Till statsrådet och chefen för justitie- departementet

Utredningen (Ju 1989:02) om en översyn av datalagen tillsattes i maj 1989 med uppdrag att göra en översyn av datalagen (1973z289) från såväl saklig som lagteknisk synpunkt.

Till särskild utredare förordnades lagmannen Ulf Arrfelt. Utredningen, som påbörjade sitt arbete i november 1989, har antagit namnet datalagsutredningen.

Sekreterare åt utredningen har varit hovrättsrädet Krister Thelin och hovrättsassessorn Bertil Persson.

I en första etapp i utredningsarbetet har utredningen övervägt vissa principiella utgångspunkter för en framtida datalag. Utred- ningens överväganden och förslag i denna del redovisades i betänkandet (SOU 1990:61) Skärpt tillsyn - huvuddrag i en reformerad datalag som överlämnades i september 1990. Betänkandet har remissbehandlats.

I en andra etapp har utredningen behandlat vissafrågor som rör integritetsskyddet i samband med personregistrering och automatisk databehandling inom områdena för forskning och statistik samt för massmediernas och arbetslivets del. I denna etapp överväger utredningen också behovet av samordning på integritetsskyddsområdet samt vissa gallringsfrågor. Utred— ningen redogör även för EG—kommissionens förslag till direktiv vid behandlingen av personuppgifter. Utredningens över- väganden och förslag i den andra etappen redovisas i det betänkande som nu läggs fram. Avsikten är att förslagen - lik- som arbetet i den första etappen - skall kunna utgöra en grund för det fortsatta arbetet.

Som experter i arbetet med föreliggande betänkande har med— verkat departementsrådet i justitiedepartementet Börje Alpsten, universitetslektorn vid juridiska institutionen vid Lunds universi- tet Jan Evers, departementsrådet i civildepartementet Håkan Färm, chefsradmannen i Malmö tingsrätt Sigurd Heuman, direktören Gert Persson, postverket, f.d. avdelningschefen Edmund Rapaport, hovrättsassessorn Björn Rosén, utbildnings- departementet, hovrättsassessorn Carina Stävberg, justitie- departementet, t.f. professorn vid nationalekonomiska institu—

• Sida 4
•  Original

tionen vid Lunds universitet Lars Söderström samt verksjuristen vid datainspektionen Sten Wahlqvist.

Experterna Håkan Färm och Sten Wahlqvist samt Björn Rosén har avgett särskilda yttranden i fråga om tryckfrihetsförord— ningen m.m. och datalagstiftningen samt gallring. Yttrandena har tagits in i särskilda bilagor till betänkandet.

Utredningen fortsätter sitt arbete med att i en tredje och avslutande etapp utarbeta och redovisa ett förslag till en ny datalag.

Malmö i mars 1991

Ulf Arrfelt

/Krister Thelin

Bertil Persson

• Sida 5
•  Original

Innehåll Sammanfattning ........................ 9 1. Utredningsuppdraget ................... 19

2. EG—kommissionens förslag till direktiv angående skydd för enskilda vid behandling av person—

uppgifter ........................... 21 2.1 Bakgrund .......................... 21 2.2 Direktivens innehåll .................... 22 2.3 Betydelsen för svensk del ................ 27 3. Samordning med annan integritetsskydds-

lagstiftning .......................... 31 3.1 Direktiven .......................... 31 3.2 Gällande rätt ........................ 31

3.2.1 Regeringsformen m.m .............. 31 3.2.2 Brottsbalken ................... 33 3.2.3 Lagen om övervakningskameror m.m. ........................ 34 3.2.4 Sekretesslagen .................. 36 3.2.5 Kreditupplysningslagen och inkassolagen ................... 37 3.2.6 Lagen om ADB vid taxerings- revision ...................... 38 3.3 Överväganden ....................... 39 4. Personregistrering inom området för forskning och statistik ......................... 41 4.1 Direktiven .......................... 41 4.2 Gällande rätt ........................ 41 4.3 Europarådets rekommendation m.m. ......... 45 4.4 Forskningsetiska utredningen .............. 47 4.4.1 Betänkandet .................... 47 4.4.2 Remissyttranden ................. 51

• Sida 6
•  Original

4.5 Överväganden ....................... 55 4.5.1 Allmänna utgångspunkter ........... 55 4.5.2 Anpassning till ett tillsynssystem ....... 60 4.5.3 Bestärnningen av begreppet forsknings-

register ...................... 61 4.5.4 Betydelsen av avidentifiering ......... 62 4.5.5 Undantag från kravet på informerat samtycke ..................... 64 4.5.6 Registerforskning ................ 65 4.5.7 Sambearbetning ................. 71 4.5.8 Anmälningsskyldighetens omfattning . . . . 72 4.5.9 Tillsynens utövande ............... 72 4.5 . 10 Kryptering .................... 73 4.5.11 Vissa lagtekniska frågor ............ 77 5. Tryckfrihetsförordningen m.m. och datalagstiftningen ..................... 79 5.1 Direktiven .......................... 79 5.2 Gällande rätt m.m. .................... 79 5.2.1 Tryckfrihetsförordningen m.m ......... 79 5.2.2 Datalagstiftningen ................ 84 5.2.3 Pressetiska regler ................ 87 5.3 Internationella förhållanden ............... 89 5.4 Personregister hos tidningar m.m. ........... 91 5.5 Särskilda frågor ...................... 99 5.6 Överväganden ....................... 101

5.6.1 Finns det en konflikt mellan yttrandefriheten och datalag— stiftningen? .................... 101 5.6.2 Utredningens förslag .............. 111

6. Personregistrering i anställningsförhållande . . . . 125 6.1 Direktiven .......................... 125 6.2 Gällande rätt ........................ 125 6.2.1 Datalagen ..................... 125 6.2.2 Vissa arbetsrättsliga bestämmelser ...... 126 6.2.3 Datainspektionens föreskrifter m.m ...... 128 6.2.4 Datainspektionens praxis ............ 129 6.3 Den tekniska utvecklingen m.m. ............ 137 6.4 Europarådets rekommendation m.m. ......... 141 6.5 Tidigare och pågående utredningsarbete ....... 145 6.5.1 Bakgrund ..................... 145

• Sida 7
•  Original

6.5.2 Rapporten (Ds 1989124) Datatekniken och den personliga integriteten i arbetet — en kartläggning m.m. ........ 6.6 Överväganden ....................... 6.6.1 Allmänna utgångspunkter ........... 6.6.2 Inrättande av register .............. 6.6.3 Insamling och lagring av uppgifter ..... 6.6.4 Utlämnande av uppgifter ............ 6.6.5 Insynsrätt ..................... 6.6.6 Vissa lagtekniska frågor ............

7. Gallringsfrågor ....................... 7.1 Direktiven .......................... 7.2 Gällande rätt ........................ 7.3 Tidigare utredningsarbete ................ 7.4 Överväganden .......................

Sammanfattning

Datalagsutredningen, som har till uppgift att göra en översyn av datalagen (1973z289, omtryckt 1982z446), har i ett första betänkande (SOU 1990:61) Skärpt tillsyn - några huvuddrag i en reformerad datalag redovisat vissa principiella utgångs- punkter för en framtida datalag. Utredningen föreslår bl.a. att det nuvarande tillståndsförfarandet slopas och att datainspektion— en ges möjlighet att meddela bransch- eller sektorsföreskrifter som komplettering till de grundläggande bestämmelserna i datalagen. Enligt betänkandet bör vidare en anmälningsplikt införas för dels de mera integritetskänsliga register som skall omfattas av datainspektionens normering, dels register som inte är reglerade i förväg genom inspektionens föreskrifter.

I en andra etapp av arbetet, som redovisas i föreliggande be- tänkande, behandlar utredningen vissa frågor om personregist- rering i samband med automatisk databehandling inom skilda områden. Det gäller personregistrering inom forsknings— och statistikområdet samt för massmediernas och arbetslivets del. Vidare behandlar utredningen behovet av en samordning inom integritetsskyddslagstiftningen samt vissa gallringsfrågor. I ett inledande avsnitt redogör utredningen för de förslag till EG— direktiv som föreligger när det gäller integritetsskyddet vid behandlingen av personuppgifter och betydelsen av dessa för svensk del.

EG—direktiven

EG-kommissionen antog i september 1990 förslag till direktiv angående skydd för enskilda vid behandling av personuppgifter. Förslaget är för närvarande föremål för övervägande i EGs ministerråd. I ett antal artiklar redovisas i direktiven vissa principer för hur integritetsskyddet är tänkt att vara utformat för medlemsstaternas del. Även om direktivens slutliga utformning kan bli en annan eller om de inte alls antas och oberoende av Sveriges framtida knytning till EG, har utredningen ansett att det kan finnas skäl att från svensk sida redan nu beakta de utgångspunkter som direktiven ger uttryck för (se avsnitt 2).

• Sida 10
•  Original

Utredningen har funnit att direktiven på ett antal punkter avviker från den nuvarande svenska datalagen och även från de utgångspunkter som utredningen har redovisat i sitt första be- tänkande. De punkter i direktiven som bör beaktas är bl.a. följande.

' EG—direktiven omfattar förutom ADB även manuell person- registrering vilket inte den svenska ordningen gör.

I Den svenska handlingsoffentligheten enligt tryckfrihets- förordningen och sekretesslagen samt personregistreringen hos svenska myndigheter är på vissa punkter svår att förena med direktivens krav vad avser personregistreringen inom den offentliga sektorn. Det gäller bl.a. det stränga kravet på ändamålsanknytning och begränsningar i möjligheten till utlämnande av uppgifter till tredje man.

' EG-direktivens krav på reglering av känsliga uppgifter (ras, hudfärg, politisk uppfattning, religiös tro eller filosofisk övertygelse, facklig tillhörighet, hälsotillstånd och sexualliv) synes öka behovet av särskilda registerlagar.

' Direktiven ger den enskilde registrerade en långtgående rätt att få uppgifter strukna ur bl.a. direktreklamregister, en rätt som saknar svensk motsvarighet.

' Direktivens bestämmelser om rätt för den enskilde till dom— stolsprövning kan kräva en ändring av den nuvarande ordningen, där datainspektionens beslut överklagas till regeringen.

Personregistrering inom områdena för forskning och statistik

I avsnittet rörande personregistrering inom områdena för forsk- ning och statistik (avsnitt 4) redovisar utredningen bl.a. den forskningsetiska utredningens arbete och den Europarådsrekom— mendation i ämnet som Sverige ställt sig bakom.

Utredningen föreslår att rekommendationens bestämmelser skall utgöra grunden för den framtida regleringen på området. Det innebär i första hand att personregistrering för forsknings— ändamål, oavsett om syftet med registreringen är att framställa statistik eller inte, förutsätter att den registrerade lämnat ett s.k. informerat samtycke till registreringen. Med informerat samtycke förstås att den registrerade i förväg upplyses om bl.a.

• Sida 11
•  Original

registrets ändamål och innehåll och därefter frivilligt lämnar begärda uppgifter eller medger att de inhämtas från någon annan källa.

Utredningen diskuterar i detta sammanhang särskilt de frågor som reses i anledning av s.k registerforskning, dvs. att upp— gifter inhämtas från andra källor än den enskilde, exempelvis från andra personregister. Registerforskningen är relativt utbredd i Sverige och underlättas av bl.a. bestämmelser om handlingsoffentlighet för uppgifter hos myndigheter och den mycket vanliga användningen av personnummer. Registerforsk- ningen har som metod lett till goda resultat, bl. 3 inom cancer- forskningen, och har även rönt internationell uppmärksamhet.

Även om informerat samtycke bör gälla som huvudregel, bör vissa undantag mom den ram som Europarådsrekommendation- en anger enligt utredningens mening kunna göras. Det gäller fall där hälsotillståndet hos den som skall registreras gör det svårt att informera på vanligt sätt eller det kan anses oetiskt att ta kontakt med denne. Vidare bör information kunna underlåtas om det skulle förrycka undersökningens resultat. Slutligen bör man kunna avvara samtycke om samtycke redan har lämnats och registreringen gäller ett nytt forskningsändamål, allt under förutsättning att det skulle vara kostsamt eller tidsödande att inhämta ett nytt samtycke och man kan anta att de registrerade, om de tillfrågades, inte hade någon invändning mot det nya forskningsregistret. De undantag som nu har nämnts knyter i huvudsak an till den praxis som datainspektionen tillämpar i sin nuvarande tillståndsprövning.

Bestämmelserna om forsknings- och statistikregister bör, förutom att vissa grundläggande villkor kan behöva anges i en datalag, enligt utredningens förslag kunna tas in i föreskrifter som datainspektionen kan komma att meddela på området. Som redan nämnts bör inspektionen nämligen ges utvidgade möjlig— heter att efter ett bemyndigande i datalagen normera vissa områden mera i detalj. I den tillsynsverksamhet som datainspek- tionen framdeles bör bedriva vad avser personregistreringen inom forskningsområdet bör samverkan kunna ske med bl.a. de forskningsetiska kommittéer som finns inom skilda discipliner.

Tryckfrihetsförordningen m.m. och datalagstiftningen

I ett särskilt avsnitt (5) behandlar utredningen utförligt de frågor som reses i anledning av personregistrering på områden som täcks av tryckfrihetsförordningen, dvs. närmast framställning av tryckt skrift, och av den föreslagna yttrandefrihetsgrundlagen, dvs. rätten att i bl.a. ljudradio och television offentligt uttrycka

• Sida 12
•  Original

tankar, åsikter och känslor och i övrigt lämna uppgifter i vilket ämne som helst.

Det har särskilt varit bestämmelserna om förbud mot censur och andra hindrande åtgärder samt rätten för bl.a. meddelare till anonymitet som har stått i förgrunden för utredningens över- väganden.

Utredningen har inledningsvis försökt kartlägga förekomsten av personregister hos tidningarna och etermedierna och har därvid funnit att såväl s.k. produktionsregister som källregister, inkl. datoriserade klipparkiv, är vanliga. Det kan förutses att dessa slag av personregister får en ökad användning framgent i takt med att den datatekniska utvecklingen fortsätter.

Vid sin analys av förhållandet mellan censur- och anonymi- tetsbestämmelserna, å ena sidan, och datalagstiftningen, å den andra sidan, har utredningen kommit fram till att konflikter kan uppstå vid tillämpningen av tryckfrihetsförordningen och i framtiden även av yttrandefrihetsgrundlagen och datalagen, dels genom att datalagens regelsystem i viss utsträckning kan verka försvårande för framställningen av olika yttranden och dels genom grundlagarnas regler om anonymitetsskydd. Enligt utredningen har man att utgå från att grundlagsbestämmelserna skall tillämpas framför datalagstiftningen vid en konflikt dem emellan. Utredningen har också funnit att det vid den vägning som bör göras av olika skyddsintressen är rimligt att de grundlagsskyddade bestämmelserna inom yttrandefrihets- området på det sättet tar över datalagen, även om skyddet mot otillbörligt intrång i den personliga integriteten i samband med personregistrering med hjälp av ADB numera också har viss grundlagsanknytning (se 2 kap. 3 & regeringsformen).

Utredningen föreslår därför att någon saklig ändring inte görs i nuvarande ordning. Däremot bör vissa förtydliganden göras i datalagen för att ange vilka slag av personregister som bör tas undan från datalagens tillämpningsområde. Hit hör produktions— register, dvs. personregister som används som ett direkt tekniskt hjälpmedel före eller vid framställningen av ett grundlags- skyddat yttrande. Vidare bör källregister, dvs. de register som är direkt avsedda som ett stöd för den journalistiska verksam— heten, för programverksamheten etc., likaså undantas. Som exempel på sådana register kan nämnas register över meddelare och register, som är personrelaterade, över nyligen inkomna telegram. I den mån datoriserade klipparkiv används i tidning- arnas publicistiska verksamhet bör dessa också anses som källregister i nu angiven mening.

Utredningen har även övervägt om datalagen i vissa delar skulle kunna göras tillämplig på de register som nu har nämnts,

• Sida 13
•  Original

exempelvis i fråga om en registeransvarigs allmänna skyldig- heter. Utredningen har emellertid funnit att olika skäl, framför allt det nödvändiga behovet av att inskränka datainspektionens tillsynsrätt, talar emot en sådan lösning.

