Information om
personuppgiftslagens
tillämpning i
Riksbanken
AUGUSTI 2002
1.Inledning
I det följande lämnas information om personuppgiftslagen och dess tillämpning som berör alla
anställda i Riksbanken.
2. Den nya personuppgiftslagen
I oktober 1998 ersattes datalagen av personuppgiftslagen (1998:204) (PuL). Vissa övergångsregler
gällde fram till den 1 oktober 2001. Efter detta datum skall all hantering av personuppgifter i
Riksbanken anpassas till bestämmelserna i PuL. Syftet med lagen är att skydda personer mot att
deras personliga integritet kränks genom behandling av personuppgifter. Den ställer inte något krav
på licenser eller tillstånd från Datainspektionen utan den personuppgiftsansvarige, som i Riksbanken
är direktionen, ansvarar självständigt för att Riksbankens behandlingar av personuppgifter
överensstämmer med lagen. Den personuppgiftsansvarige skall således själv tolka och följa dessa
regler.
3. Definition av personuppgifter
PuL tillämpas på all helt eller delvis automatiserad behandling av personuppgifter. Med
personuppgifter menas all slags information som direkt eller indirekt kan hänföras till en fysisk
person som är i livet. Även bild- och ljuduppgifter omfattas. Likaså krypterade uppgifter och olika
slag av elektroniska identiteter om de indirekt kan hänföras till fysiska personer.
4. Behandling av personuppgifter och kraven för dessa
Med behandling avses t.ex. insamling, registrering, organisering, lagring, bearbetning, inhämtande,
användande, sammanställning och förstöring av uppgifter.
Vid behandling av personuppgifter i Riksbanken skall de grundläggande kraven i lagen följas, såsom
t.ex. att behandlingen måste vara laglig och i enlighet med god sed. Personuppgifterna skall vidare
vara relevanta, riktiga och aktuella. Det är viktigt att det finns särskilda, uttryckligt angivna och
berättigade ändamål för behandlingen. Behandling får inte ske för ändamål som är oförenligt med
det ursprungliga ändamålet.
Behandlingen måste vara tillåten. Det innebär bl.a. att den person som uppgifterna avser antingen
har lämnat sitt samtycke eller att behandlingen är nödvändig på grund av följande skäl.
Behandlingen behövs för att ett avtal med den registrerade skall kunna fullföljas (t.ex.
anställningsavtal), för att Riksbanken skall kunna fullgöra en rättslig skyldighet (t.ex. registrering i
diarium), för att Riksbanken skall kunna utföra en arbetsuppgift i samband med sin
myndighetsutövning (t.ex. insamling av statistik) eller en arbetsuppgift av allmänt intresse.
Behandlingen är också tillåten om det efter en intresseavvägning kan konstateras att behandlingen
är nödvändig för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige
väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten.
Det är endast när behandlingen inte är tillåten på grund av ovannämnda skäl som samtycke behöver
inhämtas
5. Registrering av personnummer
För att registrera personnummer krävs samtycke från den berörde eller att det får anses klart
motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något
annat beaktansvärt skäl.
2
6. Information till den registrerade
Enligt PuL krävs också information till den registrerade, men information om sådant som den
registrerade redan känner till behöver inte lämnas. Information behöver inte heller lämnas om det
finns bestämmelser om registrerandet eller utlämnandet i lag eller annan författning. När uppgifter
samlas in direkt från den registrerade skall information lämnas i samband med insamlingen, t.ex. på
blanketten bör då informeras om ändamålet, vem som är mottagare av uppgifterna och att den
registrerade har rätt till rättelse. När uppgifterna inte samlas in direkt från den registrerade skall
information lämnas när uppgifterna registreras om registreringen inte är författningsreglerad eller
det skulle innebära en oproportionerlig insats.
Information skall också på begäran lämnas till den registrerade. Denna information som skall lämnas
efter ansökan är mycket omfattande och skall innehålla såväl alla de upplysningar som är att anse
som personuppgifter beträffande den registrerade, information om varifrån uppgifterna har hämtats
och ändamålen med behandlingen samt vilka mottagare som uppgifterna har lämnats till.
7. Personuppgiftslagen och Internet
När personuppgifter publiceras öppet på en webbplats på Internet, såsom på Riksbankens hemsida,
blir de tillgängliga över hela världen, även i länder som saknar integritetsskydd för personuppgifter.
Enligt PuL är det bara tillåtet att överföra personuppgifter till länder som har ett tillräckligt skydd för
informationen. Det är dock tillåtet att publicera uppgifter om den registrerade på Internet om denne
har givit sitt samtycke till det. Harmlös information får emellertid publiceras på Internet utan den
registrerades samtycke eftersom sådana uppgifter inte behöver skydd.
8. IT-säkerhet
Personuppgiftslagen kräver att den personuppgiftsansvarige vidtar lämpliga tekniska och
organisatoriska åtgärder för att skydda de personuppgifter som behandlas. I Riksbanken finns
riktlinjer för informationsskydd och Martin Bergling har utsetts som ansvarig för informationsskydd
inom banken.
