PM PERSONUPPGIFTSLAGEN ALLMÄNT Personuppgiftslagen (1998:204) med tillhörande Personuppgiftsförordning (1998:1191) trädde ikraft den 24 oktober 1998 och ersätter 1973 års Datalag. Personuppgiftslagen omfattar såväl automatiserad behandling av personuppgifter som manuell behandling av sådana (före lagens ikraftträdande saknades bestämmelser om manuell behandling av personuppgifter). Personuppgiftslagen är en anpassning till EGs dataskyddsdirektiv om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Bestämmelserna i EG-direktivet är fortfarande oklara på vissa punkter vilket i sin tur innebär att tolkningen av desamma kan vara föremål för olika uppfattningar. Detta avspeglas också på sina håll i den nu gällande personuppgiftslagen. Huvudsyftet med personuppgiftslagen är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. En grundprincip här är att den kräver den registrerades samtycke, en annan att behandling av känsliga personuppgifter, tex politiska åsikter eller hälsa, kräver särskilt stränga regler. Vidare kräver den personliga integriteten att vissa grundläggande krav iakttages vid behandlingen av en personuppgift. Sålunda får behandling av personuppgifter endast ske för särskilda, uttryckligt angivna och berättigade ändamål. Men det finns naturligtvis också situationer där andra intressen väger tyngre än personuppgiftslagens skyddsintressen. Detta medför i sin tur att personuppgiftslagen har liksom många andra lagar - en rad undantag. Ansvaret för att behandlingen av personuppgifter följer personuppgiftslagens bestämmelser har även förskjutits från Datainspektionen till den som behandlar sådana uppgifter, den personuppgiftsansvarige. Det gamla systemet med licenser och tillstånd är därmed borta och Datainspektionen har i stället blivit en tillsynsmyndighet. I samband härmed kan också nämnas att möjligheter införs för den personuppgiftsansvarige att utse ett sk personuppgiftsombud med uppgift att självständigt se till att den personuppgiftsansvarige behandlar personuppgifter i överenstämmelse med lagen. Utses ett sådant, föreligger ingen anmälningsskyldighet för personuppgiftsbehandling eftersom ombudet - i stället för tillsynsmyndigheten förutsätts bevaka att behandlingen sker i överenstämmelse med lagen. Ombudet skall vara en fysisk person och hans utnämning skall anmälas till tillsynsmyndigheten. Inget hindrar att personuppgiftsombudet också är arbetstagare hos den personuppgiftsansvarige. På grund av övergångsbestämmelserna i personuppgiftslagen kommer lagen inte att tillämpas fullt ut förrän den 1 oktober 2007. Men redan nu omfattas flera av lagen och ännu fler kommer att omfattas av den från och med den 1 oktober i år, 2001.
Vilka som redan omfattas och vilka som kommer att omfattas från och med den 1 oktober 2001 framgår av övergångsbestämmelserna nedan. Den viktigaste praktiska konsekvensen av övergångsbestämmelserna är emellertid att då den personuppgiftsansvarige väl är skyldig att iakttaga personuppgiftslagens bestämmelser, faller alla gamla tillstånd enligt datalagen och en ny anmälningsskyldighet inträder för den typ av personuppgiftsbehandling det är fråga om. Enligt övergångsbestämmelserna kan dock den som kommer att bli personuppgiftsansvarig från och med den 1 oktober 2001 redan nu och således i förväg fullgöra sin anmälningsksyldighet enligt personuppgiftslagen. Han kan alternativt i stället välja att utse och anmäla ett personuppgiftsombud, vilket i sin tur medför att han befrias från sin anmälningsskyldighet. ÖVERGÅNGSBESTÄMMELSER Som ovan nämnts träder personuppgiftslagens bestämmelser i kraft succesivt under en övergångstid. Vilka tidpunkter som gäller här framgår nedan. Övergångsbestämmelserna är sammanfattningsvis följande. Helt eller delvis automatiserad behandling av personuppgifter som påbörjats före ikraftträdandet den 24 oktober 1998 lyder under datalagen fram till den 1 oktober 2001. Därefter gäller personuppgiftslagens bestämmelser fullt ut för denna typ av automatiserad behandling. Personuppgiftslagens bestämmelser om manuell behandling av personuppgifter som påbörjats före ikraftträdandet den 24 oktober 1998 gäller inte förrän den 1 oktober 2007. Om behandling av personuppgifter däremot påbörjats efter ikraftträdandet den 24 oktober 1998 gäller personuppgiftslagens regler fullt ut redan idag. PERSONUPPGIFTSLAGEN I SAMMANDRAG Syftet med lagen Enligt 1 PUL är syftet med lagen att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Avvikande bestämmelser i annan författning Av 2 PUL framgår att PUL är subsidiär till andra lagar, dvs finns det bestämmelser om hur personuppgifter skall behandlas i andra lagar eller förordningar gäller dessa framför PUL, tex Polisdatalagen och lagen om hälsodataregister. Definitioner i PUL I 3 PUL finns det en rad definitioner i lagen som man bör känna till. Dessa är följande. 2
