Integritet, offentlighet, informationsteknik betänkande

Ur KB:s samlingar

Digitaliserad år 2015

Integritet

Offentlighet

Informationsteknik

i-l xo xo ä

D

S D

xo

Betänkande av

Datalagskommittén

ms

w

Öcc X3M/

Ho

/rl

H

Statens offentliga utredningar WW 1997:39

E Justitiedepartementet

Integritet Offentlighet

Informationsteknik

Betänkande av Datalagskommittén Stockholm 1997

SOU och Ds kan köpas från Fritzes kundtjänst. För remissutsändningar av SOU och Ds svarar Fritzes, Offentliga Publikationer, uppdrag av Regeringskansliets forvaltningsavdelning.

Beställningsadress: Fritzes kundtjänst

106 47 Stockholm

Orderfax: 08-690 91 91

Ordertel: 08-690 91 90

Svara pâ remiss. Hur och Varför. Statsrâdsberedningen, 1993.

En liten broschyr som underlättar arbetet för den som skall svara remiss. - Broschyren kan beställas hos:

Regeringskansliets förvaltningsavdelning

Distributionscentralen

103 33 Stockholm

Fax: 08-405 10 10

Telefon: 08-405 10 25

ISBN 91-38-20543-2 Graphic Systems AB, Göteborg 1997 ISSN 0375-250X

Missiv i

Till statsrådet och chefen för

Justitiedepartementet

Vid sitt sammanträde torsdagen den 15 juni 1995 beslutade regeringen att tillkalla en parlamentariskt sammansatt kommitté med uppgift att lägga fram förslag till en ny lag om skydd för personuppgifter och förslag till ändringar i tryckfrihetsforordningens bestämmelser om allmänna handlingars offentlighet dir. 1995:91.

Den 7 december 1995 förordnade chefen för Justitiedepartementet, statsrådet Laila Freivalds, justitierådet Staffan Vängby till ordförande i kommittén. Den 20 december 1995 förordnades som ledamöter i kommittén

advokaten Anders Christner kd, universitetslektom Bo Edvardsson mp, riksdagsledamoten Helena Frisk s, riksdagsledamoten Tomas Eneroth s, riksdagsledamoten Birgitta Hambraeus c, riksdagsledamoten Barbro Hietala Nordlund s, utredningsledaren Ulrika Landergren fp, riksdagsledamoten Inger René m, riksdagsledamoten Per Rosengren v, riksdagsledamoten Majléne Westerlund Panke s och riksdagsledamoten Sven-Erik Österberg s.

Ulrika Landergren har den 12 november 1996 ersatts f1l.lic. Tomas

av Ohlin fp.

Som experter har arbetat ombudsmannen Christer Arvsten, advokaten Tom Ekelund, universitetslektom Jan Evers, verkställande direktören Barbro Fischerström, departementssekreteraren Anders S Forsberg,

generaldirektören Jan Freese, hovrättsassessom Per Furberg, överdirektören Claes Gränström, departementsrådet Martin Holmgren, professorn Rolf Nygren, bolagsjuristen Kerstin Osterman, chefsjuristen Per Samuelson,

Missiv

professorn Björn Pehrson, kanslirådet Thomas Rolén, professorn Peter Seipel och datarådet Margareta Åberg.

Per Furberg har under tiden den l juli-31 augusti 1996 arbetat på heltid för kommittén med ett underlag avseende allmänna handlingars offentlighet.

Till sekreterare förordnades den 15 december 1995 hovrättsassessorer-

Charlotte Brokelind, Jönköping, och Sören Öman, Stockholm. na

Kommittén Ju 1995:08 har antagit namnet Datalagskommittén. Bitr. professorn Göran Collste, Centrum för tillämpad etik, Universite-

tet i Linköping, och doktoranden Johan Åhlfeldt, Institutionen för socialmedicin, Uppsala universitet, har anlitats som konsulter i fråga om begreppet personlig integritet respektive allmänhetens inställning till behandling personuppgifter. Deras rapporter finns fogade som bilagor till

av betänkandet.

Härmed får kommittén överlämna betänkandet Integritet - Offentlighet

- Informationsteknik SOU 1997:39.

Reservationer har lämnats Anders Christner kd, Tomas Ohlin fp

av och Inger René m gemensamt samt av Bo Edvardsson mp.

Särskilda yttranden har lämnats Bo Edvardsson mp och av Jan

av Evers, med instämmande av Rolf Nygren, av Barbro Fischerström, Anders S Forsberg, Jan Freese Margareta Åberg.

samt av

Utredningsarbetet är härmed avslutat.

Stockholm den 5 mars 1997

Staflan Vängby

Anders Christner Bo Edvardsson

Helena Frisk Tomas Eneroth

Birgitta Hambraeus Barbro Hietala Nordlund

Tomas Ohlin Inger Rene

Per Rosengren Majléne Westerlund Panke

Sven-Erik Österberg

/Charlotte Brokelind Sören Öman

Innehållsförteckning

6.2 Olika modeller för regleringen 181

6.2.1 Hanteringsmodellen och missbruksmodellen 181

SOU 1997: 39

FÖRKORTNINGAR

A. Anförd/anförda Arkivlagen Arkivlagen 1990:782 Arkivförordningen Arkivförordningen 1991 :446 BrB Brottsbalken Dataförordningen Dataförordningen 1982:480 Datalagen Datalagen 1973:289 Datalagsutredningens datalag SOU 1993:10

En ny

slutbetänkande DIFS Datainspektionens författningssamling Dir. Direktiv Dnr Diarienummer Ds Departementsserien EES Europeiska ekonomiska samarbetsområdet EG Europeiska gemenskapen tidigare Europeiska

ekonomiska gemenskapen, EEG EG-direktivet Europaparlamentets och rådets direktiv

ibland

bara direktivet 95/46/EG den 24 oktober 1995 skydd

av om

för enskilda med avseende på be-

personer

handling personuppgifter och om det fria

av

flödet sådana uppgifter

av EG-domstolen Europeiska gemenskapernas domstol EG-fördraget Fördraget upprättandet Europeiska ge-

om av

menskapen EGT Europeiska gemenskapernas officiella tidning EU Europeiska unionen FJFT Tidskrift utgiven juridiska föreningen i

av

Finland Förvaltningslagen Förvaltningslagen 1986:223 ILO International Labour Organization IT Informationsteknik tidigare: Informationstek-

nologi JT Juridisk Tidskrift vid Stockholms universitet Kommissionen Europeiska gemenskapernas kommission

Förkortningar SOU 1997: 39

KU Konstitutionsutskottets betänkande NJA Nytt juridiskt arkiv, avdelning 1 OECD Organisation for Economic Co-operation and

Development Prop. Proposition

RA-FS Riksarkivets författningssamling

RF Regeringsformen

RB Rättegångsbalken

RÅ Regeringsrättens årsbok Rådet Europeiska unionens råd Sekretesslagen Sekretesslagen 1980: 100 SFS Svensk författningssamling SOU Statens offentliga utredningar SPAR Det statliga och adressregistret

person- SvJ T Svensk Juristtidning

TF Tryckfrihetsförordningen

UfR Ugeskrift for retsvaesen URL Lagen 1960:729 upphovsrätt till litterära

om

och konstnärliga verk Utredningsdirektiven Dir. 1995:91 direktiven till Datalags-

kommittén Verksförordningen Verksförordningen 1995:1322 YGL Yttrandefrihetsgrundlagen

SOU 1997: 39

SAMMANFATTNING

En ny persondatalag

Vi har haft i uppdrag att göra en översyn av datalagen, som korn till redan år 1973. Syftet har varit att åstadkomma en modern och teknikoberoende lagstiftning skydd för den personliga integriteten vid behandling av

om

personuppgifter.

Vi lämnar förslag till helt persondatalag som till största delen

en ny bygger på ett färskt EG-direktiv området. En förutsättning för att vi skulle kunna lämna ett sådant förslag har varit att direktivet går att förena med det i Sverige är grundlagsskyddat eller särskilt betydelse-

som annars fullt från svenska utgångspunkter. Den nya lagstiftningen får inte inkräkta på offentlighetsprincipen eller tryck- och yttrandefriheten. Denna förutsättning är uppfylld. Genom att Sverige deltog i de slutliga förhandlingar-

direktivet har de svenska Synpunkterna kommit att beaktas i det. Vi na om föreslår tydliga bestämmelser i persondatalagen som klargör att lagen inte skall tillämpas i den utsträckning det skulle inskränka grundlagsskyddade rättigheter. Den föreslagna lagen berör och förändrar således inte dessa rättigheter.

Den föreslagna lagstiftningen bygger liksom EG-direktivet på att själva hanteringen personuppgifter regleras. Ett alternativ skulle vara att

av lämna hanteringen personuppgifter i stort sett fri och i stället hindra

av bara det kan betecknas ett missbruk. Med hänsyn till den oro som

som som många människor alltjämt känner för samlingar elektroniska uppgifter

av

dem har vi dock inte ansett tiden att i princip släppa hanteom mogen ringen databaserade personuppgifter fri. Sverige skulle inte heller full-

av göra sina internationella åtaganden om vi valde en helt annan modell än EG-direktivets. Vi dock att i ett längre perspektiv bör inrikta sig

anser man

på att stävja och beivra missbruk än att reglera en hantering som mera snart sagt alla kan hålla på med.

Den föreslagna persondatalagen kan ses som en ramlag som ger generella riktlinjer för all behandling personuppgifter. Avsikten är att rege-

av

Sammanfattning SOU 1997: 39

ringen och Datainspektionen skall inom den lagen drar närram som upp mare precisera regleringen. De särskilda registerförfattningama, innesom håller regler för bl.a. många viktiga myndighetsregister, omfattas inte av vårt uppdrag. Vi påpekar att dessa författningar inom de närmaste åren måste ses över och anpassas till den persondatalagen. nya Rent privat användning av personuppgifter undantas från den föreslagna lagen. Som exempel kan nämnas e-post mellan privatpersoner. Med behandling av personuppgifter i stort sett allt kan göra avses man med sådana uppgifter, t.ex. att samla in, söka, bevara och sprida uppgifter. Behandling av personuppgifter är helt eller delvis automatisk dvs. i som första hand datoriserad omfattas den föreslagna lagen. Manuell be- - av handling sådana uppgifter på papper omfattas bara uppgifterna av om skall ingå i ett regelrätt register. I den föreslagna lagen slås fast vissa grundläggande krav på all behandling av personuppgifter. Den persondataansvarige skall till se att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. Uppgifterna får sedan inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna ursprungligen samlades in. Fler uppgifter än nödvändigt får inte behandlas, och de behandlade uppgifterna skall adekvata och relevanta. Felaktiga, missvisande eller vara ofullständiga uppgifter skall korrigeras. Uppgifterna får bara så sparas länge det är nödvändigt med hänsyn till ändamålen med behandlingen. För uppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål finns särskilda regler.

Den föreslagna lagen innehåller en uttömmande uppräkning de fall då av personuppgifter får behandlas. Personuppgifter får alltid behandlas den om registrerade har lämnat sitt samtycke. I annat fall krävs att behandlingen är nödvändig för vissa angivna ändamål. De situationer då behandling är tillåten utan samtycke kan sammanfattas enligt följande. 0 I samband med avtal 0 För att fullgöra en rättslig skyldighet 0 För att skydda vitala intressen för den registrerade 0 För att utföra en arbetsuppgift av allmänt intresse eller i samband med myndighetsutövning 0 Efter intresseavvägning där den registrerades intressen vägs inen mot tressen på den persondataansvariges sida

För behandling av känsliga personuppgifter gäller enligt den föreslagna lagen särskilda regler. Som känsliga uppgifter sådana uppgifter anses som

SOU 1997: 39 Sammanfattning 5

rör hälsa eller sexualliv eller som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Sådana uppgifter får behandlas bara i de fall som räknas upp i lagen. Regeringen eller Datainspektionen kan dock tillåta att känsliga personuppgifter behandlas också i andra fall, under förutsättning att det behövs med hänsyn till ett viktigt allmänt intresse.

Känsliga personuppgifter får behandlas när den registrerade har lämnat sitt samtycke eller när han eller hon ett tydligt sätt har offentliggjort uppgiftema. De fall där sådana för ändamålet relevanta uppgifter annars får behandlas kan sammanfattas enligt följ

För att fullgöra skyldigheter eller utöva rättigheter inom arbetsrätten 0

För att skydda vitala intressen när den registrerade inte kan lämna sam- 0

tycke

För att rättsliga anspråk skall kunna fastställas, göras gällande eller för- 0

svaras

Inom ideella organisationer får känsliga uppgifter om medlemmar och 0

t.ex. sympatisörer behandlas, inte lämnas ut till någon utomstående

men

Inom hälso- och sjukvård 0

För forskning och statistik när forskningsetisk kommitté har godkänt 0 en

projektet eller när samhällsintresset av behandlingen annars klart över-

väger integritetsriskema

Uppgifter lagöverträdelser m.m. får enligt huvudregeln behandlas bara

om

myndigheter. Personnummer skall liksom i dag få användas bara när det av är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av

säker identifiering eller något annat beaktansvärt skäl. en

De registreras skall kännedom om behandlingen av uppgifterna.

som Enligt förslaget skall den persondataansvarige i samband med insamlingen

uppgifter självmant lämna de registrerade information om behandav lingen. När uppgifterna hämtas från någon annan källa än den registrerade, behöver information dock inte lämnas, om registreringen eller utlämnandet uppgifterna är forfattningsreglerat eller det skulle innebära

av om

oproportionerligt stor arbetsinsats att informera. en

Den registrerade skall enligt förslaget ha rätt att på begäran en gång per kalenderår gratis information de uppgifter som behandlas, dvs. ett

om registerutdrag. Den persondataansvarige skall vidare på begäran korrigera personuppgifter som är felaktiga, missvisande eller ofullständiga eller

inte har behandlats enligt de bestämmelser som gäller. annars

Sammanfattning SOU 1997: 39

För Överföring av personuppgifter utanför EU och EES föreslås vissa restriktioner.

Den föreslagna lagen innehåller bestämmelser om säkerheten vid behandling av personuppgifter.

Den nuvarande skyldigheten att i förväg anmäla behandlingar till Datainspektionen bör begränsas till ett minimum. Inspektionens verksamhet skall i stället koncentreras till tillsyn, information och rådgivning. Datainspektionen skall också genom föreskrifter precisera lagens regler på olika områden.

Om någon bryter mot den föreslagna lagen skall Datainspektionen söka åstadkomma rättelse. Inspektionen får enligt förslaget förelägga vite och föra talan att personuppgifter skall utplånas.

om

I övrigt är påföljden för brott mot den föreslagna lagen i första hand skadestånd till de registrerade som har drabbats skada. De skall utom

av annan ersättning liksom hittills ha rätt till ideellt skadestånd för kränkning. Skadeståndsansvaret bör vara i princip rent strikt, dvs. skadestånd skall betalas så snart reglerna inte har följts, vi föreslår möjlighet att efter

men en skälighet sätta ned skadeståndet för det fall att den persondataansvarige kan bevisa att den felaktiga behandlingen inte berodde på honom eller henne.

Den föreslagna lagen bör träda i kraft den 1 januari 1999 och tillämpas fullt ut på behandlingar som påbörjas därefter. För behandlingar redan

som pågår vid ikraftträdandet, bör den gamla datalagen få gälla ända till den l oktober 2001.

Offentlighetsprincipen i IT-samhället

Den andra delen av vårt uppdrag har varit att se över reglerna i 2 kap. tryckfrihetsförordningen om medborgarnas rätt att ta del av allmänna handlingar offentlighetsprincipen. Syftet har inte varit att förändra denna

princip utan att undersöka hur den kan tillämpas i modern IT-miljö. Vi

en har satt upp två utgångspunkter för detta arbete: 0 Offentligheten skall så vid möjligt

vara som 0 Reglerna måste vara tydliga och lätta att tillämpa

En vidsträckt offentlighetsinsyn medger en kontroll av makten och stärker på så sätt demokratin. Våra förslag syftar också till att på sikt vidga allmänhetens möjligheter att dra nytta det uppgiftsmaterial

av enorma som finns samlat hos de offentliga myndigheterna.

SOU 1997: 39 Sammanfattning 7

Vi föreslår att det centrala begreppet i offentlighetsprincipen skall

vara allmän uppgift i stället för allmän handling. Begreppet uppgift är teknikneutralt och sekretesslagen bygger redan nu på det. Förslaget innebär i denna del ingen större saklig förändring; har man kunnat få ut handling

en skall man kunna få ut en uppgift som finns i handling. En fördel är att

en man inte behöver använda fiktioner som uttrycket potentiella handlingar för att föra in elektroniska register under offentlighetsprincipen.

Begreppet handling finns enligt vårt förslag kvar i lagen

som en förvaringsplats för uppgifter. En handling har ett bestämt innehåll, nämligen det innehåll som den som en gång skrev handlingen gav den. Det har ingen betydelse om handlingen har formen av ett papper eller om den finns i digital form.

Sådana förvaringsplatser som inte är handlingar kallar vi databaser. Det som är typiskt för en databas är att uppgifterna är ordnade på ett sådant sätt att det går att söka bland dem och att man kan kombinera uppgifterna på olika sätt. Register är typiska exempel databaser. Manuella databaser och sådana förs med hjälp av digital teknik är likställda.

som Uppgifter kan alltså finnas antingen i handlingar eller i databaser. En förutsättning för att en uppgift skall vara allmän hos en myndighet

är att den förvaras hos myndigheten. På 1970-talet infördes en bestämmelse som innebär att allt är tekniskt tillgängligt för myndighet

som en anses förvarat hos denna. I den tidens stordatormiljö var en sådan regel rimlig. Vi konstaterar emellertid att en sådan regel inte går att tillämpa i

en modern IT-miljö där snart sagt allt är tekniskt tillgängligt t.ex. via Internet. En förutsättning för att offentlighetsprincipen skall fungera i praktiken är att gränserna mellan myndigheterna upprätthålls. Myndigheterna har annars sämre möjligheter att hålla ordning på sina uppgifter, och därmed försämras förutsättningarna för att allmänheten skall kunna finna dem.

Vi föreslår att begreppet förvar återfår sin egentliga betydelse, att

men det får innefatta även elektroniska förvar. Myndighetens skyldighet att lämna ut allmänna uppgifter skall alltså omfatta sådana uppgifter som den förvarar, antingen rent fysiskt på papper eller på en cd-romskiva, diskett eller hårddisk eller logiskt i ett elektroniskt arkiv som tillhör myndigheten.

Sådant som tillhör myndighetens bibliotek omfattas inte av offentlighetsprincipen. Det nya sättet att se förvar innebär att den bestämmelsen kan förenklas. En bok i biblioteket bör behandlas på sätt oavsett

samma om den är tryckt på papper eller om den finns en cd-romskiva.

Sammanfattning SOU 1997: 39

I dag anser man att myndigheterna har viss skyldighet när allen att mänheten vill ha ut uppgifter göra extra sökningar och sammanställningar utöver det som myndigheten själv normalt gör. Det brukar uttryckas så att det som kan tas fram med rutinbetonade åtgärder allmän anses vara en handling. Detta bör gälla även i framtiden bör relateras till kostnaden. men Det extra arbete som myndigheten kan utföra utan nämnvärda kostnader skall den skyldig att göra. Eftersom tekniken kommer allt vivara att ge dare och billigare möjligheter att söka och sammanställa uppgifter kommer också allmänhetens möjligheter att få insyn i myndigheternas verksamhet och del av deras kunskaper att öka i framtiden. När det gäller själva utlämnandet allmänna uppgifter till allmänheav ten föreslår vi en utvidgning offentlighetsprincipen. Den bör, enligt vårt av förslag, även omfatta rätt att få ut allmänna uppgifter i elektronisk form. en Vi är medvetna att sådan rätt inte kan införas generellt och omedelom en bart. Enligt den föreslagna regeln skall allmänhetens få allmänna rätt att uppgifter t.ex. på en diskett eller via e-post anpassad efter myndighevara tens tekniska möjligheter. Eftersom dessa fortlöpande förbättras kommer också insynen att bli effektiv. Det kan finnas särskilda bestämmelser mer som förbjuder myndigheter att lämna ut uppgifter i digital form och i vissa fall kan sådant utlämnande falla under sekretess, principen bör men vara att man har samma rätt att få uppgifter i elektronisk form på som papper. Detta bör, åtminstone på sikt, positivt även för myndigheterna vara som slipper dyrbar pappershantering. Rätten att få uppgifter i elektronisk form bör inte omfatta datorprogram, eftersom detta skulle kunna inkräkta upphovsrätten. Vi däranser emot att det finns ett allmänt intresse att reda på hur myndigheternas av datorprogram fungerar; detta gäller särskilt när myndighetens beslut fattas automatiskt genom datorprogram. För att förstärka offentlighetsinsynen föreslår vi därför att myndigheterna, när det gäller sådana skall program, vara skyldiga att tillhandahålla beskrivningar systemdokumentation över hur programmen fungerar. Vårt förslag till begreppsapparat i tryckfrihetsförordningen kräver ny följdändringar i andra lagar. Vi lämnar förslag till sådana ändringar i sekretesslagen och arkivlagen. Tryckfrihetsförordningen inte i dag vad skall hända med de anger som allmänna handlingarna när de inte längre är aktuella. Eftersom det är av stor praktisk betydelse för offentlighetsinsynen att allmänna uppgifter bevaras föreslår vi att det införs en bestämmelse i tryckfrihetsförordningen som hänvisar till arkivlagen.

SOU 1997: 39 Sammanfattning

Reservationer har lämnats av Anders Christner kd, Tomas Ohlin fp och Inger René m gemensamt samt av Bo Edvardsson mp.

Särskilda yttranden har lämnats av Bo Edvardsson mp och Jan

av Evers, med instämmande av Rolf Nygren, Barbro Fischerström, Anders

av S Forsberg, Jan Freese samt av Margareta Åberg.

SOU 1997: 39 Författningsförslag: Persondatalagen ll

FÖRFATTNINGSFÖRSLAG

Förslag till

a

Persondatalag 1998:000

Härmed föreskrivsl följande.

Inledande bestämmelser Syftet med lagen 1 § Syftet med denna lag är att skydda människor mot otillbörligt intrång i den personliga integriteten vid behandling av personuppgifter. Avvikande bestämmelser i annan lagstiftning 2 § Om det i en annan lag eller i en förordning finns bestämmelser

som avviker från denna lag, skall dessa bestämmelser gälla.

1 Jfr Europaparlamentets och rådets direktiv 95/46/EG den 24 oktober 1995

av om

skydd för enskilda personer med avseende på behandling av personuppgifter och

om det fria flödet av sådana uppgifter EGT nr L 281, 23.11.1995, s. 31, Celex

395L0046.

12 F Örfattningsförslag: Persondatalagen SOU 1997: 39

Definitioner

3§ I denna lag används följande beteckningar med nedan angiven betydelse.

Beteckning Betydelse Behandling Varje åtgärd som vidtas beträffande personuppgifav personuppgifter ter. Blockering Varje åtgärd kan vidtas för att personuppgifav per- som sonuppgifter terna i alla sammanhang skall vara förknippade med tydlig information om att de är spärrade och anledningen till spärren och för att personuppom gifterna inte skall lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen.

Den registrerade Den som en personuppgift avser.

Känsliga Sådana personuppgifter som avses i 13 personuppgifter Mottagare Den till vilken personuppgifter lämnas ut. När personuppgifter lämnas ut för att myndighet skall en kunna utföra sådan tillsyn, kontroll eller revision åligger den, dock inte myndigheten som som anses mottagare. Persondataansvarig Den eller tillsammans med andra besom ensam stämmer ändamålen med och medlen för behandlingen av personuppgifter. Persondatabiträde Den behandlar personuppgifter för den persom sondataansvariges räkning. Personuppgifter All slags information direkt eller indirekt kan som hänföras till fysisk person som är i livet. en Samtycke Varje slag frivillig, särskild och informerad av viljeyttring vilken den registrerade godtar genom behandling personuppgifter som rör honom av eller henne. Tillsynsmyndigheten Den myndighet som regeringen utser. Tredje land En inte ingår i Europeiska unionen eller är stat som ansluten till Europeiska ekonomiska samarbetsområdet.

SOU 1997: 39 Författningsförslag: Persondatalagen 13

Beteckning Betydelse Tredje Någon annan än den registrerade, den persondata-

man ansvarige, persondatabiträdet och sådana personer som under den persondataansvariges eller person-

databiträdets direkta har befogenhet att be-

ansvar

handla personuppgifter. Ett sådant persondataom-

bud i 37 § anses inte som tredje man.

som avses

Tillämpningsområdet

Det territoriella tillämpningsområdet

4§ Denna lag gäller för sådana persondataansvariga som är etablerade i Sverige.

Lagen tillämpas också när den persondataansvarige är etablerad i tredje land för behandlingen personuppgifter använder sig utrustning

men av av finns i Sverige. Vad som nu sagts gäller dock inte om utrustningen

som bara används för att överföra uppgifter mellan ett tredje land och ett annat sådant land.

I det fall avses i andra stycket skall den persondataansvarige utse

som

företrädare för sig är etablerad i Sverige. Den persondataansvarige en som skall, innan utrustningen börjar användas, till tillsynsmyndigheten skriftli-

anmäla har utsetts och därvid bifoga ett skriftligt medgigen vem som vande från den utsedde. Vad i denna lag om den persondata-

som anges ansvarige skall också gälla den företrädare har anmälts på detta sätt.

som

Vilken behandling personuppgifter omfattas av lagen

av

5 § Denna lag gäller för sådan behandling personuppgifter som helt

av eller delvis är automatisk.

Lagen gäller även för behandling personuppgifter, om uppgif-

annan av terna ingår i eller är avsedda att ingå i ett register. Med register avses varje strukturerad samling personuppgifter vilka är tillgängliga för sökning

av eller sammanställning enligt särskilda kriterier.

Undantag för privat användning av personuppgifter

6 § Denna lag gäller inte för sådan behandling av personuppgifter som en fysisk utför ett led i en verksamhet av rent privat natur.

person som

14 F örfattnin gsförslag: Persondatalagen SOU 1997: 39

Undantag med hänsyn till yttrandefriheten

7 § Bestämmelserna i 9-29 och 33-46 samt 47 § första stycket och 49 § skall inte tillämpas sådana förfaranden är skyddade enligt tryckfrihetsförordningen a som

eller yttrandefrihetsgrundlagen,

spridningen sådana yttranden är skyddade enligt tryckfrihetsb av som

förordningen eller yttrandefrihetsgrundlagen, eller

sådan behandling personuppgifter sker uteslutande för c av som annars journalistiska ändamål eller konstnärligt eller litterärt skapande.

Förhållandet till oflentlighetsprincipen

8 § Bestämmelserna i denna lag skall inte tillämpas i den utsträckning det skulle inskränka myndighets skyldighet enligt 2 kap. tryckfrihetsförorden

ningen att lämna ut personuppgifter.

Bestämmelserna hindrar inte heller myndighet arkiverar och beatt en sina allmänna uppgifter eller att arkivmaterial tas om hand av en arvarar kivmyndighet. Bestämmelserna i 9 § tredje stycket gäller inte för personuppgifter i en myndighets arkiv.

Grundläggande krav på behandlingen av personuppgifter

9 § Den persondataansvarige skall se till att personuppgifter behandlas bara när det är lagligt, särskilt att sam-

a

tycke inhämtas när så krävs, b att personuppgifter alltid behandlas på ett korrekt sätt, att personuppgifter samlas bara för särskilda, uttryckligt angivna och

c

berättigade ändamål, d att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, att de personuppgifter behandlas är adekvata och relevanta i före som hållande till ändamålen med behandlingen, f inte fler personuppgifter behandlas än som är nödvändigt med hänatt till ändamålen med behandlingen, syn att de personuppgifter behandlas är riktiga och, om det är nödg som vändigt, aktuella,

SOU 1997: 39 Författningsförslag: Persondatalagen 15

h att alla rimliga åtgärder vidtas for att rätta, blockera eller utplåna så-

dana personuppgifter är felaktiga, missvisande eller ofullständiga

som med hänsyn till ändamålen med behandlingen, och

i att personuppgifter inte bevaras under en längre tid än vad som är nöd-

vändigt med hänsyn till ändamålen med behandlingen.

Beträffande första stycket d gäller att behandling av personuppgifter

en for historiska, statistiska eller vetenskapliga ändamål inte skall anses som oförenlig med de ändamål för vilka uppgifterna samlades in. I fråga om första stycket i gäller att personuppgifter får bevaras under längre tid än , l sagts där for historiska, statistiska eller vetenskapliga ändamål. som

Personuppgifter behandlas for historiska, statistiska eller veten-

som skapliga ändamål får användas for att vidta åtgärder beträffande den registrerade den registrerade har lämnat sitt samtycke eller det finns

bara om synnerliga skäl med hänsyn till den registrerades eller någon vitala

annans intressen.

E

l l personuppgifter tillåten När behandling av är

Allmänt

10 § Personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller när behandlingen är nödvändig a för att fullgöra ett avtal med den registrerade, b för att på den registrerades begäran vidta åtgärder innan ett avtal

träffas,

för att den persondataansvarige skall kunna fullgöra en rättslig skyl-

c

dighet, d för att skydda vitala intressen för den registrerade, e för att utföra en arbetsuppgift av allmänt intresse, f för att den persondataansvarige eller en tredje man till vilken person-

uppgifter lämnas ut skall kunna utföra arbetsuppgift i samband med

en myndighetsutövning, eller för ändamål rör ett berättigat intresse hos den persondataansvarige

g som

eller hos sådana tredje män till vilka personuppgifterna lämnas ut när

detta intresse väger tyngre än den registrerades intresse.

16 Författningsförslag: Persondatalagen SOU 1997: 39

Direkt marknadsföring

ll § Personuppgifter får inte behandlas för ändamål rör direkt marksom nadsföring, om den registrerade hos den persondataansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling.

Samtycke återkallas

12 § I de fall där behandling personuppgifter bara är tillåten när den av registrerade har lämnat sitt samtycke enligt lO, 15 eller 34 § har den registrerade rätt att när som helst återkalla ett lämnat samtycke. Ytterligare personuppgifter om den registrerade får därefter inte behandlas. En registrerad har utöver vad följer första stycket och ll § inte som av rätt att motsätta sig sådan behandling personuppgifter är tillåten av som enligt denna lag.

Förbud mot behandling av känsliga personuppgifter

13 § Det är förbjudet att behandla personuppgifter avslöjar som a ras eller etniskt ursprung, b politiska åsikter, c religiös eller filosofisk övertygelse, eller

d medlemskap i fackförening.

Det är också förbjudet att behandla sådana personuppgifter rör hälsa som eller sexualliv.

Undantag från förbudet mot behandling känsliga personuppgifter av

Allmänt

14 § Utan hinder av 13 § är det tillåtet att behandla känsliga personuppgifter i de fall som anges i 15-19 §§. I 10 § finns det bestämmelser i vilka fall behandling om av personuppgifter över huvud taget är tillåten.

SOU 1997: 39 Författningsförslag: Persondatalagen 17

Samtycke eller offentliggörande

15§ Känsliga personuppgifter får behandlas, om den registrerade har samtyckt till behandlingen eller på ett tydligt sätt offentliggjort uppgiftema.

Behandlingen är nödvändig i vissa fall

16 § Känsliga personuppgifter får behandlas när behandlingen är nödvändig för att

den persondataansvarige skall kunna fullgöra sina skyldigheter eller

a

utöva sina rättigheter inom arbetsrätten, b skydda vitala intressen för den registrerade eller någon annan och den

registrerade inte kan lämna samtycke, eller rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras.

c

Uppgifter behandlas med stöd av första stycket a får lämnas ut till

som tredje bara det inom arbetsrätten finns en uttrycklig skyldighet för

man om den persondataansvarige att göra det eller den registrerade har samtyckt till utlämnandet.

Ideella organisationer

17 § Ideella organisationer med politiskt, filosofiskt, religiöst eller fackligt syfte får inom ramen för sin verksamhet behandla känsliga personuppgifter

organisationens medlemmar och sådana andra personer som på grund om

organisationens syfte har regelbunden kontakt med denna. Känsliga av personuppgifter får dock lämnas ut till tredje bara den registrerade

man om har samtyckt till det.

Hälso- och sjukvård

18 § Känsliga personuppgifter får behandlas, om behandlingen är nödvändig för

förebyggande hälso- och sjukvård,

a

b medicinska diagnoser,

vård eller behandling, eller

c

d administration hälso- och sjukvård.

av

18 F örfattningsförslag: Persondatalagen SOU 1997: 39

Den som är yrkesmässigt verksam inom hälso- och sjukvårdsområdet och har tystnadsplikt får alltid behandla känsliga personuppgifter omfattas

som av tystnadsplikten.

Forskning och statistik

19§ Känsliga personuppgifter får behandlas för forsknings- och statistikändamål, om behandlingen är nödvändig och samhällsintresset det

om av forsknings- eller statistikprojekt vari behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet be-

som handlingen kan innebära.

Har projektet godkänts av en forskningsetisk kommitté, skall förutsättningarna enligt första stycket uppfyllda. Med forskningsetisk

anses kommitté avses ett sådant särskilt för prövning forskningsetiska

organ av frågor som har företrädare för såväl det allmänna som forskningen och som är knutet till ett universitet eller en högskola eller till någon in-

annan stans i mera betydande omfattning finansierar forskning.

som

Personuppgifter får lämnas ut for att användas i sådana projekt

som avses i första stycket, om inte något annat följer av sekretesslagen 1980:100.

Bemyndigande att föreskriva ytterl igare undantag

20 § Regeringen eller den myndighet som regeringen bestämmer får föreskriva ytterligare undantag från förbudet i 13 om det behövs med hänsyn till ett viktigt allmänt intresse.

Uppgifter om lagöverträdelser

21 § Det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser eller om domar och säkerhetsåtgärder i brottmål.

Regeringen eller den myndighet som regeringen bestämmer får föreskriva undantag från förbudet i första stycket.

SOU 1997: 39 F örfattnin gsförslag: Persondatalagen 19

Användning av personnummer

22 § Uppgift om personnummer får behandlas bara när det är klart motiverat med hänsyn till a ändamålet med behandlingen, b vikten av en säker identifiering, eller c något annat beaktansvärt skäl.

Information till den registrerade

Information skall lämnas självmant när uppgifterna samlas in

23 § När uppgifter om en person samlas in från denne själv, skall den persondataansvarige självmant lämna den registrerade information rörande behandlingen.

24 § Om personuppgifterna har samlats in från annan källa än den registrerade, skall den persondataansvarige självmant lämna den registrerade information rörande behandlingen när uppgifterna noteras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver informationen dock lämnas först när uppgifterna lämnas ut for första gången.

Information enligt forsta stycket behöver inte lämnas, om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning.

Information behöver inte heller lämnas enligt första stycket, detta

om visar sig vara omöjligt eller skulle innebära en oproportionerligt stor

arbetsinsats. Om uppgifterna används för att vidta åtgärder beträffande den registrerade, skall dock information alltid lämnas senast i samband med att så sker.

Vilken information skall lämnas självmant

25 § Information enligt 23 § eller 24 § första stycket skall omfatta a uppgift om den persondataansvariges identitet, b uppgift om ändamålen med behandlingen, och c all övrig information som behövs for att den registrerade skall kunna ta

till vara sina rättigheter, såsom information mottagarna uppgif-

om av terna, skyldighet att lämna uppgifter och rätten att ansöka om information.

20 F örfattningsförslag: Persondatalagen SOU 1997: 39

Uppgifter behöver dock inte lämnas sådant den registrerade redan

om som känner till.

Information skall också lämnas efter ansökan

26 § Den persondataansvarige är skyldig att till och som ansöker om

var en det gång kalenderår gratis lämna information, om personuppgifter

en per

rör sökanden behandlas eller inte. Behandlas sådana uppgifter skall som skriftlig information lämnas också om

vilka uppgifter sökanden behandlas, a om som b varifrån dessa uppgifter har hämtats,

ändamålen med behandlingen, och

e

d till vilka mottagare eller kategorier av mottagare som uppgifterna läm-

nas ut.

En ansökan enligt första stycket skall göras skriftligen hos den persondataansvarige och undertecknad av den sökande själv. Information enligt

vara första stycket skall lämnas inom månad från det att ansökan gjordes.

en Det är dock tillåtet att lämna information bara vid tre över året jämnt fördelade tillfällen, det finns särskilda skäl för det.

om

Information enligt första stycket behöver inte lämnas beträffande personuppgifter i löpande inte fått sin slutliga utformning när ansö-

text som kan gjordes eller utgör minnesanteckning eller liknande. Vad som nu

som sagts gäller dock inte uppgifterna har lämnats ut till tredje man, om

om uppgifterna behandlas bara för historiska, statistiska eller vetenskapliga ändamål eller, såvitt gäller löpande inte fått sin slutliga utform-

text som ning, uppgifterna har behandlats under längre tid än ett år.

om

Undantag från informationsskyldigheten vid sekretess och tystnadsplikt

27 § I den utsträckning det är särskilt föreskrivet i lag eller annan författning eller i beslut har meddelats med stöd författning att uppgifter

som av inte får lämnas ut till den registrerade gäller inte bestämmelserna i 23- 26 §§.

Regeringen eller den myndighet regeringen bestämmer får medge

som undantag från bestämmelserna i 23-26 §§, det behövs for att skydda

om grundläggande intressen för enskilda eller för att förebygga, undersöka eller avslöja brott.

SOU 1997: 39 F örfattrzingsförslag: Persondatalagen 21

Rättelse

28 § Den persondataansvarige är skyldig att begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har utfärdats med stöd j i lagen. Den persondataansvarige skall också underrätta de tredje män till av vilka uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller underrättelse skulle kunna undvika mera betydande skada

om en eller olägenhet för den registrerade. Någon sådan underrättelse behöver dock inte lämnas om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats.

Automatiserade beslut

29§ Ett beslut har rättsliga följder för en fysisk person eller annars

som har märkbara verkningar för denne får grundas enbart på automatisk behandling personuppgifter, vilka är avsedda att bedöma egenskaper hos

av den berörda bara den berörs av beslutet har möjlighet att

personen, om som på begäran beslutet omprövat på manuell väg.

Var och varit föremål för ett sådant beslut avses i första

en som som stycket har rätt att på ansökan få information från den persondataansvarige

vilka regler har styrt den automatiska behandling som har lett om som fram till beslutet. I fråga om ansökan och lämnandet av information gäller i tillämpliga delar bestämmelserna i 26

Säkerheten vid behandling

arbetar med personuppgifter De personer som

30§ Ett persondatabiträde och den eller de arbetar under

personer som dennes eller den persondataansvariges ledning får behandla personuppgifter bara i enlighet med instruktioner från den persondataansvarige. I fråga

sekretess och tystnadsplikt i det allmännas verksamhet tillämpas i om stället bestämmelserna i sekretesslagen 1980: 100.

Det skall finnas ett skriftligt avtal persondatabiträdets behandling

om

personuppgifter för den persondataansvariges räkning. I det avtalet skall av det särskilt föreskrivas att persondatabiträdet får behandla personuppgifterna bara i enlighet med instruktioner från den persondataansvarige och

22 F örfattningsförslag: Persondatalagen SOU 1997: 39

att persondatabiträdet är skyldigt att vidta de åtgärder som avses i 31 § första stycket.

Skyddsåtgärder

31 § Den persondataansvarige skall vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna skall åstadkomma säkerhetsnivå som är lämplig med beaktande

en av

de tekniska möjligheter som finns,

a

b vad det skulle kosta att genomföra åtgärderna,

de särskilda risker finns med behandlingen av personuppgifterna, c som

och d känsliga de behandlade personuppgifterna är.

hur pass

När den persondataansvarige anlitar ett persondatabiträde, skall den persondataansvarige förvissa sig att persondatabiträdet kan genomföra de

om säkerhetsåtgärder måste vidtas och till att persondatabiträdet verk-

som se ligen vidtar åtgärderna.

Tillsynsmyndigheten får besluta skyddsåtgärder

om

32 § Tillsynsmyndigheten får besluta vilka skyddsåtgärder som den

om persondataansvarige skall vidta enligt 31

I 47 § finns det bestämmelser tillsynsmyndighetens möjligheter att

om förena beslutet med vite.

Överföring personuppgifter till tredje land

av

Förbud mot Överföring

33 § Det är förbjudet att till tredje land föra över personuppgifter som behandlas. Förbudet gäller också överföring personuppgifter för behand-

av ling i tredje land.

SOU 1997: 39 F örfattningsförslag: Persondatalagen 23

Undantag från förbudet

34 § Utan hinder av 33 § är det tillåtet att föra över personuppgifter till tredje land, om den registrerade har samtyckt till överföringen eller när överföringen är nödvändig för att a fullgöra ett avtal mellan den registrerade och den persondataansvarige, b på den registrerades begäran vidta åtgärder innan ett avtal träffas, c ingå eller fullgöra ett sådant avtal mellan den persondataansvarige och

tredje man som är i den registrerades intresse, d rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras,

eller e skydda vitala intressen för den registrerade.

Det är också tillåtet att föra över personuppgifter för användning enbart i

stat har anslutit sig till Europarådets konvention skydd för en som om enskilda vid automatisk databehandling av personuppgifter.

35 § Regeringen får för överföring av personuppgifter till vissa stater föreskriva undantag från förbudet i 33 Regeringen får också föreskriva att överföring personuppgifter till tredje land är tillåten, överföringen

av om regleras av ett avtal som innehåller vissa bestämmelser till skydd för de registrerades rättigheter.

Regeringen eller den myndighet som regeringen bestämmer får vidare medge undantag från förbudet i 33 om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter.

Anmälan till tillsynsmyndigheten

Anmälningsskyldighet

36 § Behandling av personuppgifter som är helt eller delvis automatisk omfattas av anmälningsskyldighet. Den persondataansvarige skall innan

en sådan behandling eller serie sådana behandlingar, har

en av som samma eller liknande ändamål, genomförs skriftlig anmälan till tillsyns-

göra en myndigheten.

Regeringen eller den myndighet som regeringen bestämmer får föreskriva undantag från anmälningsskyldigheten för sådana typer behand-

av lingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integriteten.

24 F örfattningsförslag: Persondatalagen SOU 1997: 39

Anmälan behöver inte göras om det finns ett persondataombud

37 § När den persondataansvarige har offentliggjort en uppgift om att ett persondataombud utsetts och vem det är, behöver anmälan enligt 36 § inte göras.

Persondataombudets uppgifter

38 § Persondataombudet skall ha till uppgift att självständigt se till att den persondataansvarige behandlar personuppgifter ett korrekt och lagligt sätt och påpeka eventuella brister för denne.

Har persondataombudet anledning att misstänka att den persondataansvarige bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och vidtas inte rättelse så snart det kan ske efter påpekande, skall persondataombudet anmäla förhållandet till tillsynsmyndigheten.

Persondataombudet skall även i övrigt samråda med tillsynsmyndigheten vid tveksamhet om hur de bestämmelser som gäller för behandlingen

personuppgifter skall tillämpas. av 39 § Persondataombudet skall föra en förteckning över de behandlingar

den persondataansvarige genomför och som skulle ha omfattats av ansom mälningsskyldighet om ombudet inte hade funnits. Förteckningen skall omfatta åtminstone de uppgifter som en anmälan enligt 36§ skulle ha innehållit.

40§ Persondataombudet skall hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga, missvisande eller ofullständiga.

Obligatorisk anmälan för särskilt integritetskärzsliga behandlingar

41 § Regeringen får föreskriva att vissa behandlingar av personuppgifter

kan innebära särskilda risker för otillbörligt intrång i den personliga som integriteten skall för förhandskontroll anmälas till tillsynsmyndigheten enligt 36 § tre veckor i förväg. Om regeringen har meddelat sådana föreskrifter, gäller inte undantaget från anmälningsskyldigheten enligt 37

SOU 1997: 39 F örfattningsförslag: Persondatalagen 25

Upplysningar till allmänheten om behandlingar som inte anmälts

42 § Den persondataansvarige skall till var och en som begär det skyndsamt och på lämpligt sätt lämna upplysningar om sådana automatiska eller andra behandlingar av personuppgifter som inte har anmälts till tillsynsmyndigheten. Upplysningarna skall omfatta det som en anmälan enligt 36 § skulle ha omfattat. Den persondataansvarige är dock inte skyldig att lämna ut uppgifter vilka säkerhetsåtgärder som har vidtagits.

om

Skadestånd

43 § Den persondataansvarige skall ersätta den registrerade för den skada som en behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats med stöd av lagen har fort med sig. Ersättning skall också betalas for ren formögenhetsskada och för den kränkning av den personliga integriteten som behandlingen har inneburit.

Ersättningsskyldigheten enligt första stycket kan i den utsträckning det är skäligt sättas ned eller helt falla bort, om den persondataansvarige visar att felet inte berodde på honom eller henne.

Straff för osanna uppgifter

44 § Till böter eller fängelse högst sex månader eller, om brottet är grovt, till fängelse i högst två år döms den som uppsåtligen eller av oaktsamhet lämnar osann uppgift a i information till registrerade som föreskrivs i denna lag, b i anmälan till tillsynsmyndigheten enligt 36 eller c till tillsynsmyndigheten när myndigheten begär information enligt

Tillsynsmyndighetens befogenheter

45 § Tillsynsmyndigheten har rätt att for sin tillsyn på begäran få a tillgång till de personuppgifter som behandlas, b upplysningar och dokumentation rörande behandlingen av personupp-

gifter och säkerheten vid denna, och c tillträde till sådana lokaler som har anknytning till behandlingen av

personuppgifter.

26 F örfattningsförslag: Persondatalagen SOU 1997: 39

46 § Om tillsynsmyndigheten inte efter begäran enligt 45 § kan få tillräckligt underlag för att konstatera att behandlingen av personuppgifter är laglig, får myndigheten vid vite förbjuda den persondataansvarige att behandla personuppgifter på annat sätt än genom att lagra dem.

47§ Om tillsynsmyndigheten konstaterar att personuppgifter behandlas eller kan komma att behandlas på ett olagligt sätt, skall myndigheten ge-

påpekanden eller liknande förfaranden försöka åstadkomma rättelse. nom Går det inte att få rättelse på annat sätt eller är det riskfyllt att vänta, får myndigheten vid vite förbjuda den persondataansvarige att fortsätta att behandla personuppgifterna på annat sätt än genom att lagra dem.

Om den persondataansvarige inte frivilligt följer ett beslut om skyddsåtgärder enligt 32 vunnit laga kraft, får tillsynsmyndigheten

som föreskriva vite för att beslutet skall genomföras.

48 § Innan tillsynsmyndigheten beslutar om vite enligt 46 eller 47 skall den persondataansvarige ha fått tillfälle att yttra sig. Om det är riskfyllt att vänta, får myndigheten dock i avvaktan på yttrandet meddela ett tillfälligt beslut om vite. Det tillfälliga beslutet skall prövas om, när yttrandetiden har gått ut.

Ett vitesföreläggande skall delges den persondataansvarige. Delgivning enligt 12 § delgivningslagen 1970:428 får dock användas bara om det finns skäl att anta att den persondataansvarige har avvikit eller håller sig undan på något annat sätt.

49 § Tillsynsmyndigheten får hos länsrätten i det län där myndigheten är belägen ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt skall utplånas.

Beslut utplånande får inte meddelas om det är oskäligt.

om

Överklagande

50 § Tillsynsmyndighetens beslut enligt denna lag annat än generella

om föreskrifter får överklagas hos allmän förvaltningsdomstol.

Prövningstillstånd krävs vid Överklagande till kammarrätten.

Tillsynsmyndigheten får bestämma att dess beslut skall gälla även om det överklagas.

SOU 1997: 39 Författningsförslag: Persondatalagen 27

Närmare föreskrifter

51 § Regeringen eller den myndighet som regeringen bestämmer får meddela närmare föreskrifter om a i vilka fall behandling av personuppgifter är tillåten, b vilka krav som ställs den persondataansvarige vid behandling av

personuppgifter, C i vilka fall användning är tillåten,

av personnummer d innehållet i en anmälan eller ansökan till en persondataansvarig, e vilken information skall lämnas till registrerade och hur lämnan-

som

det av information skall gå till, och f anmälan till tillsynsmyndigheten och förfarandet när anmälda uppgifter

har ändrats.

Övergångsbestämmelser

Denna lag träder i kraft den 1 januari 1999, då datalagen 1973:289

skall upphöra att gälla. Den äldre lagen gäller dock fortfarande i fråga

överklagande av beslut som har meddelats före den l januari 1999.

om

Beträffande sådan behandling personuppgifter pågår vid ikraft-

av som

.

trädandet skall till utgången av september månad 2001 den äldre lagen

tillämpas i stället för den nya. Detta gäller även bestämmelserna i den

överklagande.

äldre lagen om

Bestämmelserna i 10, 13 och 21 §§ i den nya lagen skall inte börja

.

tillämpas förrän den 1 oktober 2007 beträffande sådan manuell behand-

ling personuppgifter pågår vid ikraftträdandet.

av som

Beträffande personuppgifter som vid ikraftträdandet lagras för historisk

.

forskning skall bestämmelserna i 10, 13 och 21 i den nya lagen

börja tillämpas först när uppgifterna behandlas på något annat sätt.

Dessförinnan skall motsvarande bestämmelser i den äldre lagen tillämpas. De angivna bestämmelserna i den nya lagen skall dock inte till följd

vad som nu sagts börja tillämpas tidigare än vad som följer av punkt av 2 eller 3 ovan. Anmälan enligt 36 § i den nya lagen får göras före ikraftträdandet. .

Ett samtycke har lämnats före ikraftträdandet skall gälla även efter

som

.

ikraftträdandet om samtycket uppfyller kraven i den nya lagen.

Har en begäran om registerutdrag enligt 10 § i den äldre lagen kommit

.

in före ikraftträdandet men har utdraget inte expedierats före ikraftträ-

28 F drfattnzngsf0"rsIag.‘ Persondatalagen SOU 1997: 39

dandet skall framställningen anses som en ansökan enligt 26 § i den

nya lagen. Den nya lagens bestämmelser om skadestånd skall bara tillämpas

om den omständighet som yrkandet hänför sig till har inträffat efter ikraftträdandet. I annat fall tillämpas de äldre bestämmelserna.

SOU 1997: 39 Författningsförslag: Tryckfiihetsférordningen 29

Förslag till

b

om ändring i Lag

Tryckfrihetsförordningen

Härigenom föreskrivs i fråga tryckfrihetsförordningen 1949:105

om dels att 1 kap. 1 2 kap. 1-19 §§, 7 kap. 3 och 5 samt rubriken till

2 kap. skall ha följande lydelse, dels att det skall införas en ny paragraf, 2 kap. 20 av följande lydelse.

Nuvarande lydelse Föreslagen lydelse

1 kap.

1 §

Med tryckfrihet förstås varje svensk medborgares rätt att, utan några av myndighet eller annat allmänt organ i förväg lagda hinder, utgiva skrifter, att sedermera endast inför laglig domstol kunna tilltalas för deras innehåll, och att icke i annat fall kunna straffas därför, än detta innehåll

om strider mot tydlig lag, given att bevara allmänt lugn, utan att återhålla allmän upplysning.

30 F Örfattningsförslag: Tryckfrihetsförordningen SOU 1997: 39

I överensstämmelse med de i I överensstämmelse med de i första stycket angivna grunderna första stycket angivna grunderna för en allmän tryckfrihet och till för allmän tryckfrihet och till

en säkerställande av ett fritt menings- säkerställande av ett fritt meningsutbyte och en allsidig upplysning utbyte och allsidig upplysning

en skall det stå varje svensk medbor- skall det stå varje svensk medborgare fritt att, med iakttagande av de fritt att, med iakttagande de

gare av bestämmelser som äro i denna för- bestämmelser som äro i denna forordning meddelade till skydd för ordning meddelade till skydd för enskild rätt och allmän säkerhet, i enskild rätt och allmän säkerhet, i tryckt skrift yttra sina tankar och tryckt skrift yttra sina tankar och åsikter, offentliggöra allmänna åsikter, offentliggöra handlingar handlingar samt meddela uppgifter som innehåller allmänna uppgifter och underrättelser i vad ämne som samt meddela uppgifter och underhelst. rättelser i vad helst.

ämne som

Det skall ock stå envar fritt att, i alla de fall då annat är i denna förordning föreskrivet, meddela uppgifter och underrättelser i vad ämne som helst for offentliggörande i tryckt skrift till författare eller är

annan som att anse som upphovsman till framställning i skriften, till skriftens utgivare eller, om för skriften finnes särskild redaktion, till denna eller till företag för yrkesmässig förmedling av nyheter eller andra meddelanden till periodiska skrifter.

Vidare skall envar äga rätt att, om annat följer av denna förordning, anskaffa uppgifter och underrättelser i vad ämne som helst för att offentliggöra dem i tryckt skrift eller för att lämna meddelande i

som avses föregående stycke.

2 kap.

Om allmänna handlingars offent- Om allmänna uppgifters offentlighet lighet

1§ 1§

Till främjande av ett fritt menings- Till främjande av ett fritt meningsutbyte och en allsidig upplysning utbyte och en allsidig upplysning skall varje svensk medborgare ha skall varje svensk medborgare ha rätt att taga del av allmänna hand- rätt att ta del av allmänna uppgiflingar. ter.

39 Forfattningsförslag: Tryckfrihetsförordningen 31 SOU 1997:

3§ 2§

Med handling förstås framställning En uppgift är allmän om den finns i i skrift eller bild samt upptagning myndighetens förvar kan läsas, avlyssnas eller i handling enligt 7 eller som a en som sätt uppfattas endast med tek- 8§ är att anse som inkommen annat niskt hjälpmedel. Handling är all- till eller upprättad hos myndigden förvaras hos myndig- heten eller män om het och enligt 6 eller 7§ är att b i ett register eller någon annan anse inkommen till eller upprättad samling uppgifter som har som av hos myndighet. färdigställts för införing, sökning eller sammanställning av uppgifter databas.

Upptagning i forsta Uppgifter är allmänna oavsett om som avses stycket förvarad hos definns i skrift eller bild eller i en anses myndighet, upptagningen är till- form kan läsas, avlyssnas eller om som gänglig för myndigheten med tek- annat sätt uppfattas endast med niskt hjälpmedel myndigheten tekniska hjälpmedel som myndighesom själv utnyttjar för överföring i så- ten har. dan form att den kan läsas, avlysseller på annat sätt uppfattas. nas Detta gäller dock upptagning ingår i personregister, om som myndigheten enligt lag eller förordning eller särskilt beslut, som grundar sig på lag, saknar befogenhet att göra Överföringen. Med personregister förstås register, förteckning eller andra anteckningar innehålla uppgift som avser som enskild och kan hänföperson som ras till denne. Med handling framavses en ställning har ett bestämt innesom håll.

32 F örfattningsförslag: Tryckfrihetsförordningen SOU 1997: 39

2§ 3§

Rätten att taga del av allmänna Rätten att ta del allmänna uppgif-

av handlingar får begränsas endast ter får begränsas endast det är

om om det är påkallat med hänsyn till påkallat med hänsyn till

rikets säkerhet eller dess förhållande till annan stat eller mellanfolklig organisation,

2 rikets centrala finanspolitik, penningpolitik eller valutapolitik,

myndighets verksamhet för inspektion, kontroll eller tillsyn,

annan intresset att förebygga eller beivra brott,

5 det allmännas ekonomiska intresse, 6 skyddet för enskilds personliga eller ekonomiska förhållanden, 7 intresset att bevara djur- eller växtart.

.

Begränsning av rätten att taga del Begränsningar rätten att ta del

av av allmänna handlingar skall angi- allmänna uppgifter skall

av anges vas noga i bestämmelse i en sär- i bestämmelser i särskild

noga en skild lag eller, så i visst fall lag eller, det är lämpligare i ett

om om befinnes lämpligare, i annan lag visst fall, i lag till vilken

en annan vartill den särskilda lagen hänvisar. den särskilda lagen hänvisar. Efter Efter bemyndigande i sådan be- bemyndigande i sådan be-

en stämmelse får dock regeringen stämmelse fár dock regeringen

ge- genom förordning meddela närmare nom förordning meddela närmare föreskrifter om bestämmelsens till- föreskrifter bestämmelsens till-

om lämplighet. lämplighet.

Utan hinder av andra stycket får Utan hinder andra stycket får

av i bestämmelse som där avses riks- i bestämmelse där

en som avses dagen eller regeringen tilläggas riksdagen eller regeringen be-

ges befogenhet att efter omständighe- fogenhet att efter omständigheterna terna medgiva att viss handling medge att viss uppgift lämnas ut.

en lämnas ut.

SOU 1997: 39 F örfattningsförslag: Tryckfrihetsförordningen 33

4§

Om myndighets rätt att själv

en

söka efter eller sammanställa upp-

gifter hänsyn till enskildas per-

av

sonliga integritet har begränsats

lag eller författning,

genom annan

gäller den begränsningen även för

den vill ta del allmänna

som av

uppgifter-

4§ 5§

Brev eller annat meddelande som är En uppgift i ett brev eller annat ställt personligen till den som inne- meddelande som är ställt personlihar befattning vid myndighet anses gen till den som innehar en befatt-

allmän handling, hand- ning vid myndighet anses som som om en lingen gäller ärende eller allmän, om uppgiften gäller ett

annan fråga ankommer myndighe- ärende eller en annan fråga som an-

som ten och är avsedd for mottagaren kommer på myndigheten och inte är endast innehavare avsedd för mottagaren endast som

som av annan ställning. innehavare av annan ställning.

5§ 6§

Med myndighet likställas i detta Med myndighet likställs i detta kakapitel riksdagen, kyrkomötet och pitel riksdagen, kyrkomötet och bebeslutande kommunal församling. slutande kommunal församling.

34 F Örfattningsförslag: Tryckfrihetsförordningen SOU 1997: 39

6§ 7§

Handling anses inkommen till myn- En handling inkommen till

anses en dighet, när den har anlänt till myn- myndighet, när den har anlänt till digheten eller kommit behörig be- myndigheten eller kommit behörig fattningshavare till handa. I fråga befattningshavare till handa. om upptagning som avses i 3 § första stycket gäller i stället att den anses inkommen till myndighet när annan har gjort den tillgänglig för myndigheten på sätt som angives i 3 § andra stycket.

Tävlingsskrift, anbud eller Tävlingsskrift, anbud eller annan sådan handling som enligt sådan handling enligt

annan som tillkännagivande skall avlämnas i tillkännagivande skall avlämnas i förseglat omslag in- förseglat omslag inte inkom-

anses anses kommen Fore den tidpunkt som har före den tidpunkt har be-

men som bestämts För öppnandet. stämts för öppnandet.

Åtgärd någon vidtager

som endast som led i teknisk bearbetning eller teknisk lagring handling,

av som myndighet har tillhandahållit, skall anses leda till att handling är inkommen till den myndigheten.

7§ 8§

Handling anses upprättad hos myn- En handling upprättad hos

anses en dighet, när den har expedierats. myndighet, när den har expedierats. Handling som har expedierats Handling inte har expedierats

som anses upprättad när det ärende till anses upprättad när det ärende till vilket den hänför sig har slutbe- vilket den hänför sig har slutbehandlats hos myndigheten eller, om handlats myndigheten eller,

av om handlingen hänför sig till visst handlingen inte hänför sig till ett ärende, när den har justerats av visst ärende, när den har justerats

av myndigheten eller annat sätt fär- myndigheten eller på annat sätt färdigställts. digställts.

SOU 1997: 39 F örfattningsförslag: Tryckfrihetsförordningen 35

I stället för vad som föreskrives i Följande undantag gäller från vad forsta stycket gäller att handling som föreskrivs i första stycket.

upprättad, anses l .diarium, journal samt sådant register eller förteckning

annan

föres fortlöpande, när handsom lingen har färdigställts för anteckning eller införing, dom och annat beslut, som enligt Domar och andra beslut, som . vad därom är föreskrivet skall enligt föreskrift skall avkunnas avkunnas eller expedieras, samt eller expedieras, samt protokoll protokoll och handling i och andra handlingar i vad de

annan vad den hänför sig till sådant be- hänför sig till sådana beslut, slut, när beslutet har avkunnats anses upprättade när beslutet eller expedierats, har avkunnats eller expedierats. .annat myndighets protokoll och Andra protokoll och därmed

. därmed jämförliga anteckningar, jämförliga anteckningar anses när handlingen har justerats upprättade, när handlingen har

av myndigheten eller på annat sätt justerats av myndigheten eller färdigställts, dock protokoll färdigställts på annat sätt, dock hos riksdagens eller kyrkomötets inte protokoll hos riksdagens utskott, riksdagens eller eller kyrkomötets utskott, rikskommuns revisorer eller statliga dagens eller kommuns revisorer kommittéer eller hos kommunal eller statliga kommittéer eller myndighet i ärende denna hos kommunal myndighet i

som endast bereder till avgörande. ärende som denna endast bere-

der till avgörande.

36 F drfattningjérslag.‘ Tryckfrihetsförordningen SOU 1997: 39

8§ 9§

Har organ som ingår i eller är knutet Har ett ingår i eller är

organ som till ett verk eller liknande myndig- knutet till ett verk eller liknande

en hetsorganisation överlämnat hand- myndighetsorganisation överlämnat ling till annat organ inom samma handling till ett annat inom

en organ myndighetsorganisation eller fram- samma myndighetsorganisation ställt handling för sådant överläm- eller framställt handling för ett

en nande, skall handlingen anses sådant överlämnande, skall handsom därigenom inkommen eller lingen inte anses som därigenom upprättad i annat fall än då organen inkommen eller upprättad i annat uppträda som självständiga i for- fall än då organen uppträder

som hållande till varandra. självständiga i förhållande till

var-

andra.

9§ 10§

Hos myndighet tillkommen minnes- Uppgifter som har antecknats eller anteckning som har expedierats införts endast för ett ärendes foreskall heller efter den tidpunkt då dragning eller beredning är inte den enligt 7 § är allmänna de inte har tillfört

att anse som upp- om rättad anses som allmän handling ärendet något i sak. Inte heller

upphos myndigheten, den icke tages gifter i utkast eller koncept till

om en om hand for arkivering. Med myndighets beslut eller skrivelse minnesanteckning förstås prome- eller uppgifter i någon där-

annan moria och annan uppteckning eller med jämställd handling är allupptagning som har kommit till en- männa. dast for ärendes föredragning eller beredning, dock till den del den har tillfört ärendet sakuppgift.

Utkast eller koncept till myn- Uppgifter har tagits

som om dighets beslut eller skrivelse och hand För arkivering eller före-

som annan därmed jämställd handling kommer i handlingar har

som ex-

har expedierats pedierats är dock alltid allmänna. som anses som allmän handling, såvida den icke tages om hand för arkivering.

SOU 1997: 39 F örfattningsförslag: Tryckfrihetsförordningen 37

10§ 11§

Handling som förvaras hos myn- Uppgifter som finns i en myndighets dighet endast led i teknisk be- förvar endast som ett led i tek-

som en arbetning eller teknisk lagring för nisk bearbetning eller teknisk lagannans räkning anses som allmän ring för annans räkning är inte allhandling hos den myndigheten. männa hos den myndigheten. Upp-

gifterna blir inte heller att anse som

allmänna hos den myndighet

som

har tillhandahållit dem endast på

grund av att de i samband med eller

efter åtgärden återlämnas till den

myndigheten.

11§ 12§

Som allmän handling anses Sådana uppgifter är inte allmänna

som ingåri brev, telegram eller annan sådan brev, telegram eller någon handling som har inlämnats till annan sådan handling som har eller upprättats hos myndighet inlämnats till eller upprättats endast för befordran av medde- hos myndighet endast för be-

en lande, fordran av meddelande, 2. meddelande eller annan handling meddelande eller någon annan som har inlämnats till eller upp- handling som har inlämnats till rättats hos myndighet endast för eller upprättats hos myndig-

en offentliggörande i periodisk het endast för offentliggörande i skrift som utgives genom myn- en periodisk skrift som utges digheten, genom myndigheten,

38 F Örfattningsförslag: Tryckfrihetsförordningen SOU 1997: 39

tryckt skrift, ljud- eller bildupp- tryckta skrifter, ljud- eller tagning eller annan handling bildupptagningar samt andra

ingår i bibliotek eller som handlingar och databaser som som från enskild har tillförts allmänt ingår i bibliotek, arkiv uteslutande for Förvaring och vård eller forsknings- och studieändamål eller privata brev, skrifter eller upptagningar som eljest ha överlämnats till myndighet uteslutande för ändamål som nu angivits, upptagning innehållet i hand- handlingar och databaser som

av

. ling i upptag- från en enskild har tillförts en

som avses om ningen förvaras hos myndighet myndighet uteslutande for fördär den ursprungliga hand- varing och vård eller forsklingen skulle vara att anse nings- och studieändamål eller

allmän. privata brev, skrifter eller uppsom

gifter som annars har överläm-

nats till en myndighet uteslu-

tande för ett sådant ändamål.

Det föreskrivs iförsta stycket 3

som

handling ingår i bibliotek om som tillämpas inte på upptagning för automatisk databehandling i sådant register myndighet har tillgång

som till enligt avtal med myndig-

annan het.

SOU 1997: 39 F Örfattningsförslag: Tryckfrihetsförordningen 39

13§

Den som begär att få ta del av all-

männa uppgifter skall precisera sin

begäran så att det är möjligt att finna

den handling där uppgifterna ingår

eller utföra den sökning eller

sammanställning som annars krävs

för att uppgifterna skall kunna tas

fram.

12§ 14§

Allmän handling som får lämnas ut Om någon begär att få ta del

av skall på begäran genast eller så allmänna uppgifter som får lämnas snart det är möjligt stället utan ut, skall myndigheten genast, eller avgift tillhandahållas den, som så snart det är möjligt, utan avgift önskar taga del därav, så att hand- stället lingen kan läsas, avlyssnas eller på tillhandahålla den handling där annat sätt uppfattas. Handling får uppgifterna ingår så att den kan även skrivas avbildas eller tagas läsas, avlyssnas eller uppfattas

av, i anspråk för ljudöverföring. Kan annat sätt, eller handling tillhandahållas utan att ta fram de begärda uppgifterna sådan del därav icke får läm- databas, det kan ske

som ur en om nas ut röjes, skall den i övriga delar med användning av de tekniska göras tillgänglig för sökanden i av- hjälpmedel som myndigheten skrift eller kopia. har eller annars utan nämn-

värda kostnader.

40 F örfattningsförslag: Tryckfrihetsförordningen SOU 1997: 39

Handlingar och uppgifter till-

som

handahålls på stället får även skri-

vas av, avbildas eller tas i anspråk

for ljudöverföring. Kan en handling

inte tillhandahållas utan att uppgif-

ter som inte får lämnas ut rojs, skall

handlingen i övriga delar göras till-

gänglig för sökanden i utskrift eller

kopia. Motsvarande gäller om upp-

gifter ur databaser.

Myndighet är icke skyldig att En myndighet är inte skyldig att tillhandahålla handling på stället, tillhandahålla en handling på stället om betydande hinder möter. fråga eller ta fram uppgifter data-

ur en om upptagning som avses i 3 § bas, om det möter betydande hinförsta stycket föreligger heller der. sådan skyldighet, om sökanden utan beaktansvärd olägenhet kan taga del upptagningen hos när-

av belägen myndighet.

13§ 15§

Den som önskar taga del allmän Den som begär det har även rätt att

av handling har även rätt att mot fast- mot fastställd avgift i utskrift,

en ställd avgift få avskrift eller kopia kopia eller elektronisk form få ut av handlingen till den del den får en handling eller uppgifter ur en lämnas ut. Myndighet är dock databas, allt till den del uppgifskyldig att lämna ut upptagning för terna får lämnas ut. automatisk databehandling i annan form än utskrift. Ej heller föreligger skyldighet att framställa kopia av karta, ritning, bild eller annan i 3 § första stycket avsedd upptagning än

har angivits, om svårighet som nyss möter och handlingen kan tillhandahållas på stället.

SOU 1997: 39 F örfattningsförslag: Tryckfrihetsförordningen 41

Myndigheten är dock inte skyldig att framställa kopior av kartor, ritningar, bilder eller andra liknande handlingar om det möter svårigheter och handlingen kan tillhandahållas på stället.

En myndighet är inte skyldig att tillhandahålla uppgifter i elektronisk form det finns särskild

om en bestämmelse i lag eller för-

annan fattning som förbjuder detta eller om det möter betydande hinder. Datorprogram behöver aldrig tillhandahållas i elektronisk form. Begäran att avskrift eller ko- En begäran att få allmän

ut en pia av allmän handling skall be- uppgift i någon av de angivna forhandlas skyndsamt. merna skall behandlas skyndsamt.

14§ 16§

Begäran att få taga del av allmän En begäran att få ta del av en allhandling göres hos myndighet som män uppgift skall göras hos den förvarar handlingen. myndighet som har uppgiften i sitt förvar.

42 F örfattningsförslag: Tryckfrihetsförordningen SOU 1997: 39

Begäran prövas av myndighet Begäran skall prövas av den

angives i första stycket. Om myndighet som anges i första som särskilda skäl föranleda det, får stycket. Om det finns särskilda skäl dock i bestämmelse som avses i 2 § får det dock föreskrivas i en beandra stycket föreskrivas att pröv- stämmelse som avses i 3 § andra ningen vid tillämpningen be- stycket att prövningen vid tillämp-

av stämmelsen skall ankomma på ningen av bestämmelsen skall an-

myndighet. I fråga hand- komma på annan myndighet. I annan om en ling är synnerlig betydelse fråga om en handling eller en da-

som av för rikets säkerhet kan även genom tabas som är av synnerlig betyförordning föreskrivas att endast delse för rikets säkerhet kan även viss myndighet får pröva frågan genom förordning föreskrivas att

om utlämnande. I de nämnda fallen endast viss myndighet får pröva

nu en skall begäran utlämnande ge- frågan om utlämnande. I de nu

om nast hänskjutas till behörig myn- nämnda fallen skall en begäran om dighet. utlämnande genast hänskjutas till

behörig myndighet.

Myndighet får inte på grund av En myndighet får inte på grund att någon begär att få taga del av av att någon begär att få ta del av allmän handling efterforska vem allmän uppgift efterforska vem

en han är eller vilket syfte han har han är eller vilket syfte han har med sin begäran i större utsträck- med sin begäran i större utsträckning än behövs för att myndig- ning än behövs för att myn-

som som heten skall kunna pröva om hinder digheten skall kunna pröva om föreligger mot att handlingen läm- hinder föreligger mot att uppgiften nas ut. lämnas ut.

SOU 1997: 39 F örfattningsförslag: Tryckfrihetsförordningen 43

15§ 17§

Om annan än riksdagen eller rege- Om någon annan än riksdagen eller ringen avslår begäran att få taga del regeringen avslår begäran att få

en av handling eller lämnar ut allmän ta del allmän uppgift eller

av en handling med förbehåll, som in- lämnar ut den med förbehåll,

som skränker sökandens rätt att inskränker sökandens rätt att

yppa yppa dess innehåll eller eljest förfoga dess innehåll eller förfoga

annars över den, får sökanden föra talan över den, får sökanden föra talan mot beslutet. Talan mot beslut av mot beslutet. Detsamma gäller

om statsråd skall föras hos regeringen begäran att få ut uppgifter i

en en och talan mot beslut viss form avslås. Talan mot beslut

av annan myndighet hos domstol. av statsråd skall föras hos

rege-

ringen och talan mot beslut

av en

annan myndighet hos domstol.

I den i 2 § omnämnda lagen I den i 3 § omnämnda lagen skall närmare angivas hur talan skall närmare hur talan mot

anges mot beslut som avses i första beslut som avses i första stycket stycket skall föras. Sådan talan skall föras. Sådan talan skall alltid skall alltid prövas skyndsamt. prövas skyndsamt.

Angående rätt att föra talan mot Angående rätt att föra talan mot beslut av myndighet som lyder beslut myndighet lyder

un- av en som der riksdagen är särskilt föreskri- under riksdagen är särskilt förevet. skrivet.

16§ 18§

Anteckning om hinder att lämna ut En markering om att det finns hinallmän handling får göras endast på der att lämna allmän uppgift

ut en handling som omfattas av be- får göras endast i anslutning till

en stämmelse som avses i 2 § andra sådan uppgift i handling eller

en stycket. Härvid skall tillämplig be- databas omfattas be-

som av en stämmelse angivas. stämmelse som avses i 3 § andra

stycket. Härvid skall tillämplig be-

stämmelse

anges.

44 Författningsförslag: Tryckfrihetsförordningen SOU 1997: 39

17§ 19§

I lag får föreskrivas att regeringen I lag får föreskrivas att regeringen eller beslutande kommunal försam- eller beslutande kommunal församling får besluta att allmänna hand- ling får besluta att allmänna uppgiflingar hänför sig till myndig- ter som hänför sig till en myndigsom hets verksamhet, vilken skall över- hets verksamhet, skall övertas som tas enskilt får överlämnas ett enskilt organ, får överlämnas av organ, av till det organet för förvaring, till det organet för förvaring, om om detta behöver handlingarna i verk- detta behöver uppgifterna i verksamheten, utan att handlingarna samheten, utan att dessa därigenom därigenom upphör att all- upphör att vara allmänna. Ett sådant vara männa. Ett sådant skall i fråga skall i fråga överlämnade organ organ om överlämnade handlingar jim- uppgifter jämställas med en mynom ställas med myndighet vid tillämp- dighet vid tillämpningen av 13ningen 12-16 §§. 18 §§. av

20§

Grundläggande bestämmelser om bevarande och gallring allmänna av uppgifter och Överlämnande av om handlingar och databaser till arkivmyndighet eller myndighet annan

finns i lag.

7 kap.

3§

Om någon lämnar meddelande, i l kap. l § tredje stycket, som avses eller, utan att enligt 8 kap., medverkar till framställning, som är avsvara sedd införas i tryckt skrift, såsom författare eller annan upphovsman att eller såsom utgivare och därigenom gör sig skyldig till högförräderi, spioneri, grovt spioneri, obehörig befattning med grov hemlig uppgift, landsförräderi, landssvek eller försök, förbereuppror, delse eller stämpling till sådant brott;

SOU 1997: 39 Författningsförslag: Tryckfrihetsförordningen 45

oriktigt utlämnande av allmän oriktigt utlämnande handling av handling som är tillgänglig för innehåller allmänna som uppenvar eller tillhandahållande av gifter som är tillgängliga för sådan handling i strid med eller tillhandahållande myn- envar av dighets förbehåll vid dess utläm- sådan handling i strid med nade, när gärningen är uppsåtlig; myndighets förbehåll vid dess eller utlämnade, när gärningen är uppsåtlig; eller uppsåtligt åsidosättande av tystnadsplikt i de fall som angivas i särskild lag, gäller om ansvar för sådant brott vad i lag är stadgat.

Om någon anskaffar uppgift eller underrättelse i sådant syfte i som avses 1 kap. 1 § fjärde stycket och därigenom gör sig skyldig till brott som angives i förevarande paragrafs första stycke gäller härför vad om ansvar i lag är stadgat. Det som sägs i 2 kap. 12 § tredje stycket regeringsformen skall gälla också i fråga om förslag till föreskrifter som avses i första stycket

5§

Som tryckfrihetsbrott skall anses också sådana gärningar, begångna genom tryckt skrift och straffbara enligt lag, som innebär att någon uppsåtligen offentliggör allmän uppsåtligen offentliggör handhandling som är tillgänglig för ling innehåller allmänna som envar, om han fått tillgång till uppgifter är tillgängliga som handlingen i allmän tjänst, under för han fått tillgång envar, om utövande av tjänsteplikt eller i till handlingen i allmän tjänst, därmed jämförbart förhållande; under utövande tjänsteplikt av eller i därmed jämförbart förhållande; .offentliggör uppgift och därvid uppsåtligen åsidosätter tystnadsplikt som avses i den i 3 § första stycket angivna särskilda lagen; .när riket är i krig eller omedelbar krigsfara offentliggör uppgift om förhållanden vilkas röjande enligt lag innefattar annat brott mot rikets säkerhet än som anges i 4

Denna lag träder i kraft den 1januari 1999. .

46 Författningsförslag: Tryclçfrihetsförordningen SOU 1997: 39 i

Bestämmelsen i 2 kap. 4 § nya lydelsen tillämpas även när myndighetens rätt att söka efter eller sammanställa uppgifter begränsats genom ett beslut avses i 2 kap. 3 § andra stycket andra meningen äldre lydel-

som

och meddelats före ikraftträdandet, dock längst till utgången av sen som september 2001.

SOU 1997: 39 F örfattningsförslag: Regeringsformen 47

Förslag till

c

om ändring i Lag

Regeringsformen

Härigenom föreskrivs att 2 kap. 1 § samt 8 kap. 7 och 18 regeringsformen skall ha följande lydelse.

Nuvarande lydelse Föreslagen lydelse

2 kap.

1§

Varje medborgare är gentemot den allmänna tillforsäkrad yttrandefrihet: frihet att i tal, skrift eller bild eller på annat sätt meddela upplysningar samt uttrycka tankar, åsikter och känslor, informationsfrihet: frihet att inhämta och mottaga upplysningar samt . att i övrigt taga del av andras yttranden, mötesfrihet: frihet att anordna och bevista sammankomst för upplys- . ning, meningsyttring eller annat liknande syfte eller för framförande av konstnärligt verk, demonstrationsfrihet: frihet att anordna och deltaga i demonstration på . allmän plats, föreningsfrihet: frihet att sammansluta sig med andra för allmänna eller . enskilda syften, religionsfrihet: frihet att ensam eller tillsammans med andra utöva sin . religion.

F örfattningsförslag: Regeringsformen l SOU 1997: 39

Beträffande tryckfriheten och motsvarande frihet att yttra sig i ljudradio, television och vissa liknande överföringar, filmer, videogram och andra upptagningar av rörliga bilder samt ljudupptagningar gäller vad är som föreskrivet i tryckfrihetsförordningen och yttrandefrihetsgrundlagen. I tryckfrihetsförordningen finns I tryckfrihetsförordningen finns också bestämmelser om rätt att taga också bestämmelser rätt att taga om del av allmänna handlingar. del allmänna uppgifter. av

8 kap.

7 §

Utan hinder av 3 eller 5 § kan regeringen efter bemyndigande i lag genom förordning meddela föreskrifter annat än skatt, föreskrifterna om om avser något följ ande ämnen: av skydd för liv, personlig säkerhet eller hälsa, utlännings vistelse i riket, in- eller utförsel av varor, eller andra tillgångar, tillverkav pengar av ning, kommunikationer, kreditgivning, näringsverksamhet, ransonering, återanvändning och återvinning av material, utformning byggnader, av anläggningar eller tillståndsplikt i fråga åtgärder med byggnader och om anläggningar, jakt, fiske, djurskydd eller natur- och miljövård, . trafik eller ordningen allmän plats, . undervisning och utbildning, . förbud att röja sådant någon har erfarit i allmän tjänst eller under som . utövande av änsteplikt, skydd för personlig integritet vid skydd för personlig integritet registrering av uppgifter med vid behandling av personupphjälp av automatisk databehand- gifter. ling.

Bemyndigande som avses i första stycket medför rätt att meddela föreskrifter om annan rättsverkan av brott än böter. Riksdagen kan i lag, som innehåller bemyndigande med stöd första stycket, föreskriva även av annan rättsverkan än böter för överträdelse föreskrift regeringen av som meddelar med stöd av bemyndigandet.

SOU 1997: 39 Färfattningsförslag; Regeringsformen 49

18§

För att avge yttrande över lagförslag skall finnas ett lagråd, vari ingår domare i Högsta domstolen och Regeringsrätten. Yttrande från Lagrådet inhämtas av regeringen eller, enligt vad närmare angives i riksdags-

som ordningen, av riksdagsutskott.

50 F Örfattnin gsförslag: Regeringsformen SOU 1997: 39 i

Yttrande av Lagrådet bör in- Yttrande Lagrådet bör in-

av hämtas innan riksdagen beslutar hämtas innan riksdagen beslutar grundlag om tryckfriheten, eller om grundlag om tryckfriheten, eller

om motsvarande frihet att yttra sig i motsvarande frihet att yttra sig i ljudradio, television och vissa lik- ljudradio, television och vissa liknande överföringar, filmer, video- nande överföringar, filmer, videogram och andra upptagningar av gram och andra upptagningar

av rörliga bilder samt ljudupptag- rörliga bilder samt ljudupptagningar, lag om begränsning av ningar, lag begränsning

om av rätten att taga del av allmänna rätten att taga del av allmänna

upphandlingar, lag som avses i 2 kap. gifter, lag som avses i 2 kap. 3§ 3 § andra stycket, 12§ första andra stycket, 12§ första stycket, stycket, 17-19 eller 22§ andra 17-19 eller 22§ andra stycket stycket eller lag som ändrar eller eller lag ändrar eller upphäver

som upphäver sådan lag, lag sådan lag, lag kommunal be-

om om kommunal beskattning, lag som skattning, lag som avses i 2 eller avses i 2 eller 3 § eller lag som av- 3§ eller lag som i 11 kap.,

avses ses i 11 kap., om lagen är viktig för lagen är viktig för enskilda

om enskilda eller från allmän syn- eller från allmän synpunkt. Vad

nu punkt. Vad nu har sagts gäller dock har sagts gäller dock icke, Lag-

om icke, om Lagrådets hörande skulle rådets hörande skulle sakna betysakna betydelse på grund av frå- delse på grund frågans be-

av gans beskaffenhet eller skulle för- skaffenhet eller skulle fördröja lagdröja lagstiftningsfrågans behand- stiftningsfrågans behandling så att ling så att avsevärt men skulle avsevärt men skulle uppkomma. uppkomma. Föreslår regeringen Föreslår regeringen riksdagen att riksdagen att stifta lag i något de stifta lag i något de ämnen

av av som ämnen som avses i första meningen avses i första meningen och har och har Lagrådets yttrande dessför- Lagrådets yttrande dessförinnan innan inte inhämtats, skall rege- inte inhämtats, skall regeringen ringen samtidigt för riksdagen samtidigt för riksdagen redovisa

redovisa skälen härtill. Att Lagrådet skälen härtill. Att Lagrådet icke har icke har hörts över ett lagförslag hörts över ett lagförslag utgör utgör aldrig hinder mot lagens till- aldrig hinder mot lagens tillämplämpning. ning.

SOU 1997: 39 F örfattningsförslag: Regeringsformen 51

Lagrådets granskning skall avse

hur förslaget förhåller sig till grundlagama och rättsordningen i övrigt, hur förslagets föreskrifter förhåller sig till varandra, hur förslaget förhåller sig till rättssäkerhetens krav,

4. förslaget är så utformat att lagen kan antagas tillgodose angivna

om syften, vilka problem kan uppstå vid tillämpningen.

som

Närmare bestämmelser lagrådets sammansättning och tjänstgöring

om meddelas i lag.

Denna lag träder i kraft den l januari 1999.

SOU 1997: 39 F örfattningsförslag: Yttrandefrihetsgrundlagen 53

Förslag till

d

om ändring i Lag

Yttrandefrihetsgrundlagen

1991:1469

Härigenom föreskrivs att 5 kap. 3§ yttrandefrihetsgrundlagen skall ha följ ande lydelse.

5 kap.

3§

Om någon lämnar ett meddelande, i l kap. 2 eller, utan att

som avses

enligt 6 kap., medverkar till framställning som är avsedd att svara en offentliggöras i ett radioprogram, film eller ljudupptagning, som

en en författare eller upphovsman eller att framträda i radiopro-

annan genom grammet och därigenom gör sig skyldig till högförräderi, spioneri, grovt spioneri, obehörig befattning med

grov hemlig uppgift, landsförräderi, landssvek eller försök, förbere-

uppror, delse eller stämpling till sådant brott; 2. oriktigt utlämnande allmän oriktigt utlämnande av handling

av handling är tillgänglig för som innehåller allmänna upp-

som

eller tillhandahållande gifter är tillgängliga för envar av som sådan handling i strid med eller tillhandahållande av

myn- envar dighets förbehåll vid dess utläm- sådan handling i strid med nande, när gärningen är uppsåt- myndighets förbehåll vid dess lig; eller utlämnande, när gärningen är

uppsåtlig; eller

54 F örfattningsförslag: Yttrandefrihetsgrundlagen SOU 1997: 39

uppsåtligt åsidosättande av tystnadsplikt i de fall i särskild

som anges

lag, gäller vad som föreskrivs i lag för sådant brott.

om ansvar

Om någon anskaffar uppgift eller underrättelse i sådant syfte

en som avses i l kap. 2 § och därigenom gör sig skyldig till brott i första

som anges stycket gäller vad som föreskrivs i lag för brottet.

om ansvar

Det som sägs i 2 kap. 12 § tredje stycket regeringsformen särskilt

om lagstiftningsförfarande skall gälla också i fråga förslag till föreskrifter

om som avses i första stycket

Denna lag träder kraft den l januari 1999.

F örfattningsförslag: Sekretesslagen 55 SOU 1997: 39

Förslag till

e

om ändring i Lag

Sekretesslagen 1980:100

Härigenom föreskrivs i fråga sekretesslagen 1980: 100 om dels att 15 kap. 13 § skall upphöra att gälla, dels i 2 kap. 1 och 2 §§, 3 kap. l 5 kap. l 6 kap. 1-7 §§, 7 kap. 1 att 6-15 och 19-36 §§, 8kap. 1-3 §§, 5-19 §§, 21 23§ och 4 9 kap. 1-5 §§, 8 10-17 och 19-24 orden uppgift i 24 § samt allmän handling skall bytas ut mot allmän uppgift", dels l kap. l § och 8-10 §§, 2 kap. 3 5 kap. 2 7 kap. 16 9 kap. att 15 kap. l-4 och 6-12 §§, rubriken till 15 kap. samt rubrikerna 6 före 15 kap. 1 och 9 skall ha följande lydelse, närmast det i lagen skall införas närmast före 15 kap. 3 4 6 7 11 § dels att och 12 § rubriker följande lydelse. nya av

Nuvarande lydelse Föreslagen lydelse

l kap. 1 §

lag innehåller bestämmelser Denna lag innehåller bestämmelser Denna tystnadsplikt i det allmännas tystnadsplikt i det allmännas om om verksamhet och förbud att verksamhet och förbud att om om lämna allmänna handlingar. l lämna ut allmänna uppgifter. I sistut sistnämnda hänseende innefattar nämnda hänseende innefattar bebestämmelserna begränsning i den stämmelserna begränsning i den i

i tryckfrihetsförordningen stadgade tryckfrihetsförordningen stadgade

del allmänna hand- rätten att ta del allmänna uppgifrätten att ta av av lingar. ter.

5 6 F örfattnin gsförs lag: Sekretesslagen SOU 1997: 39

Bestämmelserna avser förbud att Bestämmelserna förbud att avser röja uppgift, vare sig det sker munt- röja uppgift, sig det sker en vare ligen eller genom att allmän hand- muntligen eller på annat sätt sekreling lämnas ut eller det sker på tess. annat sätt sekretess. Lagen innehåller även andra Lagen innehåller även andra föreskrifter allmänna hand- föreskrifter allmänna uppgifter. om om lingar. I denna lag finns också bestämmelser begränsning den rätt om av att lämna meddelande för offentliggörande i tryckt skrift eller därmed jämställd skrift eller i radioprogram, film, ljudupptagningar eller därmed jämställt medium varom grundläggande bestämmelser i tryckfrihetsförordningen och ges

yttrandefrihetsgrundlagen.

8§

Vid tillämpningen av denna lag skall med myndighet jämställas riksdagen, kyrkomötet och beslutande kommunal församling. Vad som föreskrivs i tryckfri- Vad föreskrivs i tryckfrisom hetsförordningen rätt att ta del hetsförordningen rätt del om om att ta av handlingar hos en myndighet allmänna uppgifter hos av en mynskall i tillämpliga delar gälla också dighet skall i tillämpliga delar gälla handlingar hos de också uppgifter hos de organ som anges organ som i bilagan till denna lag, i den mån i bilagan till denna lag, i den anges handlingarna hör till den verksam- mån uppgifterna hör till den verkhet som nämns där. De i bilagan samhet nämns där. De i bilasom angivna organen skall vid tillämp- angivna skall vid tillgan organen ningen av denna lag jämställas med lämpningen denna lag jämställas av myndighet. Detsamma gäller ett med myndighet. Detsamma gäller enskilt med stöd la- ett enskilt med stöd organ som av organ som av gen 1994:l383 om överlämnande lagen 1994:1383 överlämom av allmänna handlingar till andra nande allmänna handlingar till av organ än myndigheter för förvaring andra än myndigheter för organ förvarar sådana handlingar såvitt förvaring har sådana uppgifter i sitt avser befattningen med dessa förvar såvitt befattningen avser handlingar. med dessa uppgifter.

F örfattningsförslag: Sekretesslagen 57

SOU 1997: 39

9§

Vad föreskrivs i tryckfrihets- Vad föreskrivs i tryckfrihetssom som förordningen rätt att ta del förordningen rätt att ta del av om av om handlingar hos myndighet skall i allmänna uppgifter hos myndighet tillämpliga delar också gälla hand- skall i tillämpliga delar också gälla lingar hos aktiebolag, handelsbo- uppgifter hos aktiebolag, handelslag, ekonomiska föreningar och bolag, ekonomiska föreningar och stiftelser där kommuner eller lands- stiftelser där kommuner eller landsting utövar ett rättsligt bestämman- ting utövar ett rättsligt bestämmande inflytande. Sådana bolag, de inflytande. Sådana bolag, föreningar och stiftelser skall vid föreningar och stiftelser skall vid tillämpningen denna lag jäm- tillämpningen av denna lag jämav ställas med myndighet. ställas med myndighet.

Kommuner och landsting skall utöva ett rättsligt bestämmande inflyanses tande de ensamma eller tillsammans om äger aktier i ett aktiebolag eller andelar i ekonomisk förening med en än hälften samtliga röster i bolaget eller föreningen eller på nåmer av got annat sätt förfogar över så många röster i bolaget eller föreningen, 2. har rätt att utse eller avsätta än hälften ledamöterna i styrelsen mer av aktiebolag, ekonomisk förening eller en stiftelse, för ett en utgör samtliga obegränsat ansvariga bolagsmän i ett handelsbolag. Vid tillämpningen 1-3 skall inflytande utövas en juridisk person av som av över vilken kommun eller ett landsting bestämmer på det sätt som en i de nämnda punkterna utövat kommunen eller landsanges anses av tinget.

Första stycket gäller också be- Första stycket gäller också beträffande handlingar efter träffande uppgifter som efter medsom medgivande kommun eller givande kommun eller ett av en av en landsting för viss bestämd tid landsting för viss bestämd tid finns ett förvaras hos aktiebolag, handels- i förvar hos aktiebolag, handelsbobolag, ekonomiska föreningar eller lag, ekonomiska föreningar eller stiftelser där kommuner eller lands- stiftelser där kommuner eller landsting har utövat ett rättsligt inflytan- ting har utövat ett rättsligt inflytande. de. Vad kommuner och landsting i första-tredje styckena tillsom sägs om lämpas också på kommunförbund.

58 F orfattningsförslag: Sekretesslagen SOU 1997: 39

l0§

Har i denna lag föreskrivits att sek- Har i denna lag föreskrivits att sekretessen i fråga om uppgift i allmän retessen i fråga allmän uppgift om handling är begränsad till viss tid, är begränsad till viss tid, räknas räknas tiden från handlingens till- tiden från tillkomsten den handav komst, om inte annat I fråga ling i vilken uppgiften finns, anges. om om diarium, journal samt sådant inte annat I fråga allmän anges. om register eller annan förteckning uppgift i databas räknas tiden en som fors fortlöpande räknas tiden från det uppgiften fördes in i datafrån det uppgiften fördes in i hand- basen. lingen.

2 kap. 3§

Av 2 kap. 14 § andra stycket tryck- Av 2 kap. 16 § andra stycket tryckfrihetsförordningen framgår att det frihetsforordningen framgår det att genom förordning kan föreskrivas, förordning kan föreskrivas, genom att endast viss myndighet får pröva att endast viss myndighet får pröva fråga om utlämnande till enskild fråga utlämnande till enskild av om av allmän handling är allmän uppgift är synnerlig som av synner- som av lig betydelse för rikets säkerhet. betydelse for rikets säkerhet.

5 kap. 2§

Sekretess gäller for uppgift lämnar eller kan bidra till upplysning som om säkerhets- eller bevakningsåtgärd med avseende på byggnader eller andra anläggningar, lokaler eller inventarier, tillverkning, förvaring, utlämning eller transport eller andra av pengar värdeföremål samt transport eller förvaring ammunition, av vapen, sprängämnen, klyvbart material eller radioaktivt avfall, telekommunikation, behörighet att få tillgång till behörighet att få tillgång till upptagning för automatisk data- handlingar eller databaser, behandling eller handannan ling, om det kan antas att syftet med åtgärden motverkas uppgiften röjs. om

F örfattningsförslag: Sekretesslagen 59

SOU 1997: 39

7 kap. 16 §

Sekretess gäller För personuppgift i Sekretess gäller För personuppgift, i datala- det kan antas att ett utlämnande personregister som avses om det kan skulle medföra att uppgiften be- 1973:289, om antas gen utlämnande skulle medföra att handlas i strid med persondatalaatt uppgiften används för automatisk 1998:000. gen databehandling i strid med datala-

gen. Sekretess för uppgift som anges i första stycket gäller också, om det kan att utlämnande skulle antas medföra att uppgiften används för automatisk databehandling i utlandet och att detta medför otillbörli gt intrång i personlig integritet. Vid tillämpning denna bestämmelse av ankommer det på datainspektionen pröva fråga utlämnande. att om Sekretess enligt detta stycke gäller dock uppgiften skall använom das för automatisk databehandling enbart i har anslutit sig en stat som till Europarådets konvention om skydd för enskilda vid automatisk

behandling av personuppgifter.

60 F örfattningsförslag: Sekretesslagen

SOU 1997: 39

9 kap. 6§

Sekretess gäller hos datainspektio- Sekretess gäller hos Datainspeknen i ärende om tillstånd eller till- tionen i ärende tillstånd eller om syn, som enligt lag ankommer på tillsyn, enligt lag eller som annan inspektionen, och i ärende så- författning ankommer på inspekom dant bistånd i Europarå- tionen, och i ärende sådant bisom avses om dets konvention skydd för stånd i Europarådets om en- som avses skilda vid automatisk databehand- konvention skydd för enskilda om ling av personuppgifter, för uppgift vid automatisk databehandling av om enskilds personliga eller eko- personuppgifter, för uppgift om nomiska förhållanden, det kan enskilds personliga eller ekonoom antas att den enskilde eller någon miska förhållanden, det kan om honom närstående lider skada eller antas den enskilde eller någon att men om uppgiften röjs. Har honom närstående lider skada eller uppgift, för vilken gäller sekretess uppgiften röjs. Har en- men om uppligt vad nu har sagts, lämnats till gift, för vilken gäller sekretess enregeringen eller justitiekanslern, ligt vad har sagts, lämnats till nu gäller sekretessen också där. Justitiekanslern, gäller sekretessen

också där. I fråga om uppgift i allmän I fråga allmän uppgift gäller om handling gäller sekretessen i högst sekretessen i högst sjuttio år. sjuttio år.

1997: 39 Författningsförslag: Sekretesslagen 61 SOU

15 kap.

Bestämmelser registrering Bestämmelser om registrering om och utlämnande allmänna och utlämnande av allmänna av handlingar uppgifter m.m. m.m.