9. Anställdas personuppgifter i Riksbanken
Anställdas personuppgifter får behandlas av Riksbanken som arbetsgivare om det är nödvändigt för
att anställningsavtalet eller något annat avtal mellan Riksbanken och den anställde skall kunna
uppfyllas. Personuppgifter som behövs för att administrera ett anställningsavtal kan t.ex. vara
personaladministrativa system, in- och utpasseringssystem, flextidsystem, behörighetskontrollsystem
eller företagshälsovård.
Riksbanken får också behandla anställdas personuppgifter om det är nödvändigt för att fullgöra en
rättslig skyldighet. En arbetsgivare är exempelvis genom ett flertal lagar skyldiga att lämna ut
uppgifter om anställda till bl.a. statliga och kommunala myndigheter för att t.ex. redovisa skatter
och erlägga pensionsavgifter.
Dessutom får Riksbanken behandla personuppgifter om den anställde om det är nödvändigt och
intresset av att behandla uppgifterna är större än den anställdes intresse av att uppgifterna inte
behandlas. Känsliga uppgifter om den anställde som t.ex. sjukdom och fackligt medlemskap får dock
endast behandlas av Riksbanken om det krävs för att fullgöra skyldigheter eller utöva rättigheter
inom arbetsrätten.
3
Vad gäller personnummer får Riksbanken registrera sådana för att administrera sina
anställningsförhållanden eller för att fullgöra uppgiftsskyldighet till olika myndigheter, t.ex.
skattemyndigheten.
Beträffande publicering av personuppgifter på Riksbankens hemsida kan exempelvis namn,
befattning, e-postadress och liknande arbetsplatsrelaterade uppgifter publiceras utan den anställdes
samtycke. Däremot skall den anställde tillfrågas innan t.ex. hemadress, hemtelefonnummer och
foton läggs ut på hemsidan.
För personuppgifter hos offentliga arbetsgivare, såsom Riksbanken, gäller den s.k.
offentlighetsprincipen. På grund av offentlighetsprincipen skall personuppgifter i Riksbankens
personregister lämnas ut till allmänheten i samma omfattning som traditionella handlingar. Det
innebär att många uppgifter om Riksbankens anställda kan bli tillgängliga för vem som helst, såvida
det inte finns någon sekretessbestämmelse som skyddar uppgifterna.
10. Riksbankens personuppgiftsombud
Den personuppgiftsansvarige är skyldig att anmäla behandling av personuppgifter till
Datainspektionen. Anmälningsskyldighet gäller dock inte om det finns ett personuppgiftsombud som
för en förteckning över de behandlingar som skall omfattas av anmälningsskyldigheten. För att
undvika denna anmälningsskyldighet samt för att säkerställa att personuppgifter hanteras på ett
korrekt sätt inom banken utsåg Riksbankens direktion den 20 september 2001 två
personuppgiftsombud i Riksbanken, Åsa Sydén, jurist på direktionsavdelningen och Martin Bergling,
ansvarig för informationsskydd på säkerhetsfunktionen på administrativa avdelningen.
Personuppgiftsombuden skall hjälpa direktionen att uppfylla lagens krav och bidra till att skapa
ordning och reda. Exempel på uppgifter för dessa ombud är att föra förteckning över behandlingar
av personuppgifter, samråda med Datainspektionen, påpeka brister för direktionen, hjälpa
registrerade att få rättelse vid felaktiga personuppgifter, se till att det finns administrativa och
tekniska åtgärder för IT-säkerhet, utarbeta rutiner för kontroll och granskning, ge råd och
information till berörd personal samt fortlöpande kontrollera förhållanden avseende behandling av
personuppgifter.
11. Förteckning av Riksbankens IT-register och andra
behandlingar av personuppgifter
Förutom den förteckning av personuppgiftsbehandlingar som PuL föreskriver finns det också en
förteckningsskyldighet för myndigheter i 15 kap. 11 § sekretesslagen (1980:100), vilken innebär att
myndigheten skall föra en förteckning över register eller andra anteckningar som förs med hjälp av
automatiserad databehandling. Datainspektionen har uttalat att det kan vara praktiskt att på något
för organisationen lämpligt sätt samordna dessa förteckningar. Det är också detta helhetsbegrepp
som Riksbanken valt och som innebär att den förteckning som finns i Riksbanken uppfyller kraven
enligt både PuL och sekretesslagen.
12. Inventering av personuppgifter
Personuppgiftsombuden har tillsammans med en utsedd rapporteringsansvarig för varje avdelning
kartlagt alla behandlingar av personuppgifter i Riksbanken samt övriga IT-register. En gemensam
förteckning för hela Riksbanken har upprättats. Förteckningen är uppdelad avdelningsvis. Den
rapporteringsansvarige på varje avdelning har till uppgift att löpande följa avdelningens ITutveckling och anmäla till personuppgiftsombuden när nya IT-register eller andra behandlingar av
personuppgifter tillkommer eller försvinner och om ändamålen för behandlingen ändras. För att
4
underlätta deras arbete är det upp till varje riksbanksanställd att ta den kontakt som behövs med
den rapporteringsansvarige på sin avdelning vid förändringar av de IT-register och andra
behandlingar av personuppgifter som han eller hon ansvarar för.
5
