Till statsrådet Yates 
 Genom beslut den 21 februari 2002 bemyndigade regeringen stats- rådet Carter att tillkalla en särskild utredare med uppgift att se över personuppgiftslagen. 
 Den 14 mars 2002 förordnades chefsjuristen Forbes att vara särskild utredare. 
 Till experter förordnades från och med den 1 april 2002 hov- rättsassessorn Miller, advokaten Anderson, hovrättsrå- det Saunders, chefsjuristen Blackwell, juristen Powell, regeringsrådet Clark, advokaten Duncan, bolagsjuristen Thompson, professorn Taylor pel, departementssekreteraren Romero, jur.kand. Bullock, juristen  
 Garcia 
  Rivera och förbundsjuristen Williams. Romero entledigades per den 1 september 2002. 
 Utredningen har antagit namnet Personuppgiftslagsutredningen. Miller har författat avsnitt  
 6.  
 Datainspektionen har bi- 
 dragit med avsnitt  
 5.3. 
  
 Duncan och Bullock har avgett särskilt yttrande. Utredningen överlämnar härmed betänkandet Översyn av per- 
 sonuppgiftslagen (SOU 2004:6). Uppdraget är därmed slutfört. 
 Stockholm i januari 2004 
 Sören Öman 
 Innehållsförteckning 
  
 Sammanfattning ................................................................ 
  
 11 
  
 1 Författningsförslag...................................................... 
  
 17 
  
 1.1 
  
 Förslag till lag om ändring i personuppgiftslagen 
  
 (1998:204) ....................................................................... 
  
 17 
  
 1.2 
  
 Förslag till lag om ändring i sekretesslagen 
  
 (1980:100) ....................................................................... 
  
 22 
  
 2 
  
 Utredningsarbetet och betänkandet.............................. 
  
 23 
  
 2.1 
  
 Utredningsarbetet........................................................... 
  
 23 
  
 2.2 
  
 Betänkandet..................................................................... 
  
 24 
  
 3 
  
 Den personliga integriteten ......................................... 
  
 27 
  
 3.1 
  
 Begreppet personlig integritet ....................................... 
  
 27 
  
 3.2 
  
 Personlig integritet vid automatiserad behandling 
  
 av personuppgifter .......................................................... 
  
 30 
  
 4 
  
 Internationella instrument........................................... 
  
 37 
  
 4.1 
  
 Inledning ......................................................................... 
  
 37 
  
 4.2 
  
 Europarådet..................................................................... 
  
 38 
  
 4.2.1 
  
 Europakonventionen ........................................... 
  
 38 
  
 4.2.2 
  
 Dataskyddskonvention nr 108 ............................ 
  
 39 
  
 4.3 
  
 OECD:s riktlinjer........................................................... 
  
 41 
  
 4.4 
  
 FN:s riktlinjer ................................................................. 
  
 44 
  
 5 
  
 Utvecklingen i rättstillämpningen och av annan 
  
 vägledning 
  
 ................................................................. 
  
 49 
  
 5.1 
  
 Inledning ......................................................................... 
  
 49 
  
 5.2 
  
 Svensk domstolspraxis.................................................... 
  
 50 
  
 5.2.1 
  
 Tillämpning av personuppgiftslagen .................. 
  
 50 
  
 5.2.2 ..........Tillämpning av 7 kap. 16 § sekretesslagen 
  
 62 
  
 5.2.3 ........................................................... 
  
 Övriga mål 
  
 68 
  
 5.3 
  
 Datainspektionens ...............................................praxis 
  
 72 
  
 Innehållsförteckning 
  
 SOU 2004:6 
  
 5.3.1 
  
 Avvikande författningsbestämmelser (2 §)........ 
  
 73 
  
 5.3.2 
  
 Personuppgifter (3 §) .......................................... 
  
 75 
  
 5.3.3 
  
 Personuppgiftsansvar (3 §) ................................. 
  
 75 
  
 5.3.4 
  
 Förhållandet till tryck- och yttrandefriheten 
  
 (7 §) ...................................................................... 
  
 76 
  
 5.3.5 
  
 Berättigade ändamål (9 §) och tillåten 
  
 behandling (10 §)................................................. 
  
 78 
  
 5.3.6 
  
 Känsliga personuppgifter  
  
 (13–19 
  
  §§) ................. 
  
 80 
  
 5.3.7 
  
 Personnummer (22 §).......................................... 
  
 83 
  
 5.3.8 
  
 Information till den registrerade (25 §) ............. 
  
 83 
  
 5.3.9 
  
 Registerutdrag (26 §)........................................... 
  
 85 
  
 5.3.10 Publicering på Internet (33 §)............................. 
  
 85 
  
 5.4 
  
 Justitiekanslerns praxis ................................................... 
  
 86 
  
 5.5 
  
 Mål i  
  
 EG-domstolen ....................................................... 
  
 89 
  
 5.5.1 Mål om att medlemsstater inte följt EG- 
  
 direktivet .............................................................. 
  
 89 
  
 5.5.2 
  
 Förhandsavgöranden ........................................... 
  
 89 
  
 5.6 
  
 Annan vägledning............................................................ 
  
 92 
  
 5.6.1 
  
 Vägledning från Datainspektionen ..................... 
  
 92 
  
 5.6.2 
  
 Branschöverenskommelser.................................. 
  
 92 
  
 5.6.3 
  
 Särskilda registerförfattningar............................. 
  
 93 
  
 5.6.4 
  
 Litteratur .............................................................. 
  
 93 
  
 5.7 
  
 Utredningens analys ....................................................... 
  
 94 
  
 6 
  
 Justitiedepartementets offentliga utvärdering ................ 
  
 97 
  
 6.1 
  
 Inledning.......................................................................... 
  
 97 
  
 6.2 
  
 Eventuella problem med  
  
 EG-direktivet......................... 
  
 98 
  
 6.3 
  
 Missbruksmodell........................................................... 
  
 100 
  
 7 
  
 Personuppgifter som inte ingår i personregister............ 
  
 101 
  
 7.1 
  
 Inledning........................................................................ 
  
 101 
  
 7.2 
  
 Missbruksmodell........................................................... 
  
 102 
  
 7.3 
  
 EG-direktivet................................................................. 
  
 107 
  
 7.3.1 Undantag enligt artikel 3.2 för sådant som 
  
 faller utanför gemenskapsrätten och för 
  
 rent privat behandling........................................ 
  
 107 
  
 7.3.2 Undantag enligt artikel 9 för journalistiska 
  
 ändamål eller konstnärligt eller litterärt 
  
 skapande ............................................................. 
  
 108 
  
 7.3.3 Undantag enligt artikel 13 med hänsyn till 
  
 skyddet av fri- och rättigheter .......................... 
  
 109 
  
 7.3.4 Intresseavvägning enligt artikel 7 f ................... 
  
 112 
  
 6 
  
 SOU 2004:6 
  
 Innehållsförteckning 
  
 7.3.5 Undantag för uppgifter som avses i artikel 8 
  
 ...  
 113 
  
 7.3.6 Undantag från förbudet mot överföring av 
  
 personuppgifter i artikel 25............................... 
  
 116 
  
 7.3.7 Undantag från anmälningsskyldighet enligt 
  
 artikel 18............................................................. 
  
 118 
  
 7.3.8 
  
 Sammanfattning................................................. 
  
 119 
  
 7.4 
  
 Europarådets dataskyddskonvention .......................... 
  
 123 
  
 7.5 
  
 Europakonventionen .................................................... 
  
 124 
  
 7.6 
  
 2 kap. 3 § regeringsformen........................................... 
  
 124 
  
 7.7 
  
 Överväganden och förslag............................................ 
  
 125 
  
 7.7.1 
  
 Inledning ............................................................ 
  
 125 
  
 7.7.2 Vilka behandlingar bör undantas? .................... 
  
 126 
  
 7.7.3 Vilka bestämmelser i personuppgiftslagen 
  
 bör undantaget omfatta?................................... 
  
 139 
  
 7.7.4 Vilka bestämmelser behövs till skydd mot 
  
 missbruk?........................................................... 
  
 143 
  
 7.7.5 
  
 Tillsyn och sanktioner....................................... 
  
 148 
  
 8 
  
 Sådant som inte omfattas av  
  
 EG-direktivet.................. 
  
 151 
  
 8.1 
  
 Utredningsdirektiven ................................................... 
  
 151 
  
 8.2 
  
 EG-direktivet ................................................................ 
  
 151 
  
 8.2.1 Sådant som faller utanför gemenskapsrätten... 
  
 151 
  
 8.2.2 
  
 Rent privat behandling...................................... 
  
 156 
  
 8.3 
  
 Europarådets dataskyddskonvention .......................... 
  
 157 
  
 8.4 
  
 Personuppgiftslagen ..................................................... 
  
 157 
  
 8.4.1 Personuppgiftslagen är generellt tillämplig ..... 
  
 157 
  
 8.4.2 Undantaget för privat behandling av 
  
 personuppgifter ................................................. 
  
 158 
  
 8.5 
  
 Genomförandet i andra länder..................................... 
  
 159 
  
 8.6 
  
 Överväganden ............................................................... 
  
 159 
  
 9 
  
 Undantag enligt artikel 13 ........................................ 
  
 165 
  
 9.1 
  
 Utredningsdirektiven ................................................... 
  
 165 
  
 9.2 
  
 EG-direktivet ................................................................ 
  
 165 
  
 9.3 
  
 Europarådets dataskyddskonvention .......................... 
  
 167 
  
 9.4 
  
 Personuppgiftslagen ..................................................... 
  
 168 
  
 9.5 
  
 Genomförandet i andra länder..................................... 
  
 169 
  
 9.6 
  
 Överväganden och förslag............................................ 
  
 169 
  
 10 
  
 Enskildas behandling av personuppgifter om 
  
 lagöverträdelser........................................................ 
  
 173 
  
 10.1 
  
 Utredningsdirektiven ................................................... 
  
 173 
  
 7 
  
 Innehållsförteckning 
  
 SOU 2004:6 
  
 10.2 
  
 EG-direktivet................................................................. 
  
 173 
  
 10.3 
  
 Andra internationella regler ......................................... 
  
 174 
  
 10.3.1 Europarådets dataskyddskonvention ............... 
  
 174 
  
 10.3.2 Europarådets rekommendationer ..................... 
  
 175 
  
 10.3.3 ILO:s riktlinjer................................................... 
  
 175 
  
 10.4 
  
 Det svenska genomförandet......................................... 
  
 176 
  
 10.4.1 Personuppgiftslagen .......................................... 
  
 176 
  
 10.4.2 Datainspektionens undantagsmöjligheter........ 
  
 178 
  
 10.4.3 Andra författningar ........................................... 
  
 179 
  
 10.5 
  
 Genomförandet i andra länder ..................................... 
  
 181 
  
 10.6 
  
 Överväganden................................................................ 
  
 182 
  
 11 
  
 Registerutdrag.......................................................... 
  
 187 
  
 11.1 
  
 Inledning........................................................................ 
  
 187 
  
 11.2 
  
 EG-direktivet................................................................. 
  
 188 
  
 11.3 
  
 Europarådets dataskyddskonvention........................... 
  
 190 
  
 11.4 
  
 Det svenska genomförandet......................................... 
  
 190 
  
 11.4.1 Personuppgiftslagen .......................................... 
  
 190 
  
 11.4.2 Särskilda registerförfattningar........................... 
  
 193 
  
 11.5 
  
 Genomförandet i andra länder ..................................... 
  
 194 
  
 11.6 
  
 Överväganden och förslag ............................................ 
  
 195 
  
 12 
  
 Avkriminalisering ...................................................... 
  
 197 
  
 12.1 
  
 Utredningsdirektiven.................................................... 
  
 197 
  
 12.2 
  
 EG-direktivet................................................................. 
  
 197 
  
 12.3 
  
 Europarådets dataskyddskonvention........................... 
  
 198 
  
 12.4 
  
 Personuppgiftslagen...................................................... 
  
 198 
  
 12.5 
  
 Förhållandena i andra länder ........................................ 
  
 200 
  
 12.6 
  
 Överväganden och förslag ............................................ 
  
 201 
  
 12.6.1 Avkriminalisering av någon typ av förseelse.... 
  
 201 
  
 12.6.2 Bara uppsåtliga och grovt oaktsamma 
  
 förfaranden bör vara straffbara ......................... 
  
 201 
  
 13 
  
 Överklagande av myndighetsbeslut ............................. 
  
 205 
  
 13.1 
  
 Utredningsdirektiven.................................................... 
  
 205 
  
 13.2 
  
 EG-direktivet 
  och andra internationella regler ........... 
  
 205 
  
 13.3 
  
 Datalagen ....................................................................... 
  
 206 
  
 13.3.1 Avslag på begäran om registerutdrag................ 
  
 206 
  
 13.3.2 Hur avslag på begäran om allmän handling 
  
 överklagas ........................................................... 
  
 207 
  
 13.4 
  
 Personuppgiftslagen...................................................... 
  
 208 
  
 8 
  
 SOU 2004:6 
  
 Innehållsförteckning 
  
 13.5 
  
 Den allmänna bestämmelsen om överklagande i 
  
 förvaltningslagen........................................................... 
  
 208 
  
 13.6 
  
 Särskilda registerlagar ................................................... 
  
 210 
  
 13.7 
  
 Överväganden och förslag............................................ 
  
 218 
  
 13.7.1 Myndighetsbeslut som bör få överklagas......... 
  
 218 
  
 13.7.2 Instansordningen............................................... 
  
 219 
  
 13.7.3 Andra möjligheter för den registrerade ........... 
  
 221 
  
 14 Särskilt om  
 EG-domstolens 
  dom i 
  
 konfirmandlärarmålet................................................ 
  
 225 
  
 14.1 
  
 Inledning ....................................................................... 
  
 225 
  
 14.2 
  
 Överväganden ............................................................... 
  
 226 
  
 14.2.1 Behandling av personuppgifter......................... 
  
 226 
  
 14.2.2 Känsliga personuppgifter som rör hälsa........... 
  
 227 
  
 14.2.3 Undantaget för rent privat behandling ............ 
  
 228 
  
 14.2.4 Överföring av personuppgifter till tredje 
  
 land ..................................................................... 
  
 229 
  
 14.2.5 Förhållandet till andra fri- och rättigheter....... 
  
 234 
  
 14.2.6 Den nationella lagstiftningen om 
  
 personuppgifter ................................................. 
  
 237 
  
 15 
  
 Offentlighetsprincipen och sekretesslagen .................. 
  
 239 
  
 15.1 
  
 Inledning ....................................................................... 
  
 239 
  
 15.2 
  
 Offentlighetsprincipen................................................. 
  
 241 
  
 15.2.1 Personuppgiftslagen .......................................... 
  
 241 
  
 15.2.2 Tryckfrihetsförordningen................................. 
  
 242 
  
 15.2.3 Överväganden och förslag ................................ 
  
 244 
  
 15.3 
  
 Bestämmelsen i 7 kap. 16 § sekretesslagen.................. 
  
 248 
  
 15.3.1 Bakgrund............................................................ 
  
 248 
  
 15.3.2 Överväganden och förslag ................................ 
  
 254 
  
 16 
  
 Ikraftträdande, övergångsbestämmelser och 
  
 följdändringar .......................................................... 
  
 269 
  
 17 
  
 Konsekvenserna av förslagen ..................................... 
  
 271 
  
 18 
  
 Författningskommentar ............................................. 
  
 273 
  
 18.1 
  
 Förslaget till lag om ändring i personuppgiftslagen 
  
 (1998:204) ..................................................................... 
  
 273 
  
 18.2 
  
 Förslaget till lag om ändring i sekretesslagen 
  
 (1980:100) ..................................................................... 
  
 280 
  
 9 
  
 Innehållsförteckning 
  
 SOU 2004:6 
  
 Särskilt yttrande av experterna Duncan och Nunez 
  
 Duncan ........................................................................ 
  
 283 
  
 Bilaga 1 – Utredningsdirektiven......................................... 
  
 287 
  
 Bilaga 2 – Personuppgiftslagen (1998:204) ....................... 
  
 297 
  
 Bilaga 3 –  
 EG-direktivet 
  95/46 om personuppgifter ............. 
  
 313 
  
 Bilaga 4 
  
 – Mötesprotokollet............................................... 
  
 347 
  
 Bilaga 5 
  
 – Europarådets dataskyddskonvention (nr 108) ...... 
  
 353 
  
 Bilaga 6 
  
 – Summary in English.......................................... 
  
 363 
  
 10 
 Sammanfattning 
 Hanteringen av personuppgifter som inte ingår i personregister underlättas 
 Personuppgiftslagsutredningen har haft i uppdrag att göra en över- syn av personuppgiftslagen. Syftet har varit att undersöka om det trots gällande  
 EG-direktiv 
  om personuppgifter går att införa regler mot missbruk av personuppgifter i stället för regler om hanteringen av sådana uppgifter. 
 Utredningen anser att det är möjligt i fråga om behandling av personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud och bild. Det ställningstagandet har gjorts efter en nog- grann analys av undantagsmöjligheterna i  
 EG-direktivet 
  i belysning av den utveckling som skett sedan personuppgiftslagen trädde i kraft 1998, bl.a.  
 EG-domstolens 
  motivering i domen i det svenska s.k. konfirmandlärarmålet. 
 Utredningen föreslår ett undantag från de allra flesta hanterings- reglerna i personuppgiftslagen för behandling av sådana person- uppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personupp- gifter, dvs. i praktiken personregister och personuppgiftsanknutna databaser. 
 Utredningens förslag innebär i korthet att hanteringsreglerna i personuppgiftslagen inte skall tillämpas på bl.a. sådan vardaglig hantering som produktion av löpande text i ordbehandlingspro- gram, publicering av löpande text på Internet, användning av ljud- och bildupptagningar och korrespondens med  
 e-post 
  under förut- sättning att materialet inte skall infogas i en databas med en per- sonuppgiftsanknuten struktur såsom ett ärendehanteringssystem. 
  
 Sammanfattning 
  
 SOU 2004:6 
  
 Den som i sin dator vill hantera personuppgifter i löpande text, t.ex. enkla meddelanden eller kortare och längre texter, eller i ljud och bild eller i  
 e-post 
  behöver således normalt inte bry sig om han- teringsreglerna i personuppgiftslagen. Det är bara om han eller hon vill infoga materialet i någon form av databas som det behövs ytter- ligare överväganden. Har databasen en personuppgiftsanknuten struktur, där just personuppgifter har markerats som sådana, måste hanteringsreglerna tillämpas. 
 Den föreslagna, nya regleringen har i praktiken betydelse bara vid automatiserad behandling som sker med hjälp av datorer. 
 Den behandling som undantas från hanteringsreglerna skall en- ligt förslaget i stället regleras av en enkel regel till skydd mot miss- bruk av personuppgifterna. Behandlingen av personuppgifter får nämligen inte utföras om den innebär ett otillbörligt intrång i den personliga integriteten. För att underlätta tillämpningen har utred- ningen i sina kommentarer sammanfattat några enkla och självklara riktlinjer som bör följas: 
  
 Behandla inte personuppgifter för otillbörliga syften, såsom för- följelse eller skandalisering 
  
 Samla inte utan godtagbara skäl en stor mängd uppgifter om en person 
  
 Rätta personuppgifter som visar sig vara felaktiga eller missvi- sande 
  
 Förtala eller förolämpa inte någon annan 
  
 Bryt inte mot tystnadsplikt 
  
 Den registrerade skall vidare liksom i dag ha rätt att på begäran få ett s.k. registerutdrag med bl.a. de personuppgifter som behandlas. Ett generellt undantag föreslås emellertid för den händelse det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor ar- betsinsats att lämna ett registerutdrag, t.ex. därför att det är svårt att hitta uppgifter om en viss person i löpande text och ljud- och bildupptagningar. 
 Den som bryter mot reglerna till skydd mot missbruk av per- sonuppgifter kan enligt förslaget få betala skadestånd till den regi- strerade. Förslaget innebär vidare att Datainspektionen skall se till att reglerna följs. 
 12 
  
 SOU 2004:6 
  
 Sammanfattning 
  
 Skyldigheten att lämna registerutdrag blir mindre betungande 
 Om en personuppgiftsansvarig har väldigt många register, en större mängd ostrukturerat material eller material på många olika ställen, t.ex. i hundratals persondatorer, kan det vara omöjligt eller väldigt betungande att söka fram alla uppgifter om en person som begär ett s.k. registerutdrag. Utredningen föreslår därför att det uttryckligen anges att information enligt 26 § personuppgiftslagen, i form av ett s.k. registerutdrag, inte behöver lämnas i den utsträckning detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Det krävs dock som regel att den sökande först tillfrågas om sådana upplysningar som kan underlätta sökandet ef- ter personuppgifterna. 
 Syftet med den föreslagna ändringen är inte att inskränka det som faktiskt tillämpas i dag utan snarast att verklighetsanpassa lag- texten. 
 Regeringen och myndigheter får föreskriva sådana undantag från personuppgiftslagen som är tillåtna enligt  
 EG-direktivet 
  
 Enligt  
 EG-direktivet 
  är det tillåtet för medlemsstaterna att före- skriva undantag från vissa bestämmelser i  
 EG-direktivet 
  när det är nödvändigt med hänsyn till fullgörandet av vissa uppräknade vikti- ga samhälls- och myndighetsfunktioner eller med hänsyn till skyd- det av fri- och rättigheter. Någon motsvarande undantagsbestäm- melse finns inte i dag i personuppgiftslagen. Utredningen föreslår att undantagsmöjligheterna utnyttjas genom att regeringen och den myndighet som regeringen bestämmer uttryckligen bemyndigas att meddela föreskrifter och beslut i enskilda fall om sådana undantag som är tillåtna enligt  
 EG-direktivet. 
  
 Bara grovt oaktsamma förfaranden skall vara straffbara 
 I dag kan en person dömas till böter eller fängelse om han eller hon uppsåtligen eller av oaktsamhet bryter mot personuppgiftslagen i fyra uppräknade fall. Utredningen föreslår en avkriminalisering som innebär att, förutom uppsåtliga förfaranden, bara grovt oakt- samma förfaranden skall vara straffbara. Utredningen har inte fun- nit anledning att i övrigt föreslå en avkriminalisering. 
 13 
  
 Sammanfattning 
  
 SOU 2004:6 
  
 Det förtydligas hur myndighetsbeslut överklagas 
 Redan i dag kan vissa myndighetsbeslut enligt personuppgiftslagen överklagas enligt allmänna bestämmelser om överklagande. Utred- ningen föreslår att det direkt i personuppgiftslagen tas in bestäm- melser om i vilka fall och hur en myndighets beslut enligt lagen överklagas. Särskilda bestämmelser om hur beslut av domstolar överklagas skall dock enligt förslaget tas in i de registerlagar som reglerar domstolarnas behandling av personuppgifter. 
 Personuppgiftslagens förhållande till offentlighetsprincipen och sekretesslagen förtydligas 
 I syfte att förtydliga föreslår utredningen en uttrycklig regel om att de generella bestämmelserna i personuppgiftslagen inte inskränker myndigheternas skyldighet enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen att på begäran söka efter, sammanställa och lämna ut personuppgifter. Utredningen föreslår vidare att även andra organ än myndigheter som har skyldigheter enligt offentlig- hetsprincipen, t.ex. kommunala bolag, skall omfattas av de undan- tag med hänsyn till offentlighetsprincipen som finns i personupp- giftslagen. 
 Enligt 7 kap. 16 § sekretesslagen gäller sekretess för personupp- gift, om det kan antas att ett utlämnande skulle medföra att uppgif- ten behandlas i strid med personuppgiftslagen. Utredningen har haft i uppdrag att förtydliga bestämmelsen men inte att föreslå att den skall ändras i sak eller upphävas. Utredningen föreslår att be- stämmelsen förtydligas enligt följande. 
 Sekretess skall gälla för en personuppgift om det finns skäl att anta att uppgiften efter ett utlämnande kommer att behandlas i strid med personuppgiftslagen. Därmed förtydligas bl.a. att myn- digheten måste ha något skäl – t.ex. att uppgifter om väldigt många människor begärs utlämnade – för att ställa frågor om den tilltänkta användningen av uppgifterna. 
 Sekretess skall också gälla för en personuppgift om myndighe- tens utlämnande av uppgiften står i strid med bestämmelsen om överföring av personuppgifter till tredje land i 33 § personuppgifts- lagen. Det skall dock inte medföra sekretess för uppgifter i allmänt register som enligt lag eller förordning är avsett att ge allmänheten information, t.ex. fastighetsregistret. Dessa bestämmelser kommer i praktiken bara att vara aktuella i det undantagsfallet att en myn- 
 14 
  
 SOU 2004:6 
  
 Sammanfattning 
  
 dighet enligt offentlighetsprincipen är skyldig att sända en person- uppgift till utlandet. 
 Övriga frågor 
 Utredningen har haft i uppdrag att se över möjligheten till undan- tag för sådan behandling av personuppgifter inom den privata sfä- ren som faller utanför  
 EG-rätten 
  och därmed inte omfattas av EG- direktivet. Utredningen konstaterar att det undantag för rent privat behandling av personuppgifter som är tillåtet enligt  
 EG-direktivet 
  redan har utnyttjats fullt ut och att det inte finns skäl för att göra ytterligare undantag från personuppgiftslagen. 
 I dag finns det i personuppgiftslagen ett förbud för andra än myndigheter, dvs. enskilda, att behandla personuppgifter om lag- överträdelser m.m., men undantag kan föreskrivas i andra författ- ningar eller i beslut i enstaka fall. Utredningen har haft i uppdrag att analysera om konkreta undantag bör tas in direkt i personupp- giftslagen. Utredningen har kommit fram till att de möjligheter till undantag genom generella föreskrifter i andra författningar och genom beslut i enstaka fall som redan finns är tillräckliga och att några bestämmelser om undantag från förbudet för enskilda att be- handla personuppgifter om lagöverträdelser således inte bör föras in direkt i personuppgiftslagen. 
 Det föreslås inga ändringar i personuppgiftslagen med anledning av  
 EG-domstolens 
  dom med tolkningsbesked i det svenska s.k. konfirmandlärarmålet om publicering av personuppgifter på Inter- net. 
 ______________ 
 De föreslagna lagändringarna kan i praktiken träda i kraft tidigast den 1 juli 2005. 
 15 
 1 Författningsförslag 
  
 1.1 
  
 Förslag till lag om ändring i personuppgiftslagen (1998:204) 
  
 Härigenom föreskrivs i fråga om personuppgiftslagen (1998:204) dels att 8, 26 och 49 §§ skall ha följande lydelse, 
 dels att det i lagen skall införas fyra nya paragrafer, 5 a, 26 a och 42 a och 52 §§, samt närmast före 5 a och 42 a §§ nya rubriker av följande lydelse. 
  
 Nuvarande lydelse 
  
 Föreslagen lydelse 
  
 Personuppgifter som inte ingår i personregister 
 5 a § Bestämmelserna i 9, 10, 13, 21, 23, 24, 28, 33 och 42 §§ skall inte tillämpas på behandling av personuppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter. Sådan behandling får ut- föras bara om den inte innebär ett otillbörligt intrång i den person- liga integriteten. 
  
 Författningsförslag 
  
 SOU 2004:6 
  
 8 § Bestämmelserna i denna lag 
  
 8 § Bestämmelserna i denna lag 
  
 tillämpas inte i den utsträckning 
  
 tillämpas inte i den utsträckning 
  
 det skulle inskränka en myndig- 
  
 det skulle inskränka en myndig- 
  
 hets skyldighet enligt 
  
 2 kap. 
  
 hets 
  
 skyldighet enligt 
  
 2 kap. 
  
 tryckfrihetsförordningen 
  
 att 
  
 tryckfrihetsförordningen 
  
 att 
  
 lämna ut personuppgifter. 
  
 söka efter, sammanställa och läm- 
  
 na ut 
  
 personuppgifter. Bestäm- 
  
 melserna innebär inte heller en sådan begränsning av en myndig- hets befogenhet att göra en sam- manställning tillgänglig som avses i 2 kap. 3 § tredje stycket tryckfri- hetsförordningen. 
 Bestämmelserna hindrar inte heller att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Bestämmelsen i 9 § fjärde stycket gäller inte för en myndighets användning av personuppgifter i allmänna hand- lingar. 
 Vid tillämpningen av denna paragraf jämställs med myndighet ett annat organ i den utsträckning som anges i 1 kap. 8 och 9 §§ sek- retesslagen (1980:100). 
 26 § Den personuppgiftsansvarige är skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om per- sonuppgifter som rör den sökande behandlas eller ej. Behandlas sådana uppgifter skall skriftlig information lämnas också om 
  
 a) 
  
 vilka uppgifter om den sökande som behandlas, 
  
 b) 
  
 varifrån dessa uppgifter har hämtats, 
  
 c) 
  
 ändamålen med behandlingen, och 
  
 d) 
  
 till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. 
  
 En ansökan enligt första stycket skall göras skriftligen hos den 
 personuppgiftsansvarige och vara undertecknad av den sökande själv. Information enligt första stycket skall lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast fyra månader efter det att ansökan gjordes. 
 18 
  
 SOU 2004:6 
  
 Författningsförslag 
  
 Information enligt första styck- et behöver inte lämnas om person- uppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Vad som nu sagts gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga än- damål eller, när det gäller löpande text som inte fått sin slutliga ut- formning, om uppgifterna har be- handlats under längre tid än ett år. 
 26 a § Information enligt 26 § behöver inte lämnas i den utsträck- ning detta visar sig vara omöjligt eller skulle innebära en opropor- tionerligt stor arbetsinsats. 
 Information enligt 26 § behöver inte heller lämnas om person- uppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Vad som nu sagts gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har be- handlats under längre tid än ett år. 
 Bemyndigande att meddela undantag 
 42 a § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från 9,  
 23–26 
  och 28 §§ samt 29 § andra stycket och 42 § om det är nödvändigt med hänsyn till 
  
 a) 
  
 statens säkerhet, 
  
 b) 
  
 försvaret, 
  
 c) 
  
 allmän säkerhet, 
  
 d) 
  
 åtal eller förebyggande, undersökning eller avslöjande av brott eller av överträdelse av etiska regler, 
  
 19 
  
 Författningsförslag 
  
 SOU 2004:6 
  
 e) 
  
 ett viktigt ekonomiskt eller finansiellt intresse hos Europeiska unionen eller en stat som ingår i den unionen eller är ansluten till Europeiska ekonomiska samarbetsområdet, 
  
 f) 
  
 myndighetsutövning som avser tillsyn, inspektion eller reglering i fråga om sådant som nämns i  
  
 c–e, 
  eller 
  
 g) 
  
 skyddet av fri- och rättigheter. 
  
 Regeringen får under de förutsättningar som nämns i första 
 stycket i enskilda fall besluta om undantag från 9,  
 23–26 
  och 28 §§ samt 29 § andra stycket och 42 §. Regeringen får överlåta åt myn- dighet att fatta sådana beslut. 
 49 § 
  
 1  
  
 Till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år döms den som upp- såtligen eller av oaktsamhet 
 49 § Till böter eller fängelse i högst sex månader eller, om brottet är grovt, till fängelse i högst två år döms den som upp- såtligen eller av grov oaktsamhet 
  
 a) 
  
 lämnar osann uppgift i sådan information till registrerade som föreskrivs i denna lag, i anmälan till tillsynsmyndigheten enligt 36 § eller till tillsynsmyndigheten när myndigheten begär infor- mation enligt 43 §, 
  
 b) 
  
 behandlar personuppgifter i strid med  
  
 13–21 
  §§, 
  
 c) 
  
 för över personuppgifter till tredje land i strid med  
  
 33–35 
  §§, el- ler 
  
 d) 
  
 låter bli att göra anmälan enligt 36 § första stycket eller enligt föreskrifter meddelade med stöd av 41 §. 
  
 I ringa fall döms inte till ansvar. 
 Den som överträtt ett vitesföreläggande enligt 44 § eller 45 § för- sta stycket döms inte till ansvar för en gärning som omfattas av vi- tesföreläggandet. 
 52 § En myndighets beslut om information enligt 26 §, om rättelse och underrättelse till tredje man enligt 28 §, om information enligt 29 § andra stycket och om upplysningar enligt 42 § får överklagas hos allmän förvaltningsdomstol. Andra beslut av myndighet enligt denna lag får inte överklagas. 
 Prövningstillstånd krävs vid överklagande till kammarrätten. Första och andra styckena gäller inte beslut av riksdagen och re- 
 geringen. I fråga om överklagande av beslut av allmän domstol och allmän förvaltningsdomstol finns särskilda föreskrifter. 
  
 1 
  
 Senaste lydelse SFS 1999:1210. 
  
 20 
  
 SOU 2004:6 
  
 Författningsförslag 
  
 ______________ 
 Denna lag träder i kraft den []. Föreskrifterna i 52 § skall dock inte tillämpas i fråga om överklagande av beslut som har meddelats före ikraftträdandet. 
 21 
  
 Författningsförslag 
  
 SOU 2004:6 
  
 1.2 
  
 Förslag till lag om ändring i sekretesslagen (1980:100) 
  
 Härigenom föreskrivs 
  
 1  
  
 att 7 kap. 16 § sekretesslagen (1980:100) skall ha följande lydelse. 
  
 Nuvarande lydelse 
  
 Föreslagen lydelse 
  
 7 kap. 
  
 16 § 
  
 2 
  
 Sekretess gäller för personupp- 
  
 Sekretess gäller för personupp- 
  
 gift, om det kan antas att ett ut- 
  
 gift, om 
  
 lämnande skulle medföra att 
  
 1. det finns skäl att anta att upp- 
  
 uppgiften behandlas i strid med 
  
 giften 
  
 efter 
  
 ett 
  
 utlämnande 
  
 personuppgiftslagen (1998:204). 
  
 kommer att behandlas i strid 
  
 med 
  
 personuppgiftslagen 
  
 (1998:204), eller 
  
 2. myndighetens 
  
 utlämnande av 
  
 uppgiften står i strid med 33 § 
  
 personuppgiftslagen. 
  
 Att myndighetens 
  
 utlämnande 
  
 står i strid med 33 § personupp- 
  
 giftslagen skall dock inte medföra sekretess för uppgifter i allmänt register som enligt lag eller för- ordning är avsett att ge allmänhe- ten information. 
 ______________ 
 Denna lag träder i kraft den []. 
  
 1 
  
 Jfr Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT nr L 281, 23.11.1995, s. 31, Celex 395L0046). 
  
 2 
  
 Senaste lydelse SFS 1998:205. 
  
 22 
  
 2 
  
 Utredningsarbetet och betänkandet 
  
 2.1 
  
 Utredningsarbetet 
  
 Utredningens utredningsdirektiv (dir. 2002:31) finns som bilaga 1. Utredningen har enligt tilläggsdirektiv (dir. 2003:53 och 2003:164) fått förlängd utredningstid för att kunna beakta  
 EG-domstolens 
  dom i det s.k. konfirmandlärarmålet. Domen meddelades den 6 no- vember 2003. 
 Utredningen har haft 10 sammanträden, varav ett internatsam- manträde under två dagar. Vid sammanträdena har utkast till texter till betänkandet gåtts igenom och diskuterats. 
 Utredningen har haft en hemsida på Internet. 
  
 1 
  
 Den särskilde utredaren har samrått med Offentlighets- och sek- retesskommittén (Ju 1999:06) och haft informationsutbyte med Underrättelsedatautredningen (Fö 2002:01). Det uppdrag om sam- råd med den kommitté som får i uppdrag att göra en bred kartlägg- ning avseende skyddet för den personliga integriteten i det moder- na samhället som anges i utredningsdirektiven har inte kunnat full- göras, eftersom den nämnda kommittén inte tillsatts ännu. 
 Utredaren har under hand berett Landsorganisationen i Sverige (LO), Tjänstemännens Centralorganisation (TCO), Sveriges Aka- demikers Centralorganisation (SACO), Tidningsutgivarna och Riksarkivet tillfälle att komma in med synpunkter på utkast till tex- ter. 
 Utredaren har haft kontakter med företrädare för de politiska partier som är representerade i riksdagen och därvid informerat om de förslag som utredningen övervägt och inhämtat partiernas syn- 
  
 1  
 http://www.sou.gov.se/pulutredningen/. 
  
 Utredningsarbetet och betänkandet 
  
 SOU 2004:6 
  
 punkter. Utredaren har bl.a. informerat om huvuddragen i försla- gen vid ett sammanträde med riksdagens konstitutionsutskott. 
 Utredaren, som varit placerad på Justitiedepartementets grund- lagsenhet och bl.a. verkat inom EU för att  
 EG-direktivet 
  om per- sonuppgifter 
  
 2  
  
 skall ändras, har under utredningstiden följt eller del- tagit i viktigare delar av det löpande arbetet med författningar och internationella kontakter och överenskommelser rörande skydd för personuppgifter. Utredaren har haft kontakter med företrädare för  
 EG-kommissionen. 
  
 Utredaren har också, bl.a. via Datainspektionens expert i utred- ningen, hållit sig underrättad om Datainspektionens arbete med att utforma konkret vägledning i fråga om personuppgiftslagen (1998:204). 
  
 2.2 
  
 Betänkandet 
  
 Syftet med personuppgiftslagen är att skydda människor mot att deras personliga integritet kränks genom behandling av personupp- gifter. Betänkandet inleds därför med ett kortare avsnitt om per- sonlig integritet (avsnitt  
 3) 
 . 
 Som underlag för sitt arbete har utredningen bl.a. haft, förutom  
 EG-direktivet 
  om personuppgifter och personuppgiftslagen, ut- vecklingen i rättstillämpningen, resultatet av Justitiedepartementets offentliga utvärdering av  
 EG-direktivet 
  och genomförandet av EG- direktivet i andra länder. 
  
 EG-direktivet 
  om personuppgifter, som ligger till grund för per- sonuppgiftslagen, finns som bilaga 3. De bestämmelser i EG- direktivet som har betydelse för utredningens överväganden pre- senteras i det avsnitt respektive fråga berörs. En allmän genomgång av bestämmelserna i  
 EG-direktivet 
  finns i Datalagskommitténs be- tänkande SOU 1997:39 (avsnitt 3) och kortare presentationer av  
 EG-direktivet 
  finns i flera färska betänkanden med förslag till sär- skilda registerförfattningar, t.ex. avsnitt 2.1 i SOU 2001:100. Det har inte ansetts nödvändigt att upprepa något liknande här. Som bilaga 4 finns det protokoll som fördes inom rådet när den gemen- samma ståndpunkten om  
 EG-direktivet 
  antogs och som innehåller 
  
 2 
  
 Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT nr L 281, 23.11.1995, s. 31, Celex 395L0046), kallas i det föl- jande bara  
  
 EG-direktivet. 
  
 24 
  
 SOU 2004:6 
  
 Utredningsarbetet och betänkandet 
  
 vissa uttalanden som kan vara av betydelse vid tolkningen av EG- direktivet. 
 Personuppgiftslagen finns som bilaga 2. De bestämmelser i lagen som har betydelse för utredningens överväganden presenteras i det avsnitt respektive fråga berörs. Eftersom kortare presentationer av bestämmelserna i personuppgiftslagen finns i flera färska betän- kanden med förslag till särskilda registerförfattningar, t.ex. avsnitt 2.2 i SOU 2001:100, har det inte ansetts nödvändigt med någon motsvarande presentation här. 
 Integritetsskyddet vid användandet av information är sedan flera årtionden berört också i andra internationella instrument än EG- direktivet. Avsnitt  
 4  
 innehåller en översikt över de viktigaste av dessa instrument. De viktigaste bestämmelserna i Europarådets da- taskyddskonvention nr 108, som är bindande för Sverige, finns i engelsk version och svensk översättning i bilaga 5. De bestämmel- ser i de internationella instrumenten som har direkt betydelse för utredningens överväganden presenteras i det avsnitt respektive frå- ga berörs. 
 Utredningen har gått igenom och följt utvecklingen i rätts- tillämpningen på området. En redovisning av detta finns i avsnitt  
 5.  
 Relevant domstolspraxis redovisas också i de avsnitt som berör oli- ka sakfrågor. I avsnitt 14 redogörs särskilt för utredningens över- väganden med anledning av  
 EG-domstolens 
  dom i det s.k. konfir- mandlärarmålet. 
 Justitiedepartementet har gjort en offentlig utvärdering av EG- direktivet. En sammanfattning av den utvärderingen finns i avsnitt  
 6. 
  
 Utredningen har gått igenom den generella lagstiftning som genomför  
 EG-direktivet 
  i andra länder i EU och EES. Utredningen har därvid noterat att det finns skillnader i genomförandet och att dessa skillnader kan innebära olägenheter för personuppgiftsansva- riga med verksamhet i flera länder eller i en internationell koncern. Det är emellertid inget som man kan råda bot på genom ändringar i bara den svenska personuppgiftslagen, utan ett avhjälpande kräver internationellt samarbete.  
 EG-kommissionen 
  har i sin rapport 
  
 3  
  
 från maj 2003 om genomförandet av  
 EG-direktivet 
  i medlemsstaterna presenterat ett arbetsprogram för ett bättre genomförande av EG- direktivet.  
 EG-kommissionens 
  rapport innehåller i en bilaga en omfattande redovisning av genomförandet i medlemsstaterna. Ut- 
  
 3 
  
 KOM(2003) 265 slutlig av den 15 maj 2003. 
  
 25 
  
 Utredningsarbetet och betänkandet 
  
 SOU 2004:6 
  
 redningen har därför inte ansett det meningsfullt att i betänkandet redovisa alla olikheter i genomförandet eller att här försöka lämna en allmän presentation av genomförandet i andra länder. Genomfö- randet i andra länder av relevanta bestämmelser i  
 EG-direktivet 
  re- dovisas dock kortfattat i de avsnitt som berör olika sakfrågor. 
 Utredningens huvuduppgift är att se hur långt man inom ramen för  
 EG-direktivet 
  kan gå för att åstadkomma ett regelverk som mera tar sikte på missbruk av personuppgifter än hanteringen av dessa. Utredningens överväganden och förslag i den delen redovisas i avsnitt  
 7  
 om personuppgifter som inte ingår i personregister. 
 Utredningen har därutöver enligt utredningsdirektiven vissa sär- skilda uppdrag som redovisas i följande avsnitt. I avsnitt  
 8  
 berörs möjligheterna att göra undantag från personuppgiftslagen för så- dant som inte omfattas av  
 EG-direktivet, 
  och i avsnitt  
 9  
 berörs möjligheterna att göra undantag från vissa bestämmelser i lagen för bl.a. säkerhet och brottsundersökning m.m. Avsnitt  
 10  
 innehåller en redovisning av möjligheterna att genom uttryckliga bestämmel- ser i personuppgiftslagen tillåta att andra än myndigheter behandlar personuppgifter om lagöverträdelser. Frågan om möjligheterna att justera bestämmelserna om registerutdrag, som utredningen funnit anledning att ta upp, berörs i avsnitt 11. Uppdraget att se över om något som i dag är straffbelagt enligt personuppgiftslagen kan av- kriminaliseras redovisas i avsnitt 12. Avsnitt 13 innehåller utred- ningens överväganden och förslag om hur det i personuppgiftsla- gen kan införas ett förtydligande av hur myndighetsbeslut överkla- gas. Avslutningsvis redovisar utredningen i avsnitt 15 uppdraget att förtydliga bestämmelsen i 7 kap. 16 § sekretesslagen (1980:100). 
 Avsnitt 16 innehåller utredningens överväganden i fråga om ikraftträdande av föreslagna lagändringar och övergångsbestämmel- ser till dessa. 
 I avsnitt 17 berörs konsekvenserna av utredningens förslag. 
 I det avslutande avsnittet finns författningskommentarer till ut- redningens förslag till lagändringar. 
 Därefter finns det särskilda yttrande som avgetts. I bilaga 6 finns det en sammanfattning på engelska. 
 26 
 3 Den personliga integriteten 
  
 3.1 
  
 Begreppet personlig integritet 
  
 Syftet med personuppgiftslagen är att skydda människor mot att deras personliga integritet kränks genom behandling av personupp- gifter (1 §). 
 Den personliga integriteten har uppmärksammats i många statli- ga utredningar och varit föremål för analys även i många andra sammanhang. Det genomgående för dessa överväganden har varit att det alltid visat sig vara svårt att precisera innebörden av begrep- pet personlig integritet. 
  
 4 
  
 Uppfattningen om vad som omfattas av den personliga integrite- ten varierar mellan olika människor. Det beror i hög grad på den enskildes subjektiva uppfattning om vad denne anser ingå i den rent personliga sfären. Den enskildes uppfattning kan i sin tur påverkas av t.ex. politisk eller religiös övertygelse. Dessutom förändras in- ställningen till integritet över tiden. Värderingar påverkas mycket av den tidsålder och det samhälle man lever i. När det gäller uppgif- ter som är personliga kan det också ha betydelse i vilket samman- hang de används om den enskilde uppfattar det som att hans eller hennes integritet har kränkts eller inte. 
 Det finns en allmän uppfattning i samhället att varje person har ett välgrundat anspråk på att andra personer handlar på ett sådant sätt att hans eller hennes personliga integritet respekteras. Oavsett den exakta definitionen av begreppet personlig integritet finns en privat sfär som man inte accepterar intrång i. Skyddet för den per- sonliga integriteten uppfattas också som viktigt av de enskilda människor som är berörda. Man skulle kunna tro att människors 
  
 4 
  
 Redogörelsen i förevarande avsnitt bygger exempelvis på motsvarande redogörelse i SOU 2002:2 s. 138 ff. 
  
 Den personliga integriteten 
  
 SOU 2004:6 
  
 upplevda obehag av att personuppgifter behandlas i olika samman- hang skulle ha minskat i takt med att användningen av datorer bli- vit vardagsmat och  
 IT-samhället 
  krupit närmare. Emellertid visar de undersökningar som gjorts att många människor är negativa eller åtminstone tveksamma till att deras personuppgifter används utan att de får reda på det och utan att de har någon möjlighet till infly- tande. Människor upplever det som obehagligt att deras person- uppgifter flödar fritt utom deras kontroll, oavsett om uppgifterna i någon mening missbrukas eller om de själva har råkat ut för något negativt på grund av att uppgifterna använts. 
  
 5 
  
 Skyddet för den personliga integriteten anses vidare vara en grundläggande mänsklig rättighet, skyddad genom internationella instrument, nationell lagstiftning, tradition och kultur. 
 Till grund för stadgandet om värnandet av den enskildes privatliv i 1 kap. 2 § tredje stycket regeringsformen ligger uppfattningen att grundsatsen om den enskildes rätt till en fredad sektor är av så vä- sentlig betydelse i en demokratisk stat att den bör komma till all- mänt uttryck i grundlag. 
  
 6 
  
 Det kan dock konstateras att varken svensk lagstiftning eller doktrin innehåller någon enhetlig definition av begreppet personlig integritet. Så används t.ex. i 1 kap. 2 § tredje stycket regeringsfor- men begreppet enskilds privatliv när den grundläggande ambitio- nen för det allmänna att skydda den personliga integriteten slås fast, eftersom det senare begreppet ansågs svårbegripligt och svårt att avgränsa. 
  
 7  
  
 Begreppet finns emellertid sedan år 1989 i 2 kap. 3 § andra stycket regeringsformen. 
 Oavsett svårigheten att definitivt klarlägga innebörden i begrep- pet personlig integritet måste man på något sätt ta sig an begreppet i alla sammanhang som rör behandling av personuppgifter och till- lämpning av personuppgiftslagen. Det grundläggande syftet med lagstiftningen är skyddet för den personliga integriteten. Man mås- te därför i vart fall ha en föreställning om begreppets innebörd i allmänhet och dess betydelse för den praktiska tillämpningen i det enskilda fallet. 
 Personlig integritet kan vara att slippa få vissa personliga uppgif- ter om sig själv spridda till andra människor. Svårigheten att defini- era begreppet positivt har dock lett till att man i stället försökt att identifiera vad som konstituerar en kränkning av den personliga 
 5 
 6 
 7 
 SOU 1997:39 s. 183 f. Prop. 1975/76:209 s. 131. Prop. 1975/76:209 s. 131. 
 28 
  
 SOU 2004:6 
  
 Den personliga integriteten 
  
 integriteten. En integritetskränkning beskrivs i dessa sammanhang som att förlora kontrollen över sin egen person eller en viss typ av uppgifter om sig själv. 
 När det gäller frågan om vilka förhållanden som generellt sett anses utgöra intrång i annans personliga integritet hänvisas ofta till en av professorn Miles upprättad kränkningskatalog. Som exempel ur denna kan nämnas spridande av förtroliga uppgif- ter, avslöjande inför offentligheten av annans privata förhållanden, utnyttjande av annans namn eller bild och angrepp på annans heder och ära. 
  
 8 
  
 Professorn Castillo delar in försöken att precisera innebör- den av begreppet personlig integritet i följande kategorier: 
  
 9 
  
 a 
  
 Sfärteorin 
  
 Den enskilde har en innersta sfär, där förhållanden, egenskaper och handlingar inte bör vara kända av andra än den enskilde själv. Utanför denna innersta sfär finns andra sfärer med gradvis avtag- ande känslighet och med växande anspråk från omvärlden på att information måste vara tillgänglig. 
  
 b 
  
 Datakategoriteorin 
  
 Det finns olika kategorier av data som kan känslighetsgraderas. Exempelvis är adressuppgifter, generellt sett, mindre integritets- känsliga än uppgifter om politisk övertygelse. 
  
 c 
  
 Situationsteorin 
  
 Det finns inga kategorier av data som å priori kan anses okäns- liga från integritetsskyddssynpunkt. Intrångsmöjligheterna hänger helt och hållet samman med i vilken situation uppgifter används, dvs. av vem, för vilket syfte, tillsammans med vilka and- ra uppgifter osv. 
  
 d 
  
 Äganderättsteorin 
  
 Data om individen är individens egendom. Han eller hon måste alltid samtycka till att andra får del av dem. 
  
 e 
  
 Autonomiteorin 
  
 Integritetsskyddets kärna består i en rätt att bli lämnad ifred, att själv få avgöra i vilka sammanhang och under vilka förutsättning- ar man träder i förbindelse med omvärlden, framför allt med myndigheter och andra representanter för samhället. 
  
 f 
  
 Empirteorin 
  
 Vad som uppfattas som integritetsintrång måste fastställas på statistisk väg. Man måste således hämta vägledning i undersök- 
 8 
 9 
 SvJT 1971 s. 698 f. 
 Castillo, Juridik och IT, 7:e uppl. s. 252 f. 
 29 
  
 Den personliga integriteten 
  
 SOU 2004:6 
  
 ningar av det slag som vid flera tillfällen har utförts av Statistiska centralbyrån. 
 Rätten till personlig integritet är vidare inte absolut, utan från tid till annan föremål för inskränkningar. Skyddet för den personliga integriteten måste avvägas mot andra grundläggande demokratiska rättigheter och värden, t.ex. informationsfriheten och yttrandefri- heten. 
 Man måste också beakta de helt legitima behov som finns att an- vända personanknuten information i ett samhälle av sådan storlek och komplexitet som det vi lever i. Utgångspunkten var i förarbe- tena till 1973 års datalag att skyddet för den personliga integriteten inte kan sträcka sig längre än vad som är möjligt med hänsyn till de krav samhällsgemenskapen uppställer. Det förutsattes således att en väl fungerande samhällsorganisation alltid kommer att medföra in- trång i enskilda individers personliga integritet. Frågan blir då vad som kan tolereras och vad som går utöver det som är acceptabelt samt vad som är ett otillbörligt intrång i den personliga integriteten och vad som inte är det. 
 Mot bakgrund härav kan man säga att personers integritet kränks i den mån som det sker ett intrång i deras privata sfär och/eller uppgifter om dem, som det finns rimliga skäl att beteckna som in- tegritetskänsliga, sprids. Dessa uppgifter kan gälla personers egen- skaper, uppfattningar eller handlingar. Rättigheten till personlig integritet kan beskrivas som en prima  
 facie-rättighet. 
  Den är en giltig och välgrundad rättighet som dock i en konkret handlingssi- tuation kan sättas ur spel om den kommer i konflikt med någon annan rättighet som väger tyngre. 
  