Allmänna bestämmelser Registrering av handlingar med allmänna uppgifter

i 1§

När allmän handling har kommit in När handling med allmänna en

i

till eller upprättats hos myndighet uppgifter har kommit in till eller skall handlingen registreras utan upprättats hos myndighet skall en n l dröjsmål, det inte är uppenbart handlingen registreras utan dröjsom den är ringa betydelse för mål, det inte är uppenbart att att av om myndighetens verksamhet. I fråga den är av ringa betydelse för mynallmänna handlingar, för vilka dighetens verksamhet. I fråga om om sekretess inte gäller, får dock handlingar med allmänna uppgifter, registrering underlåtas handling- för vilka sekretess inte gäller, får om hålls så ordnade att det utan dock registrering underlåtas om arna svårighet kan fastställas hand- handlingarna hålls så ordnade att om ling har kommit in eller upprättats. det utan svårighet kan fastställas handling har kommit in eller om upprättats. Om särskilda skäl föreligger får regeringen föreskriva undantag från registreringsskyldighet enligt första stycket i fråga handlingar av visst om hos myndighet förekommer i betydande omfattning. slag som I 13 § finns bestämmelser om undantag från registreringsskyldigheten ifråga om vissa upptagningar för automatisk databehandling.

2§

Beträffande handling registrerats enligt l § skall registret framgå som av datum, då handlingen korn in eller upprättades, diarienummer eller beteckning har åsatts handlingen, annan som

62 F örfattningsförslag: Sekretesslagen SOU 1997: 39

i förekommande fall från vem handlingen har kommit in eller till

vem

den har expedierats,

i korthet vad handlingen rör.

Vid registrering skall dock uppgift Vid registrering skall dock uppgift enligt första stycket 3 eller 4 ute- enligt första stycket 3 eller 4 utelämnas eller särskiljas om det be- lämnas eller särskiljas om det behövs för att registret i övriga delar hövs för att registret i övriga delar skall kunna företes för allmänhe- skall kunna visas för allmänheten. ten.

Regeringen får beträffande visst register föreskriva att föreskriften i andra stycket inte skall tillämpas, om denna annars skulle omfatta flertalet i registret upptagna handlingar.

Hemligstämpling

3§

Kan det antas att hinder mot ut- Kan det antas att hinder mot utlämnande av uppgift i allmän hand- lämnande allmän uppgift före-

av ling föreligger enligt sekretessbe- ligger enligt någon sekretessbestämmelse i denna lag eller annan stämmelse i denna lag eller annan författning, får myndighet utmärka författning, får myndigheten

mardetta särskild anteckning. kera detta särskilt. En sådan

genom mar- Sådan anteckning skall innehålla kering skall innehålla beteckningen beteckningen hemlig samt ange hemlig samt ange tillämplig betillämplig bestämmelse, dagen för stämmelse, dagen för markeringen anteckningen och den myndighet, och den myndighet, som har låtit som har låtit göra den. göra den.

SOU 1997: 39 Föifattningsförslag: Sekretesslagen

Har förordning medde- Har genom förordning meddegenom lats föreskrift att fråga utläm- lats föreskrift att fråga om utlämom nande till enskild allmän hand- nande till enskild av allmän uppav ling, är synnerlig betydelse gift, som är av synnerlig betydelse som av för rikets säkerhet, får prövas för rikets säkerhet, får prövas enendast viss myndighet, skall hand- dast av viss myndighet, skall av en ling med sådan före- handling eller databas som innesom avses så snart det kan ske förses håller sådana uppgifter så snart det

skrift

med anteckning enligt första kan ske förses med markering enstycket. Anteckningen skall inne- ligt första stycket. Markeringen hålla uppgift vilken myndighet skall innehålla uppgift om vilken om är behörig att pröva fråga myndighet som är behörig att pröva som om utlämnande. frågan utlämnande. om

Myndigheternas serviceskyldighet

4§

Myndighet skall begäran En myndighet skall, utöver vad som av enskild lämna uppgift allmän följer 2 kap. 14 och 15 §§ tryckur av handling förvaras hos myn- frihetsförordningen, på begäran av som digheten i den mån hinder inte mö- enskild lämna allmänna uppgifter ter på grund bestämmelse handlingar och databaser hos av om ur sekretess eller hänsyn till arbe- myndigheten i den mån hinder inte av behöriga gång. möter på grund någon sekretesstets av bestämmelse eller hänsyn till arav betets behöriga gång. Bestämmelser tillhandahål- Om enskild begär att få allom en lande allmän handling finns i männa uppgifter i elektronisk form av 2 kap. 12 § tryckfrihetsförordning- skall myndigheten lämna de upplysningar och den hjälp den enen. som skilde behöver, under förutsättning att det kan ske utan olägenhet.

64 Författningsförslag: Sekretesslagen SOU 1997: 39

En myndighet som med tekniska

hjälpmedel kan tillhandahålla

allmänna uppgifter som finns i

en

annan myndighets förvar skall

hjälpa den enskilde att ta del

av

dessa uppgifter. Detta gäller inte

om uppgifterna är tillgängliga för

allmänheten via allmänt nät eller

liknande, eller om det skulle orsaka

myndigheten påtagliga olägenheter

att tillgodose sådan begäran.

en

5§

Myndighet skall på begäran av annan myndighet lämna uppgift den

som förfogar över i den mån hinder inte möter på grund bestämmelse

av om sekretess eller av hänsyn till arbetets behöriga gång.

Prövning av begäran

om

utlämnande

6§

Av 2 kap. 14 § andra stycket tryck- Av 2 kap. 16 § andra stycket tryckfrihetsförordningen framgår att frihetsförordningen framgår att fråga om utlämnande av allmän fråga utlämnande allmän

om av handling till enskild prövas den uppgift till enskild prövas den

av av myndighet som förvarar hand- myndighet som har uppgiften i sitt lingen, om det inte är föreskrivet förvar, om det inte är föreskrivet att prövningen skall ankomma på att prövningen skall ankomma på annan myndighet. myndighet.

annan

SOU 1997: 39 F Örfattnin gsförslag: Sekretesslagen

Svarar viss befattningshavare Svarar viss befattningshavare vid myndighet enligt arbetsordning vid myndighet enligt arbetsordning eller särskilt beslut för vården eller särskilt beslut för vården av

av handling, ankommer det honom handling eller databas där uppgifatt i första hand pröva fråga om ten finns, ankommer det på honom handlingens utlämnande till en- att i första hand pröva fråga om skild. I tveksamma fall skall han uppgiftens utlämnande till enskild. hänskjuta frågan till myndigheten, I tveksamma fall skall han hän-

det kan ske utan omgång. Väg- skjuta frågan till myndigheten, om om

han att lämna ut handling eller det kan ske utan omgång. Vägrar rar lämnar han ut handling med forbe- han att lämna ut en uppgift eller håll, inskränker sökandens rätt lämnar han uppgift med for-

som ut en att dess innehåll eller behåll, inskränker sökandens

yppa annars som förfoga över den, skall han, sö- rätt att dess innehåll eller

om yppa kanden begär det, hänskjuta frågan annars förfoga över den, skall han, till myndigheten. Sökanden skall om sökanden begär det, hänskjuta underrättas att han kan begära frågan till myndigheten. Sökanden

om detta och att beslut myndigheten skall underrättas om att han kan

av krävs for att ett avgörande skall begära detta och att beslut av mynkunna överklagas. digheten krävs för att ett avgörande

skall kunna överklagas.

66 F örfattningsförslag: Sekretesslagen SOU 1997: 39

Överklagande

7§

Beslut varigenom myndighet har Beslut i 2 kap. 17 §

som avses avslagit enskilds begäran att få ta tryckfrihetsförordningen överkladel av handling eller lämnat ut gas, om inte annat följer andra-

av allmän handling med förbehåll, fjärde styckena, hos kammarrätten som inskränker sökandens rätt att eller, såvitt gäller kammarrätts be-

dess innehåll eller slut i där väckt ärende, hos Regeyppa annars förfoga över den, får överklagas ringsrätten. Har beslutet meddelats

av sökanden. Om inte annat följer av av organ i lkap. 8§

som avses andra-fjärde styckena, överklagas andra stycket eller 9§ tillämpas beslutet hos kammarrätten eller, bestämmelserna i 23-25 och såvitt gäller kammarrätts beslut i 30 § första meningen förvaltningsdär väckt ärende, hos Regerings- lagen 1986:223 överklagande.

om rätten. Har beslutet meddelats

av organ som avses i l kap. 8 § andra stycket eller 9§ tillämpas bestämmelserna i 23-25 och 30 §

första meningen förvaltningslagen

1986:223 om överklagande.

Har beslut som avses i första Har beslut i första

som avses stycket meddelats tingsrätt och stycket meddelats tingsrätt och

av av rör det handling i domstols rätt- rör det uppgift i domstols rättskiskipande eller rättsvårdande verk- pande eller rättsvårdande verksamsamhet, överklagas det hos hov- het, överklagas det hos hovrätten. rätten. Motsvarande beslut av hov- Motsvarande beslut hovrätt i där

av rätt i där väckt eller dit överklagat väckt eller dit överklagat ärende ärende överklagas hos Högsta överklagas hos Högsta domstolen. domstolen. Vid överklagande Vid överklagande tingsrätts eller

av av tingsrätts eller hovrätts beslut till- hovrätts beslut tillämpas i övrigt lämpas i övrigt bestämmelserna i bestämmelserna i rättegångsbalken rättegångsbalken om överklagande överklagande beslut.

om av av beslut.

Första och andra styckena gäller inte for beslut riksdagen,

av regeringen, Högsta domstolen eller Regeringsrätten.

SOU 1997: 39 Författningsförslag: Sekretesslagen 67

Att beslut statsråd skall över- Att beslut av statsråd skall över-

av klagas hos regeringen föreskrivs i klagas hos regeringen föreskrivs i 2 kap. 15 § tryckfrihetsförord- 2 kap. 17 § tryckfrihetsförordningen. ningen.

Angående rätt att överklaga beslut av myndighet som lyder under riksdagen är särskilt föreskrivet.

8§

Beslut varigenom myndighet har Beslut varigenom myndighet har avslagit myndighets begäran avslagit en annan myndighets be-

annan att få ta del handling eller på gäran att få ta del av uppgift får

av annat sätt få del av uppgift får överklagas i samma ordning som överklagas i samma ordning som gäller i fråga om överklagande engäller i fråga överklagande ligt 7 Överklagandet görs hos

om enligt 7 Överklagandet görs hos regeringen, beslutet har med-

om regeringen, beslutet har med- delats statlig myndighet och

om av en delats statlig myndighet och överklagas av en annan statlig

av en överklagas statlig myndighet.

av en annan myndighet.

Första stycket gäller inte för beslut riksdagen, regeringen, Högsta

av domstolen eller Regeringsrätten.

Har i lag eller förordning meddelats bestämmelse som avviker från föreskrifterna i första stycket, gäller den bestämmelsen.

I fråga beslut har meddelats myndighet som lyder under

om som av riksdagen är särskilt föreskrivet.

68 F örfattningsförslag: Sekretesslagen SOU 1997: 39

Särskilda bestämmelser om upp- En god oyfentlighetsstruktur tagningar för automatisk databehandling

9§

Myndighet som i sin verksamhet När en myndighet använder autoanvänder automatisk databehand- matisk databehandling i sin verkling skall ordna denna med beak- samhet skall det ske med beaktande tande av den i tryckfrihetsförord- av den i tryckfrihetsförordningen ningen stadgade rätten att ta del av stadgade rätten att ta del all-

av allmänna handlingar. Därvid skall männa uppgifter. Därvid skall myndigheten särskilt beakta myndigheten särskilt beakta att allmänna handlingar bör att allmänna uppgifter bör hållas hållas åtskilda från andra hand- åtskilda från andra uppgifter, lingar, att skyddet av sekretessbelagda att skyddet allmänna uppgif-

av uppgifter i upptagningar är ter är sekretessbelagda bör

som som allmänna handlingar bör vara vara sådant att insynen enligt sådant att insynen enligt tryck- tryckfrihetsförordningen inte frihetsförordningen inte försvå- försvåras, ras, att uppgifter i upptagningar som att allmänna uppgifter bör

preär allmänna handlingar inte bör senteras i klartext, innehålla förkortningar, koder och liknande som kan försvåra för den enskilde att ta del av handlingen, att det bör framgå när uppgifter att det bör framgå när allmänna tillförts en upptagning är uppgifter har tillförts data-

som en allmän handling och, de änd- bas och, de har ändrats eller

om om rats eller gallrats, vid vilken tid- gallrats, vid vilken tidpunkt punkt detta skett. detta skett.

SOU 1997: 39 F örfattnin gsförslag: Sekretesslagen

Myndigheten skall vidare ordna Myndigheten skall vidare ordna databehandlingen med beaktande databehandlingen med beaktande

det intresse som enskilda kan ha av det intresse som enskilda kan ha av att själva utnyttja terminal eller att själva utnyttja tekniska hjälpannat tekniskt hjälpmedel hos medel för att ta del av allmänna myndigheten för att ta del av all- uppgifter. männa handlingar.

10§

Myndighet skall på begäran bereda Myndighet skall på begäran bereda enskild tillfälle att själv använda enskild tillfälle att själv använda terminal eller annat tekniskt tekniska hjälpmedel som myndighjälpmedel myndigheten för- heten förfogar över för att ta del av

som fogar över for att ta del av upptag- allmänna uppgifter. Myndigheten ning för automatisk databehand- skall därvid lämna nödvändiga ling. Sådan skyldighet föreligger upplysningar om användningen. dock sökanden därigenom Sådan skyldighet föreligger dock

inte, om får tillgång till upptagning som inte inte, om sökanden därigenom får

allmän handling hos tillgång till uppgifter som inte är anses som myndigheten eller om hinder möter allmänna hos myndigheten eller på grund bestämmelse sek- hinder möter på grund av be-

av om om retess, på grund av fara för för- stämmelse om sekretess, grund vanskning eller förstöring eller av av fara för förvanskning eller förhänsyn till arbetets behöriga gång. störing eller av hänsyn till arbetets

behöriga gång.

I fråga om beslut, varigenom myndighet har avslagit enskilds begäran enligt första stycket, tillämpas vad är föreskrivet om överklagande av

som beslut som avses i 7 § första stycket.

70 F örfattnin gsförslag: Sekretesslagen SOU 1997: 39

Dokumentationsskyldighet

11§

Varje myndighet skall för allmän- Om en myndighet för handläggheten hålla tillgänglig beskrivning ningen ett mål eller ärende

av an-

de register, förteckningar eller vänder en uppgift i en databas av andra anteckningar hos myndig- skall uppgiften på lämpligt sätt tillheten förs med hjälp auto- föras målet eller ärendet.

som av matisk databehandling ADB-register. Sådan skyldighet föreligger dock inte i fråga om ADB-register som inte till någon del anses som allmän handling hos myndigheten. Myndigheten är inte heller skyldig att tillhandahålla beskrivning som uppenbarligen skulle vara av ringa betydelse för enskildas rätt att ta del allmänna handlingar hos

av myndigheten.

Beskrivning som avses i första stycket skall ge upplysning om

ADB-registrets benämning, ADB-registrets ändamål,

vilka typer av uppgifter i ADB-

registret som myndigheten har

tillgång till och på vilket sätt

dessa uppgifter normalt inhäm-

tas,

hos vilka andra myndigheter

ADB-registret är tillgängligt

för överföring till läsbar form,

vilka terminaler eller andra

tekniska hjälpmedel

som en-

skild själv kan få utnyttja hos

myndigheten,

SOU 1997: 39 F örfattningsförslag: Sekretesslagen 71

vilka bestämmelser sekre-

om tess som myndigheten vanligen skall tillämpa på uppgifter i ADB-registret,

hos myndigheten kan vem som lämna närmare upplysningar

ADB-registret och dess anom vändning i myndighetens verksamhet, rätt till försäljning av personuppgifter i personregister som

i datalagen 1973:289. avses I beskrivningen skall dock uppgift enligt andra stycket utelämnas, om det behövs för att beskrivningen i övriga delar skall kunna företes för allmänheten.

Systemdokumentation

12§

Myndighet skall på begäran En myndighet som i sin myndig-

av enskild lämna de särskilda upplys- hetsutövning använder tekniska ningar som den enskilde behöver hjälpmedel för att fatta automatiseför att kunna ta del upptag- rade beslut skall hålla systemdo-

av ningar för automatisk databehand- kumentation tillgänglig för allling allmänna mänheten. Av dokumentationen

som anses som handlingar hos myndigheten. Så- skall framgå dan skyldighet föreligger dock inte i den mån hinder möter av hänsyn till arbetets behöriga gång.

ändamålet med systemet,

vilka uppgifter som används i

systemet,

varifrån och hur de uppgifter

som används i systemet hämtas,

72 F örfattningsförslag: Sekretesslagen SOU 1997: 39

hur aktuella rättsregler har omvandlats till logiska regler i systemet, vem som hos myndigheten kan lämna närmare upplysningar om hur systemet fungerar.

Dokumentationen får dock inte innehålla upplysningar som kan leda till att sekretessbelagda uppgifter om systemet rajs.

13§

Om upptagning för automatisk databehandling förs in i ett ADB-register är tillgängligt för flera som myndigheter för överföring i läsbar form, är endast den myndighet som

gör införingen registreringsskyldig

enligt 1

Denna lag träder i kraft den 1januari 1999. Beträffande uppgift i ärende som avgjorts genom beslut av Datainspektionen före den 1 januari 1999 gäller dock fortfarande 9 kap. 6 § i den äldre lydelsen.

SOU 1997: 39 F örfattrzingsförslag: Arkivlagen 73

Förslag till

f

om ändring i Lag

Arkivlagen 1990:782

Härigenom föreskrivs att 10, 12, och 15 arkivlagen 1990:782 skall ha följande lydelse.

Nuvarande lydelse Föreslagen lydelse

1 §

I denna lag ges bestämmelser om myndigheternas och vissa andra organs arkiv samt om arkivmyndigheterna.

Bestämmelserna i 3-6 och 10 skall tillämpas också på statliga, kommunala och kyrkokommunala beslutande Församlingar.

Bestämmelserna i 3-6 samt 9 Bestämmelserna i 3-6 samt 9 och 10 §§ skall i tillämpliga delar och 10 skall i tillämpliga delar gälla också sådana enskilda organ gälla också sådana enskilda organ hos vilka allmänna handlingar för- har allmänna uppgifter i sitt

som varas med stöd av lagen förvar med stöd av lagen 1994:1383 överlämnande 1994:1383 om överlämnande av

om av allmänna handlingar till andra or- allmänna handlingar till andra 0r-

än myndigheter för förvaring. gan än myndigheter för förvaring. gan

F örfattningsförslag: Arkivlagen SOU 1997: 39

3§

En myndighets arkiv bildas av de En myndighets arkiv bildas av de allmänna handlingarna från handlingar och databaser med

myndighetens verksamhet och sådana allmänna uppgifter som finns i handlingar som avses i 2 kap. 9 § myndighetens förvar. tryckfrihetsförordningen och som myndigheten beslutar skall tas om hand för arkivering. Upptagningar för automatisk databehandling som är tillgängliga för flera myndigheter, så att de där utgör allmänna handlingar, skall dock bilda arkiv endast dessa myndighe-

hos en av ter, i första hand den myndighet

för huvuddelen som svarar av upptagningen.

Myndigheternas arkiv är en del av det nationella kulturarvet.

Myndigheternas arkiv skall bevaras, hållas ordnade och vårdas så att de tillgodoser

rätten att ta del allmänna rätten att ta del av allmänna

av handlingar, uppgiften

2. behovet av information för rättskipningen och förvaltningen, och

forskningens behov.

5§

Som grund för arkivvården skall myndigheterna

vid registreringen allmänna vid registreringen av handlingar

av handlingar ta vederbörlig hänsyn med allmänna uppgifter ta vetill dess betydelse för en ända- derbörlig hänsyn till dess betymålsenlig arkivvård, och delse for en ändamålsenlig ar-

kivvård, och vid framställningen hand- vid framställningen av hand-

av lingar använda materiel och me- lingar och databaser använda toder som är lämpliga med hän- materiel och metoder som är

till behovet av arkivbestän- lämpliga med hänsyn till behosyn dighet. vet av arkivbeständighet.

SOU 1997: 39 F örfattningsförslag: Arkivlagen 75

6§

I arkivvården ingår att myndigheten skall organisera arkivet på ett sådant organisera arkivet ett sådant sätt att rätten att ta del av all- sätt att rätten att ta del all-

av männa handlingar underlättas, männa uppgifter underlättas, upprätta dels en arkivbeskriv- upprätta dels en arkivbeskrivning som ger information om ning som ger information

om vilka slag av handlingar som kan vilka slag handlingar och da-

av finnas i myndighetens arkiv och tabaser som kan finnas i

mynhur arkivet är organiserat, dels dighetens arkiv och hur arkivet en systematisk arkivförteckning, är organiserat, dels en systema-

tisk arkivförteckning, skydda arkivet mot förstörelse, skada, tillgrepp och obehörig åtkomst, avgränsa arkivet genom att fast- avgränsa arkivet genom att fastställa vilka handlingar som skall ställa vilka uppgifter enligt vara arkivhandlingar, och 2 kap. 10 § tryckfrihetsförord-

ningen som skall höra till arki-

vet, och verkställa föreskriven gallring i arkivet.

10§

Allmänna handlingar får gallras. Allmänna uppgifter får gallras. Vid gallring skall dock alltid beaktas att arkiven utgör del kultur-

en av arvet och att det arkivmaterial återstår skall kunna tillgodose de ända-

som mål som anges i 3 § tredje stycket. Om det finns avvikande be- Om det finns avvikande bestämmelser om gallring vissa stämmelser gallring vissa

av om av allmänna handlingar i lag allmänna uppgifter i lag eller

annan annan eller i förordning gäller dessa be- i förordning gäller dessa bestämmelser, dock med undantag för stämmelser. bestämmelserna i 12 § datalagen 1973:289.

76 F örfattningsförslag: Arkivlagen SOU 1997: 39

12§

Utöver vad följer be- Utöver vad som följer av besom av stämmelserna i 10 och ll får stämmelserna i 10 och 11 får statlig myndighet avhända sig statlig myndighet avhända sig en en allmänna handlingar endast handlingar och databaser med allgenom sådant återlämnande eller överläm- männa uppgifter endast genom sånande sker med stöd dant återlämnande eller överlämsom av nande sker med stöd av som lag eller föreskrift meddelas regeringen eller den myndighet som som regeringen bestämmer, eller 2. särskilt beslut regeringen. av

Första stycket gäller inte handlingar myndighet har fått som lån. som en

15§

Utöver vad följer be- Utöver vad följer av besom av som stämmelserna i 10 och 14 får stämmelserna i 10 och 14 får kommunal myndighet avhända kommunal myndighet avhända en en sig allmänna handlingar endast sig handlingar och databaser med gesådant återlämnande eller allmänna uppgifter endast genom nom överlämnande sker med stöd sådant återlämnande eller överlämsom nande sker med stöd av av som lag, eller särskilt beslut kommunfullmäktige eller landstingsfullmäktige. av

Första stycket gäller inte handlingar myndighet har fått som lån. som en

Denna lag träder i kraft den 1januari 1999.

SOU 1997: 39 77

UTREDNINGSARBETET

Utredningsuppdraget

Regeringen beslöt den 15 juni 1995 direktiv för utredningen dir. 1995:91. Direktiven finns fogade till detta betänkande bilaga Dessutom har

som vi, liksom alla andra kommittéer, att beakta direktiven den 10 juni 1996 från regeringen om att redovisa konsekvenser för brottsligheten och det brottsförebyggande arbetet dir. 1996:49.

Sammanfattningsvis kan sägas att vi har haft två huvuduppgifter: 0 Göra en total revision av datalagen och analysera på vilket sätt EG-di-

rektivet personuppgifter skall införlivas i svensk rätt.

om 0 Anpassa grundlagsreglema om allmänna handlingars offentlighet till

den nya tekniken.

Vi har också, enligt direktiven, haft stor frihet de ytterligare frå-

att ta upp gor som behöver övervägas inom ramen för uppdraget.

Hur utredningen har bedrivits

Utredningstiden har varit knapp. Kommittén i sin helhet

har haft sammanträde ungefär en gång per månad. Dessutom har s.k. redaktions-

en kommitté, bestående av ordföranden och experterna, haft sammanträde

ungefär en gång per månad. Kommittéledamöterna har vidare haft ett internatsammanträde under två dagar.

Regeringen har enligt beslut vid sitt sammanträde torsdagen

den 7 mars 19961 till lämnat över skrivelse från Landstingsförbundet

oss en om en översyn av 23 § datalagen.

1 Dnr Ju 95/4244.

78 Utredningsarbetet SOU 1997: 39

För att hämta in synpunkter från aktörer på arbetsmarknaden har vi haft s.k. hearing till vilken inbjudits representanter för Arbetsgivarverket, en Landsorganisationen i Sverige, Landstingsförbundet, SACO, Sveriges akademikers Centralorganisation, Svenska Arbetsgivareföreningen, Svenska Kommunförbundet och Tjänstemännens Centralorganisation.

Kommittén har varit representerad, genom ordförande eller sekreterare, vid olika konferenser och seminarier intresse för utredningsuppdraget. Som

av exempel kan nämnas konferenser eller liknande ordnade av Förvaltningspolitiska kommissionen Fi 1995:13, IT-kommissionen SB 1995:01, Folkomröstningsutredningen Ju 1996:01, Kommunikationsforskningsberedningen, Europarådet, Europeiska kommissionen, Svenska föreningen för ADB och juridik, Riksarkivet, Astra, Datainspektionen, Statskontoret, Institutet för rättsinformatik vid universitetet i Hannover, Tyskland, Det nordiska juristmötet, Europeiska Rättsakademien i Trier, Telia Infomedia och Centre de Recherches Informatique et Droit CRID vid universitetet i Namur, Belgien.

Ordföranden och sekreterarna har deltagit i ett seminarium i Norge med representanter för de utredningar i Norden har till uppdrag att lämna

som förslag till hur EG-direktivet om personuppgifter skall genomföras.

En sekreterarna har deltagit i ett internationellt akademiskt semina-

av rium genomförandet EG-direktivet arrangerat av Institutet för rätts-

om av informatik vid universitet i Hannover.

Sekreterarna har haft ett möte angående bl.a. tolkningen av EG-direktivet med dr Ulf Brühann, Chef de l’Unité Libre circulation de Pinformation, protection des données et les aspects internationaux s’y référant vid generaldirektorat XV vid Europeiska gemenskapernas kommission.

SOU 1997: 39 Utredningsarbetet 79

Sekreterarna har därutöver haft olika kontakter med medver-

personer som kat vid andra länders genomförande av EG-direktivet, bl.a. kontakter med professorn Jos Dumortier, Interdisciplinary Centre for Law IT vid det katolska universitetet i Leuven, Belgien, som för den belgiska

regeringen har utarbetat ett förslag till genomförande EG-direktivet, och

av dennes assistent, olika representanter i den finländska kommissionen för att genomföra direktivet, bl.a. professorn Ahti Saarenpää, universitetet i Lappland, och dataskyddsombudsmannen Jorma Kuopus, direktøren Henrik Waaben, Registertilsynet i Danmark, och professorn Peter Blume, Københavns universitet samt Frau Va1trautKotschy, Bundeskanzleramt i Österrike.

Vi har vidare under utredningsarbetets gång haft kontakter med bl.a. Socialvetenskapliga forskningsrådet och dess etiska kommitté, Humanistisk-samhällsvetenskapliga forskningsrådet och dess etiska kommitté, Nämnden för forskningsetik inom den medicinska forskningen, Justitiekanslern, Patent- och registreringsverket, Socialstyrelsen, Datatilsynet i Norge, Commission de protection de vie privée i Belgien, Föreningen Svenska Marknadsinformationsföretag och USA:s ambassad i Stockholm.

Vi har vidare haft samråd och andra kontakter ofta på sekretariatsnivå

- med flera statliga utredningar, bl.a. IT-kommissionen SB 1995:01, Ungdomens IT-råd SB 1995:02, IT-utredningen Ju 1994:05, Mediekommittén Ju 1994:13, Registerutredningen Ju 1995:01, Katalogutredningen K 1995:06, Utredningen om register för forskning inom rättspsykiatrin S 1995:07, Utredningen om fastighetsdatasystemets författningsreglering Ju 1995:09, Penningtvättutredningen Fi 1995: 18, Pliktregisterutredningen Fö 1996:03, utredningen Kulturnät Sverige Ku 1995:03, Skatteflyktskommittén Fi 1995:04, Förvaltningspolitiska kommissionen Fi 1995:13,

80 Utredningsarbetet SOU 1997: 39

0 Utredningen om trossamfundens rättsliga reglering C 1995:1 1, 0 Grunddatabasutredningen Fi 1996:06 och

Utredningen för översyn inkomstbegreppet inom bidrags- och social- 0 av

försäkringssystemen S 1996:06.

Kommittén har spritt kunskap om utredningsuppdraget och sin verksamhet genom en s.k. hemsida Internet.

Jur.kand. Per Hammarstedt har kontrollerat de hänvisningar betänkandet innehåller.

betänkandet

Dispositionen av

Inledning

Utredningsuppdraget har innefattat två huvuduppgifter, dels göra en total översyn 1973 års datalag och lämna Förslag till hur EG-direktivet om

av personuppgifter kan införlivas i svensk rätt, dels anpassa grundlagsreglerna om offentlighetsprincipen till den nya tekniken.

Redovisningen de båda huvuduppgifterna sker i två skilda delar i

av betänkandet. Den första delen kallas EN PERSONDATALAGoch den andra

NY kallas OFFENTLIGHETSPRINCIPENlT-SAMHÄLLET. Avsnitten i de båda delarna

1 har en löpande numrering. Därutöver finns avsnitt som är gemensamma för de två delarna och som inte har numrerats. Det gäller Förteckningen över använda förkortningar, sammanfattningen, författningsförslagen och detta inledande avsnitt om utredningsarbetet och dispositionen betänkandet

av samt de avslutande avsnitten med konsekvensredovisning och Författningskommentarer. I bilaga 6 finns litteraturförteckning och

en gemensam i bilaga 1 finns, nämnts, våra utredningsdirektiv. Bilaga 7 innehåller

som en gemensam sammanfattning engelska.

Sist i betänkandet men före bilagorna kommer de reservationer och

A särskilda yttranden som har avgetts.

Till varje avsnitt med överväganden och till vissa underavsnitt finns

— -

ruta innehåller kort sammanfattning. en som en

SOU 1997: 39 Utredningsarbetet 81

EN NY PERSONDATALAG

Denna del av betänkandet inleds med kortfattad redovisning gällande en av rätt i huvuddrag, dvs. beskrivning den föråldrade datalagen från år en av 1973 avsnitt 1. Därefter följer en redovisning tidigare försök att reviav dera datalagen i form av de förslag som fördes fram år 1993 Datalagsutav redningen och i huvudsak inte följts avsnitt 2. Även remissinstansom sernas synpunkter och de smärre författningsjusteringar förslagen som medfört redovisas här. Efter denna redovisning av var i Sverige står i dag kommer en ganska omfattande formell analys det EG-direktiv av nya om personuppgifter som Sverige har att genomföra avsnitt 3. Själva direktivtexten på svenska finns i bilaga Även övriga internationella regler inom OECD och Europarådet- berörs kortfattat i ett särskilt avsnitt avsnitt 4. Utöver information om det som redan nämnts läget i dag i Sverige, inklusive tidigare förslag som inte kunnat godtas, och Sveriges skyldigheter i förhållande till andra stater har vi ansett att det utgångspunkt - som för våra överväganden behövs även information det lagstiftningen om som skall skydda, nämligen den personliga integriteten, vad svenska män om och kvinnor i allmänhet tycker i dessa frågor och vad är möjligt om som att göra med den nya tekniken. Våra undersökningar teknikens egna om möjligheter i dag och i framtiden har emellertid gett vid handen att det knappast finns några bestående tekniska begränsningar bör beaktas som vid utformningen den persondataskyddslagstiftningen; det i av nya mesta fråga automatiserad behandling personuppgifter är eller kommer om av att bli tekniskt möjligt. Detta redogör vi för kortfattat i ett särskilt avsnitt avsnitt 5, och bilaga 3 innehåller en rapport med tekniska synpunkter på innehållet i betänkandet. Frågorna innebörden begreppet personlig om av integritet och om allmänhetens inställning till behandling personuppgifav ter behandlas av anlitade experter vilkas rapporter finns i bilaga 4 och För åsikterna i dessa rapporter svarar naturligtvis experterna själva. Den första fråga som vi har ansett böra överväga är vilken allmän oss inriktning en ny lagstiftning för att skydda den personliga integriteten bör ha. Bör lagstiftningen reglera själva hanteringen personuppgifter eller av bara sådan användning uppgifter kan karakteriseras ett missav som som bruk Denna fråga, liksom frågan hur bör på saken i ett längre om man se perspektiv, berörs i det inledande avsnittet med överväganden avsnitt 6. Den slutsats som vi kommer till i detta avsnitt kan sägas innebära att det enda sättet för att uppfylla uppdraget att lämna förslag till oss genom-

82 Utredningsarbetet SOU 1997: 39

förande EG-direktivet är att i enlighet med direktivet reglera hante-

av ringen personuppgifter och därvid nära följa direktivets uppbyggnad

av och struktur; i ett något längre perspektiv bör man dock försöka koncentre-

sig på att stävja och beivra missbruk än att reglera en hantering ra mera

snart sagt alla kan hålla på med. som

Mot bakgrund den redovisade slutsatsen innehåller de följande av-

av snitten närmast redogörelse för hur EG-direktivets bestämmelser lämp-

en ligen bör överföras till svensk lagstiftning och hur man bör utnyttja det spelrum EG-direktivet medger vid genomförandet. Därvid berörs först

som vilka typer behandling personuppgifter som bör omfattas av en ny

av av persondatalag och huruvida lagen i princip bör vara generellt tillämplig på alla behandlingstyper som bör omfattas avsnitt 7.

Mycket den behandling som äger rum inom främst den allmänna

av sektorn regleras i dag i särskilda registerförfattningar. Frågan om systemet med särskilda registerförfattningar och förhållandet mellan den nya persondatalagen och dessa författningar berörs i nästa avsnitt avsnitt 8.

Därefter kommer två avsnitt den betydelsefulla frågan hur EG-di-

om rektivet och den persondatalagen förhåller sig till den offentlighets-

nya princip och den yttrandefrihet i Sverige är grundlagsfäst avsnitt 9 och

som 10.

Frågan när personuppgifter bör få utnyttjas för att forska eller

om framställa statistik har diskuterats mycket genom åren. Den frågan berörs i ett särskilt avsnitt avsnitt l Därefter kommer ett omfattande avsnitt om det materiella innehållet i övrigt i den nya persondatalagen avsnitt 12. Det avsnittet innehåller såväl allmänna överväganden som kommentarer av närmast detalj karaktär till de föreslagna bestämmelserna.

Avslutningsvis i denna del betänkandet finns ett avsnitt om sådana

av regler i den nuvarande datalagen inte i persondatalag

som passar en ny utan bör flyttas till annan lagstiftning avsnitt 13.

Eftersom de föreslagna bestämmelserna i persondatalagen har berörts i detalj redan i den allmänna motiveringen i huvudavsnitten, innehåller det särskilda avsnittet med författningskommentarer till den föreslagna persondatalagen bara ett slags nyckel med hänvisningar till de avsnitt där respektive paragraf berörs.

OFFENTLIGHETSPRINCIPEN I IT-SAMHÄLLET

I den andra delen betänkandet föreslår hur bestämmelserna i 2 kap.

av TF offentlighetsprincipen kan anpassas till den nya tekniken. Den inne-

om

SOU 1997: 39 Utredningsarbetet 83

håller till att börja med en kort beskrivning av offentlighetsprincipens grundläggande syften och dess nuvarande reglering avsnitt 14.

Vi försöker därefter beskriva hur de tekniska förutsättningarna har ändrats sedan begreppet allmän handling fick en ny innebörd 1976 och vilka problem den då införda regleringen vållar i den nuvarande tekniska miljön avsnitt 15. Vidare gör vi ett försök att blicka framåt när det gäller den tekniska utvecklingen och anger två utgångspunkter för våra överväganden: Offentlighetsprincipen skall vara så vid som möjligt. Reglerna skall vara så tydliga och enkla som möjligt.

I den gällande lagen är det främst begreppet handling som omfattar varje uppgiftssammanställning som kan göras med rutinbetonade åtgärder och förvaringsrekvisitet som omfattar allt som är tillgängligt för myndigheten som vållar problem. I syfte att åstadkomma en mera lättillämpad ordning föreslår vi en delvis ny begreppsapparat där begreppet allmän uppgift är centralt och där förvaringsrekvisitet återfår sin egentliga betydelse avsnitt 16.

Rätten att använda Sökverktyg för att söka eller sammanställa uppgifter är svagt utvecklad i den gällande lagen. I en modern teknisk miljö är emellertid sådana funktioner avgörande för rätten att ta del av allmänna uppgifter. Vi lämnar därför förslag till en uttrycklig bestämmelse om detta i lagen avsnitt 17.

En fråga som är i hög grad aktuell är allmänhetens möjligheter att ta del

allmänna uppgifter på elektronisk väg. Även frågan inte finns utav om tryckligen nämnd i vårt uppdrag är det oundvikligt, anser vi, att ta upp den avsnitt 18. Vårt förslag innebär att det införs sådan rätt, om än inte

en undantagslös, för allmänheten att få ut allmänna uppgifter i elektronisk form. Vi berör också något frågan om sekretessprövning av uppgifter som läggs ut allmänt tillgängliga t.ex. via en presentationsterminal eller allmänna nätverk.

Såsom vårt uppdrag anger överväger vi den s.k. biblioteksregeln särskilt avsnitt 19. Vårt förslag till begreppsapparat i 2 kap. TF innebär

ny emellertid att specialbestämmelsen i 11 § andra stycket som syftar till att bl.a. avskära kommersiella databaser från offentlighetsprincipen blir övertlödig.

Enligt gällande rätt är även myndigheternas datorprogram allmänna handlingar omfattas av offentlighetsprincipen. En rätt för allmänheten

som att få ut sådana i elektronisk form i enlighet med vad vi föreslår skulle

- emellertid kollidera med upphovsrätten till sådana program. Vi lämnar därför förslag till hur denna konflikt skall lösas avsnitt 20.

84 Utredningsarbetet SOU 1997: 39

Myndigheternas skyldighet att dels dokumentera de uppgifter de

använder dels registrera allmänna handlingar grundläggande betydelse

är av för offentlighetsprincipen, bestämmelserna detta inte finns i

även om om grundlagen. Vi överväger därför dessa frågor särskilt avsnitt 21.

Slutligen redogör vi för vilka följdändringar som den begrepps-

nya apparaten i 2 kap. TF bör medföra i sekretesslagen, främst i 15 kap., och i arkivlagen avsnitt 22. Vi passar i sammanhanget också på att lämna vissa förslag till ändringar i dessa regelverk.

I författningskommentaren till 2 kap. TF, 15 kap. sekretesslagen och arkivlagen kommenteras våra förslag ytterligare. Här finns också hänvisningar till aktuella avsnitt i den allmänna motiveringen.

EN NY

PERSONDATALAG

SOU 1997: 39 87

1 Gällande rätt i

huvuddrag

Datalagen modern när den antogs år 1973. Den har ändrats ett antal

var gånger under årens lopp, den är i dag ändå föråldrad, såväl innehålls-

men mässigt lagtekniskt. Vi har på olika sätt tagit del av erfarenheterna av

som lagens tillämpning. Vi har däremot inte ansett det nödvändigt att här lämna

ingående redovisning den föråldrade lagen Här ges därför bara en en av kortfattad och översiktlig beskrivning av regelsystemet.3

Datalagen inleds med en definition av begreppen personuppgift, personregister, registrerad och registeransvarig l §.

Med personuppgift upplysning som avser enskild person. Det kan

avses

upplysningar födelsedatum, nationalitet, vara om namn, personnummer, utbildning, familj och anställningsförhållanden. Även andra typer

av upplysningar mindre personlig karaktär räknas som personuppgifter. Enligt

av lagmotiven4 även uppgifter bostadsförhållanden,

avses om en persons banktillgodohavanden, fastighets- eller bilinnehav och upplysningar i övrigt om en persons ekonomiska ställning.

Med personregister förstås register, förteckning eller andra anteckningar förs med hjälp automatisk databehandling ADB och som

som av innehåller personuppgift kan hänföras till den som avses med uppgif-

som ten. Bara register förs med hjälp ADB omfattas således av datala-

som av

Register förs med hjälp teknik än ADB faller i dag gen. som av annan utanför lagens tillämpningsområde.

En personuppgift kan hänföras till en viss person antingen direkt ge-

själva uppgiften eller med hjälp identitetsuppgift som också innom av en går i registret. Även register innehåller identitetsuppgifter sådan art

som av

bara den invigde kan utläsa vilka finns registrerade omatt personer som fattas datalagen. Likaså omfattas statistiska uppgifter där beteckningar

av

2 Det finns lagkommentar till lagen: Claes Kring Sten Wahlqvist, Datalagen

en

med kommentarer, 1989. 3 Beskrivningen bygger på Datalagsutredningens motsvarande redovisning.

Prop. 1973:33 s. 1l7.

88 Gällande rätt i huvuddrag SOU 1997: 39

som också återfinns på dokument gör det möjligt att knyta uppgifterna till en viss person. Med begreppet registrerad avses en enskild vilken det föreperson om kommer en personuppgift i ett personregister. Registeransvarig är den för vars verksamhet personregister förs, om han eller hon förfogar över registret. Såväl fysiska juridiska som personer och myndigheter kan vara registeransvariga. Bara den som har anmält sig till Datainspektionen och fått licens får inrätta och föra personregister 2 §. Datainspektionen granskar inte anmälan i sak utan ger bara den registeransvarige ett bevis licens att anmälan om har gjorts samt ett särskilt licensnummer l0§ dataförordningen. En licens berättigar den registeransvarige att föra ett eller flera personregister. Licens behövs inte för personregister enskild inrättar eller som en person för uteslutande för personligt bruk 2 § 3 st.. Den som fått licens skall betala årlig avgift till Datainspektionen5 en Inspektionen får, om det finns särskilda skäl, sätta ned eller efterskänka avgiften. Avgifterna finansierar inspektionens verksamhet. Med hjälp av ADB för Datainspektionen ett register över licensanmälningar, licensregistret 3 § dataförordningen. Licensregistret får Datainspektionen använda för sin tillsyns- och informationsverksamhet samt som underlag för uppbörd av licensavgifter.

För vissa typer av register med känsliga uppgifter krävs utöver licens även ett särskilt tillstånd från Datainspektionen 2§ 2 st. datalagen. Sådant tillstånd behövs i regel för att inrätta och föra register innehåller som a i sig känsliga personuppgifter, b omdömen om den registrerade, c uppgifter om personer saknar sådan anknytning till den registeransom svarige som följer av medlemskap, anställning, kundförhållande eller något därmed jämförligt förhållande samt d personuppgifter hämtas in från något annat personregister sk. som samkörning, om inte registreringen uppgifterna eller utlämnandet av av dessa sker med stöd av författning, Datainspektionens beslut eller den registrerades medgivande.

Tillstånd behövs inte för personregister någon inrättar eller för uteslusom tande för personligt bruk 2 § 3 st.. Tillstånd behövs inte heller för register

5 l och 3 förordningen 1982:481 om avgifter för Datainspektionens verksamhet.

SOU 1997: 39 Gällande rätt i huvuddrag 89

inrättande beslutats riksdagen eller regeringen s.k. statsmaktsrevars av gister eller för register har tagits emot för förvaring av en arkivmyn-

som dighet 2 § 1 st. 1 och 3. För sådana personregister som ofta förekommer

a inom viss verksamhet för ett visst ändamål kan det meddelas särskilda

en föreskrifter 19 §. Följer den registeransvarige sådana föreskrifter, behövs inte något tillstånd 2 a § 1 st. 2.

sammanslutningar får utan tillstånd inrätta och föra personregister som innehåller sådana uppgifter medlemmarnas politiska uppfattning, reli-

om giösa tro eller övertygelse i övrigt utgör grunden för medlemskapet i

som sammanslutningen 2 a § 2 st.

Myndigheter inom hälso- och sjukvården får utan tillstånd för vårdeller behandlingsändamål inrätta och föra personregister som innehåller uppgifter någons sjukdom eller hälsotillstånd i övrigt 2 a§ 2 st. 2.

om Likaså får myndigheter inom socialtjänsten utan tillstånd inrätta och föra personregister innehåller uppgifter om att någon fått ekonomisk hjälp

som eller vård inom socialtjänsten 2 a § 2 st. 3.

Läkare och tandläkare får utan tillstånd inrätta och föra personregister

innehåller sådana uppgifter någons sjukdom eller hälsotillstånd i som om övrigt de har fått reda på i sin yrkesverksamhet 2 a § 2 st. 4.

som

Arbetsgivare får utan tillstånd inrätta och föra personregister som innehåller sådana uppgifter arbetstagares sjukdom som avser tid för sjuk-

om frånvaro, uppgifterna används för löneadministrativa ändamål eller för

om att arbetsgivaren skall kunna avgöra om han eller hon skall påbörja en rehabiliteringsutredning enligt 22 kap. 3 § andra stycket lagen 1962:381

allmän försäkring 2 a § 2 st. 5. om

Vid sin tillståndsprövning skall Datainspektionen ta ställning till om det finns anledning att anta att registreringen medför ett otillbörligt intrång i den registrerades personliga integritet. Om så vara fallet, skall till-

anses stånd inte meddelas. Vid prövningen skall inspektionen särskilt beakta

arten och mängden de personuppgifter som skall ingå i registret, 0 av

hur och från uppgifterna skall hämtas in, 0 vem

vilken inställning de kan komma att registreras har eller kan antas 0 som

ha till saken och

inte andra uppgifter eller andra registreras än står i 0 att personer som

överensstämmelse med ändamålet med registret 3 §.

Särskilda skäl krävs för att tillstånd skall kunna meddelas för inrättande och förande personregister omfattar andra än medlemmar, anställda

av som

90 Gällande rätt i huvuddrag SOU 1997: 39

eller kunder hos den registeransvarige eller har där-

personer som annan med jämställd anknytning 3 §.

a

Det krävs synnerliga skäl för att andra än myndigheter enligt lag

som eller annan författning har att föra förteckning över sådana uppgifter skall kunna få tillstånd att inrätta och föra personregister innehåller vissa

som angivna typer av känsliga uppgifter, såsom exempelvis uppgift att nå-

om gon misstänks eller har dömts för brott eller varit föremål för vissa tvångsingripanden 4 § l st..

Tillstånd att inrätta och föra personregister i övrigt innehåller

som uppgifter om någons sjukdom, hälsotillstånd eller sexualliv eller uppgift om att någon fått ekonomisk hjälp eller vård inom socialtjänsten eller varit föremål för åtgärd enligt utlänningslagen får bara om det finns särskilda skäl meddelas annan än myndighet som enligt lag eller författning

annan har att föra förteckning över sådana uppgifter. Särskilda skäl krävs även för registrering uppgifter någons eller politiska uppfattning eller

av om ras religiösa övertygelse 4 § 2-3 st..

När Datainspektionen meddelar tillstånd att inrätta och föra

personregister, skall inspektionen samtidigt meddela beslut om ändamålet med

registret 5 §. I den mån det behövs för att förebygga risk för otillbörligt intrång i personlig integritet skall inspektionen i samband med tillståndsgivningen även meddela särskilda villkor 6 §. Sådana villkor får meddelas beträffande exempelvis inhämtande uppgifter, vilka personuppgifter

av som får ingå i registret, utlämnande, bevaring och gallring.

Personregister skall inrättas och föras så att inte otillbörligt intrång i registrerads personliga integritet uppkommer. I 7 § anges närmare vad

som skall iakttas för att nå upp till vad som brukar kallas god registersed. Den registeransvarige är också skyldig att förteckna de personregister

som han eller hon är ansvarig för 7 a §. Förteckningen skall aktuell och

vara hållas tillgänglig för Datainspektionen.

I datalagen finns också särskilda bestämmelser om ADB-användningen som är avsedda att garantera att personuppgifter är riktiga och fullständiga. Dessa bestämmelser, som återfinns i 8 och 9 §§, behandlar bl.a. rättelse

av oriktiga och missvisande uppgifter.

En central bestämmelse är vidare 10 Den ger den enskilde rätt till

en insyn i personregister. Där stadgas att den registeransvarige på skriftlig begäran av den enskilde skall underrätta denne innehållet i registret,

om såvitt gäller honom eller henne. Ett sådant registerutdrag, s.k. § lO-utdrag, har den enskilde rätt att kostnadsfritt få en gång per år.

SOU 1997: 39 Gällande rätt i huvuddrag 91

I datalagen finns allmänna bestämmelser om gallring av personuppgifter och vad skall iakttas då en registeransvarig upphör att föra ett

om som personregister för vilket Datainspektionen har meddelat tillstånd 12 §. Vissa bestämmelser tystnadsplikt finns i 13

om

En särskild bestämmelse om dokumentationsskyldighet avser att göra det möjligt att i efterhand fastställa vilka uppgifter i en ADB-upptagning

har legat till grund för avgörandet av ett mål eller ärende hos en som myndighet. Sådan ADB-upptagning skall tillföras handlingarna i målet eller ärendet i läsbar form. Undantag gäller bara om det finns särskilda skäl 14 §.

Datainspektionen utövar tillsyn över att automatisk databehandling inte medför otillbörligt intrång i registrerads personliga integritet 15-18 §§.

Inspektionen har möjlighet att meddela villkor eller, om rättelse inte kan åstadkommas på annat sätt, förbjuda förandet av personregister eller återkalla meddelade tillstånd.

Datainspektionens beslut enligt datalagen kan överklagas till länsrätten i Stockholm eller, statlig myndighet är registeransvarig, regeringen.

när en Justitiekanslern får föra talan för att ta till vara allmänna intressen. 25 §.

Bestämmelser straff och skadestånd finns i 20-21 och 23 §§. Ett

om personregister kan förklaras förverkat, det inrättas eller förs utan nöd-

om vändig licens eller tillstånd 22 §.

I datalagen regleras även det statliga person- och adressregistret SPAR, 26-28 §§.

Kompletterande bestämmelser om bl.a. licensanmälan, tillståndsansökan, handläggningen hos Datainspektionen, verkställighetsföreskrifter och bistånd till personer som är registrerade utomlands finns i dataförordningen.

SOU 1997: 39 93

2 förslag

Datalagsutredningens

och därefter

utvecklingen

2.1 Inledning

Datalagsutredningen presenterade sitt slutbetänkande, En ny datalag SOU 1993:10, i februari 1993. I sitt arbete hade utredningen beaktat bl.a. det då föreliggande förslaget till EG-direktiv skydd för enskilda vid behand-

om ling personuppgifter och om det fria flödet av sådana uppgifter. Utred-

av ningens förslag hade till stora delar anpassats till direktivförslaget. Vissa avvikelser förekom emellertid. Sådana bestämmelser i direktivförslaget

inkräktade på den svenska offentlighetsprincipen skulle enligt utredsom ningen inte införas. Utredningen ansåg inte heller att direktivförslagets bestämmelser anmälningsskyldighet för automatisk databehandling av

om personuppgifter skulle genomföras fullt ut.

Utredningen inte enig i alla frågor. Till betänkandet fanns fogat

var skiljaktiga meningar och särskilda yttranden.

Utredningens förslag har remissbehandlats.

Regeringen lämnade i 1993/942116 förslag till ändringar i rege-

prop. ringsformen RF bl.a. innebar att regeringen skulle kunna delegera

som viss normgivningskompetens till Datainspektionen avseende skyddet för den personliga integriteten vid automatisk databehandling av personuppgifter. Vidare anförde regeringen att beslut datalag borde anstå

om en ny till dess slutlig ställning hade tagits till EG-direktivet. Vissa angelägna ändringar i datalagen borde enligt regeringen dock vidtas innan dess, och förslag till sådana lämnades i 1993/942217. Riksdagen beslutade om

prop. ändringar i enlighet med de båda förslagen och de nya bestämmelserna trädde i kraft den 1januari 1995.6

6 SFS 1994:1480 respektive 1994:1485.

94 Datalagsutredningens förslag och utvecklingen därefter SOU 1997: 39

Nedan lämnas först en kort sammanfattning av Datalagsutredningens förslag med noteringar om huvuddragen i remissvaren. Därefter följer

en presentation av den lagstiftning som beslutats till följd av förslaget.

2.2 Sammanfattning Datalagsutredningens

av

förslag

2.2.1 Lagens tillämpningsområde

Datalagens tillämpningsområde är knutet till begreppet personregister. Datalagsutredningen föreslog att tillämpningsområdet i stället skulle definieras så att lagen var tillämplig varje behandling av personuppgifter med hjälp av automatisk databehandling, även t.ex. lagring och utlämnande. En sådan definition skulle emellertid leda till att lagens tillämpningsområde blev mycket omfattande. Utredningen konstaterade att vissa undantag måste göras. Undantag skulle enligt förslaget bl.a. göras för sådan behandling som sker uteslutande för personligt bruk eller

som avser personuppgifter som ingår i uppslagsverk, ordböcker eller liknande referensmaterial. Vidare skulle inte heller sådana personuppgifter som förekommer i löpande text ord- och textbehandling omfattas lagen.

av

Remissinstanserna var positiva till att begreppet personregister

ersattes med behandling av personuppgifter". Flera instanser pekade dock

de gränsdragningsproblem som kan tänkas uppkomma mellan sådan ord- och textbehandling som faller utanför lagens tillämpningsområde och sådana behandlingar av texten, t.ex. sökningar i den, omfattas la-

som av gen.

Liksom tidigare skulle datalagen enligt utredningens förslag gälla

enbart sådan behandling som sker med hjälp automatisk databehandling.

av Detta begrepp borde enligt utredningen inte definieras, bl.a. eftersom

en sådan definition snabbt skulle bli inaktuell. I den föreslagna lagen har emellertid klargjorts att i vissa fall även manuella hanteringar av personuppgifter kan omfattas av lagen. Begreppet behandling skulle nämligen innefatta även insamling av personuppgifter som avses bli föremål för

automatisk databehandling. Helt manuella behandlingar skulle däremot falla utanför lagens tillämpningsområde.

Remissinstanserna var oeniga i frågan om även helt manuella register skulle omfattas av lagen. Några pekade på fördelarna med att göra lagen

Datalagsutredningens förslag och utvecklingen därefter 95 SOU 1997: 39

helt teknikoberoende, medan andra den åsikten att det är just den var av omständigheten att uppgifterna behandlas automatiskt gör förfarandet som

riskfyllt från integritetssynpunkt.

2.2.2 Förhållandet till offentlighetsprincipen

Utredningen hade utgångspunkt att inga inskränkningar skulle göras i som offentlighetsprincipen, bl.a. innebär att alla medborgare har rätt att ta som myndigheternas handlingar 2 kap. l § TF. Förslaget till EG-direkdel av tiv innehöll, enligt utredningens bedömning, inget formellt hinder mot utlämnande personuppgifter med stöd offentlighetsprincipen. I förslaav av till datalag togs i några bestämmelser dock in en erinran om mynget ny dighets skyldighet lämna ut uppgifter enligt TF. Offentlighetsprincipen att innefattar också rätt för den enskilde att i samband med utfående av såen dana uppgifter 2 kap. 14 § 3 st. TF. Här måste enligt utredvara anonym ningen göras avvikelse från direktivförslaget, som innebar att när uppen gifter någon lämnas ut skall underrättas om detta och om person personen som har fått del av uppgifterna. om vem Remissinstanserna uttryckte stöd för att offentlighetsprincipen skall behållas i nuvarande omfattning.

2.2.3 Förhållandet till yttrandefriheten

Datalagsutredningen konstaterade att konflikter kunde uppstå mellan å ena sidan datalagen och å andra sidan de bestämmelser i tryckfrihetsförordningen TF och yttrandefrihetsgrundlagen YGL som gäller förbud mot och förhandsgranskning samt rätten för meddelare m.fl. att censur annan Utredningen utgick från att grundlagsbestämmelsema även vara anonyma. i fortsättningen skulle tillämpas framför datalagstiftningen vid en konflikt mellan dem, även skyddet mot otillbörligt intrång i den personliga inom tegriteten i samband med personregistrering med hjälp automatisk dataav behandling också har visst grundlagsskydd 2 kap. 3 § 2 st. RF. Någon saklig förändring borde därför enligt utredningen inte göras. Däremot borde det framgå datalagen att vissa datasamlingar till följd härav inte av faller under datalagens tillämpningsområde. Undantag från lagens tillämpning borde enligt utredningen göras för produktionsregister, dvs. personregister används ett direkt teksom som niskt hjälpmedel i samband med framställning av ett grundlagsskyddat ytt-

96 Datalagsutredningens förslag och utvecklingen därefter SOU 1997: 39

rande. Datainspektionens tillsynsverksamhet enligt datalagen skulle nämligen, enligt utredningen, till stora delar strida mot förbudet granska att eller i övrigt vidta någon hindrande åtgärd i samband med framställning av yttrande l kap. 2 § TF och 1 kap. 3 § YGL. Vidare borde undantag göras för sådana register som används direkt i den journalistiska verksamheten och som innehåller uppgifter omfattas anonymitetsom personer som av skyddet i 3 kap. 1 § TF. Utredningen pekade på risken att sådana uppgifter kan avslöjas t.ex. i samband med tillsyn Datainspektionen. Detta skulle av i så fall kollidera med anonymitetsskyddet. För övrigt ansåg utredningen att just anonymitetsskyddet i detta sammanhang är det bästa skyddet för den personliga integriteten. Utredningen föreslog slutligen även klippatt arkiven skulle undantas, dvs. arkiv innehåller tidigare publicerade som artiklar samt bevarade radio- och TV-inslag. I det sammanhanget gjorde utredningen följande bedömning. Det skulle olämpligt Datainspekvara om tionen kunde meddela villkor t.ex. innebar att tidningarnas tillsom egen gång till tidigare publicerat material begränsades. Sådana villkor skulle vidare kunna innebära restriktioner i fråga tryckfriheten. Man ansåg om slutligen att allmänheten inte datalagen borde hindras från del genom att ta av sådant material, eftersom det tidigare varit publicerat. Remissinstanserna gav starkt stöd utredningens uttalanden att beom stämmelserna i TF och YGL skall gälla framför datalagen. Flera remissinstanser ansåg dock inte att klipparkiven generellt borde undantas från lagen. Till den del klipparkiven inte kan utgöra produktionsregister anses skulle de, enligt dessa instanser, underkastade lagens tillämpning vara eftersom de inte sällan innehåller känsliga personuppgifter. Å andra sidan förordade många instanser att all behandling personuppgifter av som används i publicistiskt syfte borde undantas från lagen, alltså även uppgifter som använts av journalister, författare m.fl. inte blivit publiceramen som de.

2.2.4 Tillstånd eller tillsyn

Tillståndsförfarandet enligt datalagen borde enligt utredningen avskaffas. En alltför stor del Datainspektionens måste läggas på tillav resurser ståndsärendena på bekostnad tillsynsverksamheten menade Utav man. redningen gjorde den bedömningen att tid kunde ägnas tillsyn, om mera t.ex. inspektioner, skulle detta leda till bättre efterlevnad bestämmelen av serna på området. Vidare upptar många tillståndsansökningar behandling av både känsliga och icke-känsliga uppgifter. I sådana fall får Datainspek-

SOU 1997: 39 Datalagsutredningens förslag och utvecklingen därefter 97

tionen ägna tid granskning av uppgiftsbehandling som inte är känslig.

borde enligt utredningen i stället läggas på tillsynsverksam- Dessa resurser heten.

En klar majoritet av remissinstanserna ställde sig positiva till en övergång från ordning som bygger på tillstånd till ett tillsynssystem.

en

Enligt förslaget skulle det i stället för tillstånd krävas en anmälan till Datainspektionen för behandling känsliga personuppgifter. Anmäl-

av ningarna skulle ligga till grund för inspektionens tillsynsverksamhet. Anmälningsavgifter skulle dessutom finansiera inspektionens verksamhet.

Av de remissinstanser som yttrat sig i frågan avstyrkte de flesta ett införande anmälningsplikt för vissa typer av register. Många uttalade

av en farhågor för att anmälningsförfarandet skulle ta stora resurser i anspråk utan att anmälningarna skulle komma att utgöra någon bra grund för tillsy-

En del remissinstanser menade att Datainspektionens verksamhet nen. borde skattefinansieras.

2.2.5 Den materiella regleringen i datalagen

2.2.5.1 Regler för de olika momenten i behandlingen

Eftersom kravet på tillstånd enligt förslaget skulle försvinna helt, var det enligt utredningen nödvändigt att direkt i lagen ta in tydliga och utförliga bestämmelser reglerar behandlingen av personuppgifter. Flera allmänt

som hållna begrepp t.ex. otillbörligt intrång i personlig integritet måste därför ersättas med klarare regler, så att det blir möjligt för en enskild att avgöra

den behandling personuppgifter planeras eller utförs uppfyller om av som lagens krav eller Begreppet otillbörligt intrång borde därför enligt utredningen ersättas med regler för de olika momenten i behandlingen. Det skulle med andra ord framgå direkt av lagen i vilka fall det är tillåtet att behandla personuppgifter utan att någon integritetsbedömning först behöver göras.

Remissinstanserna tillstyrkte i huvudsak den metod som utredningen hade valt.

2.2.5.2 Personuppgift

Definitionen begreppet personuppgift skulle enligt förslaget anpassas

av bättre till internationella regler. Detta skulle innebära att fler uppgifter än

omfattas, nämligen alla uppgifter som direkt eller indirekt går att härnu

98 Datalagsutredningens förslag och utvecklingen därefter SOU 1997: 39

leda till en individ. I syfte att begränsa de uppgifter behandlas skulle som endast sådana uppgifter som behövs för angivna ändamål få behandlas. Remissinstanserna lämnade förslaget i stort sett utan erinran.

3 Persondataansvari g

Bestämmelserna om vem är persondataansvarig tidigare registeransom svarig borde enligt utredningen utformas på ett sådant sätt att det blev lättare att avgöra hos vem ansvaret låg, särskilt beträffande data som används av flera olika rättssubjekt. Enligt förslaget skulle den ansvarig vara som bestämmer ändamålet med behandlingen, vilka personuppgifter som skall behandlas och hur de skall behandlas. Detta skulle bl.a. medföra att ansvaret läggs på den som har möjlighet att faktiskt påverka innehållet i uppgifterna. Flera av remissinstanserna ställde sig positiva till förslaget att koncentrera ansvaret för en viss databehandling till ett rättssubjekt. Samtidigt pekade många på svårigheterna att åstadkomma detta i situation där allten fler system används av flera olika myndigheter och flödet uppgifter av mellan olika rättssubjekt ökar. Många instanser ansåg därför att den aktuella bestämmelsen borde bli föremål för förnyade överväganden.

4 Ändamålsanknytningen

All behandling av personuppgifter skulle, liksom tidigare, ha anknytning till ett visst ändamål för att tillåten. Bestämmelsen borde enligt utvara redningen dock preciseras, så att det framgick att ändamålet skall utvara tryckligt angivet och definieras så snävt möjligt. Ändamålet skulle som bestämmas av den som ansvarar för behandlingen personuppgifterna av den persondataansvarige. Ändamålsanknytningen skulle enligt utredningen vidare fungera avgränsning mellan olika persondatasamlingar som sedan registerbegreppet lämnats. Ytterst skulle det angivna ändamålet också bestämma i vilken omfattning datorlagrade uppgifter hos en myndighet utgör allmän handling och därmed faller under offentlighetsprincipen. Remissinstanserna var i huvudsak positiva till utredningens ställningstaganden. Några ansåg dock att det borde uppställas ytterligare krav i lagen på att ändamålsbestämningarna är noggrant preciserade. Några instanser ifrågasatte de ändamål bestämts den persondataansvarige själv om som av verkligen bör få avgöra i vilken omfattning uppgifterna skall betraktas som

1997: 39 Datalagsutredningens förslag och utvecklingen därefter 99 SOU

allmän handling, oavsett vilka uppgiftssammanställningar i och för sig

som är tekniskt möjliga att göra.

2.2.5.5 Förutsättningarna för att få behandla personuppgifter

Vidare borde förutsättningarna för att få behandla personuppgifter framgå direkt lagen, i stället för oftast indirekt undantag från

av som nu - - som tillståndsplikten. Personuppgifter skulle enligt förslaget få behandlas endast

den enskilde hade samtyckt till behandlingen, 0 om eller behandlingen behövdes för att

om fullgöra ett avtal med den enskilde eller för att på den enskildes begäran 0 vidta förberedande åtgärder inför ett avtal, fullgöra åligganden följer lag eller författning, 0 som av annan skydda enskilda intressen är väsentlig betydelse för den en- 0 som av skilde, utföra uppgift i det allmännas intresse eller i myndighetsutövning av 0 en den persondataansvarige eller någon till vilken uppgifterna lämnas ut, eller tillgodose ett allmänintresse eller ett intresse hos den persondataansva- 0 rige eller någon till vilken uppgifterna lämnas ut, under förutsättning att detta intresse får väga tyngre än den enskildes intresse av att upp-

anses gifterna honom inte behandlas.

om

Dessa bestämmelser skulle också reglera i vilka fall sambearbetningar av uppgifter från olika datasamlingar är tillåten. Särskilda regler skulle gälla för behandling av känsliga personuppgifter. Remissinstanserna hade i huvudsak inte några invändningar mot den föreslagna konstruktionen. Några menade dock att bestämmelserna till viss del borde förtydligas så att det klarare framgick vad som var tillåtet respektive otillåtet, detta särskilt mot bakgrund att ett otillåtet förfarande

av föreslogs bli straffbelagt.

2.2.5.6 Känsliga personuppgifter

få behandla känsliga personuppgifter föreslog Datalagsutredningen För att det skulle krävas författningsstöd, inte den registrerade hade lämnat att om skriftligt samtycke till behandlingen. Enligt förslaget till EG-direktiv skulle för behandling sådana uppgifter krävas antingen en särskild för-

av fattningsreglering eller ett tillståndsförfarande. Eftersom tillståndsförfa-

100 Datalagsutredningens förslag och utvecklingen därefter SOU 1997: 39

randet enligt utredningens förslag skulle upphöra, återstod möjligheten att reglera sådan behandling i författning s.k. statsmaktsregister. Sambearbetning av känsliga personuppgifter skulle enligt utredningsförslaget kräva särskilt stöd i den författning reglerar bearbetningen, som om inte samtycke föreligger. De remissinstanser som yttrade sig i frågan var huvudsakligen positiva till att behandling känsliga personuppgifter författningsregleras. Flera av ansåg att det skulle praktiskt taget omöjligt i stället tillämpa vara att ett förfarande där samtycke krävs i varje enskilt fall för behandlingen. Några instanser, särskilt inom den kommunala och landstingskommunala sektorn, pekade på det kommande behovet ett tämligen omfattande författningsav arbete. Utredningen föreslog vidare att två typer sådana register inneav som håller känsliga personuppgifter skulle regleras direkt i datalagen. Behandling av känsliga personuppgifter för forsknings- eller statistikändamål och vissa typer känsliga personuppgifter för anställningsändamål skulle av under särskilda i lagen uppräknade fall kunna ske samtycke de utan av registrerade. Den allmänna bestämmelsen att uppgifter inte får behandlas om för andra ändamål än de som ursprungligen angetts skulle gälla även på forskningsområdet. En klar majoritet remissinstanserna tillstyrkte förslaget nämnda av att typer av behandlingar som huvudregel skulle kräva samtycke dem av vars uppgifter behandlas. Några instanser, företrädesvis inom forskningssektorn, ansåg att förslaget skulle leda till inskränkningar i forskningsverksamheten. Det är ofta svårt, menade att i förväg uttömmande man, ange vad uppgifterna kommer att användas till, t.ex. inom den medicinska forskningen. Andra instanser menade att undantagen från huvudregeln om samtycke för behandling av personuppgifter på forskningsområdet alltvar för långtgående. När det gäller behandlingen personuppgifter i samband av med anställningsförhållanden ansåg vissa att undantag från kravet på samtycke endast skulle göras för löneberäkningar eller liknande.

2.2. 7 Gallring personuppgifter av

Utredningen föreslog att integritetsintressena skulle beaktas i större omfattning än tidigare i gallringssammanhang utan att det för den skull gjordes några avsteg från offentlighetsprincipen. I särskild bestämmelse en angavs därför hur avvägningen skall göras mellan intresset att bevara uppgifterna för framtiden och intresset hos den enskilde att uppgifterna gallras.

SOU 1997: 39 Datalagsutredningens förslag och utvecklingen därefter 101

Flera remissinstanser kritiska mot den föreslagna bestämmelsen, var ansåg oklar. Det måste, menade dessa instanser, klart som man vara framgå Datainspektionen eller arkivmyndigheten har den vem — — som slutliga bestämmanderätten i fråga om gallring.

2.2.6 Bemyndigande att meddela föreskrifter

Utredningen konstaterade att datalagen även i fortsättningen måste kunna kompletteras med bestämmelser på lägre nivå. Datainspektionen kan meddela sådana föreskrifter t.ex. i tillståndsärenden. Eftersom tillståndsförfarandet skulle slopas, föreslog utredningen att det i stället skulle tas in en bestämmelse i datalagen, regeringen möjlighet att delegera till som gav Datainspektionen att meddela närmare föreskrifter om tillämpningen av datalagen inom olika branscher eller sektorer. En sådan bestämmelse förutsatte emellertid även en ändring i 8 kap. 7 § RF. Ändringar utredningen föreslog har införts och trätt i av det slag som kraft den 1 januari 1995.7

2.3 Sammanfattning av remissutfallet

Det rådde stor enighet bland remissinstanserna att det behövs en ny om datalag och att den bör anpassad till den internationella regleringen, vara bl.a. det kommande EG-direktivet. Huvuddelen av instanserna ansåg att en lag bör avvakta EG-direktivet, några menade att det är så angeläget ny men datalag kommer till stånd att inte skall vänta direktivet. att en ny man Vidare uttalade klar majoritet instanserna att den svenska offenten av lighetsprincipen skall behållas i sin nuvarande omfattning och att- om det skulle behövas EG-direktivet får stå tillbaka på den punkten. Vissa pe- kade på den intressekonflikt kan finnas mellan offentlighet och effeksom tivitet i förvaltningen å sidan och personlig integritet å den andra. Det ena rådde mellan instanserna delade meningar vilket intresse som skall om väga Några ansåg att det borde analyseras ytterligare vilka kontyngst. sekvenser den lagen skulle få för offentlighetsprincipen. nya Huvuddelen instanserna ansåg att det skall göras undantag från dataav lagen för att skydda yttrandefriheten enligt TF och YGL. Däremot var de

7 SFS 1994:1480 och 1994:1485.

102 Datalagsutredningens förslag och utvecklingen därefter SOU 1997: 39

inte överens hur ett sådant undantag i praktiken skulle utformas. Vissa om menade att utredningens förslag skulle innebära att alltför del den stor av behandling av personuppgifter förekommer inom detta område undansom togs från lagens tillämpning. Dessa instanser ansåg att ett alltför omfattande undantag kan medföra intrång i den personliga integriteten. Andra menade att undantaget för snävt och ansåg att den omständigheten var att man reglerar användningen av datorer inte får inskränka den grundlagsfästa yttrandefriheten. Det rådde stor enighet bland remissinstanserna tillståndssysteom att met borde avskaffas till förmån för ett renodlat tillsynsförfarande. Många

påpekade att detta förutsätter klara och precisa regler i datalagen kan som förstås av var och en, och många ansåg att lagförslaget inte uppfyller detta krav. Den föreslagna lagen lämnar, enligt vissa, den enskilde efter att avvägningar mellan skilda intressen själv avgöra behandling om en av personuppgifter är tillåten eller inte. Några instanser ansåg sådan regleatt en ring är otillfredsställande, särskilt eftersom den inte följer bestämmelsom serna kan straffas.

Många var kritiska till det föreslagna anmälningsförfarandet enligt som dessa instanser skulle vålla onödig och kostsam byråkrati. Datainspektionens verksamhet borde, enligt vissa, i stället för att betalas anmälgenom ningsavgifter finansieras via statsbudgeten. En del uttalade också kritik mot de föreslagna bestämmelserna information och underrättelser till om de registrerade. Även dessa regler ansågs vissa vålla av alltför stora kostnaden

Remissinstanserna var generellt sett positiva till övergång från en personregister till personuppgifter. Vissa menade även manuella att register bör omfattas av lagen. Flera instanser ifrågasatte utredningens tolkning bestämmelserna av om ändamålsanknytning. Enligt denna skulle de ändamål för behandlingen av personuppgifter som bestämts av den persondataansvarige själv få avgöra vilka uppgifter är offentliga. Dessa instanser ansåg sådan ordsom att en

ning i praktiken skulle innebära inskränkning offentlighetsprincipen.

en av En sådan inskränkning välkomnades emellertid några andra. av De flesta var i huvudsak positiva till förslaget att behandling känsav liga personuppgifter författningsregleras. Det andra alternativet att kräva — samtycke i varje enskilt fall den registrerade avvisades. När det gällde av de föreslagna reglerna behandling känsliga uppgifter för forskningsom av eller statistikändamål rådde delade meningar. De flesta tillstyrkte förslaget att sådana behandlingar huvudregel skulle kräva samtycke. Andra som

Datalagsutredningens förslag och utvecklingen därefter 103 SOU 1997: 39

menade förslaget skulle leda till inskränkningar för forskningen medan att andra åter menade att undantagen för forskning var alltför långtgående. Några remissinstanser kritiska mot att förslaget inte innehöll en var de ansåg nödvändig kostnadsanalys. som -

2.4 Genomförda förändringar

2.4.1 Sammanfattning

Datalagsutredningens förslag har legat till grund för vissa ändringar i bl.a. datalagen. Genom ändring i 8 kap. 7 § RF öppnades en möjlighet för en regeringen efter bemyndigande i lag delegera normgivningskompetens att till Datainspektionen i fråga automatisk databehandling av personuppom gifter.8 Grundlagsändringen har följts med ändringar i datalagen.9 upp Ändringarna trädde i kraft den l januari 1995. I lagstiftningsärende vidtogs ytterligare, som det bedömdes, ansamma gelägna förändringar. Skyldigheten att inhämta särskilt yttrande från Datainspektionen inför inrättande s.k. statsmaktsregister togs bort. Datainav spektionen fick vidare möjlighet att förena föreskrifter och förbud med vite. Slutligen infördes regler överklagande. Datainspektionens nya om beslut skall inte längre överklagas till regeringen utan till allmän förvaltningsdomstol. Endast i de fall den registeransvarige är myndighet skall en regeringen även i fortsättningen pröva överklagandet.

2.4.2 Normgivningen på dataskyddsområdet

4.2.1 Bakgrund

Datalagen innehöll från början ett generellt krav på tillstånd från Datainspektionen för alla automatiskt förda personregister. Endast såtyper av register beslutade riksdag eller regering undantagna dana som var av var tillståndsplikten. Vissa inskränkningar i tillståndskravet genomfördes från juli 1979.10 Härigenom undantogs register fördes med viss den 1 som

SFS 1994:1480. 9 SFS 1994:1485. 10 SFS 1979334.

104 Datalagsutredningens förslag och utvecklingen därefter SOU 1997: 39

teknisk utrustning och där det framstod uppenbart

som att otillbörligt in-

trång i de registrerades personliga integritet inte skulle uppkomma t.ex. sådan behandling utfördes i s.k. hemdatorer. Tillståndshanteringen som blev emellertid med tiden alltmer omfattande. I syfte att begränsa Datainspektionens tillståndsverksamhet ytterligare togs det generella tillståndskravet bort den 1juli 1982.11 Endast sådana personregister som är särskilt känsliga från integritetssynpunkt har därefter varit underkastade tillett ståndskrav.

2.4.2.2 Datainspektionens normgivning

Datainspektionen saknade tidigare formell möjlighet att meddela generella föreskrifter för behandling personuppgifter. Föreskrifter kunde av endast meddelas i varje enskilt tillståndsärende. I övrigt kunde inspektionen genom sin informations- och rådgivningsverksamhet påverka de registeransvariga. Datainspektionen hade emellertid redan under 1970-talet börjat tillämpa ett förenklat tillståndsförfarande i praktiken innebar insom att spektionen för vissa verksamhetsområden utfärdade generella föreskrifter. Inspektionen kunde sedan i det enskilda tillståndsärendet, hängenom att visa till sådana föreskrifter, efter summarisk kontroll låta föreskrifen mer terna bli gällande i det individuella fallet. Det förenklade tillståndsförfarandet fyllde det behov som fanns generella föreskrifter på olika områav den. Med Datalagsutredningens förslag grund infördes den 1 januari som 1995 bestämmelser i datalagstiftningen öppnade möjlighet som för Datainspektionen att meddela generella föreskrifter för personregister ofta som förekommer inom viss verksamhet. Samtidigt infördes undantag en ett från tillståndsplikten för sådana register inrättas och förs i enlighet som med sådana av Datainspektionen meddelade föreskrifter. Tanken på inatt föra krav på speciell anmälningsskyldighet för sådana register avvisades en i motiven.13 Ändringen syftade till minska Datainspektionens att tillståndshantering och därigenom lämna för tillsynsverksammer utrymme heten.14

11 SFS 1982:446. 12 19§ datalagen och 14§ dataförordningen, SFS 1994:1485 respektive SFS 1994:1487. 13 Prop. 1993/94:217 s. 20 14 A. prop. s. 15

39 Datalagsutredningens förslag och utvecklingen därefter 105 SOU 1997:

Datainspektionens normgivningskompetens avser endast en regelut- . fyllnad datalagens bestämmelser. Tanken är att föreskrifterna skall vara av tämligen detaljerade och i sak ligga nära enskilda tillståndsbeslut. Möjlig-

heten till delegerad normgivningskompetens skall inte påverka strävandena reglera särskilt integritetskänsliga personregister speciella att genom registerförfattningar, något särskilt poängterades vid utskottsbehandsom lingen.15 Normgivningskompetensen vidare endast personregister avser ofta förekommer inom viss verksamhet branscher och sektorer som en och för visst ändamål. Normgivningsrätten innefattar inte någon rätt för ett Datainspektionen att utfärda generella föreskrifter om gallring av allmänna handlingar. Datainspektionens kompetens omfattar såväl privat som statlig och kommunal verksamhet.

Datainspektionen har hittills meddelat generella föreskrifter för församlingsregister och ministerialböcker i Svenska kyrkans verksamhet 0 DIFS 1995:3, vissa personregister i kommunal verksamhet DIFS 1995:5, 0 vissa direktreklamregister DIFS 1995:6, 0 vissa tillståndspliktiga personregister i försäkringsrörelse 0 DIFS 1996:2, protokollsregister hos kommuner och landsting DIFS 1996:3, 0 uppdragsregister i advokatverksamhet DIFS 1996:5, 0 personregister över nämndemän, särskilda ledamöter och jurymän 0 DIFS 1996:6 och domstolars personregister över tolkar DIFS 1996:7. 0

2.4.3 Yttranden från Datainspektionen

Tidigare skulle yttrande inhämtas från Datainspektionen innan riksdagen

eller regeringen fattade beslut personregister statsmaktsregister. Tanom ken bl.a. att otillbörlighetsbedömningen skulle ske enhetligt oavsett om var det gällde tillståndspliktigt register eller ett register inrättades diett som rekt statsmaktema.17 I syfte att minska inspektionens arbetsbörda togs av skyldighet enligt 2 § datalagen bort den l januari 1995.13 I motidenna a uttalades att Datainspektionen ändå får tillfälle att avge synpunkter, ven

15 KU 1994/9310 6 s. 16 Prop. 1993/94:217 17 Prop. 1973:33 120 s. 18 Prop. 1993/94217 23 s.

106 Datalagsutredningens förslag och utvecklingen därefter SOU 1997: 39

bl.a. mot bakgrund av den skyldighet regeringen har enligt 7 kap. 2 § som RF att inhämta vissa upplysningar och yttranden från myndigheter under beredningen regeringsärendena. Vidare anfördes det är vanligt inav att att spektionen deltar i beredningsarbetet inför inrättandet statsmaktsregister av samt att inspektionen regelmässigt är remissorgan i sådana lagstiftningsärenden.

2.4.4 Vite

Om förandet av ett personregister har lett till otillbörligt intrång i personlig integritet, kan Datainspektionen meddela föreskrifter för att förhindra fortsatt sådant intrång 18 § datalagen. När det gäller statsmaktsregister får sådana föreskrifter inte stå i strid med beslut regeringen eller riksdagen. av Om intrånget inte kan hindras på något annat sätt, får Datainspektionen förbjuda fortsatt förande registret eller återkalla meddelat tillstånd. av ett Detta gäller inte statsmaktsregister. För överträdelse sådana föreskrifter av eller förbud är föreskrivet straff 20 § 1 st. 2 p.. Någon möjlighet för Datainspektionen att ingripa mot förfaranden stred sådana föreläggansom mot den eller förbud fanns inte tidigare. Genom lagändringen infördes möjen lighet för Datainspektionen att förena sådana med vite 18 § 3 st.. Vitesmöjligheten ansågs skapa bättre förutsättningar för att sätta för otillstopp börliga intrång i personlig integritet. Enligt allmänna principer får inte samma gärning föranleda både vite och straff. En särskild erinran därtogs för in i lagen om att den som har överträtt ett vitesföreläggande inte får dömas för en gärning omfattas vitesföreläggandet 20 § 2 st.. som av

2.4.5 Överklagande

Datainspektionens beslut skall efter lagändringen överklagas till allmän förvaltningsdomstol i praktiken länsrätten i Stockholms län i stället för regeringen. Undantag gäller för det fallet att statlig myndighet är regisen teransvarig. Överklagande skall då även i fortsättningen ske till regeringen. Ändringen är ett led i det arbete sedan flera år pågår inom regeringssom kansliet för att minska regeringens befattning med förvaltningsärendenzo Den innebär vidare en samordning med EG-direktivets artikel 22 enligt

19 Prop. 1993/94:217 s. 24 20 Prop. 1993/94:1l6 s. 12

Datalagsutredningens förslag och utvecklingen därefter 107 SOU 1997: 39

vilken enskilda skall ha rätt till domstolsprövning vid brott mot de rättigheter tillförsäkras dem direktivet. som genom regeringens förslag skulle i samtliga fall överklagande ske till Enligt domstol. Regeringen grundsats i det sammanhanget att överangav som klaganden förvaltningsbeslut rör rättsfråga skall till domstol av som en medan ärenden där lämplighetsbedömningar dominerar bör prövas i administrativ ordning. Vidare regeringen att det bestämd målangav var en sättning myndighetsregister med känsligt innehåll skall ha stöd i foratt fattning. Den politiska styrningen utvecklingen inom området för autoav matisk databehandling skulle med andra 0rd uteslutande ske författnings- Eftersom for lämplighetsbedömningar i enskilda fall på vägen. utrymmet inskränktes, borde enligt regeringen överprövningen Dataindetta sätt av spektionens beslut flyttas till domstol. Konstitutionsutskottet uttalade emellertid det, särskilt det statliga området, inte kunde uteslutas att att det fortfarande kan förekomma fall där de bedömningar som måste göras politiska inslag. Som exempel nämndes ett uppmärksammat fall rymmer samköming personuppgifter från vissa arbetslöshetskassor med av av uppgifter från allmänna försäkringskassor i syfte att upptäcka bidragsfusk Enligt utskottets mening borde därför överklaganden beslut som av statliga myndigheter även i fortsättningen avgöras av regeringen.23 rör Riksdagen beslutade i enlighet med utskottets förslag.

21 Prop. 1993/94:217 27 s. 22 Regeringsbeslut 1994-09-15, Ju 94/3280 23 KU 1994/95:10 11 s.

SOU 1997: 39 109

3 EG-direktivet om

personuppgifter

3.1 Bakgrund

3.1.1 Inledning

Vi har enligt utredningsdirektiven till uppgift att analysera vilket sätt Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

skydd för enskilda med avseende på behandling av personom personer uppgifter och det fria flödet sådana uppgifter24, i det följande kallat

om av direktivet, skall införlivas i svensk lagstiftning. Direktivet finns bifogat som bilaga

Här skall inte lämnas någon allmän beskrivning av EU eller Sveriges åtaganden i det sammanhanget; sådana översiktliga beskrivningar finns i flera betänkanden från år och i diverse läroböcker och andra skrif-

senare ter. Som bakgrund till vår analys innebörden av direktivet och hur

en av det bör införlivas i svensk rätt finns det emellertid anledning att kort dels erinra vad gäller i fråga genomförandet av EG-direktiv avsnitt

om som om 3.1.2, dels beröra bakgrunden till det aktuella direktivet avsnitt 3.1.3.

3.1.2 Genomförandet av EG-direktiv

Bestämmelserna i ett EG-direktiv måste införlivas i varje medlemsstats rättsordning för att bli gällande rätt i den staten. EG-direktivet är dock för medlemsstaterna bindande i fråga det resultat skall uppnås, men

om som det är de nationella myndigheterna som bestämmer formen och tillväga-

gångssättet för genomförandet.

24 EGT L 281, 23.11.95, 31.

nr s. 25 Artikel i EG-fördraget.

189 a

l 10 EG-direktivet personuppgifter SOU 1997: 39 om

Ibland kan EG-direktiv särskilt på det sociala området innehålla - bara minimibestämmelser. Medlemsstaterna måste då kunna garantera att minimiskyddet enligt EG-direktivet alltid uppfylls, det är tillåtet att ha men längre gående nationella bestämmelser för att skydda de aktuella intresse- Är det inte fråga sådant minimidirektiv, måste medlemsstaterna na. om ett emellertid kunna garantera att varken strängare eller mildare bestämmelser gäller än vad som följer av EG-direktivet. En sak är att bestämmelannan serna i ett EG-direktiv i sig kan tillåta medlemsstaterna ett visst spelrum vid genomförandet. Det aktuella direktivet om behandling av personuppgifter är inte ett minimidirektiv, Det är alltså inte tillåtet att föreskriva eller behålla ett - bättre eller sämre skydd för den personliga integriteten vid behandling av personuppgifter eller för det fria flödet av sådana uppgifter än vad som följer direktivet. av En anknytande frågeställning är huruvida de uttryck och begrepp som används i ett EG-direktiv har en för hela EG gemensam innebörd eller om avsikten bara är partiell harmonisering det sättet att varje medlemsen stat i enlighet med nationell lagstiftning och praxis får bestämma innebörden av använda uttryck och begrepp. Om det i ett EG-direktiv att anges fysiska personer skall ha ett visst skydd, är det då tillåtet för varje medlemsstat att i enlighet med nationell lagstiftning och praxis bestämma om t.ex. ofödda och avlidna skall ha det föreskrivna skyddet Även det inte framgår uttryckligen EG-direktiv, måste medom av ett lemsstaterna vidta alla nödvändiga åtgärder för att kunna garantera en effektiv tillämpning bestämmelserna i EG-direktivet. Medlemsstaterna av måste därför föreskriva sanktioner mot dem bryter mot det följer som som av EG-direktivet, och dessa sanktioner måste effektiva, proportionella vara i förhållande till brottet och avskräckande.25 Ett EG-direktiv kan, liksom varje rättslig text, behöva tolkas. Det annan är ytterst EG-domstolen som beslutar i fråga tolkningen, t.ex. efter det om att en nationell domstol i ett aktuellt mål har begärt ett s.k. förhandsavgö-

rande om tolkningen.27

Till ledning för tolkningen av ett EG-direktiv finns det inte förarbeten av det slag som vi är vana vid i Sverige. I varje EG-direktiv brukar det emellertid finnas en ingress i vilken det redogörs för bakgrunden till och

26 Detta följer artikel i EG-fördraget av 5 och av EG-domstolens praxis. 27 Artikel 177 i EG-fördraget.

SOU 1997: 39 EG-direktivet om personuppgifter lll

syftet med direktivet23, och det finns flera exempel på att EG-domstolen för tolkningen har hämtat ledning från vad som anges i ingressen. En tolkningsprincip EG-domstolen har använt är vidare att besom stämmelser medger avvikelser eller undantag från individuella rättigsom heter skall tolkas restriktivt. Ett annat problem vid tolkningen av EG-direktiv är att alla officiella språkversioner direktivet har giltighet. Det kan därför finnas av samma anledning att jämföra flera olika språkversioner för att fastställa innebörden. Det vidare att de nationella domstolarna har att om möjligt tolka anses den nationella lagstiftningen på ett sådant sätt att den går att förena med bestämmelserna i EG-direktiv. Sverige har sitt medlemskap i Europeiska unionen åtagit sig att genom genomföra direktivet. Uppfyller medlemsstat inte sitt åtagande att på ett en riktigt och fullständigt sätt genomföra ett EG-direktiv, kan någon annan kommissionen föra talan saken vid EG-domstolen.30 medlemsstat eller om I vissa fall kan bestämmelser i ett EG-direktiv få genomslag på nationell nivå, trots att staten har låtit bli att i rätt tid införliva bestämmelserna i den nationella rättsordningen. Den enskilde i förhållande till staten eller som -— något statsorgan på grund underlåtenheten inte har fått den rätt som - av EG-direktivet tillförsäkrar honom eller henne, kan då föra talan mot staten vid de nationella domstolarna t.ex. skadestånd för det att myndigom en het på otillåtet sätt har behandlat personuppgifter. Det är också möjligt ett att staten på grund sin underlåtenhet kan bli skadeståndsskyldig genteav enskild för det att denne inte har kunnat göra gällande sin rätt mot mot en någon enskild t.ex. ett privat företag som har behandlat personannan uppgifterna på ett otillåtet sätt.31

28 Jämför artikel 190 i EG-fördraget. 29 artikel 176 i Anslutningsfördraget för Sverige. Se t.ex. 30 Artikel 169-171 i EG-fördraget. 31 Det har nyligen tillsatts utredning Ju 1996:04 för att klarlägga hur svensk en nationell skadeståndsrätt förhåller sig till EG-rättens principer om statens skadeståndsansvar mot den lidit skada på grund statens överträdelse av EGsom av rätten, se dir. 1996:31.

1 12 EG-direktivet personuppgifter om SOU 1997: 39

3.1.3 Bakgrunden till direktivet

Direktivet har en lång förhistoria. Redan år 1990 lämnade kommissionen ett första förslag till direktiv.32 År 1991 yttrade sig Ekonomiska och sociala kommittén över förslaget, och i ett yttrande år 1992 föreslog Europaparlamentet en rad förändringar i det ursprungliga förslaget.34 Kommissionen omarbetade därefter förslaget och avlämnade i oktober 1992 ett reviderat förslag.35 Det reviderade förslaget, jämte kommissionens förklarande anmärkningar i det följande kallade kommissionens förklaring, finns fogat till Datalagsutredningens slutbetänkande bilaga som Först i februari 1995 kom rådet fram till ståndpunkt36 och en gemensam senare samma år kunde direktivet antas. I protokollet över det möte då rådet antog den ståndgemensamma punkten intogs vissa förklaringar av rådet, kommissionen och olika enskilda medlemsstater. Något justerat eller på annat sätt färdigställt protokoll finns dock enligt uppgift inte hos Justitiedepartementet. Däremot finns hos departementet till svenska språket översatt handling37 en som upptar de förklaringar skall tas in i protokollet. Handlingen har enligt beslut som av Justitiedepartementet den 16 juni 199533 med stöd den svenska av offentlighetsprincipen lämnats ut till en journalist i Danmark, dock att uppgifter om vilka andra medlemsstater än Sverige förklaringar som avgett strukits. Handlingen med förklaringama kallas i det följande mätesprotokollet. Direktivet inleds med längre ingress omfattande 72 punkter där baken grunden till och syftet med bestämmelserna i direktivet berörs i det följande kallad ingressen. Det fria flödet personuppgifter inom av gemenskapen skall underlättas till för den inre marknaden med fri rörlighet gagn för tjänster och kapital. Detta skall ske det i varor, personer, genom att samtliga medlemsstater skapas likvärdig, hög skyddsnivå när det gäller en

32 COM90 314 final SYN 287 och EGT nr C 277, 5.11.1990, — s. 33 EGT nrC 159, 17.6.1991, s. 38. 34 EGT c 94, 13.4.1992, nr s. 198. 35 COM92 422 final —SYN 287 och EGT nr c 311, 27.11.1992, s. 30. 36 EGT C 93, 13.4.1995, nr s. 37 Handlingen har EU:s beteckning 4730/95 ECO 20 och är daterad den 8 februari 1995. Protokollsförklaringarna översatta till danska finns intagna i Peter Blume, Personregistrering, rev. udgave, 1996, 430 ff. s. 38 § 255, dnr Ju 95/2444.

SOU 1997: 39 EG-direktivet om personuppgifter 1 13

enskilda personers fri- och rättigheter, särskilt rätten till privatliv. Efter en sådan tillnärmning av medlemsstaternas lagstiftning, kan staterna inte längre hindra det fria flödet av personuppgifter inom gemenskapen med hänvisning till skyddet för enskilda fri- och rättigheter.

personers

Det betonas vidare i ingressen att medlemsstaterna kommer att få ett handlingsutrymme i samband med genomförandet av direktivet och att staterna skall sträva efter att förbättra det skydd som deras nuvarande lagstiftning tillnärmningen skall syfta till att garantera en hög skyddsnivå

ger; inom gemenskapen. Inom ramen för detta handlingsutrymme kan det alltså uppkomma skillnader vid genomförandet av direktivet.

Direktivets syfte kommer också till uttryck i själva direktivtexten artikel Medlemsstaterna skall i enlighet med direktivet skydda fysiska

grundläggande fri- och rättigheter, särskilt rätten till privatliv, i personers samband med behandling av personuppgifter. Och staterna får varken begränsa eller inskränka det fria flödet av personuppgifter mellan medlemsstatema av skäl som har samband med detta skydd.

Vad medlemsstaterna får göra är att inom de begränsningar som de materiella bestämmelserna i kapitel i direktivet innebär precisera på vilka villkor behandling av personuppgifter är tillåten artikel 5. Dessa preciseringar får dock inte hindra det fria flödet av personuppgifter inom gemenskapen. Medlemsstaterna kan närmare ange de allmänna villkoren för att tillåta behandling, liksom ange särskilda villkor för behandling inom vissa sektorer eller avseende vissa kategorier av personuppgifter. Staterna kan använda såväl generell lagstiftning som särskild lagstiftning, t.ex. avseende statistiska institut. Se punkt 22 och 23 i ingressen, jämför punkt 68.

I fråga ingressen är det för svenskt vidkommande vidare viktigt att

om notera att det i punkt 72 att direktivet gör det möjligt att vid genom-

anges förandet av bestämmelserna ta hänsyn till principen om allmänhetens rätt till tillgång till allmänna handlingar.40

I samtliga medlemsstater torde det för närvarande pågå arbete med att

över lagstiftningen för att genomföra direktivet. Våren 1996 offentligse

39 I mötesprotokollet har rådet och kommissionen i anslutning till artikel 1.l konsta-

terat att skyddet för grundläggande fri- och rättigheter, särskilt rätten till privatliv,

innefattar skyddet av den personliga identiteten. 40 På engelska the principle of public official documents, på franska le

access to

principe du droit d°accês du public aux documents administratifs, på tyska der

Grundsatz des öffentlichen Zugangs zu amtlichen Dokumenten", på danska

princippet om aktindsigt i offentlige dokumenter.

l 14 EG-direktivet om personuppgifter SOU 1997: 39 , gjorde den brittiska regeringen ett remissunderlag Consultation Paper bl.a. innehåller vissa tolkningar direktivets bestämmelser. I det som av följande kallas denna handling det brittiska remissunderlaget.

3.2 Tillämpningsområdet

3.2.1 Inledning

Direktivet gäller för behandling av personuppgifter som helt eller delvis företas på automatisk väg oavsett om personuppgifterna ingår i ett register. Direktivet omfattar emellertid även icke automatisk behandling av personuppgifter, om dessa ingår i eller är avsedda att ingå i ett register. Artikel 3.1. Det finns definitioner i direktivet vad med behandling, av som avses personuppgifter respektive register, se avsnitt 3.2.2. I mötesprotokollet finns i anslutning till definitionen register artikel av 2 c följande: Rådet och kommissionen erkänner att de dokument på papper som tryckts på faxapparat eller persondator omfattas av de regler som är tillämpliga för manuella uppgifter och att de följaktligen endast ingår i tillämpningsområdet för detta direktiv de är avsedda för ett regisom ter. Av kommissionens förklaring framgår att med uttryckssättet att behandlingen skall företas helt eller delvis på automatisk väg att beavses en handling utgör en enda enhet, även om bara del behandlingen, såsom en av ett index, är datoriserad.