Slutligen har utredningen när det gäller personregistrering på massmediernas område behandlat frågan om datoriserade klipparkiv bör undantas från datalagen även i den del som de har andra ändamål än att tjäna tidningarnas publicistiska verksamhet. Efter att ha gått igenom och utförligt redovisat de argument som talar för och emot en sådan lösning har utred- ningen slutligt stannat för att klipparkiven helt bör undantas från datalagens tillämpningsområde. Det innebär bl.a. att det blir massmedieföretagen själva som får avgöra i vilken utsträckning som allmänheten får tillgång till klipparkiven med deras många gånger integritetskänsliga material. Enligt utredningens mening saknas det anledning att anta annat än att tidningarna m.fl. skulle kunna sköta denna uppgift med tillbörlig hänsyn till integritetsintressena.

Med den lösning som utredningen funnit lämplig för person— registrering för massmediernas del skulle dock framgent person- register som förs för administrativa ändamål, t.ex. löne- och personalregister, alltjämt omfattas av datalagens bestämmelser. Det får ankomma på exempelvis tidningarna att ha sina register ordnade så, att de uppgifter som omfattas av grundlagsskyddet förs skilda från de administrativa registren för att undvika att konflikter uppstår i samband med tillsyn och kontroll. Några särskilda regler härom anser utredningen dock inte vara erforderliga.

Personregistrering i anställningsförhållande

Utredningen har i ett särskilt avsnitt (6) behandlat frågan om det behövs särskilda regler för de personregister som förs i an— ställningsförhållande. Utredningens överväganden har gjorts mot bakgrund av bl.a. en nyligen framlagd rapport på området, (Ds 1989:24) Datatekniken och den personliga integriteten i arbetet — en kartläggning, och ett pågående projektarbete på arbetslivets område som utförs i datainspektionens regi under medverkan av bl.a. arbetsmarknadens parter. Utredningen har däremot inte kunnat avvakta resultatet av projektet. Inte heller har utred— ningen kunnat beakta de två lagrådsremisser som nyligen har beslutats på arbetsmiljöområdet resp. socialförsäkringsområdet och som bl.a. kan aktualisera olika integritetsfrågor inom arbetslivsområdet.

• Sida 14
•  Original

Utredningen understryker inledningsvis att den pågående ut— vecklingen har lett till allt mer avancerade datoriserade system för användning inom näringsliv och förvaltning. Förutom administrativa redovisningssystem, planeringssystem och styrsystem för produktion, materialhantering och transporter har även, främst i USA och Japan, tagits fram tekniskt högtstående personaladministrativa system och lönesystem. På marknaden finns också ett antal system för in- och utpasseringskontroll och kassaterminalsystem som innefattar registreringsmöjligheter.

Mot denna bakgrund anser utredningen att behovet är stort att uppmärksamma och överväga skydd och olika säkerhetsåtgärder mot integritetsintrång i anställningsförhållande.

Regleringen på området bör enligt utredningen utgå från den Europarådsrekommendation som finns om skydd för person- uppgifter som används för anställningsändamål och som Sverige har ställt sig bakom. Bestämmelserna bör vidare passa in i det tillsynssystem som utredningen föreslagit i det tidigare be- tänkandet (se SOU 1990:61). Slutligen bör den arbetsrättsliga lagstiftningen beaktas.

När det gäller inrättande av personregister anser utredningen att det inte finns anledning att, från de utgångspunkter som gäller för utredningens arbete, överväga att i den arbetsrättsliga lagstiftningen införa ytterligare bestämmelser. Det innebär att den samverkan mellan arbetsgivare och arbetstagare som bör ske vid ett införande av ny datorteknik på arbetsplatsen får ske inom ramen för bl.a. bestämmelserna i medbestämmandelagen och arbetsmiljölagen. Kollektivavtal kan därvid vara ett lämpligt sätt att närmare reglera förhållandena.

De föreskrifter som bör gälla för innehållet i de person- register som kan bli en följd av att datorisering sker på arbets- platsen bör - i linje med vad utredningen har föreslagit för ett framtida tillsynssystem - mera i detalj utformas av datainspek- tionen.

Registrering av uppgifter om en anställds hälsa eller sjukdom förutsätter enligt Europarådsrekommendationen att samtycke av den enskilde har lämnats till registreringen eller att uttryckligt lagstöd finns. Enligt utredningens mening bör man överväga att införa uttryckliga bestämmelser om registrering av sådana uppgifter direkt i datalagen.

Vad därefter gäller registrering av omdömen, prestations— mätningar m.m. ställs här som på andra områden olika intressen mot varandra. Närmast är det arbetsgivarens berättigade krav på en effektiv verksamhet som ställs mot den enskildes lika berättigade krav på skydd mot otillbörligt intrång i den person— liga integriteten. Denna avvägning rör den övergripande frågan

• Sida 15
•  Original

om vad som bör innefattas i begreppet otillbörligt intrång. Som utredningen har diskuterat i det föregående betänkandet (se avsnitt 8.4 i SOU 1990:61) bör otillbörlighetsrekvisitet kunna preciseras, så att den nödvändiga intresseavvägningen kommer till klarare uttryck i lagtexten. Utredningen återkommer till denna fråga i den tredje och avslutande etappen då ett förslag till ny datalag skall redovisas.

I fråga om utlämnande av uppgifter har utredningen funnit att huvudregeln, liksom vid insamling av uppgifter, bör vara att det i princip är den enskilde som disponerar över de person- uppgifter som rör honom eller henne. Ett utlämnande bör dock kunna ske till en facklig organisation av uppgifter som rör organisationens medlemmar, om uppgiften är nödvändig för att organisationen skall kunna ta till vara medlemmarnas intressen. Frågan bör närmare kunna regleras i kollektivavtal. Ett utläm- nande kan vidare ske om det finns stöd i lag.

När det slutligen gäller den anställdes rätt till upplysning om och insyn i de personregister som arbetsgivaren för med hjälp av ADB bör en sådan rätt uttryckligen regleras i datalagen eller i inspektionens föreskrifter. Den anställdes insynsrätt rörande personuppgifter om honom eller henne bör på arbetslivets område förstärka den allmänna rätten till underrättelse om innehållet i personregister som för närvarande finns enligt 10 & datalagen.

Gallringsfrågor

Integritetsskäl talar oftast för att uppgifter gallras när de inte längre behövs för sitt ursprungliga syfte. De intressen som bär upp offentlighetsprincipen gör, å andra sidan, att uppgifter i allmänna handlingar bör bevaras under lång tid. Arkivhänsyn medför också ett intresse av att uppgifter bevaras, exempelvis för forskning. Frågor om gallring, där olika motstående intressen således gör sig gällande, behandlar utredningen i ett särskilt avsnitt (7).

Utredningen redovisar utförligt de regler som gäller för arkivvården inom den offentliga sektorn, bakgrunden till den nyligen antagna arkivlagen (1990:782) och förhållandet mellan arkivbestämmelserna och datalagens nuvarande bestämmelser om gallring.

Den nya arkivlagen innebär ingen förändring av kompetens- fördelningen mellan datainspektionen och arkivmyndigheterna. Det innebär bl.a. att datainspektionen även framdeles skall ha möjlighet att i vissa fall meddela beslut om gallring för person— registren.

• Sida 16
•  Original

Utredningen anser att den nuvarande kompetensfördelningen bör behållas också i det nya tillsynssystem som utredningen tidigare har föreslagit (se SOU 1990:61). Enligt utredningens förslag i fråga om gallring bör datainspektionen svara för gallringsbeslut avseende personregister där integritetsintressena väger särskilt tungt, dvs. de register som skall anmälas till datainspektionen. För återstående register, dvs. sådana som inte innehåller någon från integritetssynpunkt särskilt känslig in- formation, kan däremot gallringsfrågan med fördel regleras av riksarkivet eller kommunerna. Datainspektionen bör dock även beträffande dessa sistnämnda register ha en möjlighet att i det enskilda fallet meddela gallringsvillkor, om det skulle vara nödvändigt med hänsyn till risken för otillbörligt integritets- intrång.

Datainspektionen och riksarkivet bör innan de avgör frågor om bevarande och gallring också framgent samråda med varandra. Utredningen har inte funnit någon anledning att göra ändring i den informella ordning som nu gäller för samråd. Den närmare precisering av begreppet otillbörligt intrång som utredningen avser att behandla i en kommande etapp kan komma att få betydelse också för bedömningen av de motstå- ende intressen som kan vara aktuella vid avgörande av vissa gallringsfrågor.

Samordning med annan integritetsskyddslagstiftning

I avsnitt 3 behandlar utredningen frågan om datalagen bör samordnas med annan lagstiftning på integritetsskyddets område, särskilt sådan som reglerar områden där datorteknik används och personregistrering sker.

Utredningen redovisar de integritetsskyddande bestämmelser som för närvarande finns enligt svensk rätt. Hit hör bl.a. vissa grundlagsbestämmelser, bestämmelser om T V-övervakning samt en rad regler i rättegångsbalken och brottsbalken. Sekretess- lagens regler, liksom kreditupplysningslagen och inkassolagen, hör också hit.

Enligt utredningen uppvisar skyddet för den enskildes integritet en i viss mån splittrad bild. Någon samlad reglering till skydd för personliga förhållanden av icke-kroppsligt slag finns inte. När det gäller det speciella område som omfattas av datalagen och lagen om ADB vid taxeringsrevision, nämligen integritetsskydd vid personregistrering med hjälp av ADB, finns beröringspunkter framför allt i lagen om övervakningskameror m.m., sekretesslagen, kreditupplysningslagen och inkassolagen.

• Sida 17
•  Original

Även om den nuvarande ordningen i viss mån kan sägas innebära en dubbel prövning vid tillämpningen av de bestäm- melser som nu har nämnts, synes det inte föreligga några nämnvärda gränsdragnings- eller tillämpningssvårigheter. Inte heller finns det enligt utredningens mening av andra skäl några behov av en särskild samordning av de skilda bestämmelserna på området. Utredningen har därför stannat för att inte föreslå någon ändring av integritetsskyddet på de berörda områdena.

Utredningens fortsatta arbete

Utredningen kommer som nämnts att i en avslutande etapp utarbeta förslag till en ny datalag. Utgångspunkter för det arbetet, som kommer att ske under parlamentarisk medverkan, kommer att vara de förslag som lagts fram i det tidigare betänkandet och i föreliggande betänkande.

• Sida 18
•  Original

• Sida 19
•  Original

1. Utredningsuppdraget

Utredningens direktiv (Dir. 1989z26) innebär ett uppdrag att göra en såväl saklig som lagteknisk översyn av datalagen (1973z289, omtryckt 1982z446).

Arbetet, som inleddes i november 1989, har utredningen valt att utföra i etapper.

I den inledande etappen, som i september 1990 redovisades i delbetänkandet (SOU 1990:61) Skärpt tillsyn - huvuddrag i en reformerad datalag, diskuterade utredningen vissa principer för en ny datalag. Tyngdpunkten i det arbetet låg på en under- sökning av om det nuvarande systemet med tillståndsprövning och licens kunde ersättas med en ordning med ökad tillsyn för att på det sättet effektivisera integritetsskyddet. Vissa av datalagens grundbegrepp togs också upp till övervägande i det sammanhanget, nämligen otillbörligt intrång i personlig integritet, automatisk databehandling och personregister.

I en andra etapp, som redovisas i förevarande betänkande, behandlar utredningen skilda frågor som rör ADB-registrering av personuppgifter inom vissa områden. Det gäller person— registrering inom området för forskning och statistik, inom massmedieområdet och personregistrering i anställningsför- hållande. Vidare diskuterar utredningen frågan om samordning med annan integritetsskyddslagstiftning och gallringsfrågor. Utredningen redovisar också EG—kommissionens förslag till direktiv angående skydd för enskilda vid behandling av person— uppgifter.

Utredningens direktiv i nu beskrivna delar redovisas i anslutning till de olika frågorna. Direktiven i deras helhet finns intagna i SOU 1990:61.

När det gäller ADB-registrering inom massmedieområdet har utredningen gjort studiebesök vid Dagens Nyheter och Expres- sen i Stockholm och Sydsvenska Dagbladet i Malmö samt vid Sveriges Radio och Television i Stockholm (avsnitt 5).

Även i förevarande etapp har utredningens arbete skett i nära samarbete med olika företrädare för datainspektionen, särskilt har detta gällt frågan om personregistrering i anställnings- förhållande (avsnitt 6). Utredningen har emellertid inte kunnat

• Sida 20
•  Original

avvakta resultatet av det särskilda projekt för en översyn av personregistrering inom arbetslivsområdet (Projekt Arbetslivet) som inletts av datainspektionen och som beräknas vara avslutat under hösten 1991 (se avsnitt 6.5.2). Inte heller har utredningen kunnat beakta de två lagrådsremisser som nyligen har beslutats på arbetsmiljöområdet resp. socialförsäkringsområdet och som bl.a. kan aktualisera olika integritetsfrågor inom arbetslivs- området.

Vid behandlingen av gallringsfrågorna (avsnitt 7) har utred— ningen särskilt biträtts av arkivrådet Claes Gränström. Profes— sorn Claes-Göran Westrin, institutionen för socialmedicin vid Uppsala universitet, har biträtt vid redovisningen av forsknings- och statistikfrågorna (avsnitt 4).

I den tredje och avslutande etappen, då utredningen kommer att ske under parlamentarisk medverkan, skall utformningen av en ny datalag behandlas.

• Sida 21
•  Original

uppgifter

2.1. Bakgrund

EG—kommissionen antog i september 1990 förslag till direktiv (Proposal for a Council Directive, SYN 287) angående skydd för enskilda vid behandling av personuppgifter. Förslaget är för närvarande föremål för övervägande i EGs ministerråd. - Direktiv som beslutas av behöriga EG-organ är bindande i fråga om det resultat som skall uppnås men överlämnar åt medlems— länderna att välja form och metod för detta.

Bakgrunden till förslaget är att man inom EG-kommissionen ansett att en hög nivå för skydd mot integritetskränkning i samband med framför allt automatisk eller elektronisk behand— ling av personuppgifter är nödvändig för att säkerställa det önskade fria flödet av information mellan medlemsländerna. I den rapport som utarbetats som underlag till förslagen noteras att endast sju medlemsländer för närvarande har särskilda dataskyddslagar (Danmark, Frankrike, Tyskland, Irland, Luxemburg, Nederländerna och Storbritannien) och att av dessa ett land (Nederländerna) ännu inte har anslutit sig till Europa- rådskonventionen i ämnet. (Utöver de nämnda har Spanien visserligen ratificerat konventionen men saknar i gengäld en inhemsk dataskyddslag). Övriga medlemsländer (Belgien, Grekland, Italien och Portugal) har således varken anslutit sig till Europarådskonventionen eller infört inhemska regler. Vidare noteras i rapporten att de lagar som finns inom EG på området uppvisar stora skillnader: Vissa lagar täcker in manuella register och juridiska personer i integritetsskyddet. Förfarandena för tillstånd o.d vid inrättande av register är olika, liksom skyldig-

• Sida 22
•  Original

heten att informera, handläggningen av känsliga personuppgifter och regler för överföring av uppgifter länderna emellan.

Behovet att utarbeta enhetliga principer som underlag för en uniform lagreglering med en hög skyddsnivå har därför ansetts mycket stort. Förslaget innebär att en två-årig handlingsplan antas för att genomföra de nödvändiga ändringarna för att tillgodose det önskade skyddet och förstärkningen av den enskildes rättigheter vid behandling av personuppgifter.

I det följande skall huvuddragen av de föreslagna principerna i direktiven för integritetsskyddet och de enskilda artiklarna redovisas. Avslutningsvis lämnas vissa synpunkter på vad direktiven kan få för konsekvenser för den svenska dataskydds- lagstiftningen, om de görs tillämpliga här i landet.

2.2. Direktivens innehåll

I de två inledande artiklarna anges ändamålet med direktiven (att medlemsstaterna skall säkerställa, i överensstämmelse med direktiven, integritetsskyddet för den enskilde vid behandlingen av personuppgifter i dataregister och att de inte får begränsa eller förhindra det fria flödet av personuppgifter mellan staterna med hänvisning till den enskildes integritetsskydd sådant det framgår av direktiven) och vissa definitioner (personuppgift, avidentifiering, personregister, behandling, registeransvarig, tillsynsmyndighet samt offentlig och privat sektor). Med personuppgifter avses även manuella register.

Bestämmelserna i direktiven skall gälla inom både den enskilda och allmänna sektorn. Enskilda register för privat och personligt bruk omfattas inte, liksom inte heller medlemsregister för ideella föreningar (art. 3).