 10 
  
 3.2 
  
 Personlig integritet vid automatiserad behandling av personuppgifter 
  
 Det klassiska målet för integritetsskyddet i samband med automa- tiserad behandling av personuppgifter – att få bli lämnad i fred – har enligt vissa fått ett nytt innehåll genom att datakvalitetsfrågor tagit över. Man framhåller härvid vikten av att behandlade uppgifter 
  
 10  
 SOU 1997:39 s. 796 och 801. 
 30 
  
 SOU 2004:6 
  
 Den personliga integriteten 
  
 är korrekta, att uppgifterna används i rätt sammanhang och endast för berättigade ändamål. Skyddsintresset kan i detta sammanhang anses vara lika viktigt för juridiska personer som för enskilda indi- vider. Fokus är mer inriktat på att informationsbehandlingen håller en hög kvalitet än att individens personuppgifter inte får behandlas. 
 Vissa faktorer har ansetts särskilt viktiga att ta hänsyn till när det gäller att bedöma integritetskänsligheten vid automatiserad be- handling av personuppgifter. Det gäller arten av personuppgifter som samlas in och registreras och varför detta görs, hur och av vem uppgifterna används samt mängden av uppgifter som samlas på ett och samma ställe eller som på något annat sätt är tillgängliga för bearbetningar och sammanställningar. 
 Sådana tankegångar kan sägas ligga till grund för de dataskydds- principer som utarbetats 
  
 11  
  
 och som ligger till grund för hanterings- reglerna i personuppgiftslagen. 
 Att den personliga integriteten skyddas innebär enligt Datalags- kommittén att användningen av personuppgifter regleras och be- gränsas. Enligt dess uppfattning står det klart att en integritets- skyddslagstiftning måste hämma användningen av personuppgifter; ju mera användningen hämmas, desto starkare blir integritetsskyd- det. Vilken reglering och begränsning av användningen av person- uppgifter som är nödvändig för att skydda den personliga integrite- ten ansåg kommittén till stora delar vara en fråga som är beroende av rådande värderingar i samhället. Sådan användning som enligt dessa värderingar framstår som otillbörligt intrång i annans person- liga integritet skall så långt som möjligt förebyggas. När person- uppgifter som är felaktiga eller missvisande används, kan det få svå- ra konsekvenser för såväl enskilda som verksamheten i samhället. Då kan det bli fråga om direkt mätbara fysiska eller ekonomiska skador, t.ex. när fel person sätts i fängelse eller fel ben amputeras. Att användningen av personuppgifter leder till sådana skador kan givetvis aldrig accepteras; det är därför ett oeftergivligt krav att de uppgifter som används är riktiga och inte missvisande. Men i övrigt 
 – dvs. när och hur i och för sig korrekta personuppgifter används – utgör regleringen av integritetsskyddet en värderingsfråga. 
  
 12  
  
 Wilkins sonuppgiftslagen skall alltså utgöra den reglering och begränsning av användningen av personuppgifter som enligt rådande värderingar i samhället är nödvändig för att skydda den personliga integriteten. 
  
 11 
  
 Se om dessa principer avsnitt 4. 
  
 12 
  
 SOU 1997:39 s. 180 f. 
  
 31 
  
 Den personliga integriteten 
  
 SOU 2004:6 
  
 Värderingarna i samhället påverkas bl.a. av hur informationstek- niken uppfattas och används. Detta är emellertid ett dynamiskt område där utvecklingen går snabbt. Man kan dock urskilja åtmin- stone fem aspekter när det gäller hur informationstekniken uppfat- tas och används: automation, informationshantering, kommunika- tion, vardagsteknik och konvergens. 
  
 13 
  
 I datorernas barndom var det automation som stod i fokus. De nya maskinerna utgjorde ett effektivt alternativ till manuell hanter- ing av t.ex. beräkningar, eftersom de kunde automatiserat bearbeta information på ett strukturerat sätt. 
 I takt med att tekniken för att lagra och återhämta information i datorläsbart format förbättrades ökade intresset för informations- hantering. Man kunde nu ha enorma mängder information tillgäng- lig för datorbehandling, och med rätt struktur och teknik kunde man också lätt finna relevant information. 
 Ungefär i detta skede – när myndigheter och andra stora organi- sationer kunde både ha informationen lättillgänglig och bearbeta den automatiserat – ökade oron för intrång i den personliga integri- teten och utarbetades som ett svar de s.k. dataskyddsprinciper som ligger bakom  
 EG-direktivet. 
  
 Men utvecklingen av informationstekniken och synen på och an- vändningen av den stannade inte där. 
 Datorer, och därmed tekniken att enkelt lagra och bearbeta in- formation, har för det första blivit ett vardagligt arbetsredskap och var mans egendom, en vardagsteknik. 
 På senare år har för det andra kommunikation alltmer betonats. Internationella datakommunikationsnätverk, såsom Internet, har utvecklats och fått ett enormt genomslag hos organisationer och enskilda. Dessa nätverk kan användas inte bara för att kommunice- ra enskilt med anslutna användare utan också som ett lättillgängligt massmedium där vem som helst kan publicera information. Där- med har den grundläggande konflikten mellan integritetsskydd och yttrande- och informationsfrihet blivit akut. Det faktum att så många datorer är sammankopplade i världsomspännande nätverk gör också säkerhetsfrågor akuta. 
 För det tredje har ett fenomen som brukar benämnas konvergens uppmärksammats på senare år. Olika former av informationsteknik smälter samman alltmer – datorkommunikation, telefon, radio och television m.m. – och informationstekniken kommer in på allt fler 
  
 13 
  
 Indelningen och begreppsbildningen i denna del har inspirerats av en artikel av Castillo i SOU 2002:112 s.  
  
 21–32. 
  
 32 
  
 SOU 2004:6 
  
 Den personliga integriteten 
  
 områden i vårt vardagsliv – positionsbestämning av vardagsföremål såsom fordon och telefoner, intelligenta kylskåp eller hela hem, inpasseringssystem m.m. Den alltmer utbredda och sammansmälta användningen av informationsteknik i vardagslivet, särskilt i kom- bination med lagring, bearbetning och kommunikation av den in- formation som framkommer, har inneburit nya möjligheter att kartlägga individer på ett ibland osynligt sätt. Kommunikation i nätverk förutsätter vidare oftast att de datorer som är sändare och mottagare är identifierade på något sätt, t.ex. genom s.k. IP- nummer, vilket gör att kommunikationen i sig kan ge upphov till nya former av personanknuten information som kan sparas och användas för att kartlägga individer. 
 Enligt utredningsdirektiven skall utredningen närmare analysera förutsättningarna – inom ramen för  
 EG-direktivet 
  – för en regler- ing som tar sikte på missbruk av personuppgifter snarare än varje slags hantering av sådana uppgifter. Syftet skall i första hand vara att underlätta vardaglig hantering av personuppgifter och opinions- bildning samt kommunikation samtidigt som enskilda ges ett ef- fektivt skydd mot missbruk av uppgifterna och andra obefogade intrång i den personliga integriteten. Regleringen skall liksom hit- tills vara teknikoberoende. I den utsträckning det med hänsyn till  
 EG-direktivet 
  är möjligt med lättnader i hanteringsreglerna skall utredningen föreslå de bestämmelser som är nödvändiga för att förhindra missbruk av personuppgifter och andra obefogade in- trång i den personliga integriteten. Skillnaden mellan lagstiftning efter en hanteringsmodell respektive en missbruksmodell beskrivs i avsnitt  
 7.2. 
  
 Utgångspunkten är alltså att hanteringsreglerna till skydd för den personliga integriteten vid behandling av personuppgifter om möjligt skall lättas upp. Rådande värderingar i samhället får anses ge vid handen att dessa hanteringsregler i många fall upplevs som alltför restriktiva och byråkratiska i förhållande till det integritets- skydd ett upprätthållande av reglerna kan ge. Detta stöds av Justi- tiedepartementets offentliga utvärdering av reglerna  
 (EG-direktivet 
  om personuppgifter – En offentlig utvärdering, Ds 2001:27; i fort- sättningen benämnd Justitiedepartementets offentliga utvärdering). Hanteringsreglerna i personuppgiftslagen tar främst sikte på auto- matiserad behandling av personuppgifter i datorer. Man kanske kan säga att i takt med att datorer blivit tillgängliga för envar och dator- användning blivit en vardaglig sak, har hanteringsreglerna kommit att framstå som alltmer otidsenliga. När reglerna skall tillämpas varje dag inte bara av regelrätta registerförare och deras specialise- 
 33 
  
 Den personliga integriteten 
  
 SOU 2004:6 
  
 rade medhjälpare utan också av så gott som varje anställd och egen- företagare, är det naturligt att söka efter enklare regler som på ett mer konkret sätt skyddar den personliga integriteten. 
 Det må vara svårt att förstå varför något så vardagligt som nor- mal datoranvändning skall vara underkastat särskilda regler som upplevs som byråkratiska och inte påtagligt kopplade till integri- tetsskyddet. Det är dock inte utredningens uppfattning att intres- set i samhället för ett starkt integritetsskydd i sig minskat utan det finns som utredningen ser det en större förståelse och ett större intresse för generellt verkande och teknikoberoende regler som mera direkt och konkret skyddar den personliga integriteten. Re- geringen avser exempelvis, såsom framgår av utredningsdirektiven, att tillsätta en särskild kommitté med uppdrag att göra en bred kartläggning avseende skyddet för den personliga integriteten i det moderna samhället. 
  
 14  
  
 Riksdagen har också av regeringen beställt en analys av om det frivilliga grundlagsskyddet för t.ex. hemsidor på Internet kan komma i konflikt med bestämmelserna med syfte att skydda den personliga integriteten och, om så behövs, förslag till ändrad lagstiftning. 
  
 15 
  
 Det är utredningens uppfattning att sådana generellt verkande och teknikoberoende regler till direkt skydd för den personliga in- tegriteten, som nu skall analyseras i särskild ordning, ofta är att fö- redra framför sådana hanteringsregler som finns i personuppgifts- lagen när det gäller alldaglig datoranvändning. Sådana generella reg- ler måste emellertid – såsom redan aviserats – utredas och analyse- ras i ett större sammanhang än inom ramen för en översyn av per- sonuppgiftslagen med sitt trots allt mera begränsade tillämpnings- område. 
 Utredningen vill för tydlighets skull tillägga att de s.k. data- skyddsprinciper 
  
 16  
  
 som ligger bakom hanteringsreglerna i person- uppgiftslagen och de många särskilda registerförfattningar som anknyter till lagen fortfarande är i allra högsta grad adekvata och relevanta i fråga om hantering av personuppgifter i stora, regelrätta registerstrukturer. Det gäller t.ex. de stora databaser med person- uppgifter som finns hos myndigheter och större företag, såsom banker och försäkringsbolag, eller företag som specialiserat sig på 
  
 14 
  
 Jämför också studien Skyddet för enskilda personers privatliv, Ds 1994:51, och Rodriguez se, Rapport om skyddet för enskilda personers privatliv – ett mer samlat grepp?, 1995. 
  
 15 
  
 KU 2001/02:21 s. 32 och rskr. 2001/02:233. Analysen skall göras av Tryck- och yttrande- frihetsberedningen (Ju 2003:04), se dir. 2003:58. Jämför också Ds 2003:25 om självsane- ring av Internet. 
  
 16 
  
 Se om dessa principer avsnitt 4. 
  
 34 
  
 SOU 2004:6 
  
 Den personliga integriteten 
  
 registerhantering av personuppgifter vid t.ex. kreditupplysning el- ler direkt marknadsföring. 
  
 17 
  
 17  
 Jämför SOU 1997:39 s. 185 f. 
 35 
 4 Internationella instrument 
  
 4.1 
  
 Inledning 
  
 Förutom  
 EG-direktivet 
  finns det ett par andra för Sverige bindande internationella instrument rörande skydd för personuppgifter som utarbetats inom Europarådet. Det gäller dels artikel 8 i den europe- iska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen), som nu- mera gäller som svensk lag (SFS 1994:1219), dels Europarådets s.k. dataskyddskonvention (nr 108). Här redovisas därför i relevanta delar innehållet i dessa instrument, som Sverige alltså måste följa oberoende av  
 EG-direktivet. 
  
 Det finns vidare ett par andra internationella instrument än de som utarbetats inom Europarådet som bör nämnas: OECD:s rikt- linjer och rekommendation om skyddet för den personliga integri- teten och gränsöverskridande flöden av personuppgifter och FN:s riktlinjer om datoriserade register med personuppgifter. Också dessa instrument redovisas därför här. 
 Det bör här också nämnas att Europeiska unionens stadga om de grundläggande rättigheterna, som i dag inte är bindande, i artikel 8 innehåller följande särskilda bestämmelser om skydd av person- uppgifter: 
 1. Var och en har rätt till skydd av de personuppgifter som rör honom eller henne. 
 2. Dessa uppgifter skall behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legi- tim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. 
  
 Internationella instrument 
  
 SOU 2004:6 
  
 3. En oberoende myndighet skall kontrollera att dessa regler efterlevs. 
  
 4.2 
  
 Europarådet 
  
 4.2.1 
  
 Europakonventionen 
  
 Artikel 8 i Europakonventionen lyder enligt följande: 
 Artikel 8 – Rätt till skydd för privat- och familjeliv 
  
 1. 
  
 Var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. 
  
 2. 
  
 Offentlig myndighet får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. 
  
 Det står klart att behandling av personuppgifter och t.ex. rätt till tillgång till registrerade personuppgifter i och för sig kan falla inom tillämpningsområdet för artikel 8 i Europakonventionen. All slags behandling av personuppgifter omfattas dock inte, utan frågan måste gälla privatliv, familjeliv, hem eller korrespondens. Europa- konventionen tar i första hand sikte på åtgärder av det allmänna. I viss utsträckning kan de olika artiklarna i konventionen emellertid ha betydelse också för förhållandet mellan enskilda. Det är oklart om och i vilken utsträckning artikel 8 kan ha betydelse i fråga om enskildas behandling av personuppgifter. 
  
 EG-domstolen 
  har ansett att bestämmelserna i artikel 8 i Euro- pakonventionen har betydelse vid sidan av  
 EG-direktivet 
  vid be- dömningen av nationella regler som tillåter behandling av person- uppgifter. 
  
 18 
  
 Här finns vidare anledning att redovisa också artikel 10 i Euro- pakonventionen om yttrandefrihet: 
  
 18  
  
 EG-domstolens 
  dom den 20 maj 2003 i mål nr  
 C-465/00 
  och  
 C-138 
  och 139/01. 
 38 
  
 SOU 2004:6 
  
 Internationella instrument 
  
 Artikel 10 – Yttrandefrihet 
  
 1. 
  
 Var och en har rätt till yttrandefrihet. Denna rätt innefattar åsiktsfri- het samt frihet att ta emot och sprida uppgifter och tankar utan offent- lig myndighets inblandning och oberoende av territoriella gränser. Denna artikel hindrar inte en stat att kräva tillstånd för  
  
 radio-, 
  televi- sions- eller biografföretag. 
  
 2. 
  
 Eftersom utövandet av de nämnda friheterna medför ansvar och skyldigheter, får det underkastas sådana formföreskrifter, villkor, in- skränkningar eller straffpåföljder som är föreskrivna i lag och som i ett demokratiskt samhälle är nödvändiga med hänsyn till statens säkerhet, till den territoriella integriteten eller den allmänna säkerheten, till före- byggande av oordning eller brott, till skydd för hälsa eller moral eller för annans goda namn och rykte eller rättigheter, för att förhindra att förtroliga underrättelser sprids eller för att upprätthålla domstolars auktoritet och opartiskhet. 
  
 4.2.2 
  
 Dataskyddskonvention nr 108 
  
 Europarådets ministerkommitté antog år 1980 en konvention (nr 108) till skydd för enskilda vid automatisk databehandling av per- sonuppgifter, Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data, den s.k. data- skyddskonventionen. Den engelska texten i konventionen till och med kapitel III, jämte en svensk översättning, finns i bilaga 5. Till konventionen har fogats en förklarande rapport av den expertgrupp inom Europarådet som utarbetat konventionstexten. Konventionen trädde i kraft den 1 oktober 1985, då kravet var uppfyllt att fem medlemsländer tillträtt konventionen. Samtliga medlemsstater i EU har ratificerat konventionen. Konventionen är alltså bindande för Sverige, liksom för övriga medlemsstater. Det har beslutats om ändringar i dataskyddskonventionen för att göra det möjligt för Europeiska unionen att ansluta sig. Det har också till konventionen utarbetats ett tilläggsprotokoll om tillsynsmyndigheter och flödet av personuppgifter över gränserna. Till konventionen ansluter en rad rekommendationer som inte är direkt bindande. 
  
 19 
  
 19 
  
 Konventionen och rekommendationerna samt annat material finns på Europarådets webbplats för dataskyddsfrågor: http://www.coe.int/T/E/Legal_affairs/Legal_co- operation/Data_protection/. 
  
 39 
  
 Internationella instrument 
  
 SOU 2004:6 
  
 Konventionens tillämpningsområde är enligt huvudregeln auto- matiserade personregister och automatisk databehandling av per- sonuppgifter i allmän och enskild verksamhet (artikel 3). Varje konventionsstat kan dock göra vissa allmänna inskränkningar eller utvidgningar i tillämpningsområdet för konventionen i dess helhet. Däremot är det ingenting som hindrar att registrerade personer tillerkänns ett mer omfattande skydd än som föreskrivs i kon- ventionen (artikel 11). 
 Konventionen har fem kapitel. Den centrala delen är kapitel II (artiklarna  
 4–11) 
  som innehåller de grundläggande principerna för dataskydd. Varje konventionspart skall vidta de åtgärder som be- hövs för att dess nationella lagstiftning skall innehålla dessa grund- läggande principer. Dessa grundläggande principer skall garantera registrerade personer i alla länder där konventionen gäller ett visst minimiskydd i samband med automatisk databehandling av per- sonuppgifter. Detta skall göra det möjligt för konventionsparterna att ömsesidigt avstå från att begränsa dataflödet över gränserna. 
 Kapitel II innehåller krav på beskaffenheten av de personuppgif- ter som undergår automatisk databehandling (artikel 5). Dessa krav innebär bl.a. att uppgifterna skall inhämtas och behandlas på ett korrekt sätt och vara relevanta med hänsyn till ändamålet. Vissa typer av uppgifter får inte undergå automatisk databehandling, om inte den nationella lagen ger ett ändamålsenligt skydd (artikel 6). Det gäller uppgifter om ras, politiska åsikter, religiös tro eller an- nan övertygelse, hälsa, sexualliv samt brott. Lämpliga säker- hetsåtgärder skall vidtas för att skydda personuppgifter gentemot oavsiktlig eller otillåten förstörelse m.m. (artikel 7). Vissa ytterliga- re skyddsåtgärder för registrerade personer föreskrivs (artikel 8). Vidare föreskrivs bl.a. att alla som är registrerade i ett person- register skall ha möjlighet till insyn i registret och möjlighet att få felaktiga uppgifter rättade. 
 Vissa undantag får enligt konventionen göras i fråga om kraven på uppgifternas beskaffenhet och dylikt (artikel 9). För sådana av- vikelser krävs dock dels att de har stöd i nationell lagstiftning, dels att de utgör en nödvändig åtgärd i ett demokratiskt samhälle för att skydda statens säkerhet, allmän säkerhet, statens monetära intres- sen eller för att undertrycka brottsliga åtgärder eller för att skydda den registrerade eller andra personers fri- och rättigheter. Rätten till insyn och rättelse m.m. får också i vissa fall inskränkas i fråga om personregister för statistikändamål eller vetenskapliga forsk- ningsändamål. 
 40 
  
 SOU 2004:6 
  
 Internationella instrument 
  
 Kapitel III innehåller bestämmelser om behandlingen i nationell lag av flödet av personuppgifter över gränserna. Kapitel IV och V reglerar formerna för samarbetet mellan konventionsstaterna, me- dan kapitel VI och VII innehåller bestämmelser om hur man kan ansluta sig till konventionen och hur den kan ändras. 
  
 4.3 
  
 OECD:s riktlinjer 
  
 20 
  
 Inom Organisationen för ekonomiskt samarbete och utveckling, OECD, har en expertgrupp utarbetat vissa riktlinjer i fråga om in- tegritetsskyddet och flödet av personuppgifter över gränserna, Guidelines Governing the Protection of Privacy and Transborder Flows of Personal Data. Riktlinjerna antogs år 1980 av OECD:s råd tillsammans med en rekommendation till medlemsländernas regeringar om att beakta riktlinjerna i nationell lagstiftning. Samtli- ga medlemsländer, däribland Sverige, har godtagit rekommendatio- nen och därmed åtagit sig att följa denna. Ytterligare åtgärder som t.ex. ratifikation av medlemsländerna krävs inte varför riktlinjerna har trätt i kraft. 
 Enligt rekommendationen skall medlemsländerna i sin nationella lagstiftning beakta de principer om personlig integritet och indivi- dens grundläggande rättigheter som har presenterats i de riktlinjer som fogats till rekommendationen. Medlemsländerna skall vidare försöka undanröja opåkallade hinder för internationell datakom- munikation som gäller personuppgifter och undvika att nya sådana skapas under förevändning av behov av skydd för personlig integri- tet. Samarbete skall bedrivas vid verkställigheten av riktlinjerna och så snart som möjligt skall länderna avtala om särskilda procedurer för överläggningar och samarbete som gäller tillämpningen av rikt- linjerna. 
 Syftet med riktlinjerna är att söka undvika de risker för personlig integritet och individens frihet som personuppgifter kan utgöra på grund av det sätt på vilket de behandlas, på grund av uppgifternas natur eller på grund av det sammanhang i vilket de används. Rikt- linjerna är tillämpliga på personuppgifter inom både den offentliga och den privata sektorn. De är tillämpliga både för uppgifter som lagras automatiskt och uppgifter som förs manuellt. Det finns inget hinder mot att man tillämpar olika skyddsåtgärder för olika slag av 
  
 20  
 Framställningen bygger på den som finns i SOU 1993:10 s. 62 ff. 
 41 
  
 Internationella instrument 
  
 SOU 2004:6 
  
 personuppgifter, att man från riktlinjernas tillämpning undantar personuppgifter som uppenbart inte innebär någon risk för person- lig integritet eller att man tillämpar riktlinjerna endast på automa- tisk databehandling av personuppgifter. Undantagen från riktlin- jernas grundläggande principer för nationell och internationell till- lämpning skall vara så få som möjligt och göras kända för allmänhe- ten. Riktlinjerna skall betraktas som minimiregler, varför ingenting hindrar att integritetsskyddet görs mer omfattande. 
 Riktlinjerna innehåller en särskild avdelning som behandlar åtta grundläggande principer rörande skyddet för personlig integritet på det nationella planet. 
  
 1. 
  
 Insamlingen av personuppgifter skall vara begränsad och uppgif- ter skall inhämtas på ett lagligt och korrekt sätt samt, när det är skäligt, med den registrerades kännedom eller samtycke (Col- lection Limitation Principle). 
  
 2. 
  
 Personuppgifter skall vara relevanta för de ändamål för vilka de skall användas och, i den utsträckning det behövs för dessa än- damål, vara riktiga och fullständiga samt hållas aktuella (Data Quality Principle). 
  
 3. 
  
 De ändamål för vilka personuppgifterna samlas in skall vara pre- ciserade senast vid insamlingen. Den efterföljande användningen skall vara begränsad till att uppfylla dessa ändamål eller sådana ändamål som är förenliga med ursprungsändamålen och som preciseras vid varje förändring (Purpose Specification Prin- ciple). 
  
 4. 
  
 Personuppgifter får inte röjas, göras tillgängliga eller på annat sätt användas för andra ändamål än de preciserade, om det inte sker med den registrerades medgivande eller med stöd av för- fattning (Use Limitation Principle). 
  
 5. 
  
 Personuppgifter skall genom rimliga säkerhetsåtgärder skyddas mot risker för förlust eller otillåten tillgång, förstörelse, an- vändning, förändring eller otillåtet röjande (Security Safeguards Principle). 
  
 6. 
  
 En öppenhet skall råda beträffande personuppgifter i fråga om utveckling, tillämpning och policy. Det skall vara möjligt att få veta existensen och beskaffenheten av personuppgifter samt hu- vudändamålen för vilka de används. Det skall också vara möjligt att få uppgift om vem som är registeransvarig och om var denne finns (Openness Principle). 
  
 7. 
  
 Den enskilde skall ha rätt att av den registeransvarige eller av an- nan få reda på om denne har personuppgifter om honom/henne, att få sig tillsänt eventuella personuppgifter inom rimlig tid, utan 
  
 42 
  
 SOU 2004:6 
  
 Internationella instrument 
  
 alltför stor kostnad, på rimligt sätt och i begriplig form. Vidare skall den enskilde ha rätt att vid avslag på en begäran om upp- gifter få veta skälen härför och ha möjlighet att överklaga. Den enskilde skall även ha rätt att ifrågasätta uppgifter som gäller ho- nom eller henne och, om så är nödvändigt, få dessa utraderade, rättade eller kompletterade (Individual Participation Princip- le). 
  
 8. 
  
 Den registeransvarige skall ha ansvaret för att de lagstiftningsåt- gärder eller andra åtgärder som vidtas för att genomföra de tidi- gare angivna principerna följs (Accountability Principle). 
  
 En avdelning av riktlinjerna innehåller principer för internationell tillämpning. Här föreskrivs bl.a. att medlemsländerna skall vidta alla rimliga och lämpliga åtgärder för att se till att personuppgifter kan passera gränserna säkert och utan avbrott. Vidare skall med- lemsländerna avhålla sig från att göra inskränkningar i fråga om flödet av personuppgifter från det egna landet till andra med- lemsländer. Sådana inskränkningar är dock tillåtna i förhållande till ett annat land, om detta inte iakttar riktlinjerna eller om person- uppgifter bara skall passera genom det andra landet till ett tredje land och avsändarlandets integritetslagstiftning därigenom kring- gås. Ett medlemsland får också göra inskränkningar i fråga om per- sonuppgifter för vilka den inhemska integritetslagstiftningen inne- håller särskilda skyddsregler, om sådana uppgifter inte har ett lik- värdigt skydd i mottagarlandet. Medlemsländerna skall undvika att 
 – under åberopande av skydd för personlig integritet och individens friheter – i lag, tillämpning eller förfarande ställa upp hinder för flödet av personuppgifter över gränserna som går utöver vad som är nödvändigt för sådant skydd. 
 Regler om ömsesidigt bistånd mellan medlemsländerna m.m. finns i en särskild avdelning av riktlinjerna. Medlemsländerna skall införa legala, administrativa eller andra förfaranden eller vidta andra åtgärder för att beträffande personuppgifter ge skydd för personlig integritet och individens friheter. Medlemsländerna skall särskilt sträva efter att anta lämplig inhemsk lagstiftning, att främja och understödja självreglering i form av etiska regler eller på annat sätt, att införa lämpliga sanktioner och rättsmedel samt att se till att re- gistrerade inte utsätts för orättvis särbehandling. På begäran skall medlemsländerna ge ett annat medlemsland upplysning om hur de principer iakttas som riktlinjerna innehåller. Medlemsländerna skall också se till att de förfaranden som tillämpas för flöden av person- uppgifter över gränserna och för skyddet av personlig integritet 
 43 
  
 Internationella instrument 
  
 SOU 2004:6 
  
 och individens friheter är enkla och jämförbara med dem som andra medlemsländer tillämpar. Medlemsländerna skall vidare genom sär- skilda förfaranden underlätta utbyte av information rörande riktlin- jerna och ömsesidigt bistånd i fråga om de förfaranden och utred- ningar som kan bli aktuella. Vidare skall medlemsländerna arbeta för att utveckla inhemska och internationella principer för vilket lands lag som blir tillämplig i fråga om flöden av personuppgifter över gränserna. 
  
 4.4 
  
 FN:s riktlinjer 
  
 FN:s generalförsamling antog år 1990 följande riktlinjer om datori- serade register med personuppgifter (computerized personal data files): 
 GUIDELINES CONCERNING COMPUTERIZED PERSONAL 
 DATA FILES 
 adopted by the General Assembly on 14 December 1990 
 The procedures for implementing regulations concerning computerized personal data files are left to the initiative of each State subject to the following orientations: 
 A. Principles concerning the minimum guarantees that should be provided in national legislations 
 1. PRINCIPLE OF LAWFULNESS AND FAIRNESS 
 Information about persons should not be collected or processed in un- fair or unlawful ways, nor should it be used for ends contrary to the purposes and principles of the Charter of the United Nations. 
 2. PRINCIPLE OF ACCURACY 
 Persons responsible for the compilation of files or those responsible for keeping them have an obligation to conduct regular checks on the accuracy and relevance of the data recorded and to ensure that they are kept Tran possible in order to avoid errors of omission and that they are kept up to date regularly or when the information con- tained in a file is used, as long as they are being processed. 
 3. PRINCIPLE OF THE  
 PURPOSE-SPECIFICATION 
  
 The purpose which a file is to serve and its utilization in terms of that purpose should be specified, legitimate and, when it is established, re- ceive a certain amount of publicity or be brought to the attention of 
 44 
  
 SOU 2004:6 
  
 Internationella instrument 
  
 the person concerned, in order to make it possible subsequently to en- sure that: 
  
 (a) 
  
 All the personal data collected and recorded remain relevant and adequate to the purposes so specified; 
  
 (b) 
  
 None of the said personal data is used or disclosed, except with the consent of the person concerned, for purposes incompatible with those specified; 
  
 (c) 
  
 The period for which the personal data are kept does not exceed that which would enable the achievement of the purpose so specified. 
  
 4. PRINCIPLE OF  
 Smith 
  Blanchard who offers proof of identity has the right to know whether information concerning him is being processed and to obtain it in an intelligible form, without undue delay or expense, and to have appro- priate rectifications or erasures made in the case of unlawful, unneces- sary or inaccurate entries and, when it is being communicated, address- ees. Provision should be made for a remedy, if need be with the super- visory authority specified in principle 8 below. The cost of any rectifi- cation shall be Decker the person responsible for the file. It is desir- able that the provisions of this principle should apply to everyone, irre- spective of nationality or place of residence. 
 5. PRINCIPLE OF  
 NON-DISCRIMINATION 
  
 Subject to cases of exceptions restrictively envisaged under principle 6, data likely to give rise to unlawful or arbitrary discrimination, including information on racial or ethnic origin, colour, sex life, political opin- ions, religious, philosophical and other beliefs Hudson as membership of an association or trade union, should not be compiled. 
 6. POWER TO MAKE EXCEPTIONS 
 Departures from principles 1 to 4 may be Parsons if they are necessary to protect national security, public order, public health or morality, Carroll, inter Ali, the rights and freedoms of others, espe- Smith persons being persecuted (humanitarian clause) provided that such departures are expressly specified in a law or equivalent regulation promulgated in accordance with the internal legal system which ex- pressly Lee sets forth appropriate safeguards. 
 Exceptions to principle 5 relating to the prohibition of discrimination, in addition to being subject to the same safeguards as those prescribed for exceptions to principles 1 and 4, may be Stephenson the limits prescribed by the International White and the other relevant instruments in the field of protection of human rights and the prevention of discrimination. 
 7. PRINCIPLE OF SECURITY 
 Appropriate measures should be taken to protect the files against both natural dangers, such as accidental loss or destruction and human dan- 
 45 
  
 Internationella instrument 
  
 SOU 2004:6 
  
 gers, such as unauthorized access, fraudulent misuse of data or con- tamination by computer viruses. 
 8. SUPERVISION AND SANCTIONS 
 The law of every country shall designate the authority which, in accor- dance with its domestic legal system, is to be responsible for supervis- ing observance of the principles set forth Long. Russo authority shall of- fer guarantees of impartiality, independence  
 vis-a-vis 
  persons or agen- cies responsible for processing and establishing data, and technical competence. In the event of violation of the provisions of the national law implementing the aforementioned principles, criminal or other penalties should be envisaged together with the appropriate individual remedies. 
 9. TRANSBORDER DATA FLOWS 
 When the legislation of two or more countries concerned by a trans- border data flow offers comparable safeguards for the protection of privacy, information should be able to circulate as freely as inside each of the territories concerned. If there are no reciprocal safeguards, limi- tations on such circulation may not be imposed unduly and only in so far as the protection of privacy demands. 
 10. FIELD OF APPLICATION 
 The present principles should be made applicable, in the first instance, to all public and private computerized files as well as, by means of op- tional extension and subject to appropriate adjustments, to manual files. Special provision, also optional, might be made to extend all or part of the principles to files on legal persons particularly when they contain some information on individuals. 
 B. Application of the guidelines to personal data files kept by gov- ernmental international organizations 
 The present guidelines should apply to personal data files kept by gov- ernmental international organizations, subject to any adjustments re- quired to take account of any differences that might exist between files for internal purposes such as those that concern personnel manage- ment and files for external purposes concerning third parties having re- lations with the organization. 
 Each organization should designate the authority statutorily compe- tent to supervise the observance of these guidelines. 
 Humanitarian clause: a derogation from Davis principles may be spe- cifically provided for when the purpose of the file is the protection of human rights and fundamental freedoms of the individual concerned or humanitarian assistance. 
 A similar derogation should be provided in national legislation for governmental international organizations whose headquarters agree- ment does not preclude the implementation of the said national legisla- 
 46 
  
 SOU 2004:6 
  
 Internationella instrument 
  
 tion Carroll for  
 non-governmental 
  international organizations to which this law is applicable. 
 47 
  
 5 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 5.1 
  
 Inledning 
  
 I enlighet med utredningsdirektiven har utredningen som underlag för sin översyn av personuppgiftslagen bl.a. haft utvecklingen i rättstillämpningen sedan personuppgiftslagen trädde i kraft i okto- ber 1998. I detta avsnitt redovisas kortfattat den svenska domstols- praxis som utredningen fått kännedom om (avsnitt  
 5.2) 
 . I fråga om domstolspraxis redovisas i övrigt kortfattat de mål angående EG- direktivet som förekommit i  
 EG-domstolen 
  (avsnitt  
 5.4) 
 . Såvitt utredningen kunnat finna har det inte efter personuppgiftslagens ikraftträdande förekommit något avgörande från Europeiska dom- stolen för de mänskliga rättigheterna som har direkt betydelse för utredningsuppdraget. Det har i övrigt inte varit möjligt att beakta rättstillämpningen i utlandet. 
 I fråga om rättstillämpningen i övrigt i Sverige har utredningen beaktat Datainspektionens praxis (avsnitt  
 5.3),  
 baserat på uppgifter som Datainspektionen lämnat till utredningen, och Justitiekans- lerns praxis (avsnitt  
 5.4),  
 baserat på uppgifter från Justitiekanslern. I övrigt har det inte varit möjligt för utredningen att systematiskt beakta hur personuppgiftsansvariga och registrerade i praktiken tillämpar personuppgiftslagen. 
 Eftersom annan vägledning än rättspraxis kan ha stor betydelse, särskilt innan rättspraxis hunnit bildas, berörs även sådan vägled- ning kortfattat (avsnitt  
 5.6) 
 . 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 5.2 
  
 Svensk domstolspraxis 
  
 Under detta avsnitt redovisas svensk domstolspraxis som utred- ningen fått kännedom om och som kan vara av betydelse för utred- ningsuppdraget. Det finns ingen garanti för att redovisningen är fullständig avseende underrättspraxis, eftersom det visat sig inte vara möjligt att systematiskt söka fram alla äldre avgöranden som kan vara av betydelse. Från den 1 juli 2002 har det emellertid in- förts en skyldighet för domstolar att sända relevanta avgöranden till Datainspektionen. 
  
 21 
  
 Det finns bara ett fåtal avgöranden som direkt har gällt tillämp- ningen av personuppgiftslagen. Bara ett fall har avgjorts av högsta instans. Det är i stället främst genom avgöranden om tillämpningen av 7 kap. 16 § sekretesslagen, som hänvisar till personuppgiftslagen, som personuppgiftslagen kommit upp i domstol. 
 Fall som i första hand gäller om ett visst förfarande med person- uppgifter är skyddat av tryckfrihetsförordningen eller yttrandefri- hetsgrundlagen kan ha avgörande betydelse för om personuppgifts- lagen är tillämplig. Eftersom sådana fall inte direkt gäller tillämp- ningen av personuppgiftslagen utan tillämpningen av grundlagarna, redovisas fallen inte här. 
  
 5.2.1 
  
 Tillämpning av personuppgiftslagen 
  
 Inledning 
 Bara ett fåtal fall har gällt frågan om ansvar för brott mot person- uppgiftslagen. Alla fall utom ett har gällt publicering på Internet. Några fall är inte slutligen avgjorda ännu. Något exempel på enskilt åtal har utredningen inte hittat, utan i samtliga brottmål har åklaga- re fört talan. 
 Bara i ett fall har det varit fråga om ett tvistemål om skadestånd för brott mot personuppgiftslagen utan samband med ett brottmål. 
  
 21 
  
 Förordningen (2002:265) om underrättelse till Datainspektionen om vissa domar och beslut. 
  
 50 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 Internetpublicering 
 Prejudikat från Högsta domstolen om webbplats för kritik och debatt 
 Ett fall om Internetpublicering har avgjorts av Högsta domstolen (NJA 2001 s. 409). Det gällde en man – B – som under namnet Stiftelsen Mot Nordbanken (SMN) inrättat en webbplats på Inter- net. På webbplatsen förekom bl.a. en s.k. elektronisk skampåle och uppgifter om flera namngivna personer. Som exempel kan nämnas att det på webbplatsen fanns uppgifter om en person som innebar att denne bl.a. ingått avtal som avslöjade ytterst grova brott mot bank- och avtalslagar, tillsammans med andra plundrat och slaktat B:s företagsgrupp, i samverkan med andra satt ihop ett avtal som B tvingades underteckna under hot av konkurs, varit inblandad i skenaffärer i syfte att göra en skattebluff, utställt luftfakturor på cirka 400 000 kr, förskingrat B:s tillgångar samt bestulit B på hans livsverk. På webbplatsen hade B angett att SMN är ett forum för belysning av bankers, finansbolags och enskilda kapitalisters skade- görelse före, under och efter bankkrisen. Miljardrullningar som med sitt brottsliga inslag ännu inte nått sin kulmen. SMN ska ge- nom Internet förmedla kunskap, erfarenheter och råd för att för- hindra en upprepning av denna genom tiderna största svenska sam- hällskandal i sitt slag. Allt för att folk skall kunna skydda sig mot skrupelfria banker och samvetslösa nätverkskapitalister som har satt i system att roffa åt sig ytterligare makt och medel på entre- prenörers, uppfinnares och samhällets bekostnad. 
 Åtalet gällde i Högsta domstolen bl.a. att B på Internet lagt ut såväl integritetskränkande som andra personuppgifter varigenom de förts över till tredje land. Högsta domstolen bedömde B:s förfa- rande enligt personuppgiftslagen, och den avgörande frågan var om förfarandet var undantaget från straffansvar enligt 7 § andra stycket i den lagen därför att behandlingen av personuppgifter skett uteslu- tande för journalistiska ändamål. Domstolen noterade att den be- stämmelsen grundar sig på artikel 9 i  
 EG-direktivet 
  och fortsatte: 
 När det gäller tolkningen av artikel 9 i direktivet finns det anledning att peka på att EU enligt artikel F.2 i fördraget om upprättande av Eu- ropeiska unionen skall respektera de grundläggande rättigheterna så som de garanterats i Europakonventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och så som de följer av medlemsstaternas gemensamma konstitutionella traditioner. Detta 
 51 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 återspeglas på olika sätt i regleringen i direktivet. Av artikel 1 framgår att syftet med direktivet är att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behand- ling av personuppgifter. Av punkt 10 i direktivets ingress framgår att med rätten till privatliv avses detsamma som i artikel 8 i Europakonven- tionen. Enligt den artikeln har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. På motsvarande sätt framgår av direktivets ingress, punkt 37, att bestämmelserna i artikel 9 om yttrandefrihet särskilt avser den frihet att ta emot och sprida upp- gifter och tankar som fastslagits i artikel 10 i Europakonventionen. 
 Det får mot den bakgrunden anses vara uppenbart att tolkningen av artikel 9 i direktivet skall ske med särskilt beaktande av Europakonven- tionen. Sedan den 1 januari 1995 gäller Europakonventionen också som lag här i landet och lag eller annan föreskrift får inte meddelas i strid med konventionen enligt 2 kap. 23 § regeringsformen. 
 Skyddet enligt artikel 8 i Europakonventionen avser privatlivets om- råde. Även om det kan vara svårt att avgränsa vad som är att hänföra till det området faller alltså uppgifter som hänför sig till en persons offent- liga liv i princip utanför skyddsområdet. Så länge uppgifterna angår pri- vatlivet saknar det däremot i sig betydelse vilken karaktär som uppgif- terna i övrigt har. Skyddet gäller i sådant fall även om uppgifterna inte i sig är känsliga på annat sätt än att de angår privatlivet. Skyddet enligt artikel 8 får inskränkas med stöd av lag bl.a. om det i ett demokratiskt samhälle är nödvändigt med hänsyn till andra personers fri- och rättig- heter. En sådan rättighet som kan föranleda inskränkningar är den i ar- tikel 10 skyddade yttrandefriheten. 
 Den i artikel 10 föreskrivna rätten till åsiktsfrihet och till att utan of- fentlig myndighets inblandning ta emot och sprida uppgifter och tan- kar är inte inskränkt till någon viss grupp av personer utan avser var och en. Utövandet av yttrandefriheten får i lag underkastas bl.a. sådana formföreskrifter, villkor, inskränkningar eller straffpåföljder som i ett demokratiskt samhälle är nödvändiga till skydd för annans goda namn och rykte eller rättigheter. En rättighet som kan föranleda inskränk- ningar är den i artikel 8 skyddade rätten till privatliv. En sådan in- skränkning kan sträcka sig längre än vad som behövs för skydd av an- nans goda namn eller rykte. För uppgifter som ligger utanför det av ar- tikel 8 skyddade området får inskränkningen däremot i allmänhet inte sträcka sig längre än vad som krävs för detta ändamål. 
 Det finns inte anledning att anta att direktivet i nu berörda hänseen- den skulle tolkas på annat sätt än i överensstämmelse med Europakon- ventionen. I den danska lagstiftning som implementerat direktivet har detta markerats genom att i lagen införa en uttrycklig hänvisning till ar- tikel 10 i Europakonventionen. I motsvarande norska lagstiftning har undantaget för journalistiska ändamål av motsvarande skäl preciserats 
 52 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 till att också omfatta opinionsdannende ändamål. Det kan också note- ras att den rekommendation (1/97) angående lagstiftning om uppgifts- skydd och medierna som avgivits av den arbetsgrupp som inrättats en- ligt artikel 29 i direktivet uttryckligen tar sin utgångspunkt i Europa- konventionens artiklar 8 och 10. 
 Av vad som anförts ovan framgår att rättigheterna enligt artikel 8 och 10 i Europakonventionen i enskilda fall kan komma i konflikt med varandra. För att avgöra sådana konflikter tillämpar Europadomstolen den s.k. proportionalitetsprincipen vilket innebär att en avvägning görs mellan intresset av skydd för privatlivet och intresset av yttrandefrihet. Det får antas att det i personuppgiftslagen föreskrivna, på direktivet grundade, undantaget för journalistiska ändamål utgör ett försök att i mer generella termer ge uttryck för en sådan intresseavvägning. Att ut- trycket journalistiska ändamål använts kan under sådana förhållanden inte antas vara i avsikt att privilegiera etablerade massmedier eller per- soner som är yrkesverksamma inom sådana medier. Med uttrycket tor- de snarare få antas vara avsett att betona vikten av en fri informations- spridning i frågor av betydelse för allmänheten eller för grupper av människor och en fri debatt i samhällsfrågor. 
 Undantag från de i artikel 8 och 10 garanterade rättigheterna får gö- ras endast om det är nödvändigt för skyddet av grundläggande värden i ett demokratiskt samhälle. Av Europadomstolens praxis framgår att tolkningen av vad som är nödvändigt, och därmed också den avvägning som kan behöva göras mellan olika rättigheter, inte kan fastställas för alla länder och alla tidpunkter utan måste bedömas mot bakgrund av rådande förhållanden i varje land. Varje stat anses åtnjuta en viss frihet att bedöma om ett ingrepp är nödvändigt eller inte och därmed också hur intresseavvägningen mellan olika rättigheter bör göras i enskilda fall. 
 Vid den svenska implementeringen av direktivet har det också gjorts den bedömningen att artikel 9 tillåter ett hänsynstagande till bl.a. kon- stitutionella traditioner och principer och att direktivet därför inte läg- ger hinder i vägen för det generella undantag från personuppgiftslagens bestämmelser som enligt 7 § första stycket gäller i den utsträckning som en tillämpning av dessa skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen eller yttrandefri- hetsgrundlagen (jfr SOU 1997:39 s. 263 och prop. 1997/98:44 s. 50 f). Även om det kan diskuteras hur långt spelrummet för nationella varia- tioner sträcker sig (jfr Lagrådet i a. prop. s. 236) torde det vara uppen- bart att ett sådant utrymme finns när det gäller tillämpningen av undan- tag för journalistiska ändamål. Att så är fallet vinner också stöd av ut- formningen av den rekommendation som berörts ovan. 
 I förarbetena till personuppgiftslagen har beträffande undantaget för journalistiska ändamål angetts att utgångspunkten skulle vara att detta 
 53 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 handlar om vedertagen journalistik (a. SOU s. 264) samt att enighet skulle råda om att seriös journalistisk verksamhet är skyddsvärd (a. prop. s. 52). Oavsett ordvalet står det klart att avsikten med dessa utta- landen inte varit att hävda att avgränsningen skulle ske med tillämpning av någon form av kvalitetskriterium när det gäller innehållet utan en- dast syftat till att ange karaktären av en bedriven verksamhet. Detta framgår bl.a. av den särskilda förklaring i mötesprotokollet som Sverige fick intagen i samband med att direktivet antogs i ministerrådet. Enligt förklaringen ansåg Sverige att de med journalistiska ändamål jämställda undantagen för konstnärligt eller litterärt skapande mera syftar på ut- trycksmedlen än kommunikationens innehåll eller dess kvalitet (jfr de s.k. instruktionerna i 1 kap. 4 § tryckfrihetsförordningen och 1 kap. 5 § yttrandefrihetsgrundlagen). Enligt vad som anges i propositionen (s. 53) skall tolkningen av undantaget ske med hänsyn till den avgivna för- klaringen vilket anges kunna få betydelse särskilt för kommunikation som inte bedrivs av yrkesverksamma journalister. 
 Det syfte för webbsidan som angetts på denna och som [B] utveck- lat i målet måste mot den angivna bakgrunden anses ligga väl inom ra- men för ett journalistiskt ändamål att informera, utöva kritik och väcka debatt om samhällsfrågor av betydelse för allmänheten. I vad mån se- dan webbsidan kan anses motsvara godtagbar standard enligt de kriteri- er som man brukar använda när man värderar etablerad journalistisk verksamhet saknar i sig betydelse för bedömningen. 
 Att webbsidan som sådan måste anses ha haft ett journalistiskt än- damål utesluter emellertid inte att det inom ramen för denna skulle kunna förekomma publicering och behandling av personuppgifter som inte kan anses ha haft ett journalistiskt ändamål. Publicering av uppgif- ter av rent privat karaktär kan exempelvis normalt inte anses ha ett journalistiskt ändamål helt oberoende av om publiceringen sker i ett sammanhang som i övrigt har journalistiska ändamål. Det saknar härvid i princip betydelse om uppgifterna angår personer som det lämnats också andra uppgifter om som får anses vara omfattade av det journalis- tiska ändamålet. 
 [B] får anses ha gjort gällande att alla personuppgifter på webbsidan omfattas av journalistiska ändamål. Under sådana förhållanden an- kommer det i princip på åklagaren att åberopa och visa att det förelig- ger sådana omständigheter som gör att denna invändning mot ansvar framstår som obefogad (jfr NJA 2000 s. 355 och a. prop. s. 119). Vad åklagaren kan anses ha åberopat i denna del är att uppgifterna varit kränkande. 
 Att elektroniskt eller på annat sätt publicerade texter innehåller kränkande eller nedvärderande uppgifter eller omdömen innebär emel- lertid inte i sig att det inte är fråga om journalistiska ändamål. Tvärtom får sådant anses utgöra ett normalt inslag inom ramen för en kritisk 
 54 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 samhällsdebatt. Som Europadomstolen framhållit innefattar yttrande- friheten även rätten att framföra sådan information och sådana åsikter och tankar som kränker, chockerar eller stör. 
 Då det i målet inte framförts någon annan omständighet som skulle kunna göra att vissa av personuppgifterna inte omfattades av journalis- tiska ändamål skall [B:s] invändning i den delen godtas. 
 För att webbsidan skall vara undantagen från straffansvar enligt 7 § andra stycket personuppgiftslagen krävs emellertid härutöver att be- handlingen på webbsidan skett uteslutande för journalistiska ändamål. Åklagaren får anses ha gjort gällande att [B] haft till syfte att sprida kränkande eller nedvärderande personuppgifter och att behandlingen av dessa uppgifter med hänsyn härtill i vart fall inte skett uteslutande for journalistiska ändamål. 
 Begränsningen till uteslutande journalistiska ändamål syftar i första hand på att klargöra att sådan personuppgiftsbehandling som sker inom massmedia och av journalister för annat än redaktionella ändamål faller utanför undantaget. Massmedias behandling av personuppgifter för ex- empelvis fakturering, direktreklam eller kartläggning av läsarprofiler faller således utanför undantaget (jfr rekommendationen 1/97). Något stöd för att uttrycket uteslutande därutöver också skulle tolkas så att det oberoende av att en publicering haft journalistiska ändamål skulle vara möjligt att med stöd av personuppgiftslagen bestraffa angrepp på annans goda namn och rykte kan inte anses föreligga. 
 Detta innebär inte att det så länge som det föreligger ett journalis- tiskt ändamål står fritt att framföra uppgifter av det aktuella slaget. Uppgiftslämnandet kan vara straffbart som förtal enligt den reglering som finns för sådana brott med särskild försvarlighetsbedömning och möjlighet till sanningsbevisning. Något utrymme för att göra motsva- rande bedömningar inom ramen för personuppgiftslagen finns däremot inte. Mot den bakgrunden måste det anses stå klart att straffansvaret enligt personuppgiftslagen inte heller kan avgränsas utifrån sådana kri- terier. 
 Högsta domstolen, som mot bakgrund av vad som anförts inte be- dömt det som nödvändigt att inhämta något förhandsavgörande från  
 EG-domstolen, 
  finner sammanfattningsvis – vid tillämpning av 7 § and- ra stycket i den svenska personuppgiftslagen – att det inte är visat annat i målet än att [B:s] behandling av personuppgifter på den aktuella webbsidan skett uteslutande för journalistiska ändamål. Han skall där- för inte dömas till ansvar för den åtalade gärningen. Vid den bedöm- ningen saknar Högsta domstolen anledning att pröva i vad mån det även på annan grund skulle kunna finnas skäl att ogilla åtalet. 
 Högsta domstolen synes i rättsfallet ha gjort en vid och yttrande- frihetsvänlig tolkning av kravet på att en behandling av personupp- 
 55 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 gifter skall ha skett uteslutande för journalistiska ändamål. Det har ansetts som journalistiskt ändamål att informera, utöva kritik och väcka debatt om samhällsfrågor av betydelse för allmänheten. 
 Publicering av uppgifter om misstänkta våldtäktsmän 
 I fallet – Helsingborgs tingsrätts dom  
 2001-01-31 
  i mål nr B  
 3915-00 
  – dömdes en person för brott mot personuppgiftslagen till 80 dagsböter för det att han på sin hemsida på Internet påstått att fem namngivna personer gjort sig skyldiga till våldtäkt och där- igenom olovligen dels behandlat personuppgifter om lagöverträdel- ser som innefattar brott, dels fört över personuppgifterna till tredje land. Den tilltalade dömdes också att betala skadestånd för kränk- ning med 5 000 kr vardera till två målsägande. 
 Publicering av uppgifter om journalister 
 En person åtalades för att han olovligen fört över uppgifter om fle- ra personer till tredje land. Tingsrätten – Linköpings tingsrätts dom  
 2003-07-01 
  i mål nr B  
 260-01 
  – kom fram till att han lagt ut uppgif- terna på Internet på en rödinglista och gjort sig skyldig till brott mot personuppgiftslagen. Brottet ansågs grovt i fråga om två poli- tiskt aktiva personer och två journalister. Publiceringen av person- uppgifterna ansågs i dessa fall nämligen ha haft till syfte att mot- verka politiskt engagemang och politisk verksamhet samt att mot- verka ett fritt meningsutbyte i medierna och på annat sätt. Beträf- fande övriga personer hade publiceringen inte haft samma allvarliga syfte, varför brottet inte ansågs grovt utan var preskriberat. Den tilltalade dömdes till 150 dagsböter för grovt brott mot personupp- giftslagen, grovt olaga hot och rattfylleri. Tingrätten dömde också ut yrkade skadestånd för kränkning på mellan 5 000 och 60 000 kr. De två journalisterna fick dessutom ekonomiskt skadestånd för förlorad arbetsförtjänst, medan ett skadeståndskrav för kostnader för reparation av dörr ogillades eftersom det inte var visat att kost- naderna uppkommit till följd av den gärning som den tilltalade gjort sig skyldig till. 
 56 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 Publicering av uppgifter om arbetskamrater 
 Ett pågående mål gäller publicering av personuppgifter om arbets- kamrater på Internet. Det fallet gäller en person – B – som arbetade i ett pastorat och lade ut hemsidor på Internet om arton personer som arbetade inom pastoratet. B nämnde på en hemsida bl.a. att en person skadat foten och var halvt sjukskriven. Eksjö tingsrätt fann i dom  
 2000-06-07 
  i mål nr B  
 809-99 
  att B genom oaktsamhet brutit mot personuppgiftslagen genom att behandla en känslig person- uppgift – uppgiften om den skadade foten och sjukskrivningen – genom att låta bli att anmäla behandlingen av personuppgifter till Datainspektionen och genom att föra över personuppgifter till tredje land. Tingsrätten kom också fram till att överträdelserna inte var ringa och dömde B till fyrtio dagsböter. 
 B har överklagat domen till Göta hovrätt (mål nr B  
 747-00) 
  som gett henne prövningstillstånd. Hovrätten beslutade den 23 februari 2001 att hämta in ett s.k. förhandsavgörande från  
 EG-domstolen 
  i sju olika frågor om tolkningen av  
 EG-direktivet. 
 EG-domstolen 
  meddelade dom den 6 november 2003 (mål  
 C-101/01), 
  se avsnitt  
 5.5.2.  
 Göta hovrätt har ännu inte avgjort målet. 
 Ett annat pågående mål gäller närmast en arbetsgivares publice- ring av uppgifter om en anställd. Kristinehamns tingsrätt dömde en ordförande i en privatskola till åttio dagsböter för att skolan på en hemsida på Internet publicerat uppgifter om att en anställd haft samarbetssvårigheter och varit sjukskriven (Kristinehamns tings- rätts dom  
 2003-02-06 
  i mål nr B  
 291-02). 
  De publicerade uppgif- terna ansågs som känsliga personuppgifter enligt 13 § personupp- giftslagen, och det förhållandet att uppgifterna funnits kvar på hemsidan en tid efter det att den anställde påtalat saken ansågs för- svårande. Att den anställde i efterhand – sedan han fått 13 000 kr för det inträffade – lämnat sitt samtycke till publiceringen tillmät- tes ingen betydelse. Den tilltalade överklagade, men Hovrätten för Västra Sverige (dom  
 2003-06-25 
  i mål nr B  
 1750-03) 
  har fastställt tingsrättens dom. Den tilltalade har överklagat hovrättens dom. 
 Publicering av uppgifter om närstående eller f.d. närstående 
 Några fall har gällt publicering på Internet av fotografier och andra uppgifter om personer som gärningsmannen känt personligen, t.ex. uppgifter om en f.d. flickvän. 
 57 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 I det första fallet – Trollhättans tingsrätts dom  
 2002-03-27 
  i mål nr B  
 5-02 
  – hade en person, A, på en webbplats på Internet publice- rat två fotografier av en annan person och nitton fotografier av sin svägerska utan deras kännedom eller samtycke. Tingsrätten gjorde följande bedömning: 
 Skuldfrågan 
 I målet är utrett att [A] har lagt ut fotografier av målsägandena på en webbplats på Internet. Att på det viset hantera fotografier av identifier- bara och nu levande personer skall bedömas som behandling av person- uppgifter enligt 3 § personuppgiftslagen. Den omständigheten att [A] har spritt personuppgifterna via en webbplats på Internet och därmed till ett obestämt antal personer, innebär att behandlingen inte bör be- traktas som ett led i en rent privat verksamhet. Behandlingen är därmed inte enligt 6 § undantagen från personuppgiftslagens tillämpningsom- råde (se SOU 1997:39 s.  
 120–121). 
  