Beteckning Behandling av personuppgifter Blockering av personuppgifter Mottagare Personuppgifter Personuppgiftsansvarig Personuppgiftsbiträde Personuppgiftsombud Den registrerade Betydelse Varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. En åtgärd som vidtas för att personuppgifterna skall vara förknippade med information om att de är spärrade och om anledningen till spärren och för att personuppgifterna inte skall lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen. Den till vilken personuppgifter lämnas ut. När personuppgifter lämnas ut för att en myndighet skall kunna utföra sådan tillsyn, kontroll eller revision som den är skyldig att sköta, anses dock inte myndigheten som mottagare. All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter Den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Den fysiska person som, efter förordnande av den personuppgiftsansvarige, självständigt skall se till att personuppgifter behandlas på ett korrekt och lagligt sätt. Den som en personuppgift avser. 3
Samtycke Tillsynsmyndigheten Tredje land Tredje man Varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Den myndighet som regeringen utser för att utöva tillsyn. En stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska samarbetsområdet. Någon annan än den registrerade, den personuppgiftsansvarige, personuppgiftsombudet, personuppgiftsbiträdet och sådana personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har befogenhet att behandla personuppgifter. Vilka personuppgifter omfattas av lagen? Av 5 PUL framgår vilka personuppgifter som omfattas av lagen. Dessa är all behandling av personuppgifter som helt eller delvis är automatiserad samt manuell behandling av personuppgifter. Som exempel på delvis automatiserad behandling av personuppgifter kan nämnas att om det till en samling av akter eller andra pappershandlingar med personuppgifter finns ett datoriserat index med hänvisning till akterna eller handlingarna och det datoriserade indexet dessutom innehåller personuppgifter med vars ledning man kan söka information i akterna eller handlingarna, omfattas själva det datoriserade indexet av PULs bestämmelser om automatiserad behandling. Däremot omfattar inte PULs bestämmelser om manuell behandling av personuppgifter all manuell behandling av personuppgifter. Förutsättningen för att PUL skall vara tillämplig på manuell behandling av personuppgifter är att det finns en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier ett register. Det måste sålunda vara fråga om samlade uppgifter om fler än en person för att PULs bestämmelser om manuell behandling av personuppgifter skall vara tillämpbara. Vidare skall registret ha en viss beständighet. En hög med lösa papper på ett skrivbord omfattas således inte även om papprena tillfälligtvis råkar vara sorterade i bokstavsordning efter efternamn. Vidare skall uppgiftssamlingen vara strukturerad, dvs de måste vara sorterade enligt något slags system. Det krävs dessutom att uppgifterna i samlingen är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, man måste alltså kunna söka blanduppgifterna i samlingen för att det skall vara fråga om ett 4
