viss myndighet, skall hand- ling som  
 avses med sådan före- skrift  
 så snart det kan ske förses med  
 anteckning  
 enligt första stycket.  
 Anteckningen  
 skall inne- hålla uppgift om vilken myndighet som är behörig att pröva  
 fråga  
 om utlämnande. 
 Har genom förordning medde- lats föreskrift att fråga om utläm- nande till enskild av allmän  
 upp- gift 
 , som är av synnerlig betydelse för rikets säkerhet, får prövas en- dast av  
 en  
 viss myndighet, skall handling  
 eller databas  
 som  
 inne- håller sådana uppgifter  
 så snart det kan ske förses med  
 markering  
 en- ligt första stycket.  
 Markeringen  
 skall innehålla uppgift om vilken myndighet som är behörig att pröva  
 frågan  
 om utlämnande. 
 Myndigheternas serviceskyldighet 
 4 § 
 Myndighet skall på begäran av en- skild lämna  
 uppgift  
 ur  
 allmän handling som förvaras  
 hos myn- digheten i den mån hinder inte mö- ter på grund av  
 bestämmelse om sekretess  
 eller av hänsyn till arbe- tets behöriga gång. 
 Bestämmelser om tillhandahål- lande  
 av  
 allmän handling finns i 
 2 kap.  
 12 §  
 tryckfrihetsförordning- en. 
 En  
 myndighet skall,  
 utöver vad som följer av  
 2 kap.  
 14 och 15 §§  
 tryck- frihetsförordningen, på begäran av enskild lämna  
 allmänna uppgifter  
 ur  
 handlingar och databaser  
 hos myndigheten i den mån hinder inte möter på grund av  
 någon sekretess- bestämmelse  
 eller av hänsyn till ar- betets behöriga gång. 
  
 Om en enskild begär att få all- männa uppgifter i elektronisk form skall myndigheten lämna de upplys- ningar och den hjälp som den en- skilde behöver, under förutsättning att det kan ske utan olägenhet. 
  
 62  
 Författningsförslag: Sekretesslagen 
  
 SOU 1997: 39 
  
 En myndighet som med tekniska hjälpmedel kan tillhandahålla allmänna uppgifter som finns i en annan myndighets förvar skall hjälpa den enskilde att ta del av dessa uppgifter. Detta gäller inte om uppgifterna är tillgängliga för allmänheten via allmänt nät eller liknande, eller om det skulle orsaka myndigheten påtagliga olägenheter att tillgodose en sådan begäran. 
 5 § 
 Myndighet skall på begäran av annan myndighet lämna uppgift som den förfogar över i den mån hinder inte möter på grund av bestämmelse om sekretess eller av hänsyn till arbetets behöriga gång. 
 Prövning av begäran om utlämnande 
 6 § 
 Av 2 kap.  
 14 §  
 andra stycket tryck- frihetsförordningen framgår att fråga om utlämnande av allmän  
 handling  
 till enskild prövas av den myndighet som  
 förvarar hand- lingen 
 , om det inte är föreskrivet att prövningen skall ankomma på annan myndighet. 
 Av 2 kap.  
 16 §  
 andra stycket tryck- frihetsförordningen framgår att fråga om utlämnande av allmän  
 uppgift  
 till enskild prövas av den myndighet som  
 har uppgiften i sitt förvar 
 , om det inte är föreskrivet att prövningen skall ankomma på annan myndighet. 
 SOU 1997: 39 
 Författningsförslag: Sekretesslagen  
 63 
  
 Svarar viss befattningshavare vid myndighet enligt arbetsordning eller särskilt beslut för vården av handling, ankommer det på honom att i första hand pröva fråga om  
 handlingens  
 utlämnande till en- skild. I tveksamma fall skall han hänskjuta frågan till myndigheten, om det kan ske utan omgång. Väg- rar han att lämna ut  
 handling  
 eller lämnar han ut  
 handling  
 med förbe- håll, som inskränker sökandens rätt att yppa dess innehåll eller annars förfoga över den, skall han, om sö- kanden begär det, hänskjuta frågan till myndigheten. Sökanden skall underrättas om att han kan begära detta och att beslut av myndigheten krävs för att ett avgörande skall kunna överklagas. 
 Svarar viss befattningshavare vid myndighet enligt arbetsordning eller särskilt beslut för vården av handling  
 eller databas där uppgif- ten finns 
 , ankommer det på honom att i första hand pröva fråga om  
 uppgiftens  
 utlämnande till enskild. I tveksamma fall skall han hän- skjuta frågan till myndigheten, om det kan ske utan omgång. Vägrar han att lämna ut  
 en uppgift  
 eller lämnar han ut  
 en uppgift  
 med för- behåll, som inskränker sökandens rätt att yppa dess innehåll eller annars förfoga över den, skall han, om sökanden begär det, hänskjuta frågan till myndigheten. Sökanden skall underrättas om att han kan begära detta och att beslut av myn- digheten krävs för att ett avgörande skall kunna överklagas. 
  
 Beslut  
  
 som avses i 2 kap. 17 § tryckfrihetsförordningen  
  
 överkla- gas, om inte annat följer av andra– fjärde styckena, hos kammarrätten eller, såvitt gäller kammarrätts be- slut i där väckt ärende, hos Martinez ringsrätten. Har beslutet meddelats av organ som avses i 1 kap. 8 § andra stycket eller 9 § tillämpas bestämmelserna i  
  
 23–25 
  
  §§ och 30 § första meningen förvaltnings- lagen (1986:223) om överklagande. 
  
 Har beslut som avses i första stycket meddelats av tingsrätt och rör det  
  
 uppgift  
  
 i domstols rättski- pande eller rättsvårdande verksam- het, överklagas det hos hovrätten. Motsvarande beslut av hovrätt i där väckt eller dit överklagat ärende överklagas hos Högsta domstolen. Vid överklagande av tingsrätts eller hovrätts beslut tillämpas i övrigt bestämmelserna i rättegångsbalken om överklagande av beslut. 
  
 64  
 Författningsförslag: Sekretesslagen 
  
 SOU 1997: 39 
  
 Överklagande 
 7 § 
  
 Beslut  
 varigenom myndighet har avslagit enskilds begäran att få ta del av handling eller lämnat ut allmän handling med förbehåll, som inskränker sökandens rätt att yppa dess innehåll eller annars förfoga över den, får överklagas av sökanden.  
 Om inte annat följer av  
  
 andra–fjärde 
  
  styckena, överklagas  
 beslutet  
 hos kammarrätten eller, såvitt gäller kammarrätts beslut i där väckt ärende, hos Regerings- rätten. Har beslutet meddelats av organ som avses i 1 kap. 8 § andra stycket eller 9 § tillämpas be- stämmelserna i  
  
 23–25 
  
  §§ och 30 § första meningen förvaltningslagen (1986:223) om överklagande. 
  
 Har beslut som avses i första stycket meddelats av tingsrätt och rör det  
 handling  
 i domstols rätt- skipande eller rättsvårdande verk- samhet, överklagas det hos hov- rätten. Motsvarande beslut av hov- rätt i där väckt eller dit överklagat ärende överklagas hos Högsta domstolen. Vid överklagande av tingsrätts eller hovrätts beslut til??lämpas i övrigt bestäm- melserna i rättegångsbalken om överklagande av beslut. 
 Första och andra styckena gäller inte för beslut av riksdagen, rege- ringen, Högsta domstolen eller Regeringsrätten. 
 SOU 1997: 39 
 Författningsförslag: Sekretesslagen  
 65 
  
 Att beslut av statsråd skall över- 
  
 Att beslut av statsråd skall över- 
  
 klagas hos regeringen föreskrivs i 
  
 klagas hos regeringen föreskrivs i 
  
 2 kap. 
  
 15 § 
  
 tryckfrihetsförord- 
  
 2 kap. 
  
 17 § 
  
 tryckfrihetsförord- 
  
 ningen. 
  
 ningen. 
  
 Angående rätt att överklaga beslut av myndighet som lyder under riks- 
  
 dagen är särskilt föreskrivet. 
  
 8 § 
  
 Beslut varigenom myndighet har 
  
 Beslut varigenom myndighet har 
  
 avslagit annan myndighets begäran 
  
 avslagit  
 en  
 annan myndighets be- 
  
 att få ta del av  
 handling eller på 
  
 gäran att få ta del av uppgift får 
  
 annat sätt få del av  
 uppgift får 
  
 överklagas i samma ordning som 
  
 överklagas i samma ordning som 
  
 gäller i fråga om överklagande en- 
  
 gäller i fråga om överklagande en- 
  
 ligt 7 §. Överklagandet görs hos 
  
 ligt 7 §. Överklagandet görs hos 
  
 regeringen, om beslutet har med- 
  
 regeringen, om beslutet har med- 
  
 delats av en statlig myndighet och 
  
 delats av en statlig myndighet och 
  
 överklagas av en annan statlig 
  
 överklagas av en annan statlig 
  
 myndighet. 
  
 myndighet. 
  
 Första stycket gäller inte för beslut av riksdagen, regeringen, Högsta domstolen eller Regeringsrätten. 
 Har i lag eller förordning meddelats bestämmelse som avviker från föreskrifterna i första stycket, gäller den bestämmelsen. 
 I fråga om beslut som har meddelats av myndighet som lyder under riksdagen är särskilt föreskrivet. 
  
 66  
 Författningsförslag: Sekretesslagen 
  
 SOU 1997: 39 
  
 Särskilda bestämmelser om upp- En god offentlighetsstruktur tagningar för automatisk databe- 
 handling 
 9 § 
 Myndighet  
 som  
 i sin verksamhet använder automatisk databehand- ling skall  
 ordna denna  
 med beak- tande av den i tryckfrihetsförord- ningen stadgade rätten att ta del av allmänna  
 handlingar 
 . Därvid skall myndigheten särskilt beakta 
  
 1. 
  
 att allmänna  
  
 handlingar  
 bör hållas åtskilda från andra  
 hand- lingar 
 , 
  
 2. 
  
 att skyddet av sekretessbelagda uppgifter  
  
 i upptagningar  
 som är allmänna  
 handlingar  
 bör vara sådant att insynen enligt tryck- frihetsförordningen inte försvå- ras, 
  
 3. 
  
 att uppgifter  
 i upptagningar som är  
 allmänna  
 handlingar inte  
 bör  
 innehålla förkortningar, koder och liknande som kan försvåra för den enskilde att ta del av handlingen 
 , 
  
 4. 
  
 att det bör framgå när uppgifter tillförts en  
  
 upptagning som är allmän handling  
 och, om de änd- rats eller gallrats, vid vilken tid- punkt detta skett. 
  
 När en  
 myndighet använder auto- matisk databehandling i sin verk- samhet skall  
 det ske  
 med beaktande av den i tryckfrihetsförordningen stadgade rätten att ta del av all- männa  
 uppgifter 
 . Därvid skall myndigheten särskilt beakta 
  
 1. 
  
 att allmänna  
  
 uppgifter  
 bör hållas åtskilda från andra  
 uppgifter 
 , 
  
 2. 
  
 att skyddet av allmänna uppgif- ter som är sekretessbelagda bör vara sådant att insynen enligt tryckfrihetsförordningen inte försvåras, 
  
 3. 
  
 att allmänna uppgifter bör  
  
 pre- senteras i klartext, 
  
 4. 
  
 att det bör framgå när  
  
 allmänna  
 uppgifter  
 har  
 tillförts en  
 data- bas  
 och, om de  
 har  
 ändrats eller gallrats, vid vilken tidpunkt detta skett. 
 SOU 1997: 39 
 Författningsförslag: Sekretesslagen  
 67 
  
 Myndigheten skall vidare ordna databehandlingen med beaktande av det intresse som enskilda kan ha att själva utnyttja  
 terminal eller annat tekniskt  
 hjälpmedel  
 hos myndigheten  
 för att ta del av all- männa  
 handlingar 
 . 
 Myndigheten skall vidare ordna databehandlingen med beaktande av det intresse som enskilda kan ha att själva utnyttja  
 tekniska  
 hjälp- medel för att ta del av allmänna  
 uppgifter 
 . 
  
 10 § 
  
 Myndighet skall på begäran bereda 
  
 Myndighet skall på begäran bereda 
  
 enskild tillfälle att själv använda 
  
 enskild tillfälle att själv använda 
  
 terminal eller annat tekniskt 
  
 tekniska  
 hjälpmedel som myndig- 
  
 hjälpmedel som myndigheten för- 
  
 heten förfogar över för att ta del av 
  
 fogar över för att ta del av  
 upptag- 
  
 allmänna 
  
 uppgifter. 
  
 Myndigheten 
  
 ning för automatisk databehand- 
  
 skall 
  
 därvid 
  
 lämna 
  
 nödvändiga 
  
 ling 
 . Sådan skyldighet föreligger 
  
 upplysningar 
  
 om 
  
 användningen. 
  
 dock inte, om sökanden därigenom 
  
 Sådan 
  
 skyldighet 
  
 föreligger 
  
 dock 
  
 får tillgång till  
 upptagning  
 som inte 
  
 inte, om sökanden därigenom får 
  
 anses som allmän handling  
 hos 
  
 tillgång till  
 uppgifter  
 som inte  
 är 
  
 myndigheten eller om hinder möter 
  
 allmänna 
  
 hos 
  
 myndigheten 
  
 eller 
  
 på grund av bestämmelse om sekre- 
  
 om hinder möter på grund av be- 
  
 tess, på grund av fara för för- 
  
 stämmelse om sekretess, på grund 
  
 vanskning eller förstöring eller av 
  
 av fara för förvanskning eller för- 
  
 hänsyn till arbetets behöriga gång. 
  
 störing eller av hänsyn till arbetets 
  
 behöriga gång. 
  
 I fråga om beslut, varigenom myndighet har avslagit enskilds begäran enligt första stycket, tillämpas vad som är föreskrivet om överklagande av beslut som avses i 7 § första stycket. 
  
 68  
 Författningsförslag: Sekretesslagen 
  
 SOU 1997: 39 
  
 Dokumentationsskyldighet 
 11 § 
 Varje myndighet skall för allmän- heten hålla tillgänglig beskrivning av de register, förteckningar eller andra anteckningar hos myndig- heten som förs med hjälp av auto- matisk databehandling  
 (ADB-re- 
  gister). Sådan skyldighet föreligger dock inte i fråga om  
 ADB-register 
  som inte till någon del anses som allmän handling hos myndigheten. Myndigheten är inte heller skyldig att tillhandahålla beskrivning som uppenbarligen skulle vara av ringa betydelse för enskildas rätt att ta del av allmänna handlingar hos myndigheten. 
 Beskrivning som avses i första stycket skall ge upplysning om 
  
 1. 
  
 ADB-registrets 
  
  benämning, 
  
 2. 
  
 ADB-registrets 
  
  ändamål, 
  
 3. 
  
 vilka typer av uppgifter i ADB- registret som myndigheten har tillgång till och på vilket sätt dessa uppgifter normalt inhäm- tas, 
  
 4. 
  
 hos vilka andra myndigheter  
  
 ADB-registret 
  är tillgängligt för överföring till läsbar form, 
  
 5. 
  
 vilka terminaler eller andra tekniska hjälpmedel som en- skild själv kan få utnyttja hos myndigheten, 
  
 Om en myndighet för handlägg- ningen av ett mål eller ärende an- vänder en uppgift i en databas skall uppgiften på lämpligt sätt till- föras målet eller ärendet. 
 SOU 1997: 39 
 Författningsförslag: Sekretesslagen  
 69 
  
 6. 
  
 vilka bestämmelser om sekre- tess som myndigheten vanligen skall tillämpa på uppgifter i  
  
 ADB-registret, 
  
 7. 
  
 vem som hos myndigheten kan lämna närmare upplysningar om  
  
 ADB-registret 
  och dess an- vändning i myndighetens verk- samhet, 
  
 8. 
  
 rätt till försäljning av person- uppgifter i personregister som avses i datalagen (1973:289). 
  
 I beskrivningen skall dock uppgift enligt andra stycket utelämnas, om det behövs för att beskrivningen i övriga delar skall kunna företes för allmänheten. 
 Systemdokumentation 
 12 § 
 Myndighet skall på begäran av en- skild lämna de särskilda upplys- ningar som den enskilde behöver för att kunna ta del av upptag- ningar för automatisk databehand- ling som anses som allmänna handlingar hos myndigheten. Så- dan skyldighet föreligger dock inte i den mån hinder möter av hänsyn till arbetets behöriga gång. 
 En myndighet som i sin myndig- hetsutövning använder tekniska hjälpmedel för att fatta automatise- rade beslut skall hålla systemdo- kumentation tillgänglig för all- mänheten. Av dokumentationen skall framgå 
  
 1. 
  
 ändamålet med systemet, 
  
 2. 
  
 vilka uppgifter som används i systemet, 
  
 3. 
  
 varifrån och hur de uppgifter som används i systemet hämtas, 
  
 70  
 Författningsförslag: Sekretesslagen 
  
 SOU 1997: 39 
  
 4. hur aktuella rättsregler har om- vandlats till logiska regler i systemet, 
 5. vem som hos myndigheten kan lämna närmare upplysningar om hur systemet fungerar. 
 Dokumentationen får dock inte innehålla upplysningar som kan leda till att sekretessbelagda upp- gifter om systemet röjs. 
 13 § 
 Om upptagning för automatisk da- tabehandling förs in i ett  
 ADB-re- 
  gister som är tillgängligt för flera myndigheter för överföring i läsbar form, är endast den myndighet som gör införingen registreringsskyldig enligt 1 §. 
 ___________________ 
  
 1. 
  
 Denna lag träder i kraft den 1 januari 1999. 
  
 2. 
  
 Beträffande uppgift i ärende som avgjorts genom beslut av Datainspek- tionen före den 1 januari 1999 gäller dock fortfarande 9 kap. 6 § i den äldre lydelsen. 
  
 SOU 1997: 39 
 Författningsförslag: Arkivlagen  
 71 
  
 f) 
  
 Förslag till 
  
 Lag om ändring i Arkivlagen (1990:782) 
 Härigenom föreskrivs att 1, 3, 5, 6, 10, 12, och 15 §§ arkivlagen (1990:782) skall ha följande lydelse. 
  
 Nuvarande lydelse 
  
 Föreslagen lydelse 
  
 1 § 
  
 I denna lag ges bestämmelser om myndigheternas och vissa andra organs arkiv samt om arkivmyndigheterna. 
 Bestämmelserna i  
 3–6 
  och 10 §§ skall tillämpas också på statliga, kommunala och kyrkokommunala beslutande församlingar. 
  
 Bestämmelserna i  
 3–6 
  samt 9 
  
 Bestämmelserna i  
 3–6 
  samt 9 
  
 och 10 §§ skall i tillämpliga delar 
  
 och 10 §§ skall i tillämpliga delar 
  
 gälla också sådana enskilda organ 
  
 gälla också sådana enskilda organ 
  
 hos vilka  
 allmänna  
 handlingar för- 
  
 som har  
 allmänna  
 uppgifter i sitt 
  
 varas  
 med stöd av lagen 
  
 förvar  
 med stöd av lagen 
  
 (1994:1383) om överlämnande av 
  
 (1994:1383) om överlämnande av 
  
 allmänna handlingar till andra or- 
  
 allmänna handlingar till andra or- 
  
 gan än myndigheter för förvaring. 
  
 gan än myndigheter för förvaring. 
  
 72  
 Författningsförslag: Arkivlagen 
  
 SOU 1997: 39 
  
 3 § 
 En myndighets arkiv bildas av de En myndighets arkiv bildas av de allmänna  
 handlingarna från myn- handlingar och databaser med dighetens verksamhet och sådana  
 allmänna  
 uppgifter som finns i handlingar som avses i 2 kap. 9 § myndighetens förvar. tryckfrihetsförordningen och som 
  
 myndigheten beslutar skall tas om hand för arkivering. Upptagningar för automatisk databehandling som är tillgängliga för flera myndighe- ter, så att de där utgör allmänna handlingar, skall dock bilda arkiv endast hos en av dessa myndighe- ter, i första hand den myndighet som svarar för huvuddelen av upp- tagningen. 
 Myndigheternas arkiv är en del av det nationella kulturarvet. 
 Myndigheternas arkiv skall bevaras, hållas ordnade och vårdas så att de tillgodoser 
  
 1. rätten att ta del av allmänna 
  
 1. rätten att 
  
 ta del av allmänna 
  
 handlingar, 
  
 uppgifter, 
  
 2. 
  
 behovet av information för rättskipningen och förvaltningen, och 
  
 3. 
  
 forskningens behov. 
  
 5 § 
  
 Som grund för arkivvården skall myndigheterna 
  
 1. vid 
  
 registreringen av 
  
 allmänna 
  
 1. vid registreringen av handlingar 
  
 handlingar ta vederbörlig hänsyn 
  
 med  
 allmänna  
 uppgifter  
 ta ve- 
  
 till dess betydelse för en ända- 
  
 derbörlig hänsyn till dess bety- 
  
 målsenlig arkivvård, och 
  
 delse för en ändamålsenlig ar- 
  
 2. vid 
  
 framställningen 
  
 av hand- 
  
 kivvård, och 
  
 2. vid framställningen av hand- 
  
 lingar använda materiel och me- 
  
 lingar  
 och databaser  
 använda 
  
 toder som är lämpliga med hän- 
  
 materiel och metoder som är 
  
 syn till behovet av arkivbestän- 
  
 lämpliga med hänsyn till beho- 
  
 dighet. 
  
 vet av arkivbeständighet. 
  
 SOU 1997: 39 
 Författningsförslag: Arkivlagen  
 73 
  
 6 § 
  
 I arkivvården ingår att myndigheten skall 
  
 1. organisera arkivet på ett sådant 
  
 1. 
  
 organisera arkivet på ett sådant 
  
 sätt att rätten att ta del av all- 
  
 sätt att rätten att ta del av all- 
  
 männa  
 handlingar  
 underlättas, 
  
 männa  
 uppgifter  
 underlättas, 
  
 2. upprätta dels en arkivbeskriv- 
  
 2. 
  
 upprätta dels en arkivbeskriv- 
  
 ning som ger information om 
  
 ning som ger information om 
  
 vilka slag av handlingar som kan 
  
 vilka slag av handlingar  
 och da- 
  
 finnas i myndighetens arkiv och 
  
 tabaser  
 som kan finnas i myn- 
  
 hur arkivet är organiserat, dels 
  
 dighetens arkiv och hur arkivet 
  
 en systematisk arkivförteckning, 
  
 är organiserat, dels en systema- 
  
 tisk arkivförteckning, 
  
 3. skydda arkivet mot förstörelse, skada, tillgrepp och obehörig åtkomst, 
  
 4. avgränsa arkivet genom att fast- 
  
 4. avgränsa arkivet genom att fast- 
  
 ställa vilka  
 handlingar  
 som skall 
  
 ställa 
  
 vilka 
  
 uppgifter enligt 
  
 vara arkivhandlingar 
 , och 
  
 2 kap. 
  
 10 § 
  
 tryckfrihetsförord- 
  
 ningen  
 som skall  
 höra till arki- 
  
 vet 
 , och 
  
 5. verkställa föreskriven gallring i arkivet. 
  
 10 § 
  
 Allmänna  
 handlingar  
 får gallras. 
  
 Allmänna  
 uppgifter  
 får gallras. 
  
 Vid gallring skall dock alltid beaktas att arkiven utgör en del av kultur- arvet och att det arkivmaterial som återstår skall kunna tillgodose de ända- 
  
 mål som anges i 3 § tredje stycket. 
  
 Om det finns avvikande be- 
  
 Om det finns avvikande be- 
  
 stämmelser om gallring av vissa 
  
 stämmelser om gallring av vissa 
  
 allmänna  
 handlingar  
 i annan lag 
  
 allmänna  
 uppgifter  
 i annan lag eller 
  
 eller i förordning gäller dessa be- 
  
 i förordning gäller dessa be- 
  
 stämmelser,  
 dock med undantag för 
  
 stämmelser. 
  
 bestämmelserna i 12 § datalagen 
  
 (1973:289). 
  
 74  
 Författningsförslag: Arkivlagen 
  
 SOU 1997: 39 
  
 12 § 
 Utöver vad som följer av be- stämmelserna i 9, 10 och 11 §§ får en statlig myndighet avhända sig allmänna handlingar endast genom sådant återlämnande eller överläm- nande som sker med stöd av 
 Utöver vad som följer av be- stämmelserna i 9, 10 och 11 §§ får en statlig myndighet avhända sig handlingar  
 och databaser med  
 all- männa  
 uppgifter  
 endast genom så- dant återlämnande eller överläm- nande som sker med stöd av 
  
 1. 
  
 lag eller föreskrift som meddelas av regeringen eller den myndighet som regeringen bestämmer, eller 
  
 2. 
  
 särskilt beslut av regeringen. 
  
 Första stycket gäller inte handlingar som en myndighet har fått som lån. 
 15 § 
 Utöver vad som följer av be- stämmelserna i 9, 10 och 14 §§ får en kommunal myndighet avhända sig allmänna handlingar endast ge- nom sådant återlämnande eller överlämnande som sker med stöd av 
 Utöver vad som följer av be- stämmelserna i 9, 10 och 14 §§ får en kommunal myndighet avhända sig handlingar  
 och databaser med  
 allmänna  
 uppgifter  
 endast genom sådant återlämnande eller överläm- nande som sker med stöd av 
  
 1. 
  
 lag, eller 
  
 2. 
  
 särskilt beslut av kommunfullmäktige eller landstingsfullmäktige. 
  
 Första stycket gäller inte handlingar som en myndighet har fått som lån. 
 ___________________ 
 Denna lag träder i kraft den 1 januari 1999. 
  
 SOU 1997: 39 
  
 75 
  
 UTREDNINGSARBETET 
 Utrednin 
 gs 
 uppdraget 
 Regeringen beslöt den 15 juni 1995 direktiv för utredningen (dir. 1995:91). Direktiven finns fogade till detta betänkande som bilaga 1. Dessutom har vi, liksom alla andra kommittéer, att beakta direktiven den 10 juni 1996 från regeringen om att redovisa konsekvenser för brottsligheten och det brottsförebyggande arbetet (dir. 1996:49). 
 Sammanfattningsvis kan sägas att vi har haft två huvuduppgifter: 
  
 N  
 Göra en total revision av datalagen och analysera på vilket sätt  
 EG-di- 
  rektivet om personuppgifter skall införlivas i svensk rätt. 
  
 N  
 Anpassa grundlagsreglerna om allmänna handlingars offentlighet till den nya tekniken. 
 Vi har också, enligt direktiven, haft stor frihet att ta upp de ytterligare frå- gor som behöver övervägas inom ramen för uppdraget. 
 Hur utredningen har bedrivits 
 Utredningstiden har varit knapp. Kommittén i sin helhet har haft samman- träde ungefär en gång per månad. Dessutom har en s.k. redaktions- kommitté, bestående av ordföranden och experterna, haft sammanträde un- gefär en gång per månad. Kommittéledamöterna har vidare haft ett inter- natsammanträde under två dagar. 
  
 76  
 Utredningsarbetet 
  
 SOU 1997: 39 
  
 Regeringen har enligt beslut vid sitt sammanträde torsdagen den 7 mars 1996 
 1  
 till oss lämnat över en skrivelse från Landstingsförbundet om en översyn av 23 § datalagen. 
 För att hämta in synpunkter från aktörer på arbetsmarknaden har vi haft en s.k. hearing till vilken inbjudits representanter för Arbetsgivarverket, Landsorganisationen i Sverige, Landstingsförbundet, SACO, Sveriges akademikers centralorganisation, Svenska Arbetsgivareföreningen, Svenska Kommunförbundet och Tjänstemännens centralorganisation. 
 Kommittén har varit representerad, genom ordförande eller sekreterare, vid olika konferenser och seminarier av intresse för utredningsuppdraget. Som exempel kan nämnas konferenser eller liknande ordnade av 
  
 N  
 Förvaltningspolitiska kommissionen (Fi 1995:13),  
 N  
  
 IT-kommissionen 
  (SB 1995:01), 
  
 N  
 Folkomröstningsutredningen (Ju 1996:01), 
  
 N  
 Kommunikationsforskningsberedningen,  
 N  
 Europarådet, 
  
 N  
 Europeiska kommissionen, 
  
 N  
 Svenska föreningen för ADB och juridik,  
 N  
 Riksarkivet, 
  
 N  
 Astra, 
  
 N  
 Datainspektionen,  
 N  
 Statskontoret, 
  
 N  
 Institutet för rättsinformatik vid universitetet i Hannover, Tyskland,  
 N  
 Det nordiska juristmötet, 
  
 N  
 Europeiska Rättsakademien i Trier,  
 N  
 Telia Infomedia och 
  
 N  
 Centre de Recherches Informatique et Droit (CRID) vid universitetet i Namur, Belgien. 
 Ordföranden och sekreterarna har deltagit i ett seminarium i Norge med representanter för de utredningar i Norden som har till uppdrag att lämna förslag till hur  
 EG-direktivet 
  om personuppgifter skall genomföras. 
 En av sekreterarna har deltagit i ett internationellt akademiskt semina- rium om genomförandet av  
 EG-direktivet 
  arrangerat av Institutet för rätts- informatik vid universitet i Hannover. 
  
 1 
  
 Dnr Ju 95/4244. 
  
 SOU 1997: 39 
 Utredningsarbetet  
 77 
  
 Sekreterarna har haft ett möte angående bl.a. tolkningen av  
 EG-direkti- 
  vet med Hernandez, Chef de lUnité Libre circulation de linformation, protection des données et les aspects internationaux sy référant vid generaldirektorat XV vid Europeiska gemenskapernas kommission. 
 Sekreterarna har därutöver haft olika kontakter med personer som medver- kat vid andra länders genomförande av  
 EG-direktivet, 
  bl.a. kontakter med  
 N  
 professorn Jos Dumortier, Interdisciplinary Centre for Law  IT vid det katolska universitetet i Leuven, Belgien, som för den belgiska rege- ringen har utarbetat ett förslag till genomförande av  
 EG-direktivet, 
  och 
 dennes assistent, 
  
 N  
 olika representanter i den finländska kommissionen för att genomföra direktivet, bl.a. professorn Rodriguez, universitetet i Lappland, och dataskyddsombudsmannen Joseph, 
  
 N  
 direktøren Lawrence, Registertilsynet i Danmark, och professorn Estrada, Københavns universitet samt 
  
 N  
 Mills Kotschy, Bundeskanzleramt i Österrike. 
 Vi har vidare under utredningsarbetets gång haft kontakter med bl.a.  
 N  
 Socialvetenskapliga forskningsrådet och dess etiska kommitté, 
  
 N  
  
 Humanistisk-samhällsvetenskapliga 
  forskningsrådet och dess etiska kommitté, 
  
 N  
 Nämnden för forskningsetik inom den medicinska forskningen,  
 N  
 Justitiekanslern, 
  
 N  
 Patent- och registreringsverket,  
 N  
 Socialstyrelsen, 
  
 N  
 Datatilsynet i Norge, 
  
 N  
 Commission de la protection de la vie privée i Belgien,  
 N  
 Föreningen Svenska Marknadsinformationsföretag och  
 N  
 USA:s ambassad i Stockholm. 
 Vi har vidare haft samråd och andra kontakter – ofta på sekretariatsnivå – med flera statliga utredningar, bl.a. 
  
 N  
  
 IT-kommissionen 
  (SB 1995:01), 
  
 N  
 Ungdomens  
 IT-råd 
  (SB 1995:02),  
 N  
  
 IT-utredningen 
  (Ju 1994:05), 
  
 N  
 Mediekommittén (Ju 1994:13), 
  
 N  
 Registerutredningen (Ju 1995:01), 
  
 N  
 Katalogutredningen (K 1995:06), 
  
 N  
 Utredningen om register för forskning inom rättspsykiatrin (S 1995:07), 
  
 78  
 Utredningsarbetet 
  
 SOU 1997: 39 
  
 N  
 Utredningen om fastighetsdatasystemets författningsreglering (Ju 1995:09), 
  
 N  
 Penningtvättutredningen (Fi 1995:18), 
  
 N  
 Pliktregisterutredningen (Fö 1996:03), 
  
 N  
 utredningen Kulturnät Sverige (Ku 1995:03),  
 N  
 Skatteflyktskommittén (Fi 1995:04), 
  
 N  
 Förvaltningspolitiska kommissionen (Fi 1995:13), 
  
 N  
 Utredningen om trossamfundens rättsliga reglering (C 1995:11),  
 N  
 Grunddatabasutredningen (Fi 1996:06) och 
  
 N  
 Utredningen för översyn av inkomstbegreppet inom bidrags- och social- försäkringssystemen (S 1996:06). 
 Kommittén har spritt kunskap om utredningsuppdraget och sin verksamhet genom en s.k. hemsida på Internet. 
 Jur.kand. Stanley har kontrollerat de hänvisningar betänkan- det innehåller. 
 Dispositionen av betänkandet 
 Inledning 
 Utredningsuppdraget har innefattat två huvuduppgifter, dels göra en total översyn av 1973 års datalag och lämna förslag till hur  
 EG-direktivet 
  om personuppgifter kan införlivas i svensk rätt, dels anpassa grundlagsregler- na om offentlighetsprincipen till den nya tekniken. 
 Redovisningen av de båda huvuduppgifterna sker i två skilda delar i betänkandet. Den första delen kallas  
 E 
  
 N NY PERSONDATALAG  
 och den andra kallas  
 O 
  
 FFENTLIGHETSPRINCIPEN I  
  
 IT- 
  
 SAMHÄLLET 
 . 
  Avsnitten i de båda delarna har en löpande numrering. Därutöver finns avsnitt som är gemensamma för de två delarna och som inte har numrerats. Det gäller förteckningen över använda förkortningar, sammanfattningen, författningsförslagen och detta inledande avsnitt om utredningsarbetet och dispositionen av betänkandet samt de avslutande avsnitten med konsekvensredovisning och författ- ningskommentarer. I bilaga 6 finns en gemensam litteraturförteckning och i bilaga 1 finns, som nämnts, våra utredningsdirektiv. Bilaga 7 innehåller en gemensam sammanfattning på engelska. 
 SOU 1997: 39 
 Utredningsarbetet  
 79 
  
 Sist i betänkandet – men före bilagorna – kommer de reservationer och särskilda yttranden som har avgetts. 
 Till varje avsnitt med överväganden – och till vissa underavsnitt – finns en ruta som innehåller en kort sammanfattning. 
  
 E 
 N NY PERSONDATALAG 
 Denna del av betänkandet inleds med en kortfattad redovisning av gällande rätt i huvuddrag, dvs. en beskrivning av den föråldrade datalagen från år 1973 (avsnitt 1). Därefter följer en redovisning av tidigare försök att revi- dera datalagen i form av de förslag som fördes fram år 1993 av Datalagsut- redningen och som i huvudsak inte följts (avsnitt 2). Även remissinstan- sernas synpunkter och de smärre författningsjusteringar som förslagen medfört redovisas här. 
 Efter denna redovisning av var vi i Sverige står i dag kommer en ganska omfattande formell analys av det nya  
 EG-direktiv 
  om personupp- gifter som Sverige har att genomföra (avsnitt 3). Själva direktivtexten på svenska finns i bilaga 2. Även övriga internationella regler – inom OECD och Europarådet – berörs kortfattat i ett särskilt avsnitt (avsnitt 4). 
 Utöver information om det som redan nämnts – läget i dag i Sverige, inklusive tidigare förslag som inte kunnat godtas, och Sveriges skyldighe- ter i förhållande till andra stater – har vi ansett att det som utgångspunkt för våra överväganden behövs även information om det som lagstiftningen skall skydda, nämligen den personliga integriteten, om vad svenska män och kvinnor i allmänhet tycker i dessa frågor och om vad som är möjligt att göra med den nya tekniken. Våra egna undersökningar om teknikens möjligheter i dag och i framtiden har emellertid gett vid handen att det knappast finns några bestående tekniska begränsningar som bör beaktas vid utformningen av den nya persondataskyddslagstiftningen; det mesta i fråga om automatiserad behandling av personuppgifter är eller kommer att bli tekniskt möjligt. Detta redogör vi för kortfattat i ett särskilt avsnitt (avsnitt 5), och bilaga 3 innehåller en rapport med tekniska synpunkter på innehållet i betänkandet. Frågorna om innebörden av begreppet personlig integritet och om allmänhetens inställning till behandling av personuppgif- ter behandlas av anlitade experter vilkas rapporter finns i bilaga 4 och 5. För åsikterna i dessa rapporter svarar naturligtvis experterna själva. 
 Den första fråga som vi har ansett oss böra överväga är vilken allmän inriktning en ny lagstiftning för att skydda den personliga integriteten bör ha. Bör lagstiftningen reglera själva hanteringen av personuppgifter eller 
  
 80  
 Utredningsarbetet 
  
 SOU 1997: 39 
  
 bara sådan användning av uppgifter som kan karakteriseras som ett miss- bruk? Denna fråga, liksom frågan om hur man bör se på saken i ett längre perspektiv, berörs i det inledande avsnittet med överväganden (avsnitt 6). Den slutsats som vi kommer till i detta avsnitt kan sägas innebära att det enda sättet för oss att uppfylla uppdraget att lämna förslag till genom- förande av  
 EG-direktivet 
  är att i enlighet med direktivet reglera hante- ringen av personuppgifter och därvid nära följa direktivets uppbyggnad och struktur; i ett något längre perspektiv bör man dock försöka koncentre- ra sig mera på att stävja och beivra missbruk än att reglera en hantering som snart sagt alla kan hålla på med. 
 Mot bakgrund av den redovisade slutsatsen innehåller de följande av- snitten närmast en redogörelse för hur  
 EG-direktivets 
  bestämmelser lämp- ligen bör överföras till svensk lagstiftning och hur man bör utnyttja det spelrum som  
 EG-direktivet 
  medger vid genomförandet. Därvid berörs först vilka typer av behandling av personuppgifter som bör omfattas av en ny persondatalag och huruvida lagen i princip bör vara generellt tillämplig på alla behandlingstyper som bör omfattas (avsnitt 7). 
 Mycket av den behandling som äger rum inom främst den allmänna sektorn regleras i dag i särskilda registerförfattningar. Frågan om systemet med särskilda registerförfattningar och förhållandet mellan den nya per- sondatalagen och dessa författningar berörs i nästa avsnitt (avsnitt 8). 
 Därefter kommer två avsnitt om den betydelsefulla frågan hur  
 EG-di- 
  rektivet och den nya persondatalagen förhåller sig till den offentlighets- princip och den yttrandefrihet som i Sverige är grundlagsfäst (avsnitt 9 och 10). 
 Frågan om när personuppgifter bör få utnyttjas för att forska eller framställa statistik har diskuterats mycket genom åren. Den frågan berörs i ett särskilt avsnitt (avsnitt 11). Därefter kommer ett omfattande avsnitt om det materiella innehållet (i övrigt) i den nya persondatalagen (avsnitt 12). Det avsnittet innehåller såväl allmänna överväganden som kommentarer av närmast detaljkaraktär till de föreslagna bestämmelserna. 
 Avslutningsvis i denna del av betänkandet finns ett avsnitt om sådana regler i den nuvarande datalagen som inte passar in i en ny persondatalag utan bör flyttas till annan lagstiftning (avsnitt 13). 
 Eftersom de föreslagna bestämmelserna i persondatalagen har berörts i detalj redan i den allmänna motiveringen i huvudavsnitten, innehåller det särskilda avsnittet med författningskommentarer till den föreslagna per- sondatalagen bara ett slags nyckel med hänvisningar till de avsnitt där respektive paragraf berörs. 
 SOU 1997: 39 
 Utredningsarbetet  
 81 
  
 O 
 FFENTLIGHETSPRINCIPEN I  
  
 IT- 
 SAMHÄLLET 
  
 I den andra delen av betänkandet föreslår vi hur bestämmelserna i 2 kap. TF om offentlighetsprincipen kan anpassas till den nya tekniken. Den inne- håller till att börja med en kort beskrivning av offentlighetsprincipens grundläggande syften och dess nuvarande reglering (avsnitt 14). 
 Vi försöker därefter beskriva hur de tekniska förutsättningarna har änd- rats sedan begreppet allmän handling fick en ny innebörd 1976 och vilka problem den då införda regleringen vållar i den nuvarande tekniska miljön (avsnitt 15). Vidare gör vi ett försök att blicka framåt när det gäller den tekniska utvecklingen och anger två utgångspunkter för våra övervägan- den: Offentlighetsprincipen skall vara så vid som möjligt. Reglerna skall vara så tydliga och enkla som möjligt. 
 I den gällande lagen är det främst begreppet handling (som omfattar varje uppgiftssammanställning som kan göras med rutinbetonade åtgärder) och förvaringsrekvisitet (som omfattar allt som är tillgängligt för myndig- heten) som vållar problem. I syfte att åstadkomma en mera lättillämpad ordning föreslår vi en delvis ny begreppsapparat där begreppet allmän uppgift är centralt och där förvaringsrekvisitet återfår sin egentliga bety- delse (avsnitt 16). 
 Rätten att använda sökverktyg för att söka eller sammanställa uppgifter är svagt utvecklad i den gällande lagen. I en modern teknisk miljö är emellertid sådana funktioner avgörande för rätten att ta del av allmänna uppgifter. Vi lämnar därför förslag till en uttrycklig bestämmelse om detta i lagen (avsnitt 17). 
 En fråga som är i hög grad aktuell är allmänhetens möjligheter att ta del av allmänna uppgifter på elektronisk väg. Även om frågan inte finns ut- tryckligen nämnd i vårt uppdrag är det oundvikligt, anser vi, att ta upp den (avsnitt 18). Vårt förslag innebär att det införs en sådan rätt, om än inte undantagslös, för allmänheten att få ut allmänna uppgifter i elektronisk form. Vi berör också något frågan om sekretessprövning av uppgifter som läggs ut allmänt tillgängliga t.ex. via en presentationsterminal eller all- männa nätverk. 
 Såsom vårt uppdrag anger överväger vi den s.k. biblioteksregeln sär- skilt (avsnitt 19). Vårt förslag till ny begreppsapparat i 2 kap. TF innebär emellertid att specialbestämmelsen i 11 § andra stycket som syftar till att bl.a. avskära kommersiella databaser från offentlighetsprincipen blir över- flödig. 
  