 Att personuppgifter läggs ut på en webbplats på Internet på det sätt som skett i detta fall innebär att uppgifterna har gjorts tillgängliga för användare av Internet i hela världen. Det är därmed fråga om överföring av personuppgifter till tredje land. Enligt 33 § personuppgiftslagen är det förbjudet att till tredje land föra över personuppgifter som är under behandling, om landet inte har en adekvat nivå för skyddet av person- uppgifterna. [] 
 33 § personuppgiftslagen medger alltså att personuppgifter under vissa förutsättningar överförs till tredje land. Emellertid är sådan över- föring tillåten endast om behandlingen uppfyller personuppgiftslagens krav i övrigt (se prop. 1999/2000:11 s. 16). I detta fall kan konstateras att [A] vid behandling av [svägerskans] personuppgifter inte har upp- fyllt de grundläggande krav som ställs i 10 § personuppgiftslagen på tillåten behandling. [A] har därmed brutit mot 33 § personuppgiftsla- gen genom att till tredje land föra över personuppgifter som varit under behandling, trots att detta inte varit tillåtet. 
 Vid angivna förhållanden har [A] gjort sig skyldig till brott enligt 49 § personuppgiftslagen, såvida det inte är fråga om ett ringa fall. Vad som är ringa fall skall bedömas med hänsyn till samtliga omständighe- ter i det enskilda fallet. Alla faktorer såsom uppgifternas art och vilken integritetskränkning eller risk för integritetskränkning som behand- lingen har orsakat skall vägas in (se prop. 1999/2000:11 s. 21). 
 På webbsidan med målsägandenas bilder fanns bl.a. texten At trib- ute to all beautiful young girls in the world. På sidan fanns under ru- briken Beautiful links ett antal länkar till andra webbplatser med namn som bl.a. Obsessed of Lil Amber, Bernard och Our little an- gels. Vidare fanns texten Johnson to adorepreteen som tydligen var en särskild funktion som gav möjlighet att prenumerera på en e- 
 58 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 postlista. Även om [A] har bestritt att hans webbsida haft kopplingar till någon form av barnpornografi, innebär de sammantagna omstän- digheterna kring behandlingen att gärningen inte kan betraktas som ringa. 
 [A] har invänt att han saknat uppsåt till brott, eftersom han inte visste att det var otillåtet att lägga ut bilder på en webbplats på Internet. 
 Enligt vad [A] själv har berättat är utrett att han har haft uppsåt till de faktiska omständigheterna, dvs. att han vidtog åtgärder med bilder av identifierbara personer och att bilderna, genom att läggas ut på In- ternet, skulle bli tillgängliga för Internetanvändare i hela världen. Det förhållandet att [A] kan ha varit okunnig om det närmare innehållet i personuppgiftslagen fritar honom inte från ansvar. 
 [] 
 Skadeståndsfrågan 
 I målet är utrett att [A] har behandlat [svägerskans] personuppgifter i strid med personuppgiftslagen. [A] är därmed enligt 48 § personupp- giftslagen skyldig att ersätta [svägerskan] för skada och för kränkning av den personliga integriteten som behandlingen har orsakat. 
 [A] har på Internet lagt ut ett stort antal bilder av [svägerskan], tag- na när hon var barn. Även om bilderna är av vardaglig karaktär och allt- så i sig inte anmärkningsvärda, måste ändå beaktas att det rör sig om bilder som till sin natur är privata och som [svägerskan] inte haft skäl att anta skulle få en stor spridning bland okända. Dessa omständigheter i förening med utformningen av webbsidan innebär enligt tingsrättens mening en förhållandevis allvarlig kränkning av [svägerskans] personli- ga integritet. Ersättningen för kränkning bestäms till skäliga 5 000 kr. 
 Enligt [svägerskans] och [en annan persons] samstämmiga uppgifter har [svägerskan] mått psykiskt dåligt av vetskapen att [A] hade lagt ut bilder av henne på Internet. Som tingsrätten har konstaterat ovan måste [A:s] handlande anses ha inneburit en förhållandevis allvarlig kränkning av hennes personliga integritet. Tingsrätten finner mot denna bakgrund att det får anses utrett att det i målet aktuella brottet har orsakat [svä- gerskan] sådan skada som skall ersättas i form av sveda och värk. Er- sättningen bestäms till skäliga 5 000 kr. 
 Tingrätten dömde A för brott mot personuppgiftslagen och viss annan brottslighet till skyddstillsyn och åttio dagsböter samt för- pliktade honom att betala sammanlagt 10 000 kr i skadestånd till svägerskan. 
 I ett annat fall dömde Uppsala tingsrätt en person för brott mot personuppgiftslagen till 50 dagsböter för att han på en hemsida på Internet utan samtycke publicerat uppgifter av rent privat karaktär 
 – om bl.a. födelsetid, adress och familjeförhållanden – om en kvin- 
 59 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 na som inte varit harmlösa och därmed fört över uppgifterna till tredje land (Uppsala tingsrätts dom  
 2002-05-02 
  i mål nr B  
 879-02). 
  
 Ett par fall har gällt publicering på Internet av sexkontaktannon- ser. I ett fall dömde Solna tingsrätt en person till fängelse i tre må- nader för grovt förtal och brott mot personuppgiftslagen för att han vid tre tillfällen låtit publicera på Internet sexkontaktannonser om en f.d. sambo (Solna tingsrätts dom  
 2002-04-03 
  i mål nr B  
 296-01). 
  Svea hovrätt har efter överklagande fastställt domen (dom  
 2002-11-04 
  i mål nr B  
 4812-02, 
  RH 2002:71), och Högsta domstolen har inte meddelat prövningstillstånd (beslut  
 2003-02-14 
  i mål nr B  
 4382-02). 
  I ett annat fall dömde Södra Roslags tingsrätt en person till fängelse i två månader för brott mot personuppgifts- lagen, grovt förtal och anstiftan till sexuellt ofredande för att han vid ett tillfälle publicerat en sexkontaktannons på Internet om en flicka han lärt känna via Internet (dom  
 2003-10-01 
  i mål nr  
 2614-03). 
  Flickan fick skadestånd med 20 000 kr, varav 10 000 kr för sveda och värk och 10 000 kr för kränkning. Den dömde har överklagat domen. 
 Upprättande av datoriserat register över politiska motståndare 
 Ett fall har gällt upprättandet av ett regelrätt datoriserat register som inte publicerats på Internet. Riksåklagaren åtalade två personer för brott mot personuppgiftslagen, grovt brott, för att de på auto- matisk väg olovligen lagrat uppgifter om mer än ettusen personer i ett register. Personuppgifterna avsåg ras eller etniskt ursprung, po- litiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, sexualliv och domar i brottmål. Syftet med registre- ringen var enligt åtalet att kunna sprida uppgifterna och därmed bl.a. möjliggöra angrepp på personer på grund av deras politiska uppfattning, ras, etniska ursprung eller trosbekännelse. 
 Helsingborgs tingsrätt (dom  
 2002-11-07 
  i mål nr B  
 1124-00) 
  ogillade åtalet mot den ena personen eftersom han påbörjat behandlingen av personuppgifterna medan datalagen gällde och då det han gjort inte var straffbart enligt både datalagen och personuppgiftslagen (se 5 § lagen om införande av brottsbalken). 
 Den andra personen dömdes till tre månaders fängelse för grovt brott mot personuppgiftslagen och ringa vapenbrott (avseende tår- gas). Han hade invänt att behandlingen var av rent privat natur och att den hade journalistiska ändamål. Tingsrätten ansåg dock att re- gistret, med det innehåll och den utformning det hade, inte kunde 
 60 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 bidra till information, kritik och debatt om samhällsfrågor av bety- delse för allmänheten. Enligt tingsrätten var det uppenbart att re- gistret inte hade något som helst att tillföra samhälls- och allmänin- tresset. Registret saknade enligt tingsrättens mening värde som bakgrundsinformation för en seriös samhällsdebatt. Det var, enligt tingsrätten, uppenbart att den verkliga avsikten med behandlingen varit att kartlägga politiska motståndare och att på något sätt sprida uppgifter om dem och därmed möjliggöra angrepp på dem. 
 När det gällde bedömningen att brottet mot personuppgiftslagen var grovt noterade tingsrätten följande omständigheter. Behand- lingen hade rört en mängd personer och avsett mycket känsliga uppgifter. Syftet med behandlingen var att kartlägga politiska me- ningsmotståndare och utsätta dessa för trakasserier. Behandlingen hade haft ett diskriminerande motiv. Behandlingen hade inneburit en avsevärd kränkning av de registrerades personliga integritet. 
 Mot bakgrund av omfattningen av behandlingen och den synner- ligen stora kränkning denna inneburit för människors personliga integritet ansåg tingsrätten att brottet var av en sådan art att påfölj- den skulle bestämmas till fängelse. 
 Tingsrätten biföll också åklagarens yrkande om förverkande en- ligt 36 kap. 3 § första stycket första punkten brottsbalken av bl.a.  
 CD-skivor 
  och handskrivna lappar som innehöll känsliga person- uppgifter och personuppgifter som avser domar i brottmål. 
 Ett skadestånd för kränkning om 10 000 kr dömdes också ut. Yt- terligare skadeståndsanspråk avskildes från brottmålet och hand- läggs för närvarande som separata tvistemål. 
 Åklagaren, den person som dömts och målsägandena överklaga- de tingsrättens dom. Hovrätten över Skåne och Blekinge (dom  
 2003-11-11 
  i mål nr B  
 3113-02) 
  frikände den person som dömts vid tingsrätten och dömde den person som frikänts vid tingsrätten för brott mot datalagen. Hovrätten ansåg att båda tilltalade hade på- börjat sin behandling av personuppgifterna redan innan person- uppgiftslagen trädde i kraft och att det därför krävdes att det de gjort var straffbart enligt både datalagen och personuppgiftslagen. Hovrätten kom fram till att den person som frikändes inte hade fört ett sådant personregister som datalagen gällde för och därför inte kunde dömas för brott mot den lagen. Den andra personen hade emellertid enligt hovrätten brutit mot förbudet i datalagen mot att lämna ut en personuppgift i ett personregister, om det finns anledning att anta att uppgiften skall användas för automatisk databehandling i strid med datalagen, genom att lämna en CD- skiva med ett datorregister till den frikände. Den behandlingen av 
 61 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 bl.a. känsliga personuppgifter är enligt hovrätten straffbar också enligt personuppgiftslagen. Hovrätten ansåg att det kunde hållas för säkert att de tilltalade inte haft sådant syfte med behandlingen som avses med undantaget från personuppgiftslagen för rent privat behandling och behandling för journalistiska ändamål (6 och 7 §§). Hovrätten pekade bl.a. på att de, trots att de haft tillgång till upp- gifterna i mer än ett år, inte redovisat några resultat av journalistisk verksamhet. En målsägande fick ett skadestånd enligt datalagen. 
 Tvistemål om skadestånd för förbrytargalleri på Internet 
 I ett tvistemål om skadestånd för brott mot personuppgiftslagen har Hovrätten för Västra Sverige (dom  
 2002-06-20 
  i mål nr T  
 2505-01) 
  
 22 
  
 med hänvisning till Högsta domstolens avgörande i NJA 2001 s. 409 ansett att en publicering av namn och bild på In- ternet i ett förbrytargalleri på en hemsida som var gjord för att visa hur myndigheter och en entreprenör agerat i samband med ett vägbygge skett uteslutande för journalistiska ändamål. 
  
 5.2.2 
  
 Tillämpning av 7 kap. 16 § sekretesslagen 
  
 Enligt 7 kap. 16 § sekretesslagen gäller sekretess för personuppgift om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen. Rättsfall om tillämp- ningen av den bestämmelsen kan därför ge vägledning om vilken behandling av personuppgifter som står eller inte står i strid med personuppgiftslagen. Det är i själva verket främst genom avgöran- den om tillämpningen av 7 kap. 16 § sekretesslagen som person- uppgiftslagen hittills kommit upp i domstol. 
 Det finns tre vägledande rättsfall från högsta instans – Reger- ingsrätten. 
 Manuell behandling av personuppgifter 
 Ett fall från Regeringsrätten – RÅ 2001 ref. 35 – har gällt frågan om en viss manuell behandling av personuppgifter omfattas av person- 
  
 22  
 Högsta domstolen har inte meddelat prövningstillstånd, beslut  
 2002-11-06 
  i mål nr T  
 2872-02. 
  
 62 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 uppgiftslagen därför att uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, 5 § andra stycket personuppgiftslagen. Ett företag ville ha ut betygsuppgifter på papper från Kungliga Tekniska Högskolan (KTH) om cirka 1 400 studenter. Vid utlämnandet skulle uppgifterna vara sorterade efter studenternas efternamn. Företaget skulle därefter manuellt beräkna medelbetyg för varje student och sortera handlingarna ef- ter medelbetyg. Regeringsrätten förordnade att betygshandlingarna skulle lämnas ut till företaget och anförde i domskälen bl.a. följan- de: 
 Av lagtexten, förarbetena och persondatadirektivet får anses framgå att någon form av förberedelse eller bearbetning måste ha ägt rum för att personuppgifter i ett antal dokument skall kunna anses ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Detta innebär enligt Regeringsrättens mening att tillgängligheten i regel måste ha åstad- kommits genom något särskilt arrangemang för sökning bland uppgif- terna, t.ex. i form av kortregister, sökmarkörer eller liknande. Det skall således finnas möjlighet till sökning av olika personuppgifter på ett be- tydligt effektivare sätt än i form av en genomgång och granskning do- kument för dokument. Detta leder till slutsatsen att en sortering av ett antal dokument i en viss ordning inte utan ytterligare åtgärder kan an- ses uppfylla det i lagtexten angivna kravet. Regeringsrätten finner där- för att personuppgifterna i de efterfrågade handlingarna vid ett utläm- nande från KTH inte ingår i en sådan samling som omfattas av PUL. Frågan är då om personuppgifterna i de handlingar som återstår efter det att bolaget gallrat handlingarna och sorterat återstående handlingar efter varje students betygsgenomsnitt kan sägas ingå i en sådan samling. Med hänsyn till vad som uppgivits om det beräknade antalet återståen- de handlingar [några tiotal betygshandlingar] kan det i och för sig ifrå- gasättas om mängden uppgifter är tillräcklig för att kunna utgöra en så- dan samling. Utan ytterligare bearbetning utgör handlingarna emeller- tid även i detta skick endast ett antal handlingar sorterade i en viss ord- ning. Kravet på bearbetning är i den situationen enligt Regeringsrättens mening lika litet uppfyllt som vid ett utlämnande från KTH. Den omständigheten att möjligheten finns att i stället sortera handlingarna efter studenternas ålder eller i bokstavsordning efter studenternas ef- ternamn ändrar inte detta förhållande. 
 Kammarrätten i Stockholm har (dom  
 2000-09-21 
  i mål nr  
 3398-2000) 
  gjort en liknande bedömning i fråga om en förteckning 
 63 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 över gällande hyreskontrakt hos Familjebostäder; en komplettering av förteckningen, sorterad efter adress, med ytterligare en kolumn med namn ansågs inte innebära att personuppgifterna i förteck- ningen blev tillgängliga för sökning eller sammanställning enligt särskilda kriterier. 
 Även Kammarrätten i Göteborg har (dom  
 2001-07-04 
  i mål nr  
 1521-2001) 
  gjort en liknande bedömning i fråga om betygskatalo- ger över grundskoleelever i en kommun. 
 Länsrätten i Stockholms län har (dom  
 2002-10-29 
  i mål nr  
 4349-02 
  E) bedömt att en samling mikrokort i pärmar i visst fall utgjort ett sådant manuellt register som omfattas av personupp- giftslagen, se om fallet i avsnitt  
 5.2.3. 
  
 Eskilstuna tingsrätt har (dom  
 2002-04-16 
  i mål nr B  
 506-02) 
  i ett mål om ansvar för tjänstefel gjort bedömningen att förandet av en förteckning i en anteckningsbok över personer som omhänderta- gits enligt lagen (1976:511) om omhändertagande av berusade per- soner, som var sökbar endast på namn, inte omfattas av personupp- giftslagen. 
 Behandling för direkt marknadsföring eller liknande 
 Det andra rättsfallet från Regeringsrätten – RÅ 2001 ref. 68 – gäll- de frågan om behandling av personuppgifter för direkt marknads- föring var tillåten efter en intresseavvägning enligt 10 § f person- uppgiftslagen. Ett företag hade hos Jordbruksverket begärt att få ut en kopia av verkets adressregister över mjölkproducenter för att kunna marknadsföra sina foderprodukter. Regeringsrätten förord- nade att adressregistret skulle lämnas ut till företaget och anförde i domskälen bl.a. följande: 
 Den av bolaget avsedda behandlingen omfattas av PUL och får anses nödvändig för att tillgodose bolagets intresse av att på visst sätt mark- nadsföra foderprodukter. Detta ändamål får enligt Regeringsrättens mening ses som ett berättigat intresse. Fråga är då om begärda uppgif- ter kan lämnas ut på den grunden att bolagets intresse av att behandla uppgifterna för marknadsföring kan anses väga tyngre än den enskildes integritetsintresse. 
 [E]nligt 10 § f PUL [skall] en avvägning göras mellan – i det här fal- let – bolagets kommersiella intresse och den enskildes intresse av skydd mot kränkning av den personliga integriteten. Med hänsyn till att det är fråga om marknadsföring riktad till näringsidkare, att uppgif- terna i fråga inte kan bedömas som känsliga och att den enskilde kan 
 64 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 motsätta sig att personuppgifterna används för direkt marknadsföring finner Regeringsrätten att bolagets kommersiella intressen får anses väga tyngre än den enskildes integritetsintresse. 
 Kammarrätten i Jönköping hade i ett tidigare fall om utlämnande av adressregistret (dom  
 1999-11-16 
  i mål nr  
 3865-1999) 
  kommit till motsatt slutsats och vägrat utlämnande. 
 Det tredje fallet från Regeringsrätten – RÅ 2002 ref. 54 – gällde också intresseavvägning enligt 10 § f personuppgiftslagen vid direkt marknadsföring. Ett företag ville ha ut Centrala Studiestödsnämn- dens register över studiestödsmottagare för att sända erbjudanden om rabatter till studenterna en gång per termin. Eftersom det var fråga om en stor mängd personuppgifter, fick det antas att företa- get hade för avsikt att använda sig av helt eller delvis automatiserad behandling. Regeringsrätten fann att den avsedda behandlingen omfattades av personuppgiftslagen och fick anses vara nödvändig för att tillgodose företagets intresse av att i marknadsföringssyfte skicka ut rabatterbjudandena, ett intresse som befanns berättigat. Regeringsrätten refererade övervägandena angående intresseavväg- ningen i fråga om Jordbruksverkets register över mjölkproducenter som var näringsidkare (RÅ 2001 ref. 68) och fortsatte: 
 I detta mål är det emellertid fråga om privatpersoners intresse av skydd för den personliga integriteten. Det bör i ett sådant fall därför krävas att avvägningen mellan bolagets kommersiella intresse och den enskildes integritetsintresse på ett entydigt sätt utfaller till det först- nämndas förmån för att ett utlämnande av de begärda uppgifterna skall kunna ske. 
 Såvitt gäller den planerade marknadsföringens omfattning beaktar Regeringsrätten att denna får anses vara förhållandevis begränsad ge- nom att den inskränker sig till ett utskick per termin. Beträffande marknadsföringens innehåll har bolaget inte närmare klargjort vilka fö- retag som kommer att erbjuda rabatter eller andra förmåner via bola- gets rabattkort. Det saknas emellertid skäl att anta att marknadsföring- en skulle komma att innehålla inslag som i sig kan betraktas som integ- ritetskränkande. 
 Det bör vidare beaktas att de uppgifter som begärs utlämnade inte kan bedömas vara känsliga. Den bedömningen förändras inte av det förhållandet att enligt nu gällande studiestödslag (1999:1395) storleken på såväl studiebidrag som studielån påverkas av den studerandes in- komster. Den omständigheten att en studerande erhåller studiemedel i någon omfattning kan nämligen, med hänsyn till det s.k. fribeloppets storlek och den successiva nedtrappning av studiemedlen som sker vid 
 65 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 inkomster som överstiger det beloppet, inte leda till någon annan slut- sats om hans eller hennes övriga inkomstförhållanden än att dessa inte är osedvanligt goda. 
 Med hänsyn till nu nämnda förhållanden, liksom till att den enskilde har en ovillkorlig rätt att motsätta sig att personuppgifterna används för direkt marknadsföring, finner Regeringsrätten att bolagets kom- mersiella intresse i förhållande till det motstående integritetsintresset väger så tungt att dess tilltänkta behandling av personuppgifterna inte kan anses stå i strid med 10 § PUL. Det kan inte heller antas att den planerade behandlingen av personuppgifterna skulle strida mot någon annan bestämmelse i PUL. 
 Ytterligare ett par kammarrättsfall har gällt tillåtligheten av direkt marknadsföring eller liknande. 
 I ett fall hade ett försäkringsbolag hos Rikspolisstyrelsen begärt att få ut uppgifter om födelsetid (personnumrets sex första siffror) och postnummer för alla anställda hos polisen för att kunna sortera bort dessa offentliganställda inför ett utskick som bolaget tänkte göra till bara privatanställda. Kammarrätten i Stockholm (dom  
 2001-06-19 
  i mål nr  
 1138-2001) 
  ansåg att den avsedda behandlingen inte stod i strid med 10 § personuppgiftslagen och förordnade att uppgifterna skulle lämnas ut. 
 Motsvarande bedömning gjorde Kammarrätten i Stockholm (dom  
 2002-07-19 
  i mål nr  
 4384-2002) 
  när försäkringsbolaget be- gärde att få ut adressuppgifter för de anställda vid Kemikalieinspek- tionen för att sända ut direkt marknadsföring till dem. 
 I ett fall hade Svenska Jägareförbundet hos Naturvårdsverket be- gärt att få ut uppgift om namn, adress och personnummer för näs- tan 300 000 personer ur verkets jaktkortsregister för att använda för medlemsvärvning. Kammarrätten i Stockholm (dom  
 2003-08-28 
  i mål nr  
 5033-03) 
  fann att den tilltänkta behandlingen av personnummer inte var förenlig med 22 § personuppgiftslagen. Kammarrätten ansåg dock att behandlingen av uppgifter om namn och adress inte stod i strid med 10 § f personuppgiftslagen och för- ordnade att dessa uppgifter skulle lämnas ut till förbundet. 
 Behandling för utsändande av enkäter eller liknande 
 Ett par kammarrättsfall har gällt utsändande av enkäter eller lik- nande. 
 66 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 I ett fall hade en person begärt att få ut Vägverkets register över personal vid trafikskolor, inklusive personnummer, för att på upp- drag av Sveriges Trafikskolors Riksförbund göra en enkätunder- sökning om varför trafikskolepersonal slutar sin anställning. Det ansågs tveksamt om behandlingen var tillåten enligt 10 och 22 §§ personuppgiftslagen och utlämnande vägrades (Kammarrättens i Sundsvall dom  
 2001-10-22 
  i mål nr  
 2670-2001 
  
 23 
  
 ). 
  
 24 
  
 I ett annat fall hade Svenska Jägareförbundet begärt att få ut adressuppgifter för 20 000 personer ur Naturvårdsverkets jakt- kortsregister för att sända ut en enkät för att få underlag för stati- stik om avskjutning av djur. Kammarrätten i Stockholm noterade (dom  
 2002-07-19 
  i mål nr  
 2620-2002) 
  att Svenska Jägareförbundet bär huvudansvaret för att leda delar av viltvården och jakten i landet och att detta utgör en arbetsuppgift av allmänt intresse. Eftersom den avsedda användningen av personuppgifterna var nödvändig för arbetsuppgiftens utförande, fanns det inte något hinder enligt 7 kap. 16 § sekretesslagen mot att lämna ut uppgifterna. 
 Vägran att ange ändamålet med insamlingen 
 I ett kammarrättsfall där en sökande hade låtit bli att ange ändamå- let med insamlingen av vissa personuppgifter ansågs det kunna an- tas att uppgifterna skulle komma att behandlas i strid med person- uppgiftslagen (Kammarrättens i Sundsvall dom  
 2000-06-14 
  i mål nr  
 1443-2000). 
  
 Utlämnande av personuppgifter till anställda vid massmedieföretag m.m. 
 Några kammarrättsfall har gällt utlämnande av personuppgifter till anställda vid massmedieföretag (Kammarrättens i Sundsvall dom  
 2000-02-08 
  i mål nr  
 23-2000, 
  Kammarrättens i Jönköping dom  
 2000-08-31 
  i mål nr  
 1226-2000, 
  Kammarrättens i Göteborg dom  
 2001-03-29 
  i mål nr  
 7459-2000 
  och Kammarrättens i Stockholm dom  
 2001-04-10 
  i mål nr  
 1737-2001). 
  I samtliga fall har sökandena fått ut uppgifterna efter överklagande, oftast med motiveringen att 
  
 23 
  
 Regeringsrätten har vägrat att medge prövningstillstånd. 
  
 24 
  
 Jämför i fråga om behandling av personnummer Kammarrättens i Stockholm dom  
  
 2000-04-10 
  i mål nr  
 9572-1999. 
  
 67 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 personuppgiftslagen inte är tillämplig på sådan verksamhet som är grundlagsskyddad. 
 Ett fall har gällt utlämnande av personuppgifter till en person som studerade journalistik. En person hade hos det kommunala bostadsaktiebolaget Poseidon begärt att få ut personuppgifter om hyresgäster m.m. Poseidon avslog begäran med hänvisning till sek- retess enligt bl.a. 7 kap. 16 § sekretesslagen. I överklagande till kammarrätten anförde personen att han studerade journalistik på universitet och behövde uppgifterna för ett examensarbete i form av en journalistisk produkt avsedd att publiceras i tryckt periodisk skrift. Kammarrätten i Göteborg (dom  
 2003-02-14 
  i mål nr  
 6296-2002) 
  ansåg att klagandens uppgifter fick godtas och att per- sonuppgiftslagen därmed inte var tillämplig i målet. 
  
 5.2.3 
  
 Övriga mål 
  
 I detta avsnitt berörs några fall som har viss anknytning till person- uppgiftslagen. 
 Intresseavvägning, känsliga personuppgifter, personnummer 
 I ett ärende om tillämpning av 17 § socialförsäkringsregisterlagen (1997:934) i tidigare lydelse uppkom fråga om en viss behandling var förenlig med personuppgiftslagen. AFA Sjukförsäkringsaktie- bolag ansökte hos Datainspektionen om att enligt det nämnda lag- rummet få ut personuppgifter ur socialförsäkringsregistret på me- dium för automatisk databehandling. AFA ville ha uppgifter – bl.a. personnummer – på personer som haft förtidspension eller sjukbi- drag för att söka efter personer som kan vara berättigade till försäk- ringsersättning från AFA. Datainspektionen avslog ansökan efter- som ett utlämnande av uppgifterna skulle medföra att de behandlas i strid med personuppgiftslagen. AFA överklagade beslutet till Länsrätten i Stockholms län som biföll överklagandet, dom  
 2001-06-14 
  i mål nr  
 11256-99. 
  Länsrätten berörde bl.a. frågan om behandlingen av personuppgifter var tillåten enligt bestämmelsen i 10 § f personuppgiftslagen om en intresseavvägning och anförde bl.a. följande: 
 Med hänsyn till ändamålet med behandlingen – att möjliggöra för AFA att informera de försäkrade att de kan ha rätt till ersättning och 
 68 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 uppmana dem att ansöka om sådan – och att det är relativt begränsade uppgifter som skall hämtas in samt vad som upplysts om hanteringen, nämligen att den skall ske automatiserat och att ingen enskild person kommer att befatta sig med några personuppgifter, får AFA:s intresse av att genomföra behandlingen [] anses väga över de registrerades in- tegritetsintresse. 
 Ytterligare en förutsättning för behandling är att en behandling av personuppgifter inte strider mot förbudet i 13 § andra stycket person- uppgiftslagen att behandla känsliga personuppgifter som rör hälsa. 
 [] 
 En uppgift om  
 varför  
 någon uppbär förtidspension eller sjukbidrag skulle kunna sägas röra en persons hälsa. Enbart en uppgift om att en person uppbär förtidspension eller sjukbidrag kan dock enligt länsrät- tens mening inte anses röra en persons hälsa. [] 
 Eftersom det enda sättet att identifiera de försäkrade är att samköra personnummer, får användningen av personnummer anses motiverad. Vidare finner länsrätten, vid en jämförelse med 24 § personuppgiftsla- gen, inte att det skulle strida mot denna bestämmelse att lämna infor- mation om behandlingen först i samband med utskicket och enbart till dem som erhåller detta. 
 Datainspektionen överklagade domen till Kammarrätten i Stock- holm, som meddelade prövningstillstånd, men sedan skrev av målet eftersom bestämmelsen i socialförsäkringsregisterlagen ändrats (beslut  
 2002-11-28 
  i mål nr  
 4405-01). 
  
 Kristinehamns tingsrätt (dom  
 2003-02-06 
  i mål nr B  
 291-02) 
  har ansett att en uppgift om en anställds sjukskrivning utgjort en käns- lig personuppgift enligt 13 § personuppgiftslagen, se om fallet i av- snitt  
 5.2.1. 
  
 Manuell behandling av personuppgifter 
 Ett fall om tillämpningen av lagen (2001:184) om behandling av uppgifter i kronofogdemyndigheternas verksamhet har gällt frågan om vad som är en sådan manuell behandling av personuppgifter som omfattas av den lagen och av personuppgiftslagen. I fallet hade personuppgifter gallrats från den automatiserade utsöknings- och indrivningsdatabasen och i stället lagts på manuella mikrokort som fanns i pärmar. Personuppgiftslagen och den aktuella lagen gäller bara för behandling av personuppgifter som helt eller delvis är au- tomatiserad och för annan behandling av personuppgifter, om upp- gifterna ingår i eller är avsedda att ingå i en strukturerad samling av 
 69 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 personuppgifter som är tillgängliga för sökning eller sammanställ- ning enligt särskilda kriterier. Frågan var om personuppgifterna på mikrokorten behandlades på ett sådant sätt att bestämmelserna om rättelse av personuppgifter var tillämpliga. Länsrätten i Stockholms län (dom  
 2002-10-29 
  i mål nr  
 4349-02 
  E) uttalade följande: 
 Utifrån vad som framkommit i målet beträffande uppgifterna som lagts över på mikrokort, finner länsrätten det utrett att kronofogde- myndighetens samling av mikrokort utgör en strukturerad samling av personuppgifter. Vad gäller möjligheterna till sökning och samman- ställning av uppgifterna är läget mer oklart. Kronofogdemyndigheten har i det här avseendet anfört att det bara finns en sökväg till uppgifter- na som lagts över på mikrokort och att uppgifterna således inte är till- gängliga för sökning eller sammanställning enligt flera kriterier. [] 
 [] 
 Enligt länsrättens mening bör inte det faktum att det i lagtexten talas om kriterier i pluralis leda till att antalet sökvägar (en eller flera) tillåts avgöra om en samling personuppgifter skall anses utgöra ett manuellt register. Formuleringen tillgängliga för sökning eller sammanställning enligt särskilda kriterier är till sin karaktär öppen och synes omfatta både sökning enligt ett och flera kriterier. Något särskilt stöd för att valet av att uttrycka särskilda kriterier i pluralis verkligen skulle inne- bära att minst två sökvägar måste finnas till ett manuellt register för att det skall omfattas av aktuell lagstiftning har inte framkommit i målet eller i lagstiftningsärendet. Enligt länsrättens mening bör det öppna skrivsättet i stället tolkas så att valet av kriterier som kan förekomma har inte gjorts på förhand utan det är ett flertal olika kriterier som kan komma i fråga. En sökväg – ett kriterium – är alltså tillräcklig(t) för att registret skall omfattas av [den aktuella lagen] och personuppgiftsla- gen. Mot bakgrund av  
 EG-direktivet 
  får det väsentliga anses vara huru- vida en samling av uppgifter är väl strukturerad och lätt tillgänglig för sökning. I sådana fall får enskilda anses ha ett sådant berättigat skydds- intresse att samlingen av uppgifter bör omfattas av lagstiftningen. Kro- nofogdemyndighetens pärmar med mikrokort är organiserade utifrån tidpunkten för gallringen från utsöknings- och indrivningsdatabasen. I själva pärmarna är sedan uppgifterna organiserade utifrån personnum- mer. Till pärmarna hör ett kortregister, uppdelat utifrån gallringsår, i vilket det är möjligt att söka på både namn och personnummer. Vid sökning i utsöknings- och indrivningsdatabasen på en person som har aktuella ärenden/skulder hos kronofogdemyndigheten lämnas dessut- om i förekommande fall uppgift om att det finns äldre uppgifter på mikrokort beträffande personen samt sådan information att det lätt går att finna uppgifterna i pärmarna med mikrokort. Länsrätten gör sam- mantaget bedömningen att kronofogdemyndighetens hantering av 
 70 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 mikrokort utgör en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. 
 Samtycke i avtalsvillkor i konsumentförhållanden 
 Marknadsdomstolen har med stöd av lagen (1994:1512) om avtals- villkor i konsumentförhållanden förbjudit ett företag att för tele- fonabonnemang till konsument tillämpa avtalsvillkor om att kun- den medger att personuppgifter får användas för nummerupplys- ningsändamål och för utformningen av företagets information och erbjudanden till kunden i samband med abonnemanget (MD 2002:23). Av villkoret framgick nämligen inte att den registrerade enligt 11 § personuppgiftslagen har möjlighet att skriftligen anmäla att han eller hon motsätter sig att personuppgifter behandlas för ändamål som rör direkt marknadsföring, varför konsumenten kun- de få uppfattningen att han eller hon var bunden av medgivandet. Villkoret ansågs därför oklart, och det ansågs kunna vilseleda de kunder med vilka avtal ingås om deras rättsliga möjligheter att hindra att personuppgifter behandlas för ändamål som rör direkt marknadsföring. 
 Överklagande av myndighetsbeslut om rättelse 
 I fallet begärde en person – B – hos kronofogdemyndigheten att en uppgift om honom i utsökningsregistret skulle rättas. Kronofog- demyndigheten avslog ansökningen om rättelse, eftersom uppgif- ten var riktig. B överklagade kronofogdemyndighetens beslut, men länsrätten anslöt sig till kronofogdemyndighetens bedömning och ändrade inte det överklagade beslutet. B överklagade till kammar- rätten, som undanröjde länsrättens dom och avvisade B:s överkla- gande, eftersom frågor om rättelse av registeruppgifter regleras i 28 § personuppgiftslagen och då oenighet mellan den personupp- giftsansvarige och den registrerade kan anmälas till Datainspektio- nen. Kronofogdemyndigheten överklagade till Regeringsrätten och yrkade att länsrättens dom skulle stå fast. Regeringsrätten avvisade överklagandet (beslut  
 2000-08-23 
  i mål nr  
 1997-2000), 
  eftersom kammarrättens beslut inte kunde anses ha gått kronofogdemyndig- heten emot. 
  
 25 
  
 25  
 Jämför Kammarrättens i Stockholm dom  
 2000-10-17 
  i mål nr  
 4977-2000. 
  
 71 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 Överklagande av Datainspektionens beslut 
 I en skrivelse till en personuppgiftsansvarig (NKMR) hade Datain- spektionen konstaterat att NKMR behandlade personuppgifter i strid med personuppgiftslagen och uppmanat NKMR att upphöra med behandlingen. Det beslutet fick enligt Kammarrättens i Stock- holm beslut  
 2002-01-23 
  i mål nr  
 1173-2001 
  överklagas då det bl.a. fick ses som ett påbud som sakligt sett låg nära ett formligt före- läggande att efterleva lagstiftningen. 
 En person hade anmält ett par förfaranden till Datainspektionen, men inspektionen hade beslutat i det ena fallet att inte vidta någon ytterligare åtgärd i ett öppnat tillsynsärende och i det andra fallet att inte öppna något tillsynsärende. Länsrätten i Stockholms län ansåg i beslut  
 2001-10-30 
  i mål nr  
 14081-01 
  E att anmälaren inte hade rätt att överklaga besluten. Kammarrätten i Stockholm med- delade inte prövningstillstånd (beslut  
 2002-05-23 
  i mål nr  
 6675-2001). 
  
 Av Kammarrättens i Stockholm beslut  
 2000-11-27 
  i mål nr  
 5367-2000 
  framgår att Datainspektionens beslut enligt nuvarande 11 § personuppgiftsförordningen (1998:1191) om att inte vidta åt- gärder med anledning av en anmälan om förhandskontroll inte är överklagbart ens om Datainspektionen i beslutet gett uttryck för sin uppfattning i sakfrågan. Av Länsrättens i Stockholms län beslut  
 2001-08-17 
  i mål nr  
 11312-01 
  E framgår vidare att allmänheten eller en anmälare inte har rätt att överklaga ett sådant beslut. 
  
 26 
  
 5.3 
  
 Datainspektionens praxis 
  
 Eftersom Datainspektionen inte längre fattar några beslut om till- stånd enligt datalagen för att föra dataregister har den praxisbild- ning som tidigare förekom genom dessa beslut upphört. De beslut som innebär att Datainspektionen tar ställning till hur bestämmel- serna i personuppgiftslagen skall tillämpas är i dag i stället främst beslut i tillsynsärenden, beslut om yttranden efter samråd med per- sonuppgiftsombud enligt 38 § personuppgiftslagen, beslut efter anmälan om förhandskontroll enligt 11 § personuppgiftsförord- ningen samt beslut i förfrågningsärenden. Datalagen har enligt övergångsbestämmelserna till personuppgiftslagen tillämpats i 
  
 26  
 Kammarrätten i Stockholm har vägrat att medge prövningstillstånd, mål nr  
 5347-01. 
  
 72 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 många fall fram till den 1 oktober 2001. Den praxis som gäller Da- tainspektionens tillämpning av personuppgiftslagen är mot denna bakgrund ännu inte särskilt omfattande. I detta avsnitt redogörs för ett antal avgöranden som är av principiellt intresse och kan tjäna som vägledning vid framtida tillämpning av personuppgiftslagen. 
 Under hösten 2001 genomförde Datainspektionen ett tillsyns- projekt för att närmare undersöka på vilket sätt elevers personupp- gifter behandlas i grundskoleverksamheten. Inom ramen för pro- jektet inspekterade Datainspektionen ett tiotal grundskolor och genomförde även tillsyn genom att ett  
 30-tal 
  skolor fick besvara frågor i en enkät. Tillsynen visade att det förekom vissa brister i hanteringen av elevernas personuppgifter, och Datainspektionen fick därför anledning att framföra synpunkter på hanteringen i vissa avseenden. Resultatet av projektet och Datainspektionens ställ- ningstaganden i vissa frågor som rör behandling av elevers person- uppgifter i skolan redovisas i Datainspektionens rapport 2002:2, vartill hänvisas. 
  
 5.3.1 
  
 Avvikande författningsbestämmelser (2 §) 
  
 Av 2 § personuppgiftslagen framgår att personuppgiftslagen är sub- sidiär i förhållande till andra författningar. Om det finns bestäm- melser i en annan lag eller i en förordning som avviker från person- uppgiftslagen, skall de bestämmelserna tillämpas i stället. 
 Datainspektionen har i ett ärende som gällde en förfrågan från VPC AB (dnr  
 1921-2000) 
  haft anledning att uttala sig om tillämp- ligheten av denna bestämmelse. Frågan gällde en konflikt mellan bestämmelserna i 3 kap. 13 § aktiebolagslagen om skyldighet för VPC att lämna ut uppgifter i aktieböcker och förvaltarförteckning- ar och 9 och 10 §§ personuppgiftslagen. VPC frågade om bolaget kunde låta bli att lämna ut uppgifter ur dessa register när man visste att uppgifterna skulle komma att behandlas i strid med personupp- giftslagen t.ex. genom att användas för direktreklamändamål (ett annat ändamål än det som uppgifterna samlades in för). Datain- spektionen uttalade att bestämmelserna i 3 kap. 13 § aktiebolagsla- gen är att se som en specialreglering angående utlämnande av hand- lingar som enligt 2 § personuppgiftslagen tar över bestämmelserna i personuppgiftslagen om behandling i form av utlämnande av per- sonuppgifter. Trots att VPC befarade att det kunde komma att ske en behandling av personuppgifter i strid med personuppgiftslagen i nästa led, kunde VPC enligt Datainspektionens uppfattning inte 
 73 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 lagligen vägra att lämna ut de aktuella uppgifterna. Med hänsyn till att bestämmelserna i aktiebolagslagen kommit till innan person- uppgiftslagen trädde ikraft ansåg Datainspektionen att frågan om vilka följder bestämmelserna i 3 kap. 13 § aktiebolagslagen får för enskildas integritet borde uppmärksammas i den pågående översy- nen av aktiebolagslagen. 
 Datainspektionen har i ett tillsynsärende mot Taxi Stockholm (dnr  
 2025-2001) 
  konstaterat att kameraövervakning i taxibilar ge- nom att digitala stillbilder tas av passagerarna innebär en sådan be- handling av personuppgifter som aves i personuppgiftslagen. Lagen (1998:150) om allmän kameraövervakning innehåller vissa bestäm- melser som avviker från personuppgiftslagen och därför gäller före personuppgiftslagen. Enligt 6 § lagen om kameraövervakning skall länsstyrelsen meddela tillstånd till allmän kameraövervakning om intresset av sådan övervakning väger tyngre än den enskildes intres- se av att inte bli övervakad. Denna bestämmelse har enligt Datain- spektionen företräde i förhållande till bestämmelserna i personupp- giftslagen om när behandling av personuppgifter är tillåten. Även bestämmelsen i 14 § lagen om allmän kameraövervakning, som gäll- er bevarande av bild- eller ljudmaterial från allmän kameraövervak- ning, har enligt Datainspektionens beslut företräde framför be- stämmelsen om bevarande av personuppgifter i 9 § första stycket i personuppgiftslagen. Däremot ansåg Datainspektionen att be- stämmelserna i personuppgiftslagen skall tillämpas i fråga om in- formation till de registrerade, vilket för Taxi Stockholms del inne- bär att man på lämpligt sätt måste informera sina passagerare om vem som är personuppgiftsansvarig, ändamålet med personupp- giftsbehandlingen, mottagarna av uppgifterna samt rätten för den registrerade att ansöka om information och att få rättelse. 
 I ett ärende som gällde förhandskontroll av en behandling av känsliga personuppgifter för forskningsändamål (dnr  
 89-2003) 
  har Datainspektionen konstaterat att bestämmelser i lagen (2001:99) om den officiella statistiken om information till de registrerade av- viker från personuppgiftslagens bestämmelser och skall tillämpas i stället för dessa. Uppsala universitet skulle bedriva forskning om arbetslöshet och arbetsmarknad och behövde för detta ändamål en mängd personuppgifter från Statistiska centralbyråns databas Hernandez. Bland de uppgifter som skulle användas fanns känsliga personuppgifter, såsom uppgift om arbetshandikapp. Uppgifterna skulle lämnas ut från Statistiska centralbyrån i enlighet med be- stämmelserna i  
 16–18 
  §§ lagen om den officiella statistiken, vilket innebär dels att uppgifterna skulle Ortega innan de lämnades ut, dels 
 74 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 att Statistiska centralbyrån skulle behålla kodnyckeln. Uppgifterna skulle således med personuppgiftslagens definition vara person- uppgifter. Uppsala universitet hade inte för avsikt att informera de personer vars uppgifter skulle användas i forskningen. Datainspek- tionen konstaterade att 18 § lagen om den officiella statistiken in- nehåller en bestämmelse som innebär att den som har fått kodade uppgifter för forskningsändamål i enlighet med 16 § i den lagen inte behöver lämna någon information till de registrerade, förutsatt att den som fått uppgifterna inte själv har möjlighet att vidta någon åtgärd för att identifiera den registrerade. Inspektionens slutsats blev att bestämmelsen avviker från personuppgiftslagens bestäm- melser och skall tillämpas i stället för dessa, vilket innebär att Upp- sala universitet inte behöver informera de registrerade om att deras uppgifter behandlas i forskningen. 
  
 5.3.2 
  
 Personuppgifter (3 §) 
  
 Datainspektionen har (dnr  
 1123-2000) 
  ansett att det inte var fråga om personuppgifter när en kommun på en webbplats informerade om när brottslingar skulle friges. Informationen omfattade uppgif- ter om att en person hemmahörande i ett visst område i kommunen och dömd för visst brott snart skulle släppas, men utan direkta namn- eller adressuppgifter. 
  