3.2.2 Definitioner

3.2.2.1 Inledning

I artikel 2 finns det definitioner av en rad begrepp förekommer i disom rektivet. Dessa definitioner av centrala begrepp kan sägas avgränsa tillämpningsområdet för bestämmelserna i direktivet.

41 I den svenska språkversionen direktivet talas det uppgifter kommer av om som att ingå i ett register", medan det i den engelska språkversionen heter personal data which . . are intended to form part of a filing system. .

SOU 1997: 39 EG-direktivet om personuppgifter l 15

3.2.2.2 Personuppgifter och den registrerade

Med personuppgift avses varje upplysning som avser en identifierad eller identifierbar fysisk den registrerade. En person är identifierbar

person

han eller hon kan identifieras direkt eller indirekt, t.ex. genom hänvisom ning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans eller hennes fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet.

Av punkt 14 i ingressen och artikel 33 andra stycket framgår att

- bild- och ljuduppgifter rör fysiska omfattas av direktivet,

som personer jämför också punkt 15—17 i ingressen.

Uppgifter juridiska omfattas inte direktivet.

om personer av

Det verkar inte krävas att den registrerade skall vara medborgare eller bosatt i en medlemsstat.

Det framgår inte direktivtexten huruvida uppgifter om personer som

av ännu inte är födda eller i enlighet med svensk lagstiftning be-

som — — traktas döda omfattas. I mötesprotokollet har emellertid rådet och

som kommissionen bekräftat att medlemsstaterna får bestämma och i vilken

om utsträckning direktivet kan tillämpas på avlidna personer.44

I punkt 26 i ingressen betonas att man, för att avgöra om en person är identifierbar, skall beakta alla hjälpmedel som kan komma att användas för att identifiera Däremot gäller inte direktivet för uppgifter som

personen. har gjorts ett sådant sätt att personen inte längre är identifier-

anonyma bar. Uppförandekodexar kan användas för att vägledning om hur upp-

ge gifter kan göras och behållas i form som gör det omöjligt att

anonyma en identifiera personen.

I kommissionens förklaring anges som exempel på direkt identifiering att kan identifieras genom namnet. Indirekt identifiering kan vara

personen när kan identifieras genom ett telefonnummer, ett bilregistre-

personen ringsnummer, ett socialforsäkringsnummer eller ett passnummer. Ett annat exempel är när identifieringen av en person sker genom en kombination av särskiljande kriterier ålder, yrke, bostadsort etc., vilka gör att personen kan kännas igen genom att den grupp han eller hon tillhör omfattar färre och färre andra Det framgår vidare av kommissionens förklaring

personer.

42 Jämför punkt 24 i ingressen. 43 Jämför lagen 1987:269 kriterier för bestämmande människans död och

om av

bestämmelserna om dödförklaring i 25 kap. ärvdabalken. 44 Seockså punkt 2.2 i det brittiska remzlsxsunderlaget.

l 16 EG-direktivet om personuppgifter SOU 1997: 39

att frågan om en person är identifxerbar är oberoende kostnaden för att av fastställa personens identitet. Definitionen omfattar även uppgifter utom seende, röst, fingeravtryck och genetiska karakteristika. I artikel 6.1 e finns bestämmelser om att personuppgifter skall förvaras på ett sätt som förhindrar identifiering under en längre tid än vad är som nödvändigt se avsnitt 3.4.6. Och i artikel 8.7 finns bestämmelser rörande identifikationsnummer, dvs. personnummer avsnitt 3.6.4.

se

3.2.2.3 Behandling

Begreppet behandling av personuppgifter omfattar varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter, oavsett det sker på om automatisk väg eller inte. Till exempel omfattas insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samköming, 0 blockering och 0 utplåning eller förstöring.

Det bör här erinras om att direktivet gäller for helt icke automatisk behandling av personuppgifter bara om dessa ingår i eller är avsedda att ingå i ett register artikel 3.1, se avsnitt 3.2.1.

4 Register

Med register med personuppgifter avses varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier. Det måste alltså vara fråga om en samling av personuppgifter, men det saknar betydelse om samlingen är centraliserad, decentraliserad eller spridd grundval av funktionella eller geografiska förhållanden. Samlingen måste vidare vara strukturerad, och personuppgifterna måste vara tillgängliga enligt särskilda kriterier.

SOU 1997: 39 EG-direktivet om personuppgifter 117

I punkt 27 i ingressen framhålls att innehållet i ett register måste vara strukturerat enligt särskilda kriterier, som avser enskilda personer, för att lätt tillgång till personuppgifterna. De olika kriterier gör det möj-

ge som ligt att fastställa de enskilda delarna av en strukturerad samling

personuppgifter kan, liksom de olika kriterier som gör det möjligt att få tillgång till en sådan samling, utformas av varje medlemsstat. Akter eller grupper av akter liksom deras omslag, vilka inte är strukturerade enligt särskilda kriterier, faller inte under några omständigheter inom direktivets tillämpningsområde.

5 Registeransvari g

Med registeransvarig avses den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Den registeransvarige kan vara en fysisk eller juridisk person, en myndighet, en institution eller något annat organ.

I punkt 47 i ingressen berörs den situationen att ett meddelande som innehåller personuppgifter överförs genom förmedling av en organisation för telekommunikation eller elektronisk post, vars enda ändamål är att överföra sådana meddelanden. I sådana fall blir det normalt den från vilken meddelandet härrör och inte den som tillhandahåller överföringstjänsten

-

som anses som registeransvarige i förhållande till de personuppgifter -

meddelandet innehåller. Den som tillhandahåller överföringstjänsten som blir däremot normalt registeransvarig i förhållande till be-

att anse som handlingen de ytterligare personuppgifter som behövs för att kunna ut-

av föra tjänsten.

I artikel 18.2 andra strecksatsen och i artikel 20.2 finns det be-

- stämmelser om uppgiftsskyddsombud som den registeransvarige utser se avsnitt 3.13.3.3. I artikel 2 finns det en definition av sådana registerfö-

e

som behandlar personuppgifter för den registeransvariges räkning se rare avsnitt 3.2.2.6. Vidare finns det i artikel 4.2 bestämmelser som innebär att den registeransvarige i vissa fall måste utse en företrädare se avsnitt 3.2.5. Också i artikel 10 och ll talas det den registeransvariges före-

om trädare se avsnitt 3.9, liksom i artikel 18.1 se avsnitt 3.13.2. I artikel 8.3 berörs det fallet som är ålagd tystnadsplikt, t.ex. inom

att en person hälso- och sjukvården, behandlar känsliga personuppgifter se avsnitt 3.6.2.7.

l 18 EG-direktivet om personuppgifter SOU 1997: 39

6 Registerförare

Med registerforare avses den som behandlar personuppgifter för den registeransvariges räkning. Den registeransvarige kan vara en fysisk eller juridisk person, en myndighet, en institution eller något annat organ.

I artikel 17.2—4 finns det bestämmelser rörande förhållandet mellan den registeransvarige och registerföraren och om det avtal som måste finnas mellan dem se avsnitt 3.12.

3.2.2. 7 Tredje man

Med tredje man avses någon annan än den registrerade, den registeransvarige, registerforaren och de personer som under den registeransvariges eller registerförarens direkta ansvar har befogenhet att behandla uppgifterna. En fysisk eller juridisk person, en myndighet, en institution eller något annat organ kan vara tredje man.

I kommissionens förklaring framhålls att den som arbetar för

en annan organisation normalt är tredje man, även om organisationen tillhör

samma foretagsgrupp eller koncern. Å andra sidan kan ett lokalkontor hos bank

en som behandlar kundkonton under huvudkontorets direkta ansvar inte anses som tredje man. Detsamma gäller anställda i ett försäkringsbolag. När det i stället gäller försäkringsmäklare kan deras ställning variera från fall till fall.

8 Mottagare

Med mottagare avses den till vilken uppgifterna lämnas ut oavsett om han eller hon är tredje man eller inte. Mottagaren kan vara en fysisk eller juridisk person, en myndighet, en institution eller något annat organ. Myndigheter som kan komma att ta emot uppgifter inom for ett särskilt

ramen uppdrag45 skall dock inte betraktas som mottagare.

3.2.2. 9 Samtycke

Med den registrerades samtycke avses varje slag av frivillig, särskild och informerad viljeyttring genom vilken den registrerade godtar behandling av personuppgifter som rör honom eller henne.

45 På engelska particular inquiiy, på franska une mission d°enquête particuliere,

på tyska "ein einzeln Untersuchungsauftrag.

SOU 1997: 39 EG-direktivet om personuppgifter 1 19

I artikel 7 förutsättningar för att behandling av uppgifter skall vara

a tillåten och artikel 26.1 överförande uppgifter till tredje land talas

a av det att den registrerade otvetydigt har lämnat sitt samtycke, och i ani-

om kel 8.2 a förutsättningar för att behandling av känsliga uppgifter skall vara tillåten talas det att den registrerade har lämnat sitt uttryckliga sam-

om tycke.

I kommissionens förklaring till det reviderade direktivförslaget, på

som denna punkt hade en något annan utformning än det antagna direktivet, an-

att vilj kan vara muntlig eller skriftlig. Samtycket måste vara ges frivilligt i sådana fall där påtryckningar kan påverka den registrerade, t.ex. i arbetsgivar-arbetstagarrelation. Samtycket måste vidare vara informe-

en rat så att den registrerade kan värdera för- och nackdelarna med att personuppgifter rör honom eller henne behandlas och så att han eller hon kan

som utöva de rättigheter direktivet honom eller henne. Den register-

som ger ansvarige måste förse den registrerade med den information han eller hon behöver. Samtycket måste också vara särskilt46, vilket innebär att det måste viss behandling som rör den registrerade och som utförs av

avse en

viss registeransvarig för vissa ändamål. en

I artikel 10 finns det bestämmelser information skall lämnas

om som till den registrerade när personuppgifter samlas in från honom eller henne

avsnitt 3.9. Och i artikel 14 finns det bestämmelser om den registrera-

se

des rätt att motsätta sig viss behandling personuppgifter se avsnitt 3.7.

av

Punkt 70 i ingressen berör det fallet att ett avtal har slutits grundval

ett frivilligt och informerat samtycke innan bestämmelserna i direktivet av träder i kraft. Om en fortsatt behandling av känsliga uppgifter är nödvändig för att genomföra det avtalet, behöver den registrerade inte på nytt lämna sitt samtycke till denna behandling.

46 På engelska specific, på franska spécifique, på tyska für den konkreten Fall.

120 EG-direktivet om personuppgifter SOU 1997: 39

3.2.3 Sådant som faller utanför gemenskapsrätten

Direktivet gäller inte för sådan behandling personuppgifter utgör

av som ett led i en verksamhet som inte omfattas av gemenskapsrätten. Som exempel anges sådan verksamhet som avses i avdelning V och VI i Fördraget Europeiska unionen.47 Det vidare uttryckligen att direkti-

om anges vet inte under några omständigheter omfattar behandlingar rör

som a allmän säkerhet, b försvar, c statens säkerhet inbegripet statens ekonomiska välstånd när behand-

lingen har samband med frågor om statens säkerhet, och d statens verksamhet på straffrättens område. Artikel 3.2 första streck-

satsen.

I punkt 16 i ingressen pekas det särskilt på att behandling ljud- och

av bilduppgifter, t.ex. i samband med videoövervakning, inte omfattas di-

av rektivet behandlingen utförs för att tillgodose den allmänna säkerheten,

om Försvaret, statens säkerhet eller någon annan statens verksamhet på straffrättens område, jämför också punkt 13.

I kommissionens förklaring anges säkerhetstjänst49 som exempel på

en aktivitet som faller utanför tillämpningsområdet.

3.2.4 Privat användning personuppgifter

av

Direktivet gäller inte för sådan behandling personuppgifter fy-

av som en sisk person bedriver som ett led i verksamhet rent privat natur eller

av som har samband med hans eller hennes hushå1l50 artikel 3.2 andra strecksatsen.

Av mötesprotokollet framgår att rådet och kommissionen att det

anser inte är tillåtet att med hänvisning till den bestämmelsen undanta behand-

Dessa avdelningar i fördraget innehåller bestämmelser om en gemensam utrikes-

och säkerhetspolitik respektive bestämmelser om samarbete i rättsliga och inrikes

frågor. 48 Punkten 21 i ingressen innehåller erinran direktivet

en om att inte påverkar de

territorialitetsregler som gäller straffrättens område. 49 På engelska secret services. 50 På engelska a purely personal household activity, på franska d’activités

or

exclusivement personelles ou domestiques, på tyska Ausübung ausschlieBlich

persönlicher oder familieärer Tätigkeiten.

SOU 1997: 39 EG-direktivet om personuppgifter 121

ling personuppgifter utförs av en enskild person när dessa uppgif-

av som ter förmedlas inte bara till en eller flera personer utan till ett obestämt antal personer.

I punkt 12 i ingressen framhålls att en fysisk persons behandling av uppgifter uteslutande för personliga ändamål eller för hemmabruk51, så-

korrespondens eller förandet av adressregister, inte omfattas av direksom tivet.

l kommissionens förklaring ges som exempel förandet av en elektronisk dagbok.

Utöver undantagen för sådant inte omfattas av gemenskapsrätten

som och privat användning personuppgifter finns det inte några tillåtna ge-

av nerella undantag från direktivets tillämpning. Medlemsstaterna skall dock besluta för yttrandefriheten nödvändiga undantag och avvikelser be-

om träffande behandling som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande artikel se avsnitt 3.3. I enlighet med vad som anges i artikel 13 är det också möjligt för medlemsstaterna

lagstiftning göra nödvändiga undantag och begränsningar i fråga att genom

vissa bestämmelser i direktivet av hänsyn till statens säkerhet eller allom män säkerhet se avsnitt 3.11. I det följande kommer att framgå att

m.m. medlemsstaterna även i övrigt kan, under närmare angivna förutsättningar, besluta vissa avvikelser från del bestämmelserna i direkti-

om m.m. en av vet.

3.2.5 Det territoriella tillämpningsområdet

I punkt 18 i ingressen framhålls att varje behandling av personuppgifter inom gemenskapen skall ske i enlighet med lagstiftningen i en av medlemsstaterna. Behandling som utförs på uppdrag av en registeransvarig

är etablerad i en medlemsstat skall regleras av den statens lagstiftning som tydligen själva behandlingen sker utanför gemenskapen. I punkt

även om 19 i ingressen framhålls vidare att verksamhetens juridiska form inte har någon avgörande betydelse vid bedömningen av om en registeransvarig är etablerad i en viss stat; det kan vara fråga om såväl en filial som ett dotterbolag som är en juridisk person. Om en enda registeransvarig är etablerad i flera medlemsstater, t.ex. dotterbolag, måste han eller hon se till att

genom

51 På engelska activities which exclusively personal domestic, på franska

are or

d’activités exclusivement personelles ou domestiques, på tyska "Ausübung

ausschlieBlich persönlicher oder familieärer Tätigkeiten.

122 EG-direktivet personuppgifter SOU 1997: 39 om

varje verksamhet uppfyller bestämmelserna i den tillämpliga nationella lagstiftningen. Punkten 21 i ingressen innehåller en erinran om att direktivet inte påverkar de territorialitetsregler som gäller straffrättens område. I själva direktivet finns i artikel 4 följande bestämmelser. En medlemsstat skall tillämpa de nationella bestämmelser som antas för att genomföra direktivet när behandlingen av personuppgifter utförs som ett led i aktiviteter av en registeransvarig som är etablerad inom statens territorium. Om registeransvarig är etablerad53 inom flera meden lemsstaters territorier, skall han eller hon vidta nödvändiga åtgärder för att säkerställa att alla verksamheter uppfyller kraven enligt den tillämpliga nationella lagstiftningen. Artikel 4.1 a. En medlemsstat skall också tillämpa sina nationella bestämmelser när den registeransvarige inte är etablerad inom någon medlemsstats territorium utan på en plats där statens lagstiftning gäller på grund folkrätten av

artikel 4.1 b.

Om en registeransvarig som inte är etablerad på gemenskapens territorium använder utrustning automatiserad eller annan befinner sig - - som på en medlemsstats territorium, skall den statens nationella bestämmelser tillämpas, och den registeransvarige måste då företrädare för sig utse en som är etablerad inom statens territorium. Detta gäller dock inte utom rustningen bara används för att låta uppgifter gemenskapen. passera genom Artikel 4.1 c och 4.2, jämför punkt 20 i ingressen. I kommissionens förklaring anges terminaler och frågeformulär som exempel utrustning eller hjälpmedel.55 1 artikel 10-11 och 18 finns det bestämmelser ålägger den regissom teransvariges företrädare skyldighet att informera den registrerade respektive att göra anmälan till tillsynsmyndigheten se avsnitt 3.9 och 13.2.

52 Referatet artikel 4 har, liksom referatet av av innehållet i punkt 18-19 i ingressen, utformats med beaktande av flera språkversioner av direktivet, eftersom den svenska språkversionen kan betraktas som något tvetydig i vissa avseenden. 53 På engelska established, på franska établi. 54 På engelska each of these establishments, på franska chacun de ses établissements. 55 I kommissionens reviderade förslag till direktiv används den engelska termen means. I det antagna direktivet används i stället på engelska termen equipment på franska moyens, på tyska Mittel, men i punkt 20 i ingressen finns termen means fortfarande kvar.

EG-direktivet personuppgifter 123 SOU 1997: 39 om

Tillsynsmyndigheten i stat skall ha behörighet att utöva sina befoen genheter inom den statens territorium oavsett vilken nationell lagstiftning gäller för den aktuella behandlingen artikel 28.6, se avsnitt 3.17. som

3.3 Förhållandet till yttrandefriheten

Medlemsstaterna skall besluta undantag och avvikelser från de flesta om materiella bestämmelser i direktivet56 for behandling av personuppgifter

sker uteslutande för som

journalistiska ändamål,

0 konstnärligt skapande eller 0 o litterärt skapande.

Sådana undantag och avvikelser får dock beslutas bara om de är nödvändiga för förena rätten till privatlivet med reglerna om yttrandefriheten. att

Artikel 9.

Sverige har i mötesprotokollet fått infört: Sverige anser att begreppet konstnärliga och litterära uttryck syftar uttrycksmedlen än kommumer nikationens innehåll eller dess kvalitet. En medlemsstat har vidare i annan protokollet förklarat sin avsikt att använda undantagen i artikel 9 för all

den verksamhet inom den audiovisuella sektorn omfattas av direktisom vet. I punkt 37 i ingressen hänvisas i fråga om yttrandefriheten till den rätt emot och lämna upplysningar slås fast i artikel 10 i den europeatt ta som iska konventionen skydd för de mänskliga rättigheterna och de grundom läggande friheterna. Det betonas att den avvägning mellan rätten till privatlivet och yttrandefriheten medlemsstaterna skall göra inte får leda till som beslut undantag från åtgärder vidtas for att säkerställa behandlingom som säkerhet. Tillsynsmyndigheten bör utrustas med i vart fall vissa befoens genheter kan utövas efter behandlingens genomförande, exempelvis som befogenhet att med jämna mellanrum offentliggöra en rapport eller att överlämna ärenden till rättsliga myndigheter. I fråga om konstnärligt och

56 Undantag och avvikelser får göras från de materiella bestämmelserna om behandling personuppgifter kapitel II, överföring till tredje land kapitel IV och av om tillsynsmyndighetens befogenheter kapitel VI. Från bestämmelserna i kapitel om I allmänna bestämmelser, kapitel III rättslig prövning, ansvar och sanktioner, kapitel V uppforandekodex och kapitel VII gemenskapens åtgärder för genomförandet får däremot avvikelser eller undantag inte göras.

124 EG-direktivet personuppgifter om SOU 1997: 39

litterärt skapande hänvisas särskilt till det audiovisuella området också

se

punkt 17 i ingressen.

I kommissionens förklaring anges som exempel på faktorer kan beaksom tas vid den intresseavvägning som skall ske 0 möjligheten till rättslig prövning eller rätten till replik, 0 förekomsten av en uppförandekodex, 0 de gränser som läggs fast i den europeiska människorättskonventionen och 0 allmänna rättsprinciper.

I kommissionens reviderade direktivförslag avsågs uttrycket journalister inkludera såväl fotojournalister skribenter, såsom biografer levnadssom tecknare. Den brittiska regeringen enligt det brittiska remissunderlaget anser, punkt 4.19, att det står klart att ett generellt undantag för inte är pressen förenligt med direktivet. Genom artikel 13.1 tillåts medlemsstaterna att göra nödvändiga avvikelser från vissa bestämmelser i direktivet med hänsyn till skyddet för den registrerades eller andras fri- och rättigheter avsnitt 3.11.

se

3.4 krav

Grundläggande på uppgiftsbehandlingen

3.4.1 Inledning

I artikel 6.1 finns det under rubriken Principer uppgifternas kvalitet - om vissa grundläggande krav måste uppfyllda för behandling som vara att av personuppgifter skall kunna tillåtas. Det åligger den registeransvarige att säkerställa att kraven efterlevs artikel 6.2. Medlemsstaterna skall inom de begränsningar bl.a. bestämmelserna i artikel 6 innebär närmare precisom sera på vilka villkor uppgiftsbehandling är tillåten artikel 5. I artikel 13.1 finns det bestämmelser gör det möjligt hänsyn som att av till vissa intressen föreskriva nödvändiga undantag från vad följer som av artikel 6.1 se avsnitt 3.11.

EG-direktivet personuppgifter 125 SOU 1997: 39 om

3.4.2 Korrekt och laglig behandling

Personuppgifter skall behandlas på ett korrekt och lagligt sätt.57 I punkt 38 i ingressen att korrekt behandling förutsätter att de anges en registrerade får kännedom behandlingen och att de när uppgifterna om samlas in hos dem kan korrekt och fullständig information med hän- till de närmare omständigheterna vid insamlingen se artikel 10 och syn avsnitt 3.9. I artikel 7 avsnitt 3.5 det kriterier för när en behandling av —se —anges personuppgifter laglig se också punkt 30 och 31 i ingressen. kan anses Enligt kommissionens förklaring innebär kravet på korrekt och laglig behandling inte får använda dolda anordningar för att i hemlighet att man samla in uppgifter utan att den registrerade känner till det, t.ex. telefonavlyssning och liknande. Kravet korrekt och laglig behandling förhindrar också de registeransvariga utvecklar och använder hemliga eller ljusatt skygga behandlingsmetoder för personuppgifter.

3.4.3 Ändamålet med behandlingen

Personuppgifter skall samlas in för särskilda, uttryckligt angivna ändamål. Uppgifterna får inte behandlas ett sätt är oförenligt med senare som dessa ändamål. Under förutsättning att medlemsstaterna beslutar om lämpliga skyddsåtgärder skall dock behandling uppgifter för histosenare av riska, statistiska eller vetenskapliga ändamål inte oförenlig med de anses ursprungliga ändamålen. Av punkt 28 i ingressen framgår att ändamålen med behandlingen skall bestämda redan när uppgifterna samlas in och att sådana ändamål som vara läggs fast först därefter inte får oförenliga med de ändamål som urvara sprungligen I punkt 29 i ingressen att de skyddsåtgärder som angavs. anges beslutar när det gäller behandling för historiska, statisstaterna om senare tiska eller vetenskapliga ändamål särskilt skall hindra att uppgifterna används för att vidta åtgärder mot viss person eller for att fatta ett beslut en som rör honom eller henne. Av kommissionens förklaring framgår att kravet att insamlingen skall ske för särskilt ändamål innebär att avsikten med insamlandet och anett vändningen personuppgifterna skall definieras på ett så precist sätt som av

57 På engelska fairly and lawfully, på franska loyalement et licitement, på tyska nach Treu und Glaube und auf rechtsmäBige Weise.

126 EG-direktivet personuppgifter om SOU 1997: 39

möjligt. En generell eller definition eller beskrivning ändamålet vag av med behandlingen såsom för kommersiella ändamål uppfyller inte - kravet. Det framhålls vidare att den registeransvarige är skyldig beatt stämma ändamålet for lagring personuppgifterna. av I artikel 10-1 l finns det bestämmelser att den registrerade skall inom formeras ändamålen med behandlingen avsnitt 3.9.

om se

3.4.4 Personuppgifterna skall adekvata, relevanta och vara inte för omfattande

Personuppgifterna skall vara adekvata och relevanta och de får inte omfatta mer än vad som är nödvändigt med hänsyn till de ändamål for vilka uppgifterna har samlats in eller58 for vilka de behandlas. senare Av kommissionens förklaring framgår att denna bestämmelse innebär att uppgiftemas beskaffenhet måste korrespondera med det mål vill man uppnå med behandlingen.

3.4.5 Personuppgifterna skall riktiga och aktuella vara

Personuppgifterna skall riktiga och de skall också, det är nödvänvara om digt, vara aktuella. Alla rimliga åtgärder måste vidtas for säkerställa att att sådana personuppgifter, som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlats in eller för vilka de behandlas, senare utplånas eller rättas. l artikel 12 b finns det bestämmelser att den registrerade har om rätt att få felaktiga och ofullständiga uppgifter rättade, utplånade eller blockerade se avsnitt 3.10.3. I artikel 17 finns det bestämmelser säkerheten vid om behandling av personuppgifter se avsnitt 3.12. I artikel 28.3 forsta stycket andra strecksatsen finns det bestämmelser att tillsynsmyndigheom ten skall ha befogenhet att besluta bl.a. blockering, utplåning eller förom störing av uppgifter se avsnitt l 7.

58 I den svenska språkversionen används här och, medan den engelska och den tyska versionen använder and/or respektive und/oder. I den franska versionen används et.

EG-direktivet personuppgifter 127 SOU 1997: 39 om

3.4.6 Personuppgifterna får inte förvaras längre än nödvändigt

Personuppgifter skall förvaras på ett sätt förhindrar identifiering av som den registrerade under längre tid än vad som är nödvändigt för de ändaen mål för vilka uppgifterna samlats in eller för vilka de behandlas. senare Medlemsstaterna skall vidta lämpliga skyddsåtgärder för sådana personuppgifter lagras under längre perioder för historiska, statistiska eller som vetenskapliga ändamål. Personuppgifter, dvs. upplysningar identiñerbar fysisk person, om en får alltså lagras bara så länge det är nödvändigt med hänsyn till ändamålen med behandlingen, inklusive historiska, statistiska eller vetenskapliga ändamål. Därefter måste uppgifterna avidentifieras eller förstöras. Av kommissionens förklaring framgår att medlemsstaterna genom skyddsåtgärder för sådana personuppgifter lagras under längre periosom der for historiska, statistiska eller vetenskapliga ändamål kan förena den sidan principen att behandlingen skall ha ett lagligt ändamål ena - om och anspråket på förflutna någon gång skall glömt med på att ens vara den andra sidan de krav som forskningen ställer. - I artikel 17 finns det bestämmelser säkerheten vid behandling av om

personuppgifter se avsnitt 3.12.

3.5 Förutsättningar för att uppgiftsbehandling

skall kunna tillåtas

3.5.1 Inledning

I artikel 7 det under rubriken Principer gör att uppgiftsbeanges - som handling kan tillåtas att medlemsstaterna skall föreskriva att personupp- gifter får behandlas bara i de fall räknas upp i artikeln; uppgiftsbesex som handling i andra fall är inte laglig. Medlemsstaterna skall inom de begränsningar bl.a. bestämmelserna i artikel 7 innebär närmare precisera på som vilka villkor uppgiftsbehandling är tillåten artikel 5. I artikel 8 finns det bestämmelser att behandling av vissa särskilt om känsliga uppgifter är förbjuden se avsnitt 3.6.

128 EG-direktivet personuppgifter om SOU 1997: 39

3.5.2 Samtycke

Behandling av personuppgifter är tillåten den registrerade otvetydigt om har lämnat sitt samtycke. Av artikel 2 h framgår att med samtycke varje slag frivillig, avses av särskild och informerad viljeyttring vilken den registrerade godtar genom behandling av personuppgifter som rör honom eller henne avsnitt

se

3.2.2.9.

3.5.3 I samband med avtal

Personuppgifter får behandlas om det är nödvändigt för att fullgöra ett avtal i vilket den registrerade är part. Sådan behandling får också ske det om är nödvändigt för att på begäran den registrerade vidta åtgärder - av innan ett avtal59 ingås.

3.5.4 Rättslig förpliktelse

Det är tillåtet att behandla personuppgifter behandlingen är nödvändig om for att fullgöra rättslig förpliktelseöo åvilar den registeransvarige. en som I kommissionens reviderade direktivforslag innebar bestämmelsen att uppgiftsbehandling var tillåten den nödvändig för att fullgöra om var en skyldighet ålagts i nationell rätt eller i gemenskapsrättenöl som Att bestämmelsen omfattar t.ex. sådan uppgiftsbehandling är nödsom vändig för att företag skall kunna fullgöra sina skyldigheter i fråga om skattelagstiftningen eller arbetsrätten torde klart. Det är osäkert vara mera om bestämmelsen också omfattar sådan uppgiftsbehandling är nödsom

59 I den svenska språkversionen talas det om ett sådant avtal, dvs. ett avtal i vilket den registrerade, dvs. en fysisk person, är part. Motsvarande bestämning avtalet av finns inte i den engelska, den franska eller den tyska språkversionen, vilket kan ha betydelse när en registrerad som företräder juridisk begär åtgärder innan en person avtal ingås med den juridiska personen. 60 På engelska legal obligation", på franska obligation légale, på tyska rechtliche Verplichtung. 61 På engelska processing in order necessary to comply with an obligation imposed by national law or by Community law.

SOU 1997: 39 EG-direktivet om personuppgifter 129

vändig för att fullgöra rättslig förpliktelse enligt ett avtal som den regisen teransvarige frivilligt har ingått med någon annan än den registrerade.62

3.5.5 För att skydda vitala intressen

Behandling personuppgifter får tillåtas om behandlingen är nödvändig av for att skydda intressen är av grundläggande betydelse for den registsom rerade. I den engelska språkversionen talas det vital interests.63 Ordet om vital har flera betydelser i engelskan och kan betyda såväl det som den svenska språkversionen som något som är livsviktigt.54 Och i punkt anger 31 i ingressen talas det just att uppgiftsbehandlingen sker för att om skydda ett intresse är avgörande betydelse för den registrerades liv. som av Också i kommissionens förklaring talas det om den situationen att den registrerade har ett vitalt intresse att få sina uppgifter behandlade, men inte kan lämna sitt samtycke, t.ex. när det är fråga om ett allvarligt medicinskt fall.65 Det kan noteras att det är bara vitala intressen for den registrerade och inte t.ex. sådana intressen hos hans eller hennes minderåriga barn uppgiftsbehandlingen tillåten enligt denna best.‘eimmelse.56 I som kan göra artikel 8.2 finns det däremot bestämmelser att behandling av särskilt c om känsliga uppgifter kan tillåtas också den är nödvändig för att skydda om någon vitala intressen se avsnitt 3.6.2.3; uppgiftsbehandling annans måste då i sig tillåten enligt någon punkt i artikel t.ex. enligt vara annan punkt e eller fse avsnitt 3.5.6 och 3.5.7.

62 Uppgiftsbehandling för att fullgöra ett avtal med den registrerade omfattas av en annan bestämmelse artikel 7 b, seavsnitt 3.5.3. 63 Påfranska "intérêt vital", på tyska lebenswichtige Interessen 64 Sepunkt 3.9 i det brittiska remissunderlaget. 65 Jan Evers direktivet lämnar öppet det finns andra vitala intressen än anser att om liv och hälsa kan få skyddas enligt denna bestämmelse, seEG och behandling som av personuppgifter, 1993, s. 17. 66 Jämför också artikel 26.1 beträffande överföring personuppgifter utanför gee av menskapen.

130 EG-direktivet personuppgifter SOU om 1997: 39

3.5.6 Myndighetsutövning eller allmänt intresse

Behandling av personuppgifter är tillåten den är nödvändig för att utom föra en arbetsuppgift är antingen som 0 av allmänt intresse eller 0 ett led i myndighetsutövning utförs den registeransvarige eller som av den tredje man till vilken uppgifterna har lämnats ut.

I punkt 32 i ingressen att det ankommer den nationella lagstiftanges ningen att avgöra om den registeransvarige utför behandling i allsom en mänt intresse eller som ett led i myndighetsutövning skall myndigvara en het eller något annat offentligrättsligt eller civilrättsligt subjekt, t.ex. en yrkesorganisation.67 I artikel 8.5 finns det däremot bestämmelser beom att handling av personuppgifter om brott i vissa situationer måste utföras m.m. i vart fall under myndighetskontroll se avsnitt 3.6.3.

3.5.7 Efter en intresseavvägning

Det är slutligen möjligt att tillåta behandling personuppgifter efter av en intresseavvägning. Behandlingen måste då nödvändig för ändamål vara som rör berättigade intressen hos den registeransvarige eller hos den eller de tredje män till vilka uppgifterna har lämnats och dessa intressen får ut inte uppvägas av den registrerades intressen eller sådana grundläggande fri- och rättigheter för honom eller henne skall skyddas direktivet som av enligt artikel l.1.68

I punkt 30 i ingressen framhålls det att medlemsstaterna för - att garantera en jämvikt mellan berörda intressen och för att samtidigt säkerställa en

67 Enligt punkt 30 i i den svenska ingressen språkversionen skulle behandlingen vara tillåten om den fordras enligt lagstiftning vid utförandet något är i det av som allmännas intresse eller är ett led i myndighetsutövning. I de engelska, franska och tyska språkversionerna finns det inget motsvarande krav på lagstiftning vid allmänt intresse eller myndighetsutövning. Möjligen är det fråga ett skrivfel i om den svenska versionen; betydelsen blir en annan om ordet eller sätts in efter ordet lagstiftning, vilket är fallet i de engelska och franska versionerna. 68 I den engelska språkversionen talas det bara om den registrerades intresse av att få åtnjuta fri- och rättigheter interests for fundamental rights and freedoms of the data subject, medan det i den franska och tyska språkversionen talas detom samma som i den svenska, dvs. den registrerades intressen eller fri- och rättigheter. Det kan möjligen vara fråga om ett skrivfel i den engelska versionen; betydelsen blir en annan om ordet for byts ut mot or.

SOU 1997: 39 EG-direktivet personuppgifter 131

om

effektiv konkurrens får närmare ange på vilka villkor användning och

utlämnande till tredje man av personuppgifter får äga rum inom ramen for tillåtna aktiviteter som utövas av företag och andra organ i deras löpande verksamhet. Staterna får även närmare ange på vilka villkor personuppgifter fár vidarebefordras till tredje man i marknadsforingssyfte. Detta gäller oavsett vidarebefordrandet sker kommersiellt eller av välgörenhetsor-

om ganisationer, föreningar eller stiftelser, t.ex. av politisk karaktär. En förutsättning är dock att de regler iakttas som har till syfte att ge den registrerade möjlighet att invända mot att uppgifter som rör honom eller henne behandlas se artikel 14 l st. b och avsnitt 3.7.3.

Av punkt 30 i ingressen framgår vidare att det kan vara fråga om berättigade intressen hos såväl en juridisk som en fysisk person.69

3.6 Behandling av särskilt känsliga uppgifter

3.6.1 Ett principiellt förbud mot behandling av uppgifter om

ras eller etniskt ursprung, religiösa, filosofiska eller politiska åsikter, fackföreningsmedlemskap, hälsa och sexualliv

l artikel 8 föreskrivs att medlemsstaterna skall förbjuda behandling av personuppgifter som avslöjar 0 ras eller etniskt ursprung,

politiska åsikter, 0 0 religiös eller filosofisk övertygelse eller 0 medlemskap i fackförening

eller som rör 0 hälsa eller

sexualliv.70 0

I kommissionens förklaring anges att information om hudfärg innefattas i bestämmelsen om ras eller etniskt ursprung. När det gäller religiös eller filosofisk övertygelse omfattas en uppgift om att någon inte har någon reli-

69 Detta framgår också punkt 45 i ingressen i den engelska sprâkversionen.

av 70 l den svenska, den franska och den danska språkversionen hälsa och sexual-

anges

liv, medan det i den engelska och tyska språkversionen talas om hälsa eller

sexualliv.

132 EG-direktivet om personuppgifter SOU 1997: 39

giös tro, liksom information om aktiviteter som hör samman med sådan

en övertygelse. I fråga om uppgifter som rör hälsa omfattas uppgifter om den registrerades tidigare, nuvarande och framtida fysiska och psykiska hälsa samt uppgifter om missbruk av droger eller alkohol.

Av mötesprotokollet framgår att rådet och kommissionen att

anser medlemsstaterna får, i enlighet med artikel precisera de kategorier

av känsliga uppgifter som anges i artikel 8.1 med hänsyn till landets juridiska och sociologiska särdrag, t.ex. vad beträffar uppgifter som rör genetisk identitet, partipolitisk tillhörighet, fysisk hälsa, personliga övertygelser eller vanor, osv.

3.6.2 Undantag från förbudet

1 Samtycke

Förbudet mot behandling av känsliga personuppgifter gäller inte den

om registrerade har lämnat sitt uttryckliga samtycke till behandlingen. I medlemsstatemas lagstiftning kan det dock att förbudet mot behandling

anges av känsliga personuppgifter inte kan upphävas ens med den registrerades samtycke.

3.6.2.2 Inom arbetsrätten

Känsliga personuppgifter får behandlas när behandlingen är nödvändig för att fullgöra de skyldigheter och särskilda rättigheter som åligger den registeransvarige inom arbetsrätten. Detta gäller i den omfattning behandlingen är tillåten enligt nationell lagstiftning där lämpliga skyddsåtgärder föreskrivs.

Av mötesprotokollet framgår att rådet och kommissionen anser att varje Överenskommelse mellan arbetsmarknadens parter omfattas här.

3.6.2.3 För att skydda vitala intressen

Det är tillåtet att behandla känsliga personuppgifter om behandlingen är nödvändig för att skydda den registrerades eller någon annan persons

71 På engelska in the field of employment law, på franska en matiêre de droit du

travail, på tyska "auf dem Gebit des Arbeitsrechts.

SOU 1997: 39 EG-direktivet personuppgifter 133

om

grundläggande intressen vital interests när den registrerade är fysiskt eller rättsligt förhindrad att lämna sitt samtycke.

Se rörande uttrycket grundläggande intressen vital interests avsnitt 3.5.5 ovan.

3.6.2.4 Politiska, filosofiska, religiösa och fackliga organisationer

Känsliga personuppgifter får behandlas om behandlingen utförs inom

ramen för berättigad verksamhet hos ett icke vinstdrivande t.ex.

organ - en stiftelse eller en förening som har ett syfte är

- som 0 politiskt, 0 filosofiskt, 0 religiöst eller

fackligt.

För att sådan behandling skall vara tillåten förutsätts dock 0 att uppgifterna inte lämnas ut till tredje man utan den registrerades sam-

tycke och 0 att behandlingen endast rör

sådana organs medlemmar eller

——

personer som grund av organets ändamål har regelbunden kon-

—

takt med detta.

För sådan behandling är det möjligt att föreskriva undantag

som nu avses från eller förenklingar den anmälningsprocedur skall iakttas

av som annars innan en behandling genomförs artikel 18.4, se avsnitt 3.13.3.5.

6.2.5 Den registrerades offentliggörande

Det är tillåtet att behandla känsliga personuppgifter som på ett tydligt sätt offentliggörs av den registrerade.

Ett exempel här skulle kunna vara uppgifter om politiska förhållanden som rör politiska representanter, t.ex. riksdagsledamöters partitillhörighet och åsikter som förts fram i riksdagen.

3.6.2.6 Nödvändig med hänsyn till rättsliga anspråk

Behandling av känsliga uppgifter får ske när behandlingen är nödvändig för att kunna fastslå, göra gällande eller försvara rättsliga anspråk.

En medlemsstat har i mötesprotokollet anfört att den utgår från att den princip som här slås fast också omfattar motsvarande användning

av upp-

134 EG-direktivet om personuppgifter SOU 1997: 39

gifter i förfaranden inför andra statliga organ i den utsträckning som dessa förfaranden föregår förfaranden inför domstol.

3.6.2. 7 Hälso- och sjukvård

Förbudet mot behandling av känsliga uppgifter gäller inte när behandlingen är nödvändig med hänsyn till 0 förebyggande hälso- och sjukvård,

medicinska diagnoser, 0 0 vård eller behandling eller 0 administration av hälso- eller sjukvård.

Förbudet gäller inte heller när sådana uppgifter behandlas antingen

någon är yrkesmässigt verksam på hälso- och sjukvårdsområdet 0 av som

och är underkastad tystnadsplikt enligt nationell lagstiftning eller

som

bestämmelser som har antagits av behöriga nationella organ eller

någon är underkastad en liknande tystnadsplikt73. 0 av annan person som

Det verkar inte krävas att behandlingen är nödvändig för något visst ändamål, t.ex. inom hälso- och sjukvårdsområdet, i det fallet att den utförs av någon är underkastad tystnadsplikt; däremot måste behandlingen gi-

som vetvis falla under någon de grundläggande förutsättningar som gör att

av behandlingen över huvud taget kan tillåtas se artikel 7 och avsnitt 3.5.

Det verkar vidare inte krävas att den med tystnadsplikt som be-

person handlar de känsliga personuppgifterna skall vara registeransvarig eller registerförare eller att han eller hon är yrkesmässigt verksam på hälso-

ens och sjukvårdsområdet.

8 Viktigt allmänt intresse

Medlemsstaterna får i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndigheten göra även andra undantag än de som tidigare nämnts från förbudet mot behandling av känsliga personuppgifter. Detta får dock bara göras av hänsyn till ett viktigt allmänt intresse, och det är en ytterligare förutsättning att det finns lämpliga skyddsåtgärder. Sådana undantag

görs med stöd av denna bestämmelse skall anmälas till kommissionen. som

72 På engelska subject to ... the obligation of professional secrecy, på franska

secret professionel, på tyska Berufsgeheimnis. 73 På engelska equivalent obligation of secrecy, på franska obligation de

secret

équivalente, på tyska entsprechenden Geheimhaltungsplicht.

SOU 1997: 39 EG-direktivet personuppgifter 135

om

I punkt 34 i ingressen anges följande. När det av hänsyn till viktiga allmänna intressen är nödvändigt måste medlemsstaterna kunna avvika från förbudet mot att behandla känsliga kategorier av uppgifter vissa områden. Som exempel på områden och fall där avvikelser kan ske nämns 0 folkhälsa, 0 socialskydd, särskilt for att säkerställa kvalitet och lönsamhet i samband

med ansökningar om förmåner och tjänster inom sjukforsäkringssystemet,

0 i samband med vetenskaplig forskning och 0 i samband med offentlig statistik.

Det betonas att det dock åligger medlemsstaterna att sörja för att det finns lämpliga och konkreta garantier för att skydda enskilda personers grundläggande rättigheter och privatliv.

I punkt 35 i ingressen klargörs att myndigheters behandling

av personuppgifter för officiellt erkända religiösa sammanslutningars räkning för att uppfylla målsättningar som uttrycks i grundlagen eller folkrätten utförs for att tillgodose viktiga allmänna intressen. Punkt 36 i ingressen behandlar det fallet att de politiska partierna i vissa medlemsstater samlar in uppgifter om enskilda personers politiska uppfattning i samband med att allmänna val hålls. Om det är nödvändigt för att det demokratiska systemet skall fungera, får behandling av sådana uppgifter tillåtas av hänsyn till viktiga allmänna intressen under förutsättning att lämpliga garantier föreskrivs.

Av kommissionens förklaring framgår att undantag skulle kunna göras för internationella människorättsorganisationer som behöver känsliga

personuppgifter For sitt arbete, förutsatt att dessa kan erbjuda lämpliga skyddsåtgärder.

Av artikel 28.2 följer att medlemsstaterna skall se till att tillsynsmyndigheten hörs när författningar om undantag utarbetas.

136 EG-direktivet personuppgifter SOU 1997: 39

om

3.6.3 Uppgifter om brott m.m.

Det finns inte något principiellt förbud mot att behandla personuppgifter

brott eller liknande. Men i artikel 8.5 finns det särskilda regler rörande om behandling av uppgifter om 0 lagöverträdelser,

brottmålsdomar eller 0

0 säkerhetsåtgärder.

Behandling sådana uppgifter får utföras endast under kontroll av en

av myndighet eller lämpliga skyddsåtgärder finns i nationell lag med

- om förbehåll för de avvikelser som medlemsstaterna kan tillåta med stöd av nationella bestämmelser innehåller lämpliga och specifika skyddsåt-

som gärder. Ett fullständigt register över brottmålsdomar får dock föras endast under kontroll av en myndighet.

Det är tillåtet för medlemsstaterna att föreskriva att uppgifter som rör administrativa sanktioner och avgöranden i tvistemål också skall behandlas under kontroll av en myndighet.

I artikel 8.6 finns det bestämmelse att de avvikelser från artikel

en om 8.1 har tillåtits i enlighet med artikel 8.5 skall anmälas till

som kommissionen. Eftersom behandling av de uppgifter om brott m.m. som

i artikel 8.5 inte i sig verkar omfattas av förbudet i artikel 8.1, är det avses svårt att säga vilken räckvidd denna anmälningsskyldighet har.

3.6.4 Användning av personnummer

Enligt artikel 8.7 skall medlemsstaterna bestämma på vilka villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas.

74 På engelska offences, criminal convictions security measures, på franska

or

aux infractions, condamnations pénales ou aux measures de süreté, på tyska

aux

Straftaten, strafrechtliche Verurteilungen oder Sicherungsmassregeln.

SOU 1997: 39 EG-direktivet personuppgifter 137 om

3.7 Rätten att motsätta sig

uppgiftsbehandling

3.7.1 Inledning

I artikel 14 finns det under rubriken Den registrerades rätt att göra in- — vändningar bestämmelser att medlemsstaterna skall tillförsäkra den - om registrerade rätt att motsätta sig att personuppgifter honom eller henne om behandlas. Det gäller i vissa fall när den registrerade har avgörande och berättigade skäl artikel 14 l och avsnitt 3.7.2 och i samband med best. a handling som rör direkt marknadsföring artikel 14 1st. b och avsnitt 3.7.3. Medlemsstaterna skall vidare vidta nödvändiga åtgärder för att säkerställa att de registrerade känner till sina rättigheter i samband med behandling som rör direkt marknadsföring artikel 14 2 st..

3.7.2 I vissa fall vid avgörande och berättigade skäl

Den registrerade skall ha rätt att motsätta sig behandling uppgifter av som rör honom eller henne, om han eller hon har avgörande och berättigade skäl75 rör hans eller hennes personliga situation. Detta skall gälla åtsom minstone i de fall som avses i artikel 7 och f avsnitt 3.5.6 och 3.5.7,

e se

dvs. vid uppgiftsbehandling i allmänt intresse eller i samband med myndighetsutövning och vid sådan uppgiftsbehandling är tillåten efter som en intresseavvägning. Men det är tillåtet att i den nationella lagstiftningen föreskriva något annat, dvs. att den registrerade inte har någon sådan rätt att motsätta sig uppgiftsbehandling. När den registrerades invändning är berättigad, får en behandling har påbörjats den registeransvarige som av inte längre avse uppgifter rör den registrerade. som Av det brittiska remissunderlaget framgår att det under förhandling- arna om direktivet som exempel på giltigt skäl att motsätta sig behand- ling personuppgifter det fallet att uppgifterna, även de beav angavs om handlades i enlighet med bestämmelserna i direktivet, förmodligen skulle i praktiken komma att falla i händerna på någon den registrerade kände. som

75 På engelska compelling legitimate grounds, på franska raisons prépondérantes et légitimes, på tyska überwiegende, schutzwürdige . . Gründe". . 76 På engelska justiñed objection, på franska opposition justifiée, på tyska "berechtigte Widerspruch.

138 EG-direktivet personuppgifter SOU 1997: 39 om

3.7.3 Direkt marknadsföring

Den registrerade skall ha rätt efter anmodan och utan kostnader motsatta sig behandling sådana att av personuppgifter rör honom eller henne och som den registeransom svarige bedömer kan komma att behandlas för ändamål som rör direkt marknadsföring eller få bli informerad innan personuppgifter för första gången lämnas ut till att tredje eller används för tredje räkning för ändamål som rör man mans direkt marknadsföring och uttryckligen få ett erbjudande att utan kostnad motsatta sig ett att om sådant utlämnande eller sådan användning.

I punkt 30 i ingressen talas det kommersiell eller annan marknadsföom ring, närmare under avsnitt 3.5.7. Av punkt 71 i ingressen framgår det se att direktivet inte hindrar medlemsstat från att anta bestämmelser om en sådan marknadsföring riktar sig till konsumenter har hemvist som som inom dess territorium, förutsatt att dessa bestämmelser inte rör skyddet av enskilda med avseende behandling av personuppgifter. personer

3.8 Rätten att slippa automatiserade beslut

Artikel 15 behandlar beslut har rättsliga följder för en person eller som märkbart påverkar honom eller henne. Varje person skall ha rätt att som inte bli föremål för ett sådant beslut enbart grundas på automatisk dasom tabehandling uppgifter är avsedda att bedöma vissa personliga av som egenskaper hos honom eller henne, t.ex. hans eller hennes arbetsprestatiokreditvärdighet, pålitlighet eller uppträdande. Artikel l5.1. ner, Om inte något annat följer övriga bestämmelser i direktivet, skall av medlemsstaterna dock föreskriva att person får bli föremål för ett sådant en beslut i två fall artikel 15.2.

39 EG-direktivet personuppgifter 139 SOU 1997: om

Det första fallet den situationen att beslutet fattas som ett led i ingåavser endet eller fullgörandet ett avtal. Som förutsättning gäller emellertid här av antingen den registrerades begäran ingående eller fullgörande av avtalet har att om bifallits eller det vidtas lämpliga åtgärder för att skydda hans eller hennes berättiatt gade intressen, exempelvis en möjlighet för honom eller henne att göra sin uppfattning gällande. Artikel 15.2 a.

Det andra är när beslutet har tillåtits i lagstiftning innehåller

fallet en som

bestämmelser till skydd för den registrerades berättigade intressen. I kommissionens förklaring framhålls att det skall fråga om ett bevara slut grundar sig enbart automatisk databehandling. Det som är som förbjudet är att slaviskt följa det resultat som har producerats av ett system för automatisk databehandling. Den automatiska databehandlingen kan ett stöd vid beslutsfattandet, behandlingen får inte utgöra slutrevara men sultatet det måste finnas utrymme för mänsklig bedömning. Det utan en skulle t.ex. strida mot denna princip, anför kommissionen, att en arbetsgiavvisar arbetssökande bara på grund dennes resultat vid en davare en av torbaserad psykologisk utvärdering eller att använda sådan programvara för utvärdering för att ta fram lista där jobbsökande betygsätts och en rangordnas enbart grund av ett personlighetstest. När det gäller undantaget i samband med avtal framhåller kommissioatt medlemsstaterna kan precisera vilka lämpliga åtgärder som kan nen vidtas för att skydda den registrerades intressen. Sådana skyddsåtgärder kan föreskrivna i lag, framgå den underrättelseprocedur som skall vara av tillämpas eller framgå de interna åtgärder har vidtagits inom den av som registeransvariges organisation. I artikel 12 tredje strecksatsen finns det bestämmelse om att den a en registrerade har rätt att få kännedom den logik som används vid autoom matiserade beslut avsnitt 10.2.

se

3.9 Information till den registrerade

I artikel lO-l 1 att medlemsstaterna skall föreskriva att den registeranges ansvarige eller dennes företrädare skall lämna den registrerade viss in- - formation.

140 EG-direktivet om personuppgifter SOU 1997: 39

Skyldigheten att lämna information gäller inte i de fall den registrerade redan känner till uppgifterna. I artikel 13.1 finns det bestämmelser gör det möjligt att hänsyn som av till vissa intressen föreskriva nödvändiga undantag från vad följer som av artikel 10 och 11.1 se avsnitt 3.1 l.

När uppgifter om en viss person samlas in från den berörde själv, skall den berörde i vart fall få information om a den registeransvariges och dennes eventuella företrädares identitet, - b ändamålen med den behandling för vilka uppgifterna är avsedda, och c all ytterligare information i den utsträckning informationen med hän- syn till de särskilda omständigheter under vilka uppgifterna samlas in är nödvändig för att tillförsäkra den registrerade korrekt behandling. en

Som exempel på information enligt punkt c anges 0 mottagarna eller de kategorier mottar uppgifterna, som 0 huruvida det är obligatoriskt eller frivilligt att besvara frågorna samt eventuella följ der av att inte och svara 0 förekomsten av rättigheter att få tillgång till och att få rättelse av uppgifter.

Om uppgifterna inte har samlats in från den registrerade, skall information lämnas vid tiden för registrering personuppgifter eller, utlämav om ett nande till tredje man kan förutses, inte än vid den tidpunkt då senare uppgifterna först lämnas ut. Informationen skall åtminstone omfatta det som anges i punkt a-c ovan. Som exempel på information i detta fall skall som lämnas enligt punkt c anges, i stället för upplysning det är frivilligt om att svara, uppgift om de kategorier av uppgifter som behandlingen gäller.

Vad som nu sagts för det fallet att uppgifterna inte har samlats in från den registrerade skall dock inte gälla när det särskilt i samband med behandling för statistiska ändamål — — eller historiska eller vetenskapliga forskningsändamål visar sig omöj- ligt eller skulle innebära oproportionerligt stor ansträngning en att lämna information eller när utlämnande uttryckligen föreskrivs i författning. -

I sådana undantagsfall skall medlemsstaterna emellertid föreskriva lämpliga skyddsåtgärder.

39 EG-direktivet om personuppgifter 141 SOU 1997:

I punkt 40 i ingressen att vid bedömningen om ett informaanges man av tionslämnande skulle innebära oproportionerligt stor ansträngning kan en beakta

0 antalet registrerade,

uppgifternas ålder och 0 de kompensatoriska åtgärder kan vidtas. 0 som

Av mötesprotokollet framgår att rådet och kommissionen anser att man vid denna bedömning måste ta i beaktande vikten det allmänna intresse för av vilket uppgifterna behandlas. I kommissionens förklaring att frågan hur informationslämanges om nandet skall till i praktiken får bero de särskilda omständigheter under vilka informationen samlas från de registrerade.

3.10 Rätten att få till

på begäran tillgång

uppgifterna och rättelse

3.10.1 Inledning

I artikel 12 finns det bestämmelser att medlemsstaterna skall säkerom ställa att varje registrerad har vissa rättigheter gentemot den registeransvarige. Det gäller rätt till information rörande de uppgifter som behandlas, rätt få felaktiga eller ofullständiga uppgifter rättade m.m. För den hänatt delse uppgifterna rättats är den registeransvarige skyldig att underm.m. rätta de tredje män redan har fått uppgifterna den rättelse som har som om skett. Från bestämmelserna i artikel 12 är det möjligt att göra vissa särskilda undantag rörande vetenskaplig forskning och statistikproduktion artikel 13.2. I artikel 13.1 finns det vidare generella bestämmelser som gör det möjligt hänsyn till vissa intressen föreskriva nödvändiga undantag att av från vad följer av artikel 12 se avsnitt 3.11. som

3.10.2 Information om uppgifterna

Den registrerade skall ha rätt att från den registeransvarige få viss information uppgifterna. Den registrerade skall ha rätt att få informationen om

142 EG-direktivet personuppgifter om SOU 1997: 39

utan hinder och med rimliga intervall samt utan större tidsutdräkt eller kostnader. Den registrerade har rätt till följande information. 0 Bekräftelse på om uppgifter rör den registrerade behandlas eller som inte. o Information om åtminstone ändamålen med behandlingen, —— de berörda uppgiftskategorierna och — mottagarna eller de kategorier mottagare till vilka uppgifterna — av utlämnas. 0 Begriplig information vilka uppgifter behandlas. om som 0 All tillgänglig information varifrån de behandlade uppgifterna om kommer. 0 Kännedom om den logik används när uppgifter rör den registsom som rerade behandlas på automatisk väg, åtminstone såvitt sådana avser automatiserade beslut i artikel 15.1 avsnitt 3.8. som avses se

I punkt 41 i ingressen framhålls det att rätten att få kännedom den loom gik används vid automatisk uppgiftsbehandling inte får negativt påsom verka affärshemligheter eller upphovsrätten, särskilt den upphovsrätt som skyddar Detta bör dock inte få medföra den registrerade programvaran. att nekas all information.

I kommissionens förklaring att det har överlämnats till medanges lemsstaterna att precisera hur informationen skall lämnas till den registrerade, t.ex. för att garantera att informationen lämnas till eller för rätt person att underlätta för såväl den registeransvarige den registrerade flera som när uppgiftsbehandlingar berörs, särskilt när det gäller manuella register. Ge-

nom den nationella lagstiftningen får också den närmare innebörden av rimliga intervall bestämmas. I den nationella lagstiftningen får det vidare

med beaktande av såväl den registrerades den registeransvariges in- - som tresse finnas bestämmelser att den registeransvarige har rätt - om att ta betalt av en registrerad utnyttjar rätten att få information, avgifsom men ten får inte överstiga den verkliga kostnaden; avgiften får inte vara st6rre77.

77 På engelska excessive, på franska excessifl på tyska übermässig.

1997: 39 EG-direktivet om personuppgifter 143 SOU

3.10.3 Rättelse

Den registrerade skall i förekommande fall ha rätt att få sådana uppgif- inte har behandlats i enlighet med bestämmelserna i direktivet ter som 0 rättade,

0 utplånade eller

blockerade. 0

Detta skall gälla särskilt uppgifterna är ofullständiga eller felaktiga. om Av kommissionens förklaring verkar framgå att med blockering avses den registeransvarige får fortsätta att lagra uppgifterna, men inte på att sätt behandla eller använda dem, t.ex. lämna ut dem till tredje man. annat Uppgifierna måste markeras så att användarna får kännedom att dessa om blockerade. Det verkar också framgå att avsikten med att använda ett är uttryck i förekommande fall har varit att överlåta till medlemsstaterna som närmare bestämma hur den registrerades rätt till rättelse, utplånande att eller blockering skall användas i de olika situationer där uppgifter kan ha behandlats eller använts i strid med bestämmelserna i direktivet. artikel 6.1 d finns bestämmelser att alla rimliga åtgärder måste I om vidtas för att säkerställa att sådana personuppgifter, som är felaktiga eller ofullständiga i förhållande till de ändamål för vilka de samlats in eller för vilka de behandlas, utplånas eller rättas, se avsnitt 3.4.5. senare

3.10.4 Underrättelse till tredje man om rättelse

När registeransvarig har utfört rättelse, utplåning eller blockering av en uppgifter i enlighet med vad i närmast föregående avsnitt, har som anges den registrerade rätt att få genomfört att de tredje män till vilka uppgifterna har lämnats underrättas åtgärden. Detta gäller dock inte om en unut om derrättelse är omöjlig eller skulle innebära oproportionerligt stor anen strängning.

3.10.5 Undantag

I sådana fall där det uppenbarligen inte finns någon risk för att den berörda privatliv kränks i synnerhet när uppgifterna inte används för personens åtgärder eller beslut särskilda personer får medlemsstaterna som avser enligt artikel 13.2, under förutsättning lämpliga rättsliga garantier, geav lagstiftning begränsa de rättigheter i fråga om information om uppnom

144 EG-direktivet om personuppgifter SOU 1997: 39 .

gifterna, rättelse och underrättelse till tredje i artikel 12. man som anges Detta gäller dock bara när uppgifterna endast behandlas för ändamål har med vetenskap- - som lig forskning att göra eller när uppgifterna endast lagras i form personuppgifter under be- — av en gränsad tid som inte överstiger den tid är nödvändig för att framsom ställa statistik.

l artikel 28.4 andra stycket finns det en bestämmelse att och kan om var en i samband med tillämpningen av de nationella undantagsbestämmelser som har antagits med stöd av artikel 13 hos tillsynsmyndigheten begära att få kontrollera om en behandling är tillåten. Av artikel 28.2 följer att medlemsstaterna skall se till att tillsynsmyndigheten hörs när författningar om undantag utarbetas.

3.11 till och

Möjlighet undantag begränsningar

I artikel 13.1 finns det bestämmelser att medlemsstaterna får om genom lagstiftning begränsa omfattningen vissa skyldigheter och rättigheter av som följer av direktivet. Det gäller de skyldigheter och rättigheter som anges i artikel 6.1, 10, 11.1, 12 och 21, dvs. 0 de grundläggande kraven på uppgiftsbehandlingen artikel 6.1, avsnitt se 3.4, o skyldigheten att informera den registrerade artikel 10 och 11.1, se avsnitt 3.9, 0 rätten att begäran få tillgång till uppgifterna och rättelse artikel 12, se avsnitt 3.10 och 0 reglerna om ett offentligt register över anmälda behandlingar och skyldigheten att hålla information andra behandlingar tillgänglig

om artikel

21, se avsnitt 3.13.5.

En sådan begränsning måste vidare nödvändig åtgärd med hänsyn vara en till a statens säkerhet, b försvaret, c allmän säkerhet, d förebyggande, undersökning eller avslöjande brott, av e åtal för brott,

SOU 1997: 39 EG-direktivet om personuppgifter 145

f förebyggande, undersökning eller avslöjande överträdelser av etiska

av

regler som gäller för lagreglerade yrken, g ett viktigt ekonomiskt eller finansiellt intresse hos medlemsstat eller

en hos Europeiska unionen här inkluderas monetära frågor, budgetfrågor och skattefrågor,

h tillsyns-, inspektions- eller regleringsfunktion även om den är

en som -

övergående karaktär är förbunden med myndighetsutövning i de

av fall som nämnts under c, e, f och g, eller

i skydd den registrerades eller andras fri- och rättigheter.

av

Av mötesprotokollet framgår att rådet och kommissionen anser att sådana rättigheter att utföra behandling av personuppgifter inte avses med

som hänvisningen till andras fri- och rättigheter i punkten i ovan.

I punkt 44 i ingressen framhålls att medlemsstaterna för att uppfylla vissa målsättningarna kan tvingas att avvika från vissa bestämmelser i

av direktivet på grund bestämmelser i gemenskapsrätten. Som exempel på

av

begränsning med hänsyn till intresset hos den registrerade eller andras en fri- och rättigheter punkt i ovan anges i punkt 42 i ingressen att det

- kan beslutas att den registrerade har rätt att få tillgång till uppgifter av medicinsk art bara förmedling någon som är yrkesmässigt verk-

genom av

inom hälso- och sjukvården. sam

I kommissionens förklaring bestämmelser övervakning av

anges om banker och penningtvätt exempel på fall då medlemsstaterna på

om som grund gemenskapsrätten kan vara tvungna att föreskriva begränsningar.

av Begreppet statens säkerhet omfattar skydd av den nationella suveräniteten mot såväl interna externa hot. Bestämmelsen om ekonomiska eller fi-

som nansiella intressen hänför sig till alla åtgärder inom den ekonomiska politiken och åtgärder för att finansiera medlemsstaternas eller den Europeiska unionens politik, såsom kontroll vid Valutaväxling, kontroll av utrikeshandel och uppbörd skatt. När det gäller skyddet av fri- och rättigheter talas

av det företagshemligheter, reglerna om den sekretess under vilken advo-

om kater och utövare sjukvård arbetar, rätten att förbereda sig inför en rätte-

av gång samt mänskliga rättigheter. Det talas vidare om begränsningar av rätten till tillgång till uppgifter människorättsorganisationer innehar i

som de fall där obegränsad tillgång skulle kunna utsätta andra för fara t.ex.

en de i förtroende har lämnat uppgifterna eller riskera de över-

personer som ordnade intressen finns hos sådana organisationer.

som

I artikel 28.4 andra stycket finns det bestämmelse att var och en

en om kan i samband med tillämpningen av de nationella undantagsbestämmel-

—

146 EG-direktivet personuppgifter SOU om 1997: 39

ser som har antagits med stöd artikel 13 hos tillsynsmyndigheten beav gära att få kontrollera om en behandling är tillåten avsnitt 3.17. I arti-

se

kel 9 finns det bestämmelser om förhållandet till yttrandefriheten se avsnitt 3.3, och artikel 13.2 innehåller särskilda bestämmelser undantag om från rätten att på begäran få tillgång till uppgifterna och rättelse avsnitt

se

3.10.5. Av artikel 28.2 följer att medlemsstaterna skall till att tillsynsmynse digheten hörs när författningar om undantag utarbetas.

3.12 Sekretess och säkerhet vid

behandlingen

I artikel 16 finns det under rubriken Sekretess vid behandling be- - - en stämmelse om att registerföraren eller den utför arbete under den som registeransvarige eller registerföraren och får tillgång till personuppgifsom ter får behandla dessa bara enligt instruktion från den registeransvarige. Uppgifterna får dock behandlas även utan instruktion från den registeransvarige, om det enligt lag finns en skyldighet att göra det. I kommissionens förklaring förundersökning criminal investianges gation som exempel på när det kan finnas skyldighet enligt lag been att handla personuppgifter. I artikel 28.7 finns det bestämmelser om tystnadsplikt för tillsynsmyndighetens ledamöter och personal.

Artikel 17.1 innehåller bestämmelser säkerheten vid behandling om av personuppgifter. Medlemsstaterna skall föreskriva att den registeransvarige skall genomföra lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter mot varje slag otillåten behandling. Personuppav gifter skall dessutom skyddas i följande hänseenden. 0 Skydd mot förstöring uppgifter olyckshändelse eller av genom genom otillåtna åtgärder. Skydd mot förlust uppgifter olyckshändelse av genom Skydd mot ändringar av uppgifter. Skydd mot otillåten spridning uppgifter. av Skydd mot otillåten tillgång till uppgifter, särskilt när behandlingen innefattar överföring av uppgifter i ett nätverk.

SOU 1997: 39 EG-direktivet om personuppgifter 147

De säkerhetsåtgärder som skall genomföras skall med beaktande av den

nuvarande tekniska nivån73 och de kostnader är förenade med åtgär-

som dernas genomförande åstadkomma en lämplig säkerhetsnivå i förhållan-

de till de risker som är förknippade med behandlingen och arten av de uppgifter skall skyddas.

som

I punkt 46 i ingressen framhålls att skyddet för de registrerades fri- och rättigheter, såvitt behandling av personuppgifter, förutsätter att lämp-

avser liga tekniska och organisatoriska åtgärder vidtas både när systemet utfor-

och när själva behandlingen sker, särskilt för att garantera säkerheten mas för att på så sätt hindra all otillåten behandling.

I artikel 17.2-4 finns det bestämmelser som rör relationen mellan den registeransvarige och registerföraren.

Medlemsstaterna skall föreskriva att den registeransvarige, när behandling utförs för dennes räkning, skall dels välja en registerförare som

tillräckliga garantier vad gäller de tekniska säkerhetsåtgärder och kan ge organisatoriska åtgärder måste vidtas, dels se till att dessa åtgärder

som vidtas.

När uppgifter behandlas av en registerförare skall hanteringen regleras ge-

ett avtal eller annan rättsligt bindande handling79 mellan nom genom en registerföraren och den registeransvarige. Genom handlingen skall särskilt föreskrivas

att registerföraren bara får handla på instruktioner från den registeran- 0

svarige och

att de skyldigheter i fråga säkerhet som anges i artikel 17.1, såsom 0 om

de definieras i lagstiftningen i den medlemsstat i vilken registerföraren är etablerad30, även skall åvila registerföraren.

Av direktivtexten framgår inte direkt huruvida vad som nu sagts skulle kunna föreskrivas lagstiftningsåtgärd, t.ex. i registerförfatt-

genom en en ning att myndighet skall ansvara för ett register som en

som anger en

myndighet åläggs att administrera i tekniskt avseende. annan

78 På engelska state of the art. 79 Påengelska legal binding act, på franska acte juridique, på tyska Rechtsakt. 30 Det kan att registeransvarig är etablerad i medlemsstat måste i

noteras en som en -

fråga om t.ex. säkerheten vid behandling jämför skyldigheten enligt artikel 17.2

till att registerföraren genomför säkerhetsåtgärder följa den nationella in-

att se —

förandelagstiftningen i den staten artikel 4.1 och inte den lagstiftning som finns i

den stat där den anlitade registerföraren är etablerad. Jämför punkt 3.31 i det

-

brittiska remissunderlaget.

148 EG-direktivet personuppgifter SOU 1997: 39 om

Det finns dock, för att säkra bevisning, ett skriftlighetskrav. Avtalet eller den rättsligt bindande handlingen skall nämligen finnas i skriftlig eller därmed jämförlig form i de delar som rör skyddet uppgifter och de av krav som rör sådana säkerhetsåtgärder artikel 17.1. som anges

3.13 Anmälan till

tillsynsmyndigheten

3.13.1 Inledning

I artikel 18 finns det bestämmelser om att behandling personuppgifter av skall anmälas på förhand till tillsynsmyndigheten. Anmälan skall innehålla vissa uppgifter artikel 19, och tillsynsmyndigheten skall föra in uppgifter om anmälda behandlingar i ett offentligt register artikel 2l.1-2. Den som vill skall kunna få uppgifter även om behandlingen inte har anmälts till tillsynsmyndigheten artikel 21.3. Vissa särskilt riskfyllda behandlingar skall kontrolleras på förhand artikel 20. I punkt 48 i ingressen anges att anmälningsförfarandet är avsett att göra behandlingens ändamål och viktigaste egenskaper allmänt kända för att säkerställa att behandlingen sker i enlighet med de nationella åtgärder som vidtas för att genomföra direktivet.

3.13.2 Anmälningsplikt för alla automatiska behandlingar

Medlemsstaterna är tvungna att föreskriva att den registeransvarige eller dennes företrädare skall underrätta tillsynsmyndigheten före genomfö- randet av 0 en behandling som helt eller delvis genomförs på automatisk väg eller 0 en serie av sådana automatiska behandlingar som har eller flera samma närbesläktade ändamål artikel 18.

I kommissionens förklaring anges som ett exempel på fall där regeln om en serie av behandlingar kan användas att det kan räcka med enda anmälan en för alla behandlingar rör handhavandet lån vid ett kreditinstitut; som av anmälan kan då inkludera registrering ansökan, undersökning den, av av beviljandet av den, krav avseende förfallna skulder och övervakandet av vidtagna rättsliga åtgärder.

SOU 1997: 39 EG-direktivet om personuppgifter 149

När det gäller icke automatiska behandlingar av personuppgifter är det tillåtet för medlemsstaterna att föreskriva att vissa eller alla sådana behandlingar skall anmälas eller att ett förenklat anmälningsförfarande skall gälla för dem artikel 18.5.

Medlemsstaterna skall precisera vilka uppgifter som anmälan skall innehålla artikel 19.1. Det sägs inte uttryckligen att anmälan skall vara skriftden skall innehålla åtminstone uppgifter i följande hänseenden. lig, men Den registeransvariges eller dennes eventuella företrädares namn och 0 adress. Ändamålen med behandlingen. 0 En beskrivning den eller de kategorier registrerade som berörs. 0 av av En beskrivning de uppgifter eller kategorier av uppgifter som hänför 0 av sig till de registrerade som berörs. Mottagama eller de kategorier mottagare till vilka uppgifterna kan 0 av komma att lämnas ut. Föreslagna överföringar uppgifter utanför gemenskapen. 0 av En allmän beskrivning gör det möjligt att preliminärt bedöma lämp- 0 som ligheten de åtgärder i enlighet med artikel 17 har vidtagits för att av som trygga säkerheten i behandlingen.

Medlemsstaterna skall vidare villkoren för anmälan till tillsynsmynange digheten förändringar rör den nämnda informationen artikel av som nyss 19.2. I kommissionens förklaring exempel på uppgift om den anges, som eller de kategorier registrerade berörs, företagets kunder, företagets av som personal eller mottagarna viss social förmån. av en

3.l3.3 Möjlighet till undantag från och förenklingar av anmälningsproceduren

3.13.3.1 Inledning

I artikel 18.2 räknas det i vilka två fall och på vilka villkor medlemsupp får föreskriva undantag från anmälningsplikten eller ett förenklat staterna anmälningsförfarande. Andra undantag är inte tillåtna. Dock finns det i artikel 18.3—4 bestämmelser möjlighet till särskilda undantag för vissa om behandlingar, nämligen förandet ett författningsreglerat registyper av av för allmänheten och icke vinstdrivande behandling av känsliga ter organs personuppgifter.

150 EG-direktivet personuppgifter SOU 1997: 39

om

I punkt 51 i ingressen betonas att det förhållandet att en registeransvarig omfattas ett förenklat anmälningsförfarande eller är undantagen från

av anmälningsplikt inte befriar honom eller henne från de övriga förpliktelser som följer av direktivet.

Av artikel 28.2 följer att medlemsstaterna skall se till att tillsynsmyndigheten hörs när författningar om undantag utarbetas.

13. 3.2 Om det inte är sannolikt att rättigheter kränks

Den första möjligheten till undantag gäller de typer behandling i

av samband med vilka det med hänsyn till de behandlade uppgifterna inte är sannolikt att de registrerades fri- och rättigheter kränks. För att undantag skall få göras krävs att medlemsstaterna för dessa typer behandling

av anger

behandlingens ändamål, vilka uppgifter eller kategorier av uppgifter som behandlas, vilka registrerade eller kategorier av registrerade som avses,

till vilka mottagare eller kategorier av mottagare uppgifterna lämnas ut

och 0 hur länge uppgifterna skall bevaras.

I kommissionens förklaring och reviderade direktivförslag angavs som exempel på typer av behandling som kan undantas 0 framställning av korrespondens, 0 framställning av promemorior papers, 0 uppfyllandet av rättsliga förpliktelser eller skyldigheter avseende bokfö-

ring, skatt eller socialförsäkring, 0 beräkning av lön och andra förmåner för personalen vid ett offentligt

0r-

gan eller ett privat företag, 0 vissa typer av behandling för vetenskapliga forskningsändamål och 0 vissa behandlingar avseende patientjournaler som förs av sjukvårdsper-

sonal eller liknande.

SOU 1997: 39 EG-direktivet om personuppgifter 151

3.13.3.3 När ett uppgiftsskyddsombud har utsetts

Den andra möjligheten till undantag gäller när den registeransvarige, i enlighet med den nationella lagstiftning gäller för honom eller henne, som har utsett ett uppgiftsskyddsombud. Uppgiftsskyddsombudet skall ha till uppgift att på ett oberoende sätt säkerställa den interna tillämpningen av de na- 0 tionella bestämmelser som har antagits till följd av direktivet och att föra ett register över de behandlingar som utförs av den registeran- 0 svarige, vilket register skall innehålla de obligatoriska uppgifter som en anmälan skall innehålla avsnitt 3.13.2, med undantag för beskriv-

se

ning de säkerhetsåtgärder som har vidtagits.31 av

Uppgiftsskyddsombudet skall detta sätt säkerställa att de registrerades fri- och rättigheter sannolikt inte kommer att kränkas som en följd av behandlingarna. Uppgiftsskyddsombudet skall i tveksamma fall rådfråga tillsynsmyndigheten artikel 20.2. I punkt 49 i ingressen betonas att den person som utses till uppgiftsskyddsombud måste sig han eller hon är anställd av den registeran- - vare svarige eller inte ha möjlighet att utöva sin verksamhet ett fullständigt oberoende sätt.

3.13.3.4 F Örfattningsreglerat register för allmänheten

Medlemsstaterna får föreskriva att anmälningsplikten inte skall gälla för en sådan behandling enda syfte är att föra ett register vars enligt lagar eller andra författningar är avsett att förse allmänheten 0 som med information och är tillgängligt antingen för allmänheten eller för var och en som kan 0 som styrka ett berättigat intresse.

3.13.3.5 Icke vinstdrivande organs behandling av känsliga personuppgifter

Medlemsstaterna får föreskriva undantag från anmälningsplikten eller ett förenklat anmälningsförfarande för sådan behandling som avses i artikel

81 Av mötesprotokollet framgår att det är tillåtet att föreskriva att uppgiftsskyddsombudet inte är skyldigt att registrera sådana behandlingar som omfattas av det unbehandlats i avsnitt 3.13.3.2. dantag som

152 EG-direktivet om personuppgifter SOU 1997: 39

8.2 dvs. behandling av känsliga personuppgifter om medlemmar m.fl. som utförs inom ramen för berättigad verksamhet hos ett icke vinstdrivande organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte se närmare avsnitt 3.6.2.4.

3.13.4 Förhandskontroll av särskilt riskfyllda behandlingar

Medlemsstaterna är skyldiga att bestämma vilka behandlingar kan

som innebära särskilda risker för den registrerades fri- och rättigheter. Medlemsstatema är vidare skyldiga att säkerställa att sådana särskilt riskfyllda behandlingar kontrolleras innan de påbörjas. Artikel 20. l .

I punkt 53 i ingressen anges att vissa typer av behandling på grund sin

av natur, sin omfattning eller sitt ändamål kan innebära särskilda risker för att de registrerades fri- och rättigheter kränks. Medlemsstaterna kan de

om önskar det precisera dessa risker i sin lagstiftning. Som exempel typer av behandling som kan innebära särskilda risker anges 0 behandling som har till ändamål att utesluta den berörde från möjlighe-

ten att utöva en rättighet, ta emot en förmån eller ingå ett avtal och 0 sådan behandling som innebär användning teknik.

av ny

I punkt 54 i ingressen anges att det antal behandlingar innebär sär-

som skilda risker torde vara mycket begränsat med tanke på omfattningen

av den behandling av uppgifter utförs i samhället.

som

Förhandskontrollen skall utföras tillsynsmyndigheten. Kontrollen

av skall utföras när myndigheten har fått in anmälan från den regis-

en teransvarige eller från uppgiftsskyddsombudet; uppgiftsskyddsombudet skall nämligen i tveksamma fall rådfråga tillsynsmyndigheten. Artikel 20.2. Av artikel 28.3 första stycket andra strecksatsen följer att tillsynsmyndigheten skall ha effektiva befogenheter att ingripa, t.ex.

genom att yttra sig innan en behandling äger rum och att i lämplig omfattning offentliggöra yttrandet.

Medlemsstaterna kan emellertid också utföra sådana kontroller

som ett led i det nationella parlamentets förberedande arbete med åtgärd

en eller som ett led i arbetet med en åtgärd som grundas på sådan lagstif-

en

82 Ordet också

torde inte i detta sammanhang innebära att kontroll skall ske såväl

av tillsynsmyndigheten som också i samband med att lagstiftningsâtgärder vid-

tas; det torde vara fråga om alternativa förfaringssätt.

SOU 1997: 39 EG-direktivet personuppgifter 153 om

tande åtgärd, vilken definierar behandlingens art och anger lämpliga skyddsåtgärder artikel 20.3. Av artikel 28.2 följer att medlemsstaterna skall se till att tillsynsmyndigheten hörs när författningar rörande behandling av personuppgifter utarbetas.

3.13.5 Offentliggörande av behandlingar

3.13.5.1 Inledning

I artikel 21 finns det bestämmelser rör offentliggörande av behandsom lingar, både sådana skall anmälas och sådana inte skall det. Tillsom som synsmyndigheten skall föra ett offentligt register över anmälda behandlingar, och information andra behandlingar skall man på begäran kunna om få direkt från den registeransvarige. I artikel 13.1 finns det generella bestämmelser gör det möjligt att som hänsyn till vissa intressen föreskriva nödvändiga undantag från vad som av följer av artikel 21 se avsnitt 3.1 l.

I 2 Oflentli gt register över anmälda behandlingar

Medlemsstaterna skall vidta åtgärder för att se till att behandlingar offentliggörs artikel 21.1. Staterna skall föreskriva att tillsynsmyndigheten skall föra ett register över sådana behandlingar som har anmälts till den. Detta register skall allmänt tillgängligt och innehålla åtminstone de vara obligatoriska uppgifter anmälan skall innehålla se avsnitt 3.13.2, som en förutom beskrivning de säkerhetsåtgärder har vidtagits. Artikel av som 21.2.

3.13.5.3 Skyldighet att på begäran lämna information om icke anmälda behandlingar

För sådan behandling inte omfattas anmälningsplikt är medlemssom av staterna skyldiga att föreskriva att de registeransvariga eller något annat medlemsstaten utser skall på lämpligt sätt tillhandahålla den organ som — begär det åtminstone de obligatoriska uppgifter som en anmälan skall som innehålla se avsnitt 3.l3.2, förutom beskrivning av de säkerhetsåtgärder har vidtagits. Artikel 21.3 l st. som

154 EG-direktivet om personuppgifter SOU 1997: 39

Det är dock tillåtet för medlemsstaterna att föreskriva att denna bestämmelse inte skall tillämpas på sådan behandling enda syfte är att vars föra ett register 0 som enligt lagar eller andra författningar är avsett att förse allmänheten med information och 0 som är tillgängligt antingen för allmänheten eller för och kan var en som styrka ett berättigat intresse. Artikel 21.3 2 st.

Sådana register kan enligt artikel 18.3 undantas från anmälningsplikten

se

avsnitt 13.3.4. I den utsträckning en medlemsstat väljer att inte föreskriva anmälningsplikt för manuella behandlingar eller att undanta automatiska behandlingar från anmälningsplikten kan således skyldigheten för de registeransvariga att lämna uppgifter komma att bli mera omfattande; uppgifter måste då lämnas varje gång någon begär det och inte bara gång i anmälan till en en tillsynsmyndigheten. Av mötesprotokollet framgår också att rådet och kommissionen anser att rättigheten enligt artikel 21.3 inte får missbrukas, t.ex. genom att en begäran om information görs trots att det är allmänt känt att behandlingen inte rör den gör begäran. som

3.14 Överföring uppgifter utanför EG av

3.14.l Överföring är tillåten till länder säkerställer som en adekvat skyddsnivå

Medlemsstaterna skall föreskriva att överföring personuppgifter, av som behandlas eller som är avsedda att behandlas efter överföring till tredje land, bara får ske om ifrågavarande tredje land säkerställer adekvat en skyddsnivå. Detta skall dock inte påverka tillämpningen de nationella av bestämmelser som har antagits till följd andra bestämmelser i direktiav vet.33 Artikel 25.1.

83 I punkt 60 i pekas det särskilt ingressen på att behandlingen måste vara tillåten enligt artikel som rör behandling av känsliga uppgifter.

SOU 1997: 39 EG-direktivet om personuppgifter 155

Bedömningen skyddsnivån i ett tredje land är adekvat skall ske på

av om grundval alla de förhållanden som har samband med en överföring eller

av

överföringar uppgifter. Härvid skall särskilt beaktas en grupp av av

uppgiftemas art, den eller de avsedda behandlingamas ändamål, den eller de avsedda behandlingamas varaktighet, ursprungslandet, det slutliga beståmmelselandet, de allmänna respektive särskilda rättsregler som gäller i ifrågavarande tredje land och de regler för yrkesverksamhet och säkerhet som gäller i ifrågavarande

tredje land. Artikel 25.2.

I kommissionens förklaring anges när det gäller lagstiftningen i tredje land att såväl generella bestämmelser som bestämmelser för olika sektorer måste beaktas, liksom huruvida bestämmelserna tillämpas i praktiken.

Medlemsstaterna och kommissionen skall informera varandra när de

att ett tredje land inte erbjuder sådan adekvat skyddsnivå artikel anser en 25.3. Om kommissionen i enlighet med den särskilda beslutsprocedur

—

föreskrivs i direktivet se avsnitt 3.19 kommer fram till att ett tredje som land inte erbjuder sådan adekvat skyddsnivå, är medlemsstaterna skyl-

en diga att vidta de åtgärder är nödvändiga för att hindra överföring av

som uppgifter samma slag till detta land artikel 25.4. Kommissionen skall i

av sådant fall vid lämpligt tillfälle inleda förhandlingar för att avhjälpa den situation därvid har uppkommit artikel 25.5.

som

Kommissionen kan vidare i enlighet med den särskilda beslutsproce-

dur föreskrivs i direktivet avsnitt 3.19 konstatera att ett tredje

som se land, sin interna lagstiftning eller grund de internationella

genom av förpliktelser åligger landet, har en sådan adekvat skyddsnivå. Med-

som lemsstatema skall då vidta de åtgärder som är nödvändiga för att följa kommissionens beslut. Som exempel på internationella förpliktelser som åligger tredje land nämns särskilt sådana förpliktelser som är en följd av de förhandlingar kommissionen har inlett och som gäller skydd för pri-

som vatliv och enskilda personers grundläggande fri- och rättigheter. Artikel 25.6.

156 EG-direktivet om personuppgifter SOU 1997: 39

3.14.2 Överföring till länder med sämre skydd

3.14.2.1 Fall där överföring måste tillåtas

Medlemsstaterna är dock skyldiga att utom där något annat föreskrivs för

— särskilda fall i den nationella lagstiftningen föreskriva att överföring

av personuppgifter till ett tredje land, som inte har en sådan adekvat skyddsnivå, är tillåten i följande fall. a Den registrerade otvetydigt har samtyckt till den planerade överföring-

en. b Överföringen är nödvändig för att fullgöra ett avtal mellan den regist-

rerade och den registeransvarige eller för att den registrerades begä-

ran genomföra åtgärder innan avtalet ingås. c Överföringen är nödvändig för att ingå eller fullgöra ett avtal mellan

den registeransvarige och tredje man, där avtalet är i den registrerades intresse.

d Överföringen är nödvändig eller bindande enligt författning av skäl

som rör viktiga allmänna intressen eller för att fastslå, göra gällande eller försvara rättsliga anspråk85.

e Överföringen är nödvändig för att skydda intressen som är av grund-

läggande betydelse för den registrerade36. f Överföringen görs från ett register som l enligt lagar eller andra för-

fattningar är avsett att förse allmänheten med information och 2

som

är tillgängligt antingen för allmänheten eller för var och en som kan

styrka ett berättigat intresse, i den utsträckning som de i lagstiftningen angivna villkoren för att få tillgång är uppfyllda. Artikel 26.1.

84 Formuleringen anpassad efter vad i den engelska, den franska och

är som anges

den tyska språkversionen. I den svenska språkversionen heter det: om det inte

finns tvingande regler om detta i deras lagstiftning, vilket betyder något annat. 35 Den innebörden denna bestämmelse, återges i enlighet med den

närmare av som

svenska språkversionen, är svår att fastslå även när man beaktar andra språkver-

sioner. De engelska, franska och tyska språkversionema tyder närmast på att här

behandlas två skilda fall, dels att överföringen är nödvändig eller krävs enligt

—

tvingande rättsregler för ett viktigt allmänt intresse, dels att överföringen är

-

nödvändig och kanske alternativt krävs enligt tvingande rättsregler för att kunna

fastslå, göra gällande eller försvara rättsliga anspråk. Jämför också punkt 58 i in-

gressen, där det talas om att överföringen är nödvändig för ett rättsligt anspråk

eller när skyddet av väsentliga samhällsintressen kräver det. 86 sådana vitala intressen vad anförs i avsnitt 3.5.5.

Se om som

SOU 1997: 39 EG-direktivet om personuppgifter 157

I punkt 58 i ingressen exempel på viktiga allmänna intressen

anges som utbyte uppgifter mellan skattemyndigheter, tullmyndigheter eller social-

av försäkringsmyndigheter. När det gäller överföring från ett sådant register

i punkten f att överföringen inte bör omfatta alla som avses ovan anges uppgifter eller hela kategorier uppgifter finns i registret.

av som

I kommissionens förklaring att undantaget i punkten ovan kan

anges c

särskilt användbart vid överföringar i samband med transaktioner som vara vidtas banker och andra kreditinstitut. Undantaget rörande viktiga all-

av männa intressen avsåg att tillåta internationellt samarbete, t.ex. för att bekämpa penningtvätt eller för att övervaka finansiella institutioner.

3.14.2.2 Överföring får tillåtas den registeransvarige kan

om

garantera skydd

Det är vidare tillåtet för medlemsstaterna att tillåta överföring av personuppgifter till ett tredje land med icke adekvat skyddsnivå om den regis-

en teransvarige ställer tillräckliga garantier för skyddet av privatliv och enskilda grundläggande fri- och rättigheter och för utövandet av

personers sådana rättigheter. Sådana garantier kan framgå lämpliga avtalsklausu-

av ler. Artikel 26.2. Medlemsstatema skall informera kommissionen om de överföringar har tillåtits enligt denna bestämmelse. Om kommissionen

som eller medlemsstat gör invändning på grunder som är berättigade

en en med hänsyn till skyddet för privatliv och enskilda grundläggan-

personers de fri- och rättigheter skall kommissionen vidta lämpliga åtgärder i en-

lighet med den särskilda beslutsprocedur som föreskrivs i direktivet se avsnitt 3.19. Medlemsstaterna skall vidta de åtgärder som är nödvändiga för att följa kommissionens beslut. Artikel 26.3. Om kommissionen å andra sidan i enlighet med den särskilda beslutsprocedur som nyss

nämnts beslutar att vissa standardklausuler erbjuder tillräckliga garantier,

~ skall medlemsstaterna vidta nödvändiga åtgärder för att följa kommissionens beslut.

158 EG-direktivet personuppgifter SOU 1997: 39 om

3.15 Sanktioner

3.l5.1 Rätt till domstolsprövning

Enligt artikel 22 skall medlemsstaterna föreskriva att och har rätt att var en föra talan inför domstol om kränkningar av sådana rättigheter skyddas som av den nationella lagstiftning är tillämplig på den aktuella behandsom lingen. Detta skall inte påverka möjligheten att utnyttja eventuella administrativa förfaranden kan användas innan ett ärende anhängiggörs hos som en rättslig instans, t.ex. ett förfarande vid tillsynsmyndigheten Enligt artikel 28.3 första stycket tredje strecksatsen skall vidare tillsynsmyndigheten ha befogenhet att inleda rättsliga förfaranden vid överträdelser av de nationella bestämmelser som antagits till följd direktivet av eller att uppmärksamma de rättsliga myndigheterna på sådana överträdel-

ser.

3.15.2 Rätt till skadestånd

Medlemsstaterna skall föreskriva att den har lidit skada till följd som av en otillåten behandling eller någon åtgärd är oförenlig med de - av annan som nationella bestämmelser som antagits till följd direktivet har rätt till av ersättning av den registeransvarige för den skada han eller hon har som lidit. Den registeransvarige får emellertid, helt eller delvis, undantas från skadeståndsansvar, om han eller hon visar att han eller hon inte är ansvarig för den händelse som orsakade skadan. Artikel 23. I punkt 55 i ingressen anges som exempel på fall där den registeransvarige inte är ansvarig för skadefallet att han eller hon kan påvisa att ett fel har begåtts av den registrerade eller att det är fråga force om majeure.

3.15.3 Andra sanktioner

Medlemsstaterna skall vidta lämpliga åtgärder för att säkerställa att direktivet genomförs fullständigt. Staterna skall särskilt besluta de sanktioner om som skall användas vid överträdelse av de bestämmelser har antagits som till följd av direktivet. Artikel 24.

87 Jämför anmälan till tillsynsmyndigheten artikel 28.4. om

SOU 1997: 39 EG-direktivet om personuppgifter 159

I punkt 55 i ingressen framhålls att sanktioner skall vidtas mot såväl privaträttsliga offentligrättsliga subjekt som överträder de nationella

som bestämmelser har antagits till följd av direktivet. Punkten 21 i in-

som

innehåller erinran att direktivet inte påverkar de territorialigressen en om tetsregler gäller på straffrättens område.

som

3.16 Uppförandekodexar

3.16.l Inledning

I artikel 27 finns det bestämmelser rörande uppfi3randekodexar.38 Medlemsstatema och kommissionen skall uppmuntra utarbetandet av uppförandekodexar med beaktande de särskilda förhållandena olika

som - av områden skall bidra till att på ett riktigt sätt genomföra de nationella be-

stämmelser medlemsstaterna har antagit till följd direktivet.

som av

3.16.2 Nationella kodexar

Medlemsstaterna skall föreskriva att branschorganisationer eller andra or-

företräder andra kategorier registeransvariga som har upprättat gan som av förslag till nationella kodexar eller som avser att ändra eller utöka redan

existerande nationella kodexar kan lägga fram dessa för bedömning av

~ den nationella myndigheten. Staterna skall föreskriva att denna myndighet bl.a. skall kontrollera att de framlagda förslagen stämmer överens med de nationella bestämmelser har antagits till följd av direktivet. Myndig-

som heten skall, den det lämpligt, inhämta synpunkter från de regist-

om anser rerade eller deras företrädare.

3.l6.3 Kodexar på gemenskapsnivå

Förslag till kodexar på gemenskapsnivå och förslag till ändring av eller

tillägg till sådana kodexar kan läggas fram för den särskilda arbetsgrupp

-

skall bildas enligt direktivet avsnitt 3.18. Arbetsgruppen skall som se

83 På engelska codes of conduct, på franska "codes de conduite, på tyska

Verhaltensregeln. Alternativa svenska översättningar kan vara t.ex. branschreg-

ler, sektorsvisa förhållningsregler och branschöverenskommelser.

160 EG-direktivet om personuppgifter SOU 1997: 39

bl.a. avgöra om de framlagda förslagen stämmer överens med de nationella bestämmelser som har antagits till följd direktivet. Arbetsgruppen skall,

av om den anser det lämpligt, inhämta synpunkter från de registrerade eller deras företrädare. Kommissionen kan se till att de kodexar har god-

som känts av arbetsgruppen offentliggörs på lämpligt sätt.

3.17 Tillsynsmyndighetens ställning

Varje medlemsstat skall se till att det utses eller flera myndigheter

en som har till uppgift att inom dess territorium övervaka tillämpningen de be-

av stämmelser som staterna antar till följd av direktivet. Myndigheterna skall fullständigt oberoende utöva de uppgifter som åläggs dem. Artikel 28.l. Den svenska regeringen har beslutat att utse Datainspektionen till tillsynsmyndighet enligt denna bestämmelse

Medlemsstaterna skall vidare se till att tillsynsmyndigheten hörs när sådana lagar eller andra författningar utarbetas rör skyddet enskilda

som av personers fri- och rättigheter med avseende på behandlingen

av personuppgifter artikel 28.2.

Enligt artikel 28.3 första stycket skall varje tillsynsmyndighet särskilt ha 0 undersökningsbefogenheter, såsom befogenhet

att få tillgång till uppgifter som behandlas och

-

att hämta in alla uppgifter som är nödvändiga för att sköta tillsynen,

- 0 effektiva befogenheter att ingripa, såsom befogenhet t.ex.

att avge yttranden, i enlighet med artikel 20 avsnitt 3.l3.4, innan

—— se

en behandling äger rum,

att se till att sådana yttranden offentliggörs i lämplig omfattning,

—

att kunna besluta om blockering, utplåning eller förstöring av upp-

-

gifter,

att kunna besluta om tillfälligt eller slutligt förbud mot behandling,

-

att kunna ge den registeransvarige varning eller tillrättavisning och

—

att kunna hänvisa saken till det nationella parlamentet eller till andra

-

politiska institutioner samt I befogenhet att inleda rättsliga förfaranden vid överträdelser de natio-

av

nella bestämmelser som antagits till följd direktivet eller att

av upp-

märksamma de rättsliga myndigheterna på sådana överträdelser.

89 Regeringsbeslut1996-01-18, Dnr Ju 96/176.

SOU 1997: 39 EG-direktivet personuppgifter 161

om

Varje tillsynsmyndighet har oavsett vilken nationell lagstiftning som

gäller för den aktuella behandlingen behörighet att inom sin egen med-

lemsstats territorium utöva dessa befogenheter. Varje myndighet kan av en myndighet i annan medlemsstat anmodas att utöva sina befogenheter.

en Tillsynsmyndighetema skall samarbeta med varandra i den utsträckning

behövs, särskilt genom att utbyta användbar information. Artikel som 28.6. I artikel 29-30 finns det bestämmelser internationellt samarbete

om inom särskild arbetsgrupp består av företrädare för de nationella

en som tillsynsmyndighetema och kommissionen se avsnitt 3.18.