 82  
 Utredningsarbetet 
  
 SOU 1997: 39 
  
 Enligt gällande rätt är även myndigheternas datorprogram allmänna handlingar som omfattas av offentlighetsprincipen. En rätt för allmänheten att få ut sådana i elektronisk form – i enlighet med vad vi föreslår – skulle emellertid kollidera med upphovsrätten till sådana program. Vi lämnar där- för förslag till hur denna konflikt skall lösas (avsnitt 20). 
 Myndigheternas skyldighet att dels dokumentera de uppgifter de an- vänder dels registrera allmänna handlingar är av grundläggande betydelse för offentlighetsprincipen, även om bestämmelserna om detta inte finns i grundlagen. Vi överväger därför dessa frågor särskilt (avsnitt 21). 
 Slutligen redogör vi för vilka följdändringar som den nya begrepps- apparaten i 2 kap. TF bör medföra i sekretesslagen, främst i 15 kap., och i arkivlagen (avsnitt 22). Vi passar i sammanhanget också på att lämna vissa förslag till ändringar i dessa regelverk. 
 I författningskommentaren till 2 kap. TF, 15 kap. sekretesslagen och arkivlagen kommenteras våra förslag ytterligare. Här finns också hänvis- ningar till aktuella avsnitt i den allmänna motiveringen. 
 EN NY 
 PERSONDATALAG 
  
 SOU 1997: 39 
  
 85 
  
 1 Gällande rätt i huvuddrag 
 Datalagen var modern när den antogs år 1973. Den har ändrats ett antal gånger under årens lopp, men den är i dag ändå föråldrad, såväl innehålls- mässigt som lagtekniskt. Vi har på olika sätt tagit del av erfarenheterna av lagens tillämpning. Vi har däremot inte ansett det nödvändigt att här lämna en ingående redovisning av den föråldrade lagen. 
 2  
 Här ges därför bara en kortfattad och översiktlig beskrivning av regelsystemet. 
 3 
  
 Datalagen inleds med en definition av begreppen personuppgift, per- sonregister, registrerad och registeransvarig (1 §). 
 Med  
 personuppgift  
 avses upplysning som avser enskild person. Det kan vara upplysningar om namn, personnummer, födelsedatum, nationalitet, utbildning, familj och anställningsförhållanden. Även andra typer av upp- lysningar av mindre personlig karaktär räknas som personuppgifter. Enligt lagmotiven 
 4  
 avses även uppgifter om en persons bostadsförhållanden, banktillgodohavanden, fastighets- eller bilinnehav och upplysningar i öv- rigt om en persons ekonomiska ställning. 
 Med  
 personregister  
 förstås register, förteckning eller andra anteck- ningar som förs med hjälp av automatisk databehandling (ADB) och som innehåller personuppgift som kan hänföras till den som avses med uppgif- ten. Bara register som förs med hjälp av ADB omfattas således av datala- gen. Register som förs med hjälp av annan teknik än ADB faller i dag utanför lagens tillämpningsområde. 
 En personuppgift kan hänföras till en viss person antingen direkt ge- nom själva uppgiften eller med hjälp av en identitetsuppgift som också in- går i registret. Även register som innehåller identitetsuppgifter av sådan art att bara den invigde kan utläsa vilka personer som finns registrerade om- fattas av datalagen. Likaså omfattas statistiska uppgifter där beteckningar 
  
 2 
  
 Det finns en lagkommentar till lagen: Butler  Lyons, Datalagen med kommentarer, 1989. 
  
 3 
  
 Beskrivningen bygger på Datalagsutredningens motsvarande redovisning. 
  
 4 
  
 Prop. 1973:33 s. 117. 
  
 86  
 Gällande rätt i huvuddrag 
  
 SOU 1997: 39 
  
 som också återfinns på dokument gör det möjligt att knyta uppgifterna till en viss person. 
 Med begreppet registrerad avses en enskild person om vilken det före- kommer en personuppgift i ett personregister. 
  
 Registeransvarig  
 är den för vars verksamhet personregister förs, om han eller hon förfogar över registret. Såväl fysiska som juridiska personer och myndigheter kan vara registeransvariga. 
 Bara den som har anmält sig till Datainspektionen och fått  
 licens  
 får in- rätta och föra personregister (2 §). Datainspektionen granskar inte anmälan i sak utan ger bara den registeransvarige ett bevis (licens) om att anmälan har gjorts samt ett särskilt licensnummer (10 § dataförordningen). En li- cens berättigar den registeransvarige att föra ett eller flera personregister. Licens behövs inte för personregister som en enskild person inrättar eller för uteslutande för personligt bruk (2 § 3 st.). 
 Den som fått licens skall betala en årlig  
 avgift  
 till Datainspektionen. 
 5  
 Inspektionen får, om det finns särskilda skäl, sätta ned eller efterskänka av- giften. Avgifterna finansierar inspektionens verksamhet. 
 Med hjälp av ADB för Datainspektionen ett register över licensanmäl- ningar,  
 licensregistret  
 (3 § dataförordningen). Licensregistret får Datain- spektionen använda för sin tillsyns- och informationsverksamhet samt som underlag för uppbörd av licensavgifter. 
 För vissa typer av register med känsliga uppgifter krävs utöver licens även ett särskilt  
 tillstånd  
 från Datainspektionen (2 § 2 st. datalagen). Sådant tillstånd behövs i regel för att inrätta och föra register som innehåller 
  
 a) 
  
 i sig känsliga personuppgifter, 
  
 b) 
  
 omdömen om den registrerade, 
  
 c) 
  
 uppgifter om personer som saknar sådan anknytning till den registeran- svarige som följer av medlemskap, anställning, kundförhållande eller något därmed jämförligt förhållande samt 
  
 d) 
  
 personuppgifter som hämtas in från något annat personregister (s.k. samkörning), om inte registreringen av uppgifterna eller utlämnandet av dessa sker med stöd av författning, Datainspektionens beslut eller den registrerades medgivande. 
  
 Tillstånd behövs inte för personregister som någon inrättar eller för uteslu- tande för personligt bruk (2 § 3 st.). Tillstånd behövs inte heller för register 
  
 5 
  
 1 och 3 §§ förordningen (1982:481) om avgifter för Datainspektionens verksam- het. 
  
 SOU 1997: 39 
 Gällande rätt i huvuddrag  
 87 
  
 vars inrättande beslutats av riksdagen eller regeringen (s.k. statsmaktsre- gister) eller för register som har tagits emot för förvaring av en arkivmyn- dighet (2 a § 1 st. 1 och 3). För sådana personregister som ofta förekommer inom en viss verksamhet för ett visst ändamål kan det meddelas särskilda föreskrifter (19 §). Följer den registeransvarige sådana föreskrifter, behövs inte något tillstånd (2 a § 1 st. 2). 
 Sammanslutningar får utan tillstånd inrätta och föra personregister som innehåller sådana uppgifter om medlemmarnas politiska uppfattning, reli- giösa tro eller övertygelse i övrigt som utgör grunden för medlemskapet i sammanslutningen (2 a § 2 st. 1). 
 Myndigheter inom hälso- och sjukvården får utan tillstånd för vård- eller behandlingsändamål inrätta och föra personregister som innehåller uppgifter om någons sjukdom eller hälsotillstånd i övrigt (2 a § 2 st. 2). Likaså får myndigheter inom socialtjänsten utan tillstånd inrätta och föra personregister som innehåller uppgifter om att någon fått ekonomisk hjälp eller vård inom socialtjänsten (2 a § 2 st. 3). 
 Läkare och tandläkare får utan tillstånd inrätta och föra personregister som innehåller sådana uppgifter om någons sjukdom eller hälsotillstånd i övrigt som de har fått reda på i sin yrkesverksamhet (2 a § 2 st. 4). 
 Arbetsgivare får utan tillstånd inrätta och föra personregister som inne- håller sådana uppgifter om arbetstagares sjukdom som avser tid för sjuk- frånvaro, om uppgifterna används för löneadministrativa ändamål eller för att arbetsgivaren skall kunna avgöra om han eller hon skall påbörja en re- habiliteringsutredning enligt 22 kap. 3 § andra stycket lagen (1962:381) om allmän försäkring (2 a § 2 st. 5). 
 Vid sin tillståndsprövning skall Datainspektionen ta ställning till om det finns anledning att anta att registreringen medför ett otillbörligt intrång i den registrerades personliga integritet. Om så anses vara fallet, skall till- stånd inte meddelas. Vid prövningen skall inspektionen särskilt beakta 
  
 N  
 arten och mängden av de personuppgifter som skall ingå i registret,  
 N  
 hur och från vem uppgifterna skall hämtas in, 
  
 N  
 vilken inställning de som kan komma att registreras har eller kan antas ha till saken och 
  
 N  
 att inte andra uppgifter eller andra personer registreras än som står i överensstämmelse med ändamålet med registret (3 §). 
 Särskilda skäl krävs för att tillstånd skall kunna meddelas för inrättande och förande av personregister som omfattar andra än medlemmar, anställda 
  
 88  
 Gällande rätt i huvuddrag 
  
 SOU 1997: 39 
  
 eller kunder hos den registeransvarige eller personer som har annan där- med jämställd anknytning (3 a §). 
 Det krävs synnerliga skäl för att andra än myndigheter som enligt lag eller annan författning har att föra förteckning över sådana uppgifter skall kunna få tillstånd att inrätta och föra personregister som innehåller vissa angivna typer av känsliga uppgifter, såsom exempelvis uppgift om att nå- gon misstänks eller har dömts för brott eller varit föremål för vissa tvångsingripanden (4 § 1 st.). 
 Tillstånd att inrätta och föra personregister som i övrigt innehåller uppgifter om någons sjukdom, hälsotillstånd eller sexualliv eller uppgift om att någon fått ekonomisk hjälp eller vård inom socialtjänsten eller varit föremål för åtgärd enligt utlänningslagen får bara om det finns särskilda skäl meddelas annan än myndighet som enligt lag eller annan författning har att föra förteckning över sådana uppgifter. Särskilda skäl krävs även för registrering av uppgifter om någons ras eller politiska uppfattning eller religiösa övertygelse (4 §  
 2–3 
  st.). 
 När Datainspektionen meddelar tillstånd att inrätta och föra personre- gister, skall inspektionen samtidigt meddela beslut om ändamålet med re- gistret (5 §). I den mån det behövs för att förebygga risk för otillbörligt intrång i personlig integritet skall inspektionen i samband med tillstånds- givningen även meddela särskilda villkor (6 §). Sådana villkor får medde- las beträffande exempelvis inhämtande av uppgifter, vilka personuppgifter som får ingå i registret, utlämnande, bevaring och gallring. 
 Personregister skall inrättas och föras så att inte otillbörligt intrång i registrerads personliga integritet uppkommer. I 7 § anges närmare vad som skall iakttas för att nå upp till vad som brukar kallas god registersed. Den registeransvarige är också skyldig att förteckna de personregister som han eller hon är ansvarig för (7 a §). Förteckningen skall vara aktuell och hållas tillgänglig för Datainspektionen. 
 I datalagen finns också särskilda bestämmelser om  
 ADB-användningen 
  som är avsedda att garantera att personuppgifter är riktiga och fullständiga. Dessa bestämmelser, som återfinns i 8 och 9 §§, behandlar bl.a. rättelse av oriktiga och missvisande uppgifter. 
 En central bestämmelse är vidare 10 §. Den ger den enskilde en rätt till insyn i personregister. Där stadgas att den registeransvarige på skriftlig begäran av den enskilde skall underrätta denne om innehållet i registret, såvitt gäller honom eller henne. Ett sådant registerutdrag, s.k. §  
 10-utdrag, 
  har den enskilde rätt att kostnadsfritt få en gång per år. 
 SOU 1997: 39 
 Gällande rätt i huvuddrag  
 89 
  
 I datalagen finns allmänna bestämmelser om gallring av personuppgif- ter och om vad som skall iakttas då en registeransvarig upphör att föra ett personregister för vilket Datainspektionen har meddelat tillstånd (12 §). Vissa bestämmelser om tystnadsplikt finns i 13 §. 
 En särskild bestämmelse om dokumentationsskyldighet avser att göra det möjligt att i efterhand fastställa vilka uppgifter i en  
 ADB-upptagning 
  som har legat till grund för avgörandet av ett mål eller ärende hos en myndighet. Sådan  
 ADB-upptagning 
  skall tillföras handlingarna i målet eller ärendet i läsbar form. Undantag gäller bara om det finns särskilda skäl (14 §). 
 Datainspektionen utövar tillsyn över att automatisk databehandling inte medför otillbörligt intrång i registrerads personliga integritet  
 (15–18 
  §§). 
 Inspektionen har möjlighet att meddela villkor eller, om rättelse inte kan åstadkommas på annat sätt, förbjuda förandet av personregister eller återkalla meddelade tillstånd. 
 Datainspektionens beslut enligt datalagen kan överklagas till länsrätten i Stockholm eller, när en statlig myndighet är registeransvarig, regeringen. Justitiekanslern får föra talan för att ta till vara allmänna intressen. (25 §.) 
 Bestämmelser om straff och skadestånd finns i  
 20–21 
  och 23 §§. Ett personregister kan förklaras förverkat, om det inrättas eller förs utan nöd- vändig licens eller tillstånd (22 §). 
 I datalagen regleras även det statliga person- och adressregistret (SPAR),  
 26–28 
  §§. 
 Kompletterande bestämmelser om bl.a. licensanmälan, tillståndsansö- kan, handläggningen hos Datainspektionen, verkställighetsföreskrifter och bistånd till personer som är registrerade utomlands finns i dataförord- ningen. 
  
 SOU 1997: 39 
  
 91 
  
 2 Datalagsutredningens förslag och utvecklingen därefter 
  
 2.1 
  
 Inledning 
  
 Datalagsutredningen presenterade sitt slutbetänkande, En ny datalag (SOU 1993:10), i februari 1993. I sitt arbete hade utredningen beaktat bl.a. det då föreliggande förslaget till  
 EG-direktiv 
  om skydd för enskilda vid behand- ling av personuppgifter och om det fria flödet av sådana uppgifter. Utred- ningens förslag hade till stora delar anpassats till direktivförslaget. Vissa avvikelser förekom emellertid. Sådana bestämmelser i direktivförslaget som inkräktade på den svenska offentlighetsprincipen skulle enligt utred- ningen inte införas. Utredningen ansåg inte heller att direktivförslagets be- stämmelser om anmälningsskyldighet för automatisk databehandling av personuppgifter skulle genomföras fullt ut. 
 Utredningen var inte enig i alla frågor. Till betänkandet fanns fogat skiljaktiga meningar och särskilda yttranden. 
 Utredningens förslag har remissbehandlats. 
 Regeringen lämnade i prop. 1993/94:116 förslag till ändringar i rege- ringsformen (RF) som bl.a. innebar att regeringen skulle kunna delegera viss normgivningskompetens till Datainspektionen avseende skyddet för den personliga integriteten vid automatisk databehandling av personupp- gifter. Vidare anförde regeringen att beslut om en ny datalag borde anstå till dess slutlig ställning hade tagits till  
 EG-direktivet. 
  Vissa angelägna ändringar i datalagen borde enligt regeringen dock vidtas innan dess, och förslag till sådana lämnades i prop. 1993/94:217. Riksdagen beslutade om ändringar i enlighet med de båda förslagen och de nya bestämmelserna trädde i kraft den 1 januari 1995. 
 6 
  
 6 
  
 SFS 1994:1480 respektive 1994:1485. 
  
 92  
 Datalagsutredningens förslag och utvecklingen därefter 
  
 SOU 1997: 39 
  
 Nedan lämnas först en kort sammanfattning av Datalagsutredningens förslag med noteringar om huvuddragen i remissvaren. Därefter följer en presentation av den lagstiftning som beslutats till följd av förslaget. 
  
 2.2 
  
 Sammanfattning av Datalagsutredningens förslag 
  
 2.2.1 
  
 Lagens tillämpningsområde 
  
 Datalagens tillämpningsområde är knutet till begreppet  
 personregister 
 . Datalagsutredningen föreslog att tillämpningsområdet i stället skulle defi- nieras så att lagen var tillämplig på varje behandling av personuppgifter med hjälp av automatisk databehandling, även t.ex. lagring och utläm- nande. En sådan definition skulle emellertid leda till att lagens tillämp- ningsområde blev mycket omfattande. Utredningen konstaterade att vissa undantag måste göras. Undantag skulle enligt förslaget bl.a. göras för så- dan behandling som sker uteslutande för personligt bruk eller som avser personuppgifter som ingår i uppslagsverk, ordböcker eller liknande refe- rensmaterial. Vidare skulle inte heller sådana personuppgifter som före- kommer i löpande text (ord- och textbehandling) omfattas av lagen. 
  
 Remissinstanserna  
 var positiva till att begreppet personregister er- sattes med behandling av personuppgifter. Flera instanser pekade dock på de gränsdragningsproblem som kan tänkas uppkomma mellan sådan ord- och textbehandling som faller utanför lagens tillämpningsområde och sådana behandlingar av texten, t.ex. sökningar i den, som omfattas av la- gen. 
 Liksom tidigare skulle datalagen enligt utredningens förslag gälla en- bart sådan behandling som sker med hjälp av  
 automatisk databehandling 
 . Detta begrepp borde enligt utredningen inte definieras, bl.a. eftersom en sådan definition snabbt skulle bli inaktuell. I den föreslagna lagen har emellertid klargjorts att i vissa fall även manuella hanteringar av person- uppgifter kan omfattas av lagen. Begreppet behandling skulle nämligen innefatta även insamling av personuppgifter som avses bli föremål för au- tomatisk databehandling. Helt manuella behandlingar skulle däremot falla utanför lagens tillämpningsområde. 
  
 Remissinstanserna  
 var oeniga i frågan om även helt manuella register skulle omfattas av lagen. Några pekade på fördelarna med att göra lagen 
 SOU 1997: 39 
 Datalagsutredningens förslag och utvecklingen därefter  
 93 
  
 helt teknikoberoende, medan andra var av den åsikten att det är just den omständigheten att uppgifterna behandlas automatiskt som gör förfarandet riskfyllt från integritetssynpunkt. 
  
 2.2.2 
  
 Förhållandet till offentlighetsprincipen 
  
 Utredningen hade som utgångspunkt att inga inskränkningar skulle göras i offentlighetsprincipen, som bl.a. innebär att alla medborgare har rätt att ta del av myndigheternas handlingar (2 kap. 1 § TF). Förslaget till  
 EG-direk- 
  tiv innehöll, enligt utredningens bedömning, inget formellt hinder mot ut- lämnande av personuppgifter med stöd av offentlighetsprincipen. I försla- get till ny datalag togs i några bestämmelser dock in en erinran om myn- dighets skyldighet att lämna ut uppgifter enligt TF. Offentlighetsprincipen innefattar också en rätt för den enskilde att i samband med utfående av så- dana uppgifter vara anonym (2 kap. 14 § 3 st. TF). Här måste enligt utred- ningen göras en avvikelse från direktivförslaget, som innebar att när upp- gifter om någon person lämnas ut skall personen underrättas om detta och om vem som har fått del av uppgifterna. 
  
 Remissinstanserna  
 uttryckte stöd för att offentlighetsprincipen skall be- hållas i nuvarande omfattning. 
  
 2.2.3 
  
 Förhållandet till yttrandefriheten 
  
 Datalagsutredningen konstaterade att konflikter kunde uppstå mellan å ena sidan datalagen och å andra sidan de bestämmelser i tryckfrihetsförord- ningen (TF) och yttrandefrihetsgrundlagen (YGL) som gäller förbud mot censur och annan förhandsgranskning samt rätten för meddelare m.fl. att vara anonyma. Utredningen utgick från att grundlagsbestämmelserna även i fortsättningen skulle tillämpas framför datalagstiftningen vid en konflikt mellan dem, även om skyddet mot otillbörligt intrång i den personliga in- tegriteten i samband med personregistrering med hjälp av automatisk data- behandling också har visst grundlagsskydd (2 kap. 3 § 2 st. RF). Någon saklig förändring borde därför enligt utredningen inte göras. Däremot borde det framgå av datalagen att vissa datasamlingar till följd härav inte faller under datalagens tillämpningsområde. 
 Undantag från lagens tillämpning borde enligt utredningen göras för  
 produktionsregister 
 , dvs. personregister som används som ett direkt tek- niskt hjälpmedel i samband med framställning av ett grundlagsskyddat ytt- rande. Datainspektionens tillsynsverksamhet enligt datalagen skulle näm- 
  
 94  
 Datalagsutredningens förslag och utvecklingen därefter 
  
 SOU 1997: 39 
  
 ligen, enligt utredningen, till stora delar strida mot förbudet att granska eller i övrigt vidta någon hindrande åtgärd i samband med framställning av yttrande (1 kap. 2 § TF och 1 kap. 3 § YGL). Vidare borde undantag göras för sådana  
 register  
 som används direkt i den journalistiska verksamheten och  
 som innehåller uppgifter om personer som omfattas av anonymitets- skyddet i 3 kap. 1 § TF.  
 Utredningen pekade på risken att sådana uppgifter kan avslöjas t.ex. i samband med tillsyn av Datainspektionen. Detta skulle i så fall kollidera med anonymitetsskyddet. För övrigt ansåg utredningen att just anonymitetsskyddet i detta sammanhang är det bästa skyddet för den personliga integriteten. Utredningen föreslog slutligen att även  
 klipp- arkiven  
 skulle undantas, dvs. arkiv som innehåller tidigare publicerade ar- tiklar samt bevarade radio- och  
 TV-inslag. 
  I det sammanhanget gjorde ut- redningen följande bedömning. Det skulle vara olämpligt om Datainspek- tionen kunde meddela villkor som t.ex. innebar att tidningarnas egen till- gång till tidigare publicerat material begränsades. Sådana villkor skulle vidare kunna innebära restriktioner i fråga om tryckfriheten. Man ansåg slutligen att allmänheten inte genom datalagen borde hindras från att ta del av sådant material, eftersom det tidigare varit publicerat. 
  
 Remissinstanserna  
 gav starkt stöd åt utredningens uttalanden om att be- stämmelserna i TF och YGL skall gälla framför datalagen. Flera remissin- stanser ansåg dock inte att klipparkiven generellt borde undantas från la- gen. Till den del klipparkiven inte kan anses utgöra produktionsregister skulle de, enligt dessa instanser, vara underkastade lagens tillämpning eftersom de inte sällan innehåller känsliga personuppgifter. Å andra sidan förordade många instanser att all behandling av personuppgifter som an- vänds i publicistiskt syfte borde undantas från lagen, alltså även uppgifter som använts av journalister, författare m.fl. men som inte blivit publicera- de. 
  
 2.2.4 
  
 Tillstånd eller tillsyn 
  
 Tillståndsförfarandet enligt datalagen borde enligt utredningen avskaffas. En alltför stor del av Datainspektionens resurser måste läggas på till- ståndsärendena på bekostnad av tillsynsverksamheten menade man. Ut- redningen gjorde den bedömningen att om mera tid kunde ägnas åt tillsyn, t.ex. inspektioner, skulle detta leda till en bättre efterlevnad av bestämmel- serna på området. Vidare upptar många tillståndsansökningar behandling av både känsliga och  
 icke-känsliga 
  uppgifter. I sådana fall får Datainspek- tionen ägna tid åt granskning av uppgiftsbehandling som inte är känslig. 
 SOU 1997: 39 
 Datalagsutredningens förslag och utvecklingen därefter  
 95 
  
 Dessa resurser borde enligt utredningen i stället läggas på tillsynsverksam- heten. 
 En klar majoritet av  
 remissinstanserna  
 ställde sig positiva till en över- gång från en ordning som bygger på tillstånd till ett tillsynssystem. 
 Enligt förslaget skulle det i stället för tillstånd krävas en anmälan till Datainspektionen för behandling av känsliga personuppgifter. Anmäl- ningarna skulle ligga till grund för inspektionens tillsynsverksamhet. An- mälningsavgifter skulle dessutom finansiera inspektionens verksamhet. 
 Av de  
 remissinstanser  
 som yttrat sig i frågan avstyrkte de flesta ett in- förande av en anmälningsplikt för vissa typer av register. Många uttalade farhågor för att anmälningsförfarandet skulle ta stora resurser i anspråk utan att anmälningarna skulle komma att utgöra någon bra grund för tillsy- nen. En del remissinstanser menade att Datainspektionens verksamhet borde skattefinansieras. 
  
 2.2.5 
  
 Den materiella regleringen i datalagen 
  
 2.2.5.1 
  
 Regler för de olika momenten i behandlingen 
  
 Eftersom kravet på tillstånd enligt förslaget skulle försvinna helt, var det enligt utredningen nödvändigt att direkt i lagen ta in tydliga och utförliga bestämmelser som reglerar behandlingen av personuppgifter. Flera allmänt hållna begrepp t.ex. otillbörligt intrång i personlig integritet måste därför ersättas med klarare regler, så att det blir möjligt för en enskild att avgöra om den behandling av personuppgifter som planeras eller utförs uppfyller lagens krav eller ej. Begreppet otillbörligt intrång borde därför enligt ut- redningen ersättas med regler för de olika momenten i behandlingen. Det skulle med andra ord framgå direkt av lagen i vilka fall det är tillåtet att behandla personuppgifter utan att någon integritetsbedömning först behö- ver göras. 
  
 Remissinstanserna  
 tillstyrkte i huvudsak den metod som utredningen hade valt. 
  
 2.2.5.2 
  
 Personuppgift 
  
 Definitionen av begreppet personuppgift skulle enligt förslaget anpassas bättre till internationella regler. Detta skulle innebära att fler uppgifter än nu omfattas, nämligen alla uppgifter som direkt eller indirekt går att här- 
  
 96  
 Datalagsutredningens förslag och utvecklingen därefter 
  
 SOU 1997: 39 
  
 leda till en individ. I syfte att begränsa de uppgifter som behandlas skulle endast sådana uppgifter som behövs för angivna ändamål få behandlas. 
  
 Remissinstanserna  
 lämnade förslaget i stort sett utan erinran. 
  
 2.2.5.3 
  
 Persondataansvarig 
  
 Bestämmelserna om vem som är persondataansvarig (tidigare registeran- svarig) borde enligt utredningen utformas på ett sådant sätt att det blev lättare att avgöra hos vem ansvaret låg, särskilt beträffande data som an- vänds av flera olika rättssubjekt. Enligt förslaget skulle den vara ansvarig som bestämmer ändamålet med behandlingen, vilka personuppgifter som skall behandlas och hur de skall behandlas. Detta skulle bl.a. medföra att ansvaret läggs på den som har möjlighet att faktiskt påverka innehållet i uppgifterna. 
 Flera av  
 remissinstanserna  
 ställde sig positiva till förslaget att koncent- rera ansvaret för en viss databehandling till ett rättssubjekt. Samtidigt pe- kade många på svårigheterna att åstadkomma detta i en situation där allt- fler system används av flera olika myndigheter och flödet av uppgifter mellan olika rättssubjekt ökar. Många instanser ansåg därför att den aktu- ella bestämmelsen borde bli föremål för förnyade överväganden. 
  
 2.2.5.4 
  
 Ändamålsanknytningen 
  
 All behandling av personuppgifter skulle, liksom tidigare, ha anknytning till ett visst ändamål för att vara tillåten. Bestämmelsen borde enligt ut- redningen dock preciseras, så att det framgick att ändamålet skall vara ut- tryckligt angivet och definieras så snävt som möjligt. Ändamålet skulle bestämmas av den som ansvarar för behandlingen av personuppgifterna (den persondataansvarige). Ändamålsanknytningen skulle enligt utred- ningen vidare fungera som avgränsning mellan olika persondatasamlingar sedan registerbegreppet lämnats. Ytterst skulle det angivna ändamålet också bestämma i vilken omfattning datorlagrade uppgifter hos en myn- dighet utgör allmän handling och därmed faller under offentlighetsprinci- pen. 
  
 Remissinstanserna  
 var i huvudsak positiva till utredningens ställnings- taganden. Några ansåg dock att det borde uppställas ytterligare krav i lagen på att ändamålsbestämningarna är noggrant preciserade. Några instanser ifrågasatte om de ändamål som bestämts av den persondataansvarige själv verkligen bör få avgöra i vilken omfattning uppgifterna skall betraktas som 
 SOU 1997: 39 
 Datalagsutredningens förslag och utvecklingen därefter  
 97 
  
 allmän handling, oavsett vilka uppgiftssammanställningar som i och för sig är tekniskt möjliga att göra. 
  
 2.2.5.5 
  
 Förutsättningarna för att få behandla personuppgifter 
  
 Vidare borde förutsättningarna för att få behandla personuppgifter framgå direkt av lagen, i stället för som nu – oftast indirekt – som undantag från tillståndsplikten. Personuppgifter skulle enligt förslaget få behandlas en- dast 
  
 N  
 om den enskilde hade samtyckt till behandlingen, eller om behandlingen behövdes för att 
  
 N  
 fullgöra ett avtal med den enskilde eller för att på den enskildes begäran vidta förberedande åtgärder inför ett avtal, 
  
 N  
 fullgöra åligganden som följer av lag eller annan författning, 
  
 N  
 skydda enskilda intressen som är av väsentlig betydelse för den en- skilde, 
  
 N  
 utföra en uppgift i det allmännas intresse eller i myndighetsutövning av den persondataansvarige eller någon till vilken uppgifterna lämnas ut, eller 
  
 N  
 tillgodose ett allmänintresse eller ett intresse hos den persondataansva- rige eller någon till vilken uppgifterna lämnas ut, under förutsättning att detta intresse får anses väga tyngre än den enskildes intresse av att upp- gifterna om honom inte behandlas. 
 Dessa bestämmelser skulle också reglera i vilka fall sambearbetningar av uppgifter från olika datasamlingar är tillåten. Särskilda regler skulle gälla för behandling av känsliga personuppgifter. 
  
 Remissinstanserna  
 hade i huvudsak inte några invändningar mot den föreslagna konstruktionen. Några menade dock att bestämmelserna till viss del borde förtydligas så att det klarare framgick vad som var tillåtet respek- tive otil??låtet, detta särskilt mot bakgrund av att ett otillåtet förfarande föreslogs bli straffbelagt. 
  
 2.2.5.6 
  
 Känsliga personuppgifter 
  
 För att få behandla  
 känsliga personuppgifter  
 föreslog Datalagsutredningen att det skulle krävas författningsstöd, om inte den registrerade hade lämnat skriftligt samtycke till behandlingen. Enligt förslaget till  
 EG-direktiv 
  skulle för behandling av sådana uppgifter krävas antingen en särskild för- fattningsreglering eller ett tillståndsförfarande. Eftersom tillståndsförfa- 
  
 98  
 Datalagsutredningens förslag och utvecklingen därefter 
  
 SOU 1997: 39 
  
 randet enligt utredningens förslag skulle upphöra, återstod möjligheten att reglera sådan behandling i författning (s.k. statsmaktsregister). 
 Sambearbetning av känsliga personuppgifter skulle enligt utrednings- förslaget kräva särskilt stöd i den författning som reglerar bearbetningen, om inte samtycke föreligger. 
 De  
 remissinstanser  
 som yttrade sig i frågan var huvudsakligen positiva till att behandling av känsliga personuppgifter författningsregleras. Flera ansåg att det skulle vara praktiskt taget omöjligt att i stället tillämpa ett förfarande där samtycke krävs i varje enskilt fall för behandlingen. Några instanser, särskilt inom den kommunala och landstingskommunala sektorn, pekade på det kommande behovet av ett tämligen omfattande författnings- arbete. 
 Utredningen föreslog vidare att två typer av sådana register som inne- håller känsliga personuppgifter skulle regleras direkt i datalagen. Behand- ling av känsliga personuppgifter för  
 forsknings- eller statistikändamål  
 och vissa typer av känsliga personuppgifter för  
 anställningsändamål  
 skulle under särskilda i lagen uppräknade fall kunna ske utan samtycke av de re- gistrerade. Den allmänna bestämmelsen om att uppgifter inte får behandlas för andra ändamål än de som ursprungligen angetts skulle gälla även på forskningsområdet. 
 En klar majoritet av  
 remissinstanserna  
 tillstyrkte förslaget att nämnda typer av behandlingar som huvudregel skulle kräva samtycke av dem vars uppgifter behandlas. Några instanser, företrädesvis inom forskningssek- torn, ansåg att förslaget skulle leda till inskränkningar i forskningsverk- samheten. Det är ofta svårt, menade man, att i förväg ange uttömmande vad uppgifterna kommer att användas till, t.ex. inom den medicinska forsk- ningen. Andra instanser menade att undantagen från huvudregeln om samtycke för behandling av personuppgifter på forskningsområdet var allt- för långtgående. När det gäller behandlingen av personuppgifter i samband med anställningsförhållanden ansåg vissa att undantag från kravet på samtycke endast skulle göras för löneberäkningar eller liknande. 
  
 2.2.5.7 
  
 Gallring av personuppgifter 
  
 Utredningen föreslog att integritetsintressena skulle beaktas i större om- fattning än tidigare i gallringssammanhang utan att det för den skull gjor- des några avsteg från offentlighetsprincipen. I en särskild bestämmelse an- gavs därför hur avvägningen skall göras mellan intresset att bevara upp- gifterna för framtiden och intresset hos den enskilde att uppgifterna gallras. 
 SOU 1997: 39 
 Datalagsutredningens förslag och utvecklingen därefter  
 99 
  
 Flera  
 remissinstanser  
 var kritiska mot den föreslagna bestämmelsen, som man ansåg vara oklar. Det måste, menade dessa instanser, klart framgå vem – Datainspektionen eller arkivmyndigheten – som har den slutliga be- stämmanderätten i fråga om gallring. 
  
 2.2.6 
  
 Bemyndigande att meddela föreskrifter 
  
 Utredningen konstaterade att datalagen även i fortsättningen måste kunna kompletteras med bestämmelser på lägre nivå. Datainspektionen kan med- dela sådana föreskrifter t.ex. i tillståndsärenden. Eftersom tillståndsförfa- randet skulle slopas, föreslog utredningen att det i stället skulle tas in en bestämmelse i datalagen, som gav regeringen möjlighet att delegera till Datainspektionen att meddela närmare föreskrifter om tillämpningen av datalagen inom olika branscher eller sektorer. En sådan bestämmelse förut- satte emellertid även en ändring i 8 kap. 7 § RF. 
 Ändringar av det slag som utredningen föreslog har införts och trätt i kraft den 1 januari 1995. 
 7 
  
 2.3 
  
 Sammanfattning av remissutfallet 
  
 Det rådde stor enighet bland remissinstanserna om att det behövs en ny datalag och att den bör vara anpassad till den internationella regleringen, bl.a. det kommande  
 EG-direktivet. 
  Huvuddelen av instanserna ansåg att en ny lag bör avvakta  
 EG-direktivet, 
  men några menade att det är så angeläget att en ny datalag kommer till stånd att man inte skall vänta på direktivet. 
 Vidare uttalade en klar majoritet av instanserna att den svenska offent- lighetsprincipen skall behållas i sin nuvarande omfattning och att – om det skulle behövas –  
 EG-direktivet 
  får stå tillbaka på den punkten. Vissa pe- kade på den intressekonflikt som kan finnas mellan offentlighet och effek- tivitet i förvaltningen å ena sidan och personlig integritet å den andra. Det rådde mellan instanserna delade meningar om vilket intresse som skall väga tyngst. Några ansåg att det borde analyseras ytterligare vilka kon- sekvenser den nya lagen skulle få för offentlighetsprincipen. 
 Huvuddelen av instanserna ansåg att det skall göras undantag från data- lagen för att skydda yttrandefriheten enligt TF och YGL. Däremot var de 
  
 7 
  
 SFS 1994:1480 och 1994:1485. 
  
 100  
 Datalagsutredningens förslag och utvecklingen därefter 
  
 SOU 1997: 39 
  
 inte överens om hur ett sådant undantag i praktiken skulle utformas. Vissa menade att utredningens förslag skulle innebära att alltför stor del av den behandling av personuppgifter som förekommer inom detta område undan- togs från lagens tillämpning. Dessa instanser ansåg att ett alltför omfattan- de undantag kan medföra intrång i den personliga integriteten. Andra me- nade att undantaget var för snävt och ansåg att den omständigheten att man reglerar användningen av datorer inte får inskränka den grundlagsfästa ytt- randefriheten. 
 Det rådde stor enighet bland remissinstanserna om att tillståndssyste- met borde avskaffas till förmån för ett renodlat tillsynsförfarande. Många påpekade att detta förutsätter klara och precisa regler i datalagen som kan förstås av var och en, och många ansåg att lagförslaget inte uppfyller detta krav. Den föreslagna lagen lämnar, enligt vissa, åt den enskilde att efter avvägningar mellan skilda intressen själv avgöra om en behandling av per- sonuppgifter är tillåten eller inte. Några instanser ansåg att en sådan regle- ring är otillfredsställande, särskilt eftersom den som inte följer bestämmel- serna kan straffas. 
 Många var kritiska till det föreslagna anmälningsförfarandet som enligt dessa instanser skulle vålla onödig och kostsam byråkrati. Datainspektio- nens verksamhet borde, enligt vissa, i stället för att betalas genom anmäl- ningsavgifter finansieras via statsbudgeten. En del uttalade också kritik mot de föreslagna bestämmelserna om information och underrättelser till de registrerade. Även dessa regler ansågs av vissa vålla alltför stora kost- nader. 
 Remissinstanserna var generellt sett positiva till en övergång från personregister till personuppgifter. Vissa menade att även manuella register bör omfattas av lagen. 
 Flera instanser ifrågasatte utredningens tolkning av bestämmelserna om ändamålsanknytning. Enligt denna skulle de ändamål för behandlingen av personuppgifter som bestämts av den persondataansvarige själv få avgöra vilka uppgifter som är offentliga. Dessa instanser ansåg att en sådan ord- ning i praktiken skulle innebära en inskränkning av offentlighetsprincipen. En sådan inskränkning välkomnades emellertid av några andra. 
 De flesta var i huvudsak positiva till förslaget att behandling av käns- liga personuppgifter författningsregleras. Det andra alternativet – att kräva samtycke i varje enskilt fall av den registrerade – avvisades. När det gällde de föreslagna reglerna om behandling av känsliga uppgifter för forsknings- eller statistikändamål rådde delade meningar. De flesta tillstyrkte förslaget att sådana behandlingar som huvudregel skulle kräva samtycke. Andra 
  
 SOU 1997: 39 
  
 Datalagsutredningens förslag och utvecklingen därefter  
 101 
  
 menade att förslaget skulle leda till inskränkningar för forskningen medan andra åter menade att undantagen för forskning var alltför långtgående. 
 Några remissinstanser var kritiska mot att förslaget inte innehöll en – som de ansåg nödvändig – kostnadsanalys. 
  
 2.4 
  
 Genomförda förändringar 
  
 2.4.1 
  
 Sammanfattning 
  
 Datalagsutredningens förslag har legat till grund för vissa ändringar i bl.a. datalagen. Genom en ändring i 8 kap. 7 § RF öppnades en möjlighet för regeringen att efter bemyndigande i lag delegera normgivningskompetens till Datainspektionen i fråga om automatisk databehandling av personupp- gifter. 
 8  
 Grundlagsändringen har följts upp med ändringar i datalagen. 
 9  
 Ändringarna trädde i kraft den 1 januari 1995. 
 I samma lagstiftningsärende vidtogs ytterligare, som det bedömdes, an- gelägna förändringar. Skyldigheten att inhämta särskilt yttrande från Data- inspektionen inför inrättande av s.k. statsmaktsregister togs bort. Datain- spektionen fick vidare möjlighet att förena föreskrifter och förbud med vite. Slutligen infördes nya regler om överklagande. Datainspektionens beslut skall inte längre överklagas till regeringen utan till allmän förvalt- ningsdomstol. Endast i de fall den registeransvarige är en myndighet skall regeringen även i fortsättningen pröva överklagandet. 
  
 2.4.2 
  
 Normgivningen på dataskyddsområdet 
  
 2.4.2.1 
  
 Bakgrund 
  
 Datalagen innehöll från början ett generellt krav på tillstånd från Datain- spektionen för alla typer av automatiskt förda personregister. Endast så- dana register som var beslutade av riksdag eller regering var undantagna från tillståndsplikten. Vissa inskränkningar i tillståndskravet genomfördes den 1 juli 1979. 
 10  
 Härigenom undantogs register som fördes med viss 
  
 8 
  
 SFS 1994:1480. 
  
 9 
  
 SFS 1994:1485. 
  
 10 
  
 SFS 1979:334. 
  
 102  
 Datalagsutredningens förslag och utvecklingen därefter 
  
 SOU 1997: 39 
  
 teknisk utrustning och där det framstod som uppenbart att otillbörligt in- trång i de registrerades personliga integritet inte skulle uppkomma (t.ex. sådan behandling som utfördes i s.k. hemdatorer). Tillståndshanteringen blev emellertid med tiden alltmer omfattande. I syfte att begränsa Datain- spektionens tillståndsverksamhet ytterligare togs det generella tillstånds- kravet bort den 1 juli 1982. 
 11  
 Endast sådana personregister som är särskilt känsliga från integritetssynpunkt har därefter varit underkastade ett till- ståndskrav. 
  
 2.4.2.2 
  
 Datainspektionens normgivning 
  
 Datainspektionen saknade tidigare formell möjlighet att meddela generella föreskrifter för behandling av personuppgifter. Föreskrifter kunde endast meddelas i varje enskilt tillståndsärende. I övrigt kunde inspektionen ge- nom sin informations- och rådgivningsverksamhet påverka de registeran- svariga. Datainspektionen hade emellertid redan under  
 1970-talet 
  börjat tillämpa ett förenklat tillståndsförfarande som i praktiken innebar att in- spektionen för vissa verksamhetsområden utfärdade generella föreskrifter. Inspektionen kunde sedan i det enskilda tillståndsärendet, genom att hän- visa till sådana föreskrifter, efter en mer summarisk kontroll låta föreskrif- terna bli gällande i det individuella fallet. Det förenklade tillståndsförfa- randet fyllde det behov som fanns av generella föreskrifter på olika områ- den. 
 Med Datalagsutredningens förslag som grund infördes den 1 januari 1995 bestämmelser i datalagstiftningen som öppnade möjlighet för Datain- spektionen att meddela generella föreskrifter för personregister som ofta förekommer inom en viss verksamhet. 
 12  
 Samtidigt infördes ett undantag från tillståndsplikten för sådana register som inrättas och förs i enlighet med sådana av Datainspektionen meddelade föreskrifter. Tanken på att in- föra krav på en speciell anmälningsskyldighet för sådana register avvisades i motiven. 
 13  
 Ändringen syftade till att minska Datainspektionens till- ståndshantering och därigenom lämna mer utrymme för tillsynsverksam- heten. 
 14 
  
 11 
  
 SFS 1982:446. 
  
 12 
  
 19 § datalagen och 14 § dataförordningen, SFS 1994:1485 respektive SFS 1994:1487. 
  
 13 
  
 Prop. 1993/94:217 s. 20 
  
 14 
  
 A. prop. s. 15 f. 
  
 SOU 1997: 39 
 Datalagsutredningens förslag och utvecklingen därefter  
 103 
  
 Datainspektionens normgivningskompetens avser endast en regelut- fyllnad av datalagens bestämmelser. Tanken är att föreskrifterna skall vara tämligen detaljerade och i sak ligga nära enskilda tillståndsbeslut. Möjlig- heten till delegerad normgivningskompetens skall inte påverka strävandena att reglera särskilt integritetskänsliga personregister genom speciella registerförfattningar, något som särskilt poängterades vid utskottsbehand- lingen. 
 15  
 Normgivningskompetensen avser vidare endast personregister som ofta förekommer inom en viss verksamhet (branscher och sektorer) och för ett visst ändamål. Normgivningsrätten innefattar inte någon rätt för Datainspektionen att utfärda generella föreskrifter om gallring av allmänna handlingar. Datainspektionens kompetens omfattar såväl privat som statlig och kommunal verksamhet. 
 16 
  
 Datainspektionen har hittills meddelat generella föreskrifter för 
  
 N  
 församlingsregister och ministerialböcker i Svenska kyrkans verksamhet (DIFS 1995:3), 
  
 N  
 vissa personregister i kommunal verksamhet (DIFS 1995:5),  
 N  
 vissa direktreklamregister (DIFS 1995:6), 
  
 N  
 vissa tillståndspliktiga personregister i försäkringsrörelse (DIFS 1996:2), 
  
 N  
 protokollsregister hos kommuner och landsting (DIFS 1996:3),  
 N  
 uppdragsregister i advokatverksamhet (DIFS 1996:5), 
  
 N  
 personregister över nämndemän, särskilda ledamöter och jurymän (DIFS 1996:6) och 
  
 N  
 domstolars personregister över tolkar (DIFS 1996:7). 
  