register. Ett manuellt register som visserligen innehåller personuppgifter men som inte är sökbart med hjälp av någon personuppgift (namn, personnummer eller liknande) omfattas således inte av PULs bestämmelser om manuell behandling. Det kan tex vara fråga om akter som har ordnats efter löpnummer utan möjlighet att med hjälp av löpnumret eller eljest söka fram uppgifter om enskilda personer. Avslutningsvis torde det också vara så att det måste finnas fler än ett sökkriterium för att bestämmelserna skall gälla. Ett manuellt register med en förteckning i bokstavsordning där endast namnet på personen är sökingång, skulle sålunda inte omfattas av PULs bestämmelser om manuell behandling av personuppgifter. Undantag för privat behandling av personuppgifter Enligt 6 PUL gäller inte lagen behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur, tex privat ord- och textbehandling, privat korrespondens med e-post eller ett privat personregister över sina vänner. Förhållandet till tryck- och yttrandefriheten Enligt 7 PUL gäller inte lagen i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen eller behandling av personuppgifter som sker uteslutande för journalistiska, konstnärliga eller litterära ändamål. Om tex en journalist sammanställt ett personregister med uppgifter om de personer han ämnar skriva om eller skriver en artikel om, omfattas inte denna samling av personuppgifter av PUL. Offentlighetsprincipen Enligt 8 PUL tillämpas inte PUL i den utsträckning det skulle inskränka en myndighets skyldighet att enligt tryckfrihetsförordningen lämna ut eller arkiverar personuppgifter. Behandlingen av sådana personuppgifter faller således helt utanför PULs bestämmelser. Grundläggande krav på behandlingen av personuppgifter Enligt 9 PUL skall den personuppgiftsansvarige se till att a) personuppgifter behandlas bara om det är lagligt, b) personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed, c) personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, d) personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, e) de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, 5
f) inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen, g) de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella, h) alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen, och i) personuppgifter inte bevaras under en längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. I fråga om d) gäller dock att en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte skall anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Personuppgifter för historiska, statistiska eller vetenskapliga ändamål får bevaras under längre tid än som sagts ovan. Personuppgifterna får dock i sådana fall inte bevaras under en längre tid än vad som behövs för dessa ändamål. Personuppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål får användas för att vidta åtgärder i fråga om den registrerade bara om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. När är behandling av personuppgifter tillåten? Enligt 10 PUL får personuppgifter behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för att a) ett avtal med den registrerade skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, b) den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet, c) vitala intressen för den registrerade skall kunna skyddas, d) en arbetsuppgift av allmänt intresse skall kunna utföras, e) den personuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller f) ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Bestämmelserna innebär att behandling av personuppgifter utan den enskildes samtycke endast är tillåten i ovan uppräknade situationer. 10 PUL föranleder följande kommentarer. 6
Samtycket Samtycket måste vara frivilligt och villkorslöst. Generella samtycken godtas inte utan varje samtycke skall vara lämnat för en viss konkret behandling som utförs av en viss personuppgiftsansvarig för ett visst ändamål. Den personuppgiftsansvarige måste också lämna tillräcklig information för att personen i fråga skall kunna ta ställning till för- och nackdelar med att hans personuppgifter blir föremål för behandling. Samtycket måste också vara otvetydigt och klart; det får inte finnas några omständigheter som talar emot samtycke. Avslutningsvis skall nämnas att den registrerade har rätt att när som helst återkalla sitt samtycke. Gör han det får ytterligare personuppgifter om honom inte behandlas. Nödvändighetskravet Har den registrerade lämnat sitt samtycke krävs det inte att behandlingen av personuppgifterna är nödvändig. Saknas samtycke däremot, kräver de uppräknade situationerna under a) f) ovan att behandlingen av personuppgifterna kan anses varar nödvändiga. Det är