Sådana beslut tillsynsmyndigheten som går någon emot kan över-

av klagas till domstol artikel 28.3 2 st..

Varje tillsynsmyndighet skall behandla framställningar som någon

eller organisation företräder denne gör rörande skyddet för sina

en som fri- och rättigheter avseende behandling av personuppgifter. Anmälaren skall informeras vilka följder hans eller hennes anmälan har fått.

om

Artikel 28.4.

Varje tillsynsmyndighet skall vidare, särskilt, behandla framställningar

kontroll lagligheten behandling av personuppgifter som faller om av av en under de nationella bestämmelserna undantag och begränsningar enligt

om artikel 13 avsnitt 3.11 och 3.10.5. Anmälaren skall i vart fall informe-

se

ras om att en kontroll har gjorts.

Varje tillsynsmyndighet skall också regelbundet upprätta en rapport om sin verksamhet. Rapporten skall offentliggöras. Artikel 28.5.

Medlemsstatema skall föreskriva att tillsynsmyndighetens ledamöter och personal skall ha tystnadsplikt avseende förtrolig information som de har tillgång till. Tystnadsplikten skall gälla även efter det att anställningen vid myndigheten har upphört. Artikel 28.7.

3.18 inom EG bildar en

Tillsynsmyndighetema

arbetsgrupp

I artikel 29-30 finns det bestämmelser om en rådgivande och oberoende arbetsgrupp för skydd enskilda med avseende på behandling av person-

av uppgifter. Arbetsgruppen skall bestå företrädare för de nationella till-

av synsmyndighetema och företrädare för den eller de myndigheter som

en har inrättats för gemenskapens institutioner samt en företrädare för kommissionen. Arbetsgruppen har vissa utredningsbefogenheter och kan

162 EG-direktivet om personuppgifter SOU 1997: 39

utfärda rekommendationer på eget initiativ, men fungerar i övrigt främst som ett rådgivande organ till kommissionen. Det finns inte anledning att här närmare in på detaljbestämmelsema om arbetsgruppens sammansättning och funktion, vilka bestämmelser inte torde kräva några lagstiftningsåtgärder på det nationella planet. Den intresserade hänvisas i stället till direktivtexten se bilaga 2.

3.19 Medlemsstaterna ingår i kommitté med

en

kommissionen

Enligt artikel 31 skall det bildas kommitté företrädare för medlemsen av staterna under ledning av en ordförande som företräder kommissionen. Kommittén skall biträda kommissionen genom att yttranden. Komavge missionen har vidare fått rätt att besluta om åtgärder i enlighet med kommitténs yttrande i fråga om överföring personuppgifter utanför EG

av se

artikel 25.4, 25.6, 26.3 2 st. och 26.4 samt avsnitt 3.14. I fråga detaljer om rörande beslutsproceduren m.m. hänvisas till direktivtexten bilaga 2.

se

3.20 Ikraftträdande och Övergångsbestämmelser

Medlemsstaterna skall sätta i kraft de lagar och andra författningar är som nödvändiga för att följa direktivet senast tre år efter det att direktivet antogs, dvs. senast måndagen den 24 oktober 1998 artikel 32.1 1 st.. Den arbetsgrupp som avses i artikel 29-30 har emellertid, enligt uppgift, redan börjat arbeta. När sådana lagar och andra författningar för att genomföra direktivet offentliggörs skall de innehålla eller åtföljas hänvisning till direktiav en vet. Närmare föreskrifter om hur den hänvisningen skall göras skall varje medlemsstat själv utfärda.90 Artikel 32.1 2 st. Medlemsstaterna skall vidare till kommissionen överlämna texten till de nationella bestämmelser som antas inom det område som omfattas av direktivet artikel 32.4. Medlemsstaterna skall se till att sådan behandling redan pågår när som de nationella bestämmelser som antas till följd av direktivet träder i kraft

90 Se för svensk del 18 § författningssamlingsförordningen 1976:725 jämför a samt Statsrådsberedningens PM 1996:4 s. 22 ff.

SOU 1997: 39 EG-direktivet om personuppgifter 163

bringas i överensstämmelse med dessa bestämmelser inom tre år från denna tidpunkt, dvs. allra senast sex år efter antagandet direktivet eller

av onsdagen den 24 oktober 2001.

Från denna bestämmelse finns två undantag. För det första får medlemsstaterna i fråga behandling

om av person-

uppgifter som redan finns i manuella register när de nationella

genomförandebestämmelsema träder i kraft föreskriva att behandlingen skall bringas i överensstämmelse med artikel 6-8 inom tolv år från dagen för antagandet av direktivet, dvs. senast onsdagen den 24 oktober 2007. Medlemsstatema skall i detta fall emellertid den registrerade rätt att på begä-

ge

särskilt när han eller hon utövar rätten att få tillgång till uppgifterna ran ~ få rättelse, utplåning eller blockering av uppgifter är ofullständiga,

som felaktiga eller lagrade på ett sätt inte är förenligt med de legitima än-

som damål som den registeransvarige vill uppnå.

I punkt 69 i ingressen finns följande, något svårtolkade uttalande: "För att möjliggöra ett kostnadseffektivt genomförande av direktivet skall medlemsstaterna tillåtas att under ... tidsperiod, löper ut tolv år

en som efter dagen för antagandet av detta direktiv, vidta åtgärder för att säkerställa att ... befintliga manuella register bringas i överensstämmelse med vissa av direktivets bestämmelser. Uppgifter ingår i dessa manuella

som register och som behandlas manuellt under denna förlängda övergångsperiod skall dock när de är föremål för ytterligare sådan behandling

en bringas i överensstämmelse med dessa bestämmelser.91

Till mötesprotokollet har vidare fogats en förklaring rådet och

av kommissionen som verkar innebära att manuella register, inte används

som aktivt, inte ens efter tolvårsperiodens utgång behöver till artiklar-

anpassas na 6-8, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor ekonomisk insats. Förklaringen, måste nå-

som anses vara got svårtolkad, lyder: Med avseende på de särskilda omständigheter

som gäller för sådana personuppgifter som finns i register och inte faktiskt

som behandlas efter att de nationella bestämmelser antagits för att

som genomföra detta direktiv trätt i kraft, på ett lagligt sätt förvaras med

men som tanke på en eventuell framtida användning, rådet och kommissionen

anser att artikel 32 i detta direktiv innehåller en skyldighet för den registeransvarige att vid utgången av den tolvårsperiod som där avses vidta alla åtgärder som rimligen kan krävas enligt vad som anges i artikel 7 och 8

91 Jämför punkt 8.6 i det brittiska remissunderlaget. 92 Se punkt 8.8-10 i det brittiska remissunderlaget.

164 EG-direktivet om personuppgifter SOU 1997: 39

om detta inte visar sig vara omöjligt att genomföra eller innebära

en oproportionellt stor ekonomisk insats. Härvid måste hänsyn tas både till nödvändigheten att garantera skyddet av enskilda fri- och rättighe-

personers ter, och till tillsynsmyndighetens befogenheter som anges i artikel 28 i detta direktiv.

Medlemsstaterna får för det andra också föreskriva att uppgifter

- -

bara bevaras för historisk forskning inte behöver överensstämma med som artikel 6-8. Detta förutsätter emellertid att det finns lämpliga skyddsåtgärder. Artikel 32.3.

I punkt 70 i ingressen klargörs att det inte är nödvändigt att den registrerade på nytt lämnar sitt samtycke för att den registeransvarige skall, efter ikraftträdandet av genomförandebestämmelserna, få fortsätta att behandla känsliga uppgifter när behandlingen är nödvändig för att genomföra ett avtal som har slutits på grundval av ett frivilligt och informerat samtycke före ikraftträdandet.

I artikel 33 finns slutligen bestämmelser om att kommissionen regelbundet skall avge en rapport om genomförandet av direktivet, eventuellt med ändringsförslag. Kommissionen skall också särskilt undersöka tilllämpningen av direktivet på behandling av ljud- och bilduppgifter. Kommissionen skall lägga fram alla lämpliga förslag som med beaktande av informationsteknikens och informationssamhällets utveckling visar sig nödvändiga.

3.21 Den fortsatta utvecklingen inom EG

Rådet antog den 12 september 1996 en gemensam ståndpunkt nr 57/96 inför antagandet av ett EG-direktiv om behandling personuppgifter

av och skydd för privatlivet inom telekommunikationsområdet, särskilt när det gäller det digitala flertjänstnätet ISDN och allmänt tillgängliga digitala mobila nät.93 Enligt uppgift är det troligt att ett direktiv i huvudsak i enlighet med den gemensamma ståndpunkten kommer att utfärdas någon gång under våren 1997. Avsikten är att direktivet skall träda i kraft samtidigt som EG-direktivet om behandling av personuppgifter, dvs. senast den 24 oktober 1998.

Ett EG-direktiv i enlighet med den gemensamma ståndpunkten kan sägas precisera och komplettera bestämmelserna i det generella EG-direkti-

93 EGT C 315, 24.10.96, 30.

nr s.

SOU 1997: 39 EG-direktivet om personuppgifter 165

vet om behandling av personuppgifter såvitt avser telekommunikationsområdet. Det finns t.ex. bestämmelser om när och hur personuppgifter som utgör s.k. trañkdata får behandlas for olika ändamål, såsom fakturering, marknadsföring och nummerpresentation.

Enligt uppgift pågår vidare arbete inom kommissionen med att undersöka hur den personliga integriteten skall skyddas i samband med

användningen av Internet.

SOU 1997: 39 167

4 internationella

Övriga regler

4.1 Inledning

Även inom Europarådet och OECD har det förekommit

visst arbete på persondataskyddsområdet.

Datalagsutredningen har i kapitel 4 i sitt slutbetänkande lämnat

en redovisning den internationella utvecklingen på dataskyddsområdet. Den

av redovisningen är frånsett vad som anfördes det då föreliggande för-

- om slaget till EG-direktiv fortfarande aktuell och vi kan därför hänvisa till

— vad Datalagsutredningen anfört. En rekommendation från Europarådet, som bör nämnas i sammanhanget, har dock kommit till efter det betänkandet: Europarådets rekommendation av den 7 februari 1995 persondata-

om skydd vid te1ekommunikation.94

Som bilagor till Datalagsutredningens slutbetänkande finns vidare i engelsk version viktigare internationella grunddokument bifogade; OECD:s riktlinjer och Europarådets konvention95 och rekommendationer i fråga om anställning, forskning och statistik samt direktreklam. Däremot verkar själva rekommendationen från OECD inte ha bifogats bara de bilagda riktlinjerna. OECD:s rekommendation lyder:

94 Recommendation No. R 95 4

on the protection of personal data in the area of

telecommunication services, with particular reference to telephone services. 95

Europarådets konvention finns i engelsk, fransk och svensk version som bilaga 4

till prop. 1981/821189 188 ff.

168 Övriga internationella regler SOU 1997: 39

RECOMMENDATION OF THE COUNCIL CONCERNING GUIDELINES

GOVERNING THE PROTECTION OF PRIVACY AND TRANSBORDER

FLOWS OF PERSONAL DATA

Adopted by the Council 23rd September, 1980

i The Council,

Having regard to articles lc, 3a and 5b of the Convention on the Organisation for Economic Co-operation and Development of 14th December, 1960;

Recognising: that, although national laws and policies may differ, Member countries have a common

interest in protecting privacy and individual liberties, and in reconciling funda-

mental but competing values such asprivacy and the free flow of information; that automatic processing and transborder flows of personal data create new forms of

relationships among countries and require the development of compatible rules

and practices; that transborder flows of personal data contribute to economic and social development; that domestic legislation concerning privacy protection and transborder flows of per-

hinder such transborder flows;

sonal data may

Determined to advance the free flow of information between Member countries and to avoid the creation of unjustified obstacles to the development of economic and social relations among Member countries;

RECOMMENDS

That Member countries take into account in their domestic legislation the principles

concerning the protection of privacy and individual liberties set forth in the Guide-

lines contained in the Annex to this Recommendation which an integral part

thereof;

That Member countries endeavour to remove or avoid creating, in the name of pri-

protection, unjustified obstacles to transborder flows of personal data;

vacy

That Member countries co-operate in the implementation of the Guidelines set forth

in the Annex;

That Member countries agree as soon as possible on specific procedures of consulta-

tion and co-operation for the application of these Guidelines.

SOU 1997: 39 Övriga internationella regler 169

Europarådets rekommendationer särskilda områden redovisar vi i det följande i den mån det behövs i anslutning till att vi behandlar det område som rekommendationen rör. Följande rekommendationer bör nämnas i sammanhanget. 0 Recommendation No. R 81 l on regulations for automated medical data banks medicinska databanker. i 0 Recommendation No. R 83 10 on the protection of personal data used for scientific research and statistics skydd for personuppgifter som används för vetenskaplig forskning eller statistik96. 0 Recommendation No. R 85 20 on the protection of personal data used for the purposes of direct marketing skydd för personuppgifter som an-

vänds för direkt marknadsföring97.

0 Recommendation No. R 86 1 on the protection of personal data used for social security purposes skydd for personuppgifter används som inom socialförsäkringen. 0 Recommendation No. R 87 15 regulating the of personal data in use the police sector användningen personuppgifter inom polisens av om-

råde98.

0 Recommendation No. 89 2 on the protection of personal data used for employment purposes skydd for personuppgifter används for som an-

ställningsändamål99.

0 Recommendation No. R 90 19 on the protection of personal data used for payment and other related operations skydd for personuppgifter som används i samband med betalning eller liknande. 0 Recommendation No. R 91 10 the communication to third parties on of personal data held by public bodies om utlämnande till tredje man personuppgifter finns hos offentliga organ. av som 0 Recommendation No. R 95 4 on the protection of personal data in the area of telecommunication services, with particular reference to telephone services skydd for personuppgifter vid telekommunikation.

För att underlätta för läsarna har vi beträffande de allmänna reglerna i OECD:s riktlinjer och Europarådets konvention valt att i detta avsnitt ta in en samlad redovisning på svenska. Redovisningen har hämtats från Data-

96 Finns bilaga till som 3 sou 1993:10. Se också avsnitt 11.4.1 i förevarande betänkande. 97 Finns bilaga 3 till sou 1993:10. som 98 Finns bilaga till som 3 sou 1996:35. 99 Finns bilaga 3 till SOU 1993:10. Jämför den Code of practice som on the protection of worker’s privacy som antogs av ILO:s styrelse i november 1996.

170 Övriga internationella regler SOU 1997: 39

lagsutredningens slutbetänkandeloo Avslutningsvis i detta avsnitt berör vi

något frågan om utländska rättsordningar.

4.2 OECD:s riktlinjer

Inom Organisationen för ekonomiskt samarbete och utveckling, OECD, har en expert-

utarbetat vissa riktlinjer i fråga om integritetsskyddet och persondataflödet över grupp gränserna, Guidelines Governing the Protection of Privacy and Transborder Flows of Personal Data. Riktlinjerna antogs år 1980 av OECD:s råd tillsammans med en rekommendation till medlemsländernas regeringar om att beakta riktlinjerna i nationell lagstiftning. Samtliga medlemsländer, däribland Sverige, har godtagit rekommendatio-

och därmed åtagit sig att följa denna. Ytterligare åtgärder som t.ex. ratifikation av nen medlemsländerna krävs inte varför riktlinjerna har trätt i kraft. Någon preciserad tidpunkt för när kraven enligt riktlinjerna skall vara genomförda finns inte. . .

.

Enligt rekommendationen skall medlemsländerna i sin nationella lagstiftning beakta de principer personlig integritet och individens grundläggande rättigheter som har

om presenterats i de riktlinjer som fogats till rekommendationen. Medlemsländerna skall vidare försöka undanröja opåkallade hinder för internationell datakommunikation som gäller personuppgifter och undvika att nya sådana skapas under förevändning av behov

skydd för personlig integritet. Samarbete skall bedrivas vid verkställigheten av riktav linjerna och så snart möjligt skall länderna avtala om särskilda procedurer för

som överläggningar och samarbete gäller tillämpningen av riktlinjerna.

som

Syftet med riktlinjerna är att söka undvika de risker för personlig integritet och individens frihet personuppgifter kan utgöra grund av det sätt på vilket de behand-

som las, grund uppgifternas natur eller grund av det sammanhang i vilket de an-

av vänds. Riktlinjerna är tillämpliga personuppgifter både inom den offentliga och den privata sektorn. De är tillämpliga både för uppgifter lagras automatiskt och uppgif-

som

förs manuellt. Det finns inget hinder mot att tillämpar olika skyddsåtgärder ter som man för olika slag persondata, från riktlinjernas tillämpning undantar persondata

av att man

uppenbart inte innebär någon risk för personlig integritet eller att man tillämpar som riktlinjerna endast på automatisk databehandling personuppgifter. Undantagen från

av riktlinjernas grundläggande principer för nationell och internationell tillämpning skall

så möjligt och göras kända för allmänheten. Riktlinjerna skall betraktas som vara som minimiregler, varför ingenting hindrar att integritetsskyddet görs mer omfattande.

Riktlinjerna innehåller särskild avdelning som behandlar åtta grundläggande

en principer rörande skyddet för personlig integritet det nationella planet.

Insamlingen personuppgifter skall vara begränsad och uppgifter skall inhämtas

av

ett lagligt och korrekt sätt samt, när det är skäligt, med den registrerades kännedom

eller samtycke C0llecli0n Limitation Principle.

Personuppgifter skall relevanta för de ändamål för vilka de skall användas och, i

vara

den utsträckning det behövs för dessa ändamål, vara riktiga och fullständiga samt

hållas aktuella Dala Quality Principle".

100 Konventionen och riktlinjerna behandlas i l98l/82zl89 s. 42 ff.

prop.

SOU 1997: 39 Övriga internationella regler l7l

De ändamål för vilka personuppgifterna samlas skall vara preciserade senast vid insamlingen. Den efterföljande användningen skall vara begränsad till att uppfylla dessa ändamål eller sådana ändamål som är förenliga med ursprungsändamålen och preciseras vid varje förändring Purpose Specification Principle. som 4. Personuppgifter får inte röjas, göras tillgängliga eller på annat sätt användas för andra ändamål än de preciserade, om det inte sker med den registrerades medgivande eller med stöd av författning Usc Limitation Principle. Personuppgifter skall rimliga säkerhetsâtgärder skyddas mot risker för förlust genom eller otillåten tillgång, förstörelse, användning, förändring eller otillåtet röjande "’Security Safeguards Principle. En öppenhet skall råda beträffande personuppgifter i fråga om utveckling, tillämpning och policy. Det skall möjligt att få veta existensen och beskaffenheten av vara personuppgifter samt huvudändamålen för vilka de används. Det skall också vara möjligt få uppgift är registeransvarig och om var denne finns att om vem som pennc.sxs Principle. Den enskilde skall ha rätt att den registeransvarige eller av annan få reda på om av denne har personuppgifter honom/henne, att sig tillsänt eventuella personuppom gifter inom rimlig tid, utan alltför stor kostnad. rimligt sätt och i begriplig form. Vidare skall den enskilde ha rätt att vid avslag en begäran om uppgifter få veta skälen härför och ha möjlighet att överklaga. Den enskilde skall även ha rätt att ifrågasätta uppgifter gäller honom eller henne och, om såär nödvändigt, få dessautsom raderade, rättade eller kompletterade "individual Participation Principle. Den registeransvarige skall ha ansvaret för att de lagstiftningsåtgärder eller andra åtgärder vidtas för att genomföra de tidigare angivna principerna följs som ‘Accountability Principle.

En avdelning riktlinjerna innehåller principer för internationell tillämpning. Här föreav skrivs bl.a. att medlemsländerna skall vidta alla rimliga och lämpliga åtgärder för att se till att personuppgifter kan gränserna säkert och utan avbrott. Vidare skall medpassera lemsländcrna avhålla sig från att göra inskränkningar i fråga om flödet av personuppgifter från det landet till andra medlemsländer. Sådana inskränkningar är dock tillåtna egna i förhållande till ett annat land, detta inte iakttar riktlinjerna eller om personuppgifter om bara skall det andra landet till ett tredje land och avsändarlandets integripassera genom tetslagstiftning därigenom kringgås. Ett medlemsland får också göra inskränkningar i personuppgifter för vilka den inhemska integritetslagstiftningen innehåller fråga om särskilda skyddsregler, sådana uppgifter inte har ett likvärdigt skydd i mottagarlanom det. Medlemsländerna skall undvika att under åberopande av skydd för personlig in- — tegritet och individens friheter i lag, tillämpning eller förfarande ställa upp hinder för flödet personuppgifter över gränserna går utöver vad som är nödvändigt för såav som dant skydd. Regler ömsesidigt bistånd mellan medlemsländerna m.m. finns i en särskild avom riktlinjerna. Medlemsländerna skall införa legala, administrativa eller andra delning av förfaranden eller vidta andra åtgärder för att beträffande personuppgifter ge skydd för personlig integritet och individens friheter. Medlemsländerna skall särskilt sträva efter att anta lämplig inhemsk lagstiftning, att främja och understödja självreglering i form av etiska regler eller annat sätt, att införa lämpliga sanktioner och rättsmedel samt att se till att registrerade inte utsätts för orättvis särbehandling. På begäran skall medlemsländerna ett annat medlemsland upplysning om hur de principer iakttas som riktlinjerna ge

172 Övriga internationella regler SOU 1997: 39

innehåller. Medlemsländema skall också setill att de förfaranden som tillämpas för flöden av personuppgifter över gränserna och för skyddet av personlig integritet och individens friheter är enkla och jämförbara med dem som andra medlemsländer tillämpar. Medlemsländema skall vidare genom särskilda förfaranden underlätta utbyte inforav mation rörande riktlinjerna och ömsesidigt bistånd i fråga de förfaranden och utredom ningar som kan bli aktuella. Vidare skall medlemsländerna arbeta för att utveckla inhemska och internationella principer för vilket lands lag som blir tillämplig i fråga om flöden av personuppgifter över gränserna. Internationella associationer och företag, som International Air Transport Association IATA, Center for Financial Industry Information Systems i Japan, Canadian Bankers Association, American Bank och IBM har antagit egna regler om dataskydd som bl.a. bygger på OECD:s riktlinjer.

4.3 konvention

Europarådets

Europarådets ministerkommitté antog år 1980 en konvention till skydd för enskilda vid automatisk databehandling av personuppgifter, Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data, den s.k. dataskyddskonventionen. Till konventionen har fogats en förklarande rapport den expertgrupp inom av Europarådet som utarbetat konventionstexten. Konventionen trädde i kraft den l oktober 1985, då kravet var uppfyllt att fem medlemsländer tillträtt konventionen. 01 Konventionens syfte är att säkerställa respekten för grundläggande fri- och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatisk databehandling av personuppgifter. Enligt expertgruppens förklarande rapport är utgångspunkten att vissa av den enskildes rättigheter kan behöva skyddas i förhållande till den princip om fritt flöde av information, oberoende av gränser, finns inskriven i internasom tionella överenskommelser om mänskliga rättigheter. Konventionens tillämpningsområde är enligt huvudregeln automatiserade personregister och automatisk databehandling av personuppgifter i allmän och enskild verksamhet artikel 3. Varje konventionsstat kan dock göra vissa allmänna inskränkningar eller utvidgningar i tillämpningsområdet för konventionen i dess helhet. Därutöver finns viss möjlighet till undantag från några enskilda bestämmelser artikel 9. Reservationer mot bestämmelserna i övrigt får inte göras artikel 25. Däremot är det ingenting som hindrar att registrerade personer tillerkänns ett omfattande skydd än föreskrivs i konmer som ventionen artikel 1 Konventionen har fem kapitel. Den centrala delen är kapitel artiklarna 4-11 som innehåller de grundläggande principerna för dataskydd. Varje konventionspart skall vidta de åtgärder som behövs för att dess nationella lagstiftning skall innehålla dessa grundläggande principer. Åtgärderna skall vidtagna vara senast vid den tidpunkt då konventionen träder i kraft för parten artikel 4. Dessa grundläggande principer skall garantera registrerade personer i alla länder där konventionen gäller ett visst minimiskydd i samband med automatisk databehandling av personuppgifter. Detta skall göra

101 Numera har bl.a. samtliga EG-stater, utom Italien, ratificerat konventionen.

Övriga internationella regler 173 SOU 1997: 39

det möjligt för konventionspartema att ömsesidigt avstå från att begränsa dataflödet

över gränserna. Kapitel innehåller krav beskaffenheten av de personuppgifter som undergår automatisk databehandling artikel 5. Dessa krav innebär bl.a. att uppgifterna skall inhärnoch behandlas på ett korrekt sätt och relevanta med hänsyn till ändamålet. Vissa tas vara uppgifter får inte undergå automatisk databehandling, om inte den nationella typer av lagen ett ändamålsenligt skydd artikel 6. Det gäller uppgifter om ras, politiska ger åsikter, religiös tro eller övertygelse, hälsa, sexualliv samt brott. Lämpliga säkerannan hetsåtgärder skall vidtas för att skydda personuppgifter gentemot oavsiktlig eller otillåten förstörelse artikel 7. Vissa ytterligare skyddsåtgärder för registrerade persom.m. föreskrivs artikel 8. Vidare föreskrivs bl.a. att alla som är registrerade i ett personner register skall ha möjlighet till insyn i registret och möjlighet att få felaktiga uppgifter

rättade. Vissa undantag får enligt konventionen göras i fråga om kraven på uppgiftemas beskaffenhet och dylikt artikel 9. För sådana avvikelser krävs dock dels att de har stöd i nationell lagstiftning, dels att de är nödvändiga i ett demokratiskt samhälle för att skydda säkerhet eller dylikt eller för att skydda den registrerade eller andra perstatens fri- och rättigheter. Rätten till insyn och rättelse m.m. får också i vissa fall insoners skränkas i fråga personregister för statistikändarnål eller vetenskapliga forskningsom ändamål. Den nationella lagen skall också innehålla lämpliga sanktioner och rättsmedel

artikel 10. Kapitel lll, rör dataflödet över gränserna, syftar till att förena kraven på fritt insom formationsflöde och dataskydd. Det är enligt expertgruppen viktigt att man ser bestämmelserna i kapitel lll i samband med de grundläggande principerna i kapitel II, som att databehandlingen personuppgifter i alla berörda länder är föremål för garanterar av grundläggande reglering. Kapitel III innehåller bestämmelser om behandlingen i samma nationell lag flödet personuppgifter över gränserna artikel 12. Bestämmelserna av av gäller, oavsett vilket medium används, vid överföring över nationsgränser av persom sonuppgifter undergår eller skall undergå automatisk databehandling eller som som samlas in för det ändamålet. Huvudregeln är att överföring mellan konventionsstater skall fri. Det är inte tillåtet att ställa upp vare sig förbud eller krav på särskilt medvara givande uteslutande i syfte att skydda den personliga integriteten. I två fall är det emellertid tillåtet att göra undantag från huvudregeln. Den ena grunden för undantag är att avsändarlandets lagstiftning innehåller särskilda bestämmelser för vissa kategorier personuppgifter mottagarlandets lagstiftning inte ger ett likav men värdigt skydd. Den andra grunden är att det egentliga mottagarlandet står utanför konventionen överföringen dit sker via konventionsstat. I ett sådant fall är det möjmen en ligt för avsändarlandet att, för att undvika att dess lagstiftning kringgås, exempelvis

kräva särskilt tillstånd för överföringen. Kapitel IV och V reglerar formerna för samarbetet mellan konventionsstaterna. Konventionen har konstruerats på ett sätt gjort det möjligt att begränsa innehållet som till de grundläggande principerna och för övrigt lita till samarbete mellan konventionsbl.a. inom för rådgivande kommitté, när det gäller att införa och harstaterna, ramen en monisera dessaprinciper i de olika staternas lagstiftning. I kapitel IV finns bestämmelser att varje konventionsstat skall utse en eller flera om myndigheter för samarbetet mellan parterna och även ange varje myndighets behörighet artikel 13. De myndigheter utses i de olika länderna skall tillhandahålla upplyssom ningar lagstiftning och administrativt förfarande dataskyddsområdet m.m. Vidare om

174 Övriga internationella regler SOU 1997: 39

behandlas frågor om bistånd till registrerade är bosatta utomlands artikel personer som 14. Den myndighet som utses i ett visst land skall hjälpa i utlandet med personer att utöva sina rättigheter till insyn och rättelse m.m. Sådant bistånd skall lämnas oavsett om den som begär hjälp är bosatt i konventionsstat eller i land står utanför en annan ett som konventionen. I kapitel V finns bestämmelser om den rådgivande kommittén, dess sammansättning och uppgifter m.m. artikel 18 och 19.

4.4 Utländsk rätt

I bilaga 4 till Datalagsutredningens slutbetänkande finns det redogörelen för utländsk rätt land för land.1°2 Med hänsyn till de länder se att vars rättstraditioner står närmast medlemsstaterna i EU och EES för oss - — närvarande håller på att se över den befintliga dataskyddslagstiftningen för att anpassa den till EG-direktivet har vi inte funnit det meningsfullt här att lämna en motsvarande redovisning; den är intresserad samlad som av en framställning av den delvis överspelade ordningen i utlandet hänvisas till

Datalagsutredningens redogörelse. Vi har dock, så långt möjligt, försökt att följa det översynsarbete upp som nu pågår i många länder och ta till erfarenheterna från utlandet, vara bl.a. genom Sammanträffande med de övriga nordiska utredningarna och

deltagande i internationella akademiska seminarier och konferenser samt besök vid utländska dataskyddsmyndigheter. Vad kommer att föreslås som i de olika länderna är dock ännu oklart i många delar, och vi har därför inte här kunnat ta in någon samlad redogörelse för förslagen till genomförande

av EG-direktivet i andra länder; sådan redogörelse skall för övrigt en kommissionen lämna några år se artikel 33 1 st. i EG-direktivet. om En slutsats som kan dras våra internationella kontakter det av är att finns ganska betydande skillnader mellan medlemsstaterna i EU och EES i fråga om uppfattningen hur den personliga integriteten lämpligen om bör skyddas vid informationsbehandling, t.ex. när det gäller värdet beav att

handlingar anmäls till en dataskyddsmyndighet. Genomförandet EG-

av direktivet torde komma att innebära viss harmonisering och på en samsyn området, men det förefaller högst sannolikt att det även efter genomförandet kommer att finnas betydande skillnader mellan medlemsstaterna i synsätt och tillvägagångssätt på grund det spelrum EG-direktivet medger av vid genomförandet.

102 Se också t.ex. James Michael, Privacy and Human Rights, 1994.

Övriga internationella regler 175 SOU 1997: 39

Inom kommissionen verkar dock det generella EG-direktivet

man se

bara första steg, vilket infört men flexibel referenssom ett en gemensam

grund for fortsatt arbete på området. Det särskilda EG-direktivet ram som för telekommunikationsområdet, vilket ståndpunkt nyli-

om en gemensam

antagits avsnitt 3.21, visar på särskilda områden är beredd gen se att man

gå vidare med preciseringar gemenskapsnivå inom den referensram att

det generella EG-direktivet skapat. I den mån inom EG fortsätter som man

den inslagna vägen med preciseringar på gemenskapsnivå kommer harmoniseringen att drivas allt längre, samtidigt som det nationella spel-

det generella EG-direktivet medger gradvis krymper. rum som

39 177 SOU 1997:

5 Teknikens möjligheter

Enligt utredningsdirektiven skall vi i vårt arbete beakta utvecklingen på IT-området. Vi skall även beakta den fortsatta utveckling som kan över-

blickas.

Den tekniska utvecklingen på detta område går med en rasande fart. Vi har under utredningsarbetets gång försökt att hålla oss underrättade om vilka tekniska möjligheter finns i dag och vad tekniken kan tänkas

som om erbjuda i framtiden. Vi har också tagit del olika framtidsvisioner eller

av scenarier. Däremot har vi inte funnit det meningsfullt att här lämna en redovisning tekniken står just i dag. En sådan redovisning skulle be-

av var roende på den snabba utvecklingstakten i vissa delar vara inaktuell redan innan remissyttrandena över betänkandet kommit in. Härtill kommer att tekniken i sig i dag eller inom den framtid kan överblickas inte

- som innebär några egentliga begränsningar bör beaktas vid utarbetandet av

som

lagstiftning persondataskyddet. Lagstiftningen blir vidare mera en ny om framåtsyftande vid utarbetandet utgår från att det mesta i fråga om

om man informationsbehandling är eller kommer att bli -tekniskt möjligt.

—

Förutsättningarna för vårt arbete med att reglera behandlingen av personuppgifter bör därför sådan behandling i dag och inom den

vara, att en överblickbara framtiden inte hindras några begränsningar i de tekniska

av möjligheterna att nå och bearbeta datorlagrad information överallt och på alla tänkbara sätt.

Den tekniska utrustningen blir bara kraftfullare, enklare att hantera och billigare. I dag kan i princip alla företag och löntagare i Sverige, som prioriterar detta, skaffa sig utrustning gör det möjligt att bearbeta ett stort

som antal uppgifter tiotusentals och att utbyta information med

om personer

178 Teknikens möjligheter SOU 1997: 39

andra datoranvändare över hela världen.103 Möjligheterna finns för alla och inte bara för myndigheter eller andra stora organisationer.104 Utrustningen och sätten att lagra och representera information kommer förmodligen att bli alltmer standardiserade och kompatibla. Så insnart formation om t.ex. en person har lagrats i datorformat binärt, dvs. såsom ettor och nollor i en dator kommer den informationen tekniskt sett att kunna läsas och användas också alla andra datorer eventuellt efter s.k. av konvertering. Utvecklingen gör att varje användare tekniskt lättare sett kan nå all information. Alltmer information olika typ kan vidare använav das samtidigt, t.ex. text, ljud och bild sammanställda, s.k. multimedia. Alltfler datorer och informationsmängder kopplas Det blir samman. tekniskt allt enklare och billigare att dela datorlagrad information med allt fler i allt mer omfattande s.k. nätverk, t.ex. Internet. Samtidigt blir det allt enklare för den enskilde användaren att ta med sig datorkraften eller möjlighetema att koppla sig mot informationsmängdema. Det blir vidare upp allt enklare att sammanställa information från flera olika källor oberoende av de fysiska avstånden. Varje datoranvändare kan varhelst han eller hon befinner sig nå information överallt. Att datorer blir kraftfullare, enklare att använda och billigare har redan nämnts. Det gör att var och en själv kan bearbeta information på alla tänkbara sätt. Grundinformationen kan hämtas från många olika källor i världen. Den bearbetade manipulerade informationen kan sedan med eller utan källangivelse spridas till datoranvändare över hela världen for vi- dare sammanställning och bearbetning andra. av

103 En undersökning år 1995 visade att ungefär 60 procent av den svenska befolkningen i åldern 16-64 år är eller har varit datoranvändare, se Statistiska centralbyrån, Datorvanor 1995 Undersökning gjord på uppdrag IT-kommissionen, - av 1995. 104 En del brukar måla vision informationsteknikens upp en om A- och B-lag. Diskussionen om hur möjligheterna faktiskt skall kunna göras tillgängliga för alla är givetvis viktig, men hör egentligen inte hemma i detta sammanhang.

SOU 1997: 39 179

6 av bruk eller

Reglering

missbruk

Såväl den nuvarande datalagen EG-direktivet, andra internationella

som överenskommelser och de flesta andra EU-staters dataskyddslagstiftning bygger på att själva hanteringen personuppgifter regleras. Vi föreslår att

av

svensk lagstiftning också skall reglera älva hanteringen av uppgifen ny, terna och inte bara vad kan betecknas som ett missbruk av dem. Det

som förtjänar emellertid övervägas det inte bör ske en övergång till en så-

om dan missbruksmodell. Den struktur EG-direktivet anvisar läggs till

som grund för vårt lagförslag, när det inte finns särskilda skäl för avvikelser.

6.1 Integritet och effektivitet

Utgångspunkten för vårt arbete skall enligt utredningsdirektiven vara

- att tillförsäkra den enskilde ett fullgott integritetsskydd i IT-samhället samtidigt användningen teknik i samhällsutvecklingen inte skall

som av ny hämmas.

När det gäller frågan vilka förhållanden generellt sett anses utgöra

om som intrång i personliga integritet hänvisas ibland till professorn

annans en av

Stig Strömholm upprättad kréinkningskata1og:105

tillträde till och genomsökande av privata lokaler eller annan egendom,

a

b kroppsundersökning,

medicinska undersökningar, psykologiska test,

c

d intrång i privata sfär genom skuggning, spionerande, tele-

en persons fonterror, ofredande företrädare för massmedierna,

e genom f olovlig ljudupptagning, fotografering eller filmupptagning,

105 SvJT 1971 698 i

s.

180 Reglering bruk eller missbruk SOU 1997: 39 av

g brytande av brevhemligheten, h telefonavlyssning, i utnyttjande av elektronisk avlyssningsapparatur, j spridande av förtroliga uppgifter, k avslöjande inför offentligheten privata förhållanden, av annans l olika former av utnyttjande av annans namn, bild eller liknande identifieringsmedel, m missbruk av annans ord eller meddelanden, och n angrepp på annans heder och ära.

Framför allt förfaranden under k och n kan personuppgifter avse som behandlas i IT-miljö. Att den personliga integriteten skyddas innebär i dessa sammanhang att användningen av personuppgifter regleras och begränsas. Det står alltså klart att en integritetsskyddslagstiftning måste hämma användningen av personuppgifter; mera användningen hämmas, desto starkare blir integritetsskyddet. Genom att integritetsskyddslagstiftningen görs teknikoberoende blir såväl manuell som automatisk användning av personuppgifter underkastad i princip samma reglering. Och beslutet att utnyttja eller inte utnyttja ny

teknik blir därmed oberoende den integritetsskyddslagstiftning

av som finns rörande användningen av personuppgifterna. Frågan teknikom en oberoende integritetsskyddslagstiftning berörs närmare i avsnitt Andra utredningar, t.ex. IT-kommissionen, arbetar eller har arbetat för att främja användningen av den nya informationstekniken. Det är givetvis angeläget att så effektiva och billiga verktyg möjligt används för de som arbetsuppgifter som behöver utföras i den offentliga sektorn och inom näringslivet. Vi har gjort en total översyn av den föråldrade datalagen och föreslår att den nya lagstiftningen görs teknikoberoende. I dessa hänseenden kan sägas att vårt arbete främjar användningen teknik. I övrigt av ny får vi nöja oss med att försöka utforma integritetsskyddslagstiftning en som inte mer är nödvändigt hämmar användningen personuppgifter och av därmed utnyttjandet såväl gammal teknik. av ny som Vilken reglering och begränsning av användningen personuppgifter av är då nödvändig för att skydda den personliga integriteten Det är till stora delar fråga är beroende rådande värderingar i samhället. Sådan en som av användning som enligt dessa värderingar framstår som otillbörliga intrång i annans personliga integritet skall så långt möjligt förebyggas.

1997: 39 Reglering bruk eller missbruk 181 SOU av

När personuppgifter är felaktiga eller missvisande används, kan som det få svåra konsekvenser för såväl enskilda som verksamheten i samhället. Då kan det bli fråga direkt mätbara fysiska eller ekonomiska om skador, t.ex. när fel sätts i fängelse eller fel ben amputeras. Att anperson vändningen personuppgifter leder till sådana direkt mätbara skador kan av givetvis aldrig accepteras; det är därför ett oeftergivligt krav att de uppgifanvänds är riktiga och inte missvisande. Men i övrigt dvs. när i ter som och for sig korrekta personuppgifter används utgör regleringen av in- -

tegritetsskyddet värderingsfråga.

en Även med denna utgångspunkt kan på ett mera allmänt och lagman tekniskt plan kring vilken metod bör användas för att reglera resonera som

integritetsskyddet. Det är ett sådant principiellt som förs i

resonemang detta avsnitt. Våra överväganden beträffande den närmare nivån skyddet dvs. i praktiken vilka begränsningar i användningen av person- uppgifter bör gälla kommer att framgå de följande avsnitten. som - av

6.2 Olika modeller för regleringen

6.2.1 Hanteringsmodellen och missbruksmodellen

Man kan på principiellt plan tänka sig åtminstone två olika modeller för ett regleringen skyddet för den personliga integriteten: av Reglering älva hanteringen personuppgifter hanteringsmo- 0 av av dellen. Reglering sådant utnyttjande personuppgifter som kan karakterise- 0 av av ett missbruk missbruksmodellen. ras som

När riktar in sig på att reglera själva hanteringen av personuppgifter, man blir det viktigt med regler som avser t.ex. precisera godtagbara ändamål med hanteringen och hindra använd- 0 att ning inte stämmer överens med sådana ändamål, som att inte fler uppgifter än nödvändigt hanteras, 0 att de hanterade uppgifterna är korrekta och relevanta, 0 de hanterade uppgifterna inte läcker ut från den hanterar dem 0 att som och de registrerade kan få kännedom uppgifterna hanteras och 0 att om av vem vilka uppgifter som hanteras.

182 Reglering bruk eller missbruk av SOU 1997: 39

Den nuvarande datalagen och EG—direktivet kan sägas bygga på sådan en modell för skyddet av den personliga integriteten. Också Europarådets konvention och rekommendationer samt, det globala planet, OECD:s riktlinjer verkar bygga på hanteringsmodellen. Även den svenska grundlagenIOÖ kan sägas kräva att det skall finnas lagstiftning baserad på hanteen ringsmodellen, innefattande skydd mot integritetskränkningar genom att personuppgifter registreras oavsett de i någon mening missbrukas eller om inte. De som förespråkar den modell koncentrerar sig på reglering som av det som kan karakteriseras missbruk personuppgifter, brukar utgå som av från att själva hanteringen personuppgifterna skall i det närmaste av vara fri. Det har t.ex. talats om ett slags allemansrätt till personuppgifter.107 Det viktiga med den modellen blir i stället att identifiera vilken användning av personuppgifter som utgör ett sådant missbruk att det bör förbjudas, dvs. i första hand kriminaliseras eller skadeståndsbeläggas. Båda modellerna har fördelar. Även reglering i enlighet med hanteringsmodellen om en görs i princip teknikoberoende, är det inte praktiskt möjligt att låta den omfatta all hantering av personuppgifter; hanteringen av sådana personuppgifter någon som har memorerat har i huvudet bör t.ex. lämnas utanför regleringen, trots att de memorerade uppgifterna givetvis kan komma att användas till skada för den som uppgifterna Missbruksmodellen däremot är helt teknikavser. oberoende och tar sikte på det skadliga utnyttjandet personuppgifterna av oberoende av vilket hjälpmedel som har använts vid utnyttjandet papper och penna, dator, det mänskliga minnet etc.. Med hanteringsmodellen kan alltså till skillnad från missbruksman modellen inte komma till rätta med allt missbruk personuppgifter eller - av all användning av personuppgifter enskilda kan tycka är obehaglig som eller skadlig. Med hanteringsmodellen främjas kontinuerligt god hantering en av personuppgifter; man begränsar hanteringen till de uppgifter behövs och som hanteringen sker på ett ändamålsenligt sätt den enskilde kan få insyn som Den modellen förutsätter också att det finns någon sorts kontroll eller av tillsyn över hanteringen. Missbruksmodellen är å andra sidan mera repressiv till sin karaktär. Där kommer regleringen och tillsynen först se-

106 2 kap. 3 § 2 st. regeringsformen. 107 Se Jan Freese, Rapport om skyddet för enskilda privatliv ett personers — mer samlat grepp 1995, avsnitt 10.4.

SOU 1997: 39 Reglering av bruk eller missbruk 183

dan skadan har skett, när missbruket är ett faktum. Det torde med den modellen svårt att på ett tillräckligt förutsebart sätt reglera och kontrollevara olika förberedelser till missbruk. ra Den hantering inte innebär ett missbruk lämnas med missbruksmosom dellen i princip utanför regleringen; där gäller allemansrätten till personuppgifter. Med hanteringsmodellen regleras däremot i princip också sådan hantering personuppgifter objektivt sett måste betraktas som av som harmlös. Det kan därför tyckas att hanteringsmodellen spänner över onödigt mycket. Missbruksmodellen lämnar å andra sidan öppet för en hantering också känsliga personuppgifter redan genom sin stora omfattav som många människor. ning kan oroa

6.2.2 Valet på lång sikt modell för regleringen av

Den svenska datalagen och EG-direktivet, som kan betecknas som en modemiserad version datalagen, bygger som framgått av föregående avav snitt på hanteringsmodellen. Denna kännetecknas av långtgående och detaljerade anvisningar för hur persondata får hanteras. Datalagens tillkomst motiverades den och det obehag med vilken många upplevde den av oro begynnande dataåldems möjligheter att behandla personuppgifter. nya Hanteringsmodellen bygger på ett omfattande administrativt systern för kontroll och tillsyn att dessa regler upprätthålls. Att skapa ett sådant av högst naturligt på den tid då persondata fanns registrerade i ett system var antal datorer, då antalet system få och lättöverskådliga och det stora var sålunda realistiskt att tillsynsmyndigheterna skulle kunna pröva och var kontrollera att datahanterarna följ de lagen. I framtiden kommer dataflödet även i fråga persondata att bli - om enormt. Redan kan vi att i stort sett inga spärrar gäller i fråga om vad nu se läggs in i Internet och sprids över alla gränser. Hittillsvarande som som erfarenheter från Sverige säger att för endast ungefär 10 procent av alla oss licenspliktiga personregister har innehavaren sökt licens hos Datainspektionen. Proportionen laglydiga kan inte väntas bli större när antalet PCav innehavare ökar. Man skulle kunna tro att det upplevda obehaget skulle ha minskat i takt kunskapen och användningen datorer ökat och IT-samhället med att om av krupit närmare. Emellertid visar de undersökningar som har gjorts att många människor är negativa eller åtminstone tveksamma till att deras personuppgifter används utan att de får reda på det och utan att de har nåmöjlighet till inflytande. De upplever det obehagligt att deras pergon som

184 Reglering av bruk eller missbruk SOU 1997: 39

sonuppgifter flödar fritt utom deras kontroll, oavsett uppgifterna i nåom gon mening missbrukas eller de själva har råkat ut för något negativt om på grund av att uppgifterna använts. Det förhållandet att den enskilde har eller inte har egen erfarenhet datorer verkar enligt de undersökav senaste ningarna inte ha påverkat inställningen till användningen personuppgifav ter eller det upplevda obehaget. Och åldern alls har någon betydelse, är om det så att yngre hittills varit negativa än äldre till t.ex. överföringar mera av uppgifter mellan myndigheter. En förklaring till dessa iakttagelser kan att det inte är tekniken vara som sådan utan teknikens möjligheter människor är oroliga för. Det som väsentliga är vad som registreras och det kan missbrukas. De om stora systemen kan fortfarande och kanske i växande utsträckning upplevas - som hotande medan de små inte gör det. Oron handlar troligen möjligom heterna till samköming, skepsis mot myndigheter i allmänhet och mängden information. Det finns betydande att icke önskvärd en grupp som anser kontroll skall hindras. Människor kan dock ha överdrivna föreställningar om teknikens möjligheter. Inställningen kan kluven beroende på vilka vara uppgifter det är fråga om. Man är rädd för att andra har uppgifter den om egna personen och saknar den kontroll över uppgifterna möjlig när som var uppgifterna fanns på När själv kan få nytta exempelvis papper. man av att myndigheterna har tillgång till statistiska uppgifter tycker däremot man att teknikens möjligheter bör utnyttjas. Problemet är internationellt. Som framkommit vid konferenser i vilka vårt sekretariat deltagit finns för bl.a. den behandling en oro av personuppgifter som utförs av privata intressenter. Ett exempel är bankerna att samlar på sig mängder uppgifter kundernas betalningsvanor, av om övertrasseringar etc. Integritetsintrånget utgörs dels det obehag människorna av känner av att bankerna vet så mycket, dels för banken kan tänkas av oro att fatta beslut i fråga exempelvis kreditgivning på grundval dess inom av samlade uppgifter. Ett exempel från USA är att efterfrågan på uppgifter från sjukvården är stort. Bland andra försäkringsbolagen mycket inår tresserade av sådana uppgifter för att kunna på grundval dem. agera av Reklamföretagen anser att Internet är mycket värdefullt för deras ändamål. Det finns företag samlar in uppgifter människors beteende som om på nätet, vilka BBS använder, vilka tidningsartiklar har läst man man osv. Reklamerbjudanden kan sedan riktas till människor på grundval dessa av uppgifter. När det gäller Internet görs försök att bringa verksamheten under kontroll, från östliga diktaturers försök att totalförbjuda användandet till strä-

Reglering bruk eller missbruk 185 SOU 1997: 39 av

vanden i USA att bekämpa kriminella handlingar som utförs på eller med hjälp nätet. Det efterlyses regler från alla håll. För att komma till rätta av med problemen har föreslagits såväl lagstiftning som självsanering. I USA rekommendationer de seriösa företagen förväntas har man gett ut som följa. Avsaknaden auktorisation och ansvarsregler för dem som lägger av information på nätet har på sina håll ansetts göra det omöjligt för seriösa ut företag använda det. Det har sagts att användarna måste ställa krav på att dem skapar att göra det möjligt för den enskilde att på ett som programmen enkelt själv avgöra han eller hon vill synas på nätet eller inte. sätt om Om företagen inte tillhandahåller detta bör användaren inte använda pro-

dukten. Den tekniska utvecklingen går så snabbt att det är omöjligt att göra nu några säkra förutsägelser framtiden. Kanske kommer det inom en snar om framtid finnas teknik gör det möjligt att urskilja och blockera att som oönskad information på nätet. För närvarande det dock i stort sett synes omöjligt bringa Internet under kontroll och försöka upprätthålla strikta att krav för hur persondata skall få hanteras på nätet att försöka hävda att allt förbjudet inte är tillåtet. En sträng hanteringsmodell synes för är som närvarande dömd misslyckas såtillvida att den inte kommer att respekatt och därmed dra ett löjets skimmer över lagstiftningen. Det kan t.ex. teras uppkomma svårigheter på ett lagligt sätt behandla frågor hälsa och att om sexualliv i diskussionsgrupp vid BBS i någon medicinsk fakultet, om en en diskussionen knyts till Det finns sålunda de som anser att EG-dipersoner. rektivet redan hunnit bli obsolet i detta hänseende, eftersom det bygger på principer utvecklades innan nätet kom i allmänt bruk. Risken är uppsom företag och till och med myndigheter kommer att bortse från deenbar att lar av regleringen. Som ytterligare exempel kan nämnas myndigheternas e-post. E-meddelanden i form löpande överförs mellan datorer via nät omfattas av text som regleringen i EG-direktivet. Det är knappast genomförbart att hindra att av med personuppgifter, inte borde få behandlas enligt direktivet, e-post som kommer in till myndigheterna. Är de inkomna måste de också bevaras för tillgodose offentlighetsprincipen. Föreskrifterna om underrättelse till de att registrerade vid insamling personuppgifter blir inte enkla att tillämpa i av sådana fall. Detsamma gäller hur information skall kunna lämnas till den vill personuppgifter rör honom eller henne behandlas i esom veta om som posten. Å andra sidan kan det antas att människor även i framtiden kommer att ha kvar sin för stora datasystem. Det torde därför bli nödvändigt att oro

186 Reglering av bruk eller missbruk SOU 1997: 39

behålla hanteringsmodell, ock i förenklad form, för databaser en om stora hos myndigheter och hos företag med enskilda klienter eller kunder, som t.ex. sjukhus, banker och forsäkringsföretag. Detta kan ske på så sätt att en datalag enligt hanteringsmodellen generell giltighet undantag ges men att görs for nätforbindelser, småföretag och andra framstår omöjliga som som att kontrollera. Det blir dock svårt både att lagtekniskt avgränsa de aktörer som skulle undantas och att i den praktiska verksamheten tillämpa såen dan avgränsning. Det torde lättare att reglera persondatahanteringen vara hos de aktörer måste kontrolleras att skapa särskilda registersom genom lagar för olika forvaltningsgrenar inom allmän verksamhet, efter mönster av de registerförfattningar som finns i dag, respektive för olika branscher inom näringslivet. När det gäller de många små datasystemen, hos t.ex. skolor, småföretagare, enskilda, och troligen också Internet, det däremot hopplöst synes att söka kontrollera själva hanteringen persondata. Den beskrivning de av av framtida problemen lämnats i det föregående nästan automatiskt som ger vid handen att det är utsiktslöst att försöka reglera innehållet i otal daett tabaser, annat än för mycket speciella situationer i fråga som t.ex. om barnpornografi. När så småningom alla kommunicerar via data blir det inte konstigare med det än med telefonsamtal, brevskrivning via den allmänna posten eller information via trycksaker. Det kommer mängder att vara av personuppgifter som behandlas i ett sådant system. Vi kan då inte längre hålla med att strängt reglera själva hanteringen personuppgifterna. av Mycket få skulle rätta sig efter sådana bestämmelser och det kommer inte att finnas att kontrollera att de efterlevs. Tillräckliga resurser resurser skulle for övrigt kunna leda till ett kontrollsamhälle inte skulle som accepteras. Lika gärna skulle kunna försöka kontrollera telefontrafiken man annat än i form av telefonavslyssning vid misstanke brottslighet. om grov Vad man i stället kan inrikta sig på utanför de särskilda registerförfattningarnas ram är att förhindra sådan spridning databehandlade av personuppgifter som den uppgifterna med fog kan begära att bli skonad från. avser Lagstiftningen kan i så fall inriktas på att inskärpa moralnormer på området snarare än på administrativ prövning befintliga När en av system. datahantering blir något ingår i vardagslivet, precis alla andra som som tekniker mänskligheten under århundradena lagt sig till med, kommer som det att bli naturligt att motverka dess avarter på sätt samma som motverkar avarter på andra områden mänsklig samlevnad. Som exempel av andra integritetskränkningar kan nämnas misshandel och hotelser. Påföljder för sådana handlingar är straff och skadestånd. Påföljderna syftar sam-

SOU 1997: 39 Reglering av bruk eller missbruk 187

tidigt till att upprätthålla normerna i dessa fall att man inte får misshandla och hota sina medmänniskor. När vi i Sverige i alla år klarat oss med några få centrala bestämmelser om bl.a. förtal och förolämpning beträffande det tryckta ordet bör tekniska skäl framtvingad Övergång till en

en av motsvarande reglering på dataområdet kunna fungera.

Självfallet kan olika typer av brott förekomma i samband med databehandling. IT-utredningen har i sitt betänkande SOU 1996:40 Elektronisk dokumenthantering gått igenom olika straffbestämmelser som därvid kan bli tillämpliga. Det kan sägas att bestämmelser rör traditionell brotts-

som lighet ganska väl låter sig tillämpas också förfaranden som sker med automatisk databehandling, utom såtillvida att det ofta är svårt att finna gärningsmannen.

Vad frågan gäller är emellertid det går att ersätta den nuvarande

nu om datalagstiftningen skydd mot otillbörlig behandling personuppgif-

om av ter. En framtida lagstiftning om behandling av personuppgifter utanför den särskilda registerlagstiftningens ram synes böra bygga på någon form av skydd för privatlivet. Skyddet bör riktas mot användning personuppgif-

av ter på ett sätt skadar enskilda personers privatliv. En sådan reglering

som är visserligen förenad med uppenbara svårigheter, eftersom vanliga människor har fog för sina krav på ett fredat privatliv än personer som

mer lever i offentlighetens ljus. Det blir inte lättare att bestämmelser i ämnet

av också måste tas in i tryckfrihetsförordningen och yttrandefrihetsgrundla-

gen.

Det har framförts förslag till lagreglering av skyddet för privatlivets fred. Integritetsskyddskommittén redovisade tre tänkbara lösningar, hur ett utökat skydd för den enskilde skulle kunna genomföraslog Ett förslag innebar att det i tryckfrihetsförordningen och brottsbalken skulle tas in en straffbestämmelse om skydd mot kränkningar av privatlivets fred. Därmed skulle gärningen bli straffbar även om den begicks av massmedier och det skulle finnas möjlighet att få skadestånd. Ett annat förslag var att det

en skulle införas möjlighet att få skadestånd vid ett intrång i privatlivet

en även intrånget inte straffbart. Det tredje alternativet var att behålla

om var den nuvarande ordningen dvs. att låta regleringen ske genom massmedier-

självsanerande verksamhet. I det lagstiftningsärende som därefter nas följde och ledde fram till yttrandefrihetsgrundlagen ansågs det att man

som

i fortsättningen skulle lita till den självsanerande verksamheten.1°9 även

108 Se SOU 1980:8. 109 1986/872151 44.

Se prop. s.

188 Reglering av bruk eller missbruk SOU 1997: 39

På senare tid har skyddet för den personliga integriteten behandlats i bl.a. studien Skyddet för enskilda personers privatliv Ds 1994:51. I studien framförs att en viktig metod för att stärka integritetsskyddet kan

vara att hindra att känsliga personuppgifter utnyttjas eller sprids på ett inte önskvärt sätt i t.ex. massmedier 173. Vidare diskuteras införandet

av en ny straffbestämmelse i tryckfrihetsförordningen och yttrandefrihetsgrundlagen till skydd för privatlivets fred. Sådana bestämmelser finns i bl.a. Danmark, Finland och Norge samt i Frankrike se redogörelsen i

avsnitt 10.5.3.

Det kan finnas anledning att här nämna den finländska regleringen eftersom denna, till skillnad från den danska och norska, är förhållandevis

ny; den tillkom 1974.110 Då infördes bestämmelse i 27 kap. 3 § straffla-

en a gen med följande lydelse.

Den som utan laga rätt med användande av massmedium eller på annat liknande sätt om annans privatliv offentligen sprider uppgift, antydan eller bild, som är ägnad att orsaka denne skada eller lidande, skall för kränkning av privatliv dömas till fängelse i högst två år eller till böter. Som kränkning av privatliv skall icke anses offentliggörande, som gäller persons förfarande i offentlig tjänst eller offentligt värv, i näringslivet eller i politisk verksamhet eller i annan med dessa jämförbar verksamhet och som är av nöden för behandlingen av någon samhälleligt betydelsefull sak.

Det inses lätt att en generell regel om kränkning av privatlivets helgd kan ge upphov till talrika gränsdragningsproblem och tillämpningssvårigheter. Det kan inte ingå i vårt uppdrag att överväga ens om det önskvärt att

vore införa en sådan allmän regel, långt mindre hur den i så fall skulle kunna utformas. I och för sig finns sådana bestämmelser i olika europeiska länder men det synes tveksamt om EG-kommissionen kan tänkas acceptera att sådana regler sätts i stället för det detaljerade EG-direktivet. Fördelarna och nackdelarna med en sådan regel blir för övrigt desamma sig in-

vare formationen vidarebefordras med data, t.ex. via Internet, eller exempelvis lämnas muntligen i TV. Den fråga vi ställer är, det är möjligt att

oss om skilja ut en sådan behandling av personuppgifter med data framstår

som som otillbörlig mot den det berör och därför skulle kunna förebyggas med användande av straff eller skadestånd.

Frågan är då vilka missbruk närmare bestämt bör motarbetas på

som persondataområdet, dvs. i första hand kriminaliseras eller förknippas med

110 Se Ds 1994:51 101 ff.

s.

SOU 1997: 39 Reglering av bruk eller missbruk 189

skadeståndspåföljd. I den förut återgivna kränkningskatalogen se ovan avsnitt 6.1 är de missbruk är aktuella när fråga är om persondatasom skyddet närmast spridande av förtroliga uppgifter, 0 avslöjande inför offentligheten annans privata förhållanden och 0 av angrepp på annans heder och ära. 0

Av de former för missbruk som sålunda är aktuella när fråga är om persondataskyddet kan först nämnas att spridning av förtroliga uppgifter knappast medför andra problem vid databehandling än vid andra former av kommunikation. Vanligast och kanske också mest skadebringande torde muntlig spridning På detta område finns lagstiftning och etiska regler vara. tystnadsplikt. Några särskilda bestämmelser för databehandling synes om knappast behövliga. I fråga heder och ära finns regler om förtal och om angrepp annans förolämpning. Förtal innebär enligt 5 kap. 1 § första stycket brottsbalken att utpeka någon brottslig eller klandervärd i sitt levnadssätt eller som lämna uppgift är ägnad att utsätta denne för andras missaktannars som ning. Enligt andra stycket i paragraf skall det dock inte dömas för samma förtal, den lämnat uppgifterna skyldig att uttala sig eller det om som var med hänsyn till omständigheterna var försvarligt att lämna denna annars uppgift i saken och han dessutom visar att uppgiften var sann eller han hade skälig grund för den. Vad är försvarligt är det kanske mest besvärliga problemet vid tillsom lämpning bestämmelserna ärekränkning. Den frågan får avgöras i av om varje enskilt fall för sig med beaktande av omständigheterna. Emellertid torde trots detta reglerna om förtal ge ett förhållandevis gott skydd mot missbruk personuppgifter i datamedier, t.ex. via Internet. Ett av problem är visserligen att upptäcka spridningen på nätet och inte minst att konstatera varifrån den kommer. Detta problem är dock inte mindre vid tillämpningen hanteringsmodell såsom i datalagen eller den av oss av en föreslagna persondatalagen. Värre är kanske det förhållandet att till skillnad från den nuvarande datalagstiftningen där myndigheterna övervakar att de persondataansvariga hanterar data i överensstämmelse med lagstiftningen blir det i ett system med straff och skadestånd som sanktioner den enskilde har att med allt vad detta medför besvär och kostsom agera, av nader. Detta kan motivera att polis och åklagare i större utsträckning än för närvarande tillvaratar målsägandens intresse vid förtal. Åklagaren skall väcka åtal för förtal målsäganden brottet och det av särskilda om anger

190 Reglering av bruk eller missbruk SOU 1997: 39

skäl anses påkallat ur allmän synpunkt. Om förtalet skedde missgenom bruk av databehandlade personuppgifter borde åtal kunna i större utsträckning anses vara påkallat allmän synpunkt. Kanske skulle också ur under en övergångstid en dataombudsman kunna biträda den enskilde i sådana frågor. Vad angår avslöjande inför offentligheten privata förhållanav annans den, när förtalsbestämmelsen inte är tillämplig, torde den enskilde finna sig i att enstaka sådana uppgifter sprids. Detta är just baksidan att det av inte är fråga om förtal. Den enskilde skyddas i viss utsträckning tystav nadsplikt gäller enligt sekretessreglerna for allmän verksamhet som men också enligt särskilda regler for många i privat verksamhet läkare som t.ex. och annan vårdpersonal, advokater och banktj änstemän. Vad man emellertid inte kommer med förtalsbestämmelserna eller regler om tystnadsplikt är sammanställningar uppgifter av om en person, som inte är ägnade att utsätta denne för andras missaktning och inte som heller var för sig är hemliga så fullständig bild den bemen som ger en av rörda att han eller hon rimligen inte skall behöva finna sig i att få sin personlighet utställd på det viset. Vad det framför allt kan bli fråga är om användning av datorer för sammanställning uppgifter någon av om utan dennes samtycke, när uppgifterna rör personliga förhållanden inte är som av allmänt intresse. Mot sådana sammanställningar skyddas den enskilde datalagen nu av och de stränga förutsättningar enligt Datainspektionens föreskrifter som och villkor gäller för samkörning dataregister. Som förut framhållits av torde dock i framtiden en sådan kontroll bli omöjlig utanför de särskilda registerförfattningarnas område. Ett generellt förbud mot samkörningar kommer inte heller bli möjligt att tillämpa. Det följer redan att enda av en PC kan rymma ett praktiskt sett oändligt antal uppgifter och att någon uppdelning av sådana uppgifter olika register knappast kan föreanses ligga.

Vad som skulle kunna övervägas är ett skydd mot spridning av sammanställningar av uppgifter som inför offentligheten avslöjar enskildas personliga förhållanden. En bestämmelse skulle i så fall kunna införas i 4 kap. brottsbalken Om brott mot frihet och frid. Diskussionsvis skulle följande regel kunna skisseras.

Den som med automatisk databehandling sammanställer uppgifter om annans privata förhållanden och sprider dem dömes, om det innebär olägenhet för den andre att uppgifterna blir kända, för olovlig dataspridning till bö-

SOU 1997: 39 Reglering av bruk eller missbruk 191

ter eller fängelse högst sex månader. Det sagda skall dock inte gälla om den

sprider uppgifterna är skyldig att uttala sig eller det annars med hänsyn som till ett allmänt intresse är försvarligt att uppgifterna sprids.

Olägenhet skulle då också innefatta det obehag som någon med fog kan känna alltför mycket hans eller hennes privatliv prisges till allmän-

om av heten. Försvarligt att lämna uppgifterna skulle det i betydligt vidare

vara omfattning än vid förtalsbrottet. Försvarlighetsrekvisitet skulle innefatta en avvägning mellan den enskildes anspråk på ett skyddat privatliv och exempelvis behovet att kunna belysa offentliga personers privatliv som

av bakgrund till exempelvis deras förmåga att sköta sina uppgifter.

Olovlig dataspridning skulle i så fall också utgöra tryckfrihetsbrott och yttrandefrihetsbrott.

En modell sådan den skisserade skulle fungera i stort sett som

som nu det nuvarande systemet för sanktioner mot tryckfrihetsbrott. Endast sporadiskt och i särskilt tlagranta fall skulle det bli fråga om åtal och rättegång. Det måste antas att regleringen skulle utgöra en bas för pressens och etermediernas självsanerande verksamhet och därför i allmänhet bli respekterad i massmedier. Detsamma gäller självfallet offentlig verksamhet. I näringslivet och bland enskilda skulle troligen informationen flöda fritt. Systemet skulle genom sin frihet medföra långt mindre kostnader än nuvarande reglering. Samtidigt skulle det inte på något sätt motsvara det behov

skydd mot ansamling personuppgifter många människor känner. av av som

6.2.3 Valet nu av modell för regleringen

Enligt vår mening bör vid valet regleringsmodell ta stor hänsyn till

man av allmänhetens inställning. Det förhållandet att många människor känner obehag inför viss hantering är i en politisk demokrati ett starkt argu-

en ment i sig för att reglera den hanteringen. Samma bedömning verkar för övrigt ha gjorts i de flesta EU-stater, vilka har lagstiftning efter hanteringsmodellen, och EU i och med att EG-direktivet antogs. Härtill

av kommer att Sverige sitt medlemskap i EU är skyldig att genomföra

genom EG-direktivet, vilket bygger på hanteringsmodellen.

De förhållandena att flera internationella överenskommelser bygger på hanteringsmodellen och att flera länder, särskilt i vår närhet, har lagstiftning bygger på den modellen har betydelse också på ett annat sätt. In-

som temationaliseringen ökar samtidigt den tekniken gör det möjligt

som nya att blixtsnabbt hämta eller flytta uppgifter över hela jordklotet. I en sådan

192 Reglering av bruk eller missbruk SOU 1997: 39

miljö ligger det ett betydande värde i sig i att lagstiftningen i olika länder är likartad. Kan Sverige inte erbjuda samma skydd vid hanteringen av personuppgifter som andra länder, kan dessa försöka hindra att sådana uppgifter förs över till Sverige. På detta sätt kan användningen teknik i av ny Sverige hämmas. Även det för interna svenska förhållanden skulle om finnas skäl att övergå till missbruksmodell kan det således oavsett en - Sveriges internationella åtaganden ändå vara mest ändamålsenligt att göra som de flesta andra länder för att trygga det fria flödet information av över gränserna. 1U En naturlig grund för människors för behandlingen oro av personuppgifter är risken för att de uppgifter finns skall felaktiga, eller som vara vaga subjektiva. Ett grundläggande krav på datahantering är därför kravet på datas kvalitet. Det är den som behandlar personuppgifter har bevissom bördan för att uppgifterna är korrekta och han eller hon måste alltså kunna hänvisa till källor för uppgifterna som är godtagbara. EG-direktivet ställer stränga krav på uppgiftemas kvalitet. Sådana krav är ett naturligt led i en hanteringsmodell. Även de självfallet bör tillämpas i missom även en bruksmodell är det lagtekniskt svårare att reglera dem där. Som framgår av föregående avsnitt finns det enligt vår mening ändå många skäl framför allt att det inte är ändamålsenligt att reglera han- - en tering som snart sagt varje medborgare kan hålla med t.ex. i vardagsrummet för att hanteringsmodellen i en framtid måste överges åtminsto- ne såvitt angår små datasystem och verksamheten på Internet och liknande. Som också framgått tror vi dock att det kommer att dröja innan tiden är mogen för en övergång till missbruksmodellen. Den människor alltoro jämt känner för teknikens möjligheter måste respekteras. Övriga EU-stater måste också vinnas för tanken på sådan övergång. en Övervägande skäl talar därför för att en ny, teknikoberoende lagstiftning om skydd för den personliga integriteten vid behandling av personuppgifter i dagens situation bör bygga på hanteringsmodellen och reglera när och under vilka förutsättningar det är tillåtet att behandla personuppgifter. Vi önskar emellertid samtidigt att diskussionen övergång till om en missbruksmodellen skall fortsätta. Inte minst när det gäller att inom EU:s institutioner vinna gehör för sådan tankegång gäller det att tidigt en vara ute. Vi förordar att arbetet drivs vidare i lämpliga former. Vid lämplig tidpunkt bör Sverige ta initiativ till en persondatalagstiftning modernt av mer

111 Jämför Peter Blume, Personregistrering, rev. udgave, 1996, s. 283.

SOU 1997: 39 Reglering av bruk eller missbruk 193

snitt. Eftersom enhetligheten inom EU bör bevaras, bör detta initiativ i första hand tillskapandet ett nytt EG-direktiv. avse av

6.3 Den EG-

lagstiftningsstruktur som

direktivet anvisar

EG-direktivet, Sverige har att genomföra och vilket bygger på hantesom ringsmodellen, kan sägas anvisa struktur för lagstiftningenl 13 Direktien vet bygger ett antal huvudprinciper från vilka medlemsstaterna har möjlighet och i vissa fall skyldighet att inom givna ramar föreskriva - undantag; vad medlemsstaterna har att göra är, det står i direktivet som artikel 5, att inom den direktivet drar närmare precisera ram som upp vilka villkor behandling personuppgifter är tillåten. Bland huvudprinciav perna kan nämnas: Behandling personuppgifter är bara tillåten i sex uppräknade fall. 0 av Behandling känsliga uppgifter är förbjuden. I av Den enskilde skall alltid få information om den behandling som sker och 0 på begäran kunna få tillgång till sina uppgifter och rättelse, om uppgifterna är felaktiga eller missvisande. All automatisk behandling personuppgifter skall anmälas i förväg till 0 av

en tillsynsmyndighet.

Sverige har varit ett föregångsland i fråga lagstiftning på den personom liga integritetens och databehandlingens område. EG-direktivet får ses som resultat den utveckling bl.a. Sverige inspirerat. Den nivå på ett av som skyddet för den personliga integriteten direktivet syftar till får anses som väl så hög den svenska lagstiftningens. Härtill bidrar naturligtvis vara som utgångspunkten för kontinental och anglosachsisk rätt när det gäller att myndigheternas handlingar är sekretess medan den nordiska utgångspunk-

ten är öppenhet. Direktivet har visserligen kommit till stånd efter en lagstiftningsprocedur till stora delar ägt innan Internet och e-post kommit i allmänt som rum bruk. Den tekniska utvecklingen har sålunda under tiden sprungit ifrån lagstiftama. Som direktivet är föranleder det kritik från olika håll och nu har till och med kallats obsolet.

112 I de flesta artiklar i direktivet talas det att medlemsstaterna skall eller får om föreskriva, f6rbjuda, bestämma eller precisera i det ena eller andra hänseendet.

194 Reglering bruk eller missbruk av SOU 1997: 39

Goda skäl talar därför för att direktivet bör över och kanske till och ses med arbetas om i väsentliga hänseenden, efter de riktlinjer vi tidigare förespråkat. Det kan emellertid förutses att översyn och än en mer en omarbetning kommer att ta avsevärd tid i anspråk och säkerligen långt än mer de tre år under vilka EU-medlemmar är skyldiga genomföra disom att rektivet. Härtill kommer att den svenska datalagen är än föråldrad mer än EG-direktivet och snarast bör ersättas. Reglerna i direktivet är säkerligen lika goda som varje annan just tänkbar utformning hanteringsmonu av dellen. Som anfört förut bör vi i dagens läge välja sådan modell. en Detta innebär visserligen att persondatalag kommer till stånd en som nu kanske måste omarbetas inom tidsram fem till tio år. Att lagar på en av områden med så hisnande snabb utveckling IT-området i viss mening som är en förbrukningsvara är dock något vi måste lära att leva med. oss Sverige driver med skärpa kravet på öppenhet även inom EU:s ramar. Offentlighetsprincipen är djupt rotad i svensk rätt och är grundlagsfäst sedan mer än tvåhundra år. Ett övergivande den kommer inte i fråga. Att av med hänsyn till EG-direktivet personuppgifter införa begränsningar i om grundlagarna kan vi inte tänka oss. I enlighet med vad anförs i avsnitt som 9 kan emellertid EG-direktivet förenas med offentlighetsprincipen. EG-direktivet kan också i enlighet med vad anförs i avsnitt 10 förenas - som med grundlagsreglema om tryckfrihet och yttrandefrihet. EG-direktivet, således inte är oförenligt med några väsentliga som grundlagsfästa svenska intressen, bör därför i enlighet med Sveriges förpliktelser EU-medlem införlivas i svensk rätt. På någon punkt, där det som är uppenbart att verkligheten i form snabb teknisk utveckling av en sprungit ifrån de förutsättningar under vilka direktivet tillkom, det synes möjligt att genom en rimlig tolkning direktivet undvika av en rättstillämpning som skulle kunna te sig absurd. När det sedan annars gäller själva tekniken för genomförandet kan följande sägas. Det är visserligen i formell mening sant att ett EG-direktiv vissa anger mål eller resultat som skall uppnås eller förverkligas i samtliga EU-länder och att varje stat själv får välja hur detta skall genomföras. I praktiken är dock detta sanning med modifikation. EG-domstolen kräver nämligen en att den form medlemsstat väljer för genomförande effektivt säkersom en ställer fullständig tillämpning direktivet på ett tillräckligt klart och en av precist sätt, i syfte att i de fall då direktivet syftar till att skapa rättigheter för enskilda så skall de berättigade kunna få full kännedom sina rättigom heter och kunna vid behov utnyttja dem inför de nationella myndigheterna. Mot bakgrund härav har domstolen underkänt försök åberopa att exem-

SOU 1997: 39 Reglering av bruk eller missbruk 195

pelvis administrativa åtgärder som tillräcklig form för genomförande av

direktiv lagstiftningskaraktänl 13

av

Otvivelaktigt innehåller EG-direktivet om personuppgifter bestämmelser som ger medborgarna rättigheter i fråga om integritetsskyddet. Direktivet måste därför genomföras i form av lagstiftning. Vi ser oss inte någon möjlighet att i lagtext återge direktivets innehåll i annan form än en nära efterbildning direktivets text och struktur, med de förbehåll föran-

av som leds av ett fasthållande vid grundläggande svenska intressen. Det finns vidare fördelar i sig med att EU-länderna med sina många inbördes kontakter har en såvitt möjligt likartad lagstiftning.

Sammanfattningsvis anser vi således att den svenska lagstiftningen

nya i stort bör följa den struktur som EG-direktivet anvisar och att avvikelser bör göras bara när det finns särskilda skäl till det. I avsnitt 12.1 berörs lagstiftningstekniken i övrigt.

113 Se särskilt dom den 30 maj 1991 i mål mellan kommissionen och Tyskland,

C-361/88, ECR 2567, punkt 15.

SOU 1997: 39 197

7 En teknikoberoende och

generell

persondatalag

Den nya lagen bör vara teknikoberoende och såvitt avser olika typer be-

av handlingar ha samma tillämpningsområde som EG-direktivet. Detta innebär att lagen bör tillämpas på all automatisk behandling av personuppgifter och dessutom på manuell behandling av personregister. Behandling

av uppgifter om juridiska personer omfattas inte den föreslagna lagen. La-

av gen bör till skillnad från EG-direktivet vara generell och i princip omfatta även sådant som faller utanför gemenskapsrätten. Rent privat användning av personuppgifter bör dock undantas från lagens tillämpningsområde.

7. 1 Förutsättningar

De flesta bestämmelserna i datalagen gäller bara for personregister

som förs med hjälp av automatisk databehandling. Det måste alltså vara fråga om ett dataregister med personuppgifter.114

Datalagen gäller i princip för alla sådana personregister inom såväl den privata som offentliga sektorn; de särskilda registerförfattningama som gäller vid sidan av datalagen berörs i avsnitt Det krävs dock inte licens eller tillstånd för personregister som en enskild person inrättar eller för uteslutande for personligt bruk.115

Enligt utredningsdirektiven skall vi utgå från att en kommande lag skall vara teknikoberoende. Det framgår av utredningsdirektiven inte annat än att lagen skall omfatta bara personuppgifter och således inte uppgifter

om företag, dvs. juridiska personer.

114 Se avsnitt 6 SOU 1993:10.i

närmare 115 Se SOU 1996:40 s. 169 beträffande underrättspraxis rörande begreppet personligt

bruk.

198 En teknikoberoende och generell persondatalag SOU 1997: 39

EG-direktivet gäller for sådan behandling av personuppgifter är

som helt eller delvis automatisk. Direktivet gäller dock även for annan behandling manuell behandling av sådana uppgifter, om de ingår i eller är avsedda att ingå i ett register, dvs. en strukturerad samling uppgifter som är tillgänglig enligt särskilda kriterier. Direktivet gäller inte för andra uppgifter än personuppgifter.

EG-direktivet omfattar behandling av personuppgifter inom såväl den privata som offentliga sektorn. Direktivet gäller dock inte för sådan uppgiftsbehandling som utgör ett led i en verksamhet som inte omfattas

av gemenskapsrätten, t.ex. statens verksamhet på straffrättens område. Direktivet gäller inte heller för uppgiftsbehandling som en enskild person bedriver som ett led i en verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll.

7.2 överväganden

7.2.1 Olika typer av behandlingar

Datalagens tillämpningsområde är, såvitt avser de olika typer av behandlingar som omfattas, väsentligt snävare än EG-direktivets. Datalagen gäller bara för automatisk behandling av dataregister, medan EG-direktivet gäller all automatisk behandling av personuppgifter oavsett om uppgifterna in-

går i ett register och dessutom manuell behandling av personregister.

-

Bland annat det förhållandet att datalagen bara gäller för dataregister gör att lagen framstår som föråldrad med hänsyn till teknikutvecklingen. Så snart en personuppgift har förts över till datorformat ettor och nollor finns i princip tekniska möjligheter att på ett otal sätt och på mycket kort tid behandla den uppgiften tillsammans med andra uppgifter någon-

som stans i världen har forts över till datorformat. Ett exempel på detta är de s.k. sökmaskiner som finns på Internet och som på några sekunder kan producera en sammanställning av en mängd omedelbart tillgängliga datorlagrade dokument s.k. webbsidor världen över som innehåller uppgifter om t.ex. en viss person.

Härtill kommer att kränkningen av en individs personliga integritet som regel inte blir vare sig grövre eller lindrigare bara för att hans eller hennes uppgifter finns registrerade i ett dataregister tillsammans med en massa andra kränkta individers; det kan dock givetvis finnas andra skäl

SOU 1997: 39 En teknikoberoende och generell persondatalag 199

för att iaktta särskild försiktighet med uppgiftssamlingar omfattar som väldigt många människor. En ny lagstiftning till skydd för den personliga integriteten bör således vara teknikoberoende i den meningen att den i fråga om automatisk behandling inte begränsas till dataregister, dvs. ett visst sätt att lagra eller presentera personuppgifterna. All automatisk behandling personuppgifav ter bör, i enlighet med EG-direktivets tillämpningsområde, omfattas av en ny, modernare lag. Liksom EG-direktivet bör den nya lagen omfatta inte bara automatisk behandling av personuppgifter i text utan även automatisk behandling av personuppgifter som framgår bilder eller ljud. Också i av denna mening bör den lagen teknikoberoende och således omfatta nya vara t.ex. inlästa bilder på personer och inlästa bilder på pappersdokument som innehåller textuppgifter personer.1 16 om Att personuppgifter förs över till datorformat innebär framgått som av vad som tidigare anförts särskilda möjligheter till avancerad behandling med åtföljande risk for oacceptabla integritetsintrång. Men det går givetvis att ett otillbörligt sätt kränka den personliga integriteten även med mer gammalmodiga, manuella metoder. Den vill göra något otillständigt som med personuppgifter skulle, om en ny lag bara omfattade automatisk behandling, kunna göra det för hand för att kringgå skyddsreglerna. Detta jämte vad som anförs i utredningsdirektiven och vad gäller enligt EGsom direktivet talar för att den nya lagen bör vara teknikoberoende även i den meningen att också behandling som inte är automatisk omfattas. Härtill kommer att användningen teknik i samhällsutvecklingen inte av ny hämmas genom att i stort sett samma regler gäller för såväl automatisk som manuell behandling av personuppgifter. All manuell behandling av personuppgifter kan dock inte rimligen omfattas av en ny lag. De osorterade telefonlapparna skrivbordet bör exempelvis kunna få ligga kvar oberörda lagen, liksom de uppgifter av som finns i det mänskliga minnet. I likhet med vad gäller enligt EG-direksom tivet bör därför manuell behandling omfattas den lagen bara av nya om uppgifterna ingår i eller är avsedda att ingå i ett register, dvs. har - strukturerats efter bestämda kriterier enskilda 117 som avser personer. Vi har således kommit fram till att den lagen i enlighet med vad nya som anges i utredningsdirektiven bör teknikoberoende och att detta - vara

116 I avsnitt 12.2.12 berörs närmare begreppen automatisk och icke automatisk behandling av personuppgifter. 117 Begreppet register berörs närmare i avsnitt 12.2.8.

200 En teknikoberoende och generell persondatalag SOU 1997: 39

innebär att lagen bör ha samma vida tillämpningsområde som EG-direktivet.

Det sagda innebär att den nya lag som vi föreslår får ett vidare tillämpningsområde än vad krävs enligt grundlagsbestämmelsen i 2 kap. 3 §

som andra stycket regeringsformen; den bestämmelsen innebär att det skall finnas lag behandlar registrering av personuppgifter med hjälp av

en som automatisk databehandling. Man skulle därför kunna överväga att justera grundlagsbestämmelsen i enlighet med det skydd som skall ges enligt den föreslagna lagen och EG-direktivet. Trots att det i utredningsdirektiven talas att vi skall lämna förslag till teknikoberoende skyddslag nämns

om en där inget att förslag rörande gmndlagsbestämmelsen skulle ingå i vårt

om uppdrag. Vi har mot den bakgrunden stannat för att inte lämna något utarbetat förslag till ändring grundlagsbestämmelsen; en ändring av den

av befintliga bestämmelsen torde för övrigt vara lagtekniskt sett enkel att göra, och Datalagsutredningen har dessutom redan lämnat förslag till hur

sådan ändring skulle kunna göras. en

7.2.2 Uppgifter om juridiska personer

Vårt uppdrag kan inte omfatta frågan juridiska personer bör ha

anses om ett särskilt skydd mot automatisk eller annan behandling av uppgifter om den juridiska personen.118 Behandling uppgifter om juridiska personer

av faller också utanför regleringen i EG-direktivet. Vi föreslår därför att den

lagen bara skall omfatta behandling av personuppgifter.119 nya

7.2.3 Den nya lagen bör liksom hittills vara generell

EG-direktivet gäller inte för sådan behandling personuppgifter som ut-

av gör ett led i verksamhet som inte omfattas av gemenskapsrätten. Be-

en träffande datalagen finns inte någon motsvarande begränsning. Datalagen omfattar i princip också personregister som förs av t.ex. polisen och kriminalvården; datalagen är generellt tillämplig.

Eftersom EG-direktivet i detta hänseende har ett snävare tillämpningsområde än den nuvarande generella datalagen, är det möjligt att göra undantag från den lagen för sådant inte omfattas direktivet. För

nya som av

118 Inte heller Datalagsutredningen ansåg att frågan omfattades den utredningens

av

direktiv, se SOU 1993:10 s. 372. 119 Begreppet personuppgift berörs närmare i avsnitt l2.2.7.

SOU 1997: 39 En teknikoberoende och generell persondatalag 201

sådana verksamheter som inte omfattas av direktivet, t.ex. inom försvaret och polisen, torde det i och för sig behövas särregler i ganska stor utsträckning. Sådana nödvändiga särregler har med dagens system meddelats genom särskilda registerförfattningar som helt eller delvis tar över den generella datalagen se avsnitt 8. Vi anser att det nuvarande systemet med

en generell lag som innehåller grundläggande regler har sådana fördelar att det bör behållas.

Den nya lagen bör således liksom datalagen i dag gälla generellt

- — och i princip tillämpas på all behandling av personuppgifter i samhället.

7.2.4 Privat användning av personuppgifter

EG-direktivet omfattar inte rent privat användning personuppgifter.

av Också den nuvarande datalagen undantar privata personregister från krav på licens och tillstånd.

Datortekniken får i dag anses tillgänglig för var och en i Sverige;

en elektronisk telefon- och adressbok kostar bara några hundra kronor. Det är enligt vår mening mot bl.a. den bakgrunden inte rimligt att låta lagstift-

en ning av aktuell karaktär omfatta även rent privat användning

av personuppgifter. Det skulle t.ex. kunna ses som en otillbörlig kränkning av den personliga integriteten att låta Datainspektionen få full insyn i våra rent privata släktforskningsregister och adressböcker.

Den möjlighet som EG-direktivet ger att undanta rent privat användning av personuppgifter bör utnyttjas fullt ut. Det finns som vi det inte

ser anledning att låta någon av bestämmelserna i den lagen gälla för sådan

nya användning. Undantaget från lagen bör ha samma innebörd som enligt EGdirektivet. I avsnitt 3.2.4 berörs närmare innebörden av direktivet på denna punkt

I avsnitt 6.2.2 har vi berört de svårigheter e-post i form löpande

som av text för med sig vid tillämpningen av EG-direktivet. E-post är ett kommunikationsmedel och den omständigheten att personuppgifter vidarebefordras med ett sådant medel utgör i sig inget skäl att inte tillämpa den föreslagna lagen på behandling av personuppgifter som sker genom och i anslutning till sådan kommunikation. Om myndigheter, företag eller organisationer vidarebefordrar personuppgifter med e-post saknas anledning att inte låta lagens bestämmelser behandling personuppgifter bli till-

om av lämpliga. Detsamma gäller om enskilda med användande av e-post lämnar personuppgifter som myndigheterna samlar in exempelvis för statistik.

202 En teknikoberoende och generell persondatalag SOU 1997: 39

IT-utredningen har lagt fram förslag om undantagande i vissa sammanhang löpande text från datalagen.120 Den frågan bereds i särskild ord-

av ning och vi går inte in på den här; till en del sammanfaller förslaget med vårt förslag undantag för grundlagsskyddade yttranden. För egen del

om föreslår vi under avsnitt l2.l2.2.3 att framställning av korrespondens och framställning promemorior och löpande text skall kunna genom

av annan särskilda föreskrifter undantas från anmälningsskyldighet. Vi förutsätter att så kommer att ske. Detta innebär i praktiken att all intern hantering av sådana texter kommer att undandragen insyn än den som Datain-

vara annan spektionen kan utöva vid systemtillsyn hos myndigheter och större företag.

Saken kompliceras emellertid att även enskilda människor numera i

av snabbt ökande omfattning använder e-post for kommunikationer med andra enskilda. Detta sker i flertalet fall utan någon helst aning om att

som den föreslagna lagens bestämmelser om behandling av personuppgifter skulle kunna tänkas bli tillämpliga på det avsända meddelandet. Det finns ingen principiell skillnad mellan en sådan korrespondens och vanlig brevväxling. En tillämpning EG-direktivet privat korrespondens kan inte

av rimligen ha varit avsedd vid direktivets tillkomst och bör inte heller komma i fråga. Den bör därför hänföras till vad som är ett led i en verksamhet av rent privat natur.

En sak är enskildas korrespondens med myndigheter, företag

annan eller organisationer. Den kan i vart fall inte den senare sidan hänföras till vad är privat natur. Viss tillämpning skulle dock vara så absurd

som av att den får avböjas av rena förnuftsskäl. Det kan exempelvis tänkas att det till regeringskansliet inkommer brev från enskilda med allvarliga beskyllningar mot anhöriga eller grannar. Sådana brev skall naturligtvis vara tillgängliga enligt offentlighetsprincipen. Men att regeringskansliet eller nå-

annan mottagare skulle särskilt informera grannarna eller de anhöriga gon

den behandling mottagandet och i fråga myndigheter bevaom som - om randet enligt offentlighetsprincipen utgör kan naturligtvis inte komma i

fråga. Det rör sig emellertid här om så exceptionella fall att någon särreglering inte kan erforderlig. Det kan tilläggas att när anmälningar om

anses brott görs till polismyndighet så faller de enligt artikel 3.2 utanför EG-direktivets tillämpningsområde och kan nationellt regleras genom särskilda registerförfattningar. Registerutredningen Ju 1995:01 ser for närvarande över registrerandet av uppgifter inom polisens område.

120 Se SOU 1996:40 164 ff.

s.

SOU 1997: 39 En teknikoberoende och generell persondatalag 203

I direktivet talas det behandling av personuppgifter av en fysisk

om

ett led i verksamhet rent privat natur eller som har samband person som av med hans eller hennes hushåll. Vi har emellertid för att förenkla valt att i den föreslagna persondatalagen bara tala om sådan behandling som är ett led i verksamhet rent privat natur. Någon saklig skillnad är inte av-

en av sedd. har samband med någons hushåll får i detta sammanhang

Det som

rent privat natur, t.ex. den registrering som en arbetsgivare anses vara av gör de arbetstagare arbetar i hans eller hennes hushåll, inklusive

av som handikappades registrering personliga assistenter.121

av

7.2.5 Lagens namn

Den lagen skall således principiellt sett vara generellt tillämplig och

nya innehålla reglering av i princip all behandling av personuppgifter utom

en manuell behandling uppgifter inte ingår i eller är avsedda att ingå i

av som ett register. En sådan generell lag bör praktiska skäl ha ett kort namn,

av

orientering om vad lagen omfattar. som ger en

Vi har kommit fram till att persondatalagen är ett lämpligt namn. Det är kort och leder tanken i rätt riktning, nämligen att det gäller en lag om hur uppgifter data skall hanteras, särskilt i fråga om så-

om personer dana uppgifter finns "på data. Att uttrycket persondata sedan inte an-

som vänds i själva lagtexten bör inte ha någon avgörande betydelse, när namnet personuppgiftslagen låter så pass mycket sämre.

Vi föreslår således att den lagen skall heta persondatalagen. När vi

nya i det följande talar persondatalagen avses således den nya lag som vi

om föreslår.

121 Se, rörande sådant arbete arbetstagare utför i arbetsgivarens hushåll, lagen

som en

1970:943 om arbetstid m.m. i husligt arbete.

SOU 1997: 39 205

8 Förhållandet till särskilda

registerförfattningar

Vårt uppdrag omfattar inte de särskilda registerförfattningama. Vi föreslår därför att särregler i registerförfattningar skall gälla framför den nya persondatalagen.

8.1 Bakgrund

Enligt den nuvarande datalagen behövs inte tillstånd av Datainspektionen för personregister har inrättats genom beslut av riksdagen eller rege-

som ringen §. Sådana register brukar kallas statsmaktsregister. Datain-

2 a spektionen kan dock meddela föreskrifter för registret i den mån riksdagen eller regeringen inte har gjort det 6 och 18 §§. När ett personregister är

a reglerat i lag eller förordning, är det således undandraget Datainspektio-

tillståndsprövning och mer eller mindre inspektionens föreskriftsnens - rätt. Datainspektionen får t.ex. inte själv fritt bestämma sitt eget licens-

om register 3-6 dataförordningen.

Det finns i dag bestämmelser personregister i en mängd olika lagar

om och förordninganlzz Avsikten är att Datainspektionen skall höras innan sådana författningar beslutas.123 Det är inte nödvändigt att beslutet att inrätta ett register får formen lag eller förordning, och detta kan ibland

av en leda till osäkerhet visst register kräver tillstånd eller inte.124

om ett

122 Sådana lagar och förordningar kallas i det följande för registerförfattningar, även

författningen i första hand reglerar annat än ett register. En förteckning över

om vissa registerförfattningar finns som bilaga 6 till SOU 1993:10.

123 Se 1993/941217 22 Före den l januari 1995 fanns det uttrycklig regel

prop. s. en

att ett särskilt yttrande skulle hämtas in från Datainspektionen innan det in-

om rättades ett statsmaktsregister med känsliga personuppgifter, seavsnitt 2.4.3.

124 Se t.ex. de fall refereras i Claes Kring Stefan Wahlqvist, Datalagen med

som

kommentarer, 1989, s. 89 ff.

206 Förhållandet till särskilda registerförfattningar SOU 1997: 39

År 1990 uttalade regeringen att målsättningen bör register med vara att ett stort antal registrerade och ett särskilt känsligt innehåll skall regleras i lag.125 Konstitutionsutskottet ansåg att det allmänt sett är stor betydelse av att en författningsreglering kommer till stånd i syfte att stärka skyddet för de registrerades integritet i samband med nödvändig registrering känsav liga uppgifter i myndighetsregister. Det förutsattes att regeringen ägnar fortlöpande uppmärksamhet frågan om vilka register som bör regleras och att åtgärder vidtas för att sådana regleringar kommer till stånd.126

Dessa uttalanden har ofta åberopats i senare lagstiftningsärenden. På senare år har det tillkommit allt fler registerförfattningar. Som exempel kan nämnas: 0 Tullregisterlagen 1990:137 med anslutande förordning 1990:179 - prop. 1989/90:40 0 15-18 lagen 1990:886 om granskning och kontroll avfilmer och videogram med anslutande förordning 1990:992; 8-9 §§ 0 16 § insiderlagen 1990:1342 insiderregister med anslutande förordning - - 1996: utredningsregister 1023 - 0 Lagen 1990:1536 omfolkbokföringsregister med anslutande förordning 1991:750 prop. 1990/91:53 - 0 Lagen 1991:876 om register för betalningsföreläggande och handräckning med anslutande förordning l992:76 prop. 1990/912126 - 0 Förordningen 1992:1027 om register för strafföreläggande, föreläggande ordav ningsbot, m.m. 0 Lagen 1993:747 om sjukförsäkringsregister hos de allmänna försäkringskassorna med anslutande förordning 1993:836 prop. 1992/931193 - 0 Lagen 1993:825 om personregister i riksdagens informationssystem Rixlex 0 Förordningen 1993:982 om bostadsbidragsregister se numera SFS 1995:1016 nedan 0 Förordningen 1993:1058 om sjukvårdsregister hos Socialstyrelsen för forskning och statistik se också SFS 1996:1293 0 Förordningen 1993:1153 om redovisning av studier m.m. vid universitet och högskolor Förordningen 1993:1270 om förande av samfällighetsföreningsregister m.m. Förordningen 1994:348 om register för skuldsaneringsärenden Lagen 1994:448 ompantbrevsregister med anslutande förordning 1994:598 Lagen 1994:459 om arbetsförmedlingsregister med anslutande förordning 1994:460 prop. 1993/94:235 - Förordningen 1994:565 om vårdnadsbidragsregister Förordningen 1994:1283 om lönegarantiregister 0 Lagen 1994:1517 om social/örsäkringsregister prop. 1994/95:8 med anslutande — förordning 1996:1037 om register för vissa bidrag till barn

125 Prop. 1990/91:60 58. s. 126 KU 1990/91:11 11. s.

SOU 1997: 39 Förhållandet till särskilda registerförfattningar 207

Förordningen 1994:1521 om biverkningsregister angående läkemedel Förordningen 1994:1543 om Utrikesdepartementets personregister över främmande staters beskickningspersonal m.m. Förordningen 1994:1544 om bostadstilläggsregister Förordningen 1994:1671 om tillfälligt .statistikregister inom Riksrevisionsverket för kartläggning av vissaförmåner 12 kap. alkohollagen 1994:1738 Förordningen 1994:1933 om register över europeiska intre.s.segrupper Lagen 1995:606 om vissa personregisteráför officiell statistik med anslutande förordning 1995:1060 prop. 1994/95:200

— Lagen 1995:743 om aviseringsregister med anslutande förordning 1996:1298

prop. 1994/95:201 Förordningen 1995:1016 om bostadsbidragsregister Lagen 1995:1536 om provverksamhet avseende hushålls- och bostadsuppgifter med anslutande förordning 1996:434 Lagen 1995:1537 om lägenhetsregister med anslutande förordning 1996:435

prop. 1995/96:90 25-27 lagen 1996:786 om tillsyn över hälso- och sjukvården prop.

