Regeringens förslag: Personuppgiftslagens bestämmelser om information som skall lämnas till den registrerade när uppgifter samlas in från den registrerade själv och efter ansökan av den registrerade skall tillämpas vid behandling av personuppgifter inom skatteförvaltningen, exekutionsväsendet och Tullverket. Information om i en databas förekommande elektroniska handlingar som hör till ett ärende och som den enskilde har tagit del av behöver dock inte omfatta annat än uppgift om att handlingarna behandlas i databasen.
Om den enskilde begär det skall dock informationen omfatta även de handlingar som behandlas.
Prop. 2000/01:33
105 Utredningens förslag överensstämmer med regeringens.
Remissinstanserna: Remissinstanserna tillstyrker eller har inte något att erinra mot förslaget.
Skälen för regeringens förslag: I personuppgiftslagen finns bestämmelser om att den personuppgiftsansvarige på eget initiativ skall informera den registrerade om att dennes personuppgifter är föremål för behandling. Av 23 § personuppgiftslagen framgår att den personuppgifts-ansvarige självmant skall informera en enskild om behandling av uppgifter som samlas in från den enskilde själv. Den information som skall lämnas är uppgift om den personuppgiftsansvariges identitet, ändamålen med behandlingen samt övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter. Bestämmelsen skall vara tillämplig på behandling av personuppgifter i de aktuella verksamheterna.
Enligt 24 § personuppgiftslagen skall den registrerade informeras även när uppgifter har samlats in från någon annan källa än honom själv.
Sådan information behöver emellertid inte lämnas om det finns bestämmelser om registrerandet i en lag eller annan författning. När behandling av personuppgifter hos en myndighet regleras i särskild lagstiftning, med bestämmelser om vilka uppgifter som får behandlas och hur uppgifterna i övrigt får hanteras, krävs således inte att sådan information ges. Något skäl för att Tullverket eller myndigheter inom skatteförvaltningen och exekutionsväsendet trots detta skall lämna sådan information kan inte anses föreligga. Bestämmelsen bör således inte tillämpas på behandling av uppgifter enligt de föreslagna lagarna.
Information skall också lämnas på begäran av den registrerade. En av de från integritetssynpunkt viktigaste bestämmelserna i dataskydds-direktivet återfinns i artikel 12 a, och innebär att enskilda har rätt att få information av den personuppgiftsansvarige om personuppgifter som rör den sökande behandlas eller inte. Om uppgifter behandlas skall information lämnas om vilka uppgifter det rör sig om, varifrån uppgifterna har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut.
Bestämmelsen har sin motsvarighet i 26 § personuppgiftslagen, där enskilda garanteras denna rätt till information efter ansökan. I nämnda paragraf anges även att information inte behöver lämnas om personuppgifter i löpande text som inte har fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande, under förutsättning att uppgifterna inte har lämnats ut till tredje man.
Bestämmelser om rätt till information fanns tidigare i 10 § datalagen (1973:289). Den registrerade hade enligt nämnda bestämmelse rätt att från den registeransvarige få underrättelse om innehållet i personuppgift som ingår i personregistret, s.k. registerutdrag. I 18 § skatteregisterlagen (1980:343) och 10 a § utsökningsregisterlagen (1986:617) finns särbestämmelser om registerutdrag. Där sägs att i ett registerutdrag enligt datalagen behöver, i fråga om regionala register, uppgift i handling som har getts in av enskild eller som den registeransvarige har expedierat till den registrerade inte tas med. Om uppgiften finns i ett ärende rörande den som begärt registerutdraget, skall det framgå av utdraget att uppgiften inte finns med i utdraget. Innebörden av de återgivna
Prop. 2000/01:33
106 bestämmelserna är i princip att elektroniska handlingar i dag inte behöver
skickas ut i ett registerutdrag, om handlingen har getts in av eller expedierats till den registrerade.
Utredningen har föreslagit att det bör införas ett undantag för elektroniska handlingar även när enskilda skall informeras enligt 26 § personuppgiftslagen. Enligt utredningens mening är ett undantag förenligt med dataskyddsdirektivet. Utredningen anför som skäl härför bl.a. följande. När en person som är part i ett ärende begär att få information av en myndighet om vilka personuppgifter som behandlas rörande honom eller henne, kan det sättas i fråga om det finns några sakliga skäl för att han eller hon skall få del av kopior av egna handlingar som skickats till myndigheten och som lagras elektroniskt där.
