11 Registerutdrag 
  
 11.1 
  
 Inledning 
  
 Rätten för den registrerade att på begäran få ett s.k. registerutdrag med de uppgifter om honom eller henne som en personuppgiftsan- svarig behandlar har funnits under lång tid. Bestämmelser om rätt till registerutdrag fanns i 10 § i 1973 års datalag och finns i dag i 26 § personuppgiftslagen. Bestämmelser om registerutdrag finns i artikel 12 i  
 EG-direktivet. 
  
 Rätten att på begäran få ett registerutdrag är givetvis adekvat och grundläggande för de registrerade. Genom den rätten får den regi- strerade möjlighet att kontrollera om han eller hon är registrerad och, om så är fallet, att de registrerade uppgifterna är riktiga. Stewart ten till insyn är vidare en förutsättning för att den registrerade i praktiken skall kunna få felaktiga uppgifter rättade. 
 Å andra sidan kan skyldigheten att lämna registerutdrag vara be- tungande och kostsam för den personuppgiftsansvarige. Det gäller i synnerhet sedan skyldigheten i och med personuppgiftslagen ut- sträckts till att gälla inte bara uppgifter i datoriserade personregis- ter utan även uppgifter i ostrukturerat material i datorer, t.ex. i lö- pande text och i ljud och bild, och strukturerat material på papper. 
 De administrativa och ekonomiska konsekvenserna av rätten till registerutdrag har varit omdiskuterade under lång tid. Redan i bör- jan på  
 1980-talet 
  gjordes t.ex. vissa ändringar i 10 § datalagen i syfte att få ned kostnaderna för de registeransvariga inom främst det allmänna. 
  
 124  
  
 Det gjordes i 10 § datalagen också undantag för till ar- kivmyndigheter överlämnade arkiv. Det motiverades med att en tillämpning av 10 § datalagen skulle få betydande negativa konse- kvenser för arkivmyndigheternas verksamhet samtidigt som enskil- 
  
 124  
 Prop. 1980/81:20 Bilaga 1 s. 13 ff. 
  
 Registerutdrag 
  
 SOU 2004:6 
  
 da med stöd om offentlighetsprincipen kan få del av sina uppgifter (om de kan precisera sin begäran). 
  
 125 
  
 Datalagskommittén noterade särskilt svårigheterna att i ostruk- turerat material söka fram alla de uppgifter om en person som en personuppgiftsansvarig behandlar. Kommittén ansåg sig dock med hänsyn till  
 EG-direktivet 
  inte kunna gå längre i fråga om undantag än vad den gjort i fråga om vissa löpande texter (se närmare avsnitt  
 11.4.1) 
 . 
  
 126  
  
 Flera av remissinstanserna noterade att skyldigheterna att informera skulle komma att öka med personuppgiftslagen och poängterade vikten av att skyldigheterna hålls på en rimlig nivå, särskilt när det gäller personuppgifter i löpande text. Regeringen tog fasta på de undantag avseende löpande text som kommittén föreslagit, men gick inte längre. 
  
 127  
  
 Senare har vissa ytterligare un- dantag införts i särskilda registerförfattningar (se närmare avsnitt  
 11.4.2) 
 . 
 Bestämmelserna om registerutdrag har av många tagits upp som ett problem i Justitiedepartementets offentliga utvärdering. 
  
 128  
  
 I Ju- stitiedepartementets skiss till ändringar av  
 EG-direktivet 
  har också rätten till registerutdrag särskilt tagits upp och förslag lämnats om att registerutdrag inte skall behöva lämnas om det visar sig omöjligt eller skulle innebära en oproportionerligt stor ansträngning. 
  
 129  
  
 Lättnader i bestämmelserna om registerutdrag har vidare föreslagits i ett gemensamt förslag till ändringar i  
 EG-direktivet 
  som lagts fram av Sverige, Storbritannien, Finland och Österrike (se vidare avsnitt  
 11.2  
 om förslaget i den delen). 
 Mot den bakgrunden har utredningen ansett det befogat att sär- skilt undersöka om det är möjligt och lämpligt att genom ändring i personuppgiftslagen göra inskränkningar i skyldigheten att lämna registerutdrag. 
  
 11.2 
  
 EG-direktivet 
  
 Enligt artikel 12 i  
 EG-direktivet 
  skall medlemsstaterna säkerställa att varje registrerad har rätt att från den personuppgiftsansvarige 
  
 125 
  
 Prop. 1981/82:189 s. 35 ff. 
  
 126 
  
 SOU 1997:39 s. 389 ff. och 313 ff. 
  
 127 
  
 Prop. 1997/98:44 s. 81 ff. 
  
 128 
  
 Ds 2001:27, särskilt s. 75 ff. 
  
 129 
  
 Ds 2001:27 s. 157. 
  
 188 
  
 SOU 2004:6 
  
 Registerutdrag 
  
 utan hinder och med rimliga intervall samt utan större tidsutdräkt eller kostnader få följande information: 
  
 Bekräftelse på om uppgifter som rör den registrerade behandlas eller inte 
  
 Information om åtminstone 
  
 ändamålen med behandlingen 
  
 de berörda uppgiftskategorierna och 
  
 mottagarna eller de kategorier av mottagare till vilka uppgif- terna utlämnas 
  
 Begriplig information om vilka uppgifter som behandlas 
  
 All tillgänglig information om varifrån de behandlade uppgifter- na kommer 
  
 Kännedom om den logik som används när uppgifter som rör den registrerade behandlas på automatisk väg, åtminstone såvitt avser sådana automatiserade beslut som avses i artikel 15.1 i EG- direktivet 
  
 I kommissionens förklaring anges bl.a. att det har överlämnats till medlemsstaterna att precisera hur informationen skall lämnas till den registrerade, t.ex. för att underlätta för såväl den registeransva- rige som den registrerade när flera uppgiftsbehandlingar berörs, särskilt när det gäller manuella register. 
  
 130 
  
 Enligt artikel 13.1 får medlemsstaterna genom lagstiftning be- gränsa omfattningen av bl.a. rätten till registerutdrag enligt artikel 12 om en sådan begränsning är en nödvändig åtgärd med hänsyn till bl.a. skydd av den registrerades eller andras fri- och rättigheter (ar- tikel 13.1 g), se närmare avsnitt 9.2. Enligt artikel 13.2 finns det vissa ytterligare möjligheter till begränsningar av rätten till regis- terutdrag enligt artikel 12. Det gäller dock bara i fråga om uppgifter som endast behandlas för ändamål som har med vetenskaplig forskning att göra och när uppgifterna endast lagras i form av per- sonuppgifter under en begränsad tid som inte överstiger den tid som är nödvändig för att framställa statistik. 
 Sverige, Storbritannien, Finland och Österrike har gemensamt föreslagit ändringar i artikel 12; också Nederländerna stöder försla- get. De föreslagna ändringarna innebär att den registrerade skall få bekräftelse på om den personuppgiftsansvarige har lokaliserat upp- gifter om den registrerade och att den personuppgiftsansvarige när han eller hon besvarar en begäran skall göra alla rimliga ansträng- 
  
 130  
 SOU 1993:10 Bilagor s. 182. 
 189 
  
 Registerutdrag 
  
 SOU 2004:6 
  
 ningar för att lokalisera uppgifter som rör den registrerade och vid behov be den registrerade om information som gör det möjligt att lokalisera dessa uppgifter. 
  
 11.3 
  
 Europarådets dataskyddskonvention 
  
 Europarådets dataskyddskonvention har presenterats i avsnitt 4.2.2 och bilaga 5. Enligt artikel 8 i konventionen skall var och en ha möjlighet att konstatera om det finns ett automatiserat personre- gister (på engelska an automated personal data file), vilka ända- målen är med registret och den registeransvariges identitet. Var och en skall också ha möjlighet att med rimliga intervall och utan orim- lig tidsutdräkt eller kostnad få bekräftelse på om personuppgifter om honom eller henne lagras i det automatiserade registret (på engelska the automated data file) och att få information om så- dana uppgifter i begriplig form. 
 Enligt artikel 9 i konventionen får avvikelser göras från bl.a. arti- kel 8 i konventionen. Sådana avvikelser skall finnas i lag och vara nödvändiga i ett demokratiskt samhälle för att bl.a. skydda den re- gistrerade eller andra personers fri- och rättigheter. 
  
 11.4 
  
 Det svenska genomförandet 
  
 11.4.1 
  
 Personuppgiftslagen 
  
 Enligt 26 § personuppgiftslagen är den personuppgiftsansvarige skyldig att till var och en som ansöker om det en gång per kalen- derår gratis lämna besked om personuppgifter som rör den sökande behandlas eller inte. Behandlas sådana uppgifter skall skriftlig in- formation – ett s.k. registerutdrag – lämnas också om vilka uppgif- ter om den sökande som behandlas, varifrån dessa uppgifter har hämtats, ändamålen med behandlingen, och till vilka mottagare el- ler kategorier av mottagare som uppgifterna lämnas ut. Registerut- draget skall lämnas inom en månad från det att ansökan gjordes. 
 190 
  
 SOU 2004:6 
  
 Registerutdrag 
  
 Om det finns särskilda skäl för det, får utdraget dock lämnas senast fyra månader efter det att ansökan gjordes. 
  
 131 
  
 Det finns ett par undantag i personuppgiftslagen från skyldighe- ten att lämna registerutdrag. 
 Ett sådant utdrag behöver för det första inte omfatta personupp- gifter i löpande text som inte fått sin slutliga utformning när ansö- kan gjordes eller som utgör minnesanteckning eller liknande. Det gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller ve- tenskapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats under läng- re tid än ett år. 
 Utdraget behöver för det andra inte omfatta sådan information som enligt vad som är särskilt föreskrivet i lag eller annan författ- ning eller i beslut som har meddelats med stöd av författning inte får lämnas ut till den registrerade, 27 § personuppgiftslagen. För- fattningsgrundade bestämmelser om sekretess och tystnadsplikt går således före skyldigheten att lämna registerutdrag. 
  
 132  
  
 En person- uppgiftsansvarig som inte är en myndighet får därvid i motsvarande fall som avses i sekretesslagen (1980:100) vägra att lämna ut uppgif- ter till den registrerade. 
 De två nu berörda undantagen har grundats på artikel 13.1 g i  
 EG-direktivet. 
  Att under en rimlig tid få ha sina ofärdiga alster och minnesanteckningar i fred kan nämligen enligt regeringens mening ses som en sådan fri- och rättighet som enligt artikel 13.1 berättigar till en begränsning av informationsskyldigheten. 
  
 133  
  
 De bestämmel- ser om sekretess och tystnadsplikt som finns i Sverige har vidare ansetts vara uppställda till skydd för sådana fri- och rättigheter som avses i  
 EG-direktivet. 
  
 134 
  
 I fråga om personuppgifter i löpande text redovisades i övrigt bl.a. följande överväganden i propositionen med förslag till person- uppgiftslagen: 
  
 135 
  
 131 
  
 Se beslut av JO  
  
 2002-08-30, 
  dnr  
 4388-2001, 
  om myndighets registrering av ansökningar om registerutdrag och avslag på sådana ansökningar samt om utformningen av register- utdrag från myndighet. Se beslut av JO  
 2003-03-19, 
  dnr  
 2992-2002, 
  om myndighets dröjsmål med att lämna registerutdrag. 
  
 132 
  
 Se om utformningen av en myndighets beslut om att inte lämna ut uppgifter efter en ansökan, beslut av JO  
  
 2002-08-30, 
  dnr  
 4388-2001, 
  och Kammarrättens i Stockholm dom  
 2001-02-08 
  i mål nr  
 7152-2000 
  samt jämför prop. 2001/02:191 s. 89 ff., prop. 1997/98:97 s. 68 och RÅ 2000 ref. 15. 
  
 133 
  
 Prop. 1997/98:44 s. 83. 
  
 134 
  
 Prop. 1997/98:44 s. 84. 
  
 135 
  
 Prop. 1997/98:44 s. 82 f. 
  
 191 
  
 Registerutdrag 
  
 SOU 2004:6 
  
 Den nya lagen omfattar till skillnad från den nuvarande datalagen även behandling av personuppgifter som finns i löpande text, t.ex. i ett ord- behandlingsdokument []. Beträffande sådana personuppgifter finns det särskilda svårigheter att söka fram alla uppgifter om en och samma person som behandlas. I vissa fall har en personuppgiftsansvarig så många olika samlingar av personuppgifter och så dåliga sökmöjligheter att det i praktiken är omöjligt att få fram alla uppgifter om den registre- rade som behandlas. Arkivmyndigheterna, som tar emot samlingar av uppgifter med olikartad struktur från många håll, kan vara ett exempel. 
 I  
 EG-direktivet 
  finns det ingen uttrycklig bestämmelse som gör det möjligt att göra undantag från skyldigheten att efter ansökan lämna be- griplig information om vilka uppgifter som behandlas, när det är omöj- ligt eller skulle innebära en oproportionerligt stor ansträngning att söka fram alla uppgifter om en person som behandlas. Datalagskommittén har berört problemet på följande sätt. 
  
 EG-direktivet 
  kan inte anses kräva att en persondataansvarig ordnar sina uppgiftssamlingar på ett sådant sätt att det är möjligt att söka fram alla uppgifter om en registrerad som behandlas. Ett införande eller tillåtande av sådana sök- och sammanställningsmöjligheter, som inte behövs av något annat skäl, skulle i själva verket kunna hota den personliga integriteten; det skulle då bli enkelt att kartlägga en per- son. 
 Enligt vår mening är det inte rimligt att utforma informations- skyldigheten på ett sådant sätt att den tvingar fram förfaranden som i själva verket kan hota den personliga integriteten. Den person- dataansvarige bör, som vi ser det, bara vara skyldig att utnyttja alla de sök- och sammanställningsmöjligheter som han eller hon faktiskt och rättsligt har tillgång till för att få fram information att lämna till den registrerade. Därmed garanteras att den registrerade får tillgång till all information som den persondataansvarige faktiskt kan få fram om den registrerade, vilket måste anses tillräckligt; inte ens EG- rätten kan tvinga någon att göra det som i praktiken är omöjligt. 
 Den som har en stor mängd ordbehandlingsdokument och som bara har en funktion för att söka i öppnade dokument kan exempel- vis i praktiken inte få fram alla uppgifter om en person som kan fin- nas i dokumenten. En persondataansvarig med hundratals anställda med persondatorer vilka kan sökas igenom en och en kan inte heller i praktiken söka fram de personuppgifter som kan finnas i alla dato- rerna, om det inte finns några mera centraliserade sökmöjligheter. Möjligheterna att söka bland datorlagrade uppgifter utvecklas dock ständigt, och det finns redan i dag i standardprogram funktioner för att snabbt söka igenom alla dokument på en hårddisk eller via nät ef- 
 192 
  
 SOU 2004:6 
  
 Registerutdrag 
  
 ter viss text, t.ex. ett namn eller personnummer. Med den föreslagna ordningen kommer den registrerades rätt att få information att ut- vidgas i precis samma takt som de persondataansvarigas möjligheter att göra integritetskänsliga sökningar och sammanställningar utveck- las. Det finns inte anledning att driva på utvecklingen och använd- ningen av möjligheterna att göra känsliga sammanställningar. 
 En persondataansvarig som behandlar många personuppgifter i olika konstellationer, exempelvis Statistiska centralbyrån, kan med den föreslagna ordningen ändå behöva göra stora ansträngningar för att pröva alla sök- och sammanställningsmöjligheter som faktiskt finns. Men den som samlar på sig stora mängder personuppgifter får som regel finna sig i att också behöva göra stora ansträngningar för att kunna tillgodose de registrerades grundläggande rättigheter. 
 Enligt vår mening är det rimligt att utgå från att Datalagskommitténs slutsats att  
 EG-direktivet 
  innebär att den personuppgiftsansvarige bara är skyldig att utnyttja alla de sök- och sammanställningsmöjligheter som han eller hon har tillgång till för att få fram information att lämna till den registrerade är riktig. När det gäller skyldigheten att efter ansö- kan lämna information om bl.a. vilka uppgifter om sökanden som be- handlas, skall bestämmelserna i den nya lagen ha samma innebörd som enligt direktivet och inte gå längre än vad direktivet kräver. 
  
 11.4.2 
  
 Särskilda registerförfattningar 
  
 I några särskilda registerförfattningar med bestämmelser som avvi- ker från personuppgiftslagen (se 2 § personuppgiftslagen) har det gjorts vissa undantag från skyldigheten enligt personuppgiftslagen att lämna registerutdrag. 
  
 136 
  
 Genom SFS 2001:556 har det införts en bestämmelse i 7 a § ar- kivförordningen (1991:446) om att en arkivmyndighet inte behöver lämna besked och information enligt 26 § personuppgiftslagen när det gäller personuppgifter i arkivmaterial som tagits emot för för- varing av myndigheten, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. 
 Vid elektronisk ärendehantering inom skatt, tull och exekution samt socialförsäkringssystemet har det ansetts möjligt att föreskri- 
  
 136 
  
 Ibland har det också föreskrivits att uppgifter i vissa register inte alls får lämnas ut till den registrerade, se t.ex. 18 § lagen (2002:44) om straff för finansiering av särskilt allvarlig brottslighet i vissa fall, m.m. 
  
 193 
  
 Registerutdrag 
  
 SOU 2004:6 
  
 va att uppgifter i elektroniska handlingar inte behöver tas med i ett registerutdrag enligt 26 § personuppgiftslagen. 
  
 137 
  
 I fråga om elektroniska handlingar hos domstolar har det före- slagits att uppgifter i sådana handlingar som den enskilde tagit del av inte behöver tas med i ett registerutdrag enligt 26 § personupp- giftslagen. 
  
 138 
  
 11.5 
  
 Genomförandet i andra länder 
  
 I de flesta genomförandelagstiftningarna finns det exempel på att undantag eller begränsningar gjorts på olika sätt i skyldigheten att lämna registerutdrag. Som exempel kan nämnas följande. 
 Det finns exempel, t.ex. från Danmark, Norge och Island, på att personuppgifter i interna eller preliminära dokument har undanta- gits från rätten till registerutdrag. 
 I Storbritannien har det gjorts ett generellt undantag från rätten till registerutdrag för sådana personuppgifter som den personupp- giftsansvarige inte kan hitta. Undantaget lyder: A data controller is not obliged to comply with a request under this section unless he is supplied with such information as he may reasonably require in order to satisfy himself as to the identity of the person making the request and to locate the information which that person seeks. 
 I genomförandelagstiftningen i Portugal har det införts en möj- lighet att genom lag begränsa rätten till registerutdrag när uppgif- terna inte används för att vidta åtgärder eller fatta beslut beträffan- de individer, om det är tydligt att det inte finns någon risk för kränkning av den registrerades grundläggande fri- och rättigheter. 
 I genomförandelagstiftningen i Österrike har det införts en skyldighet för den registrerade som ansöker om ett registerutdrag att på begäran samarbeta i rimlig omfattning för att undvika en obefogad eller oproportionerligt stor arbetsinsats för den person- uppgiftsansvarige. 
  
 137 
  
 Prop. 2000/01:33 s. 104 ff., prop. 2000/01:69 s. 26 ff. och prop. 2002/03:135 s. 116 f. 
  
 138 
  
 SOU 2001:100 s. 173 ff. 
  
 194 
  
 SOU 2004:6 
  
 Registerutdrag 
  
 11.6 
  
 Överväganden och förslag 
  
 Utredningens förslag:  
 Information enligt 26 § personuppgifts- lagen, i form av ett s.k. registerutdrag, behöver inte lämnas i den utsträckning detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. 
 Enligt utredningens mening är rätten att på begäran få ett register- utdrag grundläggande för den registrerade på de skäl som angetts inledningsvis. Det kan därför inte komma i fråga att göra några in- gripande inskränkningar i den rätten. 
 Skyldigheten för den personuppgiftsansvarige att lämna register- utdrag inträder först när den registrerade begär ett sådant utdrag. I enlighet med vad som angetts i de svenska förarbetena (se avsnitt  
 11.4.1)  
 krävs det i princip inte heller att den personuppgiftsansvari- ge vidtar några förberedande åtgärder innan en begäran framställts; en annan sak är att allmänna administrativa skäl talar för att den personuppgiftsansvarige på förhand utarbetar rutiner för att på ett så effektivt sätt som möjligt kunna uppfylla registerutdragsskyldig- heten, liksom sådana rutiner behövs för ett effektivt uppfyllande av andra skyldigheter i verksamheten. Det är således inte fråga om någon betungande skyldighet i den vardagliga hanteringen av per- sonuppgifter. 
 Det som i stället brukar anföras som särskilt betungande för per- sonuppgiftsansvariga är att i vissa fall söka fram alla de personupp- gifter om den registrerade som behandlas. Det gäller främst när en personuppgiftsansvarig har en större mängd ostrukturerat material, t.ex. i form av löpande text eller ljud- och bildupptagningar, särskilt om materialet finns på olika ställen, t.ex. i hundratals persondato- rer. Men det gäller också när en personuppgiftsansvarig har väldigt många regelrätta register att söka igenom. 
 Utredningen anser att nu nämnda svårigheter är värda att beakta. Om den personuppgiftsansvarige bara efter väldigt stora ansträng- ningar kan få fram uppgifter om en person, är det mindre sannolikt att dessa uppgifter kommer att användas på ett sätt som innebär ett otillbörligt intrång i den personliga integriteten. Det kan i vart fall konstateras att informationsteknikens särskilda möjligheter att ef- fektivt strukturera, söka och sammanställa uppgifter då inte har utnyttjats på ett sätt som innebär särskilda integritetsrisker. 
 Utredningen anser bl.a. därför att det skulle vara befogat och inte innebära någon egentlig och beaktansvärd inskränkning i in- 
 195 
  
 Registerutdrag 
  
 SOU 2004:6 
  
 tegritetsskyddet att uttryckligen i personuppgiftslagen ange att skyldigheten att lämna registerutdrag inte gäller i den utsträckning det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats att lämna utdrag. Frågan är om ett sådant uttryck- ligt undantag är förenligt med  
 EG-direktivet. 
  
 Det kan för det första konstateras att det inte i artikel 12 i EG- direktivet finns någon sådan möjlighet till undantag. En motsva- rande undantagsmöjlighet finns dock i fråga om skyldigheten enligt artikel 11 i  
 EG-direktivet 
  att självmant lämna information i sam- band med att personuppgifter samlas in från någon annan källa än den registrerade själv. Däremot är det enligt artikel 13.1 g i EG- direktivet tillåtet att begränsa omfattningen av rätten till register- utdrag enligt artikel 12 under förutsättning att en sådan begräns- ning är en nödvändig åtgärd med hänsyn till skyddet av den regi- strerades eller andras fri- och rättigheter. 
 Det kan vidare konstateras att många medlemsstater vid genom- förandet av  
 EG-direktivet 
  på olika sätt har gjort en rad undantag eller begränsningar i skyldigheten att lämna registerutdrag (se av- snitt  
 11.5) 
 . Såvitt utredningen kan förstå måste en hel del av dessa undantag och begränsningar grunda sig på bestämmelsen i artikel 13.1 g i  
 EG-direktivet 
  om skydd för andras fri- och rättigheter. 
 Slutligen kan det konstateras att regeringen, genom en ändring i arkivförordningen, för personuppgifter i arkivmaterial hos arkiv- myndigheter redan infört ett sådant uttryckligt undantag som nu diskuteras (se avsnitt  
 11.4.2) 
 . Såvitt utredningen kan förstå grundar sig det undantaget på bestämmelsen i artikel 13.1 g i  
 EG-direktivet 
  om skydd för andras fri- och rättigheter. Ändringen skulle i så fall också tyda på att det ansetts att även staten och dess myndigheter kan ha sådana fri- och rättigheter som avses i den nämnda artikeln. 
 Mot den bakgrunden anser utredningen att det med fog kan gö- ras gällande att det är en sådan fri- och rättighet som avses i artikel 13.1 g i  
 EG-direktivet 
  att slippa göra en oproportionerligt stor ar- betsinsats. Det bör därför vara möjligt att införa ett uttryckligt un- dantag från registerutdragsskyldigheten för sådant som visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbets- insats. 
 Vad det föreslagna undantaget närmare innebär berörs i författ- ningskommentaren. 
 196 
 12 Avkriminalisering 
  
 12.1 
  
 Utredningsdirektiven 
  
 Enligt utredningsdirektiven skall utredningen analysera vilka regler som bör gälla vid brott mot personuppgiftslagen för straffansvar i subjektivt hänseende – dvs. om oaktsamhet av normalgraden som i dag räcker för straffansvar bör ersättas med ett krav på grov oakt- samhet eller uppsåt – samt om någon förseelse mot personupp- giftslagen helt bör avkriminaliseras, såsom t.ex. vissa överföringar av personuppgifter till tredje land. 
  
 12.2 
  
 EG-direktivet 
  
 Enligt artikel 24 i  
 EG-direktivet 
  skall medlemsstaterna anta lämpli- ga bestämmelser för att säkerställa att  
 EG-direktivet 
  genomförs fullständigt. Staterna skall särskilt besluta om de sanktioner som skall användas vid överträdelse av de bestämmelser som har antagits till följd av  
 EG-direktivet. 
  
 EG-domstolen 
  har i sin motivering i domen den 6 november 2003 i det s.k. konfirmandlärarmålet (mål  
 C-101/01) 
  betonat att sanktionsåtgärder alltid måste stå i överensstämmelse med propor- tionalitetsprincipen och att det i enlighet med den principen an- kommer på de nationella domstolarna att beakta alla omständighe- ter, bl.a. under hur lång tid överträdelsen av reglerna har pågått och hur viktigt det är för de berörda att de uppgifter som har spritts skyddas. 
  
 Avkriminalisering 
  
 SOU 2004:6 
  
 12.3 
  
 Europarådets dataskyddskonvention 
  
 Europarådets dataskyddskonvention har presenterats i avsnitt 4.2.2 och bilaga 5. Enligt artikel 10 i konventionen åtar sig konventions- staterna att införa lämpliga sanktioner och påföljder för brott mot de nationella föreskrifter som genomför de grundläggande data- skyddsprinciperna i konventionen. 
  
 139 
  
 12.4 
  
 Personuppgiftslagen 
  
 Enligt 45 § personuppgiftslagen kan Datainspektionen ingripa med vitesföreläggande vid olaglig behandling av personuppgifter. En behandling av personuppgifter i strid med personuppgiftslagen medför också i princip skyldighet att betala s.k. ideellt skadestånd till den registrerade för den kränkning som skett. 
 Datalagskommittén ansåg mot bakgrund av dessa sanktionsmöj- ligheter att det inte behövdes några särskilda bestämmelser om straff i lagen med hänsyn till  
 EG-direktivet. 
  Kommittén föreslog att bara uppsåtligt eller oaktsamt lämnande av osann uppgift skulle vara straffbart, eftersom det ansågs svårt att stävja sådant på annat sätt än med ett ganska rejält straff. 
  
 140 
  
 Regeringen ansåg att sanktionerna vite och skadestånd fick anses effektiva och i stort sett tillräckliga. Regeringen kom dock fram till att även vissa andra uppsåtliga eller oaktsamma förfaranden än läm- nande av osann uppgift borde kriminaliseras. Underlåtenhet att göra anmälan till tillsynsmyndigheten kriminaliserades, eftersom det ansågs svårt att stävja sådan underlåtenhet med andra medel än ett straffhot. Även olaglig behandling av känsliga personuppgifter och uppgifter om lagöverträdelser kriminaliserades. Dessutom kri- minaliserades olaglig överföring av personuppgifter till tredje land, bl.a. eftersom förfarandet innebär att personuppgifterna i praktiken försvinner utom räckhåll för svenska skyddsåtgärder. 
 Svenska bankföreningen hade i sitt remissyttrande föreslagit att bara sådan oaktsamhet som är grov skall bestraffas. Regeringen an- såg dock att det förslaget inte borde följas, eftersom vikten av att vara noggrann med de uppgifter som lämnas och med att följa bl.a. 
  
 139 
  
 På engelska Each Party undertakes to establish appropriate sanctions and remedies for violations of provisions of domestic law giving effect to the basic principles for data pro- tection set out in this chapter. 
  
 140 
  
 SOU 1997:39 s.  
  
 437–440. 
  
 198 
  
 SOU 2004:6 
  
 Avkriminalisering 
  
 reglerna om när känsliga personuppgifter får behandlas inskärps på ett ändamålsenligt sätt genom att det för straffansvar räcker med oaktsamhet. 
  
 141 
  
 I personuppgiftslagen infördes i 49 § en bestämmelse om straff för den som uppsåtligen eller av oaktsamhet 
  
 a) 
  
 lämnar osann uppgift i sådan information till registrerade som föreskrivs i lagen, i anmälan till tillsynsmyndigheten enligt 36 §, eller till tillsynsmyndigheten när myndigheten begär information enligt 43 §, 
  
 b) 
  
 behandlar känsliga personuppgifter eller personuppgifter om lagöverträdelser i strid med  
  
 13–21 
  §§, 
  
 c) 
  
 för över personuppgifter till tredje land i strid med  
  
 33–35 
  §§, el- ler 
  
 d) 
  
 låter bli att göra anmälan till tillsynsmyndigheten enligt 36 § för- sta stycket eller enligt föreskrifter meddelade med stöd av 41 §. 
  
 Straffskalan är böter eller fängelse i högst sex månader eller, om brottet är grovt, fängelse i högst två år. Den som överträtt ett vites- föreläggande skall dock inte dömas till ansvar för en gärning som omfattas av vitesföreläggandet. 
 I samband med att bestämmelserna om överföring av person- uppgifter till tredje land lättades upp avkriminaliserades gärningar som är ringa genom att det föreskrevs att det i ringa fall inte skall dömas till ansvar. Regeringen noterade att det finns överträdelser av personuppgiftslagens straffbestämmelse som i det enskilda fallet inte framstår som särskilt straffvärda och att det ibland kan vara svårt för den personuppgiftsansvarige att på förhand avgöra om en överföring till tredje land är tillåten eller inte enligt de nya bestäm- melserna. Det kunde förutses att det kommer att finnas situationer där det visar sig att den personuppgiftsansvarige gjort en felaktig bedömning men överträdelsen av överföringsförbudet inte är sär- skilt klandervärd. Det ansågs angeläget att motverka sådana negati- va konsekvenser. 
  
 142  
  
 Vad som är ringa fall får bedömas med hänsyn till samtliga omständigheter i det enskilda fallet. Alla faktorer som uppgifternas art och vilken integritetskränkning eller risk för integ- ritetskränkning som behandlingen orsakat skall vägas in vid be- dömningen av om en överträdelse är att betrakta som ringa. 
  
 143 
  
 141 
  
 Prop. 1997/98:44 s. 108 f. 
  
 142 
  
 Prop. 1999/2000:11 s. 18. 
  
 143 
  
 Prop. 1999/2000:11 s. 21. 
  
 199 
  
 Avkriminalisering 
  
 SOU 2004:6 
  
 I de brottmål om personuppgiftslagen som utredningen fått kännedom om – se avsnitt 5.2.1 – har det varit fråga om uppsåtliga brott. I ett fall om åtal mot en person för det att han på sin hemsida på Internet påstått att fem namngivna personer gjort sig skyldiga till våldtäkt och därigenom olovligen dels behandlat personuppgif- ter om lagöverträdelser som innefattar brott, dels fört över person- uppgifterna till tredje land invände den tilltalade att han begått brottet av oaktsamhet. 
  
 144  
  
 Helsingborgs tingsrätt uttalade i den de- len följande: 
 [Den tilltalade] måste uppenbarligen ha varit medveten om att han lagt in personuppgifterna och brottspåståendet på sina hemsidor. Han måste också ha insett att uppgifterna blev tillgängliga i hela världen när han lade ut dem på Internet. Vad han däremot måhända inte kände till var att det var förbjudet enligt personuppgiftslagen att göra detta. Det- ta förhållande medför dock inte att [den tilltalade] skall anses ha begått brottet av oaktsamhet. Han har nämligen varit skyldig att ta reda på gällande regler på området innan han lade ut några uppgifter på Inter- net. Tingsrätten anser därför att [den tilltalade] har begått brottet upp- såtligen. 
  
 12.5 
  
 Förhållandena i andra länder 
  
 Samtliga medlemsstater i EU som genomfört  
 EG-direktivet 
  – och Norge – verkar ha straffrättsliga sanktioner för olika brott mot ge- nomförandelagstiftningen. I Tyskland och Österrike, liksom i vissa fall i Portugal, verkar det krävas uppsåt för straffbarhet. I Finland och Norge krävs det att brottet begåtts uppsåtligen eller av grov oaktsamhet. I Grekland, Italien, Nederländerna och Portugal finns det föreskrifter om viss strafflindring när brott begåtts utan uppsåt. 
  
 144  
 Helsingborgs tingsrätts dom  
 2001-01-31 
  i mål nr B  
 3915-00. 
  
 200 
  
 SOU 2004:6 
  
 Avkriminalisering 
  
 12.6 
  
 Överväganden och förslag 
  
 Utredningens förslag:  
 Bara uppsåtliga och grovt oaktsamma förfa- randen skall vara straffbara. 
  
 Utredningens bedömning:  
 Det finns inte anledning att i övrigt avkriminalisera. 
  
 12.6.1 
  
 Avkriminalisering av någon typ av förseelse 
  
 Vad först gäller frågan om någon i dag straffbar förseelse mot per- sonuppgiftslagen bör helt avkriminaliseras måste man hålla i min- net att det bara är få olagliga förfarande som gjorts straffbara. Att någon far med osanning eller struntar i att anmäla sin behandling är svårt att komma till rätta med utan straffhot, punkterna a och d i 49 §. I övrigt har bara förfaranden som innebär att känsliga person- uppgifter eller personuppgifter om lagöverträdelser behandlas olag- ligt eller att personuppgifter på ett olagligt sätt i praktiken görs oåtkomliga för svenska skyddsåtgärder (genom att exporteras till tredje land med undermålig skyddsnivå) gjorts straffbara, punkter- na b och c i 49 §. Utredningen anser att det är befogat att bestraffa sådana förfaranden som nu nämnts. Det gäller särskilt mot bak- grund av att ringa fall är straffria, vilket gör att eventuella orimliga konsekvenser av straffbarheten kan undvikas. Utredningen föreslår således inte att någon typ av förseelse helt avkriminaliseras. 
  
 12.6.2 
  
 Bara uppsåtliga och grovt oaktsamma förfaranden bör vara straffbara 
  
 Vad härefter gäller frågan om bara uppsåtliga och grovt oaktsamma förfaranden skall vara straffbara gör utredningen följande övervä- ganden. 
 Vid införandet av personuppgiftslagen ansågs det att vikten av att följa reglerna inskärptes på ett ändamålsenligt sätt genom att det för straffansvar räcker med oaktsamhet (av normalgraden). 
  
 145  
  
 Senare har emellertid ett undantag införts för ringa fall av överträ- delser, främst för fall där den personuppgiftsansvarige gjort en fel- aktig bedömning men överträdelsen inte är särskilt klandervärd. 
  
 146  
  
 I 
  
 145 
  
 Prop. 1997/98:44 s. 108 f. 
  
 146 
  
 Prop. 1999/2000:11 s. 18. 
  
 201 
  
 Avkriminalisering 
  
 SOU 2004:6 
  
 de särskilda registerförfattningar som införts efter personuppgifts- lagen har det normalt inte heller tagits in några särskilda bestäm- melser om straff. 
  
 147  
  
 Synen på behovet av straffbestämmelser verkar således ha mildrats sedan personuppgiftslagen infördes. 
 I stor utsträckning bör regeln om att ringa fall är straffria vara tillräcklig för att undvika oskäliga resultat vid mindre klandervärda felbedömningar och när den tilltalade inte haft uppsåt. Vad som är ringa fall skall bedömas med hänsyn till samtliga omständigheter i det enskilda fallet. 
  
 148  
  
 Det är alltså möjligt att ta hänsyn till vilken grad av oaktsamhet den tilltalade visat. Även en överträdelse som begåtts uppsåtligen kan vara ett ringa fall. När det gäller sådan olag- lig behandling av personuppgifter som är straffbar (punkterna b och c i 49 §) torde överträdelsen för det mesta ha begåtts uppsåtli- gen och inte av oaktsamhet. Det torde nämligen ofta stå klart att den tilltalade varit fullt medveten om den behandling som skett och således utfört behandlingen uppsåtligen, jämför det som citerats ur domen från Helsingborgs tingsrätt i avsnitt  
 12.4.  
 I mindre klander- värda sådana fall, skulle således inte en avkriminalisering av oakt- samma överträdelser leda till straffrihet utan här får man ta till re- geln om ringa fall för att undvika oskäliga resultat. 
 Det finns dock situationer som regeln om ringa fall inte verkar kunna omfatta men där man ändå kan överväga straffrihet. Det gäller främst det fallet att en oaktsamhet av normalgraden har lett till en förhållandevis stor skada eller en kännbar integritetskränk- ning eller en påtaglig risk för det. Då kan det med hänsyn till gär- ningens konsekvenser vara svårt att med fog påstå att det är fråga om ett ringa fall. Även i de situationer där någon av oaktsamhet lämnat osanna uppgifter eller låtit bli att göra en anmälan (punk- terna a och d i 49 §) verkar regeln om ringa fall passa mindre väl. 
 Att göra oaktsamma förfaranden av normalgraden straffria ver- kar således ha en viss betydelse vid sidan av regeln om att ringa fall är straffria. Frågan är då om det finns några bärande skäl emot en sådan avkriminalisering, som får anses ligga i linje med hur synen på behovet av straff utvecklats efter införandet av personuppgifts- lagen. Utredningen anser att så inte är fallet. Om de registrerades integritet kränks eller om de annars lider skada, kan de få skade- stånd av den personuppgiftsansvarige även om den tilltalade över- trätt personuppgiftslagen av oaktsamhet. Det får anses tillräckligt för att inskärpa vikten av att reglerna om behandling av personupp- 
  
 147 
  
 Se prop. 2001/02:144 s. 45 f. med vidare hänvisningar. 
  
 148 
  
 Prop. 1999/2000:11 s. 21. 
  
 202 
  
 SOU 2004:6 
  
 Avkriminalisering 
  
 gifter följs (jämför punkterna b och c i 49 §). I och med att grovt oaktsamma förfaranden fortfarande skall vara straffbara, kan man vidare komma åt de fall där den tilltalade visat uppenbar nonchalans för bestämmelserna om att riktiga uppgifter skall lämnas och att anmälan skall göras (jämför punkterna a och d i 49 §). Det får anses tillräckligt. 
 Utredningen föreslår således att bara uppsåtliga och grovt oakt- samma förfaranden skall vara straffbara. 
 Det är bl.a. straffbestämmelserna som ger reglerna i personupp- giftslagen dess karaktär av offentligrättsliga föreskrifter. Att reg- lerna har den karaktären har betydelse bl.a. för möjligheten att ge normgivningsbemyndiganden för regeringen och underlydande myndigheter på personuppgiftslagens område. 
  
 149  
  
 Utredningen an- ser att den begränsade avkriminalisering som nu föreslås inte är av sådan art eller omfattning att den skulle kunna ha betydelse för frå- gan om bestämmelserna i personuppgiftslagen är sådana i grunden offentligrättsliga föreskrifter som gör det möjligt med normgiv- ningsbemyndiganden. 
 Avslutningsvis bör betonas att straffet, såsom  
 EG-domstolen 
  an- tytt, alltid måste bestämmas så att det står i proportion till förseel- sen i det aktuella fallet. De svenska straffbestämmelserna, i person- uppgiftslagen och annorstädes, torde redan bygga på ett sådant synsätt eller åtminstone inte hindra domstolarna från att tillämpa en sådan proportionalitetsprincip. De problem som kan vara för- knippade med att i en svensk straffrättslig miljö tillämpa en EG- rättslig proportionalitetsprincip torde vara allmängiltiga och inte direkt knutna till straffbestämmelsen i personuppgiftslagen. 
  
 149  
 Se prop. 1997/98:44 s. 58 ff. och 237 ff. samt KU 1997/98:18 s. 41 ff. 
 203 
  
 13 
  
 Överklagande av myndighetsbeslut 
  
 13.1 
  
 Utredningsdirektiven 
  
 Enligt utredningsdirektiven skall utredningen överväga hur det i personuppgiftslagen bör införas ett förtydligande av hur beslut av myndighet enligt lagen kan överklagas, såsom bl.a. beslut om rät- telse och avslag på ansökan om information. 
 Uppdraget omfattar, såsom utredningen uppfattat det, inte frå- gan om hur Datainspektionens beslut i egenskap av tillsynsmyn- dighet överklagas utan bara frågan om hur andra myndighetsbeslut enligt personuppgiftslagen skall kunna överklagas. Utredningsupp- draget omfattar vidare inte frågan om det är lämpligt att sådana myndighetsbeslut kan överklagas utan uppdraget är begränsat till att överväga hur en sådan möjlighet till överklagande skall framgå av personuppgiftslagen. 
  
 13.2 
  
 EG-direktivet 
  
  och andra internationella regler 
 Det finns inget i  
 EG-direktivet 
  som kräver att myndighetsbeslut – andra än tillsynsmyndighetens 
  
 150  
  
 – om sådant som regleras i EG- direktivet skall kunna överklagas. Däremot krävs det enligt artikel 22 i  
 EG-direktivet 
  att medlemsstaterna föreskriver att var och en har rätt att föra talan inför domstol om sådana kränkningar av rät- tigheter som skyddas av den nationella lagstiftning som är tillämp- lig på behandlingen av personuppgifterna. Den rätten skall inte på- 
  
 150  
 Se artikel 28.3 andra stycket i  
 EG-direktivet. 
  
 Överklagande av myndighetsbeslut 
  
 SOU 2004:6 
  
 verka möjligheten att utnyttja administrativa förfaranden som kan användas innan ett ärende anhängiggörs hos en rättslig instans. 
 Inte heller Europarådets dataskyddskonvention kräver en möj- lighet till överklagande. 
  
 13.3 
  
 Datalagen 
  
 13.3.1 
  
 Avslag på begäran om registerutdrag 
  
 I datalagen fanns det i 25 § tredje stycket en bestämmelse om att om en registeransvarig myndighet avslog en begäran om ett s.k. registerutdrag, skulle avslagsbeslutet överklagas på samma sätt som ett beslut av myndigheten att avslå en begäran om utlämnande av allmän handling. Med myndighet skulle därvid jämställas andra or- gan i den utsträckning som anges i 1 kap. 8 och 9 §§ sekretesslagen (1980:100), dvs. i huvudsak kommunala företag och andra privat- rättsliga subjekt med anknytning till det allmänna, t.ex. genom att verksamheten innebär myndighetsutövning. 
 Den angivna bestämmelsen om överklagande av beslut om avslag på begäran om registerutdrag infördes genom en ändring i datala- gen 1992. Det noterades därvid att registrerade som söker informa- tion om sig själva inom den offentliga sektorn kan välja mellan att åberopa bestämmelserna om registerutdrag och bestämmelserna om allmänna handlingar samt att det ofta inte klart framgår på vil- ken laggrund en framställning bygger. Vidare noterades att en myndighets beslut att avslå en begäran om registerutdrag fick över- klagas enligt allmänna regler om överklagande av en myndighets beslut, vilket innebar att det tillämpades bl.a. skilda instansordning- ar för beslut av statliga och kommunala myndigheter. Ändringen genomfördes för att få enhetliga regler om överklagande av myn- dighets beslut att avslå en begäran om registerutdrag. 
  
 151 
  
 Några andra särskilda bestämmelser om överklagande av andra myndighetsbeslut än Datainspektionens fanns inte i datalagen. 
  
 151  
 Prop. 1990/91:60 s. 72 f. 
 206 
  
 SOU 2004:6 
  
 Överklagande av myndighetsbeslut 
  
 13.3.2 
  
 Hur avslag på begäran om allmän handling överklagas 
  
 Bestämmelsen om överklagande i datalagen hänvisade alltså till be- stämmelserna om överklagande av myndighetsbeslut om att avslå en begäran om utlämnande av allmän handling. 
 Bestämmelser om hur beslut om avslag på begäran om utläm- nande av allmän handling överklagas finns i 2 kap. 15 § tryckfri- hetsförordningen, 15 kap. 7 § sekretesslagen 
  
 152  
  
 och 4 § och 7 § för- sta stycket lagen (1989:186) om överklagande av administrativa be- slut av riksdagsförvaltningen och riksdagens myndigheter. Enligt dessa bestämmelser gäller följande om överklagande av beslut om avslag på begäran om utlämnande av allmän handling. 
 Huvudregeln är att beslut av myndighet eller sådant organ som avses i 1 kap. 8 och 9 §§ sekretesslagen överklagas hos kammarrätt. Det krävs inte något prövningstillstånd för att kammarrätten skall pröva överklagandet. Kammarrättens avgörande kan överklagas till slutinstansen Regeringsrätten. För att Regeringsrätten skall pröva överklagandet krävs prövningstillstånd. 
 I fråga om en del avslagsbeslut som fattats av vissa domstolar gäller särskilda regler. Om det är en kammarrätt som fattat avslags- beslutet, överklagas det till Regeringsrätten. Det krävs i detta fall inte något prövningstillstånd för att Regeringsrätten skall pröva överklagandet. Om en tingsrätt har fattat ett avslagsbeslut som rör handling i domstolens rättskipande eller rättsvårdande verksamhet, överklagas det hos hovrätt, vars avgörande kan – efter överklagande och prövningstillstånd – överprövas av Högsta domstolen. Om en hovrätt fattat avslagsbeslutet, överklagas det hos Högsta domsto- len, varvid det inte krävs något prövningstillstånd. 
 Beslut av Högsta domstolen och Regeringsrätten får inte över- klagas. 
 Ett beslut av ett statsråd överklagas till regeringen. 
 Beslut av riksdagen, regeringen och Justitieombudsmannen får inte överklagas. 
  
 152 
  
 Offentlighets- och sekretesskommittén ser över bestämmelserna i sekretesslagen, se dir. 1998:32, och har kommit med förslag till ändringar i 15 kap. sekretesslagen, se SOU 2002:97. 
  
 207 
  
 Överklagande av myndighetsbeslut 
  
 SOU 2004:6 
  
 13.4 
  
 Personuppgiftslagen 
  
 Bestämmelsen i datalagen om överklagande av myndighets beslut om avslag på begäran om registerutdrag fördes inte över till per- sonuppgiftslagen. I personuppgiftslagen finns det i dag bara be- stämmelser om hur tillsynsmyndighetens beslut överklagas (51 §). Frågan om hur andra myndighetsbeslut om sådant som regleras i lagen kan överklagas berördes inte särskilt i förarbetena till lagen. 
  
 153 
  
 Av personuppgiftslagen följer dock att en registrerad har andra möjligheter än överklagande att använda om han eller hon anser att en myndighet inte har tillämpat lagen på ett riktigt sätt. Den regi- strerade kan för det första anmäla förhållandet till tillsynsmyndig- heten, som kan utnyttja sina befogenheter för att åstadkomma rät- telse (se  
 43–47 
  §§). För det andra kan den registrerade vid varje brott mot personuppgiftslagen genast väcka talan mot den person- uppgiftsansvarige vid allmän domstol och yrka bl.a. ideellt skade- stånd enligt 48 §. Även en fastställelse- och i vissa fall fullgörelseta- lan kan vara aktuell. 
  
 13.5 
  
 Den allmänna bestämmelsen om överklagande i förvaltningslagen 
  
 I 22 § förvaltningslagen (1986:223) finns det en allmän bestämmel- se om att ett beslut får överklagas av den som beslutet angår, om det har gått honom eller henne emot och beslutet kan överklagas. Den 1 oktober 1998, dvs. en knapp månad innan personuppgiftsla- gen trädde i kraft, infördes det i 22 a § förvaltningslagen en allmän bestämmelse om att beslut överklagas hos allmän förvaltningsdom- stol, dvs. länsrätt, och att det vid överklagande till kammarrätt av länsrättens avgörande krävs prövningstillstånd. Den bestämmelsen gäller dock inte beslut i administrativa ärenden. Ett överklagande skall ske skriftligen genom en skrivelse som lämnas in till den be- slutande myndigheten inom tre veckor från den dag klaganden fick del av beslutet (23 § förvaltningslagen). 
 Dessa bestämmelser gäller för förvaltningsmyndigheternas hand- läggning av ärenden och domstolarnas handläggning av förvalt- ningsärenden (1 § förvaltningslagen). Bestämmelserna gäller dock 
  
 153  
 Jämför dock i fråga om forskningsetiska kommittéers beslut prop. 1997/98:44 s. 72 f. 
 208 
  
 SOU 2004:6 
  
 Överklagande av myndighetsbeslut 
  
 inte om beslutet i stället kan överklagas till länsrätt för laglighets- prövning enligt 10 kap. kommunallagen (1991:900). 
 Av 35 § verksförordningen (1995:1322) följer att huvudregeln är att ett beslut av en myndighet under regeringen som inte kan över- klagas till länsrätt enligt 22 a § förvaltningslagen i stället får över- klagas hos regeringen. 
 Bestämmelserna om överklagande i förvaltningslagen gäller bara om inte något annat föreskrivits i lag eller förordning, t.ex. genom föreskrifter om en annan instansordning eller ett överklagandeför- bud. Även efter införandet år 1998 av den allmänna regeln om överklagande till länsrätt är avsikten att särskilda regler om över- klagande skall finnas i annan förvaltningsrättslig lagstiftning. 
  
 154 
  
 Vad som hittills sagts har i huvudsak gällt frågan om hur ett be- slut överklagas om det kan överklagas. En annan, minst lika viktig fråga är om ett beslut över huvud taget kan överklagas. I den delen anges följande i propositionen med förslag till ändringen 1998 i förvaltningslagen: 
  
 155 
  
 I 22 § förvaltningslagen (1986:223) anges att ett beslut får överklagas av den som beslutet angår, om det gått honom emot och beslutet kan överklagas. Förvaltningslagen ger emellertid, bortsett från vissa beslut som meddelas under handläggning, inget svar på frågan om vilka beslut som kan överklagas. Överklagbarheten regleras i stället i viss mån ge- nom bestämmelser i specialförfattningar och myndighetsinstruktioner. Dessa bestämmelser kompletteras av allmänna principer som har utbil- dats i praxis. 
 I svensk förvaltningsrätt anses den oskrivna huvudregeln gälla, att statliga myndigheters beslut kan överklagas även om bestämmelser om överklagande saknas. Om det för kommunala beslut saknas special- bestämmelser om överklagande kan besluten i vissa fall bli föremål för laglighetsprövning enligt kommunallagen (1991:900) eller kyrkolagen (1992:300). För att förvaltningsbeslut som meddelas av organ som står utanför den statliga och kommunala organisationen skall kunna över- klagas krävs däremot uttryckligt författningsstöd. 
 [] 
 [] Överklagbarheten är [] begränsad till följd av de allmänna principer som har utbildats i praxis. Bland dessa principer kan nämnas följande. En förutsättning för att ett beslut skall kunna överklagas är att beslutet har karaktären av ett skriftligt uttalande. En myndighets fak- tiska handlande eller underlåtenhet att handla kan inte överklagas. En 
  
 154 
  
 Prop. 1997/98:101 s. 62. 
  