- 1995/961176 s. 85 ff. Lagen 1996:810 registrering av riksdagsledamäters åtaganden och ekonomiska

om

KU 1995/96:13 intressen - Förordningen 1996:825 om register för reglering av vissa vårdkostnader mellan EES-länder Lagen 1996:1 156 om receptregister prop. 1996/97:27 SOU 1995:122

- Förordningen 1996:1306 tillfälligt utlämnande av uppgifter från ett folkbokfö-

om ringsregister Förordningen 1996:1389 om register hos Statens invandrarverk överfingeravtryck

Det finns vidare flera färska utredningar rörande nya registerförfattningar, se t.ex.: SOU 1994:30 rostlängdsregister; seockså prop. l996/97:70 SOU 1995:86 socialtjänstregister SOU 1995:95 hälsodataregzlster och vårdregister SOU 1995:147 register över halso- och .sjiukvårdspersonaD SOU 1996:35 kriminalunderrattelseregister och DNA-register Ds 1996:19 kriminalvårdsregister Ds 1996:70 ny socialhirsakringsregisterlag SOU 1996:72 rallspsykiatrisklforskningsregister SOU 1996:94 teleadresasregister Ds 1997:2 Tullverkets brottsregister SOU 1997:3 fastighetsdataregister

Och registerförfattningar utreds for närvarande, se t.ex.:

nya Registerutredningen lul995z0l, dir. 1995:38 och 1996:22, jämför prop. 1994/95:144 Pliktregisterutredningen Fö 1996:03, dir. 1996:14 Grunddatabasutredningen Fi 1996:06, dir. 1996:43

208 Förhållandet till särskilda registerförfattningar SOU 1997: 39

0 Bulvanutredningen Ju 1996:06, med uppdrag att bl.a. utreda frågan om ägarregister

avseende fåmansbolag, dir. 1996:55 0 Register för skattebrottsutredningar, dir. 1996:89 o En utredning om ett offentligt bostadsrättsregister Ju 1996:10, dir. 1996:108 0 En översyn av bestämmelserna inom trañkregisterområdet K 1996:06, dir.

1996:117

Det pågår vidare t.ex. diskussioner informationshantering inom s.k.

om Europol-samarbete.

Datalagsutredningens förslag innebar att systemet med särskilda registerförfattningar skulle finnas kvar vid sidan den lag utredningen fö-

av som

reslog.127

Det har på senare tid förts fram kritik mot systemet med mängd sär-

en skilda registerförfattningar. Toppledarfomm ansåg att författningsmetodiken var ologisk och föreslog att behovet de befintliga registerförfatt-

av ningarna skulle omprövas. Några registerförfattningar enligt

nya nuvarande modell borde, enligt Toppledarforum, inte införas, undan-

även om tag kunde tänkas för mycket speciella verksamheter, såsom säkerhetspolisen och delar av sjukvården.128 Skälen för ställningstagandet att

var metodiken med registerförfattningar ansågs omständlig och tidsödande. Systemändringar även av detalj karaktär, t.ex. på grund av ändringar i verksamheten eller den tekniska utvecklingen, måste ofta föregås ändringar i

av registerförfattningen, och detta tar tid och kräver inom riksdagen,

resurser regeringen och den berörda myndigheten. Angelägna projekt kan försenas eller inte bli av.129

8.2 Överväganden

8.2.1 De särskilda registerförfattningarna omfattas

inte av

vårt uppdrag

Vi har i uppdrag att göra en total revision av den generella datalagen. De särskilda registerförfattningarna nämns inte i våra utredningsdirektiv. Regeringen har sedan våra utredningsdirektiv beslutades tillsatt flera utred-

127 Se sou 1993:1o 165 ff.

s. 128 LEXIT Förstudie, 1995, 42.

— s. 129 LEXIT Förstudie, 1995, 37

— s.

SOU 1997: 39 Förhållandet till särskilda register/författningar 209

ningar med uppdrag att bl.a. lämna förslag till registerförfattningar och därvid hänvisat till de principiella uttalandena från år 1990 att mål-

om sättningen bör att register med ett stort antal registrerade och ett sär-

vara skilt känsligt innehåll skall regleras i lag.130

Mot den bakgrunden kan vi inte annat än konstatera att överväganden rörande de särskilda registerförfattningama faller utanför vårt uppdrag, lik-

t.ex. informationshantering inom Europol. Det förefaller dock nödsom vändigt att även med den lagstiftning vi föreslår ha särregler i

nya som vissa fall; på vilken nivå denna särreglering lämpligen bör beslutas av

riksdagen, regeringen eller någon kompetent myndighet ankommer det

som sagt inte på oss att överväga.

Våra överväganden och förslag i detta betänkande avser alltså inte sådant i dag är särreglerat och inte heller de områden där det i särskild

som ordning övervägs regler rörande register eller behandling personuppgif-

av ter.

8.2.2 Undantag från den generella lagstiftningen för särskilda

registerförfattningar

Vi har således kommit fram till att den persondatalag som vi föreslår bör innehålla bestämmelse som innebär att särregleringen inte berörs. I den

en mån någon särreglering inte finns för ett statsmaktsregister, kommer alltså persondatalagen att gälla för det registret. Liksom i dag bör Datainspektio-

i princip ha att utöva tillsyn även beträffande särreglerade statsmaktsnen register, dock att det i speciella situationer, såsom i vissa fall inom t.ex. försvaret eller Säkerhetspolisen, kan finnas anledning att ha särregler om tillsynen. Frågan Datainspektionens tillsyn berörs närmare i avsnitt

om 12.14.1.

Undantaget i den nuvarande datalagen gäller för sådana register som har inrättats beslut av riksdagen eller regeringen. Vi föreslår

genom emellertid att bara särregler i lag eller förordning skall ta över bestämmel-

persondatalagen. Att riksdagen och regeringen i dag kan serna i den nya besluta att inrätta register med verkan att datalagen delvis inte gäller

om på annat sätt än författning lag eller förordning har bara lett till

genom en osäkerhet om vad som gäller, t.ex. för register som en myndighet i praktiken behöver upprätta för att fullgöra det som ålagts den genom beslut av riksdagen eller regeringen. Om vissa avvikelser från den persondatalagen

130 Sedir. 1995:96 och 1995:120.

210 Förhållandet till särskilda registerfdrfattningar SOU 1997: 39

skall göras för statsmaktsregister, är det för övrigt lämpligt att detta övervägs i den ordning som normalt gäller för författningar och att det i författning preciseras vilka avvikelser Detta gäller även sådana som avses. register riksdagen själv för.131 Det bör inför ikraftträdandet som av persondatalagen göras en översyn av vilka beslut med särregler fortfasom rande kan gälla. Persondatalagen kommer att vara anpassad till Sveriges skyldigheter på grund av EG-direktivet. Det finns inte någon garanti för att de befintliga särskilda registerförfattningama är det. Vi har övervägt att föreslå sären skild bestämmelse i persondatalagen av innebörd att särregler i lag eller förordning skulle få gälla framför den EG-anpassade lagen bara i den nya, utsträckning som särreglema inte strider mot vad som följer EG-direkav tivet. Om det skulle finnas någon bestämmelse i registerförfattning en som inte är förenlig med vad som följer av EG-direktivet, skulle alltså den nya lagen och inte EG-direktivet direkt gälla. Den EG-anpassade lagen - — nya skulle således förses med s.k. EG-spärr beträffande avvikande lagstiften ning. Liknande EG-spärrar förhindrar enligt EG-rätten otillåtna avvisom kelser från grundläggande, EG-anpassad lagstiftning finns på andra håll en i lagstiftningen såvitt otillåtna avvikelser kol1ektivavta1.132 avser genom Det finns dock även exempel på motsvarande EG-spärr i grunden läggande, EG-anpassad lag direkt tar sikte på enligt EG-rätten otillsom

låtna avvikelser genom förordningar och myndighetsforeskrifter.133

Det är emellertid nödvändigt över de befintliga registerförfattatt se ningarna innan den lagstiftningen börjar tillämpas på deras respektive nya områden. Registerförfattningama måste till såväl EG-direktivet anpassas som den föreslagna persondatalagen. Registerförfattningama bygger på att den generellt tillämpliga datalagen fyller ut där det inte finns särregler, och när nu datalagen byts ut mot persondatalagen med delvis andra regler och annan terminologi, måste givetvis vissa justeringar ske i registerförfattningarna för att in dem i den grundläggande rättsliga miljön. passa nya,

131 Jämför lagen 1993:825 om personregister i riksdagens informationssystem Rixlex och lagen 1996:810 om registrering riksdagsledamöters åtaganden och av ekonomiska intressen. 132 Se 2§ tredje stycket 1 lagen l982:80 anställningsskydd om och 4§ andra stycket lagen 1976:580 om medbestämmande i arbetslivet SOU 1993:32 och prop. l993/94:67 samt SOU 1994:83 och prop. 1994/95:102 samt 3§ fjärde stycket arbetstidslagen 1982:673 SOU 1995:92 och prop. 1995/96:162. 133 Se 25 § lagen 1974:l3 vissa anställningsfrämjande om åtgärder den s.k. främjandelagen och därtill SOU 1994:83 s. 126 samt prop. 1994/95:102 s. 76

SOU 1997: 39 Förhållandet till särskilda registerförfattningar 21 1

Eftersom de svenska bestämmelserna som inför direktivet inte behöver tillämpas på behandlingar personuppgifter som pågår i oktober 1998

av förrän på hösten år 2001 se närmare avsnitt 12.15, finns det en viss respit för att göra sådan översyn befintliga registerförfattningar. Detta

en av kommer visserligen att bli ett mycket omfattande arbete. Vi förutsätter dock att det hinns med innan EG-direktivet måste tillämpas efter den övergångstid som gäller.

Direktivet innehåller ett stort antal komplicerade regler som är svårtillämpade för enskilda och myndigheter. Dessa bör med fog kunna förvänta sig att de lagar och förordningar är i kraft överensstämmer med

som EG-direktivet. I sista hand gäller visserligen direktivet, men det finns inte skäl att anta, att detta i praktiken kommer att medföra några komplikatio-

En EG-spärr skulle i så fall bara skapa utan att medföra någon ner. oro motsvarande nytta. Vi har därför inte funnit anledning att föreslå någon EG-spärr i persondatalagen.

På motsvarande sätt har vi resonerat när det gäller de bestämmelser

innebär att myndigheter eller enskilda är skyldiga att lämna ut uppgifsom ter.134 Med hänsyn till att EG-direktivet och den föreslagna persondatalagen innebär att utlämnande personuppgifter bara får ske om utlämnan-

av det inte är oförenligt med de ändamål for vilka uppgifterna samlades in se avsnitt 12.4.3 måste dessa bestämmelser över, något som inte kan an-

ses ses omfattat av vårt uppdrag.

8.2.3 Datainspektionen skall höras när registerförfattningar

beslutas

Enligt artikel 28.2 i EG-direktivet skall medlemsstaterna se till att tillsynsmyndigheten dvs. i Sverige Datainspektionen hörs när sådana författ-

- ningar utarbetas rör skyddet av enskilda personers fri- och rättigheter

som med avseende på behandling av personuppgifter.

134 Se t.ex. 71 § socialtjänstlagen 1980:620 anmälan misshandel m.m. mot

om

underåriga och förordningen 1982:772 om skyldighet att anmäla vissa allvarliga

skador i hälso- och sjukvården samt alla de regler som finns om att myndig-

m.m.

heter och domstolar skall underrätta varandra om sina domar och beslut. I dessa

fall bör dock utan mera ingående prövning tills vidare kunna utgå från att ett

man

utlämnande är tillåtet när det gäller personuppgifter i allmänhet enligt artikel 7 e

allmänt intresse, myndighetsutövning och när det gäller känsliga personuppgifter

enligt artikel 8.4 viktigt allmänt intresse. I det senare fallet skall dock undantag

anmälas till kommissionen enligt artikel 8.6.

212 Förhållandet till särskilda registerförfattningar SOU 1997: 39

En uttrycklig motsvarande bestämmelse i datalagen avskaffades på Datalagsutredningens förslag135 den 1 januari 1995.136 Avsikten

per var att avskaffandet på intet sätt skulle innebära någon lättnad i kravet

på remissbehandling av förslag till nya statsmaktsregister även syftet med

om avskaffandet i och för sig var att minska Datainspektionens arbetsbörda.

I 7 kap. 2§ regeringsformen finns bestämmelse att behövliga

en om upplysningar och yttranden skall hämtas in vid beredningen regerings-

av ärenden. Den bestämmelsen bör tolkas i belysning vad krävs enligt

av som EG-direktivet. När regeringen i fråga om en registerförfattning beslutar

en förordning eller tar initiativ till lag, finns det således enligt vår mening

en tillräckliga garantier för att Datainspektionen hörs på det krävs

sätt som enligt direktivet.

Någon motsvarande s.k. remisskyldighet finns inte när det inom riksdagen tas initiativ till registerförfattning, t.ex. reglering riksda:

en om av gens egna register.137 I 4 kap. lO § riksdagsordningen finns det dock bestämmelser om att statlig myndighet t.ex. Datainspektionen är skyldig

- att lämna upplysningar och yttra sig när ett riksdagsutskott begär det och om att sådana upplysningar och yttranden som huvudregel skall hämtas in om minst fem utskottsledamöter begär det.

Det får förutsättas att riksdagen utan en särskild bestämmelse detta

om ser till att Datainspektionen har hörts på det sätt EG-direktivet kräver

som när en registerförfattning beslutas efter ett initiativ inom riksdagen.

Vi anser således att det inte är nödvändigt med hänsyn till EG-direktivet att åter införa den bestämmelse om obligatoriskt yttrande från Datainspektionen som nyss avskaffats.

135 Se sou 1993:10 173

s. 136 Se 1993/94217 22 och SFS 1994:1485.

prop. s. 137 Jämför KU 1992/93:32, beträffande personregister i riksdagens inforrnationssys-

tem Rixlex, och KU 1995/96:13, beträffande registrering av riksdagsledamöters

åtaganden och ekonomiska intressen.

SOU 1997: 39 213

9 Förhållandet till

offentlighetsprincipen

Det går att förena EG-direktivet med offentlighetsprincipen enligt 2 kap. TF. Vi föreslår uttrycklig bestämmelse klargör att den nya person-

en som datalagen inte skall tillämpas, det skulle inskränka myndigheternas

om skyldighet att lämna ut personuppgifter enligt 2 kap. TF. Vidare föreslås

en uttrycklig bestämmelse att lagen inte hindrar att en myndighet bevarar

om allmänna uppgifter eller att arkivmaterial tas hand arkivmyndig-

om av en het.

9.1 Inledning

Innebörden offentlighetsprincipen och våra förslag rörande den berörs

av närmare i den andra delen betänkandet. I detta avsnitt berör vi bara för-

av hållandet mellan å sidan offentlighetsprincipen, enligt utred-

ena som ningsdirektiven inte skall förändras, och å andra sidan den nya personda-

vi föreslår och EG-direktivet. För sammanhangets skull bör dock talag som här nämnas

att offentlighetsprincipen innefattar rätt för varje svensk medborgare 0 en

att ta del allmänna handlingar, inklusive personregister, i den ut-

av

sträckning handlingarna inte innehåller uppgifter för vilka gäller sekre-

tess 2 kap. 1-2 TF och

att den begär att få ta del av allmänna handlingar i allmänhet har 0 som

rätt att få anonym 2 kap. 14 § 3 st. TF.

vara

Vidare bör i fråga andra regler än dem som finns i grundlag här näm-

om

att myndigheterna för att offentlighetsprincipen i praktiken skall ha nas — något värde måste vara skyldiga att

-

i handlingar dokumentera uppgifter betydelse för verksamheten t.ex. 0 av

15 § förvaltningslagen, 31 § verksförordningen och 14 § datalagen,

2 l 4 Förhållandet till offentlighetsprincipen SOU 1997: 39

0 registrera och strukturera sina handlingar så att man kan hitta bland dem

15 kap. sekretesslagen och 0 bevara sina handlingar i tillräcklig utsträckning i arkiv arkivlagen.

Datalagsutredningen kom fram till att vissa bestämmelser i 1992 års förslag till EG-direktiv var svåra eller omöjliga att förena med offentlighetsprincipen.133 Sverige har emellertid, bl.a. efter inträdet i EU, tagit aktiv del i de fortsatta förhandlingarna om EG-direktivet och agerat hårt för att få till stånd sådana lösningar att direktivet inte står i motsättning till den svenska offentlighetsprincipen. På flera punkter avviker den antagna direktivtexten från 1992 års förslag. Sverige har också lyckats få in bestämmelse i in-

en gressen till direktivet som klargör att det är möjligt att vid genomförandet av direktivets bestämmelser ta hänsyn till principen om allmänhetens rätt till tillgång till allmänna handlingar punkt 72. Av utredningsdirektiven framgår vidare att det är den svenska regeringens bedömning att det i EGdirektivet inte finns någon bestämmelse som står i strid med tillämp-

en ning av den svenska offentlighetsprincipen. Vi anser att det är möjligt att

mot bakgrund av den uttryckliga bestämmelse har tagits in i punkt 72

som i ingressen -tolka bestämmelserna i EG-direktivet på ett sådant sätt att det som är grundlagsfäst eller annars särskilt betydelsefullt beträffande offentlighetsprincipen kan behållas.

9.2 Utlämnande personuppgifter av enligt

offentlighetsprincipen

Den grundlagsfästa delen av offentlighetsprincipen rör utlämnandet

av personuppgifter, som finns i allmänna handlingar, till obestämd krets

en mottagare. Övriga inledningsvis nämnda regler om skyldighet att doku-

mentera, registrera och arkivera utgör i och för sig en förutsättning för att

den grundlagsfästa delen av offentlighetsprincipen i praktiken skall ha något värde. Men det står samtidigt klart att Sverige inte med hänvisning till offentlighetsprincipen och vad sägs i punkt 72 i ingressen till EG-di-

som rektivet kan undanta all registrering personuppgifter inom den offent-

av liga sektorn. I den utsträckning som en viss personregistrering inte kan tilllåtas enligt EG-direktivet, kommer det alltså inte att finnas något för allmänheten att titta på med stöd av offentlighetsprincipen.

138 Se SOU1993:10 85 ff.

s.

SOU 1997: 39 Förhållandet till oflentlighetsprincipen 2 l 5

Enligt vår mening kan beträffande EG-direktivet resonera på man följ ande sätt när det gäller utlämnande personuppgifter med stöd av den av grundlagsfästa offentlighetsprincipen. Att personuppgifter lämnas ut med stöd av den gmndlagsfästa offentlighetsprincipen är i och för sig att anse som en sådan behandling av personuppgifter omfattas EG-direktivet. som av Av artikel 6.1 b framgår att personuppgifter skall samlas in för särskilda, uttryckligt angivna ändamål och att behandling uppgifsenare av terna inte får ske på ett sätt är oförenligt med de ändamål för vilka som uppgifterna ursprungligen samlades in; också enligt Europarådets dataskyddskonvention artikel 5 b skall personuppgifter för automatisk databehandling lagras för särskilda ändamål och inte användas på ett sätt som är oförenligt med dessa ändamål. Enligt vår uppfattning kan en myndig- hets utlämnande personuppgifter med stöd offentlighetsprincipen av av inte oförenligt med de ändamål för vilka uppgifterna ursprunganses vara ligen samlades in. Offentlighetsprincipen framgår grundlagen och får av utgöra integrerad del all förvaltningsverksamhet som myndiganses en av heterna ägnar sig åt. Av artikel 7 framgår att personuppgifter får behandlas, t.ex. lämnas ut, det är nödvändigt för att fullgöra rättslig förpliktelse åvilar den om en som registeransvarige eller för att fullgöra en arbetsuppgift som är ett led i myndighetsutövning utförs den registeransvarige. De regissom av teransvariga myndigheterna är rättsligt förpliktade att följa bl.a. grundlagsreglerna utlämnande allmänna handlingar, och utlämnandet är också om av ett led i deras myndighetsutövning. Utlämnandet är alltså tillåtet enligt artikel Behandling utlämnande känsliga personuppgifter skall i princip - - av förbjudas enligt artikel Det är emellertid tillåtet hänsyn till ett att av viktigt allmänt intresse göra undantag från förbudet, det finns lämpliga om skyddsåtgärder artikel 8.4. Att utlämnande kan ske enligt den grund- lagsfästa offentlighetsprincipen är ett viktigt svenskt allmänt intresse. De svenska sekretessbestämmelsema medför att sådana känsliga personuppgifter i artikel 8 i praktiken inte kommer att lämnas ut om den som avses enskilde kan skadas eller drabbas negativt utlämnandet. Sekretessbeav stämmelsema får utgöra sådana lämpliga skyddsåtgärder som avses i anses EG-direktivet. Det finns alltså inget hinder mot att föreskriva ett undantag från det principiella förbudet mot behandling personuppgifter i artikel 8 av för sådant utlämnande sker med stöd offentlighetsprincipen. Det som av undantaget måste dock anmälas till kommissionen enligt artikel 8.6.

216 Förhållandet till oflentlighetsprincipen SOU 1997: 39

När uppgifter om en viss person samlas in från den berörde själv, skall enligt artikel 10 den information lämnas är nödvändig för att till- - - som försäkra den registrerade korrekt behandling, exempelvis information en om mottagarna eller de kategorier mottar uppgifterna. Information som behöver dock inte lämnas i den mån den registrerade redan känner till informationen. I artikel 11.1 finns det motsvarande bestämmelser för det fallet att personuppgifterna inte har samlats in från den registrerade själv utan hämtats från något annat håll. Eftersom offentlighetsprincipen inne- bär att var och kan få ut personuppgifter och att den får uppgifterna en som i princip har rätt att vara anonym, kan den myndighet samlar in som personuppgifter inte lämna information om till vilka uppgifterna kan personer komma att lämnas ut. Däremot kan information givetvis lämnas att om uppgifterna kan komma att lämnas ut enligt offentlighetsprincipen till den som begär det. Härigenom får de registrerade på det sätt direktivet kräver information om till vilka kategorier mottagare uppgifterna kan — av som komma att lämnas ut. Eftersom utlämnande enligt offentlighetsprincipen sedan lång tid tillbaka föreskrivits i svensk grundlag, kan det vidare förutsättas att allmänheten redan känner till den informationen. Därför torde det inte vara helt nödvändigt att lämna information i detta hänseende. Enligt artikel 13.1 g är det tillåtet för medlemsstaterna att göra nödvändiga undantag från bl.a. bestämmelserna i artikel 6.1, 10 och 11.1 med hänsyn till skyddet den registrerades eller andras fri- och rättigheter. av - Rätten för var och en att få ta del av allmänna handlingar med stöd den av grundlagsfästa offentlighetsprincipen är sådan rättighet kan göra en som det befogat med undantag. Som framgått av det anförda finns det goda möjligheter att förena den grundlagsfásta delen av offentlighetsprincipen med bestämmelserna i direktivet. Vi anser att det för att inte någon tvekan skall uppkomma - om hur den nya lagstiftningen förhåller sig till grundlagen bör införas - en uttrycklig bestämmelse att den persondatalagen inte skall tillämpas i om nya den utsträckning det skulle inskränka myndighets skyldighet lämna en att ut personuppgifter enligt 2 kap. TF.139 Den bestämmelsen, omfattar som även känsliga personuppgifter, bör anmälas till kommissionen enligt artikel 8.6.

139 Hur EG-direktivet förhåller sig till andra bestämmelser i tryckfrihetsförordningen, dvs. bl.a. bestämmelserna om tryckfrihet och skydd för den lämnar ut uppgifsom ter till pressen, berörs i avsnitt 10.

SOU 1997: 39 Förhållandet till offentlighetsprincipen 217

9.3 Rättelse av uppgifter hos myndigheter

Offentlighetsprincipen innebär och i princip har rätt att få reda på att var en de uppgifter faktiskt har bestämt utgången av ett ärende oavsett om som uppgifterna objektivt sett är riktiga och fullständiga; den enskilde har rätt att få även ett dåligt beslutsunderlag. se Enligt artikel 6.1 c-d i EG-direktivet är det ett grundläggande krav att de behandlade personuppgifterna är adekvata, relevanta, riktiga och, om nödvändigt, aktuella. Den registrerade skall vidare enligt artikel 12 b ha rätt i förekommande fall få sådana uppgifter som inte har behandlats i att enlighet med bestämmelserna i direktivet rättade, utplånade eller blockerade, särskilt uppgifterna är ofullständiga eller felaktiga. Enligt artikel om 13.1 är det dock tillåtet for medlemsstaterna att göra nödvändiga undang från bl.a. bestämmelserna i artikel 6.1 och 12 med hänsyn till skyddet tag den registrerades eller andras fri- och rättigheter. av Bestämmelsen rättelse berörs närmare i avsnitt 12.8. Det torde om m.m. till medlemsstaterna att bestämma vilken korrigeringsmetod vara upp rättelse, utplånande eller blockering skall användas i olika fall. Det —som finns vidare inget hindrar medlemsstaten från att låta den ansvarige som för behandlingen välja metod. Vi att så bör ske.140 anser En myndighet har således enligt den nya persondatalagen frihet att välja felaktiga, missvisande eller ofullständiga uppgifter skall rättas, om utplånas eller blockeras. Detta innebär att myndigheten givetvis inte får välja att utplåna t.ex. uppgift i allmän handling, om det skulle strida en en mot andra bestämmelser. Valet korrigeringsmetod kan således styras av av andra bestämmelser myndigheten har att rätta sig efter. Det är enligt som vår mening inte nödvändigt med ett uttryckligt påpekande om detta i den persondatalagen. Däremot kan det lämpligt att för att förtydliga nya vara - -ta in ett sådant påpekande i anslutande förordning. en Att uppgift rättas innebär att den ursprungliga, felaktiga, missvisanen de eller ofullständiga uppgiften ersätts uppgift om de rätta förhållanav en dena eller att uppgifterna kompletteras. Det finns inte något krav på annars den felaktiga uppgiften skall utplånas. Det bör upp till den som är att vara ansvarig for behandlingen att avgöra hur rättelsen skall göras. Det enda kravet är den felaktiga uppgiften inte utplånas att det i alla - om — sammanhang klart skall framgå att den felaktiga uppgiften har ersatts av en

140 Vilka möjligheter tillsynsmyndigheten bör ha att få olagligt behandlade personuppgifter utplånade tas upp i avsnitt 12.14.1.

218 Förhållandet till offentlighetsprincipen

SOU 1997: 39

annan uppgift och vilka de rätta förhållandena är. Något hinder mot att med stöd av offentlighetsprincipen lämna ut den tydligt markerade felaktiga uppgiften jämte de riktiga uppgifterna och upplysning den rättelse om som skett finns inte. Det torde denna rättelsemetod myndigheter i vara som allmänhet bör använda.141 För att offentlighetsprincipens syfte möjligatt göra en kontroll av myndigheterna skall kunna tillgodoses är det nämligen viktigt att felaktiga uppgifter inte utplånas. Regeringen kan och bör i - en anslutande förordning meddela föreskrifter hur myndigheter närom mare bör gå till väga vid rättelse, t.ex. föreskrifter att den ursprungliga om uppgiften inte skall utplånas men väl ett tydligt sätt markeras och att rättelsen skall dateras och signeras behörig tjänsteman. av Den tredje metoden blockering får innebära bl.a. att de block- - - anses erade uppgifterna inte får lämnas ut till tredje och att uppgifterna i alla man sammanhang skall vara förknippade med tydlig information att de är om spärrade och anledningen till spärren. Blockering kan t.ex. användas när det inte är naturligt att rätta felaktig uppgift, exempelvis när de rätta en förhållandena inte kan utredas; det står t.ex. klart att uppgift en om att en viss har fått sjukhusvård är felaktig, det kan inte utredas person men vem i stället fått vård.142 Enligt vår mening är det lämpligt med som en uttrycklig bestämmelse att blockeringen inte hindrar myndighet om att en lämnar ut den blockerade uppgiften jämte uppgifter rörande blockeringen med stöd av 2 kap. TF. Vi föreslår med stöd artikel 13.1 i EG-direk- - av g tivet att en sådan uttrycklig undantagsbestämmelse tas in i den - nya persondatalagen. Enligt vår mening förefaller det ändamålsenligt att regeringen i en anslutande förordning tar in de föreskrifter för myndigheternas val korriav geringsmetod som behövs.

9.4 arkiv

Myndigheternas

Det nuvarande systemet för att bevara myndigheternas handlingar innebär att varje myndighet tar om hand sina handlingar, även efter det att handläggningen av ett ärende är avslutad. Efter ett tag lämnas handlingarna över till en arkivmyndighet för långtidsförvaring.

141 Bestämmelser om att vissa uppgifter inte får ändras t.ex. 6 kap. 8 § andra stycket rättegångsbalken -torde inte hindra att rättelse görs på det beskrivits. sätt som nu 142 Jämför NJA 1994 A

Förhållandet till offentlighetsprincipen 219 SOU 1997: 39

Att myndigheterna bevarar sina handlingar i enlighet med bl.a. arkiv- — lagen med anknytande författningar har sagt betydelse för möjlighe- - som utnyttja den grundlagsfásta offentlighetsprincipen. Det finns ten att emellertid också i olika registerförfattningar och i beslut av Dataint.ex. spektionen många exempel på att myndigheterna är skyldiga att efter en tid förstöra gallra uppgifter hänsyn till den personliga integriteten. av Frågan i Vilken utsträckning personuppgifter bör gallras av hänsyn till om den personliga integriteten berör vi i avsnitt l2.4.6.2. Här tar vi bara upp den för offentlighetsprincipen betydelsefulla frågan om det är möjligt att behålla det nuvarande systemet for att bevara myndigheternas hand-

lingar.143

Enligt artikel 6.1 b i EG-direktivet skall personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Behandling får inte

ske uppgifterna ett sätt är oförenligt med de ursprunglisenare av som angivna ändamålen. Senare behandling för historiska, statistiska och gen vetenskapliga ändamål skall dock enligt vad uttryckligen anges inte som oförenlig med de ursprungliga ändamålen. Det förutsätts att medanses lemsstatema i detta fall beslutar lämpliga skyddsåtgärder. Personuppom gifterna får vidare, enligt artikel 6.1 lagras bara så länge det är nödväne, digt med hänsyn till de ursprungliga eller ändamålen med behandsenare lingen. För personuppgifter lagras under längre perioder för histosom statistiska och vetenskapliga ändamål skall medlemsstaterna vidta riska,

lämpliga skyddsåtgärder.

Behandlingen personuppgifterna måste vidare alltid vara tillåten enav ligt artikel 7 i direktivet, därför att behandlingen är nödvändig för att t.ex. fullgöra rättslig förpliktelse åvilar den registeransvarige eller för att en som utföra arbetsuppgift allmänt intresse. Gäller det känsliga personuppen av gifter, måste också förutsättningarna i artikel 8 uppfyllda, t.ex. att vara medlemsstaten hänsyn till ett viktigt allmänt intresse har föreskrivit att av behandlingen är tillåten.

Myndigheternas arkiv är del det svenska nationella kulturarvet, och en av arkiven skall tillgodose rätten att ta del allmänna handlingar, 0 av behovet information för rättskipningen och förvaltningen samt 0 av forskningens behov 3 § 3 st. arkivlagen. 0

143 Den arkivering enskilda kan ägna sig berörs särskilt i avsnitt l2.4.6. som

220 Förhållandet till offentlighetsprincipen

SOU 1997: 39

De ändamål som bevarandet myndighetsarkiven skall tillgodose kan av enligt vår mening hänföras under vad i EG-direktivet kallas som historiska, statistiska och vetenskapliga ändamål. Det således, är som vi ser det, inte nödvändigt att myndigheterna redan när personuppgifterna samlas in uttryckligen arkivering och bevarande ändamål för anger som ett behandlingen. Är myndighets primära hantering uppgifterna en av tillåten, kan det inte anses oförenligt med den primära hanteringen bevara att uppgifterna. Det kan inte heller oförenligt med de ursprungligen angivna anses ändamålen att myndigheten efter tid lämnar över sina handlingar till en en

arkivmyndighet för långtidsförvaring.

Myndigheterna är rättsligt förpliktade att bevara allmänna handlingar, och bevarandet är också arbetsuppgift allmänt intresse. Den behanden av ling icke känsliga personuppgifter bevarandet utgör är således tillåav som ten enligt artikel För myndigheternas bevarande känsliga av personuppgifter behövs det däremot ett undantag enligt artikel 8.4; de svenska myndigheternas bevarande även känsliga personuppgifter utgör enligt av vår mening ett sådant viktigt allmänt intresse berättigar medlemssom en stat att göra ett undantag. Detta undantag måste omfatta också den insamling och det långtidsbevarande personuppgifter sker vid av som de särskilda arkivmyndigheterna tar emot arkivmaterial från myndigheter som och enskilda. Att arkivmyndigheten i sin tur lämnar ut uppgifterna med stöd av t.ex. offentlighetsprincipen kan inte oförenligt med de ändaanses mål för vilka arkivmyndigheten samlade in uppgifterna. De bestämmelser som finns sekretess och skydd för arkiv får om anses utgöra sådana lämpliga skyddsåtgärder krävs enligt EG-direktivet. som Vi har sammanfattningsvis kommit fram till att den lagen bör innenya hålla en uttrycklig bestämmelse att lagen inte hindrar myndighet om att en bevarar allmänna uppgifter eller att arkivmaterial hand tas om av en arkivmyndighet. Den bestämmelsen, omfattar även känsliga som personuppgifter, bör anmälas till kommissionen enligt artikel 8.6.

SOU 1997: 39

10 Förhållandet till

yttrandefriheten

Vi föreslår det görs ett undantag i persondatalagen för all sådan beatt handling personuppgifter skyddas TF och YGL eller utförs som av som av led i konstnärligt skapande. Undantaget är motiverat eftersom personett datalagens materiella bestämmelser skulle strida mot de centrala annars reglerna i grundlagama censurförbud och meddelarskydd. Vilka beom handlingar omfattas undantaget bestäms ytterst grundlagama. som av av Skyddet för den personliga integriteten värnas andra regler, t.ex. genom regler ärekränkning och inte minst massmediernas självsanerande om - verksamhet.

10.1 Inledning

detta avsnitt behandlar vi två frågor. Den första frågan gäller konflikten I mellan å sidan de bestämmelser i persondatalagen ger Datainena som möjlighet för att skydda den personliga integriteten in-

spektionen att -

gripa eller i övrigt inverka på behandling personuppgifter och å mot av andra sidan skyddet ingripanden myndigheter i samband med utmot av givning tryckta skrifter eller andra yttranden. Ytterst handlar det om av

vilka undantag från persondatalagens tillämpningsområde sommåste göras

hänsyn till yttrandefriheten. Denna fråga har tidigare behandlats av Daav talagsutredningen. Vi anknyter även något till den generella frågan om mer vilket skydd finns för den personliga integriteten i massmediala som sammanhang.

222 Förhållandet till yttrandefriheten SOU 1997: 39

Den andra frågan rör hur anpassningen skall göras till EG-direktivets

bestämmelser undantag för behandling om av personuppgifter för joumalistiska ändamål samt konstnärligt och litterärt skapande. 144

10.2 Yttrandefriheten

10.2.l Allmänt

Yttrandefriheten är de grundlagsskyddade fri- och en av rättigheterna i 2 kap. 1 § regeringsformen RF. Friheten kan emellertid begränsas genom lag 8 kap. 1 § RF eller i vissa fall förordning efter

genom bemyndigande

i lag 8 kap. 7 § RF. Vissa former för att sprida yttranden har fått förett

stärkt skydd i tryckfrihetsförordningen TF och yttrandefrihetsgrundlagen

YGL. De massmedier har sådant grundlagsskydd som är tryckta skrifter samt offentliga yttranden i radio, TV och liknande överföringar, filmer, videogram och andra upptagningar rörliga bilder

av samt ljudupptag-

ningar. Spridning yttranden kan ske även av numera genom mer modern informations- och kommunikationsteknik. Frågan vilket om grundlagsskydd även dessa andra former för yttrandefrihet åtnjuter eller bör åtnjuta är föremål för utredning nedan under avsnitt 10.4.

se

10.2.2 Vad innebär grundlagsskyddet

Skyddet för tryckta skrifter bygger på grundläggande principer; sex förbud mot censur och andra hindrande åtgärder, etableringsfrihet, särskilda regler

om ansvarighet för tryckfrihetsbrott, skydd för dem anskaffar eller som tillhandahåller upplysningar för offentliggörande i tryckt skrift, uttömmande angivande av de gärningar kan beivras tryckfrihetsbrott som som och särskild processordning för tryckfrihetsmål.145 YGL innehåller samma principiella skydd TF, dock att i lag får meddelas föreskrifter som om granskning och godkännande filmer skall visas offentligt 1 kap. av som 3 § 2 st.. Vi kommer särskilt att uppmärksamma förbudet mot censur, rätten för meddelare m.fl. att meddelarskyddet vara anonyma och i viss mån även tryckfrihetsbrotten. t

144 Artikel

145 sou 1983:70 s. 63.

Förhållandet till yttrandefriheten 223 SOU 1997: 39

10.2.3 Vilka skrifter omfattas av grundlagsskyddet

i tryckta skrifter omfattas grundlagsskyddet i TF. Inte alla yttranden av Tryckfriheten skall säkerställa ett fritt meningsutbyte och en allsidig uppst.. I motiven till TF betonades behovet allmän lysning l kap. l § 2 av en såsom grundval för ett fritt samhällsskick. Vidare anfördes att tryckfrihet skall betraktas endast rätt att uttrycka egna tankar tryckfriheten inte som en rätt att lämna upplysningar sakförhållanoch åsikter, utan även som en om den.145 Även konstnärliga former yttranden skyddas av TF, t.ex. skönav litteratur och underhållning annat slag. av yttrande lämnas i tryckt skrift är olagligt i ett annat hän- Om ett som en överskridande gränserna för yttrandefriheten, kan inseende än som ett av stöd bestämmelser i vanlig lag, t.ex. ett yttrande i gripande ske med av om tryckt skrift ingår ett led i ett bedrägeribrott. en som Skyddet omfattar inte heller tryckta yttranden uteslutande kommerav eller reklam. Massmedieutredningen föresiell natur, t.ex. annonser annan skulle införas uttryckliga bestämmelser i TF om och i vilken slog att det skulle falla under TF.147 Någon sådan generell regleomfattning reklam emellertid inte143, uttryckliga undantag från TF:s tillring infördes men dels för förbud kommersiella för alkolämpning har införts mot annonser och tobak dels för sådana förbud mot kommersiella annonser som hol skydd för hälsa eller miljö enligt förpliktelse följer av meddelats till som till EG kap. 9 § l-2 p.. Gränsdragningsproblem kan uppanslutningen l I motiven till YGL beskrevs rättsläget så

komma i detta sammanhang.149

kommersiella reklamen visserligen åtnjuter ett tryck- och yttrandeatt den skydd, detta är begränsat än det gäller för frihetsrättsligt men att mera som Enligt 1 kap. 12 § andra stycket YGL kan föreskrifter

andra yttranden.150

förbud kommersiell reklam i de medier som omfattas av meddelas om mot den lagen.

Tryckfriheten omfattar inte heller yrkesmässig kreditupplysningsverk-

samhet l kap. 9 § 3 p. TF. vidare beroende på vilken framställningsform Grundlagsskyddet är skrift framställs i tryckpress omfattas generellt 1 kap. som valts. En som

146 Prop. 147 SOU1972:49. 148 Prop.1973.123s.42. 149 Se t.ex. NJA 1975 589. s. 150 Prop. 1990/91:64 91. s.

224 Förhållandet till yttrandefriheten SOU 1997: 39

5 § TF under förutsättning att den är utgiven kap. 6 §. Skrifter l som har mångfaldigats på annat sätt t.ex. stencilering eller

genom fotokopiering

omfattas under vissa förutsättningar, nämligen

om utgivningsbevis gäller

för skriften eller skriften är försedd med beteckning, om som utvisar att den är mångfaldigad, samt i anslutning därtill tydliga uppgifter om vem

som har mångfaldigat den och ort och år för mångfaldigandet

om 1 kap. 5 §. När det gäller skrifter har framställts på som annat sätt än genom tryckning kan utgivaren i viss mån själv bestämma skriften om skall falla in under TF :s bestämmelser eller inte. För vissa skrifter krävs typer av utgivningsbevis för att de skall få ut 5 kap. 5 §. ges För att omfattas grundlagsskyddet måste den tryckta skriften av vara utgiven l kap. 6 §. Den utgiven då den blivit utlämnad anses till salu eller för spridning på annat sätt. Det är således inte nödvändigt att den verkligen har blivit spridd, utan det räcker den blivit utlämnad att för

spridning.

Beträffande periodiska skrifter finns slutligen specialbestämmelse en i l kap. 7§ andra stycket. Sådana radioprogram, filmer eller

ljudupptag-

ningar som ägaren till periodisk skrift sprider eller låter sprida en och som oförändrat återger skriftens innehåll och dess disposition omfattas också av grundlagsskyddet.

10.2.4 Vilka övriga yttranden omfattas av grundlagsskyddet

De tryckfrihetsrättsliga grundprincipema gäller även för de medier som omfattas av YGL. I l kap. 9§ YGL finns dessutom bestämmelse en om spridning av yttrande även omfattar tryckta skrifter i traditionell som mening. Bestämmelsen innebär att grundlagsskyddet för radioprogram även tillämpas när redaktion för tryckt periodisk skrift eller en en för radiopro-

gram, ett företag för framställning filmer eller ljudupptagningar

av eller en nyhetsbyrå med hjälp elektromagnetiska vågor på begäran tillhandaav håller allmänheten upplysningar direkt register ur ett med upptagningar för

automatisk databehandling. Grundlagsskyddet gäller dock inte

om den mottagande kan ändra innehållet i registret. Av motiven till bestämmelsen framgår att de medier främst åsyftades vid dess tillkomst som var text-TV, telefax och videotex i de fall sådana medier används som distributionsform för periodiska skrifter. 151

151 Prop. 1990/91:64 s. 67.

Förhållandet till yttrandefriheten 225 SOU 1997: 39

spridning dagstidning via cd-rom omfattas Huruvida av t.ex. en anses

situationer osäkert.152 Bestämmelsen innebär bl.a. att skyddet är i vissa av yttrande i denna form inte får föregås eller någon

spridningen av av censur

hindrande åtgärd 1 kap. 3§ YGL. De grundläggande tankarna annan

bestämmelsen uppenbarligen att grundlagsskydd skall

bakom är samma

antingen de läses allmänheten i tryckt form eller i gälla för yttranden av

form via något elektroniskt hjälpmedel. Rätten att sprida ytt-

digitaliserad

form under grundlagsskydd tillkommer dock inte var och randen i denna

förbehållen bl.a. tidningsredaktioner och nyhetsbyråer. Det ingår

en utan är

Mediekommitténs uppgifter överväga bl.a. denna fråga dir. i att

1994:104.

10.2.5 Vilka omfattas av grundlagsskyddet personer

medverkar vid framställning ett yttrande finns be- För de personer som av

skydd. Skyddsbestämmelsema får väl i första hand stämmelser för deras

hindra repressalier bl.a. från statsmaktemas sida på sägas ha till syfte att

innehållet i yttrande. Skyddet består flera delar; rätt för grund av ett av

förbud för myndigheter att efterforska vissa personer att vara anonyma,

författare m.fl. och begränsat ansvar för brott.

i TF bygger på två grundläggande principer. Den ena Ansvarssystemet

alltid skall finnas någon även han inte själv varit uppär att det som, om

ansvarig för innehållet i tryckt skrift. I regel är hovsman, kan göras en

eller, det gäller periodiska skrifter, den ansvarige utgidetta författaren när

principen är detta formaliserade skall utesluta varen. Den andra att ansvar

alla sätt medverkat vid skriftens tillkomst. Tanken ansvar för som annat

således endast skall kunna göras ansvarig för tryckfrii TF är att en person

dennes är exklusivt och utesluter ansvar för andhetsbrott samt att ansvar

medverkan. Det sagda innebär att det i TF inte förekommer ras eventuella

i brottsbalkens mening. Tvärtom skyddar TF genågot medverkansansvar

bestämmelser sådana har medverkat vid tillkomsnom olika personer som

tryckt skrift inte har det speciella tryckfrihetsrättsliga ten av en men som

152 anförs bl.a. cd-romskiva med endast text inte utan vidare kan I dir. 1994:104 att en YGL:s skydd. Jämför dock det nedan nämnda avgörandet av resägasfalla under Ju 94/140. Tidningarnas Telegrarnbyrå ansökte i det fallet geringen 1994-09-15 producerade och publicerade nyhetstexter på cd-rom eller i att få lagra av TT om elektronisk form. Materialet skulle göras tillgängligt för abonnenter samt annan Regeringen konstaterade i beslutet att l kap. 9 § YGL var tillanvändas internt.

lämplig på registret.

226 Förhållandet till yttrandefriheten SOU 1997: 39

ansvaret. Till denna kategori bestämmelser hör de gäller meddelarfrisom

het och anonymitet.

Den grundläggande bestämmelsen meddelarfriheten finns i l kap. om l § tredje stycket TF. Där stadgas att det skall stå fritt envar att, i alla de fall då inte annat är föreskrivet i TF, meddela uppgifter och underrättelser i vad ämne som helst för offentliggörande i tryckt skrift till författare eller annan som är att anse som upphovsman till framställning i skriften, till skriftens utgivare eller, det för skriften finns särskild redaktion, om en till denna eller till företag för yrkesmässig förmedling nyheter eller av andra meddelanden till periodiska skrifter. Meddelarfriheten gäller i princip oberoende av om meddelandet publiceras. Det räcker alltså meddelarens att syfte är att offentliggörande skall ske.153

I stort sett ger TF skydd för meddelare endast det allmänna. gentemot Den enskilde kan andra skäl förhindrad lämna uppgifter av vara att t.ex. till tidningar. Beträffande offentliga funktionärer finns tämligen en omfattande reglering av tystnadsplikten i sekretesslagen. I vissa fall bryter meddelarrätten tystnadsplikten, ibland är det tvärtom s.k. kvalificerad tystnadsplikt. Även på det civilrättsliga området

kan meddelarskyddet in-

vara skränkt. I ett privat anställningsförhållande kan den enskilde ha avtalat med sin arbetsgivare om att inte lämna ut vissa uppgifter. I 1 kap. 1 § fjärde stycket TF finns regel sikte på tidigare en som tar ett led i den kedja som löper från en meddelare via t.ex. tidningsredaktion en till publicering i tryckt skrift. Enligt den regeln skall och var en äga rätt att, om inte annat följer av TF, anskaffa uppgifter och underrättelser i vilket ämne som helst för att offentliggöra dem i tryckt skrift eller för lämna att ett meddelande av den typ angivits i paragrafens tredje stycke. som Anskaffaren är i regel den också är meddelare eller författare. som Om anskaffaren inte själv har meddelat uppgifterna till författare, upphovsen man, utgivare eller tidningsredaktion framstår han dock självstänsom en

dig person.154

I syfte att skydda dem medverkar vid tillkomsten tryckta skrifsom av ter finns i 3 kap. TF regler rätt till anonymitet. Den grundläggande beom stämmelsen rätt till anonymitet finns i 3 kap. l § TF. om Där stadgas att författare till tryckt skrift inte är skyldig låta sitt att sätta ut namn eller sin pseudonym eller signatur på skriften. Vidare anges att motsvarande gäller beträffande den lämnat meddelande enligt 1 kap. l § tredje som stycket TF

153 sou 1990:12 s. 60. 154 Håkan Strömberg, Tryckfrihetsrätt och annan yttrandefrihetsrätt, l 1:e uppl., 24. s.

Förhållandet till yttrandefriheten 227 SOU 1997: 39

och beträffande utgivare tryckt skrift inte är periodisk. En medav som delare eller författare kan alltså själv välja om han vill framträda eller om han vill Detsamma gäller utgivare skrifter som inte är pevara anonym. av riodiska. Upphovsmän och meddelare har enligt YGL motsvarande rätt till anonymitet 2 kap. l § YGL.

10.2.6 Skyddet mot myndighetsingripanden

1 1 Censurförbudet

Censurförbudet riktar sig till myndighet eller annat allmänt organ l kap. 2 § TF och l kap. 3 § YGL. Syftet med är att förhindra att vad som censur går fram till mottagaren har ett innehåll eller utformning som från en granskarens synpunkt inte kan godtas. Det är enligt dessa bestämmelser inte tillåtet för myndighet att förhandsgranska skrifter. en Förhandsgranskning är inte det enda sättet att hindra medborgare från sig offentligt. Det är inte heller tillåtet för myndighet eller annat att yttra allmänt på grund yttrandets innehåll vidta någon åtgärd som organ att av stöd i TF hindrar tryckning eller utgivning skrift eller dess spridutan av ning bland allmänheten 1 kap. 2§ 2 st. TF. Motsvarande förbud mot hindrande åtgärder finns i YGL l kap. 3 § 1 st. 2 YGL. Spärrar kan men. upprättas på flera olika punkter längs kommunikationsvägama. Ett sätt att inskränka rätten att använda ett visst uttrycksmedel. Inskränkspärra är att ningen kan också bara ett led i ett framställningsförfarande. Hindret avse behöver inte absolut. Även åtgärder verkar väsentligt försvårande vara som eller ekonomiskt förlustbringande är otillåtna. I YGL finns en speciell bestämmelse förhindrar det allmänna att på grund innehållet i ett yttsom av rande förbjuda innehav eller användning sådana tekniska hjälpmedel av krävs för att uppfatta yttrandet l kap. 3 § 3 st.. som Förbudet omfattar sådana hindrande åtgärder vidtas på grund av som yttrandets innehåll. Åtgärder i övrigt torde tillåtna. I samband med vara den nuvarande tryckfrihetsförordningens tillkomst diskuterades huruvida den då aktuella pappersransoneringen kunde utgöra ett sådant hinder. Deuttalade i det sammanhanget att det i och för sig inte

partementschefen

stred förbudet, dock någon åtskillnad inte fick göras mellan olika mot att grund deras politiska inriktning.155 På motsva-

publikationer t.ex. av

155 Prop. 1948:230 111. s.

228 Förhållandet till yttrandefriheten SOU 1997: 39

rande sätt är bestämmelser reglerar spridning yttranden tillåtna, så som av långt de inte tar hänsyn till yttrandenas innehåll. Förbudet mot hindrande åtgärder riktar sig även mot riksdagen som lagstiftare.156 I en diskussion kring lagprövningsrätten, dvs. myndighets rätt att åsidosätta en bestämmelse strider mot just den som en annan, togs situationen upp när lag till äventyrs föreskriver hindrande åtgärder en trots förbudet häremot i 1 kap. 2 § TF .157

I 2 Anonymitetsskyddet

Myndighet eller annat allmänt får inte efterforska författaren till organ en framställning som har införts eller varit avsedd att införas i tryckt skrift 3 kap. 4 § TF. Efterforskning får inte heller ske den har utgivit av som eller avsett att ge ut framställning i tryckt skrift eller den av som uppträtt som meddelare. Efterforskningsförbudet gäller inte utan undantag. I de fall då ingripande mot t.ex. meddelare är tillåtet enligt TF får myndigheter en och andra allmänna vidta åtgärder för att utröna meddelaren organ vem är. Motsvarande efterforskningsförbud finns i 2 kap. 4 § YGL. I 3 kap. 3 § TF finns föreskrifter tystnadsplikt för bl.a. personal vid om en tidning eller nyhetsbyrå beträffande författares, meddelares och utgien vares identitet. Paragrafen, som fick sin nuvarande lydelse den l januari 1978, föreskriver tystnadsplikt för den har tagit befattning med tillsom komsten eller utgivningen tryckt skrift eller med framställning av en en som var avsedd att införas i tryckt skrift och den har varit verksam en som inom ett företag för utgivning tryckta skrifter eller inom företag för av ett yrkesmässig förmedling av nyheter eller andra meddelanden till periodiska skrifter. Tystnadsplikten innebär att han inte får röja vad han därvid erfarit om vem som är författare eller har lämnat meddelande enligt l kap. l § tredje stycket eller är utgivare skrift inte är periodisk. Från denna av som tystnadsplikt görs dock vissa undantag. Bestämmelser motsvarande slag av finns i 2 kap. 3 § YGL.

156 Erik Holmberg Nils Stjemquist, Grundlagarna med tillhörande författningar, 1980, s. 802. 157 Prop. 1975/76:209 92. s.

1997: 39 Förhållandet till yttrandefriheten 229 SOU

10.3 Hur beaktas den personliga integriteten

10.3.1 Allmänt

Intresset för skyddet den personliga integriteten har i Sverige kommit av alltmer i blickpunkten bl.a. i samband med den ökade datoriseringen. Skyddet för den kan vitt skilda saker. En stor del av de egna personen avse handlingar är straffbelagda i brottsbalken just angrepp på nåsom avser personliga sfår; kropp eller egendom. Angreppen på person kan också gons icke-fysiskt slag, t.ex. brotten i 4 kap. brottsbalken mot den vara av mer personliga friden hemfridsbrott, ofredande, brytande av post- och teleintrång i förvar, olovlig avlyssning. Även förtals- och förhemlighet, olämpningsbrotten i 5 kap. kan sägas utgöra angrepp på den egna perso-

nen. Det skydd för den personliga integriteten datalagen uppställer omsom fattar behandling uppgifter i och för sig kan vara sanna. Det är just av som den omständigheten att de är föremål för automatisk databehandling som utgöra ett hot mot den personliga integriteten, t.ex. möjligheten att anses mycket snabbt sammanställa många uppgifter person. Grundtanken om en bakom skyddet i datalagen är att det måste göras avvägning mellan det en intrång i den personliga integriteten registreringen kan utgöra och det som behov bl.a. effektivitetsskäl kan finnas av registreringen. I di- ~ av - som

rektiven till Datalagsutredningen konstaterade departementschefen att ut-

trycket personlig integritet flera gånger har behandlats i syfte att precibegreppet, att frågan åter borde övervägas. På motsvarande sätt sera men borde utredningen undersöka det närmare går att beskriva vad som om skall otillbörligt intrång i den personliga integriteten.158 Utanses vara redningen konstaterade emellertid att begreppet inte går att definiera efterfallen där intrånget får otillbörligt växlar beroende på vilka utsom anses gångspunkter véiljs.159 Vi har införskaffat särskild utredning om som en begreppet personlig integritet, se bilaga

158 Dir. 1989:26. 159 sou 1993:10 161. s.

230 Förhållandet till yttrandefriheten SOU 1997: 39

10.3.2 Straffbara förfaranden

I 7 kap. 4 § TF och 5 kap. 1 § YGL straffbeläggs del handlingar en som utgör intrång i den personliga integriteten. Bestämmelserna kan sägas utgöra ett grundläggande skydd för den personliga integriteten i massmediala sammanhang även om de är giltiga också i andra situationer. Förtalsbrottet 5 kap. 1 § brottsbalken, jämför 7 kap. 4 § 14 TF och 5 kap. 1 § p. YGL innebär dels att man måste ha lämnat kränkande uppgifi150 en om någon person dels att det vid den intresseavvägning skall göras inte som kan anses försvarligt att uppgiften ändå lämnades. Förolämpningsbrottet 5 kap. 3 § brottsbalken, jämför 7 kap. 4§ 15 TF och 5 kap. 1 § YGL innebär bl.a. att man smädar någon kränkande tillmäle. Någon ingenom tresseavvägning skall inte göras enligt den bestämmelsen. Den har som blivit utsatt för ett tryckfrihetsbrott har rätt till skadestånd enligt sedvanliga principer. I det sammanhanget är rätten till ersättning för ideell skada151 särskilt intresse. Skadeståndsreglema innebär enskild av att en kan få ersättning för det lidande t.ex. ett ärekränkningsbrott har innesom burit. De skadestånd brukar betalas ut här i Sverige vid sådana brott som anses internationellt sett vara ganska låga152 även traditionen i viss om mån tycks vara på väg att brytas.153 I sammanhanget bör även lagen 1979:800 om namn och bild i reklam nämnas. Näringsidkare får enligt lagen inte använda någon annans namn eller bild i reklamsammanhang utan dennes samtycke 1 §. Förutom regler om bl.a. straff och ekonomiskt skadestånd finns det uttrycklig been stämmelse om att den som har blivit kränkt kan få ideellt skadestånd.

160 Uppgifter omfattas bestämmelsen som av är sådana varigenom man utpekar någon som brottslig eller klandervärd i sitt levnadssätt eller sådana som i övrigt är ägnade att utsätta någon for andras missaktning. 161 l kap. 3 § skadeståndslagen. 162 SOU 1992:34 255. Kommittén ideell skada farm s. om att ersättningsnivån då 1992 brukade ligga någonstans mellan 5 000 och 25 O00 kr. Kommittén ansåg att en viss höjning av ersättningarna vid ärekränkningsbrott kunde motivevara rade. 153 Se NJA 1994 s. 637 där flera kända svenskar tilldömdes ideellt skadestånd på 100 000 kr för förtal. Brottet bestod i att tidningen Svenska Hustler hade monterat deras porträtt på pomografiska bilder.

SOU 1997: 39 Förhållandet till yttrandefriheten 231

10.3.3 Beriktigande och genmäle

10.3.3.1 Allmänt

Med beriktigande rättelse faktauppgift och med genmäle bemö-

avses av tande värdeomdöme. Skillnaden kan också beskrivas så att ett- genmäle

av oftast måste utformas och framföras av den berörde älv, medan ett beriktigande utformas och införs av utgivaren.154

10.3.3.2 Pressen

Det finns inte någon lagstadgad rätt till beriktigande och genmäle beträffande uppgifter har förekommit i pressen, utan denna rätt bygger

som på frivilliga åtaganden från pressföretagen. TF innehåller emellertid två bestämmelser anknyter till frågan. I 1 kap. 4 § andra stycket anges att

som domstolen, när den skall bestämma påföljd för ett tryckfrihetsbrott, skall särskilt beakta rättelse felaktig uppgift har publicerats. Vidare

om av en

i 7 kap. 6 § andra stycket att om en tidning har fällts för ett äreanges kränkningsbrott, domstolen kan förordna att domen skall införas i tidningen. De pressetiska reglerna dessa nedan innehåller be-

mer om

stämmelser att felaktiga sakuppgifter skall rättas när det är påkallat,

om och att den har ett befogat anspråk att bemöta ett påstående skall be-

som redas tillfälle till genmäle. Allmänhetens pressombudsman PO har bl.a. till uppgift att bevaka att de pressetiska reglerna följs och bistå enskilda i sådana sammanhang. Pressens opinionsnämnd PON, som är en av

själv inrättad hedersdomstol, har bl.a. till uppgift att avgöra ärenpressen den gäller överträdelser av de pressetiska reglerna. PON:s bedöm-

som ningar redovisas i form av uttalanden som en klandrad tidning är skyldig att publicera.

10. 3.3.3 Radio och TV

I YGL finns inte heller någon bestämmelse om rätt till beriktigande eller genmäle. I public service-företagens radio- och TV-företagens avtal med staten finns dock sådana bestämmelser. Denna ordning grundar sig på en regel i radiolagen 1966:755.155 Enligt avtalen skall företagen beriktiga felaktiga sakuppgifter när detta är påkallat och bereda den som har befogat

164 Prop. 1995/96:160 100.

s. 165 7§lst.lp.

232 Förhållandet till yttrandefriheten SOU 1997: 39

anspråk på att bemöta ett påstående tillfälle till genmäle. Bestämmelserna innebär också att företagen är skyldiga att publicera beriktigande och

genmäle. Granskningsnämnden för radio och TV övervakar att reglerna följs.

På radio- och TV-området finns i lagen 1992:1356 satellitsänd-

om ningar av televisionsprogram som trädde i kraft den 1 januari 1994166

en bestämmelse om skyldighet att sända beriktigande 12 §. Bestämmelsen infördes som ett led i Sveriges anpassning till EG:s direktiv 89/552/EEG om TV-sändningar till allmänheten. Direktivet innehåller regel artikel

en 23 som föreskriver att varje land skall till att alla fysiska och juridiska

se personer skall ha rätt till beriktigande eller liknande åtgärd. Regeringen konstaterade i samband med satellitlagens tillkomst att direktivets krav uppfylldes väl av bestämmelserna i avtalen som gäller beträffande marksänd television, särskilt som reglerna kompletteras bestämmelser

av om ärekränkning och reglerna om otillbörlig marknadsföring157 Liknande regler skulle därför införas för satellitsändningar. Eftersom avtalsvägen inte var öppen för sändningar enligt satellitlagen måste bestämmelsen tas in i lagen. För att det inte skulle uppstå någon kollision med bestämmelsen i YGL 3 kap. 4 § som föreskriver att den som sänder programmet självständigt avgör vad som skall förekomma i programmet, står det emellertid programföretaget fritt att välja i vilken form beriktigandet skall offentliggoras.

10. 4 Förslag till lagreglering

Frågan huruvida rätten till beriktigande och genmäle skall regleras i lag har aktualiserats vid skilda tillfällen under årens lopp. Genmälesrätten togs bl.a. upp av Massmedieutredningen SOU 1975:49.168 Utredningen diskuterade för- och nackdelar med att grundlagsreglera rätten till beriktigande och genmäle. Utredningens majoritet menade sådan reglering

att en skulle innefatta så stora lagtekniska och organisatoriska svårigheter att frågan i vart fall tills vidare skulle överlämnas till självsanerande

pressens verksamhet. Däremot ansåg utredningen att det i den föreslagna

nya massmediegrundlagen skulle tas bestämmelser motsvarade l kap.

som 4 § andra stycket och 7 kap. 6 § andra stycket TF se dessa bestämmel-

om ser ovan under avsnitt 10.3.3.2. Genom dessa regler skulle grundlagen,

166 SFS1993:1646. 167 Prop. 1992/93:75 5.30. 168 Beträffande tidigare förslag sou 1994:105 173-175.

se s.

SOU 1997: 39 Förhållandet till yttrandefriheten 233

enligt utredningen, uttryck den allmänna grundsatsen att rättel-

anses ge

skall ske då det kan anses befogat. När det gällde radio och TV föreslog se utredningen att programföretagen i grundlagen intagen särskild

genom en bestämmelse därom skulle åläggas att utöva sin rätt att sända på ett sakligt och opartiskt sätt. Därav skulle följa, menade utredningen, att tillfälle skulle beredas till beriktiganden och genmälen.169 Frågan diskuterades

även Radioutredningenlm och Yttrandefrihetsutredningen171. Utred-

av ningarna kom till slutsats som Massmedieutredningen, nämligen att

samma nackdelarna med sådan lagreglering övervägde fördelarna. I det lag-

en stiftningsärende föregick satellitlagen diskuterades frågan om inte

som YGL borde ändras så att Granskningsnämnden tidigare Kabelnämnden kunde besluta vilket sätt beriktigandet skulle ske. Frågan hänsköts

emellertid till Radi0lagsutredningen.172

På tid har frågan beriktigande och genmäle diskuterats av

senare om Radiolagsutredningen i förslaget till ny radio- och TV-lag. Efter utredningens förslag har det införts bestämmelse i den nya radio- och TV-

en lagenl73 innebär att felaktiga uppgifter som har förekommit i ett TV-

som

inte är reklam och har sänts trådlöst, skall beriktigas när program som som det är befogat, och att detsamma bör ske om sådana uppgifter förekommer i TV-program sänts tråd.174 Bestämmelsen omfattar således

ett som genom endast beriktiganden och inte genmälen. TV-direktivets bestämmelse om genmäle har därmed också tillgodosedd.175 l motiven diskute-

ansetts vara rades också frågan FV-direktivet kräver att YGL ändras så att det går

om att lagstadga hur tillrättalägganden skall publiceras. Regeringen utta-

om lade dock att det inte kan föreligga något inhemskt behov av sådana

anses bestämmelser och att den osäkerhet kan finnas i fråga om den före-

som slagna bestämmelsen beriktiganden uppfyller direktivet, inte är ett till-

om räckligt starkt skäl för att ändra i grundlagen. De grundläggande princi-

i 3 kap. 4 § och 4 kap. 3 § YGL om det redaktionella oberoendet och perna

169 sou 1975:49 159-160, även Ds 1994:51 65 och sou 1994:105 175-176.

s. se s. s. 170 SOU1977:19. 171 SOU1983:70. 172 Prop. 1992/93:75 32.

s. 173 sou 1994:105, Prop. 1995/962160, KU 1995/96:29 och rskr. 1995/96:296. 174 6 kap. 3 § Radio- och TV-lag 1996:844, 100-101. Anledningen till att

a. prop. s.

skyldigheten att beriktiga har gjorts frivillig när det gäller trådsändningar är att YGL

inte ansesmedge att en sådan reglering sker 3 kap. l §. 175 Prop. 1995/962160 101.

s.

234 Förhållandet till yttrandefriheten SOU 1997: 39

utgivarens ensamrätt borde enligt regeringen alltså inte inskränkas. Vidare konstaterade regeringen att det följer reglerna för god publicistisk sed

av att ett tillrättaläggande skall publiceras så att det har den åsyftade effekten.176

Även frågan genmäle diskuterades i förslaget till radio- och TV-

om ny lag. Regeringen konstaterade att frågan om lagstadgad genmälesrätt

en skall införas bör avgöras uteslutande med utgångspunkt i de inhemska behoven av en sådan reglering. Som nyss nämnts ansågs det tillräckligt för införlivandet av TV-direktivet att bestämmelse beriktigande infor-

en om des. Regeringen ansåg att genmälesrätten inte bör regleras i lag. Som skäl för detta det begränsade behovet lagreglering, den troligen

angavs av en begränsade effekten av en sådan, risken för att genmälesrätten missbrukas i yttrandefrihetsbegränsande syfte, betänkligheter att införa sådan rätt

av en för verksamhet för vilken etableringsfrihet och mångfald i princip råder samt de lagtekniska och organisatoriska svårigheter införandet

som av en sådan rätt skulle medföra.177

10.3.4 Privatlivets fred

10. I Sjéilvsanering

Inom det massmediala området förekommer självsanerande verksamhet. En stor del av de regler till skydd för den personliga integriteten till-

som lämpas på det massmediala området bygger på frivilliga överenskommelser och åtaganden. Flera massmedieorgan har antagit de etiska reglerna Etiska regler för radio och tv. Reglerna syftar bl.a. till att skydda

press, enskilda mot oförskyllt lidande genom publicitet och innehåller anvisningar bl.a. under följande rubriker. 0 Ge korrekta nyheter 0 Ge plats bemötanden 0 Respektera den personliga integriteten 0 Var varsam med bilder 0 Döm ingen ohörd 0 Var försiktig med namn

176 Prop. 1995/962160 143.s. 177 Prop. 1995/96:16O 103, sou 1994:105 301.

s. seäven s.

Förhållandet till yttrandefiiheten 235 SOU 1997: 39

Pressens Opinionsnämnd och Allmänhetens pressombudsman utgör viktiga inslag i självsanerande verksamhet och övervakar att de pressens etiska reglerna följs. Public service-företagens avtal med staten innehåller krav på att den enskildes privatliv skall respekteras i programverksamheten inte ett oavvisligt allmänt intresse kräver annat. Granskningsnämnden om för radio och TV tidigare Radionämnden övervakar granskning i genom efterhand att sändningamas innehåll inte avviker från radiolagen och de särskilda avtal slutits på området. som Radiolagsutredningen gjorde undersökning beträffande efterlevnaen den de bestämmelser som gäller för public-serviceföretagens programav verksamhet och de pressetiska reglerna. Undersökningen omfattade bl.a. överträdelser regler till skydd för privatlivets helgd och rätten till berikav tigande och genmäle. Utredningens slutsats att efterlevnaden av reglervar

na var god.173

10.3.4.2 Förslag till lagreglering

Personlighetsrätten har tradition inte någon framträdande position i av svensk rätt. I andra länder däremot förekommer att man har en sådan rätt till sina personliga uppgifter. Lagen 1979:800 om namn och bild i egna reklam har uppfattats den första och hittills enda lag som helt rör persom

sonlighetsrätt.179

Det har framförts förslag till lagreglering skyddet för privatlivets av fred. Integritetsskyddskommittén redovisade tre tänkbara lösningar till hur utökat skydd för den enskilde skulle kunna genomforas.130 Ett förslag ett innebar det i TF och brottsbalken skulle tas in straffbestämmelse om att en brott privatlivets fred. Därmed skulle gämingen vara straffbar även mot den begicks massmedier och det skulle finnas en möjlighet att om genom få skadestånd. Ett annat förslag att det skulle införas en ordning som var gjorde det möjligt att få skadestånd vid ett intrång i privatlivet även om intrånget inte straffbart. Det tredje alternativet att behålla den nuvavar var rande ordningen dvs. att låta regleringen ske genom massmediernas

självsanerande verksamhet. I det lagstiftningsärende därefter följde

som och ledde fram till YGL ansågs det också att man även i fortsättsom

178 sou 1994;1o5 292 och 303o1. s. 179 Ulf Bemitz, m.fl., Immaterialrätt, 5 uppl., 1995, 78. s. 180 sou 1980:8.

236 Förhållandet till yttrandefriheten

SOU 1997: 39

ningen skulle lita till den självsanerande verksamheten i dessa frågor.181 Ytterligare förslag i frågan har väckts därefter avvisats. En redogö-

men relse för förslagen finns i den nedan nämnda studien, Ds 1994:51.

På senare tid har problematiken kring skyddet för den personliga integriteten i bl.a. massmediala sammanhang behandlats bl.a. i studien Skyddet för enskilda personers privatliv Ds 1994:51. I studien framförs att en viktig metod för att stärka integritetsskyddet kan att hindra att

vara personrelaterat, känsligt material utnyttjas eller sprids på ett icke önskvärt sätt t.ex. i massmedier.182 Vidare diskuteras i studien tänkbara åtgärder i det sammanhanget bl.a. införandet straffbestämmelse i TF och

av en ny YGL till skydd för privatlivets fred. Studien, som inte innehåller något konkret förslag, har följts upp i Rapport 1995-03-15 skyddet för

om enskilda personers privatliv ett mer samlat grepp

-

10.4 Yttrandefriheten i massmedier nya

Regeringen har nyligen tillsatt en kommitté som skall analysera TF:s och YGL:s tillämplighet på nya medier som används vid förmedling yttran-

av den och annan information till allmänheten, Mediekommittén.133 I direktiven till kommittén aktualiseras också frågan om det skall införas ett grundlagsskydd även för moderna medier inte har sådant skydd i dag.

som

10.5 Internationella förhållanden

10.5.l EG-direktivet

I EG-direktivet finns regel att medlemsstaterna skall göra undantag

en om för vissa av direktivets bestämmelser för behandling personuppgifter

av som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande artikel 9. Sådana undantag och avvikelser får dock beslutas endast om de är nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefriheten. Artikeln får uppfattas förpliktelse att

som en

181 Prop. 1986/87:15l 44.

s. 182 Ds1994:51s.173. 133 Dir. 1994:104.

Förhållandet till yttrandefriheten 237 SOU 1997: 39

integritetsskyddet till yttrandefriheten. Direktivet anger inte näranpassa hur denna anpassning skall göras, utan detta får avgöras av varje enmare skilt land. Kommissionen har i sin förklaring anfört exempel på faktorer kan beaktas vid intresseavvägningen; möjligheten till rättslig prövsom ning eller rätten till replik, förekomsten uppförandekodex, de gränser av en läggs fast i Europarådskonventionen de mänskliga rättighesom om tema184 allmänna rättsprinciper. En redogörelse för direktivets besamt stämmelse finns under avsnitt 3.3.

10.5.2 Europarådsbestämmelser

de mänskliga rättigheterna innehåller två ar-

Europarådskonventionen om

tiklar har betydelse i detta sammanhang. Artikel 8 ger skydd för prisom vatlivet, och i den praxis har utvecklat sig vid tillämpningen av konsom har fastslagits att det skydd för privatlivet denna artikel ger ventionen som dataskydd.185 Enligt artikeln få det göras undantag från omfattar även skyddsregeln för vissa andra intressen har bestämts i lag och som är som nödvändiga i demokratiskt samhälle. Konventionens artikel 10 skyddar ett Denna innefattar enligt bestämmelsen åsiktsfrihet samt

yttrandefriheten.

och sprida uppgifter och tankar utan inblandning av frihet att mottaga myndighet och oberoende territoriella gränser. På motsvarande offentlig av enligt artikel 8 får inskränkningar göras är nödvändiga för att sätt som som andra för demokrati viktiga intressen inte skall trädas för när. en Europarådets dataskyddskonvention syftar till att skydda den enskildes till integritet i samband med automatisk databehandling av

rätt personlig

personuppgifter. För utförligare redogörelse för konventionen se aven snitt 4.3. Konventionen innehåller inte någon uttrycklig regel om hur databehandling personuppgifter det massmediala området skall hanteav Dock finns det bestämmelse artikel 9.2.b medger att undanras. en - - som i lag från vissa bestämmelser i konventionen, det är nödväntag görs om för skydda den registrerade eller andra fri- och digt att personen personers Med sådana andra rättigheter bl.a. yttrandefrirättigheter. personers avses heten.135 Konventionen emellertid inte närmare på vilket sätt denna anger avvägning skall göras.

184 Konvention d. 1950 angående skydd för de mänskliga rättigheterna och de 4 nov. grundläggande frihetema. 185 Prop. 1987/88:57 s. 186 SOU 1993:10 118. s.

238 Förhållandet till yttrandefriheten SOU 1997: 39

10.5.3 En internationell jämförelse

För den avvägning som måste göras angående persondatalagens tillämpning på bl.a. massmediernas behandling av personuppgifter kan det vara av intresse att göra jämförelser med andra länder. Jämförelsen bör i två göras avseenden, dels om massmedierna omfattas eller är undantagna från av dataskyddslagstiftningen dels vilket skydd i övrigt finns för den som personliga integriteten i massmediala sammanhang. Det som vid en internationell jämförelse kan sägas karakterisera det svenska skyddet för personlig integritet i massmediala sammanhang kan kortfattat beskrivas på följande sätt. Det finns inte något undantag i datalagen för massmediernas behandling personuppgifter. Den praxis har av som förekommit under år har emellertid inneburit datalagen inte tillsenare att lämpas på viss behandling inom det massmediala området. I huvudsak har behandlingar som ansetts omfattas av grundlagsskyddet i TF och YGL undantagits från datalagens tillämpning. Yttrandefriheten har en stark ställning och är grundlagsskyddad. Offentlighetsprincipen gör att många personuppgifter är tillgängliga för var och en. Meddelarskyddet gör att även sekretessbelagda uppgifter helt lagligt kan komma till massmediernas kännedom. När det gäller straffrättsliga bestämmelser är reglerna ärekränkning aktuella. Vid bedömningen om av ärekränkningsbrott har skett i massmediala sammanhang finns som en bestämmelse innebär att särskilt skall beakta betydelsen som man av yttrandefriheten och i tveksamma fall hellre fria än falla.187 Något straffrättsligt skydd i övrigt för privatlivet finns inte.188 För att en person om vilken det har publicerats uppgifter skall kunna få skadestånd för den kränkning detta kan ha inneburit, krävs det publiceringen har innefattat att ett brott, t.ex. förtal. Någon lagstadgad rätt till genmäle och beriktigande finns i huvudsak inte utan dessa institut är föremål för massmediernas sjäivsanerande verksamhet. Uppgifterna i sammanfattningen nedan har hämtats dels från Datalagsutredningens slutbetänkande SOU 1993:10, dels studien Skyddet för enskilda personers privatliv Ds 1994:51 dels ock studien Data protection and the media som utarbetades expertkommitté inom Europarådet år av en 1991. För ett djupare studium hänvisas till dessa publikationer.

187 Bestämmelsen finns dels i 1kap. 4 § TF, dels i 1kap. 5 § YGL. 188 En sådan bestämmelse har dock föreslagits bl.a. av Integritetsskyddskommittén, SOU 1980:8.

Förhållandet till yttrandefriheten 239 SOU 1997: 39

Danmark undantar i den registerlag gäller på det privata området som sådana register endast innehåller material har publicerats i en pesom som riodisk skrift. Sådana register skall dock anmälas till dataskyddsmyndigheten kan meddela föreskrifter för dem. Utlämnande av personuppgifsom från sådant register får endast ske den registrerade har samtyckt, ter ett om det följer lag eller uppgifterna lämnas ut för att publiceras i en periodisk av skrift. Den registrerade har även rätt till insyn i ett sådant register. Yttrandefriheten är grundlagsfäst har inte några klart angivna men gränser. Grundlagsskyddet innebär i första hand censurförbud. I övrigt gäller vanliga lagar även på yttrandefrihetens område. Den personliga integriteten i massmedier skyddas förutom regler mot ärekränkning av - av straffrättsliga regler till skydd för privatlivets fred. Bestämmelserna bygger på det görs intresseavvägning mellan den enskildes intresse av att att en uppgifterna skyddas och allmänintresset att de offentliggörs. Domstolen av förordna förbud fortsatt kränkande verksamhet. Den enskilde kan om mot få skadestånd för integritetskränkningar i massmedier utan att det finns kan något bakomliggande brott. De pressetiska reglerna har lagreglerats i medieansvarsloven. Lagen omfattar alla massmedier, både tidningar och radio och TV. Lagen innehåller bl.a. bestämmelse beriktigande. en om Pressnämnden bevakar att lagen följs och den kan ålägga den klandrade att publicera avgörande. Om ett klandrat massmedieföretag underlåter att ett sig efter nämndens beslut gör det sig skyldigt till ett brott. Den saken rätta prövas vanlig domstol i ett brottmål. av Finland har under år gjort ändringar i sin personregisterlag så att senare tillämpas på massmediernas s.k. redaktionella register endast då det lagen fråga skydd för register och övervakning detta, dvs. när det är om ett om av gäller säkerhetsfrågor. Med ett redaktionellt register avses ett personregisskall användas enbart i massmedialt redaktionsarbete och som inte ter som kan nyttjas andra än de utför sådant arbete. Personregisterlagen av som tillämpas inte sådana personregister innehåller enbart publicerat som material. 139 Grundlagsskyddet för yttrandefriheten är inskränkt än i Sverige, mer det föremål för översyn. Finland har ett omfattande straffrättsmen är mer ligt skydd insamling och offentliggörande uppgifter om privata förmot av hållanden. Det straffbart sprida uppgifter någon annans privatliv är att om ägnade orsaka skada eller lidande. Tryckfrihetslagen innehåller som är att beriktigande och genmäle. Den självsanerande verksamheten regler om

189 311/1993 rd. Proposition nr

240 Förhållandet till yttrandefiiheten SOU 1997: 39

leds av Opinionsnämnden för Massmedier prövar frågor rörande god som journalistisk sed på det massmediala området. Nämnden är inte bunden av någon särskild regelsamling utan kan fatta sina beslut efter fri prövning. en Norges personregisterlag tillämpas i princip även på de massmediala personregistren. Det har dock gjorts undantag för vissa register som används internt för redaktionellt arbete. Den registeransvarige måste då följa vissa fastställda föreskrifter. För att få tillgång till ett massmedieföretags register on-line krävs tillstånd dataskyddsmyndigheten. av Liksom i Danmark och Finland finns särskild straffrättslig regel en om kränkning av privatlivets fred. Rätten till beriktigande är lagfäst och straffsanktionerad. Den självsanerande verksamheten är uppbyggd på samma sätt som i Sverige. I England är datalagen tillämplig även på databehandling inom det massmediala området. Det finns liksom i Sverige inte något generellt skydd för den personliga integriteten, det finns andra regler indirekt sådant skydd. men som ger De straffrättsliga reglerna om t.ex. ärekränkning tillämpas emellertid sällan, utan det är främst rätten till skadestånd är aktuell i sammanhanget. som Det räcker inte att det har gjorts ett intrång i privatlivet det måste utan finnas en av rättspraxis bestämd ytterligare skadegörande handling - - som grund för skadeståndsanspråket. Den självsanerande verksamheten fungerar ungefär som i Sverige. I Frankrike undantar dataskyddslagen i viss utsträckning pressorgan, tryckta skrifter samt radio och TV inom för de lagar gäller för ramen som dem och i de fall då en tillämpning datalagens bestämmelser skulle leda av till inskränkning yttrandefriheten. Lagens bestämmelser bl.a. förbud av om mot registrering av vissa känsliga uppgifter och kravet på medgivande vad gäller dataflöde över gränserna gäller dock även på det massmediala området. Yttrandefriheten erkänns grundläggande frihet, den är inte som en men absolut utan är underkastad övriga lagar. Den enskilde har enligt fransk rätt ett relativt vidsträckt skydd för sin personliga integritet. Det lagfästa skyddet omfattar, förutom bestämmelser ärekränkning, beom även stämmelser om skydd till förmån för privatlivets fred. Skyddet tillgodoses genom såväl straffrättsliga som civilrättsliga regler främst rätten till skadestånd. Domstolen kan fatta beslut att pågående kränkning skall om en upphöra genom åtgärder som i det enskilda fallet kan lämpade. vara mest Rätten till genmäle är lagfäst och mycket vidsträckt. Den omfattar både beriktigande av faktauppgifter och bemötande värdeomdöme eller kriav

Förhållandet till yttrandefriheten 241 SOU 1997: 39

tik. till genmäle skall föreligga krävs sålunda inte att den ak- För att rätt tuella publiceringen har varit ärekränkande, nedsättande eller på annat vis skadevållande. Rätten till genmäle i radio och TV är begränsad än vad mer gäller för tidningar. som Tyskland omfattas sådana behandlingar utförs uteslutande för I som publicistiska ändamål pressföretag, radioföretag och filmföretag egna av endast den tyska federala dataskyddslagens bestämmelser om datasäav kerhet. Lagens övriga regler tillämpas dock på sådana uppgifter, om dessa används för andra syften, de utlämnas till någon utanför det egna t.ex. om företaget. Yttrandefriheten är grundlagsfäst inte absolut. Av författningsmen domstolens praxis framgår att yttrandefriheten skall balanseras mot andra intressen den i grundlagen likaså skyddade personliga värdigheten. t.ex. Den enskilde skyddas förutom straffrättsliga regler om ärekränkning - av den civilrättsliga regleringen kring den s.k. allmänna personlighetsav Ett intrång i den personliga sfären kan utgöra kränkning av perrätten. en sonlighetsrätten det vid avvägning i det enskilda fallet visar sig att om en intrånget obefogat. En förvanskande, negativ pressartikel eller uppspelvar icke medgiven upptagning bandinspelning kan utgöra såning av en av en dana kränkningar. Den kränkte kan få skadestånd och rätt till beriktigande. Nederländerna har ett undantag för datafiler uteslutande används som sprida offentlig information radio och TV. Syftet med för att genom press, bestämmelsen är att göra undantag för sådana regler i datalagen som kan innebära inskränkningar i yttrandefriheten, när behandlingen av personuppgifter alltid leder till resultat blir offentliga. Att uppgifterna blir som offentliga gör det möjligt för den enskilde att kräva rättelse av felaktiga uppgifter. Försummas detta kan det leda till påföljd för massmedieföreta-

get. Den österrikiska datalagen är till största delen inte tillämplig sådan behandling utförs medieföretag i syfte att stödja den publicistiska som av verksamheten. Vissa bestämmelser, t.ex. beträffande säkerhet, är dock tilllämpliga även sådan behandling. Den österrikiska medialagen innehåller i gengäld bestämmelser till skydd för den personliga integriteten. Bland övriga länder undantar eller har för avsikt att undanta som massmedier från datalagstiftningen kan nämnas Belgien och Schweiz. I 1sland, Irland och Luxemburg görs inget undantag från datalagens tillämpning för massmedier.

242 Förhållandet till yttrandefriheten SOU 1997: 39

10.6 Närmare normkonflikten om

10.6.1 Allmänt

I datalagen görs inte något undantag för register innehåller som personuppgifter inom det massmediala området. Enligt ordalydelsen omfattar datalagens bestämmelser även sådan registrering. Datalagsutredningen fann emellertid att de föreskrifter i bl.a. datalagen Datainspektionen har som att tillämpa i sin verksamhet kan komma i strid med vissa föreskrifter i TF och YGL. Utredningen pekade bl.a. på att villkor Datainspektionen som kan meddela för förandet ett visst personregister kan komma i konflikt av med reglerna om förbud mot censur och andra hindrande åtgärder. Vidare kan enligt utredningen Datainspektionens tillsynsverksamhet inkräkta på rätten till anonymitetsskydd.190 Normkonflikten tycks inte har uppmärksammats i samband med tillkomsten av datalagen. Datalagsutredningen tog även frågan förhållandet mellan å upp om ena sidan de aktuella bestämmelserna i TF och YGL och å andra sidan bestämmelsen i 2 kap. 3 § RF varje medborgare i den utsträckning som ger — som närmare anges i lag skydd mot att hans personliga integritet kränks — genom att uppgifter om honom registreras med hjälp automatisk dataav behandling. Utredningen anförde bl.a. följande. Bestämmelsen i 2 kap. 3 § RF skall visserligen ses mot den bakgrunden att integritetsfrågoma har en särskild vikt på ADB-området. Förmågan att skydda den personliga integriteten är nämligen avgörande betydelse för utvecklingen på ADBav området. En grundförutsättning för att ADB-tekniken skall kunna utnyttjas är att människorna inte känner främlingskap och upplever tekniken som ett hot mot den personliga integriteten. Genom bestämmelsen i 2 kap. 3 § RF fick integritetsskyddet på dataområdet fastare förankring en än genom målsättningsstadgandet i 1 kap. 2 § RF. Det föreligger emellertid prinen cipiell skillnad mellan föreskrifterna förbud och andra om mot censur hindrande åtgärder i TF och YGL samt bestämmelsen i 2 kap. 3 § RF. Bestämmelserna i TF och YGL riktar sig till myndigheter eller andra allmänna organ. Med det sistnämnda uttrycket även regeringen och avses riksdagen. TF och YGL förbjuder således Datainspektionen vidta någon att som helst åtgärd kan verka hindrande på sätt i TF och som som anges YGL. Det nya stadgandet i 2 kap. 3 § RF har emellertid lagstiftaren alltså -

190 sou 1993:10 125. s.

Förhållandet till yttrandefiiheten 243 SOU 1997: 39

riksdagen adressat. Mot bakgrund det sagda måste man utgå från som av - Datainspektionen, i såväl ett enskilt fall vid normgivning, måste att som föreskriften i 2 kap. 3 § RF.191 böja sig för TF och YGL, trots Datalagsutredningen fann således att TF och YGL vid normkonflikt tar datalagen. Av avgörande betydelse för principfrågan var enligt utöver redningen den grundlagsskyddade friheten att yttra sig i skrifter och att andra medier inte bör begränsas, det inte är nödvändigt med hänsyn till om motstående intresse. Något så uttalat intresse att begränsning bör ske en fanns enligt utredningens mening inte. Utredningen beaktade i det sammanhanget de pressetiska reglerna och den höga etiska standard även den svenska i huvudsak håller. Man kunde enligt utredningen som pressen inte heller bortse från att de möjligheter det här är fråga om för en som myndighet ingripa mot t.ex. tidningarna i förlängningen kan innebära att hot den fria åsiktsbildningen. Någon saklig ändring skulle med ett mot andra ord inte göras i nuvarande ordning. Däremot borde vissa förtydliganden göras i datalagen för att vilka slag av datasamlingar som unange dantas från datalagens tillämpningsområde. Genom avgörande av regeringen på tid har utredningens slutsatser i detta sammanhang besenare kräftats.192

10.6.2 Datalagsutredningens förslag och remissutfallet

För klargöra vilka dataregister skulle undantagna från datalaatt som vara

tillämpningsområde, gjorde Datalagsutredningen en genomgång av

gens vilka olika registreringar kunde tänkas förekomma i massmediala som sammanhang. Även inom massmedieföretagen förekommer registrering av för administrativa ändamål, kundregister, marknadsfö-

personuppgifter

ringsregister Samma regler borde enligt utredningen gälla här som m.m. för andra företag. Utredningen fann till början att undantag borde göras för produken dvs. register används ett direkt tekniskt hjälpmedel tionsregister, som som före eller vid framställningen ett grundlagsskyddat yttrande. Exempel av detta artiklar utgör slags register över kända personers deklaär som ett rerade inkomster, över framstående avlidna personer under ett år och över

191 sou 1993;1o 136. s. 192 Jämför regeringens beslut 1994-04-14, Dnr 93-3260, som finns omnämnt under avsnitt 10.6.3.

244 Förhållandet till yttrandefiiheten SOU 1997: 39

medlemmar i förening. Även familjesidoma en kan sägas vara exempel på sådana register. Utredningen övervägde att låta sådana register omfattas vissa beav stämmelser i datalagen inte kolliderar med förbudet hindrande som mot åtgärder, t.ex. viss del Datainspektionens tillsynsverksamhet och den av persondataansvariges allmänna skyldigheter. Emellertid fann utredningen att en sådan tillämpning skulle vara av ringa värde och dessutom leda till gränsdragningsproblem. Slutsatsen blev därför att registren borde undantas helt.l93 Ett undantag var enligt utredningen även nödvändigt för datasamlingar som innehåller uppgifter omfattas anonymitetsskyddet om personer som av i TF och YGL. Det finns risk, ansåg utredningen, för sådana annars att uppgifter kan komma fram t.ex. i samband med tillsyn Datainspektioav nen.194 Vidare resonerade utredningen kring begreppet källregister. Med sådana avsågs register från vilka journalister och andra hämtar material till artiklar m.m. Sådana register kan t.ex. innehålla uppgifter meddelare om tipsare, de kan utgöras inkomna telegram, redan publicerat material av eller andra utkast. Flera de datasamlingar förs hos Sveriges Radioav som koncernen skulle också källregister i den angivna meningen. En vara ovan del av dessa datasamlingar skulle redan på grund utredningens tidigare av förslag vara undantagna från den datalagens tillämpningsområde, på nya grund av att de är register över meddelare eller på grund att de samtidigt av har karaktär produktionsregister. Efter ytterligare förordade av resonemang utredningen slutligen att något generellt undantag inte skulle göras i den kommande datalagen för källregister. Utredningen underströk att förslaget givetvis inte innebar att Datainspektionen skulle få utöva sin tillsynsverksamhet på sådant sätt att de aktuella bestämmelserna i TF och YGL skulle komma att överträdas. Däremot borde enligt utredningen undantag göras för sådana källregister som utgör register över anonymitetsskyddade personer. Utredningen uppmärksammade särskilt problematiken kring klipparkiven, som utgör arkiv över artiklar varit publicerade. Till den del klippsom arkiven används på tidningsredaktionema for den journalistiska verksamheten borde de enligt utredningen undantas från datalagens tillämpningsområde. Skälet för detta att klipparkiven i detta sammanhang har betyvar

193 sou 1993:1o 138. s. 194 A. sou 138 och 139. s.

39 Förhållandet till yttrandefriheten 245 SOU 1997:

delse för utövandet tryckfriheten.195 I den utsträckning som allmänheav kan utnyttja dem är arkiven dock något annat än källregister. I det ten sammanhanget påpekade utredningen att klipparkiven med tiden kommer bestå mängd personuppgifter, inte så få känslig naatt av en stor varav av Uppgifterna kommer att kunna återsökas, bearbetas och sammanställas tur. med lätthet. Uppgifterna kommer vidare att bevaras under lång tid. stor exempel integritetskänslig bearbetning kan nämnas att alla Som ett en artiklar brottsliga förehavanden inhämtas. En sådan som rör en persons sammanställning kan i praktiken jämställas med ett kriminalregisterutdrag. Sammanställningen är emellertid betydligt känsligare bl.a. därför att uppgifter i kriminalregistret avförs efter viss tid. Utredningen stannade ändå en slutligen för lösning innebar att klipparkiven helt undantogs från en som datalagens tillämpningsområde. Det avgörande skälet för utredningens ställningstagande att datasamlingama endast innehåller ett återgivande var tryckta skrifter, allmänheten rimligen bör ha rätt att ta del av. Det av som svårt, menade utredningen, att tänka sig ordning innebär att det är en som skall Datainspektionen villkor kan bestämma vilytterst vara som genom ken tillgång allmänheten skall ha till tryckta skrifter. Utredningen inte enig i sina ställningstaganden. Några reservanter var ansåg undantaget för klipparkiven i förslaget alltför omfattande. att var Enligt borde datalagen gälla för klipparkiven i den mån de reservantema används för andra ändamål än tidningarnas och programföretagens joumalistiska verksamhet. En reservation avsåg källarkiven. Enligt reserannan borde undantag göras även för sådant material samlas in för vantema som det skall ingå i eller ligga till grund för innehållet i tryckt skrift eller att en för andra yttranden som omfattas av grundlagsskyddet. Även från många remissinstanser framfördes kritik när det gällde klippoch källarkiven. Riksdagens ombudsmän och Universitetet i Lund Juridiska fakultetsstyrelsen anslöt sig i huvudsak till båda de avvikande meningar hade framförts reservantema. Justitiekanslern, Hovrätten som av Skåne och Blekinge, Sveriges advokatsamfund m.fl. ansåg att undanöver för källarkiven borde göras omfattande. Kammarrätten i Stocktaget mer holm, Kammarrätten i Göteborg, Länsrätten i Stockholms län, Dom-

stolsverket, Överåklagaren vid Regionåklagarmyndigheten i Malmö m.fl.

ansåg undantaget för klipparkiven borde inskränkas i enlighet med reatt mening. Från massmediehåll riktades i stort sett samfälld kriservantemas inte samtliga källregister hade undantagits. Dessa instanser påtik mot att

195 A. sou 142. s.

246 Förhållandet till yttrandefiiheten SOU 1997: 39

talade också att praktiska svårigheter skulle uppstå att hålla isär sådana register som var underkastade datalagens tillämpningsområde och sådana

som var grundlagsskyddade och därmed undantagna.

l0.6.3 Några regeringsavgöranden

Regeringen har under senare år fattat del beslut handlar datalaen som om gens tillämpning på yttrandeområdet. Besluten, har betydelse för vårt som fortsatta resonemang, refereras i det följande.

Beslut 1994-04-14, Ju 93-3260. En journalist hade ansökt tillstånd om enligt datalagen att få inrätta och föra ett personregister i syfte skriva att en

bok med hjälp ett ord- och textbehandlingsprogram. I av behandlingen

skulle ingå sådana känsliga personuppgifter det krävs synnerliga eller som särskilda skäl för att få tillstånd till. Texten skulle sedan överlämnas till ett boktryckeri. Datainspektionen avslog tillståndsansökan. Regeringen konstaterade i sitt beslut att tillståndskravet i datalagen måste ställas det i mot 1 kap. 2 § TF uppställda förbudet mot hindrande åtgärder inför bl.a. tryckning av en skrift. Eftersom det aktuella registret skulle användas som ett direkt tekniskt hjälpmedel för att framställa skrift, en var det enligt regeringen utan tvekan så att förbudet i TF omfattade detta. Regeringen undanröjde därför Datainspektionens beslut och förklarade registret att inte

var tillståndspliktigt enligt datalagen.