för närvarande oklart vad nödvändighetskravet i verkligheten innebär, men enligt uttalanden i kommentaren till personuppgiftslagen torde nödvändighetskravet inte var uppfyllt om arbetsuppgiften kan utföras nästan lika enkelt och billigt utan att personuppgifterna behandlas. De situationer som kan ha aktualitet för SABO-företagen är närmast a) och b) och möjligen f), varför dessa kommenteras lite närmare. a) i samband med avtal När det gäller fullgörelse av avtal förutsätter detta att den registrerade själv personligen är avtalspart. Som exempel på situationer där personuppgiftsbehandling kan anses nödvändig och därmed tillåten är under förutsättning att den registrerade själv är avtalspart - kan nämnas fakturering, kundregister och förandet av kundkonton. I fråga om åtgärder som vidtas innan ett avtal träffas krävs det att den registrerade har begärt att de åtgärder som gör det nödvändigt att behandla personuppgifter skall vidtas. Som exempel kan nämnas kreditupplysning, att en säljare har lagfart på en fastighet eller en enskild har nödvändiga tillstånd för visst fall, tex F- skattesedel. b) för att kunna fullgöra en rättslig skyldighet Här får personuppgiftsbehandling ske om behandlingen är nödvändig för att den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet. Det är fortfarande oklart med vad som avses vara en rättslig skyldighet, men troligen avses endast rättslig skyldighet som åligger den personuppgiftsansvarige enligt lagstiftning eller kan åläggas densamme genom dom eller beslut. f) efter intresseavvägning Punkten är en generalklausul. Personuppgiftsbehandling får ske utan den registrerades samtycke om det vid en intresseavvägning kan visas att den 7
uppgiftsansvariges intresse för uppgiftsbehandling väger tyngre än den registrerades intresse av integritetsskydd. Punkten kommenteras därför att det blir denna punkt som den personuppgiftsansvarige får åberopa om ha inte vill - trots att den registrerade så begär - upphöra med personuppgiftsbehandlingen. Samtycke kan återkallas Enligt 12 PUL kan den registrerade när som helst återkalla sitt samtycke i de fall då personuppgiftsbehandlingen bygger på hans uttryckliga samtycke. Detta får till följd att ytterligare behandling av personuppgifter om den registrerade inte längre får ske. Är däremot personuppgiftsbehandlingen tillåten oavsett den registrerades samtycke, får naturligtvis ett återkallande ingen rättslig verkan. Återkallelse kan göras skriftligen eller muntligen. Det finns dock ett undantag från att ett samtycke kan återkallas muntligt. Situationen regleras i 11 PUL om personuppgiftsbehandling för ändamål som rör direkt marknadsföring. Av denna paragraf framgår att personuppgifter inte får behandlas för ändamål som rör direkt marknadsföring, om den registrerade hos den personuppgiftsansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling. En återkallelse av ett tidigare lämnat samtycke innebär att några ytterligare uppgifter om den registrerade inte får samlas in och behandlas. Behandlingen av redan insamlade uppgifter får dock fortsätta i enlighet med det ursprungliga samtycket, men uppgifterna får inte uppdateras eller kompletteras. I praktiken torde detta på grund av bestämmelserna i 9 PUL innebära åtminstone efter ett tag - att insamlade uppgifter måste utplånas eller avidentifieras eftersom de har blivit inaktuella eller ofullständiga. Hållandet av sådana uppgifter är ju inte tillåten enligt nämnda paragraf. Känsliga personuppgifter Om personuppgifterna kan klassificeras som känsliga måste den personuppgiftsansvarige förutom 10 PUL även iakttaga bestämmelserna i 13-19 PUL. Av 13 PUL framgår vilka personuppgifter som skall anses känsliga. Dessa är uppgifter om a) ras eller etniskt ursprung, b) politiska åsikter, c) religiös eller filosofisk övertygelse, d) medlemskap i fackförening och e) personuppgifter som rör hälsa eller sexualliv. Trots förbudet i 13 PUL är det dock tillåtet att behandla känsliga personuppgifter under vissa förutsättningar. De närmare bestämmelserna härom återfinns i 14 19 PUL. 8