För register inom den allmänna sektorn uppställs ett laglig— hetskrav som bl.a. innebär att personregister enligt huvudregeln får inrättas endast om det är nödvändigt för att utföra den registeransvariga myndighetens uppgifter. I fyra fall får personregister dock användas för ett annat ändamål än det för vilket det inrättats, nämligen (1) med den enskildes samtycke, (2) om användningen har stöd i lag som står i överensstämmelse med direktiven, (3) om - efter en vägning av berörda intressen - det står klart att den registrerades legitima intressen inte utesluter en ändring av ändamålet och (4) i händelse av ett

• Sida 23
•  Original

överhängande hot mot allmän säkerhet eller fara för en allvarlig kränkning av annans rätt (att. 5).

Information ur ett personregister inom den allmänna sektorn får lämnas ut endast i två fall, olika beroende på om mottagaren finns i den allmänna eller privata sektorn. I det förra fallet måste informationen vara nödvändig för utförandet av de uppgifter som den utlämnande eller mottagande myndigheten har. I det senare fallet måste en vägning göras av intressena för att fastställa huruvida den som begår informationen har ett legitimt intresse därav och huruvida den registrerades intresse inte skall ta över. Inom denna ram får inhemsk lag ange de närmare gränserna (art. 6).

I syfte att säkerställa att den registrerades intressen inte skadas anges därutöver i art. 6 att, när information lämnas till den privata sektorn, underrättelse härom skall lämnas till den registrerade eller medgivande ha inhämtats av en tillsyns- myndighet. Det föreskrivs också att innan ett register inrättas anmälan skall göras till en sådan myndighet om personuppgifter kan komma att lämnas ut till annan, detta för att möjliggöra insyn för den enskilde. Tillsynsmyndigheten skall föra en särskild förteckning över sådana register (art. 7).

För personregister inom den privata selaorn skall samtycke utgöra den lagliga grunden för inrättande av ett register, om inte registreringen kan grundas i ett avtalsrättsligt eller kvasi- avtalsrättsligt förhållande mellan den registeransvarige och den registrerade och registreringen är nödvändig för att fullfölja avtalet (t.ex. för behandling av order och fakturor). Ett register kan också vara lagligt grundat, om det innehåller uppgifter som kommer från källor som är allmänt tillgängliga (t.ex. telefon- kataloger), såvida syftet endast är att använda det för korre- spondens. Slutligen kan ett register vara lagligt, om det grundas på en vägning av intressen som ger vid handen att den register- ansvarige har ett legitimt intresse och att den registrerade inte har ett intresse som tar över (art. 8).

Den registeransvarige har skyldighet att underrätta den registrerade, om personuppgifter som rör honom eller henne lämnas ut till annan, detta för att den registrerade skall kunna utöva sin rätt till tillgång till uppgiften eller att motsätta sig vidare behandling av uppgiften.Någon underrättelseskyldighet föreligger dock inte i de fall uppgifterna härrör från allmänt tillgängliga källor och används för korrespondens (art. 9).

Vidare föreskrivs ett undantag från underrättelseskyldighet som kan meddelas i lag. Om stora praktiska svårigheter, övergripande legitima intressen hos den registeransvarige eller liknande intresse hos tredje man skulle hindra att underrättelse

• Sida 24
•  Original

lämnas, får en datatillsynsmyndighet, inom närmare gränser fastställda i lag, på den registeransvariges begäran medge undantag från underrättelseskyldigheten. I sådant fall får myndigheten medge villkor för undantaget och besluta om att själv underrätta den registrerade. Med stora praktiska svårig- heter förstås bl.a. fall där den registrerades hemadress är okänd (art. 10).

Även inom den privata sektorn skall det finnas en skyldighet för den registeransvarige att anmäla till en datatillsynsmyndighet de register från vilka personuppgifter är avsedda att lämnas ut till annan (art. 11).

Förslaget innehåller också närmare bestämmelser om den registrerades rättigheter. Här tas upp vad som skall konstituera informerat samtycke och den information som skall lämnas vid insamling av uppgifter, en insamling som många gånger kan göras av annan än den som senare är att anse som register- ansvarig. Vidare anges i en artikel en lång rad ytterligare rättigheter ("additional rights of data subjects").

Samtycke måste ges uttryckligen och avse en angiven uppgiftsbehandling. Ett tyst eller allmänt hållet samtycke är således inte tillräckligt. Samtycket kan när som helst återkallas, men återkallelsen får ingen retroaktiv verkan, dvs. den uppgiftsbehandling som redan skett blir inte olaglig (art. 12).

Underrättelse till den enskilde skall lämnas redan vid insamling av uppgifter. En insamling skall ske ärligt och lagligt ("fairly and lawfully"), vilket förutsätter att den enskilde redan vid insamlingen skall kunna grunda sitt beslut att samtycka på ett tillfredsställande faktaunderlag vad avser syftet med registreringen, den registeransvariges identitet och frågan huruvida uppgiftslämnandet är frivilligt eller följer av lag (art. 13).

I förhållande till den registeransvarige ges den registrerade uttryckligen rätt att motsätta sig behandlingen av de uppgifter som rör honom eller henne, om lagligt stöd för behandlingen saknas. Den registeransvarige är också skyddad mot att allmänna eller privata institutioner fattar beslut rörande honom eller henne i fråga om en bedömning av mänskligt handlande ("assessment of human conduct") endast på grund av en dataprofil som tagits fram med hjälp av ADB (art. 14).

Vidare finns i art. 14 bestämmelser om rätt till insyn, rättelse, strykning och rätt att få uppgifter innehållna. Den enskilde har rätt till rättelse, strykning eller att få uppgifter innehållna, om behandlingen av dem strider mot direktiven. Skyldigheten till rättelse föreligger, om uppgifterna är felaktiga, ofullständiga,

• Sida 25
•  Original

oprecisa, missvisande eller föråldrade. Rätten till strykning förutsätter att registrering har skett i strid med direktiven.

Möjligheten att hålla uppgifterna inne ("blocking") har sitt ursprung i den tyska federala dataskyddslagens bestämmelser om "Sperrung". En behandling i strid med direktiven kan i sådant fall ge den registeransvarige rätt att fortsättningsvis lagra uppgifterna men förbjuda honom att vidare behandla eller använda dem. En sådan "blockerad" uppgift skall särskilt markeras för att registeranvändare skall uppmärksammas på inskränkningen.

Enligt en uttrycklig bestämmelse, art. 14 (6), har den registerade rätt att få uppgifter som används för marknadsföring eller direktreklam strukna ur registret. Härigenom kan den enskilde enligt kommentaren till bestämmelsen skydda sig mot oönskade direktreklamförsändelser.

I den enskildes rättigheter ingår också en uttrycklig möjlighet att få rättelse till stånd på rättslig väg, dvs. efter domstols- prövning, om någon av rättigheterna i art. 14 har trätts för när.

Insyn i personregister i den allmänna sektorn får begränsas, dock endast av skäl som är nödvändiga för att säkerställa väsentliga värden i ett demokratiskt samhälle. Härvid anges i en uttömmande uppräkning som skäl bl.a. nationell säkerhet, försvar, lagföring i brottmål och allmän säkerhet (art. 15). Datatillsynsmyndigheten skall emellertid ha möjlighet att på begäran av en registrerad utföra nödvändig kontroll av ett sådant register.

Bestämmelser finns också om datakvalitet. Med datakvalitet förstås såväl de särskilda principer som skall gälla vid hantering av personuppgifter som särreglering för vissa uppgifter och bestämmelser om datasäkerhet.

De principer som medlemsstaterna enligt direktiven skall ta in i sin inhemska lagstiftning och som det skall åligga de register- ansvariga att leva upp till är enligt att. 16 att personuppgifter skall a) insamlas och handhas ärligt och lagligt ("fairly and law- fully");

b) lagras för specifika, uttryckliga och lagliga ändamål och användas på ett sätt som är förenligt med dessa ändamål;

c) vara lämpliga, relevanta och inte överflödiga i förhållande till de ändamål för vilka de lagras;

d) vara korrekta och, om nödvändigt, aktuella. Felaktiga eller ofullständiga uppgifter skall strykas eller rättas;

e) bevaras i en form som inte gör det möjligt att identifiera den registrerade under längre tid än som är nödvändigt för de ändamål för vilka uppgifterna lagras. (I fråga om t.ex.

• Sida 26
•  Original

statistiska ändamål kan uppgifter få bevaras längre, under förutsättning att sambandet mellan namn och uppgift upphör. Jfr kryptering i avsnitt 4.5 . 10).

I fråga om kravet på lagring för ett specifikt ändamål (b) sägs i kommentaren bl.a. att ändamålet måste vara specifikt på det sättet, att det avsedda syftet måste definieras och specificeras i så snäva termer som möjligt. En allmänt hållen eller vag definition eller beskrivning av ändamålet med ett register (exempelvis att ett register avser "affärsändamål") är inte i överensstämmelse med principen om ändamålsspecificering. Ändamålet måste vidare specificeras innan lagring verkställs. I de fall uppgifter hämtas från den registrerade skall ändamålet vara specificerat vid tiden för inhämtandet.

Som känsliga uppgifter anses uppgift om ras (inkl. uppgift om hudfärg), politisk uppfattning, religiös tro eller filosofisk över— tygelse (inkl. det faktum att tro eller övertygelse saknas), facklig tillhörighet, hälsotillstånd och sexualliv. Enligt huvud- regeln råder förbud mot automatisk databehandling av känsliga uppgifter. Undantag medges endast om uttryckligt och frivilligt samtycke föreligger skriftligen eller om det är påkallat av väsentligt allmänt intresse. I det senare fallet förutsätts det dock finnas en särskild inhemsk lag (enligt kommentaren förutsätts "law" här vara "formal Statute") som anger vilka uppgifter som får behandlas med ADB, vem som får ha tillgång till uppgift- erna och övriga säkerhetsåtgärder till skydd mot missbruk eller obehörig insyn. Uppgifter om fällande domar får förekomma enbart i register inom den allmänna sektorn (att. 17).

Ideella föreningar får dock för sin verksamhet ADB-registrera uppgifter om politisk uppfattning,religiös eller filosofisk över- tygelse och fackföreningstillhörighet (art. 3 jfrd med art. 17).

Begränsningarna avseende känsliga uppgifter gäller, som framgått, enbart hantering med ADB. Manuella register faller således utanför de särskilda strängare kraven som nu har nämnts.

En registeransvarig är skyldig att vidta de organisatoriska och tekniska åtgärder som är nödvändiga för att skydda registerupp- gifterna mot obehörig tillgång till dem eller förhindra att de går förlorade på grund av olyckshändelse. När det gäller tillgång till ett register för annan än den registeransvarige genom on-line överföring föreskrivs att såväl maskinvara som program skall vara utformade så, att användarens tillgång till registret kan hållas inom den ram som sätts upp av den registeransvarige. Kraven på datasäkerhet gäller dem som faktiskt eller rättsligt har kontroll över de operationer som berör ett personregister (art. 18).

• Sida 27
•  Original

Allmänna undantag från reglerna får tas in i inhemsk lag vad avser press och audiovisuella media i syfte att tillgodose yttrandefrihetsintressen (art. 19).

Vidare uppmanas medlemsstaterna att uppmuntra utvecklandet av branschvisa handlingsregler eller etiska normer för att under— lätta tillämpningen av de föreslagna reglerna (art. 20).

Direktiven innehåller också bestämmelser om den registre- rades rätt till skadestånd (art. 21) och en föreskrift om att medlemsstaterna också måste ha verkningsfulla sanktions- bestämmelser för att förhindra överträdelser. Vid utformningen av dessa skall särskilt beaktas att överträdelse av dataskydds- principerna utgör en kränkning av en grundläggande rättighet (art. 23).

Överföring av personuppgifter till ett icke-medlemsland är tillåten enbart om det landet har en tillfredsställande skyddsnivå (art. 24).

Avsteg från kravet på tillfredsställande skyddsnivå vid export av uppgifter får göras i ett enskilt fall, om den registeransvarige kan garantera skyddet och varken övriga medlemsländer eller EG-kommissionen inom viss tid har anmält någon erinran häremot, sedan de underrättats av medlemsstaten om det tilltänkta avsteget.

När det gäller tillsynsmyndigheter på dataskyddsområdet skall dessa dels vara oberoende, dels ha behörighet att undersöka och ingripa i en tillräcklig omfattning (art. 26).

Direktiven förutsätter också inrättandet av en Särskild råd- givande arbetsgrupp för skydd av personuppgifter under kommissionens ordförandeskap som skall bestå av företrädare för medlemsländernas tillsynsmyndigheter (art. 27) och dessutom upprättandet av en rådgivande kommitté som skall bistå kommissionen i dess arbete att övervaka genomförandet av den gemensamma skyddsnivån. Reglerna skall enligt förslaget träda i kraft den 1 januari 1993 (att. 30 - 31).

2.3. Betydelsen för svensk del

För närvarande är direktiven, som nämnts, föremål för över- vägande i EGs ministerråd. Det kan därvid naturligtvis inte uteslutas att den slutliga utformningen blir en annan än vad kommissionen föreslagit eller att direktiven inte ens antas. Likväl kan det finnas skäl att från svensk sida redan nu beakta de utgångspunkter som direktiven ger uttryck för vad avser

• Sida 28
•  Original

integritetsskyddet vid behandlingen av personuppgifter. Om Sverige framgent kommer att behöva harmoniera sina bestäm- melser på området med dem som gäller inom EG, är det i allt fall troligt att de grundläggande principerna i direktiven blir vägledande. (Jfr utrikesutskottets betänkande, 1990/912UU8, s. 36).

I det följande skall därför pekas på de huvudpunkter i direk- tiven, där de nuvarande svenska bestämmelserna i datalagen och angränsande författningar kan behöva ändras. Vid jämförelsen beaktas också de huvuddrag i en reformerad datalag som ut- redningen redan redovisat i det första betänkandet (SOU 1990:61).

l Frågan om förhållandet mellan Europarådskonventionen (se avsnitt 7.1 1 SOU 1990:61) och EG-direktiven är inte närmare behandlad. Saken får betydelse särskilt när det gäller överföring av data mellan två länder som båda är bundna av konventionen, men där enbart den ena staten innefattas i EGs reglering.

I EG-direktiven (art. 2) omfattar förutom ADB även manuell personregistrering, vilket nuvarande och föreslagna be— stämmelser i Sverige inte gör.

' Ideella föreningars medlemsregister är helt undantagna (art 3), medan de ingår i den svenska regleringen.

! Den svenska handlingsoffentligheten enligt tryckfrihets- förordning och sekretesslag samt personregistreringen hos svenska myndigheter är på vissa punkter svår att förena med direktivens krav vad avser personregistrering inom den offentliga sektorn. Det gäller bl.a. det stränga kravet på ändamålsanknytning och begränsningar i möjligheten till utlämnande av uppgifter till tredje man (art. 5 — 6).

' Direktiven föreskriver, för såväl den offentliga som privata sektorn, en omfattande underrättelseskyldigheti förhållande till den registrerade och en anmälningsskyldighet till datatill- synsmyndigheten (art. 6 - 11) som inte bara avviker från nuvarande svenska bestämmelser utan också från det förslag till tillsynssystem som utredningen lämnat. (Direktiven förefaller att på denna punkt innebära en omfattande byråkra— tisering för såväl myndigheter som företag.)

• Sida 29
•  Original

Direktivens krav på formen för den enskildes samtycke (art. 12) är strängare än nuvarande svensk praxis (jfr avsnitt 4.2 och 4.5.5).

Direktivens rätt för den enskilde till domstolsprövning (art. 14) kan kräva en ändring av den nuvarande ordningen där datainspektionens beslut överklagas till regeringen. - I betänkandet (avsnitt 8.9 1 SOU 1990:61) har utredningen förutskickat att frågan om fullföljd mot inspektionens beslut skall behandlas i en kommande etapp av utredningsarbetet.

Den enskildes rätt att enligt direktiven få uppgifter strukna som används för marknadsföring eller direktreklam (art. 14) saknar motsvarighet i svensk rätt (jfr 27 & datalagen).

Principen i direktiven om förbud mot lagring av uppgifter för längre tid än ändamålet kräver (art. 16) aktualiserar frågor om utformningen av bestämmelser om gallring m.m. (se avsnitt 7).

Definitionen av känsliga uppgifter (art. 17) motsvarar inte den svenska avgränsningen (se 4 & datalagen). Vidare förutsätts i direktiven regleringen i olika avseenden av känsliga uppgifter ske genom "formal Statute". Detta torde innebära att lågform måste väljas och att fler registerlagar således blir nödvändiga.