 155 
  
 Prop. 1997/98:101 s. 50 ff. 
  
 209 
  
 Överklagande av myndighetsbeslut 
  
 SOU 2004:6 
  
 annan förutsättning för överklagbarhet är att beslutet har någon inte alltför obetydlig verkan för parter eller andra. En myndighets förslag eller yttrande till en annan myndighet, som har att besluta i saken, är normalt inte heller överklagbart. Beslut som rör myndigheternas inter- na förhållanden kan som huvudregel inte överklagas. Ett principbeslut, som är avsett att vara vägledande i kommande enskilda fall, är som regel inte heller överklagbart. Samma sak gäller för förhandsbesked som inte är bindande. Normbeslut får däremot i princip överklagas i samma ut- sträckning som beslut i enskilda fall. Beslut under beredningen av ett ärende är som regel inte överklagbara annat än i samband med att det slutliga avgörandet i ärendet överklagas. Beslut på verkställighetsstadiet kan i allmänhet inte heller överklagas. Normalt saknas också möjlighet att klaga över motiveringen till ett beslut. 
 Slutsatsen av det sagda är att åtminstone vissa beslut av en myndig- het enligt personuppgiftslagen i dag torde kunna överklagas enligt de allmänna bestämmelser som nu nämnts. Utredningen har dock inte kännedom om något fall där sådant överklagande skett. Det bör påpekas att ett överklagande inte inskränker den registrerades möjligheter att väcka talan om saken vid allmän domstol eller att påtala missförhållanden för Datainspektionen, eller för den delen inspektionens möjligheter att ingripa med stöd av personuppgifts- lagen. 
  
 13.6 
  
 Särskilda registerlagar 
  
 Bilden är splittrad när det gäller bestämmelser om överklagande i särskilda registerförfattningar, som meddelats genom lag och som gäller myndigheters behandling av personuppgifter. 
 Några bestämmelser om överklagande finns inte i vissa lagar som utfärdats kort efter personuppgiftslagen. Det gäller t.ex. följande lagar: 
  
 Lagen (1998:527) om det statliga personadressregistret 
  
 Lagen (1998:543) om hälsodataregister 
  
 Lagen (1998:544) om vårdregister 
  
 Lagen (1998:620) om belastningsregister 
  
 Lagen (1998:621) om misstankeregister 
  
 Polisdatalagen (1998:622) 
  
 Lagen (1998:938) om behandling av personuppgifter om total- försvarspliktiga 
  
 210 
  
 SOU 2004:6 
  
 Överklagande av myndighetsbeslut 
  
 I senare utfärdade eller ändrade lagar brukar det dock finnas be- stämmelser om överklagande av vissa beslut. Undantag utgör föl- jande lagar: 
  
 Vapenlagen (1996:97) som i fråga om vapenregister som förs av polisen ändrats genom SFS 1999:74 och som inte innehåller nå- gon särskild bestämmelse om överklagande av beslut om behand- ling av personuppgifter. 
  
 Lagen (1999:889) om registrering av krigsskada på egendom, som bara innehåller bestämmelser om rätt att överklaga beslut om att vägra registrering. 
  
 Lagen (2000:537) om märkning och registrering av hundar, som såvitt nu är aktuellt bara innehåller bestämmelser om att beslut om registrering får överklagas. 
  
 Lagen (2000:1087) om anmälningsskyldighet för vissa innehav av finansiella instrument, som reglerar ett insynsregister och som innehåller bara en erinran om bestämmelsen i 22 a § förvaltnings- lagen. 
  
 Alkohollagen (1994:1738) som i fråga om registerföring ändrats genom SFS 2001:414, men som inte innehåller någon särskild be- stämmelse om överklagande av beslut om behandling av person- uppgifter. 
  
 Lagen (2000:224) om fastighetsregister och lagen (2003:528) om företagsinteckning 
  
 156 
  
 ,  
 som reglerar s.k. publicitetsregister där regi- streringen innebär rättsverkningar, innehåller speciella bestämmel- ser om överklagande. 
  
 157 
  
 I lagen (1999:90) om behandling av personuppgifter vid skatte- myndigheters medverkan i brottsutredningar infördes det en be- stämmelse (17 §) om att skattemyndighets beslut om rättelse får överklagas hos allmän förvaltningsdomstol och att prövningstill- stånd krävs vid överklagande till kammarrätt. I förarbetena anför- des följande: 
 158 
  
 Utredningen har föreslagit att en bestämmelse om överklagande av så- dana beslut som fattas av skattemyndigheten i den brottsbekämpande verksamheten och som direkt berör den enskilde skall tas in i lagen. Det gäller framför allt beslut om rättelse av oriktiga uppgifter, om in- 
  
 156 
  
 Se tidigare lagen (1984:649) om företagshypotek. 
  
 157 
  
 Se också förslagen i prop. 2003/04:27 till ändringar i lagen (1955:227) om inskrivning av rätt till luftfartyg. 
  
 158 
  
 Prop. 1998/99:34 s. 56. 
  
 211 
  
 Överklagande av myndighetsbeslut 
  
 SOU 2004:6 
  
 formation om pågående behandlingar och att avslå en enskilds begäran om att få ut de uppgifter om honom som behandlas. 
 Regeringen delar utredningens bedömning att skattemyndighetens beslut angående behandling av personuppgifter och som direkt berör den enskilde skall kunna överklagas. Den föreslagna lagen innehåller dock till skillnad mot utredningens förslag endast de särbestämmelser som är motiverade för skattemyndigheternas brottsutredande verk- samhet och hänvisar därutöver till personuppgiftslagen []. Endast i fråga om rättelse av oriktiga uppgifter föreslås bestämmelser i lagen. 
 Beslut om rättelse skall givetvis kunna överklagas. Regeringen före- slår därför att det skall införas en rätt att överklaga sådana beslut till allmän förvaltningsdomstol. För överklagande till kammarrätt skall krävas prövningstillstånd. 
 För övriga beslut som rör behandlingen av personuppgifter gäller personuppgiftslagens regler. Någon särskild bestämmelse om hur be- slut av en myndighet som är personuppgiftsansvarig skall överklagas finns inte i personuppgiftslagen. När det gäller beslut om att avslå en enskilds begäran om att få ut uppgifter finns dock, som Kammarrätten i Göteborg påtalat, bestämmelser om överklagande i sekretesslagen. Härutöver finns bestämmelser om överklagande av skattemyndighetens beslut, i de fall det saknas andra regler om överklagande, i förordningen (1990:1293) med instruktion för skatteförvaltningen. 
 Även i lagen (1999:353) om rättspsykiatriskt forskningsregister intogs det en bestämmelse om överklagande (16 §). Här angavs dock att beslut om såväl registerutdrag som rättelse får överklagas hos allmän förvaltningsdomstol (och att prövningstillstånd krävs vid överklagande till kammarrätt). I författningskommentaren till bestämmelsen angavs: 
  
 159 
  
 De flesta beslut som fattas av Rättsmedicinalverket och som gäller be- handling av personuppgifter enligt denna lag är interna eller administra- tiva. 
 Enskilda berörs dock direkt av beslut om information som skall läm- nas efter ansökan enligt 26 § personuppgiftslagen (vad som enligt äldre terminologi kallats registerutdrag) och om rättelse enligt 28 § samma lag. Besluten är av det slaget att de bör få överklagas. Genom denna be- stämmelse föreskrivs att talan mot sådana beslut får föras hos allmän förvaltningsdomstol, dvs. hos länsrätt i första instans. Prövningstill- stånd krävs vid överklagande till kammarrätten. 
  
 159  
 Prop. 1998/99:72 s. 71, jämför s. 61. 
 212 
  
 SOU 2004:6 
  
 Överklagande av myndighetsbeslut 
  
 Frågan om bestämmelser om överklagande togs särskilt upp av Lagrådet i ett lagstiftningsärende om behandling av personuppgif- ter i Tullverkets brottsbekämpande verksamhet. I lagförslaget i lag- rådsremissen hade bara tagits med en bestämmelse om att Tullver- kets beslut om rättelse enligt 9 § i den föreslagna lagen fick över- klagas (och att prövningstillstånd krävs vid överklagande till kam- marrätt). Lagrådet yttrade följande: 
  
 160 
  
 I 9 § finns emellertid inte några bestämmelser om meddelande av dyli- ka beslut. Där finns däremot en hänvisning av vilken framgår att per- sonuppgiftslagens (PUL:s) bestämmelser om rättelse och skadestånd är tillämpliga. Effekten blir att överklagandebestämmelsen och de på be- sluten tillämpliga bestämmelserna kommer att finnas i olika lagar, den förstnämnda bestämmelsen i den nu föreslagna lagen och de sistnämn- da bestämmelserna i PUL. 
 Orsaken till den uppkomna situationen är att PUL saknar en över- klagandebestämmelse beträffande rättelsebesluten. Tanken har antagli- gen varit att den som är missnöjd med ett beslut skall anmäla detta hos tillsynsmyndigheten (Datainspektionen) genom anförande av formlösa klagomål. Inspektionens beslut kan sedan vara överklagbart enligt 51 § PUL. Genom tillkomsten av 22 a § förvaltningslagen har enskild dock erbjudits möjligheten att överklaga rättelsebesluten direkt hos allmän förvaltningsdomstol. 
 Den föreslagna överklagandebestämmelsen skulle komma att omfat- ta endast rättelsebeslut. En annan närstående kategori beslut som också meddelas enligt PUL är beslut om begärd information. Enligt Lagrådets mening bör överklagandebestämmelsen också omfatta dessa beslut. Visserligen saknar lagen en uttrycklig hänvisning till PUL beträffande informationsbesluten, men detta kan inte vara någon avgörande skill- nad eftersom PUL i vilket fall som helst är tillämplig på båda slagen av beslut. Lagrådet anser att första meningen bör formuleras om och för- slagsvis ges följande lydelse: Tullverkets beslut om rättelse och infor- mation i fråga om personuppgifter i verkets brottsbekämpande verk- samhet får överklagas hos allmän förvaltningsdomstol. [] 
 Huruvida ytterligare beslut skall vara överklagbara bör övervägas i det fortsatta lagstiftningsarbetet. Det är exempelvis tvivelaktigt om så- dana beslut [om automatiserad behandling för underrättelseverksam- het] som avses i 19 § skall gå att överklaga. Om resultatet skulle bli att inga andra beslut än rättelse- och informationsbeslut skall kunna över- klagas, bör i paragrafen tas in en uttrycklig bestämmelse om att andra beslut beträffande ifrågavarande personuppgifter inte får överklagas. 
  
 160  
 Prop. 2000/01:54 s. 77 f. 
 213 
  
 Överklagande av myndighetsbeslut 
  
 SOU 2004:6 
  
 Det är inte något tillfredsställande förhållande att bestämmelser om överklagande av beslut finns i en lag och bestämmelser om beslutens meddelande i en annan. Lagrådet anser att regeringen snarast bör över- väga möjligheten att i PUL införa överklagandebestämmelser i fråga om myndigheters rättelse- och informationsbeslut på person- uppgiftsområdet. 
 Regeringen följde Lagrådets förslag till formulering. När det gällde frågan om andra beslut än om rättelse och information skulle kun- na överklagas, ansåg regeringen att sådana övriga beslut som fattas enligt den föreslagna lagen var av antingen administrativ eller intern art. Enligt regeringen kan därför dessa beslut enligt allmänna regler inte överklagas. Bestämmelsen om överklagande försågs med ett fullföljdsförbud avseende andra beslut än beslut om rättelse och beslut om information som tagits med stöd av lagen. 
  
 161 
  
 I lagen (2001:99) om den officiella statistiken togs det in en all- män bestämmelse om att beslut enligt lagen, förutom vissa, särskilt angivna beslut, får överklagas hos allmän förvaltningsdomstol. 
  
 162 
  
 I lagstiftningen om behandling av personuppgifter inom skatt, tull och exekution intogs bestämmelser om att myndighetsbeslut om rättelse och om information som skall lämnas enligt 26 § per- sonuppgiftslagen får överklagas hos allmän förvaltningsdomstol (och att prövningstillstånd krävs vid överklagande till kammarrätt). Vidare föreskrevs att andra beslut inte får överklagas. I förarbetena anfördes bl.a. följande: 
  
 163 
  
 Regeringen delar utredningens bedömning att beslut angående be- handling av personuppgifter som direkt berör den enskilde skall kunna överklagas. Myndigheters beslut att avslå en ansökan om information om pågående behandlingar kan avse rätten att få besked i fråga om per- sonuppgifter behandlas eller inte samt rätten att få skriftlig information om personuppgifter som behandlas. Överklagande bör vara möjligt i bägge fallen. Besluten bör överklagas till allmän förvaltningsdomstol och det bör krävas prövningstillstånd för överklagande till kammarrät- ten. 
 Myndigheterna fattar i sin verksamhet även andra beslut som rör be- handlingen av personuppgifter. Dessa beslut är emellertid interna eller administrativa. Administrativa beslut fattas t.ex. vid inrättande av alla 
  
 161 
  
 Prop. 2000/01:54 s. 49. Se 24 § lagen (2001:85) om behandling av personuppgifter i Tull- verkets brottsbekämpande verksamhet. 
  
 162 
  
 Prop. 2000/01:27 s. 63 f. och 97. 
  
 163 
  
 Prop. 2000/01:33 s. 109, jämför s. 348. 
  
 214 
  
 SOU 2004:6 
  
 Överklagande av myndighetsbeslut 
  
 typer av register. Dessa beslut berör inte den enskilde direkt. Regering- en anser i likhet med utredningen att interna och administrativa beslut inte bör kunna överklagas. 
 En motsvarande bestämmelse som i lagstiftningen om behandling av personuppgifter inom skatt, tull och exekution infördes genom en ändring (SFS 2001:413) i socialförsäkringsregisterlagen (1997:934) (21 b §). 
 Också i lagstiftningsärendet om behandling av personuppgifter inom socialtjänsten togs i lagrådsremissen upp ett förslag till en motsvarande bestämmelse. Även denna gång hade dock Lagrådet synpunkter på lydelsen av bestämmelsen och anförde följande: 
  
 164 
  
 Beträffande överklagande inom socialtjänsten av beslut om informa- tion som skall lämnas efter ansökan torde avsikten vara att det skall vara fråga om avslag på en ansökan om information enligt 26 § person- uppgiftslagen. Detta skulle framgå bättre om första stycket gavs följan- de lydelse. 
 Beslut inom socialtjänsten om rättelse eller om avslag på ansökan om information enligt 26 § personuppgiftslagen (1998:204) får över- klagas hos allmän förvaltningsdomstol. Andra beslut enligt denna lag får inte överklagas. 
 Lagrådet vill anmärka att andra beslut enligt denna lag inte torde vara avsett att omfatta beslut om skadestånd som grundas på 9 §. 
 Regeringen följde Lagrådets förslag. 
 I lagen (2001:617) om behandling av personuppgifter inom kri- minalvården intogs emellertid en bestämmelse om överklagande som är utformad lite annorlunda (12 §). I bestämmelsen anges bara att en myndighets beslut om rättelse och om information enligt 26 § personuppgiftslagen får överklagas hos allmän förvaltnings- domstol (och att prövningstillstånd krävs vid överklagande till kammarrätt). I bestämmelsen talas det således inte om avslag på ansökan om information och det anges inte heller att andra beslut inte får överklagas. 
 I lagen (2001:558) om vägtrafikregister intogs en motsvarande bestämmelse (34 §). Bestämmelsen utformades även denna gång efter förslag från Lagrådet. I lagrådsremissen hade inte beslut om rättelse nämnts i bestämmelsen. Lagrådet noterade att det i förslag till andra lagar om behandling av personuppgifter vanligtvis anges 
  
 164  
 Prop. 2000/01:80 s. 273. 
 215 
  
 Överklagande av myndighetsbeslut 
  
 SOU 2004:6 
  
 att rättelsebeslut skall överklagas i samma ordning som informa- tionsbeslut. Lagrådet upprepade vidare sin rekommendation till regeringen att överväga möjligheten att införa överklagandebe- stämmelser i personuppgiftslagen. 
  
 165  
  
 Lagrådet har även senare åter- kommit till den rekommendationen. 
  
 166 
  
 I lagen (2002:546) om behandling av personuppgifter i den ar- betsmarknadspolitiska verksamheten togs det dock in en bestäm- melse (18 §) som motsvarar den som finns i lagen (2001:454) om behandling av personuppgifter inom socialtjänsten och som således talar om, förutom beslut om rättelse, beslut om avslag på ansökan om information och som anger att andra beslut enligt lagen inte får överklagas. I förarbetena angavs följande. 
  
 167 
  
 De beslut som fattas rörande personuppgifter som direkt berör den enskilde skall kunna överklagas. Sådana beslut är i allmänhet en myn- dighets beslut att avslå en ansökan om information enligt 26 § person- uppgiftslagen. Även beslut om rättelse bör kunna överklagas. 
 Med hänsyn till att det rör sig om beslut i rättsfrågor snarare än i materiella frågor är det enligt regeringens bedömning lämpligt att be- sluten överklagas direkt till domstol. Det är också önskvärt att besluten överklagas på samma sätt oavsett vilken myndighet som fattat beslutet. Besluten bör därför överklagas till allmän förvaltningsdomstol och det bör krävas prövningstillstånd för ett överklagande till kammarrätten. 
 Övriga beslut berör inte den enskilde direkt och bör därför inte kunna överklagas. 
 Av lagen (2002:297) om biobanker i hälso- och sjukvården m.m. (6 kap. 7 §) framgår att beslut om rättelse och om avslag på ansö- kan om information enligt 26 § personuppgiftslagen får överklagas hos allmän förvaltningsdomstol (och att prövningstillstånd krävs vid överklagande till kammarrätt). Någon bestämmelse om att and- ra beslut angående behandling av personuppgifter inte får överkla- gas finns dock inte i den lagen. Motsvarande bestämmelser om överklagande har införts genom en ändring (SFS 2002:614) i skogsvårdslagen (1979:429) (40 §). 
 I lagen (2003:113) om elcertifikat finns det bestämmelser om att avslag på ansökan om information enligt 26 § personuppgiftslagen 
  
 165 
  
 Prop. 2000/01:95 s. 206. 
  
 166 
  
 Prop. 2002/03:40 s. 241, jämför s. 132. 
  
 167 
  
 Prop. 2001/02:144 s. 47 f. 
  
 216 
  
 SOU 2004:6 
  
 Överklagande av myndighetsbeslut 
  
 får överklagas hos allmän förvaltningsdomstol och att prövnings- tillstånd krävs vid överklagande till kammarrätten (8 kap. 2 §). 
  
 168 
  
 Polisdatautredningen har föreslagit en bestämmelse i en ny po- lisdatalag om att myndighetsbeslut om rättelse och om information överklagas till kammarrätt. 
  
 169 
  
 I lagen (2003:763) om behandling av personuppgifter inom soci- alförsäkringens administration finns det en bestämmelse om att en myndighets beslut om rättelse eller om avslag på ansökan om in- formation enligt 26 § personuppgiftslagen överklagas hos allmän förvaltningsdomstol och att prövningstillstånd krävs vid överkla- gande till kammarrätten (33 §). Andra beslut får inte överklagas. 
  
 170  
  
 Utlänningsdatautredningen har i fråga om vissa myndigheters be- handling av personuppgifter enligt utlännings- och medbor- garskapslagstiftningen föreslagit motsvarande överklagandebe- stämmelser. 
  
 171 
  
 Särskilda bestämmelser om överklagande har också föreslagits av Domstolsdatautredningen för domstolarnas behandling av person- uppgifter i den rättsskipande och rättsvårdande verksamheten. 
  
 172  
  
 Utredningen föreslår att beslut om rättelse och om information som skall lämnas enligt 26 § personuppgiftslagen skall få överklagas enligt följande. Beslut av tingsrätter, hovrätter och länsrätter skall överklagas hos kammarrätt. Beslut av kammarrätter skall överkla- gas hos Regeringsrätten. Beslut av Högsta domstolen och Reger- ingsrätten skall inte få överklagas. Beslut av hyres- och arrende- nämnder skall överklagas hos allmän förvaltningsdomstol och prövningstillstånd skall krävas vid överklagande till kammarrätt. 
 Tullbrottsdatautredningen har i fråga om behandling av person- uppgifter i Tullverkets brottsbekämpande verksamhet föreslagit en bestämmelse om att Tullverkets beslut om rättelse och om infor- mation som skall lämnas enligt 26 § personuppgiftslagen får över- klagas hos allmän förvaltningsdomstol och att prövningstillstånd krävs vid överklagande till kammarrätten. Andra beslut skall enligt förslaget inte få överklagas. 
  
 173  
  
 Underrättelsedatautredningen har i fråga om försvarsunderrättelseverksamhet och säkerhetstjänst före- slagit motsvarande överklagandebestämmelser.  
  
 174  
  
 Också Färd- 
  
 168 
  
 Prop. 2002/03:40 s. 132. 
  
 169 
  
 SOU 2001:92 s. 193 f. 
  
 170 
  
 Prop. 2002/03:135 s. 127. 
  
 171 
  
 SOU 2003:40 s. 239. 
  
 172 
  
 SOU 2001:100 s.  
  
 179–182. 
  
 173 
  
 SOU 2002:113 s. 277 f. 
  
 174 
  
 SOU 2003:34 s. 196. 
  
 217 
  
 Överklagande av myndighetsbeslut 
  
 SOU 2004:6 
  
 tjänstutredningen har föreslagit motsvarande överklagandebe- stämmelser i fråga om myndighetsbeslut. 
  
 175 
  
 13.7 
  
 Överväganden och förslag 
  
 Utredningens förslag:  
 En myndighets beslut om information (re- gisterutdrag) enligt 26 §, om rättelse och underrättelse till tredje man om rättelseåtgärder enligt 28 §, om information om automati- serade beslut enligt 29 § andra stycket och om allmänna upplys- ningar om pågående behandlingar enligt 42 § får överklagas hos allmän förvaltningsdomstol, dvs. länsrätt. Andra beslut av myndig- het enligt personuppgiftslagen får inte överklagas. Prövningstill- stånd krävs vid överklagande till kammarrätten. Bestämmelserna om överklagande gäller dock inte beslut av riksdagen och regering- en. I fråga om överklagande av beslut av allmän domstol och allmän förvaltningsdomstol finns särskilda föreskrifter. 
  
 Utredningens bedömning:  
 Särskilda bestämmelser om hur be- slut av domstolar överklagas bör tas in i de registerlagar som skall reglera domstolarnas behandling av personuppgifter. 
  
 13.7.1 
  
 Myndighetsbeslut som bör få överklagas 
  
 Utredningen har att föreslå hur myndighetsbeslut enligt person- uppgiftslagen skall kunna överklagas. Den första frågan att ta ställ- ning till är vilka myndighetsbeslut enligt personuppgiftslagen som bör få överklagas. 
 I samband med utformningen av särskilda registerlagar efter ikraftträdandet av personuppgiftslagen har ofta den bedömningen gjorts att myndighetsbeslut som direkt berör den enskilde skall kunna överklagas, medan myndighetsbeslut som ansetts som inter- na eller administrativa – t.ex. beslut om att inrätta ett register – och således inte direkt berör den enskilde inte bör kunna överklagas. En tillämpning av dessa principer har lett till att det införts bestämmel- ser som ofta anger att beslut om rättelse och om information som skall lämnas enligt 26 § personuppgiftslagen (s.k. registerutdrag) får överklagas och som ibland dessutom anger att andra beslut inte får överklagas. (Se avsnitt  
 13.6.)  
 Vad som nu angetts får sägas utgö- 
  
 175  
 SOU 2003:87 s. 198 f. 
 218 
  
 SOU 2004:6 
  
 Överklagande av myndighetsbeslut 
  
 ra huvudprinciper, även om bilden är splittrad i fråga om existensen och utformningen av bestämmelser om överklagande i särskilda registerlagar. 
 Utredningen ställer sig bakom principen att myndighetsbeslut som direkt berör den enskilde skall kunna överklagas och att andra myndighetsbeslut, som kan betecknas som interna eller administra- tiva, inte bör få överklagas. Utredningen har med den utgångs- punkten gått igenom bestämmelserna i personuppgiftslagen för att finna de bestämmelser enligt vilka myndigheter kan fatta beslut som direkt berör den enskilde. Utredningen har därvid funnit att följande myndighetsbeslut enligt bestämmelser i personuppgifts- lagen direkt berör den enskilde på ett sådant sätt att de bör få över- klagas: 
  
 a) 
  
 beslut om information (registerutdrag) enligt 26 § 
  
 b) 
  
 beslut om rättelse och underrättelse till tredje man om rättelse- åtgärder enligt 28 § 
  
 c) 
  
 beslut om information om automatiserade beslut enligt 29 § and- ra stycket 
  
 d) 
  
 beslut om allmänna upplysningar om pågående behandlingar en- ligt 42 § 
  
 Det bör således införas en uttrycklig bestämmelse i personupp- giftslagen om att dessa myndighetsbeslut får överklagas. 
 En myndighets beslut om att betala ut skadestånd för behandling av personuppgifter i strid med personuppgiftslagen eller om att avslå en framställning om det bör enligt utredningens mening inte i och för sig få överklagas, eftersom den enskilde i sådana fall alltid har möjlighet att väcka talan om saken vid allmän domstol. Övriga myndighetsbeslut enligt personuppgiftslagen är enligt utredningens mening interna eller administrativa på ett sådant sätt att besluten inte direkt berör den enskilde och därmed inte kan – eller i vart fall inte bör kunna – överklagas. Det bör därför också tas in en uttryck- lig bestämmelse i personuppgiftslagen om att andra beslut av en myndighet enligt lagen inte får överklagas. 
  
 13.7.2 
  
 Instansordningen 
  
 Nästa fråga utredningen som har att ta ställning till är hur de över- klagbara myndighetsbesluten skall få överklagas. 
 I samband med utformningen av särskilda registerlagar som an- tagits efter ikraftträdandet av personuppgiftslagen har regelmässigt 
 219 
  
 Överklagande av myndighetsbeslut 
  
 SOU 2004:6 
  
 den bedömningen gjorts att myndighetsbesluten skall överklagas hos allmän förvaltningsdomstol, dvs. länsrätt, och att prövningstill- stånd skall krävas vid överklagande till kammarrätt (se avsnitt  
 13.6) 
 . 
 Utredningen delar i princip den bedömningen. I nya bestämmel- ser om överklagande har man – till skillnad från 1973 års datalag – inte anknutit till ordningen för överklagande av beslut att avslå en begäran om utlämnande av allmän handling, enligt vilken ordning huvudprincipen är att besluten överklagas till kammarrätt. Utred- ningen anser inte heller att det finns någon anledning att anknyta till den ordningen. Det innebär bl.a. att beslut av sådana formellt privaträttsliga organ som avses i 1 kap. 8 och 9 §§ sekretesslagen (1980:100) och som har allmänna handlingar inte bör jämställas med myndighetsbeslut. 
 Utredningen föreslår alltså en bestämmelse i personuppgiftsla- gen om att överklagbara beslut av myndighet får överklagas hos allmän förvaltningsdomstol, dvs. länsrätt, och att det krävs pröv- ningstillstånd vid överklagande till kammarrätten. 
 Utredningen anser att den bestämmelsen som regel bör vara lämplig vid beslut av alla myndigheter, inklusive myndigheter som lyder under riksdagen, utom allmänna förvaltningsdomstolar och, kanske, allmänna domstolar. Det kan dock inte uteslutas att det för vissa beslut av vissa myndigheter kan krävas en annan ordning för överklagande eller ett förbud mot överklagande. För sådana fall bör en avvikande ordning lämpligen komma till stånd genom särskilda bestämmelser i en annan lag som helt eller delvis tar över den gene- rella bestämmelsen om överklagande i personuppgiftslagen, se 2 § om personuppgiftslagens subsidiära karaktär. Utredningen anser att det uttryckligen bör anges att den föreslagna ordningen inte gäller beslut av riksdagen och regeringen. 
 När det gäller domstolarna, i vart fall de allmänna förvaltnings- domstolarna, står det dock klart att det krävs en annan bestämmel- se om överklagande än den föreslagna. En länsrätts beslut kan inte gärna få överklagas hos samma länsrätt, och en kammarrätts eller Regeringsrättens beslut kan inte gärna överklagas hos en länsrätt vars avgörande efter överklagande kan komma under kammarrät- tens bedömning och, efter ytterligare överklagande, under Reger- ingsrättens bedömning. Även beträffande beslut av allmän domstol kan det finnas anledning att göra särskilda överväganden om ord- ningen för överklagande. 
 Sådana frågor som nu nämnts övervägs redan inom Regerings- kansliet med anledning av Domstolsdatautredningens förslag 
 220 
  
 SOU 2004:6 
  
 Överklagande av myndighetsbeslut 
  
 (SOU 2001:100). Domstolsdatautredningens förslag omfattar dock bara domstolarnas behandling av personuppgifter i den rättsski- pande och rättsvårdande verksamheten. Utredningen utgår emeller- tid från att den särskilda ordning för överklagande av domstolars beslut i den verksamheten som kan komma att beslutas förmodli- gen är lämplig också för överklagande av domstolars beslut i den övriga verksamheten. Rimligen bör de överväganden som görs be- träffande den rättsskipande och rättsvårdande verksamheten ha motsvarande giltighet för den övriga verksamheten, i vart fall såvitt gäller synpunkten att en domstols beslut inte i något fall bör över- prövas av domstolen själv. 
 Utredningen anser mot den bakgrunden att det inte finns anled- ning att föregripa de överväganden som görs med anledning av Domstolsdatautredningens förslag genom att lämna ett eget förslag om hur beslut av domstolar bör få överklagas. Enligt utredningens mening kan de särskilda bestämmelser om överklagande som är nödvändiga för domstolarnas beslut enligt personuppgiftslagen lämpligen tas in i de lagar om domstolarnas behandling av person- uppgifter som för närvarande förbereds. Sådana särbestämmelser i annan lag tar som sagt över den generella bestämmelsen om över- klagande i personuppgiftslagen (2 §). 
 Som Lagrådet anfört är det generellt sett inte något tillfredsstäl- lande förhållande att bestämmelser om överklagande av beslut finns i en lag och bestämmelser om beslutens meddelande i en annan. 
  
 176  
  
 Utredningen anser emellertid att det förhållandet kan accepteras på det speciella och begränsade område som överklagande av domstols beslut utgör. För tydlighets skull bör det uttryckligen anges i per- sonuppgiftslagen att det i fråga om överklagande av beslut av all- män domstol och allmän förvaltningsdomstol finns särskilda före- skrifter. 
  
 13.7.3 
  
 Andra möjligheter för den registrerade 
  
 Det förhållandet att enligt den föreslagna bestämmelsen myndig- hetsbeslut enligt personuppgiftslagen får eller inte får överklagas hos allmän förvaltningsdomstol avskär inte den registrerade från möjligheten att när som helst utnyttja andra rättigheter som kan stå honom eller henne till buds. 
  
 176  
 Se bl.a. prop. 2000/01:543 s. 77 f. 
 221 
  
 Överklagande av myndighetsbeslut 
  
 SOU 2004:6 
  
 Den registrerade kan således hos myndigheten, eller annat behö- rigt organ, kräva skadestånd med anledning av en olaglig behand- ling av en myndighet. Det förhållandet att myndighetens beslut om skadestånd inte får överklagas avskär inte den registrerade från möjligheten att väcka talan om skadestånd vid allmän domstol. Inte heller en fastställelse- eller fullgörelsetalan vid allmän domstol hindras av förbudet mot överklagande av vissa myndighetsbeslut. 
 Så snart en myndighet behandlat personuppgifter i strid med personuppgiftslagen uppkommer en principiell rätt till skadestånd för de registrerade som drabbats (se 48 §). Skadeståndsskyldighe- ten inträder oberoende av om myndigheten fattat något formellt beslut och oberoende av om ett beslut överklagats av den registre- rade. Även om ett myndighetsbeslut ändras efter överklagande, kan den registrerade ha rätt till skadestånd. Om en myndighet t.ex. i strid med personuppgiftslagen avslår en ansökan om registerutdrag och således inte lämnar sådant utdrag inom föreskriven tid, har skadeståndsskyldighet inträtt trots att beslutet ändras efter över- klagande och ett korrekt registerutdrag lämnas (för sent). 
 Den registrerade kan således i flera fall i princip parallellt föra ta- lan i både allmän förvaltningsdomstol (om ändring av ett myndig- hetsbeslut genom överklagande) och allmän domstol (om t.ex. ska- destånd genom ansökan om stämning) om vad som i realiteten är samma sak, t.ex. frågan om det varit förenligt med personuppgifts- lagen att utelämna vissa uppgifter i ett registerutdrag. Den registre- rade kan dessutom påtala saken för Datainspektionen som obero- ende av processerna kan agera och t.ex. utnyttja sina befogenheter. I vissa fall kan Datainspektionens beslut överklagas hos allmän för- valtningsdomstol (i en tredje process). 
 Det är uppenbart att de olika möjligheter som finns att parallellt få rättslig prövning av vad som i praktiken är samma sak innebär risk för kostnader och olägenheter som inte står i rimlig proportion till vad som står att vinna i processerna. Det är i sig ett skäl för att överväga om det verkligen är nödvändigt med (också) en möjlighet för enskilda att överklaga myndighetsbeslut. Sådana överväganden ingår emellertid inte i utredningsuppdraget, som innebär att utred- ningen har att föreslå hur myndighetsbeslut kan överklagas. 
 Utredningen har därför övervägt om det finns andra vägar att minska riskerna för oproportionerliga kostnader och olägenheter. Motsvarande frågeställningar uppkommer t.ex. vid tillämpningen av antidiskrimineringslagstiftning. 
 När en myndighet fattat ett beslut om tillsättning av en anställ- ning som påstås vara lagstridigt på grund av diskriminering finns 
 222 
  
 SOU 2004:6 
  
 Överklagande av myndighetsbeslut 
  
 både en möjlighet att överklaga tillsättningsbeslutet i administrativ ordning och en möjlighet att väcka talan om skadestånd vid allmän domstol eller Arbetsdomstolen enligt antidiskrimineringslagstift- ningen med anledning av beslutet. Det hade förekommit att paral- lella processer förts och att en sökande dels efter överklagande fått anställningen, dels dessutom fått skadestånd på grund av det un- danröjda, diskriminerande beslutet i lägre instans. I samband med en lagrådsremiss om en ny jämställdhetslag föreslog regeringen ett förbud mot överklagande av tillsättningsbeslut när det för den ar- betssökande redan väckts en skadeståndstalan i fråga om tillsätt- ningsbeslutet; om arbetssökanden hade överklagat tillsättningsbe- slutet innan skadeståndstalan väckts, skulle överklagandet anses ha förfallit i och med skadeståndstalan. Lagrådet ansåg emellertid att en mindre ingripande ordning var att föredra, nämligen att ett överklagande av tillsättningsbeslutet hindrar (inte väckande men väl) prövning av en skadeståndstalan med anledning av beslutet. Regeringen ansåg – slutligen – att det knappast kunde komma i frå- ga att avskaffa vare sig möjligheten att överklaga eller möjligheten att föra en skadeståndstalan och följde Lagrådets förslag. 
  
 177  
  
 I anti- diskrimineringslagstiftningen finns nu oftast bestämmelser om att talan om skadestånd med anledning av ett beslut om tillsättning som har meddelats av en arbetsgivare med offentlig ställning inte får prövas innan anställningsbeslutet har vunnit laga kraft. 
  
 178 
  
 Det anförda visar enligt utredningens mening att det är mindre lämpligt att, när den enskilde valt en viss överprövningsmöjlighet (överklagande eller talan vid allmän domstol), helt avskära hans eller hennes tillgång till andra överprövningsmöjligheter. Den mindre ingripande åtgärd man kan tänka sig är att förhindra paral- lella processer genom att föreskriva att, när den enskilde valt en viss överprövningsmöjlighet, skall förfarandena enligt andra överpröv- ningsmöjligheter avvakta utgången av den första processen. Utred- ningen anser emellertid att sådana föreskrifter vore av mindre värde eftersom de i sig inte förhindrar flera processer om i praktiken samma sak utan bara att processerna pågår samtidigt. 
  
 177 
  
 Se prop. 1990/91:113 s. 92 f., 121 f. och 185 f. och jämför SOU 1990:41 s. 343 ff. 
  
 178 
  
 Se 57 § jämställdhetslagen (1991:433), 39 § lagen (1999:130) om åtgärder mot etnisk diskriminering i arbetslivet, 27 § lagen (1999:132) om förbud mot diskriminering i ar- betslivet av personer med funktionshinder och 26 § lagen (1999:133) om förbud mot dis- kriminering i arbetslivet på grund av sexuell läggning samt vissa av lagförslagen i SOU 2002:43, jämför prop. 2002/03:65. Jämför dock lagen (2001:1286) om likabehandling av studenter i högskolan som inte innehåller någon motsvarande regel. 
  
 223 
  
 Överklagande av myndighetsbeslut 
  
 SOU 2004:6 
  
 Utredningen har sammanfattningsvis inte funnit någon lämplig väg att komma till rätta med den risk för olägenheter som finns med de olika överprövningsmöjligheter som står till buds. Utred- ningen föreslår alltså inte något i den delen. 
 Såvitt utredningen känner till har det dock inte med den nuva- rande ordningen faktiskt uppkommit några olägenheter. Om det skulle uppkomma sådana olägenheter i praktiken, kan det finnas anledning att ånyo se över vilka överprövningsmöjligheter som bör finnas och hur de bör kunna användas. 
 224 
  
 14 
  
 Särskilt om  
  
 EG-domstolens 
  dom i konfirmandlärarmålet 
  
 14.1 
  
 Inledning 
  
 EG-domstolens 
  förhandsavgörande i det svenska s.k. konfirmand- lärarmålet (dom den 6 november 2003 i mål  
 C-101/01) 
  har kortfat- tat presenterats i avsnitt 5.5.2 och berörs också, såvitt gäller all- männa slutsatser om en flexibel tolkning av  
 EG-direktivet, 
  i avsnitt 7.3.8. Utredningen har fått förlängd utredningstid för att kunna analysera och i förekommande fall ta hänsyn till domen. 
  
 179  
  
 Utred- ningen har därför ansett det motiverat att i ett särskilt avsnitt redo- visa sina överväganden i fråga om domen bör föranleda några för- tydliganden i personuppgiftslagen. 
 I avsnitt 8 analyseras om bl.a. domen i konfirmandlärarmålet ger tillräcklig vägledning för att precisera vad som faller utanför ge- menskapsrätten. I övrigt berör domen 
  
 a) 
  
 vad som är en behandling av personuppgifter som helt eller delvis företas på automatisk väg (artikel 3.1 i  
  
 EG-direktivet 
  och 5 § första stycket personuppgiftslagen), 
  
 b) 
  
 vad som utgör en känslig personuppgift (artikel 8.1 i EG- direktivet och 13 § personuppgiftslagen), 
  
 c) 
  
 undantaget för rent privat behandling (artikel 3.2 andra streck- satsen i  
  
 EG-direktivet 
  och 6 § personuppgiftslagen), 
  
 d) 
  
 vad som utgör en överföring av personuppgifter till tredje land (artikel 25.1 i  
  
 EG-direktivet 
  och 33 § första stycket personupp- giftslagen), 
  
 e) 
  
 förhållandet till andra fri- och rättigheter än rätten till skydd för privatlivet, t.ex. yttrandefriheten, och 
  
 179  
 Dir. 2003:53 och 2003:164. 
  
 Särskilt om  
 EG-domstolens 
  dom i konfirmandlärarmålet 
  
 SOU 2004:6 
  
 f) den nationella lagstiftningen om personuppgifter. 
 Det bör inledningsvis slås fast att i de delar domen berör särskilda artiklar i  
 EG-direktivet 
  (punkterna  
 a–d 
  ovan) som genomförts ge- nom personuppgiftslagen har det i de svenska förarbetena uttryck- ligen angetts att den svenska lagen i aktuella delar skall ha samma innebörd som  
 EG-direktivet. 
  Av förarbetena framgår att man låtit personuppgiftslagen i stort sett följa  
 EG-direktivets 
  text, eftersom det är  
 EG-domstolen 
  som sist och slutligen har att tolka de be- grepp och uttryck som  
 EG-direktivet 
  innehåller. 
  
 180  
  
 Det är, såsom också angetts i förarbetena,  
 EG-domstolen 
  som är exklusivt behö- rig att göra auktoritativa uttalanden om innebörden av EG- direktivet, och svenska domstolar har att vid tillämpning av lagtext som införts till genomförande av ett  
 EG-direktiv 
  att tolka lagen i överensstämmelse med  
 EG-direktivet. 
  
 EG-domstolens 
  dom om tolkningen får alltså ett direkt genom- slag vid svenska domstolars tillämpning av personuppgiftslagen. I formell mening är det därför inte nödvändigt att med anledning av  
 EG-domstolens 
  dom ändra den svenska lagtexten. Vad som disku- teras i detta avsnitt är om det ändå är lämpligt att mot bakgrund av  
 EG-domstolens 
  dom ändra personuppgiftslagen i syfte att förtydli- ga lagtexten. 
  
 14.2 
  
 Överväganden 
  
 Utredningens bedömning:  
  
 EG-domstolens 
  dom i det s.k. konfir- mandlärarmålet föranleder inga förslag till ändringar i personupp- giftslagen. 
  
 14.2.1 
  
 Behandling av personuppgifter 
  
 EG-domstolen 
  har slagit fast följande: Omnämnandet av olika personer – med namn eller på annat sätt, till exempel med telefon- nummer eller med uppgifter om deras arbetsförhållanden och fri- tidsintressen – på en hemsida på Internet utgör en behandling av personuppgifter som helt eller delvis företas på automatisk väg, i den mening som avses i artikel 3.1 i  
 [EG-direktivet]. 
  
 180  
 Prop. 1997/98:44 s. 38. 
 226 
  
 SOU 2004:6 
  
 Särskilt om  
 EG-domstolens 
  dom i konfirmandlärarmålet 
  
 I domstolens motivering anges följande: 
 24 Begreppet personuppgifter, som används i artikel 3.1 i direktivet, innefattar i enlighet med definitionen i artikel 2 1 i direktivet i fråga varje upplysning som avser en identifierad eller identifierbar fysisk person. Detta begrepp omfattar absolut en persons namn tillsammans med dennes telefonnummer eller med uppgifter om vederbörandes ar- betsförhållanden eller fritidsintressen. 
 25 Vad gäller begreppet behandling av sådana uppgifter, som an- vänds i artikel 3.1 i direktiv 95/46, innefattar detta enligt definitionen i artikel 2 b i direktivet i fråga varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte. I den sistnämnda bestämmelsen anges flera exempel på såda- na åtgärder, bland annat utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter. Följaktligen skall åtgärden att på en hemsida på Internet lägga ut sådana personuppgifter anses utgöra sådan behandling. 
 26 Det skall även avgöras huruvida denna behandling helt eller del- vis företas på automatisk väg. I detta hänseende noterar domstolen att åtgärden att lägga ut uppgifter på en hemsida på Internet enligt de tek- niska dataprocesser som tillämpas för närvarande innebär att ladda ner denna sida på en server samt de åtgärder som är nödvändiga för att göra denna sida tillgänglig för personer som har kopplat upp sig på Internet. Dessa transaktioner görs åtminstone delvis på automatisk väg. 
 Enligt utredningens mening är det som  
 EG-domstolen 
  slagit fast så självklart och redan så klart uttryckt i personuppgiftslagen (5 § för- sta stycket och definitionerna av behandling och personuppgift i 3 §) att något förtydligande inte behövs. Av förarbetena framgår att den svenska lagtexten i aktuella delar är avsedd att ha samma inne- börd som bestämmelserna i  
 EG-direktivet. 
  
 181 
  
 14.2.2 
  
 Känsliga personuppgifter som rör hälsa 
  
 EG-domstolen 
  har slagit fast följande: En uppgift om att en per- son har skadat sin fot och är deltidssjukskriven utgör en person- uppgift om hälsa, i den mening som avses i artikel 8.1 i [EG- direktivet]. 
 I domstolens motivering anges följande: Med hänsyn till syftet med detta direktiv skall uttrycket uppgifter som rör hälsa, vilket 
  
 181  
 Prop. 1997/98:44 s. 117 och 118. 
 227 
  
 Särskilt om  
 EG-domstolens 
  dom i konfirmandlärarmålet 
  
 SOU 2004:6 
  
 används i artikel 8.1 i  
 [EG-direktivet], 
  ges en vid tolkning och an- ses omfatta uppgifter som rör alla aspekter, såväl fysiska som psy- kiska, av en persons hälsa. 
 I 13 § andra stycket personuppgiftslagen talas det om sådana personuppgifter som rör hälsa, och i förarbetena anges att lagtex- ten är avsedd att ha samma innebörd som artikel 8.1 i EG- direktivet. 
  
 182  
  
 Enligt utredningens mening ger lagtexten på ett till- räckligt tydligt sätt uttryck för den vida tolkning som EG- domstolen anbefallt. Att i lagtexten tala om t.ex. personuppgifter som rör alla aspekter, såväl fysiska som psykiska, av en persons häl- sa skulle enligt utredningens mening bara i onödan tynga lagtex- ten. 
  
 14.2.3 
  
 Undantaget för rent privat behandling 
  
 EG-domstolen 
  har slagit fast att omnämnandet av olika personer – med namn eller på annat sätt, till exempel med telefonnummer eller med uppgifter om deras arbetsförhållanden och fritidsintressen – på en hemsida på Internet inte omfattas av undantaget för privat behandling i artikel 3.2 i  
 EG-direktivet. 
  
 I domstolens motivering anges följande: Vad gäller det undan- tag som föreskrivs i artikel 3.2 andra strecksatsen i  
 [EG-direktivet] 
  nämns i tolfte skälet i  
 [EG-direktivet] 
  korrespondens eller förande av adressregister såsom exempel på en fysisk persons behandling av uppgifter uteslutande för personliga ändamål eller för hemmabruk. 
 – Detta undantag skall således tolkas så, att det endast avser sådan verksamhet som utgör en del av enskildas privat- eller familjeliv, vilket uppenbart inte är fallet i fråga om sådan behandling av per- sonuppgifter som består i att de offentliggörs på Internet för att dessa uppgifter skall bli tillgängliga för ett obestämt antal perso- ner. 
 Av 6 § personuppgiftslagen framgår att lagen inte gäller för så- dan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur, och i förarbetena an- ges att lagtexten är avsedd att ha samma innebörd som artikel 3.2 andra strecksatsen i  
 EG-direktivet. 
  
 183 
  
 Vad man enligt utredningens mening kan överväga att klargöra i lagtexten är att detta inte gäller om behandlingen innebär att personuppgifterna offentliggörs på 
  
 182 
  
 Prop. 1997/98:44 s. 124. 
  
 183 
  
 Prop. 1997/98:44 s. 118. 
  
 228 
  
 SOU 2004:6 
  
 Särskilt om  
 EG-domstolens 
  dom i konfirmandlärarmålet 
  
 Internet för ett obestämt antal personer. Utredningen anser emel- lertid att det – genom den befintliga hänvisningen till verksamhet av rent privat natur – redan tillräckligt tydligt framgår av lagtex- ten att sådant offentliggörande inte omfattas av undantaget (se också avsnitt 8.6). 
  
 14.2.4 
  
 Överföring av personuppgifter till tredje land 
  
 EG-domstolen 
  har slagit fast följande: Det föreligger inte någon överföring av  uppgifter till tredje land i den mening som avses i artikel 25 i  
 [EG-direktivet] 
  när en person som befinner sig i en medlemsstat lägger ut personuppgifter på en hemsida på Internet som är lagrad hos en fysisk eller juridisk person som har den webb- plats där sidan kan konsulteras och som är etablerad i samma med- lemsstat eller i en annan medlemsstat, varvid uppgifterna blir åt- komliga för alla som kopplar upp sig på Internet, inklusive perso- ner i tredje land. 
  
 184 
  
 I domstolens motivering anges följande: 
 56 Varken i artikel 25 i direktiv 95/46 eller i någon annan bestämmelse i direktivet i fråga, särskilt inte i artikel 2 i detta, definieras begreppet överföring till tredje land. 
 57 För att avgöra huruvida det utgör en överföring av personupp- gifter till tredje land i den mening som avses i artikel 25 i direktiv 95/46 att lägga ut personuppgifter på en hemsida på Internet redan av den an- ledningen att detta gör uppgifterna åtkomliga för personer som befin- ner sig i tredje land är det nödvändigt att beakta dels de sålunda genom- förda transaktionernas tekniska natur, dels systematiken i kapitel IV i det nämnda direktivet, där artikel 25 i detta återfinns. 
 58 De uppgifter som finns på Internet kan nästan när som helst kon- sulteras av ett obegränsat antal personer vilka befinner sig på en mängd olika ställen. Att dessa uppgifter är av allestädes närvarande karaktär framgår bland annat av det förhållandet att de tekniska medel som an- vänds inom ramen för Internet är relativt enkla och blir billigare och billigare. 
  
 184 
  
 På engelska lyder domslutet enligt följande: There is no transfer [of data] to a third country within the meaning of Article 25 of Directive 95/46 where an individual in a Member State loads personal data onto an internet page which is stored on an internet site on which the page can be consulted and which is hosted by a natural or legal person who is established in that State or in another Member State, thereby making those data accessible to anyone who connects to the internet, including people in a third country. 
  