Av 20 PUL framgår att regeringen eller den myndigheten som regeringen bestämmer får meddela föreskrifter om ytterligare undantag. Personnummer Enligt 22 PUL får uppgifter om personnummer eller samordningsnummer behandlas utan samtycke bara när det är klart motiverat med hänsyn till a) ändamålet med behandlingen, b) vikten av en säker identifiering eller c) något annat beaktansvärt skäl. Saknas samtycke till användning av personnummer eller samordningsnummer, ankommer det på den personuppgiftsansvarige att själv bedöma behovet av en sådan identifiering. Härvid har han att på eget ansvar göra en intresseavvägning mellan behovet av en säker identifiering och behovet av ett fullgott skydd för den personliga integriteten. Bestämmelsen om personnummeranvändning har förts över från datalagens 7 andra stycke utan närmare kommentarer. De motiv och den praxis som tidigare gällt personnummeranvändning gäller sålunda fortfarande. 1992 infördes genom nämnda bestämmelse en skärpning av personnummeranvändningen. Motiven till detta var bl a de datoriserade personregistrens stora omfattning, användning och innehåll, samkörning av olika register samt utformningen av offentlighets-, data- och sekretesslagstiftningen, kunde uppfattas som integritetskränkande. Till följd härav skulle fortsättningsvis personnummer i registersammanhang endast få användas när registreringen var påkallad av något godtagbart skäl. I övriga fall skulle den anses utgöra ett integritetsintrång. De riktlinjer och den praxis som utvecklats härefter av Datainspektionen, regeringen och domstolar är omfattande men kan sammanfattas på följande sätt. Användning av personnummer inom sjukvård, individ- och familjeomsorg i vissa avseenden, skatteförvaltning, polis- och rättsväsende är motiverat eftersom en korrekt identifiering av en viss person i dessa sammanhang är ytterst angelägen. I vissa andra fall har Datainspektionen också funnit att det är motiverat att använda personnummer men inte hur som helst. Sålunda har Datainspektionen medgivit försäkringsbolagen att ha personnummer i sina register för att säkert kunna identifiera försäkringstagarna men inte att personnummer används som kund- eller försäkringsnummer. Inte heller får personnummer förekomma på adressetiketter, anställningslistor eller medlemsregister och kundregister som syftar till att den registrerade skall få information och förmåner. Personnummer får med andra ord inte användas när personen lika enkelt och gärna kan identifieras genom kund- eller medlemsnummer. Såvitt kan ha intresse för SABO-företagen kan även följande rättsfall nämnas (Regeringens beslut 1993-09-16, dnr 93-2216 och Länsrätten i Stockholms län dom 1997-10-27, dnr Ö 3797-97). 9
Ett delvis ägt kommunalt bostadsaktiebolag har inte för förmedling av bostäder fått registrera personnummer. Ändamålet med registren var att organisera bostadssökandenas önskemål och tillhandahålla fastighetsägare uppgifter om bostadssökande. Datainspektionen ansåg att sökanden inte visat att det med hänsyn till registrets ändamål, vikten av en säker identifiering eller av annat skäl var motiverat att registrera personnummer. Bolaget överklagade Datainspektionens beslut ända till Regeringen utan resultat. 1996 ansökte bolaget återigen om tillstånd att få registrera personnummer. Som skäl anfördes att bolaget hade behov att få registrera personnummer för att säkert identifiera bostadssökandena och för at effektivisera administrationen av ansökningarna. Datainspektionen fann även denna gång att skäl inte förelåg för tillstånd till att registrera personnummer, men gav bolaget tillstånd att registrera födelsedatum, dvs födelseår, födelsemånad och födelsedag. Som skäl härför anfördes att ändamålet med ett bostadsförmedlingsregister motiverar inte användandet av personnummer. Däremot kan de sex första siffrorna i personnumret tillåtas. Bolaget överklagade till Länsrätten utan resultat. De sex första siffrorna var tillräckligt för en säker identifiering av den bostadssökande. Anmärkning: Med samordningsnummer avses sådana nummer som tilldelas personer som ännu inte är eller har varit folkbokförda i Sverige från och med den 1 januari 2000. Samordningsnummer är liksom personnumret ett unikt identifikationsnummer. Samma regler bör därför gälla för detta som för personnummer. Information till den registrerade och allmänheten I 23-27 PUL regleras den personuppgiftsansvariges informationsskyldighet