LAGRÅDET

Utdrag ur protokoll vid sammanträde 1999-09-10

Närvarande: f.d. justitierådet Lars Å. Beckman, regeringsrådet Susanne
Billum, justitierådet Göran Regner.

Enligt en lagrådsremiss den 17 juni 1999 (Justitiedepartementet) har
regeringen beslutat inhämta Lagrådets yttrande över förslag till lag om
ändring i personuppgiftslagen (1998:204).

Förslaget har inför Lagrådet föredragits av hovrättsassessorn Klas
Reinholdsson.

Förslaget föranleder följande yttrande av Lagrådet:

De föreslagna lagändringarna syftar till att underlätta användningen av
modern informationsteknik. De innebär dels att förbudet i 33 §
personuppgiftslagen mot överföring av personuppgifter till land utanför
EU/EES mjukas upp, dels att ansvar för brott mot bl.a. detta förbud inte
skall ådömas i ringa fall. I sak har Lagrådet i och för sig ingen erinran
mot lagändringarna, som beträffande 33 § innebär en utformning som närmare
ansluter sig till artikel 25 i EG:s direktiv om skydd för enskilda personer
med avseende på behandling av personuppgifter och om det fria flödet av
sådana uppgifter. Lagändringarna kan vara ett bidrag till att motverka de
problem som är förknippade med att tillämpa den regleringsmodell som
används i direktivet och i personuppgiftslagen men som vållar de problem
som berörs i konstitutionsutskottets betänkande 1998/99:KU15 (s. 22 f.).
Dessa problem kan dock egentligen lösas enbart genom en revidering av
direktivet vilken inte kan förväntas ske inom en nära framtid.

Lagrådet vill vidare anföra följande med anledning av förslaget.


33 §

Det framgår av förarbetena till personuppgiftslagen att det nuvarande
förbudet mot överföring av personuppgifter till tredje land (dvs. ett land
utanför EU/EES) var avsett att bli kompletterat med föreskrifter av
regeringen eller Datainspektionen om undantag från förbudet mot överföring
utöver dem som finns i lagens 34 §, se 35 § första stycket och prop.
1997/98:44 s. 96. Några sådana föreskrifter av allmän karaktär har
emellertid inte meddelats. I den mån sådana undantagsföreskrifter inte
skulle vara mera utförliga och ha större konkretion än vad som nu föreslås
som ändringar i 33 §, är det en fördel att reglerna tas in i själva lagen
med hänsyn till bl.a. att många enskilda personer och företag skall
tillämpa reglerna.

En fråga som kan ställas med anledning av lagförslaget är vilken praktisk
betydelse ändringen i 33 § får. För den enskilde kommer det att vara svårt
att bedöma om förbudet i sin nya utformning gäller eller inte, när det är
fråga om att t.ex. lägga ut personuppgifter på en webbplats som är allmänt
tillgänglig på Internet. En sådan åtgärd medför att uppgifterna blir
tillgängliga i hela världen och därmed kan anses överförda till alla
länder. Huruvida alla länder då har en adekvat skyddsnivå ter sig nästan
omöjligt att veta, särskilt som också den faktiska efterlevnaden av
befintliga regler i länderna skall tas med i bedömningen. En tanke som
avspeglas i remissen är att vissa uppgifter kan vara av sådan beskaffenhet
att de normalt framstår som så harmlösa att det inte har någon betydelse om
det finns något skydd alls. En sådan tanke ter sig dock svårförenlig med de
ganska höga krav på skydd för alla slags personuppgifter som direktivet
ställer. Det ter sig med hänsyn till direktivet också diskutabelt att, som
görs i remissen, hävda att personuppgifter får överföras till ett land
utanför EU/EES därför att uppgifterna görs offentliga inom EU/EES-området
och därmed får sådan spridning inom detta att skyddet mot överföring till
tredje land inte skulle få någon reell effekt.

Lagändringen kan innebära att enskilda inte anser sig med tillräcklig
säkerhet kunna avgöra om en avsedd överföring till tredje land är tillåten
enligt 33 § i dessa nya lydelse och därför avstår. A andra sidan kanske
paragrafen inte efterlevs därför att den uppfattas som en orealistisk
hämsko på kommunikationen via bl.a. Internet.

Det kan visserligen sägas att den föreslagna ändringen i 49 § som innebär
att ringa fall av överträdelser av förbudet i 33-35 §§ blir straffria
minskar den tvekan som enskilda kan ha angående en tillämnad överförings
tillåtlighet. Den föreslagna avkriminaliseringen påverkar emellertid inte
det skadeståndsrättsliga ansvar som föreligger enligt lagens 48 § och som
utgör en viktig sanktion vid överträdelser av personuppgiftslagens
bestämmelser (se a. prop. s. 105 ff.). I vad mån skadestånd kan utgå i de
fall av överträdelser av förbudet mot överföring av personuppgifter till
tredje land vilka nu föreslås bli straffria är svårt att ha någon bestämd
uppfattning om, men redan denna tveksamhet kan motverka syftet med
avkriminaliseringen.

I det nya andra stycket i 33 § används uttrycken "ursprungslandet" och "det
slutliga bestämmelselandet". De återfinns i artikel 25.2 i EG:s direktiv,
men de är till skillnad mot "tredje land" inte definierade i lagen.
Uttrycken kan avse andra länder än Sverige och det land dit överföringen
sker. Så t.ex. kan personuppgifter vara hämtade till Sverige från ett land
inom eller utanför EU/EES och ha sin slutliga bestämmelseort i ett fjärde
land. Skyddet i såväl det första som det sista landet skall då beaktas.


49 §

Utöver vad som sagts under 33 § kan anmärkas att den föreslagna
avkriminaliseringen i ringa fall inte torde bli tillämplig i den
situationen att personuppgifter överförts till tredje land, inte i strid
med 33-35 §§ personuppgiftslagen, utan i strid med 11 § datalagen som
enligt övergångsbestämmelserna till personuppgiftslagen alltjämt är
tillämplig i fråga om behandling av personuppgifter som påbörjats före den
24 oktober 1998. 1 vissa fall kan det vara svårt att avgöra vilken av
lagarna som är tillämplig på en överföring och därmed vilka "ringa fall"
som är straffria. Beträffande de förmodligen inte så få fall där den gamla
lagen skall tillämpas ännu cirka två år, inträder inte den lättnad i
regelverket som nu föreslås genom avkriminalisering i ringa fall.

Det nya andra stycket avser alla de gärningar som räknas upp i första
stycket, dvs. också andra överträdelser än otillåten överföring av
personuppgifter till tredje land. I remissen berörs inte vilka konsekvenser
avkriminaliseringen får för dessa andra fall. Så t.ex. behandlas inte i
vilken mån avkriminaliseringen kan anses förenlig med direktivets krav i
artikel 24 på effektiva sanktioner vid överträdelser av de bestämmelser som
har antagits för att genomföra direktivet. Såvitt Lagrådet kan bedöma
hindrar dock inte direktivet den föreslagna avkriminaliseringen, även om
denna omfattar också överträdelser där skadeståndsansvar enligt 48 §
personuppgiftslagen inte kommer i fråga.


Klicka här för att läsa regeringens kritiserade lagrådsremiss!

______________________________________

Denna sida ingår i projektet
"Personuppgiftslagen och yttrandefriheten",
av journalisterna Christoph Andersson och Susanne Bertman
http://www.pul.nu