 5.3.3 
  
 Personuppgiftsansvar (3 §) 
  
 Datainspektionen har i ett ärende (dnr  
 785-2000) 
  uttalat sig i frå- gan om den som från en egen webbplats på Internet länkar till en annan webbplats som innehåller personuppgifter kan betraktas som personuppgiftsansvarig för behandlingen av dessa uppgifter. Data- inspektionen uttalade följande: 
 Finns det en länk på en webbplats till en annan webbplats med per- sonuppgifter så anses personuppgifterna på den senare webbplatsen inte göras tillgängliga på den första webbplatsen enbart genom länken. Lagligheten av behandlingen av personuppgifterna bedöms således en- dast på den senare webbplatsen. Innehåller länken i sig personuppgifter torde dock en behandling ske av dessa uppgifter på den första webb- platsen. 
 75 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 5.3.4 
  
 Förhållandet till tryck- och yttrandefriheten (7 §) 
  
 Datainspektionen har handlagt flera ärenden som gällt gränsdrag- ningen mot det grundlagsskyddade området enligt tryckfrihetsför- ordningen och yttrandefrihetsgrundlagen och frågan om vad som är att anse som behandling uteslutande för journalistiska ändamål enligt 7 § andra stycket personuppgiftslagen. Inspektionen har ock- så i något fall berört frågan om vad som är att anse som en behand- ling uteslutande för konstnärligt skapande enligt 7 § andra stycket personuppgiftslagen. 
 I klagomålsärendet press nu fann inspektionen (beslut  
 1999-06-01 
  i ärende med dnr  
 722-99) 
  att en sammanställning av ärenden från Hälso- och sjukvårdens ansvarsnämnd (HSAN) som publicerats på en webbplats av redaktionen för en tryckt periodisk skrift omfattades av yttrandefrihetsgrundlagen och att behandling- en av personuppgifter föll utanför tillämpningsområdet för person- uppgiftslagen. I ett efterföljande självanmält ärende fann inspek- tionen (beslut  
 1999-10-21 
  i ärende med dnr  
 785-99) 
  att en enskild persons vidarespridning av sammanställningen hade sin grund i en grundlagsskyddad publicering som får anses utgöra vedertagen journalistik och att dennes publicering föll under begreppet uteslu- tande journalistiska ändamål i 7 § andra stycket personuppgiftsla- gen. 
 Ett uppmärksammat ärende avsåg tillsyn mot ett företag som bedrev skolfotografering för framställning och spridning av skolka- taloger med fotografier på  
 cd-skivor. 
  Datainspektionen fann (be- slut  
 1999-12-17 
  i ärende med dnr  
 2078-99) 
  att det var fråga om framställning och spridning av tekniska upptagningar som omfat- tades av grundlagsskydd enligt yttrandefrihetsgrundlagen varför hindrande bestämmelser i personuppgiftslagen inte skall tillämpas. 
 Datainspektionen har i ett par fall inlett tillsyn mot företag som på Internet publicerar domstolsavgöranden i sin helhet dvs. med alla i domarna förekommande personuppgifter öppet redovisade. Datainspektionen fann i ett av dessa fall att publiceringen uppen- barligen omfattades av grundlagskydd enligt yttrandefrihetsgrund- lagen (beslut  
 2002-04-17 
  i ärende med dnr  
 21-2002). 
  I ett annat fall fann inspektionen (beslut  
 2002-04-09 
  i ärende med dnr  
 703-2001) 
  att företagets invändning om att behandlingen av personuppgifter omfattades av grundlagsskydd som avses i 7 § första stycket per- sonuppgiftslagen fick godtas. 
 Datainspektionen har, som det sist nämnda fallet antyder, iaktta- git stor försiktighet när det gäller fall där omständigheterna gett 
 76 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 indikationer på att behandlingen kan falla under den grundlags- skyddade tryck- och yttrandefriheten. Som anges i förarbetena till 7 § personuppgiftslagen får en invändning om att en behandling av personuppgifter avser sådant som är undantaget enligt denna para- graf godtas, om det inte av omständigheterna framgår att invänd- ningen är så osannolik att den kan lämnas utan avseende (prop. 1997/98:44 s. 119). 
 Datainspektionen avskrev ett klagomålsärende (beslut  
 2000-01-14 
  i ärende med dnr  
 442-99) 
  som gällde en kommuns pub- licering av fotografier på en webbplats efter att kommunen anfört omständigheter till stöd för grundlagsskydd. 
 I ett ärende som avsåg ett bolag som tillhandahöll abonnentupp- lysningar ur en databas benämnd Privatpersoner  
 A-Ö 
  på en webbplats fann Datainspektionen att bolagets invändning om att dess behandling av personuppgifter omfattades av grundlagsskydd fick godtas, varför ärendet avskrevs (beslut  
 2002-03-21 
  i ärende med dnr  
 331-2002). 
  Bolaget ansåg sig ha stöd för att i yttrandefri- hetsrättsligt skyddade former tillhandahålla upplysningar direkt ur databasen bl.a. med hänvisning till att bolaget framställde  
 cd-skivor 
  med sådana abonnentupplysningar och var ett sådant företag för yrkesmässig framställning av tekniska upptagningar som avses i 1 kap. 9 § yttrandefrihetsgrundlagen. 
 Också frågan om en behandling har skett uteslutande för journa- listiska ändamål har varit uppe till bedömning. Ett tillsynsärende (beslut  
 2003-11-03 
  i ärende med dnr  
 138-2003) 
  gällde Svenska Styrkelyftförbundets publicering av personuppgifter om dopning- avstängda personer på sin webbplats på Internet. Datainspektionen fann att denna publicering av personuppgifter på Internet låg inom ramen för ett journalistiskt ändamål att informera, utöva kritik och väcka debatt om samhällsfrågor av betydelse för allmänheten. I ett annat tillsynsärende (beslut  
 2003-11-18 
  i ärende med dnr  
 1228-2003) 
  hade inspektionen att ta ställning till Svenska Travspor- tens Centralförbunds publicering av uppgifter om överträdelser av olika slag på sin webbplats på Internet under rubriken Nyheter  Notiser. Datainspektionen ansåg att även denna publicering av per- sonuppgifter på Internet torde ligga inom ramen för ett journalis- tiskt ändamål att informera, utöva kritik och väcka debatt om sam- hällsfrågor av betydelse för allmänheten. 
 Undantaget i 7 § andra stycket personuppgiftslagen för behand- ling av personuppgifter som sker uteslutande för konstnärligt ska- pande åberopades av en kommun i ett tillsynsärende. Kommunen hade publicerat namnen på de 47 772 invånarna i kommunen på sin 
 77 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 webbplats och menade att publiceringen var att hänföra till sådant konstnärligt skapande som avses i bestämmelsen i personuppgifts- lagen. Det konstnärliga syftet med publiceringen var enligt kom- munen att åskådliggöra en mängd, att gestalta hur många 47 000 personer är. Datainspektionen fann (beslut  
 1999-06-01 
  i ärende med dnr  
 1062-99) 
  det uppenbart att lagstiftaren inte menat att bestämmelsen i 7 § personuppgiftslagen om konstnärligt ska- pande skall tillämpas i ett sådant fall. 
  
 5.3.5 
  
 Berättigade ändamål (9 §) och tillåten behandling (10 §) 
  
 Datainspektionen har bedömt flera fall av behandling av person- uppgifter som rört digital inspelning av telefonsamtal. Det har gällt både myndigheters och privata företags inspelning av telefonsam- tal. Ändamålen med inspelningarna i de fall som bedömts var an- tingen dokumentation av hot eller kvalitetssäkring. 
 När det gäller inspelning vid hot konstaterade inspektionen i ett samrådsärende som rörde Stockholms tingsrätt (beslut  
 2003-10-07 
  i ärende med dnr  
 978-2002) 
  att domstolar är sådana myndigheter där risken är särskilt stor att personal utsätts för våld eller annat allvarligt men. Syftet med inspelningen var att snabbt kunna agera när hot framförs vid telefonsamtal till domstolens växel. Enligt in- spektionens mening talade därför mycket för att den tänkta inspel- ningen och lagringen av telefonsamtal kunde bedömas som tillåten med stöd av en sådan intresseavvägning som avses i 10 § f person- uppgiftslagen. 
 En annan bedömning gjorde inspektionen när det gällde ett före- tags inspelning av samtal från kunder (beslut  
 2003-04-16 
  i ärende med dnr  
 113-2003). 
  Företaget ville spela in de anställdas samtal med kunder för att i efterhand kunna bedöma kvaliteten på samta- len. Inspektionen konstaterade att det var tveksamt om kvalitets- säkring av kundsamtal genom inspelning alltid är ett sådant berätti- gat ändamål som anges i 9 § personuppgiftslagen, särskilt med hän- syn till de möjligheter till medlyssning som finns. Fråga uppkom också om inspelningen kunde vara tillåten efter samtycke från kun- derna. Inspektionen ansåg att ett samtycke från kunderna att bli inspelad kunde ifrågasättas, särskilt om kunden i de fall denne inte ville bli inspelad endast var hänvisad till personligt besök eller e- post. Vid en intresseavvägning enligt 10 § f personuppgiftslagen fann inspektionen att den enskildes, dvs. kundens, personliga in- 
 78 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 tegritet i allmänhet vägde tyngre än den personuppgiftsansvariges intresse. Inspektionen hänvisade slutligen i ärendena till kravet på information till de registrerade. 
 Ett annat tillsynsärende (beslut  
 2003-04-16 
  i ärende med dnr  
 1535-2002) 
  gällde digital inspelning av telefonsamtal mellan kunder och anställda vid något av Apotekets kundcentrum, dit allmänheten bl.a. kunde ringa och fråga om biverkningar av läkemedel. Datain- spektionen ansåg att Apoteket hade ett berättigat intresse av att spela in samtalen. Vidare fann inspektionen att Apotekets intresse av att behandla personuppgifterna vägde tyngre än de registrerades intresse av skydd mot integritetskränkningar. En särskild fråga i ärendet var att frågor om läkemedel ibland kunde sammankopplas med den uppringande personens hälsotillstånd och därför eventu- ellt utgöra en känslig personuppgift enligt 13 § personuppgiftsla- gen. Inspektionen konstaterade att den som är yrkesmässigt verk- sam inom hälso- och sjukvård och har tystnadsplikt får behandla känsliga personuppgifter som omfattas av tystnadsplikten med stöd av 18 § andra stycket personuppgiftslagen. Apotekets legitimerade personal och övriga personal har tystnadsplikt enligt lagen (1998:531) om yrkesverksamhet på hälso- och sjukvårdens område. Det fanns därför enligt inspektionen laglig grund för att i detta sammanhang även behandla känsliga personuppgifter. Inspektionen fann slutligen att en förutsättning för att behandlingen av person- uppgifter skall vara laglig är att Apoteket informerar den uppring- ande personen om inspelningen. När det gällde inspelning av de anställda fanns redan rutiner för information och samtycke i sam- band med anställningen. 
 I ett tillsynsärende (beslut  
 2003-06-17 
  i ärende med dnr  
 330-2002) 
  granskade inspektionen en bostadsrättsförening med anledning av att föreningen infört datorstyrda lås- och passagesy- stem med elektronisk registrering (logg) till föreningens allmänna utrymmen. För att kunna öppna dörrar till exempelvis entréer, käl- lare och garage krävdes ett särskilt magnetkort. Varje magnetkort hade ett särskilt nummer som kunde knytas till lägenhetsinnehava- ren. Enligt Datainspektionen fanns en möjlighet att knyta registre- ringarna i systemet till en enskild fysisk person. Mot denna bak- grund fann inspektionen anledning att bedöma passagesystemet utifrån personuppgiftslagens bestämmelser. Inspektionen konstate- rade inledningsvis att behandlingen av personuppgifter inte kunde bygga på samtycke, eftersom det inte fanns några alternativ till magnetnyckel med registrering. Datainspektionen fann inte skäl att ifrågasätta att föreningen hade ett berättigat intresse av att behand- 
 79 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 la personuppgifter i ett låssystem som bygger på magnetnycklar. Loggning av magnetnycklar fick dock enligt inspektionens upp- fattning endast ske om det var nödvändigt för att få passagesyste- met att fungera tillfredsställande. Det kunde enligt Datainspektio- nens inte godtas att systemet användes för andra ändamål. 
 Ett tillsynsärende hos Datainspektionen (beslut  
 2003-12-16 
  i ärende med dnr  
 1682-2002) 
  föranleddes av uppgifter om att ett s.k. krockminne i vissa bilar vid en kollision lagrade fordonsrelaterad data. I krockminnet lagrades bl.a. uppgifter om bilens hastighet, bromsaktivering, om farthållaren var aktiverad, bältesanvändning för passagerarna i framsätena, om huvudljus var påslaget, aktuell växel, status på samtliga dörrar (låsta/olåsta, öppna/stängda) och tidpunkt. Bilföretaget avsåg att använda uppgifterna för att förbätt- ra framtidens bilar när det gäller krock- och körsäkerhet. Datain- spektionen bedömde att flera av de uppgifter som registrerades i samband med en olycka utgjorde personuppgifter enligt person- uppgiftslagen. Enligt Datainspektionens mening blev bilföretaget personuppgiftsansvarig för uppgifterna först när företaget hämtat in uppgifterna efter det att en olycka hade inträffat. För att den personuppgiftsbehandling som företaget utförde genom att hämta in uppgifter från kolliderade bilar skulle anses tillåten enligt 10 § personuppgiftslagen, krävdes enligt Datainspektionens mening att inhämtandet föregicks av ett samtycke från bilens ägare och de per- soner vars personuppgifter registrerades. 
  
 5.3.6 
  
 Känsliga personuppgifter  
  
 (13–19 
  §§) 
 I ett uppmärksammat tillsynsärende (dnr  
 1404-2001) 
  mot Kungliga biblioteket (KB) hade Datainspektionen anledning att ta ställning till om en insamling av samtliga svenska webbsidor från Internet för att bevara det elektroniska kulturarvet för framtiden (det s.k. kulturarvsprojektet) var förenlig med bestämmelserna i person- uppgiftslagen. Datainspektionen ansåg att personuppgiftsbehand- lingen i projektet var nödvändig för att utföra en arbetsuppgift av allmänt intresse enligt 10 § d personuppgiftslagen. Däremot fann Datainspektionen att insamlingen av webbsidorna också innebar en behandling av känsliga personuppgifter utan samtycke från de regi- strerade som inte var tillåten. Datainspektionen konstaterade att en insamling av material för att bevara det digitala kulturarvet inte i sig kunde anses utgöra ett forskningsprojekt, eftersom insamlingen skedde för att bevara material som kunde utgöra underlag för fram- 
 80 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 tida forskning. Det dåvarande undantaget för forsknings- och stati- stikändamål i 19 § personuppgiftslagen från förbudet att behandla känsliga personuppgifter var därför enligt Datainspektionen inte tillämpligt. Eftersom inte heller något av de övriga undantagen från förbudet var tillämpligt, bedömde Datainspektionen att person- uppgiftsbehandlingen i KB:s kulturarvsprojekt inte var förenlig med personuppgiftslagen. Datainspektionen ansåg emellertid att det fanns skäl att särreglera den behandling av personuppgifter som KB:s projekt innebar och uppmärksammade därför regeringen på sitt beslut. Regeringen har därefter utfärdat förordningen (2002:287) om behandling av personuppgifter i Kungl. Bibliotekets digitala kulturarvsprojekt som ger författningsstöd för den behand- ling av känsliga personuppgifter som utförs inom projektet. 
 Ett annat fall (dnr  
 1966-2001) 
  gällde Handikappförbundens samarbetsorgans rättsdatabas och dess förenlighet med personupp- giftslagen. I databasen fanns flera hundra sammanfattningar av rättsfall som rörde funktionshindrade. Databasen vände sig till samarbetsorganets medlemsorganisationer och externa organisa- tioner samt myndigheter. Datainspektionen konstaterade att det var fråga om behandling av känsliga personuppgifter enligt 13 § personuppgiftslagen och fann att behandlingen inte var förenlig med personuppgiftslagen. 
 Enligt 10 § första stycket andra punkten personuppgiftsförord- ningen i lydelse före den 1 januari 2004 skulle behandling av per- sonuppgifter om genetiska anlag som framkommit efter genetisk undersökning anmälas till Datainspektionen för förhandskontroll. Denna typ av personuppgiftsbehandling förekom inom ramen för olika forskningsprojekt. I samband med sådan förhandskontroll har Datainspektionen i några fall haft att ta ställning till om den be- handling av känsliga personuppgifter som utförs inom forsknings- projekten kan äga rum utan samtycke från de registrerade. Numera gäller i stället att känsliga personuppgifter får behandlas för forsk- ningsändamål om det finns samtycke eller behandlingen har god- känts enligt lagen (2003:460) om etikprövning av forskning som avser människor. 
 Ett par fall har gällt förhandskontroll vid forskning på genetiska uppgifter. Det ena fallet (dnr  
 380-2001) 
  gällde en genetisk forsk- ningsstudie med syfte att bl.a. undersöka vissa genetiska faktorers betydelse för uppkomsten av prostatacancer. De blodprover som skulle användas för genetiska analyser i forskningsstudien hade lämnats i tidigare forskningsprojekt där personerna i fråga hade informerats om den framtida hanteringen av blodproverna och 
 81 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 godkänt att ett spar- eller forskningsprov togs. Vissa personer hade sedermera utvecklat prostatacancer. Datainspektionen tillämpade avvägningsnormen i dåvarande 19 § första stycket personuppgifts- lagen. Enligt denna bestämmelse fick känsliga personuppgifter be- handlas utan uttryckligt samtycke för forsknings- och statistikän- damål om behandlingen är nödvändig på sätt som sägs i 10 § per- sonuppgiftslagen och om samhällsintresset av det forsknings- eller statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behand- lingen kan innebära. Datainspektionen bedömde att samhällsintres- set av den aktuella cancerforskningen vägde över risken för integri- tetsintrång förutsatt att information om personuppgiftsbehand- lingen lämnades på lämpligt sätt, t.ex. via anslag eller annonser. Vid intresseavvägningen beaktade Datainspektionen också att de per- soner som genomgått en behandling som botat deras cancersjuk- dom kunde uppleva det som psykologiskt arbetsamt med en förny- ad kontakt. Det andra fallet (dnr  
 1386-2002) 
  gällde en forsknings- studie där bl.a. vissa genetiska faktorers betydelse för risken att drabbas av hjärtinfarkt skulle undersökas. Även i detta fall bedöm- de Datainspektionen med tillämpning av dåvarande 19 § första stycket personuppgiftslagen att personuppgiftsbehandlingen var förenlig med personuppgiftslagen under förutsättning att deltagar- na i forskningsprojektet på lämpligt sätt, i första hand genom di- rektutskick, informerades om behandlingen i enlighet med be- stämmelserna i 25 § personuppgiftslagen. 
 När det gäller  
 humanistisk-samhällsvetenskaplig 
  registerforsk- ning har Datainspektionen vid förhandskontroll i några fall tagit ställning till om känsliga personuppgifter kan behandlas utan sam- tycke och utan att de registrerade informeras om behandlingen. Ett ärende (dnr  
 1231-2003) 
  gällde ett forskningsprojekt vid Stock- holms universitet, Kriminologiska institutionen, om diskriminering inom rättssystemet. Många uppgifter om brott och känsliga per- sonuppgifter från polisen, Brottsförebyggande rådet och Statistiska centralbyrån (SCB) skulle hanteras i forskningen. Datainspektio- nen bedömde att personuppgifterna kunde behandlas trots att de registrerade skulle varken samtycka till eller få information om forskningen. I bedömningen vägdes särskilt in att Humanistisk- samhällsvetenskapliga Forskningsrådet (HSFR, numera Veten- skapsrådet) hade granskat forskningsprojektet etiskt och godtagit förfarandet. Datainspektionen vägde också in att uppgifterna från SCB skulle lämnas ut avidentifierade utan kodnyckel sedan fors- karnas material samkörts med SCB:s register och att särskilda IT- 
 82 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 säkerhetsåtgärder vidtagits för att skydda uppgifterna innan de av- identifierades. Ett annat forskningsprojekt där Datainspektionen godtagit att registerforskning ägde rum utan vare sig samtycke från eller information direkt till de registrerade rörde en epidemiologisk och hälsoekonomisk uppföljning av personer med schizofreni (dnr  
 366-2003). 
  Eftersom information riktad direkt till de registrerade, som flera led av paranoid schizofreni, kunde leda till onödig oro, rädsla och misstänksamhet hos dessa ansåg Datainspektionen att informationen kunde lämnas på annat lämpligare sätt, t.ex. via an- slag. 
  
 5.3.7 
  
 Personnummer (22 §) 
  
 Datainspektionen har i ett yttrande enligt nuvarande 15 § person- uppgiftsförordningen över ett förslag till en branschöverenskom- melse inom direktmarknadsföringsområdet uttalat sig om använd- ningen av personnummer (beslut  
 1999-06-16 
  i ärende med dnr  
 1338-99). 
  Datainspektionen gav därvid uttryck för sin dittillsvaran- de uppfattning att det inte finns skäl för att använda personnum- mer för direktmarknadsföringsändamål. Inspektionen förklarade dock att det inte ansetts hindra tillfällig personnummersättning av kund- eller prospectregister hos myndighet, t.ex. Statens person- nadressregisternämnd, för borttagning av egna kunder eller för uppdatering av register. 
 Ett samrådsärende (beslut  
 2003-08-13 
  i ärende med dnr  
 1005-2003) 
  rörde frågan om det var tillåtet för en kommun att samla in personnummer redan vid ansökan om bygglov i syfte att underlätta eventuell kravhantering. Inledningsvis konstaterade in- spektionen att i de fall en sökande frivilligt lämnar uppgift om sitt personnummer, t.ex. i en blankett efter att ha fått information om behandlingen, kan handlandet ses som konkludent och godtas som samtycke till att uppgiften registreras. Om det inte fanns något samtycke, var det enligt inspektionens uppfattning endast befogat att behandla personnummer vid kravhantering, exempelvis vid in- kassokrav och vid ansökan om betalningsföreläggande. 
  
 5.3.8 
  
 Information till den registrerade (25 §) 
  
 I flera ärenden har Datainspektionen haft uppe frågan om innebör- den av bestämmelsen i 25 § andra stycket personuppgiftslagen om 
 83 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 att information inte behöver lämnas om sådant som den registrera- de redan känner till. 
 I ett ärende (dnr  
 1596-2001) 
  var frågan om Tullverket var skyl- digt att lämna information till de registrerade i samband med be- handling av tulldeklarationer. Datainspektionen konstaterade att i stort sett samtliga myndigheter i dag använder sig av någon form av datoriserat stöd för handläggningen av ärenden m.m. På grund här- av kunde det enligt inspektionens mening i många fall förutsättas att den som vänder sig till en myndighet redan känner till eller för- står att uppgifterna registreras i någon form av automatiserat regis- ter. Enligt Datainspektionens uppfattning behövde Tullverket inte lämna information om behandlingen av personuppgifter i samband med tulldeklarationer, eftersom det kunde anses att den som läm- nar en tulldeklaration känner till vem som är personuppgiftsansva- rig och för vilka ändamål tulldeklarationen kommer att behandlas. 
 I ett annat ärende (dnr  
 1869-2001) 
  var frågan om vilken informa- tion Lantbrukarnas riksförbund var skyldigt att ge dem som sökte medlemskap. Inspektionen uttalade att om den registrerade själv har lämnat in personuppgifter till den personuppgiftsansvarige, be- höver den personuppgiftsansvarige inte lämna information så länge uppgifterna bara används för de ändamål som den registrerade kan förutse. I en sådan situation får den registrerade anses känna till den personuppgiftsansvariges identitet och ändamålen med behandlingen. Datainspektionen fann att för det fall nya medlemmar kan förutse bl.a. för vilka ändamål personuppgifterna skulle behandlas behövde någon information inte lämnas. 
 I ett tillsynsärende mot Bra Böcker AB (dnr  
 1890-2001) 
  har Da- tainspektionen närmare preciserat kravet i 25 § personuppgiftslagen på vilken information som skall lämnas till registrerade då insam- ling av personuppgifter skett från annan källa än den registrerade själv. Ärendet gällde frågan om man i ett direktreklamutskick ut- tryckligen måste informera om rätten att ansöka om information och få rättelse. Enligt den branschöverenskommelse som finns be- träffande direktreklam skall det finnas en upplysning om varifrån de använda adressuppgifterna har inhämtats, s.k. adresskälleangivel- se. Källangivelsen skall enligt branschöverenskommelsen vara ut- formad så att den som får reklamen skall kunna ta kontakt med käl- lan för att där ta tillvara sina rättigheter enligt personuppgiftslagen. Den skall därför innehålla telefonnummer och/eller adress till käl- lan. I det aktuella fallet fanns det i bolagets direktreklamutskick information om namn och postnummer till adresskällan, telefon- nummer och adress till bolaget och dess kundservice samt en hän- 
 84 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 visning till bolagets webbsida. Uttrycklig information om rätten att ansöka om information och få rättelse fanns dock inte angiven. Da- tainspektionen bedömde dock att risken för integritetsintrång ge- nerellt sett är liten vid personuppgiftsbehandling i direktreklam- sammanhang och att information om rätten att ansöka om infor- mation och att få rättelse normalt sett är uppfylld genom en adress- källeangivelse och angivande av adress och telefonnummer till di- rektreklambolagets kundservice. Datainspektionens bedömning kan sägas utgöra en precisering av kravet i den branschöverens- kommelse Datainspektionen tidigare yttrat sig över utan invänd- ningar i det nu aktuella avseendet. 
  
 5.3.9 
  
 Registerutdrag (26 §) 
  
 I ett tillsynsärende mot Skandinaviska Enskilda Banken (dnr  
 687-2002) 
  kom frågan upp om innehållet i s.k. registerutdrag enligt 26 § personuppgiftslagen. Banken tog i utdragen inte med uppgif- ter om transaktioner och saldon. Datainspektionen konstaterade att den enskilde har rätt att få besked om även sådana uppgifter. Inspektionen förutsatte emellertid att banken lämnade sådan in- formation både kontinuerligt och på uttrycklig begäran om just sådana uppgifter. Inspektionen ansåg att kraven enligt 26 § därige- nom fick anses tillgodosedda, om det i registrutdraget upplystes om möjligheten att även få uppgifter om transaktioner och Meyers. 
  
 5.3.10 
  
 Publicering på Internet (33 §) 
  
 Datainspektionen har i flera ärenden tagit ställning till publicering av personuppgifter på Internet. 
 Ett ärende (dnr  
 1369-2000) 
  gällde publicering av en skolkatalog på Internet. En elev i en gymnasieskola hade som specialarbete gjort en hemsida om sin skola. Hemsidan innehöll bl.a. en inskan- nad version av gymnasiets skolkatalog med gruppbilder och namn på elever i samtliga klasser. Skolkatalogen hade publicerats på In- ternet utan elevernas samtycke. En elev vid skolan hade beviljats skydd för sina personuppgifter och invände mot publiceringen. Da- tainspektionen konstaterade att publiceringen inte under några om- ständigheter kunde anses som harmlös och att den stred mot för- budet mot överföring av personuppgifter till tredje land i 33 § per- sonuppgiftslagen. 
 85 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 Ett annat ärende (dnr  
 741-2000) 
  gällde en webbplats som inne- höll bl.a. namn och bild på barn som hade tvångsomhändertagits med stöd av lagen (1990:52) med särskilda bestämmelser om vård av unga. Uppgifterna på webbplatsen hade publicerats av Nordiska Kommittén för Mänskliga Rättigheter (NKMR) under en s.k.  
 SÖK-tjänst. 
  NKMR anförde att uppgifterna publicerades med sam- tycke och med ändamålet att barnens biologiska föräldrar skulle kunna få information om var barnen befann sig och om hur barnet hade det i fosterhemmet. Datainspektionen inledde tillsyn mot NKMR och konstaterade följande i sitt beslut. Det är enligt 21 § personuppgiftslagen förbjudet för andra än myndigheter att be- handla personuppgifter om bl.a. administrativa frihetsberövanden oavsett samtycke från de registrerade. Det framgår av lagens förar- beten att med administrativa frihetsberövanden avses bl.a. att nå- gon har varit föremål för tvångsingripande enligt lagen med särskil- da bestämmelser om vård av unga. NKMR:s  
 SÖK-tjänst 
  behandla- de därför personuppgifter i strid med 21 § personuppgiftslagen. Eftersom uppgifterna dessutom gjordes tillgängliga via Internet, stred behandlingen även mot förbudet i 33 § personuppgiftslagen att överföra personuppgifter till tredje land. Datainspektionen be- slutade också med hänsyn till förfarandets allvarliga karaktär att överlämna ärendet till polisen. 
  
 5.4 
  
 Justitiekanslerns praxis 
  
 Justitiekanslern prövar bl.a. frågor om skadestånd skall betalas av staten, bl.a. skadestånd enligt personuppgiftslagen, och i dessa ärenden kan tolkningen av personuppgiftslagen komma upp. 
  
 27  
  
 Ju- stitiekanslern har också vissa uppgifter i fråga om tryck- och ytt- randefriheten. Fall som i första hand gäller om ett visst förfarande med personuppgifter är skyddat av tryckfrihetsförordningen eller yttrandefrihetsgrundlagen kan ha avgörande betydelse för om per- sonuppgiftslagen är tillämplig. Eftersom sådana fall inte direkt gäll- er tillämpningen av personuppgiftslagen utan tillämpningen av grundlagarna, redovisas fallen inte här. 
 I ett fall hade en person begärt skadestånd med anledning av att Premiepensionsmyndigheten sänt ett meddelande med sekretessbe- 
  
 27 
  
 Ibland gäller saken behandling av personuppgifter som regleras av en särskild registerför- fattning som hänvisar till skadeståndsbestämmelsen i personuppgiftslagen. 
  
 86 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 lagda uppgifter om hur hans premiepension placerats till honom i ett kuvert som inte varit förslutet. Justitiekanslern fann – beslut  
 2002-02-21, 
  dnr  
 1980-02-42 
  – att det inte kunde uteslutas att det sätt på vilket meddelandet sänts inneburit att personuppgiftslagens regler åsidosatts, men att den kränkning som ett sådant åsidosät- tande kan ha medfört måste anses så begränsad att det inte fanns någon rätt till kränkningsersättning enligt 48 § personuppgiftsla- gen. Justitiekanslern beaktade att det inte varit fråga om person- uppgifter av särskilt känslig art och att det bara funnits en begrän- sad risk för spridning av uppgifterna. 
 I beslut  
 2002-09-03, 
  dnr  
 1652-02-42, 
  har Justitiekanslern tiller- känt en person som under en vecka felaktigt varit registrerad som avliden i folkbokföringsregistret ersättning med 25 000 kr för kränkningen och 1 000 kr för kostnader enligt en bestämmelse i lagstiftningen om det registret som hänvisar till skadeståndsbe- stämmelsen i personuppgiftslagen. 
 I beslut  
 2003-09-11, 
  dnr  
 2081-03-42, 
  har Justitiekanslern tiller- känt en person begärd ersättning med 10 000 kr för det att det un- der mer än tre år felaktigt varit antecknat i belastningsregistret att han haft besöksförbud. 
 I beslut  
 2003-11-17, 
  dnr  
 660-02-40, 
  har Justitiekanslern tiller- känt en person ersättning för lidande med 10 000 kr för det att han under cirka tre månader varit oriktigt registrerad i misstankeregist- ret som skäligen misstänkt för ringa narkotikabrott och brott mot knivlagen, vilket ledde till att han fick vänta på körkortstillstånd. 
 I beslut  
 2003-03-28, 
  dnr  
 73-02-42, 
  har Justitiekanslern tillerkänt en student ersättning med 1 000 kr för kränkning för det att ett universitet på ett intranät under mindre än 48 timmars tid hade publicerat en lista med tentamensresultat med hans personnummer. I beslut  
 2003-04-14, 
  dnr  
 1858-02-42, 
  har Garcia avslagit samme students anspråk på skadestånd för det att universitetet re- gistrerat hans telefonnummer i studiedokumentationssystemet Ladok. Justitiekanslern ansåg att det är ett berättigat intresse enligt personuppgiftslagen för universitet och högskolor att registrera adresser och telefonnummer som behövs för att komma i kontakt med de studenter som är inskrivna vid universitetet och att univer- sitetets behov av att registrera telefonnumret väger tyngre än stu- dentens intresse av att telefonnumret inte registreras; när studenten begärde det, togs telefonnumret bort. 
 I beslut  
 2003-06-19, 
  dnr  
 1842-03-40, 
  har Justitiekanslern tiller- känt en person med skyddad adress ersättning med 15 000 kr för kränkning och med 20 000 kr för skada i form av flyttkostnader 
 87 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 och fördyrade levnadsomkostnader för att en uppgift om perso- nens skyddade adress oriktigt tagits bort ur försäkringskassans re- gister. 
 I beslut  
 2003-06-26, 
  dnr  
 1902-03-42, 
  har Justitiekanslern tiller- känt två personer ersättning för olika straff- och påminnelse- avgifter som de åsamkats till följd av att räkningar inte tillställdes dem, eftersom deras folkbokföringsadress varit oriktigt återgiven i folkbokföringsregistret. 
 I beslut  
 2003-07-02, 
  dnr  
 1913-03-42 
  och  
 1914-03-42, 
  har Justi- tiekanslern tillerkänt två personer, vars pensioner betalats ut på ett felaktigt sätt eftersom uppgifter registrerats felaktigt hos försäk- ringskassan, ersättning med 460 kr vardera för den oro som den uteblivna pensionsutbetalningen medfört och de kostnader som uppkommit för att efterforska pensionen. I ett annat fall har en person fått ersättning med 1 000 kr (beslut  
 2003-10-16, 
  dnr  
 2783-03-42). 
  Och i ett motsvarande fall avseende felaktig utbetal- ning av sjukpenning har en person fått ersättning med 2 000 kr (be- slut  
 2003-09-15, 
  dnr  
 1706-03-42). 
  
 I beslut  
 2003-07-16, 
  dnr  
 1724-03-42, 
  har Justitiekanslern tiller- känt en person ersättning för kursförlust med 988 kr, eftersom ett felaktigt kontonummer registrerats hos försäkringskassan, vilket lett till att föräldrapenning satts in på ett fondkonto. 
 I beslut  
 2003-10-15, 
  dnr  
 596-03-42, 
  har Justitiekanslern tiller- känt en person ersättning för kränkning med 4 000 kr för att en skuld varit felaktigt registrerad i utsökningsregister under drygt två år. En annan person har i ett fall där den felaktiga registreringen i utsökningsregistret varat i ungefär ett och ett halvt år fått ersätt- ning med 5 000 kr för lidande (beslut  
 2003-11-05, 
  dnr  
 1760-03-42). 
  
 I beslut  
 2003-03-28, 
  dnr  
 580-03-42, 
  har Justitiekanslern avslagit ett skadeståndsanspråk för felaktig registrering av folkbokförings- adress, eftersom det inte visats att den felaktiga registreringen or- sakat den skada i form av kostnader till följd av att telefonräkning sänts till fel adress som ersättning krävdes för. 
 I beslut  
 2003-10-09, 
  dnr  
 2795-03-42, 
  har Justitiekanslern avslagit ett skadeståndsanspråk avseende ersättning för s.k. kvarstående skatt. Försäkringskassans personregister hade innehållit en felaktig uppgift om en persons underlag för preliminär skatt vilket lett till att personen påfördes kvarstående skatt. Justitiekanslern ansåg dock att den omständigheten att en skattskyldig har att betala en del av den slutliga skatten som rätteligen belöper på inkomsterna för ett visst beskattningsår i form av kvarskatt inte i sig var att be- trakta som en ersättningsgill förmögenhetsskada. 
 88 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 I beslut  
 2003-02-21, 
  dnr  
 1762-02-40, 
  har Justitiekanslern bedömt om registrerade personuppgifter varit felaktiga eller ofullständiga och funnit att så inte varit fallet. 
 I beslut  
 2003-08-27, 
  dnr  
 3271-02-42, 
  och i beslut  
 2003-11-18, 
  dnr  
 3152-02-42, 
  har Justitiekanslern avslagit skadeståndsanspråk med anledning av felaktig registrering av uppgifter om avlidna. 
  
 5.5 
  
 Mål i  
  
 EG-domstolen 
  
 5.5.1 
  
 Mål om att medlemsstater inte följt  
  
 EG-direktivet 
  
 EG-kommissionen 
  har i  
 EG-domstolen 
  väckt talan om att domsto- len skall fastställa att Tyskland, Frankrike, Luxemburg och Irland (mål  
 C-443, 
  449 och 450/00 respektive  
 C-459/01) 
  inte genomfört  
 EG-direktivet 
  i tid.  
 EG-domstolen 
  har i dom den 4 oktober 2001 fastslagit att Luxemburg brutit mot sina förpliktelser enligt EG- direktivet. Målen mot Tyskland och Frankrike har återkallats och skrivits av, medan målet mot Irland inte är avgjort ännu. 
  
 5.5.2 
  
 Förhandsavgöranden 
  
 Det finns några mål där nationella domstolar har bett EG- domstolen om ett s.k. förhandsavgörande om tolkningen av EG- direktivet. 
  
 28  
  
 Det gäller dels de frågor som Göta hovrätt ställt i det mål som berörs i avsnitt  
 5.2.1  
 (mål  
 C-101/01), 
  dels frågor som ett par österrikiska domstolar ställt (mål  
 C-465/00 
  och  
 C-138 
  och 139/01). 
 Frågor från Göta hovrätt 
 Det svenska s.k. konfirmandlärarmålet, som omtalas närmare i av- snitt  
 5.2.1,  
 gäller en konfirmandlärares publicering av personupp- gifter om arbetskamrater på Internet. Göta hovrätt hade i målet ställt sju frågor om tolkningen av  
 EG-direktivet. 
  
 28 
  
 I  
  
 EG-domstolens 
  dom den 14 september 2000 i mål  
 C-369/98 
  har  
 EG-direktivet 
  indirekt berörts. 
 89 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 Generaladvokaten vid  
 EG-domstolen 
  kom i sitt förslag till avgö- rande (den 19 september 2002) fram till att en behandling av per- sonuppgifter, vilken består i att utan ekonomiskt vinstsyfte skapa en hemsida av aktuell typ, vilken endast är avsedd att utgöra stöd för konfirmationsundervisning som ges i en församling, gratis och helt utan samband med någon anställning, inte omfattas av gemen- skapsrätten, se artikel 3.2 i  
 EG-direktivet. 
  Generaladvokaten besva- rade inte hovrättens övriga frågor. 
  
 EG-domstolen 
  (dom den 6 november 2003 i mål  
 C-101/01) 
  gjorde en annan bedömning. För det första kom domstolen fram till att omnämnandet av olika personer – med namn eller på annat sätt, t.ex. med telefonnummer eller med uppgifter om deras arbets- förhållanden och fritidsintressen – på en hemsida på Internet utgör en sådan helt eller delvis automatiserad behandling av personupp- gifter som i och för sig omfattas av  
 EG-direktivet. 
  En uppgift om att en person har skadat sin fot och är deltidssjukskriven utgör dessutom, enligt  
 EG-domstolen, 
  en känslig personuppgift om häl- sa.  
 EG-domstolen 
  konstaterade vidare till skillnad från generalad- vokaten att den behandling som utförts inte var undantagen från  
 EG-direktivet 
  enligt artikel 3.2. Det var bl.a. uppenbart enligt dom- stolen att en behandling av personuppgifter som består i att uppgif- terna offentliggörs på Internet för att bli tillgängliga för ett obe- stämt antal personer inte föll under undantaget för rent privat be- handling. 
 Däremot är det enligt  
 EG-domstolen 
  inte fråga om någon över- föring av uppgifter till tredje land i  
 EG-direktivets 
  mening när en person, som befinner sig i en medlemsstat, lägger ut personuppgif- ter på en hemsida på Internet som är lagrad hos en fysisk eller juri- disk person, som har den webbplats där man kan komma åt sidan och som är etablerad i samma medlemsstat eller i en annan med- lemsstat, varvid uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land. 
  
 EG-domstolen 
  kom vidare fram till att bestämmelserna i EG- direktivet inte i sig utgör en begränsning som står i strid med den allmänna principen om yttrandefrihet, eller andra fri- och rättighe- ter, som gäller inom EU. Enligt  
 EG-domstolen 
  ankommer det på de nationella myndigheter och domstolar som skall tillämpa den nationella genomförandelagstiftningen att garantera en rättvis ba- lans mellan de rättigheter och skyldigheter som är i fråga. 
 Slutligen konstaterade  
 EG-domstolen 
  att det inte finns något hinder för en medlemsstat att utöka räckvidden av genomförande- lagstiftningen till att omfatta områden som inte ingår i EG- 
 90 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 direktivets tillämpningsområde. Det gäller naturligtvis bara om inte någon annan gemenskapsrättslig bestämmelse hindrar det. 
 Frågor från österrikiska domstolar 
 Målen från Österrike gäller ett speciellt förfarande enligt österri- kisk lagstiftning. Detta förfarande innebär att ett statligt organ är skyldigt att – i syfte att offentliggöra uppgifterna – samla in och vidarebefordra uppgifter om namn och lön för personer med en viss minimiinkomst som är anställda hos vissa myndigheter och andra organ som helt eller delvis står under statligt inflytande. Frå- gan i  
 EG-domstolen 
  gällde om förfarandet var förenligt med EG- direktivet. 
 Generaladvokaten vid  
 EG-domstolen 
  kom i sitt förslag till avgö- rande fram till att det förfarande som föreskrivs inte omfattas av bestämmelserna i  
 EG-direktivet, 
  eftersom behandlingen utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, se ar- tikel 3.2 i  
 EG-direktivet. 
  
 EG-domstolen 
  (dom den 20 maj 2003 i mål  
 C-465/00 
  och  
 C-138 
  och 139/01) fann emellertid att  
 EG-direktivet 
  är tillämpligt på för- farandet. Domstolen kom vidare fram till att  
 EG-direktivet 
  (artik- larna 6.1 c och 7 c och e) inte utgör något hinder för en sådan na- tionell lagstiftning som den som det var i fråga i målen, under för- utsättning att det är utrett att spridning i stor omfattning av såväl inkomstbeloppen som namnen på de personer som uppbär inkoms- terna är både nödvändig och lämplig för lagstiftarens syfte, nämli- gen att allmänna medel skall förvaltas väl. Enligt  
 EG-domstolen 
  ankommer det på de nationella domstolarna att pröva om så är fal- let. 
  
 EG-domstolen 
  ansåg vidare att de tidigare nämnda artiklarna i  
 EG-direktivet 
  har direkt effekt i den meningen att de kan åberopas av en enskild inför nationella domstolar för att dessa inte skall till- lämpa nationella rättsregler som strider mot artiklarna. 
 91 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 5.6 
  
 Annan vägledning 
  
 5.6.1 
  
 Vägledning från Datainspektionen 
  
 Datainspektionen har utfärdat föreskrifter om anmälan av behand- lingar 
  
 29  
  
 och om undantag från förbudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser m.m. 
  
 30 
  
 Datainspektionen har vidare utfärdat allmänna råd om säkerhet för personuppgifter och om information till registrerade enligt per- sonuppgiftslagen. Inspektionen har också kommit ut med informa- tionsskrifter om personuppgiftsombud (1999) om personuppgifter i arbetslivet (2001), om hur länge personuppgifter får bevaras (2003), om samtycke (2003) och om intresseavvägning (2003). In- spektionen har dessutom gett ut ett antal kortare informationsblad om personuppgiftsansvar, personuppgiftsombud, personuppgifter och Internet, anmälan och förhandskontroll, känsliga personupp- gifter i forskningen samt övergången till personuppgiftslagen. Ma- terialet är tillgängligt på Datainspektionens webbplats. 
 31 
  
 Datainspektionen svarar  
 varje  
 år på tusentals telefon- och e- postförfrågningar bl.a. via ett särskilt inrättat s.k.  
 call-center 
  med två jurister. Inspektionen har också en omfattande konferens- och föreläsningsverksamhet. 
 Det kan vidare nämnas att Datainspektionen medverkar i en ar- betsgrupp enligt artikel 29 i  
 EG-direktivet 
  tillsammans med före- trädare för tillsynsmyndigheter i andra medlemsstater och EG- kommissionen. Den arbetsgruppen har utfärdat en lång rad yttran- den och rekommendationer rörande skyddet för personuppgifter och tolkningen av  
 EG-direktivet. 
 32 
  
 5.6.2 
  
 Branschöverenskommelser 
  
 Enligt 15 § personuppgiftsförordningen (1998:1191) skall Datain- spektionen på begäran av en organisation som företräder en väsent- lig del av de personuppgiftsansvariga inom en viss bransch eller 
  
 29 
  
 DIFS 1998:2 senast ändrad genom DIFS 2001:1. 
  
 30 
  
 DIFS 1998:3. 
  
 31 
  
 http://www.datainspektionen.se. 
  
 32 
  
 Arbetsgruppens material finns på  
  
 EG-kommissionens 
  webbplats: http://europa.eu.int/comm/internal_market/privacy/workingroup_en.htm. 
 92 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 inom ett visst område avge yttrande över förslag till överenskom- melser vad avser behandling av personuppgifter inom branschen eller området (branschöverenskommelse). Yttrandet skall avse branschöverenskommelsens förenlighet med personuppgiftslagen och andra författningar som reglerar den behandling av personupp- gifter det är fråga om. Datainspektionen skall innan den avger ytt- rande om det är lämpligt se till att organisationer som företräder de registrerade har fått tillfälle att yttra sig över förslagen till bransch- överenskommelser. 
 Datainspektionen har yttrat sig över tre branschöverenskommel- ser, en om direkt marknadsföring, en om marknadsundersökningar och en om behandling av personuppgifter på inkassoområdet. Datainspektionen granskar för närvarande utkast till branschöverenskommelser om behandling av personuppgifter i finansieringsverksamhet och i skolfotoverksamhet samt ett förslag om ändringar i branschöverenskommelsen om maRegeringenk adsu dersökningarhar satt som. mål att Datainspektionen aktivt skall arbeta för att det kommer till stånd en ökad självreglering genom bl.a. flera branschöverenskommelser. 
  
 5.6.3 
  
 Särskilda registerförfattningar 
  
 På många områden, särskilt i fråga om myndighetsregister, kan mera konkret vägledning för behandlingen av personuppgifter fås genom s.k. särskilda registerförfattningar. Enligt 2 § personupp- giftslagen gäller nämligen avvikande bestämmelser i lag eller för- fattning före personuppgiftslagen. Sedan personuppgiftslagen träd- de i kraft har det utfärdats en lång rad författningar med särbe- stämmelser som är anpassade till lagen. 
 33  
 Även förarbetena till sär- skilda registerförfattningar kan i viss  
 utsträckning  
 ge vägledning för tillämpningen av personuppgiftslagen. 
  
 5.6.4 
  
 Litteratur 
  
 Det finns i dag en hel del litteratur kring personuppgiftslagen. Det har getts ut en traditionell lagkommentar och några mera praktiskt inriktade publikationer. Genomförandet av  
 EG-direktivet 
  i de nor- 
  
 33 
  
 Se t.ex. uppräkningen på s. 26 ff. i Forbes   
  
 Duncan, Personuppgifts- lagen – En kommentar, andra upplagan 2001. 
 93 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 SOU 2004:6 
  
 diska länderna har beskrivits i en antologi, och personuppgifts- skyddet i Sverige och Frankrike har jämförts i en doktorsavhand- ling. Vidare finns det en hel del tidskriftsartiklar med rättsfalls- kommentarer och belysning av särskilda aspekter. 
 Flera branschorganisationer och liknande har gett ut vägledning om personuppgiftslagen. 
 Det finns på det internationella planet åtminstone två kommen- tarer till  
 EG-direktivet 
  (på tyska). 
  
 5.7 
  
 Utredningens analys 
  
 Personuppgiftslagen har gällt sedan oktober 1998, men inte tilläm- pats fullt ut på automatiserad behandling förrän tre år senare. Un- der den förhållandevis korta tid som lagen tillämpats har det, såsom den tidigare redovisningen visar, förekommit en utveckling i rättstillämpningen och tillkommit en hel del annan vägledning för tillämpningen. Det har exempelvis redan kommit fyra vägledande avgöranden från högsta instans. Enligt utredningens bedömning har man knappast haft anledning att vänta sig fler vägledande avgö- randen i svensk domstolspraxis. Utvecklingen i rättspraxis fort- skrider således i normal eller till och med snabbare än normal takt. 
 Eftersom personuppgiftslagen grundar sig på ett  
 EG-direktiv, 
  som  
 EG-domstolen 
  har att uttolka, och i stort sett följer EG- direktivets struktur och text, har regeringen medvetet avstått från att i förarbetena närmare uttala sig om tolkningen. 
 34  
 Regeringen var emellertid medveten om att de generella regler som finns i person- uppgiftslagen behöver preciseras och utvecklas och delegerade där- för kompetens att göra det till Datainspektionen. 
 35  
 Regeringen in- struerade också Datainspektionen att särskilt  
 inrikta  
 sin verksam- het på att informera om gällande regler 
 36  
 och gav senare inspektio- nen i särskilt uppdrag att publicera  
 konkret  
 vägledning i vissa avse- enden 
 37 
 . 
 När det gäller just förekomsten av annan vägledning för tillämp- ningen av personuppgiftslagen än rättspraxis finns det delade me- ningar. En del menar att mera konkret vägledning borde ha kommit fram vid det här laget och att osäkerheten om vad som gäller är be- 
  
 34 
  
 Prop. 1997/98:44 s. 38. 
  
 35 
  
 Prop. 1997/98:44 s. 56 f. 
  
 36 
  
 1 § andra stycket förordningen (1998:1192) med instruktion för Datainspektionen. 
  
 37 
  
 Se regleringsbreven för Datainspektionen för 2002 och 2003. 
  
 94 
  
 SOU 2004:6 
  
 Utvecklingen i rättstillämpningen och av annan vägledning 
  
 svärande och borde avhjälpas t.ex. genom möjlighet till förhandsbe- sked från exempelvis Datainspektionen. Andra menar att det inte är så konstigt att det till en  
 EG-baserad 
  lagstiftning inte finns mer vägledning. Enligt dessa är osäkerheten inte heller särskilt besvä- rande, eftersom detta ger den som skall tillämpa lagstiftningen ett större, eget spelrum tills vidare. 
 Utredningen kan för egen del konstatera att det nu faktiskt kommit en hel del vägledning från bl.a. Datainspektionen. Å andra sidan kan det också konstateras att det, trots den praxis och väg- ledning som finns, på många punkter är oklart hur lagstiftningen skall tillämpas i konkreta situationer. Så är det emellertid ofta med relativt ny lagstiftning, särskilt sådan som bygger på  
 EG-direktiv. 
  Utredningen har dock inte fått uppfattningen att oklarheten om vad som gäller i olika situationer är så besvärande att den hindrat en önskvärd samhällsutveckling eller allvarligt försvårat genomföran- det av önskvärda behandlingar. Om det på något visst område skul- le finnas ett särskilt behov av mer konkret vägledning, finns det för övrigt alltid möjlighet för organisationer av personuppgiftsansvari- ga att själva utarbeta en branschöverenskommelse med vägledning som Datainspektionen har att granska. 
 38  
 Målet för Datainspektio- nens verksamhet är också att  
 inspektionen  
 aktivt skall arbeta för att det kommer till stånd en ökad självreglering genom bl.a. flera branschöverenskommelser. 
 39 
  
 Det kan inte anses ligga  
 inom  
 ramen för utredningsuppdraget att överväga ett helt nytt system för normgivning och vägledning, t.ex. ett system med förhandsbesked. Datainspektionens framtida verk- samhetsinriktning har också setts över nyligen av en annan utred- ning. 
 40 
  
 38 
  
 Se 15 § personuppgiftsförordningen (1998:1191). 
  
 39 
  
 Se regleringsbreven för Datainspektionen för 2002 och 2003. 
  
 40 
  
 SOU 2002:2. 
  
 95 
  
 6 
  
 Justitiedepartementets offentliga utvärdering 
  
 6.1 
  
 Inledning 
  
 Justitiedepartementet har gjort en enkät för en offentlig utvärde- ring av  
 EG-direktivet 
  som i februari 2001 remitterades till 109 myndigheter, organisationer och företag. Allmänheten inbjöds också att svara på enkäten på Internet via Justitiedepartementets webbplats. Sammanlagt kom det in 94 svar på enkäten, varav 79 svar bedömdes vara allvarligt menade i sak. 
 Enkäten innehöll 16 frågor om eventuella problem med olika be- stämmelser i  
 EG-direktivet. 
  Enkäten innehöll också ett par frågor om synpunkter på det utkast till lagstiftningsmodell som utarbetats av Justitiedepartementet och som är mer inriktat på att ingripa mot missbruk av personuppgifter än på att reglera själva hanteringen av personuppgifter (missbruksmodell) samt en fråga om övriga syn- punkter på ändringar av  
 EG-direktivet. 
  
 Den offentliga utvärderingen avsåg alltså  
 EG-direktivet, 
  men det står klart att de allra flesta som svarat i praktiken uttalat sig om de bestämmelser i personuppgiftslagen som genomför  
 EG-direktivet. 
  
 Enkätsvaren innefattar en mängd meningsyttringar. Förutom allmänna påpekanden om lagens tillämpning och konstruktion märks särskilt synpunkter som rör yttrandefriheten på Internet. När det gäller konkreta problem med  
 EG-direktivet 
  och person- uppgiftslagen framkommer främst en osäkerhet om hur olika be- stämmelser skall tolkas. Justitiedepartementets förslag till miss- bruksmodell har fått ett överväldigande positivt gensvar. 
 Enkätsvaren har publicerats i Ds 2001:27  
 EG-direktivet 
  om per- sonuppgifter – En offentlig utvärdering. Svaren kan sammanfattas enligt följande. 
  
