Sammanfattning

1. Direktiven

2. Utredningsarbetet

3. Gällande rätt

3.1 Vissa grundbegrepp

3.2 Licensanmälan

3.3 Tillstånd m.m.

3.4 Statsmaktsregister

3.5 Tillsyn m.m.

3.6 Sanktioner m.m.

4. Bakgrund till nuvarande tillståndssystem samt olika reformförslag

4.1 Offentlighets- och sekretesslagstiftnings- kommittén (OSK) och datalagens tillkomst

4.2. Datalagstiftningskommittén (DALK)

4.3 1982 års reform

4.4 Data- och offentlighetskommittén (DOK)

4.5 Riksdagsmotioner

4.6 Datainspektionens skrivelse till regeringen

4.7 Remissutfallet

15

17

19 19 20 21 26 26 27

29

29

32 39 42 45 47 49

• Sida 6
•  Original

5.1 5.2 5.3 5.4 5.5 5.5.1 5.5.2 5.5.3 5.6

6.1 6.2 6.2.1 6.2.2 6.2.3 6.3 6.4

7.1 7.2 7.3 7.3.1 7.3.2 7.3.3 7.3.4

Datainspektionens verksamhet Ärendeutveckling Tillståndshantering Verkställighetsföreskrifter m.m. Yttranden över statsmaktsregister Tillsyn

Klagomål Inspektioner

Tillsynsprojekt Finansiering

Den datatekniska utvecklingen m.m. Datoranvändningen i samhället Utvecklingen på det datatekniska området Kommunikation

Databaser

Aktiva kort

Optiska lagringsmedia

ADB—begreppet m.m.

Vissa internationella jämförelser

Europarådskonventionen m.m.

OECD:s rekommendation och riktlinjer m.m.

Norden Danmark Finland Island Norge

53 54 59 61 62

66 67 69 73

77 77 79 80 85 87 88 90

93 93 97 101 101 108 115 118

• Sida 7
•  Original

7.4

7.4.1 7.4.2 7.4.3

8.1 8.2 8.3 8.4

8.5 8.6 8.6.1 8.6.2

8.6.3 8.6.4

8.6.5 8.7 8.8 8.8.1 8.8.2 8.9 8.10 8.11

Utom Norden Frankrike

Nederländerna Storbritannien

Allmänna överväganden

Utgångspunkter för en reform

Begreppet ADB

Personregisterbegreppet

Begreppen personlig integritet och otillbörligt intrång

Tillstånd eller tillsyn?

Ett renodlat tillsynssystem

Datainspektionens bransch— eller sektorsreglering Anmälningspliktens omfattning

Allmänna synpunkter

Personregister för personligt bruk.

Register som omfattas av datainspektionens normering

Övriga register

Huvudpunkter i den framtida tillsynsverksamheten Systemets tillämpning inom området för forskning och statistik

Sambearbetning och utlandsöverföring m.m. Handläggning av statsmaktsregister

Vissa sanktionsfrågor

Datainspektionens roll som dataombudsman Skärpning av sanktionsbestämmelsema Fullföljd mot datainspektionens beslut Organisatoriska konsekvenser för inspektionen

Finansieringen av datainspektionens verksamhet

121 121 124 127

133 133 140 142 145

148 152 152 157 157 159 161

163 164 167

172 178 180 181 183 186 188 193

• Sida 8
•  Original

Bilagor

Summary 199 Särskilt yttrande av experten Gert Persson 205 Bil. ] Direktiven 209

Bil. 2 Undersökning av vissa tillståndsärenden 219

• Sida 9
•  Original

Sammanfattning

Datalagsutredningen har i uppdrag att göra en översyn av datalagen (1973z289) från såväl saklig som lagteknisk synpunkt.

Utredningen redovisar i förevarande delbetänkande vissa principiella utgångs— punkter för en framtida datalag. Avsikten är att redovisningen skall kunna tjäna

som riktlinjer för det fortsatta arbetet i senare etapper.

Datalagens syfte är att hindra att hantering av personregister som förs med ADB (automatisk databehandling) leder till otillbörligt intrång i den personliga

integriteten.

Sedan år 1982 gäller att den som vill inrätta och föra ett personregister skall göra anmälan till datainspektionen för att få licens. En licens ger en registeransvarig rätt att föra flera personregister. F.n. finns det ca 38 500 licenshavare. Några säkra uppgifter om antalet personregister i landet finns inte. Vissa uppskattningar anger dock antalet till 200 000 - 500 000.

Förutom kravet på licens finns i datalagen föreskrifter om att vissa känsliga register också kräver tillstånd av inspektionen. Det gäller bl.a. uppgifter om att någon dömts för brott eller blivit föremål för tvångsomhändertagande. Vidare omfattas bl.a. uppgifter om någons sjukdom eller hälsa eller religiösa eller politiska åsikter. Tillståndsplikten omfattar också register över personer som saknar viss anknytning (medlem, anställd eller kund o.d.) till den som är ansvarig

för registret.

De särskilda risker för integritetsintrång som kan vara förenade med s.k. samköming av personregister, dvs. att sambearbetning sker av flera register eller

att uppgifter överförs från ett register till ett annat, har ansetts motivera att

• Sida 10
•  Original

tillstånd skall gälla, om samköming inte sker med stöd av lag eller förordning

eller de registrerades samtycke.

S.k. statsmaktsregister - personregister om vars inrättande riksdagen eller regeringen har beslutat - är undantagna från tillståndsplikt. Datainspektionen skall dock yttra sig innan inrättandet av ett sådant register beslutas. De flesta av de mera integritetskänsliga registren är statsmaktsregister (exempelvis brottsregister och andra register med anknytning till rättsväsendet, skatteregister och utsöknings-

regi ster) .

Datainspektionen handlägger knappt 2 000 tillståndsärenden varje år, varav drygt 1 200 inom den enskilda sektorn och ca 700 inom den offentliga sektorn. Härtill kommer ansökningar som avser tillstånd att ändra eller utvidga personregister

(600 inom den offentliga sektorn och 100 inom den enskilda).

Tillståndshanteringen svarar för drygt 35 procent av inspektionens resurs—

användning.

Datainspektionen utövar tillsyn genom inspektioner som verkställs antingen genom rent skriftlig handläggning ("skrivbordsinspektion") eller besök hos den registeransvarige. Utgångspunkten för inspektionen kan vara anmälningar och klagomål från allmänheten eller också tar myndigheten själv initiativet till en inspektion. Antalet inspektioner genom besök hos den registeransvarige uppgår

f.n. till enbart drygt 20 per år, varav huvuddelen avser den enskilda sektorn.

Straff och skadeståndsskyldighet finns föreskriven i datalagen för den som exempelvis inrättar eller för personregister utan licens eller tillstånd eller som bryter mot de villkor som inspektionen har beslutat om för ett register. Antalet fall där ansvars- eller skadeståndstalan förs är dock genomgående litet och

inskränker sig till några fall per år.

• Sida 11
•  Original

Som nämnts redovisar utredningen i förevarande betänkande vissa principer efter

vilka en reform av datalagen bör ske.

Syftet med arbetet i denna etapp har varit att försöka effektivisera integritetsskyd- det genom en omprioritering av datainspektionens verksamhet inom ramen för nuvarande resurser och att utforma skyddsreglema så, att de inte knyter an till

någon viss datateknik utan kan tillämpas oberoende av den informations—

teknologiska utvecklingen.

I det senare hänseendet har utredningen funnit att begreppet ADB kan bibehållas, trots den snabba utvecklingen på det datorstödda informationsområdet, och att det f.n. inte finns skäl att utvidga datalagen till att gälla generell personregistrering, dvs. även rent manuell personregisterhantering. Däremot föreslår utredningen att personregisterbegreppet tydligare än i dag kopplas till ändamålet med in-

formationsbehandlingen och inte knyts till vissa tekniska registerbegrepp.

Om ändamålet med insamling eller lagring av personuppgifter, som till någon del kan tas fram eller bearbetas på elektronisk eller på annan automatisk väg, är att få uppgifter tillgängliga som kan hänföras till en enskild person, skall datalagens integritetsskyddsbestämmelser enligt utredningen vara tillämpliga och ett personregister anses föreligga, oavsett om uppgifterna finns lagrade i traditionella

dataregister (filer) eller i databaser eller med någon annan teknik.

Utredningen föreslår också att begreppen personlig integritet och otillbörligt intrång preciseras, så att den avvägning som måste göras mellan intrångets omfattning, å ena sidan, och ändamålet med eller behovet av personregistrering,

å andra sidan, kommer till klarare uttryck i lagtext.

I betänkandet diskuterar utredningen vidare möjligheten att effektivisera integritetsskyddet genom att införa ett renodlat tillsynssystem och ersätta det nu många gånger stereotypa tillstånds— och licensförfarandet med ett flexibelt

anmälningssystem och en utökad tillsynsverksamhet.

• Sida 12
•  Original

De undersökningar som utredningen har låtit göra visar att i vart fall uppemot tre fjärdedelar av alla register är sådana som ofta förekommer och som är enhetliga till sin karaktär. Det gäller bl.a. vanliga administrativa företagsregister, kund— och leverantörsregister samt kommunala register. Redan i dag omfattas en del av dessa register av datainspektionens verkställighetsföreskrifter i form av en s.k. förenklad tillståndshandläggning. Enligt utredningen bör inspektionen ges en möjlighet att detaljnormera skilda områden där vissa slag av register är vanliga. Vidare bör en

kraftsamling av tillsynsresursema i framtiden ske mot de mera känsliga registren.

Huvuddragen i den skisserade ordningen med skärpt tillsyn och en utvidgad

normeringsmöjlighet för datainspektionen kan sammanfattas i följande punkter.

I Det nuvarande tillståndsförfarandet slopas.

' Datainspektionen ges möjlighet att meddela bransch— eller sektorsföre- skrifter som komplettering till de grundläggande bestämmelserna i

datalagen. - Reformen förutsätter i denna del en ändring i grundlagen.

I En anmälningsplikt införs för dels de mer integritetskänsliga register som skall omfattas av datainspektionens normering, dels register som inte är reglerade i förväg genom inspektionens föreskrifter. - Personregister som används för enskilt bruk skall dock inte omfattas av någon anmäl-

ningsplikt.

' Datainspektionens tillsynsverksamhet skall intensifieras och i första hand inriktas på de typer av register som skall anmälas till inspektionen. Myndigheten bör dock ägna viss uppmärksamhet även åt de register som inte behöver anmälas, dvs. den stora massan register, genom exempelvis

stickprovskontroller.

• Sida 13
•  Original

I Inspektionen bör på det bransch- och sektorsreglerade området få visst biträde i tillsynsarbetet av de förvaltningsmyndigheter som redan i dag

har tillsynsuppgifter inom området.

I Datainspektionens roll som ombudsman förstärks. - Inspektionen skall - även interimistiskt, dvs. med omedelbar verkan - kunna förbjuda

förande av vissa register och även påverka åtalsfrågan vid överträdelse

av bestämmelserna.

I Sambearbetning av personregister ("samköming") skall behandlas på samma sätt som inrättande och förande av register i övrigt, dvs. genom en bransch- eller sektorsnormering i form av inspektionens föreskrifter

och genom en anmälningsplikt för vissa register.

I Statsmaktsregister skall handläggas på samma sätt som f.n. - Den skärpta tillsynen skall gälla också för den offentliga sektorns register.

I Licenssystemet slopas, men alla registeransvariga skall även fortsätt- ningsvis betala en årlig avgift för att bl.a. finansiera inspektionens

verksamhet.

Datalagsutredningen fortsätter sitt arbete med att i kommande två etapper dels behandla vissa frågor rörande bl.a. datoranvändningen på forsknings-, statistik-

och massmedieområdet, dels utarbeta ett fullständigt förslag till ny datalag.

• Sida 14
•  Original

• Sida 15
•  Original

1. Direktiven

Regeringen beslöt den 25 maj 1989 på hemställan av chefen för justitie- departementet, statsrådet Freivalds, att tillkalla en särskild utredare med uppdrag

att göra en översyn av datalagen.

Som sitt av regeringen antagna förslag angav justitieministem enligt direktiven (Dir 1989:26) följande.

"En särskild utredare tillkallas för att göra en översyn av datalagen (1973:289, omtryckt 1982z446) från såväl saklig som lagteknisk synpunkt. Med tanke på de frågor som en sådan översyn kan väntas omfatta anser jag att parlamentarisk medverkan också behövs men att denna bör komma i ett senare skede. Den särskilde utredaren bör identifiera vilka reformbehov som finns och ange hur dessa kan tänkas bli tillgodosedda. Detta inledande arbete bör kunna resultera i ett underlag för närmare riktlinjer från regeringens sida för det fortsatta arbetet under parlamentarisk medverkan.

Den särskilde utredaren bör ha stor frihet att bedöma vilka frågor som behöver övervägas inom ramen för översynen av datalagen. Syftet med översynen bör vara att med bibehållet gott skydd mot otillbörliga intrång i den personliga integriteten skapa enkla och lättfattliga regler. Dessa bör om möjligt utformas så att de inte anknyter till någon viss datorteknik utan kan tillämpas också på förväntade användningar av datorstödda informationssystem.

Datalagens grundbegrepp t.ex. personregister, registeransvarig och automatisk databehandling behöver övervägas och kanske förtydligas och moderniseras.

En viktig fråga bör vara att överväga om den partiella övergången från ett system med tillståndskrav till ett licenssystem som skedde år 1982 bör fullföljas för att i stället genom tillsynsåtgärder effektivisera integritetsskyddet. I det sammanhanget bör undersökas möjligheten att mera gå över till generella regler för olika typer av personregister. Ett annat spörsmål som bör övervägas är i vilken utsträckning det finns möjlighet att bygga på självreglering inom olika verksamhetsområden där datorstödda informationssystem används. Sanktionssystemet behöver också ses över liksom förhållandet till angränsande lagstiftning på integritetsområdet. Bl.a. datoranvändning på forsknings- och statistik- området samt inom massmedieområdet kan ge upphov till särskilda överväganden.

Internationella förhållanden bör uppmärksammas."

Direktiven i sin helhet framgår av bilaga 1.

• Sida 16
•  Original

• Sida 17
•  Original

3. Gällande rätt

3.1. Vissa grundbegrepp

Datalagen (1973z289) inleds med definitioner av vissa av de begrepp som lagen innehåller. I 1 & förklaras således vad som menas med personuppgift, person—

register, registrerad och registeransvarig.

Med begreppet personuppgift avses upplysning som avser enskild person. Sådana personuppgifter kan vara av många olika slag. Upplysningar som avser en persons namn, personnummer, födelsedatum, nationalitet, utbildning och familje- och anställningsförhållanden är självklart att anse som sådana personuppgifter. Även upplysningar som är av mindre personlig natur kan emellertid anses utgöra personuppgift. Hit bör enligt lagmotiven höra exempelvis upplysningar om en persons bostadsförhållanden, banktillgodohavanden, fastighets- eller bilinnehav

samt upplysningar som i övrigt rör en persons ekonomiska ställning.

Med begreppet personregister förstås enligt lagen register, förteckning eller andra anteckningar som förs med hjälp av automatisk databehandling (ADB) och som

innehåller personuppgift som kan hänföras till den som avses med uppgiften.

Avgörande för frågan om datalagen överhuvudtaget är tillämplig på ett register är således huruvida registret förs med ADB eller inte. Register som förs med

hjälp av annan teknik än ADB faller i dag utanför datalagens tillämpningsområde.

En personuppgift kan hänföras till en viss person antingen direkt genom själva personuppgiften eller med hjälp av särskild identitetsuppgift som också ingår i registret. En identitetsuppgift behöver dock inte vara entydig och unik eller sådan att den är mera allmänt bekant. Även register som inte innehåller andra identitetsuppgifter än sådana som gör det möjligt enbart för den invigde att förstå

• Sida 20
•  Original

Om en person kan identifieras genom anställningsnummer, medlemsnummer, kundnummer eller liknande är registret att anse som ett personregister. Detsamma gäller statistiska uppgifter där beteckningar och dylikt som också återfinns på dokument gör det möjligt att återknyta uppgifterna till en viss person.

Datalagen är begränsad till att skydda enskilda personer mot otillbörligt intrång i deras personliga integritet. Med begreppet registrerad avses därför en enskild

person beträffande vilken det förekommer en personuppgift i ett personregister.

För varje register skall finnas en registeransvarig. Därmed förstås den för vars verksamhet personregistret förs, om han förfogar över registret. Såväl fysiska som juridiska personer och myndigheter kan vara registeransvariga. Med att förfoga över ett register avses närmast en befogenhet att överföra registrets innehåll till läsbar form. En registeransvarig måste också kunna påverka innehållet i registret genom att tillföra eller ändra de uppgifter som ingår i registret för att anses

förfoga över det.

3.2 Licensanmälan

Personregister får inrättas och föras endast av den som efter anmälan har fått licens av datainspektionen (2 & första stycket). En sådan licens berättigar den

registeransvarige att föra ett eller flera personregister.

Licens behövs inte för personregister som en enskild för, om registret används

uteslutande för personligt bruk.

Anmälan om att personregister skall inrättas och föras görs skriftligen hos datainspektionen. I anmälan skall anges den registeransvariges namn, bostads-

adress och person- eller organisationsnummer samt namnet på en kontaktperson (2 & dataförordningen, 1982z480).

• Sida 21
•  Original

Datainspektionen granskar inte anmälan i sak utan ger endast den register- ansvarige ett bevis (licens) om att anmälan har gjorts samt ett licensnummer

(10 & dataförordningen).

Den som erhållit licens skall enligt 1 och 3 55 förordningen (1982:481) om avgifter för datainspektionens verksamhet betala en årlig avgift till inspektionen. Avgiften är f.n. 448 kr. Om det finns särskilda skäl, får avgiften sättas ned eller efterskänkas. Ideella föreningar med färre än 200 medlemmar medges regel-

mässigt avgiftsbefrielse.

Datainspektionen skall med hjälp av ADB föra ett register över licensanmälningar (licensregistret, 3 & dataförordningen). Från verksamhetsåret 1989/90 för datainspektionen detta licensregister (LIRE) med hjälp av egen dator.

Datainspektionen får använda licensregistret för sin tillsyns- och informations- verksamhet samt som underlag för upphörd av licensavgifter (4 & dataförord-

ningen).

3.3 Tillstånd m.m.

För vissa register, som bedöms innebära särskilda risker för otillbörligt intrång i enskilds personliga integritet, krävs utöver licens även ett särskilt tillstånd från

datainspektionen (2 5 andra stycket jfrt. med 4 5 och 6 & andra stycket).

Tillstånd behövs i regel för att inrätta och föra ett personregister som innehåller 1) känsliga personuppgifter,

2) omdömen om den registrerade,

3) uppgifter om personer som saknar sådan anknytning till den registeransvarige som följer av medlemskap, anställning, kundförhållande eller något därmed jämförligt förhållande samt

4) personuppgifter som inhämtats från något annat personregister (s.k. sam-

körning).

• Sida 22
•  Original

Känsliga uppgifter är t.ex. uppgift om att någon misstänks eller dömts för brott, uppgift om någons politiska uppfattning eller religiösa tro eller om sjukdom, hälsotillstånd eller sexualliv eller uppgift om att någon fått ekonomisk hjälp eller vård inom socialtjänsten (4 5).

Sammanslutningar behöver inte tillstånd för att inrätta och föra register som innehåller sådana uppgifter om medlemmarnas politiska uppfattning, religiösa tro eller övertygelse i övrigt som utgör grunden för medlemskap i sammanslutningen (2a & tredje stycket första punkten).

Hälso- och sjukvårdsmyndigheter får vidare utan tillstånd för vård— eller behandlingsändamål inrätta och föra personregister som innehåller uppgifter om någons sjukdom och hälsotillstånd (2a & tredje stycket andra punkten). Detsamma gäller myndigheter inom socialtjänsten i fråga om dem som fått ekonomisk hjälp eller vård (2a & tredje stycket tredje punkten).

Läkare och tandläkare får även utan tillstånd inrätta och föra register som innehåller sådana uppgifter om någons sjukdom eller hälsotillstånd i övrigt som de har erfarit i sin yrkesverksamhet (2a & tredje stycket fjärde punkten).

Tillstånd behövs inte heller för att samköra register om samkömingen sker med stöd av föreskrifter eller datainspektionens beslut eller med den registrerades

samtycke (2 5 andra stycket fjärde punkten).

Vidare behövs inte tillstånd av datainspektionen för sådana personregister vilka

inrättats genom riksdagens eller regeringens beslut (2a & första stycket). Se avsnitt

3.4 om statsmaktsregister.

Tillstånd behövs inte heller för sådana personregister som har tagits emot för

förvaring av en arkivmyndighet (2a & andra stycket).

• Sida 23
•  Original

Personregister som enskild person använder uteslutande för personligt bruk är också undantagna från tillståndsplikt (2 & tredje stycket).

En grundläggande förutsättning för att datainspektionen skall kunna ge tillstånd att inrätta och föra personregister är att det inte finns anledning att anta att registreringen medför otillbörligt intrång i de registrerades personliga integritet. Vid prövningen skall datainspektionen särskilt beakta arten och mängden av de personuppgifter som skall ingå i registret, hur och från vem som uppgifterna skall inhämtas samt vilken inställning de som kan komma att registreras har eller kan antas ha till saken. Det måste dessutom särskilt beaktas att inte andra uppgifter eller andra personer registreras än de som står i överensstämmelse med ändamålet

med registret (3 $).

Tillstånd att inrätta och föra personregister som omfattar andra än medlemmar, anställda eller kunder hos den registeransvarige eller personer som har annan därmed jämställd anknytning till denne får meddelas endast om särskilda skäl finns (3a 5).

För att andra än myndigheter som enligt lag eller annan författning har att föra förteckning över sådana uppgifter skall kunna beviljas tillstånd att inrätta och föra personregister som gäller vissa känsliga uppgifter (exempelvis uppgifter om att någon misstänks eller dömts för brott eller har varit föremål för vissa tvångs-

ingripanden) måste synnerliga skäl föreligga (4 5 första stycket).

Tillstånd att inrätta och föra personregister som i övrigt innehåller uppgifter om någons sjukdom, hälsotillstånd eller sexualliv eller uppgift om att någon fått ekonomisk hjälp eller vård inom socialtjänsten eller varit föremål för åtgärd enligt utlänningslagen får endast om särskilda skäl föreligger meddelas annan än myndighet som enligt lag eller annan författning har att föra förteckning över sådana uppgifter. Särskilda skäl krävs också för registrering av uppgifter om någons ras eller politiska uppfattning eller religiösa övertygelse (4 5 andra och tredje styckena).

• Sida 24
•  Original

Enligt lagens förarbeten kan det förhållandet att ett personregister skall användas för statistiska bearbetningar eller vetenskapliga undersökningar i sig utgöra "särskilda" eller "synnerliga skäl" under förutsättning att enskilda personers identitet inte offentliggörs. Enligt fast praxis avstår datainspektionen från att pröva om registret behövs för det uppgivna forskningsändamålet men intar den principiella ståndpunkten att forskningsregister skall grunda sig på s.k. informerat samtycke. Med informerat samtycke avses att den som skall registreras får information om registret och registreringen och därefter frivilligt lämnar de

uppgifter som begärs eller medger att dessa inhämtas från någon annan källa.

När tillstånd att inrätta och föra personregister lämnas, skall datainspektionen samtidigt meddela beslut om ändamålet med registret (5 €). Datainspektionen kan vid behov också meddela andra villkor, t.ex. om vilka uppgifter som får registreras och om utlämnande av uppgifter (6 5). Föreligger särskilda skäl, får tillståndet begränsas till viss tid (5 €).

Personregister skall inrättas och föras så att inte otillbörligt intrång i registrerads personliga integritet uppkommer. I 7 & anges närmare vad som skall iakttas för att nå upp till vad som brukar kallas "god registersed". Den registeransvarige är också skyldig att förteckna de personregister han är ansvarig för (7a å). Förteckningen skall vara aktuell och hållas tillgänglig för datainspektionen. Dessa krav gäller alla personregister oberoende av om tillstånd behövs för dem eller om

det räcker med licensanmälan.

I datalagen finns också särskilda bestämmelser om ADB—användningen som är avsedda att garantera att personuppgifter är riktiga och fullständiga. Dessa bestämmelser, som återfinns i 8 och 9 55, behandlar bl.a. rättelse av oriktiga och

missvisande uppgifter.

En central bestämmelse är vidare datalagens 10 5. Den ger den enskilde en rätt till insyn i personregister. Där stadgas att den registeransvarige på skriftlig

begäran av den enskilde skall underrätta denne om innehållet i registret, såvitt det

• Sida 25
•  Original

gäller honom eller henne. Ett sådant utdrag, s.k. 10 å-utdrag, har den enskilde rätt att kostnadsfritt få en gång per år.

Innan den registeransvarige lämnar ut personuppgifter ur ett personregister till annan, åligger det den registeransvarige enligt 11 & datalagen eller 7 kap 16 & sekretesslagen (1980:100) om den registeransvarige är en myndighet, att under- söka, om det finns anledning anta att uppgifterna skall användas för automatisk databehandling i strid med datalagen. I så fall får ett utlämnande inte ske. Som exempel kan nämnas utlämnande till någon som saknar licens eller i före- kommande fall tillstånd. Finns det anledning anta att personuppgift skall användas för ADB i utlandet, får uppgiften lämnas ut endast efter medgivande av datainspektionen. Sådant medgivande får lämnas endast, om det kan antas att utlämnandet av uppgiften inte kommer att medföra otillbörligt intrång i personlig integritet. Något medgivande behövs dock inte, om personuppgift skall användas för ADB enbart i en stat som har anslutit sig till Europarådets konvention om

skydd för enskilda vid ADB av personuppgifter (se avsnitt 7.1).

I datalagen finns allmänna bestämmelser om gallring av personuppgifter och om

vad som skall iakttas då ett personregister upphör att föras (12 5).

En särskild bestämmelse om dokumentationsskyldighet avser att göra det möjligt att i efterhand fastställa vilka uppgifter i en ADB-upptagning som har legat till grund för avgörandet av ett mål eller ärende hos en myndighet. Sådan ADB- upptagning skall tillföras handlingarna i målet eller ärendet i läsbar form. Undantag gäller endast, om det finns särskilda skäl till det. Denna skyldighet gäller ADB-upptagningar över huvud taget, alltså inte enbart personregister

(14 5).

Vissa bestämmelser om tystnadsplikt finns också (13 5).

• Sida 26
•  Original

3.4. Statsmaktsregister

Personregister om vars inrättande riksdagen eller regeringen beslutar är, som nämnts, enligt 2a & undantagna från kravet på tillstånd.

Om ett sådant s.k. statsmaktsregister innehåller uppgifter som i annat fall skulle ha medfört tillståndsplikt, skall dock yttrande inhämtas från datainspektionen

innan beslut om att inrätta registret fattas (2a & första stycket andra meningen).

När datainspektionen avger ett sådant yttrande skall en bedömning av registret ske enligt samma grunder som vid prövning av ett tillståndsärende (11 & data-

förordningen).

Datainspektionen kan även meddela beslut om villkor för dessa register, i den män inte regeringen eller riksdagen har meddelat något villkor i samma hänseende (6a och 18 åå datalagen).

Datalagens bestämmelser om den registeransvariges skyldigheter, om tillsyn samt om straff och skadestånd gäller även för statsmaktsregistren. Datainspektionen kan dock beträffande sådana register inte förbjuda fortsatt förande eller återkalla något tillstånd (18 5 andra stycket). Se vidare avsnitt 5.4.

3.5 Tillsyn m.m.

Datainspektionen utövar tillsyn över att automatisk databehandling inte medför

otillbörligt intrång i registrerads personliga integritet (15 - 18 55).

I denna tillsyn innefattas rätt att få tillträde till de lokaler som har samband med ADB-verksamheten, att få tillgång till den dokumentation som rör databehand-

lingen och att föranstalta om egna körningar av personregister (16 5).

• Sida 27
•  Original

Det åligger vidare den registeransvarige att lämna datainspektionen de uppgifter som inspektionen begär för sin tillsyn (17 5).

Datainspektionen kan vitesförelägga den registeransvarige om denne inte fullgör

sina skyldigheter i samband med tillsynen (24 5).

Datainspektionens beslut får överklagas hos regeringen genom besvär. Justitie-

kanslern får föra talan för att ta tillvara allmänna intressen (25 5).

3.6 Sanktioner m.m.

Har förande av personregister medfört eller kan antas medföra otillbörligt intrång i personlig integritet kan datainspektionen meddela villkor eller, om rättelse inte på annat sätt kan åstadkommas, förbjuda fortsatt förande av personregister eller återkalla meddelat tillstånd (18 5).

Den som uppsåtligen eller av oaktsamhet inrättar eller för personregister utan licens eller tillstånd, bryter mot datainspektionens beslut om villkor eller förbud, obehörigen lämnar ut personuppgift, inte gallrar registret, inte lämnar riktigt registerutdrag enligt 10 5 eller lämnar datainspektionen osanna uppgifter i samband med tillsyn kan dömas till böter eller till fängelse i högst ett år (20 & första stycket).

Vidare kan den dömas till böter som uppsåtligen eller av oaktsamhet inte för registerförteckning eller inte har angivit avsändaren på försändelse som innehåller

personuppgift till den registrerade (20 5 andra stycket).

Ett personregister kan förklaras förverkat, om det inrättats eller förts utan nödvändig licens eller tillstånd (22 å).

• Sida 28
•  Original

Den som olovligen ber eder sig tillgång till upptagning för ADB eller olovligen ändrar eller utplånar elleri register för in sådan upptagning kan dömas för dataintrång till böter eller fängelse i högst två år. Brottet är straffbart även på

försöks- och förberedelSCStädiet, om det inte är ringa (21 5).

Om en registrerad tillfogas :kada genom att personregister innehåller oriktig eller missvisande uppgift orn honom, skall den registeransvarige ersätta skadan. Om någon tillfogas skada genom brott enligt datalagen, skall den som har gjort sig skyldig till brottet ersätta Skadan. Härvid skall hänsyn tas även till lidande och

andra omständigheter av annan än rent ekonomisk betydelse (23 å).

Datalagen innehåller även i några avslutande paragrafer (26 — 28 åå) bestämmelser

om det statliga personv' OCh adressregistret (SPAR).

Kompletterande bestänlmeher om bl.a. tillståndsansökan, handläggningen hos datainspektionen, verl—Ställighetsföreskrifter och bistånd till personer som är registrerade utomlands finns i dataförordningen (1982z480). Jfr. avsnitt 5.2 - 5.3.

• Sida 29
•  Original

4. Bakgrund till nuvarande tillståndssystem samt olika reformför-

slag

4.1 Offentlighets- och sekretesslagstiftningskommilttén (OSK) och data-

lagens tillkomst

I statliga utredningssammanhang behandlades frågan —om tillståndstvång för automatisk databehandling (ADB) av personuppgifter första gången av ojfent-

lighets- och sekretesslagstiftningskommittén (OSK).

I delbetänkandet (SOU 1972:47) Data och integritet redotvisade OSK ett förslag till datalag. Förslaget innebar att det infördes ett tillStåndstvång för upprättande av personregister med ADB. Tillståndstvånget skulle i princip omfatta alla personregister, både på den offentliga och på den enskilda sidan. Personregistren skulle också vara föremål för en fortlöpande tillsyn- Vissa typer av enklare register, som regelmässigt kunde antas inte medföra otillbörligt integritetsintrång, skulle enligt förslaget kunna undantas från tillståndistvånget och i stället underkastas anmälningsskyldighet. OSK föreslog att detta undantag skulle gälla för medlemsregister, personalregister, hyresgästregister, försäkringsbolagsregister över sina försäkringstagare samt reskontra och andra klindförteckningar. Även andra typer av register av liknande slag borde kunna undantas från tillstånds- tvånget.

Det var dock enligt OSK:s mening nödvändigt med vissa begränsningar i fråga om registerinnehåll och uppgifternas användning för att registret skulle få föras efter endast anmälan. Så borde t.ex. register som innehöll perSonnummer och inte var register över anställda alltid vara tillståndspliktiga. Även andra villkor än som rörde personnummer borde enligt OSK:s mening vara uppfyllda för att ett personregister skulle kunna befrias från tillståndstvångel- Sålunda borde i registret

få införas endast sådana personuppgifter som lämnats alltlll gen av den registrerade

• Sida 30
•  Original

själv för det ändamål för vilket registret fördes eller av myndighet i enlighet med författning eller som uppkommit inom registerförarens verksamhet eller som avsåg ändring av adress. Ytterligare förutsättningar för befrielse från till- ståndstvånget var enligt OSK:s uppfattning dels att uppgifterna i registret inte användes för annat ändamål än det för vilket registret fördes, dels att det på lämpligt sätt bekantgjorts för de registrerade att registret fördes och vilka slag av personuppgifter som ingick i det.

OSK föreslog att undantaget från tillståndstvånget kontruerades så, att regeringen inom den ram som angavs i lagen fick bestämma vilka typer av register som skulle falla under undantaget. Kommittén ansåg vidare att när erfarenheter av tillämpningen hade vunnits denna befogenhet torde kunna delegeras till datainspek-

tionen.

OSK föreslog även att datainspektionen skulle kunna lämna bindande förhands- besked i frågan huruvida ett tilltänkt dataregister var tillståndspliktigt eller underkastat anmälningsskyldighet.

I den proposition (l973:33) som följde på OSK:s betänkande anförde departementschefen i denna del bl.a. följande (5. 99 ff).

För min del anser jag det givetvis vara av stor vikt att man inte har en större administrativ apparat än nödvändigt när det gäller kontrollen av datahanteringen. Som jag har anfört i ett tidigare avsnitt är många ADB-register av stor nytta från samhällsekonomisk synpunkt, och det är angeläget att man inte försvårar deras inrättande genom ett onödigt omständligt förfarande hos datainspektionen. Det är också uppenbart att många register är sådana att det utan någon omfattande prövning står klart att de inte innebär någon fara för otillbörligt integritetsintrång.

OSK:s förslag om undantag från tillståndstvånget får ses som ett försök att förenkla det administrativa förfarandet. Frågan är emellertid om förslaget tillgodoser detta syfte. Sålunda skall enligt förslaget en lång rad villkor vara uppfyllda för att ett register skall kunna få dispens från kravet på tillstånd. Beträffande ett av dessa villkor, nämligen kravet att ett register inte innehåller uppgift om födelsedatum, kan utan vidare sägas att det i mycket stor utsträckning begränsar de praktiska möjligheterna att använda anmälningsförfarandet. Att å andra sidan slopa detta villkor kan enligt min mening knappast komma i fråga

• Sida 31
•  Original

med hänsyn till födelsedatumets betydelse när det gäller att möjliggöra samkör- ningar mellan olika register.

Även om ett personregister inte innehåller uppgift om födelsedatum, kvarstår emellertid en mängd andra ganska svåröverskådliga villkor som måste vara uppfyllda för att registret skall kunna undantas från tillståndstvånget. För den som avser att inrätta ett register måste det ofta bli svårt att på förhand avgöra om samtliga dessa villkor är uppfyllda. Med hänsyn härtill kan det förutses att möjligheten att begära förhandsbesked av datainspektionen kommer att utnyttjas i stor omfattning. Den som vill inrätta ett register blir emellertid i sådant fall nöd- sakad att ge in en utredning som i de flesta fall torde bli nära nog lika omfattande som den som krävs för att datainspektionen skall kunna bedöma en tillstånds- ansökan. Om en registerförare å andra sidan avstår från att begära förhandsbesked och i stället endast gör anmälan, kan det tänkas att datainspektionen finner registret vara sådant att det kräver tillstånd och uppmanar registerföraren att ansöka härom. Registerföraren har då gjort en tidsförlust, jämfört med om han redan från början hade ansökt om tillstånd.

Med hänsyn till vad jag nu har anfört anser jag liksom JO att det är mest rationellt att slopa anmälningsinstitutet och i stället låta formligt tillståndstvång gälla beträffande alla typer av register. Den som vill driva ett personregister slipper då fundera över om registret kräver tillstånd eller ej, samtidigt som datainspektionens handläggningsrutiner blir enhetligare genom att man får endast en enda typ av ärenden.

Även om man på detta sätt förenklar förfarandet genom att ha en enda ordning för kontrollen av personregistren, kvarstår kravet på att ett register inte skall behandlas på ett mer omständligt och tidskrävande sätt än som är nödvändigt. Detta krav bör enligt min mening tillgodoses på det sättet att datainspektionens tillståndsprövning blir mera summarisk beträffande vissa typer av register. På denna punkt kan man utnyttja OSK:s förslag om dispens från tillståndskravet och sålunda införa en ordning som innebär att de register som omfattades av den föreslagna dispensmöjligheten i stället skall bli föremål för en förenklad tillstånds- prövning. Bl.a. bör frågan om tillstånd normalt avgöras av en enda tjänsteman. I detta hänseende kan föreskrifter ges i datainspektionens instruktion.

På grund av det sagda anser jag att i datalagen inte bör tas in några be- stämmelser om att vissa personregister skall vara beroende av endast anmälan.

Datalagens tillkomst år 1973 innebar bl.a. att personregister som fördes med hjälp av ADB inte fick inräth eller föras utan tillstånd av datainspektionen, såvida de inte hade inrättats genom beslut av riksdagen eller regeringen. I lagen infördes också bestämmelser om särskilda villkor för tillstånd att föra vissa slag av speciellt känsliga register, skyldigheter för de registeransvariga i fråga om användningen av personregister och datainspektionens befogenheter som

tillsynsmyndighet.

• Sida 32
•  Original

32 4.2 Datalagstiftningskommittén (DALK)

År 1976 tillsattes en kommitté, datalagstiftningskommittén (DALK), med uppgift att behandla frågor om skyddet för den personliga integriteten vid person— registrering med hjälp av ADB. Kommittén skulle även utreda vissa frågor om offentlighetsprincipens tillämpning på ADB-lagrad information samt utnyttjandet

av datorer inom administration och näringsliv som en internationell företeelse.

DALK presenterade år 1978 resultatet av sin översyn av datalagen i betänkandet (SOU 1978:54) Personregister - Datorer - Integritet. DALK föreslog en modifiering av tillståndskravet, så att ett anmälningsförfarande i vissa fall kunde ersätta kravet på formellt tillstånd. Vad som avsågs var i första hand abonnent- register, faktureringsregister, kundregister, hyresregister och medlemsregister. Även om registren undantogs från tillståndskrav, skulle de stå under datainspek-

tionens tillsyn.

Som en följd av DALK:s förslag genomfördes vissa ändringar i datalagen. Dessa ändringar innebar dock inte någon mera genomgripande förändring av de grundläggande principerna för tillståndsförfarandet eller införande av ett anmälningssystem. Personregister som fördes med viss bestämd teknisk utrustning (t.ex. kontorsdatorer och s.k. hemdatorer eller privatdatorer) undantogs dock genom reformen från kravet på tillstånd. Som förutsättning uppställdes att det med hänsyn till Utrustningens art, utförandet av den automatiska databehand- lingen och registrets utformning i övrigt framstod som uppenbart att otillbörligt intrång i registrerads personliga integritet inte skulle uppkomma. Ändringarna trädde i kraft den 1 juli 1979 (prop. 1978/79:109, KU 37, rskr. 360, SFS 1979:334).

I februari 1980 avlämnade DALK också promemorian (Ds Ju 1979:19) För— fattningsreglering av SPAR m.m. Förslagen i promemorian ledde till att de

grundläggande reglerna om det statliga person- och adressregistret (SPAR) togs

• Sida 33
•  Original

in i datalagen. Dessa regler kompletterades med en särskild registerförordning om SPAR (prop. 1980/81:62, KU 11, rskr. 87, SFS 1980:1074).

Senare år 1980 presenterade DALK ett förslag till lag om enskilds rätt att ta del av upptagning för automatisk databehandling m.m. (SOU 1980:31). Förslaget ledde till prop. 1981/82:37 om offentlighetsprincipen och ADB. I propositionen föreslogs en rad olika åtgärder för att förstärka offentlighetsprincipen. DALK:s förslag hade dock omarbetats väsentligt och någon motsvarighet till DALK:s lagförslag lades inte fram. I stället föreslogs nya bestämmelser i sekretesslagen om allmänhetens tillgång till myndigheternas upptagningar för ADB. Pro— positionens lagförslag antogs av riksdagen våren 1982 (KU 1981/82:21, rskr. 163, SFS 1982:183).

I mars 1980 fick DALK genom tilläggsdirektiv i uppdrag att utreda om en generell personregister]agstiftning, som inte i första hand var inriktad på registreringstekniken, borde ersätta datalagen på längre sikt. Mycket snart därefter visade det sig emellertid att det fanns behov av att vidta vissa åtgärder för att reformera datainspektionens verksamhet på kort sikt. Genom tilläggsdirektiv i december 1980 fick DALK därför i uppdrag att med förtur undersöka möjlig- heterna att vidta sådana åtgärder.

DALK avlämnade i augusti 1981 promemorian (Ds Ju 1981215-16) Tillstånd och tillsyn enligt datalagen. I promemorian lade DALK fram förslag till åtgärder för att rationalisera datainspektionens verksamhet på kort sikt. DALK tog vidare upp vissa särskilda frågor som hade väckts av datainspektionen i en skrivelse till regeringen den 20 november 1980. Slutligen behandlade DALK frågor som rörde två internationella överenskommelser om dataskyddsfrågor: Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgif- ter och OECD:s riktlinjer i fråga om integritetsskyddet och persondataflödet över

gränserna (se beträffande dessa överenskommelser avsnitt 7.1 - 7.2).

• Sida 34
•  Original

När det gällde datainspektionens verksamhet konstaterade DALK i promemorian att utvecklingen hade blivit en annan än man räknade med vid datalagens tillkomst. Det hade visat sig att antalet tillståndsärenden hade blivit betydligt större än man då trodde och att inspektionens verksamhet hade måst koncentreras

på tillståndsverksamheten på bekostnad av tillsynsverksamheten.

DALK antog att antalet ärenden sannolikt skulle komma att öka de närmaste åren och menade att tillståndskravet innebar att betydande arbete måste läggas ned på personregister som var relativt ofarliga från integritetsskyddssynpunkt. Enligt DALK var detta orsaken till att tillsynsverksamheten inte hade kunnat bedrivas i

den omfattning som avsetts.

DALK ansåg att det var angeläget att datainspektionens verksamhet försköts i riktning mot ökad tillsynsverksamhet. Det var också önskvärt att man förenklade förfarandet för de registeransvariga. Med hänvisning till framförallt dessa skäl ansåg DALK att man snarast borde vidta åtgärder för att rationalisera in—

spektionens verksamhet.

DALK diskuterade i sin promemoria först tre olika uppslag för att komma till rätta med problemen i inspektionens verksamhet utan att ändra det grundläggande

regelsystemet.

Uppslagen var dels ett nollaltemativ som innebar att datainspektionen med oförändrade personalresurser gjorde den ytterligare rationalisering av tillstånds— förfarandet som var möjlig utan lagändringar, dels ett alternativ innebärande betydande personalökningar hos datainspektionen samt dels ett alternativ som innebar att man med oförändrade personalresurser behöll tillståndskravet som huvudregel men i lag angav nya grupper av personregister som undantogs från tillståndskravet och i stället gjorde dessa till föremål för någon form av anmälningsskyldighet.

• Sida 35
•  Original

Enligt DALK skulle det första och det tredje alternativet komma att medföra betydande negativa effekter för datainspektionen, de registeransvariga och de registrerade. Båda alternativen skulle innebära att endast begränsade resurser kunde föras över från tillståndsverksamhet till tillsynsverksamhet och att tillståndsprövningen av känsliga register förblev otillräcklig. Ansökningsför- farandet blev i stort sett oförändrat och handläggningstidema kunde förväntas bli

oacceptabelt långa.

Det tredje alternativet innebar enligt DALK dessutom att datalagen skulle behöva belastas med omfattande undantagsbestämmelser och därmed bli svårare att tolka

och överblicka.

Det andra alternativet kunde enligt DALK i och för sig antas leda till en rimlig avvägning mellan tillstånds— och tillsynsverksamheten men innebar betydande kostnadsökningar samtidigt som det medförde att man behöll en tillståndsverk- samhet som var stelbent och orationell. Dessutom skulle detta alternativ komma att innebära att datalagens ekonomiska och administrativa konsekvenser inte alls

kunde begränsas.

Sammanfattningsvis ansåg DALK att inget av de tre skisserade uppslagen var godtagbart utan förordade i stället ett fjärde förslag. Detta förslag byggde på att tillståndsplikten begränsades till särskilt integritetsfarliga register och att det för övriga register skulle räcka med en anmälan från den registeransvarige om att

denna förde personregister.

En minoritet inom DALK reserverade sig mot detta förslag till åtgärder och föreslog att datainspektionen skulle ges de resurser som behövdes för att inspektionen utan lagändringar skulle kunna fullgöra sina uppgifter i avvaktan på

en generell personregisterlag.

En registeransvarig skulle enligt majoritetens förslag vara skyldig att registrera

sig hos datainspektionen och erhålla en licens, innan han första gången inrättade

• Sida 36
•  Original

ett personregister. En sådan licens skulle berättiga den registeransvarige att föra

ett eller flera personregister som inte omfattas av tillståndsplikt.

En anmälan för licens skulle vara av enkel beskaffenhet och inte bli föremål för någon materiell prövning hos inspektionen. Datainspektionen skulle samtidigt som anmälan registrerades tilldela den registeransvarige ett licensnummer. Detta nummer skulle enligt förslaget alltid anges på meddelanden, registerbesked och andra s.k. utdata som sänds till en registrerad. Därigenom kom enligt kommittén kontakterna mellan de registrerade, de registeransvariga och datainspektionen att underlättas. De registrerade skulle på detta sätt kunna kontrollera att avsändaren

av sådana handlingar hade licens och stod under inspektionens tillsyn.

DALK föreslog vidare att alla registeransvariga skulle vara skyldiga att till datainspektionen ge in en förteckning över de personregister som de förde och

som inte krävde särskilt tillstånd.

Syftet med en sådan förteckningsskyldighet var framför allt att skapa förut- sättningar för att man även i fortsättningen skulle kunna ha överblick över personregistreringens omfattning. Dessutom skulle förteckningsskyldigheten göra det möjligt att följa utvecklingen inför överväganden om en generell person- registerlagstiftning. En sådan förteckningsskyldighet antogs också underlätta planeringen av inspektionens tillsyn och handläggningen av förfrågningar och

klagomål från allmänheten.

En förteckning skulle enligt förslaget innehålla uppgift om benämningen på förekommande personregister, ändamålet med registren, bearbetningsställe samt datainspektionens licensnummer för den registeransvarige. Förteckningen behövde inte innehålla uppgift om sådana personregister som krävde särskilt tillstånd, eftersom dessa ändå skulle komma till datainspektionens kännedom. Inte heller behövde förteckningen omfatta sådana personregister för vilka tillstånd hade meddelats enligt dittills gällande regler.

• Sida 37
•  Original

Enligt förslaget skulle de registeransvariga vara skyldiga att en gång om året ge in en ny förteckning till datainspektionen, om de tidigare uppgifterna hade

ändrats.

DALK övervägde också i vad mån man borde göra undantag från anmälnings- skyldighet och föreslog mot bakgrund av bl.a. vissa uttalanden i tilläggsdirektiven angående den generella personregisterlagstiftningen, att enskilda som för personregister uteslutande för personligt bruk helt skulle undantas från an- mälningsskyldigheten liksom från förteckningsskyldigheten.

DALK föreslog att tillståndsplikten skulle omfatta register som innehöll uppgifter

av följande slag:

1. uppgifter om brott, sjukdomar, politisk eller religiös uppfattning m.m.,

2. uppgifter som innefattar värdeomdömen e.d.,

3. uppgifter om någon som saknar sådan naturlig anknytning till den register— ansvarige som utmärks av medlemskap, anställning, kundförhållande eller något därmed jämförligt förhållande,

4. uppgifter som utan stöd i lag, förordning, myndighets beslut som meddelats med stöd av författning, eller utan den registrerades medgivande, inhämtas från

annan än denne eller som inhämtas för annat än registrets ändamål.

Från det föreslagna tillståndskravet måste enligt DALK göras vissa undantag. För det första ville kommittén undanta de register som inrättats genom beslut av regeringen eller riksdagen, s.k. statsmaktsregister, och som redan var befriade från tillståndsplikt enligt 2 & datalagen (se avsnitt 3.4 och 5.4). Vidare ansåg man

att även register som fördes av enskilda uteslutande för enskilt bruk borde

undantas.

Härutöver behövdes enligt kommittén undantag för register som innehöll uppgifter

om någons politiska eller religiösa uppfattning och som en sammanslutning avsåg

att föra beträffande sina egna medlemmar.

• Sida 38
•  Original

38 DALK föreslog vidare att undantag från tillståndskravet skulle göras beträffande

sådana statliga och kommunala register vilka som ett led i en myndighets normala verksamhet innehöll sjukvårds- och hälsouppgifter och uppgifter om social omsorg enligt 4 &. Detsamma gällde patientregister som fördes av läkare och tandläkare. Kommittén föreslog dessutom att register som hade överlämnats till arkivmyndig-

heter skulle falla utanför tillståndsplikten.

DALK förutsatte att datainspektionen skulle komma att tillämpa ett förenklat tillståndsförfarande beträffande vissa vetenskapliga register och direktreklam—

register.