Kravet i direktiven på att dataskyddsmyndigheten skall vara oberoende reser frågan om datainspektionens roll som för— valtningsmyndighet under regeringen (jfr 11 kap. 6 och 7 åå regeringsformen och avsnitt 8.8.1 i SOU 1990:61. De svenska förvaltningsmyndigheternas självständighet i en- skilda tillämpningsfall torde uppfylla kravet i direktiven, medan en överklagandemöjlighet till regeringen kan sägas verka i motsatt riktning).

• Sida 30
•  Original

• Sida 31
•  Original

3. Samordning med annan integritetsskyddslagstiftning

3.1. Direktiven

I direktiven anförs att det finns skäl att ta upp frågan om datalagen bör samordnas med annan lagstiftning på integritets- skyddets område, särskilt sådan som reglerar områden där datorteknik används och personregistrering sker. Ett exempel på ett sådant område, som nämns i direktiven, är lagstiftningen om TV-övervakning.

3 .2 Gällande rätt

3.2.1. Regeringsformen m.m.

Skyddet för den personliga integriteten finns i svensk rätt intagen i olika bestämmelser av skild konstitutionell valör. Det grundläggande skyddet återfinns i regeringsformens (RF) bestämmelser, som reglerar skyddet för vissa medborgerliga fri- och rättigheter. Skyddet för den personliga integriteten utgör en del av de fri— och rättigheter som är avsedda att skydda bl.a. opinionsfriheterna. Som ett led i skyddet för de medborgerliga fri— och rättigheterna finns i 1 kap. 2 & RF en bestämmelse om att det allmänna skall värna den enskildes privatliv och familje— liv. Vidare fmns reglerna i 2 kap. om grundläggande fri- och rättigheter. Förutom med stöd av den egna rättstraditionen, bl.a. 16 å i 1809 års regeringsform, har fri- och rättighetskatalogen i 2 kap. RF utformats mot bakgrund av två internationella instrument som Sverige förbundit sig att följa: Förenta nation- ernas allmänna förklaring om de mänskliga rättigheterna av år

• Sida 32
•  Original

1948 och Europarådskonventionen från år 1950 om skydd för de mänskliga rättigheterna och de grundläggande friheterna.

Sedan år 1988 har katalogen i 2 kap. RF utvidgats till att också omfatta skydd för medborgarna mot att deras personliga integritet kränks genom att uppgifter om dem registreras med hjälp av automatisk databehandling (2 kap. 3 & andra stycket).

De konstitutionella begränsningarna riktar sig såväl till de rättstillämpande som till de normerande organen, dvs. närmast riksdagen och regeringen.

Den allmänna grundlagsbestämmelse som tar sikte på person— ligt integritetsskydd, utöver skyddet mot kroppslig integritet, är 2 kap. 6 5. Enligt denna bestämmelse är den enskilde skyddad gentemot det allmänna mot husrannsakan och liknande intrång samt mot undersökning av brev eller annan förtrolig försändelse och mot hemlig avlyssning eller upptagning av telefonsamtal eller annat förtroligt meddelande.

I likhet med en del andra fri- och rättigheter i 2 kap. RF kan emellertid också denna bestämmelse begränsas genom lag. Enligt 2 kap. 12 & får begränsningen göras endast för att tillgodose ändamål som är godtagbart i ett demokratiskt samhälle. Den får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den eller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen som är en av folkstyrelsens grundvalar. Begränsning får inte göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning (12 å andra Stycket).

Bland de lagar som utgör undantag från skyddet för personlig integritet i förevarande fall kan nämnas bestämmelserna i 27 kap. rättegångsbalken om beslag av brev, telegram eller annan försändelse 1 post- eller televerkets vård och om hemlig teleavlyssning, liksom i lagen (1952z98) med särskilda bestäm— melser om tvångsmedel i vissa brottmål och lagen (1989z530) om åtgärder för att förebygga våldsdåd med internationell bakgrund (terroristlag). Andra exempel på undantag från skyddet för personlig integritet är föreskrifterna i 28 kap. rättegångsbalken om husrannsakan och rätten att bl.a. undersöka påträffade post- och telegrafförsändelser. Intrång av samma slag som husrannsakan kan även förekomma vid administrativa tvångsförfaranden enligt bevissäkringslagen (1975:1027) för skatte- och avgiftsprocessen samt enligt utsökningsbalken vid exekutiva förfaranden.

Medan grundlagsbestämmelserna reglerar integritetsskyddet mellan det allmänna och den enskilde, är skyddet mellan enskilda reglerat enbart i vanlig lag. Sådana bestämmelser riktar sig naturligtvis också till företrädare för det allmänna till den

• Sida 33
•  Original

del integritetskränkande åtgärder vidtas på ett obehörigt eller olovligt sätt. Exempel på integritetsskyddande bestämmelser i vanlig lag är, förutom datalagen, vissa bestämmelser i brotts- balken samt kreditupplysningslagen (1973:1173), inkassolagen (1974:182) och sekretesslagen (1980:100). Som framhålls i direktiven hör också regleringen av TV-övervakning hit. En författning som ligger datalagen nära är lagen (1987:1231) om automatisk databehandling vid taxeringsrevision. I följande avsnitt skall kortfattat bestämmelserna i de nu nämnda för- fattningarna beskrivas, särskilt med hänsyn till huruvida anknytning finns till datorteknik och personregistrering. Den lagstiftning som i övrigt mera allmänt kan sägas vara av integritetsskyddande slag berörs dock inte. Hit hör framför allt den upphovsrättsliga lagstiftningen och bestämmelser till skydd för namn o.d. (bl.a. firmalagen, 1974:156, och lagen, 1978:800, om namn och bild i reklam).

3.2.2. Brottsbalken

År 1986 genomfördes vissa lagändringar i brottsbalken i syfte att förstärka det straffrättsliga skyddet mot straffvärda för- faranden som har anknytning till användningen av automatisk informationsbehandling, särskilt datorer (SFS 1986:123, prop. 1985/86:65, JuU17, rskr. 121). Bl.a. fördes i bedrägeri- stadgandet i brottsbalken (9 kap. 1 5) in en ny bestämmelse som straffbelägger att någon bereder sig vinning genom att olovligen påverka resultatet av en automatisk informationsbehandling eller en liknande automatisk process, så att det innebär skada för någon annan. Vidare ändrades straffstadgandena om olovligt brukande (10 kap. 7 & brottsbalken) och dataintrång (21 & datalagen) i syfte att möjliggöra ett effektivare ingripande mot förfarande som brukar betecknas som tidsstöld resp. "wire- tapping" (olovlig avtappning av data som är under befordran).

De bestämmelser i brottsbalken som tar sikte på att skydda den personliga integriteten i annat hänseende än när det gäller att skydda mot en rent kroppslig kränkning är närmast reglerna om hemfridsbrott (4 kap. 6 5), brytande av post- eller telehem- lighet (4 kap. 8 å), intrång i förvar (4 kap. 9 5) och olovlig avlyssning, dvs. s.k. buggning (4 kap. 9 a 5). I vidare mening hör även bestämmelserna om ärekränkning i 5 kap. hit.

• Sida 34
•  Original

3.2.3. Lagen om övervakningskameror m.m.

År 1990 ersattes 1977 års lag (1977220) om TV-övervakning av en ny lag (1990:484) om övervakningskameror m.m. Syftet med den nya lagen var främst att anpassa den rättsliga regleringen av användningen av optisk-elektronisk övervakningsutrustning till den tekniska utvecklingen och att hålla ett tillfredsställande skydd mot integritetskränkningar i samband med användningen av sådan utrustning (se prop. 1989/90:119; JuU34, rskr. 320).

Med övervakningskameror förstås enligt lagen TV—kameror, andra optisk-elektroniska instrument och därmed jämförbara utrustningar som är uppsatta så att de, utan att manövreras på platsen, kan användas för personövervakning (1 5). Med termen optisk avses enligt förarbetena alla registreringar som kan ske med instrument inom det elektromagnetiska våglängdsspektret för optisk strålning. Under beteckningen optisk faller därmed den insamling av information som kan ske på såväl optisk- elektronisk som fotokemisk väg. Med uttrycket elektronisk förstås att förmedlingen av bilderna, visningen av bilderna på en till instrumentet anknuten monitor eller lagringen av de upptagna bilderna sker genom elektronisk påverkan. Däremot saknar det betydelse om andra funktioner hos instrumentet styrs på elektronisk väg. Detta innebär exempelvis att s.k. fiber- optiska kikare liksom stillbilds- och filmkameror är att anse som optisk-elektroniska instrument, om bildupptagningen direkt förmedlas vidare till en elektronisk bildskärm eller lagras på videoband, i datorminne eller på något annat elektroniskt medium (se prop. s. 39).

Enligt lagen skall en övervakningskamera användas med tillbörlig hänsyn till enskildas integritet och upplysning om kameran skall lämnas genom tydlig skyltning eller på något annat verksamt sätt (2-3 55).

Tillstånd att använda en övervakningskamera krävs enligt huvudregeln för att en sådan kamera Skall få vara uppsatt så att den kan riktas mot den plats dit allmänheten har tillträde. Undantag medges bl.a. för övervakningskameror som är uppsatta på fordon av trafiksäkerhets- eller arbetsmiljöskäl och för vissa kameror som används av polisen (4 5).

Tillstånd får meddelas endast om sökanden kan anses ha ett befogat intresse av att få använda övervakningskameran och detta intresse inte lika väl kan tillgodoses på något annat sätt. Tillstånd skall under denna förutsättning meddelas, om den information som kan förmedlas, och om tillståndet är avsett att förenas med en rätt att behandla eller bevara bilder, denna rätt

• Sida 35
•  Original

kan antas vara av ringa betydelse för enskildas personliga integritet med hänsyn till den utrustning som skall användas, det område som skall bevakas och övriga omständigheter. I andra fall, dvs. när integritetsriskerna är mera framträdande, skall tillstånd meddelas bara om intresset av att tillgodose det avsedda ändamålet med övervakningen är så starkt att det skall ges företräde framför intresset att värna enskildas personliga integritet (5 5).

I förarbetena ges vissa exempel på hur bestämmelsen skall tolkas, varav bl.a. framgår att affärslokaler inom detaljhandeln liksom bank— och postlokaler i allmänhet hör till den kategori som regelmässigt bör ges tillstånd under förutsättning att utrustningen endast medger en allmän övervakning och inte tillåter närbilder eller annan mera närgången granskning. Detsamma gäller områden i anslutning till allmänna kommuni- kationsmedel, t.ex. väntsalar, biljetthallar och perronger. Däremot anses integritetsriskerna vara större när det gäller områden som används för allmän trafik, liksom lokaler och områden som används av allmänheten för att utöva någon av de grundläggande fri- och rättigheterna i regeringsformen (se 2 kap. l &) eller där allmänheten uppehåller sig för rekreation eller nöjen. Till de senare platserna uppges höra andra utrym- men än entréer och foajéer i exempelvis muséer, restauranger och hotell. Även sjukhusentréer, socialkontor, försäkringskassor och domstolslokaler nämns som exempel på platser där integritetsintressen kan göra sig särskilt gällande (prop. s. 47 f). I de fall där riskerna för integritetsintrång är mera framträdande krävs för tillstånd, som tidigare har nämnts, att intresset av att tillgodose det avsedda ändamålet är så starkt att det skall ha företräde framför integritetsintresset.

Tillstånd lämnas av länsstyrelsen som också har vissa tillsynsuppgifter (7—13 55).

I de fall integritetsriskerna bedöms som ringa och i sådana andra fall där övervakningskameran är avsedd att användas för att förebygga brott, förhindra olyckor eller tillgodose något annat därmed jämförligt ändamål, får ett tillstånd förenas med rätt att med någon teknisk anordning behandla eller bevara bilder, som tas upp av kameran, om sökanden av särskilda skäl har behov av detta (6 5). Härmed avses exempelvis att en bank eller någon annan penninginrättning som har tillstånd att använda en övervakningskamera kan vara beroende av att få bevara bilder från upptagningar av inträffade rån o.d. för att övervakningen inte skall förlora sitt syfte. Likaså kan enligt för— arbetena (prop. s. 49) en naturlig anknytning mellan över- vakning och bevaring av bilder föreligga när ändamålet med

• Sida 36
•  Original

övervakningen är att förhindra olyckor. Det kan nämligen vara så att det först genom en granskning av dokumentationen av en inträffad olycka kan var möjligt att begränsa verkningarna av den eller få underlag för insatser för att förhindra framtida olyckor påpekas det. Länsstyrelsen får vid sin tillståndsgivning meddela villkor avseende bl.a. behandling och bevaring av bilder samt andra förhållanden av betydelse för att skydda enskildas personliga integritet. I förarbetena påpekas i detta sammanhang (prop. s. 53) att villkor som riktar sig till myndig- heter inte får gå utöver vad dessa har att iaktta enligt tryck- frihetsförordningen och sekretesslagen i fråga om offentlig- hetsprincipen.

I fråga om förhållandet mellan datalagen och föreskrifterna om övervakningskameror påpekas att tillstånd enligt datalagen att få inrätta och föra ett register kan krävas, om ett bildregister som uppkommer vid användningen av en övervakningskamera samtidigt är att anse som ett personregister (prop. s. 45).

I lagen regleras också frågor om sekretess, straff, över— klagande m.fl. liknande frågor (14-19 55).

3.2.4. Sekretesslagen

Sekretesslagens (1980: 100) bestämmelser tar i stor utsträckning sikte på skydd för enskilds integritet. Det gäller närmast 7—9 kap. som avser sekretesskyddsbestämmelser med hänsyn till enskilds personliga och ekonomiska förhållanden. I dessa kapitel anges i vilken utsträckning allmänna handlingar, dvs. handlingar som förvaras hos en myndighet och är att anse som inkomna till eller upprättade hos en myndighet, skall hållas hemliga.

Sekretesslagens bestämmelser skall ses i ljuset av den offent- lighetsprincip för allmänna handlingar, inklusive ADB-upp- tagningar, som sedan länge gäller enligt tryckfrihetsförord- ningen. Bestämmelserna härom har varit föremål för översyn vid flera tillfällen under senare år. Senast har frågan tagits upp i en proposition (prop. 1990/91:60) om offentlighet, integritet och ADB som överlämnats till riksdagen under hösten 1990.

I propositionen föreslås vissa ändringar i tryckfrihets- förordningen. En ändring innebär att det inte längre skall vara möjligt för en enskild att med Stöd av offentlighetsprincipen ställa datorprogram och datorkapacitet till en myndighets förfogande och begär bearbetningar med hjälp av dessa. Den s.k. biblioteksregeln i tryckfrihetsförordningen förtydligas, så att det klart framgår att den omfattar även databaser som en myndighet har tillgång till genom avtal med enskild. Vidare föreslås ett par ändringar i sekretesslagen som innebär precise-

• Sida 37
•  Original

ringar av det krav på "god offentlighetsstruktur" som gäller myndigheternas ADB-verksamhet. Vissa ändringar föreslås också i datalagen för att tydligare markera att uppgifter ur myndigheters personregister inte får säljas, om det inte finns särskilt stöd för det, och i sekretesslagen och datalagen för att underlätta allmänhetens möjligheter att få information om när en myndighet får sälja uppgifter ur personregister. Slutligen föreslås att myndigheters beslut att vägra lämna utdrag ur personregister enligt 10 & datalagen skall överklagas på samma sätt som beslut att vägra utlämnande enligt offentlighetsprin- cipen.

När det gäller den närmare redovisningen av sekretesslags— bestämmelserna och förhållandet till ADB hänvisas till propo- sitionen och till data- och offentlighetskommitténs slut- betänkande (SOU 1988:64) Offentlighetsprincipens tillämpning på upptagning för automatisk databehandling.

3.2.5. Kreditupplysningslagen och inkassolagen

Enligt kreditupplysningslagen (1973:1173) får kreditupplys- ningsverksamhet som regel inte bedrivas annat än efter tillstånd av datainspektionen. Med kreditupplysning avses uppgift, omdöme eller råd som lämnas till ledning för bedömning av annans kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende.

Verksamheten får inte bedrivas så att den leder till otillbörligt intrång i personlig integritet genom innehållet i de upplysningar som förmedlas eller på annat sätt eller till att oriktiga eller missvisande uppgifter lagras eller lämnas ut.