 229 
  
 Särskilt om  
 EG-domstolens 
  dom i konfirmandlärarmålet 
  
 SOU 2004:6 
  
 59 Förutsättningarna för att använda Internet, så som de har blivit för enskilda som [konfirmandläraren] under  
 1990-talet, 
  innebär att den som upprättar en hemsida som skall läggas ut på Internet överför de uppgifter som denna sida består i till den som tillhandahåller honom servertjänster. Denne sköter den datorinfrastruktur som krävs för att säkerställa att dessa uppgifter lagras och att för att den server på vilken webbplatsen är utlagd ansluts till Internet. Detta möjliggör att dessa uppgifter senare kan sändas till alla som har kopplat upp sig på Internet och bett att få del av dem. De datorer som utgör denna datorinfrastruk- tur kan ligga i ett eller flera andra länder än det där den som tillhanda- håller servertjänster befinner sig, och gör det till och med ofta, utan att de som erhåller servertjänster känner till detta eller rimligen kan känna till det. 
 60 Av handlingarna i målet framgår att en Internetanvändare inte bara måste koppla upp sig på de hemsidor på Internet där [konfirmand- läraren] hade lagt ut uppgifter om sina kollegor för att få del av dessa uppgifter. För att kunna få del av dem måste han även personligen vidta de åtgärder som krävs för att kunna läsa dessa hemsidor. Med andra ord innehöll [konfirmandlärarens] hemsidor på Internet inte de tekniska mekanismer som skulle ha gjort det möjligt att automatiskt skicka des- sa uppgifter till personer som inte avsiktligen hade försökt få tillgång till dessa sidor. 
 61 Härav följer att personuppgifter som under sådana omständighe- ter som de i förevarande mål kommer till en dator som tillhör en per- son som befinner sig i ett tredje land från en person som har laddat ned dem från en hemsida på Internet inte har överförts direkt mellan två personer, utan genom den persons datorinfrastruktur som tillhandahål- ler den server där sidan är lagrad. 
 62 I detta sammanhang är det nödvändigt att pröva huruvida gemen- skapslagstiftaren hade avsikten att för tillämpningen av kapitel IV i di- rektiv 95/46 låta begreppet [ö]verföring av  uppgifter till tredje land, i den mening som avses i artikel 25, omfatta sådana transaktioner som de som [konfirmandläraren] har genomfört. Det bör understrykas att den hänskjutande domstolens femte fråga endast avser dessa trans- aktioner, och inte de transaktioner som genomförts av dem som till- handahåller servertjänsten. 
 63 Genom kapitel IV i direktiv 95/46, vari artikel 25 ingår, införs en speciell ordning, som innehåller speciella bestämmelser vilka syftar till att säkerställa att medlemsstaterna har kontroll över överföringen av personuppgifter till tredje land. Genom detta kapitel införs ett system som kompletterar det allmänna system som införts genom kapitel II i det nämnda direktivet, vilket kapitel avser frågan när personuppgifter får behandlas. 
 230 
  
 SOU 2004:6 
  
 Särskilt om  
 EG-domstolens 
  dom i konfirmandlärarmålet 
  
 64 Syftet med kapitel IV definieras i femtiosjätte till sextionde skälet i direktiv 95/46, vari bland annat anges att det skydd som genom detta direktiv tillförsäkras personer inom gemenskapen visserligen inte hind- rar att personuppgifter överförs till sådana tredje länder som garanterar en adekvat skyddsnivå, men att frågan om skyddsnivåns adekvans skall bedömas med hänsyn till alla de omständigheter som har samband med en överföring eller en grupp av överföringar. Om ett tredje land inte garanterar en adekvat skyddsnivå skall överföring av personuppgifter till det landet förbjudas. 
 65 I artikel 25 i direktiv 95/46 uppställs en rad skyldigheter för med- lemsstaterna och kommissionen vilka syftar till att kontrollera överfö- ringen av personuppgifter till tredje länder med beaktande av den skyddsnivå som sådana uppgifter ges i vart och ett av dessa länder. 
 66 I artikel 25.4 i direktiv 95/46 föreskrivs närmare bestämt att med- lemsstaterna, när kommissionen finner att ett tredje land inte erbjuder en adekvat skyddsnivå, skall vidta de åtgärder som är nödvändiga för att hindra överföring av personuppgifter till ifrågavarande tredje land. 
 67 Kapitel IV i direktiv 95/46 innehåller inga bestämmelser om In- ternetanvändning. I detta kapitel anges inte vilka kriterierna är för att avgöra huruvida man vid bedömningen av de transaktioner som har ge- nomförts av den mellanhand som har tillhandahållit servertjänster skall lägga till grund den ort där tjänsteleverantören är etablerad, den ort där hans företag har sitt säte eller den ort där de datorer befinner sig vilka utgör tjänsteleverantörens datorinfrastruktur. 
 68 Med hänsyn dels till det stadium på vilket Internets utveckling befann sig vid den tidpunkt då direktiv 95/46 utarbetades, dels till att det inte i kapitel IV i direktivet föreligger några kriterier som är till- lämpliga på Internetanvändning kan det inte presumeras att gemen- skapslagstiftaren hade för avsikt att med tanke på framtiden låta in- skrivning av en person i [konfirmandlärarens] situation av uppgifter på en hemsida på Internet omfattas av begreppet överföring av uppgifter till tredje land, även om dessa på detta sätt blir åtkomliga för sådana personer i tredje land som har de tekniska möjligheterna att få tillgång till hemsidan. 
 69 Om artikel 25 i direktiv 95/46 tolkas på så sätt att det föreligger en överföring av  uppgifter till tredje land varje gång personuppgif- ter läggs ut på en hemsida på Internet skulle denna överföring med nödvändighet vara en överföring till tredje länder där det finns teknisk möjlighet att få tillgång till Internet. Specialbestämmelserna i kapitel IV i det nämnda direktivet skulle då med nödvändighet, vad gäller transak- tioner på Internet, bli ett generellt tillämpligt system. När kommissio- nen med tillämpning av artikel 25.4 i direktiv 95/46 konstaterade att det fanns ett enda tredje land som inte säkerställer en adekvat skyddsnivå 
 231 
  
 Särskilt om  
 EG-domstolens 
  dom i konfirmandlärarmålet 
  
 SOU 2004:6 
  
 skulle medlemsstaterna nämligen vara skyldiga att hindra att person- uppgifter över huvud taget lades ut på Internet. 
 70 Vid sådant förhållande kan den slutsatsen dras att artikel 25 i di- rektiv 95/46 skall tolkas så, att sådana transaktioner som dem som [konfirmandläraren] har genomfört inte i sig utgör en överföring av  uppgifter till tredje land. Det är således inte nödvändigt att utreda hu- ruvida en person från ett tredje land har haft tillgång till den berörda hemsidan på Internet eller huruvida denne tjänsteleverantörs server rent fysiskt befinner sig i ett tredje land. 
 71 Den femte frågan skall således besvaras så, att det inte föreligger någon överföring av  uppgifter till tredje land i den mening som av- ses i artikel 25 i direktiv 95/46 när en person som befinner sig i en med- lemsstat lägger ut personuppgifter på en hemsida som är lagrad hos den som tillhandahåller honom servertjänster, vilken är etablerad i samma medlemsstat eller i en annan medlemsstat, varvid uppgifterna blir åt- komliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land. 
 Det är svårt att av  
 EG-domstolens 
  svar dra några generella slutsat- ser som lämpar sig att transformera till svensk lagtext. Svaret måste för det första ses mot bakgrund av frågorna och omständigheterna i målet, sådana  
 EG-domstolen 
  uppfattade dem. För det andra under- stryker  
 EG-domstolen 
  själv att frågan i målet är begränsad och inte berör den som tillhandahåller en servertjänst (punkt 62). 
 I svaret talas det om en person – på engelska an individual, en individ – som lägger ut personuppgifter på en hemsida på Inter- net som är lagrad hos en fysisk eller juridisk person (a natural or legal person på engelska). Man kan fråga sig om ordvalet är avsett att markera en begränsning av svarets räckvidd. Domstolen har i sitt svar formellt inte uttalat sig om den situationen att en person- uppgiftsansvarig (registeransvarig enligt terminologin i EG- direktivet), eller ens en juridisk person eller ett företag, lägger ut eller låter lägga ut personuppgifter på Internet. Också det förhål- landet att  
 EG-domstolen 
  i svaret talar om att personen befinner sig i en medlemsstat, i stället för att använda det vedertagna ut- trycket etablerad, kan tala för att svaret är avsett att ha en be- gränsad räckvidd. 
 Svaret gäller vidare bara den situationen att en individ lägger ut personuppgifter på en hemsida som är lagrad hos någon annan som har den webbplats där sidan kan konsulteras.  
 EG-domstolen 
  har således inte uttalat sig om det fallet att en person själv har en webbplats ansluten till Internet. Svaret är vidare begränsat till det fallet att den fysiska eller juridiska person som har webbplatsen är 
 232 
  
 SOU 2004:6 
  
 Särskilt om  
 EG-domstolens 
  dom i konfirmandlärarmålet 
  
 etablerad i en medlemsstat. Däremot har det enligt domstolens mo- tivering inte någon betydelse var servern med webbplatsen finns. Av domstolens svar, inklusive motiveringen, kan man således dra den slutsatsen att det finns förfaranden som inte utgör överföring till tredje land i  
 EG-direktivets 
  mening trots att personuppgifter läggs ut på en server som finns i tredje land. 
 Domstolens svar är alltså i formell mening begränsat till en viss situation. Å andra sidan är de huvudargument som domstolen ver- kar ha anfört som motivering för svaret av allmängiltig natur – ge- menskapslagstiftarens avsikt mot bakgrund av att aktuell del i EG- direktivet inte innehåller Internetanpassade bestämmelser och att Internet inte var fullt utvecklat då  
 EG-direktivet 
  utarbetades (punkt 68 i domen) och att en tillämpning av överföringsbegreppet på Internetpublicering skulle kunna leda till den orimliga konse- kvensen att inte en enda personuppgift kan läggas ut på Internet (punkt 69 i domen). Trots att argumenten verkar ha giltighet för varje form av åtgärd som leder till Internetpublicering, har EG- domstolen på det sätt som beskrivits valt att uttrycka sig på ett sätt som antyder att svaret har en begränsad räckvidd. 
 Tar man fasta på de argument som  
 EG-domstolen 
  för fram, finns det anledning att anta att  
 EG-domstolen 
  i kommande mål med an- vändning av samma argument kan komma att finna att även andra förfaranden som leder till Internetpublicering inte utgör en överfö- ring av uppgifter till tredje land i  
 EG-direktivets 
  mening. Argu- menten är nämligen så allmängiltiga att de bör kunna användas på motsvarande sätt även i andra fall. 
 Utredningens sammanfattande bedömning är ändå att EG- domstolens svar inte ger tillräcklig vägledning för att i dagsläget förtydliga lagtexten i personuppgiftslagen. I förarbetena till 33 § personuppgiftslagen har det uttryckligen angetts att de överföring- ar som avses i paragrafen är desamma som avses i artikel 25.1 i EG- direktivet. 
  
 185  
  
 Domstolens svar visar visserligen att vissa förfaranden som syftar till att lägga ut personuppgifter på Internet inte utgör överföring av uppgifterna till tredje land. Men det går inte att med ledning av domstolens svar utforma en generell regel om dessa för- faranden. Och det förefaller för vågat att med ledning av bara dom- stolens huvudargument i motiveringen nu ändra lagtexten så att det framgår att inte någon Internetpublicering omfattas av begreppet överföring. 
  
 185  
 Prop. 1997/98:44 s. 137. 
 233 
  
 Särskilt om  
 EG-domstolens 
  dom i konfirmandlärarmålet 
  
 SOU 2004:6 
  
 Utredningen vill tillägga att  
 EG-domstolens 
  svar, som visar att inte varje åtgärd som leder till Internetpublicering utgör en överfö- ring av uppgifter till tredje land i  
 EG-direktivets 
  mening, kan göra det befogat att se över annan lagstiftning än personuppgiftslagen. När man velat i författningstext uttrycka att viss Internetpublice- ring är tillåten har man nämligen ofta talat om överföring av upp- gifter. Mot bakgrund av  
 EG-domstolens 
  svar förefaller det lämpligt att överväga om författningstexten inte i stället borde exempelvis direkt slå fast att under vissa förutsättningar får personuppgifter publiceras öppet på Internet och andra allmänna kommunikations- nätverk. Utredningen tänker här bl.a. på bestämmelserna i 12 § per- sonuppgiftsförordningen (1998:1191), 9 § förordningen (1995:1386) med instruktion för Patent- och registreringsverket, 23 § rättsinformationsförordningen (1999:175), 8 § andra stycket förordningen (2001:720) om behandling av personuppgifter i verk- samhet enligt utlännings- och medborgarskapslagstiftningen och 1 § förordningen (2002:61) om behandling av personuppgifter i verksamhet med val. 
 Utredningen vill slutligen peka på att, eftersom det nu fastslagits att inte varje åtgärd som leder till Internetpublicering utgör en överföring av uppgifter till tredje land i  
 EG-direktivets 
  och person- uppgiftslagens mening, det i förarbetena finns flera uttalanden av bl.a. regeringen, Lagrådet och konstitutionsutskottet som uppen- barligen bygger på delvis felaktiga förutsättningar, nämligen att varje åtgärd som leder till öppen publicering av uppgifter på Inter- net innebär att dessa förs över till tredje land. 
 186  
 Det är emellertid svårt att göra något åt i efterhand. 
  
 14.2.5 
  
 Förhållandet till andra fri- och rättigheter 
  
 EG-domstolen 
  har slagit fast följande: Bestämmelserna i [EG- direktivet] utgör inte i sig en begränsning som står i strid med den allmänna principen om yttrandefrihet, eller andra fri- och rättighe- ter, som gäller inom Europeiska unionen och som har en motsva- righet i bland annat artikel 10 i [Europakonventionen]. Det an- kommer på de nationella myndigheter och domstolar som skall till- lämpa de nationella bestämmelser genom vilka  
 [EG-direktivet] 
  har införlivats att garantera en rättvis balans mellan de rättigheter och 
  
 186  
 Se t.ex. prop. 1999/2000:11 och KU 1998/99:15 och 1999/2000:7. 
 234 
  
 SOU 2004:6 
  
 Särskilt om  
 EG-domstolens 
  dom i konfirmandlärarmålet 
  
 skyldigheter som är i fråga, inklusive de grundläggande rättigheter som skyddas genom gemenskapens rättsordning. 
 I domstolens motivering anges följande: 
 79 Av sjunde skälet i direktiv 95/46 följer att skillnaderna mellan de nationella lagar och andra författningar som är tillämpliga på behand- ling av personuppgifter kan inverka allvarligt på upprättandet av den inre marknaden och hur denna fungerar. Enligt tredje skälet i samma direktiv skall ändamålet för harmoniseringen av dessa nationella be- stämmelser inte bara vara ett fritt flöde av dessa uppgifter mellan med- lemsstaterna, utan även att skydda personers grundläggande rättigheter. Dessa målsättningar kan givetvis komma i konflikt med varandra. 
 80 Å ena sidan kommer den ekonomiska och sociala integration som är en följd av upprättandet av den inre marknaden och dennas funktion med nödvändighet att leda till en betydande ökning av flödet av per- sonuppgifter mellan samtliga aktörer på de ekonomiska och samhälleli- ga områdena, oavsett om det är fråga om företag eller medlemsstaternas myndigheter. De nämnda aktörerna behöver i viss mån ha tillgång till personuppgifter för att genomföra sina transaktioner eller för att utföra sina arbetsuppgifter inom det område utan inre gränser som den inre marknaden innebär. 
 81 Å andra sidan begär de personer som berörs av behandlingen av personuppgifter med rätta att dessa uppgifter skall skyddas effektivt. 
 82 De mekanismer som gör det möjligt att göra en avvägning mellan dessa olika rättigheter och intressen är för det första inskrivna i direktiv 95/46 självt, i den del i direktivet föreskrivs regler som avgör i vilka si- tuationer och i vilken mån det är tillåtet att behandla personuppgifter och vilket skydd som skall föreskrivas, och följer för det andra av att medlemsstaterna har antagit nationella bestämmelser vilka säkerställer att detta direktiv genomförs och av de nationella myndigheternas even- tuella tillämpning av dessa regler. 
 83 Vad beträffar själva direktivet 95/46 är bestämmelserna i det med nödvändighet relativt allmänna med hänsyn till att de skall tillämpas på ett stort antal mycket olikartade situationer. I motsats till vad [konfir- mandläraren] har anfört är det således med rätta som detta direktiv in- nehåller regler som karaktäriseras av en viss tänjbarhet och som det i direktivet i fråga i många fall överlåts till medlemsstaterna att fastställa detaljerna eller att välja bland de möjligheter som finns. 
 84 Det är riktigt att medlemsstaterna i många avseenden har ett be- tydande handlingsutrymme när de skall införliva direktiv 95/46. Det finns dock ingenting som medför att bestämmelserna i detta direktiv brister i förutsebarhet eller att bestämmelserna som sådana strider mot de allmänna gemenskapsrättsliga principerna, särskilt inte mot de 
 235 
  
 Särskilt om  
 EG-domstolens 
  dom i konfirmandlärarmålet 
  
 SOU 2004:6 
  
 grundläggande rättigheter som skyddas genom gemenskapens rättsord- ning. 
 85 Det är snarare på det stadium när de bestämmelser genom vilka direktiv 95/46 har införlivats tillämpas i enskilda fall som en rättvis av- vägning mellan de rättigheter och intressen som är i fråga skall göras. 
 86 I detta sammanhang har de grundläggande rättigheterna en sär- skild betydelse, såsom visas av målet vid den nationella domstolen, där det sammanfattningsvis måste göras en avvägning mellan å ena sidan [konfirmandlärarens] yttrandefrihet i sitt arbete som handledare för konfirmander samt friheten att utöva verksamhet som bidrar till det re- ligiösa livet, och å andra sidan skyddet av privatlivet för de personer om vilka [konfirmandläraren] har lagt ut uppgifter på sin webbplats på In- ternet. 
 87 Följaktligen ankommer det på myndigheterna och domstolarna i medlemsstaten inte bara att tolka sin nationella rätt på ett sätt som står i överensstämmelse med direktiv 95/46, utan även att se till att inte grunda sig på en tolkning av detta direktiv som skulle stå i strid med de grundläggande rättigheter som skyddas genom gemenskapens rättsord- ning eller med andra allmänna gemenskapsrättsliga principer, såsom bland annat proportionalitetsprincipen. 
 88 Visserligen kräver skyddet av privatlivet att effektiva sanktionsåt- gärder tillämpas gentemot personer som behandlar personuppgifter på ett sätt som inte överensstämmer med direktiv 95/46, men sådana sank- tionsåtgärder måste alltid stå i överensstämmelse med proportionali- tetsprincipen. Detta gäller i desto högre grad som det är uppenbart att tillämpningsområdet för direktiv 95/46 är mycket vidsträckt och att skyldigheterna för personer som behandlar personuppgifter är många och betydande. 
 89 I enlighet med proportionalitetsprincipen ankommer det på den hänskjutande domstolen att beakta alla omständigheterna i det mål som är anhängigt vid den, bland annat under hur lång tid överträdelsen av de regler genom vilka direktiv 95/46 har pågått samt hur viktigt det är för de berörda att de uppgifter som har spritts skyddas. 
 I  
 EG-domstolens 
  svar och i motiveringen för det betonas att det ankommer på nationella myndigheter och domstolar att vid till- lämpningen av de nationella bestämmelser som genomför EG- direktivet garantera en rättvis balans mellan olika rättigheter och skyldigheter. Det tyder på att  
 EG-domstolen 
  anser att det är i rättstillämpningen i det enskilda fallet – och inte vid genomföran- det av  
 EG-direktivet 
  – som den angivna balansen skall beaktas och garanteras. Bestämmelserna i  
 EG-direktivet, 
  som skall genomföras, strider ju enligt  
 EG-domstolen 
  inte i sig mot några fri- och rättig- 
 236 
  
 SOU 2004:6 
  
 Särskilt om  
 EG-domstolens 
  dom i konfirmandlärarmålet 
  
 heter. Motsvarande resonemang kan föras i fråga om den propor- tionalitetsprincip som  
 EG-domstolen 
  talar om i sin motivering. 
 Vad man mot bakgrund av  
 EG-domstolens 
  svar kan överväga är att i personuppgiftslagen på något sätt markera att en avvägning mellan olika rättigheter och skyldigheter skall ske i rättstillämp- ningen. I den danska genomförandelagstiftningen finns det t.ex. en bestämmelse om att lagen inte skall tillämpas om det skulle stå i strid med informations- och yttrandefriheten, jämför artikel 10 i Europakonventionen. 
  
 187 
  
 En markering i lagtexten skulle dock inte ge personuppgiftsan- svariga och registrerade mycket vägledning. Härtill kommer att Europakonventionen redan gäller som svensk lag (SFS 1994:1219), att det redan i personuppgiftslagen finns förtydliganden om lagens förhållande till vissa grundlagsfästa rättigheter och skyldigheter (7 § första stycket och 8 § första stycket) och att det, såvitt utred- ningen känner till, inte i annan svensk lag finns någon motsvarande markering. Högsta domstolen har också vid sin tillämpning av per- sonuppgiftslagen tillmätt bestämmelserna i Europakonventionen en betydande vikt (se NJA 2001 s. 409, citerad i avsnitt 5.2.1). Ut- redningen har därför kommit fram till att det inte behövs något (ytterligare) förtydligande i personuppgiftslagen. I fråga om pro- portionalitet vid utdömandet av sanktioner kan också hänvisas till avsnitt  
 12  
 om avkriminalisering. 
  
 14.2.6 
  
 Den nationella lagstiftningen om personuppgifter 
  
 EG-domstolen 
  har slagit fast följande: De åtgärder som medlems- staterna vidtar för att säkerställa skyddet av personuppgifter skall stå i överensstämmelse med såväl bestämmelserna i  
 [EG-direktivet] 
  som med dess målsättning att upprätthålla en balans mellan det fria flödet av personuppgifter och skyddet för privatlivet. Däremot hindrar ingenting att en medlemsstat utökar räckvidden av den na- tionella lagstiftning varigenom bestämmelserna i  
 [EG-direktivet] 
  har införlivats till att omfatta områden som inte ingår i direktivets tillämpningsområde, såvida ingen annan gemenskapsrättslig be- stämmelse utgör hinder för detta. 
 I domstolens motivering anges följande: 
  
 187  
 § 2 stk 2. lov nr. 429 af 31.5.2000 om behandling af personoplysninger. 
 237 
  
 Särskilt om  
 EG-domstolens 
  dom i konfirmandlärarmålet 
  
 SOU 2004:6 
  
 95 Såsom följer av bland annat åttonde skälet i direktiv 95/46 syftar direktivet i fråga till att göra skyddsnivån när det gäller personers fri- och rättigheter med avseende på behandlingen av personuppgifter lik- värdig i alla medlemsstater. I tionde skälet tilläggs att tillnärmningen av de nationella lagstiftningar som är tillämpliga på området inte får med- föra någon inskränkning i det skydd de ger, utan skall i stället syfta till att garantera en hög skyddsnivå inom gemenskapen. 
 96 Harmoniseringen av de nämnda nationella lagstiftningarna in- skränker sig således inte till en minimiharmonisering, utan leder till en i princip fullständig harmonisering. Det är i detta perspektiv som direk- tiv 95/46 avser att säkerställa det fria flödet av personuppgifter och att samtidigt garantera en hög skyddsnivå för rättigheter och intressen för de personer som dessa uppgifter avser. 
 97 Det är riktigt att medlemsstaterna i direktiv 95/46 tillerkänns ett handlingsutrymme på vissa områden och att de enligt direktivet får bi- behålla eller införa särregleringar för specifika situationer. Ett stort an- tal av bestämmelserna i direktivet vittnar om detta. Sådana möjligheter skall dock användas på det sätt som föreskrivs i direktiv 95/46 och i en- lighet med syftet med detta direktiv, nämligen att bibehålla en balans mellan det fria flödet av personuppgifter och skyddet för privatlivet. 
 98 Däremot hindrar ingenting att en medlemsstat utökar räckvidden av den nationella lagstiftning varigenom bestämmelserna i direktiv 95/46 har införlivats till att omfatta områden som inte ingår i direkti- vets tillämpningsområde, såvida ingen annan gemenskapsrättslig be- stämmelse utgör hinder för detta." 
 Enligt utredningens mening är  
 EG-domstolens 
  svar inte av sådan natur att det kan eller bör föranleda några ändringar i personupp- giftslagen. Frågan om sådant som faller utanför gemenskapsrätten bör undantas från personuppgiftslagen berörs i avsnitt 8. 
 238 
  
 15 
  
 Offentlighetsprincipen och sekretesslagen 
  
 15.1 
  
 Inledning 
  
 Enligt utredningsdirektiven skall utredningen överväga behovet av en ändring i bestämmelsen i 7 kap. 16 § sekretesslagen – som anger att sekretess gäller för personuppgift om det kan antas att ett ut- lämnande skulle medföra att uppgiften behandlas i strid med per- sonuppgiftslagen – i syfte att förtydliga bestämmelsens innebörd. Bestämmelsen ändrades vid personuppgiftslagens tillkomst, varvid uttalades att ändringarna endast utgjorde följdändringar i syfte att samordna bestämmelsen med bestämmelserna i personuppgiftsla- gen. Det anmärks i utredningsdirektiven att bestämmelsen dock har fått ett vidare tillämpningsområde än tidigare och att bestäm- melsen har medfört viss osäkerhet vid rättstillämpningen. 
 Enligt 8 § första stycket personuppgiftslagen skall lagen inte till- lämpas i den utsträckning det skulle inskränka en myndighets skyl- dighet enligt 2 kap. tryckfrihetsförordningen att lämna ut person- uppgifter. Bestämmelserna i sekretesslagen begränsar allmänhetens rätt att på begäran få del av allmänna handlingar med stöd av of- fentlighetsprincipen, 2 kap. 2 § tryckfrihetsförordningen. 
  
 188  
  
 Genom hänvisningen i 7 kap. 16 § sekretesslagen till personuppgiftslagen har det uppkommit viss osäkerhet om den senare lagens förhållan- de till offentlighetsprincipen. Emellertid finns det redan i själva de- finitionen av vad som utgör en allmän handling, som allmänheten har rätt att ta del av, i 2 kap. 3 § tredje stycket tryckfrihetsförord- ningen en hänvisning till lag som begränsar myndighets befogenhet 
  
 188 
  
 Bestämmelserna i sekretesslagen har också ett vidare syfte och begränsar även utlämnan- de av uppgifter i andra fall än som avses med offentlighetsprincipen, t.ex. när en myndig- het eller en tjänsteman utan begäran skulle vilja lämna ut uppgifter. 
  
 Offentlighetsprincipen och sekretesslagen 
  
 SOU 2004:6 
  
 att göra tillgänglig en sammanställning från datalagrat material som innehåller personuppgifter, varmed enligt förarbetena avses bl.a. personuppgiftslagen. Sådana lagfästa begränsningar skall nämligen 
 – i enlighet med den verkan definitionsregeln har – respekteras även när någon begär att få ta del av allmänna handlingar med stöd av offentlighetsprincipen. Även definitionen av vad som är en all- män handling kan därmed leda till osäkerhet om personuppgiftsla- gens förhållande till offentlighetsprincipen. 
 Utredningen har därför ansett att den bör se vad som kan göras för att förtydliga personuppgiftslagens förhållande till såväl offent- lighetsprincipen som 7 kap. 16 § sekretesslagen. Utredningen vill betona att det inte handlar om att göra någon inskränkning i of- fentlighetsprincipen eller att annars utöka sekretessen. Av förarbe- tena till personuppgiftslagen framgår otvetydigt att avsikten varit att ge den grundlagsfästa offentlighetsprincipen företräde framför bestämmelserna i personuppgiftslagen 
  
 189 
  
 ,  
 och konstitutionsutskot- tet har även senare uttalat bl.a. att ändringen i sekretesslagen inte innebar att det gjordes någon inskränkning av offentlighetsprinci- pen 
  
 190 
  
 .  
 Detta är naturligtvis också utredningens utgångspunkt. Vad det handlar om är snarast att se om det går att förtydliga regelver- ket så att det inte i praktiken genom otydlighet och svårtillgänglig- het leder till oavsedda inskränkningar av offentlighetsprincipen i myndigheternas tillämpning. 
 Avslutningsvis bör nämnas att Offentlighets- och sekretess- kommittén i anslutning till ett förslag om en ny sekretesslag har lämnat förslag till ett tillägg i 2 § personuppgiftslagen. Enligt det föreslagna tillägget hindrar inte bestämmelserna i personuppgiftsla- gen att visst lämnande av personuppgifter sker mellan myndigheter och inom en myndighet, om uppgiftslämnandet sker i överens- stämmelse med den föreslagna, nya sekretesslagen. 
  
 191 
  
 189 
  
 SOU 1997:39 s. 194 och  
  
 213–220, 
  prop. 1997/98:44 s.  
 43–48 
  och KU 1997/98:18 s. 15– 29. 
  
 190 
  
 KU 1999/2000:7 s. 14. 
  
 191 
  
 SOU 2003:99 s.  
  
 223–228, 
 230–237, 
  och 470 f. 
 240 
  
 SOU 2004:6 
  
 Offentlighetsprincipen och sekretesslagen 
  
 15.2 
  
 Offentlighetsprincipen 
  
 15.2.1 
  
 Personuppgiftslagen 
  
 Av förarbetena till personuppgiftslagen framgår det som nämnts att avsikten varit att ge den grundlagsfästa offentlighetsprincipen före- träde framför bestämmelserna i personuppgiftslagen. 
 Första stycket i 8 § personuppgiftslagen lyder: 
 Bestämmelserna i denna lag tillämpas inte i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförord- ningen att lämna ut personuppgifter. 
 I författningskommentaren anges kortfattat att bestämmelsen in- nehåller i syfte att förtydliga en upplysning om att lagen inte till- lämpas om det skulle strida mot en myndighets skyldigheter enligt 2 kap. tryckfrihetsförordningen. 
  
 192  
  
 Det ansågs att det i klargö- rande syfte borde tas in en bestämmelse som uttryckligen anger det förhållandet att bestämmelser i grundlag alltid tar över be- stämmelser i vanlig lag. 
  
 193 
  
 Såsom framgår av förarbetena är bestämmelsen i 8 § första styck- et personuppgiftslagen inte avsedd att ha någon materiell innebörd utan bara att erinra om att grundlagsbestämmelser gäller före per- sonuppgiftslagen. 
  
 194 
  
 Bestämmelserna i 8 § personuppgiftslagen handlar om hantering av allmänna handlingar. I andra stycket finns det främst bestäm- melser rörande arkivering. Det är dock i bestämmelserna bara myndighets hantering av allmänna handlingar som uttryckligen nämns. Även andra organ än myndigheter kan dock ha allmänna handlingar och skyldigheter enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen. Det framgår av bl.a. 2 kap. 17 § tryckfri- hetsförordningen och 1 kap. 8 och 9 §§ sekretesslagen. 
  
 192 
  
 Prop. 1997/98:44 s. 119. 
  
 193 
  
 Prop. 1997/98:44 s. 46. 
  
 194 
  
 För en annan tolkning se SOU 2001:3 s. 149. 
  
 241 
  
 Offentlighetsprincipen och sekretesslagen 
  
 SOU 2004:6 
  
 15.2.2 
  
 Tryckfrihetsförordningen 
  
 Offentlighetsprincipen i 2 kap. tryckfrihetsförordningen ger envar rätt att ta del av allmänna handlingar hos myndigheter (1 §). Det finns också en rätt att på begäran skyndsamt få en papperskopia eller avskrift av handlingen eller, när det finns en lagfäst skyldighet för myndigheten, en kopia i datorformat (13 §). Myndigheten får efterforska vem den sökande är och vilket syfte han eller hon har med sin begäran bara i den utsträckning det behövs för att myndig- heten skall kunna pröva om det finns något hinder mot att hand- lingen lämnas ut, t.ex. i form av sekretess (14 § tredje stycket). 
 Med handling förstås en framställning i skrift eller bild samt upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas bara med ett tekniskt hjälpmedel. En handling är allmän och där- med omfattad av offentlighetsprincipen om den förvaras hos en myndighet och är att anse som inkommen till eller upprättad hos myndigheten. (3 § första stycket.) 
 Kravet på att handlingen skall förvaras hos myndigheten har en speciell innebörd i fråga om datorlagrat material som kan uppfattas bara med ett tekniskt hjälpmedel. Sådant material anses förvarat hos myndigheten bara om det är tillgängligt för myndigheten med ett tekniskt hjälpmedel som myndigheten själv utnyttjar för över- föring i sådan form att materialet kan läsas, avlyssnas eller annars uppfattas. När det gäller en viss sammanställning av uppgifter ur datorlagrat material (upptagning för automatiserad behandling), är en sådan sammanställning att anse som förvarad hos myndigheten bara om myndigheten kan göra sammanställningen tillgänglig med rutinbetonade åtgärder. En uttrycklig regel om detta har tagits in i 2 kap. 3 § andra stycket tryckfrihetsförordningen från och med den 1 januari 2003. Det hittills sagda innebär i princip att en myndighet måste använda alla sina tekniska hjälpmedel för att, med rutinbeto- nade åtgärder, göra och lämna ut en sådan sammanställning av sina datorlagrade uppgifter som sökanden begär. Skyldigheten är alltså inte begränsad t.ex. till sådana sammanställningar som myndighe- ten normalt gör eller själv skulle ha nytta av. 
 En sådan sammanställning skall dock inte anses förvarad hos myndigheten om sammanställningen innehåller personuppgifter och myndigheten enligt lag eller förordning saknar befogenhet att göra sammanställningen tillgänglig (3 § tredje stycket). Före den 1 januari 2003 gällde den regeln bara upptagning som ingår i person- register, om myndigheten enligt lag eller förordning eller särskilt 
 242 
  
 SOU 2004:6 
  
 Offentlighetsprincipen och sekretesslagen 
  
 beslut som grundar sig på lag, saknar befogenhet att göra överfö- ringen. 
 Det är den sistnämnda regeln i 2 kap. 3 § tredje stycket tryckfri- hetsförordningen som kan vålla tveksamhet i förhållande till per- sonuppgiftslagen. Den hänvisar alltså till lag eller förordning som begränsar myndigheters befogenhet att göra sammanställningar av personuppgifter tillgängliga. I författningskommentaren anges: 
  
 195 
  
 Med lag eller förordning åsyftas i första hand s.k. registerlagar eller re- gisterförordningar som meddelas för olika myndigheters behandling av personuppgifter. I viss mån torde det även av personuppgiftslagen kunna följa att en myndighet är förhindrad att göra vissa sammanställ- ningar av personuppgifter. Som Kammarrätten i Stockholm påpekat om- fattar hänvisningen till lag också personuppgiftslagen på samma sätt som hänvisningen i dag omfattar datalagen. 
 Offentlighets- och sekretesskommittén ansåg däremot – med hän- visning till utformningen av 8 § första stycket personuppgiftslagen 
 – att i den mån det av personuppgiftslagen följer att en myndighet saknar befogenhet att göra vissa sökningar eller annars ta ut viss information från sitt datalagrade material, kan detta inte slå igenom när det gäller myndigheternas skyldigheter enligt 2 kap. tryckfri- hetsförordningen. 
  
 196  
  
 Genom vad som angetts i författningskom- mentaren i propositionen får det dock anses klarlagt att ett sådant synsätt inte är riktigt, utan att avsikten är att de begränsningar av myndigheters befogenhet att göra sammanställningar som följer av personuppgiftslagen faktiskt skall få genomslag i fråga om offent- lighetsprincipen. 
  
 195 
  
 Prop. 2001/02:70 s. 38. 
  
 196 
  
 SOU 2001:3 s. 149. 
  
 243 
  
 Offentlighetsprincipen och sekretesslagen 
  
 SOU 2004:6 
  
 15.2.3 
  
 Överväganden och förslag 
  
 Utredningens förslag:  
 De generella bestämmelserna i personupp- giftslagen skall inte inskränka myndigheternas skyldighet enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen att på be- gäran söka efter, sammanställa och lämna ut personuppgifter. 
 Även andra organ än myndigheter som har skyldigheter enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen skall om- fattas av bestämmelserna i 8 § personuppgiftslagen om förhållandet till offentlighetsprincipen. 
 Det är när man försöker avgöra vilka begränsningar – med genom- slag i fråga om offentlighetsprincipen – som följer av personupp- giftslagen som svårigheter uppkommer. Vilka bestämmelser i per- sonuppgiftslagen kan medföra att en myndighet saknar befogenhet att göra en viss sammanställning tillgänglig när en sökande begär att myndigheten skall göra sammanställningen? Här skall lämnas några exempel på svårigheterna. 
 Den personuppgiftsansvariga myndigheten är enligt 9 § första stycket d personuppgiftslagen skyldig att se till att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (den s.k. finalitetsprincipen). Myn- digheten har ofta samlat in personuppgifterna för något specifikt myndighetsändamål, t.ex. för att bestämma en viss förmån, såsom bostadsbidrag, eller en viss skyldighet, såsom skattskyldighet. Det är ofta redan finalitetsprincipen som medför att myndigheten inte för vilka ändamål som helst kan söka efter, samköra eller annars sammanställa personuppgifter, eftersom myndigheten vid alla såda- na behandlingar av personuppgifter måste hålla sig inom ramen för de ursprungliga ändamålen. Men hur är det om någon begär att myndigheten skall göra en viss sammanställning av personuppgif- ter? Är det då offentlighetsprincipändamålet eller det faktiska ändamål som sökanden har (t.ex. ren nyfikenhet eller direkt mark- nadsföring) som skall jämföras med det ursprungligen bestämda myndighetsändamålet? Regeringen har visserligen deklarerat att en myndighets utlämnande av personuppgifter med stöd av offentlig- hetsprincipen inte kan anses vara oförenligt med de ändamål för vil- ka uppgifterna ursprungligen samlades in. 
  
 197  
  
 Men här är det ju fråga om en eventuell rättslig begränsning av befogenheten att samman- 
  
 197 
  
 Prop. 1997/98:44 s. 44. Jämför också SOU 2003:99 s.  
  
 231–235 
  för en synnerligen liberal tolkning av finalitetsprincipen vid utlämnanden av personuppgifter mellan myndigheter. 
 244 
  
 SOU 2004:6 
  
 Offentlighetsprincipen och sekretesslagen 
  
 ställa uppgifter för ett nytt ändamål inför ett utlämnande, en be- gränsning som i förekommande fall är avsedd att inskränka offent- lighetsprincipen. 
 Av 10 § personuppgiftslagen framgår att personuppgifter utom vid samtycke får behandlas bara när det är nödvändigt i de fall som räknas upp i paragrafen, bl.a. för att fullgöra en rättslig skyldighet. En sammanställning av datorlagrade personuppgifter som utförs på begäran av en sökande är en sådan behandling som måste kunna hänföras till något av de fall som anges i den paragrafen. Till vilket fall skall en sammanställning som en myndighet gör på begäran av en sökande hänföras? I 13 § personuppgiftslagen finns det vidare ett förbud mot att behandla s.k. känsliga personuppgifter. De un- dantag från det förbudet som finns i  
 15–19 
  §§ personuppgiftslagen kan inte grunda befogenhet för en myndighet att på en sökandes begäran göra en sammanställning med känsliga personuppgifter. Innebär det att en sammanställning med känsliga personuppgifter, t.ex. en lista över fackliga företrädare vid myndigheten, inte får gö- ras när en sökande begär det? 
 Det anförda visar enligt utredningens mening på en del av de svå- righeter och oklarheter som uppkommer om man försöker tillämpa den generellt utformade personuppgiftslagen för att avgöra vilka sammanställningar av personuppgifter som en myndighet får göra därför att en sökande ber om det. Bakgrunden till svårigheterna är bl.a. att man vid utarbetandet av personuppgiftslagen utgick från att bestämmelserna i 2 kap. tryckfrihetsförordningen ålägger myn- digheterna skyldigheter som går före personuppgiftslagen (och bl.a. utgör stöd för att behandla t.ex. känsliga personuppgifter), medan bestämmelsen i 2 kap. 3 § tredje stycket tryckfrihetsförord- ningen utgår från att personuppgiftslagen kan inskränka skyldighe- terna. 
 Tanken verkar ha varit att det finns sammanställningsförfaran- den som en myndighet aldrig får genomföra enligt personuppgifts- lagen och att samma begränsningar därför skall gälla även när en sökande begär sammanställningen. Personuppgiftslagen innehåller emellertid – till skillnad från många särskilda registerförfattningar – inte några absoluta förbud mot att på visst sätt eller i viss form sammanställa personuppgifter. Lagen innehåller t.ex. inget absolut förbud mot att använda vissa sökbegrepp eller att samköra olika uppgiftssamlingar. Om ett visst sådant förfarande är tillåtet eller inte enligt personuppgiftslagen, beror ofta ytterst på vilket ändamålet är med behandlingen. Myndigheten får t.ex. inte själv för ändamålet ren nyfikenhet söka igenom de personuppgifter man förvarar, eftersom det skulle strida mot de bestämda ändamål för 
 245 
  
 Offentlighetsprincipen och sekretesslagen 
  
 SOU 2004:6 
  
 rar, eftersom det skulle strida mot de bestämda ändamål för vilka personuppgifterna samlats in. Men har myndigheten ett annat, be- rättigat ändamål med sökningen – t.ex. det ursprungliga ändamål för vilket uppgifterna samlades in – kan den mycket väl få genom- föras enligt personuppgiftslagen. Det torde till och med vara så att om det enligt personuppgiftslagen väl är tillåtet för en myndighet att inrätta och föra ett register för något visst myndighetsändamål, så får myndigheten enligt personuppgiftslagen i princip utföra alla de sökningar efter och sammanställningar av personuppgifter i det registret som är nödvändiga för att uppfylla ändamålet. En annan sak är att det enligt den särskilda registerförfattning som reglerar registerföringen kan finnas s.k. sökbegränsningar och andra kon- kreta regler som inskränker myndighetens rätt att göra samman- ställningar och att dessa konkreta begränsningar gäller även när en sökande begär att en viss sammanställning skall göras. Det bör här tilläggas att det, såvitt utredningen känner till, aldrig ens har häv- dats att de regler om ändamålsbestämning som sedan lång tid till- baka brukar finnas i särskilda registerförfattningar i sig skulle in- skränka myndigheters skyldigheter enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen att sammanställa personuppgifter. 
 Enligt utredningens mening går det inte att på något förnuftigt sätt tillämpa de generella, normalt ändamålsberoende bestämmel- serna i personuppgiftslagen för att avgöra vilka sammanställnings- förfaranden en myndighet skall vara förhindrad att genomföra på begäran av en sökande. 
 Det är möjligt att man genom olika mer eller mindre välgrundade tolkningsoperationer kan komma fram till att det alltid är tillåtet enligt personuppgiftslagen att göra en sammanställning som en sö- kande begär. 
  
 198  
  
 Men i sådant fall har ju hänvisningen i 2 kap. 3 § tredje stycket tryckfrihetsförordningen till personuppgiftslagen inte någon reell innebörd. 
 Det andra alternativet vore att konstatera att det varierar bero- ende på sökandens begäran om det enligt personuppgiftslagen är tillåtet eller inte för myndigheten att göra som sökanden begär. Här kan man tänka sig att tillåtligheten är beroende av t.ex. vilket ändamål sökanden har med sin begäran eller vilket slags uppgifter – t.ex. känsliga personuppgifter eller personnummer – sammanställ- ningen skulle beröra. Men en sådan tillämpning skulle strida mot 
  
 198 
  
 Man skulle givetvis teoretiskt också kunna komma fram till att en sådan sammanställning aldrig fick göras, men det skulle utgöra en sådan häpnadsväckande inskränkning av of- fentlighetsprincipen att den tolkningen måste avvisas. 
  
 246 
  
 SOU 2004:6 
  
 Offentlighetsprincipen och sekretesslagen 
  
 den s.k. likställighetsprincipen. Den principen innebär att allmän- heten med stöd av offentlighetsprincipen skall ha tillgång till dator- lagrad information i samma utsträckning som denna är tillgänglig för myndigheten. Principen har åberopats vid införandet av såväl den ursprungliga som den ändrade lydelsen av nuvarande 2 kap. 3 § tredje stycket tryckfrihetsförordningen. 
  
 199  
  
 Myndigheten som har lagrat uppgifterna i enlighet med personuppgiftslagen för något visst ändamål får ju enligt den lagen i princip använda alla slags uppgifter och alla sök- och sammanställningsförfaranden som är nödvändiga för att uppfylla det ändamålet (och som inte är för- bjudna enligt någon särskild registerförfattning). 
 Utredningens slutsats av det anförda är att personuppgiftslagen inte bör vara en sådan lag som avses i 2 kap. 3 § tredje stycket tryckfrihetsförordningen. Det bör åstadkommas genom att det i 8 § första stycket personuppgiftslagen uttryckligen anges att lagen inte innebär en sådan begränsning av en myndighets befogenhet att göra en sammanställning tillgänglig som avses i 2 kap. 3 § tredje stycket tryckfrihetsförordningen. 
 Det är således utredningens mening att de inskränkningar i möj- ligheterna att göra sammanställningar som bör gälla för myndighe- ternas egen hantering och därmed få genomslag även för allmänhe- tens tillgång till informationen liksom hittills bör framgå i första hand av särskilda registerförfattningar med konkreta bestämmelser om begränsning av de sökbegrepp som får användas och liknande. Dessutom kan det givetvis liksom hittills vara aktuellt med sekre- tessbestämmelser som begränsar allmänhetens tillgång till sådan information som myndigheten har tillgång till för egen del. I av- snitt  
 15.3  
 går utredningen in på sekretessbestämmelsen i 7 kap. 16 § sekretesslagen, som hänvisar till personuppgiftslagen. 
 Först finns det emellertid anledning att ta upp ett par andra frå- gor om hur bestämmelserna i personuppgiftslagen förhåller sig till offentlighetsprincipen. 
 Enligt 8 § första stycket personuppgiftslagen skall lagen inte till- lämpas i den utsträckning det skulle inskränka en myndighets skyl- dighet enligt 2 kap. tryckfrihetsförordningen att lämna ut person- 
  
 199 
  
 Prop. 1975/76:160 s. 88: Föredragande departementschefen förordade att den allmänna tillgången till  
  
 ADB-lagrade 
  persondata hos handläggande myndighet begränsas i samma omfattning som myndighetens rättsliga befogenhet att för egen del överföra data till läs- bar form. Prop. 2001/02:70 s. 23: Syftet med denna bestämmelse är att allmänheten inte med stöd av offentlighetsprincipen skall kunna ta del av sammanställningar av upp- gifter ur upptagningar som myndigheten av hänsyn till skyddet för enskildas integritet själv är förhindrad att ta fram i sin egen verksamhet. 
 247 
  
 Offentlighetsprincipen och sekretesslagen 
  
 SOU 2004:6 
  
 uppgifter. Av 2 kap. 3 § andra stycket tryckfrihetsförordningen följer emellertid att en myndighet i viss utsträckning är skyldig att när någon begär det med åberopande av offentlighetsprincipen söka fram och sammanställa uppgifter från datorlagrat material för att lämna ut dem. Det som krävs för att uppfylla grundlagsenliga skyl- digheter skall givetvis få ske oberoende av bestämmelserna i per- sonuppgiftslagen. En sammanställning av personuppgifter förutsät- ter så gott som alltid en föregående sökning efter sådana uppgifter. Utredningen anser att regleringen blir tydligare och mer heltäckan- de om, förutom skyldigheten att lämna ut personuppgifter, de grundlagsenliga skyldigheterna att söka efter och sammanställa per- sonuppgifter uttryckligen nämns i 8 § första stycket personupp- giftslagen. 
 Den andra frågan gäller det förhållandet att i 8 § personuppgifts- lagen nämns bara myndigheter, trots att även andra organ enligt särskilda föreskrifter kan ha allmänna handlingar och skyldigheter enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen. 
 Enligt utredningens mening blir regleringen tydligast om alla or- gan som har att tillämpa offentlighetsprincipen omfattas av undan- tagen i 8 § personuppgiftslagen när de hanterar allmänna handling- ar. Utredningen kan inte heller se annat än att de skäl som åbero- pats för att undantagen för myndigheter i 8 § personuppgiftslagen är förenliga med  
 EG-direktivet 
  
 200 
  
 har samma giltighet även för and- ra organ som har att tillämpa grundlagsreglerna om offentlighets- principen. Utredningen föreslår därför en uttrycklig bestämmelse om att sådana andra organ skall jämställas med myndigheter vid tillämpningen av 8 § personuppgiftslagen. 
  
 15.3 
  
 Bestämmelsen i 7 kap. 16 § sekretesslagen 
  
 15.3.1 
  
 Bakgrund 
  
 Redan i samband med att 1973 års datalag infördes togs det i före- gångaren till sekretesslagen (1980:100) – 13 § andra stycket lagen (1937:249) om inskränkningar i rätten att utbekomma allmänna 
  
 200  
 Se prop. 1997/98:44 s. 43 ff. 
 248 
  
 SOU 2004:6 
  
 Offentlighetsprincipen och sekretesslagen 
  
 handlingar – in en bestämmelse om att en personuppgift som in- gick i ett sådant personregister som avsågs i datalagen inte fick lämnas ut om det fanns anledning att anta att uppgiften skulle an- vändas för automatisk databehandling i strid med datalagen. Fanns det anledning att anta att en sådan personuppgift skulle användas för automatisk databehandling i utlandet, fick uppgiften lämnas ut bara efter medgivande av Datainspektionen. Motsvarande förbud mot utlämnande togs också in i datalagen. 
 Datalagen gällde bara för regelrätta datoriserade personregister, och det krävdes ursprungligen ett tillstånd från Datainspektionen eller särskilt författningsstöd för att få inrätta och föra ett person- register. I förarbetena konstaterades det att ett syfte med lagstift- ningen var att skapa kontroll över möjligheterna att genom inhäm- tande av uppgifter från befintliga register bygga upp nya register som används för andra ändamål än de ursprungliga registren. Till största delen kunde sådana förfaranden kontrolleras genom till- ståndsprövningen, men det kunde inte uteslutas att tillståndssy- stemet kunde kringgås, bl.a. genom att personregister inrättades utomlands. Därför borde möjligheterna att lämna ut personuppgif- ter från personregister inskränkas. Departementschefen konstate- rade dock att inskränkningen knappast skulle medföra något effek- tivt skydd mot att personregister upprättas obehörigen. 
  
 201 
  
 Syftet med regeln var alltså att förhindra att personregister inrät- tades i strid med datalagen eller utomlands där datalagen inte gäll- de. Det skulle förhindras genom förbudet mot att lämna ut uppgif- ter från ett befintligt personregister om det fanns anledning att anta något sådant. 
 I författningskommentaren konstaterades det att det i många fall skulle bli svårt för den registeransvarige att avgöra om det fanns risk för att en uppgift som begärs utlämnad skulle användas på ett otillbörligt sätt. Sedan uttalades följande: 
  
 202 
  
 Anledning till försiktighet torde i första hand föreligga, om den regis- teransvarige får en begäran om massuppgifter eller selekterade uppgif- ter. En sådan begäran bör alltid utgöra anledning för den registeransva- rige att närmare utreda hur det är avsett att uppgifterna skall användas. Först om den som begär utlämnandet anger en godtagbar förklaring härom bör uppgifterna lämnas ut. 
  
 201 
  
 Prop. 1973:33 s. 100 f. 
  
 202 
  
 Prop. 1973:33 s. 140. 
  
 249 
  
 Offentlighetsprincipen och sekretesslagen 
  
 SOU 2004:6 
  
 När sekretesslagen infördes togs bestämmelsen i sak oförändrad in i 7 kap. 16 §. 
  
 203  
  
 I samband med att Sverige anslöt sig till Europarå- dets dataskyddskonvention (se avsnitt 4.2.2) infördes i bestämmel- sen om utlandsutlämnande en regel om att sekretess inte gällde om personuppgiften skulle användas för automatisk databehandling enbart i en stat som anslutit sig till konventionen. 
  