 2.4.3 
  
 Yttranden från Datainspektionen 
  
 Tidigare skulle yttrande inhämtas från Datainspektionen innan riksdagen eller regeringen fattade beslut om personregister (statsmaktsregister). Moore var bl.a. att otillbörlighetsbedömningen skulle ske enhetligt oavsett om det gällde ett tillståndspliktigt register eller ett register som inrättades di- rekt av statsmakterna. 
 17  
 I syfte att minska inspektionens arbetsbörda togs denna skyldighet enligt 2 a § datalagen bort den 1 januari 1995. 
 18  
 I moti- 
  
 15 
  
 KU 1994/95:10 s. 6 
  
 16 
  
 Prop. 1993/94:217 
  
 17 
  
 Prop. 1973:33 s. 120 
  
 18 
  
 Prop. 1993/94:217 s. 23 
  
 104  
 Datalagsutredningens förslag och utvecklingen därefter 
  
 SOU 1997: 39 
  
 ven uttalades att Datainspektionen ändå får tillfälle att avge synpunkter, bl.a. mot bakgrund av den skyldighet som regeringen har enligt 7 kap. 2 § RF att inhämta vissa upplysningar och yttranden från myndigheter under beredningen av regeringsärendena. Vidare anfördes att det är vanligt att in- spektionen deltar i beredningsarbetet inför inrättandet av statsmaktsregister samt att inspektionen regelmässigt är remissorgan i sådana lagstiftnings- ärenden. 
  
 2.4.4 
  
 Vite 
  
 Om förandet av ett personregister har lett till otillbörligt intrång i personlig integritet, kan Datainspektionen meddela föreskrifter för att förhindra fort- satt sådant intrång (18 § datalagen). När det gäller statsmaktsregister får sådana föreskrifter inte stå i strid med beslut av regeringen eller riksdagen. Om intrånget inte kan hindras på något annat sätt, får Datainspektionen förbjuda fortsatt förande av registret eller återkalla ett meddelat tillstånd. Detta gäller inte statsmaktsregister. För överträdelse av sådana föreskrifter eller förbud är föreskrivet straff (20 § 1 st. 2 p.). Någon möjlighet för Data- inspektionen att ingripa mot förfaranden som stred mot sådana föreläggan- den eller förbud fanns inte tidigare. Genom lagändringen infördes en möj- lighet för Datainspektionen att förena sådana med vite (18 § 3 st.). Vites- möjligheten ansågs skapa bättre förutsättningar för att sätta stopp för otill- börliga intrång i personlig integritet. 
 19  
 Enligt allmänna principer får inte samma gärning föranleda både vite och straff. En särskild erinran togs där- för in i lagen om att den som har överträtt ett vitesföreläggande inte får dömas för en gärning som omfattas av vitesföreläggandet (20 § 2 st.). 
  
 2.4.5 
  
 Överklagande 
  
 Datainspektionens beslut skall efter lagändringen överklagas till allmän förvaltningsdomstol (i praktiken länsrätten i Stockholms län) i stället för regeringen. Undantag gäller för det fallet att en statlig myndighet är regis- teransvarig. Överklagande skall då även i fortsättningen ske till regeringen. Ändringen är ett led i det arbete som sedan flera år pågår inom regerings- kansliet för att minska regeringens befattning med förvaltningsärenden. 
 20 
  
 19 
  
 Prop. 1993/94:217 s. 24 
  
 20 
  
 Prop. 1993/94:116 s. 12 
  
 SOU 1997: 39 
  
 Datalagsutredningens förslag och utvecklingen därefter  
 105 
  
 Den innebär vidare en samordning med  
 EG-direktivets 
  artikel 22 enligt vilken enskilda skall ha rätt till domstolsprövning vid brott mot de rättig- heter som tillförsäkras dem genom direktivet. 
 Enligt regeringens förslag skulle i samtliga fall överklagande ske till domstol. Regeringen angav som grundsats i det sammanhanget att över- klaganden av förvaltningsbeslut som rör en rättsfråga skall gå till domstol medan ärenden där lämplighetsbedömningar dominerar bör prövas i ad- ministrativ ordning. Vidare angav regeringen att det var en bestämd mål- sättning att myndighetsregister med känsligt innehåll skall ha stöd i för- fattning. Den politiska styrningen av utvecklingen inom området för auto- matisk databehandling skulle med andra ord uteslutande ske författnings- vägen. Eftersom utrymmet för lämplighetsbedömningar i enskilda fall på detta sätt inskränktes, borde enligt regeringen överprövningen av Datain- spektionens beslut flyttas till domstol. 
 21  
 Konstitutionsutskottet uttalade emellertid att det, särskilt på det statliga området, inte kunde uteslutas att det fortfarande kan förekomma fall där de bedömningar som måste göras rymmer politiska inslag. Som exempel nämndes ett uppmärksammat fall av samkörning av personuppgifter från vissa arbetslöshetskassor med uppgifter från allmänna försäkringskassor i syfte att upptäcka bidrags- fusk. 
 22  
 Enligt utskottets mening borde därför överklaganden av beslut som rör statliga myndigheter även i fortsättningen avgöras av regeringen. 
 23  
 Riksdagen beslutade i enlighet med utskottets förslag. 
  
 21 
  
 Prop. 1993/94:217 s. 27 
  
 22 
  
 Regeringsbeslut  
  
 1994-09-15, 
  Ju 94/3280 
  
 23 
  
 KU 1994/95:10 s. 11 
  
 SOU 1997: 39 
  
 107 
  
 3  
 EG-direktivet 
  om personuppgifter 
  
 3.1 
  
 Bakgrund 
  
 3.1.1 
  
 Inledning 
  
 Vi har enligt utredningsdirektiven till uppgift att analysera på vilket sätt Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av person- uppgifter och om det fria flödet av sådana uppgifter 
 24 
 , i det följande kallat direktivet, skall införlivas i svensk lagstiftning. Direktivet finns bifogat som bilaga 2. 
 Här skall inte lämnas någon allmän beskrivning av EU eller Sveriges åtaganden i det sammanhanget; sådana översiktliga beskrivningar finns i flera betänkanden från senare år och i diverse läroböcker och andra skrif- ter. Som en bakgrund till vår analys av innebörden av direktivet och hur det bör införlivas i svensk rätt finns det emellertid anledning att kort dels erinra om vad som gäller i fråga om genomförandet av  
 EG-direktiv 
  (avsnitt 3.1.2), dels beröra bakgrunden till det aktuella direktivet (avsnitt 3.1.3). 
  
 3.1.2 
  
 Genomförandet av  
  
 EG-direktiv 
  
 Bestämmelserna i ett  
 EG-direktiv 
  måste införlivas i varje medlemsstats rättsordning för att bli gällande rätt i den staten.  
 EG-direktivet 
  är dock för medlemsstaterna bindande i fråga om det resultat som skall uppnås, men 
  
 24  
 EGT nr L 281, 23.11.95, s. 31. 
  
 108  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 det är de nationella myndigheterna som bestämmer formen och tillväga- gångssättet för genomförandet. 
 25 
  
 Ibland kan  
 EG-direktiv 
  – särskilt på det sociala området – innehålla bara minimibestämmelser. Medlemsstaterna måste då kunna garantera att minimiskyddet enligt  
 EG-direktivet 
  alltid uppfylls, men det är tillåtet att ha längre gående nationella bestämmelser för att skydda de aktuella intresse- na. Är det inte fråga om ett sådant minimidirektiv, måste medlemsstaterna emellertid kunna garantera att varken strängare eller mildare bestämmelser gäller än vad som följer av  
 EG-direktivet. 
  En annan sak är att bestämmel- serna i ett  
 EG-direktiv 
  i sig kan tillåta medlemsstaterna ett visst spelrum vid genomförandet. 
 Det aktuella direktivet om behandling av personuppgifter är inte ett minimidirektiv. Det är alltså inte tillåtet att föreskriva – eller behålla – ett bättre eller sämre skydd för den personliga integriteten vid behandling av personuppgifter eller för det fria flödet av sådana uppgifter än vad som följer av direktivet. 
 En anknytande frågeställning är huruvida de uttryck och begrepp som används i ett  
 EG-direktiv 
  har en för hela EG gemensam innebörd eller om avsikten bara är en partiell harmonisering på det sättet att varje medlems- stat i enlighet med nationell lagstiftning och praxis får bestämma innebör- den av använda uttryck och begrepp. Om det i ett  
 EG-direktiv 
  anges att fysiska personer skall ha ett visst skydd, är det då tillåtet för varje med- lemsstat att i enlighet med nationell lagstiftning och praxis bestämma om t.ex. ofödda och avlidna skall ha det föreskrivna skyddet? 
 Även om det inte framgår uttryckligen av ett  
 EG-direktiv, 
  måste med- lemsstaterna vidta alla nödvändiga åtgärder för att kunna garantera en effektiv tillämpning av bestämmelserna i  
 EG-direktivet. 
  Medlemsstaterna måste därför föreskriva sanktioner mot dem som bryter mot det som följer av  
 EG-direktivet, 
  och dessa sanktioner måste vara effektiva, proportionella i förhållande till brottet och avskräckande. 
 26 
  
 Ett  
 EG-direktiv 
  kan, liksom varje annan rättslig text, behöva tolkas. Det är ytterst  
 EG-domstolen 
  som beslutar i fråga om tolkningen, t.ex. efter det att en nationell domstol i ett aktuellt mål har begärt ett s.k. förhandsavgö- rande om tolkningen. 
 27 
  
 25 
  
 Artikel 189 a i  
  
 EG-fördraget. 
  
 26 
  
 Detta följer av artikel 5 i  
  
 EG-fördraget 
  och av  
 EG-domstolens 
  praxis. 
  
 27 
  
 Artikel 177 i  
  
 EG-fördraget. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 109 
  
 Till ledning för tolkningen av ett  
 EG-direktiv 
  finns det inte förarbeten av det slag som vi är vana vid i Sverige. I varje  
 EG-direktiv 
  brukar det emellertid finnas en ingress i vilken det redogörs för bakgrunden till och syftet med direktivet 
 28 
 , och det finns flera exempel på att  
 EG-domstolen 
  för tolkningen har hämtat ledning från vad som anges i ingressen. 
 En tolkningsprincip som  
 EG-domstolen 
  har använt är vidare att be- stämmelser som medger avvikelser eller undantag från individuella rättig- heter skall tolkas restriktivt. 
 Ett annat problem vid tolkningen av  
 EG-direktiv 
  är att alla officiella språkversioner av direktivet har samma giltighet. 
 29  
 Det kan därför finnas anledning att jämföra flera olika språkversioner för att fastställa innebör- den. 
 Det anses vidare att de nationella domstolarna har att om möjligt tolka den nationella lagstiftningen på ett sådant sätt att den går att förena med bestämmelserna i  
 EG-direktiv. 
  
 Sverige har genom sitt medlemskap i Europeiska unionen åtagit sig att genomföra direktivet. Uppfyller en medlemsstat inte sitt åtagande att på ett riktigt och fullständigt sätt genomföra ett  
 EG-direktiv, 
  kan någon annan medlemsstat eller kommissionen föra talan om saken vid  
 EG-domstolen. 
 30 
  
 I vissa fall kan bestämmelser i ett  
 EG-direktiv 
  få genomslag på nationell nivå, trots att staten har låtit bli att i rätt tid införliva bestämmelserna i den nationella rättsordningen. Den enskilde som i förhållande till staten – eller något statsorgan – på grund av underlåtenheten inte har fått den rätt som  
 EG-direktivet 
  tillförsäkrar honom eller henne, kan då föra talan mot staten vid de nationella domstolarna (t.ex. om skadestånd för det att en myndighet på ett otillåtet sätt har behandlat personuppgifter). Det är också möjligt att staten på grund av sin underlåtenhet kan bli skadeståndsskyldig gentemot en enskild för det att denne inte har kunnat göra gällande sin rätt mot någon annan enskild (t.ex. ett privat företag som har behandlat person- uppgifterna på ett otillåtet sätt). 
 31 
  
 28 
  
 Jämför artikel 190 i  
  
 EG-fördraget. 
  
 29 
  
 Se t.ex. artikel 176 i Anslutningsfördraget för Sverige. 
  
 30 
  
 Artikel  
  
 169–171 
  i  
 EG-fördraget. 
  
 31 
  
 Det har nyligen tillsatts en utredning (Ju 1996:04) för att klarlägga hur svensk nationell skadeståndsrätt förhåller sig till  
  
 EG-rättens 
  principer om statens skade- ståndsansvar mot den som lidit skada på grund av statens överträdelse av EG- rätten, se dir. 1996:31. 
  
 110  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 3.1.3 
  
 Bakgrunden till direktivet 
  
 Direktivet har en lång förhistoria. Redan år 1990 lämnade kommissionen ett första förslag till direktiv. 
 32  
 År 1991 yttrade sig Ekonomiska och sociala kommittén över förslaget 
 33 
 , och i ett yttrande år 1992 föreslog Europaparlamentet en rad förändringar i det ursprungliga förslaget. 
 34  
 Kommissionen omarbetade därefter förslaget och avlämnade i oktober 1992 ett reviderat förslag. 
 35  
 Det reviderade förslaget, jämte kommissio- nens förklarande anmärkningar (i det följande kallade  
 kommissionens för- klaring 
 ), finns fogat till Datalagsutredningens slutbetänkande som bilaga 3. Först i februari 1995 kom rådet fram till en gemensam ståndpunkt 
 36  
 och senare samma år kunde direktivet antas. 
 I protokollet över det möte då rådet antog den gemensamma ståndpunk- ten intogs vissa förklaringar av rådet, kommissionen och olika enskilda medlemsstater. Något justerat eller på annat sätt färdigställt protokoll finns dock enligt uppgift inte hos Justitiedepartementet. Däremot finns hos de- partementet en till svenska språket översatt handling 
 37  
 som upptar de för- klaringar som skall tas in i protokollet. Handlingen har enligt beslut av Justitiedepartementet den 16 juni 1995 
 38  
 med stöd av den svenska offent- lighetsprincipen lämnats ut till en journalist i Danmark, dock att uppgifter om vilka andra medlemsstater än Sverige som avgett förklaringar strukits. Handlingen med förklaringarna kallas i det följande  
 mötesprotokollet 
 . 
 Direktivet inleds med en längre ingress omfattande 72 punkter där bak- grunden till och syftet med bestämmelserna i direktivet berörs (i det följande kallad  
 ingressen 
 ). Det fria flödet av personuppgifter inom gemen- skapen skall underlättas till gagn för den inre marknaden med fri rörlighet för varor, personer, tjänster och kapital. Detta skall ske genom att det i samtliga medlemsstater skapas en likvärdig, hög skyddsnivå när det gäller enskilda personers fri- och rättigheter, särskilt rätten till privatliv. Efter en 
  
 32 
  
 COM(90) 314 final – SYN 287 och EGT nr C 277, 5.11.1990, s. 3. 
  
 33 
  
 EGT nr C 159, 17.6.1991, s. 38. 
  
 34 
  
 EGT nr C 94, 13.4.1992, s. 198. 
  
 35 
  
 COM(92) 422 final – SYN 287 och EGT nr C 311, 27.11.1992, s. 30. 
  
 36 
  
 EGT nr C 93, 13.4.1995, s. 1. 
  
 37 
  
 Handlingen har EU:s beteckning 4730/95 ECO 20 och är daterad den 8 februari 1995. Protokollsförklaringarna översatta till danska finns intagna i Estrada, Personregistrering, 3. rev. udgave, 1996, s. 430 ff. 
  
 38 
  
 § 255, dnr Ju 95/2444. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 111 
  
 sådan tillnärmning av medlemsstaternas lagstiftning, kan staterna inte längre hindra det fria flödet av personuppgifter inom gemenskapen med hänvisning till skyddet för enskilda personers fri- och rättigheter. 
 Det betonas vidare i ingressen att medlemsstaterna kommer att få ett handlingsutrymme i samband med genomförandet av direktivet och att staterna skall sträva efter att förbättra det skydd som deras nuvarande lag- stiftning ger; tillnärmningen skall syfta till att garantera en hög skyddsnivå inom gemenskapen. Inom ramen för detta handlingsutrymme kan det alltså uppkomma skillnader vid genomförandet av direktivet. 
 Direktivets syfte kommer också till uttryck i själva direktivtexten (artikel 1). Medlemsstaterna skall i enlighet med direktivet skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter. 
 39  
 Och staterna får varken begränsa eller inskränka det fria flödet av personuppgifter mellan med- lemsstaterna av skäl som har samband med detta skydd. 
 Vad medlemsstaterna får göra är att inom de begränsningar som de materiella bestämmelserna i (kapitel II i) direktivet innebär precisera på vilka villkor behandling av personuppgifter är tillåten (artikel 5). Dessa preciseringar får dock inte hindra det fria flödet av personuppgifter inom gemenskapen. Medlemsstaterna kan närmare ange de allmänna villkoren för att tillåta behandling, liksom ange särskilda villkor för behandling inom vissa sektorer eller avseende vissa kategorier av personuppgifter. Staterna kan använda såväl generell lagstiftning som särskild lagstiftning, t.ex. avseende statistiska institut. (Se punkt 22 och 23 i ingressen, jämför punkt 68.) 
 I fråga om ingressen är det för svenskt vidkommande vidare viktigt att notera att det i punkt 72 anges att direktivet gör det möjligt att vid genom- förandet av bestämmelserna ta hänsyn till principen om allmänhetens rätt till tillgång till allmänna handlingar. 
 40 
  
 I samtliga medlemsstater torde det för närvarande pågå arbete med att se över lagstiftningen för att genomföra direktivet. Våren 1996 offentlig- 
  
 39 
  
 I  
  
 mötesprotokollet  
 har rådet och kommissionen i anslutning till artikel 1.1 konsta- terat att skyddet för grundläggande fri- och rättigheter, särskilt rätten till privatliv, innefattar skyddet av den personliga identiteten. 
  
 40 
  
 På engelska the principle of public access to official documents, på franska le principe du droit daccès du public aux documents administratifs, på tyska der Grundsatz des öffentlichen Zugangs zu amtlichen Dokumenten, på danska princippet om aktindsigt i offentlige dokumenter. 
  
 112  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 gjorde den brittiska regeringen ett remissunderlag (Consultation Paper) som bl.a. innehåller vissa tolkningar av direktivets bestämmelser. I det följande kallas denna handling  
 det brittiska remissunderlaget 
 . 
  
 3.2 
  
 Tillämpningsområdet 
  
 3.2.1 
  
 Inledning 
  
 Direktivet gäller för behandling av personuppgifter som helt eller delvis företas på automatisk väg oavsett om personuppgifterna ingår i ett register. Direktivet omfattar emellertid även icke automatisk behandling av person- uppgifter, om dessa ingår i eller är avsedda att ingå i ett register. 
 41  
 (Artikel 3.1.) Det finns definitioner i direktivet av vad som avses med behandling, personuppgifter respektive register, se avsnitt 3.2.2. 
 I  
 mötesprotokollet  
 finns i anslutning till definitionen av register (artikel 2 c) följande: Rådet och kommissionen erkänner att de dokument på papper som tryckts på faxapparat eller persondator omfattas av de regler som är tillämpliga för manuella uppgifter och att de följaktligen endast in- går i tillämpningsområdet för detta direktiv om de är avsedda för ett regis- ter. 
 Av  
 kommissionens förklaring  
 framgår att med uttryckssättet att behand- lingen skall företas  
 helt eller delvis  
 på automatisk väg avses att en behand- ling utgör en enda enhet, även om bara en del av behandlingen, såsom ett index, är datoriserad. 
  
 3.2.2 
  
 Definitioner 
  
 3.2.2.1 
  
 Inledning 
  
 I artikel 2 finns det definitioner av en rad begrepp som förekommer i di- rektivet. Dessa definitioner av centrala begrepp kan sägas avgränsa tillämpningsområdet för bestämmelserna i direktivet. 
  
 41 
  
 I den svenska språkversionen av direktivet talas det om uppgifter som  
  
 kommer att  
 ingå i ett register, medan det i den engelska språkversionen heter personal data which []  
 are intended to  
 form part of a filing system. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 113 
  
 3.2.2.2 
  
 Personuppgifter och den registrerade 
  
 Med  
 personuppgift  
 avses varje upplysning som avser en identifierad eller identifierbar fysisk person ( 
 den registrerade 
 ). En person är identifierbar om han eller hon kan identifieras direkt eller indirekt, t.ex. genom hänvis- ning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans eller hennes fysiska, fysiologiska, psykiska, ekono- miska, kulturella eller sociala identitet. 
 Av punkt 14 i  
 ingressen  
 – och artikel 33 andra stycket – framgår att bild- och ljuduppgifter som rör fysiska personer omfattas av direktivet, jämför också punkt  
 15–17 
  i ingressen. 
 Uppgifter om juridiska personer omfattas inte av direktivet. 
 42 
  
 Det verkar inte krävas att den registrerade skall vara medborgare eller bosatt i en medlemsstat. 
 Det framgår inte av direktivtexten huruvida uppgifter om personer som ännu inte är födda eller som – i enlighet med svensk lagstiftning 
 43  
 – be- traktas som döda omfattas. I  
 mötesprotokollet  
 har emellertid rådet och kommissionen bekräftat att medlemsstaterna får bestämma om och i vilken utsträckning direktivet kan tillämpas på avlidna personer. 
 44 
  
 I punkt 26 i  
 ingressen  
 betonas att man, för att avgöra om en person är identifierbar, skall beakta alla hjälpmedel som kan komma att användas för att identifiera personen. Däremot gäller inte direktivet för uppgifter som har gjorts anonyma på ett sådant sätt att personen inte längre är identifier- bar. Uppförandekodexar kan användas för att ge vägledning om hur upp- gifter kan göras anonyma och behållas i en form som gör det omöjligt att identifiera personen. 
 I  
 kommissionens förklaring  
 anges som exempel på direkt identifiering att personen kan identifieras genom namnet. Indirekt identifiering kan vara när personen kan identifieras genom ett telefonnummer, ett bilregistre- ringsnummer, ett socialförsäkringsnummer eller ett passnummer. Ett annat exempel är när identifieringen av en person sker genom en kombination av särskiljande kriterier (ålder, yrke, bostadsort etc.), vilka gör att personen kan kännas igen genom att den grupp han eller hon tillhör omfattar färre och färre andra personer. Det framgår vidare av kommissionens förklaring 
  
 42 
  
 Jämför punkt 24 i  
  
 ingressen 
 . 
  
 43 
  
 Jämför lagen (1987:269) om kriterier för bestämmande av människans död och bestämmelserna om dödförklaring i 25 kap. ärvdabalken. 
  
 44 
  
 Se också punkt 2.2 i  
 det brittiska remissunderlaget 
 . 
  
 114  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 att frågan om en person är identifierbar är oberoende av kostnaden för att fastställa personens identitet. Definitionen omfattar även uppgifter om ut- seende, röst, fingeravtryck och genetiska karakteristika. 
 I artikel 6.1 e finns bestämmelser om att personuppgifter skall förvaras på ett sätt som förhindrar identifiering under en längre tid än vad som är nödvändigt (se avsnitt 3.4.6). Och i artikel 8.7 finns bestämmelser rörande identifikationsnummer, dvs. personnummer (se avsnitt 3.6.4). 
  
 3.2.2.3 
  
 Behandling 
  
 Begreppet  
 behandling av personuppgifter  
 omfattar varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, oavsett om det sker på automatisk väg eller inte. Till exempel omfattas 
  
 N  
 insamling,  
 N  
 registrering,  
 N  
 organisering,  
 N  
 lagring, 
  
 N  
 bearbetning eller ändring,  
 N  
 återvinning, 
  
 N  
 inhämtande,  
 N  
 användning, 
  
 N  
 utlämnande genom översändande, spridning eller annat tillhandahållan- de av uppgifter, 
  
 N  
 sammanställning eller samkörning,  
 N  
 blockering och 
  
 N  
 utplåning eller förstöring. 
 Det bör här erinras om att direktivet gäller för helt icke automatisk be- handling av personuppgifter bara om dessa ingår i eller är avsedda att ingå i ett register (artikel 3.1, se avsnitt 3.2.1). 
  
 3.2.2.4 
  
 Register 
  
 Med  
 register med personuppgifter  
 avses varje strukturerad samling av per- sonuppgifter som är tillgänglig enligt särskilda kriterier. Det måste alltså vara fråga om en samling av personuppgifter, men det saknar betydelse om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. Samlingen måste vidare vara strukturerad, och personuppgifterna måste vara tillgängliga enligt särskilda kriterier. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 115 
  
 I punkt 27 i  
 ingressen  
 framhålls att innehållet i ett register måste vara strukturerat enligt särskilda kriterier, som avser enskilda personer, för att lätt ge tillgång till personuppgifterna. De olika kriterier som gör det möjligt att fastställa de enskilda delarna av en strukturerad samling person- uppgifter kan, liksom de olika kriterier som gör det möjligt att få tillgång till en sådan samling, utformas av varje medlemsstat. Akter eller grupper av akter liksom deras omslag, vilka inte är strukturerade enligt särskilda kriterier, faller inte under några omständigheter inom direktivets tillämp- ningsområde. 
  
 3.2.2.5 
  
 Registeransvarig 
  
 Med  
 registeransvarig  
 avses den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personupp- gifter. Den registeransvarige kan vara en fysisk eller juridisk person, en myndighet, en institution eller något annat organ. 
 I punkt 47 i  
 ingressen  
 berörs den situationen att ett meddelande som innehåller personuppgifter överförs genom förmedling av en organisation för telekommunikation eller elektronisk post, vars enda ändamål är att överföra sådana meddelanden. I sådana fall blir det normalt den från vilken meddelandet härrör – och inte den som tillhandahåller överföringstjänsten 
 – som anses som registeransvarige i förhållande till de personuppgifter som meddelandet innehåller. Den som tillhandahåller överföringstjänsten blir däremot normalt att anse som registeransvarig i förhållande till be- handlingen av de ytterligare personuppgifter som behövs för att kunna ut- föra tjänsten. 
 I artikel 18.2 andra strecksatsen – och i artikel 20.2 – finns det be- stämmelser om  
 uppgiftsskyddsombud  
 som den registeransvarige utser (se avsnitt 3.13.3.3). I artikel 2 e finns det en definition av sådana  
 registerfö- rare  
 som behandlar personuppgifter för den registeransvariges räkning (se avsnitt 3.2.2.6). Vidare finns det i artikel 4.2 bestämmelser som innebär att den registeransvarige i vissa fall måste utse en företrädare (se avsnitt 3.2.5). Också i artikel 10 och 11 talas det om  
 den registeransvariges före- trädare  
 (se avsnitt 3.9), liksom i artikel 18.1 (se avsnitt 3.13.2). I artikel 8.3 berörs det fallet att en person som är ålagd tystnadsplikt, t.ex. inom hälso- och sjukvården, behandlar känsliga personuppgifter (se avsnitt 3.6.2.7). 
  
 116  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 3.2.2.6 
  
 Registerförare 
  
 Med  
 registerförare  
 avses den som behandlar personuppgifter för den re- gisteransvariges räkning. Den registeransvarige kan vara en fysisk eller ju- ridisk person, en myndighet, en institution eller något annat organ. 
 I artikel  
 17.2–4 
  finns det bestämmelser rörande förhållandet mellan den registeransvarige och registerföraren och om det avtal som måste finnas mellan dem (se avsnitt 3.12). 
  
 3.2.2.7 
  
 Tredje man 
  
 Med  
 tredje man  
 avses någon annan än den registrerade, den registeransva- rige, registerföraren och de personer som under den registeransvariges eller registerförarens direkta ansvar har befogenhet att behandla uppgifterna. En fysisk eller juridisk person, en myndighet, en institution eller något annat organ kan vara tredje man. 
 I  
 kommissionens förklaring  
 framhålls att den som arbetar för en annan organisation normalt är tredje man, även om organisationen tillhör samma företagsgrupp eller koncern. Å andra sidan kan ett lokalkontor hos en bank som behandlar kundkonton under huvudkontorets direkta ansvar inte anses som tredje man. Detsamma gäller anställda i ett försäkringsbolag. När det i stället gäller försäkringsmäklare kan deras ställning variera från fall till fall. 
  
 3.2.2.8 
  
 Mottagare 
  
 Med  
 mottagare  
 avses den till vilken uppgifterna lämnas ut oavsett om han eller hon är tredje man eller inte. Mottagaren kan vara en fysisk eller juri- disk person, en myndighet, en institution eller något annat organ. Myndig- heter som kan komma att ta emot uppgifter inom ramen för ett särskilt upp- drag 
 45  
 skall dock inte betraktas som mottagare. 
  
 3.2.2.9 
  
 Samtycke 
  
 Med  
 den registrerades samtycke  
 avses varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom eller henne. 
  
 45 
  
 På engelska particular inquiry, på franska une mission Berg, på tyska ein einzeln Untersuchungsauftrag. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 117 
  
 I artikel 7 a (förutsättningar för att behandling av uppgifter skall vara tillåten) och artikel 26.1 a (överförande av uppgifter till tredje land) talas det om att den registrerade otvetydigt har lämnat sitt samtycke, och i arti- kel 8.2 a (förutsättningar för att behandling av känsliga uppgifter skall vara tillåten) talas det om att den registrerade har lämnat sitt uttryckliga sam- tycke. 
 I  
 kommissionens förklaring  
 till det reviderade direktivförslaget, som på denna punkt hade en något annan utformning än det antagna direktivet, an- ges att viljeyttringen kan vara muntlig eller skriftlig. Samtycket måste vara frivilligt i sådana fall där påtryckningar kan påverka den registrerade, t.ex. i en  
 arbetsgivar–arbetstagarrelation. 
  Samtycket måste vidare vara informe- rat så att den registrerade kan värdera för- och nackdelarna med att person- uppgifter som rör honom eller henne behandlas och så att han eller hon kan utöva de rättigheter som direktivet ger honom eller henne. Den register- ansvarige måste förse den registrerade med den information han eller hon behöver. Samtycket måste också vara särskilt 
 46 
 , vilket innebär att det måste avse en viss behandling som rör den registrerade och som utförs av en viss registeransvarig för vissa ändamål. 
 I artikel 10 finns det bestämmelser om information som skall lämnas till den registrerade när personuppgifter samlas in från honom eller henne (se avsnitt 3.9). Och i artikel 14 finns det bestämmelser om den registrera- des rätt att motsätta sig viss behandling av personuppgifter (se avsnitt 3.7). 
 Punkt 70 i  
 ingressen  
 berör det fallet att ett avtal har slutits på grundval av ett frivilligt och informerat samtycke innan bestämmelserna i direktivet träder i kraft. Om en fortsatt behandling av känsliga uppgifter är nödvändig för att genomföra det avtalet, behöver den registrerade inte på nytt lämna sitt samtycke till denna behandling. 
  
 46  
 På engelska specific, på franska spécifique, på tyska für den konkreten Fall. 
  
 118  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 3.2.3 
  
 Sådant som faller utanför gemenskapsrätten 
  
 Direktivet gäller inte för sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten. Som exempel anges sådan verksamhet som avses i avdelning V och VI i För- draget om Europeiska unionen. 
 47  
 Det anges vidare uttryckligen att direkti- vet inte under några omständigheter omfattar behandlingar som rör 
  
 a) 
  
 allmän säkerhet, 
  
 b) 
  
 försvar, 
  
 c) 
  
 statens säkerhet (inbegripet statens ekonomiska välstånd när behand- lingen har samband med frågor om statens säkerhet), och 
  
 d) 
  
 statens verksamhet på straffrättens område. 
  
 48  
 (Artikel 3.2 första streck- satsen.) 
 I punkt 16 i  
 ingressen  
 pekas det särskilt på att behandling av ljud- och bilduppgifter, t.ex. i samband med videoövervakning, inte omfattas av di- rektivet om behandlingen utförs för att tillgodose den allmänna säkerheten, försvaret, statens säkerhet eller någon annan statens verksamhet på straffrättens område, jämför också punkt 13. 
 I  
 kommissionens förklaring  
 anges säkerhetstjänst 
 49  
 som exempel på en aktivitet som faller utanför tillämpningsområdet. 
  
 3.2.4 
  
 Privat användning av personuppgifter 
  
 Direktivet gäller inte för sådan behandling av personuppgifter som en fy- sisk person bedriver som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll 
 50  
 (artikel 3.2 andra streck- satsen). 
 Av  
 mötesprotokollet  
 framgår att rådet och kommissionen anser att det inte är tillåtet att med hänvisning till den bestämmelsen undanta behand- 
  
 47 
  
 Dessa avdelningar i fördraget innehåller bestämmelser om en gemensam utrikes- och säkerhetspolitik respektive bestämmelser om samarbete i rättsliga och inrikes frågor. 
  
 48 
  
 Punkten 21 i  
  
 ingressen  
 innehåller en erinran om att direktivet inte påverkar de territorialitetsregler som gäller på straffrättens område. 
  
 49 
  
 På engelska secret services. 
  
 50 
  
 På engelska a purely personal or household activity, på franska dactivités exclusivement personelles ou domestiques, på tyska Ausübung ausschließlich persönlicher oder familieärer Tätigkeiten. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 119 
  
 ling av personuppgifter som utförs av en enskild person när dessa uppgifter förmedlas inte bara till en eller flera personer utan till ett obestämt antal personer. 
 I punkt 12 i  
 ingressen  
 framhålls att en fysisk persons behandling av uppgifter uteslutande för personliga ändamål eller för hemmabruk 
 51 
 , så- som korrespondens eller förandet av adressregister, inte omfattas av direk- tivet. 
 I  
 kommissionens förklaring  
 ges som exempel förandet av en elektronisk dagbok. 
 Utöver undantagen för sådant som inte omfattas av gemenskapsrätten och privat användning av personuppgifter finns det inte några tillåtna ge- nerella undantag från direktivets tillämpning. Medlemsstaterna skall dock besluta om för yttrandefriheten nödvändiga undantag och avvikelser be- träffande behandling som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande (artikel 9, se avsnitt 3.3). I enlighet med vad som anges i artikel 13 är det också möjligt för medlemsstaterna att genom lagstiftning göra nödvändiga undantag och begränsningar i fråga om vissa bestämmelser i direktivet av hänsyn till statens säkerhet eller all- män säkerhet m.m. (se avsnitt 3.11). I det följande kommer att framgå att medlemsstaterna även i övrigt kan, under närmare angivna förutsättningar, besluta om vissa avvikelser m.m. från en del av bestämmelserna i direkti- vet. 
  
 3.2.5 
  
 Det territoriella tillämpningsområdet 
  
 I punkt 18 i  
 ingressen  
 framhålls att varje behandling av personuppgifter inom gemenskapen skall ske i enlighet med lagstiftningen i en av med- lemsstaterna. Behandling som utförs på uppdrag av en registeransvarig som är etablerad i en medlemsstat skall regleras av den statens lagstiftning (tydligen även om själva behandlingen sker utanför gemenskapen). I punkt 19 i ingressen framhålls vidare att verksamhetens juridiska form inte har någon avgörande betydelse vid bedömningen av om en registeransvarig är etablerad i en viss stat; det kan vara fråga om såväl en filial som ett dotter- bolag som är en juridisk person. Om en enda registeransvarig är etablerad i flera medlemsstater, t.ex. genom dotterbolag, måste han eller hon se till att 
  
 51 
  
 På engelska activities which are exclusively personal or domestic, på franska dactivités exclusivement personelles ou domestiques, på tyska Ausübung ausschließlich persönlicher oder familieärer Tätigkeiten. 
  
 120  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 varje verksamhet uppfyller bestämmelserna i den tillämpliga nationella lagstiftningen. 
 Punkten 21 i  
 ingressen  
 innehåller en erinran om att direktivet inte på- verkar de territorialitetsregler som gäller på straffrättens område. 
 I själva direktivet finns i artikel 4 följande bestämmelser. 
 52 
  
 En medlemsstat skall tillämpa de nationella bestämmelser som antas för att genomföra direktivet när behandlingen av personuppgifter utförs som ett led i aktiviteter av en  
 registeransvarig som är etablerad inom statens territorium 
 . Om en registeransvarig är etablerad 
 53  
 inom flera medlemssta- ters territorier, skall han eller hon vidta nödvändiga åtgärder för att säkerställa att alla verksamheter 
 54  
 uppfyller kraven enligt den tillämpliga nationella lagstiftningen. (Artikel 4.1 a.) 
 En medlemsstat skall också tillämpa sina nationella bestämmelser när den registeransvarige inte är  
 etablerad  
 inom någon medlemsstats territo- rium utan  
 på en plats där statens lagstiftning gäller på grund av folkrätten 
  
 (artikel 4.1 b). 
 Om en registeransvarig som inte är etablerad på gemenskapens territo- rium  
 använder utrustning  
 – automatiserad eller annan –  
 som befinner sig på en medlemsstats territorium 
 , skall den statens nationella bestämmelser tillämpas, och den registeransvarige måste då utse en  
 företrädare  
 för sig som är etablerad inom statens territorium. Detta gäller dock inte om ut- rustningen bara används för att låta uppgifter passera genom gemenskapen. (Artikel 4.1 c och 4.2, jämför punkt 20 i ingressen.) 
 I  
 kommissionens förklaring  
 anges terminaler och frågeformulär som exempel på utrustning eller hjälpmedel. 
 55 
  
 I artikel  
 10–11 
  och 18 finns det bestämmelser som ålägger den regis- teransvariges företrädare skyldighet att informera den registrerade respek- tive att göra anmälan till tillsynsmyndigheten (se avsnitt 3.9 och 3.13.2). 
  
 52 
  
 Referatet av artikel 4 har, liksom referatet av innehållet i punkt  
  
 18–19 
  i  
 ingressen 
 , utformats med beaktande av flera språkversioner av direktivet, eftersom den svenska språkversionen kan betraktas som något tvetydig i vissa avseenden. 
  
 53 
  
 På engelska established, på franska établi. 
  
 54 
  
 På engelska each of these establishments, på franska chacun de ses établissements. 
  
 55 
  
 I kommissionens reviderade förslag till direktiv används den engelska termen means. I det antagna direktivet används i stället på engelska termen equipment (på franska moyens, på tyska Mittel), men i punkt 20 i  
  
 ingressen  
 finns termen means fortfarande kvar. 
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 121 
  
 Tillsynsmyndigheten i en stat skall ha behörighet att utöva sina befo- genheter inom den statens territorium oavsett vilken nationell lagstiftning som gäller för den aktuella behandlingen (artikel 28.6, se avsnitt 3.17). 
  
 3.3 
  
 Förhållandet till yttrandefriheten 
  
 Medlemsstaterna skall besluta om undantag och avvikelser från de flesta materiella bestämmelser i direktivet 
 56  
 för behandling av personuppgifter som sker uteslutande för 
  
 N  
 journalistiska ändamål, 
  
 N  
 konstnärligt skapande eller  
 N  
 litterärt skapande. 
 Sådana undantag och avvikelser får dock beslutas bara om de är nödvän- diga för att förena rätten till privatlivet med reglerna om yttrandefriheten. (Artikel 9.) 
 Sverige har i  
 mötesprotokollet  
 fått infört: Sverige anser att begreppet konstnärliga och litterära uttryck mer syftar på uttrycksmedlen än kommu- nikationens innehåll eller dess kvalitet. En annan medlemsstat har vidare i protokollet förklarat sin avsikt att använda undantagen i artikel 9 för all den verksamhet inom den audiovisuella sektorn som omfattas av direkti- vet. 
 I punkt 37 i  
 ingressen  
 hänvisas i fråga om yttrandefriheten till den rätt att ta emot och lämna upplysningar som slås fast i artikel 10 i den europe- iska konventionen om skydd för de mänskliga rättigheterna och de grund- läggande friheterna. Det betonas att den avvägning mellan rätten till privat- livet och yttrandefriheten som medlemsstaterna skall göra inte får leda till beslut om undantag från åtgärder som vidtas för att säkerställa behandling- ens säkerhet. Tillsynsmyndigheten bör utrustas med i vart fall vissa befo- genheter som kan utövas efter behandlingens genomförande, exempelvis befogenhet att med jämna mellanrum offentliggöra en rapport eller att överlämna ärenden till rättsliga myndigheter. I fråga om konstnärligt och 
  
 56 
  
 Undantag och avvikelser får göras från de materiella bestämmelserna om behand- ling av personuppgifter (kapitel II), om överföring till tredje land (kapitel IV) och om tillsynsmyndighetens befogenheter (kapitel VI). Från bestämmelserna i kapitel I (allmänna bestämmelser), kapitel III (rättslig prövning, ansvar och sanktioner), kapitel V (uppförandekodex) och kapitel VII (gemenskapens åtgärder för genom- förandet) får däremot avvikelser eller undantag inte göras. 
  
 122  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 litterärt skapande hänvisas särskilt till det audiovisuella området (se också punkt 17 i ingressen). 
 I  
 kommissionens förklaring  
 anges som exempel på faktorer som kan beak- tas vid den intresseavvägning som skall ske 
  
 N  
 möjligheten till rättslig prövning eller rätten till replik,  
 N  
 förekomsten av en uppförandekodex, 
  
 N  
 de gränser som läggs fast i den europeiska människorättskonventionen och 
  
 N  
 allmänna rättsprinciper. 
 I kommissionens reviderade direktivförslag avsågs uttrycket journalister inkludera såväl fotojournalister som skribenter, såsom biografer (levnads- tecknare). 
 Den brittiska regeringen anser, enligt  
 det brittiska remissunderlaget  
 (punkt 4.19), att det står klart att ett generellt undantag för pressen inte är förenligt med direktivet. 
 Genom artikel 13.1 tillåts medlemsstaterna att göra nödvändiga avvi- kelser från vissa bestämmelser i direktivet med hänsyn till skyddet för den registrerades eller andras fri- och rättigheter (se avsnitt 3.11). 
  
 3.4 
  
 Grundläggande krav på uppgiftsbehandlingen 
  
 3.4.1 
  
 Inledning 
  
 I artikel 6.1 finns det – under rubriken Principer om uppgifternas kvalitet – vissa grundläggande krav som måste vara uppfyllda för att behandling av personuppgifter skall kunna tillåtas. Det åligger den registeransvarige att säkerställa att kraven efterlevs (artikel 6.2). Medlemsstaterna skall inom de begränsningar som bl.a. bestämmelserna i artikel 6 innebär närmare preci- sera på vilka villkor uppgiftsbehandling är tillåten (artikel 5). 
 I artikel 13.1 finns det bestämmelser som gör det möjligt att av hänsyn till vissa intressen föreskriva nödvändiga undantag från vad som följer av artikel 6.1 (se avsnitt 3.11). 
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 123 
  
 3.4.2 
  
 Korrekt och laglig behandling 
  
 Personuppgifter skall behandlas på ett korrekt och lagligt sätt. 
 57 
  
 I punkt 38 i  
 ingressen  
 anges att en  
 korrekt  
 behandling förutsätter att de registrerade får kännedom om behandlingen och att de – när uppgifterna samlas in hos dem – kan få korrekt och fullständig information med hänsyn till de närmare omständigheterna vid insamlingen (se artikel 10 och avsnitt 3.9). 
 I artikel 7 – se avsnitt 3.5 – anges det kriterier för när en behandling av personuppgifter kan anses  
 laglig  
 (se också punkt 30 och 31 i ingressen). 
 Enligt  
 kommissionens förklaring  
 innebär kravet på korrekt och laglig behandling att man inte får använda dolda anordningar för att i hemlighet samla in uppgifter utan att den registrerade känner till det, t.ex. telefonav- lyssning och liknande. Kravet på korrekt och laglig behandling förhindrar också att de registeransvariga utvecklar och använder hemliga eller ljus- skygga behandlingsmetoder för personuppgifter. 
  
 3.4.3 
  
 Ändamålet med behandlingen 
  
 Personuppgifter skall samlas in för särskilda, uttryckligt angivna ändamål. Uppgifterna får inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Under förutsättning att medlemsstaterna beslutar om lämp- liga skyddsåtgärder skall dock  
 senare behandling av uppgifter för histo- riska, statistiska eller vetenskapliga ändamål  
 inte anses oförenlig med de ursprungliga ändamålen. 
 Av punkt 28 i  
 ingressen  
 framgår att ändamålen med behandlingen skall vara bestämda redan när uppgifterna samlas in och att sådana ändamål som läggs fast först därefter inte får vara oförenliga med de ändamål som ur- sprungligen angavs. I punkt 29 i ingressen anges att de skyddsåtgärder som staterna beslutar om när det gäller senare behandling för historiska, statis- tiska eller vetenskapliga ändamål särskilt skall hindra att uppgifterna an- vänds för att vidta åtgärder mot en viss person eller för att fatta ett beslut som rör honom eller henne. 
 Av  
 kommissionens förklaring  
 framgår att kravet att insamlingen skall ske för ett  
 särskilt  
 ändamål innebär att avsikten med insamlandet och an- 
  
 57 
  
 På engelska fairly and lawfully, på franska loyalement et licitement, på tyska nach Treu und Diaz und auf rechtsmäßige Lynch. 
  