 Justitiedepartementets offentliga utvärdering 
  
 SOU 2004:6 
  
 6.2 
  
 Eventuella problem med  
  
 EG-direktivet 
  
 De flesta svarande – såväl myndigheter, organisationer och större företag som privatpersoner – har anfört att definitionerna av grund- läggande begrepp som personuppgift, manuell behandling, sam- tycke, personuppgiftsansvarig och personuppgiftsbiträde är svåra att tolka. Ett flertal myndigheter och organisationer har också påta- lat att definitionerna av begreppen personuppgift och behandling är mycket vidsträckta och att detta kan innebära problem vid tillämp- ningen av  
 EG-direktivet 
  och personuppgiftslagen. 
 Många svarande har anfört att tillämpningsområdet för direktivet är för omfattande och att bl.a. vardaglig behandling av personupp- gifter bör undantas från dess tillämpningsområde. Flera har kritise- rat föreskrifterna om undantag från lagens tillämpningsområde, särskilt undantagen för journalistisk, konstnärlig och litterär verk- samhet samt förhållandet till tryck- och yttrandefriheten och of- fentlighetsprincipen, för att vara för svårtolkade och oklara. Hur avgörs t.ex. om en bild eller en text är konstnärlig eller journalis- tisk? Motsvarande osäkerhet har uttryckts beträffande bestämmel- sen om territoriellt tillämpningsområde. 
 Vidare har ett flertal svarande, bl.a. vissa fackförbund, befarat att tillämpningsområdet för personuppgiftslagen innebär att offentlig- hetsprincipen inskränkts. Ett flertal privatpersoner har också kriti- serat undantaget för privat behandling för att vara för snävt och oklart, t.ex. då det inte synes omfatta fallet där enskilda sluter sig samman i en ideell organisation och där behandlar personuppgifter inom ramen för organisationens ändamål och då det inte heller framgår om undantaget omfattar släktforskning. 
 Bestämmelserna om de grundläggande kraven på behandling av personuppgifter har rönt mindre kritik. En del instanser har dock pekat på oklarheter vad gäller innebörden av olika krav på behand- lingens ändamål samt tolkning av vissa begrepp som korrekt sätt och god sed. 
 Flera instanser har pekat på problem med föreskriften om när be- handling är tillåten. Detta gäller särskilt svårigheter med att inhäm- ta samtycke samt tolkning av nödvändighetskravet och den intres- seavvägning som i vissa fall skall göras vid bedömning av om en behandling är nödvändig. De flesta svarande har härvid – i stället för  
 EG-direktivets 
  och personuppgiftslagens nuvarande s.k. hanter- ingsmodell – förespråkat den missbruksmodell som tagits fram av Justitiedepartementet. 
 98 
  
 SOU 2004:6 
  
 Justitiedepartementets offentliga utvärdering 
  
 En del svarande har hänvisat till konkreta problem med bestäm- melserna om känsliga personuppgifter och personuppgifter om lag- överträdelser. Vissa fackförbund har påtalat problem med att med- lemskap i fackförening anses som en känslig personuppgift. Vissa sammanslutningar av konstnärer och fotografer har kritiserat be- stämmelsens tillämplighet på fotografier. Utgör t.ex. ett fotografi av en person med kryckor en personuppgift som rör hans eller hennes hälsa? Svenska kyrkan har påtalat problem med kravet på regelbunden kontakt när kyrkan behandlar känsliga personuppgif- ter som avslöjar religiös övertygelse hos andra än medlemmar, t.ex. donatorer. Svenska kommunförbundet har pekat på problem med kommunernas behandling av känsliga personuppgifter i skolans verksamhet, t.ex. hos skolpsykologer och i skolbespisningen samt i färdtjänsten. Bestämmelsen med ett absolut förbud för andra än myndigheter att behandla uppgifter om lagöverträdelser m.m. har också kritiserats för att vara för snäv. 
 Många instanser – såväl myndigheter, organisationer, företag och enskilda – har ansett att tillämpningen av bestämmelserna om infor- mationsplikt är betungande, kostsam och i vissa fall onödig. Svårig- heter har också påtalats i fråga om tolkningen av vad som är en oproportionerligt stor arbetsinsats och undantaget för sådant som den enskilde redan känner till i de fall då han eller hon själv har lämnat in uppgifter till t.ex. en myndighet. Föreskriften om sökan- des rätt till registerutdrag har rönt något mindre kritik. En del sva- rande har dock anfört att denna informationsskyldighet är tidskrä- vande och kostsam, särskilt i fråga om personuppgifter som finns i löpande text och i form av fotografier. Bl.a. arkivmyndigheterna har mot denna bakgrund påtalat behovet av och det angelägna med ett undantag från skyldigheten att lämna registerutdrag när det vi- sar sig vara omöjligt eller skulle innebära en oproportionerligt stor ansträngning (motsvarande det i 24 § tredje stycket personupp- giftslagen och artikel 11.2 i  
 EG-direktivet). 
  
 Ett stort antal svarande har kritiserat bestämmelserna om överfö- ring av personuppgifter till tredje land. Kritiken har främst gällt till- lämpligheten på behandling av personuppgifter på Internet. Många instanser – såväl myndigheter, företag och organisationer som pri- vatpersoner – har påtalat att regleringen förhindrar utnyttjandet av modern informationsteknologi, t.ex. offentliggörande av myndig- heters beslut och diarier på Internet. Vidare har regeln om s.k. harmlösa personuppgifter kritiserats för att vara otydlig. 
 De svarande har inte haft några omfattande synpunkter på före- skrifterna om skadestånd och straff. En del har dock pekat på att till- 
 99 
  
 Justitiedepartementets offentliga utvärdering 
  
 SOU 2004:6 
  
 lämpningen av sanktionsreglerna kan bli problematisk när lagen är oklar samt att en sådan osäkerhet är otillfredsställande ur rättssä- kerhetssynpunkt. 
 Bestämmelserna om rättelse, automatiserade beslut och säkerhet har varken givit anledning till särskilda synpunkter eller större missnöje. Bestämmelserna om anmälan till Datainspektionen och om upplysning till allmänheten har inte heller medfört någon större reaktion. Vissa instanser har emellertid ifrågasatt nyttan av dessa bestämmelser. De svarande har inte heller haft några omfattande synpunkter på föreskrifterna om Datainspektionens befogenheter. 
  
 6.3 
  
 Missbruksmodell 
  
 I princip samtliga svarande har anfört att en lagstiftning i enlighet med Justitiedepartementets utkast till missbruksinriktade regler- ingsmodell är att föredra framför  
 EG-direktivets 
  nuvarande s.k. hanteringsmodell, även om en del har velat gå ännu längre. Det har bl.a. framhållits att den föreslagna missbruksmodellen tillgodoser kravet på skydd mot kränkningar av enskilda personers integritet, är mer flexibel och möjliggör användandet av ny informationstek- nologi. 
 Vissa instanser har dock påtalat ett behov av ett förtydligande av begreppen strukturerad text, spridning, skada samt allmänt intres- se. En del har också anfört att det över huvud taget inte är me- ningsfullt att göra en distinktion mellan strukturerade uppgifter och löpande text eftersom de flesta uppgifter som behandlas auto- matiserat – t.ex. i elektroniska dokument – lätt kan struktureras så att sökning underlättas. 
 100 
  
 7 
  
 Personuppgifter som inte ingår i personregister 
  
 7.1 
  
 Inledning 
  
 Enligt utredningsdirektiven skall utredningen närmare analysera förutsättningarna – inom ramen för  
 EG-direktivet 
  – för en regler- ing som tar sikte på missbruk av personuppgifter snarare än varje slags hantering av sådana uppgifter. Syftet skall i första hand vara att underlätta vardaglig hantering av personuppgifter och opinions- bildning samt kommunikation samtidigt som enskilda ges ett effektivt skydd mot missbruk av uppgifterna och andra obefogade intrång i den personliga integriteten. Regleringen skall liksom hit- tills vara teknikoberoende. I den utsträckning det med hänsyn till  
 EG-direktivet 
  är möjligt med lättnader i hanteringsreglerna skall utredningen föreslå de bestämmelser som är nödvändiga för att förhindra missbruk av personuppgifter och andra obefogade in- trång i den personliga integriteten. 
 Enligt utredningsdirektiven skall utredningen vidare särskilt ana- lysera om det är möjligt och lämpligt med en generell bestämmelse 
 – baserad på bestämmelsen i artikel 7 f i  
 EG-direktivet 
  om en in- tresseavvägning – av innebörd att personuppgifter får behandlas om det är nödvändigt för information och debatt eller opinionsbild- ning, om det inte finns risk för otillbörligt intrång i den personliga integriteten eller om det finns ett allmänintresse som överväger integritetsintrånget. Utredningen skall vidare särskilt analysera möjligheterna till undantag avseende behandling av känsliga per- sonuppgifter och överföring av personuppgifter till tredje land för viktiga allmänna intressen enligt artikel 8.4 och 26.1 d i EG- direktivet med hänsyn till intresset för information, debatt och opinionsbildning. 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 Utredningsuppdraget avser alltså i första hand att undersöka om och i vilken utsträckning det med hänsyn till  
 EG-direktivet 
  är möj- ligt att i dag i personuppgiftslagen genomföra en s.k. missbruks- modell för regleringen av behandling av personuppgifter. Person- uppgiftslagen har med hänsyn till  
 EG-direktivet 
  baserats på en an- nan lagstiftningsmodell, en s.k. hanteringsmodell. 
  
 7.2 
  
 Missbruksmodell 
  
 Det är något oklart vad som menas med en missbruksmodell re- spektive hanteringsmodell för lagstiftningen. Datalagskommittén, som införde terminologin, beskrev skillnaderna på följande sätt: 
  
 41 
  
 Man kan på ett principiellt plan tänka sig åtminstone två olika model- ler för regleringen av skyddet för den personliga integriteten: 
  
 Reglering av själva hanteringen av personuppgifter (hanteringsmo- dellen). 
  
 Reglering av sådant utnyttjande av personuppgifter som kan karak- teriseras som ett missbruk (missbruksmodellen). 
  
 När man riktar in sig på att reglera själva hanteringen av personuppgif- ter, blir det viktigt med regler som avser t.ex. 
  
 att precisera godtagbara ändamål med hanteringen och hindra an- vändning som inte stämmer överens med sådana ändamål, 
  
 att inte fler uppgifter än nödvändigt hanteras, 
  
 att de hanterade uppgifterna är korrekta och relevanta, 
  
 att de hanterade uppgifterna inte läcker ut från den som hanterar dem och 
  
 att de registrerade kan få kännedom om av vem uppgifterna hanteras och vilka uppgifter som hanteras. 
  
 Den nuvarande datalagen och  
 EG-direktivet 
  kan sägas bygga på en så- dan modell för skyddet av den personliga integriteten. Också Europa- rådets konvention och rekommendationer samt, på det globala planet, OECD:s riktlinjer verkar bygga på hanteringsmodellen. Även den svenska grundlagen 
 42  
  
 kan  
 sägas kräva att det skall finnas en lagstiftning baserad på hanteringsmodellen, innefattande skydd mot integritets- kränkningar genom att personuppgifter registreras (oavsett om de i nå- gon mening missbrukas eller inte). 
  
 41 
  
 SOU 1997:39 s. 181 ff. 
  
 42 
  
 2 kap. 3 § 2 st. regeringsformen. 
  
 102 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 De som förespråkar den modell som koncentrerar sig på reglering av det som kan karakteriseras som missbruk av personuppgifter, brukar utgå från att själva hanteringen av personuppgifterna skall vara i det närmaste fri. Det har t.ex. talats om ett slags allemansrätt till person- uppgifter. 
  
 43  
  
 Det viktiga med den modellen blir i stället att identifiera vilken användning av personuppgifter som utgör ett sådant missbruk att det bör förbjudas, dvs. i första hand kriminaliseras eller skades- tåndsbeläggas. 
 Båda modellerna har fördelar. 
 Även om en reglering i enlighet med hanteringsmodellen görs i prin- cip teknikoberoende, är det inte praktiskt möjligt att låta den omfatta all hantering av personuppgifter; hanteringen av sådana personuppgif- ter som någon har memorerat (har i huvudet) bör t.ex. lämnas utanför regleringen, trots att de memorerade uppgifterna givetvis kan komma att användas till skada för den som uppgifterna avser. Missbruksmodel- len däremot är helt teknikoberoende och tar sikte på det skadliga ut- nyttjandet av personuppgifterna oberoende av vilket hjälpmedel som har använts vid utnyttjandet (papper och penna, dator, det mänskliga minnet etc.). 
 Med hanteringsmodellen kan man alltså – till skillnad från miss- bruksmodellen – inte komma till rätta med allt missbruk av personupp- gifter eller all användning av personuppgifter som enskilda kan tycka är obehaglig eller skadlig. 
 Med hanteringsmodellen främjas en kontinuerligt god hantering av personuppgifter; man begränsar hanteringen till de uppgifter som be- hövs och hanteringen sker på ett ändamålsenligt sätt som den enskilde kan få insyn i. Den modellen förutsätter också att det finns någon sorts kontroll av eller tillsyn över hanteringen. Missbruksmodellen är å andra sidan mera repressiv till sin karaktär. Där kommer regleringen och till- synen in först sedan skadan har skett, när missbruket är ett faktum. Det torde med den modellen vara svårt att på ett tillräckligt förutsebart sätt reglera och kontrollera olika förberedelser till missbruk. 
 Den hantering som inte innebär ett missbruk lämnas med miss- bruksmodellen i princip utanför regleringen; där gäller allemansrätten till personuppgifter. Med hanteringsmodellen regleras däremot i prin- cip också sådan hantering av personuppgifter som objektivt sett måste betraktas som harmlös. Det kan därför tyckas att hanteringsmodellen spänner över onödigt mycket. Missbruksmodellen lämnar å andra sidan öppet för en hantering av också känsliga personuppgifter som redan genom sin stora omfattning kan oroa många människor. 
  
 43 
  
 Se Huang, Rapport om skyddet för enskilda personers privatliv – ett mer samlat grepp?, 1995, avsnitt 10.4. 
  
 103 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 Regeringen ansåg vid utarbetandet av personuppgiftslagen att det inte var möjligt att uppfylla skyldigheten att genomföra EG- direktivet på annat sätt än genom att införa en lagstiftning av han- teringsmodell och påpekade att ingen hade kunnat konkret ange hur det skulle kunna vara möjligt med hänsyn till  
 EG-direktivet 
  att använda en renodlad missbruksmodell. 
  
 44  
  
 Konstitutionsutskottet delade regeringens bedömning. 
  
 45  
  
 Såsom anges i utredningsdirekti- ven har det dock efter ikraftträdandet av personuppgiftslagen vid- tagits flera åtgärder i syfte att åstadkomma en mer missbruksinrik- tad regleringsmodell. 
 Det enda mer konkreta utkast till en missbruksmodell för regler- ingen som framkommit är det som Miller presente- rade hösten 2000 och som också omnämns i utredningsdirektiven. 
  
 46  
  
 Utkastet innehåller ett konkret förslag till ändring av  
 EG-direktivet 
  som innebär att en ny artikel av följande lydelse skall införas i EG- direktivet: 
 1. På automatisk behandling av personuppgifter i form av ljud- och bilduppgifter och i text skall, när materialet inte har strukturerats så att sökning av personuppgifter underlättas, bara tillämpas artikel 4, 9 och  
 22–24. 
  
 47 
  
 2. Medlemsstaterna skall föreskriva att sådan behandling som avses i punkt 1 och som innebär spridning av personuppgifter till skada för den registrerade inte är tillåten. Detta skall dock inte gälla om den som sprider uppgifterna är skyldig att uttala sig eller det annars med hänsyn till ett allmänt intresse är försvarligt att personuppgifterna sprids. 
 På Justitiedepartementets hemsida på Internet har förslaget sam- manfattats enligt följande: 
 Behandling av personuppgifter som inte har strukturerats för att un- derlätta sökning av personuppgifter, t.ex. vid ord- och textbehandling 
  
 44 
  
 Prop. 1997/98:44 s. 36 f. 
  
 45 
  
 KU 1997/98:18 s. 13 f. 
  
 46 
  
 Utkastet finns som bilaga till Ds 2001:27, som också innehåller en sammanställning av allmänhetens synpunkter på utkastet. –  
  
 IT-kommissionens 
  rättsliga observatorium har också gjort ett arbete om utformningen av en missbruksmodell som redovisats i en skri- velse till regeringen  
 1999-02-24, 
  dnr ITK98/3 (se det  
 IT-rättsliga 
  observatoriets rapport 8/98). 
  
 47 
  
 De angivna artiklarna rör det territoriella tillämpningsområdet, undantag med hänsyn till yttrandefriheten och rättslig prövning och sanktioner. 
  
 104 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 och användning av Internet och  
 e-post, 
  undantas från bestämmelserna om själva hanteringen av personuppgifter. 
 Sådan behandling är förbjuden bara om spridning av personuppgif- terna är till skada för den registrerade. Spridningen skall dock alltid vara tillåten, om den som sprider uppgifterna är skyldig att uttala sig eller det annars med hänsyn till ett allmänt intresse är försvarligt att person- uppgifterna sprids. 
 Bara behandling av personuppgifter i regelrätta databaser eller andra uppgiftssamlingar som strukturerats för att underlätta sökning av per- sonuppgifter, t.ex. myndigheters, försäkringsbolags och bankers regis- ter med personuppgifter, omfattas alltså av bestämmelser om själva hanteringen av personuppgifter. 
 Det som enligt förslaget skall undantas från hanteringsreglerna i  
 EG-direktivet 
  är således ljud- och bilduppgifter och löpande text när materialet inte har strukturerats så att sökning av personuppgif- ter underlättas. 
 Utredningen anser att det är ändamålsenligt att behandling av sådant ostrukturerat material undantas från hanteringsreglerna i personuppgiftslagen. De dataskyddsprinciper som ligger bakom dessa hanteringsregler utarbetades i början på  
 1980-talet 
  innan den datoriserade informationstekniken blivit en vardagsteknik, som snart sagt varje arbetstagare hanterar dagligen, och börjat användas för kommunikation och spridning av information i världsomfat- tande nätverk såsom Internet. 
  
 48  
  
 Att problemen med att tillämpa hanteringsreglerna på en vardagsteknik med nya användningsområ- den verkar ha uppmärksammats först i Sverige kan hänga samman med Sveriges position som ett föregångsland inom informations- tekniken och att Sverige var bland de allra första staterna att genomföra  
 EG-direktivet. 
  
 De generella dataskyddsprinciperna är i och för sig enligt utred- ningens mening i stort sett adekvata och relevanta även för behand- ling av personuppgifter i ostrukturerat material. Det ligger exem- pelvis ett värde i att personuppgifter som behandlas är riktiga och relevanta och att den registrerade är informerad om behandlingen även när den avser ostrukturerat material. I de allra flesta fall leder också en tillämpning av hanteringsreglerna till slutsatsen att be- handlingen av personuppgifter i ostrukturerat material är tillåten och kan utföras. 
  
 48  
 Jämför härtill vad som sägs i avsnitt 3.2 och, i fråga om dataskyddsprinciper, avsnitt 4. 
 105 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 Men reglerna är ändå inte anpassade för den i dag utbredda an- vändningen av datoriserad informationsteknik för ostrukturerad vardagshantering och kommunikation. Det är nämligen enligt ut- redningens mening inte rimligt att man skall behöva tillämpa sju eller åtta hanteringsregler för att kunna konstatera att en vardaglig behandling av personuppgifter i ostrukturerat material är tillåten. Hanteringsreglerna framstår som alltför omfattande, komplicerade och byråkratiska när det gäller vardaglig, ostrukturerad behandling av personuppgifter som normalt är helt harmlös. Hanteringsregler- na tillför inte integritetsskyddet mycket i dessa fall, i vart fall inte i jämförelse med den byråkrati och kostnad som skulle uppkomma om reglerna i praktiken tillämpades fullt ut. 
 Det är enligt utredningens mening inte realistiskt att tro att han- teringsreglerna i någon större utsträckning i praktiken används vid vardaglig, ostrukturerad hantering av personuppgifter. I och med att reglerna i dessa fall upplevs som byråkratiska, komplicerade och inte omedelbart kopplade till integritetsskyddet och därför inte tillämpas, riskerar man att de grundläggande och viktiga data- skyddsprinciperna råkar i vanrykte och inte tillämpas ens vid sådan strukturerad behandling av personuppgifter där de är oundgängliga för integritetsskyddet. Därför skulle integritetsskyddet i praktiken stärkas om man undantar behandling av ostrukturerade personupp- gifter från hanteringsreglerna och i stället tillskapar enklare regler som direkt tar sikte på skydd mot missbruk av personuppgifter. 
 Utredningen anser mot den redovisade bakgrunden och utred- ningsdirektiven att den bör inleda sin översyn av personuppgiftsla- gen med att göra en förnyad analys av om och i vilken utsträckning det med hänsyn till  
 EG-direktivet 
  och andra omständigheter är möjligt att från hanteringsreglerna i personuppgiftslagen undanta behandling av personuppgifter i material som inte har strukturerats så att sökning efter eller sammanställning av personuppgifter un- derlättas, t.ex. löpande text och ljud- och bildupptagningar 
  
 49 
  
 .  
 Kan ett sådant undantag göras, får det undersökas vilka närmare be- stämmelser som i stället är nödvändiga för att förhindra missbruk av personuppgifter och andra obefogade intrång i den personliga integriteten. I det sammanhanget får beaktas bl.a. de generella reg- 
  
 49 
  
 Här och i det följande används löpande text och ljud- och bildupptagningar som exempel på material som normalt inte har strukturerats för att underlätta sökning efter och sam- manställning av personuppgifter. Det bör dock påpekas att även löpande text och ljud och bild givetvis kan struktureras på detta sätt. Och har så skett, är materialet naturligtvis inte längre ostrukturerat. 
  
 106 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 ler till skydd för den personliga integriteten som redan finns. Det gäller här att skapa ett kompletterande skydd mot otillbörligt in- trång i den personliga integriteten. 
 Ett sådant generellt undantag för behandling av personuppgifter i ostrukturerat material finns således inte i dag i personuppgiftsla- gen. Utredningen har inte heller funnit något motsvarande undan- tag i andra medlemsstaters genomförandelagstiftning, jämför dock vad som sägs i avsnitt  
 7.3.2  
 om Frankrikes avsikter. 
 Utredningen anser alltså att det är strukturen på materialet som bör utgöra kriteriet för om hanteringsreglerna eller regler som bara förhindrar missbruk skall tillämpas. Här bör avslutningsvis noteras att utredningen i och för sig övervägt också andra möjliga avgräns- ningskriterier än materialets struktur, t.ex. syftet med behandling- en, arten av personuppgifter, vem som behandlar uppgifterna, vem personuppgifterna avser osv. Som kommer att framgå i det följande är inte användningen av materialets struktur som kriterium utan svårigheter och definitionsproblem. Varje avgränsningskriterium har emellertid inneboende svårigheter och kan vara mer eller mind- re ändamålsenligt. En avgränsning utifrån syftet med behandlingen innebär t.ex. bl.a. den svårigheten att syftet oftast inte syns utåt. Utredningen har funnit att det valda kriteriet (materialets struktur) är det mest ändamålsenliga, vilket naturligtvis är av största vikt, och att definitionsproblemen och andra svårigheter med det kriteriet kan bemästras. 
  
 7.3 
  
 EG-direktivet 
  
 7.3.1 
  
 Undantag enligt artikel 3.2 för sådant som faller utanför gemenskapsrätten och för rent privat behandling 
  
 Enligt artikel 3.2 första strecksatsen i  
 EG-direktivet 
  gäller inte EG- direktivet för sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten. Enligt andra strecksatsen i artikeln gäller inte  
 EG-direktivet 
  för sådan be- handling av personuppgifter av en fysisk person som ett led i verk- samhet av rent privat natur eller som har samband med hans eller hennes hushåll. Bestämmelserna i artikeln berörs närmare i avsnitt  
 8.2. 
  
 107 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 Enligt utredningens mening står det ganska klart att de nu nämnda undantagen inte kan användas för att generellt undanta behandling av personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar. Viss sådan behand- ling kan visserligen utföras av en fysisk person för rent privat bruk, men något generellt undantag finns det knappast stöd för. Undan- taget för rent privat behandling i  
 EG-direktivet 
  har för övrigt redan tagits in i 6 § personuppgiftslagen. 
  
 7.3.2 
  
 Undantag enligt artikel 9 för journalistiska ändamål eller konstnärligt eller litterärt skapande 
  
 Enligt artikel 9 i  
 EG-direktivet 
  skall medlemsstaterna besluta om undantag och avvikelser från de flesta av bestämmelserna i EG- direktivet för sådan behandling av personuppgifter som sker ute- slutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. Sådana undantag och avvikelser får dock beslutas bara om de är nödvändiga för att förena rätten till privatlivet med reg- lerna om yttrandefriheten.  
  
 50 
  
 Av det protokoll som fördes inom rådet när den gemensamma ståndpunkten om  
 EG-direktivet 
  antogs (i fortsättningen kallat mö- tesprotokollet 
  
 51 
  
 ;  
 se bilaga 4) framgår det att Frankrike förklarat att man kommer att använda sig av de undantag som föreskrivs i arti- kel 9 för all den verksamhet inom den audiovisuella sektorn som omfattas av  
 EG-direktivet. 
  
 Mot bakgrund av Frankrikes förklaring skulle man kunna över- väga att stödja ett generellt undantag för behandling av personupp- gifter i ostrukturerat material på artikel 9. Enligt utredningens me- ning förefaller det dock högst osäkert om undantagsmöjligheterna enligt artikel 9 kan användas för ett så generellt undantag. Undan- tagsmöjligheten enligt artikel 9 i  
 EG-direktivet 
  har för övrigt redan utnyttjats fullt ut i 7 § personuppgiftslagen. 
  
 50 
  
 Artikel 9 har berörts utförligt i t.ex. SOU 1997:39 s. 123 f. och 221 ff., SOU 1997:49 s. 241 ff. och SOU 2001:28 s. 259 ff. 
  
 51 
  
 Dokument 4730/95 ECO 20 av den 8 februari 1995. 
  
 108 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 7.3.3 
  
 Undantag enligt artikel 13 med hänsyn till skyddet av fri- och rättigheter 
  
 I artikel 13.1 i  
 EG-direktivet 
  finns det bestämmelser om att med- lemsstaterna genom lagstiftning får begränsa omfattningen av vissa skyldigheter och rättigheter som följer av  
 EG-direktivet. 
  Det gäller de skyldigheter och rättigheter som anges i artikel 6.1, 10, 11.1, 12 och 21, dvs. 
  
 de grundläggande kraven på behandlingen av personuppgifter (artikel 6.1, som motsvaras av 9 § personuppgiftslagen) 
  
 skyldigheten att informera den registrerade (artikel 10 och 11.1, som motsvaras av  
  
 23–25 
  §§ personuppgiftslagen) 
  
 rätten att på begäran få tillgång till uppgifterna och rättelse (arti- kel 12, som motsvaras av 26 och 28 §§ samt 29 § andra stycket personuppgiftslagen) 
  
 reglerna om ett offentligt register över anmälda behandlingar och skyldigheten att hålla information om andra behandlingar till- gänglig (artikel 21, som motsvaras av 42 § personuppgiftslagen och 7 § personuppgiftsförordningen) 
  
 En sådan begränsning måste vara en nödvändig åtgärd med hänsyn till 
  
 a) 
  
 statens säkerhet, 
  
 b) 
  
 försvaret, 
  
 c) 
  
 allmän säkerhet, 
  
 d) 
  
 förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för lagre- glerade yrken, 
  
 e) 
  
 ett viktigt ekonomiskt eller finansiellt intresse hos en medlems- stat eller hos Europeiska unionen, inklusive monetära frågor, budgetfrågor och skattefrågor, 
  
 f) 
  
 en  
  
 tillsyns-, 
  inspektions- eller regleringsfunktion som, även om den är av övergående karaktär, är förbunden med myndighetsut- övning i de under punkterna c), d) och e) nämnda fallen, 
  
 g) 
  
 skydd av den registrerades eller andras fri- och rättigheter. 
  
 Av mötesprotokollet (bilaga 4) framgår att rådet och kommissio- nen anser att sådana rättigheter som att utföra behandling av per- sonuppgifter inte avses med hänvisningen till andras fri- och rättig- heter i artikel 13.1 g. 
 Bestämmelserna i artikel 13.1 berörs närmare i avsnitt  
 9.2. 
  
 109 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 Artikel 13.1 innebär således att undantag från vissa bestämmelser i  
 EG-direktivet 
  kan göras om det är en nödvändig åtgärd med hän- syn till vissa intressen. Det enda intresse som kan vara aktuellt när man överväger ett generellt undantag för behandling av personupp- gifter i ostrukturerat material är det som avser skyddet av den regi- strerades eller andras fri- och rättigheter (punkt g). 
 Frågan är då om det kan anses vara en sådan fri- och rättighet som avses i artikel 13.1 g att få hantera ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar utan att be- gränsas av de hanteringsregler som avses i artikel 13.1. 
 När materialet skall distribueras till andra kan det vara fråga om ett sådant utnyttjande av yttrandefriheten som varje medborgare är tillförsäkrad skydd för enligt 2 kap. 1 § första stycket 1 regerings- formen, dvs. en frihet att i tal, skrift eller bild eller på annat sätt meddela upplysningar samt uttrycka tankar, åsikter och känslor. Yttrandefriheten är onekligen en fri- och rättighet som är fastsla- gen också i bl.a. artikel 10.1 i Europakonventionen. Regeringen och Lagrådet har emellertid ansett att det är osäkert om yttrandefrihe- ten omfattas av de fri- och rättigheter som avses i artikel 13.1 g, eftersom det finns ett särskilt undantag för yttrandefriheten i arti- kel 9. 
  
 52  
  
 Utredningen anser dock att det förhållandet att yttrandefri- heten nämns i artikel 9 inte kan anses innebära att just den väleta- blerade fri- och rättigheten inte skulle omfattas av uttrycket fri- och rättigheter i artikel 13. Enligt ordalydelsen omfattar artikel 9 bara undantag för behandling av personuppgifter som sker uteslu- tande för journalistiska ändamål eller konstnärligt eller litterärt skapande, vilket verkar vara mera begränsat än en frihet att med- dela upplysningar samt uttrycka tankar, åsikter och känslor eller – såsom anges i artikel 10.1 Europakonventionen – en frihet att ta emot och sprida uppgifter och tankar. 
 Även när materialet inte skall distribueras till andra utan bara an- vändas internt hos den personuppgiftsansvarige kan det vara fråga om ett utnyttjande av en fri- och rättighet i den mening som avses i artikel 13.1 g. Det kan nämligen vid inhämtande av uppgifter vara fråga om ett sådant utnyttjande av informationsfriheten som varje medborgare är tillförsäkrad skydd för enligt 2 kap. 1 § första styck- et 2 regeringsformen, dvs. en frihet att inhämta och mottaga upp- lysningar samt att i övrigt taga del av andras yttranden. Enligt ut- redningens mening kan till och med det rent interna upprättandet 
  
 52  
 Prop. 1997/98:44 s. 49 och 236. Se också SOU 2001:28 s. 273. 
 110 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 och användandet av ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar hos en personuppgiftsansvarig 
 – t.ex. såsom minnesanteckningar – anses vara en fri- och rättighet. Att under en rimlig tid få ha sina ofärdiga alster och minnesanteck- ningar i fred har exempelvis vid införandet av personuppgiftslagen ansetts som en sådan fri- och rättighet som avses i artikel 13.1 g. 
  
 53 
  
 I samband med antagandet av  
 EG-direktivet 
  förklarade rådet och kommissionen som nämnts att sådana rättigheter som att utföra behandling av personuppgifter inte avses med hänvisningen till andras fri- och rättigheter i artikel 13.1 g. Det är för det första inte säkert att man alls kan tillmäta sådana förklaringar någon rättslig status och betydelse vid utrönandet av den rätta innebörden av en bestämmelse i ett  
 EG-direktiv. 
  
 54 
  
 För det andra rör hanteringen av ostrukturerat material inte bara behandling av personuppgifter utan rätten till sådan hantering är generell och avser all slags informa- tion. Att fri- och rättigheter som kan involvera behandling av per- sonuppgifter avses i artikel 13.1 g är uppenbart; annars skulle ju bestämmelsen aldrig kunna tillämpas. 
 Utredningen anser alltså sammanfattningsvis att det bör vara möjligt att hävda att hanteringen av ostrukturerat material t.ex. i form av text och ljud- och bildupptagningar i och för sig är en så- dan fri- och rättighet som avses i artikel 13.1 g och som kan berät- tiga medlemsstaterna att göra nödvändiga begränsningar av vissa bestämmelser i direktivet. Den slutsatsen framstår som än mer be- fogad när det gäller att bara göra begränsningar för sådan hantering av ostrukturerat material som inte innefattar ett missbruk av per- sonuppgifter. Det bör betonas att varje begränsning som görs mås- te vara nödvändig med hänsyn till skyddet av den aktuella fri- och rättigheten. Det kan sägas vara fråga om en intresseavvägning där de båda fri- och rättigheterna – rätten till integritetsskydd och rät- ten att för t.ex. yttrandefrihets- och informationsfrihetsändamål få hantera ostrukturerat material – vägs mot varandra och där bara sådana begränsningar görs som är nödvändiga för att uppnå en ba- lans mellan de motstående fri- och rättigheterna. 
  
 53 
  
 Prop. 1997/98:44 s. 83. 
  
 54 
  
 Jämför t.ex. mål  
  
 C-292/89, 
  Werner (1991 ECR  
 I-2867, 
  svenska specialutgåvan vol. XI s. 55) och mål  
 C-329/95, 
  Banks (REG 1997 s.  
 I-2675) 
  
 111 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 7.3.4 
  
 Intresseavvägning enligt artikel 7 f 
  
 I artikel 7 i  
 EG-direktivet, 
  från vilken artikel undantag inte kan gö- ras med stöd av artikel 13.1, räknas det upp i vilka fall personupp- gifter får behandlas. Kan en tilltänkt behandling inte hänföras un- der något av de uppräknade fallen, får den inte genomföras. Det fall som kan vara aktuellt när man överväger att generellt tillåta behandling av personuppgifter i ostrukturerat material är det som finns i artikel 7 f. 
 Av artikel 7 f framgår att medlemsstaterna skall föreskriva att personuppgifter får behandlas om behandlingen är nödvändig för ändamål som rör berättigade intressen hos den personuppgiftsan- svarige eller hos den eller de tredje män till vilka uppgifterna har lämnats ut, utom när sådana intressen uppvägs av den registrerades intressen eller dennes grundläggande fri- och rättigheter. I ingress- punkt 30 framhålls det att medlemsstaterna – för att garantera en jämvikt mellan berörda intressen och för att samtidigt säkerställa en effektiv konkurrens – får närmare ange på vilka villkor använd- ning och utlämnande till tredje man av personuppgifter får äga rum inom ramen för tillåtna aktiviteter som utövas av företag och andra organ i deras löpande verksamhet. Staterna får även närmare ange på vilka villkor personuppgifter får vidarebefordras till tredje man i marknadsföringssyfte. Detta gäller oavsett om vidarebefordrandet sker kommersiellt eller av välgörenhetsorganisationer, föreningar eller stiftelser, t.ex. av politisk karaktär. En förutsättning är dock att de regler iakttas som har till syfte att ge den registrerade möj- lighet att invända mot att uppgifter som rör honom eller henne be- handlas. 
 Artikel 7 f i  
 EG-direktivet 
  har införts i 10 § f personuppgiftsla- gen som stadgar att personuppgifter får behandlas om behandling- en är nödvändig för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Som framgår av ut- redningsdirektiven är det enligt  
 EG-direktivet 
  tillåtet för medlems- staterna att närmare precisera hur den angivna intresseavvägningen utfaller i olika fall. 
 Enligt utredningens mening står det klart att det är möjligt att med stöd av bestämmelsen om en intresseavvägning i artikel 7 f i  
 EG-direktivet 
  införa en särskild bestämmelse som tillåter sådan behandling av personuppgifter i ostrukturerat material som inte 
 112 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 innefattar ett missbruk av personuppgifterna. Det framgår egentli- gen redan av vad som sagts i närmast föregående avsnitt. Ett ut- nyttjande av rätten att för t.ex. yttrandefrihets- och informations- frihetsändamål få hantera ostrukturerat material t.ex. i form av lö- pande text och ljud- och bildupptagningar utgör givetvis ett berät- tigat intresse, och det intresset får anses överväga de registrerades intresse av integritetsskydd så länge hanteringen inte innefattar ett missbruk av personuppgifter. 
 Enligt artikel 14 a i  
 EG-direktivet 
  skall medlemsstaterna tillför- säkra den registrerade rätten att åtminstone i bl.a. det fall som avses i artikel 7 f när som helst av avgörande och berättigade skäl som rör hans eller hennes personliga situation motsätta sig behandling av uppgifter som rör honom eller henne, utom när den nationella lag- stiftningen föreskriver något annat. När invändningen är berättigad får den behandling som påbörjats av den personuppgiftsansvarige inte längre avse dessa uppgifter. 
 Det har ansetts möjligt att med stöd av artikel 14 a i EG- direktivet införa en uttrycklig bestämmelse i personuppgiftslagen om att, såvitt nu är aktuellt, den registrerade inte har rätt att mot- sätta sig behandling av personuppgifter – utom behandling för än- damål som rör direkt marknadsföring – som är tillåten enligt lagen (12 § andra stycket). 
  
 55 
  
 7.3.5 
  
 Undantag för uppgifter som avses i artikel 8 
  
 I artikel 8 i  
 EG-direktivet, 
  från vilken artikel undantag inte kan gö- ras med stöd av artikel 13.1, finns det tillkommande begränsningar för behandlingen av vissa särskilda kategorier av personuppgifter. Avser en viss behandling sådana särskilda kategorier av personupp- gifter måste således villkoren enligt såväl artikel 7 som artikel 8 vara uppfyllda för att behandlingen skall få genomföras. 
 I artikel 8.1 i  
 EG-direktivet 
  föreskrivs det att medlemsstaterna skall förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk överty- gelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. 
  
 56  
  
 I artikel 8.2 och 8.3 anges i vilka fall sådana s.k. känsliga personuppgifter får behandlas trots det principiella förbudet enligt 
  
 55 
  
 Prop. 1997/98:44 s. 66 f. 
  
 56 
  
 I den svenska, den franska och den danska språkversionen anges hälsa och sexualliv, me- dan det i den engelska och tyska språkversionen talas om hälsa eller sexualliv. 
  
 113 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 artikel 8.1. Enligt artikel 8.4 får medlemsstaterna – under förutsätt- ning av lämpliga skyddsåtgärder 
  
 57  
  
 – av hänsyn till ett viktigt allmänt intresse antingen i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag från förbudet mot att behandla känsliga personuppgifter. Sådana undantag skall enligt artikel 8.6 anmälas till kommissionen. Bestämmelsen i artikel 8.1 i  
 EG-direktivet 
  har tagits in i 13 § personuppgiftslagen. 
 I ingresspunkt 34 anges följande. När det av hänsyn till viktiga allmänna intressen är nödvändigt måste medlemsstaterna kunna avvika från förbudet mot att behandla känsliga kategorier av upp- gifter på vissa områden. Som exempel på områden och fall där avvi- kelser kan ske nämns folkhälsa, socialskydd, särskilt för att säker- ställa kvalitet och lönsamhet i samband med ansökningar om för- måner och tjänster inom sjukförsäkringssystemet, i samband med vetenskaplig forskning och i samband med offentlig statistik. Det betonas att det dock åligger medlemsstaterna att sörja för att det finns lämpliga och konkreta garantier för att skydda enskilda per- soners grundläggande rättigheter och privatliv. 
 I ingresspunkt 35 klargörs att myndigheters behandling av per- sonuppgifter för officiellt erkända religiösa sammanslutningars räkning för att uppfylla målsättningar som uttrycks i grundlagen eller folkrätten utförs för att tillgodose viktiga allmänna intressen. Ingresspunkt 36 behandlar det fallet att de politiska partierna i vissa medlemsstater samlar in uppgifter om enskilda personers politiska uppfattning i samband med att allmänna val hålls. Om det är nöd- vändigt för att det demokratiska systemet skall fungera, får behandling av sådana uppgifter tillåtas av hänsyn till viktiga allmänna intressen under förutsättning att lämpliga garantier före- skriAvs.kommissionens förklaring till det andra direktivförslaget 
  
 58  
  
 (i fortsättningen kommissionens förklaring) framgår att undantag bör göras för internationella människorättsorganisationer som behöver känsliga personuppgifter för sitt arbete, förutsatt att dessa kan er- bjuda lämpliga skyddsåtgärder. 
 59 
  
 I artikel 8 i  
 EG-direktivet 
  finns det också bestämmelser om and- ra kategorier av uppgifter än s.k. känsliga personuppgifter, nämli- 
  
 57 
  
 Något olika uttryckssätt används i de skilda språkversionerna: Collier, garanties appropriées, angemessener Garantien och tilstraekkelige garantier. 
  
 58 
  
 Dokument COM(92) 422 final – SYN 287. Dokumentet finns intaget som bilaga till SOU 1993:10. 
  
 59 
  
 SOU 1993:10 Bilagor s. 178. 
  
 114 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 gen uppgifter om lagöverträdelser m.m. och nationella identifika- tionsnummer. 
 Enligt artikel 8.5 gäller att behandling av uppgifter om lagöver- trädelser, brottmålsdomar eller säkerhetsåtgärder får utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de ändringar som medlems- staterna kan tillåta med stöd av nationella bestämmelser som inne- håller lämpliga och specifika skyddsåtgärder. Medlemsstaterna får alltså i sin lagstiftning tillåta att enskilda, utan att det sker under kontroll av en myndighet, behandlar uppgifter om lagöverträdelser m.m. under förutsättning att lagstiftningen innehåller lämpliga och specifika skyddsåtgärder. Behandling av uppgifter om lagöverträ- delser som har tillåtits på detta sätt torde medlemsstaterna ha att anmäla till kommissionen enligt artikel 8.6. I 21 § personuppgifts- lagen har det intagits ett förbud för andra än myndigheter att be- handla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrati- va frihetsberövanden och bemyndiganden att medge undantag från det förbudet. 
 Enligt artikel 8.7 skall medlemsstaterna bestämma på vilka vill- kor ett nationellt identifikationsnummer eller något annat vederta- get sätt för identifiering får behandlas. Det måste alltså finnas vill- kor för behandling av sådana nummer, men det materiella innehål- let i villkoren får medlemsstaterna själva bestämma. I 22 § person- uppgiftslagen har det angetts att uppgifter om personnummer eller samordningsnummer får behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vik- ten av en säker identifiering, eller något annat beaktansvärt skäl. 
 Bestämmelserna i artikel 8.5 och 8.7 om uppgifter om lagöver- trädelser m.m. respektive identifikationsnummer utgör inget hin- der mot att generellt tillåta behandling av personuppgifter i ostruk- turerat material. För att sådan behandling av uppgifter om lagöver- trädelser m.m. skall få utföras av enskilda utan myndighetskontroll krävs det dock att det finns lämpliga och specifika skyddsåtgärder i lagstiftningen. En sådan skyddsåtgärd kan enligt utredningens me- ning vara att bara tillåta sådan behandling av personuppgifter om lagöverträdelser m.m. som inte innefattar ett missbruk av person- uppgifterna. 
 Från förbudet enligt artikel 8.1 mot behandling av känsliga per- sonuppgifter får undantag enligt artikel 8.4 göras av hänsyn till ett viktigt allmänt intresse. Frågan är om hantering av ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar 
 115 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 kan anses vara ett sådant viktigt allmänt intresse. Utredningen har i avsnitt  
 7.3.3  
 utvecklat hur denna hantering, som kan ha betydelse för bl.a. utnyttjandet av yttrande- och informationsfriheten, kan anses vara en fri- och rättighet. Att fri- och rättigheter kan utövas i samhället är naturligtvis ett allmänt intresse och dessutom ett vik- tigt sådant. Utredningen anser därför att det kan hävdas att ett un- dantag från förbudet mot behandling av känsliga personuppgifter för behandling av sådana personuppgifter i ostrukturerat material kan stödjas på undantagsmöjligheten i artikel 8.4 för viktiga all- männa intressen. Ett sådant undantag förutsätter emellertid lämpli- ga skyddsåtgärder. En sådan skyddsåtgärd kan enligt utredningens mening vara att bara tillåta sådan behandling av känsliga person- uppgifter som inte innefattar ett missbruk av personuppgifterna. 
  
 7.3.6 
  
 Undantag från förbudet mot överföring av personuppgifter i artikel 25 
  
 I artikel 25 i  
 EG-direktivet, 
  från vilken artikel undantag inte kan göras med stöd av artikel 13.1, finns det tillkommande begräns- ningar för sådan behandling av personuppgifter som innebär en överföring av personuppgifterna till tredje land, dvs. en stat som inte är med i EU eller EES. Artikel 26 innehåller bestämmelser om undantag från artikel 25. Avser en viss behandling en sådan överfö- ring måste således villkoren enligt såväl artikel 7 – och i förekom- mande fall även artikel 8 – som artikel 25 och 26 vara uppfyllda för att överföringen skall få genomföras. 
 Enligt artikel 25.1 i  
 EG-direktivet 
  skall medlemsstaterna före- skriva att överföringen av personuppgifter som är under behandling eller som är avsedda att behandlas efter överföring till tredje land endast får ske om ifrågavarande tredje land säkerställer en adekvat skyddsnivå. Bedömningen av om skyddsnivån i ett tredje land är adekvat skall enligt artikel 25.2 ske på grundval av alla de förhållan- den som har samband med en överföring eller en grupp av överfö- ringar av uppgifter. Härvid skall särskilt beaktas uppgiftens art, den eller de avsedda behandlingarnas ändamål och varaktighet, ur- sprungslandet och det slutliga bestämmelselandet, de allmänna re- spektive särskilda rättsregler som gäller i ifrågavarande tredje land liksom de regler för yrkesverksamhet och säkerhet som gäller där. Bestämmelserna i artikel 25.1 och 2 i  
 EG-direktivet 
  har tagits in i 33 § personuppgiftslagen. 
 116 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 I artikel 26.1 anges det i vilka fall medlemsstaterna får föreskriva att överföring till tredje land som inte har en adekvat skyddsnivå är tillåten. I artikel 26.1 d anges att sådan överföring får ske om över- föringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen eller för att fastslå, göra gällande eller försvara rättsliga anspråk. Den bestämmelsen har ansetts innebära bl.a. att det är tillåtet att i författning ange när överföring är tillåten därför att den är nödvändig med hänsyn till viktiga allmänna intres- sen. I ingresspunkt 58 anges som exempel på viktiga allmänna in- tressen utbyte av uppgifter mellan skattemyndigheter, tullmyndig- heter eller socialförsäkringsmyndigheter. 
 Det har i Sverige tidigare ansetts att ett offentliggörande av per- sonuppgifter på en webbplats som är allmänt tillgänglig på Internet innebär att personuppgifterna blir tillgängliga i hela världen och därmed kan anses överförda till alla länder. 
  
 60  
  
 Numera har emellertid  
 EG-domstolen 
  i det s.k. konfirmandlärarmålet (dom den 6 novem- ber 2003 i mål  
 C-101/01) 
  slagit fast att det inte är fråga om någon överföring av uppgifter till tredje land i  
 EG-direktivets 
  mening när en person, som befinner sig i en medlemsstat, lägger ut personupp- gifter på en hemsida på Internet som är lagrad hos en fysisk eller juridisk person, som har den webbplats där man kan komma åt si- dan och som är etablerad i samma medlemsstat eller i en annan medlemsstat, varvid uppgifterna blir åtkomliga för alla som kopplar upp sig på Internet, inklusive personer i tredje land. 
  
 61  
  
 Det innebär att i vart fall vissa förfaranden för Internetpublicering inte hindras av just bestämmelserna om överföring av personuppgifter till tredje land. 
 När ett förfarande innebär en överföring av personuppgifter till tredje land i  
 EG-direktivets 
  mening blir tolkningen av begreppet adekvat skyddsnivå av betydelse. Personuppgifter får nämligen som sagt alltid överföras till tredje land som säkerställer en adekvat skyddsnivå. Bedömningen av om skyddsnivån i ett tredje land är adekvat skall ske på grundval av alla de förhållanden som har sam- band med överföringen. Att en överföring innebär ett utnyttjande av en grundläggande fri- och rättighet, kan hävdas vara ett förhål- lande att beakta vid bedömningen av om skyddsnivån i ett tredje land är adekvat. Det har ansetts att det som i  
 EG-direktivet 
  kallas 
  
 60 
  
 Prop. 1999/2000:11 s. 15 f. och 27. 
  
 61 
  
 Enligt förarbetena är det samma överföringar som enligt  
  
 EG-direktivet 
  som avses i 33 § personuppgiftslagen, se prop. 1997/98:44 s. 137. Därför får  
 EG-domstolens 
  uttolkning av begreppet överföring också omedelbart genomslag i svensk rätt. 
 117 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 adekvat skyddsnivå är ett uttryck för att omständigheterna kring överföringen sammantagna skall vara sådana att personuppgifter har ett tillräckligt skydd och att det kan finnas en adekvat skydds- nivå i ett tredje land trots en total avsaknad av skyddsregler. 
  
 62 
  
 Mot denna bakgrund skulle det måhända kunna hävdas att en så- dan överföring av personuppgifter i ostrukturerat material, t.ex. i form av löpande text och ljud- och bildupptagningar, som inte in- nefattar ett missbruk av personuppgifterna innebär en överföring av uppgifterna bara till tredje land med adekvat skyddsnivå (därför att någon särskild skyddsnivå inte krävs i det tredje landet med hänsyn till omständigheterna vid överföringen). 
 Det är emellertid osäkert om man alls kan resonera på det sättet. Därför finns det anledning att undersöka om det är möjligt enligt artikel 26.1 d att i författning direkt ange att överföring av person- uppgifter i ostrukturerat material är tillåten därför att överföringen är nödvändig med hänsyn till viktiga allmänna intressen. På mot- svarande sätt som i fråga om undantagsmöjligheten enligt artikel 8.4 (se avsnitt  
 7.3.5)  
 anser utredningen att det bör vara möjligt att stödja en sådan författningsbestämmelse på artikel 26.1 d. 
  
 7.3.7 
  
 Undantag från anmälningsskyldighet enligt artikel 18 
  
 Enligt artikel 18.1 i  
 EG-direktivet, 
  från vilken artikel undantag inte kan göras med stöd av artikel 13.1, skall medlemsstaterna föreskri- va att den personuppgiftsansvarige före genomförandet av en be- handling eller en serie behandlingar som helt eller delvis genomförs på automatisk väg och som har samma eller flera närbesläktade än- damål skall underrätta tillsynsmyndigheten. I artikel  
 18.2–4 
  anges vilka möjligheter till undantag från den anmälningsplikten som finns. Av artikel 18.2 första strecksatsen framgår att undantag får göras på följande villkor: Om medlemsstaten för de typer av be- handling, i samband med vilka det med hänsyn till de behandlade uppgifterna inte är sannolikt att de registrerades fri- och rättigheter kränks, anger behandlingens ändamål, vilka uppgifter eller katego- rier av uppgifter som behandlas, vilka registrerade eller kategorier av registrerade som avses, till vilka mottagare eller kategorier av mottagare uppgifterna lämnas ut samt hur länge uppgifterna skall bevaras. 
  
 62  
 Prop. 1999/2000:11 s. 16. 
 118 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 Bestämmelsen om en principiell anmälningsskyldighet i artikel 18.1 i  
 EG-direktivet 
  har tagits in i 36 § första stycket personupp- giftslagen. Ett bemyndigande för regeringen eller den myndighet regeringen bestämmer att föreskriva undantag från anmälnings- skyldigheten för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integrite- ten har tagits in i tredje stycket i den paragrafen. Genom 4 § per- sonuppgiftsförordningen har regeringen utnyttjat undantagsmöj- ligheten för att föreskriva att anmälningsskyldigheten inte gäller för behandling av personuppgifter i löpande text. Utredningen an- ser att ett motsvarande undantag bör kunna föreskrivas för all be- handling av personuppgifter i ostrukturerat material. 
  
 7.3.8 
  
 Sammanfattning 
  
 Utredningen har således funnit att det bör vara möjligt enligt EG- direktivet att göra undantag från de flesta materiella bestämmelser- na i  
 EG-direktivet 
  för sådan behandling av personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar som inte innefattar ett missbruk av personuppgif- terna. 
 Den slutsatsen grundas främst på bedömningen att hantering av sådant ostrukturerat material utgör ett utnyttjande av en sådan fri- och rättighet – yttrande- eller informationsfriheten – som avses i artikel 13.1 g och att det är ett viktigt allmänt intresse i den mening som avses i artikel 8.4 och 26.1 d att detta utnyttjande av fri- och rättigheter inte hindras i samhället. 
 Utredningen inser att den bedömningen – och vissa anslutande bedömningar avseende t.ex. beskaffenheten av skyddsåtgärder – inte är självklar och kan sättas i fråga. Utredningen anser trots detta att det med hänsyn till vikten av att underlätta harmlös hantering av ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar på de skäl som redovisats faktiskt är möjligt och befogat att göra en sådan bedömning att gälla till dess motsatsen eventuellt slås fast av  
 EG-domstolen. 
  