 204  
  
 Det gjordes därvid inte någon ändring i bestämmelsen om sekretess när det fanns anledning att anta att uppgiften skulle användas för automa- tisk databehandling i strid med datalagen. Eftersom datalagen bara gällde i Sverige, verkar det ha inneburit att någon egentlig prövning av vad som kunde ske efter utlämnandet med personuppgiften i en (annan) konventionsstat (än Sverige) inte behövde göras. 
 I samband med att personuppgiftslagen infördes ändrades be- stämmelsen i 7 kap. 16 § sekretesslagen enligt följande. 
 Äldre lydelse 
 Sekretess gäller för person- uppgift i personregister som avses i datalagen (1973:289), om det kan antas att utlämnande skulle medföra att uppgiften används för automatisk databehandling i strid med datalagen. 
 Ny lydelse 
 Sekretess gäller för personupp- gift, om det kan antas att ett ut- lämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen (1998:204). 
  
 203 
  
 Prop. 1979/80:2 Del A s. 212 f. 
  
 204 
  
 Prop. 1981/82:189 s. 40 ff. och 62 f. 
  
 250 
  
 SOU 2004:6 
  
 Offentlighetsprincipen och sekretesslagen 
  
 Sekretess för uppgift som anges i första stycket gäller också, om det kan antas att utlämnande skulle medföra att uppgiften används för automatisk databehandling i ut- landet och att detta medför otill- börligt intrång i personlig integri- tet. Vid tillämpning av denna bestämmelse ankommer det på Datainspektionen att pröva fråga om utlämnande. Sekretess enligt detta stycke gäller dock ej, om uppgiften skall användas för au- tomatisk databehandling enbart i en stat som har anslutit sig till Eu- roparådets konvention om skydd för enskilda vid automatisk data- behandling av personuppgifter. 
 I förarbetena framställdes ändringarna i första stycket som formella följdändringar som innebar att sekretessbestämmelsen samordna- des med de nya bestämmelserna i personuppgiftslagen. 
  
 205 
  
 I fråga om upphävandet av andra stycket om utlandsutlämnande anfördes följande i förarbetena: 
  
 206 
  
 I personuppgiftslagen finns det i  
 33–35 
  §§ bestämmelser om förut- sättningarna för överföring av personuppgifter till tredje land som gäll- er även för myndigheter. Redan första stycket i denna paragraf medför att sekretess gäller om ett utlämnande av personuppgifter till tredje land skulle stå i strid med de nämnda bestämmelserna i person- uppgiftslagen. Andra stycket i paragrafen behövs således inte längre. 
 Det uttalandet är emellertid svårt att förstå. 
 Det är uppenbart att man enligt första stycket inte skall pröva om myndighetens utlämnande står i strid med dataskyddslagstift- ningen utan att det som skall prövas är om det finns anledning att anta att personuppgiften efter ett utlämnande kommer att behand- las av mottagaren i strid med den lagstiftningen. Det framgår tyd- ligt av lagstiftningens förhistoria. Första stycket (dvs. det som blev 
  
 205 
  
 Prop. 1997/98:44 s. 113 och 147. 
  
 206 
  
 Prop. 1997/98:44 s. 147. 
  
 251 
  
 Offentlighetsprincipen och sekretesslagen 
  
 SOU 2004:6 
  
 kvar av paragrafen efter ändringen) berör därför inte i sig det fallet att myndighetens utlämnande står i strid med bestämmelserna i personuppgiftslagen om överföring av personuppgifter till tredje land 
  
 207 
  
 .  
 Däremot kan det givetvis gälla sekretess för personuppgif- terna därför att myndigheten kan anta att den som begärt att få ut uppgifterna kommer att – efter myndighetsutlämnandet – överföra dem till tredje land i strid med  
 33–35 
  §§ personuppgiftslagen. 
  
 208 
  
 Det är i och för sig riktigt att bestämmelserna i personuppgifts- lagen om bl.a. överföring av personuppgifter till tredje land gäller även för myndigheter och kan förhindra dessa att på eget initiativ göra både det ena och det andra med personuppgifter. Men när det finns en skyldighet för myndigheten att efter begäran lämna ut en personuppgift enligt bestämmelserna om offentlighetsprincipen i 2 kap. tryckfrihetsförordningen, gäller denna skyldighet före be- stämmelserna i personuppgiftslagen. 
  
 209  
  
 Och det är just för att in- skränka det uppgiftsutlämnande som annars kan ske med stöd av offentlighetsprincipen som det behövs en bestämmelse i sekre- tesslagen. 
 I förarbetena till ändringen skedde det således en sammanbland- ning av frågan om det är den behandling som myndighetens utläm- nande innebär eller den behandling som kan antas ske efter ett ut- lämnande som skall jämföras med bestämmelserna i personupp- giftslagen. Det i sig är ägnat att leda till oklarheter. Även ordalydel- sen av bestämmelsen (ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen) kan leda till tveksam- het om det är myndighetsutlämnandet eller den efterföljande be- handlingen som avses. Att det är sökandens efterföljande behand- ling som avses när personuppgiftslagen gäller för sökanden får dock anses fastslaget genom den rättspraxis som kommit efter änd- ringen (jämför avsnitt 5.2.2). Hur 7 kap. 16 § sekretesslagen i änd- rad lydelse skall tillämpas vid sådant utlämnande till tredje land som kan ske enligt offentlighetsprincipen är, såvitt känt, inte prö- vat ännu. 
  
 207 
  
 Med tredje land avses enligt 3 § personuppgiftslagen en stat som inte ingår i Europeiska unionen (EU) eller är ansluten till Europeiska ekonomiska samarbetsområdet (EES). 
  
 208 
  
 Detta förutsätter att personuppgiftslagen är tillämplig på mottagarens behandling, av personuppgifterna dvs. att denne är etablerad i Sverige enligt 4 § personuppgiftslagen. Jämför SOU 2003:34 s. 212. 
  
 209 
  
 Utredningen har utgått från att det enligt 2 kap. tryckfrihetsförordningen finns en skyl- dighet för myndighet att på begäran lämna ut personuppgifter även till någon i utlandet. 
  
 252 
  
 SOU 2004:6 
  
 Offentlighetsprincipen och sekretesslagen 
  
 Ändringen och införandet av personuppgiftslagen har, såsom Offentlighets- och sekretesskommittén noterat 
  
 210 
  
 ,  
 inneburit att 7 kap. 16 § sekretesslagen fått ett vidare tillämpningsområde och att sekretessprövningen blivit mer komplicerad. Bestämmelsen måste numera beaktas av myndigheten vid alla utlämnanden av per- sonuppgifter, oavsett om uppgiften hos myndigheten finns i ett personregister, på ett papper, i ett ordbehandlingsdokument i dator eller bara i en tjänstemans huvud, och oavsett i vilken form – på papper, i datorformat eller muntligt – utlämnandet sker samt oav- sett om sökanden avser att ha personuppgiften i ett datoriserat per- sonregister eller behandla den på något annat sätt som omfattas av personuppgiftslagen. Sekretessprövningen kan vidare inte längre i praktiken inskränkas till att kontrollera att sökanden har tillstånd från Datainspektionen eller är undantagen från tillståndskrav. Prövningen måste i stället avse om sökanden kommer att hålla sig till alla de bestämmelser som finns i personuppgiftslagen. 
 Offentlighets- och sekretesskommittén noterade att det hade kommit ett allt mer ökande antal mål i förvaltningsdomstolarna om tillämpningen av 7 kap. 16 § sekretesslagen och konstaterade efter en granskning av de avgöranden som dittills kommit att myndighe- terna vid tillämpningen av bestämmelsen varit restriktiva med ut- lämnanden av personuppgifter. 
  
 211 
  
 Offentlighets- och sekretesskommittén har nyligen föreslagit en ny sekretesslag och att bestämmelsen i 7 kap. 16 § i den nuvarande lagen skall med bara språkliga ändringar föras över till den nya la- gen. 
  
 212 
  
 210 
  
 SOU 2001:3 s. 190 ff. och 212 ff. 
  
 211 
  
 SOU 2001:3 s. 213 f. 
  
 212 
  
 SOU 2003:99 s. 449. 
  
 253 
  
 Offentlighetsprincipen och sekretesslagen 
  
 SOU 2004:6 
  
 15.3.2 
  
 Överväganden och förslag 
  
 Utredningens förslag:  
 Sekretess skall gälla för en personuppgift, om det finns skäl att anta att uppgiften efter ett utlämnande kom- mer att behandlas i strid med personuppgiftslagen eller om myn- dighetens utlämnande av uppgiften står i strid med bestämmelsen om överföring till tredje land i 33 § personuppgiftslagen. Att myn- dighetens utlämnande står i strid med bestämmelsen om överföring till tredje land i 33 § personuppgiftslagen skall dock inte medföra sekretess för uppgifter i allmänt register som enligt lag eller för- ordning är avsett att ge allmänheten information. 
 Inledning 
 Det är utredningens uppfattning att det inledningsvis funnits en viss osäkerhet hos myndigheterna om tillämpningen av 7 kap. 16 § sekretesslagen och att det har lett till att de ibland varit väl restrik- tiva med utlämnande av personuppgifter. I dag är emellertid läget ett annat. 
 De fall där myndigheterna inledningsvis vägrade utlämnande har nu överprövats i domstol, och det finns i dag en hel del vägledande rättspraxis, bl.a. tre avgöranden från högsta instans. Det är som framgår av redogörelsen för rättspraxis i avsnitt 5.2.2 bara i några få fall som utlämnande slutligen vägrats med hänvisning till sekretess enligt 7 kap. 16 § sekretesslagen. 
  
 213 
  
 Det finns nu också en del skrivet om tillämpningen av 7 kap. 16 § sekretesslagen som kan ge vägledning. 
  
 214 
  
 Att det i dag finns mera vägledning och inget som tyder på att myndigheterna skulle tillämpa bestämmelsen fel eller så att of- fentligheten inskränks mer än avsett utgör givetvis inga giltiga ar- gument mot att förtydliga bestämmelsen. Enligt utredningens me- ning finns det tvärtom anledning att göra vad man kan för att för- tydliga bestämmelsen, som blir aktuell vid alla utlämnanden av per- sonuppgifter. 
  
 213 
  
 Kammarrättens i Jönköping dom  
  
 1999-11-16 
  i mål nr  
 3865-1999, 
  som får anses överspe- lad efter RÅ 2001 ref. 68, Kammarrättens i Sundsvall dom  
 2000-06-14 
  i mål nr  
 1443-2000 
  och dom  
 2001-10-22 
  i mål nr  
 2670-2001. 
  
 214 
  
 Se, förutom SOU 2001:3 s. 190 ff. och 212 ff., Baldwin   
  
 Stevens, Personuppgiftslagen – En kommentar, andra upplagan 2001, s.  
 327–336. 
  Även Statstjäns- temannaförbundets debattbok 7:16 – och andra hot mot öppenheten bör nämnas. 
 254 
  
 SOU 2004:6 
  
 Offentlighetsprincipen och sekretesslagen 
  
 Det som enligt utredningens mening främst behöver förtydligas är i vilken utsträckning det är myndighetens utlämnande av per- sonuppgifter respektive sökandens efterföljande behandling av dem som skall bedömas i förhållande till personuppgiftslagen. 
 Sekretess när sökanden kan antas bryta mot personuppgiftslagen 
 Att sekretess, liksom hittills, alltid bör gälla om det kan antas att sökandens efterföljande behandling kommer att innebära ett brott mot personuppgiftslagen står klart. En myndighet skall inte lämna ut personuppgifter om det på goda grunder kan misstänkas att mottagaren kommer att använda dem på ett enligt personuppgifts- lagen olagligt sätt. Det är en självklar princip. Den kan man knap- past klara sig utan om man vill undvika orimliga konsekvenser av vår principiella handlingsoffentlighet, i detta fall att en myndighet mer eller mindre medvetet skulle tvingas att medverka till ett lag- brott. 
 Det bör dock markeras tydligare i lagtexten att det är sökandens efterföljande behandling som skall bedömas i förhållande till per- sonuppgiftslagen och inte den behandling som myndighetens ut- lämnande utgör. Det bör ske genom att det föreskrivs sekretess för personuppgift, om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med personuppgiftslagen. 
 Sekretess gäller således bara om det kan antas en efterföljande behandling som är olaglig enligt personuppgiftslagen. Bestämmel- sen i 7 kap. 16 § sekretesslagen skall alltså inte försvåra utfåendet av allmänna handlingar med personuppgifter för den som inte kom- mer att behandla personuppgifterna på ett sätt som omfattas av personuppgiftslagen eller som tänker följa den lagen vid behand- lingen. Privatpersoner som vill behandla de utlämnade personupp- gifterna i dator som ett led i en verksamhet av rent privat natur (vilken behandling inte omfattas av personuppgiftslagen, se 6 §) är ett exempel. Den som vill göra något journalistiskt med person- uppgifterna är ett annat exempel (se 7 § personuppgiftslagen). 
 En i praktiken väsentlig fråga vid tillämpningen av offentlighets- principen är när en sekretessbestämmelse medför att en myndighet får efterforska vad den som vill ha en allmän handling skall göra med uppgifterna i den. Enligt 2 kap. 14 § tredje stycket tryckfri- hetsförordningen får myndigheten nämligen efterforska vem den sökande är och vilket syfte han eller hon har med sin begäran bara i den utsträckning det behövs för att myndigheten skall kunna pröva 
 255 
  
 Offentlighetsprincipen och sekretesslagen 
  
 SOU 2004:6 
  
 om det finns något hinder mot att handlingen lämnas ut, t.ex. i form av sekretess. 
 Ofta kan utformningen av det s.k. skaderekvisit som finns i den aktuella sekretessbestämmelsen ha stor betydelse för frågan om när en myndighet får börja efterforska. I förarbetena till sekretesslagen anges följande allmänna principer i fråga om skaderekvisit och myndigheters efterforskningar. 
  
 215 
  
 I departementsförslaget finns endast två typer av skaderekvisit, ett rakt som innebär presumtion för offentlighet och ett omvänt som in- nebär presumtion för sekretess. Det raka skaderekvisitet innebär att sekretess föreligger, om det kan antas att viss angiven skada uppkom- mer om uppgiften röjs. Det omvända rekvisitet innebär att sekretess gäller, om det inte står klart att uppgiften kan röjas utan skada. 
 Det raka skaderekvisitet innebär att tillämparen kan göra sin be- dömning inom ganska vida ramar. Avsikten är att skadebedömningen i dessa fall i huvudsak skall kunna göras med utgångspunkt i själva upp- giften. Det innebär att frågan huruvida sekretess gäller eller inte i första hand inte behöver knytas till en skadebedömning i det enskilda fallet. Avgörande bör i stället vara om uppgiften som sådan är av den arten att ett utlämnande typiskt sett kan vara ägnat att medföra skada för det in- tresse som skall skyddas genom bestämmelsen. Om uppgiften är sådan att den genomsnittligt sett måste betraktas som harmlös, skall den allt- så normalt falla utanför sekretessen. Som exempel på uppgifter av detta slag kan nämnas utlännings adress eller civilstånd. Skulle uppgiften å andra sidan vara av sådant slag att den lätt kan komma att missbrukas, [] skall den enligt min mening i de flesta fall anses vara omfattad av sekretess. Sammanfattningsvis anser vi att avgörande betydelse som re- gel bör tillmätas arten av den uppgift som efterfrågas. Härigenom vin- ner man den fördelen att man sällan behöver frångå den till offentlig- hetsprincipen hörande grundsatsen att den som begär en uppgift hos myndighet inte skall behöva legitimera sig och tala om varför han vill ta del av viss uppgift. 
 [K]onstruktionen med skaderekvisit [innebär emellertid] att frågan om vem som begär en uppgift eller ändamålet med begäran kan få bety- delse när sekretessfrågan skall avgöras. Om det t.ex. i ett särskilt fall framgår att den som begär ut en uppgift om utlännings adress kan antas använda denna uppgift för att utsätta vederbörande för trakasserier, skall uppgiften just i den situationen anses vara omfattad av sekretess. Avsikten är emellertid inte att tjänstemannen normalt skall försöka ut- röna om omständigheter av nu nämnt slag föreligger i ett visst utläm- 
  
 215  
 Prop. 1979/80:2 Del A s. 80 f. 
 256 
  
 SOU 2004:6 
  
 Offentlighetsprincipen och sekretesslagen 
  
 nandefall. En sådan åtgärd bör enligt min mening förekomma endast om det finns särskild anledning till det, t.ex. om en tjänsteman har fått veta att man från visst håll samlar in uppgifter av det aktuella slaget i il- legitimt syfte. [] 
 De uttalanden som jag nu har gjort om skadebedömningen vid ut- lämnandet av en särskild uppgift har i stort sett sin giltighet också i frå- ga om massuttag. Situationen är emellertid här i viss mån en annan så till vida att den berörde tjänstemannen av naturliga skäl inte kan bilda sig en uppfattning om den särskilda skaderisk som kan vara förbunden med en enskild uppgift. Å andra sidan har han emellertid alltid känne- dom om beställarens identitet och oftast också om dennes avsikt med uppgifterna. Dessa kunskaper i förening med en bedömning av den skaderisk som typiskt sett är förbunden med uppgifter av det slag som avses med beställningen bör enligt min mening i de allra flesta fall ge fullt tillräckligt underlag för bedömningen av om sekretessregleringen skall anses hindra ett utlämnande eller inte. 
 Vid rakt skaderekvisit skall således normalt sekretessfrågan bedö- mas med utgångspunkt i själva den uppgift som begärs utlämnad och inte vad som kan tänkas ske i det enskilda fallet efter ett ut- lämnande. Bara om det finns särskild anledning till det, får myn- digheten normalt börja efterforska. 
 Bestämmelsen i 7 kap. 16 § sekretesslagen innehåller ett rakt skaderekvisit (om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen), men det är lite speciellt i förhållande till de flesta andra sådana rekvisit i sek- retesslagen. Av den ursprungliga författningskommentaren till den bestämmelsen framgår nämligen att i första hand en begäran om massuppgifter eller selekterade uppgifter alltid bör utgöra anled- ning för myndigheten att närmare utreda hur det är avsett att upp- gifterna skall användas och att det är först om sökanden anger en godtagbar förklaring härom som uppgifterna bör lämnas ut. 
  
 216  
  
 Om massuppgifter eller selekterade uppgifter begärs utlämnade och sö- kanden inte besvarar en förfrågan om den tilltänkta användningen av uppgifterna, finns det således enligt förarbetena anledning att anta en olaglig behandling och vägra utlämnande på grund av sekre- tess. 
 Arten av den uppgift som begärs utlämnad verkar, såvitt framgår av författningskommentaren, inte på det sätt som är normalt vid tillämpningen av sekretesslagen ha direkt betydelse (annat än att 
  
 216  
 Prop. 1973:33 s. 140, citerat ovan i avsnitt 15.3.1. 
 257 
  
 Offentlighetsprincipen och sekretesslagen 
  
 SOU 2004:6 
  
 det naturligtvis måste vara fråga om en personuppgift) för pröv- ningen av skaderekvisitet och för frågan om när myndigheten får börja efterforska vad sökanden skall använda uppgifterna till. Det är i och för sig naturligt, eftersom varje slag av personuppgift kan behandlas i strid med lagstiftningen till skydd för personuppgifter. Det avgörande för om en efterforskning bör göras verkar i stället, såvitt framgår av författningskommentaren, i första hand vara om det på grund av någon omständighet kring sökandens begäran (massuppgifter eller selekterade uppgifter) kan antas att sökanden kommer att hantera uppgifterna på ett sätt som omfattas av den lagstiftningen (företrädesvis med hjälp av dator). 
 Att skaderekvisitet i 7 kap. 16 § sekretesslagen och förutsätt- ningarna för när myndigheten får börja efterforska således skall tillämpas på ett i förhållande till övriga sekretessregler speciellt sätt bör enligt utredningens mening markeras på något sätt i lagtexten. Därmed bör tillämpningen av bestämmelsen underlättas. Det klar- görs då också att myndigheten inte får börja ställa frågor om den tilltänkta användningen bara för att en personuppgift begärs utläm- nad. 
 Det bör därför föreskrivas att sekretess gäller för personuppgift, om det finns skäl att anta att uppgiften efter ett utlämnande kom- mer att behandlas i strid med personuppgiftslagen. 
 Myndigheten får således efterforska den tilltänkta användningen bara om det på grund av någon konkret omständighet, t.ex. att uppgifter om en massa människor begärs utlämnade, finns skäl att anta en efterföljande behandling som i och för sig omfattas av per- sonuppgiftslagen. Om sökanden då inte besvarar myndighetens frågor, finns det, i enlighet med författningskommentaren, skäl att anta en olaglig behandling och vägra utlämnande på grund av sekre- tess. Det finns däremot inte någon skyldighet att besvara myndig- hetens frågor. 
 Det bör här noteras att det framgår av 2 kap. 14 § tredje stycket tryckfrihetsförordningen och ligger i sakens natur att myndigheten inte får ställa mer inträngande eller fler frågor än som behövs för att göra en bedömning enligt den aktuella sekretessbestämmelsen. Det innebär i detta sammanhang att myndigheten – i de fall an- vändningen alls får efterforskas – inledningsvis bara bör fråga om sökanden över huvud taget avser att behandla den begärda person- uppgiften på ett sätt som omfattas av 5 § personuppgiftslagen, dvs. automatiserat med hjälp av dator eller i ett regelrätt manuellt per- sonregister. Först om så är fallet, finns det anledning för myndig- heten att ställa flera frågor om den tilltänkta behandlingen, bl.a. för 
 258 
  
 SOU 2004:6 
  
 Offentlighetsprincipen och sekretesslagen 
  
 att ta reda på om behandlingen är helt eller delvis undantagen från personuppgiftslagen. 
 Om sökanden väl lämnar en redogörelse för sin tilltänkta be- handling, uppkommer frågan om när den redogörelsen skall godtas. Av förarbetena till personuppgiftslagen framgår att en invändning om att en behandling avser sådant som är undantaget enligt 7 § per- sonuppgiftslagen (om undantag med hänsyn till tryck- och yttran- defriheten) får godtas, om det inte av omständigheterna framgår att invändningen är så osannolik att den kan lämnas utan avseende. 
  
 217  
  
 Detsamma får enligt utredningens mening antas gälla en invänd- ning om att en behandling avser sådant som är undantaget enligt 6 § personuppgiftslagen om undantag för privat behandling av per- sonuppgifter. Dessa principer, som innebär att det är bara i rena undantagsfall som man inte bör lita på de invändningar och den redogörelse som lämnas, bör naturligtvis tillämpas också vid en sekretessprövning enligt 7 kap. 16 § sekretesslagen. 
 Om myndigheten fått en redogörelse från sökanden, som i en- lighet med det nyss sagda inte kan lämnas utan avseende, får myn- digheten göra en bedömning av om den uppgivna behandlingen omfattas av personuppgiftslagen och, om så är fallet, om den be- handlingen strider mot personuppgiftslagen. 
 Sekretess när myndighetens utlandsutlämnande strider mot personuppgiftslagen 
 Nästa fråga är om och i vilken utsträckning det förhållandet att själva utlämnandet från myndigheten av en personuppgift i sig skulle innebära ett brott mot personuppgiftslagen skall medföra sekretess. Det bör här för det första betonas att den frågan bara har betydelse när det gäller myndighetens skyldighet att enligt offent- lighetsprincipen i 2 kap. tryckfrihetsförordningen lämna ut person- uppgifter. Finns det ingen sådan skyldighet, får den personupp- giftsansvariga myndigheten ju nämligen – oberoende av sekretess- bestämmelserna – inte bryta mot personuppgiftslagen (eller för den delen någon annan lag). Myndigheter får t.ex. inte självmant lägga ut personuppgifter öppet på Internet utan att följa bestämmelserna i personuppgiftslagen. 
  
 217 
  
 Prop. 1997/98:44 s. 119. Se också Kammarrättens i Göteborg dom  
  
 2003-02-14 
  i mål nr  
 6296-2002. 
  
 259 
  
 Offentlighetsprincipen och sekretesslagen 
  
 SOU 2004:6 
  
 Det har ända sedan datalagen infördes funnits en bestämmelse om sekretess när personuppgifter lämnas utomlands, där den svenska dataskyddslagstiftningen inte kan få genomslag. När 7 kap. 16 § sekretesslagen ändrades i samband med att personuppgiftsla- gen trädde i kraft var avsikten också att det skall gälla sekretess om ett utlämnande av personuppgifter till tredje land skulle stå i strid med bestämmelserna i personuppgiftslagen om överföring av per- sonuppgifter till tredje land. 
  
 218  
  
 Även utredningen anser att det är befogat att behålla en bestämmelse om sekretess i samband med överföring av personuppgifter till tredje land. 
 Sekretessbestämmelsen om utlandsutlämnande bör, liksom hit- tills, ha samma materiella innehåll som bestämmelserna i data- skyddslagstiftningen om utlandsutlämnande. Sekretessbestämmel- sen bör således föreskriva sekretess för personuppgift, om myndig- hetens utlämnande av uppgiften står i strid med bestämmelsen om förbud mot överföring av personuppgifter till tredje land i 33 § per- sonuppgiftslagen. Är utlämnandet tillåtet enligt t.ex. 34 § person- uppgiftslagen, som innehåller undantag från det principiella förbu- det mot överföring av personuppgifter till tredje land utan adekvat skyddsnivå, eller enligt bestämmelser eller beslut som innebär avvi- kelser från 33 § personuppgiftslagen, står utlämnandet naturligtvis inte i strid med den sistnämnda bestämmelsen. 
 Vid avgörandet av om myndighetens utlämnande står i strid med 33 § personuppgiftslagen skall man dock givetvis bortse från be- stämmelsen i 8 § första stycket personuppgiftslagen om att be- stämmelserna i lagen inte tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsför- ordningen att lämna ut personuppgifter. Det är bestämmelsen i 7 kap. 16 § sekretesslagen, med sin hänvisning till viss bestämmelse i personuppgiftslagen, och inte personuppgiftslagen i sig som in- skränker myndighetens skyldighet att lämna ut personuppgifter enligt 2 kap. tryckfrihetsförordningen. Utredningen har övervägt att i syfte att förtydliga i 8 § personuppgiftslagen ta in en hänvis- ning till sekretesslagen, men funnit att förhållandet är så självklart att en sådan hänvisning inte är nödvändig. 
 Att det är bara utlämnanden som står i strid med 33 § person- uppgiftslagen som avses i sekretessbestämmelsen innebär att be- stämmelsen bara omfattar personuppgifter som myndigheten be- handlar på ett sätt som omfattas av personuppgiftslagen. Bestäm- 
  
 218  
 Prop. 1997/98:44 s. 147, citerat ovan. 
 260 
  
 SOU 2004:6 
  
 Offentlighetsprincipen och sekretesslagen 
  
 melsen omfattar således inte t.ex. en personuppgift som bara finns i ett enstaka pappersdokument eller i en tjänstemans huvud. 
 Enligt artikel 26.1 f i  
 EG-direktivet 
  finns det en skyldighet för medlemsstaterna att föreskriva att överföring av personuppgifter till ett tredje land utan adekvat skyddsnivå får ske om överföring- en görs från ett offentligt register som enligt lagar eller andra för- fattningar är avsett att ge allmänheten information och som är till- gängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse, i den utsträckning som de i lagstift- ningen angivna villkoren för tillgänglighet uppfylls i det enskilda fallet. 
  
 219 
  
 Någon motsvarande bestämmelse finns dock inte i personupp- giftslagen, och frågan om införandet av en sådan verkar inte ha uppmärksammats i förarbetena till personuppgiftslagen. Den outta- lade avsikten verkar ha varit att de författningar som reglerar av- sedda offentliga register skall innehålla nödvändiga föreskrifter om överföring till tredje land. 
  
 220  
  
 Så är dock som regel inte fallet i de registerförfattningar som utfärdats eller ändrats efter personupp- giftslagen. 
  
 221 
  
 Mot den bakgrunden anser utredningen att det är befogat och, med hänsyn till  
 EG-direktivet, 
  nödvändigt att föreskriva undantag från sekretessbestämmelsen i fråga om uppgifter i sådana register som avses i artikel 26.1 f i  
 EG-direktivet. 
  Det undantaget medför i praktiken att personuppgifter i sådana register får lämnas till utlan- det, om det finns en skyldighet för myndigheten att göra det enligt bestämmelserna om offentlighetsprincipen i 2 kap. tryckfrihetsför- ordningen (och, givetvis, om inte någon annan sekretessbestäm- melse hindrar det). 
 Om myndigheten i andra fall vill föra över personuppgifter i så- dana register till tredje land, t.ex. genom att göra registret öppet tillgängligt via Internet, måste myndigheten således tillämpa be- stämmelserna i personuppgiftslagen. Det medför i sin tur att t.ex. 
  
 219 
  
 I ingresspunkt 58 i  
  
 EG-direktivet 
  tilläggs följande: Undantag från överföringsförbudet skall medges om överföringen utförs med utgångspunkt i ett register som upprättats ge- nom lagstiftning och som är avsett att vara tillgängligt för allmänheten eller för personer som har ett berättigat intresse. En sådan överföring bör inte omfatta alla uppgifter eller hela kategorier av uppgifter som finns i registret. När registret är avsett att vara tillgäng- ligt för personer med ett berättigat intresse skall överföringen göras endast på begäran av dessa personer eller om de själva är mottagarna. 
  
 220 
  
 Se svar på skriftlig fråga i riksdagen 1998/99:5, där dåvarande justitieministern Laila Frei- valds anger att frågan om utlandsöverföring skall tillåtas från olika offentliga register får avgöras i samband med att de särskilda registerförfattningar som finns för offentliga re- gister successivt gås igenom. 
  
 221 
  
 Se t.ex. lagen (2000:224) om fastighetsregister och lagen (2001:558) om vägtrafikregister. 
  
 261 
  
 Offentlighetsprincipen och sekretesslagen 
  
 SOU 2004:6 
  
 frågor om att göra myndighetsregister öppet tillgängliga via Inter- net i tillämpliga fall får regleras genom särskilda bestämmelser med eventuella avvikelser från personuppgiftslagen. Utredningen anser att det i princip är lämpligt och befogat att i varje särskilt fall över- väga om och i vilken utsträckning ett myndighetsregister bör göras öppet tillgängligt via Internet. Det är anledning till att utredningen inte i stället föreslår att katalogen i 34 § personuppgiftslagen med undantag från överföringsförbudet skall kompletteras med ett un- dantag för personuppgifter i offentliga register. 
 När det gäller den närmare utformningen av undantagsbestäm- melsen skulle man kunna tänka sig att, t.ex. i en bilaga till sekre- tesslagen eller i sekretessförordningen (1980:657), ha en lista över de register som omfattas av bestämmelsen i  
 EG-direktivet. 
  Utred- ningen har emellertid kommit fram till att det bör räcka med en generellt utformad bestämmelse om att sekretessen inte gäller för uppgifter i allmänt register som enligt lag eller förordning är avsett att ge allmänheten information. I samband med införande eller översyn av författningsbestämmelser om särskilda register bör det tillses att det i tillämpliga fall finns tillräckligt tydliga bestämmelser om att registret är avsett att ge allmänheten information. I avvaktan på att en sådan precisering sker bör det utan större olägenhet vara tillräckligt att med nedanstående vägledning överlämna frågan åt rättstillämpningen. 
 Med undantagsbestämmelsen avses detsamma som enligt artikel 26.1 f i  
 EG-direktivet. 
  Uttrycket allmänt register, som återfinns i 2 kap. 3 § första stycket regeringsformen 
  
 222 
  
 ,  
 har utan någon saklig skillnad använts i stället för uttrycket offentligt register som an- vänds i  
 EG-direktivet. 
  Med register avses enligt artikel 2 c i EG- direktivet varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centra- liserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden, jämför 5 § andra stycket personuppgifts- lagen. Eftersom det enligt undantagsbestämmelsen krävs att regist- ret enligt lag eller förordning skall vara avsett att ge allmänheten information, torde registerbegreppet i sig sällan vålla några tolk- ningssvårigheter för tillämparen. 
 Av de ändamålsbestämmelser som normalt finns i särskilda regis- terförfattningar torde regelmässigt framgå om ett register är avsett att ge allmänheten information. I många av författningarna om s.k. 
  
 222 
  
 Enligt Lindsey  Colon, Sveriges Grundlagar, 1980, s. 51 är allmänna register sådana register som upprättas och förs av offentlig myndighet. 
  
 262 
  
 SOU 2004:6 
  
 Offentlighetsprincipen och sekretesslagen 
  
 publicitetsregister som finns över olika slags egendom eller rättig- heter (fastigheter, bilar, fartyg, bolag, varumärken etc.) eller behö- righeter (t.ex. försäkringsmäklare) eller egenskaper (t.ex. personer med viss insyn i näringsverksamhet, s.k. insiders) finns det ända- målsbestämmelser om att det aktuella registret skall ge offentlighet åt uppgifter eller tillhandahålla uppgifter för allmänheten. Någon gång kan det också av en bestämmelse indirekt framgå att ett regis- ter är avsett att bl.a. ge allmänheten information. Så får t.ex. anses vara fallet med de s.k. diarieregister över allmänna handlingar som myndigheter skall föra i enlighet med 15 kap. 1 och 2 §§ sekre- tesslagen. 
  
 223  
  
 Av 15 kap. 2 § andra stycket sekretesslagen framgår det nämligen att registreringen skall ordnas på visst sätt så att registret skall kunna företes för allmänheten. Det bör i sammanhanget ånyo påpekas att den föreslagna ändringen i sekretesslagen i praktiken inte berör möjligheterna för myndigheter att frivilligt göra t.ex. diarier öppet tillgängliga via Internet; tillåtligheten av sådant be- döms i stället i praktiken enligt personuppgiftslagen och särskilda författningar med avvikelser från den lagen. 
 Utlämnande av uppgifter för direkt marknadsföring som den enskilde motsatt sig 
 Enligt utredningens mening finns det bara ett ytterligare fall där det finns anledning att överväga sekretess därför att myndighetens utlämnande av personuppgifter i sig står i strid med bestämmelser i personuppgiftslagen. Det gäller utlämnande av en personuppgift när det kan antas att sökanden skall använda uppgiften för direkt marknadsföring. 
 Enligt 11 § personuppgiftslagen gäller att personuppgifter inte får behandlas för ändamål som rör direkt marknadsföring, om den registrerade hos den personuppgiftsansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling. Anmälan måste ske hos den personuppgiftsansvarige eller på annat sätt som denne anvisat, t.ex. till ett s.k. reservationsregister. 
  
 224 
  
 Bestämmelsen medför t.ex. att en privat personuppgiftsansvarig som vill lämna ut sitt kundregister till annan för att denne skall an- 
  
 223 
  
 Offentlighets- och sekretesskommittén ser över bestämmelserna i sekretesslagen, se dir. 1998:32, och har kommit med förslag till ändringar i 15 kap. sekretesslagen, se SOU 2002:97. 
  
 224 
  
 Se prop. 1997/98:44 s. 66 och jämför prop. 1999/2000:40 s. 14. 
  
 263 
  
 Offentlighetsprincipen och sekretesslagen 
  
 SOU 2004:6 
  
 vända uppgifterna för direkt marknadsföring under alla förhållan- den först måste rensa registret från uppgifter om sådana personer som hos honom eller henne (eller till något anvisat reservationsre- gister) motsatt sig direkt marknadsföring. Den som vet att uppgif- ter om honom eller henne finns registrerade hos en privat person- uppgiftsansvarig kan alltså genom en anmälan till denne förhindra att de registrerade uppgifterna används för direkt marknadsföring (av den personuppgiftsansvarige eller någon annan till vilken denne skulle vilja lämna ut uppgifterna). Den registrerade behöver alltså inte vända sig med sin anmälan till alla potentiella marknadsförare som förr eller senare kan tänkas få uppgifterna från den person- uppgiftsansvarige. 
 När det gäller personuppgiftsansvariga myndigheter är läget i dag emellertid ett annat. Den registrerade kan visserligen vända sig till myndigheten med en anmälan och därigenom förhindra att myn- digheten själv använder hans eller hennes uppgifter för direkt marknadsföring (vilket i och för sig inte sker så ofta). En sådan anmälan förhindrar också att myndigheten utan att vara skyldig därtill enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordning- en lämnar ut uppgifterna till någon annan som myndigheten vet kommer att använda uppgifterna för direkt marknadsföring. Det följer av att 11 § personuppgiftslagen är tillämplig på myndighetens utlämnande i detta fall när utlämnandet inte görs till följd av den grundlagsfästa offentlighetsprincipen. Men en anmälan till en myn- dighet hindrar i dag inte i sig automatiskt att myndigheten enligt 2 kap. tryckfrihetsförordningen lämnar ut uppgifterna, trots att myndigheten kan anta att uppgifterna kommer att användas av mottagaren för direkt marknadsföring. Det beror på att offentlig- hetsprincipen tar över personuppgiftslagen (se 8 § första stycket) och att det inte gäller sekretess enligt 7 kap. 16 § sekretesslagen bara för att myndighetens utlämnande skulle stå i strid med 11 § personuppgiftslagen. 
 Att den enskilde hos myndigheten har motsatt sig att hans eller hennes uppgifter används för direkt marknadsföring hindrar alltså inte i sig automatiskt att myndigheten enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen lämnar ut uppgifterna för an- vändning för just det ändamålet. 
 Därför har utredningen övervägt om det bör föreskrivas sekre- tess för personuppgifter om det kan antas att myndighetens utläm- nande av uppgiften står i strid med 11 § personuppgiftslagen. Sek- retessen skulle alltså gälla när den registrerade hos myndigheten har motsatt sig direkt marknadsföring och det kan antas att den som 
 264 
  
 SOU 2004:6 
  
 Offentlighetsprincipen och sekretesslagen 
  
 vill ha ut uppgiften skall använda den för det ändamålet. Utred- ningen har den uppfattningen att en sådan sekretessregel i och för sig är befogad och knappast kontroversiell. 
 Utredningen anser emellertid att man generellt sett bör vara re- striktiv med nya sekretessbestämmelser, och något uppdrag att ut- vidga sekretessen har inte utredningen. Utredningen lämnar därför inte något förslag till utvidgad sekretess i den delen. Den slutsatsen har starkt påverkats av att utredningen funnit att de materiella reg- lerna om när man får vidta direkt marknadsföring och de generella s.k. reservationsregister som nu finns får anse ge ett tillräckligt skydd för den som vill motsätta sig sådan marknadsföring. Den bedömningen grundar sig på följande resonemang. 
 Numera finns det generella reservationsregister (spärregister) – NIX adressat för marknadsföring per post och  
 NIX-Telefon 
  för telefonmarknadsföring – dit enskilda som inte önskar direkt mark- nadsföring enkelt och kostnadsfritt kan anmäla sig. Alla näringsid- kare som avser att genomföra marknadsföring kan mot avgift få tillgång till registren för att undvika att rikta marknadsföring mot personer som registrerat sig. 
 Som redan nämnts bör sekretess gälla om det kan antas att en personuppgift efter ett utlämnande kommer att behandlas i strid med personuppgiftslagen. Behandling för direkt marknadsföring är som regel, förutom vid samtycke, bara tillåten efter en intresseav- vägning enligt 10 § f personuppgiftslagen. Frågan är i vilken ut- sträckning myndigheten vid intresseavvägningen bör beakta om den som vill ha ut uppgifterna för direkt marknadsföring kommer att konsultera de generella reservationsregister som finns och inte rikta marknadsföring mot personer som registrerat sig där. Följan- de är därvid att beakta. 
 I de två fall från Regeringsrätten som rört direkt marknadsföring har den enskildes rätt att motsätta sig att personuppgifterna an- vänds för direkt marknadsföring särskilt betonats vid intresseav- vägningen. 
  
 225 
  
 I den branschöverenskommelse om direkt marknadsföring som Datainspektionen granskat anges bl.a. följande: 
 För att tillmötesgå privatpersoners önskan att slippa direktmarknads- föring från företag, organisationer och liknande som de inte har någon anknytning till finns för vissa typer av adressuppgifter centrala allmänt 
  
 225  
 RÅ 2001 ref. 60 och RÅ 2002 ref. 54, se avsnitt 5.2.2. Se också SOU 1997:39 s. 362 f. 
 265 
  
 Offentlighetsprincipen och sekretesslagen 
  
 SOU 2004:6 
  
 tillgängliga spärregister dit de kan anmäla sig. Då adressuppgifter sam- las in från annan källa än den registrerade och då anknytning saknas mellan denne och den marknadsförare som planerar en direktmark- nadsföringskontakt (prospect), skall den personuppgiftsansvarige som lämnar ut uppgifterna eller mottagaren av dessa tillse att uppgifterna i enlighet med god branschsed kontrolleras mot aktuellt sådant spärre- gister. 
 Enligt branschöverenskommelsen krävs det alltså att den som från en myndighet får ut uppgifter för direkt marknadsföring konsulte- rar de generella spärregistren och, som det får förstås, respekterar spärrarna. 
 I 13 b § tredje stycket marknadsföringslagen (1995:450) har det vidare införts en bestämmelse om att en näringsidkare som använ- der  
 e-post 
  vid icke begärd marknadsföring till fysiska personer skall respektera och regelbundet kontrollera register där personer som inte önskar få sådan marknadsföring med  
 e-post 
  kan registrera sig. 
  
 226  
  
 Något sådant register avseende  
 e-post 
  finns dock såvitt känt inte i Sverige. 
  
 227  
  
 Bakgrunden är bl.a. att branschen avvaktat anta- gandet och genomförandet av ett nytt  
 EG-direktiv 
  om dataskydd vid telekommunikation. Det s.k. kommunikationsdataskydds- direktivet har numera antagits. 
  
 228  
  
 Det nya direktivet, som skulle ha varit genomfört senast den 31 oktober 2003, föreskriver i princip samtycke för direkt marknadsföring med  
 e-post, 
  fax eller automa- tiska uppringningsutrustningar (artikel 13), vilket verkar göra det mindre aktuellt och nödvändigt med ett reservationsregister över personer som motsätter sig direkt marknadsföring med  
 e-post. 
  Genomförandet av det nya direktivet i Sverige pågår för närvaran- de. 
  
 229 
  
 Mot den bakgrunden är det utredningens uppfattning att det åt- minstone numera, för att intresseavvägningen skall utfalla till för- mån för direkt marknadsföring och uppgifterna således lämnas ut, 
  
 226 
  
 Bestämmelsen genomför artikel 7.2 i  
  
 E-handelsdirektivet, 
  Europaparlamentets och rådets direktiv 2000/31/EG av den 8 juni 2000 om vissa rättsliga aspekter på informationssam- hällets tjänster, särskilt elektronisk handel, på den inre marknaden (Direktiv om elek- tronisk handel) (EGT L 178, 17.7.2000, s. 1), se prop. 2001/02:150, LU 2001/02:29 och Ds 2001:13. 
  
 227 
  
 Jämför Konsumentverkets rapport 2000:21 Spärregister för  
  
 e-postreklam, 
  där den be- dömningen gjordes att det vid tidpunkten för rapporten inte var möjligt att inrätta ett ef- fektivt spärregister. 
  
 228 
  
 Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 31.7.2002, s. 37). 
  
 229 
  
 Se prop. 2003/04:43 och SOU 2002:109. 
  
 266 
  
 SOU 2004:6 
  
 Offentlighetsprincipen och sekretesslagen 
  
 krävs att den som vill ha ut uppgifterna kommer att konsultera de generella reservationsregister som finns och inte rikta marknadsfö- ring mot personer som registrerat sig där. Därmed skulle det alltså finnas fullgoda möjligheter för personer som vill undvika mark- nadsföring att uppnå det syftet även i fråga om uppgifter som finns hos myndigheter. 
 Den inkonsekvens som ligger i att den som motsatt sig direkt marknadsföring hos en myndighet men inte till de generella reser- vationsregistren skulle kunna bli utsatt för marknadsföring på grund av uppgifter som av myndigheten lämnats ut enligt offent- lighetsprincipen i 2 kap. tryckfrihetsförordningen bör kunna accep- teras. I många fall kan det vara naturligt att den myndighet som får en anmälan om att en enskild motsätter sig direkt marknadsföring, såsom en serviceåtgärd, upplyser den enskilde om möjligheten att anmäla sig också till de generella reservationsregistren. 
 Det är inte heller uteslutet att man vid intresseavvägningen enligt 10 § f personuppgiftslagen i samband med en prövning enligt 7 kap. 16 § sekretesslagen kan ta hänsyn till att vissa registrerade hos myndigheten motsatt sig direkt marknadsföring och anse att sekre- tess därför gäller för just deras uppgifter eftersom deras intressen överväger marknadsförarens. 
  
 230  
  
 Det som talar emot en sådan till- lämpning är främst att intresseavvägningen då skulle göras på ett alldeles speciellt sätt vid utlämnanden som sker enligt offentlig- hetsprincipen. Vid utlämnanden som inte sker med stöd av offent- lighetsprincipen uppkommer nämligen inte frågan. Ett motsättande av direkt marknadsföring utgör då ett absolut hinder mot behand- ling (t.ex. utlämnande) för sådant ändamål enligt 11 § personupp- giftslagen, varför det beträffande den som motsatt sig direkt mark- nadsföring aldrig kan bli aktuellt med någon intresseavvägning en- ligt 10 § f personuppgiftslagen. Frågan får överlämnas till rättstil- lämpningen. 
  
 230  
 Jämför Ds 2002:60 s. 228 f. 
 267 
  
 16 
  
 Ikraftträdande, övergångsbestämmelser och följdändringar 
  
 Utredningen har inte funnit anledning att ange något exakt datum när de föreslagna lagändringarna bör träda i kraft. Det tidigaste da- tumet för ikraftträdande torde i praktiken vara den 1 juli 2005. 
 I fråga om övergångsbestämmelser har utredningen gjort följande överväganden. 
 Enligt förslagen i fråga om behandling av personuppgifter som inte ingår i register (avsnitt 7) undantas viss behandling från vissa bestämmelser i personuppgiftslagen. För behandlingsåtgärder som vidtagits med sådana personuppgifter före ikraftträdandet har såle- des äldre föreskrifter gällt. Om en fråga om skadeståndsansvar med anledning av sådana behandlingsåtgärder kommer upp först efter ikraftträdandet, skall naturligtvis åtgärderna bedömas efter de före- skrifter som gällde när de vidtogs. Det har inte ansetts nödvändigt med en särskild övergångsbestämmelse om detta. I fråga om straffansvar ställer sig saken annorlunda, se nedan om 5 § lagen (1964:163) om införande av brottsbalken. 
 För förslagen om registerutdrag (avsnitt  
 11)  
 har det inte ansetts nödvändigt med någon övergångsbestämmelse. Den personupp- giftsansvarige som efter ikraftträdandet lämnar ett registerutdrag skall tillämpa de nya föreskrifterna, oavsett när ansökan om regis- terutdraget gjordes. 
 För den avkriminalisering som föreslås (avsnitt  
 12)  
 behövs inte någon särskild övergångsbestämmelse. I 5 § lagen (1964:163) om införande av brottsbalken finns det allmänna bestämmelser om vil- West lag som skall tillämpas i fråga om straffansvar när det skett lag- ändringar efter det att en gärning begicks. 
 I fråga om förslagen om överklagande av myndighetsbeslut (av- snitt  
 13)  
 bör det i enlighet med allmänna principer uttryckligen 
  
 Ikraftträdande, övergångsbestämmelser och följdändringar 
  
 SOU 2004:6 
  
 föreskrivas att de nya bestämmelserna inte skall tillämpas i fråga om överklagande av beslut som har meddelats före ikraftträdandet. 
 Förslagen som rör offentlighetsprincipen och sekretesslagen (av- snitt  
 15)  
 behöver inte förses med några övergångsbestämmelser. Utlämnande av uppgifter och allmänna handlingar som sker efter ikraftträdandet måste följa de nya föreskrifterna, oavsett när begä- ran om att få ta del av uppgifterna eller handlingarna gjordes. 
 I fråga om följdändringar med anledning av de föreslagna lagänd- ringarna vill utredningen anföra följande. 
 Utredningens förslag i fråga om personuppgifter i löpande text (avsnitt 7) och om överklagande av myndighetsbeslut (avsnitt  
 13)  
 torde innebära att det är lämpligt att se över och eventuellt anpassa de särskilda registerförfattningar som innehåller bestämmelser om löpande text och om överklagande. Jämför också vad som sägs i avsnitt  
 14.2.4  
 om viss översyn med anledning av  
 EG-domstolens 
  dom i det s.k. konfirmandlärarmålet. 
 Också personuppgiftsförordningen innehåller bestämmelser om löpande text (4 och 8 §§) som kan behöva ses över. 
 Utredningens förslag i fråga om registerutdrag (avsnitt  
 11)  
 torde innebära att bestämmelsen i 7 a § arkivförordningen (1991:446) om registerutdrag bör ses över. 
 270 
 17 Konsekvenserna av förslagen 
 Om förslagen i ett betänkande påverkar kostnaderna eller intäkter- na för det allmänna eller för enskilda, skall dessa beräknas och re- dovisas. Även de samhällsekonomiska konsekvenser i övrigt som förslagen kan innebära, skall redovisas. Om förslagen har betydelse för den kommunala självstyrelsen, för brottsligheten och det brottsförebyggande arbetet, för sysselsättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, kon- kurrensförmåga eller villkor i övrigt i förhållande till större före- tags, för jämställdheten mellan kvinnor och män eller för möjlighe- terna att nå de integrationspolitiska målen, skall konsekvenserna i dessa avseenden anges. 
  
 231 
  
 Enligt utredningsdirektiven skall utredningen analysera eventuel- la ekonomiska konsekvenser med anledning av förslagen. 
 När det gäller ekonomiska konsekvenser kan följande sägas. Ut- redningens förslag i fråga om behandling av personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar (avsnitt 7) och registerutdrag (avsnitt  
 11)  
 innebär att behandlingen av personuppgifter underlättas i förhållande till vad som gäller i dag utan att integritetsskyddet försvagas i prakti- West. Utredningens förslag i dessa delar innebär således inte några ökade kostnader. Hur stora kostnadsminskningarna blir, efter så- dana initiala utbildnings- och uppdateringskostnader som alltid uppkommer vid lagändringar, har inte varit möjligt att beräkna. Det beror bl.a. på att man inte kan veta om eller i vilken utsträckning dagens regler faktiskt följs. 
 För Datainspektionens verksamhet medför utredningens förslag behov av informationsinsatser riktade till personuppgiftsansvariga, personuppgiftsombud och allmänheten. Härtill kommer att inspek- tionen enligt utredningens förslag skall kunna ges ytterligare be- myndiganden att meddela föreskrifter och beslut i enskilda fall (av- 
  
 231  
 14 och 15 §§ kommittéförordningen (1998:1474). 
  