 124  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 vändningen av personuppgifterna skall definieras på ett så precist sätt som möjligt. En generell eller vag definition eller beskrivning av ändamålet med behandlingen – såsom för kommersiella ändamål – uppfyller inte kravet. Det framhålls vidare att den registeransvarige är skyldig att be- stämma ändamålet för lagring av personuppgifterna. 
 I artikel  
 10–11 
  finns det bestämmelser om att den registrerade skall in- formeras om ändamålen med behandlingen (se avsnitt 3.9). 
  
 3.4.4 
  
 Personuppgifterna skall vara adekvata, relevanta och inte för omfattande 
  
 Personuppgifterna skall vara adekvata och relevanta och de får inte omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka upp- gifterna har samlats in eller 
 58  
 för vilka de senare behandlas. 
 Av  
 kommissionens förklaring  
 framgår att denna bestämmelse innebär att uppgifternas beskaffenhet måste korrespondera med det mål man vill uppnå med behandlingen. 
  
 3.4.5 
  
 Personuppgifterna skall vara riktiga och aktuella 
  
 Personuppgifterna skall vara riktiga och de skall också, om det är nödvän- digt, vara aktuella. Alla rimliga åtgärder måste vidtas för att säkerställa att sådana personuppgifter, som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlats in eller för vilka de senare behandlas, utplånas eller rättas. 
 I artikel 12 b finns det bestämmelser om att den registrerade har rätt att få felaktiga och ofullständiga uppgifter rättade, utplånade eller blockerade (se avsnitt 3.10.3). I artikel 17 finns det bestämmelser om säkerheten vid behandling av personuppgifter (se avsnitt 3.12). I artikel 28.3 första stycket andra strecksatsen finns det bestämmelser om att tillsynsmyndigheten skall ha befogenhet att besluta om bl.a. blockering, utplåning eller förstöring av uppgifter (se avsnitt 3.17). 
  
 58 
  
 I den svenska språkversionen används här och, medan den engelska och den tyska versionen använder and/or respektive und/oder. I den franska versionen används et. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 125 
  
 3.4.6 
  
 Personuppgifterna får inte förvaras längre än nödvändigt 
  
 Personuppgifter skall förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ända- mål för vilka uppgifterna samlats in eller för vilka de senare behandlas. Medlemsstaterna skall vidta lämpliga skyddsåtgärder för sådana person- uppgifter som lagras under längre perioder för historiska, statistiska eller vetenskapliga ändamål. 
 Personuppgifter, dvs. upplysningar om en identifierbar fysisk person, får alltså lagras bara så länge det är nödvändigt med hänsyn till ändamålen med behandlingen, inklusive historiska, statistiska eller vetenskapliga än- damål. Därefter måste uppgifterna avidentifieras (eller förstöras). 
 Av  
 kommissionens förklaring  
 framgår att medlemsstaterna genom skyddsåtgärder för sådana personuppgifter som lagras under längre perio- der för historiska, statistiska eller vetenskapliga ändamål kan förena – på den ena sidan – principen om att behandlingen skall ha ett lagligt ändamål och anspråket på att ens förflutna någon gång skall vara glömt med – på den andra sidan – de krav som forskningen ställer. 
 I artikel 17 finns det bestämmelser om säkerheten vid behandling av personuppgifter (se avsnitt 3.12). 
  
 3.5 
  
 Förutsättningar för att uppgiftsbehandling skall kunna tillåtas 
  
 3.5.1 
  
 Inledning 
  
 I artikel 7 anges det – under rubriken Principer som gör att uppgiftsbe- handling kan tillåtas – att medlemsstaterna skall föreskriva att personupp- gifter får behandlas bara i de sex fall som räknas upp i artikeln; uppgiftsbe- handling i andra fall är inte laglig. Medlemsstaterna skall inom de begräns- ningar som bl.a. bestämmelserna i artikel 7 innebär närmare precisera på vilka villkor uppgiftsbehandling är tillåten (artikel 5). 
 I artikel 8 finns det bestämmelser om att behandling av vissa särskilt känsliga uppgifter är förbjuden (se avsnitt 3.6). 
  
 126  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 3.5.2 
  
 Samtycke 
  
 Behandling av personuppgifter är tillåten om den registrerade otvetydigt har lämnat sitt samtycke. 
 Av artikel 2 h framgår att med samtycke avses varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom eller henne (se avsnitt 3.2.2.9). 
  
 3.5.3 
  
 I samband med avtal 
  
 Personuppgifter får behandlas om det är nödvändigt för att fullgöra ett av- tal i vilket den registrerade är part. Sådan behandling får också ske om det är nödvändigt för att – på begäran av den registrerade – vidta åtgärder innan ett avtal 
 59  
 ingås. 
  
 3.5.4 
  
 Rättslig förpliktelse 
  
 Det är tillåtet att behandla personuppgifter om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse 
 60  
 som åvilar den registeransvarige. 
 I kommissionens reviderade direktivförslag innebar bestämmelsen att uppgiftsbehandling var tillåten om den var nödvändig för att fullgöra en skyldighet som ålagts i nationell rätt eller i gemenskapsrätten. 
 61 
  
 Att bestämmelsen omfattar t.ex. sådan uppgiftsbehandling som är nöd- vändig för att företag skall kunna fullgöra sina skyldigheter i fråga om skattelagstiftningen eller arbetsrätten torde vara klart. Det är mera osäkert om bestämmelsen också omfattar sådan uppgiftsbehandling som är nöd- 
  
 59 
  
 I den svenska språkversionen talas det om ett sådant avtal, dvs. ett avtal i vilket den registrerade, dvs. en fysisk person, är part. Motsvarande bestämning av avtalet finns inte i den engelska, den franska eller den tyska språkversionen, vilket kan ha betydelse när en registrerad som företräder en juridisk person begär åtgärder innan avtal ingås med den juridiska personen. 
  
 60 
  
 På engelska legal obligation, på franska obligation légale, på tyska rechtliche Verplichtung. 
  
 61 
  
 På engelska processing is necessary in order to comply with an obligation im- posed by national law or by Community law. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 127 
  
 vändig för att fullgöra en rättslig förpliktelse enligt ett avtal som den regis- teransvarige frivilligt har ingått med någon annan än den registrerade. 
 62 
  
 3.5.5 
  
 För att skydda vitala intressen 
  
 Behandling av personuppgifter får tillåtas om behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den regist- rerade. 
 I den engelska språkversionen talas det om vital interests. 
 63  
 Ordet vital har flera betydelser i engelskan och kan betyda såväl det som den svenska språkversionen anger som något som är livsviktigt. 
 64  
 Och i punkt 31 i  
 ingressen  
 talas det just om att uppgiftsbehandlingen sker för att skydda ett intresse som är av avgörande betydelse för den registrerades liv. Också i  
 kommissionens förklaring  
 talas det om den situationen att den re- gistrerade har ett vitalt intresse att få sina uppgifter behandlade, men inte kan lämna sitt samtycke, t.ex. när det är fråga om ett allvarligt medicinskt fall. 
 65 
  
 Det kan noteras att det är bara vitala intressen för den registrerade – och inte t.ex. sådana intressen hos hans eller hennes minderåriga barn – som kan göra uppgiftsbehandlingen tillåten enligt denna bestämmelse. 
 66  
 I artikel 8.2 c finns det däremot bestämmelser om att behandling av särskilt känsliga uppgifter kan tillåtas också om den är nödvändig för att skydda någon annans vitala intressen (se avsnitt 3.6.2.3); uppgiftsbehandling måste då i sig vara tillåten enligt någon annan punkt i artikel 7, t.ex. enligt punkt e eller f (se avsnitt 3.5.6 och 3.5.7). 
  
 62 
  
 Uppgiftsbehandling för att fullgöra ett avtal med den registrerade omfattas av en annan bestämmelse (artikel 7 b), se avsnitt 3.5.3. 
  
 63 
  
 På franska intérêt vital, på tyska lebenswichtige Interessen 
  
 64 
  
 Se punkt 3.9 i  
 det brittiska remissunderlaget 
 . 
  
 65 
  
 Barron anser att direktivet lämnar öppet om det finns andra vitala intressen än liv och hälsa som kan få skyddas enligt denna bestämmelse, se EG och behandling av personuppgifter, 1993, s. 17. 
  
 66 
  
 Jämför också artikel 26.1 e beträffande överföring av personuppgifter utanför ge- menskapen. 
  
 128  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 3.5.6 
  
 Myndighetsutövning eller allmänt intresse 
  
 Behandling av personuppgifter är tillåten om den är nödvändig för att ut- föra en arbetsuppgift som är antingen 
  
 N  
 av allmänt intresse  
 eller 
  
 N  
 ett led i myndighetsutövning som utförs av den registeransvarige eller den tredje man till vilken uppgifterna har lämnats ut. 
 I punkt 32 i  
 ingressen  
 anges att det ankommer på den nationella lagstift- ningen att avgöra om den registeransvarige som utför en behandling i all- mänt intresse eller som ett led i myndighetsutövning skall vara en myndig- het eller något annat offentligrättsligt eller civilrättsligt subjekt, t.ex. en yr- kesorganisation. 
 67  
 I artikel 8.5 finns det däremot bestämmelser om att be- handling av personuppgifter om brott m.m. i vissa situationer måste utföras i vart fall under myndighetskontroll (se avsnitt 3.6.3). 
  
 3.5.7 
  
 Efter en intresseavvägning 
  
 Det är slutligen möjligt att tillåta behandling av personuppgifter efter en intresseavvägning. Behandlingen måste då vara nödvändig för ändamål som rör berättigade intressen hos den registeransvarige – eller hos den eller de tredje män till vilka uppgifterna har lämnats ut – och dessa intressen får inte uppvägas av den registrerades intressen eller sådana grundläggande fri- och rättigheter för honom eller henne som skall skyddas av direktivet (enligt artikel 1.1). 
 68 
  
 I punkt 30 i  
 ingressen  
 framhålls det att medlemsstaterna – för att garan- tera en jämvikt mellan berörda intressen och för att samtidigt säkerställa en 
  
 67 
  
 Enligt punkt 30 i  
  
 ingressen  
 i den svenska språkversionen skulle behandlingen vara tillåten om den fordras  
 enligt lagstiftning  
 vid utförandet av något som är i det allmännas intresse eller är ett led i myndighetsutövning. I de engelska, franska och tyska språkversionerna finns det inget motsvarande krav på lagstiftning vid allmänt intresse eller myndighetsutövning. Möjligen är det fråga om ett skrivfel i den svenska versionen; betydelsen blir en annan om ordet eller sätts in efter or- det lagstiftning, vilket är fallet i de engelska och franska versionerna. 
  
 68 
  
 I den engelska språkversionen talas det bara om den registrerades intresse av att få åtnjuta fri- och rättigheter (interests for fundamental rights and freedoms of the data subject), medan det i den franska och tyska språkversionen talas om det- samma som i den svenska, dvs. den registrerades intressen  
  
 eller  
 fri- och rättighe- ter. Det kan möjligen vara fråga om ett skrivfel i den engelska versionen; betydel- sen blir en annan om ordet for byts ut mot or. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 129 
  
 effektiv konkurrens – får närmare ange på vilka villkor användning och utlämnande till tredje man av personuppgifter får äga rum inom ramen för tillåtna aktiviteter som utövas av företag och andra organ i deras löpande verksamhet. Staterna får även närmare ange på vilka villkor personuppgif- ter får vidarebefordras till tredje man i marknadsföringssyfte. Detta gäller oavsett om vidarebefordrandet sker kommersiellt eller av välgörenhetsor- ganisationer, föreningar eller stiftelser, t.ex. av politisk karaktär. En förut- sättning är dock att de regler iakttas som har till syfte att ge den registre- rade möjlighet att invända mot att uppgifter som rör honom eller henne behandlas (se artikel 14 1 st. b och avsnitt 3.7.3). 
 Av punkt 30 i ingressen framgår vidare att det kan vara fråga om berättigade intressen hos såväl en juridisk som en fysisk person. 
 69 
  
 3.6 
  
 Behandling av särskilt känsliga uppgifter 
  
 3.6.1 
  
 Ett principiellt förbud mot behandling av uppgifter om ras eller etniskt ursprung, religiösa, filosofiska eller politiska åsikter, fackföreningsmedlemskap, hälsa och sexualliv 
  
 I artikel 8 föreskrivs att medlemsstaterna skall förbjuda behandling av per- sonuppgifter som avslöjar 
  
 N  
 ras eller etniskt ursprung,  
 N  
 politiska åsikter, 
  
 N  
 religiös eller filosofisk övertygelse eller  
 N  
 medlemskap i fackförening 
 eller som rör  
 N  
 hälsa eller  
 N  
 sexualliv. 
 70 
  
 I  
 kommissionens förklaring  
 anges att information om hudfärg innefattas i bestämmelsen om ras eller etniskt ursprung. När det gäller religiös eller filosofisk övertygelse omfattas en uppgift om att någon inte har någon reli- 
  
 69 
  
 Detta framgår också av punkt 45 i ingressen i den engelska språkversionen. 
  
 70 
  
 I den svenska, den franska och den danska språkversionen anges hälsa  
  
 och  
 sexual- liv, medan det i den engelska och tyska språkversionen talas om hälsa  
 eller  
 sexual- liv. 
  
 130  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 giös tro, liksom information om aktiviteter som hör samman med en sådan övertygelse. I fråga om uppgifter som rör hälsa omfattas uppgifter om den registrerades tidigare, nuvarande och framtida fysiska och psykiska hälsa samt uppgifter om missbruk av droger eller alkohol. 
 Av  
 mötesprotokollet  
 framgår att rådet och kommissionen anser att med- lemsstaterna får, i enlighet med artikel 5, precisera de kategorier av käns- liga uppgifter som anges i artikel 8.1 med hänsyn till landets juridiska och sociologiska särdrag, t.ex. vad beträffar uppgifter som rör genetisk identi- tet, partipolitisk tillhörighet, fysisk hälsa, personliga övertygelser eller va- nor, osv. 
  
 3.6.2 
  
 Undantag från förbudet 
  
 3.6.2.1 
  
 Samtycke 
  
 Förbudet mot behandling av känsliga personuppgifter gäller inte om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen. I med- lemsstaternas lagstiftning kan det dock anges att förbudet mot behandling av känsliga personuppgifter inte kan upphävas ens med den registrerades samtycke. 
  
 3.6.2.2 
  
 Inom arbetsrätten 
  
 Känsliga personuppgifter får behandlas när behandlingen är nödvändig för att fullgöra de skyldigheter och särskilda rättigheter som åligger den regis- teransvarige inom arbetsrätten. 
 71  
 Detta gäller i den omfattning behand- lingen är tillåten enligt nationell lagstiftning där lämpliga skyddsåtgärder föreskrivs. 
 Av  
 mötesprotokollet  
 framgår att rådet och kommissionen anser att varje överenskommelse mellan arbetsmarknadens parter omfattas här. 
  
 3.6.2.3 
  
 För att skydda vitala intressen 
  
 Det är tillåtet att behandla känsliga personuppgifter om behandlingen är nödvändig för att skydda den registrerades eller någon annan persons 
  
 71 
  
 På engelska in the field of employment law, på franska en matière de droit du travail, på tyska auf dem Gebit des Arbeitsrechts. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 131 
  
 grundläggande intressen (vital interests) när den registrerade är fysiskt eller rättsligt förhindrad att lämna sitt samtycke. 
 Se rörande uttrycket grundläggande intressen (vital interests) avsnitt 3.5.5 ovan. 
  
 3.6.2.4 
  
 Politiska, filosofiska, religiösa och fackliga organisationer 
  
 Känsliga personuppgifter får behandlas om behandlingen utförs inom ra- men för berättigad verksamhet hos ett icke vinstdrivande organ – t.ex. en stiftelse eller en förening – som har ett syfte som är 
  
 N  
 politiskt,  
 N  
 filosofiskt, 
  
 N  
 religiöst eller  
 N  
 fackligt. 
 För att sådan behandling skall vara tillåten förutsätts dock 
  
 N  
  
 att  
 uppgifterna inte lämnas ut till tredje man utan den registrerades sam- tycke  
 och 
  
 N  
  
 att  
 behandlingen endast rör 
  
 sådana organs medlemmar  
  
 eller 
  
 personer som på grund av organets ändamål har regelbunden kon- takt med detta. 
  
 För sådan behandling som nu avses är det möjligt att föreskriva undantag från eller förenklingar av den anmälningsprocedur som annars skall iakttas innan en behandling genomförs (artikel 18.4, se avsnitt 3.13.3.5). 
  
 3.6.2.5 
  
 Den registrerades offentliggörande 
  
 Det är tillåtet att behandla känsliga personuppgifter som på ett tydligt sätt offentliggörs av den registrerade. 
 Ett exempel här skulle kunna vara uppgifter om politiska förhållanden som rör politiska representanter, t.ex. riksdagsledamöters partitillhörighet och åsikter som förts fram i riksdagen. 
  
 3.6.2.6 
  
 Nödvändig med hänsyn till rättsliga anspråk 
  
 Behandling av känsliga uppgifter får ske när behandlingen är nödvändig för att kunna fastslå, göra gällande eller försvara rättsliga anspråk. 
 En medlemsstat har i  
 mötesprotokollet  
 anfört att den utgår från att den princip som här slås fast också omfattar motsvarande användning av upp- 
  
 132  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 gifter i förfaranden inför andra statliga organ i den utsträckning som dessa förfaranden föregår förfaranden inför domstol. 
  
 3.6.2.7 
  
 Hälso- och sjukvård 
  
 Förbudet mot behandling av känsliga uppgifter gäller inte när behand- lingen är nödvändig med hänsyn till 
  
 N  
 förebyggande hälso- och sjukvård,  
 N  
 medicinska diagnoser, 
  
 N  
 vård eller behandling eller 
  
 N  
 administration av hälso- eller sjukvård. 
 Förbudet gäller inte heller när sådana uppgifter behandlas antingen 
  
 N  
 av någon som är yrkesmässigt verksam på hälso- och sjukvårdsområdet och som är underkastad tystnadsplikt 
 72  
 enligt nationell lagstiftning eller bestämmelser som har antagits av behöriga nationella organ  
 eller 
  
 N  
 av någon annan person som är underkastad en liknande tystnadsplikt 
 73 
 . 
 Det verkar inte krävas att behandlingen är nödvändig för något visst ända- mål, t.ex. inom hälso- och sjukvårdsområdet, i det fallet att den utförs av någon som är underkastad tystnadsplikt; däremot måste behandlingen gi- vetvis falla under någon av de grundläggande förutsättningar som gör att behandlingen över huvud taget kan tillåtas (se artikel 7 och avsnitt 3.5). 
 Det verkar vidare inte krävas att den person med tystnadsplikt som be- handlar de känsliga personuppgifterna skall vara registeransvarig (eller re- gisterförare) eller ens att han eller hon är yrkesmässigt verksam på hälso- och sjukvårdsområdet. 
  
 3.6.2.8 
  
 Viktigt allmänt intresse 
  
 Medlemsstaterna får i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndigheten göra även andra undantag än de som tidigare nämnts från förbudet mot behandling av känsliga personuppgifter. Detta får dock bara göras av hänsyn till ett viktigt allmänt intresse, och det är en ytterli- 
  
 72 
  
 På engelska subject to [] the obligation of professional secrecy, på franska secret professionel, på tyska Berufsgeheimnis. 
  
 73 
  
 På engelska equivalent obligation of secrecy, på franska obligation de secret équivalente, på tyska entsprechenden Evans. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 133 
  
 gare förutsättning att det finns lämpliga skyddsåtgärder. Sådana undantag som görs med stöd av denna bestämmelse skall anmälas till kommissionen. 
 I punkt 34 i  
 ingressen  
 anges följande. När det av hänsyn till viktiga all- männa intressen är nödvändigt måste medlemsstaterna kunna avvika från förbudet mot att behandla känsliga kategorier av uppgifter på vissa områ- den. Som exempel på områden och fall där avvikelser kan ske nämns 
  
 N  
 folkhälsa, 
  
 N  
 socialskydd, särskilt för att säkerställa kvalitet och lönsamhet i samband med ansökningar om förmåner och tjänster inom sjukförsäkringssyste- met, 
  
 N  
 i samband med vetenskaplig forskning och  
 N  
 i samband med offentlig statistik. 
 Det betonas att det dock åligger medlemsstaterna att sörja för att det finns lämpliga och konkreta garantier för att skydda enskilda personers grund- läggande rättigheter och privatliv. 
 I punkt 35 i ingressen klargörs att myndigheters behandling av person- uppgifter för officiellt erkända religiösa sammanslutningars räkning för att uppfylla målsättningar som uttrycks i grundlagen eller folkrätten utförs för att tillgodose viktiga allmänna intressen. Punkt 36 i ingressen behandlar det fallet att de politiska partierna i vissa medlemsstater samlar in uppgifter om enskilda personers politiska uppfattning i samband med att allmänna val hålls. Om det är nödvändigt för att det demokratiska systemet skall fungera, får behandling av sådana uppgifter tillåtas av hänsyn till viktiga allmänna intressen under förutsättning att lämpliga garantier föreskrivs. 
 Av  
 kommissionens förklaring  
 framgår att undantag skulle kunna göras för internationella människorättsorganisationer som behöver känsliga per- sonuppgifter för sitt arbete, förutsatt att dessa kan erbjuda lämpliga skyddsåtgärder. 
 Av artikel 28.2 följer att medlemsstaterna skall se till att tillsynsmyn- digheten hörs när författningar om undantag utarbetas. 
  
 134  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 3.6.3 
  
 Uppgifter om brott m.m. 
  
 Det finns inte något principiellt förbud mot att behandla personuppgifter om brott eller liknande. Men i artikel 8.5 finns det särskilda regler rörande behandling av uppgifter om 
  
 N  
 lagöverträdelser, 
  
 N  
 brottmålsdomar eller  
 N  
 säkerhetsåtgärder. 
 74 
  
 Behandling av sådana uppgifter får utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de avvikelser som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåt- gärder. Ett fullständigt register över brottmålsdomar får dock föras endast under kontroll av en myndighet. 
 Det är tillåtet för medlemsstaterna att föreskriva att uppgifter som rör administrativa sanktioner och avgöranden i tvistemål också skall behandlas under kontroll av en myndighet. 
 I artikel 8.6 finns det en bestämmelse om att de avvikelser från artikel 8.1 som har tillåtits i enlighet med artikel 8.5 skall anmälas till kommissionen. Eftersom behandling av de uppgifter om brott m.m. som avses i artikel 8.5 inte i sig verkar omfattas av förbudet i artikel 8.1, är det svårt att säga vilken räckvidd denna anmälningsskyldighet har. 
  
 3.6.4 
  
 Användning av personnummer 
  
 Enligt artikel 8.7 skall medlemsstaterna bestämma på vilka villkor ett na- tionellt identifikationsnummer eller något annat vedertaget sätt för identifi- ering får behandlas. 
  
 74 
  
 På engelska offences, criminal convictions or security measures, på franska aux infractions, aux condamnations pénales ou Freeman, på tyska Straftaten, strafrechtliche Verurteilungen oder Sicherungsmassregeln. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 135 
  
 3.7 
  
 Rätten att motsätta sig uppgiftsbehandling 
  
 3.7.1 
  
 Inledning 
  
 I artikel 14 finns det – under rubriken Den registrerades rätt att göra in- vändningar – bestämmelser om att medlemsstaterna skall tillförsäkra den registrerade rätt att motsätta sig att personuppgifter om honom eller henne behandlas. Det gäller i vissa fall när den registrerade har avgörande och berättigade skäl (artikel 14 1 st. a och avsnitt 3.7.2) och i samband med be- handling som rör direkt marknadsföring (artikel 14 1 st. b och avsnitt 3.7.3). Medlemsstaterna skall vidare vidta nödvändiga åtgärder för att säkerställa att de registrerade känner till sina rättigheter i samband med be- handling som rör direkt marknadsföring (artikel 14 2 st.). 
  
 3.7.2 
  
 I vissa fall vid avgörande och berättigade skäl 
  
 Den registrerade skall ha rätt att motsätta sig behandling av uppgifter som rör honom eller henne, om han eller hon har avgörande och berättigade skäl 
 75  
 som rör hans eller hennes personliga situation. Detta skall gälla åt- minstone i de fall som avses i artikel 7 e och f (se avsnitt 3.5.6 och 3.5.7), dvs. vid uppgiftsbehandling i allmänt intresse eller i samband med myn- dighetsutövning och vid sådan uppgiftsbehandling som är tillåten efter en intresseavvägning. Men det är tillåtet att i den nationella lagstiftningen föreskriva något annat, dvs. att den registrerade inte har någon sådan rätt att motsätta sig uppgiftsbehandling. När den registrerades invändning är berättigad 
 76 
 , får en behandling som har påbörjats av den registeransvarige inte längre avse uppgifter som rör den registrerade. 
 Av  
 det brittiska remissunderlaget  
 framgår att det – under förhandling- arna om direktivet – som exempel på giltigt skäl att motsätta sig behand- ling av personuppgifter angavs det fallet att uppgifterna, även om de be- handlades i enlighet med bestämmelserna i direktivet, förmodligen skulle i praktiken komma att falla i händerna på någon som den registrerade kände. 
  
 75 
  
 På engelska compelling legitimate grounds, på franska raisons prépondérantes et légitimes, på tyska überwiegende, schutzwürdige [] Hays. 
  
 76 
  
 På engelska justified objection, på franska opposition justifiée, på tyska berechtigte Widerspruch. 
  
 136  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 3.7.3 
  
 Direkt marknadsföring 
  
 Den registrerade skall ha rätt 
  
 att  
 efter anmodan och utan kostnader motsätta sig behandling av sådana personuppgifter som rör honom eller henne och som den registeran- svarige bedömer kan komma att behandlas för ändamål som rör direkt marknadsföring 
 eller 
  
 att  
 få bli informerad innan personuppgifter för första gången lämnas ut till tredje man eller används för tredje mans räkning för ändamål som rör direkt marknadsföring 
 och 
  
 att  
 uttryckligen få ett erbjudande om att utan kostnad motsätta sig ett sådant utlämnande eller sådan användning. 
 I punkt 30 i  
 ingressen  
 talas det om kommersiell eller annan marknadsfö- ring, se närmare under avsnitt 3.5.7. Av punkt 71 i ingressen framgår det att direktivet inte hindrar en medlemsstat från att anta bestämmelser om sådan marknadsföring som riktar sig till konsumenter som har hemvist inom dess territorium, förutsatt att dessa bestämmelser inte rör skyddet av enskilda personer med avseende på behandling av personuppgifter. 
  
 3.8 
  
 Rätten att slippa automatiserade beslut 
  
 Artikel 15 behandlar beslut som har rättsliga följder för en person eller som märkbart påverkar honom eller henne. Varje person skall ha rätt att inte bli föremål för ett sådant beslut som enbart grundas på automatisk da- tabehandling av uppgifter som är avsedda att bedöma vissa personliga egenskaper hos honom eller henne, t.ex. hans eller hennes arbetsprestatio- ner, kreditvärdighet, pålitlighet eller uppträdande. (Artikel 15.1.) 
 Om inte något annat följer av övriga bestämmelser i direktivet, skall medlemsstaterna dock föreskriva att en person får bli föremål för ett sådant beslut i två fall (artikel 15.2). 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 137 
  
 Det första fallet  
 avser den situationen att beslutet fattas som ett led i ingå- endet eller fullgörandet av ett avtal. Som förutsättning gäller emellertid här antingen 
  
 att  
 den registrerades begäran om ingående eller fullgörande av avtalet har bifallits 
 eller 
  
 att  
 det vidtas lämpliga åtgärder för att skydda hans eller hennes berätti- gade intressen, exempelvis en möjlighet för honom eller henne att göra sin uppfattning gällande. (Artikel 15.2 a.) 
  
 Det andra fallet  
 är när beslutet har tillåtits i en lagstiftning som innehåller bestämmelser till skydd för den registrerades berättigade intressen. 
 I  
 kommissionens förklaring  
 framhålls att det skall vara fråga om ett be- slut som grundar sig  
 enbart  
 på automatisk databehandling. Det som är förbjudet är att slaviskt följa det resultat som har producerats av ett system för automatisk databehandling. Den automatiska databehandlingen kan vara ett stöd vid beslutsfattandet, men behandlingen får inte utgöra slutre- sultatet utan det måste finnas utrymme för en mänsklig bedömning. Det skulle t.ex. strida mot denna princip, anför kommissionen,  
 att  
 en arbetsgi- vare avvisar en arbetssökande bara på grund av dennes resultat vid en da- torbaserad psykologisk utvärdering  
 eller att  
 använda sådan programvara för utvärdering för att ta fram en lista där jobbsökande betygsätts och rangordnas enbart på grund av ett personlighetstest. 
 När det gäller undantaget i samband med avtal framhåller kommissio- nen att medlemsstaterna kan precisera vilka lämpliga åtgärder som kan vidtas för att skydda den registrerades intressen. Sådana skyddsåtgärder kan vara föreskrivna i lag, framgå av den underrättelseprocedur som skall tillämpas eller framgå av de interna åtgärder som har vidtagits inom den registeransvariges organisation. 
 I artikel 12 a tredje strecksatsen finns det en bestämmelse om att den registrerade har rätt att få kännedom om den logik som används vid auto- matiserade beslut (se avsnitt 3.10.2). 
  
 3.9 
  
 Information till den registrerade 
  
 I artikel  
 10–11 
  anges att medlemsstaterna skall föreskriva att den register- ansvarige – eller dennes företrädare – skall lämna den registrerade viss in- formation. 
  
 138  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 Skyldigheten att lämna information gäller inte i de fall den registrerade redan känner till uppgifterna. 
 I artikel 13.1 finns det bestämmelser som gör det möjligt att av hänsyn till vissa intressen föreskriva nödvändiga undantag från vad som följer av artikel 10 och 11.1 (se avsnitt 3.11). 
 När uppgifter om en viss person samlas in från den berörde själv, skall den berörde i vart fall få information om 
  
 a) 
  
 den registeransvariges – och dennes eventuella företrädares – identitet, 
  
 b) 
  
 ändamålen med den behandling för vilka uppgifterna är avsedda, och 
  
 c) 
  
 all ytterligare information i den utsträckning informationen – med hän- syn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling. 
  
 Som exempel på information enligt punkt c anges 
  
 N  
 mottagarna eller de kategorier som mottar uppgifterna, 
  
 N  
 huruvida det är obligatoriskt eller frivilligt att besvara frågorna samt eventuella följder av att inte svara och 
  
 N  
 förekomsten av rättigheter att få tillgång till och att få rättelse av upp- gifter. 
 Om uppgifterna inte har samlats in från den registrerade, skall information lämnas vid tiden för registrering av personuppgifter eller, om ett utläm- nande till tredje man kan förutses, inte senare än vid den tidpunkt då upp- gifterna först lämnas ut. Informationen skall åtminstone omfatta det som anges i punkt  
 a–c 
  ovan. Som exempel på information som i detta fall skall lämnas enligt punkt c anges, i stället för upplysning om det är frivilligt att svara, uppgift om de kategorier av uppgifter som behandlingen gäller. 
 Vad som nu sagts för det fallet att uppgifterna inte har samlats in från den registrerade skall dock inte gälla 
  
 när det – särskilt i samband med behandling för statistiska ändamål eller historiska eller vetenskapliga forskningsändamål – visar sig omöj- ligt eller skulle innebära en oproportionerligt stor ansträngning att lämna information 
  
 eller 
  när utlämnande uttryckligen föreskrivs i författning. 
 I sådana undantagsfall skall medlemsstaterna emellertid föreskriva lämp- liga skyddsåtgärder. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 139 
  
 I punkt 40 i  
 ingressen  
 anges att man vid bedömningen av om ett informa- tionslämnande skulle innebära en oproportionerligt stor ansträngning kan beakta 
  
 N  
 antalet registrerade,  
 N  
 uppgifternas ålder och 
  
 N  
 de kompensatoriska åtgärder som kan vidtas. 
 Av  
 mötesprotokollet  
 framgår att rådet och kommissionen anser att man vid denna bedömning måste ta i beaktande vikten av det allmänna intresse för vilket uppgifterna behandlas. 
 I  
 kommissionens förklaring  
 anges att frågan om hur informationsläm- nandet skall gå till i praktiken får bero på de särskilda omständigheter un- der vilka informationen samlas in från de registrerade. 
  
 3.10 
  
 Rätten att på begäran få tillgång till uppgifterna och rättelse 
  
 3.10.1 
  
 Inledning 
  
 I artikel 12 finns det bestämmelser om att medlemsstaterna skall säkerställa att varje registrerad har vissa rättigheter gentemot den registeransvarige. Det gäller rätt till information rörande de uppgifter som behandlas, rätt att få felaktiga eller ofullständiga uppgifter rättade m.m. För den händelse uppgifterna rättats m.m. är den registeransvarige skyldig att underrätta de tredje män som redan har fått uppgifterna om den rättelse som har skett. 
 Från bestämmelserna i artikel 12 är det möjligt att göra vissa särskilda undantag rörande vetenskaplig forskning och statistikproduktion (artikel 13.2). I artikel 13.1 finns det vidare generella bestämmelser som gör det möjligt att av hänsyn till vissa intressen föreskriva nödvändiga undantag från vad som följer av artikel 12 (se avsnitt 3.11). 
  
 140  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 3.10.2 
  
 Information om uppgifterna 
  
 Den registrerade skall ha rätt att från den registeransvarige få viss informa- tion om uppgifterna. Den registrerade skall ha rätt att få informationen utan hinder och med rimliga intervall samt utan större tidsutdräkt eller kostna- der. Den registrerade har rätt till följande information. 
  
 N  
 Bekräftelse på om uppgifter som rör den registrerade behandlas eller inte. 
  
 N  
 Information om åtminstone 
  
 ändamålen med behandlingen, 
  
 de berörda uppgiftskategorierna och 
  
 mottagarna eller de kategorier av mottagare till vilka uppgifterna utlämnas. 
  
 N  
 Begriplig information om vilka uppgifter som behandlas. 
  
 N  
 All tillgänglig information om varifrån de behandlade uppgifterna kommer. 
  
 N  
 Kännedom om den logik som används när uppgifter som rör den regist- rerade behandlas på automatisk väg, åtminstone såvitt avser sådana au- tomatiserade beslut som avses i artikel 15.1 (se avsnitt 3.8). 
 I punkt 41 i  
 ingressen  
 framhålls det att rätten att få kännedom om den lo- gik som används vid automatisk uppgiftsbehandling inte får negativt på- verka affärshemligheter eller upphovsrätten, särskilt den upphovsrätt som skyddar programvaran. Detta bör dock inte få medföra att den registrerade nekas all information. 
 I  
 kommissionens förklaring  
 anges att det har överlämnats till med- lemsstaterna att precisera hur informationen skall lämnas till den registre- rade, t.ex. för att garantera att informationen lämnas till rätt person eller för att underlätta för såväl den registeransvarige som den registrerade när flera uppgiftsbehandlingar berörs, särskilt när det gäller manuella register. Ge- nom den nationella lagstiftningen får också den närmare innebörden av rimliga intervall bestämmas. I den nationella lagstiftningen får det vidare 
 – med beaktande av såväl den registrerades som den registeransvariges in- tresse – finnas bestämmelser om att den registeransvarige har rätt att ta betalt av en registrerad som utnyttjar rätten att få information, men avgiften får inte överstiga den verkliga kostnaden; avgiften får inte vara större 
 77 
 . 
  
 77  
 På engelska excessive, på franska excessif, på tyska übermässig. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 141 
  
 3.10.3 
  
 Rättelse 
  
 Den registrerade skall – i förekommande fall – ha rätt att få sådana uppgif- ter som inte har behandlats i enlighet med bestämmelserna i direktivet 
  
 N  
 rättade, 
  
 N  
 utplånade  
 eller  
  
 N  
 blockerade. 
 Detta skall gälla särskilt om uppgifterna är ofullständiga eller felaktiga. Av  
 kommissionens förklaring  
 verkar framgå att med  
 blockering  
 avses 
 att den registeransvarige får fortsätta att lagra uppgifterna, men inte på annat sätt behandla eller använda dem, t.ex. lämna ut dem till tredje man. Uppgifterna måste markeras så att användarna får kännedom om att dessa är blockerade. Det verkar också framgå att avsikten med att använda ett uttryck som  
 i förekommande fall  
 har varit att överlåta till medlemsstaterna att närmare bestämma hur den registrerades rätt till rättelse, utplånande eller blockering skall användas i de olika situationer där uppgifter kan ha behandlats eller använts i strid med bestämmelserna i direktivet. 
 I artikel 6.1 d finns bestämmelser om att alla rimliga åtgärder måste vidtas för att säkerställa att sådana personuppgifter, som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlats in eller för vilka de senare behandlas, utplånas eller rättas, se avsnitt 3.4.5. 
  
 3.10.4 
  
 Underrättelse till tredje man om rättelse 
  
 När en registeransvarig har utfört rättelse, utplåning eller blockering av uppgifter i enlighet med vad som anges i närmast föregående avsnitt, har den registrerade rätt att få genomfört att de tredje män till vilka uppgifterna har lämnats ut underrättas om åtgärden. Detta gäller dock inte om en un- derrättelse är omöjlig eller skulle innebära en oproportionerligt stor an- strängning. 
  
 3.10.5 
  
 Undantag 
  
 I sådana fall där det uppenbarligen inte finns någon risk för att den berörda personens privatliv kränks – i synnerhet när uppgifterna inte används för åtgärder eller beslut som avser särskilda personer – får medlemsstaterna (enligt artikel 13.2), under förutsättning av lämpliga rättsliga garantier, ge- nom lagstiftning begränsa de rättigheter i fråga om information om upp- 
  
 142  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 gifterna, rättelse och underrättelse till tredje man som anges i artikel 12. Detta gäller dock bara 
  
 när uppgifterna endast behandlas för ändamål som har med vetenskap- lig forskning att göra 
  
 eller 
  
 när uppgifterna endast lagras i form av personuppgifter under en be- gränsad tid som inte överstiger den tid som är nödvändig för att fram- ställa statistik. 
  
 I artikel 28.4 andra stycket finns det en bestämmelse om att var och en kan 
 – i samband med tillämpningen av de nationella undantagsbestämmelser som har antagits med stöd av artikel 13 – hos tillsynsmyndigheten begära att få kontrollera om en behandling är tillåten. Av artikel 28.2 följer att medlemsstaterna skall se till att tillsynsmyndigheten hörs när författningar om undantag utarbetas. 
  
 3.11 
  
 Möjlighet till undantag och begränsningar 
  
 I artikel 13.1 finns det bestämmelser om att medlemsstaterna får genom lagstiftning begränsa omfattningen av vissa skyldigheter och rättigheter som följer av direktivet. Det gäller de skyldigheter och rättigheter som an- ges i artikel 6.1, 10, 11.1, 12 och 21, dvs. 
  
 N  
 de grundläggande kraven på uppgiftsbehandlingen (artikel 6.1, se avsnitt 3.4), 
  
 N  
 skyldigheten att informera den registrerade (artikel 10 och 11.1, se av- snitt 3.9), 
  
 N  
 rätten att på begäran få tillgång till uppgifterna och rättelse (artikel 12, se avsnitt 3.10) och 
  
 N  
 reglerna om ett offentligt register över anmälda behandlingar och skyl- digheten att hålla information om andra behandlingar tillgänglig (artikel 21, se avsnitt 3.13.5). 
 En sådan begränsning måste vidare vara en nödvändig åtgärd med hänsyn till 
  
 a) 
  
 statens säkerhet, 
  
 b) 
  
 försvaret, 
  
 c) 
  
 allmän säkerhet, 
  
 d) 
  
 förebyggande, undersökning eller avslöjande av brott, 
  
 e) 
  
 åtal för brott, 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 143 
  
 f) 
  
 förebyggande, undersökning eller avslöjande av överträdelser av etiska regler som gäller för lagreglerade yrken, 
  
 g) 
  
 ett viktigt ekonomiskt eller finansiellt intresse hos en medlemsstat eller hos Europeiska unionen (här inkluderas monetära frågor, budgetfrågor och skattefrågor), 
  
 h) 
  
 en  
  
 tillsyns-, 
  inspektions- eller regleringsfunktion som – även om den är av övergående karaktär – är förbunden med myndighetsutövning i de fall som nämnts under c, d, e, f och g,  
 eller 
  
 i) 
  
 skydd av den registrerades eller andras fri- och rättigheter. 
  
 Av  
 mötesprotokollet  
 framgår att rådet och kommissionen anser att sådana rättigheter som att utföra behandling av personuppgifter inte avses med hänvisningen till andras fri- och rättigheter i punkten i ovan. 
 I punkt 44 i  
 ingressen  
 framhålls att medlemsstaterna för att uppfylla vissa av målsättningarna kan tvingas att avvika från vissa bestämmelser i direktivet på grund av bestämmelser i gemenskapsrätten. Som exempel på en begränsning med hänsyn till intresset hos den registrerade eller andras fri- och rättigheter (punkt i ovan) anges – i punkt 42 i ingressen – att det kan beslutas att den registrerade har rätt att få tillgång till uppgifter av medicinsk art bara genom förmedling av någon som är yrkesmässigt verk- sam inom hälso- och sjukvården. 
 I  
 kommissionens förklaring  
 anges bestämmelser om övervakning av banker och om penningtvätt som exempel på fall då medlemsstaterna på grund av gemenskapsrätten kan vara tvungna att föreskriva begränsningar. Begreppet  
 statens säkerhet  
 omfattar skydd av den nationella suveräniteten mot såväl interna som externa hot. Bestämmelsen om  
 ekonomiska eller fi- nansiella intressen  
 hänför sig till alla åtgärder inom den ekonomiska poli- tiken och åtgärder för att finansiera medlemsstaternas eller den Europeiska unionens politik, såsom kontroll vid valutaväxling, kontroll av utrikeshan- del och uppbörd av skatt. När det gäller  
 skyddet av fri- och rättigheter  
 talas det om företagshemligheter, reglerna om den sekretess under vilken advo- kater och utövare av sjukvård arbetar, rätten att förbereda sig inför en rätte- gång samt mänskliga rättigheter. Det talas vidare om begränsningar av rätten till tillgång till uppgifter som människorättsorganisationer innehar i de fall där en obegränsad tillgång skulle kunna utsätta andra för fara – t.ex. de personer som i förtroende har lämnat uppgifterna – eller riskera de över- ordnade intressen som finns hos sådana organisationer. 
 I artikel 28.4 andra stycket finns det en bestämmelse om att var och en kan – i samband med tillämpningen av de nationella undantagsbestämmel- ser som har antagits med stöd av artikel 13 – hos tillsynsmyndigheten be- 
  
 144  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 gära att få kontrollera om en behandling är tillåten (se avsnitt 3.17). I arti- kel 9 finns det bestämmelser om förhållandet till yttrandefriheten (se av- snitt 3.3), och artikel 13.2 innehåller särskilda bestämmelser om undantag från rätten att på begäran få tillgång till uppgifterna och rättelse (se avsnitt 3.10.5). 
 Av artikel 28.2 följer att medlemsstaterna skall se till att tillsynsmyn- digheten hörs när författningar om undantag utarbetas. 
  