 Utredningen har således gjort en annan bedömning än regering och riksdag tidigare gjort. Det har skett efter en förnyad analys av innebörden av  
 EG-direktivet. 
  Den analysen har genomförts i be- lysning av den utveckling som skett sedan personuppgiftslagen trädde i kraft. Härvid har utredningen som en bakgrund beaktat bl.a. hur  
 EG-direktivet 
  genomförts i andra länder, argumentationen 
 119 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 i samband med de rättsfall som finns angående  
 EG-direktivet, 
  dis- kussioner med  
 EG-kommissionen 
  och andra medlemsstater, bl.a. i den s.k. artikel  
 31-kommittén, 
  och utvecklingen av de svenska grundlagarna. Utredaren har bl.a. redogjort för huvuddragen i för- slaget vid ett möte med företrädare för  
 EG-kommissionen. 
  EG- kommissionen har senare i sin rapport om genomförandet av EG- direktivet 
  
 63  
  
 också – under rubriken Behovet av en rimlig och flexi- bel tolkning – uttryckligen berört de svenska ansträngningarna en- ligt följande: 
 Enligt artikel 5 i direktivet ska medlemsstaterna inom de begränsning- ar som bestämmelserna i kapitel II (artiklarna  
 6–21) 
  innebär, precisera på vilka villkor behandling av personuppgifter är tillåten. I detta avse- ende uppmärksammar kommissionen den oro som Sverige uttryckte inom ramen för den pågående översynen av landets lagstiftning när det gäller tillämpningen av dataskyddsprinciper på löpande text eller ljud- eller bilduppgifter. Kommissionen anser att förenklade villkor för data- behandling då det inte är troligt att sådan behandling skapar någon inte avsevärd risk för den enskildes rättigheter bättre kan uppnås genom att göra bruk av det handlingsutrymme som direktivet ger, i synnerhet de möjligheter som ges i artiklarna 7 f, 9 och 13. 
 Också  
 EG-domstolens 
  dom i det s.k. konfirmandlärarmålet (dom den 6 november 2003 i mål  
 C-101/01) 
  ger stöd för att EG- direktivet kan tolkas med en viss flexibilitet, särskilt när det gäller skyddet för grundläggande fri- och rättigheter.  
 EG-domstolen 
  uttalade i domen bl.a. följande: 
 83 Vad beträffar själva direktivet 95/46 är bestämmelserna i det med nödvändighet relativt allmänna med hänsyn till att de skall tillämpas på ett stort antal mycket olikartade situationer. I motsats till vad [konfir- mandläraren] har anfört är det således med rätta som detta direktiv in- nehåller regler som karaktäriseras av en viss tänjbarhet och som det i direktivet i fråga i många fall överlåts till medlemsstaterna att fastställa detaljerna eller att välja bland de möjligheter som finns. 
 84 Det är riktigt att medlemsstaterna i många avseenden har ett be- tydande handlingsutrymme när de skall införliva direktiv 95/46. Det finns dock ingenting som medför att bestämmelserna i detta direktiv brister i förutsebarhet eller att bestämmelserna som sådana strider mot de allmänna gemenskapsrättsliga principerna, särskilt inte mot de 
  
 63  
 KOM(2003) 265 slutlig. 
 120 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 grundläggande rättigheter som skyddas genom gemenskapens rättsord- ning. 
 85 Det är snarare på det stadium när de bestämmelser genom vilka direktiv 95/46 har införlivats tillämpas i enskilda fall som en rättvis av- vägning mellan de rättigheter och intressen som är i fråga skall göras. 
 86 I detta sammanhang har de grundläggande rättigheterna en sär- skild betydelse, såsom visas av målet vid den nationella domstolen, där det sammanfattningsvis måste göras en avvägning mellan å ena sidan [konfirmandlärarens] yttrandefrihet i sitt arbete som handledare för konfirmander samt friheten att utöva verksamhet som bidrar till det re- ligiösa livet, och å andra sidan skyddet av privatlivet för de personer om vilka [konfirmandläraren] har lagt ut uppgifter på sin webbplats på In- ternet. 
 87 Följaktligen ankommer det på myndigheterna och domstolarna i medlemsstaten inte bara att tolka sin nationella rätt på ett sätt som står i överensstämmelse med direktiv 95/46, utan även att se till att inte grunda sig på en tolkning av detta direktiv som skulle stå i strid med de grundläggande rättigheter som skyddas genom gemenskapens rättsord- ning eller med andra allmänna gemenskapsrättsliga principer, såsom bland annat proportionalitetsprincipen. 
 Av domen framgår också att man vid tolkningen av bestämmelser- na i  
 EG-direktivet 
  kan ta hänsyn till nya användningsområden för informationsteknik och till att tekniken fått en utbredd användning för att se till att bestämmelserna inte får oönskade konsekvenser. I fråga Internetanvändning uttalade domstolen bl.a. följande: 
 58 De uppgifter som finns på Internet kan nästan när som helst kon- sulteras av ett obegränsat antal personer vilka befinner sig på en mängd olika ställen. Att dessa uppgifter är av allestädes närvarande karaktär framgår bland annat av det förhållandet att de tekniska medel som an- vänds inom ramen för Internet är relativt enkla och blir billigare och billigare. 
 59 Förutsättningarna för att använda Internet, så som de har blivit för enskilda som [konfirmandläraren] under  
 1990-talet, 
  innebär att den som upprättar en hemsida som skall läggas ut på Internet överför de uppgifter som denna sida består i till den som tillhandahåller honom servertjänster. [] 
 [] 
 68 Med hänsyn dels till det stadium på vilket Internets utveckling befann sig vid den tidpunkt då direktiv 95/46 utarbetades, dels till att det inte i kapitel IV i direktivet föreligger några kriterier som är till- lämpliga på Internetanvändning kan det inte presumeras att gemen- skapslagstiftaren hade för avsikt att med tanke på framtiden låta in- 
 121 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 skrivning av en person i [konfirmandlärarens] situation av uppgifter på en hemsida på Internet omfattas av begreppet överföring av uppgifter till tredje land, även om dessa på detta sätt blir åtkomliga för sådana personer i tredje land som har de tekniska möjligheterna att få tillgång till hemsidan. 
 69 Om artikel 25 i direktiv 95/46 tolkas på så sätt att det föreligger en överföring av  uppgifter till tredje land varje gång personuppgif- ter läggs ut på en hemsida på Internet skulle denna överföring med nödvändighet vara en överföring till tredje länder där det finns teknisk möjlighet att få tillgång till Internet. Specialbestämmelserna i kapitel IV i det nämnda direktivet skulle då med nödvändighet, vad gäller transak- tioner på Internet, bli ett generellt tillämpligt system. När kommissio- nen med tillämpning av artikel 25.4 i direktiv 95/46 konstaterade att det fanns ett enda tredje land som inte säkerställer en adekvat skyddsnivå skulle medlemsstaterna nämligen vara skyldiga att hindra att person- uppgifter över huvud taget lades ut på Internet. 
 70 Vid sådant förhållande kan den slutsatsen dras att artikel 25 i di- rektiv 95/46 skall tolkas så, att sådana transaktioner som dem som [konfirmandläraren] har genomfört inte i sig utgör en överföring av  uppgifter till tredje land. 
 Det går inte att peka på någon enskild omständighet som medfört den ändrade bedömningen utan det är snarare fråga om en samlad bedömning som föranlett de slutsatser i enskildheter som redovi- sats i det föregående. 
 De materiella hanteringsbestämmelser i  
 EG-direktivet 
  som det inte är möjligt att göra undantag från eller motsvarande är följande: 
  
 Bestämmelserna om automatiserade beslut i artikel 15 (som mot- svaras av 29 § personuppgiftslagen) 
  
 Bestämmelserna om sekretess och säkerhet vid behandlingen i artikel 16 och 17 (som motsvaras av 30 och 31 §§ personupp- giftslagen) 
  
 Bestämmelserna om rättslig prövning, ansvar och sanktioner i artikel  
  
 22–24 
  (som motsvaras av 48 och 49 §§ personuppgiftsla- gen) 
  
 Bestämmelserna om tillsynsmyndighetens befogenheter avseen- de behandlingen i artikel 28 (som motsvaras av 32 och  
  
 43–47 
  §§ personuppgiftslagen) 
 Det är inte heller möjligt att avvika från bestämmelserna i artikel 2– 4 om definitioner av grundläggande begrepp och tillämpningsom- rådet för  
 EG-direktivet 
  (som motsvaras av  
 3–6 
  §§ personuppgifts- lagen). 
 122 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 Enligt utredningens mening innebär det ingen direkt nackdel att de angivna bestämmelserna i förekommande fall tillämpas på be- handling av personuppgifter i ostrukturerat material. 
 Bestämmelsen om automatiserade beslut torde det knappast bli aktuellt att tillämpa på annat än personuppgifter i strukturerat ma- terial. 
 Bestämmelsen om sekretess innebär i stort sett bara att den som för en personuppgiftsansvarigs räkning behandlar personupp- gifter bara får göra det enligt instruktioner från denne. 
 Bestämmelsen om säkerhet innebär att lämpliga åtgärder skall vidtas för att förhindra t.ex. oavsedd förstöring, förvanskning och spridning av personuppgifter, men vid bedömningen av vilka åtgär- der som behöver vidtas för att åstadkomma en lämplig säkerhetsni- vå kan man ta hänsyn till bl.a. de risker som är förknippade med behandlingen. När personuppgifter behandlas i ostrukturerat mate- rial t.ex. i form av löpande text och ljud- och bildupptagningar tor- de det därför normalt inte krävas några extraordinära säkerhetsåt- gärder utan det kan ofta räcka med de åtgärder som var och en bru- kar vidta för att skydda sin information. När särskilt känslig infor- mation behandlas i strukturerat eller ostrukturerat material, måste givetvis adekvata säkerhetsåtgärder vidtas. 
 Bestämmelserna om rättslig prövning, ansvar och sanktioner torde bara ha aktualitet – och då vara relevanta och befogade – när behandlingen har inneburit ett missbruk av personuppgifterna. 
 Inte heller bestämmelserna om att en oberoende myndighet skall ha tillsyn över och vissa befogenheter avseende behandlingen torde i praktiken ha särskilt stor betydelse. 
  
 7.4 
  
 Europarådets dataskyddskonvention 
  
 Europarådets dataskyddskonvention har presenterats i avsnitt  
 4.2.2  
 och bilaga 5. Enligt artikel 9 i konventionen får avvikelser göras från de viktigaste materiella bestämmelserna i konventionen. Såda- na avvikelser skall finnas i lag och vara nödvändiga i ett demokra- tiskt samhälle för att bl.a. skydda den registrerade eller andra per- soners fri- och rättigheter. Det är dock inte tillåtet att göra avvikel- ser från bestämmelserna om säkerhet i artikel 7 i konventionen som innebär att lämpliga säkerhetsåtgärder skall vidtas för att skydda personuppgifter som lagras i automatiserade register (på engelska automated data files). 
 123 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 På motsvarande sätt som i fråga om  
 EG-direktivet 
  – se särskilt avsnitt  
 7.3.3  
 – anser utredningen att det bör vara möjligt att genom lag göra avvikelser från konventionens materiella bestämmelser, utom bestämmelsen om säkerhet, för sådan behandling av person- uppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar som inte innefattar ett missbruk av per- sonuppgifterna. 
  
 7.5 
  
 Europakonventionen 
  
 Enligt artikel 8.1 i Europakonventionen har var och en rätt till re- spekt för sitt privat- och familjeliv. Åtnjutande av denna rättighet får enligt artikel 8.2 inskränkas med stöd av lag om det i ett demo- kratiskt samhälle är nödvändigt med hänsyn till bl.a. andra perso- ners fri- och rättigheter. Europakonventionen har berörts i avsnitt  
 4.2.1. 
  
 På motsvarande sätt som i fråga om  
 EG-direktivet 
  – se särskilt avsnitt  
 7.3.3  
 – anser utredningen att det bör vara möjligt att genom en lagbestämmelse inskränka rätten till respekt för privat- och fa- miljelivet när det gäller sådan behandling av personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar som inte innefattar ett missbruk av personuppgif- terna. 
  
 7.6 
  
 2 kap. 3 § regeringsformen 
  
 Enligt 2 kap. 3 § andra stycket regeringsformen skall varje medbor- gare, i den utsträckning som närmare anges i lag, skyddas mot att hans eller hennes personliga integritet kränks genom att uppgifter om honom eller henne registreras med hjälp av automatisk databe- handling. 
 Datalagskommittén ansåg att den grundlagsbestämmelsen kan sägas kräva att det skall finnas en lagstiftning baserad på en hante- ringsmodell, innefattande skydd mot integritetskränkningar genom att personuppgifter registreras oavsett om de i någon mening miss- brukas eller inte, se avsnitt  
 7.2. 
  
 64 
  
 64  
 SOU 1997:39 s. 182. 
 124 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 Enligt utredningens mening kan grundlagsbestämmelsen inte an- ses hindra en lagregel om att sådan behandling av personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar som inte innefattar ett missbruk av personuppgif- terna är tillåten. Genom en sådan lagregel, som i praktiken förbju- der missbruk av personuppgifter, får ju den enskilde det avsedda skyddet mot integritetskränkningar. 
  
 7.7 
  
 Överväganden och förslag 
  
 Utredningens förslag i sammanfattning:  
 På behandling av per- sonuppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personupp- gifter skall hanteringsreglerna i 9, 10, 13, 21, 23, 24, 28, 33 och 42 §§ personuppgiftslagen inte tillämpas. Sådan behandling får bara utföras om den inte innebär ett otillbörligt intrång i den personliga integriteten. 
  
 7.7.1 
  
 Inledning 
  
 Utredningen anser således att det med hänsyn till  
 EG-direktivet, 
  andra internationella åtaganden och den svenska grundlagen bör vara möjligt att göra undantag från vissa bestämmelser i person- uppgiftslagen för behandling av personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagning- ar. Utredningen föreslår att ett sådant undantag görs och berör i detta avsnitt hur undantaget närmare bör utformas och vilka be- stämmelser om skydd mot missbruk av personuppgifterna som bör krävas med anledning av undantaget. 
 125 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 7.7.2 
  
 Vilka behandlingar bör undantas? 
  
 Utredningens förslag:  
 Behandling av personuppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av person- uppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter undantas. 
 Inledning 
 Det är vid behandling av personuppgifter i personuppgiftsanknutna registerstrukturer där man enkelt kan söka efter och sammanställa personuppgifter som de hanteringsregler för personuppgiftsskyd- det som finns i personuppgiftslagen har ett särskilt berättigande på grund av de integritetsrisker som normalt är förknippade med så- dan behandling. När personuppgifterna inte ingår i en personupp- giftsanknuten registerstruktur utan finns i ostrukturerad form i t.ex. löpande text och ljud- och bildupptagningar, är det i stället texten, ljudet eller bilden som är det centrala, och det är också då som informations- och yttrandefrihetsaspekterna gör sig särskilt gällande. Även behandling av personuppgifter i ostrukturerat mate- rial t.ex. i form av löpande text och ljud- och bildupptagningar kan givetvis i ett enskilt fall innebära ett otillbörligt integritetsintrång eller medföra risk för ett sådant intrång. Vid behandling av person- uppgifter som inte finns i en tydligt personuppgiftsanknuten regis- terstruktur framstår emellertid hanteringsreglerna i personuppgiftslagen som alltför omfattande och byråkratiska med hänsyn bl.a. till att integritetsriskerna normalt är mindre vid be- handlingen och till de informations- och yttrandefrihetsintressen som finns. Vid sådan, typiskt sett mindre riskfylld behandling bör därför hanteringsreglerna kunna ersättas med bestämmelser som bara förbjuder missbruk av personuppgifterna. 
 Det är således vid behandling av personuppgifter som inte ingår i en tydligt personuppgiftsanknuten registerstruktur som man bör kunna ersätta hanteringsreglerna med regler som bara förbjuder missbruk. 
 Svårigheterna med en avgränsning 
 Utredningen har prövat olika vägar att avgränsa vad som bör vara undantaget från hanteringsreglerna. Eftersom det är strukturering- 
 126 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 en av materialet med avseende på personuppgifter som kan innebä- ra särskilda integritetsrisker, har utredningen funnit det ändamåls- enligt att knyta avgränsningen till just materialets struktur. 
  
 65  
  
 Ut- redningen är dock medveten om att det är problematiskt att göra så. Det visar redan de tillämpningsproblem som uppkom särskilt på senare år med det registerbegrepp som användes i datalagen. 
  
 66  
  
 Pro- blemen hänger mycket samman med den tekniska utvecklingen och datorteknikens inneboende egenskaper. Allt som finns i digital form i t.ex. datorer och skall användas måste i någon mening vara strukturerat. Och utvecklingen går emot att struktureringen om- fattar allt mer och blir mer automatiserad och avancerad. Funktio- ner som automatiskt indexerar varje teckensträng i ordbehand- lingsdokument är t.ex. redan standard. 
 Den tekniska utvecklingen på området medför att varje avgräns- ning som görs får ses som ett provisorium som måste bli föremål för dels anpassning i rättstillämpningen, dels översyn efter ett tag. Vad man kan göra är att utforma en teknikneutral men beskrivande lagtext och samtidigt – mot bakgrund av de tekniska tillämpningar som är mera allmänt förekommande i dag – ange utgångspunkter för bedömningen och exempel. Sedan får det ankomma på rätts- tillämpningen att bedöma nya eller mera speciella tillämpningar. Och efter ett tag måste lagregeln och rättstillämpningen ses över mot bakgrund av den tekniska utvecklingen. 
 Det bör hållas i minnet att eventuella svårigheter att i gränsfall bedöma om hanteringsreglerna skall tillämpas eller inte måste jäm- föras med de problem det innebär att tillämpa hanteringsreglerna i personuppgiftslagen på ostrukturerat material. Enligt utredningens mening är de sistnämnda svårigheterna i allmänhet mer besvärande än de förstnämnda. Skulle någon vara av motsatt uppfattning, inne- bär dock utredningens förslag att han eller hon kan fortsätta att tillämpa hanteringsreglerna. Har hanteringsreglerna faktiskt följts, kan det nämligen enligt utredningens förslag inte vara fråga om ett missbruk av personuppgifterna, se vidare avsnitt  
 7.7.4.  
 Den som är osäker på hur en viss behandling skall bedömas kan alltså välja att följa hanteringsreglerna för att därmed uppfylla det som krävs en- ligt både dessa regler och de föreslagna reglerna. Utredningens för- slag innebär således bara en möjlighet till lättnader vid behandling av personuppgifter i ostrukturerat material för den som vill. Det är 
  
 65 
  
 Jämför också vad som sägs avslutningsvis i avsnitt 7.2. 
  
 66 
  
 Det bör redan här betonas att utredningens förslag inte utgår från det registerbegrepp som fanns i datalagen. 
  
 127 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 också rimligt att den som vill utnyttja en regel om undantag från de normala hanteringsreglerna sätter sig närmare in i förutsättningarna för att regeln skall kunna tillämpas. Det får inte heller glömmas bort att regeln om undantag från hanteringsreglerna faktiskt har ett tydligt kärnområde – när ett material är helt ostrukturerat – som är enkelt att tillämpa i praktiken i de allra flesta fall. 
 Utgångspunkter och riktlinjer för avgränsningen 
 När det gäller utformningen av avgränsningen av vad som bör vara undantaget från respektive omfattas av hanteringsreglerna har ut- redningen haft följande utgångspunkter och riktlinjer. 
 Avgränsningen bör som nämnts anknyta till materialets struktur. Behandling av personuppgifter som ingår i en struktur, t.ex. ett re- gelrätt personregister eller en databas, bör omfattas av hanterings- reglerna, medan behandling av övriga personuppgifter undantas. Dock bör inte varje strukturering av ett material med personupp- gifter innebära att hanteringsreglerna skall tillämpas på behandling- en av personuppgifterna i materialet. Det bör krävas att det finns en tydlig personuppgiftsanknuten struktur för att hanteringsreg- lerna skall tillämpas. 
 En generell strukturering av ett material bör alltså inte medföra att hanteringsreglerna skall tillämpas. Enbart det förhållandet att alla teckensträngar i t.ex. ordbehandlingsdokument på en eller flera hårddiskar har indexerats eller enkelt kan indexeras bör exempelvis inte medföra att hanteringsreglerna blir tillämpliga. Funktioner för automatisk sådan allmän indexering är nämligen som nämnts redan standard. Ett annat exempel är s.k. sökmotorer på Internet där teckensträngar m.m. i material som finns tillgängligt på Internet indexeras. Indexering som tar sikte på just personuppgifter, dvs. en märkning av att vissa uppgifter är just personuppgifter, t.ex. ett personnamn eller ett personnummer, innebär dock att en person- uppgiftsanknuten struktur skapats. Då har man ju skapat en regis- terstruktur avseende, inte alla teckensträngar eller vilka tecken- strängar som helst utan, just personuppgifter. Med generell struk- turering menar utredningen alltså att ett material har strukturerats, t.ex. genom indexering, med avseende på flera olika slags uppgifter utan att just personuppgifter har markerats som sådana. 
 En mer utvecklad form av strukturering är verksamhetsanknuten strukturering. Ett typexempel är de dokument- och ärendehanter- ingssystem som används av t.ex. företag och myndigheter. I dessa 
 128 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 system används oftast inte bara en generell struktur med indexering av det material som ingår i strukturen utan det utmärkande är att det beträffande åtminstone en del av de uppgifter som ingår i struk- turen har markerats vad uppgifterna avser, t.ex. ärendenummer, kundnummer, adress, produkt, kontaktperson, författare av ett do- kument osv. Typexempel på sådan strukturering är den som före- kommer i register och databaser där det finns fält där olika katego- rier av uppgifter fylls i. 
 För att hanteringsreglerna skall tillämpas bör det krävas att struktureringen är personuppgiftsanknuten. Det är fråga om en personuppgiftsanknuten strukturering om materialet, t.ex. det som ingår i ett dokument- och ärendehanteringssystem, har strukture- rats för att underlätta sökning efter och sammanställning av just personuppgifter. Det är fallet om det i ett register eller en databas finns fält där just personuppgifter har fyllts i, exempelvis fält för namn, personnummer, avsändare, handläggare, anhörig osv. Med personuppgiftsanknuten strukturering menar utredningen alltså att ett material har strukturerats så att just personuppgifter har marke- rats som sådana; dessutom kan flera andra slags uppgifter i materia- let ha markerats. 
 Även i system för strukturering som inte är särskilt inriktade på att hantera information om personer – exempelvis datoriserade sy- stem för hantering av tillverkningsprocesser eller för hantering av försäljning till företagskunder – finns det som regel åtminstone någon kategori av uppgifter som särskilt markerats som just per- sonuppgifter, t.ex. fält i en databas för handläggare, författare av ett dokument, kontaktperson vid ett företag och vem som ändrat en viss uppgift i systemet. I en myndighets diarium över allmänna handlingar skall det t.ex. anges från vem handlingen har kommit in eller till vem den har expedierats. 
  
 67  
  
 Och i datoriserade dokument- hanteringssystem torde det också vara vanligt med särskilda fält för t.ex. ingivare, mottagare och författare. Därmed finns det också en personuppgiftsanknuten struktur även om systemet inte är särskilt inriktat på att hantera information om personer. 
 I sådana system för strukturering som inte är särskilt inriktade på att hantera information om personer utgör personuppgifterna ofta biinformation även om uppgifterna i och för sig har strukture- rats på ett sådant sätt att det finns en personuppgiftsanknuten struktur. De strukturerade personuppgifterna utgör i dessa fall inte 
  
 67  
 15 kap. 2 § första stycket 3 sekretesslagen (1980:100), jämför SOU 2002:97. 
 129 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 huvudföremålet för systemet eller behandlingen av uppgifterna i systemet, men det är möjligt att använda strukturen också för att söka fram och sammanställa just personuppgifter. Det kan t.ex. gälla inte särskilt kvalificerade sökningar efter de ärenden som en person handlägger, de dokument som sänts till respektive mottagits från en person eller de företag som en person är kontaktperson för. Men det kan också gälla mer kvalificerade sökningar och samman- ställningar med sikte på enskilda personer där flera olika slags upp- gifter kombineras, t.ex. sammanställningar av inte bara de ärenden en person handlägger utan också hans eller hennes genomsnittliga handläggningstid. Ett annat exempel är när det i ett system för sälj- stöd vid försäljning uteslutande till juridiska personer finns uppgif- ter om kontaktpersoner hos företagen som omfattar inte bara sed- vanliga kontaktuppgifter (funktion, adress, minnesanteckningar från kontakttillfällen osv.) utan även uppgifter om kontaktperso- nerna som inte har direkt samband med huvudföremålet för syste- met, t.ex. uppgifter om anhöriga och fritidsintressen. 
 System för registrering av enskilda personers användning av tjänster eller liknande har som regel en personuppgiftsanknuten strukturering. Det rör sig här om olika former av loggar och elek- troniska spår vid användning av tjänster och liknande, t.ex. en logg- fil med uppgifter om vilka webbplatser enskilda användare vid ett företag besökt eller vilka meddelanden de sänt eller mottagit eller registrering av vilka personer som med hjälp av inpasseringskort har öppnat en dörr. 
 En avgränsning som enbart tar hänsyn till om struktureringen av ett material är personuppgiftsanknuten eller inte är förhållandevis enkel att använda. Utredningen anser emellertid att bara en sådan avgränsning inte är tillräcklig, eftersom den skulle medföra att allt- för mycket av harmlös eller inte personuppgiftsinriktad behandling skulle omfattas av hanteringsreglerna till förfång för informations- och yttrandefriheten. 
 Utredningen anser därför att inte varje personuppgiftsanknuten strukturering av ett material bör innebära att hanteringsreglerna skall tillämpas på behandlingen av personuppgifter i materialet. Det bör krävas att den personuppgiftsanknutna struktureringen av ma- terialet har uppnått en viss nivå eller kvalitet för att hanteringsreg- lerna skall tillämpas, dvs. att materialet har strukturerats för att på- tagligt underlätta sökning efter eller sammanställning av just per- sonuppgifter. Och det är här som avgränsningssvårigheterna gör sig särskilt gällande. Särskilt i denna del får man lita till utvecklingen i rättstillämpningen och återkommande översyn. Det är med hänsyn 
 130 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 till den tekniska utvecklingen och det förhållandet att datortekni- Gaines kommer till allmän användning på alltfler områden svårt att uttömmande ange fasta hållpunkter för vilken nivå eller kvalitet på den personuppgiftsanknutna struktureringen som bör krävas för att hanteringsreglerna skall tillämpas. Vad utredningen kan göra är att mot bakgrund av dagens situation ange vissa utgångspunkter och exempel. Avsikten är att det som inte framstår som något re- gelrätt personregister eller någon annan form av system som upp- rättats för att påtagligt underlätta sökning efter eller sammanställ- ning av just personuppgifter skall vara undantaget från hanterings- reglerna. 
 Det är främst ett par olika typer av personuppgiftsanknuten strukturering som utredningen anser inte bör medföra att hanter- ingsreglerna skall tillämpas. Den första gäller banal personuppgifts- anknuten strukturering. Den andra gäller utnyttjande av allmänt använda funktioner där den personuppgiftsanknutna strukturering- en inte framstår som särskilt kvalificerad. 
 Med banal personuppgiftsanknuten strukturering avser utredning- en sådana situationer där datorteknikens fördelar i fråga om struk- turering i förhållande till manuell hantering egentligen inte använts. I dessa fall gör sig också informations- och yttrandefrihetsintresse- na särskilt gällande. Det kan t.ex. handla om en lista med person- uppgifter – t.ex. avseende Nobelpristagare eller världsrekordhållare 
 – som skrivits in i bokstavsordning efter efternamn i ett ordbe- handlingsdokument eller på en webbsida. Har personuppgifterna inte strukturerats på annat sätt än att de registrerats så att de står i en viss ordning (eventuellt under olika rubriker) är det fråga om en banal personuppgiftsanknuten strukturering som bör vara undan- tagen från hanteringsreglerna. Vad som nu sagts gäller naturligtvis inte om listan med personuppgifter producerats med hjälp av en databas eller något annat system för strukturering av personuppgif- ter. I sådant fall skall de regler tillämpas på produktionen av listan som är tillämpliga på behandlingen av personuppgifter i det materi- al som ingår i systemet för strukturering av personuppgifter (data- basen). 
 I fråga om sedvanligt utnyttjande av allmänt använda funktioner där den personuppgiftsanknutna struktureringen inte framstår som särskilt kvalificerad kan följande sägas. 
 Det handlar i denna situation om sedvanligt utnyttjande av var- dagsfunktioner där det med hänsyn till informations- och yttrande- frihetsintressena inte är rimligt att hanteringsreglerna skall tilläm- pas. Dessa fall ligger nära den banala personuppgiftsanknutna 
 131 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 struktureringen som tidigare berörts. Utredningen har i detta hän- seende mot bakgrund av dagens situation identifierat två situatio- ner av personuppgiftsanknuten strukturering som inte bör medföra att hanteringsreglerna skall tillämpas. 
 Den första situationen gäller sedvanlig användning av datorns fil- system. Det är inte ovanligt att en användare eller organisation sys- tematiskt namnger filer och mappar eller kataloger i datorns filsy- stem med hjälp av personuppgifter. Det kan t.ex. handla om en mapp med ett personnamn som innehåller filer med korrespondens i datumordning med den aktuella personen eller att filer som berör en person namnges efter dennes namn. I sådana fall har man skapat ett system för personuppgiftsanknuten strukturering (som måhän- da är vad utredningen tidigare kallat banal) som dock inte bör med- föra att hanteringsreglerna skall tillämpas på personuppgifterna i materialet, eftersom det skulle få oönskade konsekvenser för in- formations- och yttrandefriheten. Vad som nu sagts gäller dock inte om filerna (oavsett hur de namngetts) i sig ingår i ett mer kva- lificerat system för personuppgiftsanknuten strukturering, t.ex. ett kvalificerat dokument- eller ärendehanteringssystem; det avgöran- de är då vilka regler som är tillämpliga på behandlingen av person- uppgifter i det systemet. 
 Den andra situationen gäller sedvanlig användning av datorstödd kommunikation, där det också finns en tydlig koppling till informa- tions- och yttrandefrihetsintressena. Vid datorstödd kommunika- tion är det oftast på grund av teknikens inneboende egenskaper nödvändigt att registrera uppgifter om såväl mottagare som avsän- dare, annars kan kommunikationen inte förmedlas. Dessa uppgifter utgör för det mesta personuppgifter som automatiskt hamnar i en personuppgiftsanknuten struktur som gör det lätt för användaren att t.ex. söka fram meddelanden till eller från en användare. Ett ex- empel utgör  
 e-postprogram. 
  Genom ett musklick kan man som regel få fram de meddelanden som sänts till eller mottagits från en viss person (eller i vart fall dennes  
 e-postadress, 
  vilken uppgift normalt utgör en personuppgift). En enskild medarbetares egen sedvanliga användning av t.ex.  
 e-postprogram 
  för sin kommunika- tion bör dock inte medföra att hanteringsreglerna skall tillämpas. Vad som nu sagts gäller inte om meddelandena ingår i ett mer kva- lificerat system för personuppgiftsanknuten strukturering, t.ex. ett dokument- eller ärendehanteringssystem; det avgörande är då vilka regler som är tillämpliga på behandlingen av personuppgifter i det systemet. Man kan utgå från att vid marknadsföring ingår person- uppgifterna i praktiken alltid i ett sådant system som medför att 
 132 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 hanteringsreglerna skall tillämpas på den behandlingen. 
  
 68  
  
 Det bör också framhållas att de loggfiler med uppgifter om medarbetarnas kommunikation som en organisation kan spara inte avses med det som nu sagts. Avsikten är att undanta medarbetarnas egen sedvan- liga användning av datorstödd kommunikation, inte att undanta organisationens registrering av medarbetarnas kommunikation. 
 Frågan om vilka situationer i övrigt som kan anses avse sedvan- ligt utnyttjande av allmänt använda funktioner där den personupp- giftsanknutna struktureringen inte framstår som särskilt kvalifice- rad på ett sådant sätt att hanteringsreglerna – av hänsyn till infor- mations- och yttrandefrihetsintressena – inte skall tillämpas får överlämnas till rättstillämpningen. 
 Det är således bara behandling av personuppgifter i ett material som har en personuppgiftsanknuten strukturering som når upp till en viss nivå eller kvalitet som bör omfattas av hanteringsreglerna. Om materialet som sådant (hela samlingen av uppgifter) har struk- turerats så att hanteringsreglerna är tillämpliga, skall hanteringsreg- lerna tillämpas vid behandling av alla personuppgifter – strukturerade och ostrukturerade – som finns i materialet oberoende av att vissa per- sonuppgifter i materialet inte har strukturerats. Personuppgifterna kan nämligen finnas t.ex. i ordbehandlingsdokument, i inskannade dokument och i ljud- och bildupptagningar som i och för sig kan vara ostrukturerade men som ingår i den strukturerade samlingen av uppgifter, t.ex. ett ärendehanteringssystem. Det är själva sam- lingen av uppgifter (t.ex. ärendehanteringssystemet) som skall vara strukturerad på visst sätt, inte varje personuppgift eller handling som ingår i samlingen. I ett försäkringsbolags ärendehanteringssy- stem avseende enskilda personers försäkringar kan det t.ex. ingå ordbehandlingsdokument eller  
 e-post 
  med korrespondens med den försäkrade eller annan och inskannade läkarintyg m.m., och genom en enkel sökning på den försäkrades namn kan alla dessa dokument och andra personuppgifter som strukturerats sammanställas. För tydlighets skull bör det nämnas att hanteringsreglerna i detta fall naturligtvis bör tillämpas vid behandling av alla personuppgifter oavsett vilken person – den försäkrade, läkaren, försäkringshand- läggaren osv. – uppgifterna rör. 
 När det gäller att avgöra vad som ingår i det strukturerade materi- alet (samlingen av uppgifter) får man använda ett naturligt betrak- 
  
 68 
  
 Särskilt vid direkt marknadsföring med hjälp av  
  
 e-post 
  kan också andra regler vara till- lämpliga, jämför t.ex. prop. 2003/04:43 och SOU 2002:109 om genomförandet av det s.k. kommunikationsdataskyddsdirektivet 2002/58/EG. 
 133 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 telsesätt. Eftersom det krävs att materialet har strukturerats, ligger det i sakens natur att strukturen har sina gränser, dvs. att materialet utgörs av en på något sätt avgränsad mängd uppgifter (de uppgifter som med hjälp av strukturen kan hänföras till varandra). Och efter- som det krävs att struktureringen är personuppgiftsanknuten, ingår helt enkelt alla de uppgifter som kan hänföras till de strukturerade personuppgifterna. Det får överlämnas till rättstillämpningen att med ledning av ett naturligt betraktelsesätt från fall till fall bedöma vilka uppgifter som kan hänföras till de strukturerade personupp- gifterna. 
 Som en sammanfattning av det som berörts i detta underavsnitt kan följande sägas. 
 Det är bara behandling av personuppgifter i ett material som har en personuppgiftsanknuten strukturering som bör omfattas av han- teringsreglerna. En struktur är personuppgiftsanknuten om materi- alet har strukturerats så att just personuppgifter har markerats som sådana. 
 För att hanteringsreglerna skall tillämpas bör det vidare krävas att den personuppgiftsanknutna struktureringen av materialet har uppnått en viss nivå eller kvalitet. Samlingen av personuppgifter skall nämligen ha strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter. 
 En banal personuppgiftsanknuten strukturering där personupp- gifterna inte har strukturerats på annat sätt än att de registrerats så att de står i en viss ordning (t.ex. en lista med namn i bokstavsord- ning som skrivits in i ett ordbehandlingsdokument eller på en webbsida) når inte upp till den nivå som krävs. 
 Inte heller sedvanligt utnyttjande av allmänt använda funktioner där den personuppgiftsanknutna struktureringen inte framstår som särskilt kvalificerad når upp till den nivå som krävs. Det gäller t.ex. sedvanlig användning av datorns filsystem för att namnge filer och mappar eller kataloger och sedvanlig användning av datorstödd kommunikation såsom  
 e-post. 
  
 Om ett material således har en personuppgiftsanknuten struktu- rering som når upp till en viss nivå eller kvalitet, bör hanteringsreg- lerna tillämpas vid behandling av alla personuppgifter som finns i materialet oberoende av att vissa personuppgifter i materialet inte har strukturerats (t.ex. personuppgifter i inskannade dokument i ett ärendehanteringssystem). I materialet ingår alla de uppgifter som kan hänföras till de strukturerade personuppgifterna. 
 Utredningens förslag innebär i korthet att hanteringsreglerna i personuppgiftslagen inte skall tillämpas på sådan vardaglig hanter- 
 134 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 ing som produktion av löpande text i ordbehandlingsprogram, pub- licering av löpande text på Internet, användning av ljud- och bild- upptagningar och korrespondens med  
 e-post 
  under förutsättning att materialet inte skall infogas i en databas med en personuppgifts- anknuten struktur såsom ett ärendehanteringssystem. 
 Den som i sin dator vill hantera personuppgifter i löpande text, t.ex. enkla meddelanden eller kortare och längre texter, eller i ljud och bild eller i  
 e-post 
  behöver således normalt inte bry sig om han- teringsreglerna i personuppgiftslagen. Det är bara om han eller hon vill infoga materialet i någon form av databas som det behövs ytter- ligare överväganden. Har databasen en personuppgiftsanknuten struktur, där just personuppgifter har markerats som sådana, måste hanteringsreglerna tillämpas. 
 Utformningen av lagtexten 
 Utredningen har prövat olika sätt att utforma den lagtext som bäst uttrycker det som angetts i närmast föregående underavsnitt. Ut- redningen har sammanfattningsvis funnit att det lämpligaste är att föreslå en lagtext om att från hanteringsreglerna undantas behand- ling av personuppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter. 
 Utredningen har bl.a. övervägt att utgå från den definition av re- gister som i praktiken redan finns i 5 § andra stycket personupp- giftslagen och som avser manuell (icke automatiserad) behandling av personuppgifter. Undantaget från hanteringsreglerna skulle t.ex. kunna omfatta behandling av personuppgifter som inte ingår i och inte heller är avsedda att ingå i en strukturerad samling av person- uppgifter som är tillgängliga för sökning eller sammanställning en- ligt särskilda kriterier. Den definitionen härrör emellertid från EG- direktivet. Det innebär att det ytterst är  
 EG-domstolen 
  som be- stämmer vad definitionen innebär. Utredningen anser att det är olämpligt att i ett läge där vi själva får välja använda en definition som vi inte kan råda över. Det är bättre och ger oss i Sverige mera frihet om vi väljer att ha en egen, inhemsk definition. Härtill kom- mer att definitionen i  
 EG-direktivet 
  inte kan anses helt otvetydig, jämför om rättspraxis kring definitionen avsnitt  
 5.2. 
  
 I fråga om manuella register och definitionen i 5 § andra stycket personuppgiftslagen bör här vidare nämnas att personuppgifter 
 135 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 som finns i en sådan samling som avses i 5 § andra stycket alltid får anses ingå i en sådan samling som avses i den definition som utred- ningen föreslår. Det innebär att det undantag som utredningen fö- reslår bara har betydelse för automatiserad behandling av person- uppgifter (eftersom manuell behandling av personuppgifter över huvud taget omfattas av lagen bara om uppgifterna ingår i ett regis- ter i enlighet med 5 § andra stycket). 
 Hanteringsreglerna i personuppgiftslagen omfattar hela kedjan av behandlingar av en viss personuppgift från det att uppgiften samlas in till dess den utplånas. Det är anledningen till att undanta- get föreslås gälla för behandling av personuppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter. Om det finns flera avsik- ter med en enda insamling eller annan behandling av personuppgif- ter, skall lagens hanteringsregler naturligtvis tillämpas på den be- handling av personuppgifter som inte är undantagen. 
 Av vad som anförts i avsnitt  
 7.3.8  
 framgår att det inte är möjligt att göra något undantag från bestämmelserna i artikel 7 i EG- direktivet om när behandling av personuppgifter är tillåten. Där- emot är det enligt utredningens mening möjligt att med stöd av bestämmelsen om en intresseavvägning i artikel 7 f införa en be- stämmelse i personuppgiftslagen som uttryckligen tillåter behand- ling av personuppgifter som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just personuppgifter i de fall behandlingen inte utgör ett missbruk av personuppgifterna. Utredningen har därför utformat förslaget till undantagsbestämmelse på det nämnda sättet. Därmed framgår ock- så att den registrerade enligt 12 § andra stycket personuppgiftsla- gen inte har rätt att motsätta sig sådan behandling som är tillåten. 
 Särskilda undantag för information, debatt och opinionsbildning behövs inte 
 Enligt utredningsdirektiven skall utredningen särskilt analysera om det är lämpligt med vissa undantag för information, debatt och opinionsbildning. Utredningen anser mot bakgrund av det allmän- giltiga undantag avseende personuppgifter som inte ingår i person- register som således föreslås och den tolkning av artikel 7 i EG- direktivet och 7 § personuppgiftslagen som Högsta domstolen 
 136 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 gjort i rättsfallet NJA 2001 s. 409 (se avsnitt  
 5.2.1)  
 att det inte är nödvändigt med uttryckliga bestämmelser om att behandling av personuppgifter för just ändamålen information, debatt och opini- onsbildning är tillåten. Den uttolkning som antyds i utredningsdi- rektiven av bestämmelsen om en intresseavvägning i 10 § f person- uppgiftslagen – att personuppgifter får behandlas om det är nöd- vändigt för information och debatt eller opinionsbildning, om det inte finns risk för otillbörligt intrång i den personliga integriteten eller om det finns ett allmänintresse som överväger integritetsin- trånget – är för övrigt enligt utredningens mening så självklar att någon uttrycklig bestämmelse inte bör vara nödvändig. 
 Särskilt om sökning efter personuppgifter i ostrukturerat material 
 Många har, bl.a. vid Justitiedepartementets offentliga utvärdering 
  
 69 
  
 ,  
 pekat på att det med dagens och framtidens informationsteknik kan vara enkelt att även i ostrukturerat material söka efter och stäl- la samman personuppgifter. Det är en riktig iakttagelse. En utveck- lingslinje är som redan nämnts att struktureringen omfattar allt mer och blir mer automatiserad. En annan, parallell utvecklingslinje är emellertid att verktygen för att få fram relevant information ur ett ostrukturerat material blir allt bättre och allmänt använda. 
 Att det kan vara förhållandevis enkelt att söka efter personupp- gifter i ostrukturerat material innebär i sig en integritetsrisk. Det är emellertid enligt utredningens mening inte något bärkraftigt argu- ment mot att undanta all behandling av personuppgifter i ostruktu- rerat material. Argumentet träffar nämligen inte sådan behandling avseende ostrukturerat material som faktiskt inte avser sökning efter eller sammanställning av personuppgifter. Vad man kan över- väga är att ha särskilda restriktioner för behandling som avser sök- ning efter eller sammanställning av personuppgifter som finns i ostrukturerat material. 
 Sökning efter just personuppgifter även i ostrukturerat material innebär typiskt sett sådana särskilda integritetsrisker som skulle kunna mötas med sådana hanteringsregler som finns i personupp- giftslagen. En möjlighet vore därför att inte undanta just sådan be- handling från hanteringsreglerna. Det skulle emellertid vara onö- digt komplicerat och i vissa helt harmlösa fall obefogat att helt plötsligt vid en sökning tillämpa alla hanteringsregler på redan in- 
  
 69  
 Ds 2001:27. 
 137 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 samlat eller producerat ostrukturerat material med personuppgif- ter. 
 En annan möjlighet vore att föreskriva att sökning efter eller sammanställning av personuppgifter som finns i ostrukturerat ma- terial är tillåten bara i vissa befogade fall t.ex. efter en intresseav- vägning exempelvis motsvarande den som finns i 10 § f personupp- giftslagen. 
 Utredningen har prövat dessa möjligheter, men funnit dels att en sådan reglering riskerar att bli onödigt krånglig och svår att få ge- nomslag för i praktiken, dels att de regler som föreslås till skydd mot missbruk (se avsnitt  
 7.7.4)  
 bör vara tillräckliga för att skydda mot obefogade integritetskränkningar till följd av sökningen efter och sammanställning av personuppgifter. 
  
 70 
  
 70 
  
 Av förslaget i avsnitt 15.2 framgår att bestämmelserna i personuppgiftslagen inte skall tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att söka efter, sammanställa och lämna ut personuppgifter. 
  
 138 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 7.7.3 
  
 Vilka bestämmelser i personuppgiftslagen bör undantaget omfatta? 
  
 Utredningens förslag:  
 Undantag görs från bestämmelserna i per- sonuppgiftslagen om 
  
 a) 
  
 grundläggande krav på behandlingen av personuppgifter (9 §) 
  
 b) 
  
 när behandling av personuppgifter är tillåten (10 §) 
  
 c) 
  
 förbud mot behandling av känsliga personuppgifter (13 §) 
  
 d) 
  
 förbud för andra än myndigheter att behandla personuppgifter om lagöverträdelser m.m. (21 §) 
  
 e) 
  
 information till den registrerade i samband med att personupp- gifter samlas in (23 och 24 §§) 
  
 f) 
  
 rättelse (28 §) 
  
 g) 
  
 förbud mot överföring av personuppgifter till tredje land (33 §) 
  
 h) 
  
 upplysningar till allmänheten om behandlingar som inte anmälts till tillsynsmyndigheten (42 §) 
  
 Utredningens bedömning:  
 Den registrerade skall på begäran ha rätt att få ett s.k. registerutdrag med bl.a. de personuppgifter som behandlas (26 §). Personnummer och samordningsnummer bör få behandlas utan samtycke bara när det är klart motiverat med hän- syn till något beaktansvärt skäl (22 §). 
 I avsnitt  
 7.3  
 har det angetts i vilken utsträckning det enligt utred- ningens mening är möjligt att göra undantag eller motsvarande från hanteringsreglerna i  
 EG-direktivet. 
  Utredningen anser att undan- tagsmöjligheterna bör utnyttjas i så stor utsträckning som möjligt för att underlätta harmlös hantering av personuppgifter i ostruktu- rerat material. 
 De bestämmelser i personuppgiftslagen som man med hänsyn till  
 EG-direktivet 
  kan överväga att göra undantag från är enligt utred- ningens mening följande: 
  
 a) 
  
 9 § om grundläggande krav på behandlingen av personuppgifter 
  
 b) 
  
 13 § om förbud mot behandling av känsliga personuppgifter 
  
 c) 
  
 21 § om förbud för andra än myndigheter att behandla person- uppgifter om lagöverträdelser m.m. 
  
 d) 
  
 22 § om restriktioner för behandling av uppgifter om person- nummer och samordningsnummer 
  
 e) 
  
 23 och 24 §§ om information till den registrerade i samband med att personuppgifter samlas in 
  
 f) 
  
 26 § om information som skall lämnas efter ansökan (s.k. regis- terutdrag) 
  
 g) 
  
 28 § om rättelse 
  
 139 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 h) 
  
 33 § om förbud mot överföring av personuppgifter till tredje land 
  
 i) 
  
 42 § om upplysningar till allmänheten om behandlingar som inte anmälts till tillsynsmyndigheten 
  
 Punkterna  
 a–c, 
  e och h i uppräkningen ovan (avseende 9, 13, 21, 23, 24 och 33 §§ personuppgiftslagen) avser helt klart sådana hanter- ingsregler som undantaget bör omfatta. Det är fråga om regler som den personuppgiftsansvarige på eget initiativ har att iaktta och upp- fylla och som anger när och hur personuppgifter får behandlas. 
 Reglerna i punkterna f, g och i i uppräkningen ovan (avseende 26, 28 och 42 §§ personuppgiftslagen) är av en något annan natur. Det är nämligen fråga om regler som den personuppgiftsansvarige bara behöver beakta när någon begär det i ett enskilt fall. Reglerna är således i allmänhet inte lika betungande för den personuppgifts- ansvarige, eftersom han eller hon inte behöver beakta dem vid den dagliga hanteringen av ostrukturerat material utan bara när någon begär det. Det bör därför särskilt övervägas om dessa regler bör omfattas av undantaget. 
 Vad först gäller skyldigheten enligt 26 § personuppgiftslagen att efter ansökan lämna ett s.k. registerutdrag kan följande sägas. 
 Rätten till registerutdrag kan sägas ha dels en kontrollfunktion, dels en funktion som självständig rättighet. 
 Genom rätten till registerutdrag har den registrerade en möjlig- het att själv kontrollera att behandlingen av hans eller hennes upp- gifter är lagenlig och att, om så inte skulle vara fallet, utnyttja sina övriga rättigheter för att få till stånd rättelse. Om nu viss behand- ling skall vara undantagen från de flesta vanliga regler, skulle man kunna sätta i fråga om inte rätten till registerutdrag också är över- flödig. Det finns ju då inte särskilt många regler att kontrollera och rättigheter att bevaka. Men så länge regler till skydd mot missbruk skall gälla, fyller rätten till registerutdrag en kontrollfunktion. Utan den rätten skulle det vara svårare för den registrerade att kunna konstatera om missbruk förekommit och avgöra om åtgärder bör vidtas med anledning av ett missbruk. Möjligheten att vända sig till Datainspektionen, som i sin tillsynsfunktion har rätt att få ta del av de behandlade personuppgifterna, kan inte helt ersätta en egen rätt för den registrerade att få ta del av sina uppgifter. 
 Rätten att få ta del av de uppgifter om en själv som någon annan behandlar har också ett självständigt värde för den registrerade även när det gäller ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar. Genom den rätten kan den registrerade 
 140 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 få reda på hur han eller hon återspeglas i de uppgifter som finns registrerade. Därigenom kan den registrerade också framställa in- vändningar om det som registrerats inte stämmer överens med den egna självbilden. Det kan t.ex. gälla vilka uppgifter som legat till grund för ett beslut som påverkar den registrerade. Enligt Europa- domstolen ingår i rätten till skydd för privatlivet enligt artikel 8 i Europakonventionen en positiv skyldighet att i vissa fall ge den re- gistrerade tillgång till sina egna uppgifter. 
  
 71  
  
 Både Europarådets da- taskyddskonvention och OECD:s riktlinjer innehåller vidare be- stämmelser om rätt till tillgång till sina uppgifter, trots att dessa instrument inte egentligen innehåller materiella regler om när be- handling av personuppgifter är tillåten eller förbjuden. 
 Rätten att få ta del av sina egna uppgifter framstår således som grundläggande och av väsentlig och självständig betydelse för den registrerade. Den rätten är internationellt erkänd och har funnits i den svenska datalagen sedan 1973. Frågan är då närmast vilka beak- tansvärda motstående intressen som kan tala för en inskränkning av den rätten i fråga om personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar. 
 Den personuppgiftsansvariges intresse av att få ha ofärdiga alster och minnesanteckningar i fred och av sekretess har redan i dag be- aktats genom bestämmelserna i 26 § tredje stycket och 27 § per- sonuppgiftslagen. Det ytterligare intresse för den personuppgifts- ansvarige som kan vara värt att beakta är att det är betungande att på begäran söka fram personuppgifter i material som inte har struk- turerats för att underlätta sökning efter eller sammanställning av just personuppgifter. Såsom framgår av avsnitt 11 föreslår utred- ningen i den delen dock att registerutdrag inte skall behöva lämnas i den utsträckning detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Utredningen anser att denna bestämmelse, som får särskild betydelse vid ostrukturerat material, innebär att den personuppgiftsansvariges intressen i nu berört hän- seende beaktas i tillräcklig grad. Utredningen kommer därför fram till att något undantag inte bör göras från bestämmelsen i 26 § om registerutdrag. 
 Vad därefter gäller skyldigheten enligt 42 § personuppgiftslagen att på begäran lämna upplysningar till allmänheten om behandlingar anser utredningen att den skyldigheten inte har sådan praktisk be- tydelse för de registrerade som uppväger besväret för den person- 
  
 71 
  
 Se t.ex. Europadomstolens dom den 7 juli 1989 i målet Gaskin ./. Förenade kungariket och dom den 24 september 2002 i målet Gardner ./. Förenade kungariket. 
  