 Konsekvenserna av förslagen 
  
 SOU 2004:6 
  
 snitt 9). Detta innebär en åtminstone initial ansträngning för Data- inspektionen och medför att inspektionens resurser bör få bestå på åtminstone nuvarande nivå. 
 Förslagen om avkriminalisering (avsnitt  
 12)  
 innebär enligt ut- redningens bedömning inte några ökade kostnader och inte heller några nämnvärda intäktsminskningar (i form av uteblivna böter) eller kostnadsminskningar. 
 Som redovisats i avsnitt  
 13  
 finns det redan i dag möjlighet att överklaga myndighetsbeslut enligt personuppgiftslagen. Utred- ningens bedömning är att den enhetliga bestämmelse om överkla- gande som föreslås inte innebär några ökade kostnader. 
 Förslagen som rör offentlighetsprincipen och sekretesslagen (av- snitt  
 15)  
 innebär i princip bara förtydliganden som inte för med sig några nämnvärda ekonomiska konsekvenser. 
 Utredningen kan vidare inte finna att lämnade förslag i övriga avseenden har några konsekvenser, som skall redovisas enligt 15 § kommittéförordningen. I vart fall kan några negativa sådana konse- kvenser inte förväntas. 
 272 
 18 Författningskommentar 
  
 18.1 
  
 Förslaget till lag om ändring i personuppgiftslagen (1998:204) 
  
 Personuppgifter som inte ingår i personregister 
 Under denna underrubrik under huvudrubriken Tillämpningsom- råde finns det en ny paragraf – 5 a § – om behandling av person- uppgifter som inte ingår i personregister. Ordet personregister har ansetts kunna användas såsom en sammanfattande beskrivning i rubriken trots att ordet inte återkommer i lagtexten. Paragrafen har placerats under huvudrubriken Tillämpningsområde, eftersom dess huvudsakliga verkan är att – liksom  
 6–8 
  §§ under samma rubrik – föreskriva undantag från tillämpningen av vissa av paragraferna i lagen. Att paragrafen dessutom innehåller en materiell bestämmelse om att sådan behandling som undantas från andra paragrafer i lagen är tillåten bara under förutsättning att den inte innebär ett otillbör- ligt intrång i den personliga integriteten har inte ansetts hindra en sådan placering. 
 5 a § Bestämmelserna i 9, 10, 13, 21, 23, 24, 28, 33 och 42 §§ skall inte tillämpas på behandling av personuppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller samman- ställning av just personuppgifter. Sådan behandling får utföras bara om den inte innebär ett otillbörligt intrång i den personliga integrite- ten. 
 Bestämmelsen, som är ny, har berörts i avsnitt 7.7 i den allmänna motiveringen. 
 Bestämmelsen i första meningen innebär att vissa behandlingar av personuppgifter är undantagna från de angivna bestämmelserna i 
  
 Författningskommentar 
  
 SOU 2004:6 
  
 personuppgiftslagen. Vad som avses med en samling av personupp- gifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter har utförligt beskrivits i avsnitt 7.7.2. 
 Personuppgifter som finns i en sådan samling som avses i 5 § andra stycket (om sådan annan än automatiserad behandling som omfattas av personuppgiftslagen) får alltid anses ingå i en sådan samling som avses i denna paragraf. Det innebär att undantaget i denna paragraf bara har betydelse för automatiserad behandling av personuppgifter (eftersom manuell behandling av personuppgifter över huvud taget omfattas av lagen bara om uppgifterna ingår i ett register i enlighet med 5 § andra stycket). 
 Eftersom hanteringsreglerna i personuppgiftslagen omfattar hela kedjan av behandlingar av en viss personuppgift från det att uppgif- ten samlas in till dess den utplånas, räcker det att insamlade eller producerade personuppgifter inte är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlät- ta sökning efter eller sammanställning av just personuppgifter. Om det finns flera avsikter med en enda insamling eller annan behand- ling av personuppgifter, skall lagens hanteringsregler tillämpas på den behandling av personuppgifter som inte är undantagen. 
 Bestämmelsen i andra meningen slår fast när sådan behandling som avses i första meningen – dvs. behandling av personuppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter – är tillåten respektive förbjuden. Det anges således uttryckligen i be- stämmelsen att behandlingen får utföras, men bara under förutsätt- ning att behandlingen inte innebär ett otillbörligt intrång i den per- sonliga integriteten. Vad som avses med ett otillbörligt intrång i den personliga integriteten har berörts i avsnitt 7.7.4. 
 Av 12 § andra stycket följer att den registrerade inte har rätt att motsätta sig sådan behandling som är tillåten enligt paragrafen. 
 Om sådan behandling som avses i första meningen utförts trots att den innebär ett otillbörligt intrång i den personliga integriteten, har personuppgifterna behandlats i strid med personuppgiftslagen på ett sådant sätt att skadeståndsskyldighet inträder enligt 48 §. 
  
 8 §  
 Bestämmelserna i denna lag tillämpas inte i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfri- hetsförordningen att söka efter, sammanställa och lämna ut person- uppgifter. Bestämmelserna innebär inte heller en sådan begränsning 
 274 
  
 SOU 2004:6 
  
 Författningskommentar 
  
 av en myndighets befogenhet att göra en sammanställning tillgänglig som avses i 2 kap. 3 § tredje stycket tryckfrihetsförordningen. 
 Bestämmelserna hindrar inte heller att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Bestämmelsen i 9 § fjärde stycket gäller inte för en myndighets användning av personuppgifter i allmänna hand- lingar. 
 Vid tillämpningen av denna paragraf jämställs med myndighet ett annat organ i den utsträckning som anges i 1 kap. 8 och 9 §§ sekre- tesslagen (1980:100). 
 Ändringarna i första stycket och det nya tredje stycket har berörts i avsnitt  
 15.2  
 i den allmänna motiveringen. 
 Genom ändringarna i första stycket klargörs att bestämmelserna om offentlighetsprincipen i 2 kap. tryckfrihetsförordningen alltid går före bestämmelserna i personuppgiftslagen. Ändringen i första meningen klargör att även sådan skyldighet att söka efter och sammanställa personuppgifter som finns enligt 2 kap. tryckfrihets- förordningen avses. Den nya andra meningen klargör uttryckligen att personuppgiftslagen inte är en lag som innehåller sådana befo- genhetsinskränkningar avseende sammanställningar som avses i 2 kap. 3 § tredje stycket tryckfrihetsförordningen. 
 Genom det nya tredje stycket jämställs vid tillämpningen av para- grafen med myndigheter de organ som har skyldigheter enligt of- fentlighetsprincipen i 2 kap. tryckfrihetsförordningen. 
  
 26 §  
 Den personuppgiftsansvarige är skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om per- sonuppgifter som rör den sökande behandlas eller ej. Behandlas sådana uppgifter skall skriftlig information lämnas också om 
  
 a) 
  
 vilka uppgifter om den sökande som behandlas, 
  
 b) 
  
 varifrån dessa uppgifter har hämtats, 
  
 c) 
  
 ändamålen med behandlingen, och 
  
 d) 
  
 till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. 
  
 En ansökan enligt första stycket skall göras skriftligen hos den 
 personuppgiftsansvarige och vara undertecknad av den sökande själv. Information enligt första stycket skall lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast fyra månader efter det att ansökan gjordes. 
 Sista stycket i paragrafen har överförts i sak oförändrat till 26 a § andra stycket. 
 26 a § Information enligt 26 § behöver inte lämnas i den utsträckning detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. 
 275 
  
 Författningskommentar 
  
 SOU 2004:6 
  
 Information enligt 26 § behöver inte heller lämnas om personupp- gifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Vad som nu sagts gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats under längre tid än ett år. 
 Paragrafen är ny. Andra stycket har överförts i sak oförändrat från nuvarande 26 § tredje stycket. 
 Bestämmelsen i första stycket, som är ny, har berörts i avsnitt  
 11.6.  
 Bestämmelse innebär att information enligt 26 § inte behöver lämnas i den utsträckning detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Bestämmelsen har utformats efter förebild från 24 § tredje stycket första meningen. Det har dock klargjorts att det är bara i den utsträckning det visar sig vara omöjligt etc. som information inte behöver lämnas. 
 Att information inte behöver lämnas om det visar sig vara omöj- ligt torde inte i sak innebära någon förändring av vad som gäller i dag. I den utsträckning behandling av personuppgifter i ostrukture- rat material t.ex. i form av löpande text och ljud- och bildupptag- ningar är undantagen från skyldigheten enligt 9 § att bestämma än- damålen med behandlingen (se 5 a §) kan det dock vara omöjligt att ange ändamålen med den behandlingen, eftersom sådana ändamål faktiskt inte bestämts. 
 Vad som skulle innebära en oproportionerligt stor arbetsinsats får bedömas i det enskilda fallet med beaktande av samtliga om- ständigheter. Om en personuppgiftsansvarig i motsvarande fall ti- digare faktiskt lämnat registerutdrag enligt datalagen eller den hitt- illsvarande bestämmelsen i personuppgiftslagen, kan det i normal- fallet inte anses vara fråga om en oproportionerligt stor arbetsinsats enligt den nya bestämmelsen. Syftet med ändringen är nämligen inte att inskränka det som faktiskt tillämpas i dag. Utredningen har således inte fått kännedom om något fall där ett registerutdrag fak- tiskt lämnats efter en oproportionerligt stor arbetsinsats. 
 Arbetsinsatserna kan gälla insatser för att finna alla uppgifter om den sökande som behandlas. Det kan ha särskild betydelse för en personuppgiftsansvarig som har en större mängd ostrukturerat ma- terial, t.ex. i form av löpande text eller ljud- och bildupptagningar, i synnerhet om materialet finns på olika ställen, t.ex. i hundratals persondatorer. Men det kan också gälla en personuppgiftsansvarig som har väldigt många regelrätta register att söka igenom. Det får 
 276 
  
 SOU 2004:6 
  
 Författningskommentar 
  
 göras en bedömning från fall till fall vilken arbetsinsats som är pro- portionerlig. Att personuppgifterna är kodade eller krypterade in- nebär inte i sig att det skulle innebära en oproportionerligt stor ar- betsinsats att lämna information. 
 I de allra flesta fall måste det krävas att den personuppgiftsansva- rige frågar den sökande efter sådana upplysningar som kan under- lätta sökandet efter personuppgifterna. Lämnar den sökande an- vändbara sådana upplysningar, måste det som regel krävas att den personuppgiftsansvarige åtminstone använder sig av upplysningar- na för att söka efter uppgifterna. Om den personuppgiftsansvarige å andra sidan inte får efterfrågade upplysningar från den sökande, ligger det närmare till hands att anse att ett förutsättningslöst sö- kande innebär en oproportionerligt stor arbetsinsats i förhållande till det intresse sökanden visat. I de fall där den sökande kan göra troligt att en annan person använt sökandens identitet vid kontak- ter med den personuppgiftsansvarige, kan den sökande ibland inte lämna konkreta upplysningar om var de felaktiga personuppgifter- na kan finnas. Men det är i detta fall ändå oftast befogat att den personuppgiftsansvarige lägger ned en ganska stor arbetsinsats för att finna alla aktuella personuppgifter av betydelse. 
 Arbetsinsatsen kan också gälla insatser för att lämna information skriftligt till den registrerade. Det kan ha särskild betydelse i fråga om ljud- och bildupptagningar. Om det skulle innebära en opro- portionerligt stor arbetsinsats att lämna informationen skriftligt, bör den registrerade åtminstone beredas tillfälle att få ta del av in- formationen på annat sätt, t.ex. vid besök på plats. Skyldigheten att lämna information bortfaller nämligen bara i den utsträckning den skulle innebära en oproportionerligt stor arbetsinsats. 
 Bemyndigande att meddela undantag 
 Under denna huvudrubrik finns det en ny paragraf med bemyndi- gande för regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter och beslut i enskilda fall i de situationer detta är tillåtet enligt artikel 13.1 i  
 EG-direktivet. 
  
 42 a § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från 9,  
 23–26 
  och 28 §§ samt 29 § andra stycket och 42 § om det är nödvändigt med hänsyn till 
  
 a) 
  
 statens säkerhet, 
  
 b) 
  
 försvaret, 
  
 c) 
  
 allmän säkerhet, 
  
 277 
  
 Författningskommentar 
  
 SOU 2004:6 
  
 d) 
  
 åtal eller förebyggande, undersökning eller avslöjande av brott eller av överträdelse av etiska regler, 
  
 e) 
  
 ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unio- nen eller en stat som ingår i den unionen eller är ansluten till Euro- peiska ekonomiska samarbetsområdet, 
  
 f) 
  
 myndighetsutövning som avser tillsyn, inspektion eller reglering i fråga om sådant som nämns i  
  
 c–e, 
  eller 
  
 g) 
  
 skyddet av fri- och rättigheter. 
  
 Regeringen får under de förutsättningar som nämns i första stycket i 
 enskilda fall besluta om undantag från 9,  
 23–26 
  och 28 §§ samt 29 § andra stycket och 42 §. Regeringen får överlåta åt myndighet att fatta sådana beslut. 
 Paragrafen är ny och har berörts i avsnitt 9. 
 Paragrafen innehåller bemyndiganden för regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter och be- slut i enskilda fall om undantag från vissa bestämmelser i person- uppgiftslagen. I fråga om både vilka bestämmelser som undantag kan medges från och under vilka förutsättningar undantag får med- ges skall paragrafen ha samma innebörd som artikel 13.1 i EG- direktivet. 
  
 49 §  
 Till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år döms den som uppsåtligen eller av grov oaktsamhet 
  
 a) 
  
 lämnar osann uppgift i sådan information till registrerade som föreskrivs i denna lag, i anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär infor- mation enligt 43 §, 
  
 b) 
  
 behandlar personuppgifter i strid med  
  
 13–21 
  §§, 
  
 c) 
  
 för över personuppgifter till tredje land i strid med  
  
 33–35 
  §§, el- ler 
  
 d) 
  
 låter bli att göra anmälan enligt 36 § första stycket eller enligt föreskrifter meddelade med stöd av 41 §. 
  
 I ringa fall döms inte till ansvar. 
 Den som överträtt ett vitesföreläggande enligt 44 § eller 45 § för- sta stycket döms inte till ansvar för en gärning som omfattas av vi- tesföreläggandet. 
 Genom ändringen i första stycket har förfaranden som begåtts av oaktsamhet som inte är grov avkriminaliserats. Ändringen har be- rörts i avsnitt  
 12. 
  
 Frågan om en visad oaktsamhet är grov eller inte får avgöras med tillämpning av allmänna straffrättsliga principer. 
 52 § En myndighets beslut om information enligt 26 §, om rättelse och underrättelse till tredje man enligt 28 §, om information enligt 29 § andra stycket och om upplysningar enligt 42 § får överklagas hos all- 
 278 
  
 SOU 2004:6 
  
 Författningskommentar 
  
 män förvaltningsdomstol. Andra beslut av myndighet enligt denna lag får inte överklagas. 
 Prövningstillstånd krävs vid överklagande till kammarrätten. Första och andra styckena gäller inte beslut av riksdagen och reger- 
 ingen. I fråga om överklagande av beslut av allmän domstol och all- män förvaltningsdomstol finns särskilda föreskrifter. 
 Paragrafen, som innehåller bestämmelser om överklagande av myndighetsbeslut, är ny och har berörts i avsnitt  
 13. 
  
 I 51 § finns det en bestämmelse om överklagande av tillsyns- myndighetens beslut enligt personuppgiftslagen. Den paragrafen gäller bara beslut enligt personuppgiftslagen som tillsynsmyndighe- ten fattar i egenskap av just tillsynsmyndighet. Förevarande para- graf gäller i stället överklagande av vissa beslut enligt personupp- giftslagen som varje myndighet kan fatta i egenskap av personupp- giftsansvarig. Tillsynsmyndighetens beslut i egenskap av person- uppgiftsansvarig för sin egen behandling av personuppgifter kan således i förekommande fall överklagas enligt förevarande paragraf, men inte enligt 51 §. 
 I första stycket anges vilka beslut enligt personuppgiftslagen av en personuppgiftsansvarig myndighet som får överklagas. Med ut- trycket beslut om information enligt 26 § avses också besked en- ligt 26 § första stycket första meningen om personuppgifter som rör den sökande behandlas eller ej. 
 Med myndighet avses i denna paragraf detsamma som enligt re- geringsformen, dvs. samtliga statliga och kommunala organ med undantag av riksdagen och de kommunala beslutande församling- arna. 
  
 232 
  
 De beslut av myndighet som räknas upp får överklagas hos all- män förvaltningsdomstol, dvs. länsrätt. Andra beslut av myndighet enligt personuppgiftslagen än de uppräknade får enligt en särskild bestämmelse inte överklagas. 
 Av andra stycket framgår att det krävs prövningstillstånd vid överklagande till kammarrätt. 
 Av tredje stycket framgår att bestämmelserna om överklagande i första och andra styckena i paragrafen inte gäller beslut av riksda- gen och regeringen. 
 I tredje stycket har det också tagits in en erinran om att det finns särskilda föreskrifter i fråga om överklagande av beslut av allmän domstol och allmän förvaltningsdomstol. Heltäckande sådana före- 
  
 232 
  
 Se prop. 1973:90 s. 232 f. I 21 § första stycket finns ett annat myndighetsbegrepp som har samma innebörd som  
  
 EG-direktivet, 
  se prop. 1997/98:44 s. 129. 
 279 
  
 Författningskommentar 
  
 SOU 2004:6 
  
 skrifter finns i och för sig inte i dagsläget, men som framgår av av- snitt  
 13.7.2  
 föreslår utredningen att sådana föreskrifter skall tas in i den särskilda lagstiftningen om behandling av personuppgifter vid domstolarna som för närvarande förbereds. 
  
 18.2 
  
 Förslaget till lag om ändring i sekretesslagen (1980:100) 
  
 7 kap. 16 § 
 Sekretess gäller för personuppgift, om 
  
 1. 
  
 det finns skäl att anta att uppgiften efter ett utlämnande kommer att behandlas i strid med personuppgiftslagen (1998:204), eller 
  
 2. 
  
 myndighetens utlämnande av uppgiften står i strid med 33 § per- sonuppgiftslagen. 
  
 Att myndighetens utlämnande står i strid med 33 § personuppgifts- 
 lagen skall dock inte medföra sekretess för uppgifter i allmänt register som enligt lag eller förordning är avsett att ge allmänheten informa- tion. 
 Ändringen har berörts i avsnitt  
 15.3. 
  
 I paragrafen förskrivs sekretess för personuppgifter. Med per- sonuppgift avses detsamma som enligt personuppgiftslagen. Para- grafen är tillämplig oavsett var personuppgiften finns hos myndig- heten, i ett pappersdokument, i ett register, i ett ordbehandlings- dokument, i en tjänstemans huvud osv. Paragrafen är vidare till- lämplig oavsett hur utlämnandet av uppgiften skall ske, på papper, i elektroniskt format, muntligt osv. 
 Första punkten i första stycket föreskriver sekretess för person- uppgift, om det finns skäl att anta att uppgiften efter ett utlämnan- de från myndigheten kommer att behandlas i strid med personupp- giftslagen. 
 Sekretess enligt bestämmelsen kan således komma i fråga bara om det finns skäl att anta både att personuppgiften efter utlämnan- det kommer att behandlas på ett sätt som omfattas av personupp- giftslagen och att den behandlingen står i strid med den lagen. 
 Det krävs för det första att det finns någon konkret omständig- het som gör att det finns skäl att anta att personuppgiften efter ut- lämnandet kommer att behandlas på ett sätt som omfattas av per- sonuppgiftslagen (se 5 § personuppgiftslagen för vilka behandlingar som omfattas av lagen). Sådana omständigheter kan – förutom de upplysningar som sökanden på eget initiativ kan ha lämnat om sin tilltänkta användning av uppgifterna – vara att sökanden begär att 
 280 
  
 SOU 2004:6 
  
 Författningskommentar 
  
 få ut uppgifter om väldigt många personer från ett register (ett s.k. massuttag) eller uppgifter om ett urval av personer med vissa ka- rakteristika, t.ex. inkomst, språktillhörighet, politisk tillhörighet osv. (s.k. selekterade uppgifter). Den omständigheten att någon begär att få ut uppgifter på papper om bara en handfull personer, oavsett hur dessa har valts ut, är dock normalt inte tillräckligt för att det skall finnas skäl att anta en efterföljande behandling enligt personuppgiftslagen. Den omständigheten att ett företag begär att få ut uppgifter i elektronisk form visar å andra sidan att företaget är berett att behandla personuppgifterna på ett sätt som avses i 5 § personuppgiftslagen, dvs. automatiserat i dator. 
 Först om det på grund av någon konkret omständighet finns skäl att anta att sökanden kommer att behandla uppgifterna på ett sätt som omfattas av personuppgiftslagen, t.ex. därför att begäran om- fattar uppgifter om många personer, finns det anledning att genom frågor till sökanden försöka ta reda på hur och till vad sökanden skall använda uppgifterna för att kunna bedöma om den tilltänkta behandlingen strider mot personuppgiftslagen. I den allmänna mo- tiveringen har framhållits att myndigheten inte får ställa mer in- trängande eller fler frågor än som behövs för att göra en sekretess- bedömning och att myndigheten därför inledningsvis bara bör fråga om sökanden över huvud taget avser att behandla den begärda per- sonuppgiften på ett sätt som omfattas av 5 § personuppgiftslagen. Först om så är fallet, är det befogat att myndigheten ställer flera frågor om den tilltänkta behandlingen, bl.a. för att ta reda på om behandlingen är helt eller delvis undantagen från personuppgiftsla- gen. 
 Om sökanden inte besvarar myndighetens frågor på ett konkret sätt, finns det vanligtvis skäl att anta att sökanden kommer att be- handla uppgifterna i strid med personuppgiftslagen och vägra ut- lämnande på grund av sekretess. 
 Om sökanden lämnar en upplysning om sin tilltänkta behandling får den godtas, om det inte av omständigheterna framgår att upp- lysningen är så osannolik att den kan lämnas utan avseende. 
  
 233 
  
 Om myndigheten fått en redogörelse av den tilltänkta behand- lingen från sökanden, som inte kan lämnas utan avseende, får myn- digheten göra en bedömning av om den uppgivna behandlingen omfattas av personuppgiftslagen och, om så är fallet, om den be- handlingen strider mot personuppgiftslagen. 
  
 233  
 Jämför prop. 1997/98:44 s. 119. 
 281 
  
 Författningskommentar 
  
 SOU 2004:6 
  
 Enligt andra punkten i första stycket föreskrivs sekretess för per- sonuppgift, om myndighetens utlämnande av uppgiften står i strid med bestämmelsen i 33 § personuppgiftslagen om förbud mot överföring av personuppgifter till tredje land. I detta fall är det så- ledes myndighetens utlämnande, och inte sökandens tilltänkta be- handling efter utlämnandet, som skall bedömas i förhållande till personuppgiftslagen. 
 Vid bedömningen av om myndighetens utlämnande står i strid med förbudet i 33 § personuppgiftslagen skall beaktas också de be- stämmelser som finns i personuppgiftslagen och andra lagar och förordningar med avvikelser från förbudet. Är utlämnandet tillåtet enligt en bestämmelse med undantag eller andra avvikelser från förbudet, står utlämnandet inte i strid med 33 § personuppgiftsla- gen. Utlämnandet kan t.ex. vara tillåtet enligt 34 § personuppgifts- lagen eller enligt ett beslut som meddelats med stöd av 35 § per- sonuppgiftslagen. Såsom anförs i avsnitt  
 15.3.2  
 skall man vid be- dömningen av om myndighetens utlämnande står i strid med 33 § personuppgiftslagen givetvis bortse från bestämmelsen i 8 § första stycket personuppgiftslagen om att bestämmelserna i lagen inte tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut per- sonuppgifter (eftersom sistnämnda skyldighet har inskränkts ge- nom bestämmelsen i sekretesslagen). 
 I andra stycket föreskrivs ett undantag från sekretessen enligt andra punkten i första stycket för uppgifter i allmänt register som enligt lag eller förordning är avsett att ge allmänheten information. Uppgifter i sådana register får således lämnas ut för att fullgöra skyldighet enligt 2 kap. tryckfrihetsförordningen, även om myn- dighetens utlämnande skulle stå i strid med 33 § personuppgiftsla- gen. Utlämnanden som sker utan att sådan skyldighet finns, t.ex. öppen publicering på Internet, får dock inte stå i strid med 33 § personuppgiftslagen (vilket inte beror på sekretess, utan på den nämnda bestämmelsen, se avsnitt  
 15.3.2) 
 . 
 I andra stycket avses samma utlämnanden som enligt artikel 26.1 f i  
 EG-direktivet. 
  Tillämpningsområdet för bestämmelsen har berörts i avsnitt  
 15.3.2. 
  
 282 
 Särskilt yttrande av experterna Jackson och WoodOm förpliktelsen att tillhandahålla registerutdrag även för vardaglig och harmlös hantering av personuppgifter 
 Utredningen föreslår att behandling av personuppgifter i ostruktu- rerat material ska undantas från flertalet bestämmelser i person- uppgiftslagen. I stället ska en regel om missbruk av personuppgifter införas. Avsikten är att lagen inte ska tillämpas på vardaglig hanter- ing av personuppgifter så länge det inte innebär ett otillbörligt in- trång i den personliga integriteten. Hanteringen av personuppgifter ska underlättas och förenklas. Vi ställer oss bakom dessa föränd- ringar men anser att utredningen inte går tillräckligt långt. 
 När utredningen föreslår att vardaglig hantering av personupp- gifter ska undantas från nästan samtliga hanteringsregler motiveras detta av att hanteringsreglerna framstår som alltför omfattande och byråkratiska och att integritetsriskerna normalt sett är små vid så- dan hantering. Skyddet av den personliga integriteten i sådana fall kan garanteras genom en missbruksregel. Trots detta vill utred- ningen inte undanta en av de mer besvärande hanteringsreglerna nämligen bestämmelsen om den registrerades rätt att på begäran utfå ett registerutdrag av den personuppgiftsansvarige. 
 Utredningen anför flera skäl till stöd för tillämpning av regeln om registerutdrag även för sådan behandling av personuppgifter som i övrigt är undantagen från hanteringsreglerna. Först och främst motiveras bestämmelsen med att den inte skall tillämpas självmant av den personuppgiftsansvarige utan endast på begäran av den registrerade. Vidare sägs att rätten till registerutdrag är en självständig rättighet, och att den därtill har en kontrollfunktion. 
 Vi anser att vägande skäl talar mot utredningens förslag. För det första finner vi det omotiverat att behålla en enda hanteringsregel 
  
 Särskilt yttrande av experterna Jackson och Lawrence 
  
 SOU 2004:6 
  
 för den vardagliga och harmlösa behandlingen. Det måste framstå som märkligt för allmänheten att lagstiftaren i ena sekunden fram- håller att hanteringen är harmlös och därför får utföras utan annan tanke än att missbruk är förbjudet, för att i nästa sekund framhålla att riktigt så harmlös är ändå inte behandlingen att den helt kan frigöras från de i personuppgiftslagen fastlagda hanteringsprinci- perna. 
 För det andra innebär bibehållandet av registerutdragsregeln att de personuppgiftsansvariga alltid måste ha beredskap att till perso- ner, som begär registerutdrag, kunna redovisa vilka behandlingar som utförs. Regeln medför en så betungande plikt att värdet av en befrielse av de övriga hanteringsreglerna kan ifrågasättas. Det blir sannolikt enklare att använda hanteringsreglerna på all behandling än att försöka avgöra vad som ska falla under hanteringsdelen och vad som ska falla under missbruksdelen av lagstiftningen. Det finns enligt vår uppfattning en inneboende motsättning i en lag som klargör att vid vardaglig behandling av personuppgifter behöver hanteringsreglerna inte tillämpas, men ändå kräver att en redogö- relse skall lämnas vid förfrågan. 
 För det tredje anser vi att utredningens ståndpunkt att rätten till registerutdrag utgör en självständig rättighet, dvs. en bärande prin- cip inom rättsområdet för personuppgiftsskydd, saknar bärkraft i denna del. Det är i och för sig riktigt som utredningen anför att regeln inte i sig är en hanteringsregel vilken införts genom person- uppgiftslagen, men eftersom regeln onekligen utformats som en hanteringsregel i personuppgiftslagen och syftar till att förstärka övriga hanteringsregler bör den värderas som en sådan när frågan om lindring av lagens bestämmelser skall avgöras. 
 För det fjärde ifrågasätter vi utredningens bedömning att regis- terutdragsförpliktelsen fullgör en viktig kontrollfunktion. Person- uppgiftslagen tar sikte på att reglera behandlingen av personuppgif- ter, dvs. åtgärder som vidtas med dessa uppgifter såsom att regi- strera och organisera uppgifterna. Det som genom utredningens förslag undantas från behandlingsreglerna är sådana åtgärder som inte i sig anses utgöra någon egentlig integritetsrisk, t.ex. att i en löpande text använda personuppgifter. Eftersom behandlingen inte anses utgöra ett integritetsintrång i normalfallet är kontrollbehovet knappast av sådan vikt att det ska motivera en utdragsförpliktelse. Det behov av kontroll som den registrerade kan ha är inte förknip- pat med behandlingen som sådan – t.ex. att skriva ett namn i ett ordbehandlingsdokument – utan snarare beroende av det samman- hang personnamnet förekommer. En text i vilken ett personnamn 
 284 
  
 SOU 2004:6 
  
 Särskilt yttrande av experterna Jackson och Lawrence 
  
 nämns kan t.ex. utgöra förtal eller ett annat brott, men för detta föreslås missbruksregler och därtill finns redan annan skyddslag- stiftning på straffrättens område som ska gripa in. För missbruk av personuppgifter ska kontrollbehovet tillgodoses med hjälp av andra regler än registerutdragsförpliktelsen i personuppgiftslagen, t.ex. editionsbestämmelser i rättegångsbalken. Även det förhållandet att den registrerade enligt det framlagda lagförslaget är betagen rätten att begära rättelse av felaktiga uppgifter pekar på att registerut- dragsrätten inte har någon direkt betydelse för den registrerade – det är svårt att se någon verklig nytta med att behålla regeln. I den mån det verkligen är fråga om missbruk av personuppgifter kom- mer detta i normalfallet att uppmärksammas på annat sätt, t.ex. vid Internetpublicering av en text. 
 Över huvud taget förefaller det svårt att konstruera en praktisk situation när rätten till registerutdrag kan leda till en förbättring av den registrerades integritetsskydd. Här skall först noteras att det undantag från personuppgiftslagen som utredningen lägger fram endast avser vardaglig hantering av personuppgifter och att det un- dantagna området vid närmare betraktande är ganska smalt. Att inte låta undantaget under dessa förhållande få genomslag även på en så pass betungande regel som registerutdragsförpliktelsen, kan därför te sig magert. Med den utformning regeln om registerutdrag erhållit i utredningen kan det därtill förväntas att förpliktelsen kan- ske inte kommer att tillämpas i särdeles många fall i det praktiska livet. Att hålla beredskap för registerutdrag kommer därmed att innebära en oproportionerligt stor arbetsinsats för de personupp- giftsansvariga. 
 Slutligen bör också påpekas att lättnadsreglerna föreslås i syfte att undanröja hinder för vardaglig hantering av personuppgifter och inte minst för att underlätta debatt och diskussion, t.ex. via  
 e-post 
  och vid Internetpublicering. Även yttrandefrihetsskäl talar därför med viss styrka för att det undantagna området skall belastas i så liten utsträckning som möjligt för att dessa syften skall nås. 
 285 
 Bilaga 1 – 
 Utredningsdirektiven 
 Kommittédirektiv 
 Översyn av personuppgiftslagen 
 Dir. 
 2002:31 
 Beslut vid regeringssammanträde den 21 februari 2002. 
 Sammanfattning av uppdraget 
 Redan vid utarbetandet av personuppgiftslagen beaktades möjlighe- ten att ha en lagstiftning som inriktar sig på att förhindra missbruk av personuppgifter. Regeringen har också efter antagandet av per- sonuppgiftslagen vidtagit åtgärder i denna riktning. Det är viktigt att detta arbete fortsätter. 
 En särskild utredare tillkallas därför med uppgift att se över per- sonuppgiftslagen i syfte att, inom ramen för  
 EG-direktivet 
  om per- sonuppgifter, åstadkomma ett regelverk som mera tar sikte på missbruk av personuppgifter. I den utsträckning det med hänsyn till  
 EG-direktivet 
  är möjligt med lättnader i hanteringsreglerna skall utredaren föreslå de bestämmelser som är nödvändiga för att för- hindra missbruk av personuppgifter och andra obefogade intrång i den personliga integriteten. Utredaren skall också överväga beho- vet av en ändring i 7 kap. 16 § sekretesslagen, som hänvisar till per- sonuppgiftslagen, samt ett förtydligande av hur myndigheters be- slut enligt personuppgiftslagen kan överklagas. 
  
 Bilaga 1 – Utredningsdirektiven 
  
 SOU 2004:6 
  
 Bakgrund 
 Den 24 oktober 1995 antogs Europaparlamentets och rådets direk- tiv 95/46/EG om skydd för enskilda personer med avseende på be- handling av personuppgifter och om det fria flödet av sådana upp- gifter  
 (EG-direktivet 
  om personuppgifter).  
 EG-direktivets 
  syfte är att skapa en gemensam, hög nivå på integritetsskyddet för att där- igenom möjliggöra ett fritt flöde av personuppgifter mellan med- lemsstaterna. Medlemsstaterna får inom den ram som ges i EG- direktivet närmare precisera villkoren för när personuppgifter får behandlas. Dessa preciseringar får dock inte hindra det fria flödet av personuppgifter inom Europeiska unionen.  
 EG-direktivet 
  inne- håller generellt verkande bestämmelser som reglerar all hantering av personuppgifter och är därmed utformat efter en s.k. hanter- ingsmodell. Förutom automatiserad behandling omfattas också så- dan manuell behandling som sker i register som är sökbara utifrån särskilda kriterier.  
 EG-direktivet 
  skulle ha varit genomfört i med- lemsstaterna senast den 24 oktober 1998. I dag är det endast Frank- rike och Luxemburg som ännu inte har genomfört  
 EG-direktivet 
  i någon del. 
 Genomförandet i Sverige 
 Efter beslut av regeringen den 15 juni 1995 tillkallades en parla- mentariskt sammansatt kommitté med uppgift att bl.a. göra en to- tal revision av datalagen (1973:289) och att analysera på vilket sätt  
 EG-direktivet 
  om personuppgifter skulle genomföras i svensk lag- stiftning (Datalagskommittén). Den 2 april 1997 avgav kommittén betänkandet Integritet  
 Offentlighet  
 Informationsteknik (SOU 1997:39). I likhet med bl.a. Datalagskommittén ansåg regeringen att det inte var möjligt att uppfylla skyldigheten att genomföra EG- direktivet på annat sätt än genom att införa en lagstiftning enligt  
 EG-direktivets 
  hanteringsmodell. Riksdagen delade den bedöm- ningen.  
 EG-direktivet 
  om personuppgifter genomfördes i Sverige genom bl.a. personuppgiftslagen (SFS 1998:204, prop. 1997/98:44, bet. 1997/98:KU18, rskr. 1997/98:180). 
 Behovet av en förnyad analys 
 Personuppgiftslagen trädde i kraft den 24 oktober 1998. Enligt la- gens övergångsbestämmelser tillämpas dock datalagen beträffande viss behandling av personuppgifter under en övergångsperiod. För 
 288 
  
 SOU 2004:6 
  
 Bilaga 1 – Utredningsdirektiven 
  
 helt eller delvis automatiserad behandling av personuppgifter bör- jade personuppgiftslagen således att gälla fullt ut först den 1 oktober 2001. Mot bakgrund av Sveriges skyldigheter som med- lem i Europeiska unionen valde regeringen, som nämnts ovan, att i huvudsak låta lagen följa  
 EG-direktivets 
  text och struktur med följd att lagstiftningen i princip reglerar all hantering av person- uppgifter. Regeringen konstaterade emellertid att en sådan hanter- ingsmodell framstod som omodern. Mycket av den användning av personuppgifter som den ökade datoriseringen har medfört måste betraktas som harmlös. Allt fler medborgare har också tillgång till dator,  
 e-post 
  och annan kommunikation i världsomspännande nät- verk, såsom Internet. Regeringen ansåg därför att det finns starka skäl att verka för att det blir möjligt att gå ifrån en lagstiftning efter en hanteringsmodell till en mer missbruksinriktad lagstiftning, dvs. en reglering som mer koncentrerar sig på att motverka missbruk av personuppgifter. Regeringen avsåg härvid att på lämpligt sätt ut- nyttja Sveriges inflytande i Europeiska unionen för att påverka i denna riktning. (Prop. 1997/98:44 s. 36 f.). 
 I samband med att konstitutionsutskottet behandlade motioner från den allmänna motionstiden 1998 som rörde frågor om bl.a. personuppgiftslagen underströk även utskottet behovet av en revi- dering av  
 EG-direktivet 
  samt anförde att en översyn av personupp- giftslagen borde komma till stånd med syfte att, så långt det är möjligt inom  
 EG-direktivets 
  ram, åstadkomma en förändring av lagstiftningen i riktning mot ett regelverk som tar sikte på miss- bruk av personuppgifter. Konstitutionsutskottet hemställde att riksdagen som sin mening skulle ge regeringen till känna vad ut- skottet anfört i denna del (1998/99:KU15, jämför även 1999/2000:KU7 och 2000/01:KU19). Riksdagen beslutade i mars 1999 i enlighet med utskottets hemställan (rskr. 1998/99:147). 
 Under övergångsperioden fram till den 1 oktober 2001 – då per- sonuppgiftslagen alltså trädde i full kraft för helt eller delvis auto- matiserad behandling av personuppgifter – har regeringen vidtagit flera åtgärder i syfte att åstadkomma en mer missbruksinriktad re- gleringsmodell. Regeringen gav således redan i samband med att personuppgiftslagen trädde i kraft 1998 Datainspektionen i upp- drag att bl.a. utreda det närmare behovet av att göra undantag från förbudet i 33 § personuppgiftslagen när det gäller vissa överföringar av personuppgifter till tredje land, t.ex. vid behandling av person- uppgifter i sådana internationella kommunikationsnätverk som In- ternet. Datainspektionen redovisade den 1 mars 1999 sitt uppdrag till regeringen i rapporten Personuppgifter på Internet. I oktober 
 289 
  
 Bilaga 1 – Utredningsdirektiven 
  
 SOU 2004:6 
  
 1999 lade regeringen fram förslag till ändringar i personuppgiftsla- gens överföringsregler och straffbestämmelser (prop. 1999/2000:11). Dessa antogs av riksdagen (1999/2000:KU7 och rskr. 1999/2000:51) och trädde i kraft den 1 januari 2000 (SFS 1999:1210). Vidare har regeringen per den 1 januari 2001 ändrat personuppgiftsförordningen (1998:1191) för att underlätta för kommuner och landsting att publicera personuppgifter på Internet. Per den 1 oktober 2001 har regeringen också gjort ändringar i för- ordningar för att underlätta dels myndigheters behandling av käns- liga personuppgifter i löpande text, dels arkivmyndigheternas han- tering av bestämmelserna i personuppgiftslagen om registerutdrag. Ett antal s.k. registerförfattningar med modifieringar av bestäm- melserna i personuppgiftslagen har också utarbetats. Lagstiftnings- arbetet har sammantaget medfört att skyddet för personuppgifter i högre grad än tidigare inriktas på de förfaranden som medför all- varliga integritetsrisker och att lagstiftningen närmar sig en sådan missbruksinriktad regleringsmodell som riksdagen och regeringen uttalat sig för. 
 Under hösten 2000 presenterade Justitiedepartementet ett utkast med förslag till ändring i  
 EG-direktivet. 
  Den föreslagna ändringen syftar till en förenklad reglering av skyddet för personuppgifter och är inriktad på att förhindra missbruk av sådana uppgifter. Sam- tidigt bjöd departementet in representanter för riksdagspartierna att ingå i en samrådsgrupp om  
 EG-direktivet. 
  För att få in syn- punkter på eventuella tillämpningsproblem som  
 EG-direktivet 
  or- sakat utarbetade Justitiedepartementet vidare en enkät för en of- fentlig utvärdering av  
 EG-direktivet 
  och utkastet till missbruks- modell. Enkäten remitterades i februari 2001 till myndigheter, or- ganisationer och företag och kunde också besvaras av var och en via Internet. Enkätsvaren har sammanställts i promemorian EG- direktivet om personuppgifter – En offentlig utvärdering, Ds 2001:27. Av sammanställningen framgår bl.a. att Justitiedeparte- mentets utkast till missbruksmodell fick ett överväldigande positivt gensvar. Den offentliga utvärderingen visade också att det finns en betydande osäkerhet om hur bestämmelserna skall tillämpas. Re- geringen har därför gett Datainspektionen i uppdrag att under år 2002 publicera konkret vägledning på väsentliga punkter. 
 Åtgärder har också vidtagits på internationell nivå. Således tog bl.a. Sverige initiativ till en seminarieserie med företrädare för EG- kommissionen och medlemsstaterna för att bl.a. diskutera tillämp- ningsproblem.  
 EG-kommissionen 
  skall enligt  
 EG-direktivet 
  senast i oktober 2001 komma med en rapport om genomförandet av EG- 
 290 
  
 SOU 2004:6 
  
 Bilaga 1 – Utredningsdirektiven 
  
 direktivet, eventuellt försedd med lämpliga ändringsförslag. Efter- som någon sådan rapport inte avgetts inom angiven tid tog Sverige vid ett ministerrådsmöte i november 2001 med  
 EG-kommissionen 
  upp frågan om rapporten och eventuella ändringar i  
 EG-direktivet. 
  Sverige framförde därvid sin syn på behovet att ändra EG- direktivet till en mera missbruksinriktad regleringsmodell. EG- kommissionen angav att rapporten skulle försenas med ett år med hänsyn till att alla medlemsstater ännu inte genomfört EG- direktivet. Sverige har också tagit upp behovet av ändringar mot en mer missbruksinriktad modell inom ramen för Europarådets arbe- te. 
 Regeringen har vidare följt den utveckling som skett genom rättspraxis. Bland annat har Högsta domstolen i det s.k. Ramsbro- målet (NJA 2001 s. 409) tagit ställning till frågor om publicering av personuppgifter på Internet. Eksjö tingsrätt har i en dom i det s.k.  
 Bodil-målet 
  tagit ställning till liknande frågor. Den domen har överklagats till Göta hovrätt, som har meddelat prövningstillstånd och beslutat att inhämta ett s.k. förhandsavgörande från EG- domstolen. Två österrikiska domstolar har också begärt förhands- avgörande hos  
 EG-domstolen 
  om tolkningen av  
 EG-direktivet. 
  Regeringen har yttrat sig till  
 EG-domstolen 
  i dessa mål. 
 Regeringen har således utnyttjat tiden fram till personuppgiftsla- gens fulla ikraftträdande såvitt avser helt eller delvis automatiserad behandling för att införa och anpassa registerlagstiftning till EG- direktivet om personuppgifter samt för att vidta vissa missbruksin- riktade åtgärder. Genom att genomföra den offentliga utvärdering- en och följa rättstillämpningen har regeringen också tillägnat sig ytterligare erfarenheter av de särskilda problem som den nuvarande lagstiftningsmodellen medför. Tiden är därför mogen att nu göra en analys av möjligheterna att ändra personuppgiftslagen i syfte att 
 – så långt som möjligt inom  
 EG-direktivets 
  ram – åstadkomma en mer missbruksinriktad lagstiftning. 
 Vid personuppgiftslagens tillkomst ändrades 7 kap. 16 § sekre- tesslagen (1980:100). I samband härmed uttalades att ändringarna endast utgjorde följdändringar i syfte att samordna bestämmelsen med bestämmelserna i personuppgiftslagen. Bestämmelsen i 7 kap. 16 § sekretesslagen har emellertid i själva verket fått ett vidare till- lämpningsområde. Tidigare kunde sekretess komma i fråga enbart vid utlämnande av personuppgifter från en myndighets datorisera- de personregister för behandling i sådant register. Efter ändringen kan sekretess gälla för alla personuppgifter, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med per- 
 291 
  
 Bilaga 1 – Utredningsdirektiven 
  
 SOU 2004:6 
  
 sonuppgiftslagen. (Jfr SOU 2001:3 s. 213 ff.). Bestämmelsen har medfört viss osäkerhet vid rättstillämpningen. Ännu finns bara två vägledande avgöranden från Regeringsrätten (RÅ 2001 ref. 35 och RÅ 2001 ref. 68). I ytterligare ett fall har Regeringsrätten meddelat prövningstillstånd. Med anledning härav finns det skäl att i detta sammanhang överväga behovet av en ändring i 7 kap. 16 § sekre- tesslagen i syfte att förtydliga bestämmelsens innebörd. En sådan översyn är nödvändig bl.a. för att regeringen skall kunna överväga hur en skyldighet för myndigheter att lämna ut allmänna handling- ar i elektronisk form bör utformas (prop. 2001/02:70 s. 34). 
 Uppdraget 
 Redan vid genomförandet av  
 EG-direktivet 
  om personuppgifter och utarbetandet av personuppgiftslagen beaktades möjligheten att ha en lagstiftning inriktad på att förhindra missbruk av personupp- gifter i stället för att reglera all hantering av sådana uppgifter. Re- geringen har också efter antagandet av personuppgiftslagen vidtagit åtgärder i denna riktning. Eftersom  
 EG-kommissionen 
  inte kom- mer att lämna något förslag till ändring av  
 EG-direktivet 
  inom kort är det viktigt att redan nu göra en förnyad analys av möjligheterna att åstadkomma en än mer missbruksinriktad lagstiftning. 
 Utredaren skall närmare analysera förutsättningarna – inom ra- men för  
 EG-direktivet 
  om personuppgifter – för en reglering som tar sikte på missbruk av personuppgifter snarare än varje slags han- tering av sådana uppgifter. Syftet är i första hand att underlätta var- daglig hantering av personuppgifter och opinionsbildning samt kommunikation samtidigt som enskilda ges ett effektivt skydd mot missbruk av uppgifterna och andra obefogade intrång i den person- liga integriteten. Regleringen skall liksom hittills vara teknikobero- ende. I den utsträckning det med hänsyn till  
 EG-direktivet 
  är möj- ligt med lättnader i hanteringsreglerna skall utredaren föreslå de bestämmelser som är nödvändiga för att förhindra missbruk av per- sonuppgifter och andra obefogade intrång i den personliga integri- teten. 
 Ett viktigt underlag för att identifiera områden där det kan be- hövas lättnader i hanteringsreglerna är resultatet av den offentliga utvärdering av  
 EG-direktivet 
  som Justitiedepartementet låtit genomföra. Utredaren skall därför i sitt arbete beakta resultatet av den utvärderingen. Härutöver skall utredaren beakta erfarenheterna 
 292 
  
 SOU 2004:6 
  
 Bilaga 1 – Utredningsdirektiven 
  
 från genomförandet av  
 EG-direktivet 
  i andra länder och utveck- lingen i rättstillämpningen. 
 Utvidgade undantagsmöjligheter 
 Utredaren skall analysera om det finns förutsättningar för att infö- ra ytterligare undantag från hanteringsreglerna i person- uppgiftslagen. 
 Utredaren skall härvid särskilt se över möjligheten till undantag för sådan behandling av personuppgifter inom den privata sfären som – till sin natur – faller utanför gemenskapsrätten och därmed inte omfattas av  
 EG-direktivet. 
  
 Utredaren skall också överväga om de undantagsmöjligheter för bl.a. säkerhet och brottsundersökning m.m. som finns enligt artikel 13 i  
 EG-direktivet 
  bör tas in direkt i personuppgiftslagen. 
 Enligt 10 § f personuppgiftslagen, som motsvarar artikel 7 f i  
 EG-direktivet, 
  kan en behandling av personuppgifter vara tillåten efter en intresseavvägning. Det är enligt  
 EG-direktivet 
  tillåtet för medlemsstaterna att närmare precisera hur den intresseavvägningen utfaller i olika fall. I uppdraget ligger att utredaren skall överväga möjligheterna att direkt i personuppgiftslagen ange konkreta fall där behandling är tillåten med stöd av bestämmelsen i EG- direktivet om en intresseavvägning. Utredaren skall därvid särskilt analysera om det är möjligt och lämpligt med en generell bestäm- melse av innebörd att personuppgifter får behandlas om det är nödvändigt för information och debatt eller opinionsbildning, om det inte finns risk för otillbörligt intrång i den personliga integrite- ten eller om det finns ett allmänintresse som överväger integritets- intrånget. 
 Enligt artikel 8.4 i  
 EG-direktivet 
  får s.k. känsliga personuppgif- ter behandlas med hänsyn till ett viktigt allmänt intresse, och un- der motsvarande förutsättningar får enligt artikel 26.1 d i EG- direktivet personuppgifter föras över till tredje land, t.ex. genom att läggas ut på Internet. Utredaren skall analysera om dessa möj- ligheter bör utnyttjas i större utsträckning genom uttryckliga be- stämmelser i personuppgiftslagen. Utredaren skall därvid på mot- svarande sätt som sagts i fråga om intresseavvägningen särskilt ana- lysera möjligheterna till undantag med hänsyn till intresset för in- formation, debatt och opinionsbildning. 
 293 
  
 Bilaga 1 – Utredningsdirektiven 
  
 SOU 2004:6 
  
 Uppgifter om lagöverträdelser 
 Enligt artikel 8.5 i  
 EG-direktivet 
  är det möjligt för medlemsstater- na att tillåta att andra än myndigheter behandlar personuppgifter om lagöverträdelser m.m. Utredaren skall analysera om den möj- ligheten bör utnyttjas genom uttryckliga bestämmelser direkt i per- sonuppgiftslagen. Utredaren skall särskilt överväga om den regi- strerades samtycke bör göra behandling av personuppgifter om lagöverträdelser m.m. tillåten. Därvid skall utredaren beakta beho- vet av skydd för den registrerade i de fall där den enskilde kan be- finna sig i ett underläge såsom bl.a. vid upptagande av kredit och sökande av anställning. 
 Straffbestämmelser 
 I uppdraget ligger att utredaren skall analysera vilka regler som bör gälla vid brott mot personuppgiftslagen för straffansvar i subjektivt hänseende – dvs. om oaktsamhet av normalgraden som i dag räcker för straffansvar bör ersättas med ett krav på grov oaktsamhet eller uppsåt – samt om någon förseelse mot personuppgiftslagen helt bör avkriminaliseras, såsom t.ex. vissa överföringar av personupp- gifter till tredje land. 
 Överklagande 
 Utredaren skall överväga hur det i personuppgiftslagen bör införas ett förtydligande av hur beslut av myndighet enligt lagen kan över- klagas, såsom bl.a. beslut om rättelse och avslag på ansökan om in- formation. 
 Sekretess 
 Utredaren skall vidare överväga behovet av en ändring i bestämmel- sen i 7 kap. 16 § sekretesslagen i syfte att förtydliga bestämmelsens innebörd. 
 Övriga frågor 
 Härutöver skall utredaren ha stor frihet att ta upp de ytterligare frågor som kan behöva övervägas inom ramen för utredningsupp- draget. Utredaren skall vidare analysera eventuella ekonomiska konsekvenser med anledning av förslagen. 
 294 
  
 SOU 2004:6 
  
 Bilaga 1 – Utredningsdirektiven 
  
 Samråd 
 Utredaren skall på lämpligt sätt informera riksdagspartierna om sitt arbete och även inhämta partiernas synpunkter. I frågor som har anknytning till sekretess skall utredaren samråda med Offentlig- hets- och sekretesskommittén (dir. 1998:32). Utredaren skall vida- re samråda med den kommitté som får i uppdrag att göra en bred kartläggning avseende skyddet för den personliga integriteten i det moderna samhället. Utredaren skall också hålla sig underrättad om Datainspektionens arbete med att utforma konkret vägledning för tillämpningen av vissa bestämmelser i personuppgiftslagen. 
 Redovisning av uppdraget 
 Utredningsuppdraget skall redovisas senast den 31 mars 2003. 
 (Justitiedepartementet) 
 295 
 Bilaga 2 – Personuppgiftslagen (1998:204) 
 Allmänna bestämmelser 
 Syftet med lagen 
 1 § Syftet med denna lag är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. 
 Avvikande bestämmelser i annan författning 
 2 § Om det i en annan lag eller i en förordning finns bestämmelser som avviker från denna lag, skall de bestämmelserna gälla. 
 Definitioner 
 3 § I denna lag används följande beteckningar med nedan angiven bety- delse. 
  