Beslut 1994-06-30, Ju 94-2310. Bildbasen i Kiruna ansökte hos Datainspektionen tillstånd att inrätta och föra personregistret Bildbanken. om Ändamålet med registret angavs vara att utgöra en marknadsplats för handel med fotografiska bilder. Datainspektionen lämnade tillstånd för registret och meddelade även del föreskrifter. Bolaget överklagade besluen tet och hävdade bl.a. att registret inte omfattades datalagens tillståndsav krav eftersom det åtnjöt skydd TF och YGL. Bilderna skulle nämligen av i stor utsträckning användas i produktionen tidningar, tidskrifter och av böcker. Regeringen konstaterade att datalagen tillämplig på registret. var I skälen för beslutet anförde regeringen bl.a. att bolaget inte avsåg i att egen produktion framställa tryckt skrift eller film och därvid använda sig de av lagrade bilderna. Endast det förhållandet att uppgifterna lagras för vid att senare tillfälle kunna ges ut i form tryckt skrift innebar enligt av regeringen inte att TF:s bestämmelser och andra hindrande åtgärder om censur skulle bli tillämpliga på behandlingen. Slutligen konstaterade regeringen att bolaget inte heller omfattades skyddet i 1 kap. 9 § YGL. av

Förhållandet till yttrandefiiheten 247 SOU 1997: 39

1994-09-15, Ju 94-140. Tidningamas Telegrambyrå AB TT Beslut

TT Nyhetsbanken. Ändamå-

ansökte tillstånd att föra personregistret om let med registret att lagra och återsöka TT-telegram. Uppgifter ur revar gistret skulle lämnas bl.a. till vissa kunder. Datainspektionen meddelade ut med föreskrift gallring. I samband med att TT begärde ändtillstånd en om

gallringsföreskriften prövade regeringen hur tillståndskravet i data-

ring av förhöll sig till bestämmelsen i l kap. 9 § YGL i det aktuella fallet. I lagen skäl konstaterade regeringen att registret fick anses utgöra ett sådant sina i 1 kap. 9 § YGL, att tillståndskravet i datalagen stred register som avses hindrande åtgärder i 1 kap. 3 § YGL och att Datainspekmot förbudet mot därför inte borde ha meddelat något beslut tillstånd. Följaktlitionen om konstaterade regeringen till sist, borde inte heller TT:s ansökan om gen, ändring föreskrifterna ha tagits upp till prövning. av

10.7 överväganden

10.7.1 Allmänt konflikten mellan persondatalagstiftningen om

och yttrandefriheten

framgår det förut anförda kan motsättningar uppstå mellan å ena Som av och å andra sidan skyddet för den personliga integri-

sidan yttrandefriheten kommer till uttryck i persondatalagstiftningen. Vi har i

teten sådant detta det föregående betecknat detta förhållande en normkonflikt. som intressekollision är upphov till normkonflikten kan beskrivas Den som på följande Yttrandefriheten har i Sverige liksom i många andra länsätt. starkt rättsligt skydd. Att fritt få framställa och sprida yttranden av der ett slag grundpelarna i ett demokratiskt samhälle. Yttrandeolika utgör en av skyddad såväl i RF i TF och YGL. Den personliga integrifriheten är som på motsvarande sätt ett intresse i hög grad skyddsvärt. I teten är som anses skyddet för den personliga integriteten i huvudsak uppbyggt Sverige är regler förbjuder vissa åtgärder eller handlingar som typiskt sett kring som medför sådan kränkning. Datalagen är ett exempel härpå. Lagen innehåller

mängder regler vad får göra och inte göra med personuppgifter av om man digitala miljön. Även bestämmelser utanför datalagen särskilt i den — har skyddet för den personliga integriteten huvudstraffrättsliga som syfte.

248 Förhållandet till yttrandefiiheten SOU 1997: 39

I vissa andra länder finns regler direkt sikte på skyddet som tar för privatlivet. Dansk rätt innehåller t.ex. bestämmelse innebär en som att man kan straffas för att oberättigat ha avslöjat uppgifter privata förhållanom den kan kräva att de borde undanhållas offentligheten. om man Införandet

av en sådan generell bestämmelse till skydd för privatlivet har varit och är föremål för diskussion både i Sverige195 och i andra länder.

Bestämmelsen i 2 kap. 3 § andra stycket RF om att varje medborgare — skall i den utsträckning närmare i lag skyddas hans som anges mot att personliga integritet kränks att uppgifter honom genom om registreras med hjälp automatisk databehandling innebär av visserligen ett åliggande för riksdagen att stifta och vidmakthålla

en persondatalagstiftning.197 Be-

stämmelsen i RF är emellertid allmänt hållen, till skillnad från de detalje-

rade reglerna i TF och YGL. Om skall göras från förbudet avsteg mot cen-

sur och andra hindrande åtgärder i syfte att hindra intrång i personlig integritet, måste detta ske i TF och YGL. Datalagen kan inte tolkas gärna så att riksdagen i den lagen skulle ha fört in bestämmelser innebär som avsteg från viktiga principer rörande yttrandefriheten. Den omständigheten att

datalagen har stöd i RF innebär alltså inte att lagen TF och tar över YGL. Vi delar med andra ord den uppfattning Datalagsutredningen därvidsom lag gav uttryck för och har fått stöd de flesta remissinstanser. som av Konflikten mellan de två intresseområdena har accentuerats i och med

användningen av den digitala tekniken. Stora informationsmängder kan hanteras sekundsnabbt och uppgifter om personer i sådan information kan

med lätthet sökas och sammanställas med andra uppgifter till en fullständig kartläggning den sökta liv och förhållanden. av personens Om man för att skydda den personliga integriteten uppställer hinder för sådana förfaranden kan man å andra sidan göra intrång i yttrandefriheten. En effektiv

persondatalagstiftning kan därför innebära hinder mot yttrandefriheten,

fastän detta inte är alls är avsikten.

Datalagsutredningens förslag beträffande datalagens förhållande till

massmedier har i sina detaljer fått vidkännas kritik i olika hänseenden, särskilt från massmediemas Detta sammanhänger egna organ. särskilt med utredningens användning registerbegreppet. Detta av begrepp härstammar

från stordatortiden och är inaktuellt. Numera förekommer centrala klipp-

arkiv som innehåller i stort sett allt publicerat material i fulltext; undantag kan göras för t.ex. smärre notiser. Varje journalist har en PC där allt veder-

196 Se t.ex. Ds 1994:51. 197 Prop. 1987/88:57 s. 11.

Förhållandet till yttrandefriheten 249 SOU 1997: 39

samlat, material är lätt att söka i och börandes material ligger ett som

i datorn behöver inte innehålla material för nåstrukturera. Ett dokument

bestämd artikel. Uppgifter kan samlas in under grävande joumalistik gon

journalisten ännu vet hur de skall användas. utan att

att deras efterföljd kan kon- Att införa regler i persondatalagen utan

Datainspektionen skulle sätta tilltron till trolleras myndighet som av en

Inspektioner myndigheter berör massmedierna

lagstiftningen i fara. av som

ägnade påverka yttrandefriheten. Bestämmelär emellertid typiskt sett att

kan beröra anonymitetsskyddet inverkar också

ser i persondatalagen som

meddelarskyddet. Detta utgör central del i offentlighetsprincipen. på en

har lösts på olika sätt i olika länder. Vissa har gjort Normkonflikten

för behandling personuppgifter i

undantag från persondatalagstiftningen av

medan andra såsom Sverige inte har gjort massmediala sammanhang, - -

den innebära att inkräktar på det. I formell mening kan ena vägen man

integriteten och den andra att inkräktar på skyddet för den personliga man

Vid den diskussion i ämnet var uppe i

skyddet för yttrandefriheten. som

avsnitt 10.5.3 framgick dock att detta hade vållat få

Europarådet 1991 se

Diskussionen resulterade inte i något klart uttalande

problem i praktiken.

borde företräde i lagstiftningen. Konklusionen vilket intresse som äga om lagstiftaren väljer, måste det intresse så blev i stället att vilken väg än som

säga har blivit förbigånget värnas på annat sätt. att

Normkonflikten torde inte ha observerats vid datalagens tillkomst.

emellertid grundlagarnas prioritet på området blivit erkänd i Numera har

de beslut har fattats regeringen senare tid kan man praxis. Av som av

mening dra den slutsatsen att redan enligt den gällande rätten enligt vår

bestämmelser skall vika i den mån de kolliderar med grundladatalagens

" gama.

i fortsättningen. Vi förordar alltså att be- Principen bör gälla även

utformas så att de inte kommer i konflikt

stämmelserna i persondatalagen

skyddet för yttrandefriheten. Följderna härav bör

med det grundlagsfasta

inte överdrivas. Det är enligt vår mening möjligt att åstadkomma en dock

med olika medel skydd den personliga integriteten lagstiftning som ger

inskränkningar görs i den grundlagsfästa yttrandefriheten.

utan att

bestämmelserna i TF och YGL på olika sätt skydd

Självfallet ger även

den personliga integriteten. Ett sådant skydd följer bl.a. av grundlagarför

för fall där någon enskild har blivit kränkt i ett yttrande, regelsystem nas

tryckfrihetsbrott. Även t.ex. bestämmelserna om att särskilt reglerna om

måste finnas någon kan ställas till för otillåtna yttrandet alltid som ansvar

den kan ett skydd för den enskilde. ses som

250 Förhållandet till yttrandefiiheten SOU 1997: 39

Det finns, som tidigare nämnts, ytterligare funktioner inom massmedieområdet till skydd för privatlivet. Massmediemas självsanerande verksamhet som innefattar rätt till beriktigande och genmäle träffar många yttranden som sprids i samhället, kanske huvuddelen dem av som innehåller personuppgifter. Den omständigheten att digital teknik har använts vid

framställningen av en tidningsartikel kanske innehåller kränkande

som en personuppgift minskar självfallet inte det nämnda skyddet. nu Granskningsnämnden för radio och TV övervakar etennediema att i programverksamheten respekterar den enskildes privatliv.

Det skall dock inte förnekas att möjligheterna, både för myndigheter och enskilda, att ta del och sammanställa personuppgifter ökar av med bl.a. nya distributions- och lagringstekniker. Massmediemas självsanerande verksamhet omfattar inte heller alla yttranden skyddas som av TF och YGL, så t.ex. inte böcker och filmer.

Vi kan dock inte se att detta bör föranleda några ändringar i den nuvarande regleringen yttrandefriheten i TF och YGL. av Denna reglering torde vara fast förankrad både i det allmänna medvetandet och inom de politiska partierna. Praxis också ha sig till synes anpassat det nuvarande systemet utan att detta föranleder någon nämnvärd diskussion. numera Att i detalj söka anpassa persondatalagen så den att överensstämmer med TF och YGL ter sig ett ofruktbart arbete. Skulle som anpassningen inte bli korrekt tar i alla fall grundlagens bestämmelser över. Det ter sig både enklast och mest hederligt att föreskriva undantag från

tillämpningen

av persondatalagen för behandling yttranden är skyddade av som i TF och YGL.

Frågor vilka yttranden omfattas grundlagsskyddet om som av och var gränsen går för skyddet är tidigare nämnts föremål för som Mediekommitténs Överväganden.198 I direktiven till den utredningen pekas särskilt på behovet att klarlägga rättsläget beträffande yttranden som förmedlas elektroniskt. Utredningen skall i det sammanhanget överväga behovet

av justeringar i grundlagsreglemas tillämpningsområde. Om

nya medier blir grundlagsskyddade såsom t.ex. datordisketter och cd-romskivor kan detta visserligen medföra problem i förhållande till

nya integritetsskyddet.

Dessa problem måste emellertid beaktas vid ändring av grundlagama. Det kan inte komma i fråga att inom persondatalagstiftningens ram göra skillnad mellan det och det andra grundlagsskyddade ena yttrandet. Principen om grundlagamas överhöghet gäller generellt. Enligt vår mening bör där-

198 Dir 1994:104.

Förhållandet till yttrandefriheten 251 SOU 1997: 39

det grundlagsskyddade området inte medföra någon ändför en ändring av rad principiell inställning till förhållandet mellan grundlagsskyddet för yttrandefriheten och persondatalagstiftningen. En utvidgning av grundlagsandra 0rd medföra motsvarande inskränkning tillskyddet bör med en av

lämpningen av persondatalagen.

Vi har alltså kommit fram till att bestämmelserna i persondatalagen utformas så de inte kolliderar med bestämmelserna i TF och YGL måste att bestämmelserna inte bör ändras. Det är därför nödvändigt och att de senare

undantag i persondatalagen för behandlingar av personuppgifter

att göra

skyddas av yttrandefriheten.

som

10.7.2 Skall undantaget vara generellt

Frågan vad undantag i persondatalagen för behandlingar av personär ett skyddas yttrandefriheten bör omfatta. Inte alla beuppgifter som av datalagen kolliderar med censurförbudet och anonymitetsstämmelser i Datalagsutredningen fann emellertid att i den mån undantag gjorskyddet. från datalagstiftningen detta borde gälla hela lagen, bl.a. eftersom Dades ändå inte skulle kunna kontrollera efterlevnaden ett fåtal tainspektionen av tillämpliga regler.199 vår mening det befogat att låta vissa persondatalagens be- Enligt är av skydd för personuppgifter i princip gälla även i fråga om stämmelser om

den grundlagsskyddade yttrandefriheten. Det är angeläget att personupp-

förekommer inom massmediernas verksamhet skyddas från gifter som intrång. Man kan utgå ifrån att de företag agerar inom omobehöriga som radio- och TV-företag och tidningsproducenter, skyddar sitt rådet, t.ex. i företagens intresse. Yttranden skyddas av data. Detta ligger eget som och YGL kan emellertid innefatta mängd andra behandlingar, t.ex. TF en utförs privatperson i syfte att informationen

uppgiftsinsamling som av en

vidare till journalist. Om enskilda lider skada av skall lämnas en personer databehandling har skett under former inte har varit beatt sådan som någon i illvilligt syfte har kommit över tryggande, t.ex. genom att person bör tillsynsmyndigheten i efterhand kunna föreskriva känsliga uppgifter, meddela säkerhetsföreskrifter är inte förenad

skyddsåtgärder. Rätten att

om någon tillsyn med möjlighet att förelägga vite. En sådan föremed men inte inkräkta på censurförbudet och meddelarskyddet skriftsrätt kan sägas enligt grundlagama.

199 sou 1993:10 135. s.

252 Förhållandet till yttrandefriheten SOU 1997: 39

Tillsynsmyndigheten skall inte heller förhindras att i sin allmänna mer bevakning uppgiftsbehandling i samhället påtala otillbörliga förfaranav den på det massmediala området. Detta står väl i samklang med de uttalanden som har gjorts i EG-direktivet.200 Enligt dessa bör tillsynsmyndigheten nämligen utrustas bl.a. med en befogenhet att i efterhand offentliggöra en rapport angående sådan behandling. I dessa sammanhang kan eventuella missförhållanden påtalas. Även inom den självsanerande verksamhet som förekommer på området kan sådana brister påtalas. Sammanfattningsvis vi att undantaget bör gälla alla materiella anser regler i lagen utom bestämmelserna säkerhet. Detta innebär reglerna om att om att personuppgifter skall skyddas t.ex. så att inte någon obehörig kan komma eller manipulera uppgifterna gäller även på yttrandeområdet. Undantaget förhindrar inte heller att tillsynsmyndigheten i sin allmer männa bevakningsverksamhet påtalar eventuella missförhållanden inom det undantagna området.

10.7.3 Hur skall undantaget utformas

Framställning och spridning yttranden kan äga i vitt skilda av rum sammanhang och i olika syften. Medan verksamheten inom de traditionella massmedieföretagen är helt koncentrerad till produktion yttranden, kan av den i andra sammanhang förekomma bisyssla t.ex. när mer som en - ett företag trycker kundkatalog. Massmedieföretagen är underkastade en etiska regler bl.a. värnar den personliga integriteten, yttranden i som men andra sammanhang kan framställas och spridas utan sådana restriktioner. Den utformning av undantaget Datalagsutredningen föreslog som byggde på uppdelning olika uppgiftssammanställningar kan en av som förekomma i den massmediala verksamheten: produktions-, meddelaroch källregister samt klipparkiv. Kritikerna menade emellertid sådan att en avgränsningsmodell inte kan användas eftersom det i praktiken inte förekommer någon sådan uppdelning. Man utför inte behandlingar uppgifav ter i olika avgränsbara register utom möjligen klipparkiven. En variant som tycks finnas i vissa andra länder är att undanta redaktionella register. Den avgränsningen uppenbarligen utrymme för större undantag, ger men också den avgränsningsproblem. ger En annan tänkbar lösning kunde att låta vissa subjekt, t.ex. vara massmedieföretag, omfattas av undantaget. En sådan lösning skulle emellertid

200 Punkt 37 i ingressen.

Förhållandet till yttrandefriheten 253 SOU 1997: 39

gränsdragningsproblem eftersom det inte finns någon definileda till nya anknyta till vad är ett massmedieföretag, vad är journalistisk tion att — verksamhet skulle heller inte tillgodose syftet att förebygga konflik- Den grundlagama och persondatalagstiftningen eftersom TF och ter mellan YGL skyddar även andra, vill framställa yttranden, än journalister. som alternativ överväga är att låta undantaget omfatta all Ytterligare ett att huvud har med framställning av yttranden att behandling som över taget skulle med andra ord knyta direkt till bestämmelsen i göra. Undantaget an varje medborgare gentemot det allmänna 2 kap. 1 § 1 RF som anger att tillförsäkrad yttrandefrihet. Ett så omfattande undantag skulle kunna är för yttrandefriheten i vidsträckt bemärkelse och gälla även vara till gagn andra former yttranden än de skyddas av TF och YGL. av som till målsättningsstadgandet i RF är emellertid enligt vår Att knyta an ändamålsenligt. I praktiken skulle sådan utformning uppfattning inte en blev verkningslös, eftersom det inte

innebära att persondatalagstiftningen

mycket resultatet databehandling inte kan karaktorde vara av av en som yttrande. Syftet med det undantag vi söker är att företeriseras som ett konflikt mellan persondatalagstiftningen och TF:s och YGL:s bygga en föreskrifter till skydd för yttrandefriheten. Någon motsvarande detaljerade konflikt uppkommer inte i förhållande till RF:s principförklaring. endast vissa former yttrandeframställning och -spridning som Det är av skydd i TF och YGL. Denna reglering innebär tidigare har fått konkret som regler till skydd för den enskilde. Om även alla yttranden nämnts även detta område undantas från persondatalagen kan det medföra risutanför ker för integritetsintrång inte kan motverkas. som Sammanfattningsvis vi bör låta gränsen för undantaget i anser att man sammanfalla med den finns i TF och YGL. Det betyder att såprincip som behandling innebär åtgärd omfattas av dessa grundlagar dan som en som

undantas från persondatalagen.

10.7.4 Vilka behandlingar omfattas av undantaget

10.7.4.1 Allmänt

skyddas TF och YGL är att utgiva skrifter De åtgärder som primärt av offentligen uttrycka tankar, åsikter och känslor och i övrigt respektive i vilket ämne helst. Vi har tidigare kunnat konlämna upplysningar som inte innebär den vill framföra ett yttrande är fri att statera att detta att som åtgärder helst, lagliga eller olagliga. Det centrala i vidta vilka som

254 Förhållandet till yttrandefriheten SOU 1997: 39

sammanhanget är att myndigheter inte hindrar yttrandet på grund dess av innehåll eller försöker ta reda på varifrån innehållet har hämtats, även om det rör personuppgifter. Eventuella undantag från dessa huvudregler måste framgå i TF respektive YGL. Persondatalagen innehåller bestämmelser om just sådana myndighetsingripanden i vart fall indirekt. Dessa bestämmelser kan inte tillämpas på grundlagsskyddade yttranden. Det är enligt vår mening inte möjligt att uttömmande vilka beange handlingar detta kan gälla. Administrativa register t.ex. kundförteckningar över tidningsprenumeranter eller löneregister för anställda omfattas inte av detta undantag, även sådana behandlingar också utgör led i spridande om av yttranden. Det är bara i de fall behandlingen har ett direkt samband med själva yttrandet undantaget är tillämpligt. Nedan diskuteras några som typiska sådana fall.

10. 4.2 Behandlingar syftar till att framställa yttranden som

Mot bakgrund bl.a. av det nämnda beslutet regeringen ovan av 1994-04-14, Ju 93-3260 kan vissa slutsatser dras beträffande grundlagsskyddets omfattning. Om behandlingen personuppgifter utgör direkt av ett tekniskt hjälpmedel för att åstadkomma ett grundlagsskyddat yttrande skall datalagen enligt avgörandet inte tillämpas. De behandlingar i sådant som syfte utförs av författare eller utgivare yttranden faller därmed utanför av persondatalagstiftningens tillämpning. Exakt hur långt för få processen att fram yttrandet har fortskridit saknar betydelse. Redan den första registreringen av uppgifter utgör enligt detta led i framställandet resonemang ett av ett yttrande. Det är inte nödvändigt att det faktiskt blev publicerat. Det avgörande är att syftet med behandlingen att framställa yttrande var ett som skulle publiceras. Att yttrandet blir föremål för omarbetningar och redigeringar kan inte förändra saken. Dessa tankegångar har stöd i den praxis som har förekommit på tid. Datainspektionen har avvisat senare flera ansökningar med motiveringen att registret skall ingå led i som ett framställning av tryckt skrift och att det därför inte omfattas tillståndsav kravet i datalagen. Utkast t.ex. till artiklar eller böcker omfattas enligt detta resonemang av undantaget. Om behandlingen utgör ett direkt tekniskt led i framställningen är persondatalagen således inte tillämplig. En till negativ synes konsekvens kan bli att uppgifter finns registrerade länge det har utan att blivit något skyddat yttrande. Hur länge uppgifterna kan finnas lagrade utan att behandlingen därför anses falla utanför det grundlagsskyddade

Förhållandet till yttrandefriheten 255 SOU 1997: 39

området får avgöras från fall till fall. När ändamålet inte längre enbart är framställa yttrande, även tillgodose andra syften t.ex. försäljatt ett utan

ning personuppgifter, har gränsen för undantagsbestämmelsen passe-

av Persondatalagen blir då tillämplig behandlingen. rats.

förekommer på tidningsredaktion eller hos ett public- Uppgifter som en

service företag får regel omfattade av undantaget. Stora samsom anses personuppgifter inte har blivit bearbetade eller införda i lingar av som textuellt sammanhang får i andra fall betraktas mer kritiskt. måste det till viss del bero på sammanhanget om behand- I gränsfall eller inte. En författare kan t.ex. med hjälp digital lingen är undantagen av framställa bok också publiceras Internet. Persondatalagen teknik en som tillämplig på den utgåvan inte på den tryckta. Problemet blir då senare men

den spridningsformen åtnjuter grundlagsskydd men inte

beror på att ena den andra. Omfattningen grundlagsskyddet utreds för närvarande av av Mediekommittén. Problemet kan därför komma att falla bort. sådana fall skall bedömas där behandlingen sker för flera skilda Hur ändamål diskuteras under avsnitt l0.7.4.5. skall med andra 0rd fråga behandlingar används för Det vara om som överföra upphovsmannens uppgifter, tankar, åsikter, känslor osv. till en att form omfattas grundlagsskyddet i TF och YGL. Alla former av yttsom av randespridning omfattas emellertid inte. Som har framgått tidigare se under avsnitt 10.2.3. är det i viss mån den enskildes egna åtgärder ovan avgör tryckt skrift faller under TF eller inte. som om en Moderna former yttrandespridning, t.ex. via elektroniska anslagstavav omfattas inte grundlagsskydd. IT-utredningen har föreslagit att lor, ännu av sådana yttranden i viss utsträckning också skall undantas från persondatafrågor bereds i ordning och vi tar inte ställning till lagen. Dessa nu annan dem. Vidare tidigare nämnts, Mediekommittén bl.a. om överväger, som ytterligare former för yttrandespridning bör omfattas av grundlagsskydd. Behandlingar personuppgifter utförs för att framställa sådana ickeav som yttranden kommer i princip alltså att tills vidare och i avvaktan skyddade

omfattas persondatalagen, i den

på en eventuell grundlagsändring att av mån de inte undantas annan lagstiftning. genom

256 Förhållandet till yttrandefriheten SOU 1997: 39

10. 3 Behandlingar syftar till anskafla och meddela som att uppgifter

Sådana behandlingar innebär att någon anskaffar och som eventuellt överför uppgifter till någon utan att ha för avsikt själv framställa annan att ett yttrande, kan också omfattas undantaget. Behandlingar meddeav som en lare utför i syfte att meddela uppgifter för offentliggörande får alltså utföras fritt. Vissa ytterligare krav finns dock för att sådana behandlingar skall vara undantagna. Anskaffarfriheten åtnjuter inte något ensam särskilt skydd i yttrandesammanhang. Det är bara anskaffaren om har för avsikt att själv framställa ett yttrande eller lämna uppgifterna till någon sådan person som sägs i 1 kap. 1 § tredje stycket TF respektive 1 kap. 2 § YGL t.ex. författare eller nyhetsjoumalister han omfattas skyddet. Även som av sådana behandlingar som innebär att uppgifter samlas in journalist t.ex. av en för att göra ett TV-program eller författare för skriva artikel en att en skall enligt våra överväganden i det föregående inte omfattas persondataav lagen. Nyhetsbyråer bör med hänsyn till den ställning de i TF7-01 i getts förevarande sammanhang jämställas med tidningsredaktioner. I den mån grundlagsskyddet i framtiden även kommer att omfatta t.ex. nyhetsjoumalister i medier inte är skyddade kommer skaran som nu av meddelare som undantas från persondatalagen utvidgas. Den krets till att vilka meddelande får lämnas kan i framtiden komma bli vidare i dag. att än

De behandlingar som av Datalagsutredningen benämndes källregister

kommer också att undantas våra överväganden läggs till om grund för lagstiftning. Även här kan emellertid

gränsdragningsproblem uppkomma

som framgår exempelvis regeringens beslut 1994-06-30, Ju 94-2310 av i vilket regeringen bl.a. prövade frågan vilket samband måste som finnas mellan behandling personuppgifter och det gmndlagsskyddade en av yttrandet.202

I 7.4. 4 Lagring och spridning uppgifter av

En annan typ behandlingar inom det massmediala området sådana av är som utgör led i själva spridandet yttranden. Tanken bakom den beav nya stämmelsen i 1 kap. 9 § YGL är att rätten att sprida yttranden skall vara

201 Se t.ex. 3 kap. 3 § 1 st. TF. 202 Se vidare angående beslutet under avsnitt 10.6.3.

Förhållandet till yttrandefriheten 257 SOU 1997: 39

vilken teknik används.203 Även i detta sammanhang tar oberoende av som

grundlagsbestämmelserna över persondatalagen. Närmare var gränserna

går eller bör i detta sammanhang är, som tidigare

för grundlagsskyddet

föremål för utredning. Det är inte alla ännu i vart fall har nämnts, som denna grundlagsskyddade rätt att sprida yttranden elektroniskt, t.ex. inte Från integritetssynpunkt är det fördel att de subjekt som privatpersoner. en utföra sådan skyddad elektronisk spridning måste ha en ansvarig utgikan yttrandet. De är vidare underkastade massmediernas självsanevare för rande verksamhet. Grundlagsskyddet sträcker sig till och med spridningen av yttrandet. det gäller fortsatt digital behandling det redan spridda yttrandet När av frågor. En vanlig tidning vållar naturligtvis inte några prouppkommer nya träffas inte några särskilda bestämmelser. Hur förhåller det blem, den av bok utgiven i elektronisk form t.ex. på cd-rom, faller den unsig med en der persondatalagen Frågan är med andra ord behandling även inneom del av. Vi kan konstatera att ett undantag inte omfattar även fattar ta som möjlighet fritt del ett grundlagsskyddat yttrande skulle vara en att ta av EG-direktivet måste vidare enligt vår mening tolkas så, att den värdelöst. del icke-förändringsbar mängd data är inte att anse som persom tar av en sondataansvarig. Enligt direktivet är nämligen den persondataansvarig som bestämmer ändamålen eller medlen for behandlingen. En person som tar del data inte är förändringsbart kan därför inte anses vara personav som dataansvarig, och lagen omfattar därför inte sådan Att bara ta en person. resultatet behandling måste enligt vår mening således omfattas del av av en bör gälla även använder tillgängliga funktioav undantaget. Detta om man söka i datat. Om däremot bearbetar datat något annat ner för att man det på hårddisk och behandlar det vidare, blir sätt, t.ex. sparar ner en egen persondatalagen tillämplig på den behandlingen. benämnde klipparkiv möjlighet att elek-

Vad Datalagsutredningen ger

troniskt bevara och sprida vidare redan publicerat material. Såsom flera repåpekat får teknikvalet konsekvenser har betydelse missinstanser har som Genom möjligheter att hantera och särskilt söka i

ur integritetssynvinkel.

mängder information på enkelt och effektivt sätt har förutsättstora ett bl.a. för göra sammanställningar inkräktar på den ningar skapats att som integriteten. Efterforskningar t.ex. beträffande viss person personliga en i kan utföras snabbt, något som tidigare som har omnämnts pressen nu omständligt det inte lät sig göras. Vidare kan det förekanske var så att

203 Prop. 1990/91:64 65 och 66. s.

258 Förhållandet till yttrandefriheten SOU 1997: 39

komma uppgifter t.ex. brottslighet, politisk eller religiös

om åskådning

eller andra integritetskänsliga förhållanden i om personer som omnämns tidningsartiklar eller i radio och TV.

Att ny teknik används för att sprida redan grundlagsskyddade yttranden

bör inte föranleda att materialet underkastas några andra regler inom persondatalagstiftningen än det ursprungliga materialet. Såvitt angår journa-

listernas användning klipparkiven för framställa av att nya yttranden finns det inte anledning att göra annan bedömning än förut gjorts generellt som beträffande uppgifter journalisterna anskaffar olika källor. som ur Vad angår allmänhetens tillgång till klipparkiven får det yttrandefrihetens ur och informationsfrihetens synvinkel hälsas med tillfredsställelse yttrandena att kan spridas även på dessa vägar. Allmänheten bör därför ha nya samma möjligheter att ta del yttrandena elektroniskt bläddra i av som genom att tidningslägg. Även klipparkiven bör sålunda enligt vår mening undantas

från tillämpningen av persondatalagstiftningen.

Uppgifterna kan emellertid inte utnyttjas fritt enbart på grund de av att kan återfinnas i grundlagsskyddade yttranden. Om inte bara söker och man tar del av personuppgifter kan förekomma i sådana yttranden, som utan vidtar egna åtgärder med uppgifterna och t.ex. överför dem till en egen databas för vidare behandling, blir denna behandling på vanligt undersätt kastad persondatalagens begränsningar för såvitt syftet inte på är att nytt framställa ett grundlagsskyddat yttrande.

10. 4.5 Behandling för flera ändamål

I de fall behandlingen har flera ändamål, ett är att framställa skrift varav en t.ex. en katalog och ett annat att utgöra ett kundregister, bör kunna man kräva att behandlingen delas den ansvarige så att den behandling upp av som inte faller under TF eller YGL kan bli föremål för åtgärder enligt persondatalagen. Denna till snäva gränsdragning stämmer överens med synes EG-direktivets bestämmelser tillåter att undantag görs för behandling som som sker uteslutande för journalistiska m.fl. ändamål.2°4 Det kommer med

andra ord på den enskilde att göra avgränsningen. En sådan definition an bör leda till att gränsdragningsproblemen blir mindre. En nackdel det är att

204 Kammarrätten i Stockholm har på senare tid avgjort ett mål 1996-10-22, 3234-1996 som bl.a. berörde frågan uppgiftsbehandling bl.a. skulle om som resultera i en publicerad rapport omfattas datalagen. Kammarrätten ansåg beav att handlingen inte kunde antas ha ett sådant samband med utgivningen tryckt av skrift att den skulle undantas från datalagen.

Förhållandet till yttrandefriheten 259 SOU 1997: 39

kan uppstå kostnader och olägenheter för den utför behandextra som lingen. Rent praktiskt kan det till så att uppgifterna läggs i olika bibliotek eller kataloger i ordbehandlaren. När det gäller behandlingar som delvis led i spridande yttranden bör undantaget ges en generös tillutgör av lämpning. Tillsynsmyndighetens åtgärder får givetvis inte medföra hinder för framställningen yttrandet, utan dessa får inskränkas till de behandlingar av inte direkt ingår i den tekniska framställningen. Om behandlingar för som flera ändamål förekommer bör Datainspektionen utöva sina befogenheenligt persondatalagen så långt det är möjligt t.ex. när det gäller admiter nistrativa register vid tidning. Så fort kommer in på det grundlagsen man skyddade området måste tillsynsverksamheten dock upphöra. I sammanhanget vill vi erinra den möjlighet finns att utse ett persondataomom som bud enligt den föreslagna lagen. Ombudet kommer i första hand att svara för de behandlingar omfattas persondatalagen men kan också besom av vaka säkerheten vid undantagen behandling. Vid kontakter mellan den persondataansvarige och tillsynsmyndigheten kan ombudet biträda för att undvika det sker intrång på det grundlagsskyddade området. Det får att förutsättas seriösa massmedieföretag håller de undantagna uppgifterna att avskilda på sådant sätt att det i praktiken inte uppstår några problem. ett

10. 7.4.6 Överflödiga uppgifter

Behandling uppgifter för framställande ett grundlagsskyddat yttrande av av kan innehålla överflödigt data. I viss omfattning måste givetvis sådant tillåtet. Det kan inte krävas att behandlingen uteslutande avser de vara uppgifter skall ingå i det skyddade yttrandet. Den situation som som senare i första hand kanske tänker på är användningen av ord- och textbeman handlingsprogram. Uppgifter tillfälligt förekommer i texten men som som bort innan yttrandet har fárdigställts kan inte särbehandlas. De sedan tas uppgifter är föremål för behandling skall emellertid kunna sägas utsom naturligt led i framställandet ett yttrande. Alltför mycket övergöra ett av flödig information kan medföra att behandlingen inte kan sägas utgöra ett led i framställningen ett skyddat yttrande och därför leda till att beav handlingen i stället blir underkastad persondatalagens tillämpningsområde. I tveksamma fall bör göra samlad bedömning behandlingens man en av karaktär. Att låta behandlingen till viss del falla under persondatalagen och till del grundlagsskyddad, t.ex. i den angivna situatioen annan vara ovan

torde medföra svåra tillämpningsproblem.

nen,

260 Förhållandet till yttrandefriheten SOU 1997: 39

1 7 Falska invändningar grundlagsskydd om

Risken för att otillåten behandling personuppgifter sker under sken av av att ett skyddat yttrande skall framställas måste beaktas, dvs. risken att någon behandlar personuppgifter under falsk förevändning att de skall en ingå t.ex. i tryckt skrift och därför inte faller under persondatalagens en tillämpningsområde. I vissa fall kan kanske invändning att behanden om lingen utgör ett led i framställningen ett gmndlagsskyddat yttrande inte av utan vidare godtas. Den ansvarige måste på något sätt göra troligt beatt handlingen syftar till att åstadkomma ett skyddat yttrande. Vid sådan en bedömning kan det vara av intresse yttrande tidigare har producerats om av den ansvarige, kontakt har tagits med tryckeri eller behandlingen i om om övrigt framstår ett naturligt led i framställningen t.ex. skrift. Om som av en det av sådana kringliggande omständigheter framgår att behandlingen ingår i framställningen av ett yttrande bör detta vara tillräckligt.

10. 8 Prövning av undantagsregeln

Behandlingar som har lett till kränkande uppgifter i ett grundlagsskyddat yttrande kan således inte bli föremål för ingripanden Datainspektionen. av Endast yttrandet som sådant kan angripas och det måste ske i en process enligt TF eller YGL. Så länge uppgifterna inte har publicerats kan emellertid fråga uppkomma behandlingen dem omfattas grundlagsom av av skyddet eller inte. Behandlingen måste i det fallet ha blivit känd på annat sätt; uppgifter från behandlingen kan ha kommit misstag eller varit ut av föremål för dataintrång. Liksom Datalagsutredningen vi det bör anser att krävas en invändning den utför behandlingen att den är grundav som om lagsskyddad för att Datainspektionen skall förhindrad att utöva sina vara

befogenheter enligt persondatalagen.205

Vid de kontakter som tas mellan inspektionen och den utför besom handlingen bör det ofta kunna klarläggas hur det förhåller sig. Ytterst får invändningen prövas den domstol till vilken besvär riktas någon åtav mot gärd som har vidtagits av Datainspektionen enligt persondatalagen. I det sammanhanget bör bestämmelserna i l kap. 4 § TF respektive 1 kap. 5 § YGL uppmärksammas. Bestämmelserna innebär bl.a. att principen att om hellre fria än fälla har extra tyngd på detta område.

205 sou 1991:21 s. 123.

39 Förhållandet till yttrandefriheten 261 SOU 1997:

10.7 Förhållandet till EG-direktivet

EG-direktivet lika litet gällande svensk rätt någon definitiv anger som lösning på frågan förhållandet mellan yttrandefrihet och skydd för perom sonlig integritet i datasammanhang. För att skydda den personliga integrii digitala sammanhang anvisar EG-direktivet viss lagstiftningsmoteten en dell, kallad handlingsmodellen. Modellen innebär i stort sett att all av oss behandling personuppgifter skall reglerad. Om det inte vore så att av vara direktivet medgav undantag bl.a. i fråga om behandling för journalistiska ändamål skulle direktivet strida mot TF:s och YGL:s principer om bl.a. censurförbud och anonymitetsskydd. Det finns nämligen andra bestämmeli direktivet handlar underrättelseskyldighet när uppgifter samser som om las in, förbud behandling känsliga personuppgifter och bestämmelmot av

tillsynsmyndighetens befogenheter.

ser om EG-direktivet medger emellertid framgår det förut anförda att som av undantag görs från direktivets materiella bestämmelser för behandlingar av personuppgifter utförs uteslutande för journalistiska ändamål eller som konstnärligt eller litterärt skapande undantagen är nödvändiga för yttom randefriheten. Enligt art. 9 i direktivet skall sålunda medlemsstaterna med avseende på behandling personuppgifter sker uteslutande för jourav som nalistiska ändamål eller konstnärligt eller litterärt skapande besluta om undantag och avvikelser från bestämmelserna i kapitlen med allmänna bestämmelser när personuppgifter får behandlas, om överföring av perom sonuppgifter till tredje land och tillsynsmyndighet endast om de om m.m. är nödvändiga för att förena rätten till privatlivet med reglerna om yttrandefrihet. I ingressen till direktivet, punkt 37, sägs bl.a. att för sådan behandling personuppgifter sker för joumalistiskt ändamål eller för av som litterärt eller konstnärligt skapande särskilt på det audiovisuella området bör det fastställas undantag från eller begränsningar i förhållande till vissa bestämmelser i direktivet så långt detta är nödvändigt för att förena enskilda grundläggande rättigheter med yttrandefriheten, särskilt personers den rätt emot och lämna upplysningar särskilt fastslås i art. 10 i att ta som den europeiska konventionen skydd för de mänskliga rättigheterna och om

de grundläggande frihetema.

Av hänvisningen till artikel 10 i Europarådskonventionen om de mänskliga rättigheterna framgår att syftet med direktivbestämmelsen är att värna yttrandefriheten bl.a. innebär frihet att ta emot och sprida uppsom gifter och tankar utan inblandning offentliga myndigheter dvs. samma av tankegångar ligger till grund för TF och YGL. Vid den intresseavvägsom

262 Förhållandet till yttrandefriheten SOU 1997: 39

ning som enligt EG-direktivet skall ske mellan rätten till privatlivet och yttrandefriheten skall enligt kommentar kommissionen bl.a. beaktas en av möjligheten till rättslig prövning eller rätten till replik. Vi har enligt det förut anförda inte funnit det befogat att föreslå grundlagsändringar för att förena bestämmelserna skydd för den personliga om integriteten i persondatalagstiftningen med bestämmelserna i grundlagama om yttrandefriheten. Frågan är då det är nödvändigt att göra sådana om ändringar med hänsyn till direktivets bestämmelser. Direktivet gör som framgått det möjligt att göra undantag för journalistisk, konstnärlig och litterär verksamhet. Vad kan diskuteras är hur som vidsträckta sådana undantag kan göras. EG-direktivet anger inte närmare vilka behandlingar skall omfattas som av undantaget. De länder har gjort undantag i sin datalag har utformat som detta på olika sätt. Vissa har låtit det omfatta redaktionella register medan andra har låtit det omfatta endast vissa subjekt t.ex. vissa företag på det massmediala området. Det generella intrycket får ändå sägas vara att undantaget i många länder tar sikte på professionella former för framställning och spridning av yttranden. I Maastricht-fördraget slås fast art. F punkt 2 att Unionen skall som allmänna principer för gemenskapsrätten respektera de grundläggande rättigheterna, såsom de garanteras i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och såsom de följer medlemsstaternas konstitutionella tradiav gemensamma tioner. EG-domstolen har redan tidigare anslutit sig till Europakonventionens grundläggande rättigheter. Redan tidigare har EG-domstolen tillämpat gemenskapsrätten på sådant sätt att de grundläggande rättigheterna respekterats. I Europarådskonventionen de mänskliga rättigheterna regleras rätt om till skydd för privatlivet i artikel 8 och yttrandefriheten i artikel 10. Dessa båda fri- och rättigheter är jämställda i konventionen. Skyddet för privatlivet avser även dataområdet. Rätten till yttrandefrihet innefattar åsiktsfrihet samt frihet att mottaga och sprida uppgifter och tankar utan inblandning av offentlig myndighet och oberoende territoriella gränser. De båda rättigav heterna får begränsas inom vissa enligt vad är stadgat i lag och i ramar som ett demokratiskt samhälle är nödvändigt med hänsyn till bl.a. andra personers fri- och rättigheter artikel 8 respektive skyddandet goda av annans namn och rykte eller rättigheter eller förhindrandet att förtroliga underav rättelser sprids artikel 10.

SOU 1997: 39 Förhållandet till yttrandefriheten 263

Som justitierådet Hans Danelius anfört i sin rättsfallsöversikt i Svensk Juristtidning 1994 s. 373 har Europadomstolen i Strasbourg ofta understrukit den fundamentala betydelse yttrandefriheten har i ett demokrasom tiskt samhälle samt framhållit att den måste omfatta även information och idéer kan framstå stötande eller chockerande; särskilt vidsträckt som som måste yttrandefriheten när det gäller debatten om politiska frågor eller vara andra samhällsfrågor, och den ägnar sig åt politisk eller annan offentsom lig verksamhet måste räkna med att kunna utsättas även för ganska häftiga Europadomstolen har också i ett nyligen avgjort mål Goodwin angrepp. Storbritannien, dom den 27 1996, 16/ 1994/463/544 uttalat att mars skyddet för joumalistemas källor är de viktigaste förutsättningarna en av för pressens frihet. Med angivna utgångspunkter måste det ske avvägning mellan nu en intresset yttrandefrihet och intresset skydd för den personliga integriav av Därvid måste stor vikt tillmätas de andra garantier som finns för teten. skydd det vid avvägningen närmast åsidosatta intresset. Som vi förut av påvisat saknar naturligtvis inte TF och YGL bestämmelser till skydd för privatlivet. Tvärtom finns sådana i form bl.a. bestämmelser om ansvar av för förtal och förolämpning. Vidare finns ett skydd för privatlivet genom massmediernas självsanerande verksamhet och i fråga om etermedier, ge-

Granskningsnämnden för radio och TV.

nom Som förut nämnts hänvisar Maastricht-fördraget även till medlemsstakonstitutionella traditioner. Yttrandefriheten är djupt ternas gemensamma rotad i europeisk tradition. Variationer mellan medlemsstaternas konstitutionella praxis måste naturligtvis finnas. Det får förutsättas att sådana variationer respekteras EG-domstolen. Vad vi förordat i det föregående av innebär annat eller än att de grundläggande bestämmelserna i permera sondatalagen inte skall tillämpas på behandling av personuppgifter som uteslutande utförs ett direkt led i sådan framställning och spridning av som yttranden är skyddade TF och YGL. Vi kan inte se annat än att ett som av sådant undantag med direkt hänvisning till den svenska konstitutionen får förenligt med EG-direktivet och inte kan antas möta gensaga i EGanses domstolen. Vad särskilt angår frågan överföring personuppgifter till om av tredje land vill vi erinra att artikel 10 i Europarådskonventionen om de om mänskliga rättigheterna särskilt omnämner rätten att sprida åsikter och tankar oberoende av territoriella gränser. Artikel 9 i EG-direktivet medger undantag också från bestämmelserna i direktivet säkerhet. EG-direktivet anvisar en väg där man låter vissa om

264 Förhållandet till yttrandefriheten SOU 1997: 39

materiella bestämmelser om säkerhet gälla även på yttrandeområdetzoö Som framgår av det förut anförda anser vi emellertid att den svenska persondatalagens säkerhetsbestämmelser, som bl.a. syftar till att skydda personuppgifter så att ingen obehörig kommer dem, bör gälla även massmedier. Däremot medges inte undantag från bestämmelserna rättslig om prövning, ansvar och sanktioner. Dessa bestämmelser strider emellertid inte mot TF eller YGL. Alla former av yttranden innehåller personuppgifter omfattas som som nyss sagts inte av skyddet i TF och YGL. Sådan journalistisk verksamhet som faller utanför grundlagsskyddet omfattas inte. Det kan t.ex. gälla - en tidning som uteslutande sprids via Internet. Att framställa ett konstverk som innebär behandling av personuppgifter, t.ex. ett digitalt porträtt, omfattas inte heller om det inte skall ingå i skrift eller i något annat en skyddat yttrande. Vidare omfattas inte behandling personuppgifter av som skall framföras muntligt t.ex. vid ett offentligt framträdande i form av en teaterpjäs. EG-direktivet anger att undantag skall göras generellt även för sådana behandlingar som sker för journalistiska ändamål eller konstnärligt eller litterärt skapande om det är nödvändigt för att förena rätten till privatlivet med reglerna om yttrandefriheten. Direktivets tillämpningsområde är med andra ord något vidare än grundlagsskyddet i TF och YGL i detta avseende utan att för den skull omfatta alla former av yttranden. Det är enligt vår mening lämpligt att låta undantaget få den vidare utformning följer som av EG-direktivet. Vi föreslår därför att undantaget i persondatalagen får omfatta även sådana verksamheter. Vad det är för journalistisk verksamhet utöver den faller under som TF som undantas får avgöras mot bakgrund av EG-direktivets syften. Utgångspunkten måste vara att det handlar om vedertagen journalistik som bedrivs i den ordning som ställs upp i TF och YGL med ansvarig utgivare osv.. När det gäller litterär verksamhet kan utgå från att den i regel man faller under TF, men precis som när det gäller journalistisk verksamhet bör sådant som för närvarande inte innefattas i grundlagsskyddet ändå omfattas undantaget från persondatalagen. Även konstnärlig verksamhet av annan undantas, t.ex. en revymakare skriver i ett ordbehandlingsprosom manus gram.

206 Se ingressen 37.

1997: 39 265 SOU

11 Forskning och statistik

Ett undantag från förbudet att behandla känsliga personuppgifter utan informerat samtycke bör göras för behandling som är nödvändig för forsknings- och statistikändamål. Förutsättningen är att samhällsintresset av att projektet genomförs klart väger över den risk för otillbörligt intrång i enskildas personliga integritet projektet kan innebära. Har projektet som godkänts forskningsetisk kommitté, skall förutsättningarna anses av en uppfyllda. Andra projekt bör i förväg anmälas till Datainspektionen för förhandskontroll.

1 1 1 Inledning

.

Behandling personuppgifter används ofta för att framställa statistik av inom forskningen eller någon annanstans eller på annat sätt för forskning. Det är inte så sällan känsliga personuppgifter som behandlas, och behandlingen torde i dag nästan uteslutande ske automatiskt. Behandling för forskning och statistik inom den offentliga sektorn sker regelmässigt under mycket sträng sekretess. Behandling för forskning har oftast på förhand granskats och godkänts etisk expertis. Personuppgifterna används inte av för att fatta beslut eller vidta åtgärder berör enskilda, och de sprids som inte till någon skall använda uppgifterna för sådana ändamål. Ändasom målet med behandlingen är i stället regel att för samhällets bästa som skaffa eller fördjupad kunskap om generella sammanhang. Avsikten är ny utgångspunkt att resultatet av behandlingen skall i en eller annan form som publiceras207 eller annat sätt offentliggöras utan att de registrerades identitet röjs.

207 Att resultatet behandlingen personuppgifter för forsknings- eller statistikav av ändamål skall publiceras enligt praxis inte medföra att behandlingen anses skyddas 2 kap. TF och därmed är undantagen från bl.a. tillståndskravet i dataav

266 Forskning och statistik SOU 1997: 39

Inom forskningsverksamhet och verksamhet för att framställa statistik förekommer givetvis behandling personuppgifter också för andra änav damål än forskning och statistik, t.ex. för administration. I detta avsnitt berörs dock i första hand bara sådan behandling personuppgifter för av forskning och statistik där uppgifterna inte används för att fatta beslut eller vidta åtgärder som rör enskilda och där de registrerades identitet inte avslöjas vid presentationen av resultatet av behandlingen.

1 1.2 Statistik

11.2.l Inledning

En vanlig definition begreppet statistik är numeriska sammanställav ningar av elementära observationer kan hänföras till händelser, flöden som eller tillstånd.203 Här kan den definitionen också användas, dock att här bara berörs sådan statistik uppgifter observationer kan som avser som hänföras till enskilda fysiska Härtill kommer nämnts personer. som nyss att syftet med sådan statistikbehandling här inte får som avses vara att vidta åtgärder mot enskilda och att enskildas identitet inte får avslöjas när resultatet av behandlingen redovisas. På det statistiska området finns det vissa etiska regler.209 Det förekommer att den för ett register med personuppgifter för som att fatta beslut eller vidta åtgärder rörande enskilda själv använder personer uppgifterna i registret också för att framställa statistik, t.ex. för att följa upp eller styra sin verksamhet. Ibland har bland ändamålen för sådant ett register nämnts även framställning statistik eller liknande. I praxis har av man dock ansett att register för administrativa ändamål får användas för framställning av statistik hos den registeransvarige även detta inte om uttryckligen angetts ett ändamålzlo Sådan verksamhetsstatistik den som som registeransvarige tar fram ur ett befintligt administrativt register för att an-

lagen, se Kammarrättens i Stockholm dom den 22 oktober 1996 i mål nr 3234-1996. 208 Se SOU 1994:1 t.ex. senast s. 23. 209 Se de etiska reglerna om t.ex. sou 1992:48 s. 31, sou 1993:83 36 och sou s. 1994:65 s. 30 21° Se 1994/95:20o prop. s. 13. Jämför också regeringsbeslut 1993-10-28, dnr 92-3225, och 1988-04-14, dnr 87-2767.

Forskning och statistik 267 SOU 1997: 39

vända ett led i sin huvudsakliga verksamhet berörs inte vidare i detta

som bakgrundsavsnitt. I övervägandeavsnittet återkommer vi till verksamhetsstatistiken.

11.2.2 Den statliga statistiken

11.2.2.1 Inledning

statliga statistiken har över under år I stora delar Den setts noga senare kan här hänvisas till de utredningar som redan har gjorts.

Man brukar dela in den statliga statistiken i officiell statistik och s.k. övrig statistik. Övrig statistik är all sådan statlig statistik som inte är officiell.

ll.2.2.2 Officiell statistik

Det finns lag och förordning den officiella statistiken Offi-

en en om ciell statistik är sådan statistik en statlig myndighet under regeringen

som framställer, enligt föreskrifter regeringen meddelar, för

som

samhällsplanering, 0 forskning,

allmän information och 0

internationell rapportering. 0

Regeringen har i förordningen räknat vilken statistik är officiell

upp som och angett vilken myndighet för statistiken. Ansvaret har på

som ansvarar

år i vissa fall flyttats från Statistiska centralbyrån till ett antal centsenare rala förvaltningsmyndigheter.

Den officiella statistiken skall framställas och offentliggöras med beaktande skyddet för enskilda. Statistiken skall hållas allmänt tillgänglig

av och offentliggöras i tryckt skrift serien Sveriges officiella statistik. Uppgifter i den officiella statistiken får inte föras samman med andra uppgifter för att få reda på enskildas identitet.

211 Se förutom Datalagsutredningens betänkanden SOU 1990:43, prop.

- -

1991/92:118, SOU 1992:48, prop. 1992/932101, SOU 1994:1, prop. 1993/942100

Bilaga SOU 1993:83 och 1994:65 samt prop. 1994/95:200. 212 SFS 1992:889 och 1668.

268 Forskning och statistik SOU 1997: 39

I fråga om uppgifter till den officiella statistiken kan det föreskrivas uppgiftsplikt, dvs. en lagstadgad och sanktionerad skyldighet för enskilda att lämna uppgifter. När en myndighet samlar in uppgifter till den officiella statistiken från enskilda oftast näringsidkare skall det lämnas informa- - tion om 0 ändamålet med uppgiftsinsamlandet, på vilka bestämmelser skyldigheten att lämna uppgifter grundas, av vem eller på vems uppdrag insamlandet sker, huruvida samråd har skett med den organisation företräder som uppgiftslämnaren, vad som gäller om uppgiftsskydd, vad som gäller om uppgiftemas bevarande, eventuella påföljder uppgifterna inte lämnas, om andra förhållanden som är av betydelse i sammanhanget och i förekommande fall upplysning att uppgiftslämnandet är frivilligt. om

År 1995 infördes det särskild registerlag med anslutande

en förordning om

vissa personregister för officiell statistik.213 Lagen gäller bara för sådana personregister som innehåller känsliga personuppgifter Ett sådant personregister får föras bara för framställning statistik, och registret skall av föras av den statistikansvariga myndigheten, är registeransvarig enligt som datalagen. Bara de uppgifter behövs för att framställa statistiken får som tas in i registret. Uppgifterna skall gallras när de inte längre behövs för sitt ändamål. Det är dock tillåtet att i vissa fall bestämma att uppgifterna skall bevaras under längre tid, då skall materialet lämnas över till en men en arkivmyndighet.

I en omfattande bilaga till förordningen vissa personregister för offiom ciell statistik anges det 0 vilka register som får finnas, vilken myndighet som får föra registret, vilket närmare ändamål registret skall ha, vilka uppgifter registret får innehålla och i vilken mån uppgifter får hämtas in från andra register.

213 SFS 1995:606 och 1060. 214 Sådana uppgifter som avses i 4 § datalagen eller som utgör omdömen eller annan värderande upplysning om enskilda samt de flesta uppgifter personer som avser enskilda personers inkomst- eller förmögenhetsförhållanden.

Forskning och statistik 269 SOU 1997: 39

När myndighet hämtar in personuppgifter från annan myndighet till en en statistikregister med känsliga personuppgifter, skall det ses till att de ett uppgifterna på lämpligt sätt informeras registret Också som avser om uppgiftema hämtas in direkt till registret från personer som är eller avnär bli registrerade, skall de upplysas registreringen När uppgifter ses om enskilda fysiska samlas in från t.ex. näringsidkare finns det om personer däremot oftast inte någon skyldighet att informera de personer som upp-

gifterna avser. Om det används personregister enligt datalagen i en statistikansvarig myndighets verksamhet för att framställa statistik, skall verksamheten organiseras så att den är avgränsad från myndighetens handläggning av övriärenden ga

11.2.2.3 Övrig statistik

Övrig statistik är sagt all statlig statistik som inte är officiell. Det är som främst fråga verksamhetsstatistik. Uppgifter bara behövs för den om som övriga statistiken kan inte samlas in från enskilda med stöd av uppgiftsplikt. För övrig statistik, inte är verksamhetsstatistik, måste uppgiftersom således lämnas frivilligt eller hämtas in från något annat register. na Framställningen den övriga statistiken har oftast inte direkt författningsav stöd. Det finns dock exempel på att framställning särskilt känslig statisav

tik har författningsreglerats 13

11.2.3 Privat och kommunal statistik

Vad den övriga statistiken på det statliga området gäller som nu sagts om också utsträckning den statistik framställs i den kommunala och i stor som privata sektorn. Beträffande register inom socialtjänsten, bl.a. används for att som framställa statistik, har det nyligen föreslagits särskild lagreglering219 en

215 7 § förordningen den officiella statistiken, 1994/951200 s. 27. om se prop. 216 5 § lagen vissa personregister för officiell statistik. om 217 11 § förordningen den officiella statistiken, prop. l994/95:2OO s. 28 om se 218 förordningen 1994:1671 tillfälligt statistikregister inom Riksrevi- Se t.ex. om sionsverket för kartläggning vissa förmåner. Det planeras också ett särskilt staav tistikregister för kriminalvården, seDs 1996:19 s. 35. 219 Sesou 1995:86.

270 Forskning och statistik SOU 1997: 39

Det finns vidare en lag om ett receptregister hos Apoteksbolaget för bl.a. statistikändamål22° Det finns privata företag på uppdrag utför särskilda undersöksom ningar t.ex. marknads- eller opinionsundersökningar för att framställa - statistik.

11.2.4 Tillämpningen datalagen av

Bland annat när känsliga personuppgifter skall behandlas och när uppgifterna rör personer som inte har någon naturlig anknytning till den som framställer statistiken krävs tillstånd enligt datalagen, inte behandom lingen omfattas någon registerlag. Datainspektionen har meddelat föreav skrifter som innebär att Statistiska centralbyrån i vissa fall kan använda sig av ett förenklat ansökningsförfarande DIFS 1989:2. Det finns numera också föreskrifter innebär att det inte krävs tillstånd för vissa statliga som och landstingskommunala personregister för framställning statistik av i ett bestämt forskningssyfte DIFS 1995:4, närmare avsnitt 1l.3.2. se Det förenklade ansökningsförfarandet för Statistiska centralbyrån kan för det första användas för register grundar sig på informerat som samtycke där uppgifterna helt eller delvis har hämtats in från de registrerade genom enkät eller intervju. Också när ett befintligt sådant register kompletteras med ytterligare uppgifter kan det förenklade förfarandet användas, om samtycke till den utvidgade registreringen hämtas in. Även beträffande andra register är det möjligt att använda det förenklade förfarandet för att utan samtycke komplettera registret med ett ringa antal icke - känsliga uppgifter. För det andra kan det förenklade förfarandet användas när flera register skall samköras ett sådant sätt att ett nytt, tillfälligt personregister bildas. Statistiska centralbyrån måste själv ansvarig för vara åtminstone ett de register skall ingå i samkömingen. Det tillfälliga av som personregistret får användas bara underlag för kontroll och rättning som av resultatet av samkömingen, dvs. det är bara ett led i framställningen av statistiska tabeller eller avidentifierade register. Det tillfälliga registret skall avidentifieras senast tre månader efter samkömingen. För dessa tillfälliga samkörningsregister krävs det inte att information lämnas eller att samtycke hämtas in. Det förenklade förfarandet kan slutligen användas när ett register, som Statistiska centralbyrån tidigare fört, skall lånas tillbaka från Riksarkivet för tillfällig bearbetning. Registret får utlånat en vara

220 Se prop. 1996/97:27 och sou 1995:122 samt SFS 1996:1156.

Forskning och statistik 271 SOU 1997: 39

under längst månader. För samtliga fall föreskrivs uttryckligen att ensex skilda identitet inte får avslöjas i de statistiska redovisningama. personers Enligt vad vi har inhämtat från Datainspektionen kommer de allra flesta förenklade ansökningar tillstånd till renodlade statistikre-

icke om

från Statistiska centralbyrån. Byråns registerhantering tar i anspråk gister årsarbetskraft inspektionen. Det är vanligt med ansökningar nästan en komplettering befintliga register med ytterligare känsliga som avser av uppgifter. En vanlig ärenden rör tillfälliga samkömingsreannan grupp av gister, där byrån någon anledning vill ha kvar det tillfälliga registret unav der längre tid än de tre månader det förenklade ansökningsförfarandet som förutsätter. I och med att ansvaret för den officiella statistiken har lagts ut på flera myndigheter, kommer det in hel del ansökningar även numera en från dessa myndigheter. Däremot är det inte så vanligt att enskilda ansöker

tillstånd till renodlade statistikregister, även om det förekommer anom sökningar från t.ex. utredningsinstitut och fackföreningar. Huvudprincipen vid handläggningen är att Datainspektionen kräver informerat samtycke för att ett statistikregister skall få föras. De statistikregister enskilda för grundar sig regelmässigt på informerat samtycke. som Det är i stället hos det allmänna det förekommer register som inte som grundar sig informerat samtycke. Undantag från informerat samtycke och information kan enligt inspektionens praxis göras för tillfälliga samkörningsregister skall föras bara som under kortare tid, t.ex. 6-12 månader. Ibland kan det dock bli fråga om en förlängning den ursprungligen bestämda tiden, och då övervägs det nuav inspektionen i efterhand skall kräva t.ex. information om remera om - för de registrerade på begäran få bli strukna. Är det gistret och en rätt att uppgifter många skall hämtas in från befintliga register, om personer som brukar inspektionen inte heller kräva informerat samtycke var och en av skall registreras. I stället brukar det numera krävas att information som lämnas och att den enskilde skall ha rätt att på begägenom t.ex. annonser få bli struken. Regeringen har emellertid, efter överklagande av Statisran tiska centralbyrån, upphävt föreskrifter om strykningsrätt, se närmare avsnitt ll.3.2. I de fall där register grundar sig på informerat samtycke, ett brukar inspektionen inte meddela någon föreskrift om strykningsrätt för de ångrar sig och tar tillbaka samtycket i efterhand. som

272 Forskning och statistik SOU 1997: 39

l 1.2.5 Registerutdrag

Det är ganska många begär registerutdrag enligt 10 § datalapersoner som gen från Statistiska centralbyrån. Byrån uppskattar att varje begäran orsakar en kostnad ungefär 100 kr. Antalet förfrågningar varierade under om budgetåren 1984/85-1989/90 mellan budgetår 12 000 och 41 000 per Under 1990-talet har antalet förfrågningar dock sjunkit kraftigt. Detta illu-

följande diagram.

streras av

16 000 14 000 12 000 10 000 8 000 6 000 4 000 2 000 0 1990 1991 1992 1993 1994 1995

221 Uppgifter rörande 1970-talet finns i prop. 1980/81:20 s. 14

Forskning och statistik 273 SOU 1997: 39

11.2.6 Sekretess

I det allmännas verksamhet gäller vid framställning av statistik en särskilt sträng sekretess enligt 9 kap. 4 § sekretesslagen I sådan särskild verksamhet hos myndighet framställning statistik gäller s.k. en som avser av absolut sekretess för uppgifter enskildas personliga eller ekonosom avser miska förhållanden. Uppgifterna i statistikverksamheten är således strikt sekretessbelagda även de skulle offentliga i den statistikansvariga om vara myndighetens övriga verksamhet eller hos den myndighet från vilken uppgifterna hämtats. Det är dock tillåtet att i vissa fall lämna ut uppgifter det står klart att uppgifterna kan avslöjas utan att den som uppgifterna om rör eller någon står honom eller henne nära drabbas negativt lider — som skada eller men. Dessa undantagsfall gäller 0 uppgifter i företagsregister, uppgifter avlidna, som avser uppgifter behövs för forsknings- eller statistikändamål, som uppgifter avser personal- eller lönestatistik och som uppgifter inte identitetsbeteckning eller något som genom namn, annan därmed jämförbart förhållande är direkt hänförliga till enskilda.

Regeringen kan föreskriva att sekretessen enligt 9 kap. 4 § sekretesslagen skall gälla också för myndighetsundersökningar som är jämförbara med framställning statistik. Så har skett 3 § sekretessförordningen av genom 1980:657. Den bestämmelsen, inte finns intagen i sin helhet i lagbosom ken, har den 1januari 1997 följande lydelse.

Sekretess gäller, i den utsträckning i denna paragraf, i följande av som anges myndighet utförda undersökningar, för uppgifter som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Föreskrifterna i 9 kap. 4 § första stycket andra meningen och andra stycket sekretesslagen 1980:100 gäller, om inte en längre gående begränsning i sekretessen anges i det följande.

Myndigheter Undersökning Särskilda begränsningar i sekretessen Socialberedningen undersökningar rö- sekretessengäller en- S 1980:07 rande missbrukare dast uppgifter om enskildas personliga förhållanden

222 Statistiksekretessen behandlas utförligt i SOU 1993:83 26 ff. mera s.

274 Forskning och statistik SOU 1997: 39

Myndigheter Undersökning Särskilda begränsningar i sekretessen Utredningen undersökningar rö- sekretessen gäller en- Ju 1986:C for rande långtidsdömda dast uppgifter om översyn av reglerna enskildas personliga för straffverkställig- förhållanden het för långtidsdömda Utredningen undersökningar om Fi 1986:06 för tillämpningen beav översyn av lagen talningssälcringsin- 1978:880 om be- stitutet talningssäkring för skatter, tullar och avgifter Praxisutredningen undersökningar sekretessen gäller om en- Ku 1993:08 praxis i asylärenden dast uppgifter om enskildas personliga förhållanden Barnpomografiutred- utredningens undersekretessen gäller enningen Ju 1994: 14 sökning om pedofili dast uppgifter om enskildas personliga förhållanden Utredningen undersökningar röran- sekretessen gäller en- A 1996:01 om de utländska med- dast uppgifter om möjligheterna att i borgare som sökt sig enskildas personliga s.k. anknytnings- till Sverige och de- förhållanden ärenden använda ras i Sverige bosatta belastningsuppgifter s.k. anknytningsperom i Sverige bo- soner satta personer sjukvårdsinrätt- miljömedicinska, sekretessen gäller so- enningar, utbildnings- cialmedicinska, dast uppgifter om anstalter och forsk- psykiatriska eller enskildas personliga ningsinrättningar andra medicinska förhållanden studier riksskatteverket verkets undersökning av utfallet av 1981 års allmänna fastighetstaxering 4. brottsförebyggande kriminologiska underrådet sökningar utbildningsanstalter Sociologiska, psykolosekretessen gäller enoch forskningsin- giska, pedagogiska dast uppgifter om rättningar eller andra beteende- enskildas personliga vetenskapliga eller förhållanden samhällsvetenskapliga studier

Forskning och statistik 275 SOU 1997: 39

Myndigheter Undersökning Särskilda begränsningar i sekretessen Vägverket haveriundersökningar Riksrevisionsverket kartläggning av omfattningen av fusk med förmåner och bidrag av social karaktär kartläggning av datorrelaterade brott och datormissbruk

När myndighet uppdrag någon enskild utför en vetenskaplig eller en av statistisk undersökning, gäller sekretess för uppgifterna i undersökningen det måste uppdragsgivaren lämnat uppdraget under förutsättom antas att ning att uppgifterna inte avslöjas 8 kap. 9 § sekretesslagen.

1 1.3 Forskning

11.3.l Inledning

I samband med forskning används ofta personuppgifter för att framställa statistik.223 Personuppgifter kan dock också behandlas for andra ändamål inom forskningen, när statsvetare for ett register över vad olika t.ex. en politiker eller när psykolog registrerar hur ett fåtal enskilda indivisagt en beter sig de arbetar i Syftet med behandlingen uppgifder när en grupp. av enskilda individer torde dock regelmässigt att få generell kunter om vara skap kan och skall presenteras utan att enskildas identitet avslöjas. som - Vissa undantag finns dock, inom litteraturvetenskapen och inom hist.ex. torisk forskning, där det kan nödvändigt att presentera uppgifter om vara enskilda individer. Det finns inte någon entydig definition begreppet forskning. Som en av vid definition forskning brukar ett systematiskt och metodiskt av anges: sökande efter kunskap och idéer.224 Vi har inte funnit det nödvänny nya

223 I SOU 1995:95 132 ff. finns beskrivning hur epidemiologiskt forskningss. en av arbete kan till i allmänhet. 224 Se t.ex. sou 1989:74 25. s.

276 Forskning och statistik SOU 39 1997:

digt att for detta bakgrundsavsnitt använda någon preciserad definition av begreppet forskning. Uppgifter om enskildas personliga förhållanden i sådan forskning som det allmänna bedriver omfattas som regel stränga sekretess av samma som uppgifter som används för att framställa statistik, närmare avsnitt se 112.225

Det finns inte någon särskild registerlag för de personregister som används för forskning. Det har dock nyligen föreslagits särskild lag en om hälsodataregister för vissa register inom hälso- och sjukvården som används för f0rskning.226 Också lagstiftning rättspsykiatriskt forskningsom register har nyligen föreslagits Lagstiftning ett receptregister för om bl.a. forskning har nyligen beslutats.228

ll.3.2 Tillämpningen av datalagen

Eftersom det inte finns någon registerlag for forskningsregister, är huvudregeln alltså att datalagen gäller för sådana register; förslag att helt eller delvis ta undan forskningsregister från krav på tillstånd enligt datalagen har åren avvisats statsmaktema.229 Detta innebär det i princip genom av att krävs tillstånd av Datainspektionen för att få inrätta ett register för forskning. Först år 1990 blev det möjligt att i vissa fall använda ett förenklat ansökningsförfarande. Datainspektionen har emellertid nyligen utnyttjat sin nya möjlighet att meddela generella föreskrifter. Från den l 1996 mars gäller Datainspektionens föreskrifter för vissa personregister i statlig och landstingskommunalforskningsverksamhet DIFS 1995:4. För sådana register som inrättas och fors i enlighet med Föreskrifterna behövs inte något särskilt tillstånd.230

Föreskrifterna gäller bara när personregistreringen grundar sig på informerat samtycke; när uppgifter i stället skall utan skriftligt sådant - samtycke hämtas in från befintliga register, måste således det normala - ansökningsförfarandet användas. Skall registret användas för annat ändamål

225 Se också Alf Bohlin, Offentlighet och sekretess i myndighets forskningsverksamhet i Förvaltningsrättslig tidskrift 1996 s. 183 ff. 226 se sou 1995:95. 227 Se sou 1996:72. 228 Se 1996/97:27 och sou 1995;122 SFS 1996:1156. prop. samt 229 Se avsnitt 11.3.4. närmare 230 2 § första stycket 2 datalagen. a

Forskning och statistik 277 SOU 1997: 39

framställning statistik i ett bestämt forskningssyfte och utskick till än av registrerade kontroll och rättning uppgifter, måste också det norsamt av mala förfarandet användas. Föreskrifterna gäller bara personregister omfattas statistiksekresom av enligt 9 kap. 4§ sekretesslagen hos statliga forskningsinrättningar, tess universitet, högskolor och nämnder med ansvar för landstingens sjukvårdsinrättningar. De enskildas identitet får inte avslöjas i de statistiska redovisningama, och det finns vissa föreskrifter ADB-säkerhet som måste om följas. Forskningsregistret måste, nämnts, grunda sig samtycke. Skall som registret bara innehålla uppgifter har hämtats från annat håll än den resom gistrerade älv, måste samtycket skriftligt. Skall barn under femton år vara vårdnadshavaren lämna sitt samtycke. Är barnet mellan registreras, måste femton och arton år, måste såväl barnet vårdnadshavaren lämna sitt som samtycke. Barn är tolv år eller äldre skall själva få skriftlig informasom tion rörande den tilltänkta registreringen, och sådan information skall också lämnas till vårdnadshavaren i alla fall där barnet är omyndigt, dvs. under arton år.

Skriftlig information skall, innan uppgifterna hämtas in, lämnas om den registeransvariga myndighetens och adress, 0 namn registrets ändamål och innehåll, 0 vilka uppgifter skall bearbetas med hjälp av automatisk databe- 0 som handling, vilka uppgifter skall hämtas in från andra källor än den registrerade 0 som och vilka dessa källor är, hur länge myndigheten planerar att föra registret, innebörden och omfattningen sekretesskyddet, av rätten att få utdrag registret, ur att registreringen är frivillig och i vad mån registret kan komma att bevaras hos arkivmyndighet.

När tillstånd krävs, avstår Datainspektionen enligt fast praxis och med visst stöd förarbetena till data1agen231 från att pröva om personregistav — verkligen behövs för det uppgivna forskningsändamålet. Inspektionen ret koncentrerar sig i stället på att förebygga otillbörligt intrång i de registrerades personliga integritet att uppställa olika föreskrifter för att regenom gistret skall få föras. Datainspektionen tillmäter därvid frågan om infor-

231 Prop. 1973:33 122. s.

278 Forskning och statistik SOU 1997: 39

mation till de registrerade och deras frivilliga medverkan central betydelse; den enskilde skall kunna avböja medverkan, han eller hon vill. om

Inspektionens principiella inställning är att information alltid skall lämnas till dem som skall registreras, även när forskarna inte skulle konannars ta takt med de berörda för att få uppgifter t.ex. intervju eller enkät. Att genom det är praktiskt olägligt eller kostar mycket att informera alla forskarsom na skall hämta in registeruppgifter bryr sig inspektionen normalt inte om, om. I vissa undantagsfall är inspektionen dock beredd att diskutera metoden för att lämna information. Det gäller bl.a. när 0 hälsotillståndet hos dem skall registreras gör det svårt att informera som på vanligt sätt, 0 det finns etiska betänkligheter mot att ta kontakt med dem skall som registreras t.ex. misstänkt cancersjuka åldringar skulle kunna som oroas

av information232,

0 informationen skulle förrycka undersökningens resultat, 0 det står klart att de som skall registreras kan förväntas positiva till vara registreringen i vart fall information lämnas anslag om t.ex. genom

eller annonser och

0 det är många skall registreras. som

En särskild fråga är om den enskilde skall ha rätt att få bli struken ur ett register för forskning och statistik, han eller hon begär det. Datainspekom tionen har på senare år meddelat sådana föreskrifter i vissa fall. I de fall där forsknings- eller statistikändamålet med registret bedömts viktigt som och där en strykningsrätt skulle minska användbarheten registret har av regeringen emellertid efter överklagande Statistiska centralbyrån - av ansett att det inte borde finnas någon strykningsrätt; det samhälleliga in-

tresset av att statistikregistret grundas på ett tillförlitligt underlag har ansetts väga tyngre än den enskildes intresse att kunna få uppgifter av strukna ur registret. Däremot har föreskrifter information registret om om meddelats.233

Hälsodatakommittén har nyligen särskilt övervägt det borde finnas om någon strykningsrätt beträffande de centrala register inom hälso- och sjuk-

232 Se Datainspektionens årsbok 1987/88 s. lll. 233 Se regeringsbeslut 1993-10-28, dnr 93-1779 register för vägtrafikolycksfallsstatistik, och 1996-03-14, dnr Ju 95-1963 bakgrundsregister avseende folkhälsan och dnr Ju 95-2100 register om arbetslöshet bland ungdomar. Jämför regeringsbeslut 1986-06-26, dnr 85-3142 dåvarande Arbetslivscentrums foretagsägarregister.

Forskning och statistik 279 SOU 1997: 39

vården kommitténs lagförslag omfattar. Kommittén kom emellertid som till det samhälleliga intresset att aktuella register grundas på ett fram att av underlag över den enskildes intresse att kunna få tillförlitligt väger av uppgifter strukna och föreslog inte någon strykningsrätt234

Enligt vad vi har inhämtat från Datainspektionen är det sällsynt att en-

skilda ansöker tillstånd att föra register för forskning. Sådan registerom föring förekommer alltså främst inom den allmänna sektorn. Det är i dag

fråga sammanlagt högst ett 90-tal ärenden per år, där det begärs att ett om register för forskning skall få inrättas utan informerat samtycke.

11.3.3 Granskning forskningsetiska kommittéer av

den behandling personuppgifter sker vid sådan forskning som För av som får sina från de större forskningsfinansiärema finns det i dag i pengar praktiken dubbelt granskning och uppställande av villkor för ett system av hindra otillbörligt intrång i enskildas personliga integritet. Personregistatt granskas dels Datainspektionen i samband med tillreringen av ståndsprövningen enligt datalagen, dels det forskningsetiska organ som av är knutet till den instans som ger pengar för forskningen

Humanistisk-samhällsvetenskapliga forskningsrådet har kommitté en för forskningsetiska frågor, granskar sådan forskning som får anslag som från rådet och från vissa andra instanser, t.ex. Riksbankens jubileumsfond

Forskningsrådsnämnden. Kommittén har utarbetat forskningsetiska och för humaniora och samhällsvetenskap235, vilka fått stor anslutprinciper ning. Principema innehåller bl.a. följ

forskningsetiska principerna i det följande har till syfte att nonner för förhållandet De ge mellan forskare och undersökningsdeltagare/uppgiftslämnare så att vid konflikt en god avvägning kan ske mellan forskningskravet och individskyddskravet. Principema utgör riktlinjer för etikkommitténs granskning forskningsprojekt i HSFR. De är också avav sedda att vägleda den enskilde forskaren vid planeringen av projekt. Principema gör inte anspråk på fullständighet. Eftersom problemen kan variera avfrån fall till fall, har principerna medvetet mer givits karaktär av Vägvisare än av sevärt

234 Se sou 1995:95 175 ff. s. 235 1 sou 1989:74 127 ff. och sou 1989:75 finns en beskrivning av den forsks. ningsetiska granskningen. Se också SOU 1996:72 s. 43 236 De nuvarande principerna antogs rådet i 1990. En reviderad version gavs av mars i början 1996. Jämför bilaga 4 till SOU 1989:74. Se också t.ex. Bo ut av Petersson, Forskning och etiska koder, 1994, särskilt s. 195 ff.

280 Forskning och statistik SOU 1997: 39

detaljreglerande föreskrifter. De är inte avsedda att ersätta forskarnas bedömning egen och egna ansvar.

Konflikter kan naturligtvis uppstå mellan å sidan individskyddskravet och å ena andra sidan vetenskapliga metodkrav eller andra, rent praktiska förhållanden. Då såen dan vägning mellan stridande principer är aktuell inom ett projekt skall detta redovisas i

ansökan. I tveksamma fall bedöms den forskningsetiska konflikten i forskningsrådets

kommitté för forskningsetiska frågor.

FYRA HUVUDKRAV

Det grundläggande individskyddskravet kan konkretiseras i fyra allmänna huvudkrav på forskningen. Dessa krav skall i det följande kallas informationskravet, samtyckeskravet,

konfidentialitetskravet och nyttjandekravet. Vart och ett dessa krav kan sedan speciav ficeras ytterligare i ett antal regler, av vilka några skall redovisas i det följande. Vid si-

dan av dessa huvudregler kan det lämpligt att uppställa antal råd eller rekomvara ett mendationer.

INFORMATIONSKRAVET

Forskaren skall informera de avforskningen berörda den aktuella forskningsuppom giftens syfte.

Detta allmänna krav kan konkretiseras i följande regel:

Regel 1

Forskaren bör informera uppgiftslämnare och undersökningsdeltagare om deras uppgift

i projektet och vilka villkor som gäller för deras deltagande. De bör därvid upplysas om att deltagandet är frivilligt och att de har rätt att avbryta sin medverkan. Informatioom nen bör omfatta alla de inslag i den aktuella undersökningen rimligen kan tänkas som påverka deras villighet att delta.

Den information som ges kan eller mindre detaljerad. I förhandsinformationen vara mer skall ingå den projektansvariges namn och institutionsanknytning for underlätta konatt takten med ansvarig forskare. Undersökningens syfte bör anges och beskrivning en ges av hur undersökningen i stora drag genomförs. Forskaren skall givetvis betona de vinster i fråga om ny kunskap etc. forskningen i fråga kan komma som att bidra till för att motivera till deltagande.

Viktigt är att eventuella risker för obehag och skada redovisas. Det skall dessutom tydligt framgå att deltagandet är frivilligt och att de uppgifter insamlas inte kommer som att användas för något annat syfte än för forskning. Önskvärt är också uppgift lämnas att om hur och var forskningsresultaten kommer att offentliggöras samt om vem som finansierar projektet. Sådan information skall ges muntligt eller skriftligt. Den skall ges senast i samband med att enkät skickas ut, respektive innan försök, testningar, inter-

vjuer, etc. påbörjas.

Det är viktigt i detta sammanhang att skilja mellan tre typer undersökningar, av vilka skiljer sig med avseende på om undersökningsdeltagamas medverkan huvudsakligen är aktiv eller passiv:

Forskning och statistik 281 SOU 1997: 39

Undersökningsdeltagarna studeras från något perspektiv; han/hon intervjuas, fyller i l enkät, deltar i experiment etc. l dessafall fordras i princip förhandsinformation. en ett vissa fall där förhandsinformationen skulle äventyra undersökningens syfte t.ex. l vid deltagande observation eller vid vissa psykologiska experiment kan dock alternativ till individuell förhandsinformation övervägas. I sådana fall bör så snart som

möjligt information lämnas i efterhand. 2 Undersökningsdeltagarna medverkar aktivt och uppgifter om dem som är intresforskningsprojekt hämtas från redan existerande myndighetsregister. Om santa för ett och hur information då skall lämnas får bedömas från fall till fall. Hänsyn bör därvid framförallt till den faktiska olägenhet utebliven eller indirekt information t.ex. tas massmedia kan medföra för de berörda. Även faktorer projektets storlek, via som variabler och andra praktiska omständigheter kan här vägas in. typ av dessa förutsätter naturligtvis respektive myndighets och eventuellt data- Fall som inspektionens tillstånd. l tveksamma fall inhämtas yttrande från forskningsrådets

etikkommitté. 3 Den tredje varianten innebär kombination av de två första, s.k. blandade undercn sökningar. Forskaren hämtar då på olika sätt in uppgifter genom deltagarnas aktiva insats i olika former enligt 1 har eller kommer också att få tillgång till ovan men uppgifter myndighetsregister personer enligt 2 ovan. I den del som ur om samma gäller undersökningsdeltagarnas aktiva insats måste självfallet såfullständig inforen mation möjligt Normalt bör information ges även om annan, planerad datasom ges. insamling, t.ex. register. Om detta skilda skäl inte går eller är olämpligt eller ur av oetiskt med tanke på problemställningen bör frågan inte avgöras av forskaren själv alltid hänskjutas till forskningsetisk kommitté för bedömning. utan

SAMTYCKESKRAVET

Deltagare undersökning har rätt all själva bestämma över sin medverkan, i en

Detta krav kan konkretiseras i följande regler:

Regel 2 Forskaren bör inhämta uppgiftslämnares och undersökningsdcltagares samtycke. l vissa fall bör samtycke dessutom inhämtas från förälder/vårdnadshavare t.ex. om de underunder 15 år och undersökningen är etiskt känslig karaktär. sökta är av

Denna regel är liksom regel l beroende undersökningens karaktär med avseende på av undersökningsdeltagarnas aktivitet. I undersökningar med aktiv insats av deltagarna skall samtycke alltid inhämtas. I de fall uppgifter om deltagarna tas från existerande myndighetsregister och information inte lämnats eller lämnas t.ex. via massmedia behösamtycke efterfrågas. Undersökningar typ 3 enligt ovan, s.k. blandade underver av sökningar, skall alltid underställas forskningsetisk kommitté för prövning. Då uppgifter insamlas postenkät krävs samtycke i förom stora grupper genom hand. utförlig information medföljer enkätformuläret enligt vad som anges i Förutsatt att kommentarerna till regel kan det individuella samtycket ansesha lämnats när enkäten

returneras ifylld. l vissa fall, då undersökningen inte innefattar frågor av privat eller etiskt känslig nakan samtycke inhämtas via företrädare för uppgiftslämnare och undersökningsdeltatur, t.ex. skolledning, lärare, arbetsgivare, fackförening eller motsvarande och evengare

282 Forskning och statistik SOU 1997: 39

tuellt berörd tredje part. En förutsättning är då också att undersökningen i förekommande fall sker inom ramen för ordinarie arbetsuppgifter och på vanlig arbetstid. Formema för och omständigheterna kring inhämtandet av samtycke bör övervägas noga i de fall det finns skäl att anta att inhämtande av samtycke kan motverka individskyddskravet t.ex. om förfrågan återuppväcker till överstånden personlig en synes kris, uppdagar för den tillfrågade okända negativa uppgifter om hans/hennes närmaste, aktualiserar tidigare kriminalitet eller sjukdom som den tillfrågade inte vill få bekantgjord, eller liknande. Under dessa omständigheter kan alltså företa man överväga att studien utan att inhämta samtycke. I tveksamma fall bör rådets etikkommitté fråavgöra gan. Särskild försiktighet bör iakttagas då det gäller omyndiga eller sådana personer som själva kan tillgodogöra sig given information. Så långt möjligt bör kravet på samtycke tillämpas. Där så inte är möjligt bör förmyndare eller närstående detta personer ges ansvar. I tveksamma fall rekommenderas samråd med kolleger och/eller forskningsrådets etikkommitté.

Regel 3 De som medverkar i en undersökning skall ha rätt att självständigt bestämma hur om, länge och på vilka villkor de skall delta. De skall kunna avbryta sin medverkan t.ex. mitt i en intervju utan att detta medför negativa följ der för dem.

Vid forskning då deltagarna är aktiva är denna regel tämligen oproblematisk. Om delen tagare vill avbryta sin medverkan t.ex. mitt i en intervju står det honom/henne fritt göra att detta. Denna rätt för undersökningsdeltagare att avbryta sin medverkan innebär inte automatiskt att forskaren måste förstöra tidigare insamlade data från den aktuella personen. Huruvida så skall ske beror bl.a. på hur den initiala informationen till deltagarna utformats. Forskaren har rätt att söka motivera de medverkande att kvarstå i forskningsprojektet. Denna påverkan får dock ta sig sådana former att de berörda inte längre självständigt kan fatta beslut om avbrytande. Om en individ begär att få strykas ett forskningsmaterial bör detta tillgodoses så ur långt som möjligt. Fonnema för utträde ett forskningsmaterial kan variera och ur är i första hand, som ovan sagts, avhängiga de överenskommelser gjorts i samband som med förhandsinformation. Då sådana överenskommelser inte finns bör en Vägning ske mellan den reella skada ett forskningsmaterial kan åsamkas på lång och kort sikt begärd, av en total strykning ur materialet av en eller flera ingående individer och den faktiska olägenhet det kan innebära för dessa individer att mot sin vilja kvarstå i materialet. En vanlig form för utträde är s.k. anonymisering vilket innebär att data står kvar att alla möjmen ligheter till identifikation undanröjs. Om det skulle visa sig att kunskapstillskottet inte står i rimlig proportion till de olägenheter som kan förorsakas de medverkande eller andra berörda bör forskaren själv avbryta undersökningen.

Regel 4 I sitt beslut att delta eller avbryta sin medverkan får inte undersökningsdeltagama utsättas för otillbörlig påtryckning eller påverkan. Beroendeförhållanden bör heller inte föreligga mellan forskaren och tilltänkta undersökningsdeltagare eller uppgiftslämnare.

Forskning och statistik 283 SOU 1997: 39

I vissa fall kan, med hänvisning till det övergripande forskningskravet, beroendeförhållanden inte helt undvikas. Då bör undersökningen läggas upp så att det är omöjligt för forskaren identifiera lämnat de insamlade uppgifterna. Åren sådan uppatt vem som läggning praktiskt omöjlig att genomföra eller skulle den i övrigt äventyra undersökningens syfte så bör erbjudas att medverka först efter noggrann Vägning av det personer förväntade kunskapstillskottet mot tänkbara negativa konsekvenser på kort och lång sikt för de befinner sig i beroendeställning. Härvid är det viktigt att den tillfråpersoner som gade inte får uppfattningen att vägran att delta eller att fullfölja kan medföra nackdelar i

form t.ex. sämre vård eller behandling. av

KONFlDENTIALITETSKRAVET

Uppgifter alla i undersökning ingående skall ges största möjliga konfiom en personer dentialitet och personuppgifterna skall förvaras på ett sådant sätt att obehöriga inte kan

ta del av dem.

Frågan konfidentialitet har ett nära samband med frågan om offentlighet och sekreom Forskaren bör observera att lagstiftningen på området är svårtolkad och föremål för tess. reformer.

Detta allmänna krav kan konkretiseras i följande regler:

Regel 5 All personal i forskningsprojekt omfattar användning av etiskt känsliga uppgifter som enskilda, identifierbara bör underteckna en förbindelse om tystnadsplikt om personer beträffande sådanauppgifter.

Vad etiskt känsligt kan naturligtvis variera från samhälle till samhälle som anses vara och från tid till Utgångspunkten bör vad man kan anta att de berörda en en annan. vara således forskaren och deras efterlevande kan uppfatta som obehagligt eller kränkande. I tveksamma fall beträffande vad skall omfattas av tystnadsplikt rekommendesom samråd med kolleger eller med forskningsrådets etikkommitté. ras

Regel 6 Alla uppgifter identifierbara skall antecknas, lagras och avrapporteras på om personer ett sådant sätt att enskilda människor kan identifieras av utomstående. I synnerhet gäller detta uppgifter kan uppfattas etiskt känsliga. Detta innebär att det skall som vara praktiskt omöjligt för utomstående att komma åt uppgifterna. vara

Med avrapportering här både skriftligt offentliggörande publicering och muntlig avses redogörelse för andra än projektpersonal. Regel 6 innebär således att personuppgifter inte får lämnas ut till utomstående och att avrapportering skall ske i former som omöjliggör identifiering enskilda. Denna regel gäller dock givetvis generellt. Vid exemav pelvis personhistoriska studier kan uppgifter av privat natur ingå i levnadsbeskrivningar. I sådana fall bör möjligt samråd ske med direkt och indirekt berörda personer före om publicering. I särskilt känsliga fall kan det befogat att uppskjuta eller avstå från vara publicering av vissa uppgifter. Forskaren bör medveten om att även om personuppgifter publiceras utan att envara skilda nämns vid kan det, data är tillräckligt detaljerade, vara möjligt för åtnanm, om

284 Forskning och statistik SOU 1997: 39

minstone vissa läsare att identifiera någon individ. Åtgärder bör då vidtas för föratt svåra för utomstående att identifiera enskilda individer eller individer. Detta grupper av är särskilt viktigt då det gäller människor som i ett eller annat avseende kan anses svaga och utsatta och/eller har typiska, lätt igenkännliga särdrag. Risken för att individer oavsiktligt kan identifieras bör beaktas vid vägningen av värdet av det förväntade kunskapstillskottet mot eventuella negativa konsekvenser för de berörda.

NYTTJANDEKRAVET

Uppgifter insamlade om enskilda får endast användas för førskningsändamål. personer

Detta allmänna krav kan konkretiseras i följande regler:

Regel 7 Uppgifter om enskilda, insamlade för forskningsändamål, får inte användas eller utlånas för kommersiellt bruk eller andra icke-vetenskapliga syften.

Generellt gäller att personuppgifter insamlade för forskningsändamål endast bör doneras eller utlånas till andra forskare som ikläder sig de förpliktelser mot uppgiftslämnare och försökspersoner som de forskare ursprungligen insamlade materialet utlovat. som Regeln innebär t.ex. att forskare som sysslar med att kartlägga märmiskors fritidsaktiviteter inte får sälja eller låna ut uppgifter om enskilda människor till exempelvis företag som tillverkar produkter för fritidsaktiviteter att användas i deras marknadsföring.

Regel 8 Personuppgifter insamlade for forskningsändamål får inte användas för beslut eller åtgärder som direkt påverkar den enskilde vård, tvångsintagning, etc. efter särskilt utom medgivande av den berörda.

Den som deltagit i en undersökning som uppgiftslämnare eller försöksperson bör få åberopa forskningsresultat i samband med egen begäran om hjälp eller vård från t.ex. sociamyndigheter. Däremot får alltså inte forskningsresultatet användas exempelvis av sociala myndigheter för att mot undersökningsdeltagamas vilja bereda dem vård, utsätta dem för tvångsintagning eller dylikt. Vid planering av forskning bör projektledaren/forskaren överväga riskerna för att resultaten utnyttjas felaktigt på det sätt som omnämns i reglerna 7 och 8 och i tillämpliga fall vidta adekvata motåtgärder. I tveksamma fall rekommenderas samråd med kolleger eller med forskningsrådets etikkommitté.

I Humanistisk-samhällsvetenskapliga forskningsrådets forskningsetiska

kommitté ingår omkring 10 ledamöter, det allmänna varav en representerar och de övriga forskarsamhället. Sekreteraren i kommittén går igenom i princip alla ansökningar kommer in till rådet. Omkring 35som 50 ansökningar per år prövas kommittén i sin helhet. av

Även Socialvetenskapliga forskningsrådet har

en särskild kommitté för forskningsetiska frågor, granskar den forskning rådet betalar. I som som

Forskning och statistik 285 SOU 1997: 39

etikkommittén ingår företrädare för det allmänna och tre företrädare för tre forskarsamhället. En företrädarna för det allmänna är ordförande i av kommittén. Det brukar inte förekomma skiljaktiga meningar i kommittén. Kommittén använder sig de principer tidigare redogjorts för. av som Kommittén har under år 1996 prövat omkring 34 forskningsproj ekt. Inom den medicinska forskningen finns väl utvecklad och nästan en heltäckande forskningsetisk granskning. Forskningsetiska kommittéer finns vid de medicinska fakultetema, och central nivå finns Nämnden för forskningsetik. Det finns även regionala forskningsetiska kommittéer. få anslag från Medicinska forskningsrådet och vissa andra ñnansiä- För att Riksföreningen mot och landstingen, måste forskningen ha rer, t.ex. cancer etikgranskats. seriös facktidskrift skall publicera forskningsre- För att en sultaten krävs vidare i praktiken att forskningsprojektet har granskats forskningsetiskt. En kommitté kan ha omkring 400 ärenden att behandla år. I kommittéerna ingår alltid lekmän, är politiskt tillsatta, jämte per som för forskarsamhället. Andelen lekmän varierar något i de representantema olika kommittéema. Som exempel kan nämnas att en kommitté i Stockholm har två lekmän och åtta sakkunniga forskare. I alla nämnda kommittéer ingår således lekmän som kan sägas repredet allmänna. Kommittéema för ofta dialog med de forskare sentera en söker På detta sätt kan utformningen av forskningsprojekten som pengar. så den personliga integriteten värnas. Kommittéemas utlåtananpassas att den är formellt rådgivande, det torde i praktiken inte förekomma att men forskare får till sådan forskning kommittén har avstyrkt från en pengar som etisk synpunkt. Enligt vad vi har inhämtat är det, åtminstone under senare år, sällsynt att Datainspektionen uppställer strängare krav för att skydda den personliga integriteten än vad den granskande forskningsetiska kommittén uppställt; däremot är det omvända förhållandet dvs. att kommittén ställer — strängare krav än inspektionen mera vanligt. - För belysa vilka känsliga bedömningar det kan fråga om i de att vara undantagsfall där inspektionen strängare bedömning kan det finnas gör en anledning att kort redogöra för ett exempel.

Viss forskning från år har gett antydan om att det skulle kunna senare en finnas ett samband mellan tillförsel av honnoner, t.ex. i form av P-piller, och bröstcancer. För att få och säkrare kunskaper i den frågan ville en nya forskare undersöka långa flickor i tonåren hade fått stora doser grupp som hormoner för att motverka att de blev ännu längre. Uppgifter om cirka 500 svenska flickor kunde ha fått sådanbehandling skulle hämtas in som en

286 Forskning och statistik SOU 1997: 39

från deras journaler. Dessa kvinnor skulle följas under minst ett tiotal år upp genom att forskarna varje år samkörde sitt register med bl.a. Cancerregistret

och Dödsfallsregistret för att sevilka som fick cancer eller dog det. av Forskarna ville inte informera de kvinnor som skulle registreras. De ansåg att informationen skulle kunna väcka stark samtidigt det i oro som dagsläget inte finns någon säker kunskap om den behandling kvinnorna som genomgått verkligen ökar risken för cancer; svaret på den frågan kan sannolikt inte ges förrän om drygt tio år. Det finns inte heller i dag någon möjlig-

het att förebygga eller tidigt upptäcka sådan behandlingen kancancer som ske skulle kunna ge.

De berörda forskningsetiska kommittéema godkände forskningsprojektet

utan något krav på information, och forskarna ansökte Datainspektioom nens tillstånd att få föra registret. Under det dryga halvår ansökan som handlades hos inspektionen kom uppgifter om projektet ut i massmedia. Inspektionens styrelse pekade på detta faktum och ansåg att det inte fanns skäl

att göra undantag från huvudprincipen om informerat samtycke. Det ansågs i stället vara ytterst angeläget att information alla kända fakta stilla genom om den oro som publiceringen kunde ha förorsakat de berörda kvinnorna. In-

spektionen krävde alltså inforrnerat samtycke som villkor för att få föra registret.

Forskarna har överklagat beslutet till regeringen, och det ärendet är inte

avgjort ännu.