 3.12 
  
 Sekretess och säkerhet vid behandlingen 
  
 I artikel 16 finns det – under rubriken Sekretess vid behandling – en be- stämmelse om att registerföraren eller den som utför arbete under den re- gisteransvarige eller registerföraren och som får tillgång till personuppgif- ter får behandla dessa bara enligt instruktion från den registeransvarige. Uppgifterna får dock behandlas även utan instruktion från den registeran- svarige, om det enligt lag finns en skyldighet att göra det. 
 I  
 kommissionens förklaring  
 anges förundersökning (criminal investi- gation) som exempel på när det kan finnas en skyldighet enligt lag att be- handla personuppgifter. 
 I artikel 28.7 finns det bestämmelser om tystnadsplikt för tillsynsmyn- dighetens ledamöter och personal. 
 Artikel 17.1 innehåller bestämmelser om säkerheten vid behandling av per- sonuppgifter. Medlemsstaterna skall föreskriva att den registeransvarige skall genomföra lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter mot varje slag av otillåten behandling. Personupp- gifter skall dessutom skyddas i följande hänseenden. 
  
 N  
 Skydd mot förstöring av uppgifter genom olyckshändelse eller genom otillåtna åtgärder. 
  
 N  
 Skydd mot förlust av uppgifter genom olyckshändelse.  
 N  
 Skydd mot ändringar av uppgifter. 
  
 N  
 Skydd mot otillåten spridning av uppgifter. 
  
 N  
 Skydd mot otillåten tillgång till uppgifter, särskilt när behandlingen innefattar överföring av uppgifter i ett nätverk. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 145 
  
 De säkerhetsåtgärder som skall genomföras skall – med beaktande av den nuvarande tekniska nivån 
 78  
 och de kostnader som är förenade med åtgär- dernas genomförande – åstadkomma en lämplig säkerhetsnivå i förhållande till de risker som är förknippade med behandlingen och arten av de upp- gifter som skall skyddas. 
 I punkt 46 i  
 ingressen  
 framhålls att skyddet för de registrerades fri- och rättigheter, såvitt avser behandling av personuppgifter, förutsätter att lämp- liga tekniska och organisatoriska åtgärder vidtas både när systemet utfor- mas och när själva behandlingen sker, särskilt för att garantera säkerheten för att på så sätt hindra all otillåten behandling. 
 I artikel  
 17.2–4 
  finns det bestämmelser som rör relationen mellan den registeransvarige och registerföraren. 
 Medlemsstaterna skall föreskriva att den registeransvarige, när be- handling utförs för dennes räkning, skall  
 dels  
 välja en registerförare som kan ge tillräckliga garantier vad gäller de tekniska säkerhetsåtgärder och organisatoriska åtgärder som måste vidtas,  
 dels  
 se till att dessa åtgärder vidtas. 
 När uppgifter behandlas av en registerförare skall hanteringen regleras ge- nom ett avtal eller genom en annan rättsligt bindande handling 
 79  
 mellan registerföraren och den registeransvarige. Genom handlingen skall särskilt föreskrivas 
  
 N  
 att registerföraren bara får handla på instruktioner från den registeran- svarige och 
  
 N  
 att de skyldigheter i fråga om säkerhet som anges i artikel 17.1, såsom de definieras i lagstiftningen i den medlemsstat i vilken registerföraren är etablerad 
 80 
 , även skall åvila registerföraren. 
 Av direktivtexten framgår inte direkt huruvida vad som nu sagts skulle kunna föreskrivas genom en lagstiftningsåtgärd, t.ex. i en registerförfatt- 
  
 78 
  
 På engelska state of the art. 
  
 79 
  
 På engelska legal binding act, på franska acte juridique, på tyska Rechtsakt. 
  
 80 
  
 Det kan noteras att en registeransvarig som är etablerad i en medlemsstat måste – i fråga om t.ex. säkerheten vid behandling (jämför skyldigheten enligt artikel 17.2 att se till att registerföraren genomför säkerhetsåtgärder) – följa den nationella in- förandelagstiftningen i den staten (artikel 4.1) och inte den lagstiftning som finns i den stat där den anlitade registerföraren är etablerad. – Jämför punkt 3.31 i  
  
 det brittiska remissunderlaget 
 . 
  
 146  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 ning som anger att en myndighet skall ansvara för ett register som en annan myndighet åläggs att administrera i tekniskt avseende. 
 Det finns dock, för att säkra bevisning, ett skriftlighetskrav. Avtalet eller den rättsligt bindande handlingen skall nämligen finnas i skriftlig eller därmed jämförlig form i de delar som rör skyddet av uppgifter och de krav som rör sådana säkerhetsåtgärder som anges artikel 17.1. 
  
 3.13 
  
 Anmälan till tillsynsmyndigheten 
  
 3.13.1 
  
 Inledning 
  
 I artikel 18 finns det bestämmelser om att behandling av personuppgifter skall anmälas på förhand till tillsynsmyndigheten. Anmälan skall innehålla vissa uppgifter (artikel 19), och tillsynsmyndigheten skall föra in uppgifter om anmälda behandlingar i ett offentligt register (artikel  
 21.1–2). 
  Den som vill skall kunna få uppgifter även om behandlingen inte har anmälts till till- synsmyndigheten (artikel 21.3). Vissa särskilt riskfyllda behandlingar skall kontrolleras på förhand (artikel 20). 
 I punkt 48 i  
 ingressen  
 anges att anmälningsförfarandet är avsett att göra behandlingens ändamål och viktigaste egenskaper allmänt kända för att sä- kerställa att behandlingen sker i enlighet med de nationella åtgärder som vidtas för att genomföra direktivet. 
  
 3.13.2 
  
 Anmälningsplikt för alla automatiska behandlingar 
  
 Medlemsstaterna är tvungna att föreskriva att den registeransvarige – eller dennes företrädare – skall underrätta tillsynsmyndigheten före genomfö- randet av 
  
 N  
 en behandling som helt eller delvis genomförs på automatisk väg eller  
 N  
 en serie av sådana automatiska behandlingar som har samma eller flera 
 närbesläktade ändamål (artikel 18.1). 
 I  
 kommissionens förklaring  
 anges som ett exempel på fall där regeln om en serie av behandlingar kan användas att det kan räcka med en enda anmälan för alla behandlingar som rör handhavandet av lån vid ett kreditinstitut; anmälan kan då inkludera registrering av ansökan, undersökning av den, beviljandet av den, krav avseende förfallna skulder och övervakandet av vidtagna rättsliga åtgärder. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 147 
  
 När det gäller icke automatiska behandlingar av personuppgifter är det til??låtet för medlemsstaterna att föreskriva att vissa eller alla sådana be- handlingar skall anmälas eller att ett förenklat anmälningsförfarande skall gälla för dem (artikel 18.5). 
 Medlemsstaterna skall precisera vilka uppgifter som anmälan skall inne- hålla (artikel 19.1). Det sägs inte uttryckligen att anmälan skall vara skrift- lig, men den skall innehålla åtminstone uppgifter i följande hänseenden. 
  
 N  
 Den registeransvariges eller dennes eventuella företrädares namn och adress. 
  
 N  
 Ändamålen med behandlingen. 
  
 N  
 En beskrivning av den eller de kategorier av registrerade som berörs. 
  
 N  
 En beskrivning av de uppgifter eller kategorier av uppgifter som hänför sig till de registrerade som berörs. 
  
 N  
 Mottagarna eller de kategorier av mottagare till vilka uppgifterna kan komma att lämnas ut. 
  
 N  
 Föreslagna överföringar av uppgifter utanför gemenskapen. 
  
 N  
 En allmän beskrivning som gör det möjligt att preliminärt bedöma lämp- ligheten av de åtgärder som i enlighet med artikel 17 har vidtagits för att trygga säkerheten i behandlingen. 
 Medlemsstaterna skall vidare ange villkoren för anmälan till tillsynsmyn- digheten av förändringar som rör den nyss nämnda informationen (artikel 19.2). 
 I  
 kommissionens förklaring  
 anges, som exempel på uppgift om den eller de kategorier av registrerade som berörs, företagets kunder, företagets personal eller mottagarna av en viss social förmån. 
  
 3.13.3 
  
 Möjlighet till undantag från och förenklingar av anmälningsproceduren 
  
 3.13.3.1 
  
 Inledning 
  
 I artikel 18.2 räknas det upp i vilka två fall och på vilka villkor medlems- staterna får föreskriva undantag från anmälningsplikten eller ett förenklat anmälningsförfarande. Andra undantag är inte tillåtna. Dock finns det i ar- tikel  
 18.3–4 
  bestämmelser om möjlighet till särskilda undantag för vissa typer av behandlingar, nämligen förandet av ett författningsreglerat regis- ter för allmänheten och icke vinstdrivande organs behandling av känsliga personuppgifter. 
  
 148  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 I punkt 51 i  
 ingressen  
 betonas att det förhållandet att en registeransva- rig omfattas av ett förenklat anmälningsförfarande eller är undantagen från anmälningsplikt inte befriar honom eller henne från de övriga förpliktelser som följer av direktivet. 
 Av artikel 28.2 följer att medlemsstaterna skall se till att tillsynsmyn- digheten hörs när författningar om undantag utarbetas. 
  
 3.13.3.2 
  
 Om det inte är sannolikt att rättigheter kränks 
  
 Den första möjligheten till undantag gäller de typer av behandling i sam- band med vilka det med hänsyn till de behandlade uppgifterna inte är sannolikt att de registrerades fri- och rättigheter kränks. För att undantag skall få göras krävs att medlemsstaterna för dessa typer av behandling an- ger 
  
 N  
 behandlingens ändamål, 
  
 N  
 vilka uppgifter eller kategorier av uppgifter som behandlas,  
 N  
 vilka registrerade eller kategorier av registrerade som avses, 
  
 N  
 till vilka mottagare eller kategorier av mottagare uppgifterna lämnas ut och 
  
 N  
 hur länge uppgifterna skall bevaras. 
 I  
 kommissionens förklaring  
 och reviderade direktivförslag angavs som ex- empel på typer av behandling som kan undantas 
  
 N  
 framställning av korrespondens, 
  
 N  
 framställning av promemorior (papers), 
  
 N  
 uppfyllandet av rättsliga förpliktelser eller skyldigheter avseende bokfö- ring, skatt eller socialförsäkring, 
  
 N  
 beräkning av lön och andra förmåner för personalen vid ett offentligt or- gan eller ett privat företag, 
  
 N  
 vissa typer av behandling för vetenskapliga forskningsändamål och 
  
 N  
 vissa behandlingar avseende patientjournaler som förs av sjukvårdsper- sonal eller liknande. 
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 149 
  
 3.13.3.3 
  
 När ett uppgiftsskyddsombud har utsetts 
  
 Den andra möjligheten till undantag gäller när den registeransvarige, i en- lighet med den nationella lagstiftning som gäller för honom eller henne, har utsett ett uppgiftsskyddsombud. Uppgiftsskyddsombudet skall ha till uppgift 
  
 N  
 att på ett oberoende sätt säkerställa den interna tillämpningen av de na- tionella bestämmelser som har antagits till följd av direktivet och 
  
 N  
 att föra ett register över de behandlingar som utförs av den registeran- svarige, vilket register skall innehålla de obligatoriska uppgifter som en anmälan skall innehålla (se avsnitt 3.13.2), med undantag för beskriv- ning av de säkerhetsåtgärder som har vidtagits. 
 81 
  
 Uppgiftsskyddsombudet skall på detta sätt säkerställa att de registrerades fri- och rättigheter sannolikt inte kommer att kränkas som en följd av be- handlingarna. 
 Uppgiftsskyddsombudet skall i tveksamma fall rådfråga tillsynsmyn- digheten (artikel 20.2). 
 I punkt 49 i  
 ingressen  
 betonas att den person som utses till uppgifts- skyddsombud måste – vare sig han eller hon är anställd av den registeran- svarige eller inte – ha möjlighet att utöva sin verksamhet på ett fullständigt oberoende sätt. 
  
 3.13.3.4 
  
 Författningsreglerat register för allmänheten 
  
 Medlemsstaterna får föreskriva att anmälningsplikten inte skall gälla för en sådan behandling vars enda syfte är att föra ett register 
  
 N  
 som enligt lagar eller andra författningar är avsett att förse allmänheten med information  
 och 
  
 N  
 som är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse. 
  
 3.13.3.5 
  
 Icke vinstdrivande organs behandling av känsliga personuppgifter 
  
 Medlemsstaterna får föreskriva undantag från anmälningsplikten eller ett förenklat anmälningsförfarande för sådan behandling som avses i artikel 
  
 81 
  
 Av  
  
 mötesprotokollet  
 framgår att det är tillåtet att föreskriva att uppgiftsskyddsom- budet inte är skyldigt att registrera sådana behandlingar som omfattas av det un- dantag som behandlats i avsnitt 3.13.3.2. 
  
 150  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 8.2 d, dvs. behandling av känsliga personuppgifter om medlemmar m.fl. som utförs inom ramen för berättigad verksamhet hos ett icke vinstdri- vande organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte (se närmare avsnitt 3.6.2.4). 
  
 3.13.4 
  
 Förhandskontroll av särskilt riskfyllda behandlingar 
  
 Medlemsstaterna är skyldiga att bestämma vilka behandlingar som kan innebära särskilda risker för den registrerades fri- och rättigheter. Med- lemsstaterna är vidare skyldiga att säkerställa att sådana särskilt riskfyllda behandlingar kontrolleras innan de påbörjas. (Artikel 20.1.) 
 I punkt 53 i  
 ingressen  
 anges att vissa typer av behandling på grund av sin natur, sin omfattning eller sitt ändamål kan innebära särskilda risker för att de registrerades fri- och rättigheter kränks. Medlemsstaterna kan om de önskar det precisera dessa risker i sin lagstiftning. Som exempel på typer av behandling som kan innebära särskilda risker anges 
  
 N  
 behandling som har till ändamål att utesluta den berörde från möjlighe- ten att utöva en rättighet, ta emot en förmån eller ingå ett avtal och 
  
 N  
 sådan behandling som innebär användning av ny teknik. 
 I punkt 54 i ingressen anges att det antal behandlingar som innebär sär- skilda risker torde vara mycket begränsat med tanke på omfattningen av den behandling av uppgifter som utförs i samhället. 
 Förhandskontrollen skall utföras av tillsynsmyndigheten. Kontrollen skall utföras när myndigheten har fått in en anmälan från den regis- teransvarige eller från uppgiftsskyddsombudet; uppgiftsskyddsombudet skall nämligen i tveksamma fall rådfråga tillsynsmyndigheten. (Artikel 20.2.) Av artikel 28.3 första stycket andra strecksatsen följer att till- synsmyndigheten skall ha effektiva befogenheter att ingripa, t.ex. genom att yttra sig innan en behandling äger rum och att i lämplig omfattning offentliggöra yttrandet. 
 Medlemsstaterna kan emellertid också 
 82  
 utföra sådana kontroller som ett led i det nationella parlamentets förberedande arbete med en åtgärd  
 eller  
 som ett led i arbetet med en åtgärd som grundas på en sådan lagstif- 
  
 82 
  
 Ordet också torde inte i detta sammanhang innebära att kontroll skall ske såväl av tillsynsmyndigheten som också i samband med att lagstiftningsåtgärder vid- tas; det torde vara fråga om alternativa förfaringssätt. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 151 
  
 tande åtgärd, vilken definierar behandlingens art och anger lämpliga skyddsåtgärder (artikel 20.3). 
 Av artikel 28.2 följer att medlemsstaterna skall se till att tillsynsmyn- digheten hörs när författningar rörande behandling av personuppgifter ut- arbetas. 
  
 3.13.5 
  
 Offentliggörande av behandlingar 
  
 3.13.5.1 
  
 Inledning 
  
 I artikel 21 finns det bestämmelser som rör offentliggörande av behand- lingar, både sådana som skall anmälas och sådana som inte skall det. Till- synsmyndigheten skall föra ett offentligt register över anmälda behand- lingar, och information om andra behandlingar skall man på begäran kunna få direkt från den registeransvarige. 
 I artikel 13.1 finns det generella bestämmelser som gör det möjligt att av hänsyn till vissa intressen föreskriva nödvändiga undantag från vad som följer av artikel 21 (se avsnitt 3.11). 
  
 3.13.5.2 
  
 Offentligt register över anmälda behandlingar 
  
 Medlemsstaterna skall vidta åtgärder för att se till att behandlingar offent- liggörs (artikel 21.1). Staterna skall föreskriva att tillsynsmyndigheten skall föra ett register över sådana behandlingar som har anmälts till den. Detta register skall vara allmänt tillgängligt och innehålla åtminstone de obligatoriska uppgifter som en anmälan skall innehålla (se avsnitt 3.13.2), förutom beskrivning av de säkerhetsåtgärder som har vidtagits. (Artikel 21.2.) 
  
 3.13.5.3 
  
 Skyldighet att på begäran lämna information om icke anmälda behandlingar 
  
 För sådan behandling som inte omfattas av anmälningsplikt är medlems- staterna skyldiga att föreskriva att de registeransvariga – eller något annat organ som medlemsstaten utser – skall på lämpligt sätt tillhandahålla den som begär det åtminstone de obligatoriska uppgifter som en anmälan skall innehålla (se avsnitt 3.13.2), förutom beskrivning av de säkerhetsåtgärder som har vidtagits. (Artikel 21.3 1 st.) 
  
 152  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 Det är dock tillåtet för medlemsstaterna att föreskriva att denna bestämmel- se inte skall tillämpas på sådan behandling vars enda syfte är att föra ett register 
  
 N  
 som enligt lagar eller andra författningar är avsett att förse allmänheten med information  
 och 
  
 N  
 som är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse. (Artikel 21.3 2 st.) 
 Sådana register kan enligt artikel 18.3 undantas från anmälningsplikten (se avsnitt 3.13.3.4). 
 I den utsträckning en medlemsstat väljer att inte föreskriva anmälnings- plikt för manuella behandlingar eller att undanta automatiska behandlingar från anmälningsplikten kan således skyldigheten för de registeransvariga att lämna uppgifter komma att bli mera omfattande; uppgifter måste då lämnas varje gång någon begär det och inte bara en gång i en anmälan till tillsynsmyndigheten. Av  
 mötesprotokollet  
 framgår också att rådet och kommissionen anser att rättigheten enligt artikel 21.3 inte får missbrukas, t.ex. genom att en begäran om information görs trots att det är allmänt känt att behandlingen inte rör den som gör begäran. 
  
 3.14 
  
 Överföring av uppgifter utanför EG 
  
 3.14.1 
  
 Överföring är tillåten till länder som säkerställer en adekvat skyddsnivå 
  
 Medlemsstaterna skall föreskriva att överföring av personuppgifter, som behandlas eller som är avsedda att behandlas efter överföring till tredje land, bara får ske om ifrågavarande tredje land säkerställer en adekvat skyddsnivå. Detta skall dock inte påverka tillämpningen av de nationella bestämmelser som har antagits till följd av andra bestämmelser i direkti- vet. 
 83  
 (Artikel 25.1.) 
  
 83 
  
 I punkt 60 i  
  
 ingressen  
 pekas det särskilt på att behandlingen måste vara tillåten enligt artikel 8, som rör behandling av känsliga uppgifter. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 153 
  
 Bedömningen av om skyddsnivån i ett tredje land är adekvat skall ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter. Härvid skall särskilt beaktas 
  
 N  
 uppgifternas art, 
  
 N  
 den eller de avsedda behandlingarnas ändamål,  
 N  
 den eller de avsedda behandlingarnas varaktighet,  
 N  
 ursprungslandet, 
  
 N  
 det slutliga bestämmelselandet, 
  
 N  
 de allmänna respektive särskilda rättsregler som gäller i ifrågavarande tredje land och 
  
 N  
 de regler för yrkesverksamhet och säkerhet som gäller i ifrågavarande tredje land. (Artikel 25.2.) 
 I  
 kommissionens förklaring  
 anges när det gäller lagstiftningen i tredje land att såväl generella bestämmelser som bestämmelser för olika sektorer måste beaktas, liksom huruvida bestämmelserna tillämpas i praktiken. 
 Medlemsstaterna och kommissionen skall informera varandra när de anser att ett tredje land inte erbjuder en sådan adekvat skyddsnivå (artikel 25.3). Om kommissionen – i enlighet med den särskilda beslutsprocedur som föreskrivs i direktivet (se avsnitt 3.19) – kommer fram till att ett tredje land inte erbjuder en sådan adekvat skyddsnivå, är medlemsstaterna skyl- diga att vidta de åtgärder som är nödvändiga för att hindra överföring av uppgifter av samma slag till detta land (artikel 25.4). Kommissionen skall i sådant fall vid lämpligt tillfälle inleda förhandlingar för att avhjälpa den situation som därvid har uppkommit (artikel 25.5). 
 Kommissionen kan vidare – i enlighet med den särskilda beslutsproce- dur som föreskrivs i direktivet (se avsnitt 3.19) – konstatera att ett tredje land, genom sin interna lagstiftning eller på grund av de internationella förpliktelser som åligger landet, har en sådan adekvat skyddsnivå. Med- lemsstaterna skall då vidta de åtgärder som är nödvändiga för att följa kommissionens beslut. Som exempel på internationella förpliktelser som åligger tredje land nämns särskilt sådana förpliktelser som är en följd av de förhandlingar som kommissionen har inlett och som gäller skydd för pri- vatliv och enskilda personers grundläggande fri- och rättigheter. (Artikel 25.6.) 
  
 154  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 3.14.2 
  
 Överföring till länder med sämre skydd 
  
 3.14.2.1 
  
 Fall där överföring måste tillåtas 
  
 Medlemsstaterna är dock skyldiga att – utom där något annat föreskrivs för särskilda fall i den nationella lagstiftningen 
 84  
 – föreskriva att överföring av personuppgifter till ett tredje land, som inte har en sådan adekvat skyddsnivå, är tillåten i följande fall. 
  
 a) 
  
 Den registrerade otvetydigt har samtyckt till den planerade överföring- en. 
  
 b) 
  
 Överföringen är nödvändig för att fullgöra ett avtal mellan den registre- rade och den registeransvarige eller för att på den registrerades begäran genomföra åtgärder innan avtalet ingås. 
  
 c) 
  
 Överföringen är nödvändig för att ingå eller fullgöra ett avtal mellan den registeransvarige och tredje man, där avtalet är i den registrerades intresse. 
  
 d) 
  
 Överföringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen eller för att fastslå, göra gällande eller försvara rättsliga anspråk 
  
 85 
 . 
  
 e) 
  
 Överföringen är nödvändig för att skydda intressen som är av grund- läggande betydelse för den registrerade 
  
 86 
 . 
  
 f) 
  
 Överföringen görs från ett register som 1) enligt lagar eller andra för- fattningar är avsett att förse allmänheten med information och som 2) är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse, i den utsträckning som de i lagstiftningen angivna villkoren för att få tillgång är uppfyllda. (Artikel 26.1.) 
  
 84 
  
 Formuleringen är anpassad efter vad som anges i den engelska, den franska och den tyska språkversionen. I den svenska språkversionen heter det: om det inte finns tvingande regler om detta i deras lagstiftning, vilket betyder något annat. 
  
 85 
  
 Den närmare innebörden av denna bestämmelse, som återges i enlighet med den svenska språkversionen, är svår att fastslå även när man beaktar andra språkver- sioner. De engelska, franska och tyska språkversionerna tyder närmast på att här behandlas två skilda fall,  
  
 dels  
 att överföringen är nödvändig – eller krävs enligt tvingande rättsregler – för ett viktigt allmänt intresse,  
 dels  
 att överföringen är nödvändig (och kanske alternativt krävs enligt tvingande rättsregler) för att kunna fastslå, göra gällande eller försvara rättsliga anspråk. Jämför också punkt 58 i  
 in- gressen 
 , där det talas om att överföringen är nödvändig för ett rättsligt anspråk eller när skyddet av väsentliga samhällsintressen kräver det. 
  
 86 
  
 Se om sådana vitala intressen vad som anförs i avsnitt 3.5.5. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 155 
  
 I punkt 58 i  
 ingressen  
 anges som exempel på viktiga allmänna intressen utbyte av uppgifter mellan skattemyndigheter, tullmyndigheter eller social- försäkringsmyndigheter. När det gäller överföring från ett sådant register som avses i punkten f ovan anges att överföringen inte bör omfatta alla uppgifter eller hela kategorier av uppgifter som finns i registret. 
 I  
 kommissionens förklaring  
 anges att undantaget i punkten c ovan kan vara särskilt användbart vid överföringar i samband med transaktioner som vidtas av banker och andra kreditinstitut. Undantaget rörande viktiga all- männa intressen avsåg att tillåta internationellt samarbete, t.ex. för att be- kämpa penningtvätt eller för att övervaka finansiella institutioner. 
  
 3.14.2.2 
  
 Överföring får tillåtas om den registeransvarige kan garantera skydd 
  
 Det är vidare tillåtet för medlemsstaterna att tillåta överföring av person- uppgifter till ett tredje land med en icke adekvat skyddsnivå om den regis- teransvarige ställer tillräckliga garantier för skyddet av privatliv och en- skilda personers grundläggande fri- och rättigheter och för utövandet av sådana rättigheter. Sådana garantier kan framgå av lämpliga avtalsklausu- ler. (Artikel 26.2.) Medlemsstaterna skall informera kommissionen om de överföringar som har tillåtits enligt denna bestämmelse. Om kommissionen eller en medlemsstat gör en invändning – på grunder som är berättigade med hänsyn till skyddet för privatliv och enskilda personers grundläggande fri- och rättigheter – skall kommissionen vidta lämpliga åtgärder i enlighet med den särskilda beslutsprocedur som föreskrivs i direktivet (se avsnitt 3.19). Medlemsstaterna skall vidta de åtgärder som är nödvändiga för att följa kommissionens beslut. (Artikel 26.3.) Om kommissionen å andra si- dan – i enlighet med den särskilda beslutsprocedur som nyss nämnts – be- slutar att vissa standardklausuler erbjuder tillräckliga garantier, skall med- lemsstaterna vidta nödvändiga åtgärder för att följa kommissionens beslut. 
  
 3.15 
  
 Sanktioner 
  
 3.15.1 
  
 Rätt till domstolsprövning 
  
 Enligt artikel 22 skall medlemsstaterna föreskriva att var och en har rätt att föra talan inför domstol om kränkningar av sådana rättigheter som skyddas av den nationella lagstiftning som är tillämplig på den aktuella behand- 
  
 156  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 lingen. Detta skall inte påverka möjligheten att utnyttja eventuella admi- nistrativa förfaranden som kan användas innan ett ärende anhängiggörs hos en rättslig instans, t.ex. ett förfarande vid tillsynsmyndigheten. 
 87 
  
 Enligt artikel 28.3 första stycket tredje strecksatsen skall vidare till- synsmyndigheten ha befogenhet att inleda rättsliga förfaranden vid över- trädelser av de nationella bestämmelser som antagits till följd av direktivet eller att uppmärksamma de rättsliga myndigheterna på sådana överträdel- ser. 
  
 3.15.2 
  
 Rätt till skadestånd 
  
 Medlemsstaterna skall föreskriva att den som har lidit skada till följd av en otillåten behandling – eller av någon annan åtgärd som är oförenlig med de nationella bestämmelser som antagits till följd av direktivet – har rätt till ersättning av den registeransvarige för den skada som han eller hon har lidit. Den registeransvarige får emellertid, helt eller delvis, undantas från skadeståndsansvar, om han eller hon visar att han eller hon inte är ansvarig för den händelse som orsakade skadan. (Artikel 23.) 
 I punkt 55 i  
 ingressen  
 anges som exempel på fall där den regis- teransvarige inte är ansvarig för skadefallet att han eller hon kan påvisa att ett fel har begåtts av den registrerade eller att det är fråga om force majeure. 
  
 3.15.3 
  
 Andra sanktioner 
  
 Medlemsstaterna skall vidta lämpliga åtgärder för att säkerställa att direkti- vet genomförs fullständigt. Staterna skall särskilt besluta om de sanktioner som skall användas vid överträdelse av de bestämmelser som har antagits till följd av direktivet. (Artikel 24.) 
 I punkt 55 i  
 ingressen  
 framhålls att sanktioner skall vidtas mot såväl privaträttsliga som offentligrättsliga subjekt som överträder de nationella bestämmelser som har antagits till följd av direktivet. Punkten 21 i in- gressen innehåller en erinran om att direktivet inte påverkar de territoriali- tetsregler som gäller på straffrättens område. 
  
 87  
 Jämför om anmälan till tillsynsmyndigheten artikel 28.4. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 157 
  
 3.16 
  
 Uppförandekodexar 
  
 3.16.1 
  
 Inledning 
  
 I artikel 27 finns det bestämmelser rörande uppförandekodexar. 
 88  
 Med- lemsstaterna och kommissionen skall uppmuntra utarbetandet av uppföran- dekodexar som – med beaktande av de särskilda förhållandena på olika områden – skall bidra till att på ett riktigt sätt genomföra de nationella be- stämmelser som medlemsstaterna har antagit till följd av direktivet. 
  
 3.16.2 
  
 Nationella kodexar 
  
 Medlemsstaterna skall föreskriva att branschorganisationer eller andra or- gan som företräder andra kategorier av registeransvariga som har upprättat förslag till nationella kodexar – eller som avser att ändra eller utöka redan existerande nationella kodexar – kan lägga fram dessa för bedömning av den nationella myndigheten. Staterna skall föreskriva att denna myndighet bl.a. skall kontrollera att de framlagda förslagen stämmer överens med de nationella bestämmelser som har antagits till följd av direktivet. Myndig- heten skall, om den anser det lämpligt, inhämta synpunkter från de regist- rerade eller deras företrädare. 
  
 3.16.3 
  
 Kodexar på gemenskapsnivå 
  
 Förslag till kodexar på gemenskapsnivå – och förslag till ändring av eller tillägg till sådana kodexar – kan läggas fram för den särskilda arbetsgrupp som skall bildas enligt direktivet (se avsnitt 3.18). Arbetsgruppen skall bl.a. avgöra om de framlagda förslagen stämmer överens med de nationella bestämmelser som har antagits till följd av direktivet. Arbetsgruppen skall, om den anser det lämpligt, inhämta synpunkter från de registrerade eller deras företrädare. Kommissionen kan se till att de kodexar som har god- känts av arbetsgruppen offentliggörs på lämpligt sätt. 
  
 88 
  
 På engelska codes of conduct, på franska codes de conduite, på tyska Verhaltensregeln. Alternativa svenska översättningar kan vara t.ex. branschreg- ler, sektorsvisa förhållningsregler och branschöverenskommelser. 
  
 158  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 3.17 
  
 Tillsynsmyndighetens ställning 
  
 Varje medlemsstat skall se till att det utses en eller flera myndigheter som har till uppgift att inom dess territorium övervaka tillämpningen av de be- stämmelser som staterna antar till följd av direktivet. Myndigheterna skall fullständigt oberoende utöva de uppgifter som åläggs dem. (Artikel 28.1.) Den svenska regeringen har beslutat att utse Datainspektionen till till- synsmyndighet enligt denna bestämmelse. 
 89 
  
 Medlemsstaterna skall vidare se till att tillsynsmyndigheten hörs när så- dana lagar eller andra författningar utarbetas som rör skyddet av enskilda personers fri- och rättigheter med avseende på behandlingen av person- uppgifter (artikel 28.2). 
 Enligt artikel 28.3 första stycket skall varje tillsynsmyndighet särskilt ha  
 N  
 undersökningsbefogenheter, såsom befogenhet 
  
 att få tillgång till uppgifter som behandlas och 
  
 att hämta in alla uppgifter som är nödvändiga för att sköta tillsynen, 
  
 N  
 effektiva befogenheter att ingripa, såsom befogenhet t.ex. 
  
 att avge yttranden, i enlighet med artikel 20 (se avsnitt 3.13.4), innan en behandling äger rum, 
  
 att se till att sådana yttranden offentliggörs i lämplig omfattning, 
  
 att kunna besluta om blockering, utplåning eller förstöring av upp- gifter, 
  
 att kunna besluta om tillfälligt eller slutligt förbud mot behandling, 
  
 att kunna ge den registeransvarige varning eller tillrättavisning och 
  
 att kunna hänvisa saken till det nationella parlamentet eller till andra politiska institutioner samt 
  
 N  
 befogenhet  
 att  
 inleda rättsliga förfaranden vid överträdelser av de natio- nella bestämmelser som antagits till följd av direktivet  
 eller att  
 upp- märksamma de rättsliga myndigheterna på sådana överträdelser. 
 Varje tillsynsmyndighet har – oavsett vilken nationell lagstiftning som gäller för den aktuella behandlingen – behörighet att inom sin egen med- lemsstats territorium utöva dessa befogenheter. Varje myndighet kan av en myndighet i en annan medlemsstat anmodas att utöva sina befogenheter. Tillsynsmyndigheterna skall samarbeta med varandra i den utsträckning som behövs, särskilt genom att utbyta användbar information. (Artikel 28.6.) I artikel  
 29–30 
  finns det bestämmelser om internationellt samarbete 
  
 89  
 Regeringsbeslut  
 1996-01-18, 
  Dnr Ju 96/176. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 159 
  
 inom en särskild arbetsgrupp som består av företrädare för de nationella tillsynsmyndigheterna och kommissionen (se avsnitt 3.18). 
 Sådana beslut av tillsynsmyndigheten som går någon emot kan över- klagas till domstol (artikel 28.3 2 st.). 
 Varje tillsynsmyndighet skall behandla framställningar som någon – eller en organisation som företräder denne – gör rörande skyddet för sina fri- och rättigheter avseende behandling av personuppgifter. Anmälaren skall informeras om vilka följder hans eller hennes anmälan har fått. (Artikel 28.4.) 
 Varje tillsynsmyndighet skall vidare, särskilt, behandla framställningar om kontroll av lagligheten av en behandling av personuppgifter som faller under de nationella bestämmelserna om undantag och begränsningar enligt artikel 13 (se avsnitt 3.11 och 3.10.5). Anmälaren skall i vart fall informe- ras om att en kontroll har gjorts. 
 Varje tillsynsmyndighet skall också regelbundet upprätta en rapport om sin verksamhet. Rapporten skall offentliggöras. (Artikel 28.5.) 
 Medlemsstaterna skall föreskriva att tillsynsmyndighetens ledamöter och personal skall ha tystnadsplikt avseende förtrolig information som de har tillgång till. Tystnadsplikten skall gälla även efter det att anställningen vid myndigheten har upphört. (Artikel 28.7.) 
  
 3.18 
  
 Tillsynsmyndigheterna inom EG bildar en arbetsgrupp 
  
 I artikel  
 29–30 
  finns det bestämmelser om en rådgivande och oberoende arbetsgrupp för skydd av enskilda med avseende på behandling av person- uppgifter. Arbetsgruppen skall bestå av företrädare för de nationella till- synsmyndigheterna och en företrädare för den eller de myndigheter som har inrättats för gemenskapens institutioner samt en företrädare för kommissionen. Arbetsgruppen har vissa utredningsbefogenheter och kan utfärda rekommendationer på eget initiativ, men fungerar i övrigt främst som ett rådgivande organ till kommissionen. 
 Det finns inte anledning att här gå närmare in på detaljbestämmelserna om arbetsgruppens sammansättning och funktion, vilka bestämmelser inte torde kräva några lagstiftningsåtgärder på det nationella planet. Den in- tresserade hänvisas i stället till direktivtexten (se bilaga 2). 
  
 160  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 3.19 
  
 Medlemsstaterna ingår i en kommitté med kommissionen 
  
 Enligt artikel 31 skall det bildas en kommitté av företrädare för medlems- staterna under ledning av en ordförande som företräder kommissionen. Kommittén skall biträda kommissionen genom att avge yttranden. Kom- missionen har vidare fått rätt att besluta om åtgärder i enlighet med kom- mitténs yttrande i fråga om överföring av personuppgifter utanför EG (se artikel 25.4, 25.6, 26.3 2 st. och 26.4 samt avsnitt 3.14). I fråga om detaljer rörande beslutsproceduren m.m. hänvisas till direktivtexten (se bilaga 2). 
  
 3.20 
  
 Ikraftträdande och övergångsbestämmelser 
  
 Medlemsstaterna skall sätta i kraft de lagar och andra författningar som är nödvändiga för att följa direktivet senast tre år efter det att direktivet an- togs, dvs. senast måndagen den 24 oktober 1998 (artikel 32.1 1 st.). Den arbetsgrupp som avses i artikel  
 29–30 
  har emellertid, enligt uppgift, redan börjat arbeta. 
 När sådana lagar och andra författningar för att genomföra direktivet offentliggörs skall de innehålla eller åtföljas av en hänvisning till direkti- vet. Närmare föreskrifter om hur den hänvisningen skall göras skall varje medlemsstat själv utfärda. 
 90  
 (Artikel 32.1 2 st.) Medlemsstaterna skall vi- dare till kommissionen överlämna texten till de nationella bestämmelser som antas inom det område som omfattas av direktivet (artikel 32.4). 
 Medlemsstaterna skall se till att sådan  
 behandling som redan pågår  
 när de nationella bestämmelser som antas till följd av direktivet träder i kraft bringas i överensstämmelse med dessa bestämmelser inom tre år från denna tidpunkt, dvs. allra senast sex år efter antagandet av direktivet eller onsdagen den 24 oktober 2001. 
 Från denna bestämmelse finns två undantag. 
 För det första får medlemsstaterna i fråga om  
 behandling av person- uppgifter som redan finns i manuella register  
 när de nationella genom- förandebestämmelserna träder i kraft föreskriva att behandlingen skall bringas i överensstämmelse med artikel  
 6–8 
  inom tolv år från dagen för 
  
 90 
  
 Se för svensk del 18 a § författningssamlingsförordningen (1976:725) samt jämför Statsrådsberedningens PM 1996:4 s. 22 ff. 
  
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 161 
  
 antagandet av direktivet, dvs. senast onsdagen den 24 oktober 2007. Med- lemsstaterna skall i detta fall emellertid ge den registrerade rätt att på begä- ran – särskilt när han eller hon utövar rätten att få tillgång till uppgifterna – få rättelse, utplåning eller blockering av uppgifter som är ofullständiga, felaktiga eller lagrade på ett sätt som inte är förenligt med de legitima än- damål som den registeransvarige vill uppnå. 
 I punkt 69 i  
 ingressen  
 finns följande, något svårtolkade uttalande: För att möjliggöra ett kostnadseffektivt genomförande av [direktivet] skall medlemsstaterna tillåtas att under [] en tidsperiod, som löper ut tolv år efter dagen för antagandet av detta direktiv, vidta åtgärder för att säker- ställa att [] befintliga manuella register bringas i överensstämmelse med vissa av direktivets bestämmelser.  
 Uppgifter som ingår i dessa [manuella] register och som behandlas manuellt under denna förlängda övergångs- period skall dock när de är föremål för en ytterligare sådan behandling bringas i överensstämmelse med dessa bestämmelser 
 . 
 91 
  
 Till  
 mötesprotokollet  
 har vidare fogats en förklaring av rådet och kommissionen som verkar innebära att manuella register, som inte används aktivt, inte ens efter tolvårsperiodens utgång behöver anpassas till artiklar- na  
 6–8, 
  om detta visar sig vara omöjligt eller skulle innebära en opropor- tionerligt stor ekonomisk insats. 
 92  
 Förklaringen, som måste anses vara nå- got svårtolkad, lyder: Med avseende på de särskilda omständigheter som gäller för sådana personuppgifter som finns i register och som inte faktiskt behandlas efter att de nationella bestämmelser som antagits för att genom- föra detta direktiv trätt i kraft, men som på ett lagligt sätt förvaras med tanke på en eventuell framtida användning, anser rådet och kommissionen att artikel 32 i detta direktiv innehåller en skyldighet för den registeran- svarige att vid utgången av den tolvårsperiod som där avses vidta alla åt- gärder som rimligen kan krävas enligt vad som anges i artikel 6, 7 och 8 om detta inte visar sig vara omöjligt att genomföra eller innebära en opro- portionellt stor ekonomisk insats. Härvid måste hänsyn tas både till nöd- vändigheten att garantera skyddet av enskilda personers fri- och rättighe- ter, och till tillsynsmyndighetens befogenheter som anges i artikel 28 i detta direktiv. 
 Medlemsstaterna får – för det andra – också föreskriva att  
 uppgifter som bara bevaras för historisk forskning  
 inte behöver överensstämma med 
  
 91 
  
 Jämför punkt 8.6 i  
 det brittiska remissunderlaget 
 . 
  
 92 
  
 Se punkt  
  
 8.8–10 
  
  i  
 det brittiska remissunderlaget 
 . 
  
 162  
  
 EG-direktivet 
  om personuppgifter 
  
 SOU 1997: 39 
  
 artikel  
 6–8. 
  Detta förutsätter emellertid att det finns lämpliga skyddsåtgär- der. (Artikel 32.3.) 
 I punkt 70 i  
 ingressen  
 klargörs att det inte är nödvändigt att den regist- rerade på nytt lämnar sitt samtycke för att den registeransvarige skall, efter ikraftträdandet av genomförandebestämmelserna, få fortsätta att behandla känsliga uppgifter när behandlingen är nödvändig för att genomföra ett avtal som har slutits på grundval av ett frivilligt och informerat samtycke före ikraftträdandet. 
 I artikel 33 finns slutligen bestämmelser om att kommissionen regel- bundet skall avge en rapport om genomförandet av direktivet, eventuellt med ändringsförslag. Kommissionen skall också särskilt undersöka til??lämpningen av direktivet på behandling av ljud- och bilduppgifter. Kommissionen skall lägga fram alla lämpliga förslag som med beaktande av informationsteknikens och informationssamhällets utveckling visar sig nödvändiga. 
  
 3.21 
  
 Den fortsatta utvecklingen inom EG 
  
 Rådet antog den 12 september 1996 en gemensam ståndpunkt (nr 57/96) inför antagandet av ett  
 EG-direktiv 
  om  
 behandling av personuppgifter och skydd för privatlivet inom telekommunikationsområdet, särskilt när det gäller det digitala flertjänstnätet (ISDN) och allmänt tillgängliga digi- tala mobila nät 
 . 
 93  
 Enligt uppgift är det troligt att ett direktiv i huvudsak i enlighet med den gemensamma ståndpunkten kommer att utfärdas någon gång under våren 1997. Avsikten är att direktivet skall träda i kraft samti- digt som  
 EG-direktivet 
  om behandling av personuppgifter, dvs. senast den 24 oktober 1998. 
 Ett  
 EG-direktiv 
  i enlighet med den gemensamma ståndpunkten kan sä- gas precisera och komplettera bestämmelserna i det generella  
 EG-direkti- 
  vet om behandling av personuppgifter såvitt avser telekommunikationsom- rådet. Det finns t.ex. bestämmelser om när och hur personuppgifter som utgör s.k. trafikdata får behandlas för olika ändamål, såsom fakturering, marknadsföring och nummerpresentation. 
  
 93  
 EGT nr C 315, 24.10.96, s. 30. 
 SOU 1997: 39 
  
 EG-direktivet 
  om personuppgifter  
 163 
  
 Enligt uppgift pågår vidare arbete inom kommissionen med att under- söka hur den personliga integriteten skall skyddas i samband med an- vändningen av Internet. 
  