 Beteckning 
  
 Betydelse 
  
 Behandling 
  
 (av 
  
 person- 
  
 Varje åtgärd eller serie av åtgärder som vidtas i 
  
 uppgifter) 
  
 fråga om personuppgifter, vare sig det sker på 
  
 automatisk väg eller inte, t.ex. insamling, regi- 
  
 strering, 
  
 organisering, 
  
 lagring, 
  
 bearbetning 
  
 eller ändring, återvinning, inhämtande, an- 
  
 vändning, 
  
 utlämnande genom översändande, 
  
 spridning eller annat tillhandahållande av upp- 
  
 gifter, sammanställning 
  
 eller 
  
 samkörning, 
  
 blockering, utplåning eller förstöring. 
  
 Blockering 
  
 (av 
  
 person- 
  
 En åtgärd som vidtas för att personuppgifterna 
  
 uppgifter) 
  
 skall vara förknippade med information om att 
  
 de är spärrade och om anledningen till spärren 
  
 och för att personuppgifterna inte skall lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen. 
  
 Bilaga 2 – Personuppgiftslagen (1998:204) 
  
 SOU 2004:6 
  
 Beteckning 
  
 Betydelse 
  
 Mottagare 
  
 Den till vilken personuppgifter lämnas ut. När 
  
 personuppgifter lämnas ut för att en myndig- 
  
 het skall kunna utföra sådan tillsyn, kontroll 
  
 eller revision som den är skyldig att sköta, an- 
  
 ses dock inte myndigheten som mottagare. 
  
 Personuppgifter 
  
 All slags information som direkt eller indirekt 
  
 kan hänföras till en fysisk person som är i livet. 
  
 Personuppgiftsansvarig 
  
 Den som ensam eller tillsammans med andra 
  
 bestämmer ändamålen med och medlen för 
  
 behandlingen av personuppgifter. 
  
 Personuppgiftsbiträde 
  
 Den som behandlar personuppgifter för den 
  
 personuppgiftsansvariges räkning. 
  
 Personuppgiftsombud 
  
 Den fysiska person som, efter förordnande av 
  
 den personuppgiftsansvarige, självständigt skall 
  
 se till att personuppgifter behandlas på ett kor- 
  
 rekt och lagligt sätt. 
  
 Den registrerade 
  
 Den som en personuppgift avser. 
  
 Samtycke 
  
 Varje slag av frivillig, särskild och otvetydig 
  
 viljeyttring genom vilken den registrerade, ef- 
  
 ter att ha fått information, godtar behandling 
  
 av personuppgifter som rör honom eller henne. 
  
 Tillsynsmyndigheten 
  
 Den myndighet som regeringen utser för att 
  
 utöva tillsyn. 
  
 Tredje land 
  
 En stat som inte ingår i Europeiska unionen 
  
 eller är ansluten till Europeiska ekonomiska 
  
 samarbetsområdet. 
  
 Tredje man 
  
 Någon annan än den registrerade, den person- 
  
 uppgiftsansvarige, 
  
 personuppgiftsombudet, 
  
 personuppgiftsbiträdet och sådana personer 
  
 som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har be- fogenhet att behandla personuppgifter. 
 Tillämpningsområde 
 Det territoriella tillämpningsområdet 
 4 § Denna lag gäller för sådana personuppgiftsansvariga som är etablerade i Sverige. 
 298 
  
 SOU 2004:6 
  
 Bilaga 2 – Personuppgiftslagen (1998:204) 
  
 Lagen tillämpas också när den personuppgiftsansvarige är etablerad i tredje land men för behandlingen av personuppgifter använder sig av ut- rustning som finns i Sverige. Vad som nu sagts gäller dock inte om ut- rustningen bara används för att överföra uppgifter mellan ett tredje land och ett annat sådant land. 
 I det fall som avses i andra stycket första meningen skall den person- uppgiftsansvarige utse en företrädare för sig som är etablerad i Sverige. Vad som anges i denna lag om den personuppgiftsansvarige skall också gälla för företrädaren. 
 Behandling av personuppgifter som omfattas av lagen 
 5 § Denna lag gäller för sådan behandling av personuppgifter som helt eller delvis är automatiserad. 
 Lagen gäller även för annan behandling av personuppgifter, om uppgif- terna ingår i eller är avsedda att ingå i en strukturerad samling av person- uppgifter som är tillgängliga för sökning eller sammanställning enligt sär- skilda kriterier. 
 Undantag för privat behandling av personuppgifter 
 6 § Denna lag gäller inte för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur. 
 Förhållandet till tryck- och yttrandefriheten 
 7 § Bestämmelserna i denna lag tillämpas inte i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryck- frihetsförordningen eller yttrandefrihetsgrundlagen. 
 Bestämmelserna i  
 9–29 
  och  
 33–44 
  §§ samt 45 § första stycket och 47– 49 §§ skall inte tillämpas på sådan behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt ska- pande. 
 Förhållandet till offentlighetsprincipen 
 8 § Bestämmelserna i denna lag tillämpas inte i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförord- ningen att lämna ut personuppgifter. 
 Bestämmelserna hindrar inte heller att en myndighet arkiverar och be- varar allmänna handlingar eller att arkivmaterial tas om hand av en arkiv- myndighet. Bestämmelsen i 9 § fjärde stycket gäller inte för en myn- dighets användning av personuppgifter i allmänna handlingar. 
 Grundläggande krav på behandlingen av personuppgifter 
 9 § Den personuppgiftsansvarige skall se till att 
 a) personuppgifter behandlas bara om det är lagligt, 
 299 
  
 Bilaga 2 – Personuppgiftslagen (1998:204) 
  
 SOU 2004:6 
  
 b) 
  
 personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed, 
  
 c) 
  
 personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, 
  
 d) 
  
 personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, 
  
 e) 
  
 de personuppgifter som behandlas är adekvata och relevanta i för- hållande till ändamålen med behandlingen, 
  
 f) 
  
 inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen, 
  
 g) 
  
 de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella, 
  
 h) 
  
 alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till än- damålen med behandlingen, och 
  
 i) 
  
 personuppgifter inte bevaras under en längre tid än vad som är nöd- vändigt med hänsyn till ändamålen med behandlingen. 
  
 I fråga om första stycket d gäller dock att en behandling av personupp- gifter för historiska, statistiska eller vetenskapliga ändamål inte skall anses som oförenlig med de ändamål för vilka uppgifterna samlades in. 
 Personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål under längre tid än som sagts i första stycket i. Personupp- gifterna får dock i sådana fall inte bevaras under en längre tid än vad som behövs för dessa ändamål. 
 Personuppgifter som behandlas för historiska, statistiska eller veten- skapliga ändamål får användas för att vidta åtgärder i fråga om den regist- rerade bara om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. 
 När behandling av personuppgifter är tillåten 
 10 § Personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för att 
  
 a) 
  
 ett avtal med den registrerade skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, 
  
 b) 
  
 den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet, 
  
 c) 
  
 vitala intressen för den registrerade skall kunna skyddas, 
  
 d) 
  
 en arbetsuppgift av allmänt intresse skall kunna utföras, 
  
 e) 
  
 den personuppgiftsansvarige eller en tredje man till vilken personupp- gifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller 
  
 f) 
  
 ett ändamål som rör ett berättigat intresse hos den personuppgifts- ansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den 
  
 300 
  
 SOU 2004:6 
  
 Bilaga 2 – Personuppgiftslagen (1998:204) 
  
 registrerades intresse av skydd mot kränkning av den personliga integ- riteten. 
 Direkt marknadsföring 
 11 § Personuppgifter får inte behandlas för ändamål som rör direkt mark- nadsföring, om den registrerade hos den personuppgiftsansvarige skriftli- gen har anmält att han eller hon motsätter sig sådan behandling. 
 Samtycke återkallas 
 12 § I de fall då behandling av personuppgifter bara är tillåten när den re- gistrerade har lämnat sitt samtycke enligt 10, 15 eller 34 § har den regist- rerade rätt att när som helst återkalla ett lämnat samtycke. Ytterligare per- sonuppgifter om den registrerade får därefter inte behandlas. 
 En registrerad har utöver vad som följer av första stycket och 11 § inte rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt denna lag. 
 Förbud mot behandling av känsliga personuppgifter 
 13 § Det är förbjudet att behandla personuppgifter som avslöjar 
  
 a) 
  
 ras eller etniskt ursprung, 
  
 b) 
  
 politiska åsikter, 
  
 c) 
  
 religiös eller filosofisk övertygelse, eller 
  
 d) 
  
 medlemskap i fackförening. 
  
 Det är också förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. 
 Uppgifter av den art som anges i första och andra styckena betecknas i denna lag som känsliga personuppgifter. 
 Undantag från förbudet mot behandling av känsliga per- sonuppgifter 
 14 § Det är trots förbudet i 13 § tillåtet att behandla känsliga personupp- gifter i de fall som anges i  
 15–19 
  §§. 
 I 10 § finns det bestämmelser om i vilka fall behandling av personupp- gifter över huvud taget är tillåten. 
 Samtycke eller offentliggörande 
 15 § Känsliga personuppgifter får behandlas, om den registrerade har läm- nat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt of- fentliggjort uppgifterna. 
 301 
  
 Bilaga 2 – Personuppgiftslagen (1998:204) 
  
 SOU 2004:6 
  
 Nödvändig behandling 
 16 § Känsliga personuppgifter får behandlas om behandlingen är nödvän- dig för att 
  
 a) 
  
 den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, 
  
 b) 
  
 den registrerades eller någon annans vitala intressen skall kunna skyd- das och den registrerade inte kan lämna sitt samtycke, eller 
  
 c) 
  
 rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. 
  
 Uppgifter som behandlas med stöd av första stycket a får lämnas ut till tredje man bara om det inom arbetsrätten finns en skyldighet för den per- sonuppgiftsansvarige att göra det eller den registrerade uttryckligen har samtyckt till utlämnandet. 
 Ideella organisationer 
 17 § Ideella organisationer med politiskt, filosofiskt, religiöst eller fackligt syfte får inom ramen för sin verksamhet behandla känsliga personupp- gifter om organisationens medlemmar och sådana andra personer som på grund av organisationens syfte har regelbunden kontakt med den. Känsli- ga personuppgifter får dock lämnas ut till tredje man bara om den regi- strerade uttryckligen har samtyckt till det. 
 Hälso- och sjukvård 
 18 § Känsliga personuppgifter får behandlas för hälso- och sjuk- vårdsändamål, om behandlingen är nödvändig för 
  
 a) 
  
 förebyggande hälso- och sjukvård, 
  
 b) 
  
 medicinska diagnoser, 
  
 c) 
  
 vård eller behandling, eller 
  
 d) 
  
 administration av hälso- och sjukvård. 
  
 Den som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och har tystnadsplikt får även behandla känsliga personuppgifter som omfattas av tystnadsplikten. Detsamma gäller den som är underkastad en liknande tystnadsplikt och som har fått känsliga personuppgifter från verksamhet inom hälso- och sjukvårdsområdet. 
 Forskning och statistik 
 19 § Känsliga personuppgifter får behandlas för forskningsändamål om behandlingen godkänts enligt lagen (2003:460) om etikprövning av forsk- ning som avser människor. [SFS 2003:466] 
 Känsliga personuppgifter får behandlas för statistikändamål, om be- handlingen är nödvändig på sätt som sägs i 10 § och om samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. [SFS 2003:466] 
 302 
  
 SOU 2004:6 
  
 Bilaga 2 – Personuppgiftslagen (1998:204) 
  
 Har behandlingen godkänts av en forskningsetisk kommitté, skall för- utsättningarna enligt andra stycket anses uppfyllda. Med forskningsetisk kommitté avses ett sådant särskilt organ för prövning av forskningsetiska frågor som har företrädare för såväl det allmänna som forskningen och som är knutet till ett universitet eller en högskola eller till någon annan in- stans som i mera betydande omfattning finansierar forskning. [SFS 2003:466] 
 Personuppgifter får lämnas ut för att användas i sådana projekt som av- ses i andra stycket, om inte något annat följer av regler om sekretess och tystnadsplikt. [SFS 2003:466] 
 Bemyndigande att föreskriva ytterligare undantag 
 20 § Regeringen eller den myndighet som regeringen bestämmer får med- dela föreskrifter om ytterligare undantag från förbudet i 13 §, om det be- hövs med hänsyn till ett viktigt allmänt intresse. [SFS 1998:1436] 
 Uppgifter om lagöverträdelser m.m. 
 21 § Det är förbjudet för andra än myndigheter att behandla personupp- gifter om lagöverträdelser som innefattar brott, domar i brottmål, straff- processuella tvångsmedel eller administrativa frihetsberövanden. 
 Regeringen eller den myndighet som regeringen bestämmer får medde- la föreskrifter om undantag från förbudet i första stycket. [SFS 1998:1436] 
 Regeringen får i enskilda fall besluta om undantag från förbudet i första stycket. Regeringen får överlåta åt tillsynsmyndigheten att fatta sådana beslut. 
 Behandling av personnummer 
 22 § Uppgifter om personnummer eller samordningsnummer får utan samtycke behandlas bara när det är klart motiverat med hänsyn till 
  
 a) 
  
 ändamålet med behandlingen, 
  
 b) 
  
 vikten av en säker identifiering, eller 
  
 c) 
  
 något annat beaktansvärt skäl. [SFS 1999:1059] 
  
 Information till den registrerade 
 Information skall lämnas självmant 
 23 § Om uppgifter om en person samlas in från personen själv, skall den personuppgiftsansvarige i samband därmed självmant lämna den re- gistrerade information om behandlingen av uppgifterna. 
 24 § Om personuppgifterna har samlats in från någon annan källa än den registrerade, skall den personuppgiftsansvarige självmant lämna den regi- 
 303 
  
 Bilaga 2 – Personuppgiftslagen (1998:204) 
  
 SOU 2004:6 
  
 strerade information om behandlingen av uppgifterna när de registreras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver informatio- nen dock inte ges förrän uppgifterna lämnas ut för första gången. 
 Information enligt första stycket behöver inte lämnas, om det finns be- stämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. 
 Information behöver inte heller lämnas enligt första stycket, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor ar- betsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall dock information lämnas senast i samband med att så sker. 
 Den information som skall lämnas självmant 
 25 § Information enligt 23 eller 24 § skall omfatta 
  
 a) 
  
 uppgift om den personuppgiftsansvariges identitet, 
  
 b) 
  
 uppgift om ändamålen med behandlingen, och 
  
 c) 
  
 all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, såsom informa- tion om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. 
  
 Information behöver dock inte lämnas om sådant som den registrerade re- dan känner till. 
 Information skall lämnas efter ansökan 
 26 § Den personuppgiftsansvarige är skyldig att till var och en som ansö- ker om det en gång per kalenderår gratis lämna besked om personupp- gifter som rör den sökande behandlas eller ej. Behandlas sådana uppgifter skall skriftlig information lämnas också om 
  
 a) 
  
 vilka uppgifter om den sökande som behandlas, 
  
 b) 
  
 varifrån dessa uppgifter har hämtats, 
  
 c) 
  
 ändamålen med behandlingen, och 
  
 d) 
  
 till vilka mottagare eller kategorier av mottagare som uppgifterna läm- nas ut. 
  
 En ansökan enligt första stycket skall göras skriftligen hos den person- uppgiftsansvarige och vara undertecknad av den sökande själv. Infor- mation enligt första stycket skall lämnas inom en månad från det att an- sökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast fyra månader efter det att ansökan gjordes. 
 Information enligt första stycket behöver inte lämnas om personupp- gifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Vad som nu sagts gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller veten- 
 304 
  
 SOU 2004:6 
  
 Bilaga 2 – Personuppgiftslagen (1998:204) 
  
 skapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats under längre tid än ett år. 
 Undantag från informationsskyldigheten vid sekretess och tystnads- plikt 
 27 § I den utsträckning det är särskilt föreskrivet i lag eller annan författ- ning eller i beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade gäller inte bestämmelserna i 23– 26 §§. En personuppgiftsansvarig som inte är en myndighet får därvid i motsvarande fall som avses i sekretesslagen (1980:100) vägra att lämna ut uppgifter till den registrerade. 
 Rättelse 
 28 § Den personuppgiftsansvarige är skyldig att på begäran av den regi- strerade snarast rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har ut- färdats med stöd av lagen. Den personuppgiftsansvarige skall också under- rätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Nå- gon sådan underrättelse behöver dock inte lämnas, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. 
 Automatiserade beslut 
 29 § Om ett beslut som har rättsliga följder för en fysisk person eller an- nars har märkbara verkningar för den fysiska personen, grundas enbart på automatiserad behandling av sådana personuppgifter som är avsedda att bedöma egenskaper hos personen, skall den som berörs av beslutet ha möjlighet att på begäran få beslutet omprövat av någon person. 
 Var och en som varit föremål för ett sådant beslut som avses i första stycket har rätt att på ansökan få information från den personuppgifts- ansvarige om vad som har styrt den automatiserade behandling som lett fram till beslutet. I fråga om ansökan och lämnandet av information gäller i tillämpliga delar bestämmelserna i 26 §. 
 Säkerheten vid behandling 
 Personer som behandlar personuppgifter 
 30 § Ett personuppgiftsbiträde och den eller de personer som arbetar un- der biträdets eller den personuppgiftsansvariges ledning får behandla per- sonuppgifter bara i enlighet med instruktioner från den personuppgifts- ansvarige. 
 305 
  
 Bilaga 2 – Personuppgiftslagen (1998:204) 
  
 SOU 2004:6 
  
 Det skall finnas ett skriftligt avtal om personuppgiftsbiträdets behand- ling av personuppgifter för den personuppgiftsansvariges räkning. I det avtalet skall det särskilt föreskrivas att personuppgiftsbiträdet får behand- la personuppgifterna bara i enlighet med instruktioner från den person- uppgiftsansvarige och att personuppgiftsbiträdet är skyldigt att vidta de åtgärder som avses i 31 § första stycket. 
 Om det i lag eller annan författning finns särskilda bestämmelser om behandlingen av personuppgifter i det allmännas verksamhet i frågor som avses i första stycket, skall dessa gälla i stället för vad som sägs i första stycket. 
 Säkerhetsåtgärder 
 31 § Den personuppgiftsansvarige skall vidta lämpliga tekniska och orga- nisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åt- gärderna skall åstadkomma en säkerhetsnivå som är lämplig med beaktan- de av 
  
 a) 
  
 de tekniska möjligheter som finns, 
  
 b) 
  
 vad det skulle kosta att genomföra åtgärderna, 
  
 c) 
  
 de särskilda risker som finns med behandlingen av personuppgifterna, och 
  
 d) 
  
 hur pass känsliga de behandlade personuppgifterna är. 
  
 När den personuppgiftsansvarige anlitar ett personuppgiftsbiträde, skall den personuppgiftsansvarige förvissa sig om att personuppgiftsbiträdet kan genomföra de säkerhetsåtgärder som måste vidtas och se till att per- sonuppgiftsbiträdet verkligen vidtar åtgärderna. 
 Tillsynsmyndigheten får besluta om säkerhetsåtgärder 
 32 § Tillsynsmyndigheten får i enskilda fall besluta om vilka säker- hetsåtgärder som den personuppgiftsansvarige skall vidta enligt 31 §. 
 I 45 § finns det bestämmelser om tillsynsmyndighetens möjligheter att förena beslutet med vite. 
 Överföring av personuppgifter till tredje land 
 Förbud mot överföring av personuppgifter till tredje land 
 33 § Det är förbjudet att till tredje land föra över personuppgifter som är under behandling om landet inte har en adekvat nivå för skyddet av per- sonuppgifterna. Förbudet gäller också överföring av personuppgifter för behandling i tredje land. [SFS 1999:1210] 
 Frågan om en skyddsnivå är adekvat skall bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt skall läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ursprungslandet, det slutliga bestämmelse- 
 306 
  
 SOU 2004:6 
  
 Bilaga 2 – Personuppgiftslagen (1998:204) 
  
 landet och de regler som finns för behandlingen i det tredje landet. [SFS 1999:1210] 
 Undantag från förbudet mot överföring av personuppgifter till tredje land 
 34 § Det är trots förbudet i 33 § tillåtet att föra över personuppgifter till tredje land, om den registrerade har lämnat sitt samtycke till överföringen eller om överföringen är nödvändig för att 
  
 a) 
  
 ett avtal mellan den registrerade och den personuppgiftsansvarige skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, 
  
 b) 
  
 ett sådant avtal mellan den personuppgiftsansvarige och tredje man som är i den registrerades intresse skall kunna ingås eller fullgöras, 
  
 c) 
  
 rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras, eller 
  
 d) 
  
 vitala intressen för den registrerade skall kunna skyddas. 
  
 Det är också tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till Europarådets konvention om skydd för en- skilda vid automatisk databehandling av personuppgifter. 
 35 § Regeringen får meddela föreskrifter om undantag från förbudet i 33 § för överföring av personuppgifter till vissa stater. Regeringen får också meddela föreskrifter om att överföring av personuppgifter till tredje land är tillåten, om överföringen regleras av ett avtal som ger tillräckliga garan- tier till skydd för de registrerades rättigheter. [SFS 1998:1436] 
 Regeringen eller den myndighet som regeringen bestämmer får vidare meddela föreskrifter om undantag från förbudet i 33 §, om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. [SFS 1998:1436] 
 Regeringen får under de förutsättningar som nämns i andra stycket i enskilda fall besluta om undantag från förbudet i 33 §. Regeringen får överlåta åt tillsynsmyndigheten att fatta sådana beslut. 
 Anmälan till tillsynsmyndigheten 
 Anmälningsskyldighet 
 36 § Behandling av personuppgifter som är helt eller delvis automatiserad omfattas av anmälningsskyldighet. Den personuppgiftsansvarige skall göra en skriftlig anmälan till tillsynsmyndigheten innan en sådan behandling eller en serie av sådana behandlingar med samma eller liknande ändamål genomförs. 
 Om den personuppgiftsansvarige utser ett personuppgiftsombud skall detta anmälas till tillsynsmyndigheten. Även ett entledigande av ett per- sonuppgiftsombud skall anmälas till tillsynsmyndigheten. 
 307 
  
 Bilaga 2 – Personuppgiftslagen (1998:204) 
  
 SOU 2004:6 
  
 Regeringen eller den myndighet som regeringen bestämmer får med- dela föreskrifter om undantag från anmälningsskyldigheten enligt första stycket för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integriteten. 
 Anmälan behöver inte göras om det finns ett personuppgiftsombud 
 37 § Om den personuppgiftsansvarige har anmält till tillsynsmyndigheten att ett personuppgiftsombud utsetts och vem det är, behöver anmälan enligt 36 § första stycket inte göras. 
 Personuppgiftsombudets uppgifter 
 38 § Personuppgiftsombudet skall ha till uppgift att självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed samt påpeka eventuella brister för honom eller henne. 
 Har personuppgiftsombudet anledning att misstänka att den person- uppgiftsansvarige bryter mot de bestämmelser som gäller för behand- lingen av personuppgifter och vidtas inte rättelse så snart det kan ske efter påpekande, skall personuppgiftsombudet anmäla förhållandet till till- synsmyndigheten. 
 Personuppgiftsombudet skall även i övrigt samråda med tillsynsmyn- digheten vid tveksamhet om hur de bestämmelser som gäller för behand- lingen av personuppgifter skall tillämpas. 
 39 § Personuppgiftsombudet skall föra en förteckning över de be- handlingar som den personuppgiftsansvarige genomför och som skulle ha omfattats av anmälningsskyldighet om ombudet inte hade funnits. För- teckningen skall omfatta åtminstone de uppgifter som en anmälan enligt 36 § skulle ha innehållit. 
 40 § Personuppgiftsombudet skall hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. 
 Obligatorisk anmälan av särskilt integritetskänsliga behandlingar 
 41 § Regeringen får meddela föreskrifter om att sådana behandlingar av personuppgifter som innebär särskilda risker för otillbörligt intrång i den personliga integriteten skall för förhandskontroll anmälas till tillsyns- myndigheten enligt 36 § tre veckor i förväg. Om regeringen har meddelat sådana föreskrifter, gäller inte undantaget från anmälningsskyldigheten enligt 37 §. [SFS 1998:1436] 
 308 
  
 SOU 2004:6 
  
 Bilaga 2 – Personuppgiftslagen (1998:204) 
  
 Upplysningar till allmänheten om behandlingar som inte anmälts 
 42 § Den personuppgiftsansvarige skall till var och en som begär det skyndsamt och på lämpligt sätt lämna upplysningar om sådana automati- serade eller andra behandlingar av personuppgifter som inte har anmälts till tillsynsmyndigheten. Upplysningarna skall omfatta det som en anmä- lan enligt 36 § första stycket skulle ha omfattat. Den personuppgifts- ansvarige är dock inte skyldig att lämna ut sekretessbelagda uppgifter eller uppgifter om vilka säkerhetsåtgärder som har vidtagits. En personupp- giftsansvarig som inte är myndighet får därvid i motsvarande fall som av- ses i sekretesslagen (1980:100) vägra att lämna ut uppgifter. 
 Tillsynsmyndighetens befogenheter 
 43 § Tillsynsmyndigheten har rätt att för sin tillsyn på begäran få 
  
 a) 
  
 tillgång till de personuppgifter som behandlas, 
  
 b) 
  
 upplysningar om och dokumentation av behandlingen av personupp- gifter och säkerheten vid denna, och 
  
 c) 
  
 tillträde till sådana lokaler som har anknytning till behandlingen av per- sonuppgifter. 
  
 44 § Om tillsynsmyndigheten inte efter begäran enligt 43 § kan få tillräck- ligt underlag för att konstatera att behandlingen av personuppgifter är lag- lig, får myndigheten vid vite förbjuda den personuppgiftsansvarige att be- handla personuppgifter på något annat sätt än genom att lagra dem. 
 45 § Om tillsynsmyndigheten konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt, skall myndigheten ge- nom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. Går det inte att få rättelse på något annat sätt eller är saken brådskande, får myndigheten vid vite förbjuda den personuppgiftsansvarige att fort- sätta att behandla personuppgifterna på något annat sätt än genom att lagra dem. 
 Om den personuppgiftsansvarige inte frivilligt följer ett beslut om sä- kerhetsåtgärder enligt 32 § som vunnit laga kraft, får tillsynsmyndigheten föreskriva vite. 
 46 § Innan tillsynsmyndigheten beslutar om vite enligt 44 eller 45 §, skall den personuppgiftsansvarige ha fått tillfälle att yttra sig. Om saken är brådskande, får myndigheten dock i avvaktan på yttrandet meddela ett tillfälligt beslut om vite. Det tillfälliga beslutet skall omprövas, när yttran- detiden har gått ut. 
 Ett vitesföreläggande skall delges den personuppgiftsansvarige. Del- givning enligt 12 § delgivningslagen (1970:428) får användas bara om det finns skäl att anta att den personuppgiftsansvarige har avvikit eller på an- nat sätt håller sig undan. 
 309 
  
 Bilaga 2 – Personuppgiftslagen (1998:204) 
  
 SOU 2004:6 
  
 47 § Tillsynsmyndigheten får hos länsrätten i det län där myndigheten är belägen ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt skall utplånas. 
 Beslut om utplånande får inte meddelas om det är oskäligt. 
 Skadestånd 
 48 § Den personuppgiftsansvarige skall ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av per- sonuppgifter i strid med denna lag har orsakat. 
 Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas, om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. 
 Straff 
 49 § Till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år döms den som uppsåtligen eller av oaktsamhet 
  
 a) 
  
 lämnar osann uppgift i sådan information till registrerade som före- skrivs i denna lag, i anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär information enligt 43 §, 
  
 b) 
  
 behandlar personuppgifter i strid med  
  
 13–21 
  §§, 
  
 c) 
  
 för över personuppgifter till tredje land i strid med  
  
 33–35 
  §§, eller 
  
 d) 
  
 låter bli att göra anmälan enligt 36 § första stycket eller enligt föreskrif- ter meddelade med stöd av 41 §. 
  
 I ringa fall döms inte till ansvar. [SFS 1999:1210] 
 Den som överträtt ett vitesföreläggande enligt 44 § eller 45 § första stycket döms inte till ansvar för en gärning som omfattas av vites- föreläggandet. 
 Närmare föreskrifter 
 50 § Regeringen eller den myndighet som regeringen bestämmer får med- dela närmare föreskrifter om 
  
 a) 
  
 i vilka fall behandling av personuppgifter är tillåten, 
  
 b) 
  
 vilka krav som ställs på den personuppgiftsansvarige vid behandling av personuppgifter, 
  
 c) 
  
 i vilka fall användning av personnummer är tillåten, 
  
 d) 
  
 vad en anmälan eller ansökan till en personuppgiftsansvarig skall inne- hålla, 
  
 e) 
  
 vilken information som skall lämnas till registrerade och hur informa- tionen skall lämnas, och 
  
 f) 
  
 anmälan till tillsynsmyndigheten och förfarandet när anmälda uppgifter har ändrats. [SFS 1998:1436] 
  
 310 
 SOU 2004:6 Bilaga 2 – Personuppgiftslagen (1998:204) 
 Överklagande 
 51 § Tillsynsmyndighetens beslut enligt denna lag om annat än före- skrifter får överklagas hos allmän förvaltningsdomstol. 
 Prövningstillstånd krävs vid överklagande till kammarrätten. Tillsynsmyndigheten får bestämma att dess beslut skall gälla även om 
 det överklagas. 
 311 
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
 EUROPAPARLAMENTETS OCH RÅDETS DIREKTIV 95/46/EG 
 av den 24 oktober 1995 
 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter 
 EUROPAPARLAMENTET OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA DIREKTIV 
 med beaktande av Fördraget om upprättandet av Europeiska gemen- skapen, särskilt artikel 100a i detta, 
 med beaktande av kommissionens förslag( 
  
 1 
  
 ), 
 med beaktande av Ekonomiska och sociala kommitténs yttrande( 
  
 2 
  
 ), 
 i enlighet med det förfarande som anges i fördragets artikel 189b( 
  
 3 
  
 ), och med beaktande av följande: 
  
 1) 
  
 Gemenskapens målsättningar som uttryckts i fördraget, såsom detta ändrats genom Fördraget om Europeiska unionen, består i att för- verkliga en allt fastare sammanslutning av de europeiska folken, i att upprätta allt närmare relationer mellan de stater som förenas i gemen- skapen, i att säkerställa ekonomiska och sociala framsteg i sina länder genom gemensamma åtgärder för att undanröja de barriärer som delar Europa, i att fortgående förbättra levnadsvillkoren för dess folk, i att bevara och stärka fred och frihet och i att främja demokratin på grundval av de grundläggande rättigheter som erkänns i medlemssta- ternas grundlagar och lagar liksom i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. 
  
 ( 
 1 
 ) EGT nr C 277, 5.11.1990, s. 3, och EGT nr C 311, 27.11.1992, s. 30. ( 
 2 
 ) EGT nr C 159, 17.6.1991, s. 38. 
 ( 
 3 
 ) Europaparlamentets yttrande av den 11 mars 1992 (EGT nr C 94, 13.4.1992, s. 198), bekräftat den 2 december 1993 (EGT nr C 342, 20.12.1993, s. 30) rådets gemensamma ståndpunkt av den 20 februari 1995 (EGT nr C 93, 13.4.1995, s. 1) och Europaparlamen- tets beslut av den 15 juni 1995 (EGT nr C 166, 3.7.1995). 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 SOU 2004:6 
  
 2) 
  
 Systemen för databehandling av uppgifter är till för människornas skull. Oavsett fysiska personers medborgarskap eller hemvist måste systemen respektera dessa personers grundläggande fri- och rättighe- ter – särskilt rätten till privatlivet – och bidra till ekonomiska och so- ciala framsteg, handelns utveckling och enskilda personers välfärd. 
  
 3) 
  
 Upprättandet av den inre marknaden och dennas funktion, som i en- lighet med artikel 7a i fördraget innebär fri rörlighet för varor, perso- ner, tjänster och kapital, förutsätter inte bara att personuppgifter fritt kan överföras från en medlemsstat till en annan utan också att en- skilda personers grundläggande rättigheter skyddas. 
  
 4) 
  
 Inom gemenskapen behandlas och används personuppgifter allt oftare inom olika ekonomiska och samhälleliga områden. Framstegen på in- formationsteknikens område har gjort det avsevärt lättare att behandla och utbyta sådana uppgifter. 
  
 5) 
  
 Den ekonomiska och sociala integration som är en följd av upprättan- det av den inre marknaden och dennas funktion i enlighet med artikel 7a i fördraget kommer med nödvändighet att leda till en betydande ökning av flödet av personuppgifter över gränserna mellan samtliga aktörer på de ekonomiska och samhälleliga områdena, oavsett om des- sa aktörer tillhör den privata eller den offentliga sektorn. Utbytet av personuppgifter mellan företag i olika medlemsstater kommer att öka. De nationella myndigheterna i de olika medlemsstaterna måste som ett led i tillämpningen av gemenskapsrätten samarbeta och utbyta per- sonuppgifter för att kunna fullgöra sina åligganden eller utföra ar- betsuppgifter för en myndighet i en annan medlemsstat inom det om- råde utan inre gränser som den inre marknaden innebär. 
  
 6) 
  
 Det ökade vetenskapliga och tekniska samarbetet liksom det samord- nade införandet av nya telekommunikationsnät inom gemenskapen nödvändiggör och underlättar dessutom det gränsöverskridande flö- det av personuppgifter. 
  
 7) 
  
 Skillnaden i skyddsnivå mellan medlemsstater vad gäller enskilda per- soners fri- och rättigheter, särskilt rätten till privatliv med avseende på behandling av personuppgifter, kan hindra översändande av sådana uppgifter från en medlemsstats territorium till en annans. Denna skillnad kan därför utgöra ett hinder för att utöva en rad ekonomiska aktiviteter på gemenskapsnivå, snedvrida konkurrensen och hindra myndigheterna att fullgöra de skyldigheter som åligger dem enligt gemenskapsrätten. Denna skillnad i skyddsnivå beror på olikheter i nationella lagar och andra författningar. 
  
 8) 
  
 För att hindren mot flöden av personuppgifter skall kunna avskaffas måste skyddsnivån när det gäller enskilda personers fri- och rättighe- ter med avseende på behandlingen av sådana uppgifter vara likvärdig i alla medlemsstater. Denna målsättning är av grundläggande betydelse för den inre marknaden men kan inte uppnås genom åtgärder endast 
  
 314 
  
 SOU 2004:6 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 av medlemsstaterna, i synnerhet med tanke på omfattningen av de skillnader som för närvarande finns mellan nationell lagstiftning på området och med tanke på behovet av att samordna lagstiftningen i medlemsstaterna för att säkerställa en sådan enhetlig reglering av det gränsöverskridande flödet av personuppgifter som överensstämmer med målsättningen för den inre marknaden enligt artikel 7a i fördra- get. Det är därför nödvändigt att gemenskapen vidtar åtgärder för att åstadkomma en tillnärmning av lagstiftningen. 
  
 9) 
  
 Eftersom tillnärmningen av de nationella lagstiftningarna kommer att leda till ett likvärdigt skydd kommer medlemsstaterna inte längre att kunna hindra det fria flödet av personuppgifter mellan dem under hänvisning till enskilda personers fri- och rättigheter, särskilt rätten till privatliv. Medlemsstaterna kommer att få ett handlingsutrymme, som i samband med genomförandet av detta direktiv också kommer att kunna utnyttjas av näringslivet och arbetsmarknadens parter. Med- lemsstaterna kommer därför att i sin nationella lagstiftning särskilt kunna ange de allmänna villkor som skall gälla för behandlingen av uppgifter. Medlemsstaterna skall härvid sträva efter att förbättra det skydd som deras nuvarande lagstiftning ger. Inom ramen för detta handlingsutrymme och i enlighet med gemenskapsrätten kan skillna- der uppkomma vid genomförandet av direktivet, vilket kan påverka flödet av uppgifter såväl inom en medlemsstat som på gemenskaps- nivå. 
  
 10) 
  
 Ändamålet med den nationella lagstiftningen om behandling av per- sonuppgifter är att skydda grundläggande fri- och rättigheter, särskilt den rätt till privatlivet som erkänns både i artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grund- läggande friheterna och i gemenskapsrättens allmänna rättsprinciper. Av denna anledning får tillnärmningen av denna lagstiftning inte med- föra någon inskränkning i det skydd de ger, utan skall i stället syfta till att garantera en hög skyddsnivå inom gemenskapen. 
  
 11) 
  
 De principer om skydd för enskilda personers fri- och rättigheter, sär- skilt rätten till privatlivet, som detta direktiv innehåller, utgör en pre- cisering och en förstärkning av principerna i Europarådets konvention av den 28 januari 1981 om skydd för enskilda vid automatisk databe- handling av personuppgifter. 
  
 12) 
  
 Principerna för skyddet måste gälla för all behandling av personupp- gifter som utförs av en person vars verksamhet regleras av gemen- skapsrätten. En fysisk persons behandling av uppgifter uteslutande för personliga ändamål eller för hemmabruk, såsom korrespondens eller förande av adressregister, skall dock inte omfattas. 
  
 13) 
  
 Sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen och som rör allmän säkerhet, försvar, statens sä- kerhet och statens verksamhet på straffrättens område faller inte inom 
  
 315 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 SOU 2004:6 
  
 tillämpningsområdet för gemenskapsrätten, dock med förbehåll för medlemsstaternas skyldigheter enligt artiklarna 56.2, 57 eller 100a i Fördraget om upprättandet av Europeiska gemenskapen. Sådan be- handling av personuppgifter som är nödvändig för att skydda statens ekonomiska välstånd omfattas inte av detta direktiv, när behandlingen har samband med frågor om statens säkerhet. 
  
 14) 
  
 För närvarande görs inom ramen för informationssamhället be- tydande framsteg såvitt avser tekniken för att uppta, överföra, bearbe- ta, registrera, lagra eller lämna ut ljud- eller bilduppgifter om fysiska personer; detta direktiv bör därför tillämpas på behandling av sådana uppgifter. 
  
 15) 
  
 Behandlingen av sådana uppgifter omfattas av detta direktiv endast om den sker med hjälp av automatisk databehandling eller om de upp- gifter som behandlas ingår eller avses ingå i ett register som är upp- byggt efter vissa med utgångspunkt i för enskilda personer utformade kriterier för att underlätta tillgång till de berörda uppgifterna. 
  
 16) 
  
 Behandlingen av ljud- och bilduppgifter – exempelvis i samband med videoövervakning – omfattas inte av detta direktiv om den utförs för att tillgodose den allmänna säkerheten, försvaret, statens säkerhet el- ler statens verksamhet på straffrättens område eller till annan verk- samhet som inte faller inom gemenskapsrättens tillämpningsområde. 
  
 17) 
  
 När det gäller behandling av ljud- och bilduppgifter för journalistiska ändamål eller i litterärt eller konstnärligt skapande, särskilt på det au- diovisuella området, skall direktivets principer i enlighet med be- stämmelserna i artikel 9 tillämpas restriktivt. 
  
 18) 
  
 För att undvika att en enskild person förvägras det skydd som till- kommer honom enligt detta direktiv skall varje behandling av per- sonuppgifter inom gemenskapen ske i enlighet med lagstiftningen i en av medlemsstaterna. Med hänsyn till detta bör behandlingen av upp- gifter som utförs av någon som på uppdrag av en registeransvarig som är etablerad i en medlemsstat regleras av den statens lagstiftning. 
  
 19) 
  
 Etablering på en medlemsstats territorium förutsätter effektiv och faktisk verksamhet med hjälp av en stabil struktur. Härvid har den be- rörda verksamhetens rättsliga form inte avgörande betydelse, oavsett om det är fråga om en filial eller om ett dotterbolag som är en juridisk person. Om den ansvarige är etablerad på flera medlemsstaters terri- torier, särskilt genom dotterbolag, måste han för att undvika varje kringgående garantera att varje verksamhet uppfyller bestämmelserna i den nationella lagstiftning som gäller för aktiviteterna. 
  
 20) 
  
 Den omständigheten att den registeransvarige är etablerad i ett tredje land får inte utgöra ett hinder för det skydd som enskilda personer ges i detta direktiv. I sådana fall skall på behandlingen av uppgifter til??lämpas den medlemsstats lagstiftning som innehåller de hjälpme- 
  
 316 
  
 SOU 2004:6 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 del som används för behandlingen. Det bör finnas garantier för att de rättigheter som följer av detta direktiv respekteras i praktiken. 
  
 21) 
  
 Detta direktiv påverkar inte de territorialitetsregler som gäller på straffrättens område. 
  
 22) 
  
 Medlemsstaterna bör i sin lagstiftning eller genom andra bestämmel- ser som antas för att genomföra detta direktiv närmare ange de all- männa villkoren för att en behandling skall vara tillåten. Särskilt arti- kel 5 jämförd med artiklarna 7 och 8 tillåter medlemsstaterna att, oav- sett de allmänna regler som gäller, ange särskilda villkor för behand- lingen av uppgifter på särskilda områden och för de olika kategorier av uppgifter som behandlas i artikel 8. 
  
 23) 
  
 Medlemsstaterna har befogenhet att genomföra skyddet för enskilda personer både genom en generell lagstiftning om skydd för enskilda personer såvitt avser behandling av personuppgifter och genom sär- skild lagstiftning som till exempel om statistiska institut. 
  
 24) 
  
 Sådan lagstiftning som rör skydd för juridiska personer med avseende på behandling av uppgifter som angår dem berörs inte av detta direk- tiv. 
  
 25) 
  
 Principerna för skyddet måste avspeglas dels i de förpliktelser som åvilar personer, myndigheter, företag, institutioner, organ eller andra registeransvariga särskilt med avseende på uppgifternas kvalitet, den tekniska säkerheten, anmälningar till tillsynsmyndigheten och de om- ständigheter under vilka behandling får utföras, dels i de rättigheter som tillkommer enskilda personer, vilkas personuppgifter blir föremål för behandling, att bli informerade om att behandling sker, att få till- gång till uppgifterna, att begära rättelse och att under vissa om- ständigheter invända mot behandlingen. 
  
 26) 
  
 Principerna för skyddet måste gälla all information som rör en identi- fierad eller identifierbar person. För att avgöra om en person är iden- tifierbar skall härvid beaktas alla hjälpmedel som i syfte att identifiera vederbörande rimligen kan komma att användas antingen av den re- gisteransvarige eller av någon annan person. Skyddsprinciperna gäller inte för uppgifter som gjorts anonyma på ett sådant sätt att den regi- strerade inte längre är identifierbar. En sådan uppförandekodex som avses i artikel 27 kan vara ett användbart redskap för att ge vägledning om hur uppgifter kan göras anonyma och behållas i en form som gör det omöjligt att identifiera den registrerade. 
  
 27) 
  
 Enskilda personer skall skyddas både i samband med automatisk da- tabehandling av uppgifterna och i samband med manuell behandling. Omfattningen av detta skydd får inte faktiskt bero på den teknik som används eftersom detta skulle kunna skapa en allvarlig risk för kring- gående. När det gäller manuell behandling omfattar detta direktiv en- dast register och inte ostrukturerade akter. Särskilt innehållet i ett re- gister måste vara strukturerat efter bestämda kriterier som avser en- 
  
 317 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 SOU 2004:6 
  
 skilda personer, för att lätt ge tillgång till personuppgifter. I enlighet med definitionen i artikel 2 c) kan de olika kriterier som gör det möj- ligt att fastställa de enskilda delarna av en strukturerad samling per- sonuppgifter och de olika kriterier som reglerar möjligheten att få till- gång till en sådan samling utformas av varje medlemsstat. Akter eller grupper av akter liksom dessas omslag, vilka inte är strukturerade en- ligt särskilda kriterier, faller inte under några omständigheter inom detta direktivs tillämpningsområde. 
  
 28) 
  
 Varje behandling av personuppgifter måste vara laglig och korrekt gentemot berörda personer. Uppgifterna måste särskilt vara adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de be- handlas. Dessa ändamål skall vara uttryckligt angivna, berättigade och bestämda vid tiden för insamling av uppgifterna. Sådana ändamål med behandlingen som läggs fast sedan uppgifterna samlats in får inte vara oförenliga med de ändamål som ursprungligen angavs. 
  
 29) 
  
 Senare behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål kan – förutsatt att medlemsstaterna ger lämp- liga garantier – inte allmänt sett anses oförenliga med de ändamål för vilka uppgifterna tidigare samlades in. Dessa garantier skall särskilt hindra att uppgifterna används för att vidta åtgärder mot eller fatta beslut som rör en viss person. 
  
 30) 
  
 För att vara tillåten skall en behandling av personuppgifter dessutom utföras med den registrerades samtycke eller vara nödvändig för ingå- endet eller utförandet av förpliktelser i enlighet med ett avtal som är bindande för den registrerade, eller fordras enligt lagstiftning vid ut- förandet av något som är i det allmännas intresse eller är ett led i myndighetsutövning eller vara i en fysisk eller juridisk persons in- tresse förutsatt att skyddet av den registrerades fri- och rättigheter inte går före. För att särskilt garantera jämvikt mellan de berörda in- tressena och för att samtidigt säkerställa en effektiv konkurrens får medlemsstaterna närmare ange på vilka villkor användning och utläm- nande till tredje man av personuppgifter får äga rum inom ramen för tillåtna aktiviteter som av företag och andra organ utövas i deras lö- pande verksamhet. Medlemsstaterna får även närmare ange på vilka villkor personuppgifter i marknadsföringssyfte får vidarebefordras till tredje man, oavsett om detta sker kommersiellt eller av välgören- hetsorganisationer, föreningar eller stiftelser, exempelvis av politisk karaktär, men förutsatt att regler iakttas som har till syfte att ge den registrerade möjlighet att invända mot att de uppgifter som rör ho- nom behandlas utan att behöva ange sina skäl och utan att åsamkas kostnader för detta. 
  
 31) 
  
 Behandling av personuppgifter måste även anses tillåten när den ut- förs för att skydda ett intresse som är av avgörande betydelse för den registrerades liv. 
  
 318 
  
 SOU 2004:6 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 32) 
  
 Det ankommer på den nationella lagstiftningen att avgöra om den som ansvarar för en behandling som utförs i det allmännas intresse el- ler vid myndighetsutövning skall vara en myndighet eller något annat offentligrättsligt eller civilrättsligt subjekt, såsom exempelvis en yr- kesorganisation. 
  
 33) 
  
 Uppgifter som på grund av sin natur kan kränka grundläggande fri- och rättigheter eller privatlivets helgd får inte behandlas utan sam- tycke av den registrerade. Dock måste det finnas en uttrycklig möjlig- het att för att tillgodose särskilda behov, i synnerhet när behandlingen av uppgifterna utförs för ändamål som har samband med hälso- och sjukvården av personer som är underkastade tystnadsplikt eller för att genomföra berättigade åtgärder av vissa föreningar eller stiftelser vil- kas syften är att skydda utövningen av vissa grundläggande fri- och rättigheter. 
  
 34) 
  
 När det av hänsyn till viktiga allmänna intressen är nödvändigt, måste medlemsstaterna kunna avvika från förbudet mot att behandla käns- liga kategorier av uppgifter på sådana områden som exempelvis folk- hälsa och socialskydd, särskilt för att säkerställa kvalitet och lönsam- het när det gäller förfaranden som används i samband med ansök- ningar om förmåner och tjänster inom sjukförsäkringssystemet, i samband med vetenskaplig forskning och i samband med offentlig statistik. Dock åligger det medlemsstaterna att sörja för att det finns lämpliga och konkreta garantier för att skydda enskilda personers grundläggande rättigheter och privatliv. 
  
 35) 
  
 Myndigheters behandling av personuppgifter för officiellt erkända religiösa sammanslutningars räkning för att uppfylla målsättningar som uttrycks i grundlagen eller folkrätten utförs för att tillgodose vik- tiga samhälleliga intressen. 
  
 36) 
  
 Om det i samband med att allmänna val hålls för att det demokratiska systemet skall fungera är nödvändigt att de politiska partierna i vissa medlemsstater samlar in uppgifter om enskilda personers politiska uppfattning får behandling av sådana uppgifter tillåtas av hänsyn till viktiga allmänna intressen, på villkor att bestämmelser om lämpliga garantier föreskrivs. 
  
 37) 
  
 För sådan behandling av personuppgifter som sker för journalistiska ändamål eller för konstnärligt eller litterärt skapande – särskilt på det audiovisuella området – bör det fastställas undantag från eller be- gränsningar i förhållande till vissa bestämmelser i detta direktiv så långt detta är nödvändigt för att förena enskilda personers grund- läggande rättigheter med yttrandefriheten, särskilt den rätt att ta emot och lämna upplysningar som särskilt fastslås i artikel 10 i den europe- iska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. För att åstadkomma en avvägning mellan de grundläggande fri- och rättigheterna åligger det medlemsstaterna att 
  
 319 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 SOU 2004:6 
  
 besluta om nödvändiga undantag och begränsningar såvitt avser de generella åtgärder som har avseende på uppgiftsbehandlingens be- rättigande, åtgärder för att vidareföra uppgifter till tredje land och till- synsmyndighetens befogenheter. Detta får dock inte leda till att med- lemsstaterna beslutar om undantag från åtgärder som vidtas för att sä- kerställa behandlingens säkerhet. Den tillsynsmyndighet som är be- hörig på området bör utrustas med i vart fall vissa befogenheter att utövas efter behandlingen i fråga, exempelvis befogenhet att med jämna mellanrum offentliggöra en rapport eller att överlämna ärenden till rättsliga myndigheter. 
  