 141 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 uppgiftsansvarige att lämna upplysningarna. Ett undantag bör såle- des göras från bestämmelsen i 42 §. 
 I fråga om bestämmelsen i 28 § personuppgiftslagen om rättelse kan det naturligtvis vara ett väsentligt intresse för den registrerade att t.ex. felaktiga personuppgifter även i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar på begäran korrigeras. Att den personuppgiftsansvarige fortsätter att behandla direkt felaktiga personuppgifter trots att den registrerade begärt rättelse får dock i regel betraktas som ett otillbörligt integritetsin- trång som bör vara förbjudet enligt huvudregeln såsom ett miss- bruk av personuppgifterna. Bestämmelsen i 28 § är dessutom for- mulerad på ett sådant sätt att den inte utan vidare kan användas i fråga om behandling som är undantagen från de grundläggande kraven i 9 §. Det skulle alltså vara nödvändigt att införa en särskild bestämmelse rörande rättelse för behandling av personuppgifter i ostrukturerat material. Utredningen anser mot bakgrund av de be- stämmelser till skydd mot missbruk som bör finnas (se avsnitt  
 7.7.4)  
 att undantag bör kunna göras också från bestämmelsen om rättelse i 28 §. 
 Det är i och för sig tillåtet enligt  
 EG-direktivet 
  att bestämma att personnummer generellt får behandlas i ostrukturerat material t.ex. i form av löpande text och ljud och bild. Utredningen anser emeller- tid att det inte är lämpligt. Den nuvarande regeln i 22 § personupp- giftslagen om att personnummer och samordningsnummer får be- handlas utan samtycke bara när det är klart motiverat med hänsyn till något beaktansvärt skäl får nämligen anses befogad även vid be- handling av ostrukturerat material. Därför bör det inte göras något undantag från 22 § personuppgiftslagen. 
 Som framgått av avsnitt  
 7.7.2  
 har undantagsbestämmelsen ut- formats så att den uttryckligen tillåter behandling av personuppgif- ter som inte ingår i och inte heller är avsedda att ingå i en samling av personuppgifter som har strukturerats för att påtagligt underlät- ta sökning efter eller sammanställning av just personuppgifter, om behandlingen inte innebär ett otillbörligt intrång i den personliga integriteten. Undantagsbestämmelsen utgör därför i sig en uttolk- ning av bestämmelsen om intresseavvägning i artikel 7 f i EG- direktivet och 10 § f personuppgiftslagen. Därmed bör även 10 § personuppgiftslagen tas med bland de bestämmelser som inte skall tillämpas. 
 I enlighet med vad som anges i avsnitt  
 7.3.7  
 bör det vidare i för- ordning göras ett undantag från skyldigheten enligt 36 § person- uppgiftslagen att göra anmälan till Datainspektionen. 
 142 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 7.7.4 
  
 Vilka bestämmelser behövs till skydd mot missbruk? 
  
 Utredningens förslag:  
 Behandlingen får bara utföras om den inte innebär ett otillbörligt intrång i den personliga integriteten. 
 Den föreslagna bestämmelsen som tillåter behandling av alla slags personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar och undantar behandlingen från hanteringsreglerna i personuppgiftslagen måste rimligen förknippas med bestämmelser till skydd mot sådant missbruk av personuppgif- terna som innefattar ett otillbörligt integritetsintrång. 
 Ett par sådana skyddsregler har redan berörts. För det första om- fattar undantaget bara material som inte har strukturerats för att påtagligt underlätta sökning efter eller sammanställning av just per- sonuppgifter. För det andra har den registrerade rätt att på begäran få ett s.k. registerutdrag med de personuppgifter som behandlas. 
 Det allra bästa vore givetvis att i lagen ha en tydlig och uttöm- mande uppräkning av alla de fall av användning av personuppgifter som utgör ett missbruk av uppgifterna. Utredningen har försökt att åstadkomma en sådan uppräkning. Det har emellertid visat sig att det finns svårigheter med ett sådant angreppssätt. 
 För det första är det svårt att på förhand komma på alla de fall som rimligen bör betecknas som ett missbruk. Det beror på att fan- tasin inte räcker till för att överblicka ens alla de fall av missbruk som kan vara aktuella i dag. Än mindre är det möjligt att i dag över- blicka vad vi i samhället kan komma att anse vara ett missbruk i framtiden eller vilka möjligheter framtida teknik eller andra förhål- landen kan medföra. Med en uttömmande uppräkning riskerar man alltså att skyddet mot missbruk inte blir heltäckande. 
 Samtidigt finns det en risk för att man i uppräkningen tar med fall som normalt måste betecknas som ett missbruk, men som i det enskilda fallet kan utgöra en befogad användning av personuppgif- terna. Det finns alltså också en risk för att man förbjuder för mycket, t.ex. för att man i dag inte har fantasi nog att inse när det kan vara befogat att använda personuppgifter. 
 Nu antydda svårigheter skulle i och för sig kunna bemästras ge- nom att man gör uppräkningen av missbruksfall vag och försedd med bestämmelser om intresseavvägning eller andra generalklausuler. Men då har man ju inte vunnit särskilt mycket med att ha en uppräkning. 
 Ett alternativ till att ha uppräkningen i lagen skulle kunna vara att ha den i en förordning som regeringen utfärdar eller i myndig- 
 143 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 hetsföreskrifter. Sådana normer av lägre rang är nämligen betydligt enklare att ändra allteftersom förhållandena kräver det än en lag. Inte heller det alternativet förefaller emellertid särskilt praktiskt. Den som hanterar ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar skulle exempelvis i sådant fall behöva hålla sig uppdaterad om en ständigt skiftande regelmassa. Härtill kommer att det är möjligt för t.ex. Datainspektionen att ge ut oförbindande allmänna råd eller annan vägledning om tillämp- ningen av en mera allmänt hållen bestämmelse i lag. 
 Utredningen har därför kommit fram till att det trots allt är bäst att i personuppgiftslagen ha en relativt allmänt hållen bestämmelse om vad som utgör missbruk, som mot bakgrund av förarbetsutta- landen får uttolkas i rättspraxis och genom oförbindande vägled- ning från t.ex. Datainspektionen. Därmed kan den nödvändiga flex- ibiliteten och anpassningen efter skiftande förhållanden uppnås samtidigt som regelanvändaren har en grundläggande norm i lag- texten att hålla sig till. 
 Man måste i sammanhanget också hålla i minnet att vad som un- dantas från hanteringsreglerna i personuppgiftslagen till stora delar är sådant som mycket väl kan göras på ett sätt som inte alls omfat- tas av den lagen. Löpande text och ljud- och bildupptagningar som inte strukturerats har ju sedan lång tid tillbaka hanterats med sådan analog teknik som inte torde omfattas av begreppet automatiserad i personuppgiftslagen 
  
 72  
  
 och som inte alls omfattades av 1973 års da- talag. Hanteringen av sådant material med digital teknik, tillsam- mans med utvecklingen inom datakommunikationstekniken, har dock väsentligt underlättat möjligheterna för i princip envar att sprida materialet, såväl till en obegränsad krets (genom publice- ring) som till enstaka mottagare. 
 Med hjälp av digital teknik och öppna, internationella datakom- munikationsnätverk, såsom Internet, kan i dag var och en till näs- tan ingen kostnad alls göra material tillgängligt i hela världen. Det står klart att denna utveckling medför såväl fördelar för varje med- borgares rätt till yttrande- och informationsfrihet, som risker för missbruk av personuppgifter och andra integritetsintrång. Avväg- ningen mellan fördelarna och integritetsriskerna får dock sägas ha redan preliminärt gjorts i och med införandet från och med den 1 januari 2003 av möjligheten för i princip envar att få grundlags- skydd för spridningen av uppgifter via internationella datakommu- 
  
 72 
  
 Se närmare Forbes   
  
 Duncan, Personuppgiftslagen – En kommentar, andra upplagan 2001, s. 70 f. 
 144 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 nikationsnätverk. 
  
 73  
  
 Personuppgiftslagen skall nämligen inte tilläm- pas på det som är grundlagsskyddat, jämför 7 § första stycket per- sonuppgiftslagen. Här gäller i stället den s.k. brottskatalogen över tryckfrihetsbrott, vilken bara i begränsad utsträckning – t.ex. vid rent förtal och förolämpningar – skyddar den personliga integrite- ten. Riksdagen har emellertid av regeringen beställt en analys av om det frivilliga grundlagsskyddet kan komma i konflikt med bestäm- melserna med syfte att skydda den personliga integriteten och, om så behövs, förslag till ändrad lagstiftning. 
  
 74  
  
 Analysen skall göras av Tryck- och yttrandefrihetsberedningen (Ju 2003:04). 
  
 75  
  
 Frågan om spridning av material med digital teknik och integritetsskyddet kommer alltså att analyseras i särskild ordning. 
 När det sedan gäller sådan automatiserad behandling av person- uppgifter som faktiskt inte utnyttjar den digitala teknikens särskil- da möjligheter till strukturering och spridning, måste man fråga sig varför den behandlingen skulle behöva omgärdas av integritets- skyddande bestämmelser i större utsträckning än andra behand- lingsformer såsom rent manuell behandling eller muntlig spridning av uppgifter. För den registrerade är det givetvis ofta ovidkom- mande om en integritetskränkning uppkommit genom automatise- rad behandling eller genom andra förfaranden såsom muntligt skvaller. När den automatiserade behandlingens särskilda möjlighe- ter i förhållande till andra behandlingsformer faktiskt inte utnytt- Harris, finns det därför enligt utredningens mening sällan anledning att ha särskilda skyddsregler utan det allmängiltiga skyddet mot integ- ritetskränkning bör vara tillräckligt. Regeringen avser, såsom fram- går av utredningsdirektiven, att tillsätta en särskild kommitté med uppdrag att göra en bred kartläggning avseende skyddet för den personliga integriteten i det moderna samhället. 
  
 76 
  
 Det nu sagda talar också för att man i personuppgiftslagen tills vidare kan nöja sig med en grundläggande, relativt allmänt hållen bestämmelse till skydd mot missbruk. 
 Det förefaller rimligt, och kanske också ofrånkomligt, att en re- lativt allmänt hållen bestämmelse bygger på en intresseavvägning, där den registrerades integritetsintresse får vägas mot andra, mot- stående intressen. En sådan intresseavvägning brukar traditionellt 
  
 73  
 Se 1 kap. 9 § yttrandefrihetsgrundlagen, prop. 2001/02:74, KU 2001/02:21, KU 2002/03:8 och SFS 2002:909. 
  
 74 
  
 KU 2001/02:21 s. 32 och rskr. 2001/02:233. 
  
 75 
  
 Dir. 2003:58. Jämför också Ds 2003:25 om självsanering av Internet. 
  
 76 
  
 Jämför också studien Skyddet för enskilda personers privatliv, Ds 1994:51, och Rodriguez se, Rapport om skyddet för enskilda personers privatliv – ett mer samlat grepp?, 1995. 
  
 145 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 uttryckas genom ett förbud mot åtgärder som innebär ett otillbör- ligt intrång i den personliga integriteten. Utredningen anser att det är lämpligt att använda den formuleringen. Vad gäller den avsedda innebörden av begreppet otillbörligt intrång i den personliga integ- riteten kan, mot bakgrund av ovanstående överväganden, följande sägas till ledning för tillämpningen. 
 Först bör framhållas att utredningen i fråga om begreppet otill- börligt intrång i den personliga integriteten inte direkt hänfört sig till motsvarande begrepp i datalagen. Det beror bl.a. på att begrep- pet i datalagen hade betydelse bara beträffande hantering av per- sonuppgifter i register, medan den regel utredningen föreslår bara har betydelse när personuppgifterna inte finns i ett register. 
 Om behandlingen faktiskt följer bestämmelserna om grundläg- gande krav i 9 § och om när behandling av personuppgifter är tillå- ten i 10 § personuppgiftslagen, trots att dessa bestämmelser i och för sig inte är tillämpliga på behandlingen, torde det knappast komma i fråga att anse att behandlingen innebär ett otillbörligt in- trång i den personliga integriteten. Det gäller även om känsliga per- sonuppgifter används. Över huvud taget bör graden av känslighet hos de personuppgifter som behandlas vara bara en faktor bland flera som bör beaktas vid en samlad bedömning. Det viktiga är ofta i vilket sammanhang och för vilka syften personuppgifterna be- handlas samt vad behandlingen kan leda till. 
 Om uppgifter samlas in eller annars behandlas med syfte att för- följa eller skandalisera en person, får behandlingen givetvis anses innebära ett otillbörligt intrång i den personliga integriteten. Det kan exempelvis gälla publicering på Internet av bilder på en f.d. pojk- eller flickvän i eller utan baddräkt eller av rent personliga de- taljer om dennes beteende. 
 Redan det förhållandet att en personuppgiftsansvarig samlar en stor mängd uppgifter om en person utan något godtagbart ändamål måste oftast ses som ett otillbörligt intrång i den personliga integri- teten. Ett exempel kan vara en hyresvärd som närmast av nyfiken- het samlar bilder på och anteckningar i löpande text om iakttagelser av en hyresgäst. 
 Att den personuppgiftsansvarige använder personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar som underlag för att fatta beslut som berör den registrerade kan inte i sig anses som ett otillbörligt intrång i den personliga integriteten. Den registrerade har alltid möjlighet att begära ett registerutdrag. Därmed kan den registrerade få reda på 
 146 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 vilka uppgifter som legat till grund för beslutet och framföra even- tuella invändningar. 
 Ofta får det anses vara ett otillbörligt intrång i den personliga in- tegriteten om den personuppgiftsansvarige medvetet behandlar personuppgifter som är klart felaktiga eller missvisande. 
 Vad som hittills sagts har främst tagit sikte på intern hantering av personuppgifter hos den personuppgiftsansvarige. Också vid spridning av personuppgifter i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar behövs det ett skydd mot missbruk. De redan berörda riktlinjerna i fråga om intern han- tering ger dock ett gott skydd även mot spridning. Dessa ger ex- empelvis skydd mot spridning utan godtagbart skäl av en stor mängd uppgifter om en person och mot medveten spridning av uppgifter som är klart felaktiga eller missvisande. Vad som därut- över skulle kunna behövas är främst ett skydd mot spridning av förtroliga eller djupt personliga uppgifter och spridning av uppgif- ter som innebär ett angrepp på någons heder och ära. 
 I fråga om angrepp på annans heder och ära finns det redan all- mängiltiga regler om förtal och förolämpning. Förtal innebär enligt 5 kap. 1 § första stycket brottsbalken att utpeka någon som brotts- lig eller klandervärd i sitt levnadssätt eller annars lämna uppgift som är ägnad att utsätta denne för andras missaktning. Enligt andra stycket i samma paragraf skall det dock inte dömas för förtal, om den som lämnat uppgifterna var skyldig att uttala sig eller det an- nars med hänsyn till omständigheterna var försvarligt att lämna denna uppgift i saken och han eller hon dessutom visar att uppgif- ten var sann eller att han eller hon hade skälig grund för den. För- olämpning innebär enligt 5 kap. 3 § brottsbalken att smäda annan genom kränkande tillmäle eller beskyllning eller genom annat skymfligt beteende mot denne. 
 En spridning av personuppgifter som innebär förtal eller för- olämpning utgör givetvis ett otillbörligt intrång i den personliga integriteten. Utredningen anser att det inte beträffande just auto- matiserad behandling av ostrukturerat material behövs särskilda regler till skydd mot angrepp på annans heder och ära. 
 Beträffande spridning av förtroliga eller djupt personliga uppgif- ter finns det redan författningsbestämmelser och etiska regler eller motsvarande som föreskriver tystnadsplikt. Dessa regler kan sägas ge uttryck för vilka förhållanden som bör hemlighållas. Något helt allmänt skydd mot spridning – genom automatiserad behandling eller på annat sätt – av uppgifter om personliga förhållanden, som inte innebär förtal, finns inte utan här råder det öppenhet, yttran- 
 147 
  
 Personuppgifter som inte ingår i personregister 
  
 SOU 2004:6 
  
 de- och informationsfrihet. En spridning av personuppgifter som innebär brott mot författningsbestämmelser och etiska regler eller motsvarande som föreskriver tystnadsplikt utgör givetvis ett otill- börligt intrång i den personliga integriteten. Utredningen anser att det inte beträffande just automatiserad behandling av ostrukturerat material behövs särskilda regler till skydd mot sådan spridning av förtroliga eller djupt personliga uppgifter som inte innebär förtal. 
 De riktlinjer som nu getts kan sammanfattas i följande kortfatta- de punktuppställning: 
  
 Behandla inte personuppgifter för otillbörliga syften, såsom för- följelse eller skandalisering 
  
 Samla inte utan godtagbara skäl en stor mängd uppgifter om en person 
  
 Rätta personuppgifter som visar sig vara felaktiga eller missvi- sande 
  
 Förtala eller förolämpa inte någon annan 
  
 Bryt inte mot tystnadsplikt 
  
 Det är således i praktiken fråga om några ganska enkla och självkla- ra handlingsregler, varav flera redan följer av annan lagstiftning. Enligt utredningens mening kommer den föreslagna ordningen att underlätta tillämpningen hos både personuppgiftsansvariga och Da- tainspektionen. 
  
 7.7.5 
  
 Tillsyn och sanktioner 
  
 Utredningens bedömning:  
 Det behövs inga nya bestämmelser om tillsyn och sanktioner. 
 Utredningen föreslår således en ny bestämmelse i personuppgifts- lagen om att viss behandling av personuppgifter får utföras bara om behandlingen inte innebär ett otillbörligt intrång i den personliga integriteten. 
 Datainspektionen är tillsynsmyndighet enligt personuppgiftsla- gen 
  
 77  
  
 och har vissa befogenheter enligt 32 och  
 43–47 
  §§ i den lagen. Enligt utredningens mening bör Datainspektionen, liksom i dag, ha tillsyn över och befogenheter beträffande sådan behandling som omfattas av den föreslagna bestämmelsen. 
  
 77  
 2 § personuppgiftsförordningen (1998:1191). 
 148 
  
 SOU 2004:6 
  
 Personuppgifter som inte ingår i personregister 
  
 Den normala sanktionen vid brott mot personuppgiftslagen är skadestånd till den registrerade enligt 48 § i lagen. Utredningen an- ser att även brott mot den föreslagna bestämmelsen bör vara för- knippat med sådant skadestånd. 
 Vissa förfaranden i strid med personuppgiftslagen är straffbelag- da enligt 49 § i den lagen. Utredningen anser att det inte är nöd- vändigt att straffbelägga brott mot den föreslagna bestämmelsen. Skadestånd bör nämligen vara tillräckligt. 
 149 
  
 8 
  
 Sådant som inte omfattas av  
  
 EG-direktivet 
  
 8.1 
  
 Utredningsdirektiven 
  
 Enligt utredningsdirektiven skall utredningen särskilt se över möj- ligheten till undantag för sådan behandling av personuppgifter inom den privata sfären som – till sin natur – faller utanför gemen- skapsrätten och därmed inte omfattas av  
 EG-direktivet. 
  
 8.2 
  
 EG-direktivet 
  
 8.2.1 
  
 Sådant som faller utanför gemenskapsrätten 
  
 Enligt artikel 3.2 första strecksatsen i  
 EG-direktivet 
  gäller inte EG- direktivet för sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten. Som exempel anges sådan verksamhet som avses i avdelning V och VI i Fördraget om Europeiska unionen. 
 78  
 Det anges vidare att EG- direktivet inte under några omständigheter omfattar behandlingar som rör 
  
 a) 
  
 allmän säkerhet, 
  
 b) 
  
 försvar, 
  
 78 
  
 Dessa avdelningar i fördraget innehåller bestämmelser om en gemensam utrikes- och säkerhetspolitik respektive bestämmelser om polissamarbete och straffrättsligt samarbe- te, dvs. det samarbete som äger rum inom vad som vanligen kallas för andra och tredje pelaren. 
  
 Sådant som inte omfattas av  
 EG-direktivet 
  
 SOU 2004:6 
  
 c) 
  
 statens säkerhet (inbegripet statens ekonomiska välstånd när be- handlingen har samband med frågor om statens säkerhet) och 
  
 d) 
  
 statens verksamhet på straffrättens område. 
  
 I ingresspunkt 13 används ett något annorlunda uttryckssätt. Där talas det om att sådan verksamhet som avses i de angivna avdel- ningarna i Unionsfördraget och som rör allmän säkerhet osv. inte faller inom tillämpningsområdet för gemenskapsrätten. Det påpe- kas i den nämnda ingresspunkten också att detta gäller med förbe- håll för medlemsstaternas skyldigheter enligt artiklarna 56.2, 57 eller 100a 
  
 79  
  
 i Fördraget om upprättandet av Europeiska gemenska- pen. 
 I ingresspunkt 16 pekas det särskilt på att behandling av ljud- och bilduppgifter, t.ex. i samband med videoövervakning, inte om- fattas av  
 EG-direktivet 
  om behandlingen utförs för att tillgodose den allmänna säkerheten, försvaret, statens säkerhet eller någon annan statens verksamhet på straffrättens område. 
 I kommissionens förklaring 
  
 80  
  
 anges säkerhetstjänst 
  
 81  
  
 som exem- pel på en aktivitet som faller utanför tillämpningsområdet. 
  
 EG-domstolen 
  har i två domar uttalat sig om tolkningen av arti- kel 3.2 första strecksatsen i  
 EG-direktivet. 
  I det första målet om förhandsavgörande av frågor som österrikiska domstolar ställt (dom den 20 maj 2003 i mål  
 Clark 
  och  
 C-138/01 
  och 139/01) om den österrikiska revisionsrättens (Rechnungshof) verksamhet med att samla in och offentliggöra uppgift om namn och lön för högavlönade anställda vid vissa myndigheter m.m. uttalade domsto- len följande: 
 39 Domstolen erinrar om att direktiv 95/46, som har antagits med stöd av artikel 100a i fördraget, syftar till att genom tillnärmning av na- tionella bestämmelser om skyddet av fysiska personer i samband med behandlingen av personuppgifter säkerställa det fria flödet av dessa uppgifter mellan medlemsstaterna. I artikel 1.2 i direktivet, vari föremå- let för direktivet i fråga anges, stadgas nämligen att medlemsstaterna varken får begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna av skäl som har samband med skyddet av fy- siska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter. 
  
 79 
  
 Nuvarande artikel 46.2, 47 och 95. 
  
 80 
  
 SOU 1993:10 Bilagor s. 172. 
  
 81 
  
 På engelska secret services. 
  
 152 
  
 SOU 2004:6 
  
 Sådant som inte omfattas av  
 EG-direktivet 
  
 40 Eftersom alla personuppgifter kan cirkulera mellan medlemssta- terna krävs enligt direktiv 95/46 i princip att reglerna om skydd för så- dana uppgifter vid all sådan behandling av dessa som avses i artikel 3 i direktivet i fråga iakttas. 
 41 Domstolen vill tillägga att det inte utgör någon förutsättning för att använda artikel 100a i fördraget som rättslig grund att det föreligger något faktiskt samband med den fria rörligheten mellan medlemssta- terna i varje situation som avses med den rättsakt som har en sådan grund. Såsom domstolen redan har konstaterat (se dom av den 5 okto- ber 2000 i mål  
 C-376/98, 
  Tyskland mot parlamentet och rådet, REG 2000, s.  
 I-8419, 
  punkt 85, och av den 10 december 2002 i mål  
 C-491/01, 
  British American Tobacco (Investments) och Imperial Tobacco, REG 2002, s.  
 I-0000, 
  punkt 60) är det för att artikel 100a i fördraget skall kunna användas som rättslig grund avgörande att den rättsakt som an- tas med denna grund faktiskt syftar till att förbättra möjligheterna att upprätta den inre marknaden och få den att fungera. I förevarande fall har denna grundläggande egenskap emellertid aldrig bestritts inför domstolen beträffande bestämmelserna i direktiv 95/46, särskilt inte vad gäller de bestämmelser som har fått de nationella domstolarna att ifrågasätta huruvida den ifrågavarande nationella lagstiftningen är förenlig med gemenskapsrätten. 
 42 Vid sådant förhållande beror inte tillämpligheten av direktiv 95/46 på huruvida det i de konkreta situationer som är i fråga i målen vid de nationella domstolarna finns ett tillräckligt samband med ut- övandet av de grundläggande friheter som garanteras i fördraget och, särskilt, i de nämnda målen med den fria rörligheten för arbetstagare. Motsatt tolkning skulle nämligen innebära en risk för att gränserna för det nämnda direktivets tillämpningsområde skulle bli synnerligen osäk- ra och vaga, vilket skulle motverka direktivets huvudsakliga syfte, vilket är tillnärmning av bestämmelser i medlemsstaternas lagar och andra författningar i syfte att undanröja de hinder för att den inre marknaden skall fungera som följer just av att det föreligger skillnader mellan de olika nationella lagstiftningarna. 
 43 Därutöver bekräftas det genom ordalydelsen i artikel 3.1 i direk- tiv 95/46 att direktivet i fråga är tillämpligt på situationer där det inte finns något direkt samband med utövandet av de grundläggande fria rörligheter som garanteras i fördraget. I den nämnda bestämmelsen ges en mycket vid definition av direktivets tillämpningsområde genom att det inte görs till någon förutsättning för tillämpning av skyddsreglerna att behandlingen skall ha ett faktiskt samband med den fria rörligheten mellan medlemsstaterna. Samma bekräftelse återfinns i de undantag som anges i artikel 3.2 i direktivet, särskilt de som avser sådan behand- ling av personuppgifter som utgör ett led i  sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen el- 
 153 
  
 Sådant som inte omfattas av  
 EG-direktivet 
  
 SOU 2004:6 
  
 ler som sker som ett led i verksamhet av rent privat natur eller som har samband med [en fysisk persons] hushåll. Dessa undantag skulle näm- ligen i vart fall inte ha denna ordalydelse om det nämnda direktivet en- dast var tillämpligt på situationer där det föreligger ett tillräckligt sam- band med utövandet av de fria rörligheterna. 
 44 Detsamma kan påpekas beträffande de undantag som anges i arti- kel 8.2 i direktiv 95/46, vilka avser behandling av särskilda kategorier av uppgifter, bland annat dem som föreskrivs i artikel 8.2 d, som avser be- handling som utförs hos en stiftelse, en förening eller ett annat icke vinstdrivande organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte. 
 45 Det skall slutligen understrykas att den behandling av person- uppgifter som är i fråga i målen vid de nationella domstolarna inte om- fattas av det undantag som avses i artikel 3.2 första strecksatsen i direk- tiv 95/46. Denna behandling sker nämligen inte som ett led i en verk- samhet som inte omfattas av gemenskapsrätten, exempelvis sådan verk- samhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen. Inte heller är det fråga om en behandling som rör allmän sä- kerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. 
 46 De syften som anges i artiklarna 7 c och e och 13 e och f i direktiv 95/46 vittnar under alla omständigheter om att direktivet är ämnat att omfatta sådan behandling av uppgifter som den som är i fråga i målen vid de nationella domstolarna. 
 47 Domstolen finner således att direktiv 95/46 är tillämpligt på så- dan behandling av personuppgifter som föreskrivs i sådana bestämmel- ser som dem som är i fråga i målen vid den nationella domstolen. 
 I det andra målet –  
 EG-domstolens 
  dom den 6 november 2003 i det s.k. konfirmandlärarmålet (mål  
 C-101/01) 
  – kom domstolen till slutsatsen att omnämnandet av olika personer på en hemsida på Internet inte omfattas av något av de undantag som nämns i artikel 3.2 i  
 EG-direktivet. 
  I sin motivering uttalade domstolen: 
 37 I artikel 3.2 i direktiv 95/46 återfinns två undantag från direktivets tillämpningsområde. 
 38 Det första undantaget avser sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskapsrät- ten, exempelvis sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen, och inte under några omständighe- ter behandlingar som rör allmän säkerhet, försvar, statens säkerhet (in- begripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrät- tens område. 
 154 
  
 SOU 2004:6 
  
 Sådant som inte omfattas av  
 EG-direktivet 
  
 39 Då [konfirmandlärarens] i målet vid den nationella domstolen ak- tuella verksamhet väsentligen inte är ekonomisk, utan ideell och reli- giös, finns det anledning att pröva huruvida denna verksamhet utgör sådan behandling av personuppgifter "som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten" i den mening som avses i arti- kel 3.2 första strecksatsen i direktiv 95/46. 
 40 Domstolen har i fråga om direktiv 95/46, som har utfärdats med stöd av artikel 100a i fördraget, redan fastställt att det inte utgör någon förutsättning för att använda denna rättsliga grund att det föreligger något faktiskt samband med den fria rörligheten mellan medlemssta- terna i varje situation som avses med den rättsakt som har en sådan grund (se dom av den 20 maj 2003 i de förenade målen  
 C-465/00, 
  C- 138/01 och  
 C-139/01, 
  Holder m.fl., REG 2003, s.  
 I-0000, 
  och där angiven rättspraxis). 
 41 Motsatt tolkning skulle innebära en risk för att gränserna för det nämnda direktivets tillämpningsområde skulle bli synnerligen osäkra och vaga, vilket skulle motverka direktivets huvudsakliga syfte, vilket är tillnärmning av bestämmelser i medlemsstaternas lagar och andra för- fattningar i syfte att undanröja de hinder för att den inre marknaden skall fungera som följer just av att det föreligger skillnader mellan de olika nationella lagstiftningarna (domen i de ovan nämnda förenade målen Holder m.fl., punkt 42). 
 42 Under dessa omständigheter är det inte lämpligt att tolka ut- trycket verksamhet som inte omfattas av gemenskapsrätten så, att det har en sådan räckvidd att det från fall till fall måste kontrolleras huruvi- da den specifika verksamhet som är i fråga direkt påverkar den fria rör- ligheten mellan medlemsstaterna. 
 43 Den verksamhet som nämns såsom exempel i artikel 3.2 första strecksatsen i direktiv 95/46 (det vill säga sådan verksamhet som avses i avdelningarna V och VI i fördraget om Europeiska unionen och be- handlingar som rör allmän säkerhet, försvar, statens säkerhet och sta- tens verksamhet på straffrättens område) är i samtliga fall statens eller statliga myndigheters verksamhet och har ingenting att göra med en- skildas verksamhetsområden. 
 44 Domstolen finner således att de verksamheter som nämns såsom exempel vi artikel 3.2 första strecksatsen i direktiv 95/46 är avsedda att definiera räckvidden av det där föreskrivna undantaget, varför detta un- dantag endast är tillämpligt på sådan verksamhet som uttryckligen nämns där eller som kan placeras i samma kategori (ejusdem generis). 
 45 Sådan ideell eller religiös verksamhet som den som [konfirmand- läraren] utövar kan emellertid inte likställas med den verksamhet som nämns i artikel 3.2 första strecksatsen i direktiv 95/46 och omfattas så- ledes inte av detta undantag. 
 155 
  
 Sådant som inte omfattas av  
 EG-direktivet 
  
 SOU 2004:6 
  
 8.2.2 
  
 Rent privat behandling 
  
 Enligt artikel 3.2 andra strecksatsen i  
 EG-direktivet 
  gäller inte EG- direktivet för sådan behandling av personuppgifter av en fysisk per- son som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll 
  
 82 
  
 . 
  
 Av mötesprotokollet (bilaga 4) framgår att rådet och kommis- sionen anser att det inte är tillåtet att med hänvisning till den be- stämmelsen undanta behandling av personuppgifter som utförs av en enskild person när dessa uppgifter förmedlas inte bara till en eller flera personer utan till ett obestämt antal personer. 
 I ingresspunkt 12 framhålls att en fysisk persons behandling av uppgifter uteslutande för personliga ändamål eller för hemma- bruk 
  
 83 
  
 ,  
 såsom korrespondens eller förandet av adressregister, inte omfattas av  
 EG-direktivet. 
  
 I kommissionens förklaring ges som exempel förandet av en elektronisk dagbok. 
 84 
  
 Generaladvokaten har i sitt förslag till avgörande det s.k. kon- firmandlärarmålet  
 (EG-domstolens 
  mål  
 C-101/01) 
  ansett att en- dast verksamheter såsom korrespondens eller förande av adressre- gister, som omnämns som exempel i ingresspunkt 12, dvs. verk- samheter som är uppenbart privata och av förtrolig karaktär och är avsedda att begränsas till de berördas personliga sfär eller den sfär som har samband med deras hushåll, omfattas av undantaget. EG- domstolen gjorde motsvarande bedömning som generaladvokaten och uttalade i sin dom den 6 november 2003 att undantaget för rent privat behandling skall tolkas så, att det endast avser sådan verk- samhet som utgör en del av enskildas privat- eller familjeliv, vilket uppenbart inte är fallet i fråga om sådan behandling av personupp- gifter som består i att de offentliggörs på Internet för att dessa uppgifter skall bli tillgängliga för ett obestämt antal personer. 
  
 82 
  
 På engelska a purely personal or household activity, på franska dactivités exclusive- ment personelles ou domestiques, på tyska Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten. 
  
 83 
  
 På engelska activities which are exclusively personal or domestic, på franska dactivités exclusivement personelles ou domestiques, på tyska Ausübung ausschließlich persönli- cher oder familiärer Tätigkeiten. 
  
 84 
  
 SOU 1993:10 Bilagor s. 172. 
  
 156 
  
 SOU 2004:6 
  
 Sådant som inte omfattas av  
 EG-direktivet 
  
 8.3 
  
 Europarådets dataskyddskonvention 
  
 Europarådets dataskyddskonvention har presenterats i avsnitt  
 4.2.2  
 och bilaga 5. Konventionen gäller i princip för all automatisk be- handling av personuppgifter, och det finns i konventionen inte nå- got generellt undantag för sådant som faller utanför gemenskaps- rätten. Enligt artikel 3 i konventionen kan dock en konventionsstat deklarera att den inte kommer att tillämpa konventionen för vissa kategorier av automatiserade personregister. 
  
 8.4 
  
 Personuppgiftslagen 
  
 8.4.1 
  
 Personuppgiftslagen är generellt tillämplig 
  
 Personuppgiftslagen innehåller inte något generellt undantag för sådant som faller utanför gemenskapsrätten. Personuppgiftslagen är alltså i och för sig generellt tillämplig. Däremot gäller särregler i andra författningar framför bestämmelserna i personuppgiftslagen (2 §). I denna del gjorde regeringen följande överväganden (prop. 1997/98:44 s. 40 f.): 
 Den nuvarande datalagen är i princip generellt tillämplig på all auto- matisk databehandling av personregister, men i den utsträckning ett personregister är reglerat i en annan författning är det undantaget Da- tainspektionens tillståndsprövning och föreskriftsrätt. 
  
 EG-direktivet 
  gäller däremot inte för sådan behandling av person- uppgifter som utgör ett led i en verksamhet som inte omfattas av EG- rätten, t.ex. statens verksamhet på straffrättens område eller som rör allmän säkerhet eller försvar. 
 Det innebär att det står Sverige fritt att begränsa den nya lagens till- lämpningsområde till sådana verksamheter som omfattas av  
 EG-rätten. 
  Detta skulle emellertid strida mot vad som tillämpats under lång tid i Sverige, nämligen ett system som utgår från en generell lag komplette- rad med särregler i s.k. registerförfattningar för viktigare eller känsliga- re register. 
 Registerförfattningarna innehåller många preciserade och viktiga regler som inte rimligen kan ersättas av de generella bestämmelser som den nya lagen innehåller. Samtidigt står det klart att det är nödvändigt med särregler i förhållande till den nya lagen på flera viktiga områden, t.ex. beträffande polisens verksamhet. Frågan är därför om det redan i 
 157 
  
 Sådant som inte omfattas av  
 EG-direktivet 
  
 SOU 2004:6 
  
 den nya lagen skall göras undantag för vissa verksamheter eller om nödvändiga särregler för dessa verksamheter liksom hittills skall ges i särskilda författningar som får gälla framför den nya lagen. [] 
 Vi anser att det traditionella svenska systemet med särregler i sär- skilda författningar är att föredra framför generella undantag från den nya lagen. Det är i stort sett bara verksamhet inom den offentliga sek- torn som med hänsyn till  
 EG-direktivet 
  skulle kunna undantas från den nya lagen. Inom den sektorn förekommer det t.ex. ofta stora mängder känsliga uppgifter och uppgifter som har hämtats in med stöd av straff- sanktionerad uppgiftsplikt. Därför är det särskilt viktigt med ett starkt integritetsskydd när det gäller uppgifter inom all offentlig verksamhet. Om viss offentlig verksamhet skulle generellt undantas från lagen, finns det risk för att viss behandling inom den sektorn inte kommer att omfattas av någon lagstiftning med motsvarande syfte som den nya la- gen. Genom att det krävs en särskild författning för att avvika från det integritetsskydd som den nya lagen ger, garanteras däremot att behovet av särregler alltid övervägs noga i den ordning som gäller för författ- ningsgivning. Målet har också varit att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll skall regleras särskilt i lag (prop. 1990/91:60 s. 50 och KU 1990/91:11 s. 11). Det finns inte anledning att nu avvika från det målet. 
 Den nya lagen bör således vara generellt tillämplig och omfatta även sådan verksamhet som faller utanför  
 EG-rätten 
  samtidigt som avvikan- de bestämmelser i lag eller förordning skall gälla framför den nya lagen. Detta innebär också att den nya lagen i princip bara bör innehålla gene- rella regler och att behovet av undantag och särregler för mer speciella områden får tillgodoses genom andra författningar. 
 De flesta remissinstanserna hade godtagit förslaget eller lämnat det utan erinran. Riksåklagaren hade dock föreslagit att statens verk- samhet på det straffrättsliga området skulle undantas från person- uppgiftslagen. 
  
 8.4.2 
  
 Undantaget för privat behandling av personuppgifter 
  
 Enligt 6 § personuppgiftslagen gäller lagen inte för sådan behand- ling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur. Regeringen ansåg att möjligheten enligt  
 EG-direktivet 
  att undanta rent privat användning av person- uppgifter borde utnyttjas fullt ut. Avsikten är att paragrafen skall 
 158 
  
 SOU 2004:6 
  
 Sådant som inte omfattas av  
 EG-direktivet 
  
 ha samma innebörd som artikel 3.2 andra strecksatsen i EG- direktivet. 
  
 85 
  
 8.5 
  
 Genomförandet i andra länder 
  
 I Sverige har  
 EG-direktivet 
  således genomförts genom en generellt tillämplig lag, medan särregler för bl.a. sådant som faller utanför gemenskapsrätten finns i särlagstiftning som tar över de generella bestämmelserna i personuppgiftslagen. Ett sådant förfaringssätt förefaller vara det normala också i andra medlemsstater (och i Nor- ge), även om det inte är ovanligt att den generella genomförande- lagstiftningen innehåller en hel del undantag – eller bemyndiganden att medge undantag – för bl.a. sådant som faller utanför gemen- skapsrätten. Utredningen har inte funnit någon genomförandelag- stiftning som innehåller ett generellt undantag för allt sådant som faller utanför gemenskapsrätten. 
  
 86 
  
 Undantaget i  
 EG-direktivet 
  för rent privat behandling synes där- emot normalt ha intagits i medlemsstaternas generella genomfö- randelagstiftning. I Norge har det ansetts att undantaget omfattar privata hemsidor på Internet med information av privat och per- sonlig karaktär. 
 87 
  
 8.6 
  
 Överväganden 
  
 Utredningens bedömning:  
 Det undantag för rent privat behand- ling av personuppgifter som är tillåtet enligt  
 EG-direktivet 
  har re- dan utnyttjats fullt ut. Det finns inte skäl för att göra undantag från personuppgiftslagen för sådant som faller utanför gemenskapsrät- ten. 
 Enligt utredningsdirektiven skall utredningen särskilt se över möj- ligheten till undantag för sådan behandling av personuppgifter inom den privata sfären som – till sin natur – faller utanför gemen- skapsrätten och därmed inte omfattas av  
 EG-direktivet. 
  I EG- direktivet finns det två bestämmelser om vad som faller utanför 
  
 85 
  
 Prop. 1997/98:44 s. 53 f. och 118. 
  
 86 
  
 I den tyska genomförandelagstiftningen – Bundesdatenschutzgesetz – finns det dock direkta hänvisningar till sådant som faller eller inte faller utanför gemenskapsrätten. 
  
 87 
  
 Ot prp nr 92  
  
 (1998-99) 
  s. 105. 
 159 
  
 Sådant som inte omfattas av  
 EG-direktivet 
  
 SOU 2004:6 
  
 EG-direktivet 
  som kan ha betydelse i det sammanhanget. Enligt dessa gäller  
 EG-direktivet 
  inte för dels (1) sådan behandling av per- sonuppgifter av en fysisk person som (utgör) ett led i verksamhet av rent privat natur eller som har samband med hans hushåll, dels 
 (2) sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten. 
 I personuppgiftslagen har den första bestämmelsen (om rent pri- vat behandling) redan genomförts fullt ut (6 §), medan den andra bestämmelsen (om det som inte omfattas av gemenskapsrätten) inte genomförts. Det undantag för rent privat behandling av per- sonuppgifter som är tillåtet att göra enligt  
 EG-direktivet 
  (artikel 3.2 andra strecksatsen) har redan utnyttjats fullt ut i personupp- giftslagen. Den rent privata behandling som avses i bestämmelsen omfattas således inte av personuppgiftslagen (eller  
 EG-direktivet) 
  oavsett om behandlingen utgör ett led i en verksamhet som omfat- tas av gemenskapsrätten eller inte. Något mer att göra i formellt hänseende i den delen för att undanta det som faller inom den pri- vata sfären finns alltså inte. Utredningen anser vidare att det inte finns tillräcklig anledning att – i syfte att förtydliga – ändra eller komplettera lagtexten i 6 § personuppgiftslagen (se också det som sägs i avsnitt 14.2.3). 
 Vad som kan anses vara verksamhet av rent privat natur har varit föremål för olika uppfattningar. Enligt en uppfattning kan det inte vara fråga om privat behandling när uppgifterna sprids till ett obe- stämt antal personer, t.ex. via en hemsida på Internet. Som redovi- sats i avsnitt  
 8.2.2  
 har det varit t.ex. rådets och kommissionens uppfattning, och synsättet har återspeglats även i avgöranden i svensk domstol (se avsnitt  
 5.2.1) 
 . Enligt en annan uppfattning är det uppgifternas karaktär, eller möjligen syftet med deras använd- ning, som är avgörande. Det skulle då principiellt sakna betydelse hur och till vilka uppgifterna sprids. Ett sådant synsätt tycks ha anammats i Norge (se avsnitt  
 8.5) 
 .  
 EG-domstolens 
  dom den 6 no- vember 2003 i det s.k. konfirmandlärarmålet har numera visat att det förstnämnda synsättet är det riktiga (se avsnitt  
 8.2.2) 
 . 
 Tankegången i utredningsdirektiven verkar vara att det kan fin- nas sådan behandling av personuppgifter inom den privata sfären som inte faller utanför  
 EG-direktivet 
  på grund av bestämmelsen om rent privat behandling, men som faller utanför  
 EG-direktivet 
  på grund av bestämmelsen om det som inte omfattas av gemenskaps- rätten. 
 Artikel 3.2 första strecksatsen i  
 EG-direktivet 
  har följande lydel- se: 
 160 
  
 SOU 2004:6 
  
 Sådant som inte omfattas av  
 EG-direktivet 
  
 Detta direktiv gäller inte för sådan behandling av personuppgifter som 
 – utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten, exempelvis sådan verksamhet som avses i avdelningarna V och VI i Fördraget om Europeiska unionen, och inte under några om- ständigheter behandlingar som rör allmän säkerhet, försvar, statens sä- kerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område 
 Den naturliga läsningen är att all behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemen- skapsrätten är undantagen från  
 EG-direktivet. 
 EG-domstolen 
  har emellertid i domen den 6 november 2003 i det s.k. konfirmandlä- rarmålet kommit fram till att de verksamheter som nämns såsom exempel i artikel 3.2 första strecksatsen i  
 EG-direktivet 
  är avsedda att definiera räckvidden av det där föreskrivna undantaget (punkt 44). Domstolens slutsats blev därför att undantaget bara är tillämp- ligt på sådan verksamhet som uttryckligen nämns där eller som kan placeras i samma kategori.  
 EG-direktivet 
  kan alltså vara tillämpligt på en behandling av personuppgifter som utgör ett led i en verk- samhet som inte omfattas av gemenskapsrätten, nämligen om verk- samheten inte är sådan som avses i avdelning V och VI i Unions- fördraget och om behandlingen inte heller rör allmän säkerhet, för- svar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område. 
 I artikel 3.2 första strecksatsen i  
 EG-direktivet 
  nämns som ex- empel två olika kategorier: Verksamhetsfallet (behandling av per- sonuppgifter som utgör ett led i en verksamhet som avses i avdel- ning V och VI i Unionsfördraget) och behandlingsfallet (behand- ling av personuppgifter som rör allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område). Verk- samhetsfallet avser sådant som definitionsmässigt inte utgör ge- menskapsrätt, nämligen det samarbete mellan medlemsstaterna av i grunden mellanstatlig karaktär som äger rum inom vad som vanli- gen kallas för andra och tredje pelaren. Man kan då, mot bakgrund av det uttryckssätt som valts i ingresspunkt 13 (se avsnitt  
 8.2.1),  
 fråga sig om den behandling som avses i behandlingsfallet är un- dantagen bara om den utgör ett led i en verksamhet som inte om- fattas av gemenskapsrätten; en behandling som rör t.ex. allmän sä- kerhet kan ju mycket väl utgöra ett led i en verksamhet som faller 
 161 
  
 Sådant som inte omfattas av  
 EG-direktivet 
  
 SOU 2004:6 
  
 under den första pelaren, t.ex. i samband med tillämpningen av reg- lerna om personers fria rörlighet.  
 EG-domstolens 
  uttalanden i do- men den 20 maj 2003 (punkt 45) i målen från österrikiska domsto- lar (mål  
 C-465/00 
  och  
 C-138/01 
  och 139/01) ger dock ett klart stöd för att den behandling som avses i behandlingsfallet är un- dantagen oavsett om den utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten. Domstolen uttalade nämligen först att den i målen aktuella verksamheten inte skedde som ett led i en verksamhet som inte omfattas av gemenskapsrätten. Sedan konsta- terade domstolen att det inte heller var fråga om en behandling som rör allmän säkerhet osv. 
  
 88  
  
 Den naturliga läsningen av bestämmelsen är vidare enligt utredningens mening att den behandling som avses i behandlingsfallet är undantagen oavsett om den utgör ett led i en verksamhet som avses i avdelning V och VI i Unionsfördraget; det anges ju uttryckligen i artikeln att  
 EG-direktivet 
  inte under några omständigheter gäller för sådana behandlingar som avses i behand- lingsfallet. 
  
 EG-direktivet 
  gäller alltså inte för behandling av personuppgifter som antingen 
  
 a) 
  
 utgör ett led i den verksamhet som avses i avdelning V och VI i Unionsfördraget, eller 
  
 b) 
  
 rör allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när behandlingen har samband med frågor om statens säkerhet) och statens verksamhet på straffrättens område. 
  
 När det gäller den nu i första hand aktuella frågan om i vilken ut- sträckning behandling av personuppgifter inom den privata sfären kan anses falla utanför  
 EG-direktivet 
  har  
 EG-domstolen 
  i domen den 6 november 2003 i det s.k. konfirmandlärarmålet (punkt 43) konstaterat att den verksamhet som avses i såväl verksamhetsfal- let som behandlingsfallet inte har någonting med enskildas verksamhetsområden att göra utan i samtliga fall är statens eller statliga myndigheters verksamhet (se direkt citat i avsnitt  
 8.2.1) 
 . 
 Undantaget i artikel 3.2 första strecksatsen i  
 EG-direktivet 
  gäller alltså bara behandling av personuppgifter som antingen utgör ett led i en verksamhet som avses i avdelning V och VI i Unionsför- draget eller rör allmän säkerhet, försvar, statens säkerhet (inbegri- pet statens ekonomiska välstånd när behandlingen har samband 
  
 88  
 Punkt 45. Se direkt citat ur domen i avsnitt 8.2.1. 
 162 
  
 SOU 2004:6 
  
 Sådant som inte omfattas av  
 EG-direktivet 
  
 med frågor om statens säkerhet) och statens verksamhet på straff- rättens område, vilken behandling inte har någonting med enskildas verksamhetsområden att göra. 
 Mot den bakgrunden förefaller det uteslutet att någon behand- ling av personuppgifter inom den privata sfären skulle kunna falla utanför  
 EG-direktivet 
  på grund av bestämmelsen i artikel 3.2 första strecksatsen, såsom  
 EG-domstolen 
  uppfattat den bestämmelsen. Utredningens slutsats är att det inte finns något utrymme enligt  
 EG-direktivet 
  för att göra ett undantag för behandling av person- uppgifter inom den privata sfären utöver det som redan finns i 6 § personuppgiftslagen. 
 När det sedan gäller den mer vittsyftande frågan om något annat, som faller under undantaget i artikel 3.2 första strecksatsen i EG- direktivet om det som inte omfattas av gemenskapsrätten, bör helt eller delvis undantas från tillämpningsområdet för personuppgifts- lagen kan följande sägas. 
 Vid införandet av personuppgiftslagen ansågs det att det tradi- tionella svenska systemet med en generell skyddslagstiftning och nödvändiga särregler och undantag i särskilda författningar var att föredra framför undantag i den generella lagstiftningen (person- uppgiftslagen). Utredningen anser att de skäl som anfördes för den bedömningen – se avsnitt  
 8.4.1  
 – alltjämt har bärkraft. Härtill kommer att ett sådant system verkar vara det som åtminstone i princip använts vid genomförandet av  
 EG-direktivet 
  i många andra medlemsstater. Ett stort arbete har också lagts ned efter person- uppgiftslagen på att utarbeta särskilda registerförfattningar. 
 Härtill kommer att det är svårt att på något mer konkret sätt ange vad som vid en given tidpunkt faller utanför gemenskapsrät- ten och att gränserna för gemenskapsrätten är föränderliga. Efter- som  
 EG-direktivet 
  i sig självt är en del av gemenskapsrätten, kan det definitionsmässigt bara reglera sådant som omfattas av gemen- skapsrätten. Men  
 EG-domstolens 
  hittillsvarande rättspraxis om tolkningen av  
 EG-direktivet 
  visar det är svårt att finna någon håll- punkt för att avskära något från  
 EG-direktivets 
  tillämpningsområ- de. I de två mål som prövats av  
 EG-domstolen 
  kom generaladvoka- ten i sina förslag till avgöranden till slutsatsen att de i målen aktuel- la förfarandena inte omfattades av  
 EG-direktivet, 
  men Sanchez domstolen gjorde motsatt bedömning. 
 Utredningens slutsats är därför att det inte finns skäl att göra något undantag från personuppgiftslagen för sådant som avses i artikel 3.2 första strecksatsen. 
 163 
 9 Undantag enligt artikel 13 
  
 9.1 
  
 Utredningsdirektiven 
  
 Enligt utredningsdirektiven skall utredningen överväga om de un- dantagsmöjligheter för bl.a. säkerhet och brottsundersökning m.m. som finns enligt artikel 13 i  
 EG-direktivet 
  bör tas in direkt i per- sonuppgiftslagen. 
  