Kommittén föreslog vidare att yttrande från datainspektionen alltid skulle inhämtas

innan beslut fattades om att inrätta ett statsmaktsregister.

DALK påpekade att en begränsning av tillståndsplikten till vissa särskilt känsliga register i viss mån medförde att den styrning av registrens utformning som dittills skett genom tillståndsbeslut skulle komma att upphöra. Då enligt DALK en liknande styrning sannolikt behövdes även i fortsättningen ansåg kommittén, att

man i lagen borde ta in nya generella regler riktade till de registeransvariga.

Av sådana nya handlingsregler för de registeransvariga borde enligt DALK först och främst framgå att alla registeransvariga var skyldiga att beakta att inrättande och förande av personregister alltid skulle ske för ett bestämt ändamål under

tillbörligt hänsynstagande till de registrerades personliga integritet.

DALK ansåg att ytterligare generella normer riktade till de registeransvariga behövdes, dels för att ge den registeransvarige närmare ledning för bedömningen av vad som skulle anses vara tillbörligt hänsynstagande till registrerads personliga integritet, dels för att ytterligare styra den närmare utformningen av personregist- ren. Sådana kompletterande normer borde innebära att endast sådana personupp- gifter fick registreras som stod i överensstämmelse med ett personregisters

ändamål. Dessutom borde anges att personuppgifter fick inhämtas, utlämnas eller

• Sida 39
•  Original

användas på annat sätt endast om det skedde i överensstämmelse med register- ändamålet eller i enlighet med lag eller annan författning, myndighets beslut som

meddelats med stöd av författning eller efter den registrerades medgivande.

Förslagen i promemorian ledde till vissa mera betydande ändringar i datalagen som trädde i kraft den 1 juli 1982 (prop. 1981/82:189, KU 33, rskr. 349, SFS 1982:446). Se vidare avsnitt 4.3.

Efter förslag av DALK i en senare promemoria (Ds Ju 1981z23) Nya avgifter för datainspektionens verksamhet trädde en ny avgiftsförordning också i kraft den 1 juli 1982 (1982z481). Den nya förordningen innebar att datainspektionens verksamhet skulle täckas genom avgifter som skulle utgå dels i form av engångsavgifter för tillståndsbeslut dels i form av en enhetlig årlig avgift för alla

licen shavare.

På grund av att någon enighet inte kunde uppnås inom kommittén i frågan om en generell personregisterlag beslutade regeringen att kommitténs arbete skulle

upphöra i maj 1984.

4.3 1982 års reform

I den proposition (1981/82:189) som följde på DALK:s promemoria (Ds Ju 1981:15-16) anslöt sig departementschefen i allt väsentligt till det av kommittén

föreslagna tillstånds- och licenssystemet och anförde bl.a. följande (5 25 ff).

I likhet med kommittén och ett flertal remissinstanser anser jag att det föreslagna tillståndssystemet bör kombineras med ett anmälningssystem som i första hand tar sikte på de register som faller utanför tillståndsplikten. Från allmän synpunkt är det angeläget att datainspektionen även i fortsättningen kan få den överblick över användningen av personregister som en anmälningsskyldighet för de registeransvariga ger. En sådan ord- ning utgör också en viktig grund för datainspektionens tillsynsverksamhet.

Man kan överväga olika metoder när det gäller den närmare utformningen av ett licenssystem. En metod som DALK inte närmare har diskuterat är en anmälningsplikt som är kopplad till resp. register. En sådan ordning har också skisserats i direktiven för

• Sida 40
•  Original

en generell personregisterlagstiftning. Det är emellertid tydligt att ett sådant förfarande medför en relativt omfattande administration hos datainspektionen som motverkar de rationaliseringsvinster som år ett av syftena med den föreslagna reformen. Jag anser därför att det alternativet inte bör väljas.

Enligt min mening utgör den ordning som DALK föreslagit en lämpligare lösning. Jag förordar följaktligen att det i datalagen föreskrivs att en förutsättning för att någon över huvud taget skall få föra personregister skall vara att den som enligt lagen blir registeransvarig har anmält sig hos datainspektionen och att denna har utfärdat en licens. Licensen berättigar därefter den registeransvarige att föra ett eller flera icke tillstånds- pliktiga register. Inspektionen bör icke göra någon materiell prövning av anmälningen utan endast registrera de uppgifter som lämnas av den registeransvarige.

Som jag nyss har nämnt är det viktigt att man har kvar en möjlighet att skaffa sig överblick över användningen av personregister i landet. Ett medel att underlätta detta är att införa en förteckningsskyldighet av det slag som kommittén har föreslagit. Jag till— styrker för min del förslaget att de registeransvariga skall vara skyldiga att föra en förteckning över sina register och hålla förteckningen aktuell.

Däremot kan jag inte ansluta mig till förslaget att det skall införas en skyldighet att ge in förteckningarna till datainspektionen. En bestämmelse med detta innehåll skulle - enligt vad inspektionen själv har framhållit - medföra en omfattande administration hos denna för att hantera den ingivna dokumentationen utan att detta skulle vara till någon nämnvärd nytta för inspektionens omedelbara verksamhet eller för att tillgodose integritetsintressena i övrigt.

Jag föreslår sålunda att det införs bestämmelser om att det hos den registeransvarige skall finnas en aktuell förteckning över de personregister som han är ansvarig för och att för- teckningen skall hållas tillgänglig för datainspektionen och på begäran ges in till denna. På detta sätt tillgodoses kraven på överblickbarhet och kontroll utan att inspektionen och de registeransvariga belastas i onödan.

Jag vill emellertid betona att detta ståndpunktstagande inte innebär att jag helt avvisar tanken på att föreskriva en skyldighet för de registeransvariga att rutinmässigt sända in förteckningar till datainspektionen. Skulle det visa sig att den av mig förordade lösningen leder till olägenheter, är jag självfallet beredd att ompröva min ståndpunkt.

I propositionen avvisades, förutom DALK:s förslag att alla registerinnehavare skulle vara skyldiga att ge in förteckningar över sina register till datainspektionen, även förslaget att de skulle förse sina s.k. utdataprodukter med det licensnummer

som tilldelats registret. Propositionens förslag innehöll i stället en regel om

• Sida 41
•  Original

skyldighet för den registeransvarige att lämna upplysning om avsändare till den

registrerade.

Vid riksdagsbehandlingen av propositionen ansåg konstitutionsutskottet (KU 1981/ 82:33) i likhet med departementschefen att tillståndsförfarandet borde ändras enligt de riktlinjer DALK hade dragit upp. De socialdemokratiska ledamöterna i utskottet reserverade sig dock mot förslaget att upphäva principen om en generell tillståndsplikt för att inrätta personregister som förs med ADB, eftersom detta enligt dem skulle leda till klara försämringar i skyddet för den personliga integriteten. Reservantema ansåg att dylika ändringar i datalagen borde anstå till dess gällande regler kunnat ersättas med en personregisterlag och att data— inspektionen i avvaktan hårpå kunde ges de resurser som behövdes för att kunna fullgöra sina tillstånds-, tillsyns- och informationsuppgifter på ett tillfredsställande sätt. Vidare anförde reservantema att datainspektionen borde vidta den ytterligare

rationalisering av tillståndsförfarandet som var möjlig.

De ändringar i datalagen som trädde i kraft den 1 juli 1982 innebar i korthet följande. Jfr. avsnitt 3.2 - 3.4.

En anmälningsplikt kombinerad med en skyldighet att förteckna sina register infördes för alla registeransvariga. Skyldigheten att söka tillstånd togs bort i fråga om register för vilka en förhandsgranskning från datainspektionens sida ansågs obehövlig och begränsades till särskilt integritetskänsliga register. Härigenom undantogs exempelvis kommunernas register inom hälso- och sjukvården och socialtjänsten från tillståndsplikt.

Tillståndsskyldigheten begränsades till vissa i nuvarande 2 & närmare angivna situationer. För register som skulle innehålla uppgifter av särskilt känslig art, avse personer som saknar anknytning till den registeransvarige eller uppgifter som hämtas från annat personregister krävdes alltjämt tillstånd. Även i detta begränsade tillståndskrav fanns betydelsefulla inskränkningar, främst i 2 a 5. Det

gällde register som fördes av enskilda uteslutande för personligt bruk och register

• Sida 42
•  Original

som inrättades genom beslut av regeringen eller riksdagen. Dessutom föll register som hade överlämnats till arkivmyndigheter utanför tillståndsplikten, liksom som nämnts vissa kommunala register, vissa medlemsregister samt vissa register som fördes av läkare och tandläkare. I den nya 2a & stadgades att yttrande från datainspektionen skulle inhämtas, innan beslut om att inrätta ett s.k. statsmakts- register fattades, om registret innehöll uppgifter som i annat fall skulle ha medfört tillståndsplikt, d.v.s. uppgifter som angavs i 2 5 andra stycket. Ett stadgande om inhämtande av sådant yttrande hade tidigare funnits i 2 & datalagen.

Den tidigare skyldigheten för datainspektionen att i sina tillståndsbeslut alltid ge föreskrift om registerinnehåll gjordes fakultativ (5 5). I datalagens 7 & infördes vidare vissa nya regler om vad alla registeransvariga oavsett tillståndsplikt skulle

iaktta för att användningen av personregister skall anses godtagbar.

Den tidigare nämnda undantagsregeln beträffande personregister som fördes med

viss bestämd teknisk utrustning togs bort.

4.4 Data- och offentlighetskommittén (DOK)

I maj 1984 tillsattes en ny kommitté, data- och ofentlighetskommittén (DOK), för att utreda användningen av personnummer i samhället. Kommittén fick genom tilläggsdirektiv i december samma år även i uppdrag att utreda de problem som är förenade med offentlighetsprincipens tillämpning på ADB—upptagningar. Kommittén skulle särskilt överväga åtgärder för att stärka offentlighetsprincipen när det gäller dess egentliga syfte att ge medborgarna möjligheter till kontroll och insyn i myndigheternas verksamhet. DOK fick också till uppgift att utreda om det fanns skäl att begränsa möjligheterna att få ut uppgifter från myndigheterna för andra ändamål, t.ex. att göra massuttag ur ADB-register för kommersiella syften, och att behandla frågor om bl.a. rättelse och skadestånd när det gäller person- register. Kommittén skulle även överväga frågan huruvida principerna för

arkivering och gallring borde ges förankring i de grundläggande bestämmelserna

• Sida 43
•  Original

om allmänna handlingars offentlighet i 2 kap. tryckfrihetsförordningen eller i

vanlig lag.

DOK har överlämnat fem delbetänkanden under den gemensamma huvudtiteln

Integritetsskyddet i informationssamhället.

Det första delbetänkandet (SOU 1986:24) Rättelse och skadestånd Patientuppgifter i personregister har lett till vissa ändringar i datalagen som trädde i kraft den 1 april 1988 (prop. 1986/87:116, KU 1987/88z5, rskr. 10, SFS 1987:990).

Ändringarna innebar att den registeransvarige i ökad utsträckning är skyldig att

rätta felaktiga uppgifter i ett personregister (8 5 första - tredje styckena).

Den registeransvarige är också skyldig att utse en eller flera kontaktpersoner som skall bistå de registrerade vid misstanke om att en personuppgift är felaktig (8 & fjärde stycket).

Vidare kan den som begått brott enligt datalagen bli skyldig att betala skadestånd även för s.k. ideell skada (23 5).

Frågan om patientuppgifter i personregister är f.n. föremål för överväganden i regeringskansliet i samband med en översyn av reglerna om överföring av sekretess inom vårdområdet m.m. och om informationsstrukturen för hälso— och sjukvården. En promemoria (Ds 1990:11) Sekretess inom och mellan myndigheter på vårdområdet har nyligen utarbetats och remissbehandlas f.n.

DOK avlämnade i augusti 1986 ett andra delbetänkande (SOU l986z46) Myndigheternas försäljning av personuppgifter m.m. I betänkandet föreslås bl.a. en särskild lag om myndigheters försäljning av uppgifter om enskilda personer ur personregister enligt datalagen. Enligt lagförslaget skall det vara förbjudet för myndigheter att sälja sådana uppgifter utan riksdagens bemyndigande.

• Sida 44
•  Original

Ett i samma betänkande framlagt förslag om att folkbokföringssekretessen skulle utvidgas till att gälla även register som omfattar ett urval av befolkningen ledde år 1987 till vissa ändringar i sekretesslagen (prop. 1987/88:41, KU 22, rskr. 51, SFS 1987:1161).

På grundval av DOK:s tredje delbetänkande (Ds Ju l987z8) Grundlagsfrågor som avgavs i maj 1987 har i 2 kap. 3 & regeringsformen införts en regel om skydd för den enskildes personliga integritet vid dataregistrering (prop. 1987/88:57, KU 19, rskr. 117, 1988/89:KU 2, rskr. 11, SFS 198811439).

Det i samma betänkande framlagda förslaget om stöd i grundlag för gallring av allmänna handlingar har behandlats i en proposition (1989/90:72) om arkiv m.m, som riksdagen nyligen i allt väsentligt godkänt (KrU 29, rskr. 307).

I juli 1987 avlämnade kommittén det fjärde delbetänkandet (SOU 1987:31) Personregistrering och användning av personnummer. I betänkandet lade kommittén fram två alternativa förslag till lagstiftning för att åstadkomma en reglering och begränsning av användningen av personnummer i databaserade personregister. Kommittén föreslog också att vissa större myndighetsregister med

integritetskänsligt innehåll skulle regleras i särskilda registerlagar.

Kommittén avlämnade i december 1988 sitt slutbetänkande (SOU l988z64) Offentlighetsprincipens tillämpning på upptagningar för automatisk databehand- ling.

I betänkandet görs en analys av tryckfrihetsförordningens bestämmelser om offentlighetsprincipen och ADB. Vissa ändringar föreslås, bl.a. att omfattningen av offentlighetsprincipen preciseras i 2 kap. 3 & tryckfrihetsförordningen, så att det inte längre blir möjligt för en enskild att med åberopande av offentlighetsprin- cipen ställa datorprogram och datorkapacitet till en myndighets förfogande och begära bearbetningar med hjälp av dessa. Ett förtydligande föreslås också i 2 kap. 11 & tredje stycket tryckfrihetsförordningen så att det klarare framgår att den s.k.

• Sida 45
•  Original

biblioteksregeln omfattar även ADB-upptagningar. Vidare föreslås en ny regel i 2 kap. 13 & tryckfrihetsförordningen i syfte att begränsa en myndighets skyldigheter att lämna ut en stor mängd upptagningar för automatisk databehand- ling i form av utskrift. DOK föreslår också ett par ändringar i sekretesslagen. Dessa innebär att begreppet "god offentlighetsstruktur" preciseras och ges en mer

konkret innebörd.

De frågor i DOK:s andra betänkande som regeringen förut inte har tagit ställning till samt förslagen i de fjärde och femte betänkandena bereds f.n. i regerings- kansliet.

4.5. Riksdagsmotioner

I ett antal borgerliga riksdagsmotioner våren 1990 berörs en del datapolitiska frågor med viss anknytning till utredningens uppdrag i förevarande etapp.

I motion 1989/90:K403 av Bengt Kindbom m.fl. (c) framhålls vikten av att minska sårbarheten och höja säkerheten i databehandlingen. Motionärerna framför krav på ändringar i datalagen i avsikt att öka skyddet för den enskilde i förhållandet till myndigheter, institutioner, företag och organisationer. De kräver bl.a. en minskad insamling av uppgifter, minskad samköming, förstärkt tillsynsverksamhet och ökade rättigheter för den enskilde. I motionen framställs även krav på åtgärder för att begränsa den kommersiella användningen av upp— gifter i personregister samt utarbetande av särskilda registerlagar för datasystem som har stor omfattning eller är särskilt integritetskänsliga. Vad angår de stora statliga datasystemen anser motionärerna att dessa bör decentraliseras till regionala och lokala myndigheter. I motionen tas även upp frågan om skydd för företagens

data.

I motion 1989/902K410 av Birgit Friggebo m.fl. (fp) påtalas inledningsvis datateknikens sociala dimension och behovet av samhällsvetenskapliga och

humanistiska ämnen i den tekniska utbildningen. I motionen framhålls sedan bl.a.

• Sida 46
•  Original

att en uppdelning och decentralisering av statliga dataregister bör ske och att registerlagar utan några dispensmöjligheter bör införas. Användningen av personnummer bör enligt motionärerna regleras i en särskild personnummerlag. I motionen framställs vidare krav på en reglering av försäljningen av personupp- gifter ur de offentliga registren samt på en nedläggning av SPAR-registret. Övriga frågor som tas upp i motionen rör samköming, massmedias rätt att låta allmänheten ta del av datoriserade tidningsarkiv samt säkerhets- och sårbarhets-

frågor.

I motion 1989/902K421 av Bertil Fiskesjö (c) framställs krav på en ändring av datalagen som skall hindra datainspektionen att inskränka massmedias rätt att låta

allmänheten ta del av datoriserade tidningsarkiv.

I motion 1989/901K434 av Anders Björck m.fl. (m) för motionärerna fram förslag om hur medborgarna skall få en starkare och mer integritetsskyddad ställning i samhället. I motionen betonas vikten av att skapa en ökad förutsebarhet vad gäller innehållet i ADB-baserade offentliga handlingar genom att än hårdare knyta myndigheternas ADB-hantering till ändamålet för de insamlade uppgifterna. Motionärerna anser bl.a. att de enskilda myndigheternas ADB-register och ADB- hantering bör regleras genom registerlagar och att en myndighet bör inhämta personuppgifter direkt från den enskilde och inte från andra myndigheter. I motionen tas även upp lämpligheten av kryptering av känslig information ur data- register samt påtalas riskerna med användande av s.k. "smart cards". Vidare uttalas kritik mot vissa myndigheters tillämpning av hälso— och sjukvårdssekretes- sen och motionärerna anser att en översyn av hur svenska myndigheter tillämpar sekretesslagstiftningen bör ske. 1 motionen berörs även s.k. massmediaarkiv och motionärerna anser härvid att datalagen i mindre utsträckning bör baseras på tekniken och i högre grad vara inriktad på att ge enskilda människor möjlighet att få tillgång till sådan information som yttrande- och tryckfrihetslagstiftningen föreskriver. Datalagen bör enligt motionärerna ersättas av en integritetslag som i första hand reglerar den enskildes rätt över den information som han i olika

sammanhang lämnar ifrån sig. I motionen redogörs närmare för hur en sådan

• Sida 47
•  Original

integritetslag bör se ut. Registrering av uppgifter av mer känslig och privat natur bör t.ex. i princip enbart förekomma om de reglerats i lag eller byggts upp genom informerat samtycke. I motionen påtalas även vikten av att begränsa personnum— meranvändningen och medborgarnas uppgiftslämnande till myndigheterna samt det angelägna i att i särskilda registerlagar reglera de olika myndigheternas personregister. Motionärerna anser vidare att försäljningen ur myndigheternas personregister inte bör tillåtas och att SPAR bör avvecklas i dess nuvarande form. Andra frågor som tas upp i motionen gäller skyddet av företagens integritet samt

vilken instans som lämpligen bör pröva datainspektionens beslut.

Motionerna kommer att behandlas av riksdagen under hösten 1990.

4.6. Datainspektionens skrivelse till regeringen

Datainspektionen överlämnade i november 1988 en skrivelse, "Vissa ändringar i datalagen m.m.", till justitiedepartementet med förslag till ändringar som enligt datainspektionens mening borde genomföras i väntan på en genomgripande översyn av datalagen.

I skrivelsen och en bilagd promemoria har datainspektionen föreslagit ändringar i datalagen vilka syftar till förenklingar för de registeransvariga och inspektionen i sådana fall då tillståndskravet föranleder resursinsatser som enligt inspektionen

inte motiveras av integritetsskyddet.

Datainspektionen konstaterar att effekterna av lagändringen den 1 juli 1982 (se avsnitt 4.3) bara i begränsad omfattning blev de avsedda. Bortfallet av till- ståndspliktiga ärenden, som tidigare hade kunnat handläggas tämligen summariskt, kom nämligen att uppvägas av andra ärenden. Antalet tillståndsärenden har under de senare åren ökat och lett till att en avsevärd del av inspektionens totala kapacitet går åt för handläggning av ansökningar om tillstånd att inrätta och föra personregister eller att få till stånd en ändring eller utvidgning i tidigare

meddelade tillstånd. I flertalet fall avser dessa ansökningar situationer i vilka data-

• Sida 48
•  Original

inspektionen utvecklat en fast praxis för bedömningen. För sådana typsituationer anser datainspektionen att det ofta finns goda möjligheter att sörja för skyddet av den personliga integriteten på ett annat och bättre sätt än genom att upprätthålla ett tillståndstvång.

Inspektionen anser att det föreligger ett betydande intresse bland registeransvariga inom olika sektorer att organisera sitt ADB-stöd så att otillbörliga intrång i personlig integritet undviks. Enligt datainspektionen betyder de insatser den kan göra för att tillgodose krav och förväntningar från de registeransvariga på råd och information mer för skyddet av den personliga integriteten än åtskilligt annat som binder inspektionens resurser. Genom att engagera bransch- och områdesföre- trädare i utvecklingen av normer för personregistreringen på olika områden i samhället anser inspektionen att det sprids en fördjupad kunskap om och en större

förståelse för integritetsfrågoma.

Enligt datainspektionens uppfattning har datoranvändningen i samhället numera nått en sådan omfattning att det är nödvändigt att ifrågasätta hela systemet med tillstånd i varje särskilt fall när register som i dag är tillståndspliktiga skall inrättas. Inspektionen tror att utvecklingen går i den riktningen att successivt under 1990-talet terminaler och persondatorer kommer att bli lika vanliga arbetsredskap som telefoner. Enligt inspektionens mening måste därför skyddet för den personliga integriteten företrädesvis bygga på andra metoder än förhandsgranskning av varje tilltänkt personregister. Datainspektionen finner det därför nödvändigt att bygga integritetsskyddet på en högre grad av verksam— hetsanpassad författningsreglering och branschvis självreglering. Nödvändiga förutsättningar härför är dock enligt inspektionen att datalagens regler om vad den registeransvarige har att iaktta för att undvika intrång i den personliga integriteten förtydligas och skärps i olika hänseenden samt att underlåtenhet att rätta sig efter bestämmelserna leder till påföljd direkt enligt datalagen.

• Sida 49
•  Original

I skrivelsen påtalar datainspektionen även vissa brister i datalagens systematik och begreppsapparat och ger sina synpunkter på inriktningen av arbetet på en ny datalag.

Datainspektionen föreslår i promemorian att den ges befogenhet att beträffande vissa slag av personregister föreskriva undantag från lagens krav på tillstånd för att få inrätta och föra register. Undantagen avses ske i sådana fall då såväl tillstånd som villkoren ("föreskriftema" enligt datalagens nuvarande terminologi) för tillstånden meddelas enligt fast praxis. Förslaget förutsätter även att datainspektionen ges befogenhet att meddela generella föreskrifter för att förhindra intrång i personlig integritet beträffande de register som undantas från till- ståndsplikten.

4.7 Remissutfallet

Datainspektionens skrivelse och promemoria har av regeringen sänts till ett stort

antal myndigheter och organisationer för yttrande.

Inspektionens förslag till ändringar har i huvudsak godtagits av flertalet remissinstanser. Till dem som tillstyrkt förslaget hör domstolsverket, riks- polisstyrelsen, kriminalvårdsstyrelsen, riksförsäkringsverket, socialstyrelsen, statistiska centralbyrån, försäkringsinspektionen, riksskatteverket, Karolinska institutet, riksrevisionsverket, medicinska forskningsrådet, forskningsrådsnämn- den, Sveriges Advokatsamfund, Svenska Kommunförbundet, Landstingsförbundet, Kommun—Data AB, Landsorganisationen i Sverige, Tjänstemännens Centralorgani- sation, Centralorganisationen SACO/SR, Svenska försäkringsbolags riksförbund, Folksam samt Swedish Direct Marketing Association (SWEDMA).

Förslaget har lämnats utan erinran av justitiekanslern, kammarrätten i Göteborg, bokföringsnämnden, överbefälhavaren, bankinspektionen, länsstyrelsernas

organisationsnämnd och humanistisk-samhällsvetenskapliga forskningsrådet.

• Sida 50
•  Original

Riksarkivet, statskontoret, universitets— och högskoleämbetet, juridiska fakul- tetsnämnden vid Stockholms universitet och Svenska Bankföreningen samt Föreningen Auktoriserade Revisorer FAR har uttryckt viss tveksamhet till delar

av förslaget.

Svenska Arbetsgivareföreningen, Sveriges Industriförbund, Företagens Upp— giftslämnardelegation, Småföretagens Riksorganisation samt Svenska Spar-

banksföreningen har i huvudsak avstyrkt datainspektionens förslag.

De remissinstanser som anslutit sig helt eller i huvudsak till datainspektionens förslag till åtgärder betonar överlag behovet av att förenkla datainspektionens hantering av tillståndsärenden och flytta över datainspektionens resurser till tillsyn och information. De flesta anser att en sådan resursöverflyttning innebär en förbättring av integritetsskyddet. Några menar också att förslaget kommer att innebära värdefulla förenklingar och resursbesparingar för de registeransvariga. Från något håll påtalas dock risken för att gränsdragningsproblem kan uppstå när

det gäller att avgöra om ett tilltänkt register omfattas av ett undantag eller inte.

Några av de remissinstanser som uttryckt tveksamhet inför förslaget har menat att ett genomförande av detta skulle innebära att datalagen blev än mer svåröverskåd- lig och svårtolkad. En viss osäkerhet har också uttryckts beträffande vilken omfattning undantaget från tillståndsplikten är avsett att få och hur omfattande och eventuellt svåröverskådlig mängden av föreskrifter för särskilda registertyper skulle bli. En del remissinstanser har ifrågasatt det konstitutionellt riktiga eller lämpliga i att delegera viss normgivningsmakt till datainspektionen. Någon av dessa kritiska instanser har ansett att en förskjutning från tillståndsprövning till

tillsyn också kan komma att innebära en försämring av integritetsskyddet.

De remissinstanser som har motsatt sig förslaget har gjort detta på främst konstitutionella grunder. De har ansett att det bör ankomma på riksdagen och inte

på datainspektionen att ange vilka register som inte kräver tillstånd. Någon

• Sida 51
•  Original

remissinstans har även ifrågasatt om ett genomförande av datainspektionens

förslag överhuvudtaget leder till någon rationaliseringsvinst.

• Sida 52
•  Original

• Sida 53
•  Original

5. Datainspektionens verksamhet

Datainspektionen prövar frågor om tillstånd och utövar tillsyn enligt datalagen (1973z289), kreditupplysningslagen (1973: 1 173) och inkassolagen (1974: 182) samt utfärdar licens enligt datalagen. Inspektionen utövar dessutom tillsyn enligt lagen

(1987zl23l) om automatisk databehandling vid taxeringsrevision, m.m.

Datainspektionen skall enligt sin instruktion (19881912) verka för att automatisk databehandling av personuppgifter inte leder till otillbörligt intrång i enskildas personliga integritet och att god sed iakttas i kreditupplysnings— och inkasso-

verksamhet.

Inspektionen skall vidare fullgöra de förpliktelser som nämns i artikel 13 i Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter såvitt gäller lämnande av uppgifter till behörig myndighet i en stat

som är ansluten till konventionen (se avsnitt 7.1).

Chef för datainspektionen är en generaldirektör. Inspektionens styrelse består av högst tio personer. Generaldirektören är styrelsens ordförande. Inom inspektionen finns två sakenheter. Den ena svarar för inspektionens uppgifter i fråga om offentlig verksamhet och den andra för inspektionens uppgifter i fråga om enskild

verksamhet. Dessutom finns en teknisk och en administrativ enhet.

Datainspektionen har år 1989 beslutat om en ny verksamhetsplan för budgetåren 1989/90 - 1991/92. Målen är att inspektionen genom ökad kompetens på det rättsliga och tekniska området ytterligare skall förbättra sina möjligheter att bedöma och ingripa mot förfaranden som kan innebära risker för otillbörliga integritetsintrång och som kan uppstå i samband med personregistrering, vid taxeringsrevision med hjälp av ADB samt i inkasso- och kreditupplysnings- verksamhet. Inspektionen skall vidare utvärdera de senare årens regelgivning och

ytterligare öka informations- och inspektionsverksamheten. Tillsynsarbetet skall

• Sida 54
•  Original

utgöra minst en tredjedel av inspektionens totala resursinsats. För att skapa

utrymme för dessa insatser avser datainspektionen att ytterligare rationalisera sin tillståndshantering och hanteringen av klagomålsärenden. Arbetet med att förmå

registeransvariga att anmäla sig för licens skall ges fortsatt stor uppmärksamhet.

Som framgår av avsnitt 4.6 har inspektionen i en skrivelse till regeringen också

lämnat vissa förslag till ändringar av datalagen.

Sedan budgetåret 1986/87 redovisar datainspektionen i en årsbok utförligt sin

verksamhet.

I följande avsnitt beskrivs närmare ärendeutvecklingen hos inspektionen (5.1), tillståndshanteringen (5.2), inspektionens verkställighetsföreskrifter (5.3), inspektionens yttranden över statsmaktsregister (5.4), tillsynsverksamheten (5.5)

samt finansieringen av inspektionens verksamhet (5 .6).

5.1. Ärendeutveckling

Datainspektionens ärenden utgörs i huvudsak av ansökningar om tillstånd enligt datalagen, kreditupplysningslagen eller inkassolagen samt tillsynsärenden som rör dessa lagar. För sådana ärenden förs ett dataregister benämnt DIRE. Registret omfattar också andra ärendetyper, bland vilka märks utredningar i licensärenden,

remisser av olika slag och utredningar i särskilda frågor.

Antalet nya ärenden enligt datalagen har sedan budgetåret 1982/83 legat mellan 2 700 och 3 600.

Under budgetåret 1988/89 inkom totalt 3 613 nya ärenden. Antalet ansökningar om tillstånd enligt 2 & datalagen (ärendegrupp 12) uppgick detta år till 1 879, varav 677 hänförde sig till den offentliga sektorn och 1 202 till den privata

sektorn. Av ansökningarna kunde 585 handläggas enligt ett förenklat förfarande

• Sida 55
•  Original

för direktreklamärenden (se avsnitt 5.2). Antalet avgjorda tillståndsärenden uppgick under budgetåret till 1 902.

Under budgetåret inkom 726 ansökningar om tillstånd att ändra eller utvidga personregister (ärendegrupp 14). Av dessa avsåg flertalet, 624, personregister inom den offentliga sektorn. Inom denna ärendegrupp avgjordes under budgetåret

763 ärenden.

Övriga tillståndsärenden enligt datalagen (ärendegrupp 19), t.ex. dispens enligt 10 & datalagen, medgivande enligt 11 & datalagen eller förfrågningar om tillstånd, uppgick under budgetåret 1988/89 till 97, varav det övervägande antalet, 89, rörde den privata sektorn. Ett stort antal av dessa ärenden, 69, gällde kompletter- ande gallringsföreskrifter för personregister i företagshälsovården. Under det aktuella budgetåret inkom fyra anmälningar av personregister vars inrättande hade beslutats av regering eller riksdag (MM.

Vid en genomgång av de ärenden enligt datalagen, som inkom under perioden den 1 januari 1987 — den 31 december 1989, som utredningen låtit göra i januari 1990 har datainspektionen funnit att utav dessa ärenden 9 847 var tillståndsärenden, 1 123 tillsynsärenden och 529 övriga ärenden. Av tillståndsärendena hänförde sig 4 339 till den offentliga sektorn och 5 508 till den privata sektorn. Av till- synsärendena rörde 197 den offentliga sektorn och 926 den privata sektorn. Övriga ärenden fördelades på det sättet att 163 avsåg den offentliga sektorn och 366 den privata sektorn. Antalet ärenden och den nu gjorda fördelningen är dock inte exakta beroende på felregistreringar och ofullständigheter som kan ha påverkat resultatet.

Antalet inkomna ärenden under budgetåret 1988/89 ökade med tolv procent i förhållande till genomsnittsnivån under de fyra föregående budgetåren. Data- inspektionen har ansett denna ökning främst vara en följd av den stegrade

datoranvändningen i samhället och menar att den accelererande spridningen av

• Sida 56
•  Original

mindre datorer till allt fler användare talar för en allt snabbare ökningstakt de

kommande åren.

Tabell I visar antalet inkomna tillståndsärenden från och med den 1 juli 1982 till och med den 30juni 1989.

Tabell I Ärendeutvecklingen 1982—07-01 - 1989-06—30 fördelad på grupper av tillstånds- ärenden Ären- Andra Första de— halv- halv- grupp året året 1982 1983 1984 1985 1986 1987 1988 1989 12 524 942 1009 1014 1268 1588 1275 9715) 13 263” 2812) 6 2 5 8 2 2 14 171 418 773” 802” 464 756 631 331 19 17 40 60 46 188 44 34 796)

Tot. 975 1681 1848 1864 1925 2396 1942 13837)

1) och 2)avsåg i 262 respektive 277 fall anmälan från kommunerna av register över mottagare av bostadsbidrag.

3) och 4) avsåg i 333 respektive 360 fall ärenden från kommunerna avseende tre likadana ärendetyper.

5) varav 259 ärenden enligt det förenklade förfarandet för vissa direktreklam- register

6) varav 60 ärenden beträffande kompletterande föreskrift för register i före- tagshälsovården

7) motsvarande siffra första halvåret 1988 var 1081 ärenden

Under perioden 1 juli 1986 - 30 juni 1989 har antalet tillståndsärenden ökat med i genomsnitt 15 procent per år. Datainspektionen har bedömt att denna årliga

ökningstakt kommer att förbli konstant de närmaste åren.

• Sida 57
•  Original

Inspektionens ärendebalanser har under de senaste åren minskat betydligt. Handläggningstidema har förkortats, så att endast en mindre del av ärendena tar längre tid än tre månader att avgöra. Orsakerna till detta har enligt datainspektio- nen varit bl.a. införande av enmansbeslut, rationalisering av tillståndsprövningen (t.ex. förenklat ansökningsförfarande för direktreklamärenden), dokumentation av

praxis och goda arbetsinsatser.

Resultatet av de arbetstidsmätningar som genomförts vid datainspektionen har visat att tillståndshanteringen numera utgör drygt 35 procent av inspektionens totala resursanvändning.

Undersökning av vissa tillståndsärenden

I avsikt att närmare undersöka ärendestrukturen och få ett bättre underlag för en framtida reform har utredningen låtit genomföra en statistisk undersökning av

datainspektionens tillståndsärenden budgetåret 1988/ 89.

Undersökningen omfattade sådana tillståndsärenden där sökanden inte hade använt sig av något förenklat ansökningsförfarande. Det visade sig att mer än hälften av de undersökta tillståndsärendena avsåg personregister som gällde kund- eller leverantörsförhållanden (9.3 %), anställda (8.4 %), forskning och statistik (14.1 %) samt direktreklam (18.4 %). Trettio procent av de ordinära till- ståndsärendena utgjordes av ansökningar om personregister inom hälso- och sjukvårdssektom (19.4 %) samt kommunala register (10.6 %). Sammantaget svarade de nämnda ärendetypema alltså för mer än fyra femtedelar av alla

ordinära, dvs. icke förenklade, tillståndsansökningar.

De återstående ordinära ansökningarna om tillstånd, dvs. mindre än en femtedel av det totala antalet, avsåg register som varierade från mycket komplicerade och

integritetskänsliga till förhållandevis enkla och beskedliga register.

• Sida 58
•  Original

Vid en närmare undersökning av de ärenden som avsåg direktreklam visade det sig att ett stort antal av dessa ärenden utgjordes av ansökningar som borde ha kunnat handläggas enligt det förenklade ansökningsförfarandet för reklamregister. Ansökningarna hade emellertid skett på blanketter avsedda för det ordinära ansökningsförfarandet och inte på de särskilda blanketter som gäller för det förenklade förfarandet. Datainspektionen hade därför handlagt dessa ärenden som

ordinära tillståndsärenden.

Det framkom också genom undersökningen att en stor andel av de ärenden som i datainspektionens diarium antecknats som tillståndsansökningar för person- register rörande kund- eller leverantörsförhållanden och anställda sedermera hade

avskrivits av datainspektionen, eftersom de inte avsåg tillståndspliktiga register.

Undersökningsmetodiken och de närmare undersökningsresultaten framgår av

bilaga nr 2.

Licensärenden

Den som vill inrätta och föra ett personregister skall göra anmälan till data- inspektionen för licens. För licensen betalar den registeransvarige en årlig avgift. Datainspektionen skall enligt 3 ådataförordningen föra en förteckning omfattande alla licenshavare. Detta licensregister förs med hjälp av ADB och benämns LIRE. Från verksamhetsåret 1989/90 för inspektionen själv sitt licensregister på egen dator. Registret tillförs varje år ett antal nya licensinnehavare. Samtidigt avlägsnas

ett antal genom att t.ex. verksamheter upphört eller lagts samman.

Licensregistret, som bl.a. utgör underlag för inspektionens avgiftsdebitering, samkörs med det allmänna företagsregistret, BASUN, varvid ändrade adress- uppgifter, arbetsställe och branschkod tillförs. Licensuppgiftema bearbetas för att erhålla uppgift om personregistrens spridning inom olika branscher och registret

utgör även underlag för eventuella tillsynsåtgärder, antingen individuella eller

• Sida 59
•  Original

branschvisa. Registret används också som underlag för datainspektionens

informationsverksamhet.

Antalet meddelade licenser har ökat från ca. 8 000 licenser den 30 juni 1983 till drygt 38 500 licenser f.n. Ökningen av antalet licenser har varit påfallande kraftig de senaste åren. Från budgetåret 1987/88 till budgetåret 1988/89 ökade antalet licenser med närmare 9 000. Förklaringen till denna kraftiga ökning är troligen

att finna i datainspektionens stora informationskampanjer om anmälningsplikten.

5.2. Tillståndshantering

Tillståndsprövningen enligt datalagen avser prövning av frågan om otillbörligt intrång i registrerads personliga integritet kan befaras uppkomma. Vid prövningen beaktas särskilt de omständigheter som anges i 3, 3a och 4 (55 datalagen (se avsnitt 3.3).

Till grund för datainspektionens prövning ligger den registeransvariges ansökan om tillstånd. Beviljas tillstånd meddelar datainspektionen enligt 5 & datalagen beslut om ändamålet med registret. I den mån det behövs för att förebygga risk för otillbörligt intrång i personlig integritet kan även meddelas ett eller flera villkor enligt 6 & datalagen. Föreligger särskilda skäl får tillståndet begränsas till

viss tid.

Regler om förfarandet vid ansökan om tillstånd finns i dataförordningen och i verkställighetsföreskrifter som datainspektionen meddelat.

Ansökan om tillstånd görs skriftligen på en standardiserad blankett och skall innehålla vissa i 8 & dataförordningen angivna uppgifter. Enligt paragrafens andra stycke får datainspektionen dock medge undantag från ett eller flera av de krav

som anges i första stycket.

• Sida 60
•  Original

För att underlätta hanteringen av tillståndsärendena har datainspektionen alltsedan verksamhetens början tillämpat ett förenldat ansöknings- och tillståndsförfarande i fråga om mindre integritetskänsliga register. Det gäller ansökningar om tillstånd

i vilka datainspektionen utvecklat en fast praxis för bedömningen.

Närmare bestämmelser om vilka register som omfattas av detta förenklade förfarande och vilka särskilda villkor som måste vara uppfyllda finns numera i

datainspektionens författningssamling (DIFS).

Det formella stödet för föreskrifterna om det förenklade förfarandet är stadgandet i 8 5 andra stycket dataförordningen att datainspektionen får medge undantag från de krav som ställs på en ansökan samt det generella stadgandet i förordningens 14 5 att ytterligare föreskrifter om verkställighet av datalagen meddelas av

datainspektionen.

Förenklat förfarande har införts för vissa slag av löne— och personalregister (DIFS 197922), kund- och Ieverantörsregister m.fl. (DIFS l979:3), hyresregister (DIFS 198013), medlemsregister (DIFS 1981:1), direktreklamregister (DIFS 198821), statistikregister (DIFS 1989:2) samt forskningsregister (DIFS 1990:1).

Vidare finns föreskrifter med anvisningar för förenklat ansökningsförfarande för

försäknngsinrättningar och för s.k. omnibusundersökningar.

Datainspektionen har nyligen utarbetat ett förslag till föreskrifter om ett förenklat ansökningsförfarande för vissa personregister i kommunal verksamhet. Förslaget är f.n. remitterat till ett flertal av landets kommuner och ett antal myndigheter och

organisationer.

Ansökningar om tillstånd enligt det förenklade förfarandet görs på särskilda blanketter och blir inte föremål för någon egentlig prövning. I tillståndsbeslutet,

som expedieras till den registeransvarige, anges att som villkor enligt 5 och 6 55

• Sida 61
•  Original

datalagen skall gälla dels vad som angetts i ansökan, dels de bestämmelser som

angetts i aktuell DIFS såsom villkor för det förenklade förfarandet.

Ärenden om tillstånd enligt det förenklade förfarandet handläggs som enmans- ärenden. Såvitt avser direktreldamärenden handläggs dessa till största delen av

icke juridiskt utbildad personal.

5.3 Verkställighetsföreskrifter m.m.

Ytterligare föreskrifter om verkställighet av datalagen meddelas enligt 14 & (tidigare 10 &) dataförordningen av datainspektionen.

Som redan framgår av föregående avsnitt åberopas denna bestämmelse som stöd

för det förenklade tillståndsförfarandet.

Utöver föreskriftema i nu nämnt hänseende har datainspektionen meddelat verkställighetsföreskrifter för utdrag enligt 10 & datalagen (DIFS 1982z2) samt beträffande gallring av försäkringsinrättningars register (DIFS 1984:l).

Datainspektionen har kartlagt och dokumenterat hur ADB-användningen på olika områden förhåller sig till datalagen och datainspektionens praxis. Resultatet har lagts till grund för allmänna råd eller information till grupper av registeransvariga med likartad verksamhet. Inspektionen har också utarbetat generell vägledning till

alla registeransvariga, t.ex. allmänna råd rörande ADB-säkerhet vid person-

registrering.

Datainspektionens allmänna råd om ADB-säkerhet ger inspektionens syn på hur persondata bör skyddas. Råden är inte bindande men läggs till grund för villkor om ADB-säkerhet som datainspektionen meddelari samband med att inspektionen ger tillstånd till nya personregister. Råden tillämpas också när inspektionen granskar befintliga personregister och kan då ges form av direkta villkor.

• Sida 62
•  Original

De senaste åren har datainspektionen i serien "Datainspektionen informerar" publicerat en rad informationsskrifter. Skrifter finns om bl.a. forskningsregister, direktreklamregister, personregister i kommuner och landsting samt i före-

tagshälsovården.

Datainspektionen har ansett att det föreligger behov att reglera vissa andra slags register, t.ex. personregister förda av banker, försäkringsbolag, konsult- och revisionsföretag, videoföretags register, personregister i uthymings- eller förmedlingsbranschen, hälso- och sjukvårdsregister, personregister förda i advokatverksamhet, myndigheters ADB-diariet, förundersökningsregister och

massmedieregister.

Inom inspektionen pågår en översyn av användningen av datorteknik inom

arbetslivet.

5.4. Yttranden över statsmaktsregister

Enligt 2 a & datalagen behövs inte tillstånd för personregister som riksdagen eller regeringen beslutat inrätta (statsmaktsregister). Innan ett sådant beslut fattas av riksdagen eller regeringen, skall dock yttrande inhämtas från datainspektionen, om det register som skall inrättas annars krävt tillstånd enligt 2 5 andra stycket, dvs. register som innehåller känsliga personuppgifter, omdömen om den registrerade, uppgifter om personer som saknar anknytning till den registeransvarige samt

personuppgifter som inhämtats från något annat personregister (se avsnitt 3.3).

I en del fall har det rått viss tveksamhet om den närmare tillämpningen av

bestämmelserna om yttrande över statsmaktsregister.

I konstitutionsutskottets betänkande har redovisats granskning av ärenden angående inrättande av statsmaktsregister. Utskottet (KU 1983/84:30) uttalade i sitt av riksdagen godkända betänkande (s. 25) att granskningen hade gett vid

handen att det i några fall förekommit att regeringskansliet inte inhämtat yttrande

• Sida 63
•  Original

från datainspektionen och förutsatte att departementen fortsättningsvis skulle beakta datalagens föreskrifter i detta hänseende. Utskottet framhöll vidare vikten av att datainspektionen när den bereddes tillfälle att yttra sig fick erforderlig tid för att kunna företa en saklig prövning av ärendet. Beträffande utvidgningar av register var det enligt utskottets mening angeläget att det noga prövades huruvida utvidgningen var av sådan art att den borde jämställas med inrättande av ett nytt register och alltså yttrande inhämtas från datainspektionen.

Konstitutionsutskottet berörde även två år senare (KU 1985/86z25) frågan om yttranden enligt 2 a & datalagen. Utskottet gjorde där den bedömningen att vad som hade uttalats i föregående betänkande om sådana yttranden när ett stats— maktsregister utvidgades borde äga motsvarande tillämpning när ändamålet för ett sådant register ändrades. Utskottet påtalade vidare det angelägna i att pröva huruvida det nya ändamålet var av sådan art att situationen borde jämställas med att ett nytt register inrättades och att datainspektionen även i tveksamma fall borde beredas tillfälle att yttra sig. I betänkandet, som godtogs av riksdagen, framhölls även betydelsen av att avsikten att inrätta ett statsmaktsregister kom till klart uttryck i propositioner och andra sammanhang.

Från datainspektionens sida har till datalagsutredningen framhållits att nuvarande ordning har fungerat tillfredsställande, även om det ofta har förekommit bristfälligheter i det remitterade underlaget för datainspektionens yttrande. Inspektionen har ansett att den ofta kommer för sent in i beredningen och får för kort tid på sig. Skyldigheten att inhämta yttrande bör enligt inspektionen därför möjligen förtydligas och detta även i fråga om i vilket skede som datainspektio- nens yttrande skall inhämtas. De synpunkter inspektionen framför beaktas, som framgår i det följande, emellertid oftast.

Datainspektionen har även påtalat att skyldigheten att inhämta sådant yttrande i vissa fall tolkats extensivt och att, när det gäller ändring av befintliga register, det i flera fall är tveksamt om datainspektionens yttrande skall anses vara ett yttrande enligt 2 a & datalagen eller ett yttrande i ett normalt remissförfarande. Endast i

• Sida 64
•  Original

ett tiotal ärenden har av regeringskansliets skrivelse klart framgått att fråga är om tillämpning av 2a & datalagen.

Av de totalt 213 yttranden som datainspektionen avgivit till riksdag och departement under perioden den 1 juli 1986 — den 31 december 1989 har data- inspektionen endast bedömt 32 utgöra verkliga yttranden enligt 2 a 5 datalagen.

Antalet yttranden enligt 2a & datalagen har fördelat sig någorlunda jämnt över de aktuella åren, även om en viss minskning synes ha skett under år 1989. Av de avgivna yttrandena hänför sig den största delen till frågor som sorterar under finansdepartementet (främst frågor rörande skatte— och tullagstiftning, taxerings- statistik samt värdepappersregistrering) och justitiedepartementet (främst frågor rörande polisverksamhet och kriminalvård). Endast vid ett tillfälle har yttrande begärts av riksdagen. Detta avsåg ett förslag av riksdagens revisorer angående rutiner vid ansökan om svenskt medborgarskap. En närmare redovisning av vissa

yttranden finns intagen i inspektionens årsböcker.

Även om datainspektionen vid några tillfällen helt avstyrkt ett förslag, är det genomgående intrycket att registerförslagen oftast tillstyrkts. Vid mer än hälften av dessa tillfällen har datainspektionen i sina yttranden kommit med förslag och

påpekanden av olika slag.

Enligt vad som inhämtats från datainspektionen har inspektionens synpunkter i de allra flesta fallen beaktats. Det bör slutligen noteras att datainspektionen vid något enstaka tillfälle har avgivit sitt yttrande muntligen.

5.5. Tillsyn

Datainspektionens tillsynsverksamhet omfattar dels utredningar m.m. med anledning av klagomål från allmänheten, dels inspektioner och andra åtgärder på datainspektionens eget initiativ. Även annan verksamhet såsom rådgivning och

• Sida 65
•  Original

information samt utfärdande av föreskrifter och allmänna råd hänförs ibland av

datainspektionen till tillsynsaktiviteter.

Huvuddelen av inspektionens tillsynsärenden föranleds av anmälningar och klagomål från allmänheten. Uppgifter i massmedia eller iakttagelser som görs i inspektionens handläggning av tillståndsärenden ger anledning till inspektioner eller infordrande av förklaring eller dylikt i ett antal fall. Därjämte förekommer inspektioner för att kontrollera att datalagen, dataförordningen och datainspektio-

nens föreskrifter och allmänna råd efterlevs.

I tabell II framgår tillsynsärendenas utveckling under budgetåren 1985/86 - 1988/89. (I tabellen har inte antalet klagomål enligt kreditupplysningslagen eller inkassolagen tagits med).

Tabell II Antalet inkomna, avgjorda och balanserade tillsynsärenden enligt datalagen budgetåren 1985/86 - 1988/89

Ärende- 1985/86 1987/87 1987/88 1988/89 grupp Ink Avg Bal Ink Avg Bal lnk Avg Bal Ink Avg Bal

21 159 160 68 193 205 56 165 195 26 171 167 30

Övriga 107 131 90 108 186 12 203 185 30 513” 350 193

Ärendegrupper Äg 21, klagomål enligt DL

Övriga, främst ärenden som initierats av DI.