 38) 
  
 En korrekt behandling av uppgifter förutsätter att de registrerade kan få kännedom om behandlingen och att de – när uppgifter samlas in hos dem – kan få korrekt och fullständig information med hänsyn till de närmare omständigheterna vid insamlingen. 
  
 39) 
  
 I vissa fall rör behandlingen uppgifter som den registeransvarige inte har samlat in direkt från den registrerade. Vidare kan utlämnande av uppgifter till tredje man vara tillåten även om utlämnandet inte kunde förutses när uppgifterna samlades in från den registrerade. I samtliga dessa fall skall den registrerade informeras när uppgifterna registreras eller senast när uppgifterna för första gången lämnas ut till tredje man. 
  
 40) 
  
 Det är dock inte nödvändigt att ställa detta krav om den registrerade redan känner till informationen. Detta krav behöver inte heller ställas om registreringen eller utlämnandet uttryckligen regleras i lagstift- ningen eller om lämnande av information till den berörda personen vi- sar sig vara omöjligt eller innebära oproportionerligt stora an- strängningar, vilket skulle kunna vara fallet i samband med behandling för historiska, statistiska eller vetenskapliga ändamål. I detta samman- hang kan antalet registrerade, uppgifternas ålder och de kom- pensatoriska åtgärder som kan vidtas tas i beaktande. 
  
 41) 
  
 Alla måste kunna utöva sin rätt att få tillgång till uppgifter som rör dem och som är föremål för behandling, för att i detalj kunna försäkra sig om att uppgifterna är korrekta och om att behandlingen är tillåten. Av samma anledning måste var och en ha rätt att få reda på den logik som gäller för den automatiska databehandlingen av uppgifter som rör honom, åtminstone såvitt avser sådana automatiska beslut som avses i artikel 15.1. Denna rättighet får inte kränka affärshemligheten eller upphovsrätten, särskilt inte den upphovsrätt som skyddar programva- ran. Detta bör dock inte få resultera i att den registrerade nekas all in- formation. 
  
 42) 
  
 Medlemsstaterna kan av hänsyn till intresset hos den registrerade eller till andras fri- och rättigheter begränsa rätten till tillgång till uppgifter och information. De kan till exempel besluta att tillgång till uppgifter av medicinsk art endast får erhållas genom förmedling av någon som är yrkesmässigt verksam inom hälso- och sjukvården. 
  
 320 
  
 SOU 2004:6 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 43) 
  
 Rätten till tillgång till uppgifter och information samt vissa skyldighe- ter hos den registeransvarige kan inskränkas av medlemsstaterna i den utsträckning som det är nödvändigt för att skydda till exempel statens säkerhet, försvaret, allmän säkerhet eller viktiga ekonomiska eller fi- nansiella intressen som är av betydelse för en medlemsstat eller för unionen, liksom för brottsutredningar och åtal och åtgärder som rör överträdelser av etiska regler som gäller för sådana yrken som särskilt regleras i lagstiftning. På förteckningen över undantag och begräns- ningar bör upptas de uppgifter för övervakning, tillsyn eller reglering som är nödvändiga på de tre sistnämnda områdena, nämligen allmän säkerhet, ekonomiska och finansiella intressen samt beivrande av brott. Uppräkningen av uppgifter på dessa tre områden påverkar inte undantag eller begränsningar av hänsyn till statens säkerhet och för- svaret. 
  
 44) 
  
 För att uppfylla vissa av de nämnda målsättningarna kan medlemssta- terna på grund av bestämmelser i gemenskapsrätten tvingas att avvika från bestämmelserna i detta direktiv om rätten till tillgång till uppgif- ter, skyldigheten att informera enskilda personer och kvaliteten på uppgifterna. 
  
 45) 
  
 I sådana fall då uppgifter av hänsyn till allmänna intressen, på grund av myndighetsutövning eller av hänsyn till en persons berättigade in- tressen kan bli föremål för tillåten behandling, skall varje berörd per- son ändå, på berättigade och avgörande skäl som avser hans särskilda situation, ha rätt att invända mot att uppgifter som rör honom själv behandlas. Medlemsstaterna har dock möjlighet att anta bestämmelser av motsatt innehåll. 
  
 46) 
  
 Skyddet för de registrerades fri- och rättigheter förutsätter såvitt av- ser behandling av personuppgifter att lämpliga tekniska och organisa- toriska åtgärder vidtas både när systemet för behandlingen utformas och när själva behandlingen sker, särskilt för att garantera säkerheten och för att på så sätt hindra all otillåten behandling. Det åligger med- lemsstaterna att säkerställa att de registeransvariga respekterar dessa åtgärder. Åtgärderna skall garantera en lämplig säkerhetsnivå med hänsyn till den nuvarande utvecklingsnivån och till kostnaderna för genomförandet under hänsynstagande till de risker som behandlingen innebär och arten av de uppgifter som skall skyddas. 
  
 47) 
  
 När ett meddelande som innehåller personuppgifter översänds genom förmedling av en organisation för telekommunikation eller elektro- nisk post, vars enda ändamål är att översända sådana meddelanden, blir det normalt den från vilken meddelandet härrör och inte den per- son som erbjuder nämnda tjänst som anses ansvara för behandlingen av personuppgifterna. De som erbjuder sådana tjänster kommer dock normalt att anses som ansvariga för behandlingen av de ytterligare personuppgifter som fordras för att tjänsten skall kunna användas. 
  
 321 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 SOU 2004:6 
  
 48) 
  
 Anmälningsförfarandet är avsett för att göra en behandlings syfte och viktigaste egenskaper allmänt kända för att säkerställa att behand- lingen sker i enlighet med de nationella åtgärder som vidtas för att genomföra detta direktiv. 
  
 49) 
  
 För att undvika olämpliga administrativa formaliteter kan medlems- staterna besluta om undantag från och förenklingar av anmälnings- plikten såvitt avser sådana fall då behandlingen sannolikt inte kommer att kränka de berörda personernas fri- och rättigheter, förutsatt att detta är i överensstämmelse med en åtgärd som vidtagits av en med- lemsstat och som särskilt anger begränsningarna. Medlemsstaterna kan även besluta om undantag och förenklingar i fall då någon som utsetts av den registeransvarige försäkrar sig om att de utförda be- handlingarna inte kommer att kränka de registrerades fri- och rättig- heter. Den person som sålunda utsetts att skydda uppgifterna måste – vare sig han är anställd av den registeransvarige eller inte – ha möjlig- het att utöva sin verksamhet på ett fullständigt oberoende sätt. 
  
 50) 
  
 Undantag från anmälningsplikten och förenklad anmälan bör kunna tillåtas särskilt då det är fråga om behandling av uppgifter som endast syftar till att ett register skall föras, som är avsett för att i enlighet med nationell lagstiftning ge allmänheten information och som är till- gängligt för allmänheten eller var och en som kan styrka att han har ett berättigat intresse. 
  
 51) 
  
 Det förhållandet att den registeransvarige omfattas av förenklat an- mälningsförfarande eller är undantagen från anmälningsplikt befriar honom inte från de övriga förpliktelser som följer av detta direktiv. 
  
 52) 
  
 I detta sammanhang måste en efterföljande kontroll från den behöriga myndighetens sida i allmänhet anses som en tillräcklig åtgärd. 
  
 53) 
  
 Vissa typer av behandling – till exempel behandling som har till än- damål att utesluta den berörde från möjligheten att utöva en rättighet, motta en förmån eller ingå ett avtal eller sådan behandling som inne- bär användning av ny teknik – kan på grund av sin natur, sin omfatt- ning eller sitt ändamål innebära särskilda risker för att de registrerades fri- och rättigheter skall kränkas. Medlemsstaterna kan om de önskar det precisera dessa risker i sin lagstiftning. 
  
 54) 
  
 Med tanke på omfattningen av den behandling av uppgifter som ut- förs i samhället torde det antal behandlingar som innebär särskilda risker vara mycket begränsat. Medlemsstaterna måste föreskriva att tillsynsmyndigheten eller den som utövar tillsyn i samråd med till- synsmyndigheten företar en förhandskontroll av dessa behandlingar innan de utförs. Sedan en sådan förhandskontroll genomförts får till- synsmyndigheten i enlighet med den nationella lagstiftningen som gäller för myndigheten yttra sig över eller tillåta behandlingen. En så- dan kontroll kan även företas som ett led i det nationella parlamentets förberedande arbete med en åtgärd eller som ett led i arbetet med en 
  
 322 
  
 SOU 2004:6 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 åtgärd som grundas på en sådan lagstiftande åtgärd som definierar be- handlingens art och anger lämpliga skyddsåtgärder. 
  
 55) 
  
 För de fall då den registeransvarige inte respekterar de registrerades rättigheter måste det i medlemsstatens lagstiftning finnas möjlighet till rättslig prövning. Personer som lider skada till följd av otillåten behandling skall ha rätt till ersättning av den registeransvarige, vilken kan befrias från skadeståndsansvar om han kan visa att han inte är an- svarig för skadan, särskilt i fall då han kan påvisa att ett fel begåtts av den registrerade eller i fall av force majeure. Sanktioner skall vidtas mot såväl privaträttsliga som offentligrättsliga subjekt som överträder de nationella bestämmelser som antagits för att genomföra detta di- rektiv. 
  
 56) 
  
 Gränsöverskridande flöden av personuppgifter är nödvändiga för den internationella handelns utveckling. Det skydd som genom detta di- rektiv tillförsäkras enskilda personer inom gemenskapen hindrar inte att personuppgifter överförs till sådana tredje länder som garanterar en adekvat skyddsnivå. Frågan om skyddsnivåns adekvans skall be- dömas med hänsyn till alla de omständigheter som har samband med en överföring eller en grupp av överföringar. 
  
 57) 
  
 Om ett tredje land inte garanterar en adekvat skyddsnivå skall över- föring av personuppgifter till det landet förbjudas. 
  
 58) 
  
 Undantag från detta förbud skall under vissa omständigheter kunna medges om den registrerade lämnar sitt samtycke, om överföring är nödvändig för ett avtal eller ett rättsligt anspråk, när skyddet av vä- sentliga samhällsintressen kräver det, till exempel vid internationellt utbyte av uppgifter mellan skattemyndigheter eller tullmyndigheter eller mellan socialförsäkringsmyndigheter eller om överföringen ut- förs med utgångspunkt i ett register som upprättats genom lagstift- ning och som är avsett att vara tillgängligt för allmänheten eller för personer som har ett berättigat intresse. En sådan överföring bör inte omfatta alla uppgifter eller hela kategorier av uppgifter som finns i re- gistret. När registret är avsett att vara tillgängligt för personer med ett berättigat intresse skall överföringen göras endast på begäran av dessa personer eller om de själva är mottagarna. 
  
 59) 
  
 Särskilda åtgärder kan vidtas för att uppväga en otillräcklig skyddsnivå i ett tredje land om den registeransvarige ställer lämpliga garantier. Bestämmelser om förfaranden för förhandling mellan gemenskapen och tredje land måste antas. 
  
 60) 
  
 Överföring till tredje land får i vilket fall som helst endast utföras i enlighet med bestämmelser som medlemsstaterna antagit för genom- förande av detta direktiv, särskilt artikel 8 i detta. 
  
 61) 
  
 Medlemsstaterna och kommissionen måste på sina respektive kompe- tensområden uppmuntra berörda delar av näringslivet att anta uppfö- randekodexar för att underlätta genomförandet av detta direktiv med 
  
 323 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 SOU 2004:6 
  
 beaktande av de särskilda former av behandling som utförs på vissa områden och med respekt för de nationella bestämmelser som anta- gits för dess genomförande. 
  
 62) 
  
 För skyddet av enskilda personer med avseende på behandlingen av personuppgifter är det av avgörande betydelse att medlemsstaterna in- rättar oberoende tillsynsmyndigheter. 
  
 63) 
  
 Dessa myndigheter måste ges nödvändiga resurser för att utföra sina uppgifter, såsom befogenhet att – särskilt när det gäller klagomål från enskilda personer – undersöka och intervenera samt befogenheter att inleda rättsliga förfaranden. De måste även bidra till att garantera in- syn i behandlingen av uppgifter i de medlemsstater under vilkas ju- risdiktion de hör. 
  
 64) 
  
 Tillsynsmyndigheterna i de olika medlemsstaterna kommer att behöva bistå varandra i samband med utförandet av de uppgifter som åligger dem för att säkerställa att skyddsreglerna respekteras på ett tillfreds- ställande sätt i hela Europeiska unionen. 
  
 65) 
  
 En arbetsgrupp för skydd av enskilda personer i samband med be- handling av personuppgifter skall inrättas på gemenskapsnivå. Grup- pen skall vid utförandet av sina uppgifter vara fullständigt oberoende. Gruppen skall med hänsyn till sin särskilda karaktär ge kommissionen råd och bidra till den enhetliga tillämpningen av de nationella regler som antagits för att genomföra detta direktiv. 
  
 66) 
  
 Med avseende på överföring av uppgifter till tredje land fordrar ge- nomförandet av detta direktiv att kommissionen ges befogenhet att besluta om genomförandet och att ett förfarande i enlighet med rikt- linjerna i rådets beslut 87/373/EEG( 
  
 1 
  
 ) införs. 
  
 67) 
  
 Den 20 december 1994 träffade Europaparlamentet, rådet och kom- missionen en överenskommelse om ett modus vivendi beträffande genomförandeåtgärder för rättsakter som antagits i enlighet med för- farandet i artikel 189b i Romfördraget. 
  
 68) 
  
 De principer för skyddet av enskilda personers fri- och rättigheter, och då särskilt rätten till privatliv, som i detta direktiv uppställs med avseende på behandling av personuppgifter skall för vissa områdens vidkommande kunna kompletteras eller preciseras med hjälp av sär- skilda bestämmelser som skall överensstämma med dessa principer. 
  
 69) 
  
 Medlemsstaterna bör ges en frist på högst tre år räknat från ikraftträ- dandet av de nationella bestämmelser som antas för att genomföra detta direktiv, så att de stegvis kan tillämpa de nya nationella be- stämmelserna på alla sådana behandlingar som redan påbörjats. För att möjliggöra ett kostnadseffektivt genomförande av dessa bestämmelser skall medlemsstaterna tillåtas att under ytterligare en tidsperiod, som 
  
 ( 
 1 
 ) EGT nr L 197, 18.7.1987, s. 33. 
 324 
  
 SOU 2004:6 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 löper ut tolv år efter dagen för antagandet av detta direktiv, vidta åt- gärder för att säkerställa att då befintliga manuella register bringas i överensstämmelse med vissa av direktivets bestämmelser. Uppgifter som ingår i dessa register och som behandlas manuellt under denna förlängda övergångsperiod skall dock när det är föremål för en ytterli- gare sådan behandling bringas i överensstämmelse med dessa bestäm- melser. 
  
 70) 
  
 Det är inte nödvändigt att den registrerade på nytt lämnar sitt sam- tycke till att den registeransvarige fortsätter att behandla känsliga uppgifter, när en sådan behandling är nödvändig för genomförandet av att avtal som har slutits på grundval av frivilligt och informerat samtycke före dessa bestämmelsers ikraftträdande. 
  
 71) 
  
 Detta direktiv hindrar inte en medlemsstat från att anta bestämmelser för att reglera sådan marknadsföring som riktar sig till konsumenter som har hemvist inom dess territorium, förutsatt att dessa regler inte rör skyddet av enskilda personer med avseende på behandling av per- sonuppgifter. 
  
 72) 
  
 Detta direktiv gör det möjligt att vid genomförandet av dessa be- stämmelser ta hänsyn till principen om allmänhetens rätt till tillgång till allmänna handlingar. 
  
 HÄRIGENOM FÖRESKRIVS FÖLJANDE. 
 KAPITEL 1 
 ALLMÄNNA BESTÄMMELSER 
 Artikel 1 
 Direktivets syfte 
  
 1. 
  
 Medlemsstaterna skall i enlighet med detta direktiv skydda fysiska per- soners grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter. 
  
 2. 
  
 Medlemsstaterna får varken begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna av skäl som har samband med det under punkt 1 föreskrivna skyddet. 
  
 Artikel 2 
 Definitioner 
 I detta direktiv avses med 
  
 a) 
  
 personuppgifter: varje upplysning som avser en identifierad eller iden- tifierbar fysisk person (den registrerade). En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt ge- nom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, eko- nomiska, kulturella eller sociala identitet, 
  
 325 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 SOU 2004:6 
  
 b) 
  
 behandling av personuppgifter (behandling): varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, or- ganisering, lagring, bearbetning eller ändring, återvinning, inhäm- tande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkör- ning, blockering, utplåning eller förstöring, 
  
 c) 
  
 register med personuppgifter (register): varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden, 
  
 d) 
  
 registeransvarig: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. När ändamålen och medlen för behandlingen be- stäms av nationella lagar och andra författningar eller av gemenskaps- rätten kan den registeransvarige eller de särskilda kriterierna för att utse honom anges i nationell rätt eller i gemenskapsrätten, 
  
 e) 
  
 registerförare: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ som behandlar personuppgifter för den registeransvariges räkning, 
  
 f) 
  
 tredje man: den fysiska eller juridiska person, den myndighet, den institution eller det andra organ än den registrerade, den regis- teransvarige, registerföraren och de personer som under den regis- teransvariges eller registerförarens direkta ansvar har befogenhet att behandla uppgifterna, 
  
 g) 
  
 mottagare: den fysiska eller juridiska person, den myndighet, den in- stitution eller det andra organ till vilket uppgifterna utlämnas, vare sig det är en tredje man eller inte. Myndigheter som kan komma att mot- ta uppgifter inom ramen för ett särskilt uppdrag skall dock inte be- traktas som mottagare, 
  
 h) 
  
 den registrerades samtycke: varje slag av frivillig, särskild och infor- merad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom. 
  
 Artikel 3 
 Tillämpningsområde 
  
 1. 
  
 Detta direktiv gäller för sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg liksom för annan behandling än au- tomatisk av personuppgifter som ingår i eller kommer att ingå i ett regis- ter. 
  
 2. 
  
 Detta direktiv gäller inte för sådan behandling av personuppgifter 
  
 som utgör ett led i en verksamhet som inte omfattas av gemenskaps- rätten, exempelvis sådan verksamhet som avses i avdelningarna V och 
  
 326 
  
 SOU 2004:6 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 VI i Fördraget om Europeiska unionen, och inte under några om- ständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område, 
  
 av en fysisk person som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll. 
  
 Artikel 4 
 Tillämplig nationell rätt 
 1. Varje medlemsstat skall tillämpa de nationella bestämmelser som den för genomförandet av detta direktiv antar för behandlingen av personupp- gifter när 
  
 a) 
  
 behandlingen utförs som ett led i verksamhet inom den medlemsstats territorium, där den registeransvarige är etablerad. Om en registeran- svarig är etablerad inom flera medlemsstaters territorier skall han vidta nödvändiga åtgärder för att säkerställa att alla verksamheter uppfyller kraven enligt den tillämpliga nationella lagstiftningen, 
  
 b) 
  
 den registeransvarige inte är etablerad inom en medlemsstats territo- rium utan på en plats där medlemsstatens lagstiftning gäller på grund av folkrätten, 
  
 c) 
  
 den registeransvarige inte är etablerad på gemenskapens territorium och för behandling av personuppgifter använder databehandlad eller icke databehandlad utrustning som befinner sig på den nämnda med- lemsstatens territorium, om inte sådan utrustning endast används för att låta uppgifter passera genom gemenskapen. 
  
 2. Under de omständigheter som avses i punkt 1 c) måste den regis- teransvarige utse en företrädare som är etablerad inom den berörda med- lemsstatens territorium, utan att detta i övrigt påverkar de eventuella rättsliga åtgärder som kan komma att inledas mot den ansvarige själv. 
 KAPITEL II 
 ALLMÄNNA BESTÄMMELSER OM NÄR PERSONUPPGIFTER 
 FÅR BEHANDLAS 
 Artikel 5 
 Medlemsstaterna skall inom de begränsningar som bestämmelserna i detta kapitel innebär, precisera på vilka villkor behandling av personuppgifter är tillåten. 
 327 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 SOU 2004:6 
  
 AVDELNING I 
 PRINCIPER OM UPPGIFTERNAS KVALITET 
 Artikel 6 
 1. Medlemsstaterna skall föreskriva att personuppgifter 
  
 a) 
  
 skall behandlas på ett korrekt och lagligt sätt, 
  
 b) 
  
 skall samlas in för särskilda, uttryckligt angivna och berättigade än- damål; senare behandling får inte ske på ett sätt som är oförenligt med dessa ändamål. Senare behandling av uppgifter för historiska, statis- tiska eller vetenskapliga ändamål skall inte anses oförenlig med dessa ändamål förutsatt att medlemsstaterna beslutar om lämpliga skydds- åtgärder, 
  
 c) 
  
 skall vara adekvata och relevanta och inte får omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas, 
  
 d) 
  
 skall vara riktiga och, om nödvändigt, aktuella. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga el- ler ofullständiga i förhållande till de ändamål för vilka de samlades in eller för vilka de senare behandlas, utplånas eller rättas, 
  
 e) 
  
 förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Med- lemsstaterna skall vidta lämpliga skyddsåtgärder för de personuppgif- ter som lagras under längre perioder för historiska, statistiska eller ve- tenskapliga ändamål. 
  
 2. Det åligger den registeransvarige att säkerställa att punkt 1 efterlevs. 
 AVDELNING II 
 PRINCIPER SOM GÖR ATT UPPGIFTSBEHANDLING KAN 
 TILLÅTAS 
 Artikel 7 
 Medlemsstaterna skall föreskriva att personuppgifter får behandlas endast om 
  
 a) 
  
 den registrerade otvetydigt har lämnat sitt samtycke, eller 
  
 b) 
  
 behandlingen är nödvändig för att fullgöra ett avtal i vilket den regist- rerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås, eller 
  
 c) 
  
 behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige, eller 
  
 d) 
  
 behandlingen är nödvändig för att skydda intressen som är av grund- läggande betydelse för den registrerade, eller 
  
 e) 
  
 behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den 
  
 328 
  
 SOU 2004:6 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 registeransvarige eller tredje man till vilken uppgifterna har lämnats ut, eller 
  
 f) 
  
 behandlingen är nödvändig för ändamål som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter som kräver skydd under artikel 1.1. 
  
 AVDELNING III 
 SÄRSKILDA BEHANDLINGSKATEGORIER 
 Artikel 8 
 Behandlingen av särskilda kategorier av uppgifter 
  
 1. 
  
 Medlemsstaterna skall förbjuda behandling av personuppgifter som av- slöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. 
  
 2. 
  
 Punkt 1 gäller inte om 
  
 a) 
  
 den registrerade har lämnat sitt uttryckliga samtycke till en sådan be- handling, utom när det enligt medlemsstatens lagstiftning anges att förbudet i punkt 1 inte kan upphävas genom den registrerades sam- tycke, eller 
  
 b) 
  
 behandlingen är nödvändig för att fullgöra de skyldigheter och sär- skilda rättigheter som åligger den registeransvarige inom arbetsrätten, i den omfattning detta är tillåtet enligt en nationell lagstiftning som föreskriver lämpliga skyddsåtgärder, eller 
  
 c) 
  
 behandlingen är nödvändig för att skydda den registrerades eller nå- gon annan persons grundläggande intressen när den registrerade är fy- siskt eller rättsligt förhindrad att ge sitt samtycke, eller 
  
 d) 
  
 behandlingen utförs inom ramen för berättigad verksamhet hos en stiftelse, en förening eller ett annat icke vinstdrivande organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte, förutsatt att be- handlingen endast rör sådana organs medlemmar eller personer som på grund av organets ändamål har regelbunden kontakt med detta och uppgifterna inte lämnas ut till tredje man utan den registrerades sam- tycke, eller 
  
 e) 
  
 behandlingen rör uppgifter som på ett tydligt sätt offentliggörs av den registrerade eller är nödvändiga för att kunna fastslå, göra gällande el- ler försvara rättsliga anspråk. 
  
 3. Punkt 1 gäller inte när behandlingen av uppgifterna är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling eller administration av hälso- eller sjukvård eller när dessa uppgifter behandlas av någon som är yrkesmässigt verksam på hälso- och sjukvårdsområdet och som enligt nationell lagstiftning eller bestämmelser 
 329 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 SOU 2004:6 
  
 som antagits av behöriga nationella organ är underkastad tystnadsplikt eller av en annan person som är ålagd en liknande tystnadsplikt. 
  
 4. 
  
 Under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse får medlemsstaterna antingen i sin nationella lag- stiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag än de som nämns i punkt 2. 
  
 5. 
  
 Behandling av uppgifter om lagöverträdelser, brottmålsdomar eller sä- kerhetsåtgärder får utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella be- stämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett full- ständigt register över brottmålsdomar får dock föras endast under kon- troll av en myndighet. 
  
 Medlemsstaterna får föreskriva att uppgifter som rör administrativa sank- tioner eller avgöranden i tvistemål också skall behandlas under kontroll av en myndighet. 
  
 6. 
  
 De undantag från punkt 1 som anges i punkterna 4 och 5 skall anmälas till kommissionen. 
  
 7. 
  
 Medlemsstaterna skall bestämma på vilka villkor ett nationellt identifi- kationsnummer eller något annat vedertaget sätt för identifiering får be- handlas. 
  
 Artikel 9 
 Behandling av personuppgifter och yttrandefriheten 
 Medlemsstaterna skall med avseende på behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande besluta om undantag och avvikelser från bestäm- melserna i detta kapitel, kapitel IV och kapitel VI endast om de är nöd- vändiga för att förena rätten till privatlivet med reglerna om yttrande- friheten. 
 AVDELNING IV 
 INFORMATIONSPLIKT TILL DEN REGISTRERADE 
 Artikel 10 
 Information vid insamling av uppgifter från den registrerade 
 Medlemsstaterna skall föreskriva att den registeransvarige eller hans före- trädare i vart fall skall ge den person från vilken uppgifter om honom själv samlas in följande information, utom i fall då han redan känner till infor- mationen: 
  
 a) 
  
 Den registeransvariges och dennes eventuella företrädares identitet. 
  
 b) 
  
 Ändamålen med den behandling för vilken uppgifterna är avsedda. 
  
 c) 
  
 All ytterligare information, exempelvis 
  
 330 
  
 SOU 2004:6 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 mottagarna eller de kategorier som mottar uppgifterna, 
  
 huruvida det är obligatoriskt eller frivilligt att besvara frågorna samt eventuella följder av att inte svara, 
  
 förekomsten av rättigheter att få tillgång till och att erhålla rättel- 
  
 se av uppgifter som rör honom, 
 i den utsträckning som den ytterligare informationen – med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling. 
 Artikel 11 
 Information när uppgifterna inte har samlats in från den registrerade 
 1. Om uppgifterna inte har samlats in från den registrerade, skall med- lemsstaterna föreskriva att den registeransvarige eller hans företrädare vid tiden för registreringen av personuppgifter eller, om utlämnande till en tredje man kan förutses, inte senare än vid den tidpunkt då uppgifterna först lämnas ut, skall ge den registrerade åtminstone följande information, utom när den registrerade redan känner till informationen: 
  
 a) 
  
 Den registeransvariges och dennes eventuella företrädares identitet. 
  
 b) 
  
 Ändamålen med behandlingen. 
  
 c) 
  
 All ytterligare information, exempelvis 
  
 de kategorier av uppgifter som behandlingen gäller, 
  
 mottagarna eller de kategorier som mottar uppgifterna, 
  
 förekomsten av rättigheter att få tillgång till och att erhålla rättel- 
  
 se av de uppgifter som rör honom, 
 i den utsträckning som den ytterligare informationen – med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in – är nödvändig för att tillförsäkra den registrerade en korrekt behandling. 
 2. Bestämmelserna i punkt 1 skall inte gälla när det – särskilt i samband med behandling för statistiska ändamål eller historiska eller vetenskapliga forskningsändamål – visar sig omöjligt eller innebära en oproportionerligt stor ansträngning att ge information eller om registrering eller utlämnan- de uttryckligen föreskrivs i författning. I sådana fall skall medlemsstaterna föreskriva lämpliga skyddsåtgärder. 
 AVDELNING V 
 DEN REGISTRERADES RÄTT ATT FÅ TILLGÅNG TILL UPP- 
 GIFTER 
 Artikel 12 
 Rätt till tillgång 
 Medlemsstaterna skall säkerställa att varje registrerad har rätt att från den registeransvarige 
  
 a) 
  
 utan hinder och med rimliga intervall samt utan större tidsutdräkt eller kostnader 
  
 331 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 SOU 2004:6 
  
 få bekräftelse på om uppgifter som rör honom behandlas eller inte och information om åtminstone ändamålen med behandlingen, de berörda uppgiftskategorierna och mottagarna eller mottagarkate- gorierna till vilka uppgifterna utlämnas, 
  
 få begriplig information om vilka uppgifter som behandlas och all tillgänglig information om varifrån dessa uppgifter kommer, 
  
 få kännedom om den logik som används när uppgifter som rör honom behandlas på automatisk väg åtminstone såvitt avser så- dana automatiska beslut som avses i artikel 15.1, 
  
 b) 
  
 i förekommande fall få sådana uppgifter som inte behandlats i enlighet med bestämmelserna i detta direktiv rättade, utplånade eller blockera- de, särskilt om dessa är ofullständiga eller felaktiga, 
  
 c) 
  
 få genomfört att en tredje man till vilken sådana uppgifter utlämnats underrättas om varje rättelse, utplåning eller blockering som utförts i enlighet med punkt b), om detta inte visar sig vara omöjligt eller inne- bär en oproportionerligt stor ansträngning. 
  
 AVDELNING VI 
 UNDANTAG OCH BEGRÄNSNINGAR 
 Artikel 13 
 Undantag och begränsningar 
 1. Medlemsstaterna får genom lagstiftning vidta åtgärder för att begränsa omfattningen av de skyldigheter och rättigheter som anges i artiklarna 6.1, 10, 11.1, 12 och 21 i fall då en sådan begränsning är en nödvändig åtgärd med hänsyn till 
  
 a) 
  
 statens säkerhet, 
  
 b) 
  
 försvaret, 
  
 c) 
  
 allmän säkerhet, 
  
 d) 
  
 förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för lagreglerade yrken, 
  
 e) 
  
 ett viktigt ekonomiskt eller finansiellt intresse hos en medlemsstat eller hos Europeiska unionen, inklusive monetära frågor, budgetfrågor och skattefrågor, 
  
 f) 
  
 en  
  
 tillsyns-, 
  inspektions- eller regleringsfunktion som, även om den är av övergående karaktär, är förbunden med myndighetsutövning i de under punkterna c), d) och e) nämnda fallen, 
  
 g) 
  
 skydd av den registrerades eller andras fri- och rättigheter. 
  
 2. Under förutsättning av lämpliga rättsliga garantier får medlemsstaterna, i synnerhet om uppgifterna inte används för åtgärder eller beslut som av- ser särskilda registrerade personer, i fall då det uppenbarligen inte förelig- ger någon risk att den berörda personens privatliv kränks, genom lagstift- ning begränsa de rättigheter som anges i artikel 12 när uppgifterna endast behandlas för ändamål som har med vetenskaplig forskning att göra eller 
 332 
  
 SOU 2004:6 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 när uppgifterna endast lagras i form av personuppgifter under en begrän- sad tid som inte överstiger den tid som är nödvändig för att framställa statistik. 
 AVDELNING VII 
 DEN REGISTRERADES RÄTT ATT GÖRA INVÄNDNINGAR 
 Artikel 14 
 Den registrerades rätt att göra invändningar 
 Medlemsstaterna skall tillförsäkra den registrerade rätten att 
  
 a) 
  
 åtminstone i de fall som avses i artikel 7 e) och f) när som helst av avgörande och berättigade skäl som rör hans personliga situation mot- sätta sig behandling av uppgifter som rör honom, utom när den natio- nella lagstiftningen föreskriver något annat. När invändningen är be- rättigad får den behandling som påbörjats av den registeransvarige inte längre avse dessa uppgifter, 
  
 b) 
  
 efter anmodan och utan kostnader motsätta sig behandling av person- uppgifter som rör honom och som den registeransvarige bedömer kan komma att behandlas för ändamål som rör direkt marknadsföring, el- ler att bli informerad innan personuppgifter för första gången lämnas ut till tredje man eller används för tredje mans räkning för ändamål som rör direkt marknadsföring, och att uttryckligen få erbjudande om att utan kostnader motsätta sig ett sådant utlämnande eller sådan an- vändning. 
  
 Medlemsstaterna skall vidta nödvändiga åtgärder för att säkerställa att de registrerade känner till den rättighet som anges i första stycket i b). 
 Artikel 15 
 Databehandlade beslut 
  
 1. 
  
 Medlemsstaterna skall ge varje person rätten att inte bli föremål för ett beslut som har rättsliga följder för honom eller som märkbart påverkar honom och som enbart grundas på automatisk behandling av uppgifter som är avsedda att bedöma vissa personliga egenskaper hos honom, ex- empelvis hans arbetsprestationer, kreditvärdighet, pålitlighet och uppträ- dande. 
  
 2. 
  
 Om inte annat följer av övriga bestämmelser i detta direktiv skall med- lemsstaterna föreskriva att en person får bli föremål för ett beslut av det slag som avses i punkt 1 om beslutet 
  
 a) 
  
 fattas som ett led i ingåendet eller fullgörandet av ett avtal, förutsatt att den registrerades begäran om ingående eller fullgörande av avtalet har bifallits eller att det vidtas lämpliga åtgärder för att skydda hans berättigade intressen, exempelvis möjligheten för honom att göra sin uppfattning gällande, eller 
  
 333 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 SOU 2004:6 
  
 b) 
  
 tillåts i lagstiftning som innehåller bestämmelser till skydd för den registrerades berättigade intressen. 
  
 AVDELNING VIII 
 SEKRETESS OCH SÄKERHET VID BEHANDLING 
 Artikel 16 
 Sekretess vid behandling 
 Den som utför arbete under den registeransvarige eller registerföraren, liksom registerföraren själv, och som får tillgång till personuppgifter, får behandla dem endast enligt instruktion från den registeransvarige, om han inte är skyldig att göra det enligt lag. 
 Artikel 17 
 Säkerhet vid behandling 
 1. Medlemsstaterna skall föreskriva att den registeransvarige skall genom- föra lämpliga tekniska och organisatoriska åtgärder för att skydda person- uppgifter från förstöring genom olyckshändelse eller otillåtna handlingar eller förlust genom olyckshändelse samt mot ändringar, otillåten sprid- ning av eller otillåten tillgång till uppgifterna, särskilt om behandlingen innefattar överföring av uppgifter i ett nätverk, och mot varje annat slag av otillåten behandling. 
 Dessa åtgärder skall med beaktande av den nuvarande tekniska nivån och de kostnader som är förenade med åtgärdernas genomförande åstad- komma en lämplig säkerhetsnivå i förhållande till de risker som är för- knippade med behandlingen och arten av de uppgifter som skall skyddas. 
  
 2. 
  
 Medlemsstaterna skall föreskriva att den registeransvarige, när behand- lingen utförs för dennes räkning, skall välja en registerförare som kan ge tillräckliga garantier vad gäller de tekniska säkerhetsåtgärder och de orga- nisatoriska åtgärder som måste vidtas och tillse att dessa åtgärder genom- förs. 
  
 3. 
  
 När uppgifter behandlas av en registerförare skall hanteringen regleras genom ett avtal eller genom en annan rättsligt bindande handling mellan registerföraren och den registeransvarige och i handlingen skall särskilt föreskrivas att 
  
  registerföraren endast får handla på instruktioner från den register- ansvarige, 
  de skyldigheter som anges i punkt 1, såsom de definieras i lagstift- ningen i den medlemsstat i vilken registerföraren är etablerad, även skall åvila registerföraren. 
  
 4. 
  
 För att säkra bevisning skall de delar av avtalet eller den rättsligt bin- dande handlingen som rör skyddet av uppgifter och de krav som rör åtgär- der som anges i punkt 1 föreligga i skriftlig eller därmed jämförlig form. 
  
 334 
  
 SOU 2004:6 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 AVDELNING IX 
 ANMÄLAN 
 Artikel 18 
 Anmälningsplikt gentemot tillsynsmyndigheten 
  
 1. 
  
 Medlemsstaterna skall föreskriva att den registeransvarige eller hans eventuella företrädare före genomförandet av en behandling eller en serie behandlingar som helt eller delvis genomförs på automatisk väg och som har samma eller flera närbesläktade ändamål skall underrätta den till- synsmyndighet som avses i artikel 28. 
  
 2. 
  
 Medlemsstaterna får endast i följande fall och på följande villkor före- skriva om undantag från anmälningsplikten eller förenklad anmälnings- plikt: 
  
  Om medlemsstaten för de typer av behandling, i samband med vilka det med hänsyn till de behandlade uppgifterna inte är sannolikt att de registrerades fri- och rättigheter kränks, anger behandlingens ända- mål, vilka uppgifter eller kategorier av uppgifter som behandlas, vilka registrerade eller kategorier av registrerade som avses, till vilka mot- tagare eller kategorier av mottagare uppgifterna lämnas ut samt hur länge uppgifterna skall bevaras och/eller 
  om den registeransvarige i enlighet med den nationella lagstiftning som gäller för denne, utser ett uppgiftsskyddsombud, som särskilt skall ha till uppgift 
  
 att på ett oberoende sätt säkerställa den interna tillämpningen av de nationella bestämmelser som antagits till följd av detta direktiv, 
  
 att föra ett register över de behandlingar som utförs av den regis- teransvarige, vilket register skall innehålla den information som nämns i artikel 21.2, 
  
 för att på detta sätt säkerställa att de registrerades fri- och rättigheter sannolikt inte kommer att kränkas som en följd av behandlingarna. 
  
 3. 
  
 Medlemsstaterna får föreskriva att punkt 1 inte skall gälla för en sådan behandling vars enda syfte är förandet av ett register, som enligt lagar eller andra författningar är avsett att förse allmänheten med information och som är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse. 
  
 4. 
  
 Medlemsstaterna får föreskriva undantag från anmälningsplikten eller ett förenklat anmälningsförfarande för sådan behandling som avses i arti- kel 8.2 d). 
  
 5. 
  
 Medlemsstaterna får föreskriva att vissa eller alla  
  
 icke-automatiska 
  be- handlingar av personuppgifter skall anmälas eller att ett förenklat anmäl- ningsförfarande skall gälla för dem. 
 335 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 SOU 2004:6 
  
 Artikel 19 
 Anmälans innehåll 
 1. Medlemsstaterna skall precisera vilka uppgifter som anmälan skall inne- hålla. Den skall åtminstone innehålla 
  
 a) 
  
 den registeransvariges och dennes eventuella företrädares namn och adress, 
  
 b) 
  
 ändamålen med behandlingen, 
  
 c) 
  
 en beskrivning av den eller de kategorier av registrerade som berörs och av de uppgifter eller kategorier av uppgifter som hänför sig till dem, 
  
 d) 
  
 mottagarna eller de kategorier av mottagare till vilka uppgifterna kan komma att lämnas ut, 
  
 e) 
  
 föreslagna överföringar av uppgifter till tredje land, 
  
 f) 
  
 en allmän beskrivning som gör det möjligt att preliminärt bedöma lämpligheten av de åtgärder som i enlighet med artikel 17 vidtagits för att trygga säkerheten i behandlingen. 
  
 2. Medlemsstaterna skall ange villkoren för anmälan till tillsynsmyndighe- ten av förändringar som rör den i punkt 1 angivna informationen. 
 Artikel 20 
 Förhandskontroll 
  
 1. 
  
 Medlemsstaterna skall bestämma vilka behandlingar som kan innebära särskilda risker för den registrerades fri- och rättigheter och skall säker- ställa att dessa behandlingar kontrolleras innan de påbörjas. 
  
 2. 
  
 Sådana förhandskontroller skall utföras av tillsynsmyndigheten när den mottagit anmälan från den registeransvarige eller från uppgiftsskyddsom- budet, som i tveksamma fall skall rådfråga tillsynsmyndigheten. 
  
 3. 
  
 Medlemsstaterna kan också utföra sådana kontroller som ett led i det nationella parlamentets förberedande arbete med en åtgärd eller som ett led i arbetet med en åtgärd som grundas på en sådan lagstiftande åtgärd, som definierar behandlingens art och anger lämpliga skyddsåtgärder. 
  
 Artikel 21 
 Behandlingarnas offentlighet 
  
 1. 
  
 Medlemsstaterna skall vidta åtgärder för att tillse att behandlingarna görs offentligt tillgängliga. 
  
 2. 
  
 Medlemsstaterna skall föreskriva att tillsynsmyndigheten skall föra ett register över sådana behandlingar som har anmälts i enlighet med artikel 
  
 Registret skall innehålla åtminstone den information som anges i artikel 19.1  
 a)–e). 
  
 336 
  
 SOU 2004:6 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 Registret skall vara allmänt tillgängligt. 
 3. För sådan behandling som inte omfattas av anmälningsplikt skall med- lemsstaterna föreskriva att de registeransvariga eller något annat organ, som medlemsstaterna utser, på lämpligt sätt skall tillhandahålla var och en som begär det åtminstone den information som anges i artikel 19.1  
 a)–e). 
  
 Medlemsstaterna får föreskriva att denna bestämmelse inte skall tillämpas på sådan behandling vars enda ändamål är att föra ett register, som i enlig- het med lagar eller andra författningar är avsett att ge allmänheten infor- mation och som är tillgängligt för allmänheten eller för var och en som kan styrka ett berättigat intresse. 
 KAPITEL III 
 RÄTTSLIG PRÖVNING, ANSVAR OCH SANKTIONER 
 Artikel 22 
 Rättslig prövning 
 Medlemsstaterna skall – utan att det påverkar möjligheten att utnyttja nå- got administrativt förfarande, till exempel vid den tillsynsmyndighet som avses i artikel 28, som kan användas innan ett ärende anhängiggörs hos en rättslig instans – föreskriva att var och en har rätt att föra talan inför dom- stol om sådana kränkningar av rättigheter som skyddas av den nationella lagstiftning som är tillämplig på ifrågavarande behandling. 
 Artikel 23 
 Ansvar 
  
 1. 
  
 Medlemsstaterna skall föreskriva att var och en som lidit skada till följd av en otillåten behandling eller av någon annan åtgärd som är oförenlig med de nationella bestämmelser som antagits till följd av detta direktiv, har rätt till ersättning av den registeransvarige för den skada som han har lidit. 
  
 2. 
  
 Den registeransvarige kan helt eller delvis undgå detta ansvar om han bevisar att han inte är ansvarig för den händelse som orsakade skadan. 
  
 Artikel 24 
 Sanktioner 
 Medlemsstaterna skall anta lämpliga bestämmelser för att säkerställa att detta direktiv genomförs fullständigt och skall särskilt besluta om de sanktioner som skall användas vid överträdelse av de bestämmelser som antagits för att genomföra detta direktiv. 
 337 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 SOU 2004:6 
  
 KAPITEL IV 
 ÖVERFÖRING AV PERSONUPPGIFTER TILL TREDJE LAND 
 Artikel 25 
 Principer 
  
 1. 
  
 Medlemsstaterna skall föreskriva att överföringen av personuppgifter som är under behandling eller som är avsedda att behandlas efter överfö- ring till tredje land endast får ske om ifrågavarande tredje land – utan att detta påverkar tillämpningen av de nationella bestämmelser som antagits till följd av de andra bestämmelserna i detta direktiv – säkerställer en ade- kvat skyddsnivå. 
  
 2. 
  
 Bedömningen av om skyddsnivån i ett tredje land är adekvat skall ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter. Härvid skall särskilt beaktas upp- giftens art, den eller de avsedda behandlingarnas ändamål och varaktighet, ursprungslandet och det slutliga bestämmelselandet, de allmänna respekti- ve särskilda rättsregler som gäller i ifrågavarande tredje land liksom de regler för yrkesverksamhet och säkerhet som gäller där. 
  
 3. 
  
 Medlemsstaterna och kommissionen skall informera varandra när de an- ser att ett tredje land inte erbjuder en adekvat skyddsnivå enligt punkt 2. 
  
 4. 
  
 Om kommissionen i enlighet med ett sådant förfarande som beskrivs i artikel 31.2 finner att ett tredje land inte erbjuder en sådan adekvat skyddsnivå som beskrivs i punkt 2 i denna artikel, skall medlemsstaterna vidta de åtgärder som är nödvändiga för att hindra överföring av uppgifter av samma slag till ifrågavarande tredje land. 
  
 5. 
  
 Vid lämpligt tillfälle skall kommissionen inleda förhandlingar för att avhjälpa den situation som uppstått när kommissionen kommit till den slutsats som anges i punkt 4. 
  
 6. 
  
 Kommissionen kan, i enlighet med det i artikel 31.2 angivna förfaran- det, konstatera att ett tredje land genom sin interna lagstiftning eller på grund av de internationella förpliktelser som – särskilt till följd av sådana förhandlingar som anges i punkt 5 och som gäller skyddet för privatliv och enskilda personers grundläggande fri- och rättigheter – åligger landet har en skyddsnivå som är adekvat i den mening som avses i punkt 2 i den- na artikel. 
  
 Medlemsstaterna skall vidta de åtgärder som är nödvändiga för att följa kommissionens beslut. 
 Artikel 26 
 Undantag 
 1. Med undantag från artikel 25 skall medlemsstaterna – om det inte finns tvingande regler om detta i deras lagstiftning – föreskriva att överföring av 
 338 
  
 SOU 2004:6 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 personuppgifter till ett tredje land som inte har en adekvat skyddsnivå i den mening som avses i artikel 25.2 får ske om 
  
 a) 
  
 den registrerade otvetydigt har samtyckt till den planerade överför- ingen, eller 
  
 b) 
  
 överföringen är nödvändig för att fullgöra ett avtal mellan den regist- rerade och den registeransvarige eller för att på den registrerades be- gäran genomföra åtgärder som vidtas innan avtalet ingås, eller 
  
 c) 
  
 överföringen är nödvändig för att ingå eller fullgöra ett avtal mellan den registeransvarige och tredje man i den registrerades intresse, eller 
  
 d) 
  
 överföringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen eller för att fastslå, göra gällande eller försvara rättsliga anspråk, eller 
  
 e) 
  
 överföringen är nödvändig för att skydda intressen som är av avgö- rande betydelse för den registrerade, eller 
  
 f) 
  
 överföringen görs från ett offentligt register som enligt lagar eller andra författningar är avsett att ge allmänheten information och som är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse, i den utsträckning som de i lagstift- ningen angivna villkoren för tillgänglighet uppfylls i det enskilda fal- let. 
  
 2. 
  
 Utan att detta påverkar tillämpningen av punkt 1 får en medlemsstat tillåta överföring av personuppgifter till ett tredje land som inte säkerstäl- ler en skyddsnivå som är adekvat enligt artikel 25.2, om den registeran- svarige ställer tillräckliga garantier för att privatliv och enskilda personers grundläggande fri- och rättigheter skyddas samt för utövningen av mot- svarande rättigheter. Sådana garantier kan framgå av lämpliga avtals- klausuler. 
  
 3. 
  
 Medlemsstaten skall informera kommissionen och de övriga medlems- staterna om de överföringar som tillåtits enligt punkt 2. 
  
 Om en medlemsstat eller kommissionen på grunder som är berättigade med hänsyn till skyddet för privatliv och enskilda personers grundläggan- de fri- och rättigheter gör en invändning skall kommissionen vidta lämp- liga åtgärder i enlighet med det förfarande som avses i artikel 31.2. 
 Medlemsstaterna skall vidta de åtgärder som är nödvändiga för att följa kommissionens beslut. 
 4. Om kommissionen i enlighet med det förfarande som anges i artikel 31.2 beslutar att vissa standardavtalsklausuler erbjuder tillräckliga garan- tier enligt punkt 2, skall medlemsstaterna vidta nödvändiga åtgärder för att följa kommissionens beslut. 
 339 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 SOU 2004:6 
  
 KAPITEL V 
 UPPFÖRANDEKODEX 
 Artikel 27 
  
 1. 
  
 Medlemsstaterna och kommissionen skall uppmuntra utarbetande av uppförandekodexar som – med beaktande av de särskilda förhållandena på olika områden – skall bidra till att på ett riktigt sätt genomföra de natio- nella bestämmelser som medlemsstaterna antar för att genomföra detta di- rektiv. 
  
 2. 
  
 Medlemsstaterna skall föreskriva att branschorganisationer eller andra organ som företräder andra kategorier av registeransvariga, som har upp- rättat förslag till nationella kodexar eller som avser att ändra eller utöka existerande nationella kodexar, kan lägga fram dessa för bedömning av den nationella myndigheten. 
  
 Medlemsstaterna skall föreskriva att denna myndighet bland annat skall kontrollera att de förslag som har lagts fram för myndigheten är i överens- stämmelse med de nationella bestämmelser som antagits till följd av detta direktiv. Om myndigheten anser det lämpligt skall den inhämta synpunk- ter från de registrerade eller deras företrädare. 
 3. Förslag till gemenskapskodexar och förslag till ändringar eller tillägg till existerande sådana kodexar kan läggas fram för den arbetsgrupp som avses i artikel 29. Denna arbetsgrupp skall bland annat avgöra om de förslag som lagts fram för gruppen är i överensstämmelse med de nationella be- stämmelser som antagits för att genomföra detta direktiv. Om gruppen anser det lämpligt skall den inhämta synpunkter från de registrerade eller deras företrädare. Kommissionen kan tillse att de kodexar som godkänts av arbetsgruppen offentliggörs på lämpligt sätt. 
 KAPITEL VI 
 TILLSYNSMYNDIGHET OCH ARBETSGRUPP FÖR SKYDD AV ENSKILDA MED AVSEENDE PÅ BEHANDLINGEN AV PER- SONUPPGIFTER 
 Artikel 28 
 Tillsynsmyndighet 
 1. Varje medlemsstat skall tillse att det utses en eller flera myndigheter som har till uppgift att inom dess territorium övervaka tillämpningen av de bestämmelser som medlemsstaterna antar till följd av detta direktiv. 
 Dessa myndigheter skall fullständigt oberoende utöva de uppgifter som åläggs dem. 
 2. Varje medlemsstat skall tillse att tillsynsmyndigheten hörs när sådana lagar eller andra författningar utarbetas som rör skyddet av enskilda per- 
 340 
  
 SOU 2004:6 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 soners fri- och rättigheter med avseende på behandlingen av personupp- gifter. 
 3. Varje tillsynsmyndighet skall särskilt ha 
  
 undersökningsbefogenheter, såsom befogenhet att få tillgång till upp- gifter som blir föremål för behandling och befogenhet att inhämta alla uppgifter som är nödvändiga för att sköta tillsynen, 
  
 effektiva befogenheter att ingripa, som till exempel att kunna avge yttranden i enlighet med artikel 20 innan en behandling äger rum, och se till att sådana yttranden i lämplig omfattning offentliggörs, att kun- na besluta om blockering, utplåning eller förstöring av uppgifter, att kunna besluta om tillfälligt eller slutligt förbud mot behandling, att kunna ge den registeransvarige varning eller tillrättavisning eller att kunna hänvisa saken till nationella parlament eller till andra politiska institutioner, 
  
 befogenhet att inleda rättsliga förfaranden när de nationella bestäm- melser som antagits till följd av detta direktiv har överträtts eller att uppmärksamma de rättsliga myndigheterna på dessa överträdelser. 
  