Detsamma kan sägas i fråga om handlingar som har upprättats av myndigheten eller som har getts in till myndigheten av någon annan än den registrerade själv, om den registrerade har tagit del av handlingarna.
Det bör även tas i beaktande att antalet elektroniska handlingar i olika databaser med stor sannolikhet kommer att öka väsentligt i framtiden, efter hand som den datoriserade hanteringen tar över pappershanteringen.
Det finns därför en risk att den som begär information om vilka uppgifter som behandlas om honom eller he nne, får del av så stora mängder uppgifter att det kan vara svårt att tillägna sig informationen. Under förutsättning att den registrerade får tydlig information om att handlingar som han eller hon har skickat in till eller fått från myndigheten finns registrerade samt att han eller hon får en förteckning över dessa handlingar, finns det inte några starka argument mot att göra undantag för de elektroniska handlingarna, eftersom innehållet i dessa är identiskt med de handlingar som den enskilde har tagit del av.
Den enskilde har i detalj kännedom om uppgifterna i handlingarna sedan tidigare, eftersom dessa antingen har getts in av eller expedierats till honom med det registrerade innehållet. Att en myndighet då i information till en registrerad tydligt anger vilka elektroniska handlingar som behandlas i en databas eller i ett ärende som rör denne torde enligt regeringens mening vara tillräckligt för att uppfylla dataskyddsdirektivets krav på att de registrerade i detalj skall kunna kontrollera om uppgifterna är korrekta eller inte. Regeringen anser därför i likhet med utredningen att elektroniska handlingar inte behöver lämnas ut till en enskild i samband med att en personuppgiftsansvarig myndighet fullgör sin informationsskyldighet enligt 26 § personuppgiftslagen, om den enskilde har tagit del av handlingens innehåll. Enskilda bör emellertid inte helt fråntas rätten att med tillämpning av 26 § personuppgiftslagen ta del av elektroniska handlingar som de har gett in eller som har expedierats till dem. Fullständig information om vilka uppgifter som behandlas, således även uppgifter i elektroniska handlingar, bör enligt regeringens mening lämnas om den enskilde begär det.
En annan fråga är vad som skall gälla i fråga om personer som finns omnämnda i handlingar som hör till ett ärende i vilket de inte själva är part. Dessa personer omfattas inte av det föreslagna undantaget eftersom de med största sannolikhet inte fått del av handlingarna. Det innebär emellertid enligt regeringens mening inte att de har rätt att enligt 26 § personuppgiftslagen få information om behandlingen. Regeringen har tidigare i den proposition som låg till grund för införande av
Prop. 2000/01:33
107 personuppgiftslagen (prop. 1997/98:44, s. 83) uttalat bl.a. att det är
rimligt att utgå från att Datalagskommitténs slutsats att EG-direktivet innebär att den personuppgiftsansvarige bara är skyldig att utnyttja alla de sök- och sammanställningsmöjligheter som han har tillgång till för att få fram information att lämna den registrerade är riktig. Regeringens förslag om sökbegränsningar (se avsnitt 8.4) innebär att myndigheterna saknar rättsliga befogenheter, och vanligen även tekniska möjligheter, att kontrollera i vilken omfattning uppgifter om en person behandlas i handlingar som hör till ett ärende som inte rör honom. Därmed har enligt regeringens mening en person som är registrerad på ett sådant sätt inte heller rätt att kräva att myndigheten gör den typen av kontroller.
Rätten till information gäller enligt 27 § personuppgiftslagen inte om det i lag eller annan författning eller i beslut som har meddelats med stöd av författning särskilt har föreskrivits att uppgifter inte får lämnas ut till den registrerade. Detta undantag från rätten till information är i många fall nödvändigt för att myndigheter skall kunna utföra sina arbetsuppgifter på ett ändamålsenligt sätt. Som exempel kan nämnas att en skattemyndighet måste ha möjlighet att behandla uppgifter inför en förestående revision, utan att dessa uppgifter kommer till den skattskyldiges kännedom. Enligt regeringens mening skall även 27 § personuppgiftslagen vara tillämplig på behandling av personuppgifter enligt de föreslagna lagarna.