1) varav cirka 200 ärenden om avgiftsbefrielse och 69 ärenden beträffande kompletterande gallringsföreskrift

• Sida 66
•  Original

Resultatet av en vid datainspektionen utförd arbetstidmätning visade att knappt en

tredjedel av datainspektionens resurser användes för tillsynsverksamheten.

Datainspektionens uppgift som tillsynsmyndighet i fråga om taxeringsrevisioner

som omfattar personregister har ännu inte aktualiserats.

Tillsynsverksamheten har enligt datainspektionen visat att man på många håll i samhället har mycket bristfälliga kunskaper om datalagens bestämmelser. Tillsynen har också gett vid handen att flera av de registeransvariga myndig- heterna har svårt att överblicka och kontrollera den personregistrering som

förekommer inom deras ansvarsområde.

Dessa iakttagelser har också bekräftats vid de särskilda projekt som inspektionen

har genomfört (se avsnitt 5.5.3).

I följande avsnitt beskrivs närmare inspektionens hantering av klagomål (5.5.1),

dess inspektionsverksamhet (5.5.2) och tillsynsprojekt (5 .5.3).

5.5.1. Klagomål

Grovt räknat tre fjärdedelar av det totala antalet klagoärenden, däribland ett stort antal som gäller kreditupplysnings- och inkassoverksamhet, rör det enskilda området. De ärenden som rör tillämpningen av datalagen avser till stor del

direktreklamverksamhet.

Inom den enhet hos inspektionen som svarar för den enskilda sektorn avdelades under budgetåret 1988/89 mer än hälften av resurserna för hantering av klagoärenden avseende kreditupplysnings- och inkassoverksamhet och tillsyn på eget initiativ i form av inspektioner eller kontakter av annat slag med ansvariga

inom dessa verksamheter.

• Sida 67
•  Original

Datainspektionen har funnit att informations- och utbildningsinsatser riktade till de registeransvariga kan medföra en bättre ordning och en minskning av antalet klagomål samt att information till allmänheten om rättigheter och skyldigheter kan

minska förekomsten av ogrundade klagomål.

Den omständigheten att de registeransvariga alltmer informeras om gällande bestämmelser har datainspektionen ansett utgöra anledning till kraftigare reaktioner än som hittills varit möjligt från dess sida mot den som åsidosätter sina skyldigheter.

I sin senaste verksamhetsplan har datainspektionen ansett att handläggningsrutiner m.m. beträffande klagomålen bör ses över i syfte att rationalisera hanteringen utan

att kravet på korrekt handläggning eftersätts.

5.5.2. Inspektioner

Datainspektionen har upplyst att det under perioden den 1 juli 1986 - den 31 december 1989 förekom 55 inspektioner, varav 39 skedde enligt plan och 16 "på förekommen anledning". Datainspektionen har vidare anmärkt att inspektioner även förekommer i form av s.k. skrivbordsinspektioner och som exempel på en sådan inspektion angett ett tillsynsprojekt som avser personregister i kommuner

och landsting (se avsnitt 5.5.3).

Vid en genomgång av de 55 inspektionema har framkommit att dessa fördelar sig på det sätt som framgår av tabell III.

• Sida 68
•  Original

Tabell III Inspektioner 1.7 1986 - 31.12 1989

Tre av de inspektioner som förekom inom den offentliga sektorn avsåg register förda vid universitet, två avsåg ADB-säkerheten vid statens invandrarverk och en inspektion avsåg ett register fört vid statens bakteriologiska laboratorium. En inspektion utgjordes av ett tillsynsprojekt avseende rikspolisstyrelsens person- register. På den privata sidan gjordes 30 inspektioner av inkasso- och kredit- upplysningsföretag, varav 22 under 1989. Under 1988 ägde 10 inspektioner rum av videobutikers personregister. Vad angår övriga sju inspektioner under under- sökningsperioden inom den privata sektorn avsåg dessa bl.a. personregister förda

av en restaurang, ett politiskt parti, ett försäkringsbolag och ett privat vårdföretag.

Endast i något enstaka fall har datainspektionen underlåtit att förhandsinformera

om sin inspektion.

I endast ett fåtal fall per år har inspektionen polisanmält brott mot datalagen.

• Sida 69
•  Original

69 5.5.3 Tillsynsprojekt

Datainspektionen har under senare år genomfört ett antal s.k. tillsynsprojekt. Dessa avsåg personregister i kommuner och landsting, rikspolisstyrelsens personregister, personregister för forskningsändamål vid universitet och högskolor, register inom hälso- och sjukvården, videobutikers personregister, registrering av personer i s.k. spärrlistor samt inkassoföretags personregistrering m.m. Projekten och de slutsatser de föranlett från inspektionens sida redovisas

kortfattat i det följande.

I juni 1987 inledde datainspektionen tillsynsprojektet avseende person- registreringen på det kommunala och det landstingskommunala området. Projektet hade till syfte att dels klarlägga innebörden av datalagens registeransvarighetsbe- grepp på detta område, dels kartlägga omfattningen och inriktningen av personregistreringen i kommunernas resp. landstingskommunemas verksamhet. Projektet syftade även till att undersöka möjligheterna att ersätta den nuvarande

prövningen av ansökningar om tillstånd att inrätta personregister med generella

regler.

I en skrivelse som sändes till samtliga kommuner och landstingskommuner redovisade datainspektionen som sin uppfattning att registeransvaret åvilade de kommunala respektive landstingskommunala myndigheterna. Samtliga kommuner och landstingskommuner ombads att utreda registeransvaret för sina personregister i enlighet med vad som angavs i skrivelsen och anmodades att redovisa resultatet

av utredningen till datainspektionen i form av personregisterförteckningar enligt 7a 5 datalagen.

Datainspektionen har redovisat resultatet av detta projekt i en rapport (1987z4)

Personregister i kommuner och landsting 1987.

Datainspektionens allmänna intryck av den redovisning som skedde av person-

registreringen var att det på många håll förelåg brister i fråga om överblicken och

• Sida 70
•  Original

kontrollen över de personregister som fördes. Vissa omständigheter i samband med granskningsarbetet gav också vid handen att integritetsfrågoma inte alltid ägnades tillräcklig uppmärksamhet. Detta intryck förstärktes vid inspektionens samtal med företrädare för registeransvariga myndigheter. Datainspektionen fann också att 90 procent av de ingivna personregisterförteckningarna saknade uppgift om register för vilka inspektionen hade meddelat tillstånd. Inspektionen ansåg att man av redovisningen i många fall kunde dra den slutsatsen att kunskaperna om datalagens bestämmelser var bristfälliga och att det behövdes ytterligare information till kommuner och landstingskommuner om innebörden av datalagens

registeransvarighetsbegrepp.

Genomförandet av projektet har enligt datainspektionen lett till en större

medvetenhet om datarättsliga frågor hos kommunerna.

Datainspektionen arbetar med att under år 1990 kunna införa ett förenldat ansökningsförfarande för vissa mera frekventa kommunala register inklusive

ändringar i sådana register (se avsnitt 5.1).

Datainspektionen beslöt i oktober 1988 att inleda en granskning av rikspolis- styrelsens personregister. I en skrivelse till rikspolisstyrelsen den 5 oktober 1988 angavs att syftet med granskningen var att undersöka om registren fördes i enlighet med datalagens bestämmelser och de villkor som datainspektionen meddelat. Inspektionen uttalade emellertid samtidigt sin avsikt att ge tillsyns-

projektet en vidare ram än som föranleddes av en sådan granskning.

Datainspektionen ville bl.a. höra rikspolisstyrelsens åsikt om hur en klarare reglering av polisregistren kunde åstadkommas samt önskade att styrelsen kunde medverka till klarhet om vilka förteckningar som polisen för med sådant författningsstöd som avses i 4 & datalagen. Datainspektionen ville även orientera sig om rikspolisstyrelsens roll i de lokala polismyndighetemas utveckling av sina

datorstöd samt i vilken grad styrelsens tillsyn över polisverksamheten också

• Sida 71
•  Original

innefattar en kontroll av datalagens efterlevnad, t.ex. vad gäller kravet på ADB- säkerhet.

Som underlag för sin granskning infordrade datainspektionen den förteckning som rikspolisstyrelsen är skyldig att föra enligt 7 a & datalagen. Rikspolisstyrelsen inkom med en i två separata handlingar uppdelad förteckning. Den ena handlingen tog upp de personregister som förs inom rikspolisstyrelsen med undantag av säkerhetsavdelningen. Den andra handlingen tog upp säkerhetsavdelningens

personregister.

Då säkerhetsavdelningens verksamhet var föremål för granskning av såväl SÄPO- kommittén (Ju l987:5) som justitiekanslern ansåg datainspektionen att in- spektionens granskning inte borde omfatta denna avdelnings personregister. Från granskningen undantogs även de register som förs huvudsakligen för polisväsen-

dets administration.

Vid sin granskning av rikspolisstyrelsens register och av den författningsreglering som gällde för dessa register utgick datainspektionen från en av Europarådet antagen rekommendation om användningen av personuppgifter inom polissektom, Rekommendation No. R (87) 15, och såg hur registreringen hos rikspolisstyrelsen

förhöll sig till reglerna i rekommendationen.

Datainspektionen har redovisat resultatet av detta projekt i en rapport den 28 september 1989 (Dnr 2366-88).

Vid granskningen fann datainspektionen att flera av rikspolisstyrelsens datasystem var behäftade med ett starkt eftersatt underhåll vilket medförde en betydande risk för försämrad datakvalitet och därmed för integritetsintrång. I gransknings— rapporten har datainspektionen särskilt påpekat de stora svårigheter som rikspolisstyrelsen ställts inför på grund av en bristfällig författningsreglering och har mot bakgrund härav funnit sig likväl kunna avge ett positivt sammanfattande

omdöme om rikspolisstyrelsens sätt att hantera registren.

• Sida 72
•  Original

Tillsynsprojeklet utmynnade även i en skrivelse från datainspektionen till

regeringen vari inspektionen förordade en översyn av polisregisterlagstiftningen.

Från datainspektionen har inhämtats att den efter rapportens avgivande meddelat beslut om ändamålet för vissa av rikspolisstyrelsens register. Det har vidare upplysts att diskussioner pågår mellan inspektionen och rikspolisstyrelsen om

gallringsbeslut, ADB—säkerhet samt vissa ändringar i redan givna beslut.

Beträffande personregister förda för forskning vid universitet och högskolor har datainSpektionen initierat ett tillsynsprojekt varvid stora felaktigheter upptäckts. Det visade sig bl.a. att flera av de registeransvariga myndigheterna hade svårt att överblicka OCh kontrollera den personregistrering för forskningsändamål som förekom. Sådana förteckningar över personregister som skulle ha förts enligt 7a & datalagen hade t.ex. ofta inte upprättats. Det framkom att kunskaperna om datalagens bestämmelser var bristfälliga på många håll inom forskarsamhället. Även när det gällde tryckfrihetsförordningens regler om allmänna handlingars offentlighet, sekretesslagens bestämmelser samt reglerna om arkivvård saknades också ofta tillräckliga kunskaper. Datainspektionen har redovisat resultatet av detta projekt i en rapport den 18 maj 1990 (Dnr 2393-88).

Som ett resultat av det då pågående tillsynsprojektet infördes den 1 februari 1990 ett förenklat ansökningsförfarande beträffande vissa personregister för forsknings-

ändamål (se avsnitt 5.2).

Datainspektionen har i ett annat projekt, det s.k. företagshälsovårdsprojektet, särskilt undersökt personregistreringen inomföretagshälsovården. Som ett resultat av detta arbete utgavs en informationsskrift om personregister inom före-

tagshälsovården.

Inom datainSPekttionen har även pågått arbete med att ta fram underlag för riktlinjer beträffande patientregister inom hälso- och sjukvården, det s.k. patientpro'ektet.

• Sida 73
•  Original

Bruket att registrera personer i s.k. spärrlistor, dvs. förteckningar över personer som anses ha misskött sig i sitt mellanhavande med uthyrare eller kreditgivare, har också närmare undersökts av datainspektionen. Detta s.k. spärrlisteprojekt

resulterade bl.a. i utgivandet av en informationsskrift om spärrlistor.

Under år 1989 skedde inspektioner av inkassoföretags rutiner och person- registrering, det s.k. inkassoprojektet. Resultatet av detta projekt har redovisats i en rapport den 17 april 1990 (Dnr 75-90).

Datainspektionen företog under år 1988 ett flertal inspektioner av Videobutikers kundregister. Inspektionen har ännu inte avgivit någon särskild granskningsrapport

avseende detta s.k. videoprojekt.

5.6. Finansiering

Enligt förordningen (1982:481) om avgifter för datainspektionens verksamhet skall kostnaderna för inspektionens verksamhet täckas genom avgifter. Dessa utgörs dels av licensavgifter och dels av handläggningsavgifter vid prövning av tillståndsärenden m.m. För licens betalas en årlig avgift på 448 kr. För hand— läggning är avgiften 495 kr för varje påbörjad handläggningstimme. Båda avgifterna får sättas ned eller efterskänkas om det finns särskilda skäl. Bestämmelserna tillämpas f.n. så att ideella föreningar befrias från licensavgift, om deras medlemsantal inte överstiger 200. Fram till den 1 juli 1989 hade 1 902 licenshavare avgiftsbefriats.

Under budgetåret 1988/89 kunde datainspektionen för första gångem täcka sina kostnader och dessutom få ett överskott. Datainspektionens intäktezr i form av licens- och och handläggningsavgifter uppgick under budgetåret till 17 405 469 kr, varav 1 874 000 kr utgjordes av handläggningsavgifter. Det preliminära kostnadsutfallet för samma budgetår blev 16 123 000 kr.

• Sida 74
•  Original

Datainspektionen har beräknat att inspektionen genom fortsatta insatser inom verksamhetsområdet licensverksamhet kan medverka till att antalet betalande

licensinnehavare ökar med 2 000 årligen under de närmaste åren.

Datainspektionen har upplyst att kostnaderna för licenshanteringen består av tre slags kostnader, nämligen investeringskostnader, driftkostnader samt informa-

tionskampanjkostnader.

Investeringskostnadema för inköp av ADB-utrustning samt utveckling av ett nytt licenssystem har av datainspektionen uppskattats till ca. 1,5 milj kr, varav 1 milj kr utgör kostnaden för utrustning och en halv milj kr konsultarvode. Kostnaden för utrustningen har beräknats schablonmässigt på så sätt att en fjärdedel av kostnaden för datainspektionens ADB-utrustning uppskattas falla på licens—

systemet.

Den årliga dn'fikostnaden med en licensstock på f.n. knappt 40 000 licenser har datainspektionen beräknat enligt följande.

Lönekostnader för licenshandläggningen 363 000 kr (inkl. sociala kostnader)

Faktureringskostnader 162 000 kr Uppdatering mot BASUN 50 000 kr Servicebyrå för utskick av 45 000 kr informationsmaterial

Underhåll och service av dator- 380 000 kr utrustningen

Summa 1 000 000 kr

• Sida 75
•  Original

Sedan år 1986 har datainspektionen vid olika tillfällen bedrivit omfattande informationskampanjer riktade till myndigheter, företag och andra organisationer. Syftet har varit att informera om datalagens bestämmelser om registeransvar, tillståndsplikt, licensskyldighet m.m. I den nu gällande verksamhetsplanen har gjorts den bedömningen att sådana informationskampanjer inte längre behövs. I stället skall rutiner utformas för en systematisk bearbetning av branscher som kan antas vara underrepresenterade i licenssystemet. Den fortsatta utvecklingen av licensbeståndet skall ingå i den löpande handläggningen. Datainspektionen anser

sig inte nu kunna uppskatta kostnaderna härför.

• Sida 76
•  Original

• Sida 77
•  Original

6. Den datatekniska utvecklingen m.m.

Under de senaste åren har utvecklingstakten inom informationsteknologin

accelererat kraftigt och datoranvändningen i samhället ökat markant.

I det följande beskrivs datoranvändningen i samhället (6.1), utvecklingen på det datatekniska området (6.2) och optiska lagringsmedia (6.3). Vidare redogörs i avsnitt 6.4 för de synpunkter som framkom vid en av utredningen anordnad

hearing om bl.a. ADB-begreppet.

6.1 Datoranvändningen i samhället

I regeringens prop. 1984/85:220 om datapolitiken har lämnats en bred översikt över hur automatisk databehandling (ADB) har utvecklats fram till mitten av 1980-talet. Av propositionen framgår bl.a. hur informationsteknologin (vari inkluderas datortekniken) kommit att användas inom de flesta områden och fått en allt större betydelse för samhällsutvecklingen. Några av datorteknikens följd- verkningar berörs, t.ex. den automatisering av ytterligare arbetsmoment som kunnat ske genom datorteknikens utveckling, den ökade kunskapsspridningen samt de förändrade förutsättningama för människor i olika verksamheter att kunna

komma i kontakt med varandra och utbyta information.

Under andra hälften av 1980—talet har datoranvändningen ökat kraftigt och bara under den senaste treårsperioden såldes över en halv miljon persondatorer i

Sverige.

Datortekniken utnyttjas inom allt fler nya tillämpningsområden. Exempel på sådana områden är bevakning och tillträdesskydd, revision, ekonomiska trans- aktioner med hjälp av aktiva kort, joumalhantering inom sjukvården och massmedias textarkiv. Ett markant inslag i ADB-teknikens utveckling är att den

inte längre är bunden till centrala system vars funktioner kan påverkas bara av ett

• Sida 78
•  Original

fåtal människor. Genom utbredningen av persondatorer och lokala system har olika användare inom arbetslivet fått utökade möjligheter att påverka och själva utforma sitt ADB—stöd.

Statistiska centralbyrån har i en studie funnit att 1,5 milj svenskar är 1989 använde datorer i sitt arbete, en ökning med 50 procent på fem år. Det motsvarar 32 procent av alla sysselsatta. Enligt undersökningen hade antalet dator— användande företag ökat med 200 procent från år 1984 till 1989. Under samma tidsperiod hade antalet personer som hade datorutrustning i bostaden tredubblats från 178 000 personer till 546 000 personer. Studien visade vidare att över hälften av de statligt anställda använde datorer i sitt arbete mot bara 14 procent av de anställda inom kommuner och landsting. Antalet datoranvändare varierade mycket mellan olika yrkesområden och näringsgrenar, från knappt 10 procent inom jord-

och skogsbruk till närmare 90 procent inom bank- och försäkringsväsende.1

Frågor om datorteknikens användning i arbetslivet har tagits upp i en rapport (Ds 1989:24) Datatekniken och den personliga integriteten i arbetet - en kart- läggning, avgiven av arbetsgruppen för vissa frågor om data och integritet i arbetslivet. Bland fördelarna med den nya datortekniken nämns att den kan ge nya förutsättningar att införa en mer demokratisk arbetsorganisation samt att den kan ersätta hårt styrda löpande bandarbeten med fler grupparbetsplatser och därmed mer omväxlande arbetsuppgifter och möjlighet till ökad kompetens. Arbetsgruppen konstaterar dock att med en ökad decentralisering styrningen i produktions— planeringen kan komma att öka. Bland nackdelarna nämns en ökande andel ensamarbete, utarmning av arbetet med påföljden att kraven på yrkeskunskap minskar samt ökad stress. I rapporten konstateras också att det i dag finns tekniska förutsättningar som gör det möjligt att registrera stora mängder information om de olika delarna av arbetsprocessen och därmed också uppgifter

för individuell uppföljning och kontroll av de enskilda arbetstagarna.

l) Datorvanor 1990, utgiven av statistiska centralbyrån och Dataföreningen i Sverige, 1990

• Sida 79
•  Original

En redovisning av den nya datorteknikens påverkan på den personliga integriteten återfinns även i en nyligen utgiven studie av Europarådet. I denna studie föreslås att Europarådet lämpligen bör ta fram rekommendationer till sina medlemsländer

beträffande tillämpningen av den nya datortekniken.1

6.2. Utvecklingen på det datatekniska området

En definition av dator betecknar den som en apparat för databehandling som utan mänskligt ingripande under körning kan utföra omfattande beräkningar med ett stort antal aritmetiska operationer eller logikoperationer.2 Datorn kan sägas ha tre huvuduppgifter, nämligen bearbetning (inbegripet beräkningar), lagring och kommunikation. Datoms arbete styrs av systemprogram (t.ex. operativsystem) och tillämpningsprogram (t.ex. för sortering, beräkning m.m.). En närmare teknisk beskrivning av hur ett datorsystem är uppbyggt och fungerar har getts i upphovsrättsutredningens delbetänkande (SOU 1985:51) Upphovsrätt och datateknik s. 29 ff.

Dagens datorutrustning är väsentligt kraftfullare, billigare och enklare att hantera än den som fanns att tillgå tidigare. Ett mycket stort antal människor har fått möjlighet att tillgodogöra sig information av olika slag och att bearbeta den efter

egna önskemål.

En alltmer långtgående standardisering inom datakommunikation har ägt rum under den allra senaste tiden och har förenklat informationsutbytet mellan olika

system. En effekt härav blir med all sannolikhet en allt intensivare internationell

datakommunikation. Även trådlös datakommunikation blir allt vanligare.

1) New Technologies: A Challenge To Private Protection], utgiven av Europarådet, 1989

2) SIS Dataordboken, utgåva 4, s.72, utgiven av SIS — Standardiseringsommissionen i Sverige, 1989

• Sida 80
•  Original

Genom den hittillsvarande utvecklingen av lagringstekniken finns numera möjlighet att enkelt lagra i stort sett obegränsade mängder information, inkluderat lagring av bilder, till väsentligt lägre kostnader än bara för några år sedan. Se

vidare avsnitt 6.3.

Kraftfulla och användaranpassade databashanteringssystem har förenklat möjlig- heten att lägga upp och bearbeta stora mängder data. Den tekniska utvecklingen har även medfört att användare via terminal själva enkelt kan göra valfria

sammanställningar ur en databas.

I det följande redovisas kortfattat utvecklingen avseende kommunikation (6.2.1), databaser (6.2.2) och s.k. aktiva kort (6.2.3).

6.2.1. Kommunikation

Nätverk

Genom att använda ett s.k. modem (Munter/demodulator), vars uppgift är att omvandla elektriska pulser till tonsignaler, kan det vanliga telefonnätet användas för datakommunikation. Dataöverföringen kan antingen ske via det vanliga telefonnätet, Datel, eller via ett speciellt nät för dataöverföring, Datex. Inom Datel använder man sig antingen av det allmänna telefonnätet och kopplar upp sig vid varje dataöverföringstillfalle (Datel-U) eller också hyr man en fast ledning, vilken man sedan fritt disponerar för dataöverföring (Datel-F). Datexnätet baseras på en standard för digital överföring som medför en betydligt större driftsäkerhet. Datexliknande nät finns i de övriga nordiska länderna, Västtyskland, Österrike,

Japan samt delar av Nordamerika, m.fl. länder.

Ett annat nät för datakommunikation är Datapak. Datapak bygger på en helt annan teknik än Datel och Datex, nämligen den s.k. paketförmedlingstekniken. Den grundläggande idén bakom denna teknik är att nätets överföringskapacitet

endast skall behöva utnyttjas när data översänds. Datapaks inriktning är att

• Sida 81
•  Original

tillgodose behovet av internationell datakommunikation, databassökning samt datasystem, där datorer kommunicerar med flera terminaler samtidigt och/eller

med olika hastigheter. Datapaktjänster finns i de flesta industriländer.

Nyligen enades merparten av Europas teleförvaltningar om att införa ett integrerat digitalt telenät, Integrated Services Digital Network, (ISDN). ISDN, som bygger på en internationell standard, kan hantera kombinerad kommunikation av data, text, ljud och bild över samma förbindelse. Det svenska ISDN-nätet kommer att att vara färdigt år 1992 samtidigt som ett europeiskt ISDN-nät beräknas vara klart. Idag finns dock redan ISDN som pilotprojekt i Stockholm och Göteborg och marknadsföringen av dessa ISDN-tjänster kommer att påbörjas under år 1990.

Genom införandet av ytterligare nätverk (Internal Wide Area Network, IWAN), kommer det i framtiden att bli möjligt att koppla in persondatorer på ISDN-nätet

och använda nätet som ett lokalt nät oberoende av avståndet.

Överföring av textmeddelanden

Det pågår en intensiv utveckling av nya tekniker för överföring av text-

meddelanden. Tidigare medier som t.ex. telegram har nästan försvunnit helt.

Telex har en relativt låg överföringshastighet och begränsad teckenuppsättning, men är ändå på grund av en världsomfattande spridning med ca 1,5 — 2 milj

terminaler fortfarande ett mycket använt medium.

T eletex, en modern variant av traditionell telex, kommer dock troligen på sikt att ersätta telex. Den utrustning som i huvudsak används vid teletex är i stort sätt en vanlig persondator med ett ord— och textbehandlingsprogram och möjlighet till datakommunikation. En text, t.ex. ett brev eller ett meddelande, skapas med hjälp av ord— och textbehandlingsprogrammet på teletexutrustningen. Därefter

skickas texten till önskad mottagare via i första hand Datexnätet till mottagarens

• Sida 82
•  Original

teletexutrustning. Överföringshastigheten för teletex är ca 50 gånger högre än med

vanlig telex.

Telefax började på allvar att användas som ett generellt kommunikationsmedel i början av 1980-talet. Bl.a. förekomsten av internationella standarder, kompati- biliteten mellan olika telefaxutrustningar, den relativt låga kostnaden och möjlig- heten att utnyttja det allmänna telefonnätet har lett till en snabb spridning av utnyttjandet av telefax. Sedan 1984/85 har antalet telefaxapparater fördubblats årligen och enligt en bedömning beräknas antalet sådana apparater i Sverige år 1991 uppgå till drygt 230 000.

Elektronisk post innebär att text som kan skapas med hjälp av ord- och textbe- handling skickas till önskade mottagare via ett datanät där meddelandet motsvarar ett "brev". De elektroniska postsystemen har utvecklats kraftigt under den senare delen av 1980-talet och många företag använder sig idag av intern elektronisk post. De företag som har ett datorbaserat internt kontorsinformationssystem (KI) har tillgång till intern elektronisk post. Från en dataskärmsterminal eller person- dator kan man via företagets centrala dator skicka den önskade texten, t.ex. ett meddelande, till en mottagare. Dennes dataskärmsterminal eller persondator är då antingen kopplad via en direktledning eller via telenätet till företagets centrala dator. Nuvarande system för elektronisk post följer inte en vedertagen standard varför två företag normalt sett inte kan utbyta text, om de inte har samma slag av

elektronisk post.

Ett av Volvo Data utvecklat meddelandesystem för elektronisk post, MEMO, har blivit det dominerande systemet i Norden. Det används i dag av många företag och myndigheter både i Sverige och i utlandet. Ett annat system, Telebox, har utvecklats av televerket. Även IBM har utvecklat ett system, IBM Screenmail,

med stor internationell spridning.

Med de flesta varianter av elektronisk post kan användaren samtidigt skicka

samma text till flera mottagare, kontrollera om mottagaren har tagit del av den

• Sida 83
•  Original

översända texten, i datorn arkivera de texter man vill spara, ha en egen "brevlåda" på den centrala datorns skivminne där inkomna texter lagras, om man inte omedelbart kan läsa det inkommande meddelandet, samt ha en egen behörighetskod som hindrar obehöriga att få tillgång till "brevlådan".

En del elektroniska postsystem har särskilda funktioner för att också stödja grupp- kommunikation. I dessa s.k. datakonferenssystem kan avsändaren adressera ett skrivet meddelande som ett inlägg till ett elektroniskt möte eller konferens, i vilket ett flertal personer kan vara deltagare. Exempel på sådana system är KOM, SuperKOM, PortaCom och EARN (European Academic and Research Network). Det finns även s.k. Bulletin Board Systems, BBS, mot vilka man kan koppla upp sig för att ställa frågor, delta i erfarenhetsutbyte eller hämta programfiler.

Sedan mitten av 1980-talet har det pågått en uppbyggnad av nationella system för elektronisk post, baserade på principen om "brevlådor" via vilka kommunikation- en äger rum. Det har också börjat införas samtrafik dels mellan nationella system, dels mellan interna organisationssystem samt dels med andra kommunikations— medier som telefax och telex. Internationellt har det bildats organisationer som förmedlar elektronisk post. Det har även pågått ett internationellt standardi- seringsarbete, och teleförvaltningamas standardiseringsorgan, CCITI', har utfärdat en serie av rekommendationer för standardiserade meddelandetjänster, benämnda X.400. Sedan våren 1989 har det också varit tekniskt möjligt att låta elektroniska

"brevlådor" av olika fabrikat kommunicera med varandra.

EDI, (Electronic Data Interchange) är en nyhet inom datakommunikations- området. Genom EDI kan man på elektronisk väg överföra handelsdokument såsom t.ex. fakturor, beställningar, avropsorder, tullhandlingar och betalningar. Ett omständligt registreringsarbete underlättas, vilket innebär minskade arbets— insatser och högre administrativ kvalitet. Det blir vidare möjligt att styra godsflöden med större precision än tidigare, vilket minskar kapitalbindningen och förenklar administrationen. Företag och andra organisationer kan genom att minska den manuella pappershanteringen göra betydande besparingar både i tid

• Sida 84
•  Original

och pengar. Det nya svenska tulldatasystemet kommer t.ex. att medge både export- och importdeklarationer via EDI.

Den information som överförs med EDI är direkt bearbetningsbar i datasystemen. En förutsättning för detta är dock att den är standardiserad. Mottagande system måste få besked om vilken typ av meddelande, t.ex. order, leveransbesked eller faktura, som sänts över. Inom nationella och internationella organ, liksom inom olika branschföreningar, pågår sedan några år tillbaka arbete med EDI-standardi- sering av handelsinformation. Så har exempelvis de västeuropeiska biltillverkarna bildat ODETTE (Organisation for Data Exchange by Tele Transmission in Europe), som skapat standarder för informationsöverföring avseende leverans- planering, streckkodsmärkning, fakturering etc. Andra EDI-system är CEFIC för kemiindustrin, EDIFICE för elektronikindustrin och Rinet för försäkringsbolagen. I FN:s regi har även utvecklats en bredare standard kallad EDIFACT, (Electronic

Data Interchange For Administration, Commerce and Transport).

Mobitex är ett mobilt system för överföring av data, text och tal. Mobitex—nätet har funnits i Sverige sedan år 1986 och täcker ungefär halva Sveriges yta idag. Mobitexnätet, som sköts av Televerket Radio, består av ett antal basradiostationer som kommunicerar med mobila terminaler. Textmeddelanden kan skickas mellan användare som har en textfunktion på sina terminaler. Meddelanden kan vara på högst 512 tecken, varför längre texter måste skickas uppdelade som många korta. Systemet ger uppgift om meddelanden har kommit fram eller ej. Datameddelanden kan kodas fritt och vara lika långa som textmeddelanden. Om man vill skicka ett meddelande till många personer, går det att använda en Sändlista. Det går även att upprätta en talförbindelse. Om man för tillfället inte kan ta emot meddelanden,

kan dessa lagras i en "brevlåda".

Videotex är beteckningen på ett informations- och kommunikationssystem för spridning av text och viss grafisk information. Användarutrustningen består vanligen av speciella videotexterminaler med modern. Det är dock även möjligt

att använda vissa TV-apparater som monitorer. Också persondatorer kan utnyttjas

• Sida 85
•  Original

under förutsättning att de kompletteras med program för datakommunikation. Se

vidare avsnitt 6.2.2.

6.2.2. Databaser

Databaser finns för de flesta ämnesområden: ekonomi, teknik, fysik, kemi, medicin, miljö, samhällsvetenskap, humaniora, juridik, dagsnyheter etc. De innehåller många olika typer av material såsom tidskriftsartiklar, litteratur- referenser, statistiska sifferserier, grafiska bilder m.m. Materialet i databaserna uppdateras regelbundet, i vissa fall dagligen. Beräkningar visar att det tillkommer i genomsnitt två nya databaser varje dag. Totalt finns det nu drygt 5 000 allmänt tillgängliga, s.k. publika, databaser över hela världen.

De flesta publika databaser tillhandahålls av s.k. databasvärdar. Dessa är serviceföretag som äger eller har rätten till ett antal databaser. Vissa databas— värdar driver bara en eller ett par databaser och har då ofta själva framställt databasens innehåll. Andra värdar kan ha hundratals olika databaser. För att få tillgång till databaserna krävs normalt användarabonnemang i form av ett separat abonnemang till varje värd. Till detta kommer i de flesta fall en sökavgift som debiteras per minut uppkopplad tid och/eller står i relation till hur stort material användaren tar ut från databasen. Den utrustning som behövs är en terminal eller

persondator, ett kommunikationsprogram anpassat till datorn samt ett modem.

För att nå informationen i en databas måste man använda en viss uppsättning kommandon, ett sökspråk. Eftersom sökspråket i allmänhet är knutet till databas- värdens system finns det många olika sökspråk på marknaden.

De publika databaserna kan med hänsyn till sitt innehåll indelas i två huvud— grupper, källdatabaser och referensdatabaser. Källdatabaser består av information som direkt och i sin helhet kan överföras till användarens lokala datorutrustning.

Referensdatabaser ger referenser eller sökingångar till annat material.

• Sida 86
•  Original

På senare tid har användningen av s.k. "gateways" ökat. Detta innebär att man kopplar upp sig mot en databasvärd och därifrån kopplas vidare till andra värdar och kan söka i databaserna hos dessa med samma sökspråk som gäller hos den först uppkopplade värden. På så vis krävs endast ett användarabonnemang. Ett

exempel härpå är DAFA Data AB:s s.k. InfoTorg.

Vid sidan av system som ger tillgång till de traditionella databaserna finns även Videotex. Videotex utvecklades under 1970—talet och byggde på en idé att koppla ihop TV och telefon med hjälp av en tillsats. I Sverige introducerades Videotex

i början av 1980-talet och är idag en tjänst som erbjuds av televerket.

Televerket sköter ett videotexnät till vilket ett antal företag har anslutit sina datorer så att deras databaser blivit åtkomliga för användaren av Videotex. De företag som anslutit sig ansvarar för den information och de Specialtjänster som erbjuds genom Videotex, medan televerket svarar för kommunikation och service. Söktekniken är enkel och gemensam för alla databaser i Videotex. Man väljer från menyer och bläddrar fram bilder. Informationen är nämligen lagrad bildvis och inte som en sammanhängande textmassa. De anslutna företagen kan göra det möjligt för kunderna att sköta sina affärer direkt från videotexterminaler i hemmen. Avgränsade grupper kan även skapa slutna informationstjänster som bara är tillgängliga för den egna kretsen i Videotex. I Videotex finns också tillgång till olika elektroniska tjänster såsom telex, telefax, elektronisk post och

personsökning (Minicall).

Databaser anslutna till det svenska videotexsystemet omfattar bl.a. ekonomi och börsinformation, reseinformation, statistik, kreditupplysningar, information från offentliga register (bl.a. bilregistret och fastighetsregistret), tidtabeller, valuta—

kurser, telefonkatalog samt spelinformation.

Videotex kan nås antingen genom en speciell videotexterminal som kopplas till en TV-apparat eller genom en persondator utrustad med modem och ett särskilt

program. Användaren betalar en mindre abonnemangs- och trafikavgift till tele—

• Sida 87
•  Original

verkets videotextjänst och särskilda bildavgifter till de företag eller institutioner

som gjort bilderna. Televerket sköter dock all debitering.

För närvarande uppgår antalet videotexabonnenter till ca 20 000, varav endast en mindre del är privatpersoner. Televerket har för avsikt att inom kort i samarbete med IBM och Esselte inleda en försöksverksamhet, TeleGuide, varvid ett större

antal videotexterminaler kommer att placeras hos hushåll i Västerås.

6.2.3 Aktiva kort

Ett s.k. aktivt kort eller "Smart Card " är ett plastkort i kreditkorts format i vilket en mikrodator har bakats in. Mikrodatorn strömförsörjs från och kommunicerar med yttervärlden via kontakter i kortets yta. Mikrodatorn innehåller en mikropro- cessor, ett minne, s.k. ROM (Read iny Memory) med ett fast styrprogram, ett arbetsminne och ett användarminne. Både mikrodatorn och minnet är integrerat i en enda mikrokrets. Varje gång något skrivs i kortet bränns en eller flera bitar i minnet. Detta gör att man inte kan manipulera med redan skriven information. All åtkomst regleras av styrprogrammet. Informationsbehandlingen sker i själva kortet genom att kortinnehavaren ger ett lösenord. Detta kan t.ex. vara en PIN- kod (Eersonal Identification Number) eller i framtiden en kod baserad på ett fingeravtryck.

Aktiva kort kan användas som identifiering vid åtkomst till databaser, överföring av data genom kommunikation och som nyckel vid kryptering. Kortet kan också användas vid in- och utpasseringskontroll. Vidare kan det utnyttjas som ett elektroniskt betalkort och då användas vid t.ex. transaktioner via Videotex,

betalning av telefonsamtal eller banktransaktioner.

Aktiva kort kan också vara portabla databärare. De kan innehålla särskilt anpassad

information och användas som exempelvis medicinska hälsokort, medlemskort,

försäkringsbevis eller tentamensböcker.

• Sida 88
•  Original

88 6.3 Optiska lagringsmedia

En utveckling som särskilt bör nämnas inom det informationsteknologiska området är utvecklingen av den optiska lagringstekniken, en teknik som nu breder ut sig med en tilltagande hastighet. Med tillkomsten av denna teknik har persondator- användare fått en snabb och billig tillgång till mycket stora informationsmängder

av alla slag.

Optisk lagring baseras på användning av ljus, och lagringstekniken är en biprodukt av den ursprungliga optiska videoskivan som introducerades av Philips under 1970—talet. En närmare redovisning av den optiska tekniken har bl.a. lämnats i betänkandet (SOU l987:74) Optisk - elektronisk övervakning s. 67 ff.

Det finns i huvudsak tre slags optiska lagringsmedia på marknaden: CD-ROM— skivor, WORM-skivor och WMRA-skivor.

Kompaktskivan eller CD-skivan (Compact Disc) lanserades år 1983 som en högkvalitativ efterföljare till LP-skivan. CD-skivan rymmer digitalt stereoljud av mycket hög kvalitet.

Ett renodlat datamedium, CD-ROM (Compact Disc Bead iny M_emory) intro- ducerades på marknaden är 1985. Skivan kan användas för att lagra text, bild och ljud, vilka alla tre möjligheter kan användas samtidigt. En enda CD-ROM-skiva, som är 12 cm i diameter och 1,2 mm tjock, har en användbar kapacitet på mer än 650 megabytes, motsvarande 250 000 sidor text, 75 minuter musik, 10 000 svartvita dokumentsidor i bildform eller 1 000 digitala videobilder i färg.

Det går snabbt att söka och läsa på en CD-ROM-skiva, men man kan inte skriva information på skivan. Tiden att få fram information (åtkomsttiden) varierar mellan 0,4 och 1 sekund. För att läsa av informationen på en CD-ROM-skiva krävs det en särskild CD—ROM—spelare med laser, som kan anslutas till en

persondator.

• Sida 89
•  Original

Det fanns år 1985 några tusen CD-ROM—spelare. År 1987 fanns omkring 100 000, huvudsakligen i USA. Enligt en beräkning kommer antalet apparater under år 1990 att uppgå till ca en halv miljon. En CD-ROM—spelare kostar idag från ca 5 000 kr, men priset beräknas komma att sjunka.

CD-ROM-tekniken innebär att massdistribution av mycket stora datamängder kan ske. På CD-ROM—skivor finns i dag bl.a. manualer, instruktionsböcker, reservdelskataloger, företagsinformationsdatabaser, telefonkataloger, geografiska informationsdatabaser, uppslagsverk, juridisk och medicinsk information, biblioteksinformation samt ordböcker och lexika. Utgivningen av CD-ROM-titlar har fördubblats varje år sedan år 1987 och det finns f.n. drygt 800 titlar på

världsmarknaden.

Den första svenska kommersiella CD—ROM-skivan, TERMDOK, utgavs av Walters Lexikon i samarbete med Tekniska nomenklaturcentralen för ca två år sedan och innehöll 25 000 tekniska termer med definitioner och 100 000 översätt- ningar till bl.a. engelska, tyska och franska. En uppdatering av skivan skedde år 1989 och denna nya version innehåller 350 000 termer med begreppsförklaringar och översättningar. Sistnämnda år gavs även Esselte Focus ( 17 band) ut på CD- ROM-skiva. Vidare har nyligen en CD-ROM-skiva utgivits som innehåller 21 ordböcker på 12 olika språk med över 5 miljoner uppslagsord.

Ett annat optiskt datalagringsmedium utgör de s.k. WORM—skivorna (Write ane Bead Many). Användaren kan skriva data endast en gång på varje fysisk plats på skivan. Det går alltså inte att radera eller ändra den information som en gång skrivits dit. Däremot går det att läsa den ett obegränsat antal gånger. WORM- skivan är därför väl lämpad för dokumentlagring och säkerhetskopiering som kräver stort lagringsutrymme, säkerhet och kontinuerlig uppdatering. WORM— tekniken återfinns ofta i kontorsinformations- och arkivsystem hos många stora

organisationer. Lagringskapaciteten motsvarar 10 000 - 500 000 sidor text bero— ende på WORM-skivans format.

• Sida 90
•  Original

WORM-skivan i ett större format har funnits på marknaden sedan år 1983 och skivan i ett mindre format sedan år 1985 . En standardisering av formatet kan dock

förväntas.

En tredje variant av optisk skiva är den raderbara skivan ibland benämnd WMRA (Write Many Read Always). Detta är en magneto-optisk skiva där magnetfältens förmåga att ändra laserljusets polariseringsriktning utnyttjas. På dessa skivor kan den information som en gång skrivits in tas bort och utrymmet utnyttjas för att skriva in ny information. Den kan närmast jämföras med ett ordinärt magnetiskt

lagringsmedium såsom en hårddisk, dock med mångdubbel kapacitet.

6.4. ADB-begreppet m.m.

Datateknikens snabba utveckling har medfört stora svårigheter att finna en lämplig och hållbar definition av begreppet automatisk databehandling (ADB).

I syfte att försöka klarlägga innebörden av detta begrepp har utredningen låtit anordna en hearing med deltagande av expertis på dataområdet. Förutom utred- ningens egna experter deltog följande personer: verksjuristen Jan Henrik Ahmell, televerket, arkivrådet Claes Gränström, riksarkivet, ADB-direktören Jarl Hellberg, datainspektionen, rättschefen Johan Hirschfeldt, statsrådsberedningen, ADB-direktören Anders Kylesten, datainspektionen, tekniske direktören Anita Lagerkvist, datainspektionen, direktören Nils Rydén, Sveriges industriförbund, professorn Peter Seipel och adjungerade professorn Bo Sundgren, båda Stock- holms universitet samt professorn Sten-Åke Tämlund, Uppsala universitet.

Vid diskussionen syntes den allmänna uppfattningen vara att en positiv och entydig avgränsning av ADB-begreppet, som kan tänkas gälla under någon längre tid och som anknyter till begreppet dator, inte är möjlig eller i vart fall är mycket svår att göra. Detta gäller f.ö. även andra tekniska eller matematiska begrepp som är centrala inom vissa områden. Som exempel nämndes det matematiska

mängdbegreppet. Flertalet av deltagarna ansåg dock att svårigheten att definiera

• Sida 91
•  Original

vad som är ADB inte hade utgjort något direkt problem vid tillämpningen av datalagen. Man ansåg att det i de flesta fall gav sig självt vad som menades med begreppet ADB men att, även om så inte skulle vara fallet, det inte var nödvändigt att ha en uttömmande definition av ADB för att kunna tillämpa lagstiftningen på ett effektivt och rättssäkert sätt.

Ett förslag som lades fram vid hearingen var att i en framtida datalag behålla ADB som begrepp, men göra det möjligt att låta lagen omfatta även annan verk- samhet som medför integritetsrisker motsvarande dem som uppkommer vid ADB. Någon deltagare ansåg att en negativ definition av ADB—begreppet borde vara

möjlig och var den lämpligaste lösningen.

Det framkom vidare att datalagens personregisterbegrepp utgjorde ett stort praktiskt problem. De deltagande var eniga om att en framtida definition av personregister borde ske med utgångspunkt i en preciserad ändamålsbestämning av registerinnehållet, i stället för den nuvarande många gånger tekniska

anknytningen.

Vid hearingen diskuterades även frågan om samköming av personregister. Många av deltagarna var av den uppfattningen att det är lämpligt med ett mera nyanserat synsätt på samkömingsfallen. De ansåg att, även om många samkömingar kunde vara av integritetskänslig karaktär, den övervägande delen av dessa är relativt harmlösa. Särskilt framhölls den hittillsvarande utvecklingen med decentraliserade datasystem som i sig medför ett ökat behov av samkömingar utan att integritets- riskema därför ökar. Vidare påtalades behovet av uppdatering av uppgifter m.m. för att hålla registerinformationen aktuell och korrekt. Det betonades att en samköming således kan vara värdefull ur integritetssynvinkel, något som ofta glöms bort. Likaså nämndes den moderna databasteknikens allt större behov av

samkömingar.

• Sida 92
•  Original

• Sida 93
•  Original

7. Vissa internationella jämförelser

7 .1 Europarådskonventionen m.m.

Europarådets ministerkommitté antog år 1980 en konvention till skydd för enskilda vid automatisk databehandling av personuppgifter, Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data,

den s.k. dataskyddskonventionen. Vid konventionen har fogats en förklarande

rapport av den expertgrupp inom Europarådet som har utarbetat konventions-

texten .

Konventionen trädde i kraft den 1 oktober 1985, då kravet var uppfyllt att fem medlemsländer tillträtt konventionen. Den har hittills ratificerats av Danmark, Frankrike, Förbundsrepubliken Tyskland, Irland, Luxemburg, Norge, Spanien, Storbritannien, Sverige och Österrike. Anslutning övervägs f.n. av bl.a. Neder-

länderna.

Konventionens syfte är att säkerställa respekten för grundläggande fri- och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatisk databehandling av personuppgifter. Enligt expertgruppens förklarande rapport är utgångspunkten att vissa av den enskildes rättigheter kan behövas skyddas i förhållande till den princip om fritt flöde av information, oberoende av gränser, som finns inskriven i internationella överenskommelser om mänskliga

rättigheter.

Konventionens tillämpningsområde är enligt huvudregeln automatiserade person— register och automatisk databehandling av personuppgifter i allmän och enskild verksamhet (artikel 3). Varje konventionsstat kan dock göra vissa allmänna inskränkningar eller utvidgningar i tillämpningsområdet för konventionen i dess helhet. Därutöver finns viss möjlighet till undantag från några enskilda bestäm-

melser (artikel 9). Reservationer mot bestämmelserna i övrigt får inte göras

• Sida 94
•  Original

(artikel 25). Däremot är det ingenting som hindrar att registrerade personer tillerkänns ett mer omfattande skydd än som föreskrivs i konventionen (artikel 11).

Konventionen har fem kapitel. Den centrala delen är kapitel 11 (artiklarna 4 - 11) som innehåller de grundläggande principerna för dataskydd. Varje konventionspart skall vidta de åtgärder som behövs för att dess nationella lagstiftning skall innehålla dessa grundläggande principer. Åtgärderna skall vara vidtagna senast vid den tidpunkt då konventionen träder i kraft för parten (artikel 4). Dessa grundläggande principer skall garantera registrerade personer i alla länder där konventionen gäller ett visst minimiskydd i samband med automatisk databehand- ling av personuppgifter. Detta skall göra det möjligt för konventionspartema att

ömsesidigt avstå från att begränsa dataflödet över gränserna.

Kapitel 11 innehåller krav på beskaffenheten av de personuppgifter som undergår automatisk databehandling (artikel 5). Dessa krav innebär bl.a. att uppgifterna skall inhämtas och behandlas på ett korrekt sätt och vara relevanta med hänsyn till ändamålet. Vissa typer av uppgifter får inte undergå automatisk databehand- ling, om inte den nationella lagen ger ett ändamålsenligt skydd (artikel 6). Det gäller uppgifter om ras, politiska åsikter, religiös tro eller annan övertygelse, hälsa, sexualliv samt brott. Lämpliga säkerhetsåtgärder skall vidtas för att skydda personuppgifter gentemot oavsiktlig eller otillåten förstörelse m.m. (artikel 7). Vissa ytterligare skyddsåtgärder för registrerade personer föreskrivs (artikel 8). Vidare föreskrivs bl.a. att alla som är registrerade i ett personregister skall ha

möjlighet till insyn i registret och möjlighet att få felaktiga uppgifter rättade.

Vissa undantag får enligt konventionen göras i fråga om kraven på uppgifternas beskaffenhet o.d. (artikel 9). För sådana avvikelser krävs dock dels att de har stöd i nationell lagstiftning, dels att de är nödvändiga i ett demokratiskt samhälle för att skydda statens säkerhet e.d. eller för att skydda den registrerade eller andra personers fri- och rättigheter. Rätten till insyn och rättelse m.m. får också i vissa

fall inskränkas i fråga om personregister för statistikändamål eller vetenskapliga

• Sida 95
•  Original

forskningsändamål. Den nationella lagen skall också innehålla lämpliga sanktioner och rättsmedel (artikel 10).