1l.3.4 F orskningsetiska utredningen

Forskningsetiska utredningen berör i betänkandet Forskningsetisk pröv-

ning Organisation, information och utbildning SOU 1989:74 frågor som rör användningen av personuppgifter inom forskningen.

Utredningen menade att inte kan komma ifrån att forskningen ofta man måste baseras på känsliga uppgifter individer för få fram viktig om att kunskap och att det viktiga från integritetssynpunkt därför till är att se att uppgifterna hanteras på rätt sätt forskarna. Det är i första hand forskarav samhället som måste ta för att forskningsetiska regler formuleras ansvar och följs. Det föreslogs att den forskningsetiska granskningen inom hög-

skolan skulle byggas ut och att det skulle förekomma utbildning och mera information forskningsetiska frågor. om

Forskning och statistik 287 SOU 1997: 39

Utredningen lämnade vidare förslag som innebar att personregister som förs vissa myndigheter och uteslutande används för forskning av som resultaten redovisas att enskilda individers identitet avslöjas och där utan skulle undan från kravet på tillstånd Datainspektionen. Undantaget tas av skulle dock gälla bara under förutsättning antingen informerat samtycke hade hämtats in från de registrerade eller 0 att registreringen hade godkänts forskningsetisk kommitté. 0 att av en

skulle inte obligatoriskt att informera de registrerade när det fanns Det vara godkännande forskningsetisk kommitté; frågan om information ett av en via massmedier skulle lämnas eller inte fick avgöras från fall till fall t.ex. lämpligen diskuteras i kommittén.233 och kunde Den registeransvarige skulle tidigare ha förteckning över de som en register fördes helst fick ta del Däremot skulle en som som vem som av. enskild inte längre ha rätt till ett utdrag med sina egna uppgifter från ett forskningsregister detta skulle kunna föra med sig ett sänkt integritetsom skydd. Många forskningsregister är nämligen avidentiñerade eller består svårtolkade koder när de används i det dagliga arbetet, och en skyldigav plocka fram uppgifter för ett registerutdrag på individnivå skulle het att därför kunna föra med sig att det integritetsskydd t.ex. kodning eller som kryptering innebär försvagades. Utredningens förslag fick vid remissbehandlingen ett starkt stöd från den övervägande delen forskarsamhället, medan bl.a. Datainspektionen av och Riksdagens ombudsmän motsatte sig sådana ändringar i datalagen Regeringens grundinställning att de rättsliga och andra regler som var gäller för samhällelig verksamhet i övrigt också skall gälla för forskningen. Regeringen ansåg att datalagen borde gälla generellt. Också upprättandet, utnyttjandet och skötseln register för forskningsändamål borde prövas i av den ordning gäller för sådana dataregister utnyttjas för andra änsom som damål. Genom Datainspektionen fristående myndighet granskar att som en forskningsprojekten med utgångspunkt i datalagen och därvid lägger inpå verksamheten finns insyn från ett från forskarvärlden

tegritetsaspekter

fristående och garanti för att den individuella integriteten organ en Utredningens förslag och remissynpunktema lämnades över till skyddas.

237 Statliga högskoleenheter, statliga forskningsinstitut, Statistiska centralbyrån och myndigheter inom hälso- och sjukvården. 238 SOU 1989:74 118. s. 239 1989/90:90 212 och SOU 1991:21 51 ff. Se också Datainspektionens Se prop. s. s. årsbok 1989/90 s. 200 ff.

288 Forskning och statistik SOU 1997: 39

Datalagsutredningen för att bedömas i samband med allmänna mer överväganden om datalagens utformning240, beträffande

se Datalagsutredning-

ens förslag avsnitt 11.5.

Här kan också nämnas att regeringen redan tidigare hade avvisat lik-

nande förslag från Statistikutredningen.241 Då anfördes det

att var synnerligen angeläget att den enskildes integritets- och sekretesskydd beaktas i samband med inrättande personregister. Sådana register för

av forsknings-

och statistikändamål borde i linje med den inställningen bevakas från in-

tegritetssynpunkt med stöd av datalagen.242

Vad gäller forskningsregister har regeringen redovisat motsvarande inställning även på år i samband med statsmaktsregister senare att inrättats243

Av vad som anförs i den senaste forskningspolitiska propositionen framgår att regeringen att forskningsetiska problem avser ge och forskarnas ansvar i dessa frågor en ökad uppmärksamhet. I den propositionen anförs bl.a.244

Forskarna måste ... upprätthålla av samhället godtagbara etiska principer för metoder i forskningsprocessen, t.ex. vad gäller experiment på människor eller djur eller registrering av data om privatpersoner, för att respekten for forskarnas frihet skall kunna försvaras i samhället. Diskussionen om forskarnas har lett till att särskilda regler och ansvar nämnder för hantering av forskningsetiska problem har upprättats. Forskningsetiska frågor behandlades statlig utredning år 1989 SOU av en 1989:74 och 75 och därefter riksdagen prop. 1989/90:90, bet. av 1989/90:UbU25, rskr. 328. Riksdagen ansåg att forskarna själva måste ta ansvaret för den etiska kvaliteten likaväl som for den vetenskapliga. Etisk prövning av forskningsprojekt är således naturlig del verksamheten. en av Riksdagen framhöll bl.a. vikten av utbildning i forskningsetiska frågor på alla stadier, men särskilt inom forskarutbildningen. I ett samhälle med ett starkt och ökande beroende av vetenskap och teknologi är forskningsetiska frågor i vidare mening allmänt intresse. av stort Hur forskningen inriktas, vilka projekt som prioriteras, vilka metoder som används och hur man förhindrar fusk eller vilseledande resultatredovisning

240 se prop. 1989/90:90 s. 212 och regeringsbeslut 1990-07-12, dnr 3317/89. 241 Se SOU 1983:74, särskilt s. 185 och, beträffande remissvaren över det betänkandet, DsC 1984:11, särskilt s. 27 ff. En sammanfattning utredningsläget år av 1987 finns i SOU 1987:31 s. 35 ff. 242 Se prop. 1984/85:133 s. 16. 243 Se 1992/93;193 prop. s. 21 sjukförsäkringsregister hos de allmänna försäkringskassoma och l993/94:235 19 arbetsfönnedlingsregister. s. 244 Prop. 1996/97:5 s. 40

Forskning och statistik 289 SOU 1997: 39

hur resultaten kan tänkas påverka samhället i stort har därmed också samt politisk räckvidd. Frågorna har också samband med respekten for forsk-

och forskarnas integritet. Enligt regeringens bedömning är det lämpningen icke minst med tanke på den snabba utvecklingen inom vetenligt att nu skapen och strävan efter nämnare samverkan mellan forskning och samen hälle analys de forskningsetiska frågorna i vid mening och göra en ny av därvid bland pröva hur systemet i dag fungerar i dessa avseenden. En annat vad forskarsamhället och andra har gjort och gör för att hangenomgång av de etiska frågorna är därvid viktig, liksom frågor i vilken omfattning tera om forskningsetiska frågor verkligen belyses i utbildningen. Regeringen avser

tillsätta utredning med parlamentarisk förankring för att allsidigt beatt en lysa dessaoch andra forskningsetiska frågor.

utbildningsutskottets betänkande över propositionen utgick utskottet från I den planerade utredningens uppdrag skulle omfatta frågor om en geatt nomgång och utvärdering användningen de databaser för longitudiav av forskning redan existerar och penetrering de etiska frågornell som en av

na245

1 1.4 Internationella regler

11.4.l Europarådets rekommendation på området

Europarådets rekommendation R 83 10 om skydd för personuppgifter nr används för vetenskaplig forskning och statistik jämte kommentarer som Memorandum finns bilaga 3.2.2 till Datalagsutred- Explanatory som slutbetänkande. Rekommendationen presenterades i det betänkanningens

det avsnitt 4.3.2 på följande sätt.

Rekommendationen Europarådet år 1983. Sverige har utan reservation godantogs av tagit rekommendationen. . . . Syftet med rekommendationen är enligt uttalanden i dess inledning att tillgodose så-

väl forskningens behov skyddet för den enskildes integritet. som Rekommendationen är tillämplig på användningen av personuppgifter för vetenforskning och statistik, såväl inom den allmänna inom den enskilda sektorn skaplig som oberoende uppgifterna förs med hjälp ADB eller manuellt. Medlemsstaoch av om av möjlighet tillämpa rekommendationen på föreningar, bolag och andra terna har att sammanslutningar direkt eller indirekt består av individer. som

245 UbU 1996/97:3 34 s.

290 Forskning och statistik SOU 1997: 39

Enligt rekommendationen skall respekten för den personliga integriteten garanteras

i varje forskningsprojekt som använder personuppgifter. Så ofta det är möjligt skall undersökningarna utföras med anonyma uppgifter.

Varje person som lämnar uppgifter sig själv skall informeras projektets om om natur, dess mål och namnet på den person eller den organisation för räkning forskvars ningen genomförs. Om den person från vilken uppgifter skall inhämtas inte är skyldig

att lämna uppgifter, skall han informeras om att han har frihet att välja han vill om samarbeta. Skyldigheten att medverka kan följa lag eller avtal. Han har också rätt av att när som helst avbryta sin medverkan utan att ange något skäl. Om inte, på grund syftet av med forskningen, information om projektets natur kan avslöjas innan uppgifterna m.m. samlas in skall personen informeras efter det att insamlingen är färdig och fri vara att fortsätta eller avbryta sin medverkan. Om han då vill avbryta sin medverkan skall han

ha rätt att få uppgifterna strukna ur registret. Särskilda säkerhetsåtgärder skall vidtas i

samband med insamling av uppgifter från personer inte har möjlighet att ta till som vara sina egna intressen eller inte har möjlighet att fritt lämna sitt samtycke. som Personuppgifter som erhållits för forskning får inte användas för något ändaannat mål än forskning. l synnerhet får de inte användas för beslutsfattande direkt påsom verkar personen ifråga, såvida det inte ligger inom för forskningen eller sker med ramen den berörda personens uttryckliga samtycke.

Personuppgifter som med den enskildes samtycke samlats in för ett särskilt forskningsprojekt får inte utan den enskildes samtycke användas i samband med något annat forskningsprojekt som till sin natur eller syfte på ett väsentligt sätt skiljer sig från det

första projektet. I de fall det skulle ohanterligt att inhämta sådant samtycke på vara grund av tidsåtgången eller på grund det stora antal berörs kan emellerav personer som tid de insamlade personuppgifterna få användas, under förutsättning att det sker i över-

ensstämmelse med andra skyddsbestämmelser som uppställs i inhemsk lag. Både allmänna och privata organ skall ha rätt att för forskning använda egen personuppgifter som de innehar för administrativa ändamål. Om personuppgifter i samband

med sådan forskning förs in i befintliga register hos det administrativa organet eller om befintliga register ändras, får dessa register inte göras tillgängliga för administrativ personal som sysslar med individuella fall, såvitt det inte sker med den enskildes samtycke.

Personuppgifter får lämnas ut av allmänna eller privata för forskningsändamål organ om det sker med den enskildes samtycke eller om det sker i enlighet med andra i in-

hemsk lag angivna skyddsbestämmelser.

Forskares tillgång till allmänna befolkningsregister skall underlättas, så att de kan få underlag för urvalsundersökningar. Om annat inte beslutas inhemska myndigheter i av enskilda fall, bör sådana uppgifter få innehålla namn, adress, födelsedatum, kön och

yrke. I förarbetena till denna bestämmelse anförs bl.a. att forskningen i ökad utsträckning är beroende av uppgifter redan finns hos olika statliga institutioner och besom att stämmelsen tillkommit för att inte forskningen ensidigt skall beroende dessa vara av institutioners skönsmässiga bedömning i fråga om utlämnande av uppgifter. l anslutning

härtill görs också hänvisning till den lagstiftning tillgång till allmänna handlingar om laws of freedom of information finns i många länder. Det understryks de som att personuppgifter som nämns är den mimmi-information under alla förhållanden som måste göras tillgänglig och att det undantag kan föreskrivet i inhemsk lag kan som vara ta sikte pä sådana grupper av uppgifter som t.ex. adress- och yrkesuppgifter, det är om av särskild vikt för den enskilde att dessa uppgifter inte lämnas ut.

Forskning och statistik 291 SOU 1997: 39

Den enskildes rätt att ta del uppgifter sig själv och få dessarättade får lov att av om i de fall uppgifterna är insamlade och bevaras endast för statistik- eller forskbegränsas ningsändarnål och resultatet statistiken eller forskningen inte utan svårighet identiav individen och det vidtagits tillfredsställande åtgärder för att säkerställa skyddet för fierar enskildes privatliv vid varje stadium undersökningen, även beträffande uppgifter den av bevaras för framtida användning. Bestämmelsen gäller emellertid inte i de fall den som enskilde på grund forskningens beskaffenhet kan visa sig ha ett särskilt intresse som av förtjänar att skyddas. används för forskning får inte publiceras i identiñerbar form, Personuppgifter som såvida inte de berörda lämnat sitt samtycke och det sker i enlighet med särskilda

skyddsbestämmelser i inhemsk lag. varje forskningsprojekt skall det så långt det är möjligt, om personuppgifter I anges, förstöras, avidentifieras eller bevaras när projektet är avslutat och i det senarefallet skall vilka villkor uppgifterna skall bevaras. När den berördes samtycke att delta i under som forskningsprojekt behövs, skall samtycket också omfatta möjligheten av att uppgifett bevaras efter projektets avslutande. Om det inte varit möjligt att infordra samtycke terna bevara uppgifterna, får dessabevaras under det villkoret att lagringen görs i enligför att het med skyddsbestämmelser som fastställts i lag. beslut fattas att förstöra personuppgifter förs av offentliga myndighe- Innan om som skall den möjliga framtida användningen sådan data undersökas i samråd med ter, av arkivmyndighetema.

med fram rekommendation.245 Inom Europarådet pågår arbete att ta en ny

11.4.2 EG-direktivet

Enligt EG-direktivet får personuppgifter inte behandlas på ett sätt som är

oförenligt med de ändamål när uppgifterna samlades in. Under som angavs förutsättning medlemsstaterna beslutar lämpliga skyddsåtgärder att om skall dock behandling uppgifter för historiska, statistiska eller senare av vetenskapliga ändamål inte oförenlig med de ursprungliga ändamåanses

len. Artikel 6.1 b. inte samlas in från den registrerade, skall det vid

När personuppgifter

registreringen uppgifterna lämnas viss information till den registrerade av 11.1. Information behöver dock inte lämnas, utlämnandet fö-

artikel om

reskrivs i författning eller det visar sig omöjligt eller skulle inneom vara bära oproportionerligt ansträngning att lämna information. I sådana en stor fall skall medlemsstaterna föreskriva lämpliga skyddsåtgärder. Artikel

11.2. Personuppgifter i allmänhet får behandlas efter samtycke från den en-

skilde eller behandlingen är nödvändig bl.a. för att utföra en arbetsom

246 Se 1994/95-.200 14 och sou 1995:95 68 prop. s. s.

292 Forskning och statistik SOU 1997: 39

uppgift av allmänt intresse. En behandling personuppgifter kan också av vara tillåten efter intresseavvägning. Se närmare artikel 7 och en avsnitt 3.5. Det är i princip förbjudet att behandla vissa känsliga personuppgifter

artikel 8.1. Under förutsättning lämpliga skyddsåtgärder får med-

av lemsstatema dock besluta undantag från detta förbud hänsyn till om av ett viktigt allmänt intresse. Undantagen kan direkt i den nationella anges lagstiftningen eller beslut tillsynsmyndigheten. genom av Artikel 8.4. Behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder får utföras bara under kontroll myndighet eller av en - om lämpliga skyddsåtgärder finns i nationell lag med förbehåll - för de avvikelser som medlemsstaterna kan tillåta med stöd nationella bestämmelav ser som innehåller lämpliga och specifika skyddsåtgärder 8.5.

artikel

Den registrerade har rätt att få information behandlade uppgifter om och rättelse artikel 12. I sådana fall där det uppenbarligen inte finns någon risk för att den berörda privatliv kränks får medlemsstaterna personens under förutsättning lämpliga rättsliga garantier begränsa dessa - av rättigheter. Det gäller när uppgifterna bara behandlas för ändamål som har med vetenskaplig forskning att göra eller när uppgifterna bara lagras i form av personuppgifter under begränsad tid inte överstiger den tid en som som är nödvändig för att framställa statistik. Artikel 13.2. Om den nationella lagstiftningen inte föreskriver något skall den annat, registrerade i åtminstone vissa fall ha rätt att när helst som av avgörande och berättigade skäl rör hans eller hennes personliga situation som motsätta sig behandling av personuppgifter artikel 14 1 st. a. Uppgifter får lagras i sådan form att enskilda kan identifieras bara så länge det är nödvändigt för de ändamål för vilka uppgifterna behandlas. För personuppgifter som lagras under längre perioder för historiska, statistiska eller vetenskapliga ändamål skall medlemsstaterna

vidta lämpliga skyddsåtgärder. Artikel 6.1 e.

1 1.5

Datalagsutredningen

1 1.5.1 Förslagen

Enligt Datalagsutredningen skulle behandling för forsknings- och statistikändamål icke känsliga personuppgifter följa de allmänna av reglerna i den

Forskning och statistik 293 SOU 1997: 39

föreslagna datalagen.247 För behandling känsliga personuppgifter för av sådana ändamål skulle det däremot föras in särskilda bestämmelser. Huvudregeln skulle att de enskilda skulle lämna ett skriftligt, informerat vara samtycke till behandlingen; skulle lämnade uppgifter användas för ett forsknings- eller statistikändamål inte förenligt med de ändamål som var bestämts vid insamlingen, skulle ett nytt, skriftligt samtycke krävas. som De särskilda bestämmelser föreslogs reglerade de fall där behandling som skulle tillåten trots att sådant samtycke inte hämtats in. vara

Behandling samtycke skulle bara tillåten det fanns särskilda utan vara om skäl med hänsyn till forsknings- eller statistikprojektets vikt, 0

behovet av personuppgifter,

säkerheten vid behandlingen uppgiftema, och av den tid uppgifterna skall behandlas. som

Ytterligare skulle krävas det skulle synnerligen kostsamt eller tidsödande att hämta in a att vara samtycke, . den enskildes hälsotillstånd eller forsknings- eller statistikändamålet b att sådant att begäran samtycke kunde antas skada den enskilde, var en om eller kontakt med den enskilde skulle förrycka undersökningens resulc att en tat.

Den enskilde skulle vidare ha rätt att anmäla att han eller hon inte ville delta i projektet. Efter sådan anmälan skulle uppgifter om anmälaren en inte få behandlas i projektet, och uppgifterna redan var föremål för beom handling skulle de utplånas. I de fall där det synnerligen kostsamt eller tidsödande att hämta in var samtycke eller där den enskilde skulle kunna skadas man begärde hans om eller hennes samtycke punkt och b skulle information om be-

a ovan

handlingen i stället lämnas i tidningar eller något liknande sätt. När en kontakt på förhand med den enskilde skulle fönycka undersökningsresulpunkt skulle information lämnas till den enskilde efter intatet c ovan samlingen uppgifterna; innan så skett skulle uppgifterna inte få behandav las.

247 Seavsnitt 10 i sou 1993:10 175 ff..

294 Forskning och statistik SOU 1997: 39

1 1.5.2 Remissutfallet

Remissutfallet får betecknas övervägande negativt. Flera remissinsom stanser påpekade att ändamålen med behandling ofta kan ändras flera en gånger under den tid ett forskningsprojekt pågår och att det skulle vara onödigt besvärligt att hämta in nytt samtycke varje gång. Många vände sig vidare mot att samtycket måste skriftligt; detta förutsågs bl.a. skapa vara problem när uppgifter hämtas in vid telefonintervjuer. Flera remissinstanser som representerar forskarsamhället ansåg att det borde finnas ett större utrymme för att bedriva registerforskning utan samtycke än vad utredningen föreslagit. Den obligatoriska rätten för enskilda att få undantas från ett projekt ansågs kunna skapa besvärliga bortfallsproblem.

11.6 Överväganden

11.6.1 Inledning

Vi tar här upp sådan behandling personuppgifter för forskning och staav tistik som inte är reglerad i särskilda Författningar och där det inte i särskild ordning övervägs regler om användning register for forskning och av statistik. Sådana regler övervägs för närvarande inom bl.a. hälso- och sjuk-

vården248 inklusive läkemedelsanvändningen249 och

- rätts- -

psykiatrin.250

Det är onekligen ett viktigt samhällsintresse att det finns fri och allen sidig vetenskaplig forskning, kan eller fördjupad kunskap som generera ny om förhållanden och samband, och att sådan statistik framställs besom hövs för att överblicka och styra verksamheter. Detta torde inte behöva utvecklas närmare. Vi har inte fått några uppgifter om att det skulle förekomma att sådana personuppgifter som behandlas för forskning och statistik på ett otillbörligt sätt används för andra ändamål, t.ex. avslöjas för obehöriga eller används för att vidta åtgärder mot enskilda. Någon konkret misstanke om att per-

248 Se särskilt avsnitt 6.4 i sou 1995:95 ff.. s. 107 249 Se prop. 1996/97:27 och SOU 1995:122. 250 se SOU 1996:72.

1997: 39 Forskning och statistik 295 SOU

sonuppgifter för forskning och statistik skulle missbrukas finns således

inte. Ändå är de flesta människor negativa till att känsliga personuppgifter används för forskning och statistik utan att de tillfrågas först eller åtminshar möjlighet att förhindra användningen. Det är användningen i tone nog sig utan möjlighet till inflytande för den enskilde som upplevs som ett besvärande intrång i den personliga integriteten, även om behandlingen sker under sträng sekretess och betryggande former. annars Det är givetvis viktigt att vid all forskning och framställning av man statistik iakttar hög etisk standard såväl i fråga behandlingen av peren om sonuppgifter i övrigt. Genom att den aktuella verksamheten håller en som genomgående hög etisk standard, kan allmänhetens förtroende behållas. När människor känner förtroende för viss verksamhet, kan man i allen mänhet lita på att de är villiga att lämna sanningsenliga personliga uppgif- Har människor inte det förtroendet ökar å andra sidan risken för att de ter. lämnar medvetet felaktiga uppgifter eller undandrar sig medverkan eller på något annat sätt försvårar verksamheten.

11.6.2 Huvudprincipen bör vara samtycke vid behandling av känsliga personuppgifter

Allmänhetens inställning talar starkt för att huvudprincipen liksom hittills skall att behandling känsliga personuppgifter251 för forskning och vara av statistik skall ske med samtycke; innebörden begreppet samtycke berörs av i avsnitt 12.2.9. Den huvudprincipen har också accepterats och används i forskarsamhället. Det står samtidigt klart att huvudprincipen inte kan upprätthållas utan undantag. Viss forskning och statistik är så viktig att den inte kan få beroende att varje berörd enskild har informerats och vara av lämnat sitt samtycke. Ibland måste samhällsintresset få ta över intresset av skydda enskildas personliga integritet. Att ett rättvisande cancerregister att kan föras är t.ex. ett så viktigt samhällsintresse att man inte kan ta hänsyn till drygt 10 procent befolkningen att patientuppgifter inte skall att av anser få föras över dit. Sådan behandling känsliga personuppgifter för forskning och statisav tik sker med samtycke är egentligen inte problematisk; har den ensom skilde frivilligt gått med på att personuppgifterna får användas, bör samhället inte därutöver ställa restriktioner för t.ex. forskningen. upp

251 Seavsnitt 12.5.3.2 beträffande definitionen känsliga personuppgifter. av

296 Forskning och statistik SOU 1997: 39

11.6.3 Behandling av känsliga personuppgifter utan samtycke

11. 3.1 Det måste ske avvägning i varje enskilt fall en

Den svåra huvudfrågan när det gäller behandling känsliga av personuppgifter för forskning och statistik är i stället att avgöra när sådan behandling bör få ske utan samtycke. Enligt vår mening måste det här alltid till en avvägning i varje enskilt fall. Det bör här erinras om att det redan finns särskilda registerförfattningar för den allra viktigaste statistiken den är officiell och att våra - som överväganden inte rör det som redan är särreglerat. Övervägandena i det följande avser således främst forskningen, där det inte finns någon generell registerförfattning, och de undantagsfall där känsliga personuppgifter behandlas utan samtycke för att framställa statistik utan att det regleras de av särskilda registerförfattningama om den officiella statistiken. Principen om en fri forskning gör att det finns många olikartade forsknings- och statistikprojekt och dessa pågår bara under begränsad tid, en även om vissa projekt kan avsedda att det finns hålla vara - om pengar på länge. Den splittrade bilden medför att det framstår ogörligt som att annat än på vissa särskilda områden ha regler som på förhand vilka anger behandlingar av känsliga personuppgifter för forskning och statistik som skall vara tillåtna utan samtycke. Också vikten att värna forskav om ningens frihet talar emot att annat än undantagsvis ha riksdag eller av regering på förhand beslutade regler om vilken forskning får bedrivas. som Beträffande den officiella statistiken finns det reglering vilka numera en av register med känsliga personuppgifter är tillåtna252, och beträffande som vissa register för forskning och statistik inom hälso- och sjukvårdsområdet har en liknande reglering föreslagits.253 Men det är belysande att det ännu inte finns någon registerlag för forskningen, trots att det är fråga om ett viktigt samhällsområde där behandling av mycket känsliga personuppgifter ofta är nödvändig. Också det förhållandet att inte användningen för ens forskning av vissa administrativa statsmaktsregister har ansetts kunna regleras generellt i aktuella registerlagar visar svårigheterna med generella

252 Se lagen och förordningen om vissa personregister för officiell statistik, SFS 1995:606 och 1060. - 253 Se SOU 1995:95. t.ex.

SOU 1997: 39 Forskning och statistik 297

regler på förhand.254 Man bör här även nämna den omständigheten att det dröjde så länge innan ett förenklat ansökningsförfarande för tillstånd

ens till sådana forskningsregister bygger på samtycke kunde antas.255

som

Vår slutsats är alltså att det inte är möjligt att i en ny datalag ha generella regler skulle motsvara särskild registerlag för forskning och

som en sådan statistik inte redan regleras särskild registerförfattning,

som genom

att det måste bli fråga avvägning i varje enskilt fall. Vid en såutan om en dan avvägning måste, vi det, olika faktorer kring forskningspro-

som ser jektet vägas mot intrånget i den enskildes personliga integritet. Det bör t.ex. göras bedömning hur viktig den kunskap är som forsk-

en av pass ningsprojektet kan och den kunskapen kan fås på något annat sätt än

ge om

att behandla personuppgifter eller intrånget i den personliga genom om integriteten kan begränsas genom en annan uppläggning av projek-

annars tet. Det är t.ex. viktigt att möjligheterna att bedriva forskningen eller framställa statistiken utan att använda personanknutna uppgifter alltid undersöks.

11 6.3.2 Vem bör göra avvägningen

. Den nuvarande datalagen bygger på att det är Datainspektionen som i samband med sin tillståndsgivning bestämmer om det skall krävas samtycke eller inte. Inspektionen anser sig dock inte ha kompetens att bedöma forskningsproj ektet sådant. Redan av den anledningen är det enligt vår

som mening inte lämpligt att inspektionen gör den nödvändiga avvägningen i varje enskilt fall. Härtill kommer datalag inte bör bygga på ett

att en ny system med tillstånd Datainspektionen, avsnitt 12.12. Det är därför

av se inte heller framkomlig väg att inspektionen på ett eller annat sätt tillförs

en nödvändig kunskap för att göra avvägningen

Datalagsutredningens förslag innebär i praktiken att en s.k. avvägnings-

tas in i lagtexten. En sådan regel ger uttryck för att det skall

norm norm

ske avvägning mellan olika intressen och kan också eller mindre

en mer precist vilka faktorer som kan beaktas i samband med intresseavväg-

ange ningen. De faktorer utredningen skulle beaktas avsnitt

som angav - se

254 Se 1992/932193 21 sjukforsäkringsregister hos de allmänna försäk-

prop. s.

ringskassoma och l993/94z235 s. 19 arbetsförmedlingsregister. 255 Jämför t.ex. DsJu 1981:15 166 där det redan år 1981 föreslås att Datain-

s. - -

spektionen skall utforma ett förenklat ansökningsforfarande for vetenskapliga re-

gister. 256 Jämför SOU 1978:54 188 r och 190 samt därtill 1978/79:109 13.

s. prop. s.

298 Forskning och statistik SOU 1997: 39

11.5.1 kan vi i huvudsak ställa oss bakom. Utredningens förslag innebär vidare i praktiken att den enskilde forskaren skulle göra avvägningen med risk för att vid en oaktsam felbedömning drabbas sanktioner, t.ex. av sättas i fängelse. Enligt vår mening är den avvägning som måste ske så känslig och så svår att göra att den som huvudregel inte bör överlåtas åt varje enskild forskare vid varje enskilt forskningsprojekt; det krävs och kunstörre vana skap for att göra den avvägning behövs. Det framstår också som som mindre lämpligt att den forskare som anser det lönt att använda ett år par av sitt liv för att genomföra ett visst forskningsprojekt själv skall göra en bedömning av vikten av det egna projektet och det integritetsintrång som han eller hon kan förorsaka enskilda. Våra överväganden hittills har lett fram till slutsatsen att det krävs oss att avvägningen i de enskilda fallen som regel görs någon oberoende inav stans som har kunskap och vana att göra bedömningar såväl risken for av otillbörliga integritetsintrång som forskningsprojektet sådant. Vi har som inte lyckats finna någon annan lämplig sådan instans än de forskningsetiska kommittéer som finns; att tillskapa helt instans för att pröva en ny nu aktuella frågor har vi inte funnit lämpligt eller nödvändigt.

1 1.6. 3.3 De forskningsetiska kommittéerna

Som framgår av avsnitt ll.3.3 finns på de humanistisk-samhällsvetenskapliga, socialvetenskapliga och medicinska forskningsområdena forskningsetiska kommittéer med hög kompetens och med företrädare även for det allmänna. Att en forskningsetisk kommitté har godkänt ett forskningsprojekt utgör en presumtion för att projektet är upplagt ett godtagbart sätt och att det är så viktigt att ett visst intrång i den enskildes personliga integritet bör tillåtas hänsyn till samhällsintresset att projektet kan genomföras. av av Såvitt vi har kunnat finna utgör den forskningsetiska granskningen en tillräcklig garanti för att behandling känsliga personuppgifter for av forskning och statistik används utan samtycke bara i de undantagsfall där det är verkligen befogat med hänsyn till samhällsintresset att forskningen kommer till stånd. Också frågan i vad mån och hur information skall om lämnas i de sällsynta fall där samtycke inte krävs verkar hanteras ett omdömesgillt sätt av de forskningsetiska kommittéerna.

SOU 1997: 39 Forskning och statistik 299

De forskningsetiska kommittéemas verksamhet är inte författningsreglerad.257 Kommittéema skulle om det i lagstiftningen angavs att person-

uppgifter för forskning fick användas utan samtycke om kommittén godkänt projektet visserligen inte åläggas någon utövning av offentlig makt. Men kommittéemas inställning är givetvis ändå av största betydelse.

Våra kontakter med de forskningsetiska kommittéerna har visat att de genomgående är positiva till ett sådant system som nu skisserats. Kommittéema verkar vidare ha möjlighet att praktiskt ta hand om den ökade mängd granskningsärenden som kan förväntas med ett nytt system.

Det finns dock inneboende motsättning som man bör vara uppmärk-

en

på och bör nämnas i sammanhanget. De forskningsetiska sam som kommittéerna är nämligen knutna till de forskningsråd som ger pengar till forskningsprojekten. Och mer information osv. som kommittéerna krä-

desto mindre forskning blir det för rådets pengar. Risken för att ver, kommittéerna ett otillbörligt sätt ekonomiska skäl skulle avkall på

av ge kravet på samtycke får dock inte överdrivas. Såvitt framkommit har kommittéerna den självständighet och integritet krävs. Även de

som jävsproblem alltid uppkommer när yrkeskollegor skall bedöma var-

som andras projekt bör uppmärksammas. l bland annat detta hänseende kan det allmännas medverkan och inflytande i kommittéerna ha stor betydelse.

Ytterligare fördel med ett system med godkännande av en forsk-

en ningsetisk kommitté är att det för dessa fall inte torde finnas något behov

definition vad är forskning eller vilka är forskare. Det av en av som som får nämligen förutsättas att kommittén bara godkänner sådan forskning

bedrivs vetenskapligt och som är väsentlig. som

Vi har alltså kommit fram till att behandling utan samtycke av känsliga personuppgifter för forskning och statistik bör tillåtas forsknings-

när en etisk kommitté har granskat och godkänt projektet; vad kommittén kan ha kommit fram till i fråga om t.ex. information till de enskilda skall givetvis följas för att behandlingen skall anses tillåten. Den persondataansvarige skall alltså inte kunna drabbas av sanktioner främst skadestånd för att

- han eller hon behandlar känsliga personuppgifter för forsknings- eller statistikändamål, han eller hon följer vad den forskningsetiska kommittén

om har bestämt.

Att de forskningsetiska kommittéerna inflytande över samtycke

ges om skall krävas innebär inte att Datainspektionen skulle vara avskuren från att

257 I rättsfallet RÅ 1979 2:11 ansågs etisk kommitté vid Södersjukhuset i Stock-

en

holm utgöra en myndighet i tryckfrihetsförordningens mening.

300 Forskning och statistik SOU 1997: 39

utöva effektiv tillsyn över aktuella forskningsprojekt. Det bör visserligen inte vara Datainspektionens uppgift att meddela tillstånd till registerforskning utan samtycke. En sådan uppgift skulle innebära dubbelkontroll

en och strida mot våra strävanden att föra bort så mycket den byråkratiska

av prövningen som möjligt. Som förut anförts bedömer Datainspektionen inte heller forskningsprojekten som sådana. Däremot skall de allmänna reglerna om säkerhet vid behandlingen se avsnitt 12.10 och inspektionens

om tillsyn och befogenheter i övrigt se avsnitt 12.14.l.3 givetvis gälla. Genom att material kring nu aktuella behandlingar finns samlade hos ett fåtal forskningsetiska kommittéer, kan inspektionen enkelt få en överblick.

Det får vidare förutsättas att inspektionen och de forskningsetiska kommittéema regelbundet samrådet med varandra på lämpligt sätt, t.ex. genom återkommande konferenser eller seminarier i fråga persondata-

om skyddet och att samråd vid behov även sker med andra berörda myndigheter, t.ex. Riksarkivet. Inspektionen bör givetvis följa utvecklingen på

noga detta område och, om det visar sig nödvändigt, ta initiativ till de författningsändringar som de ytterligare erfarenheterna kommittéemas hante-

av ring dessa frågor kan föranleda.

av

Det skall, som sagts, också tillsättas en parlamentarisk utredning för att göra en översyn av den forskningsetiska verksamheten. Frågorna kommer således att inom den närmaste framtiden få en ordentlig genomlysning. Det är möjligt att resultatet av översynen kommer att bidra till att ge den forskningsetiska granskningen ytterligare stadga och att den viktiga frågan om det allmännas medverkan och inflytande uppmärksammas. I vart fall kommer översynen att kunna ge ett underlag för förnyade överväganden om de forskningsetiska kommittéemas medverkan vid prövningen

av forskningsprojekt som innefattar behandling av personuppgifter.

Med en forskningsetisk kommitté avses i vårt förslag sådan

en kommitté eller liknande motsvarar de kommittéer nämnts i

som som avsnitt ll.3.3. Det bör emellertid inte föreligga något hinder att prövning

av andra forskningsetiska kommittéer, anslutna exempelvis till privata stiftelser, som finansierar forskning i betydande omfattning, tillmäts be-

samma tydelse. En förutsättning bör vara att det i en sådan kommitté sitter företrädare för både det allmänna och forskarsamhället. Hur sådana kommittéer skall utses bör inte utan särskild utredning regleras i lag, eftersom det är fråga om frivilligt upprättade organ och förhållandena kan skiftande.

vara Det kommer också att inom kort inledas översyn den forsknings-

en av etiska verksamheten. Om den här förordade lösningen i dagsläget framstår som alltför löslig, bör övervägas att kräva ett godkännande Datainspek-

av

SOU 1997: 39 Forskning och statistik 301

tionen för att kommittés prövning skall tillmätas den betydelse som här en föreslås. Detta kan ett alternativ till att annars kräva förhandsgranskvara ning Datainspektionen registerforskning utan samtycke när prövning av av inte gjorts någon de etablerade forskningsetiska kommittéema. av av Det finns inte i dag någon definition av forskningsetisk kommitté i lagstiftningen. I § läkemedelsförordningen 1962:701 nämns dock 14 c yttrande från regional forskningsetisk kommitté som en förutsättning en för att klinisk läkemedelsprövning skall få påbörjas Vi anser att det är värdefullt att i lagtexten ta in en definition. En ändamålsenlig definition av de forskningsetiska kommittéer som avses torde vara: Ett sådant särskilt för prövning forskningsetiska frågor som har företrädare för såväl organ av det allmänna forskningen och är knutet till ett universitet eller en som som högskola eller till någon annan instans som i mera betydande omfattning finansierar forskning.

11.6.3.4 En avvägningsnorm i lagtexten

Enligt vår mening är det inte tillräckligt med regel godkännande av en om en forskningsetisk kommitté. Det finns nämligen inte någon garanti för att all vetenskaplig forskning där det kan vara befogat att behandla känsliga personuppgifter utan samtycke kan prövas någon forskningsetisk av kommitté, och på det renodlat statistiska området kan det vara befogat attutanför området för den särskilt lagreglerade officiella statistiken på detta sätt behandla känsliga personuppgifter. Beträffande vetenskaplig forskning bör det röra sig om ett förhållandevis begränsat antal proj ekt som av en eller annan anledning inte kan prövas forskningsetisk kommitté. Beträffande den medicinska forskningen av en verkar de flesta bedömare att systemet med forskningsetisk ense om granskning är i det närmaste heltäckande. Vi har beträffande övrig forskning försökt ta reda på hur stor andel av forskningen med personuppgifter i dag kan tänkas bedrivas utan möjlighet till forskningsetisk prövning. som Det har emellertid visat sig omöjligt att få fram uppgifter om det. De vara uppskattningar olika bedömare gjort är osäkra och varierar en del. som Egentliga registerforskningsprojekt, där många uppgifter hämtas in från befintliga register, torde dock så gott undantagslöst ha granskats av som forskningsetisk kommitté. Mindre register, som forskaren själv upprättar

258 Jämför 3 kap. 13 § högskoleförordningen 1993:100 angående högskolans möjligheter att ta betalt för den forskningsetiska prövningen.

302 Forskning och statistik SOU 1997: 39

t.ex. över ett begränsat antal undersökningspersoner under forskningsprojektets gång, kan emellertid förekomma utan att ha granskats forskningsetiskt. Någon alternativ prövningsinstans för de projekt i dag inte har tillsom gång till granskning av forskningsetiska kommittéer har vi inte lyckats finna. Med vetenskaplig forskning avses här i första hand den verksamhet som bedrivs vid etablerade institutioner, såsom universitet och högskolor eller privata, väletablerade forskningsinstitut Släktforskning faller utanför, liksom annan forskning av mera privat natur250; det måste finnas ett samhällsintresse av att forskningen bedrivs och den måste vetenvara skaplig i någon mening. När det gäller det renodlat statistiska området, täcks registerhanteringen beträffande den allra mest väsentliga statistiken redan särskild av lagstiftning. Det kan emellertid finnas ett så starkt samhällsintresse att även annan statistik framställs att man bör tillåta det intrång i den enskildes personliga integritet som behandling känsliga personuppgifter utan av samtycke utgör. Den framställning av statistik som det kan fråga vara om torde så gott som uteslutande utföras myndigheter, kanske främst Staav tistiska centralbyrån. Den behandling av känsliga personuppgifter för framställning av statistik som privata företag utför, t.ex. för opinions- eller marknadsundersökningar, bör liksom i dag som regel grundas på samtycke. Det nu sagda leder fram till slutsatsen att lagtexten också bör innehålla en avvägningsnorm enligt vilken behandling utan samtycke känsliga av personuppgifter för forskning och statistik är tillåten om samhällsintresset av behandlingen klart väger över det integritetsintrång behandlingen som kan innebära. Avvägningen får här i första hand göras den myndighet av eller annan som är ansvarig för behandlingen med risk för att vid felbeen dömning drabbas av sanktioner, främst skadestånd. Vi har nämligen inte lyckats finna någon lämplig, fristående instans skulle kunna göra som av-

259 Se SOU 1993:10 198 för något utförlig beskrivning s. en mera av vilka verksamheter som kan avses. Också den forskning som en pensionerad professor kan be- driva får som regel betraktas som en sådan etablerad verksamhet, även om professorn inte längre är knuten till någon institution. 260 Jämför beträffande privat undersökningsverksamhet inte forsksom ansetts som ning t.ex. RÅ 1994 ref. 75 frilansjournalist skulle skriva bok nazister som om och regeringsbeslut 1988-03-17, dnr 88-573 nazistregister som skulle användas vid föreläsningar m.m..

SOU 1997: 39 Forskning och statistik 303

vägningen i de enskilda fallen. De myndigheter som på statistikområdet kan ha att göra avvägningen, främst Statistiska centralbyrån, får förutsättas ha ett nära samråd med Datainspektionen. Inspektionen skall givetvis också ha att utöva tillsyn över avsedda behandlingar. Såsom berörs vi-

nu dare i det följ ande föreslår vi också att det införs obligatorisk skyldighet

en att i förväg anmäla alla aktuella behandlingar till Datainspektionen.

nu

De faktorer Datalagsutredningen angav skulle beaktas ställer vi

som

sagt i huvudsak bakom. Man bör således vid den helhetsbedömoss som ning skall göras vid intresseavvägningen beakta bl.a. forsknings- eller

som statistikprojektets vikt, behovet personuppgifier, säkerheten vid behand-

av lingen, hur kostsamt eller tidsödande det skulle vara att hämta in sam-

pass tycke, i vad mån den enskilde skulle kunna skadas om man begärde samtycke och kontakt med den enskilde skulle kunna förrycka under-

om en sökningsresultatet. Vid intresseavvägningen skall också beaktas om information i någon form lämnas till de berörda, t.ex. via anslag eller annonser. I de allra flesta fall bör åtminstone sådan information kunna lämnas. Av vad anförs i avsnitt 11.6.6 framgår att även frågan i vad mån den som

som begär det skall ha rätt att bli struken skall beaktas vid intresseavvägningen.

Det är enligt vår mening inte nödvändigt att ha så utförliga regler i lagtexten Datalagsutredningen föreslog. Det räcker som vi ser det med en

som grundläggande regel i lagen som på ett kortfattat men adekvat sätt ger uttryck för den intresseavvägning skall ske. Avvägningsnonnen i lagen

som bör sedan kunna preciseras genom föreskrifter på särskilda områden som meddelas regeringen eller, efter delegation, av Datainspektionen. Häri-

av

får de har att göra avvägningen i de enskilda fallen ytterligare genom som vägledning. Den restriktiva tillämpning vi avser framgår med erfor-

som derlig tydlighet regel i lagen att känsliga personuppgifter får be-

av en om handlas för forsknings- och statistikändamål utan samtycke bara om behandlingen är nödvändig och samhällsintresset av att projektet genomförs klart väger över den risk för otillbörligt intrång i enskildas personliga integritet projektet kan innebära. Med projekt avser vi då även sådan

som statistikframställning sker återkommande, t.ex. årligen, dvs. vad som

som brukar kallas statistikprodukt.

en

I enlighet med vad anförs i avsnitt 12.12. anser vi i och för sig att

som skyldigheten att i förväg anmäla behandlingar till Datainspektionen för förhandskontroll bör begränsas till ett minimum. Vår uppfattning är emellertid att det är så viktigt att Datainspektionen får kännedom om och kan kontrollera alla de forsknings- och statistikprojekt där känsliga personuppgifter skall behandlas utan samtycke och utan att projektet har god-

304 Forskning och statistik SOU 1997: 39

känts av en forskningsetisk kommitté, att dessa behandlingar alltid bör anmälas i förväg till Datainspektionen för förhandskontroll. Såsom anförs i avsnitt l2.12.2.5 innebär vårt förslag att det i persondatalagen in tas ett bemyndigande för regeringen att besluta sådan anmälningsskyldighet; i om själva lagförslaget tas alltså inte in några bestämmelser vilka behandom lingar som skall omfattas av skyldigheten. Vi föreslår att regeringen genom förordning inför en anmälningsskyldighet nämnd innebörd för av nu avsedda fall. Anmälningsskyldigheten bör omfatta såväl automatiska som icke automatiska behandlingar.

11 .6. 3.5 Förhållandet till internationella regler

Den föreslagna lagregeln utgör ett sådant tillåtet undantag från det principiella förbudet mot behandling känsliga personuppgifter för viktigt av ett allmänt intresse som anges i artikel 8.4 i EG-direktivet; undantaget måste dock, enligt artikel 8.6, anmälas till kommissionen. Undantag får göras bara under förutsättning lämpliga skyddsåtgärder. Bland de av annat stränga Sekretessregler som regelmässigt gäller vid behandling för forskning och statistik får utgöra sådana lämpliga skyddsåtgärder anses som avses. Behandling för forskning och statistik sådana personuppgifter röav rande brott som i artikel 8.5 får, enligt vårt förslag avsnitt avses se 12.5.3.4, utföras bara myndighet, t.ex. Brottsförebyggande rådet. av en Anses det nödvändigt med behandling sådana uppgifter i privat verkav samhet, kan regeringen eller Datainspektionen, också enligt vårt förslag, dock genom föreskrifter tillåta behandlingen. Sådana föreskrifter torde behöva anmälas till kommissionen enligt artikel 8.6. Enligt artikel 11.2 i EG-direktivet behöver information inte lämnas när uppgifter hämtas från annat håll än de registrerade, utlämnandet om av uppgifterna uttryckligen föreskrivs i författning. Enligt punkt 4.4 i Europarådets rekommendation bör det inte krävas samtycke när uppgifter lämnas ut från ett privat eller offentligt för forskningsändamål i enlighet organ med lagstiftning. I båda nämnda fall krävs det finns

nu att lämpliga

skyddsåtgärder. Det bör enligt vår mening med hänsyn till de internationella reglerna i persondatalagen tas en uttrycklig regel att personuppgifter får - om lämnas ut för att användas i sådana forsknings- och statistikprojekt som är så viktiga att behandling av känsliga personuppgifter är tillåten utan samtycke. Regeln medför att den forskare eller statistiker i enlighet med som

SOU 1997: 39 Forskning och statistik 305

regeln hämtar in personuppgifter från något annat håll än de registrerade inte automatiskt behöver informera de registrerade om sin behandling; däremot kan den forskningsetiska granskningen eller en tillämpning av avvägningsnormen i lagtexten i enlighet med vad som tidigare sagts leda till att information måste lämnas. Det är däremot inte fråga om någon

ny uppgiftsskyldighet för enskilda. Ett privat företag kan således själv bestämma personuppgifter skall lämnas ut för forskning eller statistik.

om Regeln bör dock inte gälla för det allmänna i den mån något annat följer av sekretesslagen. Bland annat de stränga sekretessbestämmelser som regelmässigt gäller inom forsknings- och statistikverksamhet får anses utgöra sådana lämpliga skyddsåtgärder som krävs enligt de internationella regler-

na.

l1.6.4 Behandling av icke känsliga personuppgifter

Enligt vår mening bör behandling icke känsliga personuppgifter för

av forskning och statistik regleras de allmänna bestämmelserna i den före-

av slagna persondatalagen. Det är nämligen inte rimligt att behandling för forskning och statistik, kan ha ett stort samhällsintresse och som re-

som gelmässigt sker under mycket sträng sekretess, skall vara underkastad strängare regler än vad gäller för t.ex. privata företags behandling av

som icke känsliga personuppgifter.

Enligt EG-direktivet får personuppgifter behandlas utan samtycke om behandlingen är nödvändig för att utföra arbetsuppgift allmänt in-

en av tresse. Vetenskaplig forskning får som regel anses utgöra ett sådant allmänt intresse, liksom den statistik som framställs av myndigheter.

Ibland kan även privata företags behandling av personuppgifter för att framställa statistik sådan arbetsuppgift av allmänt intresse. De

vara en opinionsundersökningar avseende aktuella samhällsfrågor som utförs av sådana företag är ett exempel, liksom arbetsmarknadsorganisationemas framställning bl.a. lönestatistik. I vissa fall kan privata företags be-

av handling personuppgifter för att framställa statistik också anses vara

av tillåten efter sådan intresseavvägning som EG-direktivet föreskriver.

en Huvuddelen den framställning av statistik som de privata undersök-

av ningsföretagen ägnar sig torde dock ske efter samtycke, t.ex. genom att den enskilde får information och sedan frivilligt besvarar en enkät eller en telefonförfrågan.

Även när avsikten är att behandlingen personuppgifter för forskning

av och statistik skall ske med samtycke kan det bli aktuellt att inledningsvis

306 Forskning och statistik SOU 1997: 39

utnyttja möjligheterna att behandla icke känsliga personuppgifter utan samtycke. För att kunna hämta in samtycke från de skall personer som undersökas är det nämligen ofta nödvändigt att för utskick eller telefonförfrågningar upprätta ett personregister som innehåller de berörda personernas namn, adress och telefonnummer. Det bör betonas att ett sådant förregister inte får byggas på ett sådant sätt att känsliga uppgifter upp kan hänföras till de registrerade. I vissa fall kan rubriken på ett register avslöja känsliga uppgifter om dem är upptagna där, även uppgifsom om terna bara innefattar namn och adress. De avböj medverkan personer som er måste naturligtvis strykas omgående ur registret, medan uppgifter såom dana personer som samtycker till att medverka kan föras över till ett särskilt forsknings- eller statistikregister där ytterligare uppgifter kan registreras. En eventuell bortfallsanalys får inte göras på det sättet att uppgifter om de personer som avböjt medverkan eller inte kunnat nås registeras i ett manuellt register eller med hjälp automatisk databehandling. av

11.6.5 Betydelsen av det ändamål för vilket uppgifterna samlats in

1 1 Inledning

För den som skall forska eller framställa statistik kan det ofta ratiovara nellt och förhållandevis billigt att använda redan insamlade personuppgifter för forskningen eller statistiken. Uppgifterna kan ha samlats in för t.ex. administrativa ändamål eller för något annat forsknings- eller statistikprojekt. Man kan här skilja mellan tre huvudfall: 0 Personuppgifter som har samlats in för administrativa ändamål skall användas av den persondataansvarige själv för forskning och statistik, t.ex. för att följa upp verksamheten. 0 Personuppgifter som har samlats in för administrativa ändamål skall lämnas ut till någon annan för att hos denne användas for forskning och statistik. 0 Personuppgifter som har samlats in för ett forsknings- eller statistikändamål skall användas för ett annat sådant ändamål.

I samtliga nu angivna fall skall personuppgifterna alltså användas för något annat ändamål än det för vilket de ursprungligen samlades in. Det bör påpekas att uppgifter givetvis kan samlas in för flera ändamål samtidigt, och våra överväganden i detta avsnitt avser inte det oproblematiska fallet att de

Forskning och statistik 307 SOU 1997: 39

registrerade har samtyckt till ett sådant förfaringssätt. I det följande behandlas de tre angivna fallen under skilda rubriker. Först finns det emellertid anledning att kort beröra ett annat fall där personuppgifter används för ett annat ändamål än det för vilket uppgifterna samlats in. Det gäller det fallet att personuppgifter samlats in för som forskning och statistik används för något annat ändamål än forskning och statistik, för att vidta åtgärder berör enskilda. t.ex. som

11. 2 Personuppgifter för forskning och statistik används för att vidta åtgärder betrajfande enskilda

Personuppgifter har samlats in för forskning och statistik får som resom gel inte användas för andra ändamål än forskning och statistik, eftersom en sådan användning är klart oförenlig med det forsknings- eller statistikändamål för vilket uppgifterna ursprungligen samlades in; en annan sak är att den kunskap forskningen eller statistiken kan användas för att som ger vidta åtgärder i samhället och beträffande enskilda. I vissa fall kan emellertid personuppgifter har samlats in eller används för forskning och stasom tistik användas för att vidta åtgärder beträffande de registrerade. Ibland kan ett forskningsprojekt upplagt så att personuppgifterna vara skall användas för vidta åtgärder rörande enskilda. Ett sådant projekt får att emellertid genomföras bara de enskilda lämnat uppgifter har samom som tyckt till det.251 Det bör alltså inte tillåtet att forskare utan samtycke vara hämtar in registeruppgifter för att sedan använda dessa för att i forsk- ningssyfte eller eljest vidta åtgärder beträffande de registrerade. I vissa undantagsfall kan det dock befogat att använda personvara uppgifter har samlats in eller används för forskning och statistik för som de registrerade. Ett exempel är det fallet att forskare som att varna en undersöker misstänkt samband mellan intag medicin och någon ett av en allvarlig sjukdom upptäcker att det faktiskt finns ett sådant samband och därför använder registeruppgifter för att de registrerade som har fått varna sådan medicin så de kan låta undersöka sig och få behand1ing262 Ett att exempel är när ett statistikregister används för att varna de som har annat köpt visar sig ha ett allvarligt fel. En sådan behandling kan en apparat som inte rimligen oförenlig med de forsknings- eller statistikändamål för anses

261 Jämför punkt 4.1 andra stycket i Europarådets rekommendation och punkt 30 i förklaringarna därtill. 262 Se också det fall nämns i SOU 1989:74 s. 119 som

308 Forskning och statistik SOU 1997: 39

vilka uppgifterna ursprungligen samlades in. Här finns det också anledning att peka på att behandling även känsliga personuppgifter är tillåten av enligt EG-direktivet om behandlingen är nödvändig för att skydda vitala intressen hos den registrerade. Såsom framgår av vad som anförs i avsnitt l2.4.6.3 föreslår vi att det i persondatalagen tas in bestämmelse att personuppgifter been om som handlas för historiska, statistiska eller vetenskapliga ändamål får användas för att vidta åtgärder beträffande den registrerade bara den registrerade om har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades eller någon vitala intressen. annans

1 3 Verksamhetsstatistik

Om en persondataansvarig på laglig grund redan behandlar personuppgifter för t.ex. administrativa ändamål, bör han eller hon utan vidare kunna få använda uppgiftema också för att själv framställa statistik eller själv bedriva vetenskaplig forskning. Att någon använder uppgifter, han eller som hon redan har rätt att använda för att t.ex. vidta åtgärder berör som en enskild, också för att t.ex. framställa siffertabeller kan inte innebära anses något ytterligare intrång i den personliga integriteten. Den persondataansvarige bör ha den rätten enligt Europarådets rekommendation punkt 4.3, och enligt EG-direktivet skall behandling personuppgifter för en av statistiska eller vetenskapliga ändamål inte oförenlig med de ändaanses mål för vilka uppgifterna ursprungligen samlades in artikel 6.1 b. En sådan tillämpning stämmer också överens med nuvarande praxis.253

1 5.4 Personuppgifter för administrativa ändamål lämnas utför forskning och statistik

För att reglera uppgiftsbehandling för forskning och statistik kan man principiellt sett gå två vägar. Man kan reglera antingen tillgången till personuppgifter, dvs. i vilka fall uppgifter får lämnas ut för forskning och statistik från någon annan än den registrerade själv, eller i vilka fall själva behandlingen av uppgifterna för forskning och statistik är tillåten. Reglerna riktar sig i det första fallet till den skall tillhandahålla uppgifterna som och i det andra till de som skall utföra den behandling man avser att reglera, dvs. till de persondataansvariga forskarna och statistikema. Som har

263 Se 1994/95:200 t.ex. prop. s. 13.

Forskning och statistik 309 SOU 1997: 39

framgått vad sagts i det föregående har vi valt den senare vägen, av som dvs. reglerat när behandling för forskning och statistik av uppgifter som forskare eller statistiker på något sätt har fått tag på över huvud taget är tillåten. Det torde för övrigt den enda framkomliga vägen. Forskare vara och statistiker kan komma personuppgifter även från sådana källor omfattas persondatalag, t.ex. hämta dem från tidningsartiksom inte av en

lar eller myndighetsarkiv.

EG-direktivet också nämnts att en senare behandling av peranger som för vetenskapliga eller statistiska ändamål inte skall anses sonuppgifter med de ändamål för vilka uppgifterna ursprungligen samlades in. oförenlig

tillåta persondataansvarig lämnar ut personuppgifter till någon

Att att en användas denne för forskning och statistik, får således anses annan att av med EG-direktivet; sak är att den behandlingen förenligt en annan senare eller statistikem bara är tillåten i enlighet med de materiella hos forskaren reglerna i direktivet, inbegripet reglerna om information. Vår slutsats är alltså att det när väl själva behandlingen av uppgif- för forskning och statistik har reglerats inte behövs någon särskild terna utlämnandet för forskning och statistik uppgifter som har reglering av av samlats in för andra ändamål, t.ex. administrativa ändamål; av vad som anförts i avsnitt l1.6.3.5 framgår att vi, hänsyn till internationella regav föreslår uttrycklig regel att personuppgifter fâr lämnas ut för att ler, en om i viktigare forsknings- och statistikprojekt, inte något annat användas om följer sekretesslagen. av

5 Personuppgifter för forskning och statistik återanvänds i ett I

annat projekt

EG-direktivet innebär nämnts behandling för vetenskapliga eller som att en statistiska ändamål bör tillåten även om personuppgifterna uranses samlats in för andra ändamål. Direktivet verkar således tillåta sprungligen samlats in för ett visst forsknings- eller statistik-

att personuppgifter som

projekt används i ett annat sådant projekt. senare rekommendation finns det också regel för detta fall,

I Europarådets en

de registrerade har samtyckt till behandling punkt 4.2. som gäller när en registrerade har samtyckt till viss behandling inom ett projekt, Om de en vidare användas i ett annat projekt bara det inte

får personuppgifterna utan

gäller och syfte. Är det på väsentligt skiljer sig från det första såvitt natur grund den tid förflutit eller det stora antalet registrerade inte av som möjligt impracticab1e hämta in nytt samtycke, får de lämnade peratt

310 Forskning och statistik SOU 1997: 39

sonuppgiftema ändå användas i det projektet i enlighet med skyddsåtnya gärder i nationell lagstiftning. Av förklaringarna punkt 32 framgår att reglerna inte gäller när de registrerade före samtycket har informerats om att uppgifterna kan användas också för andra ändamål och avvägningen att i fråga om under vilka villkor återanvändning uppgifter är tillåten kan av överlåtas t.ex. något specialorgan inom forskarsamhället.

Som framgått av närmast föregående avsnitt har vi valt att direkt reglera i vilka fall behandling för forskning och statistik är tillåten. Regleringen garanterar bl.a. att känsliga personuppgifter kommer behandlas att utan samtycke bara i de fall där det finns ett starkt samhällsintresse behandav lingen som väger över intrånget i den personliga integriteten. Det problematiska fallet är här det Europarådets rekommendation berör. som När den enskilde frivilligt har samtyckt till att uppgifter används

bara

i ett visst forsknings- eller statistikprojekt, är det givetvis regel som oacceptabelt att det förtroende den enskilde har visat forskaren eller som statistikem kränks genom att uppgifterna används för ett helt projekt annat med väsentligt annorlunda inriktning och syften. Detta kan med fog uppfattas som ett betydligt värre intrång i den personliga integriteten än när uppgifter som lämnats för administrativa ändamål, dvs. med vetskap om att de kommer att användas för att vidta åtgärder beträffande uppgiftsläm-

naren, används för att under mycket sträng sekretess framställa t.ex. anonyma siffertabeller. Enligt vår mening är den reglering vi har föreslagit för

som behandling

utan samtycke av känsliga personuppgifter tillräcklig även i dessa fall. Bara när det de skäl i Europarådets rekommendation - av som anges är omöjligt att hämta in ett nytt samtycke kan det över huvud taget övervägas att tillåta behandlingen enligt den avvägningsnorm vi har föreslagit. som Och med hänsyn till det intrång i den personliga integriteten grova som en kränkning av ett en gång lämnat samtycke skulle innebära är det svårt att tänka sig fall där avvägningen skulle kunna utfalla till förmån för återen användning av uppgiftema. Det kan emellertid inte helt uteslutas det att kan finnas extrema undantagsfall där samhällsintresset projektet av att genomförs ändå kan väga över. Något absolut förbud

mot återanvändning i

dessa fall bör därför inte införas. De forskningsetiska kommittéema, vilka

bl.a. värnar om allmänhetens attityd gentemot forskningen, har, såvitt vi erfarit, samma eller till och med ännu strängare inställning i dessa frå- - gor. Det bör tilläggas att det riktiga förfaringssättet i avsedda fall givetnu vis är att de enskilda i samband med att samtycke hämtas in för visst ett

Forskning och statistik 31 1 SOU 1997: 39

tillfrågas uppgifterna också får användas för andra projekt och projekt om vad detta kan innebära. Det kan förutsättas att så kommer informeras om ökad utsträckning i fortsättningen i de fall där det går att förutse att ske i komma återanvändas, vilket gör att problemen i att uppgifterna kan att praktiken kommer att bli mindre med tiden.

l 1.6.6 Strykningsrätt

där behandlingen för forskning och statistik grundar sig på sam- I de fall den registrerade givetvis utan att behöva ange något skäl tycke, bör - samtycket och vägra lämna ytterligare uppgifter. I sådant kunna återta t.ex. uppgifter den registrerade inte få behandlas. Den

fall bör ytterligare om

övrigt enligt Europarådets rekommendation ha såregistrerade skall för en helst och att behöva några skäl avböja fortdan rätt att när som utan ange punkt 3.2. De uppgifter redan har registrerats med satt medverkan som samtycket bör enligt vår mening även fortsättningsvis få behandstöd av väl den registrerade bör kunna lita på besked och informalas. Lika som persondataansvarige, bör denne kunna förlita sig på ett samtion från den den registrerade har lämnat frivilligt. Det är önskvärt att betycke som för forskning och statistik i största möjliga

handling av personuppgifter

på samtycke, och rätt för den enskilde att med utsträckning bygger en verkan kunna tillbaka ett gång lämnat samtycke skulle retroaktiv ta en olyckligt och svåröverskådligt sätt drabba de forskare och stabara på ett planlagt projekt utifrån frivilligt lämnade uppgifter; därtistiker som ett projektansvariga räkna med att uppgifter de ännu inte har emot får de som till kan komma utebli grund återtaget samtycke eller fått tillgång att av händelser. Det förekommer, såvitt upplysts, inte heller i andra oförutsedda föreskriver uppgifter har hämtats in efter dag att Datainspektionen att som strykas den registrerade i efterhand ångrar sig och tar samtycke skall om tillbaka samtycket. g de skall ha rätt att på Den svåra frågan är här i vad mån registrerade i de fall där behandlingen är tillåten utan samtycke. begäran få bli strukna krävs inte enligt EG-direktivet; i den nationella lagstiftningen En sådan rätt nämligen föreskrivas det inte finns någon strykningsrätt. kan det att icke känsliga personuppgifter för forskning och sta- Vid behandling av allmänna reglerna för uppgiftsbehandling kunna tillämpas tistik bör de hänseende. Det nämligen, sagt, inte rimligt att för även i detta är som föreskriva strängare regler än för den behandling forskning och statistik för tjäna inom det privata näringslivet. I fortsom får ske t.ex. att pengar

312 Forskning och statistik SOU 1997: 39

sättningen berörs därför bara frågan strykningsrätt vid

om behandling utan

samtycke för forskning och statistik känsliga personuppgifter. av Datainspektionen har på år börjat föreskriva sådan senare en strykningsrätt för de registrerade i vissa fall.254 Det gäller

när ett forsknings-

eller statistikregister inte grundar sig på samtycke, men där inspektionen föreskriver att information ändå skall lämnas, t.ex. i tidningar. Regeringen har dock i de fall överprövats upphävt föreskriften som om strykningsrätt med hänvisning till att det samhälleliga intresset statistiken av att bygger på ett tillförlitligt underlag har vägt än den enskildes tyngre intresse av att kunna få uppgifter strukna.255 När behandling känsliga personuppgifter för och av forskning statistik skall vara tillåten utan samtycke enligt vårt förslag, finns det ett starkt samhällsintresse att personregistreringen kommer till stånd. av Det torde då också oftast vara så viktigt att registreringen år

tillräckligt fullständig

att någon generell strykningsrätt inte kan införas. En

ovillkorlig strykningsrätt kan göra att forsknings- eller statistikunderlaget blir

så otillförlitligt att resultaten inte kan användas. Blir detta fallet, har den personregistrering som skett varit förgäves och således inneburit ett onödigt intrång i den personliga integriteten. I vad mån en strykningsrätt kan tillåtas måste naturliga av skäl bedömas med utgångspunkt i varje enskilt projekt. Det svårt är att ge några generella riktlinjer för bedömningen. Risken för projektet att äventyras måste i varje enskilt fall vägas mot det intrång i den personliga integriteten som det innebär att känsliga personuppgifter någon behandlas om mot dennes uttalade vilja. En utgångspunkt måste den enskilde vara att inte har rätt att få bli struken om detta skulle kunna äventyra forsknings- eller ett statistikprojekt har ansetts så viktigt behandling som att av känsliga personuppgifter tillåtits utan samtycke. Det får förutsättas att den för som ansvarar ett forsknings- eller statistikregister frivilligt tillgodoser begäran en om att få bli struken i de fall där detta kan ske utan risk för projektet. Bekvämlighetsskäl och tekniska svårigheter bör inte kunna få åberopas för en vägran att stryka, bara för-

264 I regeringsbeslut 1986-06-26, dnr 85-3142, diskuterade regeringen frågan om en sådan strykningsrätt borde föreskrivas i stället för informerat samtycke, men fann att även en sådan föreskrift skulle minska registrets användbarhet på ett otillfredsställande sätt. 265 Se regeringsbeslut 1993-10-28, dnr 93-1779, och 1996-03-14, dnr Ju 95-1963 och Ju 95-2100.

Forskning och statistik 313 SOU 1997: 39

med risken för att uppgiftsbehandlingen inte

hållanden som har att göra

kommer kunna tillförlitliga resultat. att ge

det är lämpligt att införa ett system där frå- Vi har särskilt övervägt om

skall ha rätt att få bli struken kan prövas av nå-

en viss registrerad

gan om

Datainspektionen, eller vid domstol. Eftersom det

gon myndighet, t.ex.

särskilt många fall där sådan prövning behövs inte torde förekomma en

aktuellt väga vilka skäl den enskilde har för att få och då det kan vara att

skäl talar kan sådan ordning i och för sig bli struken mot de som emot, en

ordning med särskild prövning varje fall där en ändamålsenlig. En av vara

få bli struken inte har tillgodosetts framstår

registrerads begäran att

krånglig och kostsam för samhället och de enskilda. emellertid som ganska

mening bör därför sådan ordning inte införas om det inte är Enligt vår en

med hänsyn till de regler vi föreslår om absolut nödvändigt. Vi har som

samtycke känsliga personuppgifter för forskning behandling utan av när en

huvud skall tillåten funnit att det inte är nödoch statistik över taget vara

vändigt att införa sådan ordning. en

samband med den forskningsetiska granskningen bör frågan om i vad I

strykningsrätt skall finnas beträffande ett visst projekt kunna tas mån en

konkreta riskerna för projektets genomförande med en Då kan de upp.

få allsidig belysning. De villkor den forskningsetiska strykningsrätt en som

har ställt i fråga strykningsrätt, skall som sagt kommittén upp, t.ex. om

behandlingen samtycke skall tillåten. Frågan om följas för att utan anses

strykningsrätt bör vidare, vi det, alltid beaktas vid den intresseavsom ser

ske i de fall där avvägningsnormen i lagtexten måste till- Vägning som bör

Samhällsintresset forskningen eller statistiken måste vara betylämpas. av

för skall kunna tillåta det ganska allvarliga intrång i den perdande att man

integriteten det innebär att känsliga personuppgifter behandlas sonliga som

den registrerade klart motsätter sig detta. trots att

sammanfattningsvis kommit fram till att det inte är nödvändigt Vi har

särreglering beträffande strykningsrätt utan att den rätten kan att ha någon

för de föreslagna reglerna när behandling känsbeaktas inom ramen om av

samtycke över huvud taget skall vara tillåten.

liga personuppgifter utan

11.6.7 Registerutdrag och rättelse

Europarådets rekommendation punkt 6.l-2 EG-direktivet Såväl som

13.2 medger det i fråga forskning och statistik görs in-

artikel att om

i de registrerades rätt att begäran få information om beskränkningar

och rättelse ofullständiga eller felaktiga uppgifhandlade uppgifter av t.ex.

314 Forskning och statistik SOU 1997: 39

ter. I andra länder har det gjorts sådana inskréinkningar.266 Forskningsetiska utredningen föreslog att det också i Sverige skulle införas inskränk-

ningar i rätten att få registerutdrag från forskningsregister

se avsnitt

11.3.4.

Bestämmelsen om rätt till registerutdrag i datalagen har ansetts som en av de viktigaste i lagen. Genom den rätten får den enskilde möjlighet att kontrollera han eller hon är registrerad och, så om om är fallet, att de registrerade uppgifterna är riktiga.257 Rätten till insyn vidare är en förutsätt-

ning för att den enskilde i praktiken skall kunna få

felaktiga uppgifter

rättade.

De argument har förts fram rätten till som emot registerutdrag har gått

ut på dels att det är dyrt för den persondataansvarige att lämna utdrag, dels

att skyldigheten att lämna utdrag på individnivå i sig kan försämra

integri-

tetsskyddet.

I början på 1980-talet gjordes vissa ändringar i 10 § datalagen i syfte

att få ned kostnaderna för de registeransvariga inom främst det allmänna. Det infördes då ett krav på att begäran utdrag om skall vara skriftlig och

undertecknas av den registrerade själv.253 Bakgrunden var att det ansågs

att rättigheten utnyttjades alltför flitigt; det fanns på den tiden särskilda

företag som mot betalning agerade ombud och hjälpte

många människor

att utnyttja sin rätt gentemot de mest betydande registerförama. Det finns även andra exempel på att antalet registerutdrag och myndigheternas kostnader ökat kraftigt när allmänheten på — annat sätt fått hjälp att utnyttja sin rätt.269

När det gäller kostnadsaspekten,

bör det också nämnas att var och en

med stöd av offentlighetsprincipen har rätt gratis få del att ta av uppgifter

om sig själv som myndigheter har registrerat. Det finns dock skillnader

mellan rätten till registerutdrag och rätten till insyn med stöd

av offentlighetsprincipen. Skriftligt registerutdrag270 är enligt huvudregeln

t.ex. gratis en gång år, medan den registrerade ibland måste per betala en avgift om

266 Inskränkningar har t.ex. gjorts i Norge och Finland. Se vidare sou 1989:74 s. 122 med not 23.

267 se senastprop. 1990/91 :60 s. 56. 268 se prop. 1980/81 :20 Bilaga 1s. 13 ff.

269 Se exemplet i SOU 1989:74 s. 99 Statistiska centralbyråns kostnader för registerutdrag mer än tiodubblades när kvällstidning publicerade en en talong för begäran om utdrag.

270 Registerutdrag måste vara skriftligt, 1973:33 138 och se prop. s. DIFS 1982:2.

Forskning och statistik 315 SOU 1997: 39

hon med stöd offentlighetsprincipen vill ha sina uppgifter på han eller av

papper.271

Enligt vår mening är rätten för den enskilde att gratis få tillgång till - sina uppgifter så viktig att kostnadskonsekvensema för de persondataansvariga inte gör det befogat med undantag för forskning och ensamma statistik. Kostnaden för att på begäran lämna information till de registrefår betraktas nödvändig kostnad vidhäftar

rade registerutdrag som en som

varje behandling personuppgifter, och detta bör gälla även för forskning av och statistik. Synpunkten skyldigheten att lämna registerutdrag kan föra med sig att försämring integritetsskyddet kan däremot tyckas ha större fog för en av sig. Skyldigheten har i dag ansetts tvinga de persondataansvariga att införa rutiner gör det möjligt att söka fram alla uppgifter som finns om en som något kanske inte skulle ha behövts272, särskilt vid såindivid, som annars dan registerforskning och framställning statistik där enskilda individer av inte intressanta. Kryptering och andra skyddsåtgärder måste vidare är ibland sättas åsido för att få fram uppgifterna inom rimlig tid. Enligt vår mening måste ett absolut krav på de persondataansvariga i och för sig att de kan klara att hantera personuppgifter i klartext på vara av Klarar de inte detta, bör de inte alls få hålla på med behandett säkert sätt. ling personuppgifter. Att uppgifter används krypterade eller av som annars i avidentifierad form ibland måste göras läsbara på ett sådant sätt att uppgifter enskilda individer avslöjas, kan givetvis innebära nya risker. om Men lösningen på detta problem är, vi det, snarare att de persondasom ser taansvariga möter riskerna med bättre säkerhetsåtgärder än att begränsa

grundläggande rättigheter för de registrerade.

sak de praktiska svårigheter kryptering eller lik- En annan är att som nande innebär för framställandet registerutdrag kan behöva beaktas. Daav talagsutredningen föreslog lagregel innebar att registerutdrag t.ex. en som beträffande krypterade personuppgifter skulle behöva framställas bara var fjärde månad i stället för månadsvis, vilket skulle krävas enligt den huvudregel föreslogs.273 Vi för del att sådan regel på ett som anser egen en rimligt beaktar såväl den registrerades intresse att få sitt utdrag sätt av

271 2 kap. 13 §TF. 272 Jämför 1990/912126 52 och 81 uppgiften om gäldenärens arbetsgit.ex. prop. s. i utsökningsregister gjordes sökbar bl.a. för att myndigheten skall kunna vare lämna utdrag till arbetsgivare. 273 sou 1993:10 427 ff. s.

316 Forskning och statistik SOU 1997: 39

snabbt som de praktiska svårigheter att få fram utdragen hög som en sä-

kerhetsnivå hos en persondataansvarig forsknings- eller statistikinstans kan

innebära.

I avsnitt 12.7.3 redogör vi närmare för vår på rätten för den registsyn

rerade att på begäran få information registerutdrag. Där framgår vi att

anser att den persondataansvarige bara bör skyldig använda de vara att

sök- och sammanställningsmöjligheter han eller hon faktiskt

som och

rättsligt har tillgång till för att lämna information till de registrerade som

begär det; några sök- och sammanställningsmöjligheter

nya vilka i sig kan innebära hot mot den personliga integriteten behöver således inte införas med vårt forslag. Har den persondataansvarige möjlighet att göra

krypterade eller tillfälligt avidentifierade uppgifter annars läsbara på indi-

vidnivå, måste han eller hon således göra det och på det läsbara materialet

använda tillgängliga sök- och sammanställningsmöjligheter.

Vi har alltså sammanfattningsvis funnit att det inte finns

tillräckliga

skäl för att ha några särregler för forskning och statistik när det gäller de

registrerades rätt att på begäran få information

registerutdrag. Inte heller

möjligheten för den enskilde att få uppgifter rättade bör inskränkas be-

träffande forskning och statistik; det måste givetvis intresse vara ett för

alla berörda att forskningen och statistiken bygger på riktigt ett grundma-

terial. Vi redogör för våra förslag i fråga rättelse i avsnitt om 12.8.

SOU 1997: 39

12 Innehållet i den

nya

persondatalagen

12.1 Lagstiftningstekniken

bör utgöra nära avbildning EG-direktivets text i de delar där Lagen en av använda uttryck kan antas ha EG-gemensam innebörd, om inte särskilda en skäl talar för Lagstiftningskommentarema koncentreras till princiannat. piellt viktiga frågor och de delar där EG-direktivet ett visst spelrum vid ger Generella regler och principer bör tas in i lagtexten, medan

genomförandet.

bör överlåtas regeringen och Datainspektionen att utforma detaljdet reglering för t.ex. särskilda områden.

l2.1.l Allmänt

I enlighet med vad anförs i avsnitt 6 vi att den nya persondatasom anser i bör följa den struktur EG-direktivet anvisar och att avvilagen stort som kelser bör göras bara när det finns särskilda skäl till det. I flera fall är det inte heller någon större mening med att försöka göra Omskrivningar av direktivets eftersom svenska domstolar vid tillämpning av lagtext som text, införts till genomförande ett EG-direktiv har att tolka lagen i överensav stämmelse med direktivets rätta innebörd och vid behov fråga EG-domstolen den rätta innebörden Omskrivningar direktivets text i de deom av lar där det kan avsikten varit att använda uttryck skall ha en geantas att innebörd inom EG275 med EG-domstolen auktoritativ utmensam - som

274 bl.a. detta skall uppmärksammas skall det i anslutning till lagtexten finnas För att hänvisning till direktivet, artikel 32.1 andra stycket i direktivet och 18a § en se författningssamlingsförordningen 1976:725 samt Statsrådsberedningens PM 1996:4 s. 22 ff. 275 I det följande använder vi det kortare uttrycket EG-gemensam innebörd.

3 l 8 Innehållet i den nya persondatalagen SOU 1997: 39

tolkare bör därför göras bara när det finns särskilda skäl för det, - t.ex. när den officiella svenska översättningen direktivet inte helt rättviav är sande.276

EG-direktiv saknar i motsats till traditionell svensk lagstiftning förarbeten i egentlig mening. Så är också fallet med direktivet om personuppgifter. Ledning får främst sökas i det inledande avsnittet i direktivet och i vissa protokollsanteckningar. En konsekvens vad sagts att den svenska lagstiftningen av som om skall tolkas i överensstämmelse med EG-direktivet är vad anförs i att som de svenska förarbetena inte kan tjäna till ledning för rättstillämpningen på samma sätt som när det gäller rent inhemsk lagstiftning. En auktoritativ tolkning av det underliggande direktivet kan endast erhållas från EG-domstolen, t.ex. efter det att en svensk domstol begärt ett s.k. förhandsavgörande enligt artikel 177 i EG-fdrdraget.277 Detta talar för att vi i vårt betänkande bör uppehålla främst vid för oss Sverige viktiga principiella frågor och sådana delar EG-direktivet där av det finns ett visst spelrum för medlemsstaterna vid genomförandet. I de fall där det finns ett spelrum bör vi givetvis redovisa motiven för den lösning som valts och på sedvanligt sätt utarbeta en författningskommentar till den rent inhemska reglering förordas inom för vad EG-direktivet som ramen tillåter. Däremot finns det anledning för att restriktiva med oss vara mera författningskommentarer till de delar den föreslagna lagstiftningen av som ganska troget återger EG-direktivet. Anledningen härtill är givetvis risken för att EG-domstolen kan komma att tolka direktivets bestämmelser på annat sätt än vad vi har gett uttryck för i kommentarerna till den föreslagna svenska lagstiftningen. Men det är samtidigt uppenbart att det till dess EG-domstolen har hunnit utveckla sin praxis kan finnas ett stort behov vägledning för — av tillämpningen de svenska genomförandebestämmelserna. Också av regleringsekonomiska skäl kan tala för att viss vägledning bör från ges svenska utgångspunkter. Utan vägledning i svenska förarbeten eller av en expertmyndighet Datainspektionen kan det nämligen antas att snart sagt varje persondataansvarig blir tvingad att lägga ned kostnader på att göra en egen analys och tolkning av de ganska bestämmelserna. Ges det därvaga emot viss vägledning från officiellt håll vilka förfaringssätt bör om som kunna användas, kan det antas att flertalet persondataansvariga väljer att

276 I avsnitt 3.1.2 finns en allmän redogörelse för hur EG-direktiv skall införas. 277 Jämför härtill och för det följande prop. 1994/95:19 Del 1 s. 528

Innehållet i den persondatalagen 319 SOU 1997: 39 nya

behöva lägga ned kostnader på analys. Och följa råden utan att en egen kan den kostnadsbesparing kan uppnås gesamhällsekonomiskt sett som analysarbetet utförs bara gång av de instanser som är ansvanom att en för genomförandet överstiga de kostnader skulle kunna uppriga som det i efterhand visar sig att analysen någon punkt var felakkomma om tillämpningen i Sverige i praktiken blir mera enhettig. Härtill kommer att vägledning från officiellt håll, och enhetlig svensk tillämplig om ges en ning har ett värde i sig. mån vi skall försöka på att vägledning för tillämpningen av I vad oss ge bestämmelser ganska troget återger EG-direktivet är såde föreslagna som ledes avvägningsfråga; att det är viktig uppgift för Datainspektionen en en råd och vägledning står däremot klart. I de fall där vi ger uttryck för att ge föreslagen bestämmelse hämtats från EG-direktivet en tolkning av en som har vi försökt att tydligt markera detta.

utforma den föreslagna lagstiftningen efter följande rikt- Vi har försökt att

linjer. EG-direktivets struktur, inte särskilda skäl talar för något 0 Följ i stort om

annat. efterbildning direktivets text när använda uttryck kan 0 Gör en nära av EG-gemensam innebörd, inte särskilda skäl talar för nåantas ha en om

got annat. redovisningen motiv och författningskommentarer till 0 Koncentrera av viktiga frågor och sådana delar där EG-direktivet

för Sverige principiellt

lämnar ett visst spelrum vid genomförandet. tydligt uttalanden görs innebörden bestämmelse 0 Markera när om av en kan antas ha EG-gemensam innebörd. som en

12.1.2 Regeringen eller Datainspektionen kan precisera

lagreglerna

tidigare innehåller EG-direktivet ett antal huvudregler som Som nämnts införas. Exempelvis är behandling personuppgifter bara tillåten måste av någon förutsättningar är uppfyllda artikel 7. De flesta av dessa om av sex mycket allmänt hållna. På motsvarande sätt förhåller det förutsättningar är andra huvudregler och principer måste införas, t.ex. när det sig med som krav på uppgiftsbehandlingen, behandling känsliga pergäller allmänna av sonuppgifter och anmälningsskyldighet.

320 Innehållet i den persondatalagen nya SOU 1997: 39

Direktivet innehåller således generella regler behöver som preciseras och konkretiseras för att vägledning för de persondataansvariga och ge andra som har att tillämpa reglerna. Det kan gälla överväganden i vilka om t.ex. konkreta fall 0 viktiga allmänna intressen gör det befogat känsliga att personuppgifter behandlas trots det generella förbudet mot behandling sådana av uppgifter artikel 8.4 och 0 den intresseavvägning kan ske enligt artikel 7 f utfaller till förmån som för att uppgiftsbehandling skall tillåtas.

Såsom närmare utvecklas i avsnitt 12.12 vi det inte anser att är lämpligt att behålla ett omfattande och byråkratiskt tillståndssystem, där Datainspektionen i varje enskilt fall beslutar behandling skall tillåtas om en och vilka villkor skall gälla för den. som Att de generella huvudreglema och principerna de likaledes ofta samt generellt utformade undantagsmöjlighetema införs i den persondatalanya gen är enligt vår mening både naturligt och nödvändigt. Däremot är det som vi ser det inte lämpligt att tynga lagtexten med den nödvändiga detaljregleringen och konkretiseringen. Den korta utredningstiden drygt om ett år har vidare gjort det omöjligt för att identifiera alla områden oss t.ex. där det kan vara befogat att behandla känsliga personuppgifter. kan Det också nämnas att Datainspektionen, trots sin mångåriga erfarenhet

av tillämp-

ningen av den nuvarande datalagen, inte har förmått utfärda förenklade regler för mer än ett mindre antal områden, och

att Datalagsutredningen,

som arbetade i omkring fyra år, inte heller lämnade förslag till särskilt konkreta regler. Härtill kommer att den avvägning och

konkretisering som

kan göras i dag naturligen måste omprövas i takt med samhällsutvecklingen och när typer behandlingar uppträder. En ordning nya av som innebär att varje liten justering i regelverket kräver sedvanlig

en lagstiftnings-

process via regering och riksdag framstår därför onödigt som omständlig och ohanterlig. Den persondatalag vi föreslår innehåller för övrigt fler som materiella regler än den nuvarande datalagen, vilken utgår från att Datainspektionen eller mindre självständigt skall bestämma för vilka mer ändamål personregistrering är tillåten och vilka villkor skall gälla för som re-

gistreringen.

Vår slutsats är att det inte finns någon möjlighet lita till annan än att att regeringen och Datainspektionen inom den den föreslagna ram som persondatalagen drar upp preciserar och konkretiserar regleringen.

Innehållet i den persondatalagen 321 SOU 1997: 39 nya

Svenska bestämmelser inför EG-direktivet måste träda i kraft sesom oktober 1998, det är beträffande behandlingar som redan nast den 24 men då möjligt vänta i ytterligare tre år med att tillämpa de nya reglerpågår att avsnitt 12.15. Detta regeringen och Datainspektionen en na, se närmare ger respit för utarbeta kompletterande reglering. För behandlingar viss att en påbörjas efter ikraftträdandet måste emellertid de reglerna tillämsom nya Problem beträffande sådana behandlingar bör dock kunna lösas pas genast. Datainspektionen i förekommande fall och med tillräcklig genom att utfärdar nödvändiga föreskrifter avsedda att gälla bara till

skyndsamhet

dess heltäckande reglering kunnat utarbetas. en mera

F Örfattningstekniska aspekter

detta sammanhang bör del författningstekniska aspekter beröras. Bak- I en grunden är följ Bestämmelserna i EG-direktivet är till stor del offentligrättsliga till sin karaktär. De innebär medlemsstaterna skall införa föreskrifter om föratt hållandet mellan enskilda och det allmänna, gäller åligganden för ensom inom den privata sektorn. Emellertid

skilda, t.ex. persondataansvariga

innehåller EG-direktivet också bestämmelser är privaträttsliga till sin som karaktär och reglera personliga och ekonomiska förhållanden avser att mellan enskilda. Medlemsstaterna skall sålunda föreskriva att den som lidit skada till följd otillåten behandling eller någon annan åtgärd som av en av oförenlig med de nationella bestämmelser antagits till följd av diär som rektivet har till ersättning den persondataansvarige artikel 23.1. rätt av Medlemsstaterna skall också föreskriva att och har rätt att föra talan var en domstol sådana kränkningar rättigheter skyddas av den inför om av som lagstiftning är tillämplig på ifrågavarande behandling nationella som

artikel 22.

kap. regeringsformen finns bestämmelser hur lagar och andra I 8 om föreskrifter skall beslutas, vilka i huvudsak innebär att privaträttsliga föreskrifter alltid måste beslutas riksdagen lag medan riksdagen har av genom möjligheter delegera föreskriftsrätten i fråga offentligrättsliga vissa att om regeringen har dock alltid rätt att besluta föreskrifter verkregler; om ställighet lag. Vad sagts gör det befogat att närmare analysera av som nu

det tilltänkta med grundläggande regler i persondatalagen och

hur systemet

i regeringsförordningar eller myndighetsföreskrifter förhåller

preciseringar sig till regeringsformen och EG-direktivet.

322 Innehållet i den persondatalagen nya SOU 1997: 39

2 kap. 3 § andra stycket regeringsformen

I 8 kap. 1 § regeringsformen finns erinran att det bestämmelserna en om av i 2 kap. regeringsformen följer att föreskrifter visst slag får meddelas av endast genom lag. I 2 kap. 3§ andra stycket finns besom nämnts en stämmelse om att varje medborgare skall i den utsträckning som närmare anges i lag skyddas mot att hans eller hennes personliga integritet kränks genom att uppgifter om honom eller henne registreras med hjälp av automatisk databehandling. Av förarbetena framgår emellertid lydelsen att av grundlagsregeln har utformats så att det skall stå klart regeln inte hindatt rar regeringen, andra myndigheter eller kommuner meddela dataatt skyddsbestaimmelser.273 Efter införandet regeln i 2 kap. 3 § andra av stycket har i regeringsformen också införts möjlighet för riksdagen en att till regeringen eller den myndighet regeringen bestämmer delegera som rätten att meddela föreskrifter om skydd för personlig integritet vid registrering av uppgifter med hjälp automatisk databehandling, varvid av regeln i 2 kap. 3 § andra stycket inte ansetts hindra sådan de1egation.379 Däremot innebär regeln i 2 kap. 3 § andra stycket enligt förarbetena riksdagen att måste vara aktiv att stifta och vidmakthålla

genom en dataskyddslagstift-

ning som utgör en verklig och allvarligt menad skyddslagstiftning.230 Vår slutsats är att reglerna i 2 kap. 3 § andra stycket och 8 kap. 1 § regeringsformen inte hindrar att regeringen och Datainspektionen behöges righet att närmare precisera och konkretisera regleringen i persondatalagen, som bör uppta de grundläggande huvudreglema och principerna.

Föreskrifter om enskildas personliga ställning

Enligt 8 kap. 2 § regeringsformen skall föreskrifter enskildas om personliga ställning samt deras personliga och ekonomiska förhållande inbörom des meddelas genom lag. Sådana privaträttsliga föreskrifter tillhör det obligatoriska lagområdet, och riksdagen får inte delegera föreskriftsrätten inom detta område. Av det förhållandet att delegationsmöjlighet faktiskt har införts en och utnyttjats beträffande föreskrifter skydd för personlig integritet - om vid registrering av uppgifter med hjälp automatisk databehandling kan av

278 Se 1987/88:57 prop. s. 11. 279 Se 1993/942116 prop. s. 15. 280 Se prop. 1987/88:57 s. ll.

Innehållet i den persondatalagen 323 SOU 1997: 39 nya

mening den slutsatsen dras att Föreskrifter skydd för personenligt vår om

integritet vid behandling personuppgifter inte kan anses röra lig av enskildas personliga ställning i den mening avses i 8 kap. 2 som

Privaträttsl iga föreskrifter

mellan privaträttsliga föreskrifter där lagformen är obli- Gränsdragningen

och offentligrättsliga föreskrifter där riksdagen i vissa fall kan gatorisk delegera föreskriftsrätten har nyligen analyserats i ett lagstiftningsärende

EG-direktiv på finansmarknadsområdetzsl Den slut-

om genomförande av

godtogs i det ärendet får i korthet anses innebära att gränsdragsats som ske efter kan åberopa föreskrifterna och vilka ningen bör kunna vem som

omedelbart förknippade med ett brott mot dem. Föresanktioner som är enskilda kan framgång direkt åberopa mot andra enskrifter som med

domstol och kan leda till att någon enskild förpliktas betala skilda i som skadestånd till någon enskild torde med det synpengar t.ex. annan - privaträttsliga. Det torde just sådana privatsättet vara att anse som vara föreskrifter i artikel 22 och 23.1 i EG-direktivet. rättsliga som avses -

Verkstäl lighetsföreskrifter

kap. 13 § regeringsformen kan regeringen eller den myndighet Enligt 8 regeringen överlåter uppgiften besluta föreskrifter om verktill vilken lag i fråga såväl privaträttsliga offentligrättsliga lagställighet av om som anförde i förarbetena rörande verkställighets-

regler. Departementschefen

föreskrifter282:

föreskrifter verkställighet lag bör enligt min mening i första Med om av förstås tillämpningsföreskrifter rent administrativ karaktär. l viss uthand av sträckning torde det emellertid ofrånkomligt att tillåta, att regeringen vara stöd sin behörighet att besluta verkställighetsföreskrifter i materiellt med av "fyller ut lag, även lagen i och för sig skulle befinna sig hänseende en om obligatoriska lagområdet. En förutsättning för att regeringen skall inom det detta måste emellertid att den lagbestämmelse som skall få göra vara, kompletteras är sådetaljerad att regleringen inte tillförs något väsentligt nytt regeringen beslutade föreskriften. I verkställighetsföreskrifgenom den av form får således inte beslutas något kan upplevas som ett nytt tens om som

281 1994/95:50 283 ff. och 602 ff. och numera också sou 1996:157 s. Se prop. s. Cappelen-Smith, Behöver lagstiftningen om emissionspro- 139 ff. Jämför Hans spekt reformeras i SvJT 1996 s. 205 ff.

232 Prop. 1973~.9o 211. s.

324 Innehållet i den persondatalagen nya SOU 1997: 39

åliggande för enskilda eller om något som kan betraktas tidigare som ett föreliggande ingrepp i enskildas personliga eller ekonomiska förhållanden.

Behörigheten att meddela verkställighetsföreskrifter har nyligen analyse-

rats av Anders Hultqvist i en doktorsavhandling rörande

legalitetsprincipen

vid inkomstbeskattning283 Av den analysen framgår att den ganska spar-

samma rättspraxis som förekommer inte uppvisar någon klar bild och att meningarna i den juridiska litteraturen är delade när det gäller krav på hur detaljerad lagregeln måste och hur långtgående precisering vara som kan tillåtas verkställighetsföreskrifter. Enligt Anders genom Hultqvist förefaller det rimligast att göra bedömningen rättsområde för rättsområde och

att till och med skilja på olika reglers karaktär inom ett visst rättsområde.

Redovisningskommittén har också nyligen berört frågan.284

Kommittén konstaterar att det inte framgår klart regeringsformen av eller dess förarbeten hur långt regeringens rätt meddela att verkställighetsföreskrifter fyller ut lag sträcker sig. Det framstår som en som i viss mån osäkert vilken grad precision hos lagregeln bör av som krävas. Enligt kommittén torde rimlig tolkning kunna den en vara att lagregel som skall

kompletteras någon princip skall vägledande anger som vara vid utform-

ningen verkställighetsföreskriften.285

av

Oflentligrdttsliga föreskrifter och föreskrifter rörande kommuner

Enligt 8 kap. 3 § regeringsformen skall offentligrättsliga föreskrifter om förhållandet mellan enskilda och det allmänna, som gäller åligganden för enskilda eller i övrigt ingrepp i enskildas avser personliga eller ekonomiska förhållanden, meddelas lag. I lag skall genom också enligt 8 kap. - 5 § regeringsformen meddelas föreskrifter kommunernas

- om åligganden.

På dessa områden kan riksdagen lag genom bemyndiga regeringen att

meddela föreskrifter i vissa ämnen räknas i 8 kap. som upp 7 § regeringsformen, och riksdagen kan i samband med bemyndigandet också gå med på att regeringen överlåter någon förvaltningsmyndighet att meddela

283 Anders Hultqvist, Legalitetsprincipen vid inkomstbeskattningen, 1995, s. 129 ff. I avhandlingen finns en grundlig genomgång förarbeten, av praxis och doktrin, till vilken genomgång kan hänvisas för en utförligare bakgrundsbeskrivning. Se också

Håkan Strömberg, Normgivningsmakten enligt 1974 års regeringsform, Andra

upplagan, 1989, särskilt s. 131 ff. och 186 ff. 284 SOU 1994:17 Del 1s. 112 och SOU 1996:157 143 s. 285 Samma resonemang för Håkan Strömberg, Normgivningsmakten enligt se 1974 års regeringsform, Andra upplagan, 1989, s. 153.