 SOU 1997: 39 
  
 165 
  
 4 Övriga internationella regler 
  
 4.1 
  
 Inledning 
  
 Även inom Europarådet och OECD har det förekommit visst arbete på per- sondataskyddsområdet. 
 Datalagsutredningen har i kapitel 4 i sitt slutbetänkande lämnat en re- dovisning av den internationella utvecklingen på dataskyddsområdet. Den redovisningen är – frånsett vad som anfördes om det då föreliggande för- slaget till  
 EG-direktiv 
  – fortfarande aktuell och vi kan därför hänvisa till vad Datalagsutredningen anfört. En rekommendation från Europarådet, som bör nämnas i sammanhanget, har dock kommit till efter det betänkan- det: Europarådets rekommendation av den 7 februari 1995 om persondata- skydd vid telekommunikation. 
 94 
  
 Som bilagor till Datalagsutredningens slutbetänkande finns vidare (i engelsk version) viktigare internationella grunddokument bifogade; OECD:s riktlinjer och Europarådets konvention 
 95  
 och rekommendationer i fråga om anställning, forskning och statistik samt direktreklam. Däremot verkar själva rekommendationen från OECD inte ha bifogats (bara de bi- lagda riktlinjerna).  
 OECD:s rekommendation  
 lyder: 
  
 94 
  
 Recommendation No. R (95) 4 on the protection of personal data in the area of telecommunication services, with particular reference to telephone services. 
  
 95 
  
 Europarådets konvention finns i engelsk, fransk och svensk version som bilaga 4 till prop. 1981/82:189 (s. 188 ff.). 
  
 166  
 Övriga internationella regler 
  
 SOU 1997: 39 
  
 RECOMMENDATION OF THE COUNCIL CONCERNING GUIDELINES GOVERNING THE PROTECTION OF PRIVACY AND TRANSBORDER FLOWS OF PERSONAL DATA 
 Adopted by the Council 23rd September, 1980 
 The Council, 
 Having regard to Hayes 1(c), 3(a) and 5(b) of the Convention on the Organisation for Economic  
 Co-operation 
  and Development of 14th December, 1960; 
 Recognising: 
  
 that 
 , although national laws and policies may differ, Member countries have a common interest in protecting privacy and individual liberties, and in reconciling funda- mental but competing values such as privacy and the free flow of information; 
  
 that  
 automatic processing and transborder flows of personal data create new forms of relationships Hayes development of compatible rules and practices; 
  
 that  
 transborder flows of personal data contribute to economic and social development;  
 that  
 domestic legislation concerning privacy protection and transborder flows of per- 
 sonal data may hinder such transborder flows; 
 Determined to advance the free flow of information between Member countries and to avoid the creation of unjustified obstacles to the development of economic and social relations among Member countries; 
 RECOMMENDS 
  
 1. 
  
 That Member countries take into account in their domestic legislation the principles concerning the protection of privacy and individual liberties set forth in the Guide- lines contained in the Annex to this Recommendation which is an integral part thereof; 
  
 2. 
  
 That Member countries endeavour to remove or avoid creating, in the name of pri- vacy protection, unjustified obstacles to transborder flows of personal data; 
  
 3. 
  
 That Member countries  
  
 co-operate 
  in the implementation of the Guidelines set forth in the Nelson; 
  
 4. 
  
 That Member countries agree as soon as possible on specific procedures of consulta- tion and  
  
 co-operation 
  for the application of these Guidelines. 
  
 SOU 1997: 39 
  
 Övriga internationella regler  
 167 
  
 Europarådets rekommendationer  
 på särskilda områden redovisar vi i det följande i den mån det behövs i anslutning till att vi behandlar det område som rekommendationen rör. Följande rekommendationer bör nämnas i sammanhanget. 
  
 N  
 Recommendation No. R (81) 1 on regulations for automated medical data banks ( 
 medicinska databanker 
 ). 
  
 N  
 Recommendation No. R (83) 10 on the protection of personal data used for scientific research and statistics (skydd för personuppgifter som an- vänds för  
 vetenskaplig forskning eller statistik 
 ) 
 96 
 . 
  
 N  
 Recommendation No. R (85) 20 on the protection of personal data used for the purposes of direct marketing (skydd för personuppgifter som an- vänds för  
 direkt marknadsföring 
 ) 
 97 
 . 
  
 N  
 Recommendation No. R (86) 1 on the protection of personal data used for social security purposes (skydd för personuppgifter som används inom  
 socialförsäkringen 
 ). 
  
 N  
 Recommendation No. R (87) 15 regulating the use of personal data in the police sector (användningen av personuppgifter inom  
 polisens om- råde 
 ) 
 98 
 . 
  
 N  
 Recommendation No. (89) 2 on the protection of personal data used for employment purposes (skydd för personuppgifter som används för  
 an- ställningsändamål 
 ) 
 99 
 . 
  
 N  
 Recommendation No. R (90) 19 on the protection of personal data used for payment and other related operations (skydd för personuppgifter som används i samband med  
 betalning  
 eller liknande). 
  
 N  
 Recommendation No. R (91) 10 on the communication to third parties of personal data held by public Davis (om  
 utlämnande till tredje man av personuppgifter som finns hos offentliga organ 
 ). 
  
 N  
 Recommendation No. R (95) 4 on the protection of personal data in the area of telecommunication services, with particular reference to tele- phone services (skydd för personuppgifter vid  
 telekommunikation 
 ). 
 För att underlätta för läsarna har vi beträffande de allmänna reglerna i OECD:s riktlinjer och Europarådets konvention valt att i detta avsnitt ta in en samlad redovisning på svenska. Redovisningen har hämtats från Data- 
  
 96 
  
 Finns som bilaga 3 till SOU 1993:10. Se också avsnitt 11.4.1 i förevarande be- tänkande. 
  
 97 
  
 Finns som bilaga 3 till SOU 1993:10. 
  
 98 
  
 Finns som bilaga 3 till SOU 1996:35. 
  
 99 
  
 Finns som bilaga 3 till SOU 1993:10. Jämför den Code of practice on the pro- tection of workers privacy som antogs av ILO:s styrelse i november 1996. 
  
 168  
 Övriga internationella regler 
  
 SOU 1997: 39 
  
 lagsutredningens slutbetänkande. 
 100  
 Avslutningsvis i detta avsnitt berör vi något frågan om utländska rättsordningar. 
  
 4.2 
  
 OECD:s riktlinjer 
  
 Inom Organisationen för ekonomiskt samarbete och utveckling, OECD, har en expert- grupp utarbetat vissa riktlinjer i fråga om integritetsskyddet och persondataflödet över gränserna, Guidelines Governing the Protection of Privacy and Transborder Flows of Personal Data. Riktlinjerna antogs år 1980 av OECD:s råd tillsammans med en re- kommendation till medlemsländernas regeringar om att beakta riktlinjerna i nationell lagstiftning. Samtliga medlemsländer, däribland Sverige, har godtagit rekommendatio- nen och därmed åtagit sig att följa denna. Ytterligare åtgärder som t.ex. ratifikation av medlemsländerna krävs inte varför riktlinjerna har trätt i kraft. Någon preciserad tid- punkt för när kraven enligt riktlinjerna skall vara genomförda finns inte. [] 
 Enligt rekommendationen skall medlemsländerna i sin nationella lagstiftning beakta de principer om personlig integritet och individens grundläggande rättigheter som har presenterats i de riktlinjer som fogats till rekommendationen. Medlemsländerna skall vidare försöka undanröja opåkallade hinder för internationell datakommunikation som gäller personuppgifter och undvika att nya sådana skapas under förevändning av behov av skydd för personlig integritet. Samarbete skall bedrivas vid verkställigheten av rikt- linjerna och så snart som möjligt skall länderna avtala om särskilda procedurer för överläggningar och samarbete som gäller tillämpningen av riktlinjerna. 
 Syftet med riktlinjerna är att söka undvika de risker för personlig integritet och indi- videns frihet som personuppgifter kan utgöra på grund av det sätt på vilket de behandlas, på grund av uppgifternas natur eller på grund av det sammanhang i vilket de används. Riktlinjerna är tillämpliga på personuppgifter både inom den offentliga och den privata sektorn. De är tillämpliga både för uppgifter som lagras automatiskt och uppgifter som förs manuellt. Det finns inget hinder mot att man tillämpar olika skyddsåtgärder för olika slag av persondata, att man från riktlinjernas tillämpning undantar persondata som uppenbart inte innebär någon risk för personlig integritet eller att man tillämpar riktlinjerna endast på automatisk databehandling av personuppgifter. Undantagen från riktlinjernas grundläggande principer för nationell och internationell tillämpning skall vara så få som möjligt och göras kända för allmänheten. Riktlinjerna skall betraktas som minimiregler, varför ingenting hindrar att integritetsskyddet görs mer omfattande. 
 Riktlinjerna innehåller en särskild avdelning som behandlar åtta grundläggande principer rörande skyddet för personlig integritet på det nationella planet. 
  
 1. 
  
 Insamlingen av personuppgifter skall vara begränsad och uppgifter skall inhämtas på ett lagligt och korrekt sätt samt, när det är skäligt, med den registrerades kännedom eller samtycke ( 
  
 Collection Limitation Principle 
 ). 
  
 2. 
  
 Personuppgifter skall vara relevanta för de ändamål för vilka de skall användas och, i den utsträckning det behövs för dessa ändamål, vara riktiga och fullständiga samt hållas aktuella ( 
  
 Data Quality Principle 
 ). 
  
 100  
 Konventionen och riktlinjerna behandlas i prop. 1981/82:189 s. 42 ff. 
  
 SOU 1997: 39 
  
 Övriga internationella regler  
 169 
  
 3. 
  
 De ändamål för vilka personuppgifterna samlas in skall vara preciserade senast vid insamlingen. Den efterföljande användningen skall vara begränsad till att uppfylla dessa ändamål eller sådana ändamål som är förenliga med ursprungsändamålen och som preciseras vid varje förändring ( 
  
 Purpose Specification Principle 
 ). 
  
 4. 
  
 Personuppgifter får inte röjas, göras tillgängliga eller på annat sätt användas för andra ändamål än de preciserade, om det inte sker med den registrerades medgivande eller med stöd av författning ( 
  
 Use Limitation Principle 
 ). 
  
 5. 
  
 Personuppgifter skall genom rimliga säkerhetsåtgärder skyddas mot risker för förlust eller otillåten tillgång, förstörelse, användning, förändring eller otillåtet röjande ( 
  
 Security Safeguards Principle 
 ). 
  
 6. 
  
 En öppenhet skall råda beträffande personuppgifter i fråga om utveckling, tillämp- ning och policy. Det skall vara möjligt att få veta existensen och beskaffenheten av personuppgifter samt huvudändamålen för vilka de används. Det skall också vara möjligt att få uppgift om vem som är registeransvarig och om var denne finns ( 
  
 Openness Principle 
 ). 
  
 7. 
  
 Den enskilde skall ha rätt att av den registeransvarige eller av annan få reda på om denne har personuppgifter om honom/henne, att få sig tillsänt eventuella personupp- gifter inom rimlig tid, utan alltför stor kostnad, på rimligt sätt och i begriplig form. Vidare skall den enskilde ha rätt att vid avslag på en begäran om uppgifter få veta skälen härför och ha möjlighet att överklaga. Den enskilde skall även ha rätt att ifrå- gasätta uppgifter som gäller honom eller henne och, om så är nödvändigt, få dessa ut- raderade, rättade eller kompletterade ( 
  
 Individual Participation Principle 
 ). 
  
 8. 
  
 Den registeransvarige skall ha ansvaret för att de lagstiftningsåtgärder eller andra åtgärder som vidtas för att genomföra de tidigare angivna principerna följs ( 
  
 Accountability Principle 
 ). 
 En avdelning av riktlinjerna innehåller principer för internationell tillämpning. Här före- skrivs bl.a. att medlemsländerna skall vidta alla rimliga och lämpliga åtgärder för att se till att personuppgifter kan passera gränserna säkert och utan avbrott. Vidare skall med- lemsländerna avhålla sig från att göra inskränkningar i fråga om flödet av personuppgif- ter från det egna landet till andra medlemsländer. Sådana inskränkningar är dock tillåtna i förhållande till ett annat land, om detta inte iakttar riktlinjerna eller om personuppgifter bara skall passera genom det andra landet till ett tredje land och avsändarlandets integri- tetslagstiftning därigenom kringgås. Ett medlemsland får också göra inskränkningar i fråga om personuppgifter för vilka den inhemska integritetslagstiftningen innehåller särskilda skyddsregler, om sådana uppgifter inte har ett likvärdigt skydd i mottagarlan- det. Medlemsländerna skall undvika att – under åberopande av skydd för personlig in- tegritet och individens friheter – i lag, tillämpning eller förfarande ställa upp hinder för flödet av personuppgifter över gränserna som går utöver vad som är nödvändigt för så- dant skydd. 
 Regler om ömsesidigt bistånd mellan medlemsländerna m.m. finns i en särskild av- delning av riktlinjerna. Medlemsländerna skall införa legala, administrativa eller andra förfaranden eller vidta andra åtgärder för att beträffande personuppgifter ge skydd för personlig integritet och individens friheter. Medlemsländerna skall särskilt sträva efter att anta lämplig inhemsk lagstiftning, att främja och understödja självreglering i form av etiska regler eller på annat sätt, att införa lämpliga sanktioner och rättsmedel samt att se till att registrerade inte utsätts för orättvis särbehandling. På begäran skall medlemslän- derna ge ett annat medlemsland upplysning om hur de principer iakttas som riktlinjerna innehåller. Medlemsländerna skall också se till att de förfaranden som til??lämpas för 
  
 170  
 Övriga internationella regler 
  
 SOU 1997: 39 
  
 flöden av personuppgifter över gränserna och för skyddet av personlig integritet och individens friheter är enkla och jämförbara med dem som andra medlemsländer tilläm- par. Medlemsländerna skall vidare genom särskilda förfaranden underlätta utbyte av in- formation rörande riktlinjerna och ömsesidigt bistånd i fråga om de förfaranden och ut- redningar som kan bli aktuella. Vidare skall medlemsländerna arbeta för att utveckla in- hemska och internationella principer för vilket lands lag som blir tillämplig i fråga om flöden av personuppgifter över gränserna. 
 Internationella associationer och företag, som International Air Transport Associa- tion (IATA), Center for Financial Industry Information Systems i Japan, Canadian Bankers Association, American Bank och IBM har antagit egna regler om dataskydd som bl.a. bygger på OECD:s riktlinjer. 
  
 4.3 
  
 Europarådets konvention 
  
 Europarådets ministerkommitté antog år 1980 en konvention till skydd för enskilda vid automatisk databehandling av personuppgifter, Convention for the Protection of Indi- viduals with regard to Automatic Processing of Personal Data, den s.k. dataskyddskon- ventionen. Till konventionen har fogats en förklarande rapport av den expertgrupp inom Europarådet som utarbetat konventionstexten. 
 Konventionen trädde i kraft den 1 oktober 1985, då kravet var uppfyllt att fem med- lemsländer tillträtt konventionen. 
 101 
  
 Konventionens syfte är att säkerställa respekten för grundläggande fri- och rättighe- ter, särskilt den enskildes rätt till personlig integritet i samband med automatisk databe- handling av personuppgifter. Enligt expertgruppens förklarande rapport är utgångspunk- ten att vissa av den enskildes rättigheter kan behöva skyddas i förhållande till den prin- cip om fritt flöde av information, oberoende av gränser, som finns inskriven i interna- tionella överenskommelser om mänskliga rättigheter. 
 Konventionens tillämpningsområde är enligt huvudregeln automatiserade personre- gister och automatisk databehandling av personuppgifter i allmän och enskild verksam- het (artikel 3). Varje konventionsstat kan dock göra vissa allmänna inskränkningar eller utvidgningar i tillämpningsområdet för konventionen i dess helhet. Därutöver finns viss möjlighet till undantag från några enskilda bestämmelser (artikel 9). Reservationer mot bestämmelserna i övrigt får inte göras (artikel 25). Däremot är det ingenting som hindrar att registrerade personer tillerkänns ett mer omfattande skydd än som föreskrivs i kon- ventionen (artikel 11). 
 Konventionen har fem kapitel. Den centrala delen är kapitel II (artiklarna  
 4–11) 
  som innehåller de grundläggande principerna för dataskydd. Varje konventionspart skall vidta de åtgärder som behövs för att dess nationella lagstiftning skall innehålla dessa grundläggande principer. Åtgärderna skall vara vidtagna senast vid den tidpunkt då konventionen träder i kraft för parten (artikel 4). Dessa grundläggande principer skall garantera registrerade personer i alla länder där konventionen gäller ett visst minimi- skydd i samband med automatisk databehandling av personuppgifter. Detta skall göra 
  
 101  
 Numera har bl.a. samtliga  
 EG-stater, 
  utom Italien, ratificerat konventionen. 
  
 SOU 1997: 39 
  
 Övriga internationella regler  
 171 
  
 det möjligt för konventionsparterna att ömsesidigt avstå från att begränsa dataflödet över gränserna. 
 Kapitel II innehåller krav på beskaffenheten av de personuppgifter som undergår au- tomatisk databehandling (artikel 5). Dessa krav innebär bl.a. att uppgifterna skall inhäm- tas och behandlas på ett korrekt sätt och vara relevanta med hänsyn till ändamålet. Vissa typer av uppgifter får inte undergå automatisk databehandling, om inte den nationella lagen ger ett ändamålsenligt skydd (artikel 6). Det gäller uppgifter om ras, politiska åsikter, religiös tro eller annan övertygelse, hälsa, sexualliv samt brott. Lämpliga säker- hetsåtgärder skall vidtas för att skydda personuppgifter gentemot oavsiktlig eller otillå- ten förstörelse m.m. (artikel 7). Vissa ytterligare skyddsåtgärder för registrerade perso- ner föreskrivs (artikel 8). Vidare föreskrivs bl.a. att alla som är registrerade i ett person- register skall ha möjlighet till insyn i registret och möjlighet att få felaktiga uppgifter rättade. 
 Vissa undantag får enligt konventionen göras i fråga om kraven på uppgifternas be- skaffenhet och dylikt (artikel 9). För sådana avvikelser krävs dock dels att de har stöd i nationell lagstiftning, dels att de är nödvändiga i ett demokratiskt samhälle för att skydda statens säkerhet eller dylikt eller för att skydda den registrerade eller andra per- soners fri- och rättigheter. Rätten till insyn och rättelse m.m. får också i vissa fall in- skränkas i fråga om personregister för statistikändamål eller vetenskapliga forsknings- ändamål. Den nationella lagen skall också innehålla lämpliga sanktioner och rättsmedel (artikel 10). 
 Kapitel III, som rör dataflödet över gränserna, syftar till att förena kraven på fritt in- formationsflöde och dataskydd. Det är enligt expertgruppen viktigt att man ser be- stämmelserna i kapitel III i samband med de grundläggande principerna i kapitel II, som garanterar att databehandlingen av personuppgifter i alla berörda länder är föremål för samma grundläggande reglering. Kapitel III innehåller bestämmelser om behandlingen i nationell lag av flödet av personuppgifter över gränserna (artikel 12). Bestämmelserna gäller, oavsett vilket medium som används, vid överföring över nationsgränser av per- sonuppgifter som undergår eller skall undergå automatisk databehandling eller som samlas in för det ändamålet. Huvudregeln är att överföring mellan konventionsstater skall vara fri. Det är inte tillåtet att ställa upp vare sig förbud eller krav på särskilt med- givande uteslutande i syfte att skydda den personliga integriteten. 
 I två fall är det emellertid tillåtet att göra undantag från huvudregeln. Den ena grun- den för undantag är att avsändarlandets lagstiftning innehåller särskilda bestämmelser för vissa kategorier av personuppgifter men mottagarlandets lagstiftning inte ger ett lik- värdigt skydd. Den andra grunden är att det egentliga mottagarlandet står utanför kon- ventionen men överföringen dit sker via en konventionsstat. I ett sådant fall är det möj- ligt för avsändarlandet att, för att undvika att dess lagstiftning kringgås, exempelvis kräva särskilt tillstånd för överföringen. 
 Kapitel IV och V reglerar formerna för samarbetet mellan konventionsstaterna. Konventionen har konstruerats på ett sätt som gjort det möjligt att begränsa innehållet till de grundläggande principerna och för övrigt lita till samarbete mellan konventions- staterna, bl.a. inom ramen för en rådgivande kommitté, när det gäller att införa och har- monisera dessa principer i de olika staternas lagstiftning. 
 I kapitel IV finns bestämmelser om att varje konventionsstat skall utse en eller flera myndigheter för samarbetet mellan parterna och även ange varje myndighets behörighet (artikel 13). De myndigheter som utses i de olika länderna skall tillhandahålla upplys- ningar om lagstiftning och administrativt förfarande på dataskyddsområdet m.m. Vidare behandlas frågor om bistånd till registrerade personer som är bosatta utomlands (artikel 
  
 172  
 Övriga internationella regler 
  
 SOU 1997: 39 
  
 14). Den myndighet som utses i ett visst land skall hjälpa personer i utlandet med att utöva sina rättigheter till insyn och rättelse m.m. Sådant bistånd skall lämnas oavsett om den som begär hjälp är bosatt i en annan konventionsstat eller i ett land som står utanför konventionen. 
 I kapitel V finns bestämmelser om den rådgivande kommittén, dess sammansättning och uppgifter m.m. (artikel 18 och 19). 
  
 4.4 
  
 Utländsk rätt 
  
 I bilaga 4 till Datalagsutredningens slutbetänkande finns det en redogörel- se för utländsk rätt land för land. 
 102  
 Med hänsyn till att de länder vars rättstraditioner står oss närmast – medlemsstaterna i EU och EES – för närvarande håller på att se över den befintliga dataskyddslagstiftningen för att anpassa den till  
 EG-direktivet 
  har vi inte funnit det meningsfullt att här lämna en motsvarande redovisning; den som är intresserad av en samlad framställning av den delvis överspelade ordningen i utlandet hänvisas till Datalagsutredningens redogörelse. 
 Vi har dock, så långt möjligt, försökt att följa upp det översynsarbete som nu pågår i många länder och ta till vara erfarenheterna från utlandet, bl.a. genom sammanträffande med de övriga nordiska utredningarna och deltagande i internationella akademiska seminarier och konferenser samt besök vid utländska dataskyddsmyndigheter. Vad som kommer att föreslås i de olika länderna är dock ännu oklart i många delar, och vi har därför inte här kunnat ta in någon samlad redogörelse för förslagen till genomförande av  
 EG-direktivet 
  i andra länder; en sådan redogörelse skall för övrigt kommissionen lämna om några år (se artikel 33 1 st. i  
 EG-direktivet). 
  
 En slutsats som kan dras av våra internationella kontakter är att det finns ganska betydande skillnader mellan medlemsstaterna i EU och EES i fråga om uppfattningen om hur den personliga integriteten lämpligen bör skyddas vid informationsbehandling, t.ex. när det gäller värdet av att be- handlingar anmäls till en dataskyddsmyndighet. Genomförandet av EG- direktivet torde komma att innebära en viss harmonisering och samsyn på området, men det förefaller högst sannolikt att det även efter genomföran- det kommer att finnas betydande skillnader mellan medlemsstaterna i syn- sätt och tillvägagångssätt på grund av det spelrum  
 EG-direktivet 
  medger vid genomförandet. 
  
 102  
 Se också t.ex. Soto, Privacy and Human Rights, 1994. 
  
 SOU 1997: 39 
  
 Övriga internationella regler  
 173 
  
 Inom kommissionen verkar man dock se det generella  
 EG-direktivet 
  som bara ett första steg, vilket infört en gemensam men flexibel referens- ram som grund för fortsatt arbete på området. Det särskilda  
 EG-direktivet 
  för telekommunikationsområdet, om vilket en gemensam ståndpunkt nyli- gen antagits (se avsnitt 3.21), visar att man på särskilda områden är beredd att gå vidare med preciseringar på gemenskapsnivå inom den referensram som det generella  
 EG-direktivet 
  skapat. I den mån man inom EG fortsätter på den inslagna vägen med preciseringar på gemenskapsnivå kommer harmoniseringen att drivas allt längre, samtidigt som det nationella spel- rum som det generella  
 EG-direktivet 
  medger gradvis krymper. 
  
 SOU 1997: 39 
  
 175 
  
 5 Teknikens möjligheter 
 Enligt utredningsdirektiven skall vi i vårt arbete beakta utvecklingen på  
 IT-området. 
  Vi skall även beakta den fortsatta utveckling som kan över- blickas. 
 Den tekniska utvecklingen på detta område går med en rasande fart. Vi har under utredningsarbetets gång försökt att hålla oss underrättade om vilka tekniska möjligheter som finns i dag och om vad tekniken kan tänkas erbjuda i framtiden. Vi har också tagit del av olika framtidsvisioner eller scenarier. Däremot har vi inte funnit det meningsfullt att här lämna en re- dovisning av var tekniken står just i dag. En sådan redovisning skulle be- roende på den snabba utvecklingstakten i vissa delar vara inaktuell redan innan remissyttrandena över betänkandet kommit in. Härtill kommer att tekniken i sig – i dag eller inom den framtid som kan överblickas – inte innebär några egentliga begränsningar som bör beaktas vid utarbetandet av en ny lagstiftning om persondataskyddet. Lagstiftningen blir vidare mera framåtsyftande om man vid utarbetandet utgår från att det mesta i fråga om informationsbehandling är – eller kommer att bli – tekniskt möjligt. 
 Förutsättningarna för vårt arbete med att reglera behandlingen av per- sonuppgifter bör därför vara, att en sådan behandling i dag och inom den överblickbara framtiden inte hindras av några begränsningar i de tekniska möjligheterna att nå och bearbeta datorlagrad information överallt och på alla tänkbara sätt. 
 Den tekniska utrustningen blir bara kraftfullare, enklare att hantera och billigare. I dag kan i princip alla företag och löntagare i Sverige, som pri- oriterar detta, skaffa sig utrustning som gör det möjligt att bearbeta ett stort antal uppgifter om tiotusentals personer och att utbyta information med andra datoranvändare över hela världen. 
 103  
 Möjligheterna finns för alla och inte bara för myndigheter eller andra stora organisationer. 
 104 
  
 103 
  
 En undersökning år 1995 visade att ungefär 60 procent av den svenska befolk- ningen i åldern  
  
 16–64 
  år är eller har varit datoranvändare, se Statistiska centralby- 
  
 176  
 Teknikens möjligheter 
  
 SOU 1997: 39 
  
 Utrustningen och sätten att lagra och representera information kommer förmodligen att bli alltmer standardiserade och kompatibla. Så snart in- formation om t.ex. en person har lagrats i datorformat (binärt, dvs. såsom ettor och nollor) i en dator kommer den informationen tekniskt sett att kunna läsas och användas också av alla andra datorer (eventuellt efter s.k. konvertering). Utvecklingen gör att varje användare tekniskt sett lättare kan nå all information. Alltmer information av olika typ kan vidare använ- das samtidigt, t.ex. text, ljud och bild sammanställda, s.k. multimedia. 
 Alltfler datorer och informationsmängder kopplas samman. Det blir tekniskt allt enklare och billigare att dela datorlagrad information med allt fler i allt mer omfattande s.k. nätverk, t.ex. Internet. Samtidigt blir det allt enklare för den enskilde användaren att ta med sig datorkraften eller möj- ligheterna att koppla upp sig mot informationsmängderna. Det blir vidare allt enklare att sammanställa information från flera olika källor oberoende av de fysiska avstånden. Varje datoranvändare kan varhelst han eller hon befinner sig nå information överallt. 
 Att datorer blir kraftfullare, enklare att använda och billigare har redan nämnts. Det gör att var och en själv kan bearbeta information på alla tänk- bara sätt. Grundinformationen kan hämtas från många olika källor i värl- den. Den bearbetade (manipulerade) informationen kan sedan – med eller utan källangivelse – spridas till datoranvändare över hela världen för vi- dare sammanställning och bearbetning av andra. 
 rån, Datorvanor 1995 – Undersökning gjord på uppdrag av  
 IT-kommissionen, 
  1995. 
  
 104 
  
 En del brukar måla upp en vision om informationsteknikens A- och  
  
 B-lag. 
  Dis- kussionen om hur möjligheterna faktiskt skall kunna göras tillgängliga för alla är givetvis viktig, men hör egentligen inte hemma i detta sammanhang. 
  
 SOU 1997: 39 
  
 177 
  
 6 Reglering av bruk eller missbruk 
 Såväl den nuvarande datalagen som  
 EG-direktivet, 
  andra internationella överenskommelser och de flesta andra  
 EU-staters 
  dataskyddslagstiftning bygger på att själva hanteringen av personuppgifter regleras. Vi föreslår att en ny, svensk lagstiftning också skall reglera själva hanteringen av uppgif- terna och inte bara vad som kan betecknas som ett missbruk av dem. Det förtjänar emellertid övervägas om det inte bör ske en övergång till en så- dan missbruksmodell. Den struktur som  
 EG-direktivet 
  anvisar läggs till grund för vårt lagförslag, när det inte finns särskilda skäl för avvikelser. 
  
 6.1 
  
 Integritet och effektivitet 
  
 Utgångspunkten för vårt arbete skall – enligt utredningsdirektiven – vara att tillförsäkra den enskilde ett fullgott integritetsskydd i  
 IT-samhället 
  sam- tidigt som användningen av ny teknik i samhällsutvecklingen inte skall hämmas. 
 När det gäller frågan om vilka förhållanden som generellt sett anses utgöra intrång i annans personliga integritet hänvisas ibland till en av professorn Ryan upprättad kränkningskatalog: 
 105 
  
 a) 
  
 tillträde till och genomsökande av privata lokaler eller annan egendom, 
  
 b) 
  
 kroppsundersökning, 
  
 c) 
  
 medicinska undersökningar, psykologiska test, 
  
 d) 
  
 intrång i en persons privata sfär genom skuggning, spionerande, tele- fonterror, 
  
 e) 
  
 ofredande genom företrädare för massmedierna, 
  
 f) 
  
 olovlig ljudupptagning, fotografering eller filmupptagning, 
  
 105  
 SvJT 1971 s. 698 f. 
  
 178  
 Reglering av bruk eller missbruk 
  
 SOU 1997: 39 
  
 g) 
  
 brytande av brevhemligheten, 
  
 h) 
  
 telefonavlyssning, 
  
 i) 
  
 utnyttjande av elektronisk avlyssningsapparatur, 
  
 j) 
  
 spridande av förtroliga uppgifter, 
  
 k) 
  
 avslöjande inför offentligheten av annans privata förhållanden, 
  
 l) 
  
 olika former av utnyttjande av annans namn, bild eller liknande identi- fieringsmedel, 
  
 m) 
  
 missbruk av annans ord eller meddelanden, och 
  
 n) 
  
 angrepp på annans heder och ära. 
  
 Framför allt förfaranden under j), k) och n) kan avse personuppgifter som behandlas i  
 IT-miljö. 
  
 Att den personliga integriteten skyddas innebär i dessa sammanhang att användningen av personuppgifter regleras och begränsas. Det står alltså klart att en integritetsskyddslagstiftning måste hämma användningen av personuppgifter; ju mera användningen hämmas, desto starkare blir inte- gritetsskyddet. 
 Genom att integritetsskyddslagstiftningen görs teknikoberoende blir såväl manuell som automatisk användning av personuppgifter underkastad i princip samma reglering. Och beslutet att utnyttja eller inte utnyttja ny teknik blir därmed oberoende av den integritetsskyddslagstiftning som finns rörande användningen av personuppgifterna. Frågan om en teknik- oberoende integritetsskyddslagstiftning berörs närmare i avsnitt 7. 
 Andra utredningar, t.ex.  
 IT-kommissionen, 
  arbetar eller har arbetat för att främja användningen av den nya informationstekniken. Det är givetvis angeläget att så effektiva och billiga verktyg som möjligt används för de arbetsuppgifter som behöver utföras i den offentliga sektorn och inom nä- ringslivet. Vi har gjort en total översyn av den föråldrade datalagen och föreslår att den nya lagstiftningen görs teknikoberoende. I dessa hänseen- den kan sägas att vårt arbete främjar användningen av ny teknik. I övrigt får vi nöja oss med att försöka utforma en integritetsskyddslagstiftning som inte mer är nödvändigt hämmar användningen av personuppgifter och därmed utnyttjandet av såväl ny som gammal teknik. 
 Vilken reglering och begränsning av användningen av personuppgifter är då nödvändig för att skydda den personliga integriteten? Det är till stora delar en fråga som är beroende av rådande värderingar i samhället. Sådan användning som enligt dessa värderingar framstår som otillbörliga intrång i annans personliga integritet skall så långt möjligt förebyggas. 
 När personuppgifter som är felaktiga eller missvisande används, kan det få svåra konsekvenser för såväl enskilda som verksamheten i samhället. 
  
 SOU 1997: 39 
  
 Reglering av bruk eller missbruk  
 179 
  
 Då kan det bli fråga om direkt mätbara fysiska eller ekonomiska skador, t.ex. när fel person sätts i fängelse eller fel ben amputeras. Att an- vändningen av personuppgifter leder till sådana direkt mätbara skador kan givetvis aldrig accepteras; det är därför ett oeftergivligt krav att de uppgif- ter som används är riktiga och inte missvisande. Men i övrigt – dvs. när i och för sig korrekta personuppgifter används – utgör regleringen av in- tegritetsskyddet en värderingsfråga. 
 Även med denna utgångspunkt kan man på ett mera allmänt och lag- tekniskt plan resonera kring vilken metod som bör användas för att reglera integritetsskyddet. Det är ett sådant principiellt resonemang som förs i detta avsnitt. Våra överväganden beträffande den närmare nivån på skyddet – dvs. i praktiken vilka begränsningar i användningen av person- uppgifter som bör gälla – kommer att framgå av de följande avsnitten. 
  
 6.2 
  
 Olika modeller för regleringen 
  
 6.2.1 
  
 Hanteringsmodellen och missbruksmodellen 
  
 Man kan på ett principiellt plan tänka sig åtminstone två olika modeller för regleringen av skyddet för den personliga integriteten: 
  
 N  
 Reglering av själva hanteringen av personuppgifter (hanteringsmo- dellen). 
  
 N  
 Reglering av sådant utnyttjande av personuppgifter som kan karakterise- ras som ett missbruk (missbruksmodellen). 
 När man riktar in sig på att reglera själva hanteringen av personuppgifter, blir det viktigt med regler som avser t.ex. 
  
 N  
 att precisera godtagbara ändamål med hanteringen och hindra använd- ning som inte stämmer överens med sådana ändamål, 
  
 N  
 att inte fler uppgifter än nödvändigt hanteras, 
  
 N  
 att de hanterade uppgifterna är korrekta och relevanta, 
  
 N  
 att de hanterade uppgifterna inte läcker ut från den som hanterar dem och 
  
 N  
 att de registrerade kan få kännedom om av vem uppgifterna hanteras och vilka uppgifter som hanteras. 
 Den nuvarande datalagen och  
 EG-direktivet 
  kan sägas bygga på en sådan modell för skyddet av den personliga integriteten. Också Europarådets 
  
 180  
 Reglering av bruk eller missbruk 
  
 SOU 1997: 39 
  
 konvention och rekommendationer samt, på det globala planet, OECD:s riktlinjer verkar bygga på hanteringsmodellen. Även den svenska grundla- gen 
 106  
 kan sägas kräva att det skall finnas en lagstiftning baserad på hante- ringsmodellen, innefattande skydd mot integritetskränkningar genom att personuppgifter registreras (oavsett om de i någon mening missbrukas eller inte). 
 De som förespråkar den modell som koncentrerar sig på reglering av det som kan karakteriseras som missbruk av personuppgifter, brukar utgå från att själva hanteringen av personuppgifterna skall vara i det närmaste fri. Det har t.ex. talats om ett slags allemansrätt till personuppgifter. 
 107  
 Det viktiga med den modellen blir i stället att identifiera vilken användning av personuppgifter som utgör ett sådant missbruk att det bör förbjudas, dvs. i första hand kriminaliseras eller skadeståndsbeläggas. 
 Båda modellerna har fördelar. 
 Även om en reglering i enlighet med hanteringsmodellen görs i princip teknikoberoende, är det inte praktiskt möjligt att låta den omfatta all hante- ring av personuppgifter; hanteringen av sådana personuppgifter som någon har memorerat (har i huvudet) bör t.ex. lämnas utanför regleringen, trots att de memorerade uppgifterna givetvis kan komma att användas till skada för den som uppgifterna avser. Missbruksmodellen däremot är helt teknik- oberoende och tar sikte på det skadliga utnyttjandet av personuppgifterna oberoende av vilket hjälpmedel som har använts vid utnyttjandet (papper och penna, dator, det mänskliga minnet etc.). 
 Med hanteringsmodellen kan man alltså – till skillnad från missbruks- modellen – inte komma till rätta med allt missbruk av personuppgifter eller all användning av personuppgifter som enskilda kan tycka är obehaglig eller skadlig. 
 Med hanteringsmodellen främjas en kontinuerligt god hantering av per- sonuppgifter; man begränsar hanteringen till de uppgifter som behövs och hanteringen sker på ett ändamålsenligt sätt som den enskilde kan få insyn i. Den modellen förutsätter också att det finns någon sorts kontroll av eller tillsyn över hanteringen. Missbruksmodellen är å andra sidan mera re- pressiv till sin karaktär. Där kommer regleringen och tillsynen in först se- dan skadan har skett, när missbruket är ett faktum. Det torde med den mo- 
  
 106 
  
 2 kap. 3 § 2 st. regeringsformen. 
  
 107 
  
 Se Finley, Rapport om skyddet för enskilda personers privatliv – ett mer samlat grepp?, 1995, avsnitt 10.4. 
  
 SOU 1997: 39 
  
 Reglering av bruk eller missbruk  
 181 
  
 dellen vara svårt att på ett tillräckligt förutsebart sätt reglera och kontrolle- ra olika förberedelser till missbruk. 
 Den hantering som inte innebär ett missbruk lämnas med missbruksmo- dellen i princip utanför regleringen; där gäller allemansrätten till person- uppgifter. Med hanteringsmodellen regleras däremot i princip också så- dan hantering av personuppgifter som objektivt sett måste betraktas som harmlös. Det kan därför tyckas att hanteringsmodellen spänner över onö- digt mycket. Missbruksmodellen lämnar å andra sidan öppet för en hante- ring av också känsliga personuppgifter som redan genom sin stora omfatt- ning kan oroa många människor. 
  