Kapitel III, som rör dataflödet över gränserna, syftar till att förena kraven på fritt informationsflöde och dataskydd. Det är enligt expertgruppen viktigt att man ser bestämmelserna i kapitel III i samband med de grundläggande principerna i kapitel 11, som garanterar att databehandlingen av personuppgifter i alla berörda länder är föremål för samma grundläggande reglering. Kapitel III innehåller be— stämmelser om behandlingen i nationell lag av flödet av personuppgifter över gränserna (artikel 12). Bestämmelserna gäller, oavsett vilket medium som används, vid överföring över nationsgränser av personuppgifter som undergår eller skall undergå automatisk databehandling eller som samlas in för det ändamålet. Huvudregeln är att överföring mellan konventionsstater skall vara fri. Det är inte tillåtet att ställa upp vare sig förbud eller krav på särskilt medgivande uteslutande i syfte att skydda den personliga integriteten.

I två fall är det emellertid tillåtet att göra undantag från huvudregeln. Den ena grunden för undantag är att avsändarlandets lagstiftning innehåller särskilda bestämmelser för vissa kategorier av personuppgifter men mottagarlandets lagstiftning inte ger ett likvärdigt skydd. Den andra grunden är att det egentliga mottagarlandet står utanför konventionen men överföringen dit sker via en konventionsstat. I ett sådant fall är det alltså möjligt för avsändarlandet att, för att undvika att dess lagstiftning kringgås, t.ex. kräva särskilt tillstånd för överföring-

en.

Kapitel IV och V reglerar formerna för samarbetet mellan konventionsstatema. Genom konstruktionen av konventionen har det blivit möjligt att begränsa innehållet i konventionen till de grundläggande principerna och att lita till samarbete mellan konventionsstatema, bl.a. inom ramen för en rådgivande kommitté, när det gäller att införa och harmonisera dessa principer i de olika staternas lagstiftning.

• Sida 96
•  Original

I kapitel IV finns bestämmelser om att varje konventionspart skall utse en eller flera myndigheter för samarbetet mellan parterna och även ange varje myndighets behörighet (artikel 13). De myndigheter som utses i de olika länderna skall tillhandahålla upplysningar om lagstiftning och administrativt förfarande på dataskyddsområdet m.m. Vidare behandlas frågor om bistånd till registrerade personer som är bosatta utomlands (artikel 14). Den myndighet som utses i ett visst land skall hjälpa personer i utlandet med att utöva sina rättigheter till insyn och rättelse m.m. Sådan hjälp skall lämnas oavsett om personen är bosatt i en

annan konventionsstat eller i ett land som står utanför konventionen.

I kapitel V finns bestämmelser om den rådgivande kommittén, dess samman-

sättning och uppgifter m.m. (artikel 18 och 19).

Europarådets arbete med integritetsfrågor har förutom den nu behandlade konventionen lett till rekommendationer beträffande olika delfrågor till

medlemsstaterna.

Sådana rekommendationer har tagits fram beträffande medicinska databanker (Recommendation No. R ,81, l), rättsdata (Recommendation No. R ,83, 3), forsknings- och statistikregister (Recommendation No. R ,83, 10), direkt- reklamregister (Recommendation No. R ,85, 20), socialförsäkringsregister (Recommendation No. R ,86, 1), polisregister (Recommendation No. R ,87, 15) och personuppgifter som används för anställningyörhållanden (Recommendation No. R ,89, 2).

Dessa rekommendationer är i och för sig inte bindande. Genom att anta rekommendationema utan reservationer anses medlemsländerna emellertid i princip ha åtagit sig att följa dem och att om så behövs anpassa sin nationella lagstiftning till dessa regler. Sverige har utan reservation åtagit sig att följa

rekommendationema.

• Sida 97
•  Original

Inom Europarådet pågår även utredningar om sådana integritetsproblem som bl.a. har samband med genetiska databanker, telemetri, videotexanvändningen inom banker, post osv, elektroniska postsystem samt användningen av kontokort och

maskinläsbara identitetshandlingar (jfr. avsnitt 6.1).

Ett samarbete har också nyligen inletts mellan Europarådet och EG beträffande data- och kommunikationsfrågor. Utgångspunkten för detta samarbete har varit att förena Europarådets huvudinriktning, dvs. närmast området mänskliga rättigheter, med EG:s strävan inför den planerade integrationen år 1992, dvs. ett fritt utbyte av kapital, varor, tjänster och information. Ett expertmöte med syfte att klarlägga problemområdena med deltagare från Europarådets och EG:s

medlemsländer hölls i Luxemburg under våren 1990.

7 .2 OECD:s rekommendation och riktlinjer m.m.

Inom Organisationen för ekonomiskt samarbete och utveckling, OECD, har en expertgrupp utarbetat vissa riktlinjer i fråga om integritetsskyddet och person- dataflödet över gränserna, Guidelines governing the Protection of Privacy and Transborder Flows of Personal Data. Riktlinjerna antogs år 1980 av OECD:s råd tillsammans med en rekommendation till medlemsländernas regeringar om att beakta riktlinjerna i nationell lagstiftning. Samtliga medlemsländer, däribland Sverige, har godtagit rekommendationen och därmed åtagit sig att följa denna. Ytterligare åtgärder som t.ex. ratifikation av medlemsländerna krävs inte varför riktlinjerna alltså har trätt i kraft. Någon preciserad tidpunkt för när kraven enligt

riktlinjerna fullt ut skall vara genomförda finns dock inte.

Enligt rekommendationen skall medlemsländerna l) i sin nationella lagstiftning beakta de principer om personlig integritet och individens grundläggande rättigheter som har presenterats i de riktlinjer som fogats till rekommendationen, 2) försöka undanröja opåkallade hinder för internationell datakommunikation som

gäller personuppgifter och undvika att nya sådana skapas under förevändning av

• Sida 98
•  Original

behov av skydd för personlig integritet, 3) bedriva samarbete vid verkställigheten av riktlinjerna samt 4) så snart som möjligt avtala om särskilda procedurer för

överläggningar och samarbete som gäller tillämpningen av riktlinjerna.

Riktlinjerna består av fem avdelningar. I den första avdelningen finns ett antal definitioner och en precisering av riktlinjemas tillämpningsområde. Riktlinjerna är tillämpliga på personuppgifter såväl inom den offentliga som inom den enskilda sektorn och oavsett om de lagras automatiskt eller manuellt. Syftet med riktlinjerna är att söka undvika de risker för personlig integritet och individens friheter som personuppgifter kan utgöra på grund av det sätt på vilket de behandlas, på grund av uppgifternas natur eller på grund av det sammanhang i vilket de används (punkt 2). Det finns inget hinder mot att man tillämpar olika skyddsåtgärder för olika slag av persondata, att man från riktlinjemas tillämpning undantar persondata som uppenbart inte innebär någon risk för personlig integritet eller att man tillämpar riktlinjerna endast på automatisk databehandling av personuppgifter (punkt 3). Undantagen från riktlinjemas grundläggande principer för nationell och internationell tillämpning skall vara så få som möjligt och göras kända för allmänheten (punkt 4). Riktlinjerna skall betraktas som minimiregler,

varför ingenting hindrar att integritetsskyddet görs mer omfattande (punkt 6).

I den andra avdelningen anges följande åtta grundläggande principer rörande

skyddet för personlig integritet på det nationella planet.

l. Insamlingen av personuppgifter skall vara begränsad och uppgifter skall inhämtas på ett lagligt och korrekt sätt samt, när det är skäligt, med den registrerades kännedom eller samtycke (punkt 7).

2. Personuppgifter skall vara relevanta för de ändamål för vilka de skall användas och, i den utsträckning det behövs för dessa ändamål, vara riktiga och fullständiga samt hållas aktuella (punkt 8).

• Sida 99
•  Original

3. De ändamål för vilka personuppgifter samlas in skall vara preciserade senast vid insamlingen. Den efterföljande användningen skall vara begränsad till att uppfylla dessa ändamål eller sådana ändamål som är förenliga med ursprungsända- målen och som preciseras vid varje förändring (punkt 9).

4. Personuppgifter får inte röjas, göras tillgängliga eller på annat sätt användas för andra ändamål än de preciserade, om det inte sker med den registrerades medgivande eller med stöd av författning (punkt 10).

5. Personuppgifter skall genom rimliga säkerhetsåtgärder skyddas mot risker för förlust eller otillåten tillgång, förstörelse, användning, förändring eller otillåtet röjande (punkt 11).

6. Beträffande personuppgifter skall råda en hållning av öppenhet i fråga om utveckling, tillämpning och policy. Det skall vara möjligt att få veta existensen och beskaffenheten av personuppgifter samt huvudändamålen för vilka de används. Det skall också vara möjligt att få uppgift om vem som är register- ansvarig och om var denne finns (punkt 12).

7. Den enskilde skall ha rätt att av den registeransvarige, eller annan, få reda på om denne har personuppgifter om honom/henne, att få sig tillsänt eventuella personuppgifter inom rimlig tid, utan alltför stor kostnad, på rimligt sätt och i begriplig form, att vid avslag på en begäran om uppgifter få veta skälen och ha möjlighet att överklaga samt att ifrågasätta uppgifter som gäller honom eller henne och, om så är nödvändigt, få dessa utraderade, rättade eller kompletterade (punkt 13).

8. Den registeransvarige skall ha ansvaret för att de lagstiftningsåtgärder eller andra åtgärder som vidtas för att genomföra de tidigare angivna principerna följs (punkt 14).

• Sida 100
•  Original

I den tredje avdelningen behandlas principerna för internationell tillämpning av riktlinjerna, dvs. principer som huvudsakligen avser förhållandet mellan med- lemsländerna. Här föreskrivs bl.a. att medlemsländerna skall vidta alla rimliga och lämpliga åtgärder för att se till att personuppgifter kan passera gränserna säkert och utan avbrott. Vidare skall medlemsländerna avhålla sig från att göra inskränkningar i fråga om flödet av personuppgifter från det egna landet till andra medlemsländer. Sådana inskränkningar är dock tillåtna i förhållande till ett annat land, om detta inte iakttar riktlinjerna eller om personuppgifter bara skall passera genom det andra landet till ett tredje land och avsändarlandets integritetslagstift— ning därigenom kringgås. Ett medlemsland får också göra inskränkningar i fråga om personuppgifter för vilka den inhemska integritetslagstiftningen innehåller särskilda skyddsregler, om sådana uppgifter inte har ett likvärdigt skydd i mottagarlandet (punkt 17).

Medlemsländema skall undvika att - under åberopande av skydd för personlig integritet och individens friheter - i lag, tillämpning eller förfarande ställa upp hinder för flödet av personuppgifter över gränserna som går utöver vad som är nödvändigt för sådant skydd (punkt 18).

De färde och femte avdelningarna innehåller regler om ömsesidigt bistånd mellan medlemsländerna m.m. Medlemsländema skall införa legala, administrativa eller andra förfaranden eller vidta andra åtgärder för att beträffande personuppgifter ge skydd för personlig integritet och individens friheter. Medlemsländema skall särskilt sträva efter att anta lämplig inhemsk lagstiftning, att främja och understödja självreglering, i form av etiska regler eller på annat sätt, att införa lämpliga sanktioner och rättsmedel samt att se till att registrerade inte utsätts för orättvis särbehandling (punkt 19).

På begäran skall medlemsländerna ge annat medlemsland upplysning om hur de principer iakttas som riktlinjerna innehåller. Medlemsländema skall också se till att de förfaranden som tillämpas för flöden av personuppgifter över gränserna och

för skyddet av personlig integritet och individens friheter är enkla och jämförbara

• Sida 101
•  Original

101 med dem andra medlemsländer tillämpar (punkt 20). Medlemsländema skall

vidare genom särskilda förfaranden underlätta utbyte av information rörande

riktlinjerna och ömsesidigt bistånd i fråga om de förfaranden och utredningar som kan bli aktuella (punkt 21).

Medlemsländema skall arbeta för att utveckla inhemska och internationella principer för vilket lands lag som blir tillämplig i fråga om flöden av person-

uppgifter över gränserna.

Internationella associationer och företag, som International Air Transport Association (IATA), Center for Financial Industry Information Systems i Japan, Canadian Bankers Association, American Bank och IBM har antagit egna regler

om dataskydd som bl.a. bygger på OECD:s riktlinjer.

7 .3 Norden

7.3.1 Danmark

Allmänt

Den danska lagstiftningen på dataskyddsområdet består av två lagar, en för den privata sektorn och en för den offentliga sektorn: lov om private registre m.v. (nr 293 af 8 juni 1978) och lov om offentlige myndigheters registre (nr 294 af 8 juni 1978). Båda lagarna trädde i kraft den 1 januari 1979. Samtidigt inrättades en

särskild övervakande myndighet, registenilsynet. Offentliga register Loven om offentlige myndigheters registre tillämpas endast på register som förs

med hjälp av elektronisk databehandling (EDB) för offentlig förvaltning och som

innehåller personuppgifter. Vederbörande minister kan dock efter hörande av

• Sida 102
•  Original

registertilsynet utvidga lagens tillämpningsområde till vissa andra verksamheter

och områden samt till att avse även manuella register.

Lagen gäller inte för de polisiära och militära underrättelsetjänstema samt för

vissa myndigheter på Grönland och Färöarna.

Register som skall föras av en statlig myndighet får inrättas genom beslut av vederbörande minister som före beslutets fattande skall samråda med finans-

ministern och inhämta yttrande från registertilsynet.

Ett register får inte tas i bruk innan föreskrifter finns för dess uppbyggnad och användning. Sådana föreskrifter ges av vederbörande minister efter hörande av registertilsynet. Justitieministern kan emellertid efter att ha hört registertilsynet förordna att sådana föreskrifter inte behöver utfärdas för vissa registertyper. Så har bl.a. skett för vissa personalregister, undervisningsplaneringsregister, register över offentlig serviceverksamhet, förbruksavgiftsregister, leverantörs— och kund- register, företagsregister, miljöregister (uppgifter till kontroll av miljö- och

livsmedelslagstiftningen) samt register över valberättigade personer.

Motsvarande regler gäller också samköming som inte uteslutande görs för

statistiskt eller vetenskapligt ändamål.

Vad angår kommunala register gäller motsvarande bestämmelser. Beslut om

inrättande och föreskrifter tas i dessa fall av kommunstyrelsen.

Enligt huvudregeln i lagen får endast sådana uppgifter registreras som klart är av betydelse för fullgörandet av respektive myndighets uppgifter. Särskilt känsliga uppgifter såsom uppgifter om ras, religion, politiska, sexuella och hälsomässiga förhållanden m.m. får registreras endast om det är nödvändigt med hänsyn till registerändamålet och upplysningar om politiska förhållanden endast om de är offentligt tillgängliga. De känsliga uppgifter som inte får registreras i Danmark

får inte inhämtas för att registreras utomlands.

• Sida 103
•  Original

De registrerade personerna skall på begäran få tillgång till de upplysningar som finns registrerade om dem. Tillgång till all eller viss information kan dock vägras, om den registrerades intresse att få uppgifterna bedöms vara avgörande mindre än ett motstridande offentligt eller privat intresse. Undantag finns även för register som förs uteslutande för statistiskt bruk.

Myndigheterna får i övrigt inte utlämna personuppgifter från sina register till privatpersoner eller företag. Det finns dock ett flertal undantag från denna regel. Utlämnande får bl.a. ske, om detta följer av lag eller upplysningarna redan dessförinnan är offentliga eller den registrerade har samtyckt. Uppgifter får även utlämnas i de fall, där mottagaren har ett rättsligt intresse av att få uppgiften och detta intresse väger tyngre än hänsynen till uppgiftens sekretess. Även för forskningsändamål kan uppgifter lämnas ut under vissa i lagen angivna förut-

sättningar.

Även gentemot andra myndigheter är huvudregeln att utlämnande av person- uppgifter inte får ske. Även här finns dock undantag stadgade. Utöver de fall som nämnts ovan gäller att uppgift till annan myndighet får ske enligt bestämmelse i lag eller om uppgiften är av väsentlig betydelse för den mottagande myndighetens verksamhet eller beslut som denna myndighet har att fatta.

Vad särskilt angår utlämnande från statistik- och forskningsregister gäller att registertilsynet måste ge tillstånd till utlämnande av uppgifter som kan hänföras till viss person.

Lagen innehåller också straffbestämmelser.

Privata register

Loven om private registre m.v. gäller både EDB-register och manuella register vilka innehåller uppgifter om personers, institutioners, föreningars eller företags

• Sida 104
•  Original

privata eller ekonomiska förhållanden samt sådana andra upplysningar om

personliga förhållanden som skäligen bör vara undandragna offentligheten.

Sådan registrering som görs enbart för vetenskapligt eller statistiskt ändamål är undantagen från lagens tillämpningsområde. Dock måste registrering av vissa känsliga uppgifter alltid anmälas till registertilsynet, som kan fastställa föreskrifter

för registreringen.

Registrering för användning i biografier eller för publicering i allmänna upp- slagsverk är också undantagen. Detsamma gäller vissa EDB—register innehållande allmänt tillgängligt rättskällmaterial. Registertilsynet kan även undanta vissa andra

rättsinformationssystem.

Lagens regler gäller inte register som förs med EDB och enbart innehåller upplysningar som har publicerats i en periodisk skrift, "pressens informations- registre". Sådana register måste dock anmälas till registertilsynet som kan

fastställa föreskrifter för dem.

Lagen gäller inte för Färöarna och Grönland.

Företag, näringsidkare, institutioner, föreningar och motsvarande får endast registrera uppgifter som är ett led i deras normala verksamhet. Registrering för

privat bruk får inte ske.

För registrering av vissa känsliga uppgifter, dvs. uppgifter om ras, religion, politiska, sexuella och hälsomässiga förhållanden m.m., krävs även stöd i lag eller samtycke från den registrerade och att uppgiften är nödvändig i den registrerandes verksamhet. Motsvarande förutsättningar krävs för registrering av någons personnummer. Även om inte alla krav är uppfyllda, kan registertilsynet under

vissa förutsättningar ge tillstånd att registrera sådana uppgifter.

• Sida 105
•  Original

Skall registreringen av känsliga uppgifter ske med hjälp av elektronisk data- behandling (EDB), får det endast ske efter anmälan till registertilsynet. Sådan anmälan krävs dock inte om registret endast innehåller upplysningar om medlemmarna i den förening som för registret. Justitieministem kan också efter att ha inhämtat yttrande från registertilsynet undanta vissa slag av register från anmälningsskyldigheten. Så har t.ex. skett beträffande klientregister förda av advokater, register förda av läkare, sjuksköterskor, tandläkare, tandtekniker, apotekare och liknande personer för att användas i deras verksamhet och register som förs i företagshälsovården. Även register som förs av någon som driver förvärvsverksamhet och som endast innehåller i lag föreskrivna uppgifter om anställdas hälsotillstånd eller upplysningar som är nödvändiga för att följa ett träffat kollektivavtal har undantagits.

Registertilsynet kan meddela föreskrifter för förande av visst register.

För att få föra register vars syfte är att varna andra för affärsförbindelser med den registrerade, s.k. svartlistningsregister, krävs tillstånd av registertilsynet, som också kan meddela föreskrifter för registret.

Automatisk registrering av utgående telefonsamtal får i vissa fall endast ske efter

tillstånd av registertilsynet.

Systematisk insamling av uppgifter i syfte att registrera dem utomlands förutsätter tillstånd av registertilsynet, om sådan registrering i Danmark skulle förutsätta anmälan eller tillstånd.

Utan den registrerades samtycke får känsliga personuppgifter inte lämnas ut, om inte utlämnandet följer av lag. Registertilsynet kan också ge tillstånd till utlämnande. Andra uppgifter får lämnas ut utan den registrerades samtycke i den omfattning detta utgör en naturlig del av den normala verksamheten. Särskilda

regler gäller dock beträffande uppgifter om mer än fem år gamla förhållanden.

• Sida 106
•  Original

Utlämnande av uppgifter för vetenskaplig forskning och statistik regleras genom

specialstadganden.

Ett företag får för marknadsföringsändamål utlämna uppgifter om konsumenter till

andra företag endast om den registrerade har fått ett skriftligt meddelande om att utlämnande kan komma att ske och har givit sitt uttryckliga medgivande därtill.

Utlämnade från "pressens informationsregistre" får endast ske om den registrerade samtyckt, det följer av lag eller uppgifterna lämnas ut för att publiceras i en

periodisk skrift.

Utan tillstånd av registertilsynet får samköming med hjälp av EDB endast ske för uppdateringar av namn, adresser och dylikt. Då registertilsynet ger tillstånd till samköming kan det också fastställa föreskrifter för denna.

Lagen innehåller också vissa regler om rättelser och borttagande av uppgifter och

om att den registrerade kan få hjälp av registertilsynet i dessa avseenden.

Den registrerade har rätt till insyn i register som förs med hjälp av EDB. Tillgång till all eller viss information kan dock vägras om den registrerades intresse att få uppgifterna bedöms vara avgörande mindre än ett motstridande offentligt eller privat intresse. Rätten till insyn kan endast utövas en gång per år, om inte den registrerade kan påvisa särskilda omständigheter. Vägras insyn kan den

registrerade föra frågan till registertilsynet.

Kreditupplysningsföretag och servicebyråer för ADB-behandling måste göra en anmälan till registertilsynet innan verksamheten påböijas. Lagen innehåller specialstadganden om sådana företags verksamhet samt "adresserings— og kuverteringsbureauers" verksamhet. Dessa sistnämnda får t.ex bara registrera vissa uppgifter såsom namn, adress, yrke och de uppgifter som kan inhämtas från

" erhvervsregistret" .

• Sida 107
•  Original

Registertilsynet har getts möjlighet att förbjuda förande av visst register samt att besluta om radering och rättelse av registeruppgifter.

Lagen innehåller också straffbestämmelser.

Tillsynen över både offentliga och privata personregister ankommer på register- tilsynet som på eget initiativ eller efter klagan av någon registrerad övervakar att registret är upprättat och används i överensstämmelse med lagen.

Registertilsynet består av ett råd och ett sekretariat. Registerrådet, som tillsätts av justitieministeriet, har en ordförande och sex andra medlemmar. De utnämns för

fyra år åt gången. Sekretariatets arbete leds av en direktör.

Registertilsynet kan inkräva upplysningar om register och äger tillträde till lokaler där register förs.

Registertilsynets beslut kan inte överklagas. Den som är missnöjd med ett beslut kan dock stämma registertilsynet vid domstol och därvid få till stånd en efterprövning av beslutet. Det har hittills endast skett vid ett tillfälle.

Vissa erfarenheter

Vid utredningens besök i Köpenhamn framkom att loven om offentlige myndig- heters registre hade utvidgats till att omfatta ett flertal manuella register, huvudsakligen förda av "sundhetsstyrelsen" (motsvarar närmast socialstyrelsen i Sverige). Registertilsynet hade även hemställt att vissa av polisens manuellt förda register borde föras in under lagens bestämmelser. Vidare framgick att registertilsynet ansåg sin viktigaste kontroll av registreringen bestå i möjligheten att utfärda föreskrifter för registren och, såvitt avsåg den offentliga verksamheten, ge förslag till sådana föreskrifter. Vad angick kommunernas register framkom att registertilsynet hade utarbetat vissa standardföreskrifter för dessa register vilka kommunerna använde. Inspektioner visade sig utgöra en väsentlig del av

• Sida 108
•  Original

registertilsynets tillsynsverksamhet. Antalet inspektioner hade ökat under de senaste tre åren. Under år 1989 företogs 40 inspektioner, varav 27 hos offentliga myndigheter och 13 hos företag m.fl. Kontrollen skedde stickprovsvis men också på grund av klagomål som man hade erhållit. Registertilsynet ansåg att in- spektionsverksamheten hade en kraftig preventiv effekt, särskilt som resultatet

publicerades i retstilsynets årsberättelse.

7.3.2 Finland

Allmänt

I Finland regleras frågor om dataskydd i personregisterlagen. För lagens över- vakning har inrättats en tjänst som dataombudsman samt ett särskilt besluts—

fattande organ, datasekretessnämnden.

Lagen antogs i april 1987 och trädde formellt i kraft den 1 januari 1988. De registeransvariga fick dock ett år på sig att anpassa sin verksamhet till den nya lagens krav, varför lagen var till fullo i kraft först den 1 januari 1989. Data— ombudsmannens byrå inledde sin verksamhet i oktober 1987.

Lagen är en allmän registerlag och gäller register som förs av såväl myndigheter som enskilda. Regleringen omfattar inte bara persondatasystem som upprättas med automatisk databehandling utan även kortsystem, förteckningar och andra sedvanliga register som förs manuellt. Utanför lagen faller endast förteckningar

som är avsedda för personligt bruk.

Det är tillåtet att inhämta, registrera, använda och utlämna personuppgifter endast

i de fall som anges i lagen och med iakttagande av god registersed.

I lagens inledningskapitel åläggs den registeransvarige en plikt att vara aktsam och iaktta god registersed och även i övrigt förfara så att den registrerades personliga integritet, intressen eller rättigheter inte otillbörligt kränks eller att statens

• Sida 109
•  Original

säkerhet äventyras. Denna aktsamhetsplikt är den grund på vilken hela lagen bygger.

Användningen av personregister skall vara sakligt motiverad med hänsyn till den registeransvariges verksamhet och adminstration. Kravet gäller såväl registrering-

ens behövlighet i allmänhet som registrets användning.

Redan innan uppgifter inhämtas för registrering måste registrets ändamål,

sakinnehåll och de regelbundna dataöverföringama anges.

Personregister får föras endast för ändamål som bestämts på förhand. Ett sålunda på förhand preciserat användningssyfte är bindande för den registeransvarige i hans senare verksamhet. Uppgifter som inhämtats för personregister och som införts i registret får i registerverksamheten användas endast för detta ändamål. En ny beskrivning av ändamålet är möjlig, om detta behövs till följd av ändrade förhållanden och det sålunda angivna ändamålet inte väsentligt avviker från det

ursprungliga.

Oberoende av hur ett personregisters ändamål och användning definierats, har den registeransvarige rätt att använda uppgifterna statistiskt för sin egen forsknings-

och planeringsverksamhet.

Över personregister som förs med automatisk databehandling skall den register— ansvarige göra upp en registerbeskrivning som anger registrets ändamål samt vilka

slags data det innehåller. Registerbeskrivningen skall hållas allmänt tillgänglig.

För att förhindra att personuppgifter inhämtas och registreras obehörigen har man

uppställt vissa krav på anknytning och relevans på registerverksamheten.

Anknytningskravet innebär att det i ett personregister endast får införas uppgifter om sådana personer som på grund av kund- eller tjänstgöringsförhållanden,

medlemskap eller därmed jämförbart förhållande har en saklig anknytning till den

• Sida 110
•  Original

registeransvariges verksamhet. Vissa undantag finns för bl.a. koncemers registrering av kunder och anställda vid andra enheter inom koncernen. Utan hinder av anknytningskravet kan registret även föras om det bygger på den registeransvariges lagstadgade åligganden eller, under vissa förutsättningar, den

registrerades samtycke.

För kreditupplysningsverksamhet, direktreklam, telefonförsäljning, annan direkt marknadsföring, adresstjänst, opinions- och marknadsundersökningar samt för vetenskaplig forskning och statistik gäller inte anknytningskravet. Om användning av sådana personregister och om de uppgifter som får införs i dem stadgas i en

särskild personregisterförordning.

I denna förordning sägs bl.a. att i marknadsföringsregister, som är avsett för löpande användning, får införas uppgifter om de registrerades namn, adress, telefonnummer, titel eller yrke, ålder, kön och modersmål. En särskild förut- sättning för upprättande av sådant register är att registret inte äventyrar statens säkerhet på grund av att det är heltäckande eller på grund av det sätt på vilket det används. Till tillfälliga register av kampanjnatur (sex månader) får man införa också andra uppgifter, om registret med hänsyn till sitt innehåll inte äventyrar den registrerades integritetsskydd. Sådana register får vara i bruk högst under sex månaders tid.

Relevanskravet innebär att endast sådana personuppgifter som behövs för registrets

användningsändamål får införas.

Även i de fall där anknytnings- och relevanskraven inte är uppfyllda kan datasekretessnämnden ge tillstånd, s.k. undantagslov, om något vägande skäl talar för detta och det kan förhindras att den registrerades integritet, intressen eller rättigheter eller statens säkerhet äventyras. Sådan diSpens kan beviljas för en

bestämd tid eller tills vidare och till beslutet kan fogas särskilda föreskrifter.

• Sida 111
•  Original

Känsliga uppgifter får registreras endast i de fall som närmare räknas upp i lagen. Med känsliga uppgifter avses uppgifter som beskriver ras eller etniskt ursprung, samhällelig eller politisk uppfattning, religiös övertygelse, sexuellt beteende, hälsotillstånd och handikapp, brottsliga gärningar samt socialvårdstjänster som den registrerade erhållit. Inhämtande och registrering av känsliga uppgifter är dock tillåtet, om den registrerade samtyckt eller om inrättandet av registret följer direkt av den registeransvariges lagstadgade åligganden. Vidare anges i lagen vissa fall där registrering av känsliga uppgifter är tillåma. Vissa personuppgifter som gäller åtgärder inom socialvården och hälsovården får registreras. Likaså får kommunala myndigheter och försäkringsbolag föra vissa slag av register över anställda respektive försäkringstagare. Det är vidare tillåtet att för en individualiserad vetenskaplig undersökning registrera känsliga uppgifter. Närmare stadganden om forskningsregister som innehåller känsliga uppgifter skall enligt lagen utfärdas genom förordning. I förordningen föreskrivs att sådant forskningsregister skall utplånas eller överföras till arkivering inom två år sedan det togs i bruk. I vissa fall kan det bevaras en längre tid, dock högst fem år. Det kan också vara tillåtet att inhämta och införa känsliga uppgifter i personregister om datasekretessnämn— den har gett tillstånd.

Personregistren skall föras med iakttagande av öppenhet. Den registeransvarige är skyldig att informera om för vilket ändamål registeruppgiftema används och vanligen lämnas ut.

Var och en har rätt till insyn i de uppgifter som gäller honom själv. Rätten till insyn kan utnyttjas avgiftsfritt en gång per år. Insynsrätten kan ordnas så att den registeransvarige självmant sänder uppgifterna till den registrerade. Om uppgifterna sänds minst vartannat år, har den registrerade därutöver inte någon rätt till insyn. Vissa register står dock i sin helhet utanför rätten till insyn. Sådana register är bl.a. vissa polisregister och register som används enbart för veten- skaplig forskning eller statistik. Under vissa andra i lagen särskilt angivna förhållanden kan den registeransvarige vägra att lämna ut uppgifter.

• Sida 112
•  Original

Den registrerade har också rätt att förbjuda att uppgifter om honom eller henne används vid direktreklam, telefonförsäljning och annan direkt marknadsföring

eller marknads- och opinionsundersökningar.

Den registeransvarige är skyldig att se till att uppgifterna i registret är fria från fel. En oriktig, bristfällig eller föråldrad uppgift skall rättas.

Den som vägras att få ett registerutdrag eller som inte får rättelse av en felaktig uppgift kan begära att få ett intyg av den registeransvarige över att denne vägrat och kan föra saken vidare till dataombudsmannen. Den registeransvarige är vidare skyldig att ersätta de skador som drabbat den registrerade på grund av att en

oriktig registeruppgift har använts.

Utan tillstånd av datasekretessnämnden är det möjligt att lämna ut personuppgifter endast under vissa i personregisterlagen angivna förutsättningar. Samtycke från den registrerade är en grund för utlämnande liksom även utlämnande för forskning och statistik. Massutlämnande av personuppgifter samt utlämnande av personupp- gifter som sker genom känsliga stickprov får endast grundas på samtycke, särskilt stadgande eller på att mottagaren har rätt att registrera uppgifterna och utläm- nandet och användningen inte äventyrar den registrerades integritetsskydd, intressen och rättigheter eller statens säkerhet. Den registeransvarige skall

anteckna då personuppgifter lämnats ur registret.

Samkömingari syfte att övervaka den registrerade har begränsats i lagen. För att samköming skall vara tillåten krävs den registrerades samtycke eller tillstånd från datasekretessnämnden eller ett i lag stadgat åliggande och rätt för den registeran- svarige att för visst ändamål få använda de uppgifter som samkörs. Samköming kan också vara tillåten, om den sker för sedvanlig uppdatering av adressuppgifter eller för att undvika dubbel postning och om det är uppenbart att det kan ske utan att den registrerades integritetsskydd, intressen eller rättigheter äventyras. Också samkömingar för vetenskaplig forskning och statistik faller under dessa regler.

• Sida 113
•  Original

Förhandskontrollen av personregister bygger på ett anmälningsförfarande. Vissa register och verksamheter som kan äventyra integriteten skall på förhand anmälas till dataombudsmannen.

Registeranmälan skall göras när avsikten är att uppgifter i registret skall användas för direktreklam, telefonförsäljning eller annan direkt marknadsföring, adresstjänst eller opinions- eller marknadsundersökningar, om registret innehåller uppgifter om personer som inte uppfyller anknytningskravet. Även vissa personregister som förs med automatisk databehandling och för vilka uppgifter inhämtas genom massutlämnande och känsliga stickprov måste anmälas. Anmälan måste också i vissa fall ske vid utlämnande av personuppgifter till utlandet. Även den som bedriver viss slags verksamhet, t.ex kreditupplysnings— och inkassoverksamhet, måste anmäla sin verksamhet till dataombudsmannen. Möjlighet finns att genom förordning föreskriva undantag från anmälningsplikten. Så har dock ännu inte skett.

Anmälan skall göras senast en månad innan de personuppgifter som avses bli införda i personregistret inhämtas eller verksamheten påbörjas eller någon annan

åtgärd som medför anmälningsplikt vidtas.

Utgångspunkten är att dataombudsmannen i samband med anmälningsförfarandet skall kunna styra registerverksamheten på det sätt som behövs och övervaka att

den är laglig.

Dataombudsmannen, som måste vara jurist, utnämns av republikens president på

viss tid, högst fem år i sänder.

Dataombudsmannen skall utöva tillsyn över att inhämtande, registrering, användning och utlämnande av personuppgifter sker så, att syftena med person- registerlagen uppnås. Denne kan ge handledning beträffande enskilda register och är skyldig att ge anvisningar och råd som gäller personregister samt upplysningar om innehållet i personregisterlagstiftningen och praxis vid tillämpningen.

• Sida 114
•  Original

Dataombudsmannen kan ge instruktioner när det gäller olika register samt allmänna anvisningar angående vissa i lagen särskilt angivna frågor. Anvisningar kan ges om när personregister får lämnas ut i form av massutlämnande och känsliga stickprov, när personregister får samköras utan tillstånd av datasekretess- nämnden samt om hur personregister skall skyddas mot utomstående. Dessa anvisningar är dock inte bindande. Några sådana allmänna anvisningar har ännu

inte getts.

På ansökan av en registrerad kan dataombudsmannen föreskriva att den registeransvarige skall tillgodose den registrerades rätt till insyn och se till att fel i registret rättas. Sådan föreskrift förfaller dock, om den registeransvarige inom

viss tid meddelar att han motsätter sig den.

Dataombudsmannen har också rätt att få uppgifter och att granska personregister. Myndigheten äger tillträde till lokaler i vilka personuppgifter behandlas eller

personregister förs.

Dataombudsmannen skall i första hand försöka förmå den som agerar i strid med personregisterlagens bestämmelser att frivilligt ändra sitt beteende. Vid behov kan dataombudsmannen föra saken till datasekretessnämnden eller anmäla den för åtal.

Dataombudsmannen har hittills bara behövt föra upp ett ärende i datasekretess-

nämnden.

Innan åtal väcks för brott mot stadganden i personregisterlagen, skall allmänna åklagaren höra dataombudsmannen. Domstolen skall vid behandlingen av ett

sådant mål bereda dataombudsmannen tillfälle att bli hörd.

Datasekretessnämnden består av en ordförande och vice ordförande samt fem

andra medlemmar. Nämnden har en heltidsanställd sekreterare.

Datasekretessnämnden kan ge dispens ("undantagslov") från samtliga person—

registerlagens bestämmelser om något vägande skäl talar för detta och det kan

• Sida 115
•  Original

förhindras att den registrerades integritet, intressen eller rättigheter eller statens säkerhet hotas.

Datasekretessnämnden kan på ansökan av dataombudsmannen och under vissa förutsättningar även av den registrerade, utfärda föreläggande och förbud för den registeransvarige. Föreläggande och förbud kan av nämnden förenas med vite.

Nämndens beslut kan överldagas genom besvär hos högsta förvaltningsdomstolen.

Vissa erfarenheter

Vid utredningens besök i Helsingfors framkom bl.a. också att det sedan data- ombudsmannen började sin verksamhet hade kommit in omkring 400 ärenden till denne, varav ca 140 under år 1989 samt att datasekretessnämnden erhöll ca 30 tillståndsansökningar per år. Det visade sig att vidare att dataombudsmannen ännu inte hade företagit några verkliga inspektioner, eftersom det ännu inte hade funnits tid och möjligheter att ägna sig åt sådan tillsynsverksamhet. Avsikten var dock att i framtiden företa stickprovskontroller i olika delar av Finland och därvid med hjälp av information i massmedia försöka åstadkomma en så stor preventiv effekt

som möjligt.

7.3.3 Island

Island har sedan den 1 januari 1990 en ny dataskyddslag, lagen om registrering och behandling av personupplysningar (nr 121 av 28 december 1989). Dessför- innan har Island sedan 1982 haft två tidsbegränsade dataskyddslagar.

Tillsynen över lagen tillkommer en särskild nämnd, tölvunefnd. Lagen gäller både elektroniskt och manuellt förda register, vilka innehåller uppgifter om fysiska och juridiska personers privata eller ekonomiska förhållanden

samt sådana andra upplysningar om personliga förhållanden som skäligen bör vara

• Sida 116
•  Original

undandragna offentligheten. Den omfattar såväl register som förs av företag,

näringsidkare, föreningar och institutioner som av myndigheter.

Lagen omfattar inte vissa biografiska registreringar och registreringar som görs i släktforskningssyfte eller för att användas i personhistoriska verk.

Lagen innehåller specialbestämmelser om kreditupplysningsföretag, direkt- reklamföretag (adressbyråer), opinions- och marknadsundersökningsföretag samt

servicebyråer.

Registrering får endast ske av uppgifter som är ett led i den löpande verksamheten och endast omfatta dem som har viss anknytning till denna, t.ex. kunder, anställda eller föreningsmedlemmar. Registrering av vissa känsliga uppgifter får endast ske med stöd av lag eller samtycke. Tölvunefnd kan under vissa förutsättningar också

ge tillstånd att registrera sådana känsliga uppgifter.

Utan den registrerades samtycke får känsliga personuppgifter inte lämnas ut, om inte utlämnandet följer av lag. Under vissa omständigheter kan tölvunefnd ge tillstånd till utlämnande. Andra uppgifter får lämnas ut utan den registrerades samtycke i den omfattning detta utgör en naturlig del av den normala verksam- heten. Särskilda regler gäller beträffande uppgifter om mer än fyra år gamla förhållanden. Utlämnande av uppgifter är tillåtet, om dessa inte kan spåras till någon bestämd fysisk eller juridisk person.

Varken manuell eller elektronisk sambearbetning (samköming) av register får ske utan tillstånd av tölvunefnd. Uppdateringar av namn, adresser och dylikt kräver dock inget sådant tillstånd. Upplysningar från vissa medicinska register kan också utan tillstånd vidarebefordras till behandlande läkare eller tandläkare.

Systematisk insamling och registrering av personuppgifter i syfte att bevara eller elektroniskt databehandla dem i utlandet förutsätter tillstånd av tölvunefnd.

Justitieministem kan dock förordna om undantag från tillståndsplikten.

• Sida 117
•  Original

Lagen innehåller även bestämmelser om den registrerades rätt till insyn och rättelse av felaktiga registeruppgifter. Dessa föreskrifter motsvarar i stort sätt dem

som gäller enligt de danska registerlagama. Liksom i den danska lagen om

offentliga register undantas vissa statistikregister från insyn.

Företag som ägnar sig åt kreditupplysning, direktreklam och opinions- och marknadsundersökningar måste ha licens av tölvunefnd för sin verksamhet. En dataservicebyrå får endast registrera och bearbeta vissa uppgifter, om den har erhållit licens av tölvunefnd. Lagen innehåller specialstadganden för sådana verksamheter. Adresseringsbyråer får t.ex. endast registrera vissa uppgifter såsom namn, adress, person- och firmanummer och sådana uppgifter som kan inhämtas från offentliga register. Justitieministem kan också meddela ytterligare be- gränsningar för vad sådana byråer kan registrera. Den registrerade har även rätt

att förbjuda att uppgifter om honom eller henne används vid direktreklam.

Lagen innehåller också bestämmelser om datasäkerhet och straff.

Tölvunefnd består av fem medlemmar vilka utses av justitieministem. Ordföran- den och viceordföranden skall vara lagfarna domare. Ytterligare en av nämndens medlemmar skall vara jurist. En medlem skall vara specialist i elektronisk

databehandling och utnämnd av den isländska dataföreningen. Nämnden utses för fyra år.

Nämnden kan kräva in upplysningar om register och äger tillträde till lokaler där

register förs.

Nämndens avgörande kan inte överklagas. Under vissa förutsättningar kan dock

talan väckas vid domstol som då kan pröva ett nämndavgörande.

• Sida 118
•  Original

7.3.4 Norge

Den norska lagen på dataskyddsområdet, lov om personregistre m.m. (Lov 9 juni Nr. 48, 1978), trädde i kraft den 1 januari 1980. Lagen kompletteras av en kunglig resolution av 21 december 1979 samt föreskrifter utfärdade av justis—

departementet samma dag.

Lagen omfattar personregister och annan användning av personuppgifter i organ för stat eller kommun och i privat näringsverksamhet, föreningar eller stiftelser. Den gäller för både dataregister och manuella register, vilka innehåller uppgifter om fysiska och juridiska personer. För övervakning av lagens bestämmelser har

inrättats en särskild myndighet, daratilsynet.

Lagen är uppdelad i tre avdelningar, varav den första är en allmän del med bestämmelser som rör alla system inom lagens ram. Den andra avdelningen innehåller regler om tillstånd och den tredje särskilda bestämmelser för kredit- upplysningsverksamhet, företag som sköter databehandlingsuppdrag, adress- och

distributionsverksamhet samt opinions- och marknadsundersökningsverksamhet.

Det krävs tillstånd, koncession, för att få föra personregister med hjälp av "elektroniske hjelpemidler". Koncession behövs också för manuellt förda person- register som innehåller vissa angivna särskilt känsliga uppgifter. Det är fråga om uppgifter om ras, politisk eller religiös uppfattning, brottsliga gärningar,

hälsotillstånd, missbruk, sexuella förhållanden och vissa släktförhållanden.

Tillståndsplikten gäller dock inte statliga och kommunala register, som inrättas med stöd av lag.

Iustisdepartementet kan också undanta vissa typer av register från tillstånds- plikten. Sådana undantag har bl.a. gjorts för register som enbart innehåller vissa

uppgifter om medlemmar, kunder, abonnenter, leverantörer, försäkrings— och

• Sida 119
•  Original

låntagare, hyresgäster och tidningsprenumeranter. Även manuellt förda register över vissa patienter, advokatklienter och anställda har undantagits från kon- cessionsplikten. Pressens personregister som används i journalistisk verksamhet samt förlagsarkiv/register som används vid utgivning av vissa slags lexika har också av justisdepartementet undantagits från koncessionsplikten. En förutsättning för koncessionsfrihet är att den registeransvarige följer de villkor och krav som

uppställts för de olika registertypema i justisdepartementets föreskrifter.

Koncession beviljas av datatilsynet. Vid prövningen av ansökan skall behovet av

integritetsskydd vägas mot de synpunkter som talar för att registret inrättas.

Om datatilsynet beslutar bevilja koncession, skall beslutet innehålla närmare föreskrifter eller villkor om hur registret skall föras och användas. Föreskrifter skall alltid utfärdas om vem som är ansvarig för registret, vilka typer av uppgifter som registret får innehålla och vilka ändamål registret får användas för. I föreskrifterna skall dessutom fastställas sådan villkor som har betydelse för användningen av registret och som kan begränsa olägenheterna med detta. I detta sammanhang skall särskilt övervägas om det bl.a. behövs föreskrifter för insamlingen och kontrollen av uppgifter, behandlingen och lagringen av dem, möjligheterna till samköming med andra register, användningen av födelse-

nummer och utlämnandet av uppgifter.

Register som kräver koncession och känsliga personuppgifter får inte utan datatilsynets tillstånd utlämnas till utlandet.

Registrering av personuppgifter skall vara sakligt grundad med hänsyn till administrationen och verksamheten i det organ eller företag som företar

registreringen. Vissa känsliga uppgifter får bara registreras om detär nödvändigt.

Registrerade personer har rätt att ta del av de uppgifter som finns lagrade om dem i dataregistren. Insynsrätten gäller dock inte register som enbart används för

statistik, forskning eller allmänna planeringsändamål och inte heller uppgifter som

• Sida 120
•  Original

det av hänsyn till hälsotillståndet eller till närstående inte är tillrådligt att den enskilde får kännedom om. I fråga om statliga och kommunala organ samt den registrerades arbetsgivare gäller också insynsrätten för manuella register. Denna insynsrätt omfattar dock inte sådana interna handlingar som inte är offentliga

enligt förvaltningslagen.

Iustisdepartementet kan genom föreskrift utvidga insynsrätten till att även avse vissa manuella register förda i privat näringsverksamhet, föreningar, stiftelser eller liknande. Så har skett beträffande personal- och löneregister. Datatilsynet kan undanta vissa register från insyn. Så har bl.a. skett beträffande vissa

polisregister.

De fyra verksamhetsområden som behandlas särskilt i lagen (kreditupplysnings- företagen, servicebyråema, direktreklamföretagen och opinions- och marknads- undersökningsföretagen) måste ha särskilt tillstånd från datatilsynet för sin verksamhet. Kreditupplysningsföretagen liksom direktreklamföretagen får inte registrera vissa känsliga uppgifter av personlig art. För servicebyråema gäller att de inte får använda de uppgifter de får i sin verksamhet till annat än att fullgöra sina uppdrag. Personuppgifter som inhämtas i opinions— eller marknadsunder- sökningar får inte lämnas vidare i sådan form att uppgifterna kan hänföras till

enskild person och de får inte heller brukas för annat ändamål.

Den registerade har rätt att förbjuda att uppgifter om honom eller henne används

vid direktreklam och liknande.

Uppgifter som är oriktiga, ofullständiga eller som inte längre har någon betydelse skall rättas, avföras eller kompletteras, om bristen kan ha betydelse för den

registrerade.

En registeransvarig som har lämnat ut uppgifter i strid med lag eller som lämnat ut oriktiga eller vilseledande uppgifter är skyldig att ersätta den skada som de

registrerade lidit.

• Sida 121
•  Original

Datatilsynet leds av en direktion med sju medlemmar som utses av regeringen.

Datatilsynet skall kontrollera att de lagar, föreskrifter och regler som gäller för personregister följs och att de fel eller brister som uppstår rättas till. Datatilsynet skall vidare hålla sig informerat om den allmänna utvecklingen av användningen av personregister och om de problem som följer med användningen av sådana register samt ge råd och vägledning i frågor om skydd för den enskildes integritet och om datasäkerhet till dem som planerar att upprätta personregister. Slutligen skall datatilsynet på begäran eller ex officio lämna besked i frågor om an— vändningen av personregister eller i allmänna frågor som gäller bruk av

personuppgifter.

Datatilsynets beslut kan överklagas till justisdepartementet.

Datatilsynet kan kräva att få de upplysningar som myndigheten behöver för att kunna fullgöra sina uppgifter. Den har tillträde till de utrymmen där person— register och tekniska hjälpmedel finns och rätt att genomföra sådana prov och

kontroller som det finner nödvändigt.

Datatilsynet skall föra en offentlig förteckning över personregister som är underkastade koncessionsplikt. Av förteckningen skall framgå vem som är ansvarig för registret, vilka uppgifter registret innehåller och till vilka ändamål uppgifterna får användas. Regeringen kan utfärda närmare föreskrifter om förteckningen och bevilja undantag från rätten till insyn, om detta är nödvändigt för rikets försvarsberedskap eller säkerhet.

7.4 Utom Norden

7.4.1 Frankrike

Den franska dataskyddslagen, La loi relative a ! 'informatique, aux fichiers et aux

libertés (IFL), trädde i kraft 1987. Samma år inrättades en central tillstånds- och

• Sida 122
•  Original

tillsynsmyndighet, La Commission Nationale de L'informatique et des Libertés (C.N. I.L. ).

Den franska lagen är tillämplig på både ADB-register och manuella register som innehåller personuppgifter eller andra upplysningar som kan hota frihet eller privatliv. I rättspraxis har begreppet personuppgift i ökande utsträckning kommit

att innefatta även uppgifter om juridiska personer.

Motiveringen för att IFL även omfattar manuella register är enligt uppgift att man önskat förebygga att registeransvariga för känsliga register manuellt i syfte att undgå C.N.I.L:s insyn och kontroll. Tillämpningen av lagen på manuella register

uppges dock vara mycket återhållsam.

Lagens syfte är att själva informationen och behandlingen av denna skall kunna kontrolleras, oavsett med hjälp av vilken teknik informationen lagras och

bearbetas.