 Sådana beslut av tillsynsmyndigheten som går en part emot kan överklagas till domstol. 
 4. Var och en kan, på egen hand eller företrädd av en organisation, vända sig till tillsynsmyndigheten med begäran om skydd för sina fri- och rättig- heter med avseende på behandling av personuppgifter. Den berörda perso- nen skall informeras om vilka följder hans begäran har fått. 
 Var och en kan i samband med tillämpningen av de nationella bestämmel- ser som har antagits med stöd av artikel 13 i detta direktiv till tillsyns- myndigheten ge in en begäran om att få kontrollera om en behandling är tillåten. Den berörda personen skall informeras om vilka följder hans be- gäran har fått. 
  
 5. 
  
 Varje tillsynsmyndighet skall regelbundet upprätta en rapport om sin verksamhet. Denna rapport skall offentliggöras. 
  
 6. 
  
 En tillsynsmyndighet har, oavsett vilken nationell lagstiftning som gäll- er för den aktuella behandlingen, behörighet att inom sin egen med- lemsstats territorium utöva de befogenheter som i enlighet med punkt 3 åligger den. Varje myndighet kan av en myndighet i en annan medlemsstat anmodas att utöva sina befogenheter. 
  
 De övervakande myndigheterna skall i den utsträckning som det behövs samarbeta med varandra, särskilt genom att utbyta användbar informa- tion. 
 7. Medlemsstaterna skall föreskriva att tillsynsmyndighetens ledamöter och personal, även sedan deras anställning upphört, skall ha tystnadsplikt med avseende på förtrolig information som de har tillgång till. 
 341 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 SOU 2004:6 
  
 Artikel 29 
 Arbetsgrupp för skydd av enskilda med avseende på behandlingen av personuppgifter 
 1. En arbetsgrupp för skydd av enskilda med avseende på behandling av personuppgifter, hädanefter kallad arbetsgruppen inrättas härmed. 
 Arbetsgruppen skall vara rådgivande och oberoende. 
 2. Arbetsgruppen skall vara sammansatt av en företrädare för den eller de tillsynsmyndigheter som utsetts av varje medlemsstat, av en företrädare för den eller de myndigheter som har inrättats för gemenskapens insti- tutioner och organ samt av en företrädare för kommissionen. 
 Varje medlem av arbetsgruppen skall utses av den institution eller av den eller de myndigheter som han företräder. När en medlemsstat har fler till- synsmyndigheter än en, skall dessa utse en gemensam företrädare. Det- samma skall gälla för de myndigheter som inrättats för gemenskapens in- stitutioner och organ. 
  
 3. 
  
 Arbetsgruppen skall fatta beslut med enkel majoritet av tillsynsmyndig- heternas företrädare. 
  
 4. 
  
 Arbetsgruppen skall välja sin ordförande. Ordförandens mandattid skall vara två år. Mandatet kan förlängas. 
  
 5. 
  
 Arbetsgruppens sekretariatsuppgifter skall ombesörjas av kommissio- nen. 
  
 6. 
  
 Arbetsgruppen skall själv fastställa sin arbetsordning. 
  
 7. 
  
 Arbetsgruppen skall behandla frågor som förts upp på dess dagordning av ordföranden, antingen på dennes eget initiativ eller på begäran av en företrädare för tillsynsmyndigheterna eller för kommissionen. 
  
 Artikel 30 
 1. Arbetsgruppen skall 
  
 a) 
  
 utreda varje fråga som rör tillämpningen av de nationella bestämmel- ser som antagits för genomförandet av detta direktiv, för att bidra till en enhetlig tillämpning av bestämmelserna, 
  
 b) 
  
 yttra sig till kommissionen om skyddsnivån inom gemenskapen och i tredje land, 
  
 c) 
  
 ge kommissionen råd om varje föreslagen ändring av detta direktiv, om vilka ytterligare eller särskilda åtgärder som bör vidtas för att skydda fysiska personers fri- och rättigheter med avseende på be- handling av personuppgifter och om alla andra föreslagna gemen- skapsåtgärder som rör sådana fri- och rättigheter, 
  
 d) 
  
 avge yttranden om de uppförandekodexar som utarbetas på gemen- skapsnivå. 
  
 342 
  
 SOU 2004:6 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 2. 
  
 Om arbetsgruppen konstaterar förekomsten av sådana skillnader mellan medlemsstaternas lagstiftning eller praxis, som kan vara till nackdel för likvärdigheten i skyddet för personer med avseende på behandlingen av personuppgifter inom gemenskapen, skall gruppen informera kommissio- nen om detta. 
  
 3. 
  
 Arbetsgruppen kan på eget initiativ utfärda rekommendationer i alla frågor som rör skyddet av personer med avseende på behandlingen av per- sonuppgifter inom gemenskapen. 
  
 4. 
  
 Arbetsgruppens yttranden och rekommendationer skall framläggas för kommissionen och den kommitté som avses i artikel 31. 
  
 5. 
  
 Kommissionen skall informera arbetsgruppen om det sätt på vilket den har tagit hänsyn till yttrandena och rekommendationerna. För att göra detta skall kommissionen utarbeta en rapport som också skall framläggas för Europaparlamentet och rådet. Rapporten skall offentliggöras. 
  
 6. 
  
 Arbetsgruppen skall utarbeta en årsrapport om situationen rörande skyddet för fysiska personer med avseende på behandlingen av person- uppgifter inom gemenskapen och i tredje land, som den skall översända till kommissionen, Europaparlamentet och rådet. Rapporten skall offent- liggöras. 
  
 KAPITEL VII 
 GEMENSKAPENS ÅTGÄRDER FÖR GENOMFÖRANDE 
 Artikel 31 
 Kommittén 
  
 1. 
  
 Kommissionen skall biträdas av en kommitté som är sammansatt av företrädare för medlemsstaterna och som har kommissionens företrädare som ordförande. 
  
 2. 
  
 Kommissionens företrädare skall förelägga kommittén ett förslag till åtgärder. Kommittén skall yttra sig över förslaget inom en tid som ord- föranden bestämmer med hänsyn till hur brådskande ärendet är. 
  
 Yttrandet skall avges med den majoritet som anges i artikel 148.2 i fördra- get. Vid omröstning i kommittén skall medlemsstaternas röster vägas på det sätt som anges i den artikeln. Ordföranden skall inte rösta. 
 Kommissionen skall besluta om åtgärder som skall ha omedelbar verkan. Om emellertid åtgärderna avviker från kommitténs yttrande, skall kom- missionen omedelbart underställa rådet ärendet. I detta fall gäller följande: 
  
 Kommissionen skall uppskjuta genomförandet av åtgärderna under en tidsfrist om tre månader räknad från meddelandedatum, 
  
 Rådet kan med kvalificerad majoritet fatta ett avvikande beslut inom den tidsfrist som anges i den första strecksatsen. 
  
 343 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 SOU 2004:6 
  
 SLUTBESTÄMMELSER 
 Artikel 32 
 1. Medlemsstaterna skall sätta i kraft de lagar och andra författningar, som är nödvändiga för att följa detta direktiv, senast tre år efter dess antagan- de. 
 När en medlemsstat antar dessa bestämmelser skall de innehålla en hän- visning till detta direktiv eller åtföljas av en sådan hänvisning när de of- fentliggörs. Närmare föreskrifter om hur hänvisningen skall göras skall varje medlemsstat själv utfärda. 
 2. Medlemsstaterna skall se till att sådan behandling som redan pågår när de nationella bestämmelser som antas till följd av detta direktiv träder i kraft bringas i överensstämmelse med dessa bestämmelser inom tre år från denna tidpunkt. 
 I fråga om sådana uppgifter som redan finns i manuella register vid ikraft- trädandet av de nationella bestämmelser som antas för att genomföra det- ta direktiv får medlemsstaterna, med avvikelse från föregående stycke, föreskriva att behandlingen skall bringas i överensstämmelse med artiklar- na  
 6–8 
  i detta direktiv inom tolv år räknat från dagen för direktivets an- tagande. Medlemsstaterna skall dock ge den registrerade rätt att på begä- ran och särskilt i samband med att han utövar sin rätt till tillgång till upp- gifter, erhålla rättelse, utplåning eller blockering av uppgifter som är ofull- ständiga, felaktiga eller lagrade på ett sätt som inte är förenligt med de legitima ändamål som den registeransvarige vill uppnå. 
  
 3. 
  
 Med undantag från punkt 2 kan medlemsstaterna under förutsättning av lämpliga skyddsåtgärder föreskriva att uppgifter som endast bevaras för historisk forskning inte behöver överensstämma med artiklarna  
  
 6–8 
  i detta direktiv. 
  
 4. 
  
 Medlemsstaterna skall till kommissionen överlämna texten till de natio- nella bestämmelser som de antar inom det område som omfattas av detta direktiv. 
  
 Artikel 33 
 Kommissionen skall första gången senast tre år efter den tidpunkt som anges i artikel 32.1 och därefter regelbundet till rådet och Europaparla- mentet avge en rapport om genomförandet av detta direktiv, eventuellt försedd med lämpliga ändringsförslag. Rapporten skall offentliggöras. 
 Kommissionen skall särskilt undersöka tillämpningen av detta direktiv på behandling av ljud- och bilduppgifter som rör fysiska personer och skall framlägga alla lämpliga förslag som med beaktande av informationstekni- kens och informationssamhällets utveckling, visar sig nödvändiga. 
 344 
 SOU 2004:6 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter 
  
 Artikel 34 
  
 Detta direktiv riktar sig till medlemsstaterna. 
  
 Utfärdat i Luxemburg den 23 oktober 1995 
  
 På Europaparlamentets vägnar 
  
 På rådets vägnar 
  
 K. HÄNSCH 
  
 Baker 
  
 NA 
  
 Ordförande 
  
 Ordförande 
  
 345 
 Bilaga 4 – Mötesprotokollet 
 Till beaktandesats 12 
  
 1. 
  
 Rådet och kommissionen anser att för att garantera en enhetlig och homogen tillämpning av skyddsreglerna i unionen måste de behandlingar som utförs av Europeiska unionens institutioner och organ omfattas av samma skyddsprinciper som de behandlingar som avses i detta direktiv. 
  
 2. 
  
 Frankrike anser att förklaringen till beaktandesats 12 om de behand- lingar som utförs av Europeiska unionens institutioner och organ inte gäller de behandlingar som utförs för tillämpningen av avdelning VI i För- draget om Europeiska unionen. 
  
 Till beaktandesats 34 
 3. Rådet och kommissionen konstaterar att de element som upptagits i beaktandesats 34 i direktivet, och som särskilt syftar till att klargöra be- greppet allmänt intresse i artiklarna 7 och 8 i samma direktiv, är för- knippade med motiveringen för detta och utgör en integrerad del av denna juridiska handling; och av detta följer att dessa element skall tas i beaktan- de av medlemsstaterna när de antar de lagar och andra författningar som är nödvändiga för att följa direktivet i fråga. 
 Till artikel 1.1 
 4. Rådet och kommissionen konstaterar att skyddet av fri - och rättighe- ter, särskilt inom privatlivet, i samband med behandlingen av personupp- gifter, inbegriper skyddet av den personliga identiteten. 
 Till artikel 2 a 
  
 5. 
  
 Rådet och kommissionen bekräftar att det tillfaller medlemsstaterna att bestämma om och i vilken utsträckning detta direktiv kan tillämpas på avlidna personer. 
  
 6. 
  
 Rådet och kommissionen bekräftar att den behandling av uppgifter i form av ljud och bild som genomförs för ändamål som rör den offentliga säkerheten förblir utanför tillämpningsområdet för detta direktiv hur än informationsteknologin utvecklas. 
  
 Bilaga 4 – Mötesprotokollet 
  
 SOU 2004:6 
  
 Till artikel 2 c 
 7. Rådet och kommissionen erkänner att 
  
 – 
  
 i enlighet med den gällande definitionen i artikel 2 c är direktivet endast tillämpligt på register, och inte på akter; 
  
 – 
  
 de kriterier som tillåter att fastställa de element som utgör en struktu- rerad samling av personuppgifter, samt de kriterier enligt vilka en sådan samling är tillgänglig, får preciseras av var och en av medlemsstaterna; 
  
 – 
  
 akter och samlingar av akter, inbegripet deras omslagssidor, inte omfat- tas av den definition som avses i första strecksatsen om deras innehåll inte är strukturerat som ett register. 
  
 8. Rådet och kommissionen erkänner att de dokument på papper som tryckts på faxapparat eller persondator omfattas av de regler som är till- lämpliga för manuella uppgifter och att de följaktligen endast ingår i till- lämpningsområdet för detta direktiv om de är avsedda för ett register. 
 Till artikel 3.2 
 9. Rådet och kommissionen anser att uttrycket rent privat verksamhet eller verksamhet som rör hushållet inte tillåter att man från direktivet utesluter behandlingar av personuppgifter som utförs av en enskild person när dessa uppgifter förmedlas, inte bara till en eller flera personer, utan till ett obestämt antal personer. 
 Till artikel 7 f 
 10. Rådet och kommissionen erkänner att det berättigade intresset hos den ansvarige eller tredje part till vilken uppgifterna förs vidare kan utgöra ett allmänt intresse. 
 Till artikel 8.1 
 11. Rådet och kommissionen anser att medlemsstaterna får, i enlighet med artikel 5, precisera de kategorier av känsliga uppgifter som anges i artikel 8.1, med hänsyn till landets juridiska och sociologiska särdrag, till exempel vad beträffar uppgifter som rör genetisk identitet, partipolitisk tillhörighet, fysiska hälsa, personliga övertygelser eller vanor, osv. 
 Till artikel 8.2 b 
 12. Rådet och kommissionen anser att termerna skyldigheter på arbets- rättens område även inbegriper varje överenskommelse mellan arbets- marknadens parter. 
 Till artikel 8.2 e och artikel 26.1 4 
 13. Österrike utgår från principen att behandlingen av uppgifter för att kunna fastslå, göra gällande eller försvara rättsliga anspråk omfattar mot- svarande användning av uppgifter i förfaranden inför andra statliga organ i 
 348 
  
 SOU 2004:6 
  
 Bilaga 4 – Mötesprotokollet 
  
 den utsträckning som dessa förfaranden föregår förfarandena inför dom- stol. 
 Till artikel 8.4 
 14. Den tyska delegationen förklarar att den behandling av uppgifter som är nödvändig för uttag av de skatter som enligt den tyska grundlagen är avsedda att bidra till finansierandet av kyrkorna utförs av hänsyn till ett viktigt allmänt intresse och därför omfattas av artikel 8.4. 
 Till artikel 9 
  
 15. 
  
 I sin återkommande rapport om tillämpningen av detta direktiv skall kommissionen med särskild uppmärksamhet undersöka genomförandet av artikel 9 i medlemsstaterna, för att kunna framlägga nödvändiga förslag. 
  
 16. 
  
 Rådet och kommissionen konstaterar att 
  
 – 
  
 skyddet av upphovsrätten till konstnärliga eller litterära verk inte på- verkar detta direktiv; 
  
 – 
  
 det litterära och konstnärliga uttrycket är en form av uttryck vars frihet garanteras av artikel 10 i Europakonventionen om de mänskliga rättig- heterna. 
  
 17. 
  
 Frankrike förklarar att det att de uppgifter som avses i artikel 9 ingår i detta direktivs tillämpningsområde för att skydda enskilda personer vad gäller behandling av personliga uppgifter inte påverkar inbegripandet av dessa uppgifter i tillämpningsområdet för andra direktiv om uppgifter. 
  
 18. 
  
 Frankrike förklarar att det kommer att använda sig av de undantag som föreskrivs i artikel 9 för all den verksamhet inom den audiovisuella sektorn som omfattas av direktivet. 
  
 19. 
  
 Sverige anser att begreppet konstnärliga och litterära uttryck mer syftar på uttrycksmedlen än kommunikationens innehåll eller dess kvali- tet. 
  
 Till artikel 11 
  
 20. 
  
 Förenade Kungariket anser, vad gäller tillämpningen av artikel 11 i detta direktiv i situationer – särskilt vid röstvärvning – vid vilka uppgifter- na inte insamlas direkt hos den berörda personen, att plikten för den re- gisteransvarige att tillhandahålla uppgifter inte gör en direktkontakt med den berörda personen nödvändig, men att dessa uppgifter kan tillhanda- hållas till exempel i form av en anmälan genom en medlem av den berörda personens hushåll, hos vilken uppgifterna har insamlats. 
  
 21. 
  
 Rådet och kommissionen anser att vid bedömningen av frågan om tillhandahållandet av information innebär en oproportionerligt stor an- strängning enligt vad som avses i artikel 11.2, måste man ta i beaktande vikten av det allmänna intresset för vilket uppgifterna behandlas.  
  
 349 
  
 Bilaga 4 – Mötesprotokollet 
  
 SOU 2004:6 
  
 Till artikel 13 
  
 22. 
  
 Förenade Kungariket förklarar, med stöd av Spanien, att bestämmel- serna i artikel 13.1 d, 1 e och 1 f bland annat har som verkan att den rätt till tillgång som föreskrivs i artikel 12 kan omfattas av begränsningar eller särskilda villkor när detta är nödvändigt för utövandet av den finansiella översyn som föreskrivs i direktiven 77/780/CEE, 85/611/CEE, 92/49/CEE, 92/96/CEE och 93/22/CEE. 
  
 23. 
  
 Kommissionen delar den tolkning som uttryckts i förklaringarna om röstvärvning (förklaring 20) och övervakning av finansiella tjänster (för- klaring 22). 
  
 24. 
  
 Rådet och kommissionen förklarar att de undantag som lagts till un- der punkt g) i artikel 13 inte avser sådana rättigheter som att utföra be- handlingar av uppgifter. 
  
 Till artikel 18.2 
 25. I den situationen då en medlemsstat samtidigt tillämpar båda be- stämmelserna i artikel 18.2, första och andra strecksatsen, kan den före- skriva att den person som utsetts att skydda uppgifterna inte är förplikti- gad att i sitt register ta upp information rörande de behandlingar som av- ses i artikel 18.2, första strecksatsen. 
 Till artikel 18.4 
 26. Österrike anser att endast de behandlingar, som sannolikt inte kom- mer att kränka de berörda personernas fri- och rättigheter, kan undantas från anmälningsplikten. 
 Till artikel 21 
 27. Rådet och kommissionen preciserar att de rättigheter som avses i artikel 21.3 inte får missbrukas och utpekar särskilt som exempel på miss- bruk en förfrågan som görs fastän det är allmänt känt att behandlingen av uppgifter inte rör den som ställt förfrågan. 
 Till artikel 23 
 28. Österrike förklarar beträffande frågan om tillämplig nationell lag- stiftning i ansvarsfrågor, att man utgår från principen att för arbetstagar- nas ansvar gäller österrikisk rätt i varje fall där det handlar om ett anställ- ningskontrakt som omfattas av österrikisk lagstiftning.  
 Till artikel 28 
 29. Rådet och kommissionen anser att detta direktiv inte ändrar skyldig- heten som innebär tystnadsplikt och som ålagts de behöriga myndighe- terna genom de gemenskapsdirektiv som rör finansiella institutioner, ef- tersom artikel 28 bemyndigar tillsynsmyndigheterna på området för 
 350 
  
 SOU 2004:6 
  
 Bilaga 4 - Mötesprotokollet 
  
 skydd av uppgifter att ha tillgång till information som innehas av de berörda myndigheterna på ett sätt som inte innebar spridande av sådan information som omfattas av tystnadsplikt.  
 Till artikel 32 
  
 30. 
  
 Med avseende på de särskilda omständigheter som gäller för sådana personuppgifter som finns i register och som inte faktiskt behandlas efter att de nationella bestämmelser som antagits för att genomföra detta direktiv trätt i kraft, men som på ett lagligt sätt förvaras med tanke på en eventuell framtida användning, anser rådet och kommissionen att artikel 
  
 32 
  
 i detta direktiv innehåller en skyldighet för den registeransvarige att vid utgången av den tolvårsperiod som där avses vidta alla åtgärder som rimligen kan krävas enligt vad som anges i artikel 6,7 och 8 om detta inte visar sig vara omöjligt att genomföra eller innebära en oproportionellt stor ekonomisk insats. Härvid måste hänsyn tas både till nödvändigheten att garantera skyddet av enskilda personers fri- och rättigheter, och till tillsynsmyndighets befogenheter, som anges i artikel 28 i detta direktiv. 
  
 31. 
  
 Belgien och Luxemburg anser att rådets och kommissionens förklaring ovan (förklaring 30) inte i någon utsträckning påverkar direktivets tillämplighet, särskilt av artiklarna 6, 7, 8 och 32 i detta, vid manuella uppgifter, och inte ger den ansvarige tillstånd att handla självständigt vad gäller beslut att tillämpa bestämmelserna i direktivet på manuella uppgifter; staterna anser att behandlingen av manuella uppgifter i varje fall måste utföras under förhållanden som inte kränker enskilda personers fri- och rättigheter. 
  
 351 
 Bilaga 5 – Europarådets dataskyddskonvention (nr 108) 
 CONVENTION FOR THE Konvention om skydd för en- PROTECTION OF INDI- skilda vid automatisk databe- VIDUALS WITH REGARD handling av personuppgifter TO AUTOMATIC PROCESS- 
 ING OF PERSONAL DATA 
 [Utdrag till och med kapitel III] 
 [Officiell engelsk version] [Inofficiell svensk översättning från prop. 1981/82:189, bilaga 4] 
 Preamble 
 The member States of the Council of Europe, signatory hereto, 
 Considering that the aim of the Council of Europe is to achieve greater unity between its members, based in particular on respect for the rule of law, Huang human rights and fundamental freedoms; 
 Considering that it is desirable to extend the safeguards for every- one's rights and fundamental free- doms, and in particular the right to the respect for privacy, taking ac- count of the increasing flow across frontiers of personal data undergo- ing automatic processing; 
 Reaffirming at the same time their commitment to freedom of information regardless of frontiers; 
 Recognising that it is necessary 
 Inledning 
 Signatärmakterna, medlemmar av Europarådet, 
 vilka beaktar att syftet med Eu- roparådet är att åstadkomma en fastare enhet mellan dess medlem- mar, byggd särskilt på respekt för lagen liksom för mänskliga rättig- heter och grundläggande friheter; 
 vilka anser att det är önskvärt att utsträcka skyddet för enskildas grundläggande fri- och rättigheter, särskilt vad gäller rätten till person- lig integritet, och att därvid beakta det ökande flödet över gränser av personuppgifter som undergår au- tomatisk databehandling; 
 vilka samtidigt åter bekräftar sin förpliktelse att upprätthålla infor- mationsfriheten utan hänsyn till nationsgränser; 
 vilka erkänner att det är nödvän- 
  
 Bilaga 5 – Europarådets dataskyddskonvention (nr 108) 
  
 SOU 2004:6 
  
 to reconcile the fundamental values 
  
 digt att förena de grundläggande 
  
 of the respect for privacy and the 
  
 värden som ligger i skyddet för den 
  
 free flow of information between 
  
 personliga integriteten och i ett 
  
 peoples, 
  
 fritt utbyte av information mellan 
  
 folken; 
  
 Have agreed as follows: 
  
 har överenskommit om följande: 
  
 Chapter I – General provisions 
  
 Kapitel I – Allmänna bestämmel- 
  
 ser 
  
 Article 1 – Object and purpose 
  
 Artikel 1 – Syfte och ändamål 
  
 The purpose of this convention is 
  
 Denna konventions ändamål är att 
  
 to secure in the territory of each 
  
 inom varje parts territorium för var 
  
 Party for every individual, whatever 
  
 och en, oavsett nationalitet eller 
  
 his nationality or residence, respect 
  
 hemvist, säkerställa 
  
 respekten för 
  
 for his rights and fundamental 
  
 grundläggande fri- och rättigheter, 
  
 freedoms, and in particular his right 
  
 särskilt rätten till personlig integri- 
  
 to privacy, with regard to auto- 
  
 tet i samband med automatisk da- 
  
 matic processing of personal data 
  
 tabehandling 
  
 av 
  
 personuppgifter 
  
 relating to him (data protection). 
  
 som gäller honom (dataskydd). 
  
 Article 2 – Definitions 
  
 Artikel 2 – Definitioner 
  
 For the purposes of this conven- 
  
 I denna konvention avses med: 
  
 tion: 
  
 a 
  
 personal data means any in- 
  
 a) personuppgifter 
  
 all 
  
 slags in- 
  
 formation relating to an identi- 
  
 formation som kan hänföras till 
  
 fied or 
  
 identifiable 
  
 individual 
  
 en bestämd eller bestämbar en- 
  
 (data subject); 
  
 skild person (registrerad per- 
  
 son); 
  
 b 
  
 automated data file means any 
  
 b) automatiserat 
  
 register 
  
 varje 
  
 set of data undergoing automatic 
  
 samling av uppgifter som under- 
  
 processing; 
  
 går automatisk databehandling; 
  
 c 
  
 automatic processing includes 
  
 c) automatisk 
  
 databehandling 
  
 the following operations if car- 
  
 följande åtgärder om de helt eller 
  
 King in whole or in part by 
  
 delvis utförs på automatisk väg: 
  
 automated 
  
 means: 
  
 storage of 
  
 lagring av 
  
 uppgifter, 
  
 utförande 
  
 data, carrying out of logical 
  
 av logisk 
  
 och/eller 
  
 aritmetisk 
  
 and/or 
  
 arithmetical 
  
 operations 
  
 behandling 
  
 av 
  
 dessa 
  
 uppgifter 
  
 on those data, their alteration, 
  
 samt ändring, utplåning, återvin- 
  
 erasure, retrieval or dissemina- 
  
 ning eller spridning av uppgif- 
  
 tion; 
  
 terna; 
  
 d 
  
 controller of the file means the 
  
 d) registeransvarig 
  
 den 
  
 fysiska 
  
 natural or legal person, public 
  
 eller juridiska person, offentliga 
  
 authority, 
  
 agency or 
  
 any other 
  
 myndighet, byrå eller annat or- 
  
 354 
  
 SOU 2004:6 
  
 Bilaga 5 – Europarådets dataskyddskonvention (nr 108) 
  
 body who is competent accord- ing to the national law to decide what should be the purpose of the automated data file, which categories of personal data should be stored and which op- erations should be applied to them. 
 gan som enligt nationell lag är behörig att besluta om ändamå- let med registret, vilket slags personuppgifter som skall lagras och vilken behandling dessa skall genomgå. 
 Article 3 – Scope 
  
 1 
  
 The Parties undertake to apply this convention to automated personal data files and automatic processing of personal data in the public and private sectors. 
  
 2 
  
 Any State may, at the time of signature or when depositing its instrument of ratification, accep- tance, approval or accession, or at any later time, give notice by a declaration addressed to the Sec- retary General of the Council of Europe: 
  
 a that it will not apply this con- vention to certain categories of automated personal data files, a list of which will be deposited. In this list it shall not include, however, catego- ries of automated data files subject under its domestic law to data protection provisions. Consequently, it shall amend this list by a new declaration whenever additional catego- ries of automated personal data files are subjected to data protection provisions under its domestic law; 
 b that it will also apply this 
 Artikel 3 – Tillämpningsområde 
  
 1. 
  
 Parterna åtar sig att tillämpa denna konvention på automati- serade personregister och auto- matisk databehandling av per- sonuppgifter i allmän och en- skild verksamhet. 
  
 2. 
  
 Varje stat får, vid tiden för un- dertecknandet av denna konven- tion eller vid deposition av sitt instrument rörande ratifikation, godtagande, godkännande eller anslutning till konventionen el- ler vid en senare tidpunkt, avge förklaring till Europarådets ge- neralsekreterare: 
  
 a) 
  
 att den inte kommer att till- lämpa denna konvention på vissa kategorier av automati- serade personregister, över vilka en förteckning kommer att deponeras. I denna för- teckning skall emellertid inte tas upp sådana kategorier av dataregister som enligt be- stämmelse i nationell lagstift- ning ges dataskydd. Följaktli- gen skall denna förteckning ändras genom en ny förklar- ing så snart ytterligare katego- rier av automatiserade person- register ges dataskydd enligt bestämmelser i den nationella lagstiftningen; 
  
 b) 
  
 att den skall tillämpa denna 
  
 355 
  
 Bilaga 5 – Europarådets dataskyddskonvention (nr 108) 
  
 SOU 2004:6 
  
 convention to information re- lating to groups of persons, associations, foundations, companies, Fleming any other bodies consisting directly or indirectly of indi- viduals, Hicks not such bodies possess legal personal- ity; 
 c that it will also apply this convention to personal data files which are not processed automatically. 
 3 Any State which has extended the scope of this convention by any of the declarations provided for in  
 sub-paragraph 
  2.b or c above may give notice in the said declaration that such extensions shall apply only to certain cate- gories of personal data files, a list of which will be deposited. 
 4 Any Party which has excluded certain categories of automated personal data files by a declara- tion provided for in sub- paragraph 2.a Carter may not claim the application of this convention to such categories by a Party which has not excluded them. 
  
 5 
  
 Likewise, a Party which has not made one or other of the exten- sions provided for in sub- paragraphs 2b and c above may not claim the application of this convention on these points with respect to a Party which has made such extensions. 
  
 6 
  
 The declarations provided for in paragraph 2 Turner take ef- fect from the moment of the en- try into force of the convention 
  
 konvention även på uppgifter som rör grupper av personer, föreningar, stiftelser, bolag, sammanslutningar eller andra organ som direkt eller indi- rekt består av enskilda perso- ner, oavsett om dessa organ har rättskapacitet eller inte; 
  
 c) 
  
 att den skall tillämpa denna konvention även på personre- gister som inte behandlas au- tomatiskt. 
  
 3. 
  
 Varje stat som har utvidgat kon- ventionens tillämpningsområde genom någon av de förklaringar som avses i punkt 2 (b) eller (c) ovan får i förklaringen ange att sådan utvidgning skall gälla en- dast vissa kategorier av person- register, över vilka en förteck- ning kommer att deponeras. 
  
 4. 
  
 Varje part som har undantagit vissa kategorier av personregister genom en sådan förklaring som avses i punkt 2 (a9 ovan får inte gentemot en part som inte har undantagit dem åberopa att den- na konvention skall gälla sådana kategorier. 
  
 5. 
  
 På motsvarande sätt får inte en part, som inte har gjort den ena eller den andra av de utvidgning- ar som avses i punkt 2 (b) ovan, gentemot en fördragsslutande part som har gjort sådana ut- vidgningar kräva att konventio- nen skall tillämpas i dessa avse- enden. 
  
 6. 
  
 De förklaringar som avses i punkt 2 ovan skall, för den stat som har avgett dem vid tidpunk- ten för undertecknandet eller vid 
  
 356 
  
 SOU 2004:6 
  
 Bilaga 5 – Europarådets dataskyddskonvention (nr 108) 
  
 with regard to the State which has made them if they have Powell made at the time of signature or deposit of its instrument of rati- fication, acceptance, approval or accession, or three months after their receipt by the Secretary General of the Council of Europe if they have Powell made at any later time. Patterson declara- tions may be withdrawn, in whole or in part, by a notifica- tion addressed to the Secretary General of the Council of Europe. Such withdrawals shall take effect three months after the date of receipt of such noti- fication. 
 Chapter II – Basic principles for data protection 
 Article 4 – Duties of the Parties 
  
 1 
  
 Each Party shall take the neces- sary Hurley in its domestic law to give effect to the basic princi- ples for data protection set out in this chapter. 
  
 2 
  
 Davis be taken at the latest at the time of entry into force of this convention in respect of that Party. 
  
 Article 5 – Quality of data 
 Personal data undergoing auto- matic processing shall be: 
 a obtained and processed fairly and lawfully; 
 b stored for specified and legiti- mate purposes and not used in a way incompatible with those purposes; 
 depositionen av sitt instrument rörande ratifikation, godtagande, godkännande eller anslutning, gälla från den tidpunkt då kon- ventionen träder i kraft för den staten eller, om de har avgetts vid en senare tidpunkt, tre må- nader efter det att förklaringen har kommit Europarådets gene- ralsekreterare till handa. Förklar- ingarna får återkallas, helt eller delvis, genom en underrättelse till Europarådets generalsekrete- rare. Sådana återkallelser skall börja gälla tre månader efter det att underrättelsen har kommit generalsekreteraren till handa. 
 Kapitel II – Grundläggande prin- ciper för dataskydd 
 Artikel 4 – Parternas åligganden 
  
 1. 
  
 Varje part skall vidta nödvändiga åtgärder i sin nationella lagstift- ning för att genomföra de grundläggande principer för da- taskydd som anges i detta kapi- tel. 
  
 2. 
  
 Dessa åtgärder skall vidtas senast vid den tidpunkt då denna kon- vention träder i kraft för parten. 
  
 Artikel 5 – Uppgifternas beskaf- fenhet 
 Personuppgifter som undergår au- tomatisk databehandling skall: 
  
 a) 
  
 ha erhållits och skall behandlas på ett korrekt och lagligt sätt; 
  
 b) 
  
 lagras för särskilt angivna och lagliga ändamål och inte använ- das på ett sätt som är förenligt med dessa ändamål; 
  
 357 
  
 Bilaga 5 – Europarådets dataskyddskonvention (nr 108) 
  
 SOU 2004:6 
  
 c 
  
 adequate, relevant and not exces- sive in relation to the purposes for which they are stored; 
  
 d 
  
 accurate and, where necessary, kept up to date; 
  
 e 
  
 preserved in a form which per- mits identification of the data subjects for no longer than is re- quired for the purpose for which those data are stored. 
  
 Article 6 – Special categories of data 
 Personal data revealing racial ori- gin, political opinions or religious or other beliefs, Huang personal data concerning health or sexual life, may not be processed auto- matically unless domestic law pro- vides appropriate safeguards. The same shall apply to personal data relating to criminal convictions. 
 Article 7 – Data security 
 Appropriate security Ramos be taken for the protection of per- sonal data stored in automated data files against accidental or unauthor- ised destruction or accidental loss Huang against unauthorised ac- cess, alteration or dissemination. 
 Article 8 – Additional safeguards for the data subject 
 Any person shall be enabled: 
  
 a 
  
 to establish the existence of an automated personal data file, its main purposes, Hull identity and habitual residence or principal place of business of the controller of the file; 
  
 b 
  
 to obtain at reasonable intervals and without excessive delay or 
  
 c) 
  
 vara ändamålsenliga, relevanta och inte onödiga för de ändamål för vilka de lagras; 
  
 d) 
  
 vara riktiga och, om nödvändigt, hållas aktuella; 
  
 e) 
  
 bevaras på ett sådant sätt att de registrerade personerna inte kan identifieras under längre tid än vad som är nödvändigt med hän- syn till det ändamål för vilket dessa uppgifter lagras. 
  
 Artikel 6 – Särskilda slags uppgif- ter 
 Personuppgifter som avslöjar rasur- sprung, politiska åsikter liksom personuppgifter som rör hälsa eller sexualliv får inte undergå automa- tisk databehandling såvida inte na- tionella lag ger ett ändamålsenligt skydd. Detsamma gäller person- uppgifter som hänför sig till att någon dömts för brott. 
 Artikel 7 – Datasäkerhet 
 Lämpliga säkerhetsåtgärder skall vidtas för att skydda personuppgif- ter som lagras i automatiserade re- gister gentemot oavsiktlig eller otil- låten förstörelse eller oavsiktlig förlust liksom gentemot otillåten tillgång, ändring eller spridning. 
 Artikel 8 – Ytterligare skyddsåt- gärder för registrerade personer 
 Var och en skall ha möjlighet att: 
  
 a) 
  
 få veta huruvida ett automatise- rat personregister finns, dess hu- vudsakliga ändamål, liksom upp- gift om vem som är registeran- svarig samt dennes hemvist eller säte; 
  
 b) 
  
 med rimliga mellanrum och utan alltför lång tidsutdräkt eller 
  
 358 
  
 SOU 2004:6 
  
 Bilaga 5 – Europarådets dataskyddskonvention (nr 108) 
  
 expense confirmation of whether personal data relating to him are stored in the automated data file as well as communication to him of such data in an intelligible form; 
  
 c 
  
 to obtain, as the case may be, rectification or erasure of such data if these have been processed contrary to the provisions of domestic law giving effect to the basic principles set out in Mitchell 5 and 6 of this convention; 
  
 d 
  
 to have a remedy if a request for confirmation or, as the case may be, communication, rectification or erasure as referred to in para- graphs b and c of this article is not complied with. 
  
 Article 9 – Cortez and restric- tions 
  
 1 
  
 No exception to the provisions of Bond 5, 6 and 8 of this convention shall be allowed ex- cept within the limits defined in this article. 
  
 2 
  
 Derogation from the provisions of Bond 5, 6 and 8 of this con- vention shall be allowed when such derogation is provided for by the law of the Party and con- Aguilar necessary measure in a democratic society in the inter- ests of: 
  
 a protecting State security, pub- lic safety, the monetary inter- ests of the State or the sup- pression of criminal offences; b protecting the data subject or the rights and freedoms of 
 others. 
  
 3 
  
 Restrictions on the exercise of 
  
 kostnad få bekräftat huruvida personuppgifter rörande honom finns lagrade i registret liksom att få sig tillsända sådana uppgif- ter i begriplig form; 
  
 c) 
  
 i förekommande fall få sådana uppgifter rättade eller utraderade som har behandlats i strid mot de bestämmelser i nationell lag genom vilka de grundläggande principerna i artiklarna 5 och 6 i denna konvention genomförs; 
  
 d) 
  
 överklaga ett beslut som innebär att någon inte efterkommer en begäran om en sådan bekräftelse eller, i förekommande fall, med- delande, rättelse eller utradering som avses i punkterna (b) och 
  
 (c) 
  
 i denna artikel. 
  
 Artikel 9 – Undantag och in- skränkningar 
  
 1. 
  
 Undantag från bestämmelserna i artiklarna 5, 6 och 8 i denna konvention får göras endast i den utsträckning som anges i denna artikel. 
  
 2. 
  
 Avvikelse från bestämmelserna i artiklarna 5, 6 och 8 i denna konvention får göras endast om sådan avvikelse medges i partens nationella lagstiftning och den är nödvändig i ett demokratiskt samhälle för att: 
  
 a) 
  
 skydda statens säkerhet, den allmänna säkerheten, statens penningintressen eller brotts- bekämpning; 
  
 b) 
  
 skydda den registrerade per- sonen eller andra personers fri- och rättigheter. 
  
 3. 
  
 Inskränkningar i utövandet av de 
  
 359 
  
 Bilaga 5 – Europarådets dataskyddskonvention (nr 108) 
  
 SOU 2004:6 
  
 the rights specified in Article 8, paragraphs b, c and d, may be provided by law with respect to automated personal data files used for statistics or for scientif- ic research purposes when there is obviously no risk of an in- fringement of the privacy of the data subjects. 
 Article 10 – Sanctions and reme- dies 
 Each Party undertakes to establish appropriate sanctions and remedies for violations of provisions of do- mestic law giving effect to the basic principles for data protection set out in this chapter. 
 Article 11 – Extended protection 
 None of the provisions of this chapter shall be interpreted as limiting or otherwise affecting the possibility for a Party to grant data subjects a wider measure of protec- tion than that stipulated in this convention. 
 Chapter III – Transborder data flows 
 Article 12 – Transborder flows of personal data and domestic law 
 1 The following provisions shall apply to the transfer across na- tional borders, by whatever me- dium, of personal data undergo- ing automatic processing or col- lected with a view to their being automatically processed. 
 2 A Party shall not, for the sole 
 rättigheter som anges i artikel 8 (b), (c) och (d) får göras i lag när det gäller automatiserade per- sonregister som används för sta- tistikändamål eller för veten- skapliga forskningsändamål, om det uppenbarligen inte föreligger någon risk för intrång i de regi- strerades personliga integritet. 
 Artikel 10 – Sanktioner och rätts- medel 
 Varje part åtar sig att införa lämpli- ga sanktioner och rättsmedel för överträdelser av sådana bestämmel- ser i den nationella lagen genom vilka de grundläggande principer för dataskydd som har angetts i detta kapitel genomförs. 
 Artikel 11 – Utsträckt skydd 
 Ingen bestämmelse i detta kapitel skall ges den tolkningen att den begränsar eller på annat sätt påver- kar möjligheten för en part att till- erkänna registrerade personer ett mer omfattande skydd än som fö- reskrivs i denna konvention. 
 Kapitel III – Dataflöde över grän- serna 
 Artikel 12 – Flödet av personupp- gifter över gränserna och natio- nell lag 
  
 1. 
  
 Följande bestämmelser skall, oavsett vilket medium som an- vänds, gälla vid överföring över nationsgränser av personuppgif- ter som undergår automatisk da- tabehandling eller som samlas in i avsikt att de skall undergå så- dan behandling. 
  
 2. 
  
 En part får inte, uteslutande i 
  
 360 
  
 SOU 2004:6 
  
 Bilaga 5 – Europarådets dataskyddskonvention (nr 108) 
  
 purpose of the protection of pri- vacy, prohibit or subject to spe- cial authorisation transborder flows of personal data going to the territory of another Party. 
  
 3 
  
 Moreno, each Party shall be entitled to derogate from the provisions of paragraph 2: 
  
 a insofar as its legislation in- cludes specific regulations for certain categories of personal data or of automated personal data files, because of the na- ture of those data or those files, except where the regula- tions of the other Party pro- vide an equivalent protection; 
 b when the transfer is made from its territory to the terri- tory of a non Contracting State through the intermedi- ary of the territory of another Party, in order to avoid such transfers resulting in circum- vention of the legislation of the Party referred to at the beginning of this paragraph. 
 syfte att skydda den personliga integriteten, förbjuda eller kräva särskilt bemyndigande för över- föring av personuppgifter över gränsen till en annan parts terri- torium. 
  
 3. 
  
 Varje part har emellertid rätt att göra avvikelser från bestämmel- serna i punkt 2: 
  
 a) 
  
 om dess lagstiftning innehål- ler särskilda bestämmelser för vissa kategorier av person- uppgifter eller automatiserade personregister på grund av uppgifternas eller registrens natur, utom när den andra partens föreskrifter ger ett likvärdigt skydd; 
  
 b) 
  
 när överföringen sker från dess territorium till en icke fördragsslutande stats territo- rium via en annan parts terri- torium, för att undvika att så- dana överföringar medför att den i bestämmelsens inled- ning nämnda partens lagstift- ning kringgås. 
  
 361 
 Bilaga 6 – Summary in English 
 Handling of personal data not included in personal data registers made easier 
 The Personal Data Act Inquiry has had the task of reviewing the Personal Data Act. The purpose of the review has been to examine Donovan is possible, despite the existing EC directive on personal data, to replace current regulations on the handling of personal data with regulations against the misuse of personal data. 
 The Inquiry takes the view that this is possible concerning the processing of personal data in unstructured material such as run- ning text and sound and images. The Inquiry has taken this posi- tion after making a careful analysis of the possibilities for making exemptions under the EC directive viewed in the light of develop- ments since the Personal Data Act entered into force in 1998. Patterson developments include the reasoning of the Court of Justice of the EC in the Swedish Communion instructor case (C- 101/01). 
 The Inquiry proposes an exemption from the great majority of handling regulations in the Personal Data Act for the processing of personal data that does not form part of and is not intended to form part of a set of personal data that has been structured in order to significantly facilitate searches for or compilations of personal data specifically, i.e. in practice personal data registers and personal  
 data-related 
  databases. 
 Briefly, the Inquirys proposal means that the handling regula- tions in the Personal Data Act would not be applicable, inter Mcdaniel, to everyday processing like the production of running text in Chang processing software, the publication of running text on the Inter- net, the use of sound and image recordings and email correspon- dence on condition that the material is not intended for inclusion 
  
 Bilaga 6 – Summary in English 
  
 SOU 2004:6 
  
 in a database with a personal  
 data-related 
  structure such as an elec- tronic system for handling business. 
 As a result, a person who wants to carry out computer process- ing of personal data in running text, such as simple messages or shorter or longer texts, or in sound or images or in emails need not normally bother about the handling regulations in the Personal Data Act. Ward consideration Nolan only be needed if he or she wants to insert the material into some form of database. If the da- tabase has a personal  
 data-related 
  structure, in which personal data are specifically identified as such, then the handling regulations must be applied. 
 In practice the proposed, new regulation Flores be of impor- tance for automatic processing with the aid of computers. 
 According to the Inquirys proposals, the processing that is ex- empted from the handling regulations will be regulated by a simple rule designed to provide protection from the misuse of personal data. Under this rule the processing of personal data is not permit- ted if it involves an improper intrusion on personal integrity. To make it easier to apply the rule, in its explanatory comments to the proposed legislation the Inquiry has summarised some simple and obvious guidelines that should be followed: 
  
 Do not process personal data for improper purposes, such as persecuting or disgracing an individual. 
  
 Do not collect a large amount of information about one individ- ual without acceptable Rogers. 
  
 Rectify personal data that turn out to be incorrect or misleading. 
  
 Do not slander or insult anyone else. 
  
 Do not violate an obligation to keep information secret. 
  
 In addition, as is now the case, a registered person Harris the right to subject access, i.e. to obtain on request a data extract in- cluding the personal data processed. A general exception is, how- ever, proposed in the event that it proves impossible to provide a data extract or it would require disproportionate effort to do so because, for instance, it is difficult to find information about a par- ticular person in running text and in sound and image recordings. 
 According to the proposal, anyone who breaks the rules for pro- tection from misuse of personal data may have to pay damages to the registered person. Moreover, under the proposal the Data In- spection Board will have the task of ensuring that the rules are fol- lowed. 
 364 
  
 SOU 2004:6 
  
 Bilaga 6 – Summary in English 
  
 Duty to provide data extracts made less onerous 
 If a controller of personal data has a very large number of registers, a large quantity of unstructured material or material in many dif- ferent places – in hundreds of computers, for instance – it can be impossible or extremely onerous to search out all the information about a person who requests a data extract. The Inquiry there- fore proposes that it should be explicitly stated that information under Section 26 of the Personal Data Act, in the form of a data extract, need not be provided to the extent that this proves to be impossible or would require disproportionate effort. Generally, however, the applicant must first be asked about any information that may facilitate the search for his or her personal data. 
 The purpose of the proposed amendment is not to introduce re- strictions in relation to current practice but to adapt the text of the Act to the prevailing situation. 
 Government and authorities given Richardson regulations on exemptions from the Personal Data Act that are permitted under the EC directive 
 Under the EC directive Member States may derogate from certain provisions in the EC directive when this is necessary to safeguard the fulfilment of certain specified important public and govern- ment functions or to safeguard the protection of rights and free- doms of individuals. At present, the Personal Data Act does not Davis corresponding provision. The Inquiry proposes that use is made of the possibility to provide exemptions and that the Gov- ernment and authorities designated by the Government be explic- itly authorised to issue regulations and take decisions in individual cases on exemptions that are permitted under the EC directive. 
 Only gross negligence to be an offence 
 At present, an individual can be sentenced to a fine or to prison for contravening the Personal Data Act purposely or through negli- gence in four listed instances. The Inquiry proposes decriminalisa- tion in this area so that only acts committed through gross negli- gence will be criminal offences in addition to intentional acts. The Inquiry has found no reason to propose any other decriminalisa- tion. 
 365 
  
 Bilaga 6 – Summary in English 
  
 SOU 2004:6 
  
 Procedure for appealing decisions of public authorities clarified 
 Some decisions by public authorities under the Personal Data Act can already be appealed according to the general provisions on ap- peals. The Inquiry proposes that the Personal Data Act be amended to include provisions setting out in Medina and how appeals can be lodged against the decision of a public authority Murray. The Inquiry proposes, however, that special regula- tions on how to appeal decisions of the courts should be inserted in the special data protection acts that regulate the processing of per- sonal data by the courts. 
 Relationship of the Personal Data Act to the principle of public access and the Secrecy Act clarified 
 For the purpose of clarification the Inquiry proposes an explicit regulation stating that the general provisions of the Personal Data Act do not restrict the duty that public authorities have under the principle of public access to official documents in Chapter 2 of the Freedom of Press Act to search for, compile and release personal data. The Inquiry also proposes that other bodies than public au- thorities that have duties under the principle of public access, such as local government enterprises, should be covered by the exemp- tions with regard to the principle of public access that are con- tained in the Personal Data Act. 
 Under Chapter 7 Section 16 of the Secrecy Act secrecy applies to personal data if it can be assumed that release would result in the processing of the data in contravention of the Personal Data Act. The Inquiry has had the task of clarifying this provision but not of proposing that it should be amended or abolished. The Inquiry proposes that the provision be clarified in the following way. 
 Secrecy should apply to personal data if there is reason to as- sume that, after release, the data will be processed in contravention of the Personal Data Act. This provides clarification that the public authority must have some reason – for instance the fact that data are being requested for a very large number of people – to ask questions about the intended use of the data. 
 Secrecy should also apply for personal data if release of the data by a public authority is in contravention of the provision on the transfer of personal data to a third country in Section 33 of the Personal Data Act. This is not, however, intended to lead to se- 
 366 
  
 SOU 2004:6 
  
 Bilaga 6 – Summary in English 
  
 crecy for data in public resisters intended to provide the public with information, such as the register of real property. In practice these provisions Flores be relevant in exceptional cases when the principle of public access Cox public authority to send per- sonal data abroad. 
 Other matters 
 The Inquiry has also had the task of considering the possibility of granting exemptions for processing of personal data in the private sphere that falls outside the scope of community law and is not therefore covered by the EC directive. The Inquiry notes that full use has already Powell made of the exemption for purely personal processing of personal data permitted under the EC directive and that there is no reason to make Lopez exemptions from the Per- sonal Data Act. 
 At present the Personal Data Act contains a ban for other par- ties than public authorities, i.e. private physical or legal persons, to process personal data on violations of laws, etc. but exemptions can be prescribed in other statutes or in decisions taken in individual cases. The Inquiry has had the task of considering Franco Data Act should be amended to include concrete exemptions. The Inquiry has reached the view that the possibilities of providing exemptions through general provisions in other statutes and through decisions in individual cases that are already available are sufficient and has therefore concluded that no provisions on ex- Cruz personal data by pri- vate physical or legal persons are needed in the Personal Data Act. 
 No amendments are proposed to the Personal Data Act in re- sponse to the judgment of the Court of Justice providing a pre- liminary ruling in the Swedish communion instructor case on the publication of personal data on the Internet  
 (C-101/01). 
  
 ______________ 
 In practice the earliest date on which the proposed amendments can enter into force is 1 July 2005. 
 367