Innehållet i den persondatalagen 325 SOU 1997: 39 nya

bestämmelser i 8 kap. ll §. Ett ämne beträffande vilket riksdagen ämnet delegera sin föreskriftsrätt är skydd för personlig integritet vid registkan rering uppgifter med hjälp automatisk databehandling. av av

Föreskrifter för statsförvaltningen

fullständighets skull bör också nämnas att regeringen enligt 8 kap. För får besluta föreskrifter inte enligt grundlag skall

13 § regeringsformen som

meddelas riksdagen och att regeringen därvid också får överlåta nåav under regeringen att meddela föreskrifter i ämnet. Det kan

gon myndighet

gälla föreskrifter de dataregister statlig myndighet skall t.ex. om som en mån riksdagen har meddelat oavviklig lag i ämnet gäller dock föra. I den

lagen framför regeringsförordningar och myndighetsföreskrifter. Detta

följer inte den formella lagkraftens princip. om annat av

Vår bedömning

EG-direktivet skall åtgärd är oförenlig med de svenska be- Enligt en som stämmelser har antagits till följd direktivet kunna grunda skadesom av ståndsskyldighet mellan enskilda artikel 23.1, vilket enskilda skall kunna talan varandra inför domstol artikel 22. Av regeringsformen föra om mot privaträttsliga föreskrifter skadeståndsskyldighet mellan enföljer att om skilda ovillkorligen skall i lag. I vårt förslag till persondatalag har därges för upptagits bestämmelse ersättningsskyldighet för skada som en en om behandling personuppgifter i strid med lagen eller föreskrifter som av meddelats med stöd lagen fört med sig. Enligt vår mening f°ar en sådan av bestämmelse uppfylla såväl EG-direktivets krav sanktioner anses mellan enskilda regeringsformens krav att sådana skadeståndsbesom stämmelser skall ha lagform. Avsikten är att persondatalagen skall innehålla alla grundläggande regler, principer och undantagsmöjligheter och att regeringen och Datainspektionen inom den och vad EG-direktivet tillåter och kräver ramen - skall precisera regleringen. Detta kan till viss del ske genom verknärmare

ställighetsföreskrifter. De principer skall vägledande vid ut-

som vara formningen verkställighetsföreskriftema har slagits fast i lagen; de av bindande principerna finns för övrigt redan i EG-direktivet. Enligt vår mening bör vidare utrymmet för verkställighetsföreskriñer vara något än normalt på sådana rättsområden där det finns förhållandevis destörre taljerade EG-direktiv lämpligen bör införlivas genom en lag som

326 Innehållet i den persondatalagen nya SOU 1997: 39

kompletterad med författningar lägre valör. Regleringen av på arbetsmiljöområdet torde ett exempel på detta. Det sagda torde gälla vara särskilt i fråga om EG-direktiv inte är minimikaraktär; EG-direktivet som av fastställer då exakta för lagen och författningama ramar av lägre valör, varför det inte verkar finnas någon beaktansvärd risk för verkställighetsföreatt skrifterna går utöver lagen. Härtill kommer det på berörda att nu områden finns ett stort behov verkställighetsföreskrifter för kunna av att behålla den svenska lagstiftningstraditionen med förhållandevis kortfattad lagtext samtidigt som skyldighetema gentemot EU uppfylls. Här bör tilläggas att EG-direktivet inte bara innehåller generella regler som kan behöva konkretiseras. Det innehåller också regler med mycket hög konkretion, t.ex. bestämmelser vad anmälan till

om en tillsynsmyn-

digheten skall innehålla och Vilken information skall lämnas till som den registrerade. Sådana detaljregler närmast administrativ karaktär brukar av i Sverige normalt finnas inte i lag utan i verkställighetsföreskrifter i en anslutande förordning eller i någon myndighetsföreskrift. Vi anser att den metoden bör användas även på detta område och lagtexten att således inte bör tyngas med alla de detaljregler finns i direktivet. som I vissa fall förordar vi behörighet för regeringen en och Datainspektionen som går längre än till att meddela verkställighetsföreskrifter. Regeringen bör exempelvis under vissa angivna

förutsättningar kunna före-

skriva undantag från förbudet behandla känsliga mot att personuppgifter och skyldigheten att anmäla alla automatiska behandlingar till Datainspektionen. Det krävs alltså att föreskriftsrätten delegeras. I fråga om offentligrättsliga föreskrifter och föreskrifter kommunernas åligganden det om är möjligt för riksdagen att delegera föreskriftsrätten i de ämnen som anges i 8 kap. 7 § regeringsformen. Ett dessa skydd av ämnen är för personlig integritet vid registrering uppgifter med hjälp av av automatisk databehandling. Det är emellertid nödvändigt delegationen kan omfatta att all behandling som den föreslagna persondatalagen skall reglera, också t.ex. manuell behandling personregister. Vi föreslår därför bestämmelsen av att i regeringsformen samordnas med tillämpningsområdet för den

föreslagna

persondatalagen på det sättet att det blir möjligt delegera föreskriftsrätt att i fråga skydd för personlig integritet vid om behandling av personuppgifter.236

Det bör tilläggas att regeringen och Datainspektionen vid sin precisering och konkretisering lagregleringen givetvis har hålla av att sig inom

286 Datalagsutredningen lämnade samma förslag till ändring regeringsformen. av

a SOU 1997: 39 Innehållet i den persondatalagen 327 nya

den EG-direktivet ställer upp. Av 27 § verksförordningen ram som 1995:1322 följer vidare bl.a. att Datainspektionen i samband med att föreskrifter beslutas måste lämna de berörs tillfälle att yttra sig.287 Nåsom got motsvarande gäller för regeringen enligt 7 kap. 2 § regeringsformen; vad anförs i avsnitt 8.2.3 framgår att regeringen bör höra Datainav som spektionen när förordningar skydd för personlig integritet vid behandom

personuppgifter utarbetas.

ling av I den mån regeringen eller Datainspektionen inte meddelat detaljföreskrifter har t.ex. persondataansvariga att hålla sig till den generellt utformade lagtexten. Persondataansvariga och andra f°ar således i första hand älva göra den nödvändiga avvägningen innan detalj föreskrifter har hunnit utfärdas. Datainspektionen bör ha ett särskilt för att råd och stöd ansvar ge för tillämpningen lagen, och vad lagen har för innebörd kan alltid slutav ligen avgöras i domstol.

12.2 Begrepp som används

I inledningen persondatalagen bör det tas in definitioner av vissa grundav läggande begrepp används i lagen, t.ex. personuppgift och persondasom taansvarig. Avsikten är att de begrepp som används i den föreslagna svenska lagen skall ha innebörd begreppen i EG-direktivet. samma som

l2.2.1 Inledning

I EG-direktivet definieras inledningsvis artikel 2 vissa använda begrepp är grundläggande betydelse för förståelsen direktivets besom av av stämmelser. Definitionema kan också sägas i viss mån bestämma direkti-

vets tillämpningsområde.

Det förefaller lämpligt att inleda även persondatalagen med definitioner använda begrepp. På det sättet slipper man bl.a. tyngande omskrivav ningar i de följ ande paragrafema.

287 verksförordningen har nyligen berörts i doktorsavhand- Dessa bestämmelser i en ling, se Robert Påhlsson, Riksskatteverkets rekommendationer Allmänna råd —— och andra uttalanden på skatteområdet, 1995, särskilt avsnitt 4.3.4, 5.2.1 och 5.3.4.

328 Innehållet i den persondatalagen nya SOU 1997: 39

De begrepp som används i EG-direktivet har vi det i de flesta som ser fall en EG-gemensam innebörd. Av den anledningen bör definitionerna i persondatalagen nära knyta an till texten i EG-direktivet. Avsikten är att definitionerna i den föreslagna lagen skall ha exakt innebörd samma som enligt direktivet. För att så långt möjligt klä den föreslagna lagtexten i en språkdräkt som är i överensstämmelse med svensk lagstiftningstradition har vi dock valt att i del fall använda ett något förkortat uttryckssätt en utan att någon saklig skillnad är avsedd. I den officiella svenska översättningen EG-direktivet används beav teckningen registeransvarig för den bestämmer över behandlingen som av personuppgifter. Vi har valt att i den föreslagna lagen i stället använda beteckningen persondataansvarig, eftersom denna beteckning bättre beskriver vad det är fråga om, nämligen någon är ansvarig för behandling som av personuppgifter persondata oavsett de behandlade

om automatiskt

uppgifterna ingår i ett register. I den officiella svenska översättningen direktivet används vidare beav teckningen registerförare för den för den persondataansvariges räksom ning behandlar personuppgifter. Vi har här valt att i stället använda beteckningen persondatabiträde, eftersom biträdet föraren kan hjälpa till att automatiskt behandla även personuppgifter inte ingår i ett register. som I följande uppställning framgår hur de uttryckssätt vi har valt i den som föreslagna persondatalagen förhåller sig till EG-direktivets ordalydelse.

Begrepp Persondatalagen EG-direktivet Behandling av person- Varje åtgärd som vidtas be- Varje åtgärd eller serie av uppgifter träffande personuppgifter. åtgärder vidtas besom träffande personuppgifier, vare sig det sker på automatisk väg eller inte, till exempel insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlänmande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samköming, blockering, utplåning eller förstöring.

Innehållet i den nya persondatalagen 329 SOU 1997: 39

Begrepp Persondatalagen EG-direktivet Blockering av Varje åtgärd som kan vidtas personuppgifter för att personuppgifterna i alla sammanhang skall vara förknippade med tydlig information om att de är spärrade och anledningen till spärren och för att personuppgifterna inte skall lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen. Den registrerade Den personuppgift SePersonuppgifter. som en avser. Känsliga personuppgifter Personuppgifter avslö- Personuppgifter som avslösom jar eller etniskt ursprung, jar ras eller etniskt ursprung, ras politiska åsikter, religiös politiska åsikter, religiös eller filosofisk övertygelse eller filosofisk övertygelse, eller medlemskap i fack- medlemskap i fackförening förening samt sådana per- samt uppgifter som rör hälsa sonuppgifter rör hälsa eller sexualliv. som eller sexualliv. Mottagare Den till vilken personuppgif- Den fysiska eller juridiska ter lämnas ut. När person- person, den myndighet, den uppgifter lämnas ut för att en institution eller det andra myndighet skall kunna ut- organ till vilket uppgifterna föra sådan tillsyn, kontroll utlämnas, vare sig det är en eller revision åligger tredje man eller inte. Mynsom den, anses dock inte myn- digheter som kan komma att digheten som mottagare. motta uppgifter inom ramen för ett särskilt uppdrag skall dock inte betraktas som mottagare.

330 Innehållet i den persondatalagen nya SOU 1997: 39

Begrepp Persondatalagen EG-direktivet Persondataansvarig Den som ensam eller till- Den fysiska eller juridiska registeransvarig sammans med andra be- den myndighet, den person, stämmer ändamålen med och institution eller det andra medlen för behandlingen av organ som ensamt eller tillpersonuppgifter. sammans med andra bestämmer ändamålen och medlen for behandlingen av personuppgifter. När ändamålen och medlen för behandlingen bestäms av nationella lagar och andra författningar eller av gemenskapsrätten kan den registeransvarige eller de särskilda kriterierna för att utse honom anges i nationell rätt eller i gemenskapsrätten. Persondatabiträde Den som behandlar Den fysiska eller juridiska personregisterförare uppgifter för den personda- den myndighet, den person, taansvariges räkning. institution eller det andra organ som behandlar personuppgifter för den registeransvariges räkning. Personuppgifter All slags information Varje upplysning som som avser direkt eller indirekt kan hän- en identifierad eller identiföras till en fysisk person fierbar fysisk den person som äri livet. registrerade. En identifierbar person är en person som kan identifieras, direkt eller indirekt, framför allt genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika for hans fysiska, fysiologiska, psykiska, ekonomiska, kulturella eller sociala identitet. Register med person- Varje strukturerad samling Varje strukturerad samling uppgifter av personuppgifter vilka är personuppgifter är av som tillgängliga for sökning eller tillgänglig enligt särskilda sammanställning enligt sär- kriterier, oavsett om samskilda kriterier. lingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden.

SOU 1997: 39 Innehållet i den nya persondatalagen 331

Begrepp Persondatalagen EG-direktivet Samtycke Varje slag av frivillig, sär- Varje slag av frivillig, särskild och informerad vilje- skild och informerad viljeyttring genom vilken den yttring genom vilken den registrerade godtar behand- registrerade godtar behandling av personuppgifter som ling av personuppgifter som rör honom eller henne. rör honom. Tillsynsmyndigheten Den myndighet som rege- En eller flera utsedda ringen utser. myndigheter som har till

uppgift att inom en med-

lemsstats territorium över-

vaka tillämpningen av de be-

stämmelser som medlems-

staterna antar till följd av

direktivet. Dessa myndighe-

ter skall fullständigt obero-

ende utöva de uppgifter som

åläggs dem. Tredje land En stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska Samarbetsområden Tredje man Någon annan än den regist- Den fysiska eller juridiska rerade, den persondataansva- person, den myndighet, den rige, persondatabiträdet och institution eller det andra sådana personer som under organ än den registrerade, den persondataansvariges den registeransvarige, regiseller persondatabiträdets di- terföraren och de personer rekta ansvar har befogenhet som under den registeranatt behandla personuppgifter. svariges eller registerföra- Ett sådant persondataombud rens direkta ansvar har befosom avses i 41 § anses inte genhet att behandla uppgifsom tredje man. terna.

I den föreslagna lagen används också begreppet persondataombud for att beteckna en av den persondataansvarige utsedd person med vissa befogenheter. Bestämmelserna sådana ombud berörs närmare i avsnitt

om l2.l2.2.4. Eftersom de använda begreppen verkar ha en EG-gemensam innebörd som ytterst bestäms av EG-domstolen, bör vi vara återhållsamma med kommentarer. Något bör dock sägas.

332 Innehållet i den nya persondatalagen SOU 1997: 39

12.2.2 Behandling av personuppgifter

Begreppet behandling av personuppgifter omfattar som synes alla åtgärder

vidtas beträffande sådana uppgifter. Så snart personuppgifter något som sätt hanteras är det som vi ser det fråga om en behandling som faller under den föreslagna lagen och direktivet, om behandlingen är automatisk eller avser ett manuellt personregister.

Begreppet behandling är således inte särskiljande i den meningen att det kan användas för att skilja ut vissa hanteringsformer som inte omfattas av den föreslagna lagen eller direktivet; alla former av hantering omfattas.

12.2.3 Blockering

I själva direktivet finns det inte någon definition av begreppet blockering. Definitionen i den föreslagna lagen har i stället utformats mot bakgrund av vad kommissionen anfört i sina förklaringar till direktivförslaget, avsnitt

se 3.10.3. Frågan blockering berörs också i avsnitt l2.8.2.6.

om

I avsnitt 9.3 har frågan om hur blockering förhåller sig till offentlighetsprincipen berörts.

12.2.4 Känsliga personuppgifter

Definitionen av känsliga personuppgifter i den föreslagna persondatalagen anknyter nära till EG-direktivet. Definitionen av känsliga personuppgifter berörs närmare i avsnitt 12.5.3.2.

l2.2.5 Mottagare och tredje man

Begreppet mottagare omfattar i princip samtliga till vilka personuppgifter lämnas ut, även om den som tar emot uppgifterna inte skulle vara tredje

Även den registrerade, persondatabiträdet och sådana man. personer som under den persondataansvariges eller persondatabiträdets direkta ansvar har befogenhet att behandla personuppgifter verkar således kunna betraktas som mottagare.

I förhållande till EG-direktivet har i den föreslagna lagtexten gjorts den preciseringen beträffande begreppet tredje man att det inte omfattar ett av den persondataansvarige utsett persondataombud.

SOU 1997: 39 Innehållet i den nya persondatalagen 333

Begreppet tredje man används i EG-direktivet, och det får anses vedertaget inom juridiken. Olika omskrivningar av detta begrepp såsom

tredje person eller utomstående kan lätt leda tanken fel. Vi har därför

valt att i den föreslagna persondatalagen använda begreppet tredje man, trots att det inte är så könsneutralt som man kunde önska.

När det gäller begreppet mottagare bör noteras att myndigheter som får del personuppgifter för att kunna utföra vissa uppdrag inte anses som

av mottagare. Detta innebär bl.a. att den persondataansvarige inte behöver lämna de registrerade information om att uppgifterna har lämnats ut eller kan komma att lämnas ut till myndigheter för sådana uppdrag artikel 10- 12. Därmed kan revision och kontroll utföras effektivt och utan de registrerades vetskap. En myndighet som detta sätt tar emot uppgifter är dock att som tredje man. Den persondataansvarige måste därför enligt arti-

anse kel 12 c underrätta myndigheten om utlämnade uppgifter rättas, utplånas eller blockeras till följd av att det visar sig att uppgifterna är felaktiga, missvisande eller ofullständiga eller på något annat sätt inte har behandlats enligt lagen och direktivet se avsnitt 12.8.3.

En fråga som bör anmärkas i detta sammanhang är om den

annan myndighet i samband med tillsyn, kontroll eller revision eller av

som annan anledning beordrar behandling av personuppgifter hos en persondataansvarig eller själv behandlar mottagna eller beslagtagna personupp-

gifter i sådant syfte blir att anse som persondataansvarig. Det beror en

tolkning av begreppet persondataansvarig.

12.2.6 Persondataansvarig och persondatabiträde

Enligt EG-direktivet är den persondataansvarig som själv eller till-

bestämmer ändamålen med och medlen för behandsammans med annan lingen. När exempelvis en tillsynsmyndighet beordrar en viss behandling

personuppgifter hos t.ex. ett persondataansvarigt företag, kan det föreav taget inte gärna anses bestämma ändamålen med och medlen för behandlingen. Det gör i stället myndigheten. Detsamma gäller när en myndighet på ett eller annat sätt har tagit om hand behandlade personuppgifter, t.ex. vid beslag ett personregister. Det sagda talar för att myndigheten som

av regel bör persondataansvarig för de behandlingar som beordras.

anses som

Emellertid tillåter EG-direktivet att det i nationell lagstiftning anges

är persondataansvarig när ändamålen med och medlen för bevem som handlingen bestäms den nationella lagstiftningen. Detta innebär enligt

av vår mening att det är tillåtet att i den särskilda lagstiftning bemyndigar

som

334 Innehållet i den nya persondatalagen SOU 1997: 39

myndigheten att företa tillsyn, kontroll, revision eller andra relevanta åtgärder också peka ut vem som är persondataansvarig för den behandling som sker inom ramen för tillsynen, kontrollen, revisionen och så vidare

myndigheten eller den persondataansvarige hos vilken åtgärden vidtas.283 Enligt vår mening är det den vägen bör lösa frågan, dvs.

man genom en uttrycklig bestämmelse i den särskilda lagstiftning som reglerar den aktuella åtgärden. Det är nämligen svårt att hitta en regel som fungerar i alla de olika sammanhang som en kontrollåtgärd eller liknande kan bli aktuell. Av vad som tidigare sagts framgår att mycket talar för att den myndighet

som t.ex. beordrar en behandling kommer att anses som persondataansvarig,

om inte annat anges i den lagstiftning som reglerar åtgärden.

En arman fråga som berör begreppet persondataansvarig är den

om som inte har rättslig eller faktisk möjlighet att ändra de uppgifter ingår i

som en persondatasamling som han eller hon innehar eller annars kommer kan anses som persondataansvarig. Det kan t.ex. gälla den söker uppgifter

som i en databas över ett nätverk eller den som köper en diskett eller cd-romskiva med personuppgifter. Innehavare av telefonkatalogen eller statskalendern är andra exempel. Det karakteristiska är här att någon har rätt att komma uppgifterna och t.ex. söka bland dem, inte självständigt

men ändra, komplettera eller radera uppgifterna. Enligt vår mening talar mycket för att den som bara har sådan begränsad tillgång till uppgifterna inte kan anses ha sådan bestämmanderätt över ändamålen med och medlen för behandlingen att han eller hon kan anses som persondataansvarig. Om den aktuella personen med eller utan rättslig befogenhet faktiskt börjar be-

— stämma över ändamålen med och medlen för behandlingen, t.ex. att

genom ändra, komplettera eller radera bland uppgifterna, får han eller hon däremot anses som persondataansvarig. Av vad som sägs i avsnitt 7.2.4 framgår att rent privat användning av personuppgifter dock faller utanför den föreslagna lagen.

I punkt 47 i ingressen till EG-direktivet berörs frågan är

vem som persondataansvarig för personuppgifter i ett meddelande som förmedlas

av någon sysslar med telekommunikation eller elektronisk post

som se avsnitt 3.2.2.5. Av vad som sägs där framgår att det normalt är avsändaren

288 En myndighets behandling för kontrolländamål eller liknande personuppgifter

av

hos någon annan torde för övrigt ofta vara oförenlig med de ändamål för vilka

uppgifterna ursprungligen samlades in artikel 6b och därför under alla för-

hållanden kräva undantagsregler i särskild lagstiftning se artikel 13 som tillåter

sådana undantag i vissa fall. Härtill kommer givetvis att den maktutövning gent-

emot enskilda som här avses alltid torde behöva ha författningsstöd.

SOU 1997: 39 Innehållet i den persondatalagen 335 nya

meddelandet och inte förmedlaren persondataav som är att anse som ansvarig. Däremot blir förmedlaren normalt att persondataanse som ansvarig för de personuppgifter han eller hon lägger till för att kunna som förmedla meddelandet. Av EG-direktivet följer att det för en och samma uppgiftsbehandling kan finnas två eller flera persondataansvariga. För att någon skall anses persondataansvarig räcker nämligen att han eller hon tillsammans med som andra kan bestämma ändamålen med och medlen för behandlingen. I EGdirektivet finns inga egentliga riktlinjer för bedömningen av när en respektive flera skall persondataansvariga för en och samma beanses vara handling.289 Frågan är därför svårbedömd.

Flera företag, myndigheter och filialer kan samarbeta i någon personer, eller mindre sammanhållen organisation sysslar med behandling mer som

av personuppgifter:

Dörrförsäljare, försäkringsmäklare eller andra fristående företagare kan 0 samla in uppgifter för vidareförmedling till en huvudman, t.ex. en symaskinstillverkare eller ett försäkringsbolag. En radiohandlare kan med hjälp ett försäkringsbolag i eget namn er- 0 av bjuda försäkring avseende sålda varvid radiohandlaren samlar in varor, uppgifter från kunderna för vidareförmedling till försäkringsbolaget. En resebyrå samlar in personuppgifter för vidareförmedling till olika 0 transportföretag, hotell etc. En bank eller ett försäkringsbolag har flera filialer runt om i landet som 0

samlar in personuppgifter.

Dotterbolag koncern kan behöva föra insamlade personuppgifter 0 i en vidare till moderbolaget, t.ex. rörande anställda eller kunder.

I dessa och andra fall kan man fråga sig vem eller vilka som är person- - dataansvariga respektive, med EG-direktivets terminologi, registerförare persondatabiträde, tredje eller mottagare. I direktivet talas också om man under den persondataansvariges respektive registerförarens personer som persondatabiträdets direkta har befogenhet att behandla personansvar uppgifter artikel 2f, jämför artikel 16; sådana kallas i det personer följande för medhjälpare. Något entydigt kan inte utläsas av EGsvar direktivet. Enligt vår mening är det möjligt att resonera på följande sätt.

289 refereras i avsnitt 3.2.2.7 från kommissionens förklaring till di- Jämför vad som rektivförslaget.

336 Innehållet i den persondatalagen SOU 1997: 39 nya

När en juridisk person eller myndighet bedriver viss uppgiftsbeen en handling, bör den juridiska eller myndigheten personen anses som persondataansvarig även om verksamheten bedrivs i filialer eller andra organisatoriska enheter. Som huvudregel bör bara fysiska juridiska personer, personer, utländska filialer eller myndigheter i Sverige kunna betraktas som persondataansvariga, inte några andra organ som saknar rättskapacitet. Ett undantag måste kanske göras för det fallet att ett är organ, som en gren av en utländsk juridisk person, skall anses etablerad i Sverige. Det territoriella tillämpningsområdet för den föreslagna lagen berörs närmare i avsnitt 12.3; där framgår vidare att vad som sägs i den föreslagna lagen om den persondataansvarige skall tillämpas också på den Företrädare som en utländsk persondataansvarig har utsett. Den som är anställd och inom ramen for arbetsgivarens verksamhet behandlar personuppgifter bör inte kunna persondataansvarig; anses som arbetsgivaren är då den persondataansvarige och den anställde medhjälpaen re. Frågan om någon en fysisk är självständig företagare, - person som en juridisk eller myndighet inte är anställd hos den persondaperson en som taansvari ge kan betraktas medhjälpare är svår att besvara. som Medhjälpare är sådana behandlar personuppgifter under personer som den persondataansvariges direkta ansvar artikel 2 och persondatabiträden är sådana behandlar personuppgifter för den personer som persondataansvariges räkning artikel 2 e. Men den persondataansvarige torde ha t.ex. skadeståndsansvar gentemot den registrerade även för vad ett persondatabiträde kan företa sig artikel 23. När det gäller medhjälpare talas det bara om personer, medan det beträffande persondatabiträde framgår att såväl fysiska som juridiska Såväl medhjälpare personer avses. som persondatabiträden får som huvudregel bara behandla personuppgifter enligt instruktion från den persondataansvarige artikel 16. Mellan den persondataansvarige och persondatabiträdet skall det finnas ett skriftligt avtal med visst innehåll artikel 17.3—4, och det finns vissa regler den om persondataansvariges val av persondatabiträde artikel 17.2. Några motsvarande regler finns inte beträffande medhjälpare. Enligt vår mening finns det en hel del talar för att huvudregel som som bara fysiska personer enligt direktivet kan betraktas medhjälpare och som att dessa personer måste ha en sådan osjälvständig ställning i Sverige som utmärker arbetstagare. Om persondataansvarig anlitar självständig en en företagare, juridisk eller myndighet för att utföra behandling en person en av personuppgifter, framstår det således inte osannolikt att den anlisom

SOU 1997: 39 Innehållet i den nya persondatalagen 337

tade kommer att betraktas antingen som persondatabiträde eller som persondataansvarig tillsammans med den som lämnade uppdraget. Huruvida den anlitade blir att betrakta som persondatabiträde eller persondataansvarig verkar närmast hänga med om han eller hon har befogenhet att

samman självständigt eller tillsammans med den som lämnade uppdraget bestämma över hur uppgiñsbehandlingen skall ske, t.ex. söka bland uppgifterna.

Den behandling som sker inom ramen for en koncern kan möjligen utgöra ett undantag från vad som nu sagts. Av vad som sägs i punkt 19 i in-

verkar nämligen framgå att en enda persondataansvarig kan begressen driva verksamhet självständiga juridiska personer, t.ex. dotterbolag,

genom i flera olika stater.

12.2.7 Personuppgifter och den registrerade

Med personuppgift avses enligt EG-direktivet varje upplysning som avser

fysisk person som är identifierad eller som kan identifieras. Av de uttaen landen tagits till rådets protokoll i samband med att den gemensamma

som ståndpunkten beträffande direktivet antogs framgår att medlemsstaterna kan bestämma om uppgifter om avlidna personer skall omfattas av den nationella lagstiftningen se avsnitt 3.2.2.2.

Vi anser att möjligheten att begränsa tillämpningen av lagen till att

bara uppgifter är i livet bör utnyttjas.29° Reglerna i avse om personer som den föreslagna lagen är nämligen så långtgående att de bör reserveras för de fall där behovet av skydd för personlig integritet beträffande behandling av uppgifter om den berörde är mest uttalat, nämligen när det gäller den som är levande och som själv kan ha ett eget anspråk på personlig integritet i detta hänseende. De regler som förutsätter att den registrerade har lämnat sitt samtycke eller som innebär att den registrerade skall informeras skulle vidare i vissa fall bli svåraiatt tillämpa beträffande den inte le-

som ver. Det skulle enligt vår mening krävas flera särregler i lagstiftningen beträffande uppgifter om den som inte lever. Behovet av skydd beträffande uppgifter om icke levande är som vi ser det inte så uttalat att sådana särregler bör införas. 291

290 Också den brittiska regeringen begränsa tillämpningsområdet för den

avser att

lagstiftning som inför direktivet till levande individer, se punkt 2.2 i det brittiska

diskussionsunderlaget. 291 När det gäller visst spridande uppgifter döda finns det för övrigt redan ett

av om

begränsat skydd genom reglerna om förtal av avliden i 5 kap. 4 § brottsbalken.

338 Innehållet i den persondatalagen SOU 1997: 39

nya

Uppgifter om den som enligt svensk rätt skall betraktas avliden292

som eller som ännu icke levande född omfattas således inte den föreslagna

av lagen. Däremot omfattas givetvis uppgifter om vem som är släkt med den som är avliden eller om vem som kommer att bli förälder när ett foster föds levande, allt under förutsättning att de aktuella släktingarna är i livet.

Det kan tilläggas att uppgift beträffande arvsanlag

en en persons DNA kan vara en uppgift som avser flera personer, eftersom denna

uppgift i kombination med andra uppgifter med dagens teknik kan upplys-

ge ningar om t.ex. den föräldrar och avkomma.

personens

Uppgifter om juridiska personer omfattas inte, även om den juridiska personen skulle råka ägas av en eller ett fåtal fysiska eller ha

personer en benämning firma som innefattar ett Däremot omfattas

personnamn. uppgifter om en enskild firma, eftersom innehavaren sådan firma alltid

av en är en enda fysisk person.

Krypterade uppgifter omfattas av den föreslagna lagen så länge någon kan göra uppgifterna läsbara och därmed identifiera individer. Också sådana i sig anonyma uppgifter gör det möjligt med s.k. bakvägsidenti-

som fikation av en fysisk person omfattas. Det krävs såvitt vi kan förstå enligt direktivet bara att en fysisk person kan identifieras med hjälp uppgif-

av terna, inte att den persondataansvarige själv skall förfoga över samtliga uppgifter som gör identifieringen möjlig. Ett trafikföretag kan t.ex. registrera när ett personligt och numrerat s.k. månadskort används vid

resor. Även trafikföretaget inte registrerat innehar månadskortet,

om vem som kan det ändå fråga personuppgift eftersom den uppgiften kan

vara om en finnas registrerad på något annat håll, t.ex. hos den skola eller socialförvaltning som delat ut kortet. Motsvarande kan för övrigt föras

resonemang beträffande s.k. nätnodsadresser och liknande elektroniska identiteter som den som driver en elektronisk tjänst på t.ex. Internet samlar in. Sådana uppgifter om användarna kan nämligen ofta hänföras till en individ med hjälp av uppgifter som användarens Intemetleverantör har tillgång till. Det bör även påpekas att i vissa fall kan uppgifter direkt hänföras till så be-

en gränsad grupp personer, t.ex. en handfull med tillgång till och

personer en samma dator eller nätanslutning, att en enskild individ med hjälp andra

av uppgifter enkelt kan identifieras och att uppgifterna då får betraktas

som personuppgifter.

292 Se lagen 1987:269 kriterier för bestämmande människans död och be-

om av

stämmelserna om dödförklaring i 25 kap. ärvdabalken.

Innehållet i den persondatalagen 339 SOU 1997: 39 nya

Det framgår inte direktivet att kostnaden eller tidsåtgången för idenav tifiering skulle ha någon betydelse.

Vi har valt att formulera definitionen personuppgifter något amorav lunda i EG-direktivet. Enligt vår mening är vår formulering av definiän tionen "all slags information direkt eller indirekt kan hänföras till en som fysisk är i livet lättbegriplig och beskrivande. Någon person som —mera saklig skillnad är inte avsedd.

12.2.8 Register

register har bara betydelse när personuppgifter behandlas ma- Begreppet nuellt. Automatisk behandling personuppgifter omfattas nämligen av av direktivet och den föreslagna lagen oavsett uppgifterna finns i ett regisom Däremot omfattas manuell behandling personuppgifter bara om ter. av uppgifterna ingår i eller är avsedda att ingå i ett register. - — register samling personuppgifter. Det måste vi ser det Ett är en av som finnas uppgifter samlade fler än för att det skall kunna vara om en person fråga register; omfattande samling uppgifter om en enda person, om ett en den själv samlat in uppgifterna, är således inte något register. För t.ex. som något skall kunna sägas samling krävs vidare enligt vår mening att vara en viss beständighet. En hög med lösa papper, t.ex. studentuppsatser, ett en skrivbord omfattas således inte, även tillfalligtvis råkar vara om papperena sorterade i bokstavsordning efter studenternas efternamn. Däremot krävs

och för sig alla handlingar eller akter i ett register finns på ett och inte i att ställe. Om personuppgifter i handlingar eller akter som är utsamma spridda, på olika håll i landet eller inom ett företag, är tillgängliga t.ex. exempelvis med hjälp ett centralt index, kan det ändå vara fråga om ett av enda register. Ett företag kan t.ex. ha ett kortregister innehåller kunsom dernas och hänvisning till det ställe, t.ex. filial, där kundens namn en en akt ytterligare personuppgifter finns.

med

Uppgiftssamlingen måste vidare strukturerad. Därmed avses envara ligt vår mening uppgifterna måste sorterade enligt något slags att vara krävs dessutom uppgifterna i samlingen är tillgängliga ensystem. Det att ligt särskilda kriterier. Man måste alltså kunna söka bland uppgifterna i

för det skall fråga ett register. Av punkt 27 i insamlingen att vara om framgår kriterierna skall enskilda personer. Ett manuellt gressen att avse register visserligen innehåller personuppgifter men som inte är söksom bart med hjälp någon personuppgift namn, personnummer etc. omav således inte den föreslagna lagen. Det kan t.ex. fråga om akfattas av vara

340 Innehållet i den persondatalagen nya SOU 1997 39:

ter som har ordnats efter löpnummer utan möjlighet att- med hjälp löpav numret eller eljest- söka fram uppgifter enskilda Av det förom personer. hållandet att det i den svenska, engelska, franska och tyska talas texten om kriterier i pluralis kan den slutsatsen dras att registret måste sökbart vara på mer än ett kriterium. En förteckning i bokstavsordning över personer, t.ex. hushållsdelen i telefonkatalogen, skulle således inte register, vara ett om namnet är den enda sökingången. Huruvida alla kriterier eller bara ett kriterium måste personuppgifter framstår oklart. avse som mera I avsnitt 12.2.6 har vi berört hur kan betrakta t.ex. innehavare man av en tryckt telefonkatalog eller statskalendem. Det kan tilläggas att begreppet register förefaller förhållandevis ändamålsenligt när det gäller att avgränsa vilka manuella behandlingar som omfattas av direktivet och den föreslagna lagen; när personuppgifter har fästs på papper är det ganska enkelt att avgöra har struktureom papperena rats och om de papper innehåller uppgifter viss enkelt som om en person kan göras tillgängliga. I fråga automatiskt behandlade uppgifter om som finns i datorformat förefaller begreppet register däremot i dag mestadels skapa tillämpningsproblem; uppgifterna är i detta fall inte fästa vid något fysiskt, som har struktureras, och dagens teknik gör att vilka uppgifter som helst enkelt kan göras tillgängliga eller mindre oberoende de mer av var finns. Det nu sagda hindrar givetvis inte att det faktiskt är ett regelrätt som datoriserat register också kallas för det. Flertalet särskilda registerförfattningar rör just upprättandet och förandet traditionella register, och av registerformen har därvid ofta valts medvetet för att skapa förutsebarhet och säkerhet beträffande de uppgifter behandlas; uppgifterna skall som läggas in i ett på visst sätt strukturerat register och får tas fram bara med hjälp av vissa angivna sökkriterier.

12.2.9 Samtycke

I EG-direktivet finns inledningsvis grundläggande definition en av samtycke artikel 2 h. Definitionen har förts över till den föreslagna persondatalagen. I de materiella reglerna i direktivet talas det sedan otvetydigt om samtycke artikel 7 a och 26.1 respektive uttryckligt samtycke artikel

a

8.2 a. Det förefaller oklart vad förstärkningsorden otvetydigt och uttryckligt har för materiell betydelse vid sidan den grundläggande av definitionen. Antingen har den registrerade samtyckt till behandlingen eller så har han eller hon inte gjort det; något mellanläge finns inte. I den

Innehållet i den nya persondatalagen 341 SOU 1997: 39

måste samtycket givetvis alltid "otvetydigt". Samtycket meningen vara måste vidare alltid viljeyttring från den registrerade, och den viljevara en yttringen måste alltid i någon mening uttrycklig. Mot bakgrund av vara sagda har vi valt i de materiella bestämmelserna i den föreslagna det att persondatalagen bara tala samtycke. Någon saklig skillnad i förhållanom de till EG-direktivet är inte avsedd.

Av definitionen framgår att samtycket skall vara

0 frivilligt,

särskilt och 0 0 informerat.

Samtycket skall också vara en

0 viljeyttring.

Det krävs inte att samtycket är skriftligt.

måste vidare den registrerade293 viljeyttringen Det vara som genom godtar behandlingen personuppgifter. Det är alltså inte tillräckligt att en av organisation fackförening den registrerade tillhör godtar t.ex. en - som behandling uppgifter sina medlemmar; samtycket måste i den meav om ningen individuellt. vara Frågan samtycket i alla lägen måste personligen, dvs. den om avges av registrerade själv, är svår att besvara i avsaknad ledning från direktivav Det verkar klart att ett ombud, ställföreträdare eller en god man texten. en kan framföra den registrerades frivilliga, särskilda och informerade vilje-

yttring till den persondataansvarige eller dennes ombud. Men kan ett

ombud, fått information, genast lämna samtycke för registrerad som en inte ännu blivit informerad behandlingen Kan ett ombud eller som om ställföreträdare med stöd generell behörighet att företräda den reen av en gistrerade lämna särskilt samtycke Enligt vår mening bör ett ombud ett ställföreträdare kunna lämna samtycke på den registrerades vägnar. eller en Av artikel 8.2 verkar framgå att den registrerade kan vara rättsligt c förhindrad lämna sitt samtycke. Detta tyder på att medlemsstaterna att kan bestämma vilka rättsliga förutsättningar skall finnas för att älva som samtycke skall ha rättslig giltighet. Enligt vår mening bör man inte ett ställa några särskilda, rättsliga krav för att någon skall få avge ett upp

293 Här och i den föreslagna lagtexten i detta sammanhang med den regi- —avses strerade såväl vilken uppgift har registrerats som den person om en person om en vilken uppgifter bli registrerade om samtycke lämnas; det har inte ansetts avses nödvändigt införa någon särskild beteckning för den som avses bli registrerad. att

342 Innehållet i den persondatalagen nya SOU 1997: 39

samtycke. Ett samtycke måste, framgått det tidigare sagda, som av vara en informerad viljeyttring från den registrerade. Den faktiskt kan tillgosom dogöra sig information om vad en behandling innebär och faktiskt kan som avge en frivillig viljeyttring innebär att han eller hon godtar behandsom lingen bör kunna lämna ett rättsligt giltigt samtycke. Den viljeyttring som samtycket utgör är en rättshandling, men den rättshandlingen kan vidtas av vem som helst som förstår vad den innebär. Det är vi det naturligt som ser att en lagstiftning som avser att skydda och inskärpa respekt för individers rättigheter i fråga om personlig integritet också respekterar individen i den meningen att den förstår vad det handlar får bestämma älv. som om Enligt vår mening bör föräldrar och andra ställföreträdare kunna lämna samtycke för den som inte själv kan bli informerad eller kan avge en egen

viljeyttring i saken.

Avsaknaden av vägledning i direktivet gör det svårt att precisera den närmare innebörden kravet péfrivillighet. Av artikel 10 andra streckav c satsen verkar framgå att det är förutsett att ett uteblivet samtycke från den registrerade kan få följder för denne; den registrerade skall dock inforrneras om följderna. Man kan tänka sig den situationen att samtycke till viss uppgiftsbehandling uppställs som en förutsättning för att den registrerade skall få något han eller hon önskar eller behöver, telefonsom t.ex. ett

abonnemang, en semesterresa, en livsnödvändig sjukvårdsbehandling,

anställning, bostadsbidrag etc. Är situationen sådan den registrerade i att praktiken inte kan avstå, kan samtycket inte gärna frivilligt; möjlivara gen får här göras ett undantag för det fallet att det kan visas att den registrerade skulle ha lämnat samtycket även utan tvånget". Också det förhållandet att registrerad allmänt sett kan ha underordnad eller been en roende ställning i förhållande till den persondataansvarige, såsom när en arbetsgivare begär samtycke till registrering uppgifter arbetstagare av om eller arbetssökande, bör beaktas vid bedömningen ett samtycke har av om lämnats frivilligt på det sätt EG-direktivet kräver. som Kravet på att samtycket skall särskilt innebär språkligt vara - sett att ett generellt samtycke till uppgiftsbehandling inte godtas. Det förefaller rimligt att koppla kraven information och särskilt samtycke. samman Den registrerade skall informeras eller flera tilltänkta behandlingar, om en och det är dessa och inga andra behandlingar det särskilda - - som samtycket avser. Definitionen i direktivet begreppet samtycke innebär s.k. hyav att ett potetiskt samtycke inte kan godtas hur välgrundad gissningen hypotesen om den registrerades inställning till behandlingen än är.

Innehållet i den persondatalagen 343 SOU 1997: 39 nya

berörs den situationen att den registrerade tar tillbaka I avsnitt 12.5.2.2 ett lämnat samtycke.

12.2.10 Tillsynsmyndigheten

vårt förslag är det regeringen utser tillsynsmyndigheten. Rege- Enligt som ringen har redan beslutat att utse Datainspektionen till tillsynsmyndighet 28 i direktivet.294 Det förefaller lämpligt att ta in en beenligt artikel stämmelse Datainspektionen är tillsynsmyndighet i en till persondaom att anslutande förordning eller i instruktionen för Datainspektionen. talagen Datainspektionen förefaller för övrigt enligt vår mening ända- Namnet målsenligt för den tillsynsmyndighet avses i den föreslagna persondasom talagen.

l2.2.11 Tredje land

föreslagna lagen och direktivet innehåller regler överföring av per- Den om till tredje land. Direktivet innehåller inte någon uttrycklig de-

sonuppgifter

begreppet tredje land. Vi har emellertid funnit att en uttrycklig finition av definition i lagtexten är att föredra. framgår direktivet med tredje land stat som inte in- Det av att avses en går i EU. Vi har erfarit det pågår förhandlingar inom ramen för EESatt utvidgning direktivets tillämpningsområde till att avse avtalet om en av EES-statema. En sådan utvidgning är, såvitt vi erfarit, att vänta inom även därför valt lämna förslag till lagtext utformats som kort. Vi har att en som redan skett; skulle någon utvidgning mot förmodan inte om utvidgningen stånd innan lag måste givetvis justering av den komma till en antas, en föreslagna lagtexten göras.

12.2.12 Automatisk respektive icke automatisk behandling

finns inte någon definition vad är automatisk re- I EG-direktivet av som automatisk behandling personuppgifter. Dessa begrepp,

spektive icke av

för tillämpningen direktivet, har en EG-gemen-

som är grundläggande av

innebörd. sam

294 Regeringsbeslut 1996-01-18, Dnr Ju 96/176.

344 Innehållet i den persondatalagen nya SOU 1997: 39

Det står klart att behandling i datorer personuppgifter finns i av som datorformat binär form inklusive överföringen uppgifter till sådant - av format regel bör automatisk behandling i direktivets - som anses som mening.295 Däremot är det mera osäkert och i vilken utsträckning direktiom vets regler om automatisk behandling skall tillämpas på behandling av personuppgifter som inte finns i datorformat, t.ex. bilder och ljud lagrats i som något analogt format exempelvis på ett negativ eller ett vanligt ljud- eller

videoband. Det står klart att ljud- och bilduppgifter avseende människor omfattas av direktivets bestéimmelser.296

Själva överföringen människas utseende eller röst till vanligt av en ett analogt ljud- eller videoband kan i någon mening ske sägas automatiskt, det är vi det inte tillräckligt för direktivets men som ser att bestämmelser automatisk behandling skall tillämpas. om Den analoga upptagningen av en människas utseende och röst kan emellertid också ske

automatiskt i den meningen att upptagningen påbörjas och avslutas utan att någon operatör är direkt inblandad eller närvarande, såsom vid vissa

former av videoövervakning och telefonavlyssning; det datorer

är eller annan apparatur som utan direkt mänsklig inblandning styr upptagningen. Det förefaller tveksamt direktivets bestämmelser om om automatisk behandling skall tillämpas på sådan behandling. Detsamma kan sägas gälla beträffande t.ex. mekaniska stämpelklockor och

kassaregister som registre-

rar en anställds ankomst och försäljning.

Det är över huvud taget osäkert vad med automatisk besom avses handling av personuppgifter enligt EG-direktivet. Därför har vi inte tagit in

någon definition av det begreppet i den föreslagna lagen. Denna osäkerhet

och bristen upplysande uttalanden i t.ex. ingressen till direktivet medför

också att vi inte ha någon egentlig grund för lämna anser oss att ytterligare vägledning för tillämpningen. Den vill på den säkra sidan som vara bör enligt vår mening kunna tillämpa den föreslagna lagens bestämmelser om automatisk behandling på all behandling personuppgifter i datorformat av och sådana personuppgifter registeras i form någon direkt som annan utan mänsklig inblandning. Direktivets och den föreslagna lagens bestämmelser

295 Jämför dock SOU 1996:88 s. 179 där det ges uttryck för den uppfattningen att sådan kameraövervakning, bygger på digital teknik och där bild och ljud inte som bevaras utan bara visas på monitor, inte kan sägas ske med hjälp en av automatisk behandling i direktivets mening. 296 Se artikel 33 andra stycket och punkt 14-17 i ingressen.

Innehållet i den persondatalagen 345 SOU 1997: 39 nya

behandling skall tillämpas även behandlingen bara automatisk om om

delvis är automatisk.

särskilda svårigheter att tillämpa direktivets och Att det kan uppkomma

bestämmelser på ljud- och bilduppgifter står klart. den föreslagna lagens

bestämmelserna information till den registrerade tilläm- Hur skall t.ex. om

digitala bilder lagras i samband med butiksövervakbeträffande som pas

Kommissionen skall särskilt undersöka tillämpningssvårighetema ning.

lämpliga förslag 33 2 st.. Man kan hoppas att den och komma med artikel

kommer kasta ljus över hur direktivet skall tillämpas. undersökningen att

Även behandling personuppgifter bara delvis är automatisk omav som

i den föreslagna persondatalagen och EG-direktivet. Om fattas av reglerna

samling akter eller andra pappershandlingar med personuppdet till en av

index med hänvisningar till aktema eller handgifter finns ett datoriserat

uppkommer frågan hur uppgifterna i pappershandlingama lingama, om

skall betraktas.

krävs det den automatiska delen behandlingen Som vi ser saken att av -

datoriserade indexet omfattar personuppgifter för att det i exemplet det -

skulle kunna bli aktuellt att tillämpa den föreslagna peröver huvud taget

automatisk behandling. Kan inte med hjälp sondatalagens regler om man

automatisk behandling söka fram uppgifter individer i pappersmaav om

inte fråga sådan delvis automatisk beterialet, kan det rimligen vara om en

personuppgifter omfattas den föreslagna persondatala-

handling av som av

och EG-direktivet. gen

torde dock det datoriserade indexet, t.ex. ett diarium eller I normalfallet

någon förteckning över ärenden, vara sökbart på personuppgifter, annan

på den ärendet rör. Myndigheter, företag och exempelvis namnet som

har ofta i enlighet med vedertagen administrativ andra organisationer -

sin verksamhet i olika ärenden och åsatt varje ärende en praxis delat in beteckning antecknat den beteckningen varje handling som unik samt

Med vidsträckt tolkning EG-direktivet skulle de hör till ett ärende. en av

alla åsatts ärendebeteckning i en såallra flesta papper papper som en - med datoriserad ärendeförteckning, som är sökbar på

dan organisation en

kunna omfattade direktivets bestämmelser. En-

personuppgifter, anses av

sådan tolkning orimlig. Som vi saken bör den ligt vår mening är en ser

behandlingen hänförlig enbart till det datoriserade inautomatiska anses

eller andra pappershandlingar finns bör i föredexet. De akter som

bedömas enligt direktivets regler manuellt förda regiskommande fall om

ter.

346 Innehållet i den persondatalagen nya SOU 1997: 39

12.2.13 Skriftligen respektive undertecknad

Den föreslagna lagen innehåller på vissa punkter bestämmelser om att olika åtgärder skall företas skriftligen. I vissa sammanhang dessanges utom att en ansökan eller liknande bör undertecknad. vara

Avsikten är att kravet på att något skall ske skriftligen skall förstås så

att åtgärden skall kunna företas såväl på genom text papper som text i

elektroniskt format. När vi den

anger att persondataansvarige skall lämna

information skriftligen till den registrerade går det således bra att lämna

informationen t.ex. via e-post, den registrerade har tillgång till det. om

Den nu beskrivna på skriftlighetskrav i lagstiftningen synen stämmer

överens med den inställning IT-utredningen uttryck för

som gett när det

gäller elektronisk dokumenthantering i förvaltningen

IT-utredningens slutsats är vidare att när det på förvaltningsområdet - finns författningsföreskrift något skall undertecknas en om att innefattas

inte elektroniska rutiner.298 Utredningen föreslår dock riksdagen att ge-

nom en särskild lagbestämmelse skall regeringen makt såvitt ge att avser -

handläggning av förvaltningsärenden föreskriva att bestämmelser

- som riksdagen har beslutat i lag undertecknande inte hindrar om att digitala do-

kument eller elektroniska handlingar används.299 För åtgärder vidtas som utanför förvaltningsområdet, t.ex. mellan enskilda, föreslås inte någon

motsvarande bestämmelse att elektroniska åtgärder kan ersätta om ett undertecknande för hand på papper.

Vid utarbetandet lagtextförslaget har vi tagit ställning till i vilka fall av en åtgärd bör vara förenad med sådan säkerhet normalt

som är förknippad

med ett krav på egenhändigt undertecknande. För dessa fall har vi angett

att det bör krävas undertecknande. På det sättet har de allra flesta författ-

ningar skrivits hittills, och vi har inte det vår uppgift sett som att innan - IT-utredningens utarbetade förslag behandlats klart överväga under ens vilka förutsättningar elektroniska åtgärder bör kunna underteckersätta

nande. När vi anger att det bör krävas att något skall undertecknas, krävs

det alltså tills vidare att en namnteckning skrivs för hand på ett papper.

297 Se sou 1996:40 s. 91 ff.

298 Se sou 1996:40 s. 95. 299 Utredningens förslag till ny 7 a § förvaltningslagen.

Innehållet i den persondatalagen 347 SOU 1997: 39 nya

12.3 Det territoriella tillämpningsområdet

Persondatalagen bör tillämpas på sådana persondataansvariga som är etablerade i Sverige. Även persondataansvarig. från tredje land för benär en handling personuppgifter använder utrustning finns i Sverige bör av som huvudregel den svenska lagen tillämpas. som

I artikel 4 i EG-direktivet finns det bestämmelser om det territoriella tillämpningsområdet för de nationella regler inför direktivet se avsom snitt 3.2.5 och punkt 18-21 i ingressen. Bestämmelserna är inte lätta att tolka. De har EG-gemensam innebörd och bör således tillämpas på en sätt i alla medlemsstater; skulle det i direktivet avsedda samma annars systemet inte kunna fungera utan luckor och överlappningar. Mot bakgrund det sagda att bestämmelserna är svåra att tolka och av de bör tillämpas likartat alla medlemsstater har vi valt att i den att av - Föreslagna, svenska lagtexten bara ta in kortfattade regler, vilka är avsedda tillämpas i enlighet med vad kan framkomma genom EG-domstoatt som lens praxis eller andra åtgärder inom gemenskapen syftar till att åstadsom komma enhetlig tillämpning. Avsikten är att inte längre än vad dien rektivet kräver när det gäller tillämpning persondatalagen på verksamav utförs utanför Sverige. het som Som huvudregel i vårt förslag kortfattat att persondatalagen skall anges tillämpas på varje persondataansvarig är etablerad i Sverige. Besom etablerad har EG-gemensam innebörd och viss ledning för greppet en tolkningen kan hämtas från punkt 19 i ingressen. En enda persondataansvarig kan etablerad i flera medlemsstater, vara och för detta fall innebär EG-direktivets bestämmelser förmodligen att den svenska lagen bara skall tillämpas på den verksamhet som bedrivs i Sverige.300 Är persondataansvarig att etablerad inom EU och en anse som EES bara i Sverige, innebär direktivet troligen att den svenska lagen skall tillämpas på all verksamhet den persondataansvarige bedriver inom som EU EES; däremot kräver direktivet förmodligen inte att verksamhet

och

utanför EU EES skall omfattas lagstiftningen. Det är mera osäkert

och av

vad skall gälla persondataansvarig är etablerad i två medlemssom när en stater, bedriver verksamhet också i en tredje medlemsstat där etablemen

300 I lagen 1992:160 utländska filialer finns bestämmelser om bl.a. forom mm. för sådannäringsverksamhet som utlänningar bedriver i Sverige. merna

348 Innehållet i den nya persondatalagen SOU 1997: 39

ring inte föreligger. Skall exempelvis svensk, dansk eller tysk rätt tillämpas på den verksamhet persondataansvarig är etablerad bara som en som i Sverige och Danmark bedriver i Tyskland. För det fallet att den persondataansvarige inte är etablerad någonstans inom EU eller EES utan i tredje land finns specialregel. Använder den en persondataansvarige för behandlingen av personuppgifter utrustning som finns i Sverige, skall den svenska lagen tillämpas. Förmodligen skall i detta fall den svenska lagen bara tillämpas på den verksamhet bedrivs som i Sverige. Specialregeln blir inte tillämplig om utrustningen bara används för att låta personuppgifter passera genom gemenskapen. I sådant fall skall den svenska lagen inte tillämpas. Är specialregeln tillämplig, måste den utlänning som är persondataansvarig utse en företrädare for sig. Företrädaren skall etablerad i vara Sverige. Företrädaren kan fysisk eller juridisk eller vara en person en svensk myndighet. I syfte att skapa ordning och reda har vi i vårt förslag tagit med bestämmelser om att den persondataansvarige innan utrustningen tas i drift skall anmäla till Datainspektionen vem han eller hon har utsett till före- trädare för sig. Anmälan skall göras skriftligen och åtföljd ett vara av skriftligt medgivande från den utsedde företrädaren. Medgivandet behöver inte nödvändigtvis undertecknat, Datainspektionen skall på ett vara men eller annat sätt t.ex. genom en digital signatur ett elektroniskt medde- lande kunna förvissa sig att det härrör från företrädaren. Sådana ord- - om ningsföreskrifter som nu nämnts kan inte anses oförenliga med direktivet. Det som sägs i den föreslagna persondatalagen den persondataanom svarige skall gälla också för den utsedde företrädaren. I kommissionens förklaring till direktivförslaget har exempel på som utrustning angetts terminaler och frågefonnulär. Det måste således tydligen vara fråga om fysiska saker, och dessa saker skall finnas inom Sveriges gränser. Det skall vidare vara den persondataansvarige använder utrustsom ningen i Sverige. Specialregeln blir därför inte tillämplig bara för att svenskar med egen utrustning här kan komma och söka bland uppgifter i databaser i utlandet, t.ex. via Internet. Detta gäller enligt vår mening även när det finns ett avtal mellan svensken och utlänningen om tillgång till uppgifterna. Om däremot utrustningen i Sverige den persondataägs av ansvarige utlänningen eller används på hans eller hennes uppdrag, kan specialregeln vara tillämplig.

39 Innehållet i den persondatalagen 349 SOU 1997: nya

12.4 Grundläggande krav på all behandling av

personuppgifter

I den föreslagna persondatalagen slås fast vissa grundläggande krav på be-

handlingen personuppgifter den persondataansvarige alltid måste

av som följa. För behandling för historiska, statistiska och vetenskapliga ändamål arkivering föreslås vissa lättnader. Regleringen i den föreslagna t.ex. - persondatalagen ansluter nära till EG-direktivets text.

12.4.1 Inledning

I artikel 6 i EG-direktivet räknas det rad krav på behandlingen av upp en personuppgifter den persondataansvarige måste uppfylla; artikeln har som berörts i avsnitt 3.4. Uppfylls inte kraven är behandlingen olaglig. I artikel 17 finns det vidare regler rörande säkerheten vid behandling av personuppgifter den persondataansvarige också måste uppfylla se avsnitt som 12.10. viss behandling skall tillåten krävs inte bara att behand- För att en vara lingen utförs i enlighet med de grundläggande kraven i artikel Behandlingen måste också kunna hänföras till något de fall anges i artikel av som bara i de fall i den bestämmelsen är det över huvud taget tillsom anges låtet att behandla personuppgifter, avsnitt 12.5.l. Avser behandlingen se känsliga personuppgifter, måste behandlingen dessutom kunna godtas enligt bestämmelserna i artikel avsnitt 12.5.3.3. se Vi har i den föreslagna persondatalagen tagit in en bestämmelse vars text nära ansluter till artikel 6 i EG-direktivet. Vi har dock lagt till en erindet viktiga kravet att den persondataansvarige skall se till att samran om tycke hämtas in när så krävs. Regeringen eller Datainspektionen kan närmare precisera de gene- - rella principer för uppgiftsbehandling bestämmelsen innehåller. som

12.4.2 Korrekt och laglig behandling

l EG-direktivet finns bestämmelse att personuppgifter alltid skall en om behandlas på ett korrekt och lagligt sätt.

350 Innehållet i den nya persondatalagen SOU 1997: 39

När en behandling är laglig framgår den föreslagna persondatalagen av och anknytande lagstiftning. Av dessa rättskällor framgår också vad är som ett korrekt sätt att behandla personuppgifter. Det förefaller osäkert den uttryckliga bestämmelsen i EG-direktivet om om att personuppgifter skall behandlas på ett korrekt och lagligt sätt har någon självständig betydelse. Vi har emellertid för säkerhets och fullständighets skull valt att i den föreslagna persondatalagen ta med sådan been stämmelse och därvid erinra om det viktiga kravet att den persondataansvarige skall hämta in samtycke när så krävs.

12.4.3 Ändamålet med behandlingen

I EG-direktivet finns en bestämmelse att personuppgifter skall samlas om in för särskilda, uttryckligt angivna och berättigade ändamål. Den bestämmelsen kompletteras av den viktiga regeln att efter insamlingen får behandling av uppgifterna inte ske på ett sätt är oförenligt med de som ursprungliga ändamålen. Dessa bestämmelser har förts över eller mindre ordagrant till den mer föreslagna persondatalagen. Bestämmelserna innebär att ändamålen med behandling en av personuppgifter måste bestämmas redan när uppgifterna samlas in. Ändamålen måste då anges uttryckligen. Det finns inte något krav på att ändamålsangivelsen skall nedtecknas. Att ändamålen skall särskilda, innebär att alltför allmänt hållen vara en ändamålsangivelse inte godtas. Hur detaljerad ändamålsangivelsen pass skall för att uppfylla den föreslagna lagens och direktivets krav på vara att vara särskild får avgöras i praxis. Regeringen och Datainspektionen kan också utfärda mer preciserade regler, t.ex. för olika typsituationer. Det är möjligt att flera ändamål när uppgifterna samlas in. ange I EG-direktivet anges att de ändamål för vilka uppgifterna samlas in skall vara berättigade. I vilka fall det är berättigat att samla in och behandla personuppgifter framgår den föreslagna persondatalagen och av anknytande lagstiftning. Det förefaller osäkert bestämmelsen berättiom om gade ändamål har någon självständig betydelse. Vi har ändå valt att för säkerhets och fullständighets skull ta med den bestämmelsen i den föreslagna persondatalagen. De insamlade personuppgifterna får behandlas för andra ändamål än de för vilka uppgifterna samlades in bara de ändamålen och de om nya - nya sätten att behandla uppgifterna inte är oförenliga med de ursprungliga -

Innehållet i den persondatalagen 351 SOU 1997: 39 nya

ändamålen. Vad är oförenligt med de ursprungliga ändamålen f°ar besom praxis och de preciserade regler regeringen och stämmas genom mer som kan utfärda. I vad mån uppgifter inte har samlats in

Datainspektionen som

för ändamål har med direkt marknadsföring att göra ändå kan använsom eller lämnas för sådana ändamål får t.ex. bestämmas på detta sätt. das ut Behandlingen för ändamål måste givetvis, liksom behandlingen för nya ändamålen, kunna hänföras under något de tillåtna fall

de ursprungliga av

behandling i artikel 7 och, känsliga personuppgifter skall av som anges om behandlas, kunna tillåtas i enlighet med artikel utlämnande till annan uppgifterna måste Det bör betonas att även ett av förenligt med de ursprungliga ändamålen. Det bör därför inte vara vara möjligt kringgå reglerna att persondataansvarig lämnar ut att genom en uppgifterna till vid sin insamling bestämmer ändamål som en arman, som är oförenliga med de ursprungliga. behandling personuppgifter för historiska, statistiska och Senare av vetenskapliga ändamål i det följande i ett särskilt avsnitt. Betydeltas upp ändamålet med behandlingen har vidare berörts särskilt såvitt avser sen av forskning och statistik i avsnitt l1.6.5.

12.4.4 Personuppgifternas kvalitet och omfattning

EG-direktivet finns bestämmelser att personuppgifterna skall vara I om och relevanta och inte alltför omfattande i förhållande till de ändariktiga mål för vilka uppgifterna behandlas. Där finns vidare bestämmelser om att skall riktiga och, det är nödvändigt, aktuella; uppgif-

uppgifterna vara om

felaktiga eller ofullständiga i förhållande till de ändamål för ter som är vilka uppgifterna behandlas accepteras inte, och den persondataansvarige måste vidta alla rimliga åtgärder för att utplåna eller rätta sådana uppgifter. bestämmelser har så gott ordagrant förts över till den före- Dessa som slagna persondatalagen. I lagtextförslaget har dock blockering angetts som alternativ till utplånande och rättelse felaktiga, missvisande eller ett av ofullständiga uppgifter. Skälen till detta framgår vad som anförs i avav snitt 12.8. I det avsnittet redogörs också för ytterligare bestämmelser om rättelse För att förtydliga har vi i detta sammanhang i lagtextförslaget m.m. förutom felaktiga och ofullständiga uppgifter, även missvividare nämnt,

sande uppgifter.

sammanhanget understrykas vikten att de behandlade Det bör i av uppgifterna håller hög kvalitet. Användningen felaktiga, missvisande en av eller ofullständiga uppgifter kan förorsaka registrerade och andra stora

352 Innehållet z den persondatalagen nya SOU 1997: 39

skador och stor förtret i övrigt. Sådana olägenheter kan förebyggas genom

en sund källkritik parad med nödvändig noggrannhet och genom att det

dokumenteras varifrån olika uppgifter har hämtats.

Här kan avslutningsvis finnas anledning att återge utdrag färskt ett ur ett beslut Justitiekanslern i ett ärende skadestånd där av om slutsatsen blev att

23 § datalagen inte tillämplig beslut 1996-12-12, var dnr 1645-96-21.

Den utredning som föreligger i ärendet visar att X i den särskilda självdeklarationen

vid 1995 års taxering fyllt i uppgift om folkpension i ruta 1 istället för i ruta 3 han a a; har sålunda tagit upp folkpensionen lön. När han därefter ansökte som om förtida återbetalning beträffande den av honom beräknade överskjutande skatten observerade skatteförvaltningen inte denna förväxling beträffande lön och pension. X kom därmed

att tillgodoräknas ett for högt grundavdrag vilket i sin tur ledde till för att ett stort belopp återbetalades till honom. Vid taxeringen upptäcktes förväxlingen mellan folkpen-

sion och lön vilket ledde till att X påfördes kvarstående skatt motsvarande vad han

tidigare erhållit för mycket jämte kvarskatteavgift.

Xzs uppgifter i den särskilda självdeklarationen registrerades i det centrala skatte-

registret. Till följd härav korn registret att innehålla en uppgift visserligen överenssom stämde med den särskilda självdeklarationen inte i överensstämmelse med men som var verkliga förhållanden. Sedermera registrerades också beslutet om förtida återbetalning. Även härigenom korn det centrala skatteregistret att innehålla uppgift inte en som var korrekt i förhållande till vad som borde ha blivit registrerat den föreliggande bristen om i deklarationen hade upptäckts. Frågan uppkommer då huruvida bestämmelsen i 23 §

datalagen om skadestånd vid oriktig eller missvisande uppgift i personregister kan vara tillämplig.

...

l förevarande fall har skatteregistret kommit innehålla uppgift att en om Xzs inkomstförhållanden som överensstämt med den honom avlämnade självdeklarationen av men som senare vid taxeringsarbetet visat sig vara felaktig. Som Riksskatteverket fram-

hållit borde skatteförvaltningen i samband med prövningen ansökningen förtida av om återbetalning av skatt ha upptäckt denna felaktighet. Denna försummelse ledde till att beslutet om förtida återbetalning skatt blev oriktigt. av Skatteregistrets syfte är ... att bl.a. vara till hjälp vid taxering och uppbörd. l registret registreras bl.a. uppgifter från självdeklarationen och de beslut som meddelas i

samband härmed. Skatteregistret får således förutsättas korrekt återge de uppgifter den

skattskyldige lämnar i sin självdeklaration, oavsett dessa är riktiga eller om inte. Det fortsatta gransknings- och taxeringsarbetet går bl.a. ut på att korrigera sådana felaktighe-

ter i självdeklarationen. l registret registreras också de beslut som meddelas under taxerings- och uppbördsarbetet.

Mot bakgrund av det anförda kan uppgiften Xzs inkomstförhållanden om inte anses innefatta en sådan felaktig eller missvisande uppgift som avses i datalagen. Inte heller kan registreringen av det visserligen materiellt oriktiga formellt korrekta bemen slutet om återbetalning medföra att registret tillfogats felaktig eller missvisande en uppgift. Den skada som kan ha tillfogats X har heller inte orsakats registreringen av som sådan utan föranletts skattemyndighetens felaktiga handläggning av av ärendet om återbetalning skatt. av

Innehållet i den persondatalagen 353 SOU 1997: 39 nya

Personuppgifterna får inte längre än nödvändigt 12.4.5 sparas

EG-direktivet får personuppgifter dvs. upplysningar i sådan form Enligt enskilda kan identifieras lagras bara så länge det är nödvändigt med att till de ändamål för vilka uppgifterna behandlas. Därefter måste perhänsyn sonuppgifterna alltså avidentifieras eller förstöras. Även denna bestämmelse gallring har förts över till den föreslagna om

persondatalagen.

personuppgifter under längre tid för historiska, statistiska Lagring av och vetenskapliga ändamål tas upp i nästa avsnitt.

Behandling för historiska, statistiska och vetenskapliga 12.4.6 ändamål

12. I Inledning

Enligt EG-direktivet är lagring och annan behandling av personuppgifter historiska, statistiska och vetenskapliga ändamål särskilt gynnad. Seför behandling för sådana ändamål skall inte oförenlig med de urnare anses ändamål for vilka uppgifterna samlades in, och det är också tillsprungliga för sådana ändamål personuppgifter under längre tid. Det nu låtet att spara under förutsättning staten beslutar eller vidtar lämpliga sagda gäller att om

skyddsåtgärder.

l avsnitt l 1 berörs behandling för forskning och statistik.

12.4. 6.2 Särskilt om arkiv

det gäller behandling för historiska ändamål, är det i första hand beva- När randet arkiv kommer i blickfånget. Det kan visserligen inte utesluav som för framtiden enstaka personuppgift någon gång tas att bevarandet av en för sådana historiska ändamål Men huvudskulle kunna ske som avses. ändå det bevarande uppgiftssamlingar för framtiden som fallet är nog av myndigheter och enskilda kan ägna sig åt.

Myndigheternas arkiv

arkiv har tagits i avsnitt 9.4. Av vad som anförs där Myndigheternas upp framgår att vi föreslår uttrycklig bestämmelse i persondatalagen om att en hindrar myndighet bevara allmänna uppgifter eller att arlagen inte en att

354 Innehållet i den persondatalagen nya SOU 1997: 39

kivmaterial tas hand arkivmyndighet. Vår om av en bedömning är, i enlighet med vad som anförs i det berörda avsnittet, att det bevarande allav männa uppgifter som myndigheterna utför är förenlig med EG-direktivet. Vi har vidare när det gäller myndigheternas bevarande uppgifter inte av funnit anledning att i vårt förslag till persondatalag införa generell en regel om i vad mån myndigheters uppgifter i register eller handlingar skall för-

störas gallras av integritetsskäl efter viss tid.301 Någon sådan en generell regel finns inte i dag och behöver inte heller införas på grund EG-diav rektivet. Enligt vår mening står sig den bedömning departementschesom fen gjorde i samband med antagandet 1990 års arkivlag, nämligen av att regler om gallring integritetsskäl bör i de särskilda lagar av tas som reglerar integritetskänsliga akter och register, eftersom reglerna därmed bäst kan anpassas efter vad det speciella materialet kräver.302 Utvecklingen har nått dithän att det stora flertalet känsliga myndighetsregister nu regleras av särskilda registerförfattningar, vilka innehåller nödvändiga särregler gallring. om Det sagda innebär sammanfattningsvis att den föreslagna persondatalagen inte hindrar att myndigheterna bevarar allmänna uppgifter och laatt gen inte heller innehåller någon reglering innebär allmänna som att uppgifter måste förstöras gallras efter viss tid. I vad mån myndigheterna en är skyldiga att spara allmänna uppgifter eller förstöra dem framgår av annan lagstiftning.

Enskildas arkiv

Det återstår att ta det bevarande uppgifter enskilda sig åt. upp av som ägnar Med bevarande i detta sammanhang uppgifter läggs till avses att ett arkiv för att sparas under längre tid än vad är nödvändigt med hänsyn som till de ändamål för vilka uppgifterna i övrigt behandlas. Om t.ex. personuppgifter samlas in för att användas för fakturerings- och

redovisningsän-

damål, är enligt vår mening det sparande uppgifterna måste av som ske under viss tid på grund skatte- och bokföringslagstiftning av nödvändigt med hänsyn till de ursprungliga ändamålen med

behandlingen. Bara om

uppgifterna sparas under längre tid än så, blir det alltså fråga bevarande om i den mening vi avser här.

301 Datalagsutredningens slutbetänkande innehåller i avsnitt 15 en beskrivning av gällande ordning och överväganden rörande gallring. 302 Prop. 1989/90:72 s. 32,jämför KrU 1989/90:29 12 s.

Innehållet i den persondatalagen 355 SOU 1997: 39 nya

det gäller myndigheternas bevarande uppgifter bör man Liksom när av krav på enskildas bevarande uppgifter skall ske plan-

uppställa ett att av

det inte någon plan för vilka uppgifter skall bevaras för mässigt. Finns som framtiden och hur bevarandet skall till, är det svårt att med fog hävda att sker för sådana historiska ändamål i EG-direktivet. bevarandet som avses måste också viss kvalitet och ut att uppgifterna beva- Planen vara av överskådlig framtid. En plan går ut bara att alla uppgifter ras för som hårddisk skall så länge hårddisken håller uppfyller som finns på en sparas inte detta kvalitetskrav. Bevarandet mängd uppgifter

uppenbarligen av en

i sin helhet ske för historiska ändamål även om planen får däremot anses vissa uppgifter skall förstöras efter viss tid medan andra går ut på att en uppgifter skall bevaras under längre tid. i sakens plan för hur uppgifter skall bevaras un- Det ligger natur att en längre tid måste ha nedtecknats. der en enskildas bevarande uppgifter uppfyller de grundläggande kra- Att av i artikel 6 är inte i sig tillräckligt för att bevarandet skall få äga rum. ven bevarandet innebär måste också kunna hänföras till Den behandling som de tillåtna fallen uppgiftsbehandling anges i artikel I något av av som bevarandet betraktas arbetsuppgift allmänt invissa fall kan som en av 7 e. Det kan t.ex. finnas ett sådant allmänt intresse av att

tresse artikel

föreningslivets, arbetarrörelsens, och näringslivets verkuppgifter om t.ex. för framtiden. Ibland kan bevarandet också tillåtet samhet bevaras anses intresseavvägning artikel 7 efter en fall uppgiftsbehandling är tillåten berörs närmare i avsnitt 12.5. I vilka framgår avsikten är att regeringen eller Datainspektionen närmare Där att vilka fall uppgiftsbehandling kan tillåtas. Enskilda subskall precisera i förefaller sådant område där det är önskvärt med mera jekts arkiv vara ett regler fastslår tillåtligheten från allmän synpunkt viktig preciserade som av arkivverksamhet. Vid utformningen sådana regler bör givetvis privat av Riksarkivets särskilda kompetens på området utnyttjas. känsliga bevaras, måste vidare behandlingen

Skall personuppgifter

enlighet med artikel Under vissa förutsättningar kan såkunna tillåtas i filosofiska, religiösa och fackliga organisationer behandla ledes politiska, sina medlemmar artikel 8.2 d. I vissa fall

känsliga personuppgifter om

dessutom utgöra ett sådant viktigt allmänt intresse att kan bevarandet anses från det principiella förbudet mot behandling av ett undantag kan göras personuppgifter 8.4. Avsikten är att regeringen och Datakänsliga artikel föreskriva sådana undantag avsnitt 12.5.3.3. inspektionen skall kunna se

356 Innehållet i den persondatalagen nya SOU 1997: 39

Även enskildas bevarande känsliga om av uppgifter inte skulle kunna tillåtas i enlighet med vad finns möjlighet som nyss sagts, att lämna över materialet till arkivmyndighet avsnitt 9.4. Att en se uppgifter som enskilda har samlat in lämnas över till arkivmyndighet för bevarande en kan inte oförenligt med de ändamål för vilka uppgifterna anses ursprungligen samlades in.

Vi har, slutligen, inte heller beträffande enskildas bevarande uppgifav ter funnit anledning att föreslå någon generell regel om gallring av integritetsskäl i persondatalagen. För att känsliga personuppgifter huvud över taget skall få bevaras enskilda krävs att bevarandet kan tillåtas i av enlighet med de stränga reglerna i artikel

Det sagda innebär sammanfattningsvis att enskildas bevarande av personuppgifter som sker seriöst och planmässigt inte hindras den föreav slagna persondatalagen under förutsättning att den behandling bevasom randet innebär är tillåten enligt de allmänna reglerna i lagen om när behandling kan tillåtas. Det finns inte någon reglering i den

föreslagna per-

sondatalagen innebär att personuppgifter på detta som som sätt bevaras skall förstöras efter viss tid. en

12. 3 Lämpliga skyddsåtgärder

När det gäller behandling för historiska, statistiska eller vetenskapliga ändamål, skall staten besluta eller vidta lämpliga

om skyddsåtgärder. I fråga

om säkerheten vid behandlingen kan regeringen eller Datainspektionen

besluta om generella föreskrifter, och Datainspektionen kan också besluta om vilka åtgärder skall vidtas i det enskilda fallet avsnitt som se 12.10.3. Härutöver bör det såsom lämplig skyddsåtgärd i själva personda- - en talagen tas in regler garanterar att personuppgifter behandlas som som för historiska, statistiska eller vetenskapliga ändamål inte används för att fatta beslut om eller annars vidta åtgärder beträffande de registrerade. Undantag

bör bara medges när den registrerade har lämnat sitt samtycke till åtgäratt der vidtas, vilket förekommer vid viss forskningsverksamhet, eller när några vitala intressen står på spel, exempelvis då det vid

behandling av

medicinska personuppgifter för vetenskapliga ändamål upptäcks vissa att registrerade lider allvarlig sjukdom kräver av en som behandling. Frågan har såvitt forskning och statistik berörts i avsnitt avser 1l.6.5.2. Beträffande personuppgifter i myndighets arkiv finns det, såsom en nämnts i avsnitt 9.4, redan bestämmelser lämpliga

om skyddsåtgärder, t.ex.

regler om sekretess och skydd för arkiv. Den berörda regeln i den förenu

Innehållet i den persondatalagen 357 SOU 1997: 39 nya

slagna persondatalagen bör bl.a. därför inte gälla för sådana personuppgif-

ter finns i myndighets arkiv. som en De personuppgifter behandlas för t.ex. ändamål som har med en som viss verksamhet att göra får givetvis behandlas för att i enlighet med dessa ändamål vidta åtgärder beträffande de registrerade, även om samma uppgifter samtidigt behandlas för att t.ex. framställa verksamhetsstatistik.

12.5 När behandling av personuppgifter skall

tillåten

vara

bör in uppräkning i vilka fall behandling av

I persondatalagen tas en av

är tillåten. Det bör vidare införas ett principiellt förbud

personuppgifter

behandla känsliga personuppgifter t.ex. politiska åsikter och mot att om hälsa. Från förbudet bör i lagen göras ett antal undantag, och regeringen och Datainspektionen bör befogenhet att för viktiga allmänna intressen ges föreskriva ytterligare undantag. Den föreslagna regleringen ansluter nära

till EG-direktivet.

Allmänna förutsättningar för när personuppgifter får 12.5.1 behandlas

12.5.1.1 Inledning

I artikel 7 i EG-direktivet räknas det i vilka fall behandling av personupp uppgifter tillåten. Personuppgifter får inte behandlas i några andra fall. är Är det känsliga personuppgifter skall behandlas, måste behandlingen som också kunna godtas i enlighet med bestämmelserna i artikel avsnitt se l2.5.3.3. Bestämmelserna i artikel finns under rubriken Principer som gör som uppgiftsbehandling kan tillåtas, har redovisats i avsnitt 3.5. Bestämmelatt har förts över till den föreslagna persondatalagen. I vissa fall har serna vissa språkliga förenklingar gjorts utan att någon ändring i sak är avsedd.

358 Innehållet iden persondatalagen nya SOU 1997: 39

Vi föreslår således att persondatalagen skall innehålla bestämmelse en om att personuppgifter får behandlas bara den registrerade har lämnat sitt om samtycke till behandlingen eller när behandlingen är nödvändig a för att fullgöra ett avtal med den registrerade, b för att på den registrerades begäran vidta åtgärder innan avtal ett träffas, c för att den persondataansvarige skall kunna fullgöra rättslig en skyldighet, d för att skydda vitala intressen för den registrerade, e för att utföra en arbetsuppgift allmänt intresse, av f för att den persondataansvarige, eller tredje till vilken en man personuppgifter lämnas ut, skall kunna utföra arbetsuppgift i samband med en

myndighetsutövning, eller

g för ändamål rör berättigade intressen hos den persondataansvari som ge, eller sådana tredje män till vilka personuppgifter lämnas när detta ut, intresse väger tyngre än den registrerades intresse.

Avsikten är att regeringen eller Datainspektionen inom för dessa ramen allmänna bestämmelser skall närmare precisera i vilka fall

behandling av

personuppgifter är tillåten. De särskilda registerförfattningama kan vidare ses såsom närmare preciseringar i vilka fall och under vilka former av behandling personuppgifter är tillåten. Huruvida viss

av en behandling kan

anses tillåten enligt denna bestämmelse får i svensk ytterst avgöras domstol, som i förekommande fall kan begära ett s.k. förhandsavgörande av EG-domstolen.

12.5.1.2 Samtycke

Den först angivna omständigheten medför som att behandling av personuppgifter är tillåten är att den registrerade har lämnat sitt samtycke till behandlingen. Innebörden av begreppet samtycke har redogjorts för i avsnitt 12.2.9. Det får ligga i sakens natur samtycke måste finnas från anses att alla registrerade vilkas personuppgifter berörs behandling; samtycke från av en en registrerad verkar inte kunna berättiga behandling uppgifter nåav om gon annan än just denne. I avsnitt l2.5.2.2 berörs den situationen den registrerade tillbaka att tar ett lämnat samtycke.

Innehållet i den persondatalagen 359 SOU 1997: 39 nya

12. 3 Nödvändighetskravet

andra fallen förutom samtycke där det är tillåtet att behandla per- De - sonuppgifter förutsätter samtliga att behandlingen är nödvändig för olika

uppgifter. nödvändighetskravet närmare innebär är inte helt klart. De flesta Vad uppgifter kan rent faktiskt utföras manuellt utan personregister även om det kostar mycket och tar betydligt längre tid än att behandla personmer uppgifterna automatiskt. vi det kan nödvändighetskravet inte rimligen innebära att det Som ser skall faktiskt omöjligt att utföra uppgift utan sådan behandling av vara en omfattas EG-direktivet och den föreslagna lagen.

personuppgifter som av

Kan uppgift däremot utföras nästan lika enkelt och billigt utan att peren sonuppgifter behandlas, kan det inte nödvändigt att behandla personanses uppgifterna; det kanske går nästan lika bra att använda anonyma uppgifter.

12.5.1.4 I samband med avtal

personuppgifter kan tillåten i samband med avtal, när Behandling av vara det krävs för fullgöra ett avtal med den registrerade eller när det behövs att på dennes begäran vidta åtgärder innan ett avtal träffas. för att det fullgörelse ett avtal krävs det att den registrerade älv

När gäller av

avtalspart. Ett avtal mellan persondataansvarig och en juridisk person är en kan således inte enligt denna bestämmelse rättfärdiga behandling av personuppgifter, uppgifter de är anställda hos den juridiska pert.ex. om som

sonen. fråga åtgärder vidtas innan ett avtal träffas krävs det att den I om som registrerade har begärt de åtgärder gör det nödvändigt att behandla att som skall vidtas. Det verkar inte krävas att avsikten skall vara

personuppgifter

den registrerade skall bli part i det tilltänkta avtalet; den småföretagare att alla aktier i sitt bolag kan således begära att åtgärder vidtas innan som äger bolaget träffar ett avtal. vissa fall kan fullgörandet ett avtal med registrerad göra det I av en nödvändigt behandla uppgifter någon Ett försäkatt om annan person. ringsbolag kan behöva registrera uppgifter den försäkrades förmånstaom blomsteraffär kan behöva registrera till beställda blommor gare, en vem skall levereras I dessa fall torde behandlingen i och för sig vara tillåosv. med stöd bestämmelsen intresseavvägning se avsnitt ten av om en 12.5.1.8, frågan är ett avtal i här avsedda fall kan stöd för bemen om ge

360 Innehållet i den persondatalagen nya SOU 1997 39 :

handlingen utan att avvägning de inblandades intressen behöver en av göras. Det kan inte anses klart ett avtal med registrerad kan berättiga om en en persondataansvarig att behandla uppgifter andra än avtalsparten. Ordaom lydelsen av direktivet utesluter inte att behandling uppgifter

av om vilka

personer som helst kan tillåtas under förutsättning att behandlingen är nödvändig för att fullgöra ett avtal med den registrerade, användmen ningen av begreppet den registrerade leder onekligen tanken till det att är bara denne som får registreras på grund avtalet. Det är vidare inte av antagligt att avsikten med denna bestämmelse avtal avtal om är att ett mellan en registrerad och persondataansvarig direkt marknadsföen om ring i sig skall berättiga den persondataansvarige att behandla uppgifter om tusentals personer för att fullgöra avtalet och sända ut reklamen. Vi anser oss inte ha något egentligt underlag för ytterligare uttalanden beom stämmelsens innebörd på denna punkt.

12.5.1.5 Rättslig skyldighet

Personuppgifter får behandlas behandlingen är nödvändig för den om att persondataansvarige skall kunna fullgöra rättslig skyldighet en förpliktelse åvilar honom eller henne. Den rättsliga

som skyldigheten

måste åvila den persondataansvarige och inte någon annan. Begreppet rättslig skyldighet förpliktelse torde i och för sig ha EGen gemensam innebörd, olika rättsliga skyldigheter kan givetvis åvila men persondataansvariga i skilda medlemsstater. De nationella rättsordningama bestämmer vilka rättsliga skyldigheter åvilar persondataansvariga, och som ibland kan EG-rätten direkt eller indirekt också innebära sådana skyldigheter som är aktuella i detta sammanhang.303 Inte bara författningsbestämmelser i Sverige betraktas offentsom som ligrättsliga kan enligt vår mening grunda sådana rättsliga skyldigheter som avses. De civilrättsliga turordningsbestämmelser gäller vid - - som uppsägning av arbetstagare på grund arbetsbrist kan t.ex. sägas innebära av en rättslig skyldighet för arbetsgivare att upprätta listor över sina anställda.

Huruvida författningsbestämmelser myndigheters verksamhet, om t.ex. myndighetens instruktion, kan grunda sådana rättsliga skyldigheter anses för myndigheten i detta sammanhang är osäkert; behandling som avses av

303 Se beträffande s.k. t.ex. expositionsregister på arbetsmiljöområdet prop. l99l/92zl70 Bilaga 9 s. l2

Innehållet i den persondatalagen 361 SOU 1997: 39 nya

personuppgifter i samband med myndighetsutövning omfattas av en annan

bestämmelse. står vi det klart att lagar och förordningar och författningar Det som ser valör kan grunda sådana rättsliga skyldigheter avses i detta av lägre som Även förpliktelser har ålagts myndighetsbeslut i sammanhang. som genom enskilda fall kan innebära sådana rättsliga skyldigheter som avses. förefaller däremot oklart förpliktelse någon har åtagit Det om en som sig avtal med kan sådan rättslig skyldighet som avses genom annan vara en i detta sammanhang; behandling personuppgifter för att fullgöra ett avav tal med den registrerade omfattas bestämmelse. av en annan

12.5. 6 För att skydda vitala intressen

I den svenska översättningen EG-direktivet talas det om att personuppav gifter får behandlas behandlingen är nödvändig för att skydda intressen om grundläggande betydelse för den registrerade. I andra språkversom är av direktivet används i stället uttryck vitala eller livsviktiga sioner av som därför oklart bestämmelsen i direktivet syftar bara på intressen. Det är om det livsviktigt gäller liv eller död eller även sådant som är som är om betydelse närmare avsnitt 3.5.5. På bara av grundläggande avses, se grund härav har vi valt i den föreslagna svenska lagtexten använda utatt trycket vitala intressen, även i svenskan kan ha såväl en snävare som som bredare innebörd. en

12. 7 Myndighetsutövning eller allmänt intresse

Personuppgifter får behandlas det är nödvändigt för att utföra en arom allmänt intresse. Sådan behandling får också ske om den är

betsuppgift av

nödvändig för utföra arbetsuppgift i samband med myndighetsutövatt en

ning. Myndighetsutövningen skall då utföras av den persondataansvarige

själv eller tredje till vilken uppgifterna har lämnats ut. av en man exempel på arbetsuppgifter kan allmänt intresse kan Som som vara av arkivering, forskning och framställning statistik. Ett annat nämnas av kan etablerade idrottsorganisationers registrering av vilka exempel vara har vunnit svenska mästerskap eller innehar svenskt rekord i personer som Också den registrering sker som har erkända sportgrenar. som av personer erkända utmärkelser, Nobelpris, kan arbetsuppgift fått allmänt t.ex. vara en allmänt intresse. av

362 Innehållet i den nya persondatalagen SOU 1997: 39

Arbetsuppgiften kan utföras myndighet eller något enskilt subav en jekt. Att någon själv kan tjäna på att utföra arbetsuppgiften pengar utesluter inte att den ändå kan allmänt intresse, såsom när uppgifter vara av som tidigare skötts av det allmänna läggs ut på privata företag drivs i som vinstsyfte.

Begreppet myndighetsutövning har det EG-gemensam som ser en innebörd, men till dess annat framkommer EG-domstolens praxis genom eller eljest bör man kunna utgå från att det i Sverige brukar som anses som myndighetsutövning faller under begreppet. Myndighetsutövningen kan

utövas av en myndighet eller vara anförtrodd något enskilt subjekt.

12. 8 Efter intresseavvägning en

Personuppgifter får behandlas intresseavvägning vid handen om en ger att den persondataansvariges berättigade intresse

av en behandling väger

tyngre än den registrerades intresse. Med den persondataansvarige jämställs härvid sådana tredje män till vilka uppgifterna lämnas ut. Det ligger i sakens natur att behandlingen bara får uppgifter avse om sådana registrerade vars intresse inte väger lika tungt den persondatasom ansvariges. Om en registrerad meddelar den persondataansvarige han att eller hon inte vill att behandlingen fortsätter, får den registrerades intresse av att slippa fortsatt behandling regel väga över den persondatasom anses ansvariges intresse av fortsatt behandling; bara i synnerliga undantagsfall bör den persondataansvariges intresse behandlingen av anses väga över intresset hos registrerad uttryckligen sig

en som motsatt behandlingen.

Finns inte längre förutsättningar för att behandla personuppgifter efter en intresseavvägning och kan behandlingen inte tillåtas enligt någon - annan bestämmelse måste de behandlade uppgifterna förstöras eller avidentifie- ras; även lagring av personuppgifter nämligen form beanses som en av handling. Vissa företag vill ofta utnyttja personuppgifter för kunna tjäna att pengar. Det kan t.ex. gälla företag sysslar med direkt marknadsföring som eller upprättar och säljer listor och förteckningar olika slag. vilka som av I fall dessa företags kommersiella intressen väger över de registrerades ideella intresse av att få ha sina personuppgifter i fred får avgöras efter en helhetsbedömning. När det särskilt gäller direkt marknadsföring bör vid intresseavvägningen kunna beaktas den registrerades ovillkorliga rätt att motsätta sig behandlingen avsnitt l2.5.2.3; intresset hos de registre-

se

rade som inte har motsatt sig behandling personuppgifter för direkt av

SOU 1997: 39 Innehållet i den nya persondatalagen 363

marknadsföring kan ofta antas väga ganska lätt i jämförelse med den persondataansvariges kommersiella intressen.

När t.ex. kommersiella intressen skall vägas mot enskildas intresse av att få ha sina uppgifter i fred, bör det i allmänhet krävas att de kommersiella intressena på ett tydligt sätt överväger.

Det kan också ligga ideella motiv bakom utnyttjandet av personuppgifter. Politiska rörelser eller organisationer kan t.ex. vilja utnyttja personuppgifter för att skapa opinion eller sprida politisk propaganda eller för att på något annat sätt främja vissa ideella syften. Föreningar kan exempelvis behöva registrera vilka som deltar i föreningsaktiviteter.

I detta sammanhang bör nämnas Europarådets rekommendation om skydd för personuppgifter som används för ändamål har med direkt

som marknadsföring att göra. Rekommendationen finns intagen som bilaga 3.2.3 till Datalagsutredningens slutbetänkande SOU 1993:10, och dess innehåll finns presenterat i avsnitt 4.3.3 i det betänkandet. i

Datainspektionen bör ha ett särskilt ansvar för att ge persondataansvariga råd och vägledning i fråga intresseavvägningen; avsikten är

om som sagt också att regeringen och inspektionen skall utfärda närmare föreskrifter om i vilka fall behandling av personuppgifter kan anses tillåten efter en intresseavvägning.

12.5.2 När den registrerade motsätter sig behandling av

personuppgifter

12.5.2.1 Inledning

I artikel 14 i EG-direktivet finns bestämmelser om den registrerades rätt att göra invändningar mot behandling av personuppgifter. Bestämmelserna har redovisats närmare i avsnitt 3.7.

Bestämmelserna i direktivet innebär att det beträffande behandling för direkt marknadsföring skall finnas en rätt för den registrerade att motsätta sig behandlingen, men att medlemsstaterna i övrigt fritt kan genom lagstiftning bestämma i vad mån en registrerad skall ha rätt att motsätta sig

en behandling som är laglig och tillåten enligt direktivet.

Enligt datalagen finns inte någon generell rätt för den registrerade att motsätta sig en behandling som är laglig.

Datalagsutredningen föreslog inte att det skulle införas någon generell rätt att motsätta sig en behandling som var befogad enligt de regler som utredningen föreslog. Inte heller vi har funnit tillräckliga skäl för att före-

364 Innehållet i den persondatalagen SOU 1997: 39

nya

slå att sådan rätt skall införas. På grund av utformningen av EG-direkti-

en vet måste det dock den föreslagna lagen slås fast i vad mån den

genom registrerade har rätt att motsätta sig behandling av personuppgifter.

Av vad som anförts i avsnitt l2.5.1.8 framgår att den registrerade i de fall där en behandling bara är tillåten efter en intresseavvägning i praktiken i de flesta fall kan få behandlingen att upphöra genom att meddela den

persondataansvarige att han eller hon motsätter sig behandlingen.

Ett fall som bör tas upp här är den situationen att en registrerad som en gång har lämnat samtycke till en behandling tar tillbaka sitt samtycke. Den situationen tas upp i nästa avsnitt. Därefter redogörs för hur rätten att motsätta sig behandling beträffande direkt marknadsföring bör utformas.

12. 2 Samtycke återkallas

I de fall där en viss behandling är tillåten bara under förutsättning att den registrerade har lämnat sitt samtycke uppkommer frågan vad skall

som gälla om den registrerade tar tillbaka ett lämnat samtycke. Svaret på den frågan kan inte direkt utläsas av EG-direktivet, vilket enligt vår mening innebär att medlemsstaterna själva får välja en lösning.

Man kan här tänka sig åtminstone tre olika lösningar: a Samtycket är oåterkalleligt. Den som en gång har gått med på att

en

viss behandling av personuppgifter sker skulle alltså få finna sig i att

behandlingen genomförs som planerat. b Samtycket kan fritt återkallas med verkan att behandlingen inte längre

anses laglig, vilket skulle innebära att de insamlade uppgifterna genast

måste förstöras eller avidentifieras. c Samtycket kan i och för sig återkallas, men det påverkar inte behand-

lingen av de uppgifter som redan har hunnit samlas in med stöd av

Samtycket. Ytterligare uppgifter får däremot inte samlas in eller i övrigt

behandlas.

Vi har kommit fram till att det sista alternativet c innebär en lämplig

avvägning mellan den registrerades och den persondataansvariges intressen. Lösningen innebär att den registrerades självbestämmanderätt beträffande vilka uppgifter som får samlas in respekteras samtidigt som den persondataansvariges befogade anspråk på att få behandla färdigt de uppgifter

som han eller hon kommit över med stöd av ett frivilligt lämnat samtycke kan tillgodoses.

SOU 1997: 39 Innehållet i den nya persondatalagen 365

Sedan den persondataansvarige på något sätt fått kännedom att ett

om lämnat samtycke inte längre gäller, får några nya uppgifter om den berörde inte samlas in eller annars behandlas. Däremot får behandlingen av redan insamlade uppgifter fortsätta som planerat.

I avsnitt 11.6.6 har särskilt berörts frågan om strykningsrätt vid behandling av personuppgifter för forskning och statistik.

12. 3 Direkt marknadsföring

Bestämmelsen i artikel 14 första stycket b om den registrerades rätt att motsätta sig behandling av personuppgifter för direkt marknadsföring har berörts i avsnitt 3.7.3. Bestämmelsen är inte otvetydig, varför det finns anledning att här återge den:

Den registrerade skall ha rätt att efter anmodan och utan kostnader motsätta sig behandling av sådana

personuppgifter som rör honom eller henne och som den persondata-

ansvarige bedömer kan komma att behandlas för ändamål som rör di-

rekt marknadsföring,

eller att bli informerad innan personuppgifter för första gången lämnas ut till

tredje eller används för tredje mans räkning for ändamål rör

man som direkt marknadsföring, och att uttryckligen få ett erbjudande om att utan kostnad motsätta sig ett sådant utlämnande eller sådan användning.

Medlemsstaterna verkar således ha två alternativ för att genomföra rätten att motsätta sig behandling. Vi anser att det första alternativet bör väljas, eftersom det är det minst komplicerade samtidigt som det ger den registrerade fullgoda möjligheter att förhindra oönskad behandling for direkt marknadsföring.

Vi föreslår således att det införs en bestämmelse om att personuppgifter inte får behandlas för ändamål som rör direkt marknadsföring sedan den registrerade hos den persondataansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling. Enligt vår mening kan det vara lämpligt för att underlätta hanteringen för de persondataansvariga och

främja ordning och reda att föreskriva att den registrerades skriftliga an-

mälan skall vara undertecknad av den registrerade själv. Sådana ordnings-

366 Innehållet i den persondatalagen SOU 1997: 39

nya

föreskrifter, vilka inte kan anses otillåtna enligt EG-direktivet, kan lämpligen ges inte i lag utan i av regeringen utfärdad förordning.

Begreppet direkt marknadsföring har förmodligen en EG-gemensam innebörd. Huruvida de riktade marknadsföringsaktivitetema

sker via vanlig post, e-post, telefon eller telefax saknar betydelse.

Förandet av ett register eller liknande över dem som har lämnat in en anmälan i syfte att utesluta dessa personer från planerade marknadsföringsaktiviteter kan uppenbarligen inte anses vara en sådan behandling för ändamål som rör direkt marknadsföring som förbjuds genom bestämmelsen.

Enligt artikel 14 andra stycket skall medlemsstaterna vidta nödvändiga åtgärder för att säkerställa att de registrerade känner till den nu aktuella rätten att motsätta sig behandling av personuppgifter för direkt marknadsföring. Det får ankomma på Datainspektionen att vidta de informationsåtgärder som behövs i detta hänseende.

I detta sammanhang bör avslutningsvis nämnas Europarådets rekommendation om skydd för personuppgifter som används för ändamål som har med direkt marknadsföring att göra. Rekommendationen finns intagen som bilaga 3.2.3 till Datalagsutredningens slutbetänkande SOU 1993: 10, och dess innehåll finns presenterat i avsnitt 4.3.3 i det betänkandet.

Vad som är direkt marknadsföring kan inom den ram den föreslagna lagen och direktivet preciseras föreskrifter t.ex. Datainspek-

ger genom av tionen.

l2.5.3 Ett principiellt förbud mot behandling av känsliga