Restriktioner gäller vidare för insamling och lagring av vissa uppgifter (politisk eller religiös uppfattning, ras eller hudfärg, brottsmisstanke, tvångsvård, sjukdom, hälsotillstånd m.fl.).

Begränsningar finns också när det gäller upplysningar om annan enskild person än den som är näringsidkare eller annars har så väsentligt inflytande i viss näringsverksamhet att uppgift om hans egna förhållanden behövs för att belysa verksamhetens ekonomiska ställning.

Vidare finns bestämmelser om underrättelseskyldighet, rättelse, tystnadsplikt och förbud mot överlåtelse av register som används i kreditupplysningsverksamhet, liksom om tillsyn, straff och skadestånd m.m.

Inkassolagen (1974:182) gäller indrivning av egen eller annans fordran genom krav eller annan inkassoåtgärd (inkasso- verksamhet). Lagen innehåller krav på tillstånd från data- inspektionen för att få bedriva Sådan inkassoverksamhet som

• Sida 38
•  Original

avser indrivning av fordringar för annans räkning eller fordringar som har övertagits för indrivning.

Tillstånd får meddelas endast om verksamheten kan antas bli bedriven på ett sakkunnigt och omdömesgillt sätt.

Inkassoverksamhet skall bedrivas enligt "god inkassosed".

Register som avser gäldenär och som används i tillståndsplik- tig inkassoverksamhet får överlåtas eller upplåtas till annan endast efter medgivande av datainspektionen.

Bestämmelser finns om tystnadsplikt avseende bl.a. enskilds personliga förhållanden liksom om tillsyn, straff och skadestånd m.m.

Såväl kreditupplysningsverksamhet som inkassoverksamhet bedrivs oftast med hjälp av ADB, varför en prövning enligt datalagen som regel också behövs. Ett trettiotal företag har för närvarande tillstånd att bedriva kreditupplysningsverksamhet, medan antalet inkassoföretag är knappt 400.

3.2.6. Lagen om ADB vid taxeringsrevision

Lagen (1987: 1231) om automatisk databehandling vid taxerings- revision, m.m. infördes år 1987 i samband med ändringar bl.a. i dåvarande taxeringslagen (1956:623) och i bevissäkringslagen (1975:1027) för skatte- och avgiftsprocessen (se prop. 1987/88:65, SkU17, rskr. 70).

Lagen kom till efter påpekande från datainspektionen om behovet av regler som kompletterade datalagen vid taxerings- revision. Syftet var att stärka integritetsskyddet och ge data- inspektionen befogenheter att meddela föreskrifter riktade till granskarna, dvs. skattemyndigheterna.

Enligt lagen gäller den vid myndighets revision avseende skatter och socialavgifter som innefattar automatisk data- behandling av personuppgifter i personregister enligt datalagen (1 å)-

Lagen understryker att granskning av personregister inte får leda till otillbörligt intrång i registrerads personliga integritet och ger datainspektionen rätt att utöva tillsyn (2-3 55).

Inspektionen får i fråga om granskningen, i den mån det behövs för att förebygga risk för otillbörligt intrång i personlig integritet, meddela föreskrifter i särskilda fall om bl.a. utförande, bearbetning, utlämnande, bevarande och gallring samt kontroll och säkerhet (4 å).

Innan beslut meddelas om en sådan taxeringsrevision som företas som en förberedande åtgärd för kontroll av andra än den hos vilken revisionen sker, skall datainspektionen höras, om

• Sida 39
•  Original

revisionen kan antas omfatta insamling av uppgifter i person- register enligt datalagen (5 5).

Datainspektionens beslut överklagas hos regeringen. Även justitiekanslern får överklaga för att ta till vara allmänna intressen (6 5).

3 .3 Överväganden

Som framgår av redovisningen av gällande rätt uppvisar skyddet för den enskildes integritet enligt svensk rätt en i viss mån splittrad bild. Någon samlad reglering till skydd för personliga förhållanden av icke-kroppsligt slag finns inte. Vid sidan av de grundläggande föreskrifterna i regeringsformen (och de undantag från skyddet till förmån för allmänna intressen som finns intagna i främst rättegångsbalken) återfinns de allmänna integritetsskyddsreglerna framför allt i brottsbalken, där också regler om datorrelaterade brott finns intagna.

När det gäller det speciella område som omfattas av datalagen och lagen om ADB vid taxeringsrevision, nämligen integritets— skydd vid personregistrering med hjälp av ADB, finns härutöver beröringspunkter i ett antal särskilda lagar såsom lagen (1990:484) om övervakningskameror m.m., kreditupplysnings- lagen (1973: 1 173) och inkassolagen (1974: 182). Det gemensam- ma för dessa lagar är att de avser att skydda den enskilde mot att uppgifter om honom eller henne i otillbörlig omfattning samlas in, lagras, bearbetas och sprids i olika sammanhang. I fråga om övervakningskameror gäller det närmast bilder av den enskilde, medan det vid kreditupplysning och inkassoverksamhet rör uppgifter om dennes personliga och ekonomiska förhållan— den. I mycket stor utsträckning är den särskilt tillståndspliktiga verksamhet som är reglerad enligt de nu nämnda lagarna också ADB—anknuten. Någon osäkerhet om att i sådant fall också datalagens regler om integritetsskydd är tillämpliga torde inte föreligga.

I fråga om det integritetsskydd som sekretesslagen (1980: 100) innebär tar detta mera sikte på utlämnande av uppgifter, dvs. aktualiseras först sedan personuppgifter inhämtats och lagrats. I den mån de handlingar som regleras av tryckfrihetsförord- ningen och sekretesslagen också är att anse som personregister i datalagens mening kan dock även i de fallen frågan om en dubbel prövning uppstå. Enligt datalagen (11 & första stycket) får personuppgift som ingår i personregister inte lämnas ut om

• Sida 40
•  Original

det finns anledning anta att uppgiften skall användas för automatisk databehandling i strid med lagen. Motsvarande förbudsregel som i 11 5 första stycket datalagen finns för myndigheternas del i 7 kap. 16 & sekretesslagen. Inte heller i nu nämnda fall torde några gränsdragnings- eller tillämpnings- svårigheter uppstå.

Nuvarande ordning har, Såvitt utredningen kunnat finna, inte inneburit behov av någon särskild samordning av de skilda bestämmelserna.

Med hänsyn till att utredningen enligt vad som redovisas i det tidigare betänkandet (SOU 1990:61, avsnitt 8.2) inte föreslår att några ändringar i ADB-begreppet vid tillämpning av datalagen behöver göras och att personregisterbegreppet framgent skall göras mera teknikoberoende finns det inte heller skäl att tro att tillämpningssvårigheter skulle uppstå i framtiden i förhållande till de speciallagar som nu har behandlats. Enligt datalags- utredningens mening finns det därför inte skäl att ytterligare samordna lagstiftningen på integritetskyddsområdet vad gäller områden där datorteknik används och personregistrering sker. Å andra sidan synes det inte vara möjligt att i en vidare utsträckning undvika den dubbla prövning som nu i en del fall kan krävas enligt skilda bestämmelser. En förändring i en sådan riktning skulle tvärtom kunna leda till att brister i integritets- skyddet skulle uppstå på området. När det gäller kreditupplys- nings- och inkassoverksamhet förtjänar det att framhållas att integritetsskyddet främjas av att datainspektionen är tillsynsmyn- dighet också på dessa områden. Inspektionens tillsyn och kontroll bör verksamt kunna bidra till en enhetlig tillämpning vid en prövning av integritetsskyddet.

• Sida 41
•  Original

4. Personregistrering inom området för forskning och statistik

4.1. Direktiven

I direktiven framhålls att det i fråga om särskilda sektorer där datorteknik utnyttjas kan finnas anledning att överväga behovet av speciella regler i datalagen och att forskningsområdet är ett exempel härpå. Vidare hänvisas till forskningsetiska utred- ningens (U 1988:03) arbete och anförs:

"Utredaren bör följa detta arbete och beakta de ändringar i datalagstiftningen som kan bli följden av den forskningsetiska utredningens arbete. Om det bedöms lämpligt med särskilda regler för forskningsregistren bör utredaren lämna förslag till sådana. En fråga av intresse i samband med detta är möjli heten att använda sig av krypterade forskningsregister och ha 11 c elfilen deponerad hos någon annan än den registeransvarige i e fall det inte går att bygga registren på s.k. informerat samtycke eller arbeta med avidentifierade uppgifter. En sådan ordning skulle få konsekvenser bl.a. för den registeransvariges skyldigheter enligt 10 5 datalagen. Liknande frågor uppkommer på Statistikområdet. "

Forskningsetiska utredningens arbete redovisas i avsnitt 4.4.

4.2. Gällande rätt

Personregistrering för forskning och statistikändamål är inte särreglerad i datalagen. I den mån registren inte är hänförliga till s.k. statsmaktsregister, dvs. har tillkommit efter beslut av riksdagen eller regeringen, krävs tillstånd av inspektionen för att få inrätta och föra personregister för angivna ändamål.

• Sida 42
•  Original

På grundval av uttalanden i förarbetena har dessa register i praxis kommit att få en privilegierad Ställning när det gäller möjligheterna att få registrera personer utan naturlig anknytning till den registeransvarige. Enligt en fast praxis ifrågasätter datainspektionen vid sin prövning som regel inte det behov som anges för inrättande av ett forskningsregister. Denna uppfattning grundar inspektionen i att forskningsområde och forsknings- metod är frågor som faller utanför inspektionens behörighet. Däremot kräver inspektionen naturligtvis för tillstånd att det är möjligt att inskränka intrånget i den personliga integriteten genom villkor i det enskilda fallet.

I många fall rör registreringen personuppgifter av känsligt slag, där tillstånd enligt datalagen får beviljas, endast om särskilda eller synnerliga skäl föreligger (4 5). I datainspek- tionens praxis anses det förhållandet att uppgifterna skall användas för ett vetenskapligt ändamål i sig vara tillräckligt för att uppfylla kravet på särskilda eller synnerliga skäl.

Stöd för denna tolkning finns i uttalanden i samband med datalagens tillkomst år 1973. I propositionen (prop. 1973:33 s. 122) anges med hänvisning till ett uttalande av offentlighets— och sekretesslagstiftningskommittén (se avsnitt 4.1 iSOU 1990:61), att undantag från kravet på synnerliga skäl borde kunna medges för statistiska bearbetningar och vetenskapliga undersökningar, under förutsättning att enskilda personers namn inte offent- liggörs. I direkt anslutning härtill framhålls att även i vissa andra sammanhang undantag bör kunna medges, om det föreligger ett starkt samhälleligt eller annat allmänt intresse att registreringen får ske och det finns säkra garantier för att uppgifterna inte används eller sprids, så att otillbörligt inte- gritetsintrång uppkommer.

Vidare görs i praxis åtskillnad mellan sådana register som avses bygga på informerat samtycke från de berörda och register där sådant samtycke inte skall inhämtas.

För vissa personregister för såväl forsknings- som statistik- ändamål har datainspektionen nyligen meddelat föreskrifter om ett förenklat ansökningsförfarande (se DIFS 198912 och 199011). För båda ändamålen föreskrivs bl.a. att informerat samtycke i en del fall skall föreligga, dvs. att den som skall registreras i förväg får upplysningar om bl.a. registrets ändamål och innehåll och därefter frivilligt lämnar begärda uppgifter eller medger att dessa inhämtas från någon annan källa.

En förutsättning för det förenklade förfarandet på forsknings- området är vidare att de som hanterar registren är väl insatta i de regler som gäller. Det gäller både forskare och andra som handhar registren för den registeransvariga myndigheten.

• Sida 43
•  Original

Möjligheten att använda det förenklade förfarandet har därför gjorts beroende av datainspektionens medgivande. De statliga myndigheter som får använda det förenklade förfarandet är universitet, högskolor och andra forskningsinrättningar som efter ansökan fått medgivande att göra det.

Ändamålet med sådana register som omfattas av förfarandet skall vara att framställa statistik i forskningssyfte. Från registret får man enbart skapa statistiska tabeller eller annan anonym information, där enskild person inte avslöjas. Vidare får man framställa arbetsmaterial i form av listor för att kontrollera och rätta personuppgifter i samband med statistikproduktionen. För att kunna skicka ut förfrågan om deltagande i undersökningen och för att samla in uppgifterna får man också framställa adressetiketter och listor där de registrerade prickas av. I ända- målet ingår att statistiken Skall framställas i forskningssyfte, dvs. syfta till att belysa okända faktorer eller bekräfta hypo- teser, t.ex. enligt följande.

"Framställning av statistik över mödrar i syfte att studera samband mellan rökning och barns födelsevikt".

Det förenklade ansökningsförfarandet får inte användas för rena registerundersökningar, s.k. registerforskning (se avsnitt 4.5 .6). Det krävs därför att uppgifterna i registret åtminstone till viss del inhämtas direkt från den registrerade själv genom en enkät eller vid en intervju.

Det förenklade ansökningsförfarandet beträffande vissa personregister för statistikändamål gäller enbart ansökningar från statistiska centralbyrån (SCB) och får avse endast fram- ställning av statistik.

Statistik används vanligen för att beteckna Siffermässiga eller annars kvantitativa mått över tillstånd eller samband, inkl. mått framställda med hjälp av diagram, kurvor m.m. Termen betecknar också den vetenskap eller de metoder som används för att framställa statistik.

Bestämmelser i det förenklade ansökningsförfarandet för statistikändamål finns också om inrättande av tillfälliga person- register genom sambearbetning av två eller flera register, liksom om ändring i registerinnehåll och om tillfälligt förande av personregister som avlämnats till riksarkivet för förvaring (jfr avsnitt 7).

I en promemoria om personregister för vetenskapliga under— sökningar och i en särskild informationsskrift har inspektionen redovisat sin praxis i frågan om tillstånd för forsknings- och statistikregister utöver det förenklade förfarandet. Praxis är dock inte entydig.

• Sida 44
•  Original

Av redovisningen framgår beträffande informationskravet att inspektionen anser, att metoder för informationens lämnande i vissa fall kan diskuteras och att kravet på informerat samtycke undantagsvis helt kan efterges. Dessa undantag avser i så gott som samtliga fall uppgiftsinhämtande som sker på annat sätt än genom enkäter eller intervjuer, dvs. närmast i form av s.k. registerforskning. Om information lämnas på annat sätt än vid enkät eller intervju, skall dock rätten att avböja medverkan framgå.

De fall som aktualiserar undantag från informerat samtycke är enligt praxis när

I hälsotillståndet hos dem som skall registreras gör det svårt att informera på vanligt sätt,

I det kan anses oetiskt att ta kontakt med dem som skall registreras eller

I när informationen skulle förrycka undersökningens resultat.

Vidare anser inspektionen i en del fall, när det inte är fråga om direkt kontakt med dem som skall registreras, att information kan lämnas i annan än individuell form (exempelvis genom anslag eller annonser i pressen), om det står klart att de som avses bli registrerade kan förväntas vara positiva till regi- streringen och om det gäller mycket stora populationer. Så har t.ex. skett i fråga om det s.k. utbildningsregistret hos SCB, vari uppgifter om de svenska medborgarnas utbildning m.m. finns samlad.

Ett exempel på fall där inspektionen ansett det oetiskt att informera, gällde ett personregister som skulle belysa om intag av läkemedel påverkade sannolikheten för att få vissa cancer— sjukdomar. I det fallet hade de flesta personer som skulle ingå i registret uppnått hög ålder och det antogs att de skulle ha oroats, om de informerats om undersökningens syfte.

Någon generell bestämmelse som i år, månader och dagar anger hur länge personuppgifter i ett forskningsregister får bevaras i identifierbart skick finns inte. I 12 & datalagen sägs allmänt att personuppgifterna skall utgå ur registret när de inte längre behövs för registrets ändamål eller när den register- ansvarige upphör att föra registret. Enligt samma lagrum kan dock uppgifter komma att bevaras även därefter, om det följer av bestämmelser i lag eller annan författning eller av myndig- hets beslut som har meddelats med stöd av författning.

• Sida 45
•  Original

Att uppgifterna skall utgå innebär, enligt den information som inspektionen lämnar till forskare, i första hand att namn, personnummer och andra rena identitetsuppgifter avlägsnas. Det får emellertid inte heller därefter finnas någon möjlighet att på ett enkelt sätt identifiera en enskild person. Detta kan t.ex. vara fallet om namnet visserligen inte nämns men det förekommer sådana bestämningar av vem vissa uppgifter avser att man lätt kan ta reda på namnet i en matrikel e.d.