IFL gäller personregister som förs av såväl myndigheter som enskilda. Reglerna

för de offentliga registren är dock strängare än reglerna för de privata.

För offentliga register krävs tillstånd enligt lag och särskilt utfärdade föreskrifter efter ett motiverat yttrande av C.N.I.L. Avslår C.N.I.L. en ansökan kan besvär riktas till högsta förvaltningsmyndigheten (Conseil d*Etat).

För den privata sektorn gäller ett förenklat förfarande innebärande att vissa uppgifter skall anmälas till C.N.I.L. I anmälan skall anges bl.a. registeransvarig, de verksamheter som använder ADB, var insynsrätt kan utövas och vilka åtgärder som kan underlätta insynsrätten, vem som har tillgång till informationen, vilka personuppgifter som ingår i registret, deras ursprung och bevaringstid, sambe- arbetningar som planeras, annat sammanförande av information eller överlåtelse till tredje man, vidtagna åtgärder för att garantera säkerhet och sekretess samt

överföring av personuppgifter till utlandet.

• Sida 123
•  Original

För vissa frekventa slag av behandlingar inom både den offentliga och den privata sektorn kan dock C.N.I.L. meddela förenklade föreskrifter. Förutsättningama är att behandlingarna "uppenbart inte innebär hot mot privatliv eller fri— och

rättigheter" .

IFL reglerar utförligt insamling, registrering och bevarande av personuppgifter.

Lagen förbjuder "inhämtande av data som sker på ett bedrägligt, ohederligt eller olovligt sätt". De två första rekvisiten syftar på dels insamlande av i förhållande till registerändamålet irrelevanta uppgifter, dels på insamlande under falska

förespeglingar. Olovlighet betyder inte bara "i strid med lag" utan också " mot den

registrerades vilja".

Den enskilde har insynsrätt i personregister som innehåller uppgifter om honom eller henne samt rätt till rättelse eller komplettering av felaktiga, ofullständiga eller otillåtna uppgifter. Därutöver finns en rätt för den registrerade "att känna till och göra invändningar mot uppgifter och slutledningar som används inom

automatisk databehandling vilkas resultat går denne emot".

Beträffande registrering av särskilt känsliga uppgifter förbjuder lagen register över personuppgifter som direkt eller indirekt innehåller uppgifter om någons ras, politiska, filosofiska eller religiösa uppfattning eller fackliga tillhörighet. Undantag gäller om den registrerade ger sitt medgivande till registreringen och för medlemsregister i olika sammanslutningar. I det allmännas intresse kan också Conseil d'Etat göra undantag från förbudet efter hörande av dataskyddskommis- sionen.

Det finns dock vittgående undantag från förbudet att registrera känsliga uppgifter för pressorgan, för tryckta skrifter samt för radio och television inom ramen för de lagar som gäller för dem samt i de fall då en tillämpning av IFL:s bestäm—

melser skulle leda till inskränkning av yttrandefriheten.

• Sida 124
•  Original

IFL innehåller ovanligt detaljerade straffbestämmelser.

C.N.I.L. har 17 medlemmar, vilkas mandattid är fem år. Medlemmarna är oav- sättliga och har tystnadsplikt. Myndigheten leds av en styrelse bestående av en

president och två vicepresidenter. Sakenhetema förfogar över 38 tjänstemän.

C.N.I.L har befogenhet att fatta beslut (föreskrifter eller enskilda beslut), lämna utlåtanden (särskilt motiverade utlåtanden i tillståndsärenden), ge förslag (t.ex. i

lagstiftningsfrågor) och rekommendationer.

Kommissionen har vidare att vaka över att rutiner vid utövandet av insynsrätt och

rättelser inte otillbörligt försvårar utnyttjandet av dessa rättigheter.

C.N.I.L. har en mycket omfattande rätt till insyn och kontroll. Inga hemligheter får undanhållas kommissionen, inte ens affärshemligheter eller försvarshemlig- heter. Datatekniker eller andra som inkallas att vittna inför kommissionen är

befriade från tystnadsplikt.

C.N.I.L. för slutligen en förteckning över alla anmälda och registrerade ADB-

användningar. Denna förteckning är tillgänglig för allmänheten.

7.4.2 Nederländerna

Allmänt

I Nederländerna regleras dataskyddsfrågor i en nyligen antagen lag (Wet van 28 december 1988, haudende regels ter bescherming van de persoonlijke levenssfeer

in verband met persoonsregistraties). Dataskyddsmyndighet är Registratiekamer.

I lagen, som omfattar såväl manuella som ADB—register, anges de materiella bestämmelserna om personregisterhantering, utlämnande, rätt till skadestånd m.m.

Utgångspunkten är att personregister bara får föras för visst ändamål som bedöms

• Sida 125
•  Original

rimligt (rederlijkerwijs) i förhållande till den registeransvariges intresse. Ändamålet får inte stå i strid med lag, allmän ordning eller goda seder.

Innehållet i ett register skall ha åtkommits på lagligt sätt och stå i överens-

stämmelse med registrets ändamål.

En av lagens mera viktiga materiella bestämmelse är den registeransvariges obligatoriska skyldighet att utan begäran skriftligen underrätta den registrerade om registreringen, registrets ändamål och den registeransvariges namn och adress inom en månad från registreringen, utom i de fall den registrerade redan vet eller rimligen bör vara medveten om att registrering föreligger eller då särskilt angivna

sekretess- eller statssäkerhetshänsyn motiverar en underlåten underrättelse.

Lagen saknar särskilda regler om känsliga register (registrering i fråga om hälso- tillstånd, bedömningar och beteenden m.m.) annat än att det i lagen förutskickas att i en förordning närmare bestämmelser skall ges härom. (En förordning är också under utarbetande och kommer enligt uppgift från det nederländska justitiedepartementet att meddelas före årets utgång.)

Enligt lagen skall alla statliga myndigheters register, liksom register inom undervisning, hälso- och sjukvård samt socialtjänst anmälas med angivande av den

förordning eller motsvarande som gäller för registret i fråga.

För den offentliga sektorns del pågår arbetet med att ta fram föreskrifter enligt lagens bestämmelser inom olika myndigheter för den närmare regleringen av dataanvändningen, i den mån förordning eller föreskrift inte redan finns. Man räknar med att det redan före lagens ikraftträdande fanns ca 200-300 särskilda föreskrifter. Föreskrifterna skall finnas anslagna eller på annat sätt hållas

tillgängliga på varje myndighet.

Personregister inom den privata sektorn skall registreras hos myndigheten med

angivande av bl.a. ändamål.

• Sida 126
•  Original

Från såväl anmälnings- som registreringsskyldighet har genom lagen och förordningar undantagits vissa enklare register (löneregister, administrativa register, abonnentregister, adressregister m.fl.). En försummad anmälan eller registreringsansökan är straffbar, och i uppsåtliga fall kan fängelse följa. Dataskyddsmyndigheten saknar åtalsrätt.

Avvikelse i registerföringen från de materiella reglerna grundar rätt till skadestånd för den drabbade. Enligt allmänna nederländska processrättsliga regler är s.k. class-action tillåten, dvs. en representant för en större grupp drabbade kan föra

talan om skadestånd för hela gruppen.

Vid sidan av lagen och dess kompletterande förordningar (där alla som nämnts ännu inte hunnit utarbetas) är det tänkt att särskilda bransch- eller sektorsnormer (geddragscode) skall gälla inom såväl den privata som offentliga sektorn. En * organisation som har antagit branschnormer kan få dessa fastställda av myndig- heten, om de är i överensstämmelse med lagens materiella krav och tillgodoser rimliga krav på de registrerades integritetsskydd (bescherrning van de persoonlijke

levenssfeer). Fastställda normer skall publiceras genom dataskyddsmyndighetens försorg.

En avvikelse från en branschnorm konstituerar i sig inte rätt till skadestånd och är inte heller bindande för en domstol men innebär att den registeransvarige har bevisbördan för att avvikelsen är förenlig med lagens krav på ett rimligt

integritetsskydd.

Tanken är att branschnormer inom tre år från lagens ikraftträdande (1 juli 1989) skall utarbetas. Om inte, ges i lagen en möjlighet för en sektorsreglering genom förordning av vissa frågor. Någon branschnorm har ännu inte hunnit fastställas. Arbete och diskussioner pågår dock inom flera sektorer: direktreklam, bank— och försäkringsväsen, hälso- och sjukvård, utbildning, forskning och inom kyrkans

område.

• Sida 127
•  Original

Registratiekamer har ställning som ombudsman och handlägger klagomål men saknar, som nämnts, åtalsrätt. Formellt är myndigheten ett rådgivande regeringsorgan. Av konstitutionella skäl kan dataskyddsmyndigheten inte ges behörighet att meddela bindande föreskrifter.

Myndigheten har rätt att företa inspektioner och medddela förelägganden. Föreläggandena är som sådana dock inte straffsanktionerade, utan remediet är också här rätten till skadestånd.

Vissa erfarenheter

Vid utredningens besök hos den nederländska dataskyddsmyndigheten framkom vidare bl.a. att det inom olika branscher redan före lagens tillkomst fanns vissa nämnder och råd som uttalade sig i fråga om integritetsskydd. Detta förhållande och den höga organisationsgraden inom näringslivet hade bidragit till den antagna lösningen med bransch- eller sektorsnormer ("självreglering"). Det framgick vidare att man räknar med en hög grad av efterlevnad och att konsumentorganisa- tioner o.d. bidrar till bevakningen och tillsynen samt att organisationerna också väcker skadeståndstalan där det är befogat. Dataskyddsfrågoma följer i detta hänseende ett mönster som gäller för angränsande områden i Nederländerna.

Frågan om gränsöverskridande registreringar ansågs vara av underordnad betydelse med hänsyn bl.a. till den förestående europeiska integrationen. Någon särskild kontroll härav företas inte. Inte heller krävs särskilda tillstånd e.d. för

överföring av uppgifter utomlands.

7.4.3 Storbritannien

Allmänt

I Storbritannien handläggs frågor om dataskydd av the Data Protection Registrar i enlighet med the Data Protection Act från år 1984.

• Sida 128
•  Original

Den som vill inrätta och föra ett ADB-personregister skall registreras hos dataskyddsmyndigheten. Även ett ändrat ändamål kräver registrering. Undantagna från registreringsplikt är bl.a. register som förs av en fysisk person för privat

bruk, löneregister o.d., vissa medlemsregister och adressregister.

Endast de register som har registrerats står under myndighetens tillsyn.

Lagen innehåller utförliga regler om den registeransvariges rättigheter och skyldigheter i förhållande till den registrerade och till tredje man. I det senare hänseendet föreskrivs bl.a. när den registeransvarige får göra uppgifterna

tillgängliga, utöver vad som följer av det registrerade ändamålet.

I lagen saknas motsvarighet till det svenska begreppet "otillbörligt intrång". Det centrala begreppet är i stället att information åtkommits och behandlas på ett lagligt och rimligt sätt (fairly). Det är den bärande utgångspunkten för de dataskyddsprinciper som utgör lagens materiella del. De sammanlagt åtta principerna anger i övrigt uttryckligen de förutsättningar angående bl.a. ändamål, insyn och rätt till rättelse som finns intagna i Europarådskonventionens artiklar om personuppgiftemas beskaffenhet och ytterligare skyddsåtgärder för registrerade personer. (Se art. 5 och 8 i Europarådskonventionen, avsnitt 7.1).

Enligt lagen finns det olika möjligheter för myndigheten att säkerställa efter—

levnaden av bestämmelserna.

Myndigheten kan själv anställa åtal för brott mot bestämmelserna. Åtalsrätten är inte exklusiv, men kan utövas oberoende av den allmänna åklagarmyndigheten (Director of General Prosecution). Exempel på brott som kan beivras enligt datalagen är försummad registrering eller användning av personregister i strid

med det registrerade ändamålet.

• Sida 129
•  Original

En awikelse av den registeransvarige från de materiella reglerna i lagen (the Data Protection Principles) kan vidare föranleda ett föreläggande från myndigheten med

uppmaning till den registeransvarige att rätta till sin handläggning.

Myndigheten kan även vägra att registrera ett anmält register eller anmälan om ändrat ändamål, besluta om avregistrering eller besluta om förbud mot överföring

av personuppgifter till utlandet.

Myndighetens beslut kan överklagas till en särskild besvärsinstans (Data Protection Tribunal). Så har hittills skett endast i ett fall.

Formellt går dataskyddsmyndighetens beslut inte i verkställighet, förrän ldagotiden gått ut. Om särskilda skäl föreligger kan ett beslut dock verkställas efter sju

dagar, om myndigheten särskilt beslutar härom.

Dataskyddsmyndigheten har inte rätt att utan beslut av domstol få tillträde till

lokaler m.m. för inspektion.

Vissa erfarenheter

Vid utredningens sammanträffande med dataskyddsmyndigheten framkom bl.a. också följande.

Vid myndigheten tjänstgör ca 90 personer. Härtill kommer drygt 15 personer som såsom uppdragsanställda i landet biträder med undersökningar. Hanteringen av klagomålsärenden från registrerade, registeransvariga och allmänheten tar omkring en fjärdedel av resurserna i anspråk. Handläggningen av ärendena är informell och man strävar efter att klara av klagomålen genom kontakter med registeransva-

riga utan att tillgripa föreläggande m.m. Detta lyckas i så gott som alla fall.

Ett omfattande arbete läggs ner på registreringen. Som nämnts utgör registrering

en förutsättning för att lagens bestämmelser om tillsyn m.m. skall vara till-

• Sida 130
•  Original

ämpliga. F.n. finns omkring 180 000 ansökningar med anmälda personregister i myndighetens register. Årligen kommer 15 000 - 18 000 nya ansökningar. Antalet ändringsanmälningar uppgår till ca 40 000 - 50 000 årligen. Det sammanlagda antalet registeransvariga är ca 130 000. Mörkertalet är sedan lagen tillkom stort när det gäller dem som är skyldiga att anmäla sig. Förmodligen uppgår antalet registeransvariga till 200 000 — 250 000 och antalet personregister till ett vida större antal. Endast ca 30 fall av utebliven registrering har emellertid gått till åtal.

Registeranmälan behandlas inledningsvis maskinellt och avläses på elektronisk- optisk väg. Omkring 60 procent av anmälningarna måste emellertid handläggas manuellt p.g.a. någon avvikelse i det ifyllda formuläret. Alla uppgifter lagras i myndighetens stordator och vissa uppgifter dessutom på mikrofiche. En för- teckning över de registeransvariga publiceras också. De till mikrofiche överförda uppgifterna fanns tidigare tillgängliga för allmänheten på större bibliotek i landet. Denna service, som inte utnyttjades i någon större omfattning, har emellertid

dragits in, eftersom den kostade för mycket.

Genom mängden lagrade uppgifter är det möjligt för myndigheten att få tillgång till olika sammanställningar om de registeransvariga och deras register. Denna möjlighet utnyttjas emellertid endast i begränsad omfattning och främst för vissa forskningsändamål. En stor nackdel med det nuvarande registerförfarandet är att det är för stelbent och omfattar alltför många olika kategorier register. Enligt den nu använda blanketten täcks ca 60 olika typer av register in, de flesta av mindre känsligt slag.

Varken begreppen ADB (ADP) eller register (file) har lett till några tillämpningsproblem. Myndighetens uppfattning har inte satts i fråga och

domstolsavgöranden saknas från området.

Frågan om samköring är inte av så stort intresse i Storbritannien, eftersom det saknas ett individuellt identifikationssystem såsom personnummer o.d. Vidare

medför förbudet, om att uppgifter som enligt registret skall användas för ett visst

• Sida 131
•  Original

ändamål inte får användas för andra syften, en begränsning i möjligheten till samköming. Önskar den registeransvarige utnyttja informationen för annat än

uppgivet ändamål, måste en ny registrering göras.

Någon granskning av den information som i dag lämnar Storbritannien görs inte, även om dataskyddsmyndigheten formellt sett har möjlighet att förbjuda överföring till utlandet, om användningen där skulle ske i strid med lagens bestämmelser.

F.n. pågår också en översyn av den brittiska datalagen, där bl.a. systemet med

registrering kommer att förenklas. En rapport torde föreligga klar under sommaren 1990. Eventuella författningsändringar torde emellertid, bl.a. med

hänsyn till förestående parlamentsval, dröja minst tre - fyra år.

• Sida 132
•  Original

• Sida 133
•  Original

8. Allmänna överväganden

8.1 Utgångspunkter för en reform

Datalagen (1973z289) bygger på att personregister, som inte är avsett för en enskild person och uteslutande för personligt bruk, endast får inrättas och föras av dem som har anmält sig hos datainspektionen och fått bevis om detta av

inspektionen (licens).

Med personregister avses enligt lagen register, förteckning eller andra an- teckningar som förs med hjälp av automatisk databehandling (ADB) och som innehåller upplysning avseende en enskild person (personuppgift) som kan

hänföras till denne.

Anmälningsskyldighet åvilar den registeransvarige, dvs. den för vars verksamhet personregister förs, om han förfogar över registret. En licens berättigar den registeransvarige att inrätta och föra ett obegränsat antal register. Som framgår nedan krävs dock härutöver tillstånd för vissa slag av personregister. Antalet anmälda licenshavare uppgår f.n. till ca 38 500. Registrens ändamål m.m. skall framgå av en förteckning som den registeransvarige är skyldig att föra och förvara. Ändamålet vad avser icke tillståndspliktiga register är som regel inte

tillgängligt för datainspektionen på annat sätt.

För vissa register krävs förutom licens också tillstånd av inspektionen. Tillstånd behövs för personregister där uppgifterna är sådana, att risk för otillbörligt integritetsintrång kan anses föreligga. Hit hör bl.a. personregister med uppgift om brott eller straff, administrativa tvångsomhändertaganden, sjukdom, ras, politisk uppfattning eller uppgift som utgör omdöme eller annan värderande upplysning om den registrerade. Tillståndsplikt finns också föreskriven för register över personer som saknar viss anknytning (medlem, anställd eller kund o.d.) till den

registeransvarige. Tillstånd krävs vidare för sambearbetning av uppgifter från

• Sida 134
•  Original

olika personregister, s.k. samköming. Tillstånd måste också sökas, om den registeransvarige önskar ändra eller utvidga ett personregister för vilket tillstånd

har beviljats.

Tillstånd behövs dock inte för sammanslutningar som vill inrätta och föra personregister som innehåller sådana uppgifter om medlemmarnas politiska uppfattning, religiösa tro eller övertygelse i övrigt som utgör grunden för medlemskap i sammanslutningen. Inte heller behövs tillstånd för myndigheter inom hälso— och sjukvården för vård- eller behandlingsändamål eller sociala myn- digheter avseende register om sjukdom o.d. resp. hjälp och vård inom socialtjä- nsten. Även läkare och tandläkare får i sin privata yrkesverksamhet utan tillstånd inrätta och föra register över sina patienter med uppgift om sjukdom och hälsotillstånd. S.k. statsmaktsregister är också undantagna från tillståndsplikt. Med statsmaktsregister avses register om vars inrättande riksdagen eller regeringen beslutat. Datainspektionen skall dock yttra sig, om registret är sådant att det annars är tillståndspliktigt.

Den nuvarande ordningen tillkom år 1982 i samband med att tillståndskravet

eftergavs på vissa områden och licenssystemet infördes (se avsnitt 4.3).

En bärande tanke vid 1982 års reform var behovet att rationalisera verksamheten hos datainspektionen och skapa förutsättningar för att inspektionen skulle kunna förskjuta tyngdpunkten i sin verksamhet mot sådana frågor som var särskilt

betydelsefulla för integritetsskyddet.

Med stöd av bestämmelser i dataförordningen (1982z480) har inspektionen genom att medge undantag från innehållet i tillståndsansökan och att meddela verkställig- hetsföreskrifter infört ett förenklat ansöknings— och tillståndsförfarande i vissa ärenden (personregister avseende bl.a. direktreklam, forskning och statistik). Ordningen med ett förenklat ansökningsförfarande är avsedd att underlätta inspektionens arbete med tillståndsgivning och förenkla tillståndsproceduren för

den registeran svari ge.

• Sida 135
•  Original

Av de under verksamhetsåret 1988/89 inkomna drygt 1 200 tillståndsärendena inom den enskilda sektorn kunde nästan hälften handläggas i den förenklade ordningen. Antalet inkomna ärenden inom den offentliga sektorn var under samma tid ca 650. Härtill kommer ansökningar som avser tillstånd att ändra eller utvidga personregister. Dessa var drygt 600 (offentliga sektorn) resp. 100 (enskilda sektorn) under budgetåret 1988/89. Tillståndshanteringen svarar f.n. sammantaget för drygt 35 procent av datainspektionens resursanvändning. Tillståndsärendena har ökat kontinuerligt sedan 1982 och har, trots det förenklade förfarandet, gjort det svårt för inspektionen att frigöra resurser från tillståndsverksamhetån för att i stället i önskvärd utsträckning ägna sig åt bl.a. tillsyn (se avsnitt 5.1).

Datainspektionen utövar tillsyn genom inspektioner som verkställs antingen genom rent skriftlig handläggning ("skrivbordsinspektion") eller besök hos den registeransvarige. Utgångspunkten för inspektionema kan vara anmälningar och klagomål från allmänheten eller också tar myndigheten själv initiativet till en inspektion. En inspektion kan vara mera allmän eller inskränkt till vissa för- hållanden. I vissa redovisningar från datainspektionen brukar hänföras även annan verksamhet (information, rådgivning och utarbetande av allmänna råd och verkställighetsföreskrifter) till tillsynsverksamhet. Enligt utredningens mening bör begreppet tillsyn framgent dock begränsas till att avse inspektioner och kontroll

av att bestämmelserna efterlevs, dvs. tillsyn i egentlig mening.

Antalet inspektioner genom besök hos den registeransvarige uppgår f.n. till enbart drygt 20 per år, varav huvuddelen avser den enskilda sektorn. Sedan år 1987 har inspektionen också genomfört åtta särskilda s.k. tillsynsprojekt (kommunprojektet, polisprojektet,forskningsprojektet,spärrlisteprojektet,företagshälsovårdsprojektet, patientprojektet, videoprojektet och inkassoprojektet. Se vidare avsnitt 5.5.3).

Straff och skadeståndsskyldighet finns föreskriven i datalagen för den som exempelvis inrättar eller för personregister utan licens eller tillstånd eller som

bryter mot de villkor för tillstånd som inspektionen har meddelat. Antalet fall där

• Sida 136
•  Original

ansvars- eller skadeståndstalan förs är dock genomgående litet och inskränker sig till några fall per år.

Utvecklingstakten inom informationsteknologin ökar. Gränserna för ADB- tekniken vidgas alltmer. Den fortgående datoriseringen i samhället kommer också att leda till ett ökat antal personregister och därmed ökade risker för otillbörliga integritetsintrång. Vissa bedömningar tyder på att exempelvis terminaler och persondatorer inom en överskådlig framtid kommer att vara lika vanliga som telefoner (se vidare avsnitt 6). Frågan om behovet av en närmare definition av begreppet ADB mot bakgrund av de tillämpningssvårigheter som den moderna tekniken för med sig behandlar utredningen i ett särskilt avsnitt nedan (8.2).

Till bilden av den datatekniska utvecklingen hör också ökningen av de gräns— överskridande informationssystemen och den fortgående intemationaliseringen

överlag på ADB—området.

Några säkra uppskattningar av antalet personregister är inte möjliga att göra. Internationella erfarenheter visar att det kända antalet register i olika länder inte

torde spegla de verkliga förhållandena. Mörkertalet kan antas vara betydande.

Trots denna osäkerhet kan det sammanlagda antalet personregister i vårt land likväl anges till uppskattningsvis 200 000 - 500 000. Till bedömningen av antalet personregister hör också frågan om begreppet som sådant. En del av osäkerheten i uppskattningen hänger samman med det nuvarande registerbegreppet. Frågan om

en modernisering av personregisterbegreppet redovisar utredningen i avsnitt 8.3.

En stor del av de likartade personregister som kan hänföras till bestämda grupper återfinns inom den offentliga sektorn. Som framgår av de undersökningar som utredningen har låtit göra svarar personregister inom hälso— och sjukvårdssektom och övriga kommunala register för 30 procent av tillståndsärendena hos datainspektionen. Dessa områden samt personregister som gäller kund- eller

leverantörsförhållanden, anställda, forskning och statistik samt direktreklam svarar

• Sida 137
•  Original

sammantaget för mer än fyra femtedelar av alla register som man söker tillstånd

för (se avsnitt 5.1).

Härtill skall läggas de offentliga register som inrättas genom beslut av riksdagen eller regeringen och där tillstånd från inspektionen inte krävs (brottsregister och andra register med anknytning till rättsväsendet, folkbokföringsregister, det statliga person- och adressregistret, äktenskapsregister, skatteregister o.d., utsökningsregister, socialregister, statligt löne- och redovisningssystemregister, register över värnpliktiga, körkortsregister, passregister, vapenregister, bilregister, fastighetsregister, fritidsbåtsregister, luftfartygsregister, aktiebolagsregister, allmänt företagsregister, handelsregister, firmaregister, patientregister och

tullregister m.fl.).

En huvuduppgift för utredningen i förevarande etapp av arbetet (se avsnitt 2) är att överväga huruvida den nuvarande ordningen med ett tillståndssystem kan ersättas med ökade tillsynsåtgärder för att därigenom effektivisera integritets- skyddet. En sådan reform skulle ligga väl i linje med den partiella övergången från ett system med tillståndskrav till ett licenssystem som skedde år 1982. Avsikten är dock inte att nu på något avgörande sätt ändra den avvägning i integritetsskydd som gällande rätt ger uttryck för eller att föreslå förändringar av datalagens begrepp och tolkning av personlig integritet och otillbörligt intrång. Som utredningen diskuterar i ett följande avsnitt (8.4) bör det emellertid

övervägas om inte en ökad precision av begreppen likväl är möjlig att uppnå.

Syftet med en reform bör vara att stärka integritetsskyddet på dataområdet genom att bl.a. omfördela de resurser som nu står till buds. Skälen för en omläggning redovisas närmare i avsnitt 8.5 , men redan här vill utredningen peka på följande

viktiga utgångspunkter.

Datainspektionens arbete bör framdeles inriktas på att mera effektivt än f.n. kontrollera att skyddet för den personliga integriteten upprätthålls, såväl inom den

offentliga som den enskilda sektorn. Tillsynen bör skärpas och antalet inspektioner

• Sida 138
•  Original

öka. Det är framför allt angeläget att ta tillvara de allmänpreventiva effekterna av en tillsynsverksamhet. Den normering som finns på området och som sker bl.a. genom datainspektionens övriga verksamhet måste därför följas upp i en större

utsträckning än f.n.

Genom datainspektionens inriktning på en skärpt tillsynsverksamhet bör man vidare kunna uppnå en önskvärd flexibilitet och den prioritering till särskilt integritetskänsliga områden som krävs för ett effektivt integritetsskydd. Möjligheterna härtill ökar avsevärt, om den nuvarande många gånger stereotypa tillståndsprövningen kan upphöra.

Det stora antalet personregister och den framtida utvecklingen på dataområdet kräver dock att den skärpta tillsynen ordnas så, att verksamheten samtidigt kan avbyråkratiseras och ske med en effektiv hushållning av såväl inspektionens som de registeransvarigas resurser. Det är härvid bl.a. angeläget att den dator- användning som sker för privat bruk kan hanteras på ett enkelt och obyråkratiskt

Sätt.

Hur en framtida tillsynsverksamhet bör kunna bedrivas behandlas närmare i

avsnitt 8.6.

Som utgångspunkt för en mera genomgripande förändring bör vidare gälla att datalagen liksom f.n. bör innehålla de grundläggande bestämmelserna för integritetsskyddet, medan den konkreta anpassningen till skilda sektorer och områden bör ske genom en regelutfyllnad från datainspektionen och en kontroll från inspektionens sida. Härigenom bör det vara möjligt att följa och förekomma den snabba utvecklingen på det informationsteknologiska området på ett sätt som inte skulle gå att genomföra, om datalagen skulle innehålla den fullständiga regleringen för alla områden och branscher. Datainspektionens bransch— eller

sektorsreglering behandlas i avsnitt 8.6.1.

• Sida 139
•  Original

I detta sammanhang bör också behovet av särskilda registerlagar för vissa

områden som komplettering till datalagen beaktas.

Av grundläggande betydelse för en omläggning av datainspektionens arbete mot en utvidgad och skärpt tillsynsverksamhet bör vidare vara att inspektionen har en tillräckligt god överblick över de personregister som inrättas och förs i landet.

Denna fråga diskuteras i avsnitt 8.6.2.

En skärpt tillsyn och effektivare kontroll av integritetsskyddet förutsätter också att datainspektionen kan engagera såväl vissa andra tillsynsmyndigheter inom den offentliga sektorn som branschorganisationer på den privata sidan. Denna fråga

behandlas närmare i avsnitt 8.6.3.

En viktig utgångspunkt för en reform bör slutligen vara att den ligger väl i linje med den internationella utvecklingen på integritetsskyddsområdet. Detta har betydelse inte enbart på grund av förekomsten av gränsöverskridande datorsystem, vilka som nämnts ökar i omfattning, utan också mot bakgrund av det pågående

integrationsarbetet i Europa och den övriga utvecklingen där.

De utgångspunkter som utredningen nu har redovisat ligger också nära den uppfattning som kommit till uttryck i de moderna dataskyddslagar som antagits eller övervägs i bl.a. Finland, Nederländerna och Storbritannien (se vidare

avsnitt 7).

Utredningen redogör i följande avsnitt för sina närmare överväganden rörande ADB- och personregisterbegreppen (8.2. — 8.3), begreppen personlig integritet och otillbörligt intrång (8.4.) samt frågan om tillstånd eller tillsyn (8.5).

I avsnittet 8.6 behandlas huvuddragen i ett framtida renodlat tillsynssystem.

I särskilda avsnitt diskuteras därefter handläggningen av statsmaktsregister i ett

reformerat system (8.7), vissa sanktionsfrågor (8.8), frågor om överklagande-

• Sida 140
•  Original

möjligheter (8.9) och vissa organisatoriska konsekvenser för datainspektionens del

av en reform (8.10). Finansiella frågor slutligen redovisas i avsnitt 8.11.

8.2. Begreppet ADB

Begreppet automatisk databehandling (ADB) finns inte definierat i datalagen eller närmare behandlat i förarbetena till lagen. Begreppet är centralt för tillämpningen av datalagens bestämmelser, eftersom det i sin tur ingår i bestämningen av begreppet personregister: Endast register, förteckningar eller andra anteckningar som förs med hjälp av ADB och som innehåller till viss person hänförliga uppgifter är personregister. Dock förstås med inrättande av personregister även insamling av uppgifter som skall ingå i registet, även om insamlingen inte sker med hjälp av ADB. Begreppet ADB återfinns också i integritetsskydds-

bestämmelsen i 2 kap. 3 & regeringsformen.

Av den redogörelse som lämnats i avsnitt 6 framgår att den tekniska utvecklingen är så snabb att det är förenat med stora svårigheter att finna en lämplig och

hållbar definition av begreppet ADB.

Den f.n. vedertagna användningen av begreppet innefattar databehandling, dvs. informations- eller uppgiftsbehandling, som huvudsakligen utförs med datorer. En dator brukar i sin tur betecknas som en apparat för databehandling som styrs av internt lagrade instruktioner (program) och som kan framställa och lagra nya instruktioner och sedan utföra dessa instruktioner. Även utrustning som i första hand är avsedd för registrering, redigering och formatering av text samt lagring, återvinning och utskrift av dokument är i regel försedd med datorer. (Se vidare

avsnitt 6.2).

Även om begreppet ADB strängt taget är knutet till termen data, dvs. närmast uppgift, till skillnad från begreppet dator, har det i allmänhet kommit att förknippas med det senare begreppet.

• Sida 141
•  Original

Den datatekniska utvecklingen omfattar redan nu informationslagring och bearbetning som sker på elektronisk—optisk väg eller med hjälp av laserteknik, dvs. på annat automatiskt sätt än med enbart elektronisk behandling. Som exempel på den moderna utvecklingen kan nämnas användningen av informationslagring med hjälp av CD (compact disc). Redan nu marknadsförs CD-skivor med mycket stor lagringskapacitet, där data, text, ljud och bild integrerats. Skivorna kan sedan användas i en vanlig person- eller hemdator, och tekniken möjliggör således

vidare bearbetning av en stor mängd information .(Se avsnitt 6.3).

Frågan om en avgränsning av ADB-begreppet kan sägas beröra också frågan om datalagen bör ersättas med en lag som gäller personregistrering generellt och inte bara avser användning av ADB-teknik (jfr. DALK:s förslag i avsnitt 4.2). Svårigheten att definiera begreppet ADB eller någon annan teknikanknuten bestämning kan i sig sägas vara ett skäl att överväga en mera generell lagstiftning på detta integritetsskyddsområde. Det bör understrykas att de begreppsmässiga svårigheterna varit kända redan vid datalagens tillkomst, men att den snabba

tekniska utvecklingen ytterligare har komplicerat frågan om en definition av

begreppet.

I syfte att likväl försöka klarlägga gränsdragningen vad avser ADB-begreppet och behovet av en måhända annorlunda bestämning härav har utredningen, som framgår av avsnitt 6, sökt vägledning av teknisk expertis på området. En allmän uppfattning från detta håll synes vara att en positiv och entydig avgränsning av ADB-begreppet, som kan tänkas gälla under någon längre tid och som knyts an till begreppet dator, är mycket svår att göra. Liknande svårigheter gör sig enligt experterna f.ö. gällande också i fråga om exempelvis det matematiska mängdbe-

greppet. Icke desto mindre, säger dessa experter, kan begreppet utan olägenheter

användas inom matematiken.

Å andra sidan förefaller det bland experterna råda enighet om, i linje med vad som nyss har sagts om mängdbegreppet, att de tekniska begreppsförhållandena inte i sig behöver leda till tillämpningssvårigheter när det gäller integritetsskyddet,

• Sida 142
•  Original

under förutsättning att det mera centrala begreppet personregister kan ges en tillfredsställande definition. Någon närmare avgränsning av ADB-begreppet har inte heller skett i den moderna dataskyddslagstiftningen i vissa länder. — I en del länders dataskyddslagar förekommer i stället begreppet elektronisk databehand- ling (EDB). Termen är mera begränsande än ADB och är, som framgått ovan, svår att förena med utvecklingen på det informationsteknologiska området. Utredningen har mot denna bakgrund stannat för att inte söka närmare definiera

termen ADB. Frågan om personregisterbegreppet behandlas i följande avsnitt.

Enligt sina direktiv skall utredningen ta upp frågan om en generell person- registerlag bara om det framkommer särskilda skäl. Utredningen har inte under förevarande etapp av utredningsarbetet funnit att sådana särskilda skäl föreligger att det är motiverat att nu utvidga datalagen till att gälla personregistrering generellt och inte bara avse användning av ADB-teknik. Visserligen har från datainspektionen redovisats enstaka fall där personregistrering skett på manuell väg, exempelvis privata förteckningar över personer som gripits för butikssnatteri, men varken omfattningen av eller innehållet i den manuella registreringen förefaller vara av någon betydenhet och innebära några mera påtagliga integritets- risker. Erfarenheterna från bl.a. Finland och Nederländerna, där även ren manuell personregisterhantering omfattas av dataskyddsbestämmelsema, synes också ge

visst stöd för en sådan slutsats (se avsnitt 7).

8.3. Personregisterbegreppet

Som framgår av föregående avsnitt är begreppet personregister kopplat till

ADB-begreppet.

Orsaken till att tillämpningsvårigheter kan uppstå är närmast att begreppet register, vid sidan av betydelsen enligt vanligt språkbruk, också förekommer i olika betydelser i rent ADB-tekniska sammanhang. Man säger t.ex. att ett register består av en mängd lagrade sammanhörande poster som behandlas som en enhet

i datorn. Man talar här om filer (efter engelskans file). Utvecklingen av

• Sida 143
•  Original

datatekniken har emellertid lett till nya företeelser som man inte utan vidare kan inordna i tidigare tekniska registerbegrepp. Det gäller bl.a. databastekniken (se avsnitt 6.2.2).

Mot den nu angivna bakgrunden är det olämpligt att ha kvar en koppling mellan begreppet personregister och de ADB—tekniska registerbegreppen. Det begrepp som bör bilda utgångspunkt för integritetsskyddet i datalagen bör enligt utredningens mening så långt möjligt frikopplas från de tekniska registerbestäm- ningarna. Detta har även framförts från flera håll vid remissbehandlingen av datainspektionens skrivelse (se avsnitt 4.6 - 4.7). I praxis har denna grundsyn

också fått visst genomslag, trots att det inte kommit till direkt uttryck i datalagen.

Som utredningen redovisat i avsnitt 8.2 bör dock utgångspunkten alltjämt vara att

det rör sig om en icke-manuell bearbetning av personuppgifter.

Begreppet personregister bör - med hänsyn till risken för en sammanblandning med de tekniska registerbegreppen - bestämmas på ett annat sätt än f.n. Av betydelse för integritetsskyddet är begreppet personuppgift, dvs. upplysning eller

uppgift som avser enskild person.

I datalagen bör som grundläggande bestämning därför tas in en regel som tar sikte på ändamålet med informationsbehandlingen, utan att bestämningen som nu direkt kopplas till förekomsten av "register, förteckning eller andra anteckningar".

Om ändamålet med insamling eller lagring av personuppgifter, som kan tas fram eller bearbetas på elektronisk eller på annan automatisk väg, är att få uppgifter tillgängliga som kan identifiera en enskild person, skall datalagens integritets- skyddsbestämmelser vara tillämpliga och ett personregister anses föreligga, oavsett om uppgifterna finns lagrade i traditionella dataregister (filer) eller i databaser eller med någon annan teknik. Det innebär att exempelvis personuppgifter i såväl datoriserade klipparkiv som i ordbehandlingsprogram, vilka har sökfunktioner,

kan anses som personregister, om tekniken används för att ta fram uppgifter om

• Sida 144
•  Original

enskilda. Det avgörande bör således vara i vilket syfte och på vilket sätt tekniken

utnyttjas, inte de tekniska möjligheterna i sig.

Det närmare ändamålet med hanteringen av personuppgiftema och deras innehåll, dvs. personregister i datalagens nu föreslagna mening, blir sedan styrande för de krav som uppställs i fråga om anmälan till datainspektionen eller tillämpning av de olika föreskrifter som inspektionen kan ha meddelat (se avsnitt 8.6.1 och 8.6.2). En sådan mera rättslig definition av begreppet personregister leder också till att ett nytt register får anses föreligga om ändamålet med registret ändras eller utvidgas på ett sådant sätt att situationen är att jämställa med att ett nytt register inrättas (jfr. KU 1985/86:25 s. 24 f).

En viktig fråga är naturligtvis hur ändamålet skall kunna ges en tillfredsställande utformning i integritetsskyddshänseende. Det får, å ena sidan, inte bli så vitt att det kan rymma allehanda verksamheter. Det får exempelvis anses uteslutet att ett uppgivet ändamål från en registeransvarig anges enbart som " samhällsplanering" eller "forskning" för att kravet på ett tydligt angivet ändamål skall vara uppfyllt. Å andra sidan får det inte utformas så snävt att varje förändring i informationsbe- handlingen skulle behöva föranleda en ny anmälan e.d. Det är önskvärt att, i linje med vad som gäller redan enligt vissa av datainspektionens föreskrifter (DIFS 1989:2 och 1990:1) och som har berörts i konstitutionsutskottets nyss angivna betänkande, endast väsentliga förändringar av ett register behöver utlösa en sådan aktivitet hos den registeranvarige. Enligt utredningens mening förefaller en ändamålsbestämning lämplig som tar sin utgångspunkt i den registeransvariges verksamhet sådan den framgår exempelvis av en myndighets instruktion eller beskrivningen i en bolagsordning. Denna begränsning skulle utgöra den yttersta ramen inom vilken den registeransvarige skulle ha att närmare konkretisera

ändamålet med en åsyftad automatisk insamling eller lagring av personuppgifter.

Med en utgångspunkt i en rättslig och ändamålsrelaterad definition av person— registerbegreppet bör man enligt utredningens mening också i viss mån bättre

komma till rätta med avgränsningen gentemot manuell bearbetning. Om det

• Sida 145
•  Original

avseende ett register som inrättas eller förs för ett visst ändamål och där bearbetningen i något led sker på elektronisk eller på annan automatisk väg förekommer manuella inslag (exempelvis manuell insamling av uppgifter som skall ingå i registret eller också att registret tillförs uppgifter på manuell väg), bör detta i princip inte ändra karaktären av personregister i datalagens mening. Enligt gällande rätt förstås med inrättande av personregister även insamling av uppgifter som skall ingå i registret. När det gäller övriga manuella inslag bör manuellt förda uppgifter, exempelvis bestämda sökord, som är en förutsättning för den automatiska bearbetningen, enligt utredningens mening framgent också omfattas av registerbegreppet. Vidare kan övervägas att låta manuella personuppgifter som tekniskt bearbetad data hänvisar till ingå i begreppet, om det finns ett klart samband mellan de olika informationsdelarna. Slutligen bör, liksom f.n., givetvis

dokumentationen av bearbetningen omfattas av registerbegreppet.

Ett sådant förändrat personregisterbegrepp som nu har skisserats bör vidare leda till att den mera tekniska termen "samköming" kan undvikas. Utredningen

återkommer till denna fråga i avsnitt 8.6.5.

8.4. Begreppen personlig integritet och otillbörligt intrång

Syftet med datalagen är att skydda den enskilde mot sådant otillbörligt intrång i den personliga integriteten, som kan bli följden av registrering av personuppgifter

hos det allmänna eller hos enskilda.

Någon legaldefinition av personlig integritet finns inte. Inte heller finns det i vårt land någon rättsligt bindande föreskrift som ger ett allmänt intregritetsskydd. I stället regleras skyddet för den personliga integriteten genom ett flertal be-

stämmelser på olika konstitutionella nivåer.

• Sida 146
•  Original

Sedan den 1 januari 1989 har den s.k. fri- och rättighetskatalogen i 2 kap. regeringsformen utökats med en grundregel om skydd för den enskildes personliga integritet vid dataregistrering. Grundlagskyddet är dock inte absolut utan

gränserna skall enligt grundlagsbestämmelsema närmare anges i lag.

Vid grundlagsreformen framhöll konstitutionsutskotteti sitt av riksdagen godkända betänkande (KU 1987/88:19 s. 3), att den personliga integriteten inte kunnat ges en närmare definition som ett rättsligt begrepp samt att den mycket väl kan ha olika innebörd vid skilda tidpunkter och förhållanden samt att detsamma gäller det

otillbörlighetsrekvisit som används i datalagen.

I datalagen anges att vid bedömandet av om otillbörligt intrång kan uppkomma skall särskilt beaktas arten och mängden av de personuppgifter som skall ingå i registret, hur och från vem uppgifterna skall inhämtas samt den inställning till registret som föreligger eller kan antas föreligga hos dem som kan komma att registreras. Vidare skall särskilt beaktas att inte andra uppgifter eller andra

personer registreras än som står i överensstämmelse med ändamålet med registret.

En allmän uppfattning om begreppet personlig integritet och integritetsskyddet, såväl i vårt land som utomlands, torde vara att det innefattar en rätt för den enskilde att själv bestämma vilka uppgifter om sig själv och sina personliga förhållanden som han eller hon skall lämna ifrån sig och hur dessa uppgifter skall användas och spridas ( jfr. redovisningen i DOKzs betänkande, Ds Ju 1987z8, s. 25 ff).

Den enskildes fredade sfär är emellertid inte helt okränkbar. Intrång i den personliga integriteten måste få tillåtas, om andra och viktigare intressen påkallar det. Den oenighet som kan finnas om integritetsskyddets omfattning rör närmast vilka dessa övergripande intressen kan vara. Denna fråga kan i sin tur inte

besvaras utan att hänsyn också tas till exempelvis arten och mängden av de

• Sida 147
•  Original

uppgifter om den enskilde som skall registreras och i vilka sammanhang de är tänkta att förekomma.

I datalagen anges också vilka personuppgifter som får bedömas som mer integritetskänsliga än andra, exempelvis uppgifter rörande brott, hälsotillstånd,

sexualliv, ras, politisk uppfattning eller övertygelse i övrigt (se avsnitt 3.3).

Medan mängden och slaget av uppgifter om en person, dvs. närmast en såväl kvantitativ som kvalitativ bedömning, kan ge viss ledning när det gäller att avgöra omfattningen av ett intrång i integriteten, krävs alltid en kvalitativ avvägning för att slutligt svara på frågan huruvida intrånget kan anses "otillbörigt", dvs. gå utöver vad den enskilde bör tåla. Oftast innefattar denna vägning huvudsakligen att ta ställning till huruvida det allmännas intresse eller något annat allmänt

intresse tar över den enskildes rätt till en fredad sfär.

Det innebär att ett stort antal registrerade uppgifter om en enskild inte behöver vara otillbörligt kränkande, om de kan motiveras av ett godtagbart ändamål eller behov. Å andra sidan kan en enstaka uppgift i sig vara av sådant slag att den inte bör få registreras, även om den behövs för ett uppgivet allmänt syfte.

Uppfattningen om hur avvägningen av den enskildes intressen på integritets- området närmare skall göras i förhållande till det allmännas intresse kan växla från tid till annan och mellan olika länder. I vårt land reser också den grund- lagsreglerade handlingsoffentligheten, dvs. principen om allmänna handlingars offentlighet, vissa särskilda frågor på området. En utgångspunkt i vårt land, liksom i jämförbara länder, för avvägningen mellan den enskildes och det allmännas intressen är emellertid, att den enskildes intresse inte redan från början skall anses vara underordnat det allmännas intresse. I frågan om hur den närmare avvägningen skall utfalla kan emellertid meningarna gå isär. Tydligast kan skillnaderna framträda när det gäller att avgöra vilket intresse som skall vika - den

enskildes eller det allmännas - om det inte råder bred enighet om vad som väger

• Sida 148
•  Original

tyngst. Ett annat sätt att uttrycka detta är att ange vem som skall anses ha

"bevisbördan", den enskilde eller det allmänna, för utfallet av denna prövning.

Dessa grundläggande frågor synes inte ha diskuterats i någon nämnvärd omfattning vid det reformarbete som hittills har gällt integritetsskyddet på dataområdet. Enligt utredningens mening bör otillbörlighetsrekvisitet i datalagen ytterligare kunna preciseras, så att den nödvändiga avvägning som måste göras mellan intrångets omfattning, å ena sidan, och ändamålet eller behovet av personregistreringen, å andra sidan, kommer till klarare uttryck i lagtexten. Utredningen ämnar dock inte nu lämna något förslag till en sådan lagändring utan

återkommer till dessa frågor i en senare etapp i utredningsarbetet.

8.5 Tillstånd eller tillsyn?

En utgångspunkt för integritetsskyddet inom datalagens område har ursprungligen varit att datainspektionen skulle pröva om tillstånd till inrättande och förande av ett personregister kunde beviljas. Även en ändring eller utvidgning av registret har krävt tillstånd. Utan en sådan prövning i varje ärende och ett meddelat tillstånd

fick före 1982 års reform i princip inga personregister föras. (Se avsnitt 4.2).

Frågan om tillståndstvång i alla fall jämförd med en ordning med en allmän anmälningsskyldighet i förening med tillståndskrav endast i vissa fall diskuterades redan i samband med datalagens tillkomst år 1973. (Se avsnitt 4.1).

En förprövning genom ett tillståndskrav innebär obestridliga fördelar ur integritetssynvinkel, Under förutsättning att de som avser att inrätta och föra register också ansöker om tillstånd, innebär tillståndssystemet en effektiv kontroll

av registrets integritetskänslighet.

Den stora nackdelen med ett tillståndsförfarande är att inspektionen måste lägga ner mycket arbete på tillståndsprövning inte bara av känsliga register utan även

av register som är relativt ofarliga från integritetsskyddssynpunkt. Redan år 1979,

• Sida 149
•  Original

dvs. före 1982 års reform, hade inspektionen därför mäst göra vissa förenklingar av tillståndsförfarandet. Kravet på tillstånd innebär också en byråkratisk belastning

för de registeransvariga.

Huvudsyftet med 1982 års reform var att ta bort tillståndskravet för vissa register för att därigenom kunna koncentrera krafterna på de typiskt sett särskilt integritetskänsliga registren samtidigt som en anmälningsskyldighet och en ordning med licens föreskrevs för alla registeransvariga (se avsnitt 4.3). Avsikten var att de resurser som frigjordes i inspektionens tillståndsverksamhet skulle användas för

att förbättra tillsynsverksamheten.

Erfarenheterna av 1982 års reform har visat att det nuvarande tillståndsförfarandet alltjämt tar i anspråk en stor del av inspektionens resurser. En betydande kraftsamling mot tillsyn och kontroll skulle kunna göras, om dessa resurser frigjordes. Utgångspunkten för denna bedömning sammanfaller till en del med de olika alternativ och den diskussion som förekom vid 1982 års reform (se avsnitt 4.2). En avsevärd förbättring skulle dock inträda om, som ett ytterligare steg, den

nuvarande tillståndsprövningen helt kunde upphöra.

Avgörande bör dock vara om ett bibehållande av den obligatoriska förprövningen i något hänseende är av sådan betydelse i integritetshänseende att den inte kan ersättas med en ökad tillsyn. Denna fråga är i sin tur avhängig av vilka slags ärenden som nu omfattas av tillståndskravet och hur ett framtida tillsynssystem är

tänkt att fungera.

När det gäller de ärenden som nu faller under tillståndsprövningen visar en försiktig skattning mot bakgrund av de undersökningar som utredningen har gjort (se avsnitt 5.1 - 5.2) att i vart fall omkring tre fjärdedelar av alla tillståndsärenden torde vara av mera ensartat eller stereotypt slag. (Undersökningsresultatet angav att mer än fyra femtedelar av alla tillståndsärenden kan hänföras till vissa klart avgränsade ärendetyper, men med hänsyn till undersökningens begränsade

omfattning bör en viss försiktighet iakttas). Hit hör bl.a. tillståndsärenden rörande

• Sida 150
•  Original

direktreklam och kommunala register inom hälso- och sjukvårdsområdet. En stor grupp är vidare statistik— och forskningsregister. Gemensamt för dessa ärenden är att de redan nu, under vissa förutsättningar, i stor utsträckning är eller kommer att bli föremål för ett förenklat tillståndsförfarande (se avsnitt 5.2) och att det endast är när någon awikelse från detta förfarande påkallar det, som en mera individuell ärendeprövning måste göras. Bara i rena undantagsfall synes vidare denna prövning föranleda att tillstånd inte beviljas. Detta förklaras bl.a. med att inspektionen under hand diskuterat med sökanden och att bristfälliga ansökningar i många fall därför inte fullföljs.

När det gäller de återstående tillståndsärendena, alltså i vart fall omkring en fjärdedel av alla ärenden om tillstånd, sker en individuell prövning av varje ansökan. Om dessa ärenden genomgående är av mera integritetskänsligt slag, skulle man kunna överväga att ha kvar den förprövning som ligger i ett tillstånds- förfarande. De tidigare nämnda undersökningarna visar emellertid att ärendenas karaktär varierar relativt kraftigt, från mycket integritetskänsliga till förhållandevis beskedliga tilltänkta register. Den slutsatsen kan dras att inte heller för dessa ärenden är det alltid motiverat med den ingående prövning som ett tillståndsför- farande omfattar.

Det förefaller därför som om de allra flesta av de tillståndsärenden som nu prövas ur integritetsskyddssynvinkel inte i sig motiverar den insats som krävs. Som nämnts svarar tillståndshanteringen för drygt 35 procent av datainspektionens hela

resursanvändning.

Samtidigt är inspektionens tillsynsverksamhet inskränkt till ett relativt litet antal fall per år. De flesta av inspektionema är s.k. skrivbordsinspektioner (se avsnitt 5.5.2). Inspektionerna och de större tillsynsprojekt som genomförts visar, å andra sidan, att efterlevnaden av reglerna och därmed integritetsskyddet i vissa hänseenden är bristfälligt såväl inom den privata som offentliga sektorn.

• Sida 151
•  Original

Om ett skärpt tillsynsförfarande kunde inriktas på att kontrollera, inte bara de ärendeslag som nu ingår i tillståndsgruppen, utan även de tillståndspliktiga personregister för vilka f.n. något tillstånd inte söks - antingen på grund av okunnighet eller av andra skäl - skulle integritetsskyddet således i hög grad kunna förbättras. Den ökade tillsynen skulle då också avse de register som i dag inte omfattas av tillståndstvånget. Vissa av dessa innehåller mycket känsliga uppgifter, t.ex. register inom hälso- och sjukvården samt socialtjänsten. Register över medlemmar, anställda etc. utgöri sig inget hot mot integriteten men skulle behöva kontrolleras stickprovsvis, så att inte andra uppgifter registreras än sådana som

får finnas i registren.

Vetskapen om att datainspektionen ägnar sin uppmärksamhet åt en skärpt tillsyn bör ha en allmänpreventiv effekt och avhålla registeransvariga från att inrätta och föra otillåtna register eller att ta med icke tillåtna uppgifter i registret. När det gäller de nuvarande förhållandena räcker det att peka på skillnaden mellan det nuvarande antalet anmälda registeransvariga, ca 38 500, och det uppskattade antalet personregister i landet, 200 000 - 500 000. Ett mycket stort antal register kan således - även med beaktande av att siffrorna inte är direkt jämförbara, då varje registeransvarig kan ha flera register - på goda grunder antas f.n. vara helt

undandragna varje kontroll.

Ett renodlat tillsynssystem, där någon förprövning inte sker, förutsätter emellertid dels att de grundläggande bestämmelserna om personregistrering anges i datalagen, dels att datainspektionen ges möjlighet att genom normer i förväg detaljreglera olika branscher och sektorer samt att förekomsten av vissa personregister genom anmälan i tillräcklig omfattning kommer till inspektionens kännedom.Hur en bransch— eller sektorsreglering resp. en anmälningsplikt bör

utformas diskuteras närmare i avsnitt 8.6.1 - 8.6.2.

Mot denna bakgrund har utredningen funnit att ett tillsynssystem med den utformning som skisseras i avsnitt 8.6 helt bör kunna ersätta det nuvarande

tillståndssystemet.

• Sida 152
•  Original

Konsekvenserna av ett renodlat tillsynssystem när det gäller det speciella område som forskning och statistik utgör behandlas i avsnitt 8.6.4. 1 avsnitt 8.6.5 behandlas närmare frågor om överföring av uppgifter mellan olika register och bearbetning av uppgifter i flera register samt utlandsöverföring i ett sådant

system.

8.6. Ett renodlat tillsynssystem

8.6.1. Datainspektionens bransch- eller sektorsreglering

Utgångspunkten även i ett renodlat tillsynssystem bör naturligtvis vara att de materiella bestämmelserna i datalagen anger de grundläggande förutsättningama för personregistreringen. Utredningen har i ett föregående avsnitt bl.a. pekat på behovet att i det sammanhanget försöka precisera rekvisitet otillbörligt intrång (se avsnitt 8.4). Det kan också finnas skäl att härutöver i lagen ange de bärande principer efter vilka personregister får inrättas och föras (jfr. om förhållandena

i detta avseende i Finland, Nederländerna och Storbritannien i avsnitt 7).

Förutom de grundläggande bestämmelserna i datalagen behövs, liksom för närvarande, en regelutfyllnad på lägre nivå. I förevarande avsnitt diskuteras hur

en bransch— eller sektorsreglering med datainspektionens medverkan bör utformas.

Det nuvarande tillståndsförfarandet tar som nämnts i anspråk en stor del av inspektionens resurser, även om nästan 50 procent av de nuvarande tillstånds— ärendena kan handläggas i en förenklad form. I praktiken innebär den förenklade tillståndsgivningen att register inom en viss sektor i förväg normerats av datainspektionen med stöd av bl.a. en antagen verkställighetsföreskrift och att den registeransvarige, som har ett register på vilket föreskrifterna är tilllämpliga, på särskild blankett ansöker om tillstånd hos inspektionen. Denna ger därefter formellt tillstånd och beslutar bl.a. att innehållet i föreskrifterna skall gälla såsom villkor (eller "föreskrifter" enligt terminologin i 5 och 6 55 datalagen) för

registret (se vidare avsnitt 5.2 - 5 .3).

• Sida 153
•  Original

Denna ordning är närmast föranledd av att inspektionen f.n. inte har någon laglig möjlighet att ge dispens från tillståndskravet och inte har ett allmänt bemyndigan- de att utfärda generella regler på dataområdet (jfr. avsnitt 4.6).

De nuvarande bestämmelserna i regeringsformen (8 kap. 2, 3, 5 och 7 55) sätter vidare en gräns för inspektionens regleringsmöjlighet. Även med ett uttryckligt bemyndigande i datalagen torde det inte vara möjligt för regeringen att sub- delegera normgivningsmakt åt datainspektionen när det gäller det kommunala och landstingskommunala området (se 8 kap. 5 och 7 55 regeringsformen). Även den privata verksamhet som inte kan räknas till "näringsverksamhet" (se 8 kap. 7 & 3 p. regeringsformen) faller utanför. Möjligheten för inspektionen att normera

dessa sektorer genom regelgivning förutsätter således ändring i grundlagen.

En regelgivning, som innebär att inspektionen utfärdar mera detaljerade bestämmelser för inrättande och förande av olika slags register, är som framhållits i föregående avsnitt av grundläggande betydelse för en övergång till ett renodlat

tillsynssystem.

Förutom de sektorer som redan nu handläggs inom ramen för ett förenklat förfarande (se avsnitt 5.2), torde flera områden utan vidare framgent kunna regleras på samma sätt genom inspektionens försorg. F.n. arbetar inspektionen

med att ta fram föreskrifter för kommunala register.

Efter samråd med myndigheter och branschorganisationer torde det enligt inspektionens bedömning vara möjligt att på motsvarande sätt reglera register inom ytterligare sektorer. Vad som avses är register som ofta förekommer och som är enhetliga till sin karaktär. Här kan pekas på bl.a. vissa områden inom rättsväsendet och register inom bankväsendet, advokatverksamhet och för-

säkringsväsendet.

I detta sammanhang bör också frågan om särskilda registerlagar uppmärksammas.

• Sida 154
•  Original

Genom en regelutfyllnad eller reglering som på detta sätt normerar skilda branscher och sektorer, inklusive vissa myndigheters register, bör det vara möjligt att täcka in en avsevärd del av de områden där personregister vanligen före— kommer. De undersökningar som utredningen har gjort (se avsnitt 5.1) tyder på att i vart fall uppemot tre fjärdedelar av alla register skulle kunna omfattas av en sådan mera rutinmässig och i förväg reglerad ordning. Ett område, utöver dem som tidigare nämnts, som exempelvis också kan regleras på detta sätt är statistik- och forskningsområdet där det f.ö. redan nu finns vissa verkställighetsföreskrifter. (Frågan om hur en tillsynsordning skulle kunna tillämpas på forsknings- och

statistikområdet utvecklas som nämnts närmare i avsnitt 8.6.4.)

Den dryga fjärdedel av antalet register som återstår skulle närmast utgöras av register som inte kan inordnas i någon speciell bransch eller sektor och som även kan vara av mera komplicerat eller integritetskänsligt slag. Hit bör också höra system som befinner sig i täten på datautvecklingen. Det är därför rimligt att dessa register också kan komma att kräva mera omfattande arbete och utredning från inspektionens sida efter anmälan och inom ramen för tillsynsverksamheten (se avsnitt 8.6.2). Som utredningen har konstaterat i avsnitt 8.5 varierar dock komplexiteten och integritetskänsligheten icke obetydligt mellan de olika registren

inom gruppen.

Innehållet i de skilda bransch- eller sektorsföreskiiftema bör - liksom när det gäller inspektionens beslut i enskilda fall när någon i förväg gjord reglering inte finns - utgöras bl.a. av bestämmelser om inhämtande av uppgifter, vilka slag av personuppgifter som får ingå, utförandet av ADB-behandlingen, den tekniska utrustningen, de bearbetningar som får göras, underrättelser, de personuppgifter som får göras tillgängliga, utlämnande och användning, bevarande och gallring, kontroll och säkerhet samt rättelser och andra åtgärder i fråga om oriktiga och

missvisande uppgifter.

I fråga om gallrings- och bevarandebestämmelser på registerområdet har dessa

behandlats i en proposition (1989/90:72) om arkiv m.m. som riksdagen i allt

• Sida 155
•  Original

155 väsentligt godkänt (se KrU 29, rskr. 307). Utredningen återkommer till dessa

frågor i en senare etapp i sitt arbete.

När det gäller den lagtekniska lösningen av den regelutfyllnad som inspektionen bör svara för, dvs. bindande föreskrifter vid sidan av datalagen och särskilda registerförfattningar, finns enligt utredningens mening i princip två alternativ, nämligen dels ett utvecklat anmälningsförfarande, dels en ändring i grundlagen.

Ett utvecklat anmälningsförfarande

Det ena alternativet är närmast en vidareutveckling av det nuvarande förenklade ansökningsförfarandet. Något tillstånd skulle emellertid inte krävas i förväg, men väl att den registeransvarige i en anmälan uppgav vilket slag av register som avsågs och att inspektionen vid underrättelse om mottagen anmälan - liksom nu vid meddelat tillstånd - angav vilka särskilda branschvillkor o.d. som skulle gälla för det enskilda registret. Bransch- eller sektorsvillkoren skulle utgöras av de i förväg utarbetade föreskrifterna. Det bör framhållas att en sådan anmälnings- ordning bör ses helt skild från det krav på anmälan för att få licens som nu föreskrivs. Frågan om ett bibehållande av licenssystemet behandlar utredningen

i ett senare avsnitt (8.11).

En sådan ordning har emellertid framför allt två nackdelar:

Dels kan det sättas i fråga om inte regleringen genom villkor i det enskilda fallet likväl på grund av sin omfattning och allmänna karaktär är en sådan normgivning i regeringsformens mening som kräver författningsstöd, dvs. ett uttryckligt bemyndigande i datalagen. Som nämnts torde det inte utan ändring i regerings- formen vara möjligt att genom bemyndigande ge inspektionen behörighet att reglera det kommunala området eller det privata området utanför vad som faller inom nåringsverksamhet (se ovan). Redan det nuvarande förenklade ansöknings- förfarandet torde för övrigt kunna sättas i fråga från konstitutionell synpunkt,

• Sida 156
•  Original

eftersom det rör sig om en materiell utfyllnad av datalagens regler, må vara att

föreskrifterna transformeras till "villkor" enligt datalagen i ett enskilt fall.

Dels skulle den beskrivna ordningen innebära att varje anmälan från en registeransvarig uttryckligen besvarades från inspektionens sida. En registrering och klassificering i ett särskilt anmälningsregister måste nämligen också följas av ett besked till anmälaren om vilka villkor etc. som skall gälla för det angivna registret. Denna "kvittering" skulle, även om den kan administreras av in- spektionen med ADB-stöd och kanske till en del samordnas med eller bygga på det nuvarande licensregistret (LIRE), medföra en inte obetydlig byråkratisk omgång.

Ändring i grundlagen

Det andra alternativet förutsätter att regeringen eller den myndighet som regeringen bestämmer, dvs. närmast datainspektionen, ges ett bemyndigande att närmare reglera vad som skall gälla för inrättande och förande av personregister på skilda områden utöver de grundläggande bestämmelserna i datalagen (och i särskilda registerförfattningar). Utan en ändring i regeringsformen torde dock ett sådant bemyndigande emellertid, som framgått, bara kunna gälla registrering inom statlig verksamhet och privat "näringsverksamhet". Den kommunala sektorn och vissa andra områden skulle därför falla utanför. Det ligger emellertid under alla förhållanden ett stort värde i att systemet är så beskaffat, att det inte råder några

oklarheter i konstitutionellt hänseende i fråga om den närmare regleringen.

Utredningen förordar för sin del det sist behandlade alternativet och föreslår därför, att 8 kap. 7 & regeringsformen ändras så, att till uppräkningen i paragrafen fogas ämnet "skydd mot kränkning av personlig integritet vid personregistrering

med hjälp av automatisk databehandling".

I fråga om utformningen av bemyndigandet i datalagen föreslog datainspektionen

i en promemoria som gavs in till regeringen i november 1988 (se avsnitt 4.6), att

• Sida 157
•  Original

ett bemyndigande för regeringen eller inspektionen skulle avse befogenhet att ta undan vissa slag av personregister från tillståndskravet under förutsättning att det samtidigt meddelas generella föreskrifter för de undantagna personregistren. Under remissbehandlingen av promemorian kritiserade vissa remissinstanser (bl.a. statskontoret, juridiska fakultetsnämnden vid Stockholms universitet, Svenska Bankföreningen, Svenska Arbetsgivareföreningen och Sveriges Industriförbund) förslaget i denna del (se avsnitt 4.7). Kritiken tog närmast sikte på att det i en

sådan ordning kunde bli svårt att överblicka omfattningen av undantagen.

Utredningen delar den kritik som i dessa remissyttranden har kommit fram om utformningen av det föreslagna bemyndigandet. Det bemyndigade i datalagen som utredningen förordar bör lämpligen få den innebörden, att det avser grupper av

sådana register som ofta förekommer och som är av enhetlig karaktär.

En ordning med bransch - eller sektorsreglering genom inspektionens försorg är en förutsättning för att man skall kunna slopa det nuvarande tillståndskravet. En ytterligare förutsättning för att tillståndsplikten skall kunna tas bort är, som

tidigare har nämnts, att en viss anmälningsplikt införs.

8.6.2. Anmälningspliktens omfattning

Allmänna synpunkter

Det kan givetvis sättas i fråga om en ordning, där den överväldigande delen av personregisteranvändningen är detaljreglerad och kontrollerad, ens behöver förutsätta att ett anmälningssystem finns.

Flera skäl kan dock anföras för att införa en anmälningsplikt. Som redan

framhållits avses härmed annat än den anmälan för att få licens som nu finns

föreskriven (se vidare avsnitt 8.11).

• Sida 158
•  Original

Redan idag är det tänkt att anmälningarna för att få licens skall utgöra en viktig grund för inspektionens tillsynsverksamhet (se prop. 1981/82:189 s. 25). Om tillståndsprövningen upphör, förstärks behovet av att få en överblick över personregistreringen. Ett obligatoriskt anmälningsförfarande blir därför av stor betydelse. Med hänsyn till behovet av att förenkla tillsynshandläggningen och att inordna anmälningarna i ett nytt regelsystem måste anmälan innehålla vissa grundläggande upplysningar. Anmälan bör dock för många register kunna göras avsevärt enklare än de nuvarande förenklade tillståndsansökningarna. För de register som omfattas av datainspektionens normering bör det sålunda vara

tillräckligt med en enkel hänvisning till aktuell föreskrift.

Ytterligare ett skäl att införa en anmälningsplikt är att det underlättar för den enskilde att få den insyn i personregistreringen som han eller hon har rätt till (se 10 & datalagen). Genom en hänvändelse till inspektionen kan han eller hon på ett enkelt sätt få besked om de olika slag av mera känsliga personregister som från

tid till annan förs.

Ett annat skäl som talar för ett anmälningssystem är att någon form av anmälan eller registrering hos en tillsynsmyndighet ingår som ett led i integritetsskyddet på dataområdet i andra länder. (Se om förhållandena i Finland, Frankrike, Nederländerna och Storbritannien i avsnitt 7.) En avsaknad av en anmälningsplikt

i vårt land skulle således kunna avvika från vad som är vanligt utomlands.

Vad som kan tala mot att införa ett anmälningssystem är framför allt att detta år

en byråkratisk omgång som tar vissa resurser i anspråk.

Anmälan om att personregister skall inrättas och föras (anmälan för licens) görs f.n. skriftligen hos datainspektionen. Anmälan skall i huvudsak enbart innehålla uppgifter om den registeransvarige och namnet på den person som skall vara kontaktman i frågor som rör registren. För att få kunskap om de olika person-

registren och deras ändamål krävs f.n. att inspektionen tar del av de förteckningar

• Sida 159
•  Original

över registren som varje registeransvarig är skyldig att föra och förvara samt, om

det begärs, ge in till inspektionen, s.k. 7a ä-förteckningar.

Vid en ordning med skärpt tillsyn är det som framgått värdefullt om data- inspektionen fortlöpande kan ha kontroll över det antal register som förs, de olika

slag av personregister som förekommer och vem som för vilka register.

Omfattningen av hanteringen av anmälningar hos datainspektionen blir beroende av i vilken utsträckning bransch— eller sektorsreglering förekommer, hur många personregister varje registeransvarig för och i vilken omfattning handläggningen hos inspektionen kan ske med ADB-stöd. Redan nu förs licensregistret med ADB hos inspektionen. Det torde visserligen vara möjligt att i viss utsträckning göra registreringen av anmälningarna helt på elektronisk väg, exempelvis genom att den anmälningsskyldige med användning av sitt datorsystem kommunicerar med inspektionens ADB—system (se avsnitt 8.10). Om anmälan skulle göras avseende alla register, skulle detta emellertid kräva inte bara en ändring av rutinerna utan även en avsevärd och omotiverad utbyggnad av den nuvarande anmälningsskyldig- heten. Anmälningsplikten bör därför differentieras. För vissa grupper bör den helt kunna utgå. I det följande diskuteras tre kategorier av register ur anmälningssyn- vinkel:

l personregister för personligt bruk

! register som omfattas av datainspektionens normering

I övriga register.

Personregister för personligt bruk

Personregister som en enskild person inrättar och för uteslutande för personligt

bruk omfattas inte av den nuvarande anmälningsplikten för licens. Inte heller i ett

renodlat tillsynssystem behöver självfallet sådana personregister i förväg göras

• Sida 160
•  Original

kända hos inspektionen. Risken för integritetskränkningar får normalt anses vara

av underordnad betydelse när det gäller detta slag av register.

Som typexempel på register för personligt bruk brukar nämnas adress- och telefonförteckningar över vänner och bekanta, liksom register som rör den egna familjens ekonomi. Avgörande för den nuvarande avgränsningen är bl.a. om personregistret till någon del hänger samman med näringsverksamhet, dvs. yrkesmässig verksamhet av ekonomisk art. Som näringsverksamhet torde exempelvis betraktas även att en person i ett anställnings- eller uppdrags-

förhållande använder en persondator som arbetsredskap i sitt hem.

Med den föreslagna ändringen av personregisterbegreppet, dvs. främst en starkare anknytning till ändamålet med registret (se avsnitt 8.3), kommer frågan om en avgränsning av användning för personligt bruk att behöva lösas på ett annat sätt än f.n. Utgångspunkten för bedömningen blir inte, som nu, graden av användning eller anknytning till förvärvsverksamhet utan endast ändamålet med registret. Om således personuppgifter som används för personligt bruk även till en begränsad del skulle användas exempelvis för ett ändamål som faller inom ramen för ett anställningsförhållande eller annan förvärvsverksamhet, innebär det senare syftet att reglerna för icke privata register blir tillämpliga. Platsen för användningen av uppgifterna, dvs. om verksamheten sker i eller utanför hemmet, eller valet av datasystem blir också utan betydelse. Det innebär, å andra sidan, även att en personregistrering uteslutande för personligt bruk som sker exempelvis med arbetsgivarens ADB—system inte behöver omfattas av någon anmälningsplikt. Redan i dag anses i praxis arbete med arbetsgivarens personregister som utförs i hemmet av exempelvis en statstjänsteman omfattas av anställningsmyndighetens licens och tillstånd. Utredningen avser att återkomma till den närmare av-

gränsningen i nu beskrivna hänseenden i en senare etapp i arbetet.

Det bör understrykas att alla personregister, oavsett anmälningsplikt, alltjämt skall stå under inspektionens tillsyn och därför kunna omfattas av en skärpt kontroll.

Oriktiga eller missvisande uppgifter i varje personregister kan föranleda bl.a.

• Sida 161
•  Original

skadeståndsansvar för den registeranvarige, liksom givetvis i de fall då register förs för ett ändamål som inte omfattas av anmälningsbefrielsen (se vidare avsnitt 8.8.2).

Register som omfattas av datainspektionens normering

En stor grupp register som kommer att ingå i det framtida tillsynssystemet är de register som ingår i något av de områden som i förväg har reglerats genom

inspektionens föreskrifter.

Register som f.n. omfattas av anmälningsplikten vad avser licens, men där riskerna för integritetskränkning i förening med registrens spridning knappast motiverar en obligatorisk anmälningsplikt i framtiden är ideella föreningars medlemsregister, liksom de vanligaste administrativa företags- och myndighets— registren (löne- och personalregister) samt vissa vanliga kund— och leverantörs- register eller register som inrättas eller förs för liknande ändamål. Det får förutsättas att den alldeles övervägande delen av föreningarna och företagen - även de mindre - liksom myndigheterna inom överskådlig framtid för sådana register med ADB-stöd. Det innebär att det knappast ur kontrollsynvinkel är nödvändigt för inspektionen att få en särskild information genom en anmälan om dessa

grupper av register.

Man bör kunna räkna med att de nyss nämnda registren kommer att regleras genom föreskrifter från datainspektionen. Detsamma gäller vissa av de områden som nu omfattas av det förenklade tillståndsförfarandet, exempelvis register inom statistik- och forskningsområdet (se vidare avsnitt 8.6.4). Vidare ingår register inom hälso- och sjukvården (inklusive register som privatpraktiserande läkare och tandläkare för), liksom kommunala register inom socialtjänsten. Även register som banker, försäkringsbolag samt advokater, revisorer eller andra konsulter för

kommer att tillhöra de i förväg reglerade bransch- eller sektorsområdena.

• Sida 162
•  Original

Gemensamt för dessa register är att de förekommer med viss frekvens inom skilda områden, att de är av enhetlig karaktär, men att de också kan innehålla känsliga personuppgifter eller hanteras på ett integritetskänsligt sätt. Hit hör såväl register som nu är tillståndspliktiga som register för vilka något tillstånd f.n. inte krävs, exempelvis kommunala register inom socialtjänsten. (I fråga om statsmaktsregister

hänvisas till avsnitt 8.7.)

Som tidigare har nämnts skulle i vart fall uppemot tre fjärdedelar av alla register kunna omfattas av de av datainspektionen utfärdade föreskrifterna. En anmälnings- skyldighet för alla dessa register skulle leda till en omfattande byråkrati och är inte heller motiverad från integritetsskyddssynpunkt. Däremot kräver integritets— skyddet att förekomsten av vissa register görs känd för datainspektionen för att bl.a. kunna utgöra underlag för en skärpt tillsyn. Vad utredningen tänker på är de register som innehåller känsliga uppgifter, dvs. i princip sådana uppgifter som nu anges i 4 5 och 6 5 andra stycket datalagen, samt register med uppgifter om personer som saknar sådan anknytning till den registeransvarige som följer av

medlemskap, anställning etc.

För den i förväg bransch- eller sektorsnormerade gruppen bör således gälla att den registeransvarige skall ha en skyldighet att anmäla att register av det mera känsliga slag som nu har beskrivits förs. Som nämnts bör det i princip vara tillfyllest att det i anmälan görs en hänvisning till en viss föreskrift. Anmälan bör liksom f.n. göras skriftligt, om inte elektronisk kommunikation framgent är möjlig, på särskild blankett med angivande av vilket eller vilka slag av register som förs, vilket sker genom en hänvisning till den eller de aktuella författ- ningarna. Ett register kan naturligtvis förändras i olika avseenden. Dessa för- ändringar bör dock inte föranleda någon ny anmälan, om registret även efter förändringarna håller sig inom den ram som datainspektionens författning utgör. En förändring av ett register kan emellertid också leda till att registret faller utanför den aktuella föreskriften och därför kommer att hänföras till kategorin

"övriga register".

• Sida 163
•  Original

Även om anmälan görs av den registeransvarige, bör kravet på att föra för- teckning över varje register (7a å-förteckning) finnas kvar för att ytterligare underlätta kontrollen.

Övriga register

Förutom register för enskilt bruk samt de register som i förväg har normerats genom inspektionens regelgivning, kommer det naturligtvis framgent att finnas register av sådant slag som inte passar in i någon av dessa två huvudkategorier. Till denna grupp övriga register hör framför allt register som exempelvis i något avseende avviker från den rättsliga kategoribestämning som kan vara gjord av

datainspektionen i en bransch- eller sektorsföreskrift.

I gruppen torde komma att ingå såväl integritetskänsliga som mindre känsliga

register.

Mot bakgrund av de uppskattningar som utredningen har försökt göra (se avsnitt 5 . 1) torde gruppen övriga register kunna anges till i vart fall omkring en fjärdedel av alla register.

En registeransvarig som finner att ett register inte tillhör den anmälningsfria gruppen skall naturligtvis anmäla registret till inspektionen och i anmälan ange bl.a. vilket slag av register det är fråga om och för vilket ändamål det skall inrättas och föras. Uppgiftemai anmälan bör i övrigt vara tillräckligt utförliga för att göra det möjligt för inspektionen att fatta de beslut som kan behövas för registret i fråga (se nedan).

Anmälan om ett sådant register bör vara en impuls för inspektionen att närmare utreda frågan. Inspektionen kan därvid komma att finna att registret av in- tegritetsskäl inte bör få föras (se avsnitt 8.8.2) och därför helt bör förbjudas eller att det får föras endast under förutsättning av särskilda genom beslut av

inspektionen meddelade villkor.

• Sida 164
•  Original

Skulle det till den nu beskrivna kategorin register komma att hänföras register av likartat slag eller register med gemensamma drag i någon större omfattning, kan detta givetvis vara ett skäl för inspektionen att normera registertypen i fråga, varigenom registret i stället hänförs till kategorin bransch- eller sektorsregister. Ambitionen bör vara att på olika sätt försöka avgränsa och minska gruppen övriga

register.

8.6.3. Huvudpunkter i den framtida tillsynsverksamheten

En huvuduppgift för inspektionen i ett renodlat tillsynssystem blir att genom inspektioner och kontroll se till att bestämmelserna efterlevs och integritetsskyddet

upprätthålls.

Underlaget för tillsynen bör i huvudsak utgöras av de anmälningar om register som föreligger hos inspektionen. Dessa bör hos inspektionen kunna systematiseras så, att de svarar mot den bransch- eller sektorsreglering som föreligger. Härigenom får inspektionen en god möjlighet till överblick och till att fortlöpande följa utvecklingen inom olika områden. Datainspektionen får därigenom också förutsättningar att göra den anpassning av föreskrifterna som kan vara påkallad. Genom inspektioner hos utvalda registeransvariga bör vidare kontroll regelbundet göras. Inspektionerna kan antingen ske stickprovsvis eller efter mönster av den nuvarande projektverksamheten koncentreras till vissa områden eller grupper av

registeransvariga.

Det är naturligt att datainspektionens tillsyn i första hand inriktas på de typer av register som skall anmälas till inspektionen. Myndigheten bör dock ägna viss uppmärksamhet även åt de register som inte behöver anmälas, dvs. den stora massan av register. Bl.a. bör man kontrollera att i dessa register inte tas med några andra uppgifter än som är tillåtna enligt de föreskrifter som gäller för ifrågavarande typ av register. Datainspektionen bör på det bransch— och sektorsreglerade området kunna få biträde i tillsynsarbetet av vissa statliga

förvaltningsmyndigheter. Utredningen återkommer till detta i det följande.

• Sida 165
•  Original

Vissa av de register som anmäls är av sådant slag att de inte ingår i något av de i förväg reglerade områdena. Som framgått av föregående avsnitt torde i vart fall en dryg fjärdedel av alla register kunna komma att hänföras till denna kategori. En anmälan om ett sådant register bör som nämnts vara en särskild anledning för inspektionen att närmare bevaka registret. Som utvecklas vidare i avsnitt 8.8.2 bör inspektionen ges en möjlighet att besluta - även interimistiskt - att ett visst

register inte vidare får föras, dvs. att meddela ett förbudsbeslut.

Det får också förutsättas att en registeransvarig, som avser att föra ett särskilt känsligt register eller ett register som inte ingår i någon av de standardkategorier som kan finnas (dvs. ett register som tillhör gruppen "övriga" i avsnitt 8.6.2), tar kontakt med inspektionen före eller senast i samband med sin anmälan för att inte riskera att registret blir föremål för en rad ingripande, icke förutsedda villkor eller rent av förbjuds. Vetskapen om att inspektionen utövar en skärpt tillsyn bör effektivt kunna bidra till ett sådant handlingssätt.

Inspektionen bör, som nyss antytts, i ett enskilt fall liksom f.n. kunna meddela de villkor som skall gälla för förande av ett register. Detta gäller gruppen "övriga

register" .

För många register i den nu berörda kategorin torde med hänsyn till vad som nu har sagts skillnaden i praktiken mellan en förprövning (tillstånd) och efterprövning (tillsyn) inte bli så stor för den registeransvarige. Kontrollen kommer däremot att kunna skärpas och tillsynen effektiviseras genom att resurser har frigjorts från den

nuvarande tillståndsprövningen för datainspektionens del.

De personregister som inte anmäls, oavsett om anmälningsplikt föreligger eller inte, får, som utredningen tidigare har berört i detta avsnitt, inspektionen också bevaka genom en kontroll hos de registeranvariga. Förfrågningar och inform- ation bör kunna riktas till grupper eller inom sektorer, där kontrollbehovet bedöms vara särskilt stort. Erfarenheterna av de tillsynsprojekt som inspektionen

har genomfört bör som framgått härvid kunna tas tillvara.

• Sida 166
•  Original

De förteckningar och register över företag som redan förs (exempelvis det allmänna företagsregistret BASUN) bör kunna användas som ett verksamt

underlag för en sådan inspektionsverksamhet.

En tänkbar möjlighet är vidare att de statliga tillsynsmyndigheter som svarar för olika delar av förvaltningen och vissa övriga sektorer medverkar i den skärpta tillsynen. Det gäller närmast de myndigheter som redan i dag har ett tillsyns- ansvar för skilda områden (t.ex. bankinspektionen, försäkringsinspektionen,

socialstyrelsen, riksskatteverket och riksförsäkringsverket).

De myndigheter som skulle kunna ges ett särskilt tillsynsansvar inom dataområdet bör utan större svårighet kunna utsträcka sin vanliga tillsyn till att gälla också integritetsskyddet inom myndighetens ansvarsområde. Vad det närmast gäller är att se till att underlydande myndigheter eller övriga institutioner eller inrättningar som står under tillsyn följer de föreskrifter angående inrättande och förande av personregister som datainspektionen har utfärdat. Det innebär att tillsynen från dessa myndigheters sida bör begränsas till de i förväg bransch- eller sektors- normerade områdena. De berörda myndigheterna skulle heller inte få använda sig av de sanktionsmöjligheter som står datainspektionen till buds. Vissa finansi- eringsfrågor i anledning av tillsynsuppgiftema på integritetsskyddsområdet för

ifrågavarande myndigheter berörs i avsnitt 8.11.

I inspektionens informations- och utbildningsuppgift bör särskilt ingå att utbilda befattningshavare på andra tillsynsmyndigheter i de krav som integritetsskyddet på dataområdet ställer på dessa myndigheter. Datainspektionen bör naturligtvis också samråda med berörda myndigheter vid utarbetandet av sektorsanpassade föreskrifter. På motsvarande sätt bör branschorganisationemas kunskap tas tillvara

när det gäller verksamheter inom den privata sektorn.

Inspektionens verksamhet bör också syfta till att skapa och fördjupa förståelse för värdet av ett stärkt integritetsskydd och att utnyttja de ansträngningar att bevaka

integritetsfrågor som kan finnas inom olika branscher. Ytterst kan dock kontrollen

• Sida 167
•  Original

aktualisera frågor om straff- och skadeståndsansvar. Som framgår av avsnitt 8.8.1 bör datainspektionens roll också renodlas, så att inspektionen ges möjlighet att i

större utsträckning påverka frågan om ansvarstalan.

Ett viktigt komplement till inspektionens tillsynsverksamhet bör även framgent vara inspektionens arbete med att informera och ge råd till de registeransvariga för att förebygga att integritetsskyddet sätts åt sidan av misstag eller okunnighet. De tillsynsprojekt som inspektionen redan har genomfört (se avsnitt 5.5.3) visar att så kan ske i en inte obetydlig omfattning, såväl inom den offentliga som den

enskilda sektorn.

Genom en uppsökande verksamhet från inspektionens sida kan misstag klaras ut och rutiner anpassas, samtidigt som erfarenheterna från fältet bör kunna ge inspektionen ett värdefullt underlag för att se över behovet av ytterligare bransch-

eller sektorsanpassade föreskrifter.

8.6.4. Systemets tillämpning inom området för forskning och statistik

Personregistrering för forskning och statistikändamål finns inte särreglerad i datalagen. I den mån registren inte är hänförliga till s.k. statsmaktsregister (se avsnitt 3.4 och 8.7), krävs i allmänhet tillstånd av inspektionen för att få inrätta

och föra personregister för angivna ändamål.

På grundval av uttalanden i förarbetena har dessa register i praxis kommit att få en privilegierad ställning när det gäller möjligheterna att få registrera personer utan naturlig anknytning till den registeransvarige. Enligt en fast praxis ifrågasätter datainspektionen vid sin prövning som regel inte det behov som anges för inrättande av ett forskningsregister. Denna uppfattning grundar inspektionen i att forskningsområde och forskningsmetod är frågor som faller utanför inspektionens behörighet. Däremot kräver inspektionen naturligtvis för tillstånd att det är möjligt att inskränka intrånget i den personliga integriteten genom villkor i det enskilda fallet.

• Sida 168
•  Original

Vidare görs i praxis åtskillnad mellan sådana register som avses bygga på informerat samtycke från de berörda och register där sådant samtycke inte skall

inhämtas.

Ett stort antal ansökningar kommer årligen in till inspektionen med begäran om tillstånd till forskningsregister eller ändring av tidigare meddelade tillstånd. En studie visar exempelvis att det under andra halvåret 1988 kom in 56 nya ansök-

ningar och 70 ansökningar om ändring av tillstånd (jfr. avsnitt 5.1).

När det gäller personregister för statistiska ändamål svarar statistiska centralbyrån

för en stor del av ansökningarna.

Ett tillsynsprojekt enligt datalagen avseende forskningsregister vid universitet och

högskolor har nyligen avslutats (se avsnitt 5.5.3).

För vissa personregister för såväl forsknings- som statistikändamål har data- inspektionen nyligen meddelat föreskrifter om ett förenklat ansökningsförfarande (se avsnitt 5.2). För båda ändamålen föreskrivs bl.a. att informerat samtycke i en del fall skall föreligga, dvs. att den som skall registreras i förväg får upplysningar om bl.a. registrets ändamål och innehåll och därefter frivilligt lämnar begärda

uppgifter eller medger att dessa inhämtas från någon annan källa.

Frågan om forskningsregister har också behandlats av den s.k. forskningsetiska utredningen i betänkandet (SOU l989:74) Forskningsetisk prövning. Organisation, information och utbildning. I betänkandet finns bl.a. en utförlig redovisning av de olika problem som forskning och forskningsregister kan ge upphov till. Särskilt nämns i betänkandet deti massmedierna för några år sedan mycket uppmärksam- made s.k. metropolitprojektet (en longitudinell undersökning av 15 117 stockholmare födda 1953, som genomförts i syfte att följa deras utveckling från

barn till vuxen ålder).

• Sida 169
•  Original

Den forskningsetiska utredningen föreslår i sitt betänkande en utbyggnad av den

forskningsetiska granskningen inom högskolan.

Vidare föreslår utredningen att personregister, som uteslutande används för forskning och där resultaten redovisas utan att enskilda individers identitet röjs, inte längre skall kräva tillstånd. Ett villkor skall dock vara att registret förs av vissa angivna myndigheter: universitet och högskolor, statliga forskningsinstitut, statistiska centralbyrån eller myndigheter inom hälso— och sjukvården. Vidare måste den ansvarige ha inhämtat informerat samtycke från dem som skall registreras eller, om antalet berörda individer är mycket stort, projektet i stället

ha godkänts av en särskild forskningsetisk kommitté.

Slutligen föreslår utredningen att någon skyldighet att lämna registerutdrag inte skall föreligga där en sådan skyldighet enligt utredningen skulle kunna medföra sänkt integritetsskydd. Härmed avses enligt utredningen fall då ett utlämnande skulle medföra att krypterade eller avidentifrerade register likväl skulle behöva göras tillgängliga på individnivå.

Frågorna i betänkandet har efter remissbehandling tagits upp i propositionen (1989/90:90) om forskning.

Datalagsutredningen hänvisade i sitt yttrande över betänkandet till det nära sambandet med utredningens arbete i förevarande etapp och avstyrkte särreglering på datalagsområdet för forskningens del, innan datalagsutredningen hade redovisat

sina överväganden.

I propositionen framhålls också (5. 44) att de regler som gäller för annan verksamhet skall gälla också för forskning (jfr. prop. 1989/90:72 om arkiv m.m. s. 43). Föredragande statsrådet hänvisar i propositionen även till den pågående översynen av datalagen och datalagsutredningens arbete. Det nämns särskilt

(s. 213) att datainspektionens granskning ger- insyn från ett från forskningsvärlden

• Sida 170
•  Original

fristående organ i forskningsprojekten och därigenom en garanti för att den individuella integriteten skyddas.

I ett framtida renodlat tillsynssystem, sådant det har skisserats i de föregående avsnitten, skulle inom det av datainspektionen normerade området de person— register för forsknings- eller statistikändamål som är av känsligare slag (se avsnitt

8.6.2) anmälas till datainspektionen av den registeransvarige.

Vid sidan av datalagens integritetsskyddande regler skulle gälla såsom bindande bestämmelser vad inspektionen har föreskrivit för området. Innehållet i dessa bestämmelser skulle sannolikt till stor del motsvara vad som nu finns föreskrivet för det förenklade ansökningsförfarandet. Det innebär bl.a. att en förutsättning för registrering skulle vara att informerat samtycke föreligger, liksom villkor för

överföring av uppgifter mellan flera register, avidentifiering, gallring m.m.

I sin anmälan skulle den registeransvarige i det skisserade tillsynssystemet ange att registret kommer att inrättas och att det håller sig inom den ram som föreskrifterna drar upp. Någon prövning av registret är dock inte avsedd att ske härutöver. Den enda bearbetning av anmälan som skulle ske hos inspektionen är således att anmälan i fråga hänförs till området forskning eller statistik i det systematiska anmälningsregistret (se avsnitt 8.10) som utgör underlag för inspektionens kontroll- och tillsynsverksamhet.

Den registeransvarige inrättar och för registret endast inom ramen för bestäm- melserna, sedan anmälan har gjorts. Motsvarande gäller naturligtvis också för de register inom det av datainspektionen normerade området som inte behöver anmälas. En särskild förteckning, motsvarande den s.k. 7a & - förteckningen, behöver dock föras hos den registeransvarige för kontroll över bl.a. antalet

register hos varje registeransvarig.

• Sida 171
•  Original

Försummas anmälan eller sker överträdelse av de särskilda bestämmelserna, kan straff och skadestånd komma i fråga, förutom att inspektionen helt kan förbjuda

att registret förs.

Om ett forsknings— eller statistikregister är att hänföra till kategorin övriga register, skall det alltid anmälas. Liksom i fråga om alla andra anmälningspliktiga register gäller att registret inte får inrättas eller föras innan anmälan har skett. När en anmälan kommer in, får inspektionen ta ställning till under vilka villkor som

registret får föras eller om det undantagsvis skall förbjudas.

Vad därefter gäller tillsynen över register för forskning och statistik bör inspektionen genom regelbundna besök eller kontroller på annat sätt vid universitet och högskolor eller andra institut för forskning och statistik övervaka att anmälda register förs på ett integritetssäkert sätt och att inga register har inrättats eller förs i strid med bestämmelserna om anmälan. Datainspektionen bör dock även ägna viss uppmärksamhet åt de register som inte behöver anmälas. Tillsynen bör här främst ta sikte på en kontroll av att i dessa register inte registreras annat än vad som är tillåtet enligt de föreskrifter som gäller för det

aktuella registret.

I sin tillsynsverksamhet bör inspektionen kunna få visst stöd av myndigheterna på området. De bör också kunna påverka utformningen av föreskrifterna inom sektorn för att på så sätt stärka integritetsskyddet inom forsknings- och statistik-

området.

På detta område liksom i övrigt är givetvis inspektionens informerande och rådgivande verksamhet av stor betydelse för att förhindra att otillbörliga intrång

sker i den enskildes integritet.

Som berörs i direktiven är det inte uteslutet att det på forsknings- och statistik- området kan visa sig vara lämpligt med särskilda regler i datalagen eller eventuellt

en särskild registerlag. Utredningen avser att i en kommande etapp närmare

• Sida 172
•  Original

behandla denna och andra frågor som rör behovet av särskilda regler för forsknings- och statistikområdet. En fråga av intresse i samband med detta är möjligheten att använda sig av krypterade forskningsregister och ha nyckelfrlen deponerad hos någon annan än den registeransvarige, i de fall det inte går att bygga registren på informerat samtycke eller arbeta med avidentifierade uppgifter. En sådan ordning skulle få konsekvenser bl.a. för den registeransvariges skyldigheter enligt 10 & datalagen och offentlighetsinsynen enligt tryckfrihetsför-

ordningen. Liknande frågor finns inom statistikområdet.

8.6.5 Sambearbetning och utlandsöverföring m.m.

Som framgår av avsnitt 8.3 har utredningen funnit att personregisterbegreppet tydligare än nu bör ges en rättslig definition, där ändamålet med informations- behandlingen är det centrala, i stället för att knytas till allehanda tekniska

bestämningar.

Motsvarande synpunkter gör sig gällande när det är fråga om begreppet "samköming", som utan att anges i datalagen likväl för många har kommit att

symbolisera riskerna ur integritetssynvinkel med ADB-användning.

Med begreppet "samköming" avses närmast maskinell eller elektronisk bearbetning av uppgifter i ett personregister tillsammans med uppgifter i ett annat personregister hos den registeransvarige eller hos annan registeransvarig eller

annan (även manuell) direkt överföring av uppgifter från ett register till ett annat.

Enligt nuvarande bestämmelser krävs i princip tillstånd av datainspektionen för en sådan sambearbetning. Krav på tillstånd gäller dock inte om det finns stöd i författning eller ett beslut av inspektionen eller görs med den registrerades

samtycke (se avsnitt 3.3).

Utgångspunkten för det önskvärda i en kontroll av "samköming" av flera

personregister bör enligt utredningens mening, liksom när det gäller register-

• Sida 173
•  Original

begreppet som sådant, vara bl.a. ändamålet med informationsbehandlingen och slaget av personuppgifter som tillförs eller överförs, dvs. en sedvanlig bedömning av integritetsintrånget och otillbörlighetsrekvisitet, och inte den tekniska

bearbetningen i sig.

Informationssystemen har också genomgående utvecklats från centrala system till en decentraliserad ordning, vilken tekniskt sett har ökat behovet av "samköming" utan att man för den skull kan hävda att integritetsriskema enbart därigenom har ökat. Även databastekniken och teknikanvändningen i allmänhet har bidragit till att öka antalet "samkömingar", liksom behovet att uppdatera lagrat material (se avsnitt 6.2). Denna tekniska utveckling kan förväntas fortsätta och därigenom göra "samkömingama" ännu mera vanliga. För att inte inge felaktiga föreställningar om teknikens "farlighet" bör man enligt utredningen i integritetssammanhang i stället för "samköming", använda termen sambearbetning och överföring av uppgifter mellan register. I det följande avses, där inte annat framgår, med

sambearbetning också överföring av uppgifter mellan register.

En stor del av de sambearbetningar som ur integritetssynvinkel är beaktansvärda görs f.n. inom den offentliga sektorn efter beslut av regering eller riksdag, dvs. inom ramen för inrättade statsmaktsregister. För övriga personregister är det svårt att finna naturliga avgränsningar i fråga om eventuella integritetsrisker vid

sambearbetningama.

Det nuvarande principiella förbudet mot sambearbetning bör också ses i samband

med datalagens förbud mot utlämnande av personuppgifter i vissa fall.

Enligt nuvarande ordning får personuppgift som ingår i personregister inte lämnas ut, om det finns anledning att anta att uppgiften skall användas för automatisk databehandling i strid med lagen. Finns det anledning att anta att en personupp- gift, oavsett om den ingår i personregister eller ej, skall användas för automatisk databehandling i utlandet, krävs uttryckligt medgivande av datainspektionen för

utlämnande, om uppgiften skall användas i en stat som inte har anslutit sig till

• Sida 174
•  Original

europarådskonventionen om skydd för enskilda vid automatisk databehandling av personuppgifter. Medgivande får lämnas endast om det kan antas att ett utlämnande inte kommer att medföra otillbörligt intrång i den personliga integriteten (se avsnitt 3.3 och 7.1).

Syftet med bestämmelserna är framför allt att hindra att datalagens tillstånds- system kringgås genom att personregister upprättas utomlands.

I ett renodlat tillsynssystem, så som det har skisserats i de föregående avsnitten, kräver frågorna om sambearbetning och utlandsöverföring särskild uppmärksam- het.

Utredningens övervägande rörande registerbegreppet (avsnitt 8.3) innebär som nämnts att begreppet knutits hårdare till ändamålet med bearbetning av person- uppgifter och att ett nytt register skall anses föreligga om ändamålet med informationsbehandlingen ändras på ett sådant sätt att situationen är att jämställa med att ett nytt register inrättas. En sambearbetning torde i vissa fall innebära att ändamålet med personregistret i sådan mån ändrats att ett nytt personregister kan sägas ha uppkommit. Även i övrigt kan en sambearbetning innebära att ett nytt register får anses ha kommit till stånd. Det avgörande för det godtagbara i en sambearbetning bör, som tidigare har berörts, enligt utredningens mening vara vad syftet är med informationsbehandlingen och slaget av uppgifter som tillförs. Liksom nu bör också den registrerades samtycke ha betydelse.

I det framtida skisserade tillsynssystemet, där tillståndsprövningen i princip har upphört, bör frågor om sambearbetning i princip regleras med samma grad av flexibilitet som har förutsatts för tillsynen av övriga register. Som har framgått av ett föregående avsnitt (8.6.2) förutsätter ett renodlat tillsynssystem att en anmälningsplikt införs för vissa register, medan i en del fall anmälan helt kan

undvaras.

• Sida 175
•  Original

Till det senare slaget av personregister hör register som förs för personligt bruk. Lika lite som i dag bör det finnas något förbud mot sambearbetning av sådana register, om det register som uppkommer efter bearbetningen fortfarande bara förs av en enskild person för personligt bruk. Någon anmälan behöver självfallet inte

göras i de fall som nu har behandlats.

Till den andra kategorin register hör register som omfattas av datainspektionens normering. Den registeranvarige skall i fråga om en mindre del av dessa register anmäla att ett sådant register skall föras genom en enkel hänvisning till den aktuella föreskriften. Den stora majoriteten av dessa register skall inte behöva

anmälas.

För sådana personregister, för vilka bransch- eller sektorsföreskrifter har meddelats av datinspektionen, bör också kunna anges i vilken omfattning sambearbetning får ske och under vilka förutsättningar exempelvis den registrerades samtycke till överföring mellan flera register eller tillförande av nya uppgifter skall krävas. Inom en sådan ram bör, utan ytterligare anmälan eller åtgärd från de registeransvarigas sida gentemot datainspektionen, sambearbetning fritt kunna tillåtas.

En förutsättning för att bearbetning skall kunna ske med stöd av föreskrifter som datainspektionen har meddelat är givetvis att ändamålet med och innehållet i det register som uppkommer faller inom ramen för den aktuella författningen. Har t.ex. det nya registret ett annat ändamål är man inne på den tredje kategorin

register.

Denna kategori omfattar register som inte ingår i någon av de båda övriga grupperna, dvs. vad som i avsnitt 8.6.2 kallats övriga register. Dessa person- register skall enligt den ordning som utredningen har tänkt sig alltid anmälas till datainspektionen. Utan anmälan får register för ett uppgivet ändamål inte inrättas eller föras. Något tillstånd från inspektionen, sedan anmälan har gjorts, skall dock inte behövas. Som framhållits i samband med redovisningen av anmälningspliktens

• Sida 176
•  Original

omfattning för denna grupp register torde det dock vara naturligt för den registeransvarige att avvakta närmare besked från datainspektionen, när det gäller en anmälan om ett nytt slag av register eller ett register för ett integritetskänsligt ändamål. En anmälan om ett sådant register bör också ge inspektionen anledning att så snart omständigheterna medger pröva frågan om vilka villkor som bör meddelas för registret eller om undantagsvis dess fortsatta förande helt skall förbjudas (jfr. avsnitt 8.8.2).

Den omständigheten att sambearbetning sker av personuppgifter i flera register kan visserligen ibland sägas leda till ett mera omedelbart och okontrollerat integritetsintrång än om insamling och lagring sker i ett enda register. Data- kvaliteten kan också bli lidande av att uppgifter som insamlats för ett visst ändamål användas för ett annat. Utredningen har därför övervägt att bibehålla nuvarande ordning, dvs. att kräva att tillstånd skall föreligga i förväg i vissa fall. Som tidigare har utvecklats har emellertid den tekniska utvecklingen och utvecklingen mot decentraliserade system lett fram till och kommer framöver att i än högre grad leda fram till förekomsten av en stor mängd sambearbetningar utan att dessa bearbetningar innebär några egentliga risker från integritetsskyddssynpunkt. En ordning med tillståndsprövning för dessa fall skulle därför innebära ett orimligt stort ianspråktagande av datainspektionens resurser utan motsvarande vinster för integritetsskyddet. Det finns därför för sambe- arbetningarna minst lika goda skäl som för registren i övrigt att upprätthålla ett flexibelt och obyråkratiskt system. Utredningen har alltså stannat för att inte föreslå införande av en särlösning i dessa fall utan låta sambearbetningssituationen i fråga om kategorin "övriga register" följa huvudregeln om enbart anmälnings- plikt. Visar det sig nödvändigt har inspektionen möjlighet att i samband med

anmälan meddela villkor eller helt förbjuda sambearbetningar.

Det allmänna kravet på anmälan bör upprätthållas också i de fall en sam— bearbetning faller inom kategorin "övriga register". En grundläggande förut- sättning är dock att registret härigenom ändrats i en sådan väsentlig män att ett

nytt register får anses ha uppkommit. Jfr. avsnitt 8.3.

• Sida 177
•  Original

När det därefter gäller utlämnande av personuppgifter bör den nuvarande straffsanktionerade regeln gälla också i ett tillsynssystem, dvs. att personuppgifter som ingår i ett personregister inte får lämnas ut, om det finns anledning anta att uppgiften skall användas för automatisk databehandling i strid med lagen. Denna bestämmelse bör ses mot bakgrund av den nuvarande regeln om att med inrättade

av personregister förstås också insamlande av uppgifter som skall ingå i registret.

Det principiella förbudet mot överföring av personuppgifter för automatisk databehandling i utlandet (se ovan) bör enligt utredningens mening alltjämt gälla. Om ett principiellt förbud mot utlandsöverföring inte upprätthölls, skulle datalagens kontrollsystem alltför lätt kunna kringgås. I takt med att harmonise- ringen på dataskyddsområdet fortgår och likartade integritetsskyddsbestämmelser införs inom exempelvis EG-området, kommer emellertid ett sådant förbud att

minska i praktisk betydelse.

När det gäller de register som omfattas av inspektionens normering bör det i bransch- eller sektorsföreskrifter tas in bestämmelser om i vilken omfattning överföring till utlandet får ske. För andra register bör överföring komma ifråga endast om det föreligger medgivande av inspektionen. Liksom f.n. bör överföring dock generellt tillåtas till en stat som har anslutit sig till europarådskonventionen

(se avsnitt 7.1).

Det är angeläget att understryka att prövningen i fråga om medgivande till gränsöverskridande överföring av personuppgifter sker med hänsyn också till det önskvärda i att på allt sätt underlätta informationsflödet och kommunikationema

länderna emellan.

• Sida 178
•  Original

8.7. Handläggning av statsmaktsregister

Med statsmaktsregister avses personregister om vars inrättande riksdagen eller regeringen har beslutat. Något tillstånd av datainspektionen behövs inte för dessa register. Däremot skall yttrande inhämtas från datainspektionen, om ett sådant register i annat fall skulle ha medfört tillståndstvång (se avsnitt 3.4).

Inspektionens prövning vid avgivande av yttrande skall ske i princip från samma

utgångspunkter som en tillståndsprövning.

I den mån regeringen eller riksdagen inte har meddelat något villkor i ett visst hänseende rörande ett statsmaktsregister, får datainspektionen besluta härom. Inspektionen har dock inte, såsom för andra register, någon behörighet att

förbjuda fortsatt förande av registret (jfr. avsnitt 8.8).

Ett stort antal av de personregister som innehåller integritetskänsliga uppgifter har tillkommit efter beslut om särskilda registerlagar och kompletterande för- ordningar. Den noggranna beredningen och beslutsprocessen i lagstiftningsärenden har ansetts ge en bättre garanti för ett gott integritetsskydd i fråga om särskilt känsliga register än vad som är möjligt att uppnå vid en tillståndsprövning av datainspektionen. Till detta synsätt kan också ha bidragit svårigheterna att precisera begreppet personlig integritet och otillbörligt intrång. Se avsnitt 8.4

OVäII .

Statsmaktsregister bör i det skisserade renodlade tillsynssystemet närmast hänföras till en egen kategori (se avsnitt 8.6.2). Det nuvarande förfarandet, som enligt vad som har redovisats i avsnitt 5.4 har i allt väsentligt fungerat bra, bör kunna användas i ett nytt tillsynssystem. Om handläggningen av dessa register bör alltså

gälla följande.

• Sida 179
•  Original

I den mån inspektionen i en särskild författning fått bemyndigande härom, bör inspektionen kunna meddela kompletterande verkställighetsföreskrifter. Data- inspektionen bör vidare liksom i dag kunna meddela villkor för det enskilda registret, om inte riksdagen eller regeringen har meddelat villkor i samma

hänseende.

Likaså bör inspektionen ha rätt och skyldighet att yttra sig i samma omfattning som f.n., innan riksdag eller regering fattar beslut om personregistrering.

Det kan därvid enligt utredningens mening inte gärna komma i fråga att ge inspektionens yttrande en annan tyngd än det har i dag, när det gäller beslut av statsmakterna om inrättande av ett visst register. Det innebär att inspektionens yttrande inte är något annat än en del — må vara en viktig del - av riksdagens eller regeringens beslutsunderlag. Det gäller så mycket mer som såväl regering som riksdag i stor utsträckning redan nu beaktar de synpunkter som inspektionen för fram i sina yttranden över statsmaktsregister (se avsnitt 5.4). Mot bakgrund av att osäkerhet i en del fall i dag kan råda om när i beredningen av ärendet in- spektionens yttrande skall inhämtas och att inspektionen enligt egen uppgift i några fall kommit in i ett sent skede och därför inte fått erforderlig tid för sin granskning, bör emellertid reglerna härom förtydligas (jfr. KU 1985/86:25).

Den myndighet som är registeransvarig för ett statsmaktsregister bör liksom i dag anmäla detta till inspektionen. I anmälan bör bl.a., förutom ändamålet, också anges det författningsstöd eller beslut av regeringen som föreligger för ett visst slag av register. Motsvarande gäller i fråga om sådana register som efter beslut av riksdagen eller regeringen har uppkommit efter sambearbetning av flera register, under förutsättning att sambearbetningen i'sådan grad ändrat registret, att ett nytt register kan sägas föreligga. Jfr. avsnitt 8.3.

• Sida 180
•  Original

8.8. Vissa sanktionsfrågor

Datainspektionen får, om skydd mot otillbörligt intrång i personlig integritet inte kan åstadkommas på annat sätt, enligt nuvarande ordning förbjuda fortsatt förande av personregister eller återkalla meddelat tillstånd. Behörigheten att förbjuda

förande av register omfattar dock inte statsmaktsregister.

Straff är föreskrivet för det fall ett personregister inrättas eller förs utan licens eller tillstånd, liksom för underlåtenhet att följa vissa andra i datalagen angivna bestämmelser (se avsnitt 3.6). Skadestånd kan också utgå i dessa fall.

Vidare finns föreskrifter om skadeståndsskyldighet för en registeransvarig, om en registrerad tillfogats skada genom att personregister innehåller oriktig eller

missvisande uppgift.

Slutligen finns bestämmelser om straff och skadestånd för den som olovligen bereder sig tillgång till ADB—upptagning eller ändrar i eller utplånar personregister

m.m. (dataintrång).

I det skisserade renodlade tillsynssystemet måste vissa sanktionsfrågor och närliggande frågor övervägas närmare. Hit hör framför allt frågan om dels att - som anges i direktiven — ge datainspektionen en mer utpräglad karaktär av dataombudsmannainstitution än för närvarande, dels en skärpning av de

sanktionsbestämmelser som nu gäller. Dessa två frågor behandlas i det följande.

Som en allmän princip bör dock, liksom nu, gälla att inspektionens tillsynsuppgift eller straff- och skadeståndsbestämmelsema inte är begränsade till de fall där

anmälningsskyldighet föreligger enligt vad som har redovisats tidigare.

• Sida 181
•  Original

8.8.1 Datainspektionens roll som dataombudsman

Datainspektionen saknar f.n. möjlighet att annat än i form av anmälan till polis— eller åklagarmyndighet påkalla en fråga om straffansvar. Som nämnts är också de fall där ansvars- eller skadeståndstalan förs mycket få. Detta hänger till en del samman med att inspektionen inte har möjlighet att i önskvärd utsträckning ägna sig åt tillsynsverksamhet. Det kan inte heller uteslutas att de nuvarande förhållandena är föranledda av att de brottsutredande myndigheterna har vissa svårigheter att tillämpa föreskrifterna inom det speciella rättsområde som integritetsskyddet och datafrågoma utgör. Det bör dock understrykas att inspektionen i sin klagomålshantering många gånger får rättelse till stånd genom påpekanden underhand, vilket kan göra frågan om lagföring i dessa fall onödig.

I de få fall där ansvarstalan verkligen förs är det mycket vanligt att tjänstemän vid datainspektionen kontaktas av polis- eller åklagarmyndighet under förunder- sökningen för att bidra med synpunkter på den rättsliga bedömningen i ett visst fall. Det har vidare förekommit att en tjänsteman vid inspektionen av åklagaren åberopats och också av domstolen kallats som "vittne" för att redogöra för

tolkningen av vissa bestämmelser i datalagen vid huvudförhandlingen i målet.

I ett renodlat tillsynssystem kan - i vart fall inledningsvis - frågor om straffansvar m.m. komma att få en mera framträdande roll än f.n. Det bör naturligtvis inte vara något självändamål att öka antalet fall av lagföring av brott mot datalagen, men en skärpt tillsyn bör rimligen få till resultat att flera fall som kräver straffrättslig prövning upptäcks. Och det är av allmänpreventiva skäl av vikt att de upptäckta fallen, där avsteg från de integritetsskyddande föreskrifterna i datalagen föreligger eller från de bestämmelser som inspektionen har beslutat om, verkligen också i tillräcklig omfattning leder till lagföring och straff, i den mån det inte bedöms tillräckligt med påpekanden underhand.

• Sida 182
•  Original

Datainspektionens roll kommer således i ett renodlat tillsynssystem att behöva inriktas mera mot en ombudsmannafunktion, dvs. att övervaka och påtala

avvikelser, än f.n. (jfr. förhållandena i Finland, avsnitt 7.3.2).

En ombudsmannaroll reser i sin tur frågor om i vilken utsträckning inspektionen själv bör kunna initiera och påverka frågor om straffansvar. F.n. saknar de ombudsmän åtalsrätt - näringsfrihetsombudsmannnen (NO), konsumentsom- budsmannen (KO), jämställdhetsombudsmannen (JämO) och diskrimineringsom— budsmannen (DO) - som under de senaste decennierna efter mönster av justitieombudsmännen införts i vårt land. Vid sidan av de allmänna åklagarna har endast ett mycket begränsat antal myndigheter möjlighet att väcka åtal som

särskilda åklagare. Hit hör främst justitiekanslern och justitieombudsmännen.

NO och KO har dock givits en exklusiv behörighet att inom respektive ämnes- område lämna medgivande till allmänt åtal. JämO, å sin sida, har möjlighet att

inom sitt område föra talan för den enskildes räkning.

Vid inrättandet av den senaste ombudsmannen, DO, för några år sedan behandlades frågan om åtalsrätt inte närmare. Däremot betonades i lagstift- ningsärendet (prop. 1985/86:98, SfU 20, rskr. 301) att DO skulle ha en rådgivande och utredande funktion och att ombudsmannen inte skulle uppfattas som en tillsynsmyndighet i egentlig mening. Straff, sanktioner och rättslig prövning borde därför inte, framhöll man, förknippas med diskriminerings-

ombudsmannens verksamhet (prop. s. 66 f).

Utgångspunktema vid inrättandet av DO kan således sägas i förevarande hänseende ha varit i viss mån annorlunda än vad som nu har antagits för

inspektionens del i ett framtida tillsynssystem.

Frågan om att ge datainspektionen som dataombudsman åtalsrätt reser en rad svåra frågor om avvägningen mellan allmänna åklagare och särskild åklagare samt

om formerna för bedrivande av förundersökning m.m. (se 7 och 23 kap.

• Sida 183
•  Original

rättegångsbalken). En sådan reform skulle också bryta det mönster som utvecklats

rörande de ombudsmän som under senare år inrättats inom skilda specialområden.

Enligt utredningens mening bör det därför inte vara näraliggande att ge datainspektionen som ombudsman ställning som särskild åklagare eller att på annat

sätt ge inspektionen rätt att självständigt väcka åtal.

Däremot bör inspektionen kunna ges rätt att - i likhet med vad som gäller för NO:s och KO:s del - inom sitt specialområde få påverka åtalsfrågan genom en uttrycklig behörighet att medge att allmänt åtal väcks. Det kan också diskuteras om inte tjänstemän vid inspektionen av riksåklagaren i något fall skulle kunna förordnas att som biträdande åklagare medverka vid åtalsprövningen eller utföra ett åtal som de allmänna åklagarna beslutat om (jfr. 7 kap. 1 & rättegångsbalken och 8 5 förordningen med instruktion för riksåklagaren, 1989: 847). En sådan ordning skullei vissa fall kunna bidra till att effektivisera lagföringen på området,

även om utredningen är tveksam till att mera allmänt förorda en sådan lösning.

Härtill kommer naturligtvis de gynnsamma resultat som ökade utbildningsinsatser inom detta specialområde kan medföra för berörda myndigheter, främst åldagar— och polismyndighetema.

8.8.2 Skärpning av sanktionsbestämmelsema

Enligt utredningens mening kan det finnas skäl att närmare se över straff- och skadeståndsbestämmelsema. Utredningen avser att återkomma till dessa frågor i ett senare skede av utredningsarbetet. Redan här kan emellertid framhållas att en försummad anmälan, i de fall anmälningsskyldighet skall föreligga (se avsnitt 8.6.2), kan medföra straff, liksom fall där ett register med ett visst ändamål förs för ett annat ändamål. Däremot upphör naturligtvis frågan om tillstånd att ha

betydelse för brott mot datalagen.

• Sida 184
•  Original

Vid sidan av ansvar för anmälningsförsummelse bör straff föreskrivas för awikelse från vissa av de bestämmelser som inspektionen kan ha meddelat inom det normerade området (se avsnitt 8.6.2), liksom från de villkor

inspektionen kan ha meddelat i ett enskilt fall.

Straff bör också följa på försummelse att inhämta medgivande till utlands-

överföring där det har föreskrivits (se avsnitt 8.6.5).

En viktig fråga i ett framtida tillsynssystem är inspektionens möjlighet att förbjuda förande av ett visst register. Som nämnts har inspektionen en sådan behörighet i dag, utom när det gäller statsmaktsregister. I en ordning där förprövning genom tillståndsgivning har upphört är det naturligtvis angeläget att inspektionen har en möjlighet att i tid förbjuda att personregister förs, om inte integritetsskyddet kan tillgodoses på annat sätt, exempelvis genom beslut om särskilda villkor för

förandet.

Det är mera sällan som inspektionen för närvarande har anledning att meddela förbud eller återkalla tillstånd. Beslut härom kan vidare överklagas till regeringen och går inte i verkställighet förrän de har vunnit laga kraft, dvs. besvärstiden på

tre veckor har gått ut.

För att nå effektivitet i integritetsskyddet i ett tillsynssystem krävs att in- spektionens beslut om förbud mot fortsatt förande av ett personregister i vissa fall kan gälla utan hinder av att beslutet överklagas, dvs. gälla interimistiskt. Den registeransvariges intresse får tillgodoses genom en möjlighet att överklaga och få inspektionens förordnande om interimistisk giltighet prövat. (Frågor om

Överklagande behandlas i följande avsnitt 8.9).

Möjligheten att förbjuda ett fortsatt förande av ett register kommer i ett tillsynssystem att närmast aktualiseras i två huvudfall. I det ena fallet kan

inspektionen i sin rutinmässiga tillsynsverksamhet komma att finna att ett register

• Sida 185
•  Original

förs i strid med datalagen, datainspektionens föreskrifter eller ett särskilt villkor som gäller för registret och att ett förbud är påkallat.

I det andra fallet kan det röra sig om att inspektionen i samband med en anmälan från en registeransvarig om ett register gör motsvarande bedömning. Som framhållits i ett föregående avsnitt (8.6.2) torde detta närmast bli aktuellt när det gäller register som tillhör kategorin "övriga", dvs. där någon i förväg gjord normering från inspektionens sida inte föreligger. En anmälan om ett sådant register bör föranleda ett tidigt ställningstagande hos inspektionen om det lämpliga i att registret fortsättningsvis förs. Ett beslut i frågan kan inledningsvis vara interimistiskt. Förbud mot register bör kunna meddelas även för förande av

myndigheters register, dock inte statsmaktsregister.

Ett alternativ till förbud kan, som nämnts, i båda fallen vara att inspektionen meddelar de villkor den anser nödvändiga för ett fortsatt förande av person—

registret i fråga.

Naturligtvis måste inspektionen när det gäller att meddela ett förbud, som skall gälla utan hinder av att överklagande sker, också väga in de ekonomiska och administrativa konsekvenserna för den registeransvarige av ett förbud. Endast om skyddet för den enskildes integritet inte kan uppnås på annat sätt bör ett förbud meddelas. Frågor om förbud bör inom inspektionen kunna handläggas så, att det också är möjligt i vissa fall för styrelsen att med sin breda sammansättning kunna anlägga synpunkter på frågan. Det är särskilt angeläget om det skulle gälla ett

mera ingripande beslut, såväl inom den privata som offentliga sektorn.

Att bryta mot ett meddelat förbud bör givetvis, liksom nu, vara straffbart.

• Sida 186
•  Original

8.9. Fullföljd mot datainspektionens beslut

Inspektionens beslut kan f.n. överklagas enbart hos regeringen. För överklagandet gäller förvaltningslagens (1986:223) bestämmelser. Det innebär bl.a. att klagotiden är tre veckor från det klaganden tick del av beslutet och att enbart den

som beslutet angår, om det har gått denne emot, har rätt att överklaga.

Enligt en uttrycklig bestämmelse i datalagen har också justitiekanslern rätt att

överklaga för att ta tillvara allmänna intressen.

I ett renodlat tillsynssystem kommer det att finnas huvudsakligen två kategorier

av beslut som inspektionen fattar.

Den ena kategorin gäller beslut i enskilda fall som har sin grund i tillsynen. I föregående avsnitt har nämnts bl.a. beslut om förbud mot att fortsättningsvis föra personregister. Hit hör också beslut om villkor för förande av registret. Även

inspektionens beslut i avgiftsfrågor får räknas till denna kategori.

Den andra kategorin beslut utgörs av inspektionens beslut om föreskrifter, dvs.

normerande beslut för en viss sektor eller bransch (se avsnitt 8.6.1).

När det gäller normbeslut är frågan om klagorätt över huvud taget enligt gällande rätt något oklar (se redovisningen i Hellners & Malmqvist, Nya förvaltningslagen med kommentarer, Stockholm 1989, s. 292 ff). Det är således tveksamt om det som allmän princip kan sägas föreligga en rätt att överklaga för var och en som normbeslutet riktar sig till. Däremot anses regeringen enligt allmänna principer om normgivningsmakten alltid ha rätt att överpröva underlydande myndigheters föreskrifter, oavsett om dessa kan överklagas eller inte. När det gäller en del nyare författningar har det för att undanröja oklarheter avseende klagorätten exempelvis tagits in en föreskrift i lagen i fråga om att beslut om föreskrifter som

avses i 8 kap. regeringsformen och som har meddelats med stöd av bemyndigande

• Sida 187
•  Original

187 enligt angiven lag inte får överklagas (Se bl.a. 28 5 lagen, 1988:868, om

brandfarliga och explosiva varor. Jfr. också 9 kap. 2 5 arbetsmiljölagen, 1977:1160).

Endast inspektionens beslut i enskilda fall bör kunna överklagas. I fråga om

föreskrifterna kvarstår dock regeringens allmänna möjlighet till överprövning.

Det bör vidare erinras om att en viss prövning av föreskrifter också kan ske inom ramen för en prövning efter överklagande av beslut i enskilda ärenden. Enligt 11 kap. 14 & regeringsformen skall en tillämpning av en föreskrift kunna underlåtas om den står i strid med grundlagen eller en överordnad författning. Härigenom kan en besvärsinstans också granska att en föreskrift verkligen faller inom

datalagens eller någon annan författnings delegationsbestämmelse.

När det så gäller vilken instans som skall pröva ett överklagande av inspektionens beslut i enskilda fall är detta en fråga som i sig inte är avhängig av en övergång till ett renodlat tillsynssystem. Frågan rymmer, som också påpekas i direktiven, skilda synpunkter och svåra ställningstaganden, bl.a. när det gäller Europarådets konvention om skydd för de mänskliga rättigheterna och grundläggande friheterna och konventionens krav på tillgång till domstolsprövning i vissa ärenden (jfr. KU 1988/89:28). Som antyds i utredningens direktiv står valet närmast mellan att behålla regeringen som besvärsinstans och att låta allmän förvaltningsdomstol överta uppgiften. En uppdelning kan också ske, så att enskilda får överklaga till domstol, medan regeringen behålls som besvärsinstans för statliga myndigheter (jfr. 15 kap. 7 och 8 55 sekretesslagen, 1980:100).

Utredningens skiss till ett tillsynssystem kan dock i sig sägas vara ett argument för en lösning med en mera generell överprövning i domstol i stället för av regeringen, särskilt med hänsyn till den utvidgade normering som är tänkt att ske genom datainspektionens försorg i ett sådant system. Andra skäl talar i motsatt riktning. Utredningen avser emellertid att i en senare etapp i utredningsarbetet

återkomma till frågorna om överklagande och mera utförligt redovisa de motiv

• Sida 188
•  Original

som kan tala för eller emot de olika alternativen vid fullföljd av inspektionens beslut i enskilda fall.

8.10. Organisatoriska konsekvenser för inspektionen

För datainspektionen gäller förordningen (1988z912) med instruktion för data— inspektionen. Datainspektionens generaldirektör är chef för inspektionen. Inspektionens styrelse består av högst tio personer, inklusive generaldirektören,

och står under dennes ordförandeskap.

Inom inspektionen finns två sakenheter som svarar för uppgifterna inom resp. offentlig verksamhet och enskild verksamhet. Varje enhet leds av en byråchef.

Dessutom finns en administrativ och en teknisk enhet.

Sammanlagt finns f.n. 38 tjänster vid myndigheten.

Enligt särskild föreskrift i förordningen skall styrelsen besluta i frågor om tillstånd

eller återkallelse av tillstånd som är av särskild principiell vikt.

Beslut om föreskrifter fattas regelmässigt av styrelsen. I övrigt är beslutsfattandet delegerat i enlighet med föreskrifterna i verksförordningen (1987:1100) och i

inspektionens arbetsordning.

I den verksamhetsplan som inspektionen bilagt sin anslagsframställan för budgetåret 1990/91 och ett treårigt budgetförslag t.o.m. budgetåret 1992/93 har inspektionen i sin beskrivning över målen för den framtida verksamhetsutveck— lingen behandlat bl.a. tillståndprövningen, tillsynsverksamheten, licensverksam-

heten, informationsverksamheten och regelgivningen.

För tillståndsprövningen har inspektionen angivit att målet är att högst en tredjedel av inspektionens resurser skall utnyttjas för handläggning av tillståndsärenden vid

treårsperiodens slut. - Som nämnts är den nuvarande resursanvändningen f.n.

• Sida 189
•  Original

189 drygt 35 procent. - Rationaliseringar, utbyggnad av ADB-stödet, dokumentation

av praxis samt kompetensutveckling anges som medel för att nå det uppsatta

målet.

När det gäller tillrynsverkramheten anges som mål att denna skall öka och att

minst en tredjedel av resurserna skall användas för tillsyn i olika former.

Som framgått tidigare (se avsnitt 8.1) hänför inspektionen ibland till verksamheten "tillsyn", förutom inspektioner som nu sker i mycket begränsad omfattning, framför allt utredningar av bl.a. klagomål, information, projektverksamhet och

framtagande av allmänna råd m.m.

Det uppsatta målet bör enligt inspektionen kunna nås genom rationalisering av klagomålshanteringen samt en ökad inriktning på projektanställd specialist- kompetens och en uppföljning av resultatet av allmänna råd och föreskrifter om

förenklade ansökningsförfaranden.

I fråga om informationsverksamheten och regelgivningen anges särskilt att dessa verksamheter skall intensifieras. (Frågan om licensverksamheten behandlas i

följande avsnitt).

Den planläggning som inspektionen sålunda gjort för sin framtida verksamhet påverkas naturligtvis av de ändringar som utredningen har skisserat i föregående

avsnitt.

Följande utgångspunkter för en organisatorisk förändring vid inspektionen som en

konsekvens av ett renodlat tillsynssystem bör enligt utredningen beaktas.

• Sida 190
•  Original

Tillståndsprövningen upphör

Den nuvarande tillståndsprövningen kan helt upphöra. De fall där inspektionen i framtiden behöver göra en individuell ärendebedömning i fråga om inrättande och förande av register inskränker sig till de fall där en anmälan görs om inrättande av ett personregister som inte omfattas av inspektionens normering. I dessa fall kan inspektionen ha att besluta om villkor för eller undantagsvis förbud mot fortsatt förande samt ta ställning till frågan om medgivande till utlandsöverföring (se avsnitt 8.6.3 och 8.6.5). Handläggningen av de nu nämnda frågorna kan kräva en ändrad organisation för att identifiera ärendena och på lämplig nivå kunna

besluta i saken.

Urvalet och identifieringen av anmälningar av nyss nämnt slag bör kunna ske med ADB-stöd (se nedan) och huvuddelen av ärendena kunna beslutas av enhetschef efter föredragning eller handläggas som enmansärenden. Beslut om förbud mot fortsatt förande bör i viktiga fall underställas styrelsen, om det inte är tillräckligt att generaldirektören fattar beslutet. Det ligger i sakens natur att det av tidsskäl

inte torde vara möjligt att låta styrelsen besluta i fråga om ett interimistiskt beslut.

Förstärkt tillsyn

Tillsynen bör framdeles koncentreras till att följa upp tillämpningen av bestäm- melserna, såväl datalagens, som inspektionens egna föreskrifter, genom inspektioner och handläggning av klagomål. Hit hör givetvis också en kontroll av att de registeransvariga följer de villkor som har ställts upp av datainspektionen i det enskilda ärendet. Den del av tillsynen som f.n. handläggs som projektverk- samhet bör i en förändrad ordning snarare hänföras till de bransch- eller

sektorsöversyner som krävs för normeringen eller regelgivningen.

En viktig del av den framtida tillsynen bör vara att ta ställning till i vad mån

överträdelser av bestämmelser också bör medföra lagföring. Utredningen har i det

• Sida 191
•  Original

sammanhanget inte velat utesluta att datainspektionen också skulle ges rätt att medge åtal och att tjänstemän vid myndigheten någon gång skulle kunna förordnas att som biträdande åklagare medverka vid en åtalsprövning eller utföra ett av allmänna åklagaren väckt åtal (se avsnitt 8.8.1). Dessa uppgifter bör kunna handläggas på byråchefsnivå hos myndigheten.

Liksom f.n. bör verksamheten kunna fördelas på två sakenheter, dvs. en för den

privata och en för den offentliga sektorn.

En fortsatt utbyggnad av inspektionens tekniska kompetens är önskvärd. Det är också värdefullt om teknisk sakkunskap finns företrädd i inspektionens styrelse.

Inspektionens normgivning

Såsom redan har förutskickats i inspektionens verksamhetsplan kommer arbetet med att utarbeta föreskrifter att behöva intensifieras. Enligt utredningens modell bör olika branscher eller sektorer gås igenom och behovet av anpassade föreskrifter prövas. Erfarenheterna från det nuvarande förenklade tillstånds— systemet med de "föreskrifter" som hittills utgivits och den särskilda projekt- verksamheten bör härvid kunna utnyttjas. Resurserna för regelgivningen kommer dock att behöva förstärkas, utöver vad inspektionen redan har antagit i sin

verksamhetsplan.

Med tanke på den betydelse som föreskrifterna kommer att ha för tillsyns- verksamheten är det angeläget att dessa får en lämplig och väl avvägd utformning. Beslut om föreskrifter bör självfallet fattas av inspektionens styrelse. Som har framgått (se avsnitt 8.6.1) bör beredningen också ske under nära samarbete med

berörda myndigheter resp. branschföreträdare.

En intensifiering av regelgivningen kan organisatoriskt behöva medföra en

utbyggnad av vissa stabsfunktioner inom inspektionen. Utredningen avser då

• Sida 192
•  Original

närmast funktionen som verksjurist. Även i övrigt kan en förstärkning vara

nödvändig.

Handläggningen av anmälningar

I det skisserade tillsynssystemet kommer anmälan av register att behöva ske i tre fall. Dels gäller det anmälan om vissa mera känsliga register som faller inom det normerade området, dels övriga register (se avsnitt 8.6.2). En tredje kategori av

anmälda register utgör statsmaktsregistren.

Handläggningen av dessa anmälningar kommer att skilja sig från det nuvarande

licensanmälningssystemet (se följande avsnitt om finansiering).

Anmälningama om ett i förväg normerat register bör kunna ske på ett enkelt sätt med användning av särskilda formulär. Anmälningama bör kunna registreras efter

kategori och i ett särskilt register göras lätt överskådliga hos inspekttionen.

En sådan hantering syftar dels till att ge inspektionen tillräcklig överblick över de olika slag av register och registeransvariga som förekommer, dels att ge allmänheten en möjlighet att få en viss insyn i den mera känsliga person-

registrering som sker från tid till annan.

Till skillnad från den nuvarande licensanmälan skall ändamålet med ett visst slag av register, som framgått, alltid uppges i en registeranmälan, i de flesta fallen dock bara genom en hänvisning till den aktuella författningen. De nuvarande 7a & - förteckningama skall dock alltjämt föras hos de registeransvariga för att underlätta överblicken, inte minst för den registeransvarige själv. De för— teckningar som nu förs enligt 7a & datalagen kommer att innehålla en redovisning av alla de register som finns hos en viss registeransvarig, med undantag förstås

av de register som förs huvudsakligen för personligt bruk.

• Sida 193
•  Original

Någon materiell prövning av anmälningarna skall inte behöva göras utom i det relativt begränsade antal fall, då det anmälda registret faller utanför det i förväg normerade området ("övriga register", se avsnitt 8.6.2). Den prövning som en

anmälan om ett statsmaktsregister kan föranleda har berörts i avsnitt 8.7.

Information m.m.

Datainspektionens resurser bör givetvis vid en reform också förstärkas vad gäller information och utbildning. Detta gäller särskilt vid genomförandeskedet och övergången till ett nytt system. Förutom information till framför allt de registeransvariga behövs bl.a. riktad utbildning för nyckelbefattningshavare vid

de myndigheter som är avsedda att biträda vid tillsynen (se avsnitt 8.6.3).

8.11 Finansiering av datainspektionens verksamhet

Datainspektionens budget omsluter f.n. omkring 17 milj. kr. Verksamheten bekostas i sin helhet av licens— och handläggningsavgifter enligt förordningen

(l982z481) om avgifter för datainspektionens verksamhet.

Avgift tas ut enligt förordningen för handläggning av tillstånds— och vissa andra ärenden. Intäkterna i form av handläggningsavgifter uppgår f.n. till knappt 2 milj. kr.

Licensintäktema, som svarar för ca 15 milj. kr., är således av avgörande betydelse för inspektionens ekonomi. Som nämnts uppgår det totala antalet registrerade licenspliktiga till ca 38 500, varav ca 2 000 avgiftsbefriats (bl.a. ideella föreningar med färre än 200 medlemmar).

Avgiften för varje licenspliktig är f.n. 448 kr. per år.

Inspektionen för en förteckning som omfattar alla registeransvariga som gjort

licensanmälan. Detta licensregister förs med hjälp av ADB och benämns LIRE.

• Sida 194
•  Original

Antalet nya licenspliktiga som anmält sig har uppgått till ca 8 000 per år de två år inspektionen haft informationskampanjer (budgetåren 1986/87 och 1988/89), medan det årliga tillskottet i övrigt varit 2 000 - 3 000 nya licenser.

F.n. tar licensverksamheten i anspråk drygt 10 procent av inspektionens resurser

för hela verksamheten.

I verksamhetsplanen anges att arbetet med att få de registeransvariga att göra anmälan skall fortsätta, men att särskilda informationskampanjer inte torde vara behövliga längre. Licenshanteringens andel av inspektionens hela resursan—

vändning kan därför förväntas minska.

Utgångspunkten bör enligt utredningens mening vara att inspektionens verksamhet

även framgent är helt avgiftsfinansierad.

De organisatoriska förändringar som enligt föregående avsnitt torde bli följden av ett mera renodlat tillsynssystem bör även kunna finansieras inom ramen för nuvarande resurser. En omfördelning bör kunna ske, så att resurser som frigörs från den nuvarande tillståndshandläggningen kan föras över till bl.a. tillsyns- verksamheten och de delar inom inspektionen som bör ha ansvar för beredning

av föreskrifter.

Kunskapen om licenssystemet har fått relativt stor spridning bland allmänheten och de registeransvariga som en följd av de informationskampanjer som inspektionen har genomfört, även om långt ifrån alla licenspliktiga anmäler sig. Licenssystemet har också fördelar av annat än rent ekonomiskt slag. Licens- registret kan således användas för att nå registeransvariga med riktad och avpassad information, vilket kan bidra till att stärka integritetsskyddet. Härtill

kommer att licensregistret kan utgöra underlag för inspektionsverksamhet.

Redan dessa förhållanden är tunga skäl för att behålla en ordning med en årlig

avgift för vissa registeransvariga.

• Sida 195
•  Original

Det avgörande skälet för att behålla systemet bör enligt utredningens mening dock vara att systemet med årliga avgifter, med i huvudsak den avgränsning det har i dag, innebär att de som i sin verksamhet ger upphov till risker för otillbörligt intrång i den personliga integriteten på dataområdet också här den ekonomiska bördan för samhällets försök att förhindra ett sådant intrång.

Det kan naturligtvis diskuteras andra alternativ, exempelvis att genom en specialdestinerad skatt på bl.a. omsättningen av datorer sörja för finansieringen av inspektionens verksamhet. En sådan skatt skulle emellertid, för att bli administrativt hanterbar, behöva innefatta också den försäljning av datorer som sker för enskilt eller annars personligt bruk och därmed även belasta ett område, där risken för intrång i den personliga integriteten typiskt sett är mycket liten. En sådan lösning är därför mindre lämplig.

Å andra sidan får avgiftssystemet inte avgränsas så, att det i praktiken innebär en beskattning som anpassas efter det behov av medel som datainspektionen har från tid till annan. Utgångspunkten bör i stället vara att avgiften ses som en mot- prestation vilken den registeransvarige har att erlägga för den information som datainspektionen tillhandahåller. Det är vidare angeläget att alla registeransvariga kan förmås att erlägga den föreskrivna avgiften. Datainspektionen bör därför ytterligare intensifiera sina ansträngningar på området. Förutsättningama för detta bör öka genom det nya tillsynssystemet. Sanktion för utebliven betalning, som i dag saknas, bör införas i form av tilläggsavgift eller, i sista hand, förbud att föra

register.

Utredningen förordar därför att alla registeransvariga - utom vad avser register för en enskild person och för personligt bruk - även i framtiden skall betala en

ärlig avgift för att få föra personregister.

Det nuvarande licenssystemet bör emellertid förändras i några avseenden. Ordningen med licens, som betyder tillstånd eller medgivande, infördes i

anslutning till att det ursprungliga tillståndssystemet i datalagen reformerades år

• Sida 196
•  Original

1982. När nu enligt utredningens förslag även det reformerade tillståndssystemet från år 1982 avskaffas och ersätts med ett renodlat tillsynssystem är det inte helt följdriktigt att ha kvar den rest av tillståndssystemet som en ordning med licens

kan sägas utgöra. Begreppet licens bör utmönstras redan på denna grund.

Utredningen förordar ett anmälningssystem som en del av ett renodlat tillsyns- system. Anmälan skall göras till datainspektionen av de personregister som är typiskt sett mera integritetskänsliga. Skulle man ha kvar den gamla ordningen med en anmälan om licens, skulle det innebära att två anmälningssystem förekom vid sidan av varandra. En sådan reglering är ägnad att skapa osäkerhet och förvirring bland de registeransvariga. I den ordning som utredningen tänker sig bör det bara

förekomma en anmälningsskyldighet.

I det av utredningen skisserade systemet krävs inte något myndighetsbeslut för att en registeransvarig skall få inrätta och föra personregister, må vara att datainspek- tionen i efterhand interimistiskt kan förbjuda registret. Inte heller krävs det att några avgifter för datainspektionens handläggning av ett register betalas innan registret får föras (se om handläggningsavgiftema i det följande). I linje med detta bör inte heller betalningen av den årliga avgiften utgöra en förutsättning för att ta ett register i anspråk. Den motsatta regleringen i fråga om licensavgiftema

sammanhänger med dess karaktär av avgift för ett slags tillstånd.

Utredningen förordar alltså att begreppet "licens" och "anmälan för licens" avskaffas på datalagstiftningens område. I stället bör man ha bestämmelser om en årlig avgift som i princip är lika stor för alla. Storleken på denna bör anpassas bl.a. med hänsyn till inspektionens arbete med information m.m. Avgiften bör betalas första gången under det kalenderår som en registeransvarig tar i anspråk ett eller flera personregister som inte är avsedda för enskilt bruk. Den årliga avgiften skall liksom nu licensavgiftema användas för rationell och ekonomisk

informationsspridning och för tillsyn.

• Sida 197
•  Original

I takt med att fler och fler verksamheter här i landet datoriseras ökar antalet registeransvariga. Man kan utgå från att en avgift av den storlek som den har i dag mer än väl räcker till för att finansiera datainspektionens verksamhet. Detta skulle kunna tala för att de särskilda handläggnin gsavgiftema i avgiftsförordningen avskaffas. Ett annat och mycket tungt vägande skäl för detta är att datainspektio- nen därigenom skulle slippa en del kamerala sysslor och mer kunna koncentrera

sig på sin huvuduppgift, dvs. att upprätthålla integritetsskyddet.

Vad som talar mot ett avskaffande av handläggningsavgiftema är emellertid att det ter sig föga rimligt att alla registeransvariga betalar en enhetlig avgift utan hänsyn till att vissa registeransvarigas register ger upphov till helt andra risker i fråga om integritetsintrång och därmed till särskilda insatser från datainspektionens sida. Utredningen förordar därför att handläggningsavgiftema finns kvar. De bör tas ut vid handläggning av anmälningar av register inom gruppen "övriga", häri inbegripet fall av sambearbetning, och av statsmaktsregister samt i ärenden om medgivande till utlandsöverföring. Det är dessa grupper av ärenden som typiskt sett föranleder större insatser från datainspektionen med hänsyn till de integritets-

risker som de ger upphov till.

Storleken på den årliga avgiften och handläggningsavgiften bör liksom nu

bestämmas av regeringen.

Avgiftemas storlek bör också bestämmas med hänsyn till de kostnader som andra tillsynsmyndigheter kan ha på integritetsskyddsområdet i enlighet med vad som föreslagits om medverkan i tillsynsarbetet från vissa andra myndigheters sida (se avsnitt 8.6.3).

• Sida 198
•  Original

• Sida 199
•  Original

1 99 SUMMARY

The Swedish Commission on Data Protection was appointed by the Government

(Ministry of Justice) in 1989 and directed to revise the Data Protection Act of 1973 (revised in 1982).

In this first report the Commission presents certain basic principles for a future Data Protection Act. The presentation is intended to serve as a guide for the

future considerations of the Commission in the next stages of its assignment.

The purpose of the Data Protection Act is to prevent that automatic data processing (ADP) of personal data should unduly infringe anyone's right to

privacy .

According to the present provisions from 1982 anyone who wishes to store an automated personal data file is obliged to notify the Swedish Data Protection Agency (Datainspektionen) and obtain a license. Such a license gives the controller of the file a right to store and operate an unlimited amount of files. No substantial evaluation of the purpose of the file is done. At present there are some 38 500 licensees. The total number of files in the country is unknown, but certain estimates point to some 200 000 - 500 000. The licensees are required to pay an

annual fee to the Agency for the license.

Apart from the license requirement the Act contains provisions regarding certain sensitive personal data files for which special permission by the Agency is needed. The special categories of personal data for which particular safeguards are provided are data relating to criminal convictions or administratively decided detention, data concerning health or sexual life or revealing racial origin, political opinions or religions or other beliefs. However, files with a specific connection between the controller of the file and the person registered are exempt from the

permission requirement. Examples of such privileged files are files with

• Sida 200
•  Original

information on clients, customers, members or employees. Without such a

specific connection a special permission is needed.

"Cross-matching" of files, i.e. transfer of data from one file to another and joint processing of several personal data files, is considered to entail certain risks of privacy infringment and requires a permission by the Agency, unless the procedure is carried out according to law or follows a decision by the government

or the permission of the person registered.

The so called Government Personal Data Files, that is, cases where Parliament or the Government has decided to initiate the storage and use of an automated data file are also exempt from the permission requirement. The Data Protection Agency shall, however, render its opinion to Parliament or the Government before a decision is taken, along the same lines as when it tries an application for permission. Most of the sensitive personal data files which encroach privacy are Government Personal Data Files (e.g. files on criminal convictions and other Law

Enforcement files, census or residence registration files and tax files.

The Data Protection Agency handles a total of some 2 000 applications for permissions annually, 1 200 from the private sector and 700 from the public sector. Applications for alteration or extension of a file, for which a permission has already been granted, annually total some 600 in the public sector and 100 in

the private sector.

The administration of the applications for permission accounts for some 35 per

cent of the Agency's total budget.

The Data Protection Agency supervises the controllers of the files and the general application of the Act through inspections, the major part of which is carried out as "desk—inspections", i.e. through correspondence. Visits to various controllers

of files are made only in some 20 cases a year, mostly in the private sector. The

• Sida 201
•  Original

inspections are either a result of complaints from the public or follow from the

Agency's own initiative.

The Act contains penal provisions as well as provisions of the right to damages when files are operated without a license or permission or in contravention to specific conditions decided by the Agency. The number of cases in which the penal provisions or the provisions of the right to compensation are applied is very

limited and restricted to a handful each year.

As already stated the Commission presents in this first report certain main lines

of a reform of the present system.

The objective of the first step of the Commission's task has been to try to render the safeguards for the individual's right to privacy more effective. This would be achieved through a reallocation of the Agency's duties within the framework of its present resources and through a design of protective measures, which are not coupled with a specific technique of ADP, but could be applied independently

with respect to the development in the field of information technology.

Regarding the latter aspect the Commission finds that the concept of ADP itself could be maintained, regardless of the rapid development in the frelds of computerized information and communication. The Commission also finds that there are no reasons to extend the scope of application more generally at present, i.e. to apply the safeguards to pure manual data processing. However, the Commission considers it important that the concept of a personal data file should be defined and linked to the purpose of the data or information processing more

clearly than in the present Act and not attached to certain technical features.

If the purpose of collecting or storing of personal data, which to some extent could be retrieved or processed electronically or by any other automated means, is to have access to information relating to an identified or identifiable individual,

the safeguards for privacy protection should apply according to the Commission's

• Sida 202
•  Original

opinion, whether the data are stored in traditional computer files or a database or

by some other technique.

The Commission also proposes that the concepts of "right to privacy" and " unduly infringment" of this right be clarified so that in the provisions of the Act the necessary balance to be struck between the scope of the infringment, on the one hand, and the purpose of or the need for an automated data file, on the other, is spelled out.

In the present report the Commission discusses the possibilities of having more effective safeguards merely through a system of supervision, instead of the present stereotype model of licensing and applications for permission. This is a change which could be accomplished through a combination of increased supervision carried out by the Agency and a flexible form of notification

submitted by the controllers of files.

The investigations which the Commission has done seem to show that three quarters of all files can be classified into frequent and consistent categories, such as ordinary business administrative files, customer or client files and municipal files. Under the present regime some of these files are already subject to the Agency's normative powers in the form of so called simplified applications for permission. According to the Commission a strengthening of the supervisory functions of the Agency, directed towards the more sensitive files, should be introduced together with a possibility for the Agency to regulate in detail areas

where certain files are common.

The main features of the above proposed reformed system of strengthened supervision and extended regulatory powers for the Agency could be summed up

in the following points.

• Sida 203
•  Original

The present system of application for permission should be abolished.

The Agency should be given the authority to supplement the basic and principle provisions of the Act through regulations for different fields or sectors. This reform necessitates a constitutional amendment in order to give

the Agency full regulatory powers.

An obligation to notify the Agency should be introduced concerning sensitive files.

The supervisory activities should be intensified and directed mainly towards the categories of files which are subject to notification. The Agency should,

however, also inspect the files that fall outside the notification requirement,

i.e. the major part of all files, through random checks.

Within the sector-regulated fields the Agency should be able to rely in its

supervision on other state agencies having ordinary supervisory duties within

these same fields.

The Agency's role as ombudsman should be strengthened. The Agency should have the right to issue injunctions and prohibit with immediate effect further use of files, operated in violation of the Act. The Agency should also be given the formal authority to influence a question of prosecution against

a contravention of the penal provisions.

Joint processing of automated data files ("cross-matching") should follow the general rules, i.e. this form of data processing should be subject to the pro- posed sector regulations as well as to the notification requirements in some

C&SCS.

• Sida 204
•  Original

I Government Personal Data Files should be administered in the same way as under the present rules. The strengthened supervision should be applied also

in the public sector.

' The system of licensing should be abolished. However, as it is also today, all controllers of files which are not intended for personal use would be required to pay an annual flat rate fee (at present less than 500 SEK) in order

to finance the activities of the Agency.

The Commission, which has been guided in its present deliberations by the international development and studies of, especially, the modern Finnish, Dutch and U.K. Data Protection Laws, will continue its work with two remaining steps. Firstly, the Commission will deal with some particular questions concerning among other things ADP in the fields of research and statistics and in the media, and secondly with the Commission”s main task of drafting a revised Data

Protection Act.

The next report is scheduled to be due at the beginning of 1991.

• Sida 205
•  Original

SÄRSKILT YTTRANDE

av experten Gert Persson

Enligt delbetänkandet (avsnitt 8.2) har utredningen inte under förevarande etapp av utredningsarbetet funnit sådana särskilda skäl föreligga att det är motiverat att nu utvidga datalagen till att gälla personregistrering generellt och inte bara avse

användning av ADB-teknik.

Jag delar inte utredarens uppfattning på denna punkt och vill därför anföra

följande.