 6.2.2 
  
 Valet på lång sikt av modell för regleringen 
  
 Den svenska datalagen och  
 EG-direktivet, 
  som kan betecknas som en mo- derniserad version av datalagen, bygger som framgått av föregående av- snitt på hanteringsmodellen. Denna kännetecknas av långtgående och de- taljerade anvisningar för hur persondata får hanteras. Datalagens tillkomst motiverades av den oro och det obehag med vilken många upplevde den begynnande dataålderns nya möjligheter att behandla personuppgifter. Hanteringsmodellen bygger på ett omfattande administrativt system för kontroll och tillsyn av att dessa regler upprätthålls. Att skapa ett sådant system var högst naturligt på den tid då persondata fanns registrerade i ett antal stora datorer, då antalet system var få och lättöverskådliga och det sålunda var realistiskt att tillsynsmyndigheterna skulle kunna pröva och kontrollera att datahanterarna följde lagen. 
 I framtiden kommer dataflödet – även i fråga om persondata – att bli enormt. Redan nu kan vi se att i stort sett inga spärrar gäller i fråga om vad som läggs in i Internet och som sprids över alla gränser. Hittillsvarande erfarenheter från Sverige säger oss att för endast ungefär 10 procent av alla licenspliktiga personregister har innehavaren sökt licens hos Datainspek- tionen. Proportionen av laglydiga kan inte väntas bli större när antalet PC- innehavare ökar. 
 Man skulle kunna tro att det upplevda obehaget skulle ha minskat i takt med att kunskapen om och användningen av datorer ökat och  
 IT-samhället 
  krupit närmare. Emellertid visar de undersökningar som har gjorts att många människor är negativa eller åtminstone tveksamma till att deras personuppgifter används utan att de får reda på det och utan att de har nå- gon möjlighet till inflytande. De upplever det som obehagligt att deras per- sonuppgifter flödar fritt utom deras kontroll, oavsett om uppgifterna i nå- 
  
 182  
 Reglering av bruk eller missbruk 
  
 SOU 1997: 39 
  
 gon mening missbrukas eller om de själva har råkat ut för något negativt på grund av att uppgifterna använts. Det förhållandet att den enskilde har eller inte har egen erfarenhet av datorer verkar enligt de senaste undersök- ningarna inte ha påverkat inställningen till användningen av personuppgif- ter eller det upplevda obehaget. Och om åldern alls har någon betydelse, är det så att yngre hittills varit mera negativa än äldre till t.ex. överföringar av uppgifter mellan myndigheter. 
 En förklaring till dessa iakttagelser kan vara att det inte är tekniken som sådan utan teknikens möjligheter som människor är oroliga för. Det väsentliga är vad som registreras och om det kan missbrukas. De stora systemen kan fortfarande – och kanske i växande utsträckning – upplevas som hotande medan de små inte gör det. Oron handlar troligen om möjlig- heterna till samkörning, skepsis mot myndigheter i allmänhet och mängden information. Det finns en betydande grupp som anser att icke önskvärd kontroll skall hindras. Människor kan dock ha överdrivna föreställningar om teknikens möjligheter. Inställningen kan vara kluven beroende på vilka uppgifter det är fråga om. Man är rädd för att andra har uppgifter om den egna personen och saknar den kontroll över uppgifterna som var möjlig när uppgifterna fanns på papper. När man själv kan få nytta av att exempelvis myndigheterna har tillgång till statistiska uppgifter tycker man däremot att teknikens möjligheter bör utnyttjas. 
 Problemet är internationellt. Som framkommit vid konferenser i vilka vårt sekretariat deltagit finns en oro för bl.a. den behandling av person- uppgifter som utförs av privata intressenter. Ett exempel är att bankerna samlar på sig mängder av uppgifter om kundernas betalningsvanor, över- trasseringar etc. Integritetsintrånget utgörs dels av det obehag människorna känner av att bankerna vet så mycket, dels av oro för att banken kan tänkas fatta beslut i fråga om exempelvis kreditgivning på grundval av dess in- samlade uppgifter. Ett exempel från USA är att efterfrågan på uppgifter från sjukvården är stort. Bland andra försäkringsbolagen är mycket in- tresserade av sådana uppgifter för att kunna agera på grundval av dem. 
 Reklamföretagen anser att Internet är mycket värdefullt för deras än- damål. Det finns företag som samlar in uppgifter om människors beteende på nätet, vilka BBS man använder, vilka tidningsartiklar man har läst osv. Reklamerbjudanden kan sedan riktas till människor på grundval av dessa uppgifter. 
 När det gäller Internet görs försök att bringa verksamheten under kon- troll, från östliga diktaturers försök att totalförbjuda användandet till strä- vanden i USA att bekämpa kriminella handlingar som utförs på eller med 
 SOU 1997: 39 
 Reglering av bruk eller missbruk  
 183 
  
 hjälp av nätet. Det efterlyses regler från alla håll. För att komma till rätta med problemen har föreslagits såväl lagstiftning som självsanering. I USA har man gett ut rekommendationer som de seriösa företagen förväntas följa. Avsaknaden av auktorisation och ansvarsregler för dem som lägger ut information på nätet har på sina håll ansetts göra det omöjligt för seriösa företag att använda det. Det har sagts att användarna måste ställa krav på dem som skapar programmen att göra det möjligt för den enskilde att på ett enkelt sätt själv avgöra om han eller hon vill synas på nätet eller inte. Om företagen inte tillhandahåller detta bör användaren inte använda pro- dukten. 
 Den tekniska utvecklingen går nu så snabbt att det är omöjligt att göra några säkra förutsägelser om framtiden. Kanske kommer det inom en snar framtid att finnas teknik som gör det möjligt att urskilja och blockera oönskad information på nätet. För närvarande synes det dock i stort sett omöjligt att bringa Internet under kontroll och försöka upprätthålla strikta krav för hur persondata skall få hanteras på nätet – att försöka hävda att allt är förbjudet som inte är tillåtet. En sträng hanteringsmodell synes för närvarande dömd att misslyckas såtillvida att den inte kommer att respek- teras och därmed dra ett löjets skimmer över lagstiftningen. Det kan t.ex. uppkomma svårigheter att på ett lagligt sätt behandla frågor om hälsa och sexualliv i en diskussionsgrupp vid en BBS i någon medicinsk fakultet, om diskussionen knyts till personer. Det finns sålunda de som anser att  
 EG-di- 
  rektivet redan hunnit bli obsolet i detta hänseende, eftersom det bygger på principer som utvecklades innan nätet kom i allmänt bruk. Risken är upp- enbar att företag och till och med myndigheter kommer att bortse från delar av regleringen. 
 Som ytterligare exempel kan nämnas myndigheternas  
 e-post. 
 E-medde- 
  landen i form av löpande text som överförs mellan datorer via nät omfattas av regleringen i  
 EG-direktivet. 
  Det är knappast genomförbart att hindra att  
 e-post 
  med personuppgifter, som inte borde få behandlas enligt direktivet, kommer in till myndigheterna. Är de inkomna måste de också bevaras för att tillgodose offentlighetsprincipen. Föreskrifterna om underrättelse till de registrerade vid insamling av personuppgifter blir inte enkla att tillämpa i sådana fall. Detsamma gäller hur information skall kunna lämnas till den som vill veta om personuppgifter som rör honom eller henne behandlas i e- posten. 
 Å andra sidan kan det antas att människor även i framtiden kommer att ha kvar sin oro för stora datasystem. Det torde därför bli nödvändigt att behålla en hanteringsmodell, om ock i förenklad form, för stora databaser 
  
 184  
 Reglering av bruk eller missbruk 
  
 SOU 1997: 39 
  
 hos myndigheter och hos företag med enskilda som klienter eller kunder, t.ex. sjukhus, banker och försäkringsföretag. Detta kan ske på så sätt att en datalag enligt hanteringsmodellen ges generell giltighet men att undantag görs för nätförbindelser, småföretag och andra som framstår som omöjliga att kontrollera. Det blir dock svårt både att lagtekniskt avgränsa de aktörer som skulle undantas och att i den praktiska verksamheten tillämpa en så- dan avgränsning. Det torde vara lättare att reglera persondatahanteringen hos de aktörer som måste kontrolleras genom att skapa särskilda register- lagar för olika förvaltningsgrenar inom allmän verksamhet, efter mönster av de registerförfattningar som finns i dag, respektive för olika branscher inom näringslivet. 
 När det gäller de många små datasystemen, hos t.ex. skolor, småföreta- gare, enskilda, och troligen också Internet, synes det däremot hopplöst att söka kontrollera själva hanteringen av persondata. Den beskrivning av de framtida problemen som lämnats i det föregående ger nästan automatiskt vid handen att det är utsiktslöst att försöka reglera innehållet i ett otal da- tabaser, annat än för mycket speciella situationer som t.ex. i fråga om barnpornografi. När så småningom alla kommunicerar via data blir det inte konstigare med det än med telefonsamtal, brevskrivning via den allmänna posten eller information via trycksaker. Det kommer att vara mängder av personuppgifter som behandlas i ett sådant system. Vi kan då inte längre hålla på med att strängt reglera själva hanteringen av personuppgifterna. Mycket få skulle rätta sig efter sådana bestämmelser och det kommer inte att finnas resurser att kontrollera att de efterlevs. Tillräckliga resurser skulle för övrigt kunna leda till ett kontrollsamhälle som inte skulle accep- teras. Lika gärna skulle man kunna försöka kontrollera telefontrafiken (annat än i form av telefonavslyssning vid misstanke om grov brottslighet). Vad man i stället kan inrikta sig på utanför de särskilda registerförfattning- arnas ram är att förhindra sådan spridning av databehandlade personupp- gifter som den uppgifterna avser med fog kan begära att bli skonad från. 
 Lagstiftningen kan i så fall inriktas på att inskärpa moralnormer på om- rådet snarare än på en administrativ prövning av befintliga system. När datahantering blir något som ingår i vardagslivet, precis som alla andra tekniker som mänskligheten under århundradena lagt sig till med, kommer det att bli naturligt att motverka dess avarter på samma sätt som vi mot- verkar avarter på andra områden av mänsklig samlevnad. Som exempel på andra integritetskränkningar kan nämnas misshandel och hotelser. Påfölj- der för sådana handlingar är straff och skadestånd. Påföljderna syftar sam- tidigt till att upprätthålla normerna (i dessa fall att man inte får misshandla 
  
 SOU 1997: 39 
  
 Reglering av bruk eller missbruk  
 185 
  
 och hota sina medmänniskor). När vi i Sverige i alla år klarat oss med några få centrala bestämmelser om bl.a. förtal och förolämpning beträffan- de det tryckta ordet bör en av tekniska skäl framtvingad övergång till en motsvarande reglering på dataområdet kunna fungera. 
 Självfallet kan olika typer av brott förekomma i samband med databe- handling.  
 IT-utredningen 
  har i sitt betänkande (SOU 1996:40) Elektronisk dokumenthantering gått igenom olika straffbestämmelser som därvid kan bli tillämpliga. Det kan sägas att bestämmelser som rör traditionell brotts- lighet ganska väl låter sig tillämpas också på förfaranden som sker med automatisk databehandling, utom såtillvida att det ofta är svårt att finna gärningsmannen. 
 Vad frågan nu gäller är emellertid om det går att ersätta den nuvarande datalagstiftningen om skydd mot otillbörlig behandling av personuppgifter. En framtida lagstiftning om behandling av personuppgifter utanför den särskilda registerlagstiftningens ram synes böra bygga på någon form av skydd för privatlivet. Skyddet bör riktas mot användning av personuppgif- ter på ett sätt som skadar enskilda personers privatliv. En sådan reglering är visserligen förenad med uppenbara svårigheter, eftersom vanliga människor har mer fog för sina krav på ett fredat privatliv än personer som lever i offentlighetens ljus. Det blir inte lättare av att bestämmelser i ämnet också måste tas in i tryckfrihetsförordningen och yttrandefrihetsgrundla- gen. 
 Det har framförts förslag till lagreglering av skyddet för privatlivets fred. Integritetsskyddskommittén redovisade tre tänkbara lösningar, hur ett utökat skydd för den enskilde skulle kunna genomföras. 
 108  
 Ett förslag innebar att det i tryckfrihetsförordningen och brottsbalken skulle tas in en straffbestämmelse om skydd mot kränkningar av privatlivets fred. Därmed skulle gärningen bli straffbar även om den begicks av massmedier och det skulle finnas en möjlighet att få skadestånd. Ett annat förslag var att det skulle införas en möjlighet att få skadestånd vid ett intrång i privatlivet även om intrånget inte var straffbart. Det tredje alternativet var att behålla den nuvarande ordningen dvs. att låta regleringen ske genom massmedier- nas självsanerande verksamhet. I det lagstiftningsärende som därefter följde och som ledde fram till yttrandefrihetsgrundlagen ansågs det att man även i fortsättningen skulle lita till den självsanerande verksamheten. 
 109 
  
 108 
  
 Se SOU 1980:8. 
  
 109 
  
 Se prop. 1986/87:151 s. 44. 
  
 186  
 Reglering av bruk eller missbruk 
  
 SOU 1997: 39 
  
 På senare tid har skyddet för den personliga integriteten behandlats i bl.a. studien Skyddet för enskilda personers privatliv (Ds 1994:51). I stu- dien framförs att en viktig metod för att stärka integritetsskyddet kan vara att hindra att känsliga personuppgifter utnyttjas eller sprids på ett inte önskvärt sätt i t.ex. massmedier (s. 173). Vidare diskuteras införandet av en ny straffbestämmelse i tryckfrihetsförordningen och yttrandefrihetsgrund- lagen till skydd för privatlivets fred. Sådana bestämmelser finns i bl.a. Danmark, Finland och Norge samt i Frankrike (se redogörelsen i avsnitt 10.5.3). 
 Det kan finnas anledning att här nämna den finländska regleringen efter- som denna, till skillnad från den danska och norska, är förhållandevis ny; den tillkom 1974. 
 110  
 Då infördes en bestämmelse i 27 kap. 3 a § straffla- gen med följande lydelse. 
 Den som utan laga rätt med användande av massmedium eller på annat lik- nande sätt om annans privatliv offentligen sprider uppgift, antydan eller bild, som är ägnad att orsaka denne skada eller lidande, skall för  
 kränkning av privatliv  
 dömas till fängelse i högst två år eller till böter. Som kränkning av privatliv skall icke anses offentliggörande, som gäller persons förfarande i offentlig tjänst eller offentligt värv, i näringslivet eller i politisk verksamhet eller i annan med dessa jämförbar verksamhet och som är av nöden för behandlingen av någon samhälleligt betydelsefull sak. 
 Det inses lätt att en generell regel om kränkning av privatlivets helgd kan ge upphov till talrika gränsdragningsproblem och tillämpningssvårigheter. Det kan inte ingå i vårt uppdrag att överväga ens om det vore önskvärt att införa en sådan allmän regel, långt mindre hur den i så fall skulle kunna utformas. I och för sig finns sådana bestämmelser i olika europeiska länder men det synes tveksamt om  
 EG-kommissionen 
  kan tänkas acceptera att sådana regler sätts i stället för det detaljerade  
 EG-direktivet. 
  Fördelarna och nackdelarna med en sådan regel blir för övrigt desamma vare sig in- formationen vidarebefordras med data, t.ex. via Internet, eller exempelvis lämnas muntligen i TV. Den fråga vi ställer oss är, om det är möjligt att skilja ut en sådan behandling av personuppgifter med data som framstår som otillbörlig mot den det berör och därför skulle kunna förebyggas med användande av straff eller skadestånd. 
  
 110  
 Se Ds 1994:51 s. 101 ff. 
  
 SOU 1997: 39 
  
 Reglering av bruk eller missbruk  
 187 
  
 Frågan är då vilka missbruk närmare bestämt som bör motarbetas på per- sondataområdet, dvs. i första hand kriminaliseras eller förknippas med skadeståndspåföljd. I den förut återgivna kränkningskatalogen (se ovan avsnitt 6.1) är de missbruk som är aktuella när fråga är om persondata- skyddet närmast 
  
 N  
 spridande av förtroliga uppgifter, 
  
 N  
 avslöjande inför offentligheten av annans privata förhållanden och  
 N  
 angrepp på annans heder och ära. 
 Av de former för missbruk som sålunda är aktuella när fråga är om per- sondataskyddet kan först nämnas att spridning av förtroliga uppgifter knappast medför andra problem vid databehandling än vid andra former av kommunikation. Vanligast och kanske också mest skadebringande torde muntlig spridning vara. På detta område finns lagstiftning och etiska regler om tystnadsplikt. Några särskilda bestämmelser för databehandling synes knappast behövliga. 
 I fråga om angrepp på annans heder och ära finns regler om förtal och förolämpning. Förtal innebär enligt 5 kap. 1 § första stycket brottsbalken att utpeka någon som brottslig eller klandervärd i sitt levnadssätt eller annars lämna uppgift som är ägnad att utsätta denne för andras missakt- ning. Enligt andra stycket i samma paragraf skall det dock inte dömas för förtal, om den som lämnat uppgifterna var skyldig att uttala sig eller det annars med hänsyn till omständigheterna var försvarligt att lämna denna uppgift i saken och han dessutom visar att uppgiften var sann eller han hade skälig grund för den. 
 Vad som är försvarligt är det kanske mest besvärliga problemet vid til??lämpning av bestämmelserna om ärekränkning. Den frågan får avgöras i varje enskilt fall för sig med beaktande av omständigheterna. 
 Emellertid torde trots detta reglerna om förtal ge ett förhållandevis gott skydd mot missbruk av personuppgifter i datamedier, t.ex. via Internet. Ett problem är visserligen att upptäcka spridningen på nätet och inte minst att konstatera varifrån den kommer. Detta problem är dock inte mindre vid tillämpningen av en hanteringsmodell såsom i datalagen eller den av oss föreslagna persondatalagen. Värre är kanske det förhållandet att till skill- nad från den nuvarande datalagstiftningen där myndigheterna övervakar att de persondataansvariga hanterar data i överensstämmelse med lagstift- ningen blir det i ett system med straff och skadestånd som sanktioner den enskilde som har att agera, med allt vad detta medför av besvär och kost- nader. Detta kan motivera att polis och åklagare i större utsträckning än för 
  
 188  
 Reglering av bruk eller missbruk 
  
 SOU 1997: 39 
  
 närvarande tillvaratar målsägandens intresse vid förtal. Åklagaren skall väcka åtal för förtal om målsäganden anger brottet och det av särskilda skäl anses påkallat ur allmän synpunkt. Om förtalet skedde genom miss- bruk av databehandlade personuppgifter borde åtal kunna i större ut- sträckning anses vara påkallat ur allmän synpunkt. Kanske skulle också under en övergångstid en dataombudsman kunna biträda den enskilde i sådana frågor. 
 Vad angår avslöjande inför offentligheten av annans privata förhållan- den, när förtalsbestämmelsen inte är tillämplig, torde den enskilde få finna sig i att enstaka sådana uppgifter sprids. Detta är just baksidan av att det inte är fråga om förtal. Den enskilde skyddas i viss utsträckning av tyst- nadsplikt som gäller enligt sekretessreglerna för allmän verksamhet men också enligt särskilda regler för många i privat verksamhet som t.ex. läkare och annan vårdpersonal, advokater och banktjänstemän. 
 Vad man emellertid inte kommer åt med förtalsbestämmelserna eller regler om tystnadsplikt är sammanställningar av uppgifter om en person, som inte är ägnade att utsätta denne för andras missaktning och som inte heller var för sig är hemliga men som ger en så fullständig bild av den be- rörda att han eller hon rimligen inte skall behöva finna sig i att få sin per- sonlighet utställd på det viset. Vad det framför allt kan bli fråga om är an- vändning av datorer för sammanställning av uppgifter om någon utan dennes samtycke, när uppgifterna rör personliga förhållanden som inte är av allmänt intresse. 
 Mot sådana sammanställningar skyddas nu den enskilde av datalagen och de stränga förutsättningar som enligt Datainspektionens föreskrifter och villkor gäller för samkörning av dataregister. Som förut framhållits torde dock i framtiden en sådan kontroll bli omöjlig utanför de särskilda registerförfattningarnas område. Ett generellt förbud mot samkörningar kommer inte heller bli möjligt att tillämpa. Det följer redan av att en enda PC kan rymma ett praktiskt sett oändligt antal uppgifter och att någon uppdelning av sådana uppgifter på olika register knappast kan anses före- ligga. 
 Vad som skulle kunna övervägas är ett skydd mot spridning av samman- ställningar av uppgifter som inför offentligheten avslöjar enskildas per- sonliga förhållanden. En bestämmelse skulle i så fall kunna införas i 4 kap. brottsbalken (Om brott mot frihet och frid). Diskussionsvis skulle följande regel kunna skisseras. 
  
 SOU 1997: 39 
  
 Reglering av bruk eller missbruk  
 189 
  
 Den som med automatisk databehandling sammanställer uppgifter om annans privata förhållanden och sprider dem dömes, om det innebär olägen- het för den andre att uppgifterna blir kända, för olovlig dataspridning till bö- ter eller fängelse högst sex månader. Det sagda skall dock inte gälla om den som sprider uppgifterna är skyldig att uttala sig eller det annars med hänsyn till ett allmänt intresse är försvarligt att uppgifterna sprids. 
 Olägenhet skulle då också innefatta det obehag som någon med fog kan känna om alltför mycket av hans eller hennes privatliv prisges till allmän- heten. Försvarligt att lämna uppgifterna skulle det vara i betydligt vidare omfattning än vid förtalsbrottet. Försvarlighetsrekvisitet skulle innefatta en avvägning mellan den enskildes anspråk på ett skyddat privatliv och exempelvis behovet av att kunna belysa offentliga personers privatliv som bakgrund till exempelvis deras förmåga att sköta sina uppgifter. 
 Olovlig dataspridning skulle i så fall också utgöra tryckfrihetsbrott och yttrandefrihetsbrott. 
 En modell sådan som den nu skisserade skulle fungera i stort sett som det nuvarande systemet för sanktioner mot tryckfrihetsbrott. Endast spo- radiskt och i särskilt flagranta fall skulle det bli fråga om åtal och rätte- gång. Det måste antas att regleringen skulle utgöra en bas för pressens och etermediernas självsanerande verksamhet och därför i allmänhet bli re- spekterad i massmedier. Detsamma gäller självfallet offentlig verksamhet. I näringslivet och bland enskilda skulle troligen informationen flöda fritt. Systemet skulle genom sin frihet medföra långt mindre kostnader än nuva- rande reglering. Samtidigt skulle det inte på något sätt motsvara det behov av skydd mot ansamling av personuppgifter som många människor känner. 
  
 6.2.3 
  
 Valet nu av modell för regleringen 
  
 Enligt vår mening bör man vid valet av regleringsmodell ta stor hänsyn till allmänhetens inställning. Det förhållandet att många människor känner obehag inför en viss hantering är i en politisk demokrati ett starkt argument i sig för att reglera den hanteringen. Samma bedömning verkar för övrigt ha gjorts i de flesta  
 EU-stater, 
  vilka har lagstiftning efter hante- ringsmodellen, och av EU i och med att  
 EG-direktivet 
  antogs. Härtill kommer att Sverige genom sitt medlemskap i EU är skyldig att genomföra  
 EG-direktivet, 
  vilket bygger på hanteringsmodellen. 
 De förhållandena att flera internationella överenskommelser bygger på hanteringsmodellen och att flera länder, särskilt i vår närhet, har lagstift- ning som bygger på den modellen har betydelse också på ett annat sätt. In- 
  
 190  
 Reglering av bruk eller missbruk 
  
 SOU 1997: 39 
  
 ternationaliseringen ökar samtidigt som den nya tekniken gör det möjligt att blixtsnabbt hämta eller flytta uppgifter över hela jordklotet. I en sådan miljö ligger det ett betydande värde i sig i att lagstiftningen i olika länder är likartad. Kan Sverige inte erbjuda samma skydd vid hanteringen av per- sonuppgifter som andra länder, kan dessa försöka hindra att sådana uppgif- ter förs över till Sverige. På detta sätt kan användningen av ny teknik i Sverige hämmas. Även om det för interna svenska förhållanden skulle finnas skäl att övergå till en missbruksmodell kan det således – oavsett Sveriges internationella åtaganden – ändå vara mest ändamålsenligt att göra som de flesta andra länder för att trygga det fria flödet av information över gränserna. 
 111 
  
 En naturlig grund för människors oro för behandlingen av personupp- gifter är risken för att de uppgifter som finns skall vara felaktiga, vaga eller subjektiva. Ett grundläggande krav på datahantering är därför kravet på datas kvalitet. Det är den som behandlar personuppgifter som har bevis- bördan för att uppgifterna är korrekta och han eller hon måste alltså kunna hänvisa till källor för uppgifterna som är godtagbara.  
 EG-direktivet 
  ställer stränga krav på uppgifternas kvalitet. Sådana krav är ett naturligt led i en hanteringsmodell. Även om de självfallet bör tillämpas även i en miss- bruksmodell är det lagtekniskt svårare att reglera dem där. 
 Som framgår av föregående avsnitt finns det enligt vår mening ändå många skäl – framför allt att det inte är ändamålsenligt att reglera en han- tering som snart sagt varje medborgare kan hålla på med t.ex. i vardags- rummet – för att hanteringsmodellen i en framtid måste överges åtminstone såvitt angår små datasystem och verksamheten på Internet och liknande. Som också framgått tror vi dock att det kommer att dröja innan tiden är mogen för en övergång till missbruksmodellen. Den oro människor alltjämt känner för teknikens möjligheter måste respekteras. Övriga  
 EU-stater 
  måste också vinnas för tanken på en sådan övergång. 
 Övervägande skäl talar därför för att en ny, teknikoberoende lagstift- ning om skydd för den personliga integriteten vid behandling av person- uppgifter i dagens situation bör bygga på hanteringsmodellen och reglera när och under vilka förutsättningar det är tillåtet att behandla personupp- gifter. Vi önskar emellertid samtidigt att diskussionen om en övergång till missbruksmodellen skall fortsätta. Inte minst när det gäller att inom EU:s institutioner vinna gehör för en sådan tankegång gäller det att vara tidigt 
  
 111  
 Jämför Estrada, Personregistrering, 3. rev. udgave, 1996, s. 283. 
  
 SOU 1997: 39 
  
 Reglering av bruk eller missbruk  
 191 
  
 ute. Vi förordar att arbetet drivs vidare i lämpliga former. Vid lämplig tid- punkt bör Sverige ta initiativ till en persondatalagstiftning av mer modernt snitt. Eftersom enhetligheten inom EU bör bevaras, bör detta initiativ i första hand avse tillskapandet av ett nytt  
 EG-direktiv. 
  
 6.3 
  
 Den lagstiftningsstruktur som EG- direktivet anvisar 
  
 EG-direktivet, 
  som Sverige har att genomföra och vilket bygger på hante- ringsmodellen, kan sägas anvisa en struktur för lagstiftningen. 
 112  
 Direkti- vet bygger på ett antal huvudprinciper från vilka medlemsstaterna har möjlighet – och i vissa fall skyldighet – att inom givna ramar föreskriva undantag; vad medlemsstaterna har att göra är, som det står i direktivet (artikel 5), att inom den ram som direktivet drar upp närmare precisera på vilka villkor behandling av personuppgifter är tillåten. Bland huvudprinci- perna kan nämnas: 
  
 N  
 Behandling av personuppgifter är bara tillåten i sex uppräknade fall.  
 N  
 Behandling av känsliga uppgifter är förbjuden. 
  
 N  
 Den enskilde skall alltid få information om den behandling som sker och på begäran kunna få tillgång till sina uppgifter och rättelse, om uppgif- terna är felaktiga eller missvisande. 
  
 N  
 All automatisk behandling av personuppgifter skall anmälas i förväg till en tillsynsmyndighet. 
 Sverige har varit ett föregångsland i fråga om lagstiftning på den person- liga integritetens och databehandlingens område.  
 EG-direktivet 
  får ses som ett resultat av den utveckling som bl.a. Sverige inspirerat. Den nivå på skyddet för den personliga integriteten som direktivet syftar till får anses vara väl så hög som den svenska lagstiftningens. Härtill bidrar naturligtvis att utgångspunkten för kontinental och anglosachsisk rätt när det gäller myndigheternas handlingar är sekretess medan den nordiska utgångspunk- ten är öppenhet. 
 Direktivet har visserligen kommit till stånd efter en lagstiftningsproce- dur som till stora delar ägt rum innan Internet och  
 e-post 
  kommit i allmänt 
  
 112 
  
 I de flesta artiklar i direktivet talas det om att medlemsstaterna skall (eller får) föreskriva, förbjuda, bestämma eller precisera i det ena eller andra hänse- endet. 
  
 192  
 Reglering av bruk eller missbruk 
  
 SOU 1997: 39 
  
 bruk. Den tekniska utvecklingen har sålunda under tiden sprungit ifrån lagstiftarna. Som direktivet nu är föranleder det kritik från olika håll och har till och med kallats obsolet. 
 Goda skäl talar därför för att direktivet bör ses över och kanske till och med arbetas om i väsentliga hänseenden, efter de riktlinjer vi tidigare före- språkat. Det kan emellertid förutses att en översyn och än mer en omar- betning kommer att ta avsevärd tid i anspråk och säkerligen långt mer än de tre år under vilka vi som  
 EU-medlemmar 
  är skyldiga att genomföra di- rektivet. Härtill kommer att den svenska datalagen är än mer föråldrad än  
 EG-direktivet 
  och snarast bör ersättas. Reglerna i direktivet är säkerligen lika goda som varje annan just nu tänkbar utformning av hanteringsmo- dellen. Som vi anfört förut bör vi i dagens läge välja en sådan modell. Detta innebär visserligen att en persondatalag som nu kommer till stånd kanske måste omarbetas inom en tidsram av fem till tio år. Att lagar på områden med så hisnande snabb utveckling som  
 IT-området 
  i viss mening är en förbrukningsvara är dock något vi måste lära oss att leva med. 
 Sverige driver med skärpa kravet på öppenhet även inom EU:s ramar. Offentlighetsprincipen är djupt rotad i svensk rätt och är grundlagsfäst se- dan mer än tvåhundra år. Ett övergivande av den kommer inte i fråga. Att med hänsyn till  
 EG-direktivet 
  om personuppgifter införa begränsningar i grundlagarna kan vi inte tänka oss. I enlighet med vad som anförs i avsnitt 9 kan emellertid  
 EG-direktivet 
  förenas med offentlighetsprincipen.  
 EG-di- 
  rektivet kan också – i enlighet med vad som anförs i avsnitt 10 – förenas med grundlagsreglerna om tryckfrihet och yttrandefrihet. 
  
 EG-direktivet, 
  som således inte är oförenligt med några väsentliga grundlagsfästa svenska intressen, bör därför i enlighet med Sveriges för- pliktelser som  
 EU-medlem 
  införlivas i svensk rätt. På någon punkt, där det är uppenbart att verkligheten i form av en snabb teknisk utveckling sprungit ifrån de förutsättningar under vilka direktivet tillkom, synes det möjligt att genom en rimlig tolkning av direktivet undvika en rättstillämpning som annars skulle kunna te sig absurd. När det sedan gäller själva tekniken för genomförandet kan följande sägas. 
 Det är visserligen i formell mening sant att ett  
 EG-direktiv 
  anger vissa mål eller resultat som skall uppnås eller förverkligas i samtliga  
 EU-länder 
  och att varje stat själv får välja hur detta skall genomföras. I praktiken är dock detta en sanning med modifikation.  
 EG-domstolen 
  kräver nämligen att den form som en medlemsstat väljer för genomförande effektivt säker- ställer en fullständig tillämpning av direktivet på ett tillräckligt klart och precist sätt, i syfte att i de fall då direktivet syftar till att skapa rättigheter 
  
 SOU 1997: 39 
  
 Reglering av bruk eller missbruk  
 193 
  
 för enskilda så skall de berättigade kunna få full kännedom om sina rättig- heter och kunna vid behov utnyttja dem inför de nationella myndigheterna. Mot bakgrund härav har domstolen underkänt försök att åberopa exem- pelvis administrativa åtgärder som tillräcklig form för genomförande av direktiv av lagstiftningskaraktär. 
 113 
  
 Otvivelaktigt innehåller  
 EG-direktivet 
  om personuppgifter bestämmel- ser som ger medborgarna rättigheter i fråga om integritetsskyddet. Direkti- vet måste därför genomföras i form av lagstiftning. Vi ser oss inte någon möjlighet att i lagtext återge direktivets innehåll i annan form än en nära efterbildning av direktivets text och struktur, med de förbehåll som föran- leds av ett fasthållande vid grundläggande svenska intressen. Det finns vi- dare fördelar i sig med att  
 EU-länderna 
  med sina många inbördes kontakter har en såvitt möjligt likartad lagstiftning. 
 Sammanfattningsvis anser vi således att den nya svenska lagstiftningen i stort bör följa den struktur som  
 EG-direktivet 
  anvisar och att avvikelser bör göras bara när det finns särskilda skäl till det. I avsnitt 12.1 berörs lagstiftningstekniken i övrigt. 
  
 113 
  
 Se särskilt dom den 30 maj 1991 i mål mellan kommissionen och Tyskland,  
  
 C-361/88, 
  ECR 2567, punkt 15. 
  
 SOU 1997: 39 
  
 195 
  
 7 En teknikoberoende och generell persondatalag 
 Den nya lagen bör vara teknikoberoende och såvitt avser olika typer av be- handlingar ha samma tillämpningsområde som  
 EG-direktivet. 
  Detta inne- bär att lagen bör tillämpas på all automatisk behandling av personuppgifter och dessutom på manuell behandling av personregister. Behandling av uppgifter om juridiska personer omfattas inte av den föreslagna lagen. La- gen bör till skillnad från  
 EG-direktivet 
  vara generell och i princip omfatta även sådant som faller utanför gemenskapsrätten. Rent privat användning av personuppgifter bör dock undantas från lagens tillämpningsområde. 
  
 7.1 
  
 Förutsättningar 
  
 De flesta bestämmelserna i  
 datalagen  
 gäller bara för personregister som förs med hjälp av automatisk databehandling. Det måste alltså vara fråga om ett dataregister med personuppgifter. 
 114 
  
 Datalagen gäller i princip för alla sådana personregister inom såväl den privata som offentliga sektorn; de särskilda registerförfattningarna som gäller vid sidan av datalagen berörs i avsnitt 8. Det krävs dock inte licens eller tillstånd för personregister som en enskild person inrättar eller för uteslutande för personligt bruk. 
 115 
  
 Enligt  
 utredningsdirektiven  
 skall vi utgå från att en kommande lag skall vara teknikoberoende. Det framgår av utredningsdirektiven inte annat än att lagen skall omfatta bara personuppgifter (och således inte uppgifter om företag, dvs. juridiska personer). 
  
 114 
  
 Se närmare avsnitt 6 i SOU 1993:10. 
  
 115 
  
 Se SOU 1996:40 s. 169 beträffande underrättspraxis rörande begreppet personligt bruk. 
  
 196  
 En teknikoberoende och generell persondatalag 
  
 SOU 1997: 39 
  
 EG-direktivet 
  
 gäller för sådan behandling av personuppgifter som är helt eller delvis automatisk. Direktivet gäller dock även för annan behand- ling (manuell behandling) av sådana uppgifter, om de ingår i eller är av- sedda att ingå i ett register, dvs. en strukturerad samling uppgifter som är tillgänglig enligt särskilda kriterier. Direktivet gäller inte för andra uppgif- ter än personuppgifter. 
  
 EG-direktivet 
  omfattar behandling av personuppgifter inom såväl den privata som offentliga sektorn. Direktivet gäller dock inte för sådan upp- giftsbehandling som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, t.ex. statens verksamhet på straffrättens område. Direk- tivet gäller inte heller för uppgiftsbehandling som en enskild person bedri- ver som ett led i en verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll. 
  
 7.2 
  
 Överväganden 
  
 7.2.1 
  
 Olika typer av behandlingar 
  
 Datalagens tillämpningsområde är, såvitt avser de olika typer av behand- lingar som omfattas, väsentligt snävare än  
 EG-direktivets. 
  Datalagen gäller bara för automatisk behandling av dataregister, medan  
 EG-direktivet 
  gäller all automatisk behandling av personuppgifter – oavsett om uppgifterna in- går i ett register – och dessutom manuell behandling av personregister. 
 Bland annat det förhållandet att datalagen bara gäller för dataregister gör att lagen framstår som föråldrad med hänsyn till teknikutvecklingen. Så snart en personuppgift har förts över till datorformat (ettor och nollor) finns i princip tekniska möjligheter att på ett otal sätt och på mycket kort tid behandla den uppgiften tillsammans med andra uppgifter som någon- stans i världen har förts över till datorformat. Ett exempel på detta är de s.k. sökmaskiner som finns på Internet och som på några sekunder kan producera en sammanställning av en mängd omedelbart tillgängliga dator- lagrade dokument (s.k. webbsidor) världen över som innehåller uppgifter om t.ex. en viss person. 
 Härtill kommer att kränkningen av en individs personliga integritet som regel inte blir vare sig grövre eller lindrigare bara för att hans eller hennes uppgifter finns registrerade (i ett dataregister) tillsammans med en massa andra (kränkta) individers; det kan dock givetvis finnas andra skäl för att 
  
 SOU 1997: 39 
  
 En teknikoberoende och generell persondatalag  
 197 
  
 iaktta särskild försiktighet med uppgiftssamlingar som omfattar väldigt många människor. 
 En ny lagstiftning till skydd för den personliga integriteten bör således vara teknikoberoende i den meningen att den i fråga om automatisk be- handling inte begränsas till dataregister, dvs. ett visst sätt att lagra eller presentera personuppgifterna. All automatisk behandling av personuppgif- ter bör, i enlighet med  
 EG-direktivets 
  tillämpningsområde, omfattas av en ny, modernare lag. Liksom  
 EG-direktivet 
  bör den nya lagen omfatta inte bara automatisk behandling av personuppgifter i text utan även automatisk behandling av personuppgifter som framgår av bilder eller ljud. Också i denna mening bör den nya lagen vara teknikoberoende och således omfatta t.ex. inlästa bilder på personer och inlästa bilder på pappersdokument som innehåller textuppgifter om personer. 
 116 
  
 Att personuppgifter förs över till datorformat innebär som framgått av vad som tidigare anförts särskilda möjligheter till avancerad behandling med åtföljande risk för oacceptabla integritetsintrång. Men det går givetvis att på ett otillbörligt sätt kränka den personliga integriteten även med mer gammalmodiga, manuella metoder. Den som vill göra något otillständigt med personuppgifter skulle, om en ny lag bara omfattade automatisk be- handling, kunna göra det för hand för att kringgå skyddsreglerna. Detta – jämte vad som anförs i utredningsdirektiven och vad som gäller enligt EG- direktivet – talar för att den nya lagen bör vara teknikoberoende även i den meningen att också behandling som inte är automatisk omfattas. Härtill kommer att användningen av ny teknik i samhällsutvecklingen inte hämmas genom att i stort sett samma regler gäller för såväl automatisk som manuell behandling av personuppgifter. 
 All manuell behandling av personuppgifter kan dock inte rimligen om- fattas av en ny lag. De osorterade telefonlapparna på skrivbordet bör ex- empelvis kunna få ligga kvar oberörda av lagen, liksom de uppgifter som finns i det mänskliga minnet. I likhet med vad som gäller enligt  
 EG-direk- 
  tivet bör därför manuell behandling omfattas av den nya lagen bara om uppgifterna ingår i – eller är avsedda att ingå i – ett register, dvs. har strukturerats efter bestämda kriterier som avser enskilda personer. 
 117 
  
 Vi har således kommit fram till att den nya lagen – i enlighet med vad som anges i utredningsdirektiven – bör vara teknikoberoende och att detta 
  
 116 
  
 I avsnitt 12.2.12 berörs närmare begreppen automatisk och icke automatisk be- handling av personuppgifter. 
  
 117 
  
 Begreppet register berörs närmare i avsnitt 12.2.8. 
  
 198  
 En teknikoberoende och generell persondatalag 
  
 SOU 1997: 39 
  
 innebär att lagen bör ha samma vida tillämpningsområde som  
 EG-direkti- 
  vet. 
 Det sagda innebär att den nya lag som vi föreslår får ett vidare tillämp- ningsområde än vad som krävs enligt grundlagsbestämmelsen i 2 kap. 3 § andra stycket regeringsformen; den bestämmelsen innebär att det skall finnas en lag som behandlar registrering av personuppgifter med hjälp av automatisk databehandling. Man skulle därför kunna överväga att justera grundlagsbestämmelsen i enlighet med det skydd som skall ges enligt den föreslagna lagen och  
 EG-direktivet. 
  Trots att det i utredningsdirektiven ta- las om att vi skall lämna förslag till en teknikoberoende skyddslag nämns där inget om att förslag rörande grundlagsbestämmelsen skulle ingå i vårt uppdrag. Vi har mot den bakgrunden stannat för att inte lämna något utar- betat förslag till ändring av grundlagsbestämmelsen; en ändring av den befintliga bestämmelsen torde för övrigt vara lagtekniskt sett enkel att göra, och Datalagsutredningen har dessutom redan lämnat förslag till hur en sådan ändring skulle kunna göras. 
  
 7.2.2 
  
 Uppgifter om juridiska personer 
  
 Vårt uppdrag kan inte anses omfatta frågan om juridiska personer bör ha ett särskilt skydd mot automatisk eller annan behandling av uppgifter om den juridiska personen. 
 118  
 Behandling av uppgifter om juridiska personer faller också utanför regleringen i  
 EG-direktivet. 
  Vi föreslår därför att den nya lagen bara skall omfatta behandling av personuppgifter. 
 119 
  
 7.2.3 
  
 Den nya lagen bör liksom hittills vara generell 
  
 EG-direktivet 
  gäller inte för sådan behandling av personuppgifter som ut- gör ett led i en verksamhet som inte omfattas av gemenskapsrätten. Be- träffande datalagen finns inte någon motsvarande begränsning. Datalagen omfattar i princip också personregister som förs av t.ex. polisen och krimi- nalvården; datalagen är generellt tillämplig. 
 Eftersom  
 EG-direktivet 
  i detta hänseende har ett snävare tillämpnings- område än den nuvarande generella datalagen, är det möjligt att göra un- 
  
 118 
  
 Inte heller Datalagsutredningen ansåg att frågan omfattades av den utredningens direktiv, se SOU 1993:10 s. 372. 
  
 119 
  
 Begreppet personuppgift berörs närmare i avsnitt 12.2.7. 
  
 SOU 1997: 39 
  
 En teknikoberoende och generell persondatalag  
 199 
  
 dantag från den nya lagen för sådant som inte omfattas av direktivet. För sådana verksamheter som inte omfattas av direktivet, t.ex. inom försvaret och polisen, torde det i och för sig behövas särregler i ganska stor ut- sträckning. Sådana nödvändiga särregler har med dagens system meddelats genom särskilda registerförfattningar som helt eller delvis tar över den ge- nerella datalagen (se avsnitt 8). Vi anser att det nuvarande systemet med en generell lag som innehåller grundläggande regler har sådana fördelar att det bör behållas. 
 Den nya lagen bör således – liksom datalagen i dag – gälla generellt och i princip tillämpas på all behandling av personuppgifter i samhället. 
  
 7.2.4 
  
 Privat användning av personuppgifter 
  
 EG-direktivet 
  omfattar inte rent privat användning av personuppgifter. Också den nuvarande datalagen undantar privata personregister från krav på licens och tillstånd. 
 Datortekniken får i dag anses tillgänglig för var och en i Sverige; en elektronisk telefon- och adressbok kostar bara några hundra kronor. Det är enligt vår mening mot bl.a. den bakgrunden inte rimligt att låta en lagstift- ning av aktuell karaktär omfatta även rent privat användning av person- uppgifter. Det skulle t.ex. kunna ses som en otillbörlig kränkning av den personliga integriteten att låta Datainspektionen få full insyn i våra rent privata släktforskningsregister och adressböcker. 
 Den möjlighet som  
 EG-direktivet 
  ger att undanta rent privat använd- ning av personuppgifter bör utnyttjas fullt ut. Det finns som vi ser det inte anledning att låta någon av bestämmelserna i den nya lagen gälla för sådan användning. Undantaget från lagen bör ha samma innebörd som enligt EG- direktivet. I avsnitt 3.2.4 berörs närmare innebörden av direktivet på denna punkt. 
 I avsnitt 6.2.2 har vi berört de svårigheter som  
 e-post 
  i form av löpande text för med sig vid tillämpningen av  
 EG-direktivet. 
 E-post 
  är ett kommu- nikationsmedel och den omständigheten att personuppgifter vidarebe- fordras med ett sådant medel utgör i sig inget skäl att inte tillämpa den föreslagna lagen på behandling av personuppgifter som sker genom och i anslutning till sådan kommunikation. Om myndigheter, företag eller orga- nisationer vidarebefordrar personuppgifter med  
 e-post 
  saknas anledning att inte låta lagens bestämmelser om behandling av personuppgifter bli til??lämpliga. Detsamma gäller om enskilda med användande av  
 e-post 
  
 200  
 En teknikoberoende och generell persondatalag 
  
 SOU 1997: 39 
  
 lämnar personuppgifter som myndigheterna samlar in exempelvis för statistik. 
  
 IT-utredningen 
  har lagt fram förslag om undantagande i vissa samman- hang av löpande text från datalagen. 
 120  
 Den frågan bereds i särskild ord- ning och vi går inte in på den här; till en del sammanfaller förslaget med vårt förslag om undantag för grundlagsskyddade yttranden. För egen del föreslår vi under avsnitt 12.12.2.3 att framställning av korrespondens och framställning av promemorior och annan löpande text skall kunna genom särskilda föreskrifter undantas från anmälningsskyldighet. Vi förutsätter att så kommer att ske. Detta innebär i praktiken att all intern hantering av så- dana texter kommer att vara undandragen annan insyn än den som Datain- spektionen kan utöva vid systemtillsyn hos myndigheter och större företag. 
 Saken kompliceras emellertid av att även enskilda människor numera i snabbt ökande omfattning använder  
 e-post 
  för kommunikationer med andra enskilda. Detta sker i flertalet fall utan någon som helst aning om att den föreslagna lagens bestämmelser om behandling av personuppgifter skulle kunna tänkas bli tillämpliga på det avsända meddelandet. Det finns ingen principiell skillnad mellan en sådan korrespondens och vanlig brev- växling. En tillämpning av  
 EG-direktivet 
  på privat korrespondens kan inte rimligen ha varit avsedd vid direktivets tillkomst och bör inte heller komma i fråga. Den bör därför hänföras till vad som är ett led i en verk- samhet av rent privat natur. 
 En annan sak är enskildas korrespondens med myndigheter, företag eller organisationer. Den kan i vart fall inte på den senare sidan hänföras till vad som är av privat natur. Viss tillämpning skulle dock vara så absurd att den får avböjas av rena förnuftsskäl. Det kan exempelvis tänkas att det till regeringskansliet inkommer brev från enskilda med allvarliga beskyll- ningar mot anhöriga eller grannar. Sådana brev skall naturligtvis vara till- gängliga enligt offentlighetsprincipen. Men att regeringskansliet eller nå- gon annan mottagare skulle särskilt informera grannarna eller de anhöriga om den behandling som mottagandet – och i fråga om myndigheter beva- randet enligt offentlighetsprincipen – utgör kan naturligtvis inte komma i fråga. Det rör sig emellertid här om så exceptionella fall att någon särregle- ring inte kan anses erforderlig. Det kan tilläggas att när anmälningar om brott görs till polismyndighet så faller de enligt artikel 3.2 utanför  
 EG-di- 
  rektivets tillämpningsområde och kan nationellt regleras genom särskilda 
  
 120  
 Se SOU 1996:40 s. 164 ff. 
 SOU 1997: 39 
 En teknikoberoende och generell persondatalag  
 201 
  
 registerförfattningar. Registerutredningen (Ju 1995:01) ser för närvarande över registrerandet av uppgifter inom polisens område. 
 I direktivet talas det om behandling av personuppgifter av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll. Vi har emellertid för att förenkla valt att i den föreslagna persondatalagen bara tala om sådan behandling som är ett led i en verksamhet av rent privat natur. Någon saklig skillnad är inte av- sedd. Det som har samband med någons hushåll får i detta sammanhang anses vara av rent privat natur, t.ex. den registrering som en arbetsgivare gör av de arbetstagare som arbetar i hans eller hennes hushåll, inklusive handikappades registrering av personliga assistenter. 
 121 
  
 7.2.5 
  
 Lagens namn 
  
 Den nya lagen skall således principiellt sett vara generellt tillämplig och innehålla en reglering av i princip all behandling av personuppgifter utom manuell behandling av uppgifter som inte ingår i eller är avsedda att ingå i ett register. En sådan generell lag bör av praktiska skäl ha ett kort namn, som ger en orientering om vad lagen omfattar. 
 Vi har kommit fram till att  
 persondatalagen  
 är ett lämpligt namn. Det är kort och leder tanken i rätt riktning, nämligen att det gäller en lag om hur uppgifter (data) om personer skall hanteras, särskilt i fråga om så- dana uppgifter som finns på data. Att uttrycket persondata sedan inte an- vänds i själva lagtexten bör inte ha någon avgörande betydelse, när namnet personuppgiftslagen låter så pass mycket sämre. 
 Vi föreslår således att den nya lagen skall heta persondatalagen. När vi i det följande talar om persondatalagen avses således den nya lag som vi föreslår. 
  
 121 
  
 Se, rörande sådant arbete som en arbetstagare utför i arbetsgivarens hushåll, lagen (1970:943) om arbetstid m.m. i husligt arbete. 
  