När information har lämnats, bl.a. om att registret skall bevaras, i enlighet med datainspektionens ovan berörda före- skrift (1990: 1) om vissa personregister för forskningsändamål, godtar inspektionen att registret bevaras på datamedium utan att avidentifieras, om riksarkivet anser att det bör ske och tillika är berett att ta hand om registret.

Om de registrerade däremot är ovetande om registrets existens, blir inspektionens beslut i allmänhet att avidentifiering skall ske. Undantag görs enligt praxis i princip bara om det finns grundad anledning tro att de registrerade inte skulle motsätta sig ett bevarande. Ett beslut om avidentifiering behöver enligt vissa uppfattningar inte utesluta att en utskrift av registret görs på papper som bevaras för framtiden.

Statistikfrågor har nyligen behandlats av statistikregelutred— ningen i dess betänkande (SOU 1990:43) Förenklad statistik- reglering. I betänkandet föreslås en lag som reglerar den statliga statistikfrarnställningen. I förslaget regleras bl.a. skyldigheten att lämna uppgifter för statlig statistikframställning, liksom frågor om uppgiftsskydd, framställningsmetoder och offentlig— görande.

4.3. Europarådets rekommendation m.m.

Europarådet har antagit en rekommendation år 1983 (Recom— mendation No. R, 83, 10) rörande skydd för personuppgift som används vid forskning eller för statistik. Sverige har godtagit rekommendationen utan reservation. En antagen rekommenda— tion är till skillnad från en konvention inte bindande men innebär likväl ett visst åtagande att så långt som möjligt efterkomma rekommendationens bestämmelser.

Syftet med rekommendationen är enligt uttalanden i dess inledning att tillgodose såväl forskningens behov som skyddet för den enskildes integritet.

• Sida 46
•  Original

Rekommendationen är tillämplig på användningen av person- uppgifter för vetenskaplig forskning och statistik, såväl inom den allmänna som inom den enskilda sektorn och oberoende om uppgifterna förs med hjälp av ADB eller manuellt.

Enligt rekommendationen skall respekten för den personliga integriteten garanteras i varje forskningsprojekt som använder personuppgifter. Alla som lämnar uppgifter om sig skall informeras om projektets natur, dess mål och namnet på personen eller myndigheten för vilken forskningen utförs. Om personen från vilken uppgifter skall hämtas inte är skyldig att lämna uppgifter skall han informeras om att han har frihet att välja om han vill samarbeta; skyldigheten kan följa av lag eller avtal. Han har också rätt att när som helst att avbryta sin medverkan utan att ange skäl. Om inte, på grund av syftet med forskningen, information om projektets natur m.m. kan avslöjas innan uppgifterna samlas in skall personen informeras efter det att insamlingen är färdig och vara fri att fortsätta eller avbryta sin medverkan. Om han då vill avbryta sin medverkan skall han ha rätt att få uppgifterna strukna ur registret.

Något undantag från kravet på informerat samtycke, när den enskilde Själv lämnar uppgifterna, finns i princip inte angivet. (I fråga om s.k. registerforskning se avsnitt 4.5.6).

Personuppgifter som erhållits för forskning får inte användas för annat ändamål än forskning. I synnerhet får de inte använ- das för beslutsfattande som direkt påverkar personen ifråga, såvida det inte ligger inom ramen för forskningen eller denne inte uttryckligen lämnat sitt samtycke. Användning för ett annat forskningsändamål än det ursprungliga är tillåten under vissa förutsättningar. Undantagsvis kan därvid också kravet på informerat samtycke efterges.

Personuppgifter som används för forskning får inte publiceras i identifierbar form, såvida inte de berörda lämnat Sitt samtycke och det skett i enlighet med särskilda skyddsbestämmelser.

I varje forskningsprojekt skall det anges, så långt det är möjligt, om personuppgifter skall förstöras, avidentifieras eller bevaras när projektet är avslutat, och i det senare fallet under vilka villkor uppgifterna skall bevaras. När den berördes samtycke att delta i ett forskningsprojekt behövs, skall sam- tycket också omfatta möjligheten av att uppgifterna bevaras efter projektets avslutande. Om det inte varit möjligt att infordra samtycke för att bevara uppgifterna, får dessa bevaras under det villkoret att lagringen görs i enlighet med skyddsbestämmelser som fastställts i lag.

• Sida 47
•  Original

Innan beslut fattas om att förstöra personuppgifter som förs av offentliga myndigheter, skall den möjliga framtida användningen av sådan data undersökas i samråd med arkivmyndigheterna.

Förutom den nu beskrivna rekommendationen finns en särskild rekommendation som tar sikte på medicinska data- banker (Recommendation No R, 81, 1). Enligt denna rekom- mendation krävs information till den enskilde om syftet med in— samlingen vid inhämtande av medicinsk information från denne. Informationen får inte lämnas ut utan samtycke, såvida det inte gäller personer eller enheter inom sjuk- och hälsovård eller medicinsk forskning eller ett utlämnande i övrigt är förenligt med reglerna för läkarsekretess. Den enskilde skall enligt re— kommendationen upplysas om förekomsten av och innehållet i den information som finns lagrad om honom eller henne i medicinska databanker. Eftersom patienten är källan till informationen, är dennes samtycke grunden för användningen av den och bevarandet av patientregister hos läkare eller sjukhusadministration. Denna rekommendation, som Sverige också anslutit sig till, är för närvarande föremål för översyn i en särskild arbetsgrupp inom Europarådets expertkommitté för dataskydd.

Båda rekommendationerna har utformats med hänsyn tagen till uttalanden som gjorts av European Science Foundation år 1980 och 1985, vilka beaktat principer som det internationella for— skarsamhället antagit vid konferenser i Bellagio år 1977 och Köln år 1978.

4.4. Forskningsetiska utredningen

4.4. l Betänkandet

De frågor som rör personregistrering inom forsknings— och Statistikområdena har behandlats i forskningsetiska utredningens betänkande (SOU 1989:74) Forskningsetisk prövning - organisa- tion, information och utbildning.

I utredningen förs fram förslag som man menar dels kan göra datalagen bättre anpassad till forskningens behov, dels Stärka integritetsskyddet för forskningsregister.

I huvudsak innebär förslagen att informerat samtycke kan undvaras i vissa fall, om beslutet om att inrätta ett forsk- ningsregister i stället fattas av en forskningsetisk kommitté.

• Sida 48
•  Original

Datainspektionens tillståndsprövning skulle således upphöra, även om regleringen av forskningsregister i övrigt skulle ske inom datalagens ram.

Utredningen föreslår också en tydlig definition av begreppet forskningsregister enligt följande försök att urskilja olika slag av register:

I Administrativa beslutsregister. Dessa innehåller data som insamlas av myndigheter för att ligga till grund för beslut eller åtgärder rörande enskilda individer. Sådana register är t.ex. in- dividregister inom Sjukvården i form av journaler på vårdcentrals- och kliniknivå, inkassoregister, register inom socialtjänsten.

' Statistikregister. Dessa innehåller data som myndigheter - statistiska centralbyrån, socialstyrelsen, kriminalvårdsstyrelsen m.fl. - ofta kontinuerligt samlar in för statistiska ändamål. Av- sikten är att genom dessa insamlade data kunna ge en så långt möjligt korrekt överblick och beskrivnin av en verksamhet, ett aktuellt läge i samhället liksom att kunna olja utvecklingstrender. Sådana register är t.ex. folk- och bostadsräkningama, kriminal— vårdsregister, cancerregistret och utbildningsregister.

I Forskningsregister eller databaser för forskning. Därmed avses personrelaterade register och databaser för sådan forskning där resultaten redovisas utan att enskilda individers identitet röjs. Många forskningsre ister gäller små grupper och ar av tillfällig karaktär. I andra fal omfattar de många individer och finns kvar under lång tid för att man skall kunna studera utvecklingen 1 s.k. longitudinella studier. Dessa register kan betecknas som "data- baser".

Forskningsregistef/databaser innehåller upp gifter om individer insamlade genom intervjuer och/eller enkäter eller uppgifter hämtade från andra re ister. Uppgifter i forskningsregister/- databaser har inte till sy te att tjäna som underlag för beslut eller andra direkta åtgärder. Det som således karakteriserar en forsk- ningsdatabas/ ett forskningsregister är att uppgifter däri uteslutande används för forskning och att inga uppgifter om enskilda identi- fierbara individer blir offentliga eller på annat sätt förs vidare av forskarna. Eftersom uppgifter om enskilda individer 1 forskning s- databaser/forskningsregister inte används som underlag för beslut avseende åtgärder rörande dessa individer riskerar dessa individer inte att lida skada eller men av att uppgifter om honom/henne finns där. Detta förutsätter givetvis att hanterin en av forsknings- register/databaser följer de stränga regler som öreskriver att data som finns där inte används för något annat ändamål än just forskning.

Enligt forskningsetiska utredningen skall sekretesslagens regler alltjämt tillämpas, vilket bl.a. innebär att administrativa register kan användas för att skapa forskningsregister, men att uppgifter från forskningsregister inte får lämnas till administrativa regis- ter.

• Sida 49
•  Original

Det föreslagna undantaget från tillståndskravet skulle inte gälla alla forskningsregister utan ett begränsat antal registeransvariga som är underkastade offentlighetslagstiftningen enligt följande förslag till ändrad lydelse av 2 a & datalagen. Förslaget innebär att tredje stycket i paragrafen tillförs ytterligare en punkt:

"(Utan hinder av 2 5 andra stycket 1 får) 5. statliga högskole- enheter, statliga forskningsinstitut, statistiska centralbyrån och myndigheter inom hälso- och Sjukvården inrätta och föra person- register som uteslutande används för forskning och där resultaten redovisas utan att enskilda individers identitet röjs, under förut- sättning att informerat samtycke inhämtats från de registrerade eller att registreringen godkänts av forskningsetisk kommitté."

Utredningen diskuterar också frågor om avidentifiering resp. kryptering av register. I fråga om avidentifiering lämnas bl.a. följande beskrivning.

Ett avidentifierat register betraktas däremot inte som ett rson- register. Att ett register är avidentifierat innebär att et inte innehåller namn eller personnummer eller något annat som direkt identifierar en individ. Däremot betraktas det fortfarande som avidentifierat om någon bakvägen, efter ett visst detektivarbete, skulle kunna identifiera en individ genom att sammanställa vissa uppgifter, s.k. bakvägsidentifikation. Teoretiskt är det t.ex. möjligt att bakvägsidentifiera större delen av befolkningen om man har tillgång till följande offentliga uppgifter om en person: ålder, kön, församling och exakt årsinkomst. För att hindra möjligheter till bakvägsidentifikation tar forskare därför i vissa sammanhang bort en del uppgifter, t.ex. församling, eller avrundar inkomst- uppgiftema. Detta beror i så fall på att man iakttar forsknings- etiska regler som forskarna själva ställt upp, inte på att det krävs i datalagen.

När det gäller krypterade register föreslår utredningen att skyldigheten att lämna utdrag enligt 10 & datalagen skulle kunna undvaras i vissa fall genom att sista meningen i paragrafen ges följande lydelse:

"Med undantag för forskningsregister som förs av statliga högskoleenheter, statliga forskningsinstitut, statistiska centralbyrån och myndigheter inom hälso- och Sjukvården och där skyldigheten att lämna utdrag skulle kunna medföra Sänkt integritetsskydd, får underrättelse dock underlåtas endast efter medgivande från

datainspektionen. "

Bakgrunden till förslaget framgår bl.a. av följande redovisning av diskussioner som förevarit mellan SCB och datainspektionen (DI) och utredningens kommentarer i anledning därav:

SCB, som har många statistikregister, har infört ett stort antal skyddsåtgärder för att förbättra sekretessen. En sådan skydds- åtgärd är kryptering, som t.ex. innebär att man, när uppgifterna

• Sida 50
•  Original

väl är insamlade, omvandlar personnumret till ett anonymt informationslöst tal med hjäl av en matematisk formel. Formeln kan konstrueras så att ingen änner till den i sin helhet och själva programmet kan förslutas som en "svart låda" vars innehåll ingen känner.

tering ger enligt SCB praktiskt taget samma informations- sky dP som avidentifierin . Ansvaret för krypteringspro rammet och dess användning sku le dessutom kunna ligga utan ör SCB, t.ex. hos DI. SCB menar dock att det inte är lämpligt att kryptera sådana register där man är skyldig att lämna registerutdrag. Om man betraktade krypterade register på samma sätt som avidenti- fierade register, vilket skulle innebära att de inte var "person— register" i datalagens mening, skulle man inte heller behöva lämna utdrag. Register som är lämpliga att kryptera bör alltså vara sådana där man kan avstå från registerutdrag. Sådana register är, enligt SCB, t.ex. register som består av uppgifter som den en- skilde redan känner till (taxeringsuppgifter) eller sammanställ— ningar av känsliga uppgifter från andra register, där den enskilde i stället kan begära utdrag från de lokala register där uppgifterna hämtats, t.ex. från sjukhus eller myndigheter inom socialtjänsten.

SCB skrev och frågade DI hur man såg å detta. DI svarade att kry tering enligt den metod som SCB ade redovisat gav ett tilltffedsställande skydd. Den skulle medföra att "risken för att någon utomstående får tillgång till personuppgifter i datalagens mening kan anses praktiskt taget eliminerad. Vid bearbetning av ett krypterat register skulle SCB:s egen personal inte kunna se vilka personer uppgifterna avser”. Om SCB lämnade krypterings- nyckeln till en annan myndighet kunde detta ha samma betydelse för SCB:s praktiska hantering som en avidentifiering. Trots detta menade DI att det krypterade registret måste ses som ett person- register enligt datalagen. De registrerades insynsrätt fick inte inskränkas.

Detta resonemang utvecklas närmare i en inom DI upprättad promemoria om personregister och statistik (1988-01-26), som användes som underlag vid styrelsesammanträde i februari 1988 då man tog ställning till SCB:s skrivelse om kryptering. Man kan ifrågasätta, heter det i promemorian, om inte förarbetena skulle kunna tolkas så, att om den registeransvarige lämnar ifrån sig krypteringsnyckeln "för" han inte längre registret i datalagens mening. Det skulle då inte längre vara fråga om ett personregister och han skulle inte vara skyldig att lämna & 10-utdrag. Men mot detta kan man invända:

"För tilltron till integritetsskyddet är emellertid insynsrätten av grundläggande betydelse. Aven om det vore sakligt välmotiverat bör en kursändring därför inte ske genom att DI ändrar sin praxis. Om en sådan ändring anses böra komma till stånd, bör det i stället ske lagstiftningsvägen. "

Detta uttalande skulle kunna tolkas så att DI definierar ett register där krypteringsnyckeln lämnas till någon annan än den registeransvarige som ett personregister och att skyldigheten att lämna & 10-utdrag därför kvarstår. Men en riktigare tolkning är kanske att vända på resonemanget: DI anser att rätten till 5 10— utdrag är så viktig att man därför inte vill definiera denna typ av krypterat register som något annat än personregister, även om det är sakligt motiverat och inte strider mot förarbetena till datalagen. Skall man ändra på detta, måste statsmakterna göra det - DI önskar inte ändra sin praxis. Man kan notera att i direktiven för den nyligen tillsatta utredningen för översyn av datalagen (dir. 1989z26) nämns detta problem i samband med utredarens uppdrag att överväga om det behövs särskilda regler för forsknings- och statistikregistren.

• Sida 51
•  Original

För att garantera rätten till insyn i skyddskrypterade register, måste krypteringen temporärt brytas, framhåller DI 1 sitt svar till SCB. För att inte krypteringen skall behöva bry tas alltför ofta skall dock den registeransvarige inte behöva lämna ut re ister- uppdrag mom en månad, vilket DI 1 vanligt fall rekommen erar - en väntetid på 3-4 månader kan accepteras. "

Slutligen pekar utredningen på behovet av skärpta straffregler och möjligheter att förtydliga straffbestämmelserna när det gäller dels skydd mot s.k. bakvägsidentifiering, varvid också skyddskrypterade register skulle omfattas, dels bedrägligt förfarande i anslutning till registerutdrag enligt 10 & datalagen.

4.4.2. Remissyttranden

I enlighet med regeringens av riksdagen sedermera godkända beslut i propositionen om forskning (1989/90:90, UbU25, rskr. 328) har betänkandet (SOU 1989:74) Forskningsetisk prövning. Organisation, information och utbildning jämte remissyttranden överlämnats till datalagsutredningen.