Datalagens yttersta uppgift måste vara att förhindra att otillbörligt intrång görs i enskild persons integritet vid registrering och behandling av data/uppgifter om denne. Det är innehållet i och betydelsen av uppgifterna som skapar riskerna för

intrång och inte främst de metoder som används vid databehandlingen.

Genom datalagens hittillsvarande starka knytning till ADB, som är endast en av flera möjliga behandlingstekniker, har den mera fått en karaktär av att vara en "ADB—lag" än av att vara en "datalag". Detta har medfört onödigt arbete och diskussioner inom datainspektionen och mellan denna och registeransvariga om "vad som är ADB". Oklarheter uppstår såväl vid tolkning av lagens tillämpning i fall då flera behandlingstekniker används i mer komplicerade behandlingssitua- tioner som vid förhållandevis enkla databehandlingssituationer då moderna lagringsmedia används. Detta verifieras även t.ex. av delbetänkandets diskussion i avsnitt 8.3 om blandad manuell och automatisk databehandling. Den snabba utvecklingen inom det informationsteknologiska området gör dessutom att begreppet ADB, i den mening som det utgör en grund för datalagen, är alltför begränsat. Samtidigt är en avgränsning av ADB mot annan hantering av information närmast omöjlig genom teknikens utveckling och genom tillkomsten

av digitala tekniker inom allt fler områden där personinformation används.

• Sida 206
•  Original

Utredningsdirektiven utsäger klart att "(d)en lagtekniska översynen bör syfta till att skapa enkla och lätt begripliga regler. Regelsystemet bör anpassas till den tekniska utveckling som hittills har skett och den som kan överblickas i framtiden men bör om möjligt utformas så att det inte anknyter till någon viss datorteknik." Av direktiven framgår även att "(i) en tid där utvecklingen går mot en alltmer ökad intemationalisering är det viktigt att överväga hur den svenska datalagen förhåller sig till andra jämförbara länders motsvarande lagstiftning." ( Se bi- laga I).

Den, enligt min mening, bästa förenkling som kan göras är att ta bort begreppet ADB helt ur datalagen. Bl.a. följande fördelar skulle då vinnas

! Svårigheterna att definiera begreppet ADB och därmed sammanhängande tolknings- och gränsdragningsproblem bortfaller helt.

! En datalag som inte begränsas till ADB-tillämpningar blir oavhängig av den tekniska utvecklingen.

' En logisk följd av att ADB-begreppet tas bort blir att även register som förs

med annan teknik än "ADB" och som innehåller integritetskänsliga personuppgifter skulle omfattas av lagen. Detta medför automatiskt en höjningav integritetsskyddet.

! Vissa andra länders integritetslagstiftning, som tillkommit betydligt senare än den svenska datalagen, omfattar även manuellt förda personregister. Exempel på detta är datalagama i Danmark (tillkommen 1978), Finland (1987), Island (1990), Frankrike (1987) och Nederländerna (1986). En

anpassning till dessa datalagars omfattning blir således en av effekterna.

! Datainspektionen kan i sitt tillsynsarbete, t.ex. vid inspektioner, koncentrera sig på vilka integritetshot som finns i olika konstellationer av de registrerade

uppgifterna och ägna mindre tid åt behandlingstekniska frågor.

• Sida 207
•  Original

Enligt min mening utgör de nämnda omständigheterna tillräcklig grund för att direktivens krav på "särskilda skäl" för att frågan om en generell person-

registerlag skall övervägas, kan anses vara uppfyllt.

Det bör i sammanhanget noteras att skapandet av en generell personregisterlag inte är ett mål i sig utan att det blir en konsekvens av att begreppet ADB utmönstras i förenklande syfte. Omständigheten att hantering av information om personer till största delen nu och i framtiden sker med digitalteknik (obs: ej enbart ADB i nuvarande datalagens mening) gör att det befarade antalet tillkommande register som kräver datainspektionens aktiva tillsyn ändå kan begränsas. Ett (f.n. okänt) antal manuella register med integritetskänsligt innehåll tillkommer sannolikt, vilket får anses stå i överensstämmelse med datalagens sida. Dessa bör

främst behandlas på likartat sätt som gruppen "övriga register" (se avsnitt 8.6.2).

Enligt min mening bör således datalagsutredningens förslag i delbetänkandet, och även dess fortsatta arbete, anpassas till utgångspunkten att datalagen skall vara en generell personregisterlag.

• Sida 208
•  Original

• Sida 209
•  Original

BILAGA 1

Kommittédirektiv & tag

Dir. 1989:26

Översyn av datalagen (1973:289) Dir. 1989:26

Beslut vid regeringssammanträde 1989-05-25.

Chefen för justitiedepartementet, statsrådet Freivalds, anför.

Mitt förslag

En särskild utredare tillkallas för att göra en översyn av datalagen (1973z289, omtryckt 1982:446) från såväl saklig som lagteknisk synpunkt. Med tanke på de frågor som en sådan översyn kan väntas omfatta anser jag att parlamentarisk medverkan också behövs men att denna bör komma i ett senare skede. Den särskilde utredaren bör identifiera vilka reformbehov som finns och ange hur dessa kan tänkas bli tillgodosedda. Detta inledande arbete bör kunna resultera i ett underlag för närmare riktlinjer från regering- ens sida för det fortsatta arbetet under parlamentarisk medverkan.

Den särskilde utredaren bör ha stor frihet att bedöma vilka frågor som behöver övervägas inom ramen för översynen av datalagen. Syftet med över- synen bör vara att med bibehållet gott skydd mot otillbörliga intrång i den personliga integriteten skapa enkla och lättfattliga regler. Dessa bör om möj- ligt utformas så att de inte anknyter till någon viss datorteknik utan kan till- lämpas också på förväntade användningar av datorstödda informationssys- tem.

Datalagens grundbegrepp, t.ex. personregister, registeransvarig och auto- matisk databehandling behöver övervägas och kanske förtydligas och mo- derniseras.

En viktig fråga bör vara att överväga om den partiella övergången från ett system med tillståndskrav till ett licenssystem som skedde år 1982 bör fullföl- jas för att i stället genom tillsynsåtgärder effektivisera integritetsskyddet. I det sammanhanget bör undersökas möjligheten att mera gå över till gene- rella regler för olika typer av personregister. Ett annat spörsmål som bör övervägas är i vilken utsträckning det finns möjlighet att bygga på självregle- ring inom olika verksamhetsområden där datorstödda informationssystem

• Sida 210
•  Original

används. Sanktionssystemet behöver också ses över liksom förhållandet till angränsande lagstiftning på integritetsområdet. Bl.a. datoranvändning på forsknings- och statistikområdet samt inom massmedieomrädet kan ge upp- hov till särskilda överväganden.

Internationella förhållanden bör uppmärksammas.

Bakgrund

Datalagen tillkom år 1973 som den första lag av denna typ som hade natio- nell räckvidd. Vid tillkomsten förutsattes att lagen skulle ses över inom en snar framtid. År 1976 tillsattes datalagstiftningskommittén (DALK) med ett sådant uppdrag. Kommittén avslutade emellertid sitt arbete är 1984 utan att detta slutförts. Kommittén hade dock tidigare lagt fram förslag som delvis genomförts. Särskilt kan nämnas att riksdagen år 1982 beslutade ändringari datalagen av innebörd att det tidigare generella kravet på tillstånd av datain- spektionen för att inrätta och föra personregister ersattes med ett anmäl- ningssystem med licenser och med bibehållet tillståndskrav endast för sär- skilt integritetskänsliga register.

Lagen har i sin nuvarande utformning lagtekniska brister och framstår som ett provisorium med delvis ganska svåröverskådligt innehåll. Samtidigt ställer den ökande användningen av datorer inom olika sektorer av samhäl- let starkare krav än förut på enkla och lättöverskådliga regler.

En översyn av lagen har emellertid fått anstå eftersom en kommitté med uppgifter på angränsande områden men också inom datalagens ram tillsattes år 1984. Kommittén, som antog namnet data- och offentlighetskommittén (DOK), har nyligen avslutat sitt arbete genom att avge sitt femte betänkande (SOU 1988:64) Integritetsskyddet i informationssamhället 5, Offentlighets- principens tillämpning på upptagningar för automatisk databehandling. Detta remissbehandlas för närvarande.

Datainspektionen har i en framställning till regeringen begärt att datala- gen ses över säväl formellt som materiellt. Framställningen har remissbe- handlats tillsammans med synpunkter på en översyn av datalagen som data- inspektionen framfört till regeringen.

Utredningsbehovet

Den lagtekniska översyn av datalagen som behövs, eftersom DALK:s ar- bete aldrig avslutades, bör nu komma till stånd. Även lagens materiella inne- håll bör naturligtvis tas upp vid en sådan översyn. Inte minst den tekniska utvecklingen, som lett till en alltmer omfattande användning av datorer inom så gott som alla samhällssektorer. gör att man måste ställa frågan om

'.—.=-..;&-r-_r-=m —

• Sida 211
•  Original

den reglering som lagen innehåller svarar mot dagens och morgondagens be- hov.

Jag föreslår därför att det görs en sådan översyn som jag har skisserat. Med tanke på de frågor som en sådan utredning kan väntas omfatta anser jag att parlamentarisk medverkan krävs för de överväganden som behövs men att denna bör komma i ett senare skede. I det första skedet bör därför en särskild utredare få i uppdrag att mot bakgrund av de erfarenheter som nu finns inom dataområdet söka beskriva den förväntade utvecklingen och därvid identifiera vilka problem som är förenade med nuvarande lagstiftning och vilka reformbehov som finns. Han bör vidare ange hur problemen kan lösas och hur behoven kan tänkas bli tillgodosedda.

Ett sådant inledande arbete bör ge underlag för det fortsatta arbetet under parlamentarisk medverkan. Den särskilde utredaren bör därför anmäla till regeringen när arbetet har kommit så långt och i samband med det presen- tera resultatet av denna del av utredningsarbetet. Regeringen bör därefter ange inriktningen på den fortsatta översynen.

Den särskilde utredaren bör ha stor frihet att ta upp de frågor som behö- ver övervägas inom ramen för den översyn av datalagen som alltså bör ske. Jag skall emellertid ange några utgångspunkter för arbetet och ge exempel på frågor som kan kräva överväganden. Andra exempel finns i remissyttran- dena över datainspektionens framställning om en datalagsutredning, vilka bör överlämnas till utredaren.

Utgångspunkter för utredningsarbetet och exempel på aktuella frågor

Den lagtekniska översynen bör syfta till att skapa enkla och lättbegripliga regler. Regelsystemet bör anpassas till den tekniska utveckling som hittills har skett och den som kan överblickasi framtiden men bör om möjligt utfor- mas så att det inte anknyter till någon viss datorteknik. Syftet bör även i fort- sättningen vara att lagen skall förebygga otillbörligt intrång i enskildas per- sonliga integritet i samband med användningen av datorstödda informa- tionssystem. Lagstiftningen får emellertid inte medföra större ingrepp i of- fentlig eller enskild verksamhet än som är motiverat med hänsyn till detta intresse. Både de risker som lagen skall motverka och de administrativa kon- sekvenserna för myndigheter, företag och andra som kan bli följden av en ny reglering måste därför belysas.

Datalagens grundbegrepp behöver övervägas. Jag tänker bl.a. på begrep- pet registeransvarig, som t.ex. i stora system med många användare vållar problem. En möjlighet som kan diskuteras är att ge utrymme för att be- stämma vilken av flera användare av ett informationssystem som skall vara ensam registeransvarig trots att andra användare har tillgång till systemet och förfogar över detta helt eller delvis.

• Sida 212
•  Original

Man kan också ställa frågan om begreppet personregister behöver moder- niseras och om det bör göras en närmare definition av begreppet automatisk databehandling (ADB). Bl.a. kan det behöva undersökas om modern data- basteknik föranleder svårigheter vid tillämpning av registerbegreppet. t.ex. vid användningen av elektroniska postsystem.

Uttrycket personlig integritet som föremål för det skydd som datalagen skall ge har flera gånger behandlats i syfte att det skall preciseras vad som menas med det (se bl.a. prop. 1987/88:57 om grundlagsfäst integritets- skydd). Enligt min mening visar de försök att ange innebörden i begreppet som har gjorts att detta är en svår arbetsuppgift, men utredaren bör på nytt ta upp denna definitionsfråga. På motsvarande sätt bör utredaren med ut- gångspunkt i hittillsvarande erfarenheter undersöka om det går att närmare beskriva vad som skall anses vara otillbörligt intrång i den personliga integri teten. I varje fall synes det vara lämpligt att begreppen alltjämt bildar grund- valen för regleringen.

I detta sammanhang kan jag nämna att en viktig regel i datalagen är den som avser det ändamål för vilket personregister förs (5 å). Denna regel kan ge anledning till överväganden om det behövs förtydliganden eller komplet— teringar för att ge den en mera konkret betydelse.

En fråga med anknytning till ändamålsbestämningen är den vid vilken tid- punkt uppgifter i personregister skall gallras. Integritetsskäl talar oftast för att uppgifter gallras när de inte längre behövs för sitt ursprungliga syfte. De intressen som bär upp offentlighetsprincipen gör å andra sidan att uppgifter i allmänna handlingar bör bevaras under relativt lång tid. Arkiveringshänsyn medför också ett intresse av att uppgifter bevaras, t.ex. för forskning. Den intresseavvägning som bör göras mellan skälen för bevarande och motivet att personuppgifter gallras när det ändamål för vilket de insamlats är upp- fyllt, får ökad aktualitet i och med att allt större mängder information lagras på ADB-medium. ] regeringskansliet bereds för närvarande dessa frågor med anledning av de förslag som lagts fram i betänkandena (SOU 1987:8) Arkiv för individ och miljö och (SOU 1988:11) Öppenhet och minne, Arki- vens roll i samhället. Utredaren bör hålla sig underrättad om detta arbete och anpassa sina förslag till resultatet av det pågående arbetet.

Ett centralt inslag i datalagens regelsystem är principen om rätt till insyn i personregister för de registrerade (105). Denna princip bör alltjämt gälla, men det kan finnas anledning att överväga dess närmare reglering i lagen. Rätten till insyn förutsätter för att den skall kunna utnyttjas på rätt sätt att detär möjligt för den enskilde att skaffa sig kunskap om existerande person— register. Det kan finnas skäl att överväga vilka förbättringar det går att åstad- komma på detta område utan alltför betungande krav på de registeransva- riga. . _ . ,

Utredaren bör också överväga om det behövs särskilda regler för de per-

• Sida 213
•  Original

sonregister som arbetsgivare för och som innehåller uppgifter om arbetsta- gare. Utredaren bör i denna del beakta vad som redovisas i rapporten (Ds 1989:24) Datatekniken och den personliga integriteten i arbetet - en kartläggning, vilken har utarbetats av en arbetsgrupp inom arbetsmarknads- departementet.

En annan viktig grundpelare i lagen är skyldigheten för registeransvariga att rätta oriktiga personuppgifter. Lagstiftningen har i denna del skärpts ganska nyligen som ett resultat av DOKzs arbete (prop. 1986/87:116. KU 5, rskr. 10, SFS 1987z990). Utredaren bör belysa effekterna av denna lagänd- ring. I samband därmed kan frågan om ytterligare skärpningar av den regis— teransvariges skyldighet att rätta felaktiga uppgifter bli aktuell.

Under DALK:s arbete behandlades frågan om datalagen bör ersättas med en lag som gäller personregistrering generellt och inte bara avser användning av ADB-teknik. För min del drar jag den slutsatsen av den spridning av da- torteknik som skett och som kan förväntas fortsätta att det inom överskådlig tid är användningen av datorteknik som skapar behov av en integritets— skyddslagstiftning av datalagens typ. Jag anser därför att frågan om en gene— rell personregisterlag bör övervägas på nytt endast om det framkommer sär- skilda skäl för det. Uppgifter som finns dokumenterade i annan form än på datonnedium men som ansluter till ett datorlagrat material bör emellertid omfattas av lagstiftningen även fortsättningsvis. Utredaren har därför anled- ning att söka klarlägga vilken gräns som bör dras mellan sådant material som inte lagras på datorrnedium men som skall omfattas av datalagens regler och annan information.

Från olika håll har förts fram tanken att datalagen skall kompletteras med ett skydd för juridiska personer vilket skulle motsvara det som i dag finns för enskilda individer. För egen del är jag av den uppfattningen att ett integri- tetsskydd bör gälla enbart fysiska personer. Jag vill här hänvisa till att riksda- gen helt nyligen har avslagit motionsyrkanden om en utredning om behovet av integritetsskyddsåtgärder för företagen (1988/89:1(U28 s. 8 f., prot. 105). Jag vill också erinra om de uttalanden i denna riktning som gjordes i sam- band med att det i regeringsformen efter förslag av DOK infördes en grund- lagsregel om integritetsskydd (prop. 1987/88:57 s. 10, KU 19 s. 2 f., rskr. 117). Jag anser därför att utredaren inte bör ta upp denna fråga.

En viktig uppgift för utredaren bör vara att överväga om den partiella övergång från ett system med generellt tillståndskrav till ett licenssystem som skedde år 1982 bör fullföljas för att effektivisera integritetsskyddet vid en alltmer ökande ADB-användning i samhället. I det sammanhanget bör uppmärksammas möjligheten att mera gå över till generella regler för olika typer av personregister i enlighet med ett förslag som datainspektionen nyli- gen lagt fram. ] avvaktan på datalagsöversynen föreslår datainspektionen att

• Sida 214
•  Original

vissa ändringar genomförs i datalagen redan nu som gör det möjligt för in- ' spektionen att i vissa fall efterge kravet på tillstånd och i stället meddela ge- nerella föreskrifter. Ett genomförande av dessa ändringar skulle emellertid föregripa resultatet av denna utredning. Det är därför enligt min mening inte lämpligt att nu lägga fram några förslag till ändringari datalagen av materiell natur.

Ett annat spörsmål är i vilken utsträckning man kan bygga på självregle- ring inom olika verksamhetsområden där datorteknik används. Att helt gå ifrån krav på att datainspektionen skall ta ställning till frågan om vissa per- sonregister med särskilt känsligt innehåll skall få inrättas och föras kan synas alltför långtgående. Utredaren bör emellertid överväga frågan förutsätt- ningslöst. .

Ett syfte med att minska omfattningen av datainspektionens tillståndsgiv- ning skulle vara att ge ökat utrymme för tillsyn från inspektionens sida över de personregister som finns. Det kan också finnas anledning att studera nya metoder för en effektiv tillsyn, t.ex. medverkan från andra organ.

En omläggning av datainspektionens verksamhet mot ökad tillsyn kan ge anledning till en översyn av inspektionens organisation. Även med delvis ändrade förutsättningar bör inspektionen kunna ha ungefär den storlek den har nu. I det sammanhanget bör övervägas om det finns anledning att ge in- spektionen en mer utpräglad karaktär av dataombudsmannainstitution än för närvarande.

Till följd av 1982 års ändringar har det uppstått vissa brister i sanktionssys- temets effektivitet genom att datainspektionen inte annat än med stöd av 18å datalagen kan meddela straffsanktionerade föreskrifter i fråga om de personregister för vilka tillstånd inte längre krävs. Detta är sannolikt inte tillfredsställande utan bör rättas till. En övergång till en ordning där till- ståndsgivningen minskar eller upphör till förmån för ökad tillsynsverksam- het hos datainspektionen stryker ytterligare under betydelsen av frågan om hur sanktionssystemet skall bli effektivare. Också andra sanktioner än straff och skadestånd kan tänkas behövas, särskilt om den sanktion som liggeri att ett meddelat tillstånd återkallas minskar i betydelse vid en begränsad till- ståndsgivning.

När man överväger frågan om tillståndssystemets omfattning finns det an— ledning att se på datainspektionens roll när det gäller s.k. statsmaktsregister. Därmed avses sådana register som inrättas med stöd av beslut av riksdagen eller regeringen och som nu är undantagna från tillståndsplikt men där in- spektionen skall avge yttrande (2a5). Utredaren bör undersöka hur den ordning som gäller i dag har fungerat och se om den behöver förbättras.

I detta sammanhang bör uppmärksammas datalagens förhållande till s.k. registerlagar och motsvarande författningar på regeringsnivå som reglerar särskilda personregister, t.ex. det centrala skatteregistret och det statliga

• Sida 215
•  Original

person- och adressregistret (jfr DOKzs förslag i denna del i SOU 1987:31).

Vidare finns skäl att ta upp frågan om datalagen bör samordnas med an- nan lagstiftning på integritetsskyddets område, särskilt sådan som reglerar områden där datorteknik används och personregistrering sker. Ett exempel på ett sådant område är lagstiftningen om TV-övervakning, vilken för närva- rande ses över efter ett förslag som utredningen om "TV-övervakning m.m. lagt fram i betänkandet (SOU 1987:74) Optisk-elektronisk övervakning.

Den situation som uppkommer när en registeransvarig förlorar förfogan- derätten över sina personregister på grund av en myndighets beslut. t.ex. genom tvångsmedelsanvändning, behöver klarläggas. Detta torde komma att falla inom ramen för den översyn rörande bl.a. datorteknikens konse- kvenser inom det straffprocessuella området (se prop. 1988/89:124 s. 23 f., jfr prop. 1987/88:65 s. 59) som just nu planeras inom regeringskansliet.

Den nu nämnda översynen avses omfatta också det straffrättsliga områ- det. I det sammanhanget blir det aktuellt att se över de straffbestämmelser som kan ha samband med användning av datorteknik. Då är ansvarsregeln om dataintrång i 21 & datalagen av intresse.

Utredaren bör hålla sig informerad om detta arbete. I fråga om särskilda sektorer där datorteknik utnyttjas kan det finnas an- ledning att överväga behovet av speciella regler i datalagen.

Ett exempel på ett sådant område som har diskuterats i detta hänseende under ganska lång tid är forskningsområdet (se bl.a. direktiven till den forsk- ningsetiska utredningen U 1988103). Utredaren bör följa detta arbete och beakta de ändringar i datalagstiftningen som kan bli följden av den forsk- ningsetiska utredningens arbete. Om det bedöms lämpligt med särskilda reg- ler för forskningsregistren bör utredaren lämna förslag till sådana. En fråga av intresse i samband med detta är möjligheten att använda sig av krypterade forskningsregister och ha nyckelfilen deponerad hos någon annan än den re- gisteransvarige i de fall det inte går att bygga registren på s.k. informerat samtycke eller arbeta med avidentifierade uppgifter. En sådan ordning skulle få konsekvenser bl.a. för den registeransvariges skyldigheter enligt 105 datalagen. Liknande frågor uppkommer på statistikområdet.

Ett annat område som har kommit i blickpunkten på senare tid är mass- medieområdet. ] datalagen finns redan en bestämmelse som skall reglera förhållandet mellan lagens föreskrifter och 2kap. tryckfrihetsförordningen med dess regler om offentlighetsprincipen (6 €). Numera utnyttjas datortek- nik som ett led i framställningen av tidningar och andra tryckta skrifter. Där- vid uppkommer frågan om hur datalagen förhåller sig till de föreskrifter i tryckfrihetsförordningen som avser sådana skrifter, t.ex. förbudet mot cen- sur och andra hindrande åtgärder som föregår tryckta skrifters utgivning (1 kap. 26 tryckfrihetsförordningen). Ett liknande problem har uppmärk- sammats när det gäller förhållandet mellan brottet dataintrång (215) och

• Sida 216
•  Original

216 8

den s.k. anskaffarfriheten enligt 1 kap. 1 5 fjärde stycket tryckfrihetsförord- ningen (se 1988/89zLU30 s. 36). En angränsande fråga som kan ställas på dettaområde är i vilken utsträckning massmediers arkiv på datorrnedium skall falla under datalagens regler. Det kan finnas andra sektorer där mot- svarande problem kan uppkomma.

En fråga som sedan länge har varit omdebatterad är vilken instans som skall pröva överklaganden av datainspektionens beslut. För närvarande är det regeringen som har denna uppgift (25 5). Riksdagen har nyligen, med hänvisning till att det ofta finns ett betydande politiskt inslag i den bedöm- ning som måste göras vid en överprövning av datainspektionens beslut, av— slagit två motioner med krav på att uppgiften skall föras över till regerings- rätten (mot. 1987/88:K 43, 1988/89:K 442, KUZS, prot. 105). Med hänsyn till att en översyn pågår inom regeringskansliet av instansordningen i ärenden där Europakonventionens krav på tillgång till domstolsprövning kan göra sig gällande (jfr prop. 1987/88:69 s. 18 och 30 samt prop. 1988/89:100 bil. 2 s. 10) finns det skäl att överväga saken på nytt. Utredningen bör redovisa de motiv som talar för eller emot den ena eller andra lösningen och ge sina syn- punkter på vilken som bör väljas. Av intresse i detta sammanhang är den lösning som valts i fråga om avslag på begäran om att ta del av allmänna handlingar, nämligen att enskilda skall överklaga till regeringsrätten och statliga myndigheter till regeringen (se 15 kap. 7 och 855 sekretesslagen 1980:100).

I en tid där utvecklingen går mot alltmer ökad intemationalisering är det viktigt att överväga hur den svenska datalagen förhåller sig till andra jämför- bara länders motsvarande lagstiftning. Här kan särskilt pekas på våra nor- diska grannländer och länderna inom den europeiska gemenskapen (jfr dir. 1988c43). På det internationella planet kan vidare framhållas Europarådets arbete som bl.a. har resulterat i den europeiska konventionen om skydd för enskilda vid automatisk databehandling av personuppgifter och i ett flertal rekommendationer inom olika sektorer där datorstödda informationssystem används för personregistrering. Slutligen kan i detta sammanhang erinras om de riktlinjer som har antagits inom OECD.

Det är givetvis nödvändigt att Sverige uppfyller sina internationella åta- ganden på detta område. Skilda utländska lagar i jämförbara länder och europarådsdokument kan ge idéer. Det änns också ett intresse av att lagstift- ningen i Sverige inte skiljer sig alltför mycket från den i andra länder med vilka vi har ett utbyte och som innebär att personuppgifter behöver föras över mellan länderna.

Utredningen bör följa utvecklingen både på det tekniska området och inom lagstiftningen. I det senare hänseendet vill jag bl.a. peka på de resultat som DOK:s olika betänkanden kan leda till.

• Sida 217
•  Original

Utgångspunkten bör vara att förslagen inte skall leda till några ökade kostnader. Jag vill erinra om de direktiv (dir. 19845) till samtliga kommit- téer och särskilda utredare angående utredningsförslagens inriktning som re- geringen beslutade i februari 1984. I dessa berörs vad som skall gälla rörande finansiering av reformer.

Datainspektionens kostnader täcks i dag genom avgifter som betalas bl.a. av dem som erhållit licens och av dem som ansöker om tillstånd. Avgifterna får nedsättas eller efterges om det föreligger särskilda skäl. Utredningen kan ha anledning att ta upp frågan om avgiftemas konstruktion för att. se om några förändringar behöver göras. Datainspektionens verksamhet bör dock även i fortsättningen vara helt självfinansierad.

Den första delen av utredningen bör vara klar vid halvårsskiftet år 1990. Detta inledande arbete bör också kunna ligga till grund för de myndighets- specifika direktiv som skall beslutas inför den fördjupade anslagsframställ- ning som inspektionen skall avge år 1992. Det är därför angeläget att tidspla- nen hålls. Den andra delen av utredningsarbetet bör kunna vara avslutad ungefär ett och ett halvt år efter det att den första delen slutförts.

Hemställan

Med hänvisning till vad jag nu har anfört hemställer jag att regeringen be- myndigar chefen för justitiedepartementet

att tillkalla en särskild utredare — omfattad av kommittéförordningen (1976:119) — med uppdrag att göra en översyn av datalagen samt

att besluta om sakkunniga, experter, sekreterare och annat. biträde åt utre- daren.

Vidare hemställer jag att regeringen beslutar att kostnaderna skall belasta andra huvudtitelns anslag Utredningar m.m.

Beslut

Regeringen ansluter sig till föredragandens överväganden och bifaller hennes hemställan.

(Justitiedepartemcntet)

• Sida 218
•  Original

• Sida 219
•  Original

219 BILAGA 2

UNDERSÖKNING AV VISSA TILLSTÅNDSÄRENDEN

1. INLEDNING

Utredningen har genomfört en statistisk undersökning av de under budgetåret 1988/ 89 till datainspektionen inkomna ansökningarna om tillstånd enligt datalagen. Undersökningen har omfattat sådana tillståndsärenden där sökanden inte använt

sig av något förenklat ansökningsförfarande (datainspektionens ärendegrupp 12).

Syftet med utredningen har varit att få fram uppgifter om antalet ärenden i olika undergrupper och ärendenas beskaffenhet i avsikt bl.a. att få en bild av i vilken

utsträckning generella regler kan tillskapas. Därutöver förekommande ärenden har

studerats särskilt.

3.2. Ärendegrupperna

3.2.1. Kund- och leverantörsförhållanden

Ett flertal av de ärenden som hänfördes till denna grupp avsåg ansökningar om

tillstånd för inte tillståndspliktiga register. Datainspektionen hade i de flesta av dessa fall tagit kontakt med ingivaren och upplyst om att tillstånd inte krävdes.

• Sida 221
•  Original

Därefter hade ärendet i flertalet fall avskrivits, vanligtvis endast genom en anteckning på dagboksbladet. I några fall hade ansökan formellt avvisats.

Ärendena hade i dessa fall ändå kvarstått som "tillståndsärenden" i diariet.

Vissa av ärendena hänförliga till denna grupp avsåg ansökningar om tillstånd för register av direktreklamkaraktår. Som exempel härpå kan nämnas tillståndsansök- ningar avseende register för "presumtiva kunder", vilka var avsedda att ligga till

grund för utskick av olika slags material. Vissa av ansökningarna inom denna grupp avsåg även frågor om samköming.

3.2.2. Föreningar

Även inom gruppen "Föreningar" utgjordes en inte ringa andel av ärendena av

sådana som avskrivits, eftersom de inte avsåg tillståndspliktiga register.

3.2.3 Arbetsgivare - anställda

En stor andel av ärendena inom denna grupp avsåg också register som inte var tillståndspliktiga. Detta gällde särskilt personal— och löneregister. Efter kontakt

med ingivaren hade datainspektionen i de flesta fall avskrivit dessa ärenden.

Ett stort antal ärenden avsåg löneregister som var avsedda att utgöra ett underlag vid lokala löneförhandlingar. Som exempel härpå kan nämnas lönestatistikregister

fördelade på olika grupper av anställda samt med hänsyn till de anställdas

fackföreningstillhörighet.

Vidare ingick i denna ärendegrupp och även i ärendegruppen "Föreningar" ett inte ringa antal ansökningar om att få tillstånd att upprätta register över skyddsombud och förtroendemän i avsikt att till dessa personer översända informationsmaterial o.dyl. Några enstaka ärenden avsåg tillstånd att registrera anställda i samband

med inpasseringskontroller.

• Sida 222
•  Original

Som exempel på andra typer av register inom denna grupp kan nämnas register över personer som är berättigade till inköp av personalbiljetter, skolpersonal, personalförsörjningsregister och företagshälsovårdens register över medlems—

företagens anställda.

3.2.4. Fastigheter

Ärendena inom denna grupp avsåg huvudsakligen ansökningar från förvalt- ningsbolag att få föra ett slags administrativa register över de fastighetsägare vars

fastigheter de förvaltar.

3.2.5. Företags-, branschregister

Denna grupp omfattade huvudsakligen ansökningar om förande av register över

enmansföretag i reklamsyfte och informationssyfte.

3.2.6 Direktreklam m in

En närmare undersökning av de ärenden som avsåg direktreklam visade att ett stort antal av dessa utgjordes av ansökningar som bort kunna handläggas enligt det förenklade ansökningsförfarandet för direktreklamregister (DIFS 1988:1) (ärendegrupp 122). Dessa ansökningar hade emellertid skett på blanketter avsedda för det ordinära ansökningsförfarandet och inte på de särskilda blanketter som gäller för det förenklade förfarandet. Datainspektionen hade därför diariefört dessa ärenden som ordinära tillståndsärenden. I något enstaka fall hade ingivaren efter att ha underrättats om det förenklade förfarandet återkallat sin ansökan och senare insänt en förenklad ansökan. I de flesta av fallen har datainspektionen dock

avgjort ärendena enligt det ordinära ansökningsförfarandet.

Vissa av ärendena inom denna ärendetyp hade emellertid inte kunnat handläggas enligt det förenklade förfarandet. Det var i dessa fall oftast fråga om inhämtande

av andra uppgifter än som gäller enligt DIFS 1988zl eller att registret skulle

• Sida 223
•  Original

omfatta en längre tidsperiod än vad som gäller enligt det förenklade ansöknings-

förfarandet, dvs. mer än tre månader.

Några av ansökningarna avsåg direktreklam till egna kunder, dvs. avsåg inte tillståndspliktiga register. I dessa fall hade datainspektionen - efter kontakt med

ingivaren - oftast avskrivit ansökan.

Ett inte ringa antal av ansökningarna avsåg sambearbetningar av olika register, t.ex. bank- och försäkringsregister.

Ärendetypen omfattade även ansökningar om förande av register för att erhålla

marknadsöversikter.

3.2.7. Kommunala register

Denna grupp utgjordes till en stor del av ansökningar om att få föra kommunal- invånarregister (KIR) samt centrala företags- och arbetsställeregister (CFAR). En annan stor del av ansökningarna avsåg olika slags register över personer som var mottagare av social service eller sociala bidrag, t.ex färdtjänstregister, hem- tjänstavgiftsregister, ålderdomshemsregister samt register över bostadsbidrags-

mottagare.

Som exempel på andra kommunala register kan nämnas flyktingregister, register över invandrarutbildning, ortsprisregister över fastighetsöverlåtelser, elevregister,

olika slags debiteringsregister och tomt- och bostadsköregister.

Många av ansökningarna från kommuner avsåg även ärendetypema statistik och förhållandet arbetsgivare-anställda.

• Sida 224
•  Original

3.2.8. Hälso- och sjukvård

De register som rörde området hälso- och sjukvård hänförde sig både till offentlig och privat sjukvård. Det rörde sig till stor del om patientregister och företags- hälsovårdsregister. Ofta var det fråga om en kombination av olika register- ändamål. De ändamål som angavs var ofta en förening av forskning/ statistik och medicinsk behandling. Det kunde vara fråga om uppföljningar av vissa specifika hälsoprojekt i samband med hälsokontroller, t.ex. mammografiundersöknin gar och hjärtinfarktsregister. Andra exempel var sjukskrivningsregister och arbetsskade-

undersökningar.

3.2.9. Polisregister

Denna grupp bestod till största delen av ansökningar om tillstånd att föra

vapenregister, förundersökningsregister och beslagsregister.

3.2.10. Textmassor

Härmed avses främst ansökningar avseende s.k. massmediearkiv.

3.2.11. Statistik

I tabellen (bilaga 2:2) redovisas 177 ärenden som avser statistik. Totalt fanns i materialet 313 ärenden som på något sätt inkluderade statistik. Sökanden uppgav ofta olika administrativa ändamål för ett register samt att registret skulle utgöra

underlag för statistik.

Ett stort antal tillståndsansökningar avsåg register med någon anknytning till hälso- och sjukvård och till forskning: t.ex sjukskrivningsstatistik.

• Sida 225
•  Original

Av ärendena avsåg 42 ansökningar om tillstånd att föra kommunalinvånarregister (KIR) och 27 ansökningar om att föra centralt företags- och arbetsställeregister (CFAR). Som exempel på andra ansökningar avseende statistiska register kan nämnas sådana register beträffande folkpensionärer, färdtjänststatistik samt olika

slags register för statistisk bearbetning av kundstatistik.

Vid ett närmare studium av statistikgruppen framkom att av dessa utgjordes ett drygt femtiotal av ansökningar från statistiska centralbyrån. Under perioden den 1 april - den 30 juni 1989 handlades dock endast fyra ansökningar från statistiska centralbyrån enligt det ordinära ansökningsförfarandet (ärendegrupp 12). Under samma period handlades 17 ansökningar från centralbyrån enligt det den 1 april 1989 införda förenklade förfarandet för ansökningar från statistiska centralbyrån (DIFS l989z2, ärendegrupp 123).

3.2.12. Svårklassiticerade ärenden

En del ärenden var att betrakta som svårklassificerade, dvs. svåra att inordna i någon större grupp. Exempel härpå var trygghetstelefonregister, metadon- behandlingsregister, register över ledamöter i statliga bolagsstyrelser, nämnde- mansregister, kassettläsarregister, fotbollsspelarlicensregister, markförvärvs— register, konstnärsregister, arrangörsregister, radonregister, skalbolagsregister,

register över utflyttade personer samt register över delägare i allmänning.

3.3. Identiska register

Det förekom inte så sällan att ett antal sökande ingav likartade ansökningar. Exempel på sådana likartade ansökningar var kommunala ansökningar avseende kommuninvånarregister (KIR) och ansökningar från olika polismyndigheter avseende tillstånd för vapenregister, Det kan vidare nämnas att av de i under- sökningsmaterialet ingående ansökningarna om direktreklamregister ett trettiotal

ansökningar avsåg en särskild försäkringskampanj riktad till ungdomar från olika

• Sida 226
•  Original

länsförsäkringsbolag. Dessa ansökningar var med undantag av sökandens namn helt identiska.

3.4 Datainspektionens beslut

Någon systematisk genomgång av ärendenas resultat har inte gjorts, men det är

uppenbart att merparten av ansökningarna beviljats i någon form.

Avslag på en ansökan var ovanligt. Dock fick Svenska Bankmannaförbundet avslag på en ansökan benämnd "Samköming mot arbetsgivareregister för uttag av icke fackligt anslutna. Attitydundersökning SIFO." Ett annat exempel var Södermanlands regemente som inte fick upprätta ett register baserat på utdrag ur

vämpliktsverkets register.

En del ansökningar har avskrivits. Orsaken var som tidigare nämnts oftast att ansölmingama avsåg register som inte var tillståndspliktiga. Ett sådant exempel under undersökningsperioden var en ansökan från statistiska centralbyrån om

ramtillstånd för vissa register.

• Sida 227
•  Original

4. SAMMANFATTNING

Inledningsvis måste noteras att ett inte ringa antal av de ärenden som i data- inspektionens diarium betecknats som ärendegrupp 12, dvs. ordinära tillstånds- ärenden, vid en närmare kontroll av ärendeaktema visade sig ha avskrivits

eftersom de inte avsåg tillståndspliktiga register.

Mer än hälften av de undersökta ordinära tillståndsärendena avsåg personregister som gällde kund- eller leverantörsförhållanden, anställda, forskning och statistik samt direktreklam. Trettio procent av de ordinära tillståndsärendena utgjordes av ansökningar om personregister inom hälso- och sjukvårdssektom samt kommunala register. Sammantaget svarade de nämnda ärendetypema alltså för mer än fyra femtedelar av alla ordinära tillståndsansökningar. En stor del av dessa ärendetyper torde kunna omfattas av en mera rutinmässig och i förväg reglerad ordning. En närmare undersökning av de ärenden som avsåg direktreklam visade också att ett stort antal av dessa utgjordes av ansökningar som borde ha kunnat handläggas enligt det förenklade ansökningsförfarandet för reklamregister.

Undersökningen visade alltså att ett flertal av alla ordinära tillståndsärenden hos datainspektionen var av samma eller mera ensartat slag. En mera individuell

prövning tycktes i dessa fall endast ha skett undantagsvis och i de flesta fall hade tillstånd beviljats.

De återstående ordinära ansökningarna om tillstånd, dvs. mindre än en femtedel av det totala antalet, avsåg register som varierade från mycket komplicerade och

integritetskänsliga till förhållandevis enkla och beskedliga register

• Sida 228
•  Original

• Sida 229
•  Original

DATAINSPEKTIONENS ÄRENDEGRUPPER

Ti llståndsärenden

11

12 Ansökan om tillstånd för personregister

121 Ansökan om tillstånd för personregister; förenklat förfarande

122 Tillfälligt personregister enligt DIFS 198821

123 Förenklat förfarande enligt DIFS 1989:2

13 Anmälan om personregister som beslutats av regeringen eller riksdagen

14 Ändring eller utvidgning av personregister

15. Kreditupplysningsverksamhet, ADB

16. Kreditupplysningsverksamhet, övrig

17 Inkassoverksamhet, ADB

18. Inkassoverksamhet, övrig

181 Inkassoverksamhet, förnyelse av tillstånd 19 Övriga tillståndsärenden

191 Tolkning av DIFS

Tillsynsärenden

21. Klagomål enligt datalagen

22. Klagomål enligt kreditupplysningslagen

23. Klagomål enligt inkassolagen

24. Initiativärende enligt datalagen

25. Initiativärende enligt kreditupplysningslagen

26 Initiativärende enligt inkassolagen

27 Initiativärende; anmälan till polis eller åklagare

Ansökan om principtillstånd för personregister

Bilaga 2:l

• Sida 230
•  Original

28

29

Initiativärende; inspektion enligt datalagen, kreditupplysningslagen eller inkassolagen Övriga tillsynsärenden, rådgivning, utredningar m.m.

Andra ärenden

71 72 75 76 79 81 82 83 84 85 91

Administration och ekonomi

Personal

Licensärenden; inkassoärenden Övriga licensärenden, rådgivning, utredning m.m. Övriga administrativa ärenden

Remisser från departement, andra myndigheter m.fl. Remisser avseende besvär över datainspektionens beslut Rundskrivelse till inkassoföretag (RSI)

Rundskrivelse till kreditupplysningsföretag (RSK) Rundskrivelse till servicebyråer (RSS) Övriga ärenden

• Sida 231
•  Original

231 Bilaga 2:2

Ärendetyper inom ärendegrupp 12 i datainspektionens diarium budgetåret 1988/89.

Ärendetyp Antal % Kund—, leverantörsförhåll. 116 9.3 Föreningar 35 2.8 Arbetsgivare, anställda 105 8.4 Försäkring 12 1.0 Fastigheter 7 0.5 Företags-, branschregister 28 2.2 Direktreklam m.m. 230 18.4 Inkasso, kreditupplysning 30 2.4 Kommunalt 132 10.6 Hälso- och sjukvård 243 19.4 SOS 6 0.5 Polisregister 52 4. l Textmassor 8 0.6 Register från undersökningar 16 1.3 Statistik 177 14.1 Övrigt 8 0.7 Svårklassiflcerade (ej oklara) 16 1.3 Oklara 30 2.4

Alla ärendetyper 1251 1000

• Sida 232
•  Original

• Sida 233
•  Original

Kronologisk förteckning

1. Företagsförvärv i svenskt näringsliv. I.

2. Överklagningsrätt och ekonomisk behovsprövning inom socialtjänsten. S.

3. En idrottshögskola i Stockholm - struktur, organisation och resurser för en självständig högskola på idrottens område. U.

Transportrådet. K. Svensk säkerhetspolitik i en föränderlig värld. Fö. Förbud mot tjänstehandel med Sydafrika m.m. UD. Lagstiftning för reklam i svensk TV. U.

90.495"?

Idéskisser och bakgrundsmaterial. S.

9. Kostnader för fastighetsbildning m.m. Bo. 10. Strömgatan 18- Sveriges statsministerbostad. SB.

11. Vidgad vuxenutbildning för utvecklingsstörda. U.

12. Meddelarrätt. Ju. 13. Översyn av sjölagen 2. Ju. 14. Långtidsutredningen 1990. Fi. 15. Beredskapen mot oljeutsläpp till sjöss. Fö. 16. Storstadstrafrk 5 - ett samlat underlag. K. 17. Organisation och arbetsformer inom bilateralt utvecklingsbistånd. UD. 18.Lag om folkbokföringsregister m.m. Fi. 19. Handikapp och välfärd? - En lägesrapport. S. 20. Välfärd och segregation i storstadsregionerna. SB. 21.Den elintensiva industrin under kärnkraftsavveck- lingen. ME. 22. Den elintensiva industrin under kärnkraftsavveck- lingen. Bilagedel. ME. 23. Tomträttsavgäld. Bo. 24. Ny kommunallag. C. 25. Konkurrensen inom livsmedelssektom. C. 26. Förmånssystemet för värnpliktiga m. fl. Fö. 27.Post & Tele - Affärsverk med regionalt och socialt ansvar. K. 28. Att följa upp kommunal verksamhet - En internationell utblick. C. 29. Tobakslag. S. 30.Översyn av upphovsrättslagstiftningen. Ju. 3 1 . Perspektiv på arbetsförmedlingen. A. 32.Staden. SB. 33. Urban Challenges. SB. 34. Stadsregioner i Europa. SE. 35. Storstädemas ekonomi 1982—1996. SB. 36. Storstadsliv. Rika möjligheter— hårda villkor. SB. 37.Författningsreglering av nya importrutiner m.m. Fi. 38. Översyn av naturvårdslagen m.m. ME. 39. Konstnärens villkor. U. 40. Kämkraftsavveckling - kompetens och sysselsätt- ning. ME. Samhällsstöd till underhållsbidragsberättigade barn.

41 _ Tio år med jämställdhetslagen - utvärdering och förslag. C.

42. Internationellt ungdomsutbyte. C. 43. Förenklad statistikreglering; med förslag till lag om den statliga statistikframställningen. C. 44. Demokrati och makt i Sverige. SB. 45. Kapitalavkastningen i bytesbalansen. Fi. 46. Särskild skatt i den finansiella sektorn. Fi. 47. Beskattning av stipendier. Fi. 48. Samhällsstöd till underhållsbidragsberättigade barn, del Ill. 5. 49. Arbete och hälsa. A. 50. Ny folkbokföringslag. Fi. 51. SÄPO Säkerhetspolisens arbetsmetoder, personal- kontroll och meddelarfrihet. C. 52. Utbyte av utländska körkort. K.

53.1 skuggan av de stora - De mindre partiernas villkor i kommunalpolitiken. C. 54. Arbetslivsforskning - Inriktning, organisation, finansiering. A. 55. Flygplats 2000 - De svenska flygplatserna i framtiden. K. 56. Skatt på lotterier och spel. Fi. 57. Personalutbildning inom totalförsvaret. Fö. 58. Konkurrens i inrikesflyget. C.

59. Sätt värde på miljön! Miljöavgifter och andra ekonomiska styrmedel. M. 60. Skada av vilt. Jo.

61. Skärpt tillsyn - huvuddrag i en reformerad datalag. Ju.

• Sida 234
•  Original

Systematisk förteckning

Statsrådsberedningen

Strömgatan 18 - Sveriges statsministerbostad. [10] Välfärd och segregation i storstadsregionema. [20] Staden. [32] Urban Challenges. [33] Stadsregioner i Europa. [34] Storstädemas ekonomi 1982-1996. [35] Storstadsliv. Rika möjligheter- hårda villkor. [36] Demokrati och makt i Sverige. [44]

J ustitiedepartementet

Meddelarrätt. [12] Översyn av sjölagen 2. [13] Översyn av upphovsrättslagstiftningen. [30] Skärpt tillsyn - huvuddrag i en reformerad datalag. [61]

Utrikesdepartementet

Förbud mot tjänstehandel med Sydafrika m.m. [6] Organisation och arbetsformer inom bilateralt utvecklingsbistånd. [17]

Försvarsdepartementet

Svensk säkerhetspolitik i en föränderlig värld. [5] Beredskapen mot oljeutsläpp till sjöss. [15] Fönnånssystemet för värnpliktiga m. fl. [26] Personalutbildning inom totalförsvaret. [57]

Socialdepartementet

Överklagningsrätt och ekonomisk behovsprövning inom socialtjänsten. [2]

Samhällsstöd till underhållsbidragsberättigade barn. Idéskisser och bakgrundsmaterial. [8] Handikapp och välfärd? - En lägesrapport. [19] Tobakslag. [29] Samhällsstöd till underhållsbidragsberättigade barn, del III. [48]

Kommunikationsdepartementet

Transportrådet. [4]

Storstadstrafik 5 - ett samlat underlag. [16] Post & Tele - Affärsverk med regionalt och socialt ansvar. [27] Utbyte av utländska körkort. [52] Flygplats 2000 - De svenska flygplatsemai framtiden. [55]

Finansdepartementet

Långtidsutredningen 1990. [14]

Lag om folkbokföringsregister m.m. [18] Författningsreglering av nya importrutiner m.m. [37] Kapitalavkastningen i bytesbalansen. [45] Särskild skatt i den finansiella sektorn. [46] Beskattning av stipendier. [47] Ny folkbokföringslag. [50] Skatt på lotterier och spel. [56]

Utbildningsdepartementet

En idrottshögskola i Stockholm - struktur, organisation och resurser för en självständig högskola på idrottens område. [3] Lagstiftning för reklam i svensk TV. [7] Vidgad vuxenutbildning för utvecklingsstörda. [11] Konstnärens villkor. [39]

J ordbruksdepartementet Skada av vilt. [60]

Arbetsmarknadsdepartementet

Perspektiv på arbetsförmedlingen. [31] Arbete och hälsa.[49]

Arbetslivsforskning - Inriktning, organisation, finansiering. [54]

Bostadsdepartementet

Kostnader för fastighetsbildning m. m. [9] Tomträttsavgäld. [23]

Industridepartementet Företagsförvärv i svenskt näringsliv. [1]

Civildepartementet

Ny kommunallag. [24]

Konkurrensen inom livsmedelssektom. [25] Att följa upp kommunal verksamhet — En internationell utblick. [28] Tio år med jämställdhetslagen - utvärdering och förslag. [41] Internationellt ungdomsutbyte. [42]