 SOU 1997: 39 
  
 203 
  
 8 Förhållandet till särskilda registerförfattningar 
 Vårt uppdrag omfattar inte de särskilda registerförfattningarna. Vi föreslår därför att särregler i registerförfattningar skall gälla framför den nya per- sondatalagen. 
  
 8.1 
  
 Bakgrund 
  
 Enligt den nuvarande datalagen behövs inte tillstånd av Datainspektionen för personregister som har inrättats genom beslut av riksdagen eller rege- ringen (2 a §). Sådana register brukar kallas  
 statsmaktsregister 
 . Datain- spektionen kan dock meddela föreskrifter för registret i den mån riksdagen eller regeringen inte har gjort det (6 a och 18 §§). När ett personregister är reglerat i lag eller förordning, är det således undandraget Datainspektio- nens tillståndsprövning och – mer eller mindre – inspektionens föreskrifts- rätt. Datainspektionen får t.ex. inte själv fritt bestämma om sitt eget licens- register  
 (3–6 
  §§ dataförordningen). 
 Det finns i dag bestämmelser om personregister i en mängd olika lagar och förordningar. 
 122  
 Avsikten är att Datainspektionen skall höras innan sådana författningar beslutas. 
 123  
 Det är inte nödvändigt att beslutet att in- 
  
 122 
  
 Sådana lagar och förordningar kallas i det följande för registerförfattningar, även om författningen i första hand reglerar annat än ett register. – En förteckning över vissa registerförfattningar finns som bilaga 6 till SOU 1993:10. 
  
 123 
  
 Se prop. 1993/94:217 s. 22 f. Före den 1 januari 1995 fanns det en uttrycklig regel om att ett särskilt yttrande skulle hämtas in från Datainspektionen innan det in- rättades ett statsmaktsregister med känsliga personuppgifter, se avsnitt 2.4.3. 
  
 204  
 Förhållandet till särskilda registerförfattningar 
  
 SOU 1997: 39 
  
 rätta ett register får formen av en lag eller förordning, och detta kan ibland leda till osäkerhet om ett visst register kräver tillstånd eller inte. 
 124 
  
 År 1990 uttalade regeringen att målsättningen bör vara att register med ett stort antal registrerade och ett särskilt känsligt innehåll skall regleras i lag. 
 125  
 Konstitutionsutskottet ansåg att det allmänt sett är av stor betydelse att en författningsreglering kommer till stånd i syfte att stärka skyddet för de registrerades integritet i samband med nödvändig registrering av käns- liga uppgifter i myndighetsregister. Det förutsattes att regeringen ägnar fortlöpande uppmärksamhet åt frågan om vilka register som bör regleras och att åtgärder vidtas för att sådana regleringar kommer till stånd. 
 126 
  
 Dessa uttalanden har ofta åberopats i senare lagstiftningsärenden. På se- nare år har det tillkommit allt fler registerförfattningar. Som exempel kan nämnas: 
  
 N  
  
 Tullregisterlagen  
 (1990:137) med anslutande förordning (1990:179) – prop. 1989/90:40 
  
 N  
  
 15–18 
  
  §§ lagen (1990:886) om  
 granskning och kontroll av filmer och videogram  
 med anslutande förordning (1990:992;  
  
 8–9 
  
  §§) 
  
 N  
 16 §  
 insiderlagen  
 (1990:1342) – insiderregister – med anslutande förordning (1996:1023) – utredningsregister 
  
 N  
 Lagen (1990:1536) om  
 folkbokföringsregister  
 med anslutande förordning (1991:750) 
 – prop. 1990/91:53 
  
 N  
  
 Lagen (1991:876) om  
 register för betalningsföreläggande och handräckning  
 med anslutande förordning (1992:76) – prop. 1990/91:126 
  
 N  
  
 Förordningen (1992:1027) om  
 register för strafföreläggande, föreläggande av ord- ningsbot, m.m. 
  
 N  
  
 Lagen (1993:747) om  
 sjukförsäkringsregister hos de allmänna försäkringskassorna  
 med anslutande förordning (1993:836) – prop. 1992/93:193 
  
 N  
  
 Lagen (1993:825) om  
 personregister i riksdagens informationssystem Rixlex 
  
 N  
 Förordningen (1993:982) om  
 bostadsbidragsregister  
 (se numera SFS 1995:1016 nedan) 
  
 N  
  
 Förordningen (1993:1058) om  
 sjukvårdsregister hos Socialstyrelsen för forskning och statistik  
 (se också SFS 1996:1293) 
  
 N  
  
 Förordningen (1993:1153) om  
 redovisning av studier m.m. vid universitet och hög- skolor 
  
 N  
 Förordningen (1993:1270) om förande av  
 samfällighetsföreningsregister  
 m.m. 
  
 N  
  
 Förordningen (1994:348) om  
 register för skuldsaneringsärenden 
  
 N  
 Lagen (1994:448) om  
 pantbrevsregister  
 med anslutande förordning (1994:598) 
  
 124 
  
 Se t.ex. de fall som refereras i Butler  Cordova, Datalagen med kommentarer, 1989, s. 89 ff. 
  
 125 
  
 Prop. 1990/91:60 s. 58. 
  
 126 
  
 KU 1990/91:11 s. 11. 
  
 SOU 1997: 39 
  
 Förhållandet till särskilda registerförfattningar  
 205 
  
 N  
 Lagen (1994:459) om  
 arbetsförmedlingsregister  
 med anslutande förordning (1994:460) – prop. 1993/94:235 
  
 N  
 Förordningen (1994:565) om  
 vårdnadsbidragsregister  
  
 N  
 Förordningen (1994:1283) om  
 lönegarantiregister 
  
 N  
 Lagen (1994:1517) om  
 socialförsäkringsregister  
 – prop. 1994/95:8 – med anslutande förordning (1996:1037) om register för vissa bidrag till barn 
  
 N  
 Förordningen (1994:1521) om  
 biverkningsregister  
 angående läkemedel 
  
 N  
 Förordningen (1994:1543) om Utrikesdepartementets  
 personregister över främman- de staters beskickningspersonal m.m. 
  
 N  
 Förordningen (1994:1544) om  
 bostadstilläggsregister 
  
 N  
 Förordningen (1994:1671) om tillfälligt  
 statistikregister  
 inom Riksrevisionsverket  
 för kartläggning av vissa förmåner 
  
 N  
 12 kap.  
 alkohollagen  
 (1994:1738) 
  
 N  
  
 Förordningen (1994:1933) om  
 register över europeiska intressegrupper 
  
 N  
  
 Lagen (1995:606) om  
 vissa personregister för officiell statistik  
 med anslutande för- ordning (1995:1060) – prop. 1994/95:200 
  
 N  
 Lagen (1995:743) om  
 aviseringsregister  
 med anslutande förordning (1996:1298) – prop. 1994/95:201 
  
 N  
 Förordningen (1995:1016) om  
 bostadsbidragsregister 
  
 N  
  
 Lagen (1995:1536) om  
 provverksamhet avseende hushålls- och bostadsuppgifter  
 med anslutande förordning (1996:434) 
  
 N  
 Lagen (1995:1537) om  
 lägenhetsregister  
 med anslutande förordning (1996:435) – prop. 1995/96:90 
  
 N  
  
 25–27 
  §§ lagen (1996:786) om  
 tillsyn över hälso- och sjukvården  
 – prop. 1995/96:176 s. 85 ff. 
  
 N  
  
 Lagen (1996:810) om  
 registrering av riksdagsledamöters åtaganden och ekonomiska intressen  
 – KU 1995/96:13 
  
 N  
  
 Förordningen (1996:825) om  
 register för reglering av vissa vårdkostnader mellan  
 EES-länder 
  
 N  
 Lagen (1996:1156) om  
 receptregister  
 – prop. 1996/97:27 (SOU 1995:122) 
  
 N  
  
 Förordningen (1996:1306) om  
 tillfälligt utlämnande av uppgifter från ett folkbokfö- ringsregister 
  
 N  
  
 Förordningen (1996:1389) om  
 register hos Statens invandrarverk över fingeravtryck 
 Det finns vidare flera färska utredningar rörande nya registerförfattningar, se t.ex.: 
  
 N  
 SOU 1994:30 ( 
 röstlängdsregister 
 ); se också prop. 1996/97:70 
  
 N  
  
 SOU 1995:86 ( 
 socialtjänstregister 
 ) 
  
 N  
  
 SOU 1995:95 ( 
 hälsodataregister och vårdregister 
 ) 
  
 N  
  
 SOU 1995:147 ( 
 register över hälso- och sjukvårdspersonal 
 ) 
  
 N  
  
 SOU 1996:35 ( 
 kriminalunderrättelseregister och  
 DNA-register 
 ) 
  
 N  
  
 Ds 1996:19 ( 
 kriminalvårdsregister 
 ) 
  
 N  
  
 Ds 1996:70 (ny  
 socialförsäkringsregisterlag 
 ) 
  
 N  
  
 SOU 1996:72 ( 
 rättspsykiatriskt forskningsregister 
 )  
  
 N  
  
 SOU 1996:94 ( 
 teleadressregister 
 ) 
  
 N  
  
 Ds 1997:2 ( 
 Tullverkets brottsregister 
 )  
  
 N  
  
 SOU 1997:3 ( 
 fastighetsdataregister 
 ) 
  
 206  
 Förhållandet till särskilda registerförfattningar 
  
 SOU 1997: 39 
  
 Och nya registerförfattningar utreds för närvarande, se t.ex.: 
  
 N  
 Registerutredningen (Ju 1995:01), dir. 1995:38 och 1996:22, jämför prop. 1994/95:144 
  
 N  
 Pliktregisterutredningen (Fö 1996:03), dir. 1996:14  
 N  
 Grunddatabasutredningen (Fi 1996:06), dir. 1996:43 
  
 N  
 Bulvanutredningen (Ju 1996:06), med uppdrag att bl.a. utreda frågan om ägarregister avseende fåmansbolag, dir. 1996:55 
  
 N  
 Register för skattebrottsutredningar, dir. 1996:89 
  
 N  
 En utredning om ett offentligt bostadsrättsregister (Ju 1996:10), dir. 1996:108 
  
 N  
 En översyn av bestämmelserna inom trafikregisterområdet (K 1996:06), dir. 1996:117 
 Det pågår vidare t.ex. diskussioner om informationshantering inom s.k.  
 Europol-samarbete. 
  
 Datalagsutredningens förslag  
 innebar att systemet med särskilda regis- terförfattningar skulle finnas kvar vid sidan av den lag som utredningen fö- reslog. 
 127 
  
 Det har på senare tid förts fram  
 kritik mot systemet  
 med en mängd sär- skilda registerförfattningar. Toppledarforum ansåg att författningsmetodi- Adkins var ologisk och föreslog att behovet av de befintliga registerförfatt- ningarna skulle omprövas. Några nya registerförfattningar enligt nuva- rande modell borde, enligt Toppledarforum, inte införas, även om undan- tag kunde tänkas för mycket speciella verksamheter, såsom säkerhetspoli- sen och delar av sjukvården. 
 128  
 Skälen för ställningstagandet var att me- todiken med registerförfattningar ansågs omständlig och tidsödande. Systemändringar även av detaljkaraktär, t.ex. på grund av ändringar i verk- samheten eller den tekniska utvecklingen, måste ofta föregås av ändringar i registerförfattningen, och detta tar tid och kräver resurser inom riksdagen, regeringen och den berörda myndigheten. Angelägna projekt kan försenas eller inte bli av. 
 129 
  
 127 
  
 Se SOU 1993:10 s. 165 ff. 
  
 128 
  
 LEXIT – Förstudie, 1995, s. 42. 
  
 129 
  
 LEXIT – Förstudie, 1995, s. 37 f. 
  
 SOU 1997: 39 
  
 Förhållandet till särskilda registerförfattningar  
 207 
  
 8.2 
  
 Överväganden 
  
 8.2.1 
  
 De särskilda registerförfattningarna omfattas inte av vårt uppdrag 
  
 Vi har i uppdrag att göra en total revision av den generella datalagen. De särskilda registerförfattningarna nämns inte i våra utredningsdirektiv. Re- geringen har sedan våra utredningsdirektiv beslutades tillsatt flera utred- ningar med uppdrag att bl.a. lämna förslag till registerförfattningar och därvid hänvisat till de principiella uttalandena från år 1990 om att mål- sättningen bör vara att register med ett stort antal registrerade och ett sär- skilt känsligt innehåll skall regleras i lag. 
 130 
  
 Mot den bakgrunden kan vi inte annat än konstatera att överväganden rörande de särskilda registerförfattningarna faller utanför vårt uppdrag, lik- som t.ex. informationshantering inom Europol. Det förefaller dock nöd- vändigt att även med den nya lagstiftning som vi föreslår ha särregler i vissa fall; på vilken nivå denna särreglering lämpligen bör beslutas – av riksdagen, regeringen eller någon kompetent myndighet – ankommer det som sagt inte på oss att överväga. 
 Våra överväganden och förslag i detta betänkande avser alltså inte så- dant som i dag är särreglerat och inte heller de områden där det i särskild ordning övervägs regler rörande register eller behandling av personuppgif- ter. 
  
 8.2.2 
  
 Undantag från den generella lagstiftningen för särskilda registerförfattningar 
  
 Vi har således kommit fram till att den persondatalag som vi föreslår bör innehålla en bestämmelse som innebär att särregleringen inte berörs. I den mån någon särreglering inte finns för ett statsmaktsregister, kommer alltså persondatalagen att gälla för det registret. Liksom i dag bör Datainspektio- nen i princip ha att utöva tillsyn även beträffande särreglerade statsmakts- register, dock att det i speciella situationer, såsom i vissa fall inom t.ex. försvaret eller säkerhetspolisen, kan finnas anledning att ha särregler om 
  
 130  
 Se dir. 1995:96 och 1995:120. 
  
 208  
 Förhållandet till särskilda registerförfattningar 
  
 SOU 1997: 39 
  
 tillsynen. Frågan om Datainspektionens tillsyn berörs närmare i avsnitt 12.14.1. 
 Undantaget i den nuvarande datalagen gäller för sådana register som har inrättats genom beslut av riksdagen eller regeringen. Vi föreslår emellertid att bara särregler i lag eller förordning skall ta över bestämmel- serna i den nya persondatalagen. Att riksdagen och regeringen i dag kan besluta om att inrätta register (med verkan att datalagen delvis inte gäller) på annat sätt än genom en författning (lag eller förordning) har bara lett till osäkerhet om vad som gäller, t.ex. för register som en myndighet i prakti- Adkins behöver upprätta för att fullgöra det som ålagts den genom beslut av riksdagen eller regeringen. Om vissa avvikelser från den persondatalagen skall göras för statsmaktsregister, är det för övrigt lämpligt att detta över- vägs i den ordning som normalt gäller för författningar och att det i för- fattning preciseras vilka avvikelser som avses. Detta gäller även sådana register som riksdagen själv för. 
 131  
 Det bör inför ikraftträdandet av per- sondatalagen göras en översyn av vilka beslut med särregler som fortfa- rande kan gälla. 
 Persondatalagen kommer att vara anpassad till Sveriges skyldigheter på grund av  
 EG-direktivet. 
  Det finns inte någon garanti för att de befintliga särskilda registerförfattningarna är det. Vi har övervägt att föreslå en sär- skild bestämmelse i persondatalagen av innebörd att särregler i lag eller förordning skulle få gälla framför den nya,  
 EG-anpassade 
  lagen bara i den utsträckning som särreglerna inte strider mot vad som följer av  
 EG-direk- 
  tivet. Om det skulle finnas någon bestämmelse i en registerförfattning som inte är förenlig med vad som följer av  
 EG-direktivet, 
  skulle alltså den nya lagen – och inte  
 EG-direktivet 
  direkt – gälla. Den nya  
 EG-anpassade 
  lagen skulle således förses med en s.k.  
 EG-spärr 
  beträffande avvikande lagstift- ning. Liknande  
 EG-spärrar 
  som förhindrar enligt  
 EG-rätten 
  otillåtna avvi- kelser från en grundläggande,  
 EG-anpassad 
  lagstiftning finns på andra håll i lagstiftningen såvitt avser otillåtna avvikelser genom kollektivavtal. 
 132  
 Det finns dock även exempel på motsvarande  
 EG-spärr 
  i en grund- 
  
 131 
  
 Jämför lagen (1993:825) om personregister i riksdagens informationssystem Rix- lex och lagen (1996:810) om registrering av riksdagsledamöters åtaganden och ekonomiska intressen. 
  
 132 
  
 Se 2 § tredje stycket 1 p. lagen (1982:80) om anställningsskydd och 4 § andra stycket lagen (1976:580) om medbestämmande i arbetslivet (SOU 1993:32 och prop. 1993/94:67 samt SOU 1994:83 och prop. 1994/95:102) samt 3 § fjärde stycket arbetstidslagen (1982:673) (SOU 1995:92 och prop. 1995/96:162). 
  
 SOU 1997: 39 
 Förhållandet till särskilda registerförfattningar  
 209 
  
 läggande,  
 EG-anpassad 
  lag som direkt tar sikte på enligt  
 EG-rätten 
  otil??låtna avvikelser genom förordningar och myndighetsföreskrifter. 
 133 
  
 Det är emellertid nödvändigt att se över de befintliga registerförfatt- ningarna innan den nya lagstiftningen börjar tillämpas på deras respektive områden. Registerförfattningarna måste anpassas till såväl  
 EG-direktivet 
  som den föreslagna persondatalagen. Registerförfattningarna bygger på att den generellt tillämpliga datalagen fyller ut där det inte finns särregler, och när nu datalagen byts ut mot persondatalagen med delvis andra regler och annan terminologi, måste givetvis vissa justeringar ske i registerförfatt- ningarna för att passa in dem i den nya, grundläggande rättsliga miljön. Eftersom de svenska bestämmelserna som inför direktivet inte behöver tillämpas på behandlingar av personuppgifter som pågår i oktober 1998 förrän på hösten år 2001 (se närmare avsnitt 12.15), finns det en viss respit för att göra en sådan översyn av befintliga registerförfattningar. Detta kommer visserligen att bli ett mycket omfattande arbete. Vi förutsätter dock att det hinns med innan  
 EG-direktivet 
  måste tillämpas efter den över- gångstid som gäller. 
 Direktivet innehåller ett stort antal komplicerade regler som är svår- tillämpade för enskilda och myndigheter. Dessa bör med fog kunna för- vänta sig att de lagar och förordningar som är i kraft överensstämmer med  
 EG-direktivet. 
  I sista hand gäller visserligen direktivet, men det finns inte skäl att anta, att detta i praktiken kommer att medföra några komplikatio- ner. En  
 EG-spärr 
  skulle i så fall bara skapa oro utan att medföra någon motsvarande nytta. Vi har därför inte funnit anledning att föreslå någon  
 EG-spärr 
  i persondatalagen. 
 På motsvarande sätt har vi resonerat när det gäller de bestämmelser som innebär att myndigheter eller enskilda är skyldiga att lämna ut uppgif- ter. 
 134  
 Med hänsyn till att  
 EG-direktivet 
  och den föreslagna persondata- 
  
 133 
  
 Se 25 § lagen (1974:13) om vissa anställningsfrämjande åtgärder (den s.k. främ- jandelagen) och därtill SOU 1994:83 s. 126 f. samt prop. 1994/95:102 s. 76 f. 
  
 134 
  
 Se t.ex. 71 § socialtjänstlagen (1980:620) (anmälan om misshandel m.m. mot underåriga) och förordningen (1982:772) om skyldighet att anmäla vissa allvarliga skador m.m. i hälso- och sjukvården samt alla de regler som finns om att myndig- heter och domstolar skall underrätta varandra om sina domar och beslut. I dessa fall bör man dock utan mera ingående prövning tills vidare kunna utgå från att ett utlämnande är tillåtet när det gäller personuppgifter i allmänhet enligt artikel 7 e (allmänt intresse, myndighetsutövning) och när det gäller känsliga personuppgifter enligt artikel 8.4 (viktigt allmänt intresse). I det senare fallet skall dock undantag anmälas till kommissionen enligt artikel 8.6. 
  
 210  
 Förhållandet till särskilda registerförfattningar 
  
 SOU 1997: 39 
  
 lagen innebär att utlämnande av personuppgifter bara får ske om utlämnan- det inte är oförenligt med de ändamål för vilka uppgifterna samlades in (se avsnitt 12.4.3) måste dessa bestämmelser ses över, något som inte kan an- ses omfattat av vårt uppdrag. 
  
 8.2.3 
  
 Datainspektionen skall höras när registerförfattningar beslutas 
  
 Enligt artikel 28.2 i  
 EG-direktivet 
  skall medlemsstaterna se till att tillsyns- myndigheten – dvs. i Sverige Datainspektionen – hörs när sådana författ- ningar utarbetas som rör skyddet av enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter. 
 En uttrycklig motsvarande bestämmelse i datalagen avskaffades på Datalagsutredningens förslag 
 135  
 per den 1 januari 1995. 
 136  
 Avsikten var att avskaffandet på intet sätt skulle innebära någon lättnad i kravet på re- missbehandling av förslag till nya statsmaktsregister (även om syftet med avskaffandet i och för sig var att minska Datainspektionens arbetsbörda). 
 I 7 kap. 2 § regeringsformen finns en bestämmelse om att behövliga upplysningar och yttranden skall hämtas in vid beredningen av regerings- ärenden. Den bestämmelsen bör tolkas i belysning av vad som krävs enligt  
 EG-direktivet. 
  När regeringen i fråga om en registerförfattning beslutar en förordning eller tar initiativ till en lag, finns det således enligt vår mening tillräckliga garantier för att Datainspektionen hörs på det sätt som krävs enligt direktivet. 
 Någon motsvarande s.k. remisskyldighet finns inte när det inom riks- dagen tas initiativ till en registerförfattning, t.ex. om reglering av riksda- gens egna register. 
 137  
 I 4 kap. 10 § riksdagsordningen finns det dock be- stämmelser om att statlig myndighet – t.ex. Datainspektionen – är skyldig att lämna upplysningar och yttra sig när ett riksdagsutskott begär det och om att sådana upplysningar och yttranden som huvudregel skall hämtas in om minst fem utskottsledamöter begär det. 
  
 135 
  
 Se SOU 1993:10 s. 173 f. 
  
 136 
  
 Se prop. 1993/94:217 s. 22 f. och SFS 1994:1485. 
  
 137 
  
 Jämför KU 1992/93:32, beträffande personregister i riksdagens informationssys- tem Rixlex, och KU 1995/96:13, beträffande registrering av riksdagsledamöters åtaganden och ekonomiska intressen. 
  
 SOU 1997: 39 
 Förhållandet till särskilda registerförfattningar  
 211 
  
 Det får förutsättas att riksdagen utan en särskild bestämmelse om detta ser till att Datainspektionen har hörts på det sätt som  
 EG-direktivet 
  kräver när en registerförfattning beslutas efter ett initiativ inom riksdagen. 
 Vi anser således att det inte är nödvändigt med hänsyn till  
 EG-direkti- 
  vet att åter införa den bestämmelse om obligatoriskt yttrande från Datain- spektionen som nyss avskaffats. 
  
 SOU 1997: 39 
  
 213 
  
 9 Förhållandet till offentlighetsprincipen 
 Det går att förena  
 EG-direktivet 
  med offentlighetsprincipen enligt 2 kap. TF. Vi föreslår en uttrycklig bestämmelse som klargör att den nya person- datalagen inte skall tillämpas, om det skulle inskränka myndigheternas skyldighet att lämna ut personuppgifter enligt 2 kap. TF. Vidare föreslås en uttrycklig bestämmelse om att lagen inte hindrar att en myndighet bevarar allmänna uppgifter eller att arkivmaterial tas om hand av en arkivmyndig- het. 
  
 9.1 
  
 Inledning 
  
 Innebörden av offentlighetsprincipen och våra förslag rörande den berörs närmare i den andra delen av betänkandet. I detta avsnitt berör vi bara för- hållandet mellan å ena sidan offentlighetsprincipen, som enligt utred- ningsdirektiven inte skall förändras, och å andra sidan den nya personda- talag som vi föreslår och  
 EG-direktivet. 
  För sammanhangets skull bör dock här nämnas 
  
 N  
 att offentlighetsprincipen innefattar en rätt för varje svensk medborgare att ta del av allmänna handlingar, inklusive personregister, i den ut- sträckning handlingarna inte innehåller uppgifter för vilka gäller sekre- tess (2 kap.  
 1–2 
  §§ TF) och 
  
 N  
 att den som begär att få ta del av allmänna handlingar i allmänhet har rätt att få vara anonym (2 kap. 14 § 3 st. TF). 
 Vidare bör i fråga om andra regler än dem som finns i grundlag här nämnas att myndigheterna – för att offentlighetsprincipen i praktiken skall ha något värde – måste vara skyldiga att 
  
 N  
 i handlingar dokumentera uppgifter av betydelse för verksamheten (t.ex. 15 § förvaltningslagen, 31 § verksförordningen och 14 § datalagen), 
  
 214  
 Förhållandet till offentlighetsprincipen 
  
 SOU 1997: 39 
  
 N  
 registrera och strukturera sina handlingar så att man kan hitta bland dem (15 kap. sekretesslagen) och 
  
 N  
 bevara sina handlingar i tillräcklig utsträckning i arkiv (arkivlagen). 
 Datalagsutredningen kom fram till att vissa bestämmelser i 1992 års för- slag till  
 EG-direktiv 
  var svåra eller omöjliga att förena med offentlighets- principen. 
 138  
 Sverige har emellertid, bl.a. efter inträdet i EU, tagit aktiv del i de fortsatta förhandlingarna om  
 EG-direktivet 
  och agerat hårt för att få till stånd sådana lösningar att direktivet inte står i motsättning till den svenska offentlighetsprincipen. På flera punkter avviker den antagna direktivtexten från 1992 års förslag. Sverige har också lyckats få in en bestämmelse i in- gressen till direktivet som klargör att det är möjligt att vid genomförandet av direktivets bestämmelser ta hänsyn till principen om allmänhetens rätt till tillgång till allmänna handlingar (punkt 72). Av utredningsdirektiven framgår vidare att det är den svenska regeringens bedömning att det i EG- direktivet inte finns någon bestämmelse som står i strid med en tillämpning av den svenska offentlighetsprincipen. Vi anser att det är möjligt att – mot bakgrund av den uttryckliga bestämmelse som har tagits in i punkt 72 i ingressen – tolka bestämmelserna i  
 EG-direktivet 
  på ett sådant sätt att det som är grundlagsfäst eller annars särskilt betydelsefullt beträffande offent- lighetsprincipen kan behållas. 
  
 9.2 
  
 Utlämnande av personuppgifter enligt offentlighetsprincipen 
  
 Den grundlagsfästa delen av offentlighetsprincipen rör utlämnandet av personuppgifter, som finns i allmänna handlingar, till en obestämd krets mottagare. Övriga inledningsvis nämnda regler – om skyldighet att doku- mentera, registrera och arkivera – utgör i och för sig en förutsättning för att den grundlagsfästa delen av offentlighetsprincipen i praktiken skall ha nå- got värde. Men det står samtidigt klart att Sverige inte med hänvisning till offentlighetsprincipen och vad som sägs i punkt 72 i ingressen till  
 EG-di- 
  rektivet kan undanta all registrering av personuppgifter inom den offent- liga sektorn. I den utsträckning som en viss personregistrering inte kan 
  
 138  
 Se SOU 1993:10 s. 85 ff. 
  
 SOU 1997: 39 
  
 Förhållandet till offentlighetsprincipen  
 215 
  
 til??låtas enligt  
 EG-direktivet, 
  kommer det alltså inte att finnas något för allmänheten att titta på med stöd av offentlighetsprincipen. 
 Enligt vår mening kan man beträffande  
 EG-direktivet 
  resonera på följande sätt när det gäller utlämnande av personuppgifter med stöd av den grundlagsfästa offentlighetsprincipen. 
 Att personuppgifter lämnas ut med stöd av den grundlagsfästa offent- lighetsprincipen är i och för sig att anse som en sådan behandling av per- sonuppgifter som omfattas av  
 EG-direktivet. 
  
 Av  
 artikel 6.1 b  
 framgår att personuppgifter skall samlas in för sär- skilda, uttryckligt angivna ändamål och att senare behandling av uppgif- terna inte får ske på ett sätt som är oförenligt med de ändamål för vilka uppgifterna ursprungligen samlades in; också enligt Europarådets data- skyddskonvention (artikel 5 b) skall personuppgifter för automatisk data- behandling lagras för särskilda ändamål och inte användas på ett sätt som är oförenligt med dessa ändamål. – Enligt vår uppfattning kan en myndig- hets utlämnande av personuppgifter med stöd av offentlighetsprincipen inte anses vara oförenligt med de ändamål för vilka uppgifterna ursprung- ligen samlades in. Offentlighetsprincipen framgår av grundlagen och får anses utgöra en integrerad del av all förvaltningsverksamhet som myndig- heterna ägnar sig åt. 
 Av  
 artikel 7  
 framgår att personuppgifter får behandlas, t.ex. lämnas ut, om det är nödvändigt för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige eller för att fullgöra en arbetsuppgift som är ett led i myndighetsutövning som utförs av den registeransvarige. – De regis- teransvariga myndigheterna är rättsligt förpliktade att följa bl.a. grundlags- reglerna om utlämnande av allmänna handlingar, och utlämnandet är också ett led i deras myndighetsutövning. Utlämnandet är alltså tillåtet enligt ar- tikel 7. 
 Behandling – utlämnande – av känsliga personuppgifter skall i princip förbjudas enligt  
 artikel 8 
 . Det är emellertid tillåtet att av hänsyn till ett viktigt allmänt intresse göra undantag från förbudet, om det finns lämpliga skyddsåtgärder (artikel 8.4). – Att utlämnande kan ske enligt den grund- lagsfästa offentlighetsprincipen är ett viktigt svenskt allmänt intresse. De svenska sekretessbestämmelserna medför att sådana känsliga personupp- gifter som avses i artikel 8 i praktiken inte kommer att lämnas ut om den enskilde kan skadas eller drabbas negativt av utlämnandet. Sekretessbe- stämmelserna får anses utgöra sådana lämpliga skyddsåtgärder som avses i  
 EG-direktivet. 
  Det finns alltså inget hinder mot att föreskriva ett undantag från det principiella förbudet mot behandling av personuppgifter i artikel 8 
  
 216  
 Förhållandet till offentlighetsprincipen 
  
 SOU 1997: 39 
  
 för sådant utlämnande som sker med stöd av offentlighetsprincipen. Det undantaget måste dock anmälas till kommissionen enligt artikel 8.6. 
 När uppgifter om en viss person samlas in från den berörde själv, skall 
  
 – 
  
 enligt  
  
 artikel 10  
 – den information lämnas som är nödvändig för att till- försäkra den registrerade en korrekt behandling, exempelvis information om mottagarna eller de kategorier som mottar uppgifterna. Information behöver dock inte lämnas i den mån den registrerade redan känner till in- formationen. I artikel 11.1 finns det motsvarande bestämmelser för det fallet att personuppgifterna inte har samlats in från den registrerade själv utan hämtats från något annat håll. – Eftersom offentlighetsprincipen inne- bär att var och en kan få ut personuppgifter och att den som får uppgifterna i princip har rätt att vara anonym, kan den myndighet som samlar in per- sonuppgifter inte lämna information om till vilka personer uppgifterna kan komma att lämnas ut. Däremot kan information givetvis lämnas om att uppgifterna kan komma att lämnas ut enligt offentlighetsprincipen till den som begär det. Härigenom får de registrerade – på det sätt direktivet kräver 
  
 – 
  
 information om till vilka kategorier av mottagare som uppgifterna kan komma att lämnas ut. Eftersom utlämnande enligt offentlighetsprincipen sedan lång tid tillbaka föreskrivits i svensk grundlag, kan det vidare förut- sättas att allmänheten redan känner till den informationen. Därför torde det inte vara helt nödvändigt att lämna information i detta hänseende. 
  
 Enligt  
 artikel 13.1 g  
 är det tillåtet för medlemsstaterna att göra nöd- vändiga undantag från bl.a. bestämmelserna i artikel 6.1, 10 och 11.1 med hänsyn till skyddet av den registrerades eller andras fri- och rättigheter. – Rätten för var och en att få ta del av allmänna handlingar med stöd av den grundlagsfästa offentlighetsprincipen är en sådan rättighet som kan göra det befogat med undantag. 
 Som framgått av det anförda finns det goda möjligheter att förena den grundlagsfästa delen av offentlighetsprincipen med bestämmelserna i di- rektivet. Vi anser att det – för att inte någon tvekan skall uppkomma om hur den nya lagstiftningen förhåller sig till grundlagen – bör införas en ut- trycklig bestämmelse om att den nya persondatalagen inte skall tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet att lämna ut personuppgifter enligt 2 kap. TF. 
 139  
 Den bestämmelsen, som omfattar 
  
 139 
  
 Hur  
  
 EG-direktivet 
  förhåller sig till andra bestämmelser i tryckfrihetsförordningen, dvs. bl.a. bestämmelserna om tryckfrihet och skydd för den som lämnar ut uppgif- ter till pressen, berörs i avsnitt 10. 
 SOU 1997: 39 
 Förhållandet till offentlighetsprincipen  
 217 
  
 även känsliga personuppgifter, bör anmälas till kommissionen enligt arti- kel 8.6. 
  
 9.3 
  
 Rättelse av uppgifter hos myndigheter 
  
 Offentlighetsprincipen innebär att var och en i princip har rätt att få reda på de uppgifter som faktiskt har bestämt utgången av ett ärende oavsett om uppgifterna objektivt sett är riktiga och fullständiga; den enskilde har rätt att få se även ett dåligt beslutsunderlag. 
 Enligt artikel 6.1  
 c–d 
  i  
 EG-direktivet 
  är det ett grundläggande krav att de behandlade personuppgifterna är adekvata, relevanta, riktiga och, om nödvändigt, aktuella. Den registrerade skall vidare enligt artikel 12 b ha rätt att i förekommande fall få sådana uppgifter som inte har behandlats i enlighet med bestämmelserna i direktivet rättade, utplånade eller blockera- de, särskilt om uppgifterna är ofullständiga eller felaktiga. Enligt artikel 13.1 g är det dock tillåtet för medlemsstaterna att göra nödvändiga undan- tag från bl.a. bestämmelserna i artikel 6.1 och 12 med hänsyn till skyddet av den registrerades eller andras fri- och rättigheter. 
 Bestämmelsen om rättelse m.m. berörs närmare i avsnitt 12.8. Det torde vara upp till medlemsstaterna att bestämma vilken korrigeringsmetod – rättelse, utplånande eller blockering – som skall användas i olika fall. Det finns vidare inget som hindrar medlemsstaten från att låta den ansvarige för behandlingen välja metod. Vi anser att så bör ske. 
 140 
  
 En myndighet har således enligt den nya persondatalagen frihet att välja om felaktiga, missvisande eller ofullständiga uppgifter skall rättas, utplånas eller blockeras. Detta innebär att myndigheten givetvis inte får välja att  
 utplåna  
 t.ex. en uppgift i en allmän handling, om det skulle strida mot andra bestämmelser. Valet av korrigeringsmetod kan således styras av andra bestämmelser som myndigheten har att rätta sig efter. Det är enligt vår mening inte nödvändigt med ett uttryckligt påpekande om detta i den nya persondatalagen. Däremot kan det vara lämpligt att – för att förtydliga 
 – ta in ett sådant påpekande i en anslutande förordning. 
 Att en uppgift  
 rättas  
 innebär att den ursprungliga, felaktiga, missvisan- de eller ofullständiga uppgiften ersätts av en uppgift om de rätta förhållan- 
  
 140 
  
 Vilka möjligheter tillsynsmyndigheten bör ha att få olagligt behandlade person- uppgifter utplånade tas upp i avsnitt 12.14.1. 
  
 218  
 Förhållandet till offentlighetsprincipen 
  
 SOU 1997: 39 
  
 dena eller att uppgifterna annars kompletteras. Det finns inte något krav på att den felaktiga uppgiften skall utplånas. Det bör vara upp till den som är ansvarig för behandlingen att avgöra hur rättelsen skall göras. Det enda kravet är – om den felaktiga uppgiften inte utplånas – att det i alla sammanhang klart skall framgå att den felaktiga uppgiften har ersatts av en annan uppgift och vilka de rätta förhållandena är. Något hinder mot att med stöd av offentlighetsprincipen lämna ut den (tydligt markerade) felak- tiga uppgiften jämte de riktiga uppgifterna och upplysning om den rättelse som skett finns inte. Det torde vara denna rättelsemetod som myndigheter i allmänhet bör använda. 
 141  
 För att offentlighetsprincipens syfte att möjlig- göra en kontroll av myndigheterna skall kunna tillgodoses är det nämligen viktigt att felaktiga uppgifter inte utplånas. Regeringen kan – och bör – i en anslutande förordning meddela föreskrifter om hur myndigheter när- mare bör gå till väga vid rättelse, t.ex. föreskrifter om att den ursprungliga uppgiften inte skall utplånas men väl på ett tydligt sätt markeras och att rättelsen skall dateras och signeras av behörig tjänsteman. 
 Den tredje metoden –  
 blockering  
 – får anses innebära bl.a. att de block- erade uppgifterna inte får lämnas ut till tredje man och att uppgifterna i alla sammanhang skall vara förknippade med tydlig information om att de är spärrade och anledningen till spärren. Blockering kan t.ex. användas när det inte är naturligt att rätta en felaktig uppgift, exempelvis när de rätta förhållandena inte kan utredas; det står t.ex. klart att en uppgift om att en viss person har fått sjukhusvård är felaktig, men det kan inte utredas vem som i stället fått vård. 
 142  
 Enligt vår mening är det lämpligt med en ut- trycklig bestämmelse om att blockeringen inte hindrar att en myndighet lämnar ut den blockerade uppgiften (jämte uppgifter rörande blockeringen) med stöd av 2 kap. TF. Vi föreslår – med stöd av artikel 13.1 g i  
 EG-direk- 
  tivet – att en sådan uttrycklig undantagsbestämmelse tas in i den nya per- sondatalagen. 
 Enligt vår mening förefaller det ändamålsenligt att regeringen i en an- slutande förordning tar in de föreskrifter för myndigheternas val av korri- geringsmetod som behövs. 
  
 141 
  
 Bestämmelser om att vissa uppgifter inte får ändras – t.ex. 6 kap. 8 § andra stycket rättegångsbalken – torde inte hindra att rättelse görs på det sätt som nu beskrivits. 
  
 142 
  
 Jämför NJA 1994 A 3. 
  
 SOU 1997: 39 
  
 Förhållandet till offentlighetsprincipen  
 219 
  
 9.4 
  
 Myndigheternas arkiv 
  
 Det nuvarande systemet för att bevara myndigheternas handlingar innebär att varje myndighet tar om hand sina handlingar, även efter det att hand- läggningen av ett ärende är avslutad. Efter ett tag lämnas handlingarna över till en arkivmyndighet för långtidsförvaring. 
 Att myndigheterna bevarar sina handlingar – i enlighet med bl.a. arkiv- lagen med anknytande författningar – har som sagt betydelse för möjlighe- ten att utnyttja den grundlagsfästa offentlighetsprincipen. Det finns emellertid också – t.ex. i olika registerförfattningar och i beslut av Datain- spektionen – många exempel på att myndigheterna är skyldiga att efter en tid förstöra (gallra) uppgifter av hänsyn till den personliga integriteten. Frågan om i vilken utsträckning personuppgifter bör gallras av hänsyn till den personliga integriteten berör vi i avsnitt 12.4.6.2. Här tar vi bara upp den för offentlighetsprincipen betydelsefulla frågan om det är möjligt att behålla det nuvarande systemet för att bevara myndigheternas hand- lingar. 
 143 
  
 Enligt artikel 6.1 b i  
 EG-direktivet 
  skall personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Behandling får inte senare ske av uppgifterna på ett sätt som är oförenligt med de ursprungli- gen angivna ändamålen. Senare behandling för historiska, statistiska och vetenskapliga ändamål skall dock enligt vad som uttryckligen anges inte anses oförenlig med de ursprungliga ändamålen. Det förutsätts att med- lemsstaterna i detta fall beslutar om lämpliga skyddsåtgärder. Personupp- gifterna får vidare, enligt artikel 6.1 e, lagras bara så länge det är nödvän- digt med hänsyn till de ursprungliga eller senare ändamålen med behand- lingen. För personuppgifter som lagras under längre perioder för histo- riska, statistiska och vetenskapliga ändamål skall medlemsstaterna vidta lämpliga skyddsåtgärder. 
 Behandlingen av personuppgifterna måste vidare alltid vara tillåten en- ligt artikel 7 i direktivet, t.ex. därför att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige eller för att utföra en arbetsuppgift av allmänt intresse. Gäller det känsliga personupp- gifter, måste också förutsättningarna i artikel 8 vara uppfyllda, t.ex. att medlemsstaten av hänsyn till ett viktigt allmänt intresse har föreskrivit att behandlingen är tillåten. 
  
 143  
 Den arkivering som enskilda kan ägna sig åt berörs särskilt i avsnitt 12.4.6. 
  
 220  
 Förhållandet till offentlighetsprincipen 
  
 SOU 1997: 39 
  
 Myndigheternas arkiv är en del av det svenska nationella kulturarvet, och arkiven skall tillgodose 
  
 N  
 rätten att ta del av allmänna handlingar, 
  
 N  
 behovet av information för rättskipningen och förvaltningen samt  
 N  
 forskningens behov (3 § 3 st. arkivlagen). 
 De ändamål som bevarandet av myndighetsarkiven skall tillgodose kan enligt vår mening hänföras under vad som i  
 EG-direktivet 
  kallas historiska, statistiska och vetenskapliga ändamål. Det är således, som vi ser det, inte nödvändigt att myndigheterna redan när personuppgifterna samlas in uttryckligen anger arkivering och bevarande som ett ändamål för behandlingen. Är en myndighets primära hantering av uppgifterna tillåten, kan det inte anses oförenligt med den primära hanteringen att bevara upp- gifterna. Det kan inte heller anses oförenligt med de ursprungligen angivna ändamålen att myndigheten efter en tid lämnar över sina handlingar till en arkivmyndighet för långtidsförvaring. 
 Myndigheterna är rättsligt förpliktade att bevara allmänna handlingar, och bevarandet är också en arbetsuppgift av allmänt intresse. Den behand- ling av icke känsliga personuppgifter som bevarandet utgör är således tillå- ten enligt artikel 7. För myndigheternas bevarande av känsliga person- uppgifter behövs det däremot ett undantag enligt artikel 8.4; de svenska myndigheternas bevarande även av känsliga personuppgifter utgör enligt vår mening ett sådant viktigt allmänt intresse som berättigar en medlems- stat att göra ett undantag. Detta undantag måste omfatta också den insam- ling och det långtidsbevarande av personuppgifter som sker vid de sär- skilda arkivmyndigheterna som tar emot arkivmaterial från myndigheter och enskilda. Att arkivmyndigheten i sin tur lämnar ut uppgifterna med stöd av t.ex. offentlighetsprincipen kan inte anses oförenligt med de ända- mål för vilka arkivmyndigheten samlade in uppgifterna. 
 De bestämmelser som finns om sekretess och skydd för arkiv får anses utgöra sådana lämpliga skyddsåtgärder som krävs enligt  
 EG-direktivet. 
  
 Vi har sammanfattningsvis kommit fram till att den nya lagen bör inne- hålla en uttrycklig bestämmelse om att lagen inte hindrar att en myndighet bevarar allmänna uppgifter eller att arkivmaterial tas om hand av en ar- kivmyndighet. Den bestämmelsen, som omfattar även känsliga person- uppgifter, bör anmälas till kommissionen enligt artikel 8.6.