1 Gällande rätti huvuddrag

Datalagen var modern när den antogs år1973. Den har ändrats ett antal gånger under årenslopp, men den är i dag ändå föråldrad,såväl innehållsmässigt som lagtekniskt.Vi har på olika sätt tagit del av erfarenheterna avlagens tillämpning. Vi har däremot inte ansett det nödvändigtatt här lämna en ingående redovisning av den föråldradelagen. Här ges därför bara en kortfattad och översiktligbeskrivning av regelsystemet.

Datalagen inleds med en definition av begreppen personuppgift,personregister, registrerad och registeransvarig (1 §).

Med personuppgift avses upplysning som avserenskild person. Det kan vara upplysningar om namn, personnummer,födelsedatum, nationalitet, utbildning, familj och anställningsförhållanden.Även andra typer av upplysningar av mindre personlig karaktärräknas som personuppgifter. Enligt lagmotiven avses ävenuppgifter om en persons bostadsförhållanden, banktillgodohavanden,fastighets- eller bilinnehav och upplysningar i övrigt omen persons ekonomiska ställning.

Med personregister förstås register,förteckning eller andra anteckningar som förs med hjälpav automatisk databehandling (ADB) och som innehåller personuppgiftsom kan hänföras till den som avses med uppgiften. Bararegister som förs med hjälp av ADB omfattas såledesav datalagen. Register som förs med hjälp av annan teknikän ADB faller i dag utanför lagens tillämpningsområde.

En personuppgift kan hänföras till en vissperson antingen direkt genom själva uppgiften eller med hjälpav en identitetsuppgift som också ingår i registret.Även register som innehåller identitetsuppgifter avsådan art att bara den invigde kan utläsa vilka personersom finns registrerade omfattas av datalagen. Likaså omfattasstatistiska uppgifter där beteckningar som också återfinnspå dokument gör det möjligt att knyta uppgifternatill en viss person.

Med begreppet registrerad avses en enskild personom vilken det förekommer en personuppgift i ett personregister.

Registeransvarig ärden för vars verksamhet personregister förs, om haneller hon förfogar över registret. Såvälfysiska som juridiska personer och myndigheter kan vara registeransvariga.

Bara den som har anmält sig till Datainspektionenoch fått licens får inrätta och förapersonregister (2 §). Datainspektionen granskar inteanmälan i sak utan ger bara den registeransvarige ett bevis(licens) om att anmälan har gjorts samt ett särskiltlicensnummer (10 § dataförordningen). En licensberättigar den registeransvarige att föra ett ellerflera personregister. Licens behövs inte för personregistersom en enskild person inrättar eller för uteslutandeför personligt bruk (2 § 3 st.).

Den som fått licens skall betala en årligavgift till Datainspektionen. Inspektionen får, omdet finns särskilda skäl, sätta ned eller efterskänkaavgiften. Avgifterna finansierar inspektionens verksamhet.

Med hjälp av ADB för Datainspektionen ettregister över licensanmälningar, licensregistret(3 § dataförordningen). Licensregistret fårDatainspektionen använda för sin tillsyns- och informationsverksamhetsamt som underlag för uppbörd av licensavgifter.

För vissa typer av register med känsligauppgifter krävs utöver licens även ett särskilttillstånd från Datainspektionen (2 §2 st. datalagen). Sådant tillstånd behövsi regel för att inrätta och föra register som innehåller

1. i sig känsliga personuppgifter,
2. omdömen om den registrerade,
3. uppgifter om personer som saknar sådananknytning till den registeransvarige som följer av medlemskap,anställning, kundförhållande eller någotdärmed jämförligt förhållande samt
4. personuppgifter som hämtas in frånnågot annat personregister (s.k. samkörning), om interegistreringen av uppgifterna eller utlämnandet av dessasker med stöd av författning, Datainspektionens besluteller den registrerades medgivande.

Tillstånd behövs inte för personregistersom någon inrättar eller för uteslutande förpersonligt bruk (2 § 3 st.). Tillstånd behövsinte heller för register vars inrättande beslutats avriksdagen eller regeringen (s.k. statsmaktsregister) eller förregister som har tagits emot för förvaring av en arkivmyndighet(2 a § 1 st. 1 och 3). För sådanapersonregister som ofta förekommer inom en viss verksamhetför ett visst ändamål kan det meddelas särskildaföreskrifter (19 §). Följer den registeransvarigesådana föreskrifter, behövs inte något tillstånd(2 a § 1 st. 2).

Sammanslutningar får utan tillstånd inrättaoch föra personregister som innehåller sådanauppgifter om medlemmarnas politiska uppfattning, religiösatro eller övertygelse i övrigt som utgör grundenför medlemskapet i sammanslutningen (2 a §2 st. 1).

Myndigheter inom hälso- och sjukvårdenfår utan tillstånd för vård- eller behandlingsändamålinrätta och föra personregister som innehålleruppgifter om någons sjukdom eller hälsotillståndi övrigt (2 a § 2 st. 2). Likasåfår myndigheter inom socialtjänsten utan tillståndinrätta och föra personregister som innehålleruppgifter om att någon fått ekonomisk hjälp ellervård inom socialtjänsten (2 a § 2 st.3).

Läkare och tandläkare får utan tillståndinrätta och föra personregister som innehållersådana uppgifter om någons sjukdom eller hälsotillståndi övrigt som de har fått reda på i sin yrkesverksamhet(2 a § 2 st. 4).