gentemot den registrerade samt vad den informationen skall innehålla. Information skall i princip alltid lämnas självmant av den personuppgiftsansvarige och skall omfatta a) uppgift om den personuppgiftsansvariges identitet b) uppgift om ändamålen med behandlingen och c) all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Vidare är den personuppgiftsansvarige skyldig att till var och en som ansöker om det, en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande är föremål för behandling eller inte. Behandlas sådana uppgifter skall skriftlig information även lämnas om a) vilka uppgifter om den sökande som behandlas b) varifrån dessa uppgifter har hämtats c) ändamålen med behandlingen och d) till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. 10
I den utsträckning det är särskilt föreskrivet i lag eller annan författning eller i beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut, gäller naturligtvis detta. För SABO-företagens del innebär detta att man måste, innan man lämnar ut begärd information, även pröva om begärda uppgifter är sekretessbelagda. I detta sammanhang kan också nämnas att personuppgiftsansvarig även har en informationsskyldighet gentemot allmänheten. Bestämmelserna härom återfinns i 42 PUL och kommenteras längre fram under Oanmäld personuppgiftsbehandling. Rättelse Av 28 PUL framgår att den personuppgiftsansvarige är skyldig att på begäran av den registrerade snarast rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med PUL eller föreskrifter som har utfärdats med stöd av PUL. Den personuppgiftsansvarige skall också underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte lämnas, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Anmälningsskyldighet Av 36 PUL framgår att behandling av personuppgifter som är helt eller delvis automatiserad skall anmälas till tillsynsmyndigheten, dvs Datainspektionen. Den personuppgiftsansvarige skall således göra en skriftlig anmälan till tillsynsmyndigheten innan en sådan behandling eller en serie av sådana behandlingar med samma eller liknande ändamål får genomföras. Om den personuppgiftsansvarige utser ett personuppgiftsombud skall även detta anmälas till tillsynsmyndigheten liksom ett entledigande av ett personuppgiftsombud. Har den personuppgiftsansvarige redan utsett och anmält ett personuppgiftsombud till tillsynsmyndigheten, föreligger ingen anmälningsskyldighet för helt eller delvis automatiserad personuppgiftsbehandling. Detta beror på att personuppgiftsombudet företräder tillsynsmyndigheten i denna situation och bevakar att PULs bestämmelser iakttages. Detta leder oss in på personuppgiftsombudet och hans uppgifter. Personuppgiftsombud Personuppgiftsombudets uppgifter regleras i 38 40 PUL. Av dessa framgår följande. Personuppgiftsombudet skall ha till uppgift att självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt 11
och i enlighet med god sed samt påpeka eventuella brister för honom eller henne. Har personuppgiftsombudet anledning att misstänka att den personuppgiftsansvarige bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och vidtas inte rättelse så snart det kan ske efter påpekande, skall personuppgiftsombudet anmäla förhållandet till tillsynsmyndigheten. Personuppgiftsombudet skall även i övrigt samråda med tillsynsmyndigheten vid tveksamhet om hur de bestämmelser som gäller för behandlingen av personuppgifter skall tillämpas. Vidare åligger det personuppgiftsombudet att föra en förteckning över de behandlingar som den personuppgiftsansvarige genomför och som skulle ha omfattats av anmälningsskyldighet om ombudet inte hade funnits. Avslutningsvis har personuppgiftsombudet till uppgift att hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. Information till allmänheten I 42 PUL finns bestämmelser som reglerar den personuppgiftsansvariges skyldighet att informera allmänheten om vilka personuppgiftsbehandlingar som sker hos honom. Av paragrafen framgår det bl a att den personuppgiftsansvarige är skyldig att till var och en som begär det, skyndsamt och på lämpligt sätt lämna upplysningar om sådana automatiserade eller andra behandlingar av personuppgifter som inte har anmälts till tillsynsmyndigheten. Den personuppgiftsansvarige är dock