 9.2 
  
 EG-direktivet 
  
 I artikel 13.1 i  
 EG-direktivet 
  finns det bestämmelser om att med- lemsstaterna genom lagstiftning får begränsa omfattningen av vissa skyldigheter och rättigheter som följer av  
 EG-direktivet. 
  Det gäller de skyldigheter och rättigheter som anges i artikel 6.1, 10, 11.1, 12 och 21, dvs. 
  
 de grundläggande kraven på behandlingen av personuppgifter (artikel 6.1, som motsvaras av 9 § personuppgiftslagen) 
  
 skyldigheten att informera den registrerade (artikel 10 och 11.1, som motsvaras av  
  
 23–25 
  §§ personuppgiftslagen) 
  
 rätten att på begäran få tillgång till uppgifterna och rättelse (arti- kel 12, som motsvaras av 26 och 28 §§ samt 29 § andra stycket personuppgiftslagen) 
  
 reglerna om ett offentligt register över anmälda behandlingar och skyldigheten att hålla information om andra behandlingar till- gänglig (artikel 21, som motsvaras av 42 § personuppgiftslagen och 7 § personuppgiftsförordningen) 
  
 En sådan begränsning måste vara en nödvändig åtgärd med hänsyn till 
 a) statens säkerhet, 
  
 Undantag enligt artikel 13 
  
 SOU 2004:6 
  
 b) 
  
 försvaret, 
  
 c) 
  
 allmän säkerhet, 
  
 d) 
  
 förebyggande, undersökning, avslöjande av brott eller åtal för brott eller av överträdelser av etiska regler som gäller för lagre- glerade yrken, 
  
 e) 
  
 ett viktigt ekonomiskt eller finansiellt intresse hos en medlems- stat eller hos Europeiska unionen, inklusive monetära frågor, budgetfrågor och skattefrågor, 
  
 f) 
  
 en  
  
 tillsyns-, 
  inspektions- eller regleringsfunktion som, även om den är av övergående karaktär, är förbunden med myndighetsut- övning i de under punkterna c), d) och e) nämnda fallen, 
  
 g) 
  
 skydd av den registrerades eller andras fri- och rättigheter. 
  
 En del av de intressen som sålunda nämns i artikeln torde avse så- dan verksamhet som faller utanför gemenskapsrätten och därmed inte omfattas av  
 EG-direktivet 
  (jämför avsnitt  
 8) 
 . Personuppgifter som behandlas i verksamheter som omfattas av gemenskapsrätten och därmed av  
 EG-direktivet 
  kan dock t.ex. behöva lämnas ut för att användas i verksamhet som faller utanför gemenskapsrätten. Artikel 13.1 ger i detta fall stöd för att begränsa användningen av vissa bestämmelser i  
 EG-direktivet 
  för de verksamheter som i och för sig omfattas av  
 EG-direktivet 
  i syfte att underlätta för verk- samhet som inte omfattas av gemenskapsrätten. 
 Av mötesprotokollet (bilaga 4) framgår att rådet och kommis- sionen anser att sådana rättigheter som att utföra behandling av personuppgifter inte avses med hänvisningen till andras fri- och rättigheter i artikel 13.1 g. 
 I ingresspunkt 44 framhålls att medlemsstaterna för att uppfylla vissa av målsättningarna kan tvingas att avvika från vissa bestäm- melser i direktivet på grund av bestämmelser i gemenskapsrätten. Som exempel på en begränsning med hänsyn till intresset hos den registrerade eller andras fri- och rättigheter (punkt g ovan) anges i ingresspunkt 42 att det kan beslutas att den registrerade har rätt att få tillgång till uppgifter av medicinsk art bara genom förmedling av någon som är yrkesmässigt verksam inom hälso- och sjukvården. 
 I kommissionens förklaring 
  
 89  
  
 anges bestämmelser om övervak- ning av banker och om penningtvätt som exempel på fall då med- lemsstaterna på grund av gemenskapsrätten kan vara tvungna att föreskriva begränsningar. Begreppet statens säkerhet omfattar skydd 
  
 89  
 SOU 1993:10 Bilagor s. 183 f. 
 166 
  
 SOU 2004:6 
  
 Undantag enligt artikel 13 
  
 av den nationella suveräniteten mot såväl interna som externa hot. Bestämmelsen om ekonomiska eller finansiella intressen hänför sig till alla åtgärder inom den ekonomiska politiken och åtgärder för att finansiera medlemsstaternas eller Europeiska unionens politik, såsom kontroll vid valutaväxling, kontroll av utrikeshandel och uppbörd av skatt. När det gäller skyddet av fri- och rättigheter talas det om företagshemligheter, reglerna om den sekretess under vil- Gaines advokater och utövare av sjukvård arbetar, rätten att förbereda sig inför en rättegång samt mänskliga rättigheter. Det talas vidare om begränsningar av rätten till tillgång till uppgifter som männi- skorättsorganisationer innehar i de fall där en obegränsad tillgång skulle kunna utsätta andra för fara – t.ex. de personer som i förtro- ende har lämnat uppgifterna – eller riskera de överordnade intres- sen som finns hos sådana organisationer. 
 Regeringen och Lagrådet har ansett att det är osäkert om yttran- defriheten omfattas av de fri- och rättigheter som avses i artikel 13.1 g, eftersom det finns ett särskilt undantag för yttrandefriheten i artikel 9. 
  
 90 
  
 Regeringen har vidare ansett att rätten för var och en att med stöd av den grundlagsfästa offentlighetsprincipen få ta del av all- männa handlingar som inte är sekretessbelagda är en sådan rättighet som kan göra det befogat med undantag enligt artikel 13.1 g. 
 91 
  
 9.3 
  
 Europarådets dataskyddskonvention 
  
 Europarådets dataskyddskonvention har presenterats i avsnitt  
 4.2.2  
 och bilaga 5. Enligt artikel 9 i konventionen får avvikelser göras från vissa viktiga bestämmelser i konventionen. För sådana avvikel- ser krävs dock 
  
 att avvikelserna har stöd i nationell lagstiftning, och 
  
 att de utgör en nödvändig åtgärd i ett demokratiskt samhälle för att 
  
 skydda statens säkerhet, allmän säkerhet, statens monetära in- tressen, eller 
  
 undertrycka brottsliga åtgärder, eller 
  
 90 
  
 Prop. 1997/98:44 s. 49 och 236. Se också SOU 2001:28 s. 273. 
  
 91 
  
 Prop. 1997/98:44 s. 45. 
  
 167 
  
 Undantag enligt artikel 13 
  
 SOU 2004:6 
  
 skydda den registrerade eller andra personers fri- och rättighe- ter. 
  
 92 
  
 Vissa avvikelser får också göras i fråga om personregister för stati- stikändamål eller vetenskapliga forskningsändamål. 
  
 9.4 
  
 Personuppgiftslagen 
  
 Något generellt undantag som motsvarar det som är tillåtet att göra enligt artikel 13 i  
 EG-direktivet 
  har inte tagits in i personuppgifts- lagen, och frågan om att ta in ett sådant undantag har inte heller diskuterats i förarbetena. Däremot har artikel 13 åberopats som grund för att ta in ett par specifika undantag eller motsvarande i lagen. Det gäller dels definitionen av blockering, dels undantag från skyldigheten att lämna registrerade information. 
 Enligt artikel 12 b i  
 EG-direktivet 
  skall den registrerade i vissa fall ha rätt att få uppgifter blockerade. Blockering har ansetts inne- bära att de blockerade uppgifterna inte skall lämnas ut till tredje man. Genom definitionen av begreppet blockering i 3 § person- uppgiftslagen har det i praktiken införts ett undantag för sådant utlämnande av blockerade uppgifter som sker med stöd av offent- lighetsprincipen i 2 kap. tryckfrihetsförordningen. Som stöd för detta undantag har artikel 13.1 g åberopats. 
  
 93 
  
 Enligt artikel 12 a i  
 EG-direktivet 
  skall en registrerad ha rätt att få begriplig information om vilka uppgifter som behandlas (ett s.k. registerutdrag). Enligt 26 § tredje stycket personuppgiftslagen gäll- er dock undantag för personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör min- nesanteckning eller liknande. Att under en rimlig tid få ha sina ofärdiga alster och minnesanteckningar i fred kan nämligen enligt regeringen anses som en sådan fri- och rättighet som enligt artikel 13.1 i  
 EG-direktivet 
  berättigar till en begränsning av informations- skyldigheten. 
  
 94 
  
 92 
  
 På engelska Derogation from the provisions of Burns 5, 6 and 8 of this convention shall be allowed when such derogation is provided for by the law of the Party and consti- tutes a necessary measure in a democratic society in the interest of: a. protecting State se- curity, public safety, the monetary interests of the State or the suppression of criminal offences; b. protecting the data subject or the rights and freedoms of others. 
  
 93 
  
 Prop. 1997/98:44 s. 47. 
  
 94 
  
 Prop. 1997/98:44 s. 83. 
  
 168 
  
 SOU 2004:6 
  
 Undantag enligt artikel 13 
  
 Enligt artikel 10 och 11 i  
 EG-direktivet 
  skall viss information också lämnas självmant till de registrerade. Enligt 27 § personupp- giftslagen gäller dock vissa undantag från den informationsskyldig- heten och från rätten till registerutdrag vid sekretess och tystnads- plikt, varvid anmärkts att undantag får göras enligt artikel 13 i EG- direktivet med hänsyn till skyddet av den registrerades eller andras fri- och rättigheter. 
  
 95  
  
 Undantag gäller i den utsträckning det är sär- skilt föreskrivet att uppgifter inte får lämnas ut till den registrerade. Därvid får en personuppgiftsansvarig som inte är myndighet i mot- svarande fall som avses i sekretesslagen (1980:100) vägra lämna ut uppgifter till den registrerade. 
  
 9.5 
  
 Genomförandet i andra länder 
  
 Det vanliga verkar vara att medlemsstaterna i sin genomförandelag- stiftning har tagit in bestämmelser om undantag från informations- skyldighet som mer eller mindre motsvarar de fall som räknas upp i artikel 13 i  
 EG-direktivet. 
  Ibland krävs det – såsom i Grekland och Portugal – att den personuppgiftsansvarige har ett tillstånd från dataskyddsmyndigheten för att låta bli att lämna information. Det är mera ovanligt att ett generellt undantag från de grundläggande kraven för behandling av personuppgifter eller rättelseskyldigheten har gjorts i genomförandelagstiftningen för de fall som räknas upp i artikel 13. Storbritannien och Nederländerna verkar ha ganska ge- nerella undantag. 
  
 9.6 
  
 Överväganden och förslag 
  
 Utredningens förslag:  
 Regeringen och den myndighet som reger- ingen bestämmer bemyndigas att meddela föreskrifter eller beslut i enskilda fall om sådana undantag som är tillåtna enligt artikel 13.1 i  
 EG-direktivet. 
  
 Artikel 13.1 i  
 EG-direktivet 
  ger i stora drag möjlighet till undantag från vissa bestämmelser när det är nödvändigt med hänsyn till full- görandet av viktiga samhälls- eller myndighetsfunktioner (punkt a– f). Dessutom finns det enligt artikel 13.1 möjlighet att göra undan- 
  
 95  
 Prop. 1997/98:44 s. 84 f. 
 169 
  
 Undantag enligt artikel 13 
  
 SOU 2004:6 
  
 tag enligt en mycket generell bestämmelse om skyddet av fri- och rättigheter (punkt g). 
 Enligt utredningens mening är bestämmelserna om undantag från viktiga integritetsskyddsregler i artikel 13.1 alltför generella och vaga för att lämpligen kunna direkt tas in i personuppgiftsla- gen. Att låta alla personuppgiftsansvariga med ledning av bara de generella bestämmelserna i artikel 13.1 själva bedöma om det är be- fogat med ett undantag i ett konkret fall, skulle kunna leda till rättsosäkerhet och risk för integritetskränkningar. Det skulle å andra sidan också kunna leda till att personuppgiftsansvariga, t.ex. av rädsla för att göra fel, inte utnyttjar de generella undantagsbe- stämmelserna i tillräcklig utsträckning för att viktiga samhälls- och myndighetsfunktioner och skyddet för fri- och rättigheter skall fungera tillfredsställande. Det är därför bättre för både integritets- skyddet och skyddet av de intressen som avses i artikel 13.1 med mera preciserade regler än att låta personuppgiftsansvariga själva på ett riktigt sätt försöka tillämpa de generella regler som finns i den artikeln. 
 Om det verkligen är nödvändigt för att viktiga samhälls- och myndighetsfunktioner skall fungera eller för skyddet för fri- och rättigheter att vissa regler i personuppgiftslagen inte tillämpas, bör det vidare normalt inte vara upp till varje personuppgiftsansvarig att bedöma om så skall ske. Utredningen anser därför att sådana undantag som är tillåtna enligt artikel 13.1 normalt bör utformas som skyldigheter för personuppgiftsansvariga och inte som regler som bara ger denne möjlighet att, om han eller hon så skulle önska, göra undantag. Att i någon större utsträckning ta in bestämmelser i personuppgiftslagen om sådana skyldigheter, som grundar sig på andra intressen än integritetsskyddet, skulle strida mot systemati- Gaines i och syftet med personuppgiftslagen. Syftet med den lagen är ju att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter (1 §). 
 I särlagstiftning med bestämmelser som avviker från personupp- giftslagen (se 2 §) kan det alltid på speciella områden tas in precise- rade bestämmelser med undantag som baserar sig på artikel 13.1. Det kan t.ex. gälla bestämmelser om uppgiftsskyldighet till myn- digheter som skall gälla oavsett vilket ändamål den personuppgifts- ansvarige ursprungligen bestämt för sin behandling av personupp- gifterna och oavsett den s.k. finalitetsprincipen i 9 § första stycket d personuppgiftslagen. 
 De samhälls- och myndighetsfunktioner som avses i artikel 13.1 är normalt författningsreglerade, och även beträffande skyddet av 
 170 
  
 SOU 2004:6 
  
 Undantag enligt artikel 13 
  
 fri- och rättigheter finns det ofta lagstiftning. Utredningen anser att det är bäst att mer konkreta bestämmelser som grundar sig på möjligheterna till undantag enligt artikel 13.1 tas in i sådana för- fattningar. Det ger den bästa garantin för en välgrundad och rimlig avvägning i den aktuella situationen mellan integritetsskyddet och andra intressen. Det framstår också som ogörligt att inom utred- ningens ram framleta och analysera alla konkreta intressen och si- tuationer som gör det befogat med särregler som grundar sig på artikel 13.1. 
 Utredningen anser således att den nuvarande lagstiftningssyste- matiken – där undantagsbestämmelser som stöder sig på artikel 13.1 normalt finns inte i personuppgiftslagen utan i särlagstiftning med avvikande bestämmelser – är ändamålsenlig och bör bestå. 
 Vad som kan behövas i personuppgiftslagen är däremot ett slags säkerhetsventil som t.ex. i brådskande fall ger möjlighet att tillska- pa befogade undantag baserade på artikel 13.1. Det kan nämligen hända att det upptäcks fall, som är svåra att överblicka på förhand, där det är befogat att personuppgiftsansvariga får göra undantag i en viss situation eller där någon personuppgiftsansvarig upptäcker att det i ett enskilt fall behövs ett undantag för att t.ex. skydda nå- Garcia fri- och rättigheter. För dessa fall kan det behövas en möjlig- het enligt personuppgiftslagen att tillåta undantag, t.ex. i avvaktan på att särlagstiftning hinner utarbetas eller ändras. Utredningen föreslår därför att regeringen uttryckligen bemyndigas att meddela generella föreskrifter eller beslut i enskilda fall om sådana undantag som är tillåtna enligt artikel 13.1 i  
 EG-direktivet. 
  Bemyndigandet bör också omfatta en möjlighet för regeringen att genom vidare delegation bestämma att en myndighet – utredningen tänker här i första hand på Datainspektionen – får meddela sådana föreskrifter och beslut, varvid det givetvis bör övervägas om sådan vidare dele- gation till myndighet är lämplig. 
 Kravet enligt Europakonventionen, Europarådets dataskydds- konvention och  
 EG-direktivet 
  på lagstiftning för avvikelser får an- ses uppfyllt genom det föreslagna bemyndigandet, även om det är fråga om just ett lagfäst bemyndigande som ger regeringen eller underlydande myndighet möjlighet att inom vissa ramar meddela föreskrifter och beslut i enskilda fall om undantag. 
 Frågan om det med hänsyn till regeringsformen är möjligt att ge sådana normgivningsbemyndiganden för regeringen och underly- dande myndigheter på personuppgiftslagens område har varit om- 
 171 
  
 Undantag enligt artikel 13 
  
 SOU 2004:6 
  
 diskuterad. 
  
 96  
  
 Såväl regeringen som riksdagen har dock – till skillnad från Lagrådet – ansett att bestämmelserna i personuppgiftslagen är sådana i grunden offentligrättsliga föreskrifter som gör det möjligt med normgivningsbemyndiganden, och regeringsformen har till och med ändrats i enlighet med den bedömningen. Utredningen ser inte anledning att göra någon annan bedömning, utan finner att även det föreslagna, ytterligare bemyndigandet i personuppgiftsla- gen är förenligt med regeringsformen. 
  
 96  
 Se prop. 1997/98:44 s. 58 ff. och 237 ff. samt KU 1997/98:18 s. 41 ff. 
 172 
  
 10 
  
 Enskildas behandling av personuppgifter om lagöverträdelser 
  
 10.1 
  
 Utredningsdirektiven 
  
 Enligt utredningsdirektiven skall utredningen analysera om möjlig- heten enligt artikel 8.5 i  
 EG-direktivet 
  att tillåta att andra än myn- digheter behandlar personuppgifter om lagöverträdelser m.m. bör utnyttjas genom uttryckliga bestämmelser direkt i personuppgifts- lagen. Utredningen skall särskilt överväga om den registrerades samtycke bör göra behandling av personuppgifter om lagöverträ- delser m.m. tillåten. Därvid skall utredningen beakta behovet av skydd för den registrerade i de fall där den enskilde kan befinna sig i ett underläge såsom bl.a. vid upptagande av kredit och sökande av anställning. 
  
 10.2 
  
 EG-direktivet 
  
 I artikel 8.5 i  
 EG-direktivet 
  finns det särskilda regler rörande be- handling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder. Behandling av personuppgifter om lagöverträ- delser, brottmålsdomar eller säkerhetsåtgärder får utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med förbehåll för de avvikelser som medlems- staterna kan tillåta med stöd av nationella bestämmelser som inne- håller lämpliga och specifika skyddsåtgärder. Ett fullständigt regis- ter över brottmålsdomar får dock föras endast under kontroll av en myndighet. Det är tillåtet för medlemsstaterna att föreskriva att 
  
 Enskildas behandling av personuppgifter om lagöverträdelser 
  
 SOU 2004:6 
  
 uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också skall behandlas under kontroll av en myndighet. 
 De nationella bestämmelser som medlemsstaterna beslutar enligt artikel 8.5 i  
 EG-direktivet 
  torde – enligt artikel 8.6 – behöva anmä- las till kommissionen. 
 Det har ansetts att artikel 8.5 i  
 EG-direktivet 
  innebär att det får finnas nationella bestämmelser som tillåter enskilda att utan myn- dighetskontroll behandla personuppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder (så länge det inte är fråga om ett fullständigt register över brottmålsdomar) under förutsätt- ning att det också finns bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Även när det finns nationella bestämmel- ser som tillåter enskilda att behandla personuppgifter om lagöver- trädelser, brottmålsdomar eller säkerhetsåtgärder, måste behand- lingen följa övriga bestämmelser i  
 EG-direktivet, 
  t.ex. om när be- handling av personuppgifter över huvud taget är tillåten (artikel 7) och om när personuppgifter får överföras till tredje land (artikel 25 och 26). 
  
 10.3 
  
 Andra internationella regler 
  
 10.3.1 
  
 Europarådets dataskyddskonvention 
  
 Europarådets dataskyddskonvention har presenterats i avsnitt  
 4.2.2  
 och bilaga 5. Enligt artikel 6 i konventionen får personuppgifter som hänför sig till att någon dömts för brott 
  
 97  
  
 inte undergå auto- matisk databehandling, såvida inte nationell lag ger ett ändamålsen- ligt skydd 
  
 98 
  
 . 
  
 97 
  
 På engelska personal data relating to criminal convictions. I förklaringen till rekom- mendationen (Explanatory Richards) anges (punkt 47): By criminal convictions in the sense of this article should be understood: convictions based on criminal law and in the framework of a criminal procedure. 
  
 98 
  
 På engelska unless domestic law provides appropriate safeguards. 
  
 174 
  
 SOU 2004:6 
  
 Enskildas behandling av personuppgifter om lagöverträdelser 
  
 10.3.2 
  
 Europarådets rekommendationer 
  
 Till Europarådets dataskyddskonvention anknyter en rad oförbin- dande rekommendationer. Ett par av dessa berör särskilt behand- ling av personuppgifter om att någon dömts för brott. 
 I Europarådets rekommendation R (90) 19 om behandling av personuppgifter för betalning 
  
 99  
  
 finns det en bestämmelse (punkt 3.8) om att behandling av personuppgifter som hänför sig till att någon dömts för brott bara får ske när uppgifterna är av sådan na- tur att de är klart befogade att använda för att avgöra om individen är lämplig för att motta eller fortsätta att använda ett betalnings- medel och under förutsättning att individen har lämnat sitt uttryckliga och informerade samtycke eller att behandlingen sker i enlighet med skyddsåtgärder som är föreskrivna i nationell lag. 
  
 100 
  
 I Europarådets rekommendation R (89) 2 om skydd för person- uppgifter som används för ändamål som rör anställning 
  
 101  
  
 finns det en bestämmelse (punkt 10.1) om att sådana personuppgifter bara bör samlas in och lagras i särskilda fall inom de gränser som sätts av nationell lag och i enlighet med de ändamålsenliga skyddsåtgärder som finns i den lagstiftningen. Saknas sådana skyddsåtgärder, bör sådana uppgifter bara samlas in och lagras med arbetstagarnas ut- tryckliga och informerade samtycke. 
  
 102 
  
 10.3.3 
  
 ILO:s riktlinjer 
  
 I Internationella arbetsorganisationens (ILO:s) oförbindande rikt- linjer 1996 om skydd för arbetares personuppgifter finns det en bestämmelse (punkt 6.5) om att en arbetsgivare inte bör samla in personuppgifter om att en arbetare dömts för brott. Under excep- 
  
 99 
  
 Recommendation No. R (90) 19 on the protection of personal data used for payment and other related operations. 
  
 100 
  
 På engelska The processing of personal data relating to the criminal convictions of an individual should only be carried out where the data are of such a nature that they are clearly justified for determining the suitability of that individual for receipt or continued use of a means of payment, and provided the individual has given his express and in- formed consent or the processing is in White laid down by domestic law. 
  
 101 
  
 Recommendation R (89) 2 on the protection of personal data used for employment pur- poses. 
  
 102 
  
 På engelska Personal data relating to [] criminal convictions [], should only be collected and stored in particular cases within the limits laid down by domestic law and in accordance with appropriate safeguards provided Jackson. In the absence of such safe- guards, such data should only be collected and stored with the express and informed con- sent of the employees. 
  
 175 
  
 Enskildas behandling av personuppgifter om lagöverträdelser 
  
 SOU 2004:6 
  
 tionella omständigheter får en arbetsgivare dock samla in sådana uppgifter, om uppgifterna är direkt relevanta för ett beslut som rör anställning och i enlighet med nationell lagstiftning. 
  
 103 
  
 10.4 
  
 Det svenska genomförandet 
  
 10.4.1 
  
 Personuppgiftslagen 
  
 I 21 § första stycket personuppgiftslagen har det tagits in ett prin- cipiellt förbud för andra än myndigheter 
  
 104  
  
 att behandla personupp- gifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövan- den (i det följande personuppgifter om lagöverträdelser). Från det förbudet för enskilda, dvs. andra än myndigheter, kan enligt andra och tredje styckena i paragrafen göras undantag genom antingen generella föreskrifter eller beslut i enskilda fall, beslutade av reger- ingen eller, efter vidare delegation, av myndighet. 
 Förbudet kan däremot inte upphävas med den registrerades sam- tycke. Ett samtycke till en viss behandling eller till och med ett samtycke till att för visst ändamål behandla just personuppgifter om lagöverträdelser berättigar således inte enskilda att behandla sådana personuppgifter. 
 Att behandla personuppgifter i strid med 21 § personuppgiftsla- gen är straffbart, se 49 § första stycket b 
  
 105 
  
 ,  
 och kan föranleda ska- deståndsansvar, se 48 §, och ingripanden från Datainspektionen. 
 I förarbetena 
  
 106  
  
 anfördes att personuppgifter om lagöverträdelser otvivelaktigt är av så känslig natur att vem som helst inte bör få hantera uppgifterna hur som helst. Det stod dock klart att myndig- heter ofta behöver hantera just sådana uppgifter för att kunna full- göra de samhällsuppdrag som lagts på dem. I vilken utsträckning myndigheter får hantera sådana uppgifter framgår av de föreskrifter 
  
 103 
  
 På engelska In exceptional circumstances, an employer may collect [such data], if the data are directly relevant to an employment decision and in conformity with national Legislation. Jämför också punkt 6.8 om möjligheten för arbetaren att lämna felaktiga el- ler ofullständiga svar på frågor om bl.a. brottmålsdomar. 
  
 104 
  
 Uttrycket myndighet är avsett att ha samma innebörd som motsvarande uttryck i arti- kel 8.5 första stycket i  
  
 EG-direktivet, 
  se prop. 1997/98:44 s. 129. 
  
 105 
  
 I Helsingborgs tingsrätts dom  
  
 2001-01-31 
  I mål nr B  
 3915-00 
  har en person dömts till dagsböter för bl.a. detta, se avsnitt 5.2.1. 
  
 106 
  
 Prop. 1997/98:44 s. 75 f. 
  
 176 
  
 SOU 2004:6 
  
 Enskildas behandling av personuppgifter om lagöverträdelser 
  
 som reglerar respektive myndighets verksamhet. Det ansågs därför ändamålsenligt att i personuppgiftslagen ta in en grundläggande bestämmelse om att det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser. Eftersom det kan finnas fall där det är befogat att enskilda behandlar sådana uppgif- ter, kompletterades bestämmelsen med ett bemyndigande för re- geringen eller den myndighet som regeringen bestämmer att med- dela föreskrifter om undantag från förbudet och medge dispens i enskilda fall. Det antecknades därvid att Datalagskommittén som exempel på fall där det kan vara befogat med undantag nämnt den behandling av uppgifter om t.ex. brottmålsdomar som privata vård- och behandlingshem kan behöva utföra för att vårda och behandla den dömde på ett effektivt sätt och viss registrering för försäk- ringsbolagens kravhantering. 
  
 107 
  
 Riksdagen har behandlat en motion med förslag om att person- uppgifter om lagöverträdelser skall få behandlas om kravet på sam- tycke är uppfyllt. 
  
 108  
  
 I motionen påtalades att den som dömts för brott och anser sig oskyldigt dömd inte hade någon möjlighet att lägga fram sin sak för offentligheten via Internet. Med anledning av motionen anförde konstitutionsutskottet följande: 
  
 109 
  
 Utskottet vill framhålla att i den rätt till skydd för privatlivet som di- rektivet särskilt tar sikte på ingår en allmän rätt att lämnas i fred när det gäller den privata sfären (jfr SOU 1993:40, del B s. 58). Med en sådan utgångspunkt för direktivets tillämpningsområde får det enligt utskot- tets mening anses främmande att direktivet samtidigt skulle syfta till att reglera den enskildes rätt att behandla uppgifter om sig själv. Om di- rektivet hade ett sådant syfte, skulle det vidare innebära en inskränk- ning i andra grundläggande fri- och rättigheter som det [] avser att skydda. Utskottet vill därutöver framhålla att begreppen den register- ansvarige, den registrerade respektive tredje man i direktivets be- stämmelser, samt motsvarande begrepp i personuppgiftslagen, uppen- barligen tar sikte på skilda objekt. 
 Mot bakgrund av det anförda uppfattar utskottet gällande rätt så att frånvaron av en samtyckesbestämmelse i 21 § personuppgiftslagen inte förhindrar en enskild att behandla sådana uppgifter som avses i lag- rummet och som utgör uppgifter om den enskilde själv. Någon lagänd- ring behövs därför inte. Motionen avstyrks. 
  
 107 
  
 SOU 1997:39 s. 379 f. 
  
 108 
  
 Motion 2000/01:K270. 
  
 109 
  
 KU 2000/01:19 s. 16. 
  
 177 
  
 Enskildas behandling av personuppgifter om lagöverträdelser 
  
 SOU 2004:6 
  
 Frågan om människorättsorganisationers behandling av person- uppgifter om lagöverträdelser har berörts i en skriftlig fråga i riks- dagen. 
  
 110  
  
 Jämför i fråga om försvarares behandling av personuppgif- ter om lagöverträdelser vid tillgång till digitala förundersökningar Reyes i JT  
 2002-03 
  s.  
 735–739 
  och JT  
 2003-04 
  s.  
 246–250 
  samt det beslut från Datainspektionen som refereras i avsnitt  
 10.4.2. 
  
 10.4.2 
  
 Datainspektionens undantagsmöjligheter 
  
 Enligt 9 § personuppgiftsförordningen har regeringen bemyndigat Datainspektionen att meddela dels föreskrifter om undantag från förbudet i 21 § personuppgiftslagen, dels beslut i enskilda fall om sådana undantag. 
 Datainspektionen har med stöd av bemyndigandet meddelat en generell föreskrift (DIFS 1998:3) om undantag från förbudet för andra än myndigheter att behandla personuppgifter om lagöverträ- delser m.m. Inspektionen har därvid föreskrivit att personuppgifter om lagöverträdelser utan hinder av förbudet i 21 § personuppgifts- lagen får behandlas om 
  
 a) 
  
 behandlingen är nödvändig för att fullgöra en föreskrift på soci- altjänstområdet (se numera 7 § lagen [2001:454] om behandling av personuppgifter inom socialtjänsten, som berörs i avsnitt  
  
 10.4.3), 
  
 b) 
  
 behandlingen avser uppgift i anteckningar som förs i fristående skolors elevvårdande verksamhet eller i motsvarande verksamhet hos enskilda anordnare av högskoleutbildning, 
  
 c) 
  
 behandlingen är nödvändig för kontroll av att jävssituation inte föreligger i advokatverksamhet eller annan juridisk verksamhet, 
  
 d) 
  
 behandlingen avser endast enstaka uppgift som är nödvändig för att rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras i ett enskilt fall, eller 
  
 e) 
  
 behandlingen avser endast enstaka uppgift som är nödvändig för att anmälningsskyldighet enligt lag skall kunna fullgöras. 
  
 Datainspektionen har hittills inte beslutat om undantag i något en- skilt fall. En ansökan om undantag har inkommit, men avvisats (be- slut  
 2003-05-12 
  i dnr  
 757-2003). 
  
 111 
  
 Ett par offentliga försvarare i ett 
  
 110 
  
 Fråga 2001/02:316. 
  
 111 
  
 Se om beslutet Reyes i JT  
  
 2003-04 
  s.  
 246–250. 
  
 178 
  
 SOU 2004:6 
  
 Enskildas behandling av personuppgifter om lagöverträdelser 
  
 omfattande 
  
 brottmål, 
  
 där 
  
 åklagaren 
  
 bl.a. 
  
 åberopat 
  
 114 vittnesförhör, ansökte om undantag för att få tillgång till för- undersökningen i målet i digital form. Datainspektionen hänvisade i beslutet till undantaget när behandlingen avser endast enstaka uppgift som är nödvändig för att rättsliga anspråk skall kunna fast- ställas, göras gällande eller försvaras i ett enskilt fall och angav: 
 Syftet med undantaget [] är att göra det möjligt för bl.a. advokater att behandla personuppgifter om klienter som exempelvis är misstänkta för brott. Nödvändiga behandlingar av personuppgifter som exempelvis rör försvaret av klienten vid misstanke om brott omfattas av undanta- get. Är det nödvändigt för försvaret av klienten är det även tillåtet att behandla uppgifter om eventuella medåtalade. 
 Er behandling av brottsuppgifter som har betydelse för att utföra ert uppdrag omfattas av undantaget [] och är därmed tillåten. Huruvida personuppgifterna som behandlas samlas in från diskett,  
 cd-romskiva 
  eller från papper saknar betydelse vid tillämpningen av denna undan- tagsbestämmelse. En förutsättning för att behandlingen skall vara laglig är emellertid att endast nödvändiga och relevanta uppgifter samlas in t.ex. från en  
 cd-romskiva 
  som innehåller förundersökningen. 
 Med hänsyn till ovanstående anser Datainspektionen att det inte be- hövs något särskilt beslut om undantag från 21 § PuL. Ansökan skall därför avvisas. 
 Enligt 6 § kreditupplysningslagen (1973:1173) får personuppgif- ter om lagöverträdelser inte utan medgivande av Datainspektionen behandlas i kreditupplysningsverksamhet. Ett sådant medgivande får lämnas endast om det finns synnerliga skäl. 
  
 112  
  
 Datainspektionen har hittills inte lämnat något medgivande enligt den bestämmelsen. 
  
 10.4.3 
  
 Andra författningar 
  
 Om det i en lag eller i en förordning finns bestämmelser som avvi- ker från personuppgiftslagen, skall de bestämmelserna gälla (2 § personuppgiftslagen). Det kan således finnas bestämmelser i andra författningar som tar över förbudet i 21 § personuppgiftslagen och tillåter att enskilda behandlar personuppgifter om lagöverträdelser. 
 Bestämmelsen i 6 § kreditupplysningslagen (1973:1173) har re- dan nämnts i närmast föregående avsnitt. Bulvanutredningen har 
  
 112  
 Prop. 2000/01:50 s. 23 f. 
 179 
  
 Enskildas behandling av personuppgifter om lagöverträdelser 
  
 SOU 2004:6 
  
 föreslagit att kreditupplysningsföretag skall ges möjlighet att för- medla uppgifter om lagakraftvunna domar och godkända strafföre- lägganden avseende ekonomisk brottslighet. 
  
 113 
  
 Enligt 7 § lagen (2001:454) om behandling av personuppgifter inom socialtjänsten får socialtjänsten behandla personuppgifter om lagöverträdelser om uppgifterna har lämnats i ett ärende eller är nödvändiga för verksamheten. 
  
 114  
  
 Med socialtjänsten avses därvid (se 2 § i lagen): 
  
 1. 
  
 verksamhet enligt lagstiftningen om socialtjänst och den särskil- da lagstiftningen om vård utan samtycke av unga eller av miss- brukare, 
  
 2. 
  
 verksamhet som i annat fall enligt lag handhas av socialnämnd, 
  
 3. 
  
 verksamhet som i övrigt bedrivs av Statens institutionsstyrelse, 
  
 4. 
  
 verksamhet hos kommunal invandrarbyrå, 
  
 5. 
  
 verksamhet enligt lagstiftningen om stöd och service till vissa funktionshindrade, 
  
 6. 
  
 handläggning av ärenden om bistånd som lämnas av socialnämnd enligt lagstiftning om mottagande av asylsökande m.fl., 
  
 7. 
  
 handläggning av ärenden om introduktionsersättning för flyk- tingar och vissa andra utlänningar, 
  
 8. 
  
 handläggning av ärenden om tillstånd till parkering för rörelse- hindrade, 
  
 9. 
  
 tillsyn, uppföljning, utvärdering, kvalitetssäkring och administra- tion av verksamhet som avses i  
  
 1–8. 
  
 Viss sådan verksamhet kan bedrivas av enskilda. 
 Enligt lagen (1999:163) om penningtvättsregister får bankföretag m.fl. föra s.k. penningtvättsregister med sådana uppgifter om om- ständigheter som kan tyda på penningtvätt som lämnats till polisen enligt lagen (1993:768) om åtgärder mot penningtvätt. 
  
 115  
  
 Sådana företag får också föra register med sådana uppgifter som lämnats till polisen om omständigheter som kan tyda på att en transaktion avser tillgångar som är föremål för brott enligt lagen (2002:444) om straff för finansiering av särskilt allvarlig brottslighet i vissa fall, m.m. 
  
 116 
  
 113 
  
 SOU 1998:47, jämför prop. 2000/01:50 s. 24. 
  
 114 
  
 Prop. 2000/01:80 s. 144 f. 
  
 115 
  
 Prop. 1998/99:19 s. 53 ff. 
  
 116 
  
 Prop. 2001/02:149 s. 52 ff. 
  
 180 
  
 SOU 2004:6 
  
 Enskildas behandling av personuppgifter om lagöverträdelser 
  
 Vissa enskilda arbetsgivare har i viss utsträckning enligt särskilda bestämmelser möjlighet 
  
 117  
  
 eller skyldighet 
  
 118  
  
 att kontrollera ett ut- drag ur belastningsregistret före anställning eller annat anlitande inom vissa verksamheter. Dessa bestämmelser synes emellertid inte ge de enskilda arbetsgivarna möjlighet att behandla de erhållna per- sonuppgifterna om lagöverträdelser på ett sätt som omfattas av personuppgiftslagen. 
 Integritetsutredningen har föreslagit att enskilda arbetsgivare skall få behandla personuppgifter om lagöverträdelser avseende ar- betstagare och arbetssökande, om behandlingen är nödvändig för att bedöma arbetstagarens eller arbetssökandens tillförlitlighet med hänsyn till säkerheten för det allmänna eller för arbetsgivarens verksamhet. Den föreslagna bestämmelsen utgör emellertid inte något avsteg från 21 § personuppgiftslagen utan tar sikte på sådan manuell dokumenterad behandling av personuppgifter som inte omfattas av personuppgiftslagen. 
  
 119 
  
 10.5 
  
 Genomförandet i andra länder 
  
 I Danmark, Finland, Norge, Storbritannien, Grekland och Neder- länderna kan den registrerades uttryckliga samtycke göra det tillå- tet att behandla personuppgifter om lagöverträdelser. I Grekland krävs dessutom ett tillstånd av tillsynsmyndigheten och att sam- tycket är skriftligt. Också i Italien och Portugal krävs det tillstånd av tillsynsmyndigheten för att enskilda skall få behandla sådana uppgifter utan stöd i särskild lagstiftning. 
 I Danmark och Österrike finns det bestämmelser om att enskil- da kan få behandla personuppgifter om lagöverträdelser efter en intresseavvägning. I Portugal kan tillstånd till sådan behandling lämnas av tillsynsmyndigheten efter en intresseavvägning. 
 I Danmark, Finland, Norge, Storbritannien, Nederländerna och Grekland får enskilda behandla personuppgifter om lagöverträdel- ser under samma förutsättningar som känsliga personuppgifter. I Nederländerna får en personuppgiftsansvarig vidare behandla per- sonuppgifter om lagöverträdelser för att bedöma en ansökan från 
  
 117 
  
 Se 10 § lagen (1998:620) om belastningsregister och 21 § förordningen (1999:1134) om belastningsregister. 
  
 118 
  
 Se lagen (2000:873) om registerkontroll av personal inom förskoleverksamhet, skola och skolbarnomsorg. 
  
 119 
  
 SOU 2002:18, särskilt s. 203 ff. 
  
 181 
  
 Enskildas behandling av personuppgifter om lagöverträdelser 
  
 SOU 2004:6 
  
 den registrerade och för att skydda sina intressen om det finns an- ledning att anta att ett brott kan komma att begås mot den person- uppgiftsansvarige eller sådana personer som arbetar för denne. I Belgien får personuppgifter om lagöverträdelser behandlas av en- skilda bl.a. om det är nödvändigt för att uppfylla mål som har lagts fast i lagstiftning eller för att hantera egna rättsprocesser. I Belgien får vidare juridiska rådgivare behandla personuppgifter om lagöver- trädelser om det är nödvändigt för att skydda deras klienters intres- sen. 
  
 10.6 
  
 Överväganden 
  
 Utredningens bedömning:  
 Några bestämmelser om undantag från förbudet för enskilda att behandla personuppgifter om lagöverträ- delser bör inte föras in direkt i personuppgiftslagen, utan de möj- ligheter till undantag genom generella föreskrifter i andra författ- ningar och genom beslut i enskilda fall som redan finns är tillräck- liga. 
 Personuppgifter om lagöverträdelser upplevs av många människor som känsliga. Många skäms över och vill för omvärlden hemlighålla att de någon gång i livet t.ex. gjort sig skyldiga till brott, suttit i fängelse eller tvångsomhändertagits för missbruk. Sådana uppgifter om en person kan vidare påverka utomståendes uppfattning om personen. För rehabiliteringen av brottslingar är det viktigt att den som sonat sitt brott kan leva i samhället utan det stigma som upp- giften om den tidigare brottsligheten kan utgöra. 
 Det finns alltså goda skäl för en restriktiv reglering av när per- sonuppgifter om lagöverträdelser får registreras och lagras. Samti- digt måste man komma ihåg att en lagstiftning som personuppgiftslagen har sina begränsningar. Personuppgiftslagen gäller i princip bara om man registrerar – eller avser att registrera – personuppgifter i datorformat eller i regelrätta manuella personregister. En tillämpning av lagen kan t.ex. förhindra att personuppgifter om lagöverträdelser på ett obefogat sätt lagras för framtida användning eller sprids med hjälp av datorer på Internet. Men i t.ex. många avtalssituationer kan personuppgiftslagen med sitt ändå begränsade tillämpningsområde inte ge ett fullgott skydd. Det beror på att den tilltänkta avtalsmotparten – den som överväger att anställa, lämna ett lån, hyra ut bostad, bil eller videofilm etc. – i dessa fall i praktiken inte behöver registrera någon 
 182 
  
 SOU 2004:6 
  
 Enskildas behandling av personuppgifter om lagöverträdelser 
  
 Gaines inte behöver registrera någon personuppgift om lagöverträdel- ser för att kunna sortera bort oönskade kontrahenter. Det räcker att den tilltänkta avtalsmotparten vid referenstagning får höra om uppgifterna eller att sökanden på begäran visar upp ett utdrag ur belastningsregistret eller lämnar upplysningar. 
 För att åstadkomma ett fullgott skydd och en rimlig avvägning mellan de intressen som gör sig gällande torde det krävas en sär- skild reglering för de olika avtalssituationerna och liknande. Något sådant ligger inte inom ramen för utredningsuppdraget. Vid kredit- upplysning har behandling av personuppgifter om lagöverträdelser särreglerats, och en reglering för anställda och i anställningssitua- tioner har relativt nyligen föreslagits. 
 Personuppgiftslagen ger i dag uttryck för en synnerligen restrik- tiv hållning när det gäller enskildas behandling av personuppgifter om lagöverträdelser. Sådan behandling är i princip förbjuden. Att enskilda kan ha legitima behov av att behandla personuppgifter om lagöverträdelser står dock klart. Redan i dag finns det, på grund av lämnade bemyndiganden, möjlighet för regeringen och Datainspek- tionen att utan egentliga begränsningar tillåta enskilda att behandla personuppgifter om lagöverträdelser. Det kan ske genom såväl ge- nerella föreskrifter som beslut i enskilda fall som hastigt uppkom- mer. 
 Utredningen har enligt utredningsdirektiven att överväga om det i personuppgiftslagen bör tas in bestämmelser som direkt tillåter enskilda att behandla personuppgifter om lagöverträdelser. Därvid skall utredningen särskilt överväga om den registrerades samtycke bör göra sådan behandling tillåten. Frågan är alltså om det finns behov av materiella föreskrifter om enskildas behandling av per- sonuppgifter om lagöverträdelser i personuppgiftslagen eller om de vida möjligheter till normgivning på lägre nivå som redan finns är tillräckliga. 
 Utredningen har redan varit inne på att ett fullgott skydd och en rimlig intresseavvägning för speciellt känsliga situationer kräver särregler med ett vidare tillämpningsområde än personuppgiftsla- gen. Att ändå utforma och ta in speciella bestämmelser om olika sådana situationer i personuppgiftslagen framstår inte som ända- målsenligt eller ens möjligt att göra inom utredningens ram. I den utsträckning det skulle komma upp ett legitimt behov för enskilda att behandla personuppgifter om lagöverträdelser i en viss situation kan, i avvaktan på en mer vittsyftande författningsreglering av situ- ationen, frågan lösas genom de möjligheter till normgivning som redan finns enligt personuppgiftslagen. 
 183 
  
 Enskildas behandling av personuppgifter om lagöverträdelser 
  
 SOU 2004:6 
  
 Frågan är då närmast om det finns behov av och är lämpligt med bestämmelser i personuppgiftslagen för mer generella fall, t.ex. vid samtycke eller när det, rent generellt, är viktigt att kontrollera en persons pålitlighet eller vandel. I det sammanhanget finns det an- ledning att erinra om utredningens förslag i avsnitt  
 7.7  
 som innebär att behandling av personuppgifter, innefattande personuppgifter om lagöverträdelser, som finns i ostrukturerat material t.ex. i form av löpande text och ljud- och bildupptagningar tillåts så länge be- handlingen inte innefattar ett missbruk av uppgifterna. 
 Det första man måste fråga sig är vilket behov för enskilda att behandla personuppgifter om lagöverträdelser som har visat sig se- dan personuppgiftslagen trädde i kraft. 
 I svaren på Justitiedepartementets enkät för offentliga utvärde- ring har frågan om behandling av personuppgifter om lagöverträ- delser fått förhållandevis lite uppmärksamhet, och några direkta önskemål om ytterligare regler som tillåter sådan behandling verkar inte ha förts fram. 
  
 120 
  
 Som framgått av avsnitt  
 10.4  
 finns det redan en hel del föreskrif- ter som tillåter enskilda att behandla personuppgifter om lagöver- trädelser. Såvitt utredningen känner till har det – med ett undantag, se avsnitt  
 10.4.2  
 – inte förekommit några ansökningar, som vidhål- lits, till regeringen eller Datainspektionen om ytterligare undantag från förbudet i 21 § personuppgiftslagen genom generella föreskrif- ter eller beslut i enskilda fall. 
 Såvitt framkommit har hittills bara ett par personer dömts för bl.a. brott mot 21 § personuppgiftslagen (se avsnitt  
 5.2.1) 
 . Den ene hade på Internet namngett personer som påstods ha gjort sig skyl- diga till våldtäkt. 
  
 121  
  
 Den andre dömdes av en tingsrätt för att han hade registrerat känsliga personuppgifter och uppgifter om domar i brottmål om över ettusen personer med syfte att kartlägga politiska motståndare och att på något sätt sprida uppgifter om dem och därmed möjliggöra angrepp på dem; efter överklagande ogillade dock hovrätten det åtalet. 
  
 122  
  
 Att tillåta sådant genom särskilda före- skrifter torde knappast vara aktuellt. 
 Vid genomförandet av  
 EG-direktivet 
  i andra länder har man gjort på olika sätt. Det finns exempel på länder som, liksom Sveri- ge, nöjt sig med möjligheten att genom särskilda föreskrifter och myndighetsbeslut tillåta enskilda att behandla personuppgifter om 
  
 120 
  
 Ds 2001:27 s. 53 ff. 
  
 121 
  
 Helsingborgs tingsrätts dom  
  
 2001-01-31 
  i mål nr B  
 3915-00. 
  
 122 
  
 Hovrättens över Skåne och Blekinge dom  
  
 2003-11-11 
  i mål nr B  
 3113-02. 
  
 184 
  
 SOU 2004:6 
  
 Enskildas behandling av personuppgifter om lagöverträdelser 
  
 lagöverträdelser. Men det finns också exempel på länder som i den generella genomförandelagstiftningen tagit in bestämmelser om i vilka fall sådan behandling får ske, t.ex. i de fall känsliga person- uppgifter får behandlas. 
 Utredningens slutsats mot denna bakgrund – särskilt avsaknaden av framförda önskemål om ytterligare konkreta undantag – är att det inte verkar finnas något uttalat behov av andra undantag från förbudet i 21 § personuppgiftslagen än de som redan finns på annat håll än i personuppgiftslagen och det som följer av den bestämmel- se om behandling av personuppgifter som finns i ostrukturerat ma- terial t.ex. i form av löpande text och ljud- och bildupptagningar som föreslås i avsnitt  
 7.7.  
 Datainspektionens föreskrift, komplette- rad med några lagregler i särskilda registerförfattningar, verkar ha täckt in de behov av undantag som finns för närvarande. Och skulle det uppkomma nya behov, finns det som sagt redan goda möjlighe- ter att, efter överväganden om den aktuella situation som upp- kommit, medge ytterligare undantag när det är befogat. 
 Vad särskilt gäller samtycke som grund för behandling av per- sonuppgifter om lagöverträdelser kan härutöver följande sägas. 
 Inte i någon föreskrift om undantag från förbudet i 21 § person- uppgiftslagen som finns i dag har den registrerades samtycke till- mätts någon betydelse. 
 När frågan om samtycke varit uppe i riksdagen har det gällt den speciella situationen att någon velat behandla personuppgifter om sina egna lagöverträdelser, något som ansetts vara möjligt redan i dag. 
 Frågan om arbetsgivares dokumenterade behandling av person- uppgifter om lagöverträdelser om arbetssökande och arbetstagare har relativt nyligen utretts, varvid det inte fördes fram något förslag om att samtycke bör utgöra en grund för behandlingen. 
 En del länder godtar samtycke som grund för behandling av per- sonuppgifter om lagöverträdelser, medan andra länder inte gör det. 
 Anledning till att den registrerades samtycke inte berättigar en- skilda att behandla personuppgifter om lagöverträdelser i Sverige och på olika håll utomlands är förmodligen att det ansetts befogat att statsmakterna fastställer när sådan behandling skall få ske. Bak- grunden till det ställningstagandet är i sin tur troligen att frågan om samtycke ansetts vara särskilt svår att hantera i fråga om person- uppgifter om lagöverträdelser, särskilt i avtalssituationer där sam- tycke skulle kunna ställas upp som förutsättning för sådant som den enskilde är mer eller mindre beroende av, t.ex. anställning, penninglån och hyra av olika saker och nyttigheter. Att låta sam- 
 185 
  
 Enskildas behandling av personuppgifter om lagöverträdelser 
  
 SOU 2004:6 
  
 tycke berättiga behandlingen skulle i sådana situationer onekligen sätta press på den enskilde på ett sätt som förmodligen inte bör godtas i alla fall. Det står vidare inte helt klart vad som krävs för att ett samtycke på det sätt som krävs enligt definitionen i 3 § person- uppgiftslagen skall anses vara frivilligt. 
  
 123 
  
 Utredningen delar den bedömning som hittills gjorts i Sverige och på flera håll utomlands i frågan om den registrerades samtycke generellt sett bör berättiga till behandling av personuppgifter om lagöverträdelser. Det är alltså inte lämpligt att i personuppgiftsla- gen ta in en generell bestämmelse om att enskilda får behandla så- dana personuppgifter bara för att den registrerade lämnat sitt sam- tycke till det. Frågan om och när samtycke bör berättiga sådan be- handling bör i stället bedömas för de olika konkreta situationer som i framtiden kan uppkomma antingen inom ramen för de möj- ligheter till normgivning som redan finns enligt personuppgiftsla- gen eller inom ramen för lagstiftningsinitiativ för den aktuella situ- ationen. 
 Utredningen anser mot den redovisade bakgrunden sammanfatt- ningsvis att det inte i dag finns behov av – eller är lämpligt – att i personuppgiftslagen föra in något undantag från förbudet i 21 § som inte redan finns enligt andra föreskrifter. Det gäller också ett undantag om den enskildes samtycke till behandlingen. 
 Utredningen kan slutligen inte se någon direkt fördel med att ta in de föreskrifter om undantag som redan finns direkt i personupp- giftslagen. Det viktiga är att personuppgifter om lagöverträdelser kan behandlas i de fall det är befogat, inte att bestämmelserna om detta finns i just personuppgiftslagen. I Datainspektionens före- skrift finns de undantag samlade som inte har direkt koppling till en särskild registerförfattning. Regleringssättet får anses redan uppfylla rimliga krav på tydlighet och överskådlighet. 
  
 123 
  
 Jämför SOU 1997:39 s. 342. Eftersom det står medlemsstaterna fritt att tillåta enskilda att behandla personuppgifter om lagöverträdelser under de förutsättningar som anses be- fogade, är det dock i och för sig inte helt nödvändigt att för sådan behandling kräva just ett sådant samtycke som avses med den nuvarande definitionen i  
  
 EG-direktivet 
  och per- sonuppgiftslagen. 
 186