Arbetsgivare får utan tillstånd inrättaoch föra personregister som innehåller sådanauppgifter om arbetstagares sjukdom som avser tid för sjukfrånvaro,om uppgifterna används för löneadministrativa ändamåleller för att arbetsgivaren skall kunna avgöra om haneller hon skall påbörja en rehabiliteringsutredningenligt 22 kap. 3 § andra stycket lagen (1962:381)om allmän försäkring (2 a § 2 st.5).

Vid sin tillståndsprövning skall Datainspektionenta ställning till om det finns anledning att anta att registreringenmedför ett otillbörligt intrång i den registreradespersonliga integritet. Om så anses vara fallet, skall tillståndinte meddelas. Vid prövningen skall inspektionen särskiltbeakta

• arten och mängden av de personuppgiftersom skall ingå i registret,
• hur och från vem uppgifterna skall hämtasin,
• vilken inställning de som kan komma attregistreras har eller kan antas ha till saken och
• att inte andra uppgifter eller andra personerregistreras än som står i överensstämmelsemed ändamålet med registret (3 §).

Särskilda skäl krävs för atttillstånd skall kunna meddelas för inrättandeoch förande av personregister som omfattar andra änmedlemmar, anställda eller kunder hos den registeransvarigeeller personer som har annan därmed jämställd anknytning(3 a §).

Det krävs synnerliga skäl för attandra än myndigheter som enligt lag eller annan författninghar att föra förteckning över sådana uppgifterskall kunna få tillstånd att inrätta och förapersonregister som innehåller vissa angivna typer av känsligauppgifter, såsom exempelvis uppgift om att någon misstänkseller har dömts för brott eller varit föremålför vissa tvångsingripanden (4 § 1 st.).

Tillstånd att inrätta och föra personregistersom i övrigt innehåller uppgifter om någons sjukdom,hälsotillstånd eller sexualliv eller uppgift om attnågon fått ekonomisk hjälp eller vård inomsocialtjänsten eller varit föremål för åtgärdenligt utlänningslagen får bara om det finns särskildaskäl meddelas annan än myndighet som enligt lag ellerannan författning har att föra förteckning översådana uppgifter. Särskilda skäl krävs ävenför registrering av uppgifter om någons ras eller politiskauppfattning eller religiösa övertygelse (4 §2-3 st.).

När Datainspektionen meddelar tillståndatt inrätta och föra personregister, skall inspektionensamtidigt meddela beslut om ändamålet med registret(5 §). I den mån det behövs för attförebygga risk för otillbörligt intrång ipersonlig integritet skall inspektionen i samband med tillståndsgivningenäven meddela särskilda villkor (6 §). Sådanavillkor får meddelas beträffande exempelvis inhämtandeav uppgifter, vilka personuppgifter som får ingå iregistret, utlämnande, bevaring och gallring.

Personregister skall inrättas och förasså att inte otillbörligt intrång i registreradspersonliga integritet uppkommer. I 7 § anges närmarevad som skall iakttas för att nå upp till vad som brukarkallas "god registersed". Den registeransvarige ärockså skyldig att förteckna de personregister som haneller hon är ansvarig för (7 a §). Förteckningenskall vara aktuell och hållas tillgänglig förDatainspektionen.

I datalagen finns också särskilda bestämmelserom ADB-användningen som är avsedda att garantera attpersonuppgifter är riktiga och fullständiga. Dessa bestämmelser,som återfinns i 8 och 9 §§, behandlar bl.a.rättelse av oriktiga och missvisande uppgifter.

En central bestämmelse är vidare 10 §.Den ger den enskilde en rätt till insyn i personregister.Där stadgas att den registeransvarige på skriftligbegäran av den enskilde skall underrätta denne om innehålleti registret, såvitt gäller honom eller henne. Ett sådantregisterutdrag, s.k. § 10-utdrag, har den enskilde rättatt kostnadsfritt få en gång per år.

I datalagen finns allmänna bestämmelserom gallring av personuppgifter och om vad som skall iakttas dåen registeransvarig upphör att föra ett personregisterför vilket Datainspektionen har meddelat tillstånd(12 §). Vissa bestämmelser om tystnadsplikt finnsi 13 §.

En särskild bestämmelse om dokumentationsskyldighetavser att göra det möjligt att i efterhand fastställavilka uppgifter i en ADB-upptagning som har legat till grund föravgörandet av ett mål eller ärende hos en myndighet.Sådan ADB-upptagning skall tillföras handlingarna imålet eller ärendet i läsbar form. Undantag gällerbara om det finns särskilda skäl (14 §).

Datainspektionen utövar tillsyn över attautomatisk databehandling inte medför otillbörligt intrångi registrerads personliga integritet (15-18 §§).

Inspektionen har möjlighet att meddela villkoreller, om rättelse inte kan åstadkommas på annatsätt, förbjuda förandet av personregister elleråterkalla meddelade tillstånd.

Datainspektionens beslut enligt datalagen kan överklagastill länsrätten i Stockholm eller, när en statligmyndighet är registeransvarig, regeringen. Justitiekanslernfår föra talan för att ta till vara allmännaintressen. (25 §.)

Bestämmelser om straff och skadeståndfinns i 20-21 och 23 §§. Ett personregister kanförklaras förverkat, om det inrättas eller försutan nödvändig licens eller tillstånd (22 §).

I datalagen regleras även det statliga person-och adressregistret (SPAR), 26-28 §§.

Kompletterande bestämmelser om bl.a. licensanmälan,tillståndsansökan, handläggningen hos Datainspektionen,verkställighetsföreskrifter och bistånd till personersom är registrerade utomlands finns i dataförordningen.