inte skyldig att lämna ut sekretessbelagda uppgifter eller uppgifter om vilka säkerhetsåtgärder som har vidtagits. Anledningen till bestämmelserna är följande. Allmänheten har rätt att inom ramen för offentlighetsprincipen hos Datainspektionen erhålla upplysningar om anmälda personuppgiftsbehandlingar, vilka uppgifter som behandlas för visst fall, varifrån dessa uppgifter har hämtats, ändamålet med behandlingen och till vilka mottagare och kategorier av mottagare som uppgifterna lämnas. I de fall där den personuppgiftsansvarige har ett personuppgiftsombud, saknar emellertid Datainspektionen dessa uppgifter eftersom någon anmälningsskyldighet i dessa fall inte föreligger för den personuppgiftsanvarige. Uppgifterna finns istället tillgängliga hos den personuppgiftsansvarige. Allmänheten får därför vända sig till denne för information. Om däremot den personuppgiftsansvarige har anmält sin personuppgiftsbehandling till tillsynsmyndigheten, dvs han saknar anmält personuppgiftsombud, är han enligt PUL inte skyldig att lämna ut begärd information över huvud taget. I stället får han hänvisa frågeställaren till tillsynsmyndigheten, dvs Datainspektionen, som sålunda har att ta ställning till om begärd information skall lämnas ut eller ej. Tillsynsmyndighetens befogenheter och beslut 12
Datainspektionen utövar tillsyn över att personuppgiftslagen efterlevs. För sin tillsyn har myndigheten rätt att på begäran få a) tillgång till de personuppgifter som behandlas b) upplysningar om och dokumentation av behandlingen av personuppgifter och säkerheten vid denna och c) tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. Om tillsynsmyndigheten finner att personuppgifter behandlas eller kan komma att behandlas i strid med PUL, skall myndigheten i första hand arbeta för att få till stånd rättelse genom påpekanden och råd. Uppnås rättelse inte på detta sätt, får myndigheten vid vite förbjuda den personuppgiftsansvarige att fortsätta med personuppgiftsbehandlingen. Beslutet kan överklagas till länsrätt och kammarrätt. För prövning i kammarrätten krävs dock prövningstillstånd. Under tiden beslutet prövas har den personuppgiftsansvarige dock alltid rätt att lagra personuppgifterna. De får däremot inte behandlas. Tillsynsmyndigheten har också möjlighet att hos länsrätten begära att personuppgifter som behandlas i strid med personuppgiftslagen skall utplånas. De närmare bestämmelserna om tillsynsmyndighetens befogenheter och beslut samt möjligheten att överklaga desamma finns i 43 47 samt 51 PUL Straff och skadestånd Den som uppsåtligen eller av oaktsamhet bryter mot personuppgiftslagen kan dömas till böter eller fängelse i högst sex månader, om brottet inte är grovt. Är brottet grovt, får påföljden bestämmas till högts två års fängelse. Påföljden drabbar den fysiska person som har gjort sig skyldig till brottet oavsett om han eller hon är personuppgiftsansvarig eller inte. De närmare bestämmelserna om straff för brott mot personuppgiftslagen finns i 49 PUL. Enligt 48 PUL skall den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen har orsakat. Ersättningsskyldigheten kan jämkas under vissa omständigheter. Med skada avses såväl personskada och sakskada som ren förmögenhetsskada. Ersättning för kränkning av den personliga integriteten utgör sk ideell skada och får uppskattas efter skälighet mot bakgrund av samtliga omständigheter i det enskilda fallet. Därvid kan beaktas tex sådana faktorer som om det funnits risk för otillbörlig spridning av känsliga eller felaktiga uppgifter och om den registrerade på grund av den felaktiga behandlingen har blivit utsatt för något beslut eller några åtgärder som kunnat innebära negativa konsekvenser för honom eller henne. Orsakssambandet mellan skada och kränkning å ena sidan och den felaktiga personuppgiftsbehandlingen å den andra skall vara adekvat, dvs det skall föreligga 13
ett direkt orsakssamband mellan skadan/kränkningen och den felaktiga behandlingen av personuppgifterna. Personuppgiftsförordningen (1998:1191) Till personuppgiftslagen finns en personuppgiftsförordning knuten. I denna ges kompletterande föreskrifter beträffande sådan behandling av personuppgifter som omfattas av personuppgiftslagen. Torsten Heime SABO AB Juridik 14