I föreliggande avsnitt redovisas remissinstansernas inställning till forskningsutredningens förslag vad avser ändringar i datalagen (se avsnitt 8.6.4 1 betänkandet, SOU 1990:61, och 4.4.1).

Yttrande avgavs efter anmodan eller sedan tillfälle beretts dem av, förutom datalagsutredningen, följande myndigheter och organisationer:

Datainspektionen, socialstyrelsen, riksarkivet, universitets- och högskoleämbetet, skolöverstyrelsen, arbetslivscentrum, statistiska centralbyrån, forskningsrådsnämnden, humanistisk- samhällsvetenskapliga forskningsrådet, medicinska forsknings- rådet, naturvetenskapliga forskningsrådet, Sveriges lantbruks— universitet, skogs— och jordbrukets forskningsråd, rådet för medicinsk-etiska frågor, delegationen för social forskning, Riks- dagens ombudsmän, landstingsförbundet, Svenska Läkaresäll- skapet, Svenska statistikersamfundet, Tjänstemännens Central- organisation, Landsorganisationen i Sverige, Statsvetenskapliga förbundet och Sveriges sociologförbund.

Utredningens förslag om att ersätta datainspektionens till- ståndsprövning med beslut av en forskningsetisk kommitté, i de fall informerat samtycke inte föreligger, och att begränsa rätten till utdrag enligt 10 & datalagen har fått ett blandat mottagande.

Oreserverad ställning för förslaget har tagits av social- styrelsen, skolöverstyrelsen, universitets- och högskoleämbetet, medicinska forskningsrådet och Svenska sociologförbundet.

Medicinska forskningsrådet (MFR) anförde exempelvis i denna del följande:

• Sida 52
•  Original

"MFR hälsar med särskild tillfredsställelse förslaget att forsk- ningsregister som förs av universitet och högskolor, statliga forskningsinstitut, statistiska centralbyrån och myndigheter inom hälso- och sjukvården skall undantas från krav på tillstånd av datainspektionen. MFR delar utredarens syn att de forsknings- etiska ommittéema bättre kan bedöma eventuella risker med dataregistrering. MFR instämmer också helt med utredarens up fattning att integritetsskyddet vanligen stärks av att registren ut ormas på ett sådant sätt att skyldighet att lämna registerutdrag ej automatiskt bör föreligga. Enligt MFR:s syn sammanfaller här forskningsintressena med individens krav på integritetsskydd, en syn som också delas av Europarådet. Det är väsentligt att Sverige har regler som överensstämmer med motsvarande regler i övriga Europa, eftersom multinationella register kommer att bli alltmer betydelsefulla för att erhålla snabba forskningsresultat inom många områden."

Universitets- och högskoleämbetet hänvisade i sitt remissyttran- de till att en majoritet av universitet och högskolor i landet i infordrade yttranden var positiv. (Härav var bl.a. Uppsala universitet för förslaget, medan såväl Stockholms som Lunds universitet var emot.)

Statistiska centralbyrån förklarade sig i princip vara för förslaget men ansåg, att datalagsutredningens arbete borde avvaktas vad avsåg begränsningar i 10 & datalagen för statistiska registers del.

Riksarkivet var likaså för utredningens förslag under förut— sättning bl.a. "att inspektionen (får) ge generella föreskrifter och att dessa kompletteras med registerspecifika bestämmelser utfärdade av anslagsbeviljande organ eller direkt av de etiska kommittéerna" .

Positiva till förslagen men med det tillägget att en prövning av etisk kommitté bör ske, även om informerat samtycke före- ligger, var följande: Forskningsrådsnämnden, humanistisk-sam— hällsvetenskapliga forskningsrådet, delegationen för social forskning och Svenska läkaresällskapet.

Vissa remissinstanser har inte uttryckligen tagit ställning till förslaget till ändringar i datalagen men får anses vara positiva till tanken på en utbyggnad av de etiska kommittéerna. Hit hör bl.a. naturvetenskapliga forskningsrådet, Sveriges Lantbruks- universitet, landstingsförbundet och Svenska Statistikersam— fundet.

Tveksamma till förslaget eller motståndare till en ändring med hänvisning till datalagsutredningens pågående arbete var skogs- och jordbrukets forskningsråd — som för övrigt anser att data- inspektionens tillstånd bör krävas, även om informerat samtycke föreligger — rådet för medicinsk-etiska frågor och LO. Även

• Sida 53
•  Original

TCO:s yttrande får tolkas så, att det kan hänföras till denna kategori.

Klart emot förslaget var Riksdagens ombudsmän (JO Hans Ragnemalm) och datainspektionen.

JO anförde vad avsåg förslaget om slopad tillståndsprövning bl.a. följande.

"Jag har ingen invändning mot att tillståndskravet avskaffas vad gäller de fall då informerat samtycke - som detta uttryck uppfattas i betänkandet (s. 118) - inhämtas från samtliga registrerade. Däremot avstyrker jag förslaget att tillstånd av datainspektionen skall ersättas av godkännande av forskningsetisk kommittéi de fall då informerat samtycke av någon anledning ej inhämtats.

Forskning med hjälp av modern datorteknik och med användning av personregister innefattar betydande risker för intrång i enskildas integritet. Detta gäller särskilt i hög grad medicinsk och beteendevetenska lig samt i viss utsträckning samhällsvetenskapli g och humanistisk orskning. Ett effektivt sätt att värna om enskilda människors integritet, när fråga uppkommer om deras deltagande som försökspersoner i forskningsprojekt eller om utnyttjande av datorbaserade personregister, är att upprätthålla krav på in- formerat samtycke från den enskildes sida. Detta krav har i själva verket central betydelse för skyddet mot otillbörligt integritets- intrång. Därför bör enligt min uppfattning krav på informerat samtycke från samtliga berörda enskilda i princip u prätthållas generellt; för undantag bör krävas att synnerliga skäl) föreligger med hänsyn till forskningsuppgiftens angelägenhetsgrad och svårigheten att inhämta informerat samtycke. I dessa undantagsfall är det inte lämpligt att prövningen anförtros ett organ, i vilket forskare utgöra ca tre fjärdedelar av ledamöterna. Som utredaren framhåller (s. 156) får etikgranskningen inte betraktas bara ur forskarsamhällets eget pers ektiv. Det torde finnas en risk för att de som själva sysslar med orskning kan vara benägna att särskilt starkt betona vikten av att ett planerat forskningsprojekt kommer till utförande, och att de därmed tonar ned riskerna från inte- gritetsskyddssynpunkt. För undvikande av denna risk förordar jag, att för inrättande av datorbaserat forskningsregister även fortsätt- ningsvis skall krävas tillstånd av datainspektionen, om inte informerat samtycke inhämtats från samtliga berörda. Det kan vara lämpligt, att datainspektionen i sådana tillståndsärenden in- hämtar yttrande från forskningsetisk kommitté. Lagtekniskt skulle den av mig förordade ändringen av utredarens författningsförslag (femte punkten i 2 a & tredje stycket datalagen) innebära, att de avslutande orden "eller att registreringen godkänts av forsk- ningsetisk kommitté" utgår. "

I fråga om begränsning av utdragsrätten anförde JO:

"Utredaren föreslår, att undantag skall införas från skyldigheten för den registeransvarige att på ansökan lämna registerutdrag enligt 10 & datalagen, vad gäller forskningsregister som förs av vissa statliga och landstingskommunala myndigheter, om skyldig- heten att lämna utdrag ”skulle kunna medföra sänkt integritets- skydd” (s. 123). Utan att detta uttryckligen sägs i betänkandet synes avsikten vara, att det ankommer på den registeransvarige att avgöra, om skyldighet att lämna utdrag kan anses medföra försvagat integritetsskydd.

• Sida 54
•  Original

Detta förslag avstyrks, eftersom den enskildes rätt till kontroll av vilka uppgifter om honom själv som finns registrerade i datorbaserade personregister är viktig från integritetsskydds- synpunkt, inte minst mot bakgrund av det förhållandet, att registrering av känsliga uppgifter under vissa förutsättningar avses tillåtas även utan inhämtande av informerat samtycke. Den enskildes rätt till insyn i och kontroll av uppgifter i forsknings- registren beträffande vederbörande själv bör ingalunda försvagas. Sådan insynsrätt kan inte i sig med fog påstås medföra försämrat integritetsskydd. Tekniska svårigheter för re isterhållaren att förena ett gott skydd för känsliga personuppgifter (t.ex. genom skyddskrycptering) med skyldigheten att på begäran utfärda registerut rag enligt 10 & datalagen utgör inte ett godtagbart skäl för den förslagna urvattningen av den enskildes rätt till 1nsyn och kontroll. Den föreslagna förändringen skulle dessutom sannolikt medföra ökad risk för misstro från allmänhetens sida mot forskning med hjälp av datorregistrering av personuppgifter, något som i förlängningen kan leda till negativa konsekvenser för forskningen. "

Datainspektionen (DI) yttrade i fråga om förslaget om undantag från tillståndsplikten, sedan inspektionen redovisat det arbete som lett fram till det förenklade ansökningsförfarandet för forskningsregister, bl . a.:

"Ett tillståndsbeslut enligt det förenklade förfarandet innebär att ett antal villkor som anges i författningen skall gälla som föreskrifter för forskningsregistret. Villkoren avser bl.a. ändamålet med registret, registrets innehåll, underrättelse till berörda personer, samtycke från berörda, bevarande och skyldighet att föra en särskild förteckning över register som inrättats enligt författ- ningen.

Det framstår som alldeles självklart att personregister för forsk- ningsändamål oftast - även om de bygger på informerat samtycke från de registrerade - innehåller så integritetskänsliga uppgifter att de bör förenas med villkor och föreskrifter av de slag som har nämnts här.

Det sagda innebär att DI kan tillstyrka förslaget att undanta forskningsregister som grundar sig på informerat samtycke från datalagens tillståndskrav, endast om förslaget kombineras med närmare villkor om vad som skall gälla för re istren antingen i lagform eller genom att DI ges rätt att utfär a generella före— skrifter för sådana register.

DI avstyrker däremot bestämt förslaget att från datalagens tillståndskrav undanta forskningsregister som upprättas inom ramen för forskningsprojekt som godkänts av forskningsetisk kommitté men inte bygger på informerat samtycke. Genomförs förslaget kommer en stor del av forskningsregistren att föras över huvudet på allmänheten. Det finns också risk för en omfattande okontrollerad spridning av känsliga administrativa uppgifter som använts i forskningssammanhang. DI befarar att allmänhetens förtroende för forskningen härigenom kommer att allvarligt skadas. Metropolitdebatten ger belägg för detta. Det låter sig inte heller göras att kombinera förslaget med närmare villkor vad som skall gälla för registren utan en omfattande utredning. DIS handläggningspraxis visar nämligen att det endast beträffande register som grundar sig på informerat samtycke utkristalliserat sig en enhetlig praxis. Skälet är att dessa register i regel är mycket olika varandra och att det i det enskilda fallet måste få

• Sida 55
•  Original

avgöras vilka föreskrifter som är erforderliga för att förebygga otillbörligt intrång i den personliga integriteten."

När det gäller ändringen av 10 å datalagen ansåg inspektionen följande:

"Utredaren föreslår att den som ansvarar för ett forskningsregister i fortsättningen inte skall vara skyldig att lämna registerutdrag i sådana fall där denna skyldighet skulle kunna medföra sänkt integritetsskydd. Utredaren motiverar sitt förslag med att ut- dragsskyldigheten medför en försämring från integritetssynpunkt genom att utdragsmöjlighetema skulle skapa risker för obehöriga uttag. Utredaren bygger här sitt resonemang på felaktig grund och blandar ihop säkerhet och integritet. Föreligger risker att ut- dra smöjlighetema missbrukas, är det givetvis säkerheten som ska l förbättras.

Paragrafen i datalagen om enskildas rätt till insyn anses som en av de viktigaste. Konstitutionsutskottethar betonat vikten av att DI och de registeransvariga informerar allmänheten om insynsrätten och underlättar för de enskilda att utnyttja den (prop. 1978/79: 109 s. 25 , KU 1980/81:9 s. 9). Rätten för den enskilde att få veta om han förekommer i ett visst personregister och vad som i så fall finns noterat om honom är grundläggande för integritetsskyddet. Genom insynsrätten ges den enskilde rätt att få oriktiga och missvisande uppgifter rättade. Därigenom höjs också datakvalitet- en i forskningsregistren.

En inskränkning av insynsrätten går i motsatt riktning mot den lärdom debatten kring Metropolitprojektet bort föra med sig och som utredaren själv understryker i andra sammanhang, nämligen öppenhet och korrekt information.

I direktiven till datalagsutredningen sägs att ett centralt inslag i datalagens regelsystem är principen om rätt till insyn i person- register för de registrerade. Det sägs vidare att denna princip alltjämt bör gälla, men att det kan finnas anledning att överväga dess närmare reglering. Att nu föregripa datalagsutredningens förslag är olämpligt.

Mot bakgrund av det anförda avstyrker DI bestämt utredarens förslag att inskränka insynsrätten."

Datalagsutredningen yttrade för egen del att dess arbete borde avvaktas innan ändringar i datalagen övervägdes.

4.5. Överväganden

4.5.1. Allmänna utgångspunkter

Datalagen innehåller, som framgått, inte några särbestämmelser vad avser personregister för forskningsändamål. Med forsk- ningsregister brukar i allmänhet avses personregister som inrättas och förs för vetenskapliga ändamål och där syftet inte

• Sida 56
•  Original

är att de personuppgifter som ingår i registret skall utgöra underlag för beslut eller administrativa åtgärder. Resultatet av den forskning vari personregistreringen ingår redovisas som regel utan att uppgifterna om den enskilda individen blir kända.

Inom ramen för nuvarande ordning krävs alltid tillstånd av datainspektion för att ett personregister för forskningsändamål skall få inrättas. (Se avsnitt 4.2).

I sin tillståndsprövning går inte inspektionen närmare in på det vetenskapliga ändamålet i sig. Att pröva behovet av ett visst forskningsprojekt eller användning av en viss metod anser inspektionen faller utanför inspektionens behörighet. Däremot fäster naturligtvis inspektionen stor vikt vid möjligheten att i det enskilda fallet genom villkor begränsa integritetsintrånget. Som framgått av redovisningen ovan (avsnitt 4.2) spelar därvid förekomsten av informerat samtycke en stor roll.

Datainspektionen har nyligen antagit ett förenklat ansöknings- förfarande för tillståndsprövningi de fall sökanden är en statlig forskningsinrättning eller rektorsämbetet vid ett universitet eller en högskola. Förfarandet bygger bl.a. på att uppgifterna inhämtas från den registrerade genom enkät eller intervju först sedan denne informerats om vissa förhållanden och därefter frivilligt lämnat uppgifterna eller medgett att dessa inhämtas från någon annan källa. Enligt förfarandet skall information lämnas om följande: registrets ändamål och innehåll, vilka uppgifter som skall bearbetas med hjälp av ADB, vilka upp- gifter som skall inhämtas från andra källor än den registrerade och vilka dessa källor är, hur länge myndigheten planerar att föra registret, innebörd och omfattning av sekretesskyddet, den registrerades rätt till utdrag enligt 105 datalagen och vad riksarkivet kan ha beslutat i fråga om registrets bevarande hos riksarkivet samt att registreringen är frivillig.

När det gäller statistikregister har inspektionen, som nämnts, likaledes föreskrivit ett förenklat förfarande som bygger på informerat samtycke. Behörig sökande i de fallen är statistiska centralbyrån (SCB). Den information som skall lämnas innan uppgifter inhämtas från den registrerade är i stort sett likadan som den som krävs vid forskningsregistrering.

Det kan anmärkas att statistikregelutredningen (se avsnitt 4.2) i sitt lagförslag angett, att den enskilde själv bestämmer om uppgifter för statistiska ändamål skall lämnas eller inte, "om inte skyldighet att lämna uppgifter föreskrivs i denna eller annan lag" (se 4 5 i förslaget till lag om den statliga statistikframställ— ningen). Enligt förslaget skall uppgiftsskyldighet åvila enskild (varmed förstås också juridisk person) som bedriver närings- verksamhet eller äger fastighet av viss beskaffenhet för upp-

• Sida 57
•  Original

gifter om finansiella och ekonomiska transaktioner och för— hållanden, arbets- och miljöförhållanden, utbildning, forskning och utveckling, handel, priser, lagerhållning, fastigheter, byggnader och lägenheter. Skyldigheten att lämna uppgifter skall dock inte föreligga för förhållanden som är mer än tre år gamla (6-7 åå).

I vilken form samtycket skall lämnas finns inte närmare reglerat i nuvarande bestämmelser. I många fall torde samtycket följa av s.k. konkludent handlande, dvs. att den enskilde medverkar exempelvis genom att lämna de begärda uppgifterna.

Skillnaden mellan de båda slagen av personregister är i de förenklade förfarandena beskriven så, att ändamålet med personregistrerin g för vetenskapliga undersökningar angetts vara framställning av statistik i forskningssyfte, medan ändamålet för statistikregistreringen angivits till enbart framställning av statistik. I båda fallen ingår således framställning av statistik som en väsentlig faktor.

När forskningsregister i det följande behandlas avses också, om inte annat sägs, statistikregister.

Kravet på att personregistrering för vetenskapliga ändamål eller för enbart statistiska syften, när den enskilde lämnar upp— gifterna, får ske endast efter informerat samtycke är i full överensstämmelse med den rekommendation på området som antagits av Europarådet och som Sverige har ställt sig bakom (se avsnitt 4.3).

Enligt rekommendationen ges endast ett undantag från kravet på informerat samtycke. Det gäller i det fall samtycke har lämnats för inhämtande av uppgifter för ett visst forsknings- ändamål och uppgifterna därefter önskas användas för ett forskningsändamål som påtagligt skiljer sig från det ursprung— liga projektets syfte eller natur. Enligt rekommendationen får den ursprungligen gjorda registreringen användas också i det senare fallet utan att nytt samtycke inhämtas, om det skulle te sig opraktiskt med hänsyn till tidsåtgång eller det stora antalet personer som berörs att informerat samtycke inhämtas och om skyddsbestämmelser för dessa fall anges i lag. I de kommen— tarer som gjorts i anslutning till rekommendationen från Europarådets sida anges, att de villkor eller föreskrifter som i lag bör anges för de fall som nu har nämnts bör säkerställa en likvärdig grad av skydd för den enskildes integritet. Som exem— pel anges det tillstånd som lämnas av en datatillsynsmyndighet eller den prövning som kan göras av särskilda organ som inom forskarsamhället skapats för ändamålet.

Härtill kommer att rekommendationen innehåller en del bestämmelser som bl.a. tar sikte på fall då uppgifter inhämtas

• Sida 58
•  Original

från annan än den registrerade själv. (Se avsnittet "register— forskning" i 4.5.6 nedan).

Den möjlighet som enligt rekommendationen finns att i vissa fall genom inhemsk lag föreskriva undantag från olika villkor i bestämmelserna reser frågan vilken författningsform ett sådant undantag bör ha. Användningen av uttrycket lag ("law") i rekommendationen torde inte innebära att ett undantag kan föreskrivas endast direkt genom "lag" i den svenska regerings- formens mening. Den inhemska konstitutionella nivån bör nämligen enligt vad som är brukligt vid tolkningen av inter- nationella åtaganden inte vara avgörande. Det innebär att förskrifter som meddelas av regeringen i en förordning eller av exempelvis datainspektionen efter bemyndigande i lag också torde uppfylla rekommendationens krav på att vara meddelade i lag ("law"). Vad som däremot skulle falla utanför "lagkravet" torde vara enskilda beslut, exempelvis villkor i ett enskilt ärende, som meddelas av en myndighet. För att tillgodose kravet på "lag" bör nämligen ett undantag meddelas som en generell norm, varigenom bl.a. vedertagna rättssäkerhetskrav som exempelvis förutsebarhet och likformighet blir tillgodo- sedda.

Forskningsetiska utredningen har, som framgått av avsnitt 4.4, för sin del ansett att en prövning i särskilda forsknings- etiska kommittéer i vissa fall kan ersätta datainspektionens tillståndsprövning, om informerat samtycke inte föreligger.

I datalagsutredningens skiss (SOU 1990:61) till ett framtida tillsynssystem, som skall ersätta den nuvarande tillståndspröv— ningen, finns i ett särskilt avsnitt (8.6.4) angivet hur systemet skulle kunna tillämpas inom forskningens och statistikens område. I korthet innebär det att personregistrering inom forsknings- och statistikområdet skulle normeras och att känsliga register inom det normerade området skulle anmälas till data- inspektionen. Forskningsregister som föll utanför det i förväg reglerade området skulle alltid anmälas, medan register för personligt bruk inte i något fall skulle kräva anmälan. De regler som i materiellt hänseende närmare skulle gälla för registren finns dock inte behandlade i betänkandet.

En väsentlig utgångspunkt vid personregistrering inom forsk- nings— och statistikområdet är att integritetsskyddet utformas med beaktande av de behov som forskningen och statistikfram- ställningen kan ha. En sådan avvägning avspeglas i den rekommendation som på området antagits av Europarådet, där den enskilde enligt huvudregeln själv avgör i vilken utsträckning uppgifter om honom eller henne skall lämnas. Endast i fråga om fall där uppgifterna skall användas för ett annat forskningssyfte

• Sida 59
•  Original

än det ursprungliga bör avkall på kravet på informerat samtycke kunna göras. Enligt rekommendationen bör dessa undantags— situationer, som framgått, kunna prövas av en tillståndsgivande myndighet eller ett särskilt forskningsorgan efter riktlinjer som närmare anges i lag.

Enligt utredningens mening bör kravet på informerat samtycke även framdeles utgöra utgångspunkten för omfattningen av personregistrering på forsknings- och statistikområdet. Den närmare regleringen av de villkor som bör uppställas för att informerat samtycke skall anses föreligga bör kunna utformas med utgångspunkt i Europarådets rekommendation och i huvudsak i enlighet med de verkställighetsföreskrifter som datainspektionen har antagit på området inom ramen för det nuvarande förenklade ansökningsförfarandet.

Ytterligare en utgångspunkt för den framtida regleringen av forskningsregister bör vara att den, som redan antytts i utred— ningens tidigare betänkande (avsnitt 8.6.4 i SOU 1990:61), kan inordnas i ett framtida tillsynssystem, där datainspektionens tillståndsprövning har upphört. Det reser vissa frågor om de närmare villkoren för personregistrering inom forsknings- och statistikområdet och vilka lagtekniska lösningar som bör väljas.

Frågan om statsmaktsregister, dvs. register om vars inrättande regeringen eller riksdagen beslutar, föreslås enligt utredningen bli reglerad på samma sätt som i dag (se avsnitt 8.7 i betänk- andet). Det innebär att inspektionens roll huvudsakligen begränsas till att yttra sig, motta anmälan och kontrollera efterlevnad av lagen eller förordningen i fråga, medan möjlig- heten att besluta villkor för registret är begränsad. Det gäller även om det statsmaktsregister som avses är att anse som ett forsknings— eller statistikregister. Den reglering som sker i statsmaktsregister lämnas därför utanför den fortsatta redovis- ningen. (Ett exempel på en nyligen antagen registerlag på forsknings- och statistikområdet utgör lagen, 1989:329, om en folk- och bostadsräkning år 1990, prop. 1988/89:12], FiU 24, rskr. 258).

De överväganden som datalagsutredningen redovisar för forskningsregister i allmänhet har, som framgått, relevans också för personregister som enbart syftar till framställning av statistik.

I följande avsnitt diskuteras närmare hur en anpassning till ett tillsynssystem bör kunna ske och de särskilda frågor som därvid uppstår.

• Sida 60
•  Original

60 SOU 1991:21 4.5.2 Anpassning till ett tillsynssystem

Det av utredningen föreslagna tillsynssystemet bygger på att huvuddelen av personregisteranvändningen framgent kan regleras genom de föreskrifter som datainspektionen kan komma att meddela för skilda branscher och sektorer. Endast de register inom detta normerade område som innehåller uppgifter av mera känsligt slag (jfr 4 och 6 55 datalagen) eller uppgifter om personer utan anknytning till den registeransvarige skall anmälas till inspektionen.

Alla register som faller utanför det normerade området - och som inte kan hänföras till kategorin register för personligt bruk - (övriga register) skall anmälas.

Datainspektionen skall skärpa sin tillsyn och inrikta sin in- spektionsverksamhet mot framför allt de register som anmäls och i övrigt kontrollera genom stickprov inom skilda områden. I tillsynsverksamheten skall inspektionen kunna få viss hjälp av myndigheter som har ett tillsynsansvar inom området.

Tillståndsprövningen skall helt upphöra, men inspektionen skall i samband med att anmälan görs kunna pröva om register som faller utanför det normerade området bör förses med särskilda villkor eller undantagsvis förbjudas.

De närmare frågor och villkor som behöver övervägas för en anpassning av forskningsregistreringen till ett framtida till— synssystem är

I bestämningen av begreppet forskningsregister (4. 5.3), I betydelsen av avidentifiering (4.5.4),

' undantag från kravet på informerat samtycke (4. 5. 5), ! registerforskning (4.5. 6),

' sambearbetning (4.5. 7),

' anmälningsskyldighetens omfattning (4. 5. 8),

' tillsynens utövande (4. 5.9),

! kryptering (4.5.10) och

I vissa lagtekniska frågor (4. 5.11).

Envar av dessa frågor behandlas i följande avsnitt.

• Sida 61
•  Original

SOU 1991:21 61 4.5.3 Bestämningen av begreppet forskningsregister

Med forskningsregister bör i förevarande sammanhang förstås personregister som innehåller personuppgifter vilka används för vetenskapligt ändamål. I enlighet med utredningens i det tidigare betänkandet framlagda förslag att knyta bestämningen av begreppet personregister hårdare till ändamålet (se avsnitt 8.3 i delbetänkandet) är det utan betydelse om uppgifterna finns lagrade i traditionella dataregister (filer) eller i databaser eller med någon annan ADB-teknik.

Utanför begreppet forskningsregister faller därför den person- registrering som kan förekomma på forskningsinstitutioner eller i andra forskningssammanhang, men där syftet med registrering— en primärt är ett annat än att uppgifterna skall användas för ett vetenskapligt arbete. Hit hör exempelvis de administrativa register som används i arbetet för att handlägga löne- och personalfrågor. De administrativa register som finns hos myn- digheter eller institutioner inom social-, hälso- eller sjukvården och som utgör underlag för beslut eller åtgärder som rör enskilda individer faller också utanför bestämningen forsknings— register, eftersom ändamålet också här är ett annat än forskning.

Skulle emellertid i ett vetenskapligt syfte uppgifter hämtas ur sådana administrativa register för vidare elektronisk eller annars automatisk bearbetning, uppstår naturligtvis ett forsknings— register. Jfr avsnittet "registerforskning" nedan.

Den övergripande frågan huruvida ett register överhuvudtaget har en vetenskaplig koppling får avgöras främst med hänsyn till vem som är registeransvarig, men även andra kriterier kan komma i fråga.

Den verksamhet som bedrivs vid etablerade institutioner såsom de statliga högskoleenheterna och statliga forsknings— instituten hör självfallet hit, liksom den forskning som kan bedrivas inom hälso- och sjukvården i den kommunala sektorn. Å andra sidan bör såsom "forskning" inte anses varje verksam— het som betecknas som sådan av exempelvis samhällsplanerande allmänna organ.

Även privata forskningsinstitutioner bör räknas till dem som anses kvalificerade som forskningsorgan, om det saknas anledning att betvivla den vetenskapliga inriktningen av verksamheten. I tveksamma fall kan frågor om finansiering och den vetenskapliga bakgrunden hos den projektansvarige eller annars uppgivne forskaren ha betydelse för en bedömning härvidlag.

Det bör dock understrykas att det inte i första hand är en fråga för datainspektionen att göra bedömningar av vad som kan

• Sida 62
•  Original

räknas till forskning. I ett framtida tillsynssystem är det dock ofrånkomligt att frågan i samband med en granskning av en anmälan eller vid exempelvis en institutions- eller företags— kontroll kan komma upp huruvida ett visst register skall anses vara forskningsregister eller inte. Detta får då bedömas med ledning av bl.a. de anknytningsfaktorer som nyss nämnts, dvs. främst institutionstillhörighet, finansiering och den projekt- ansvariges eller enskilde angivne forskarens vetenskapliga meriter.

Datainspektionen bör i tveksamma fall samråda med de etablerade forskningsorgan som finns på området. Förutom fakultets- eller institutionsstyrelser kan härvid de statliga forskningsråden komma i fråga, dvs. medicinska forsknings- rådet, humanistisk—samhällsvetenskapliga forskningsrådet, naturvetenskapliga forskningsrådet, skogs- och jordbrukets forskningsråd samt det nyligen inrättade socialvetenskapliga forskningsrådet.

Lika lite som för närvarande bör det i princip ankomma på datainspektionen att granska den vetenskapliga inriktningen.

4.5.4. Betydelsen av avidentifiering

Med avidentifiering avses att namn eller varje annan beteckning som är direkt hänförlig till den enskilde avlägsnas. Avidentifie— ringen är således en form av gallring. Genom att uppgiften förlorar sin karaktär av att kunna hänföras till en enskild person föreligger inte heller en sådan uppgift som kan konstituera ett personregister. Med anonymisering brukar man beteckna såväl begreppen avidentifiering som kryptering (se avsnitt 4.5.10).

I såväl Europarådskonventionen (se avsnitt 7.1 i SOU 1990:61) som i EG—direktiven (se avsnitt 2.2) finns vissa definitioner som är av betydelse när det gäller begreppet avidentifiering.

Enligt konventionen (art 2) avses med personuppgift ("per- sonal data") all slags information som kan hänföras till en identifierad eller identifierbar individ.

Denna definition återfinns även i EG—direktiven (art. 2) men med följande tillägg: "En identifierbar individ är särskilt en individ som kan identifieras med ledning av ett identifierings- nummer eller en liknande identifieringsenhet. "

Direktiven innehåller också i samma artikel en definition av avidentifiering ("depersonalize") som saknas i konventionen: " . .. att ändra personuppgifter på ett sådant sätt att den information som finns inte längre kan knytas till en särskild individ eller en individ som kan fastställas endast till priset av en alltför stor

• Sida 63
•  Original

insats i fråga om arbetskraft, kostnader och tid. " I kommentaren till denna definition sägs bl.a. att en uppgift kan betraktas som avidentifierad även om den teoretiskt kan återidentifieras med hjälp av oproportionerliga tekniska och finansiella resurser.

I rekommendationen (se avsnitt 4.3) anges att en person inte bör anses som identifierbar, "om identifieringen kräver en orimlig mängd tid, kostnad och arbetskraft."

Den syn på återidentifiering som på detta sätt kommit till uttryck torde delas av flertalet av de europeiska dataskydds- myndigheterna. Det innebär att den svenska datainspektionens praxis (se nedan) på området, i vart fall från tidigare år, synes något strängare än den i Europa i övrigt gängse tillämpningen av begreppet återidentifiering eller s.k bakvägsidentifikation.

Teoretiskt kan det vara möjligt att i vissa fall genom s.k. bakvägsidentifikation, även efter en företagen avidentifiering, identifiera en viss person. Detta kan ske exempelvis genom att vissa uppgifter av offentlig natur, såsom ålder, kön, församling och årsinkomst är kända och efter en sammanställning gör identifieringen möjlig eller att andra karakteristika såsom en utvald grupps ringa storlek eller en angiven säregen händelse möjliggör att uppgifterna knyts till en viss enskild person. I samband med införandet av tillståndssystemet i datalagen år 1973 ansågs också register, där alla identifikationsmöjligheter helt och hållet eliminerats, böra falla utanför kravet på tillstånd, även om man av en ren tillfällighet skulle kunna identifiera en viss person med hjälp av andra registrerade uppgifter (se prop. 1973:33 s. 118). Datainspektionen har i sin praxis ställt höga krav på att bakvägsidentifikation inte skall var möjlig för att avidentifiering skall anses föreligga.

Enligt utredningens mening bör avidentifierade personregister inte anses vara personregister i datalagens mening, så länge en bakvägsidentifiering är möjlig endast efter en omfattande, kostsam eller tidskrävande arbetsinsats. Denna lösning överens- stämmer också med den begreppsbestämning som finns i vissa dataskyddslagar utomlands och i bl.a. Europarådsrekommen- dationen.

Det innebär att ett en gång avidentifierat register förlorar sin karaktär av personregister och uppgifterna däri kan användas utan att de särskilda integritetsskyddande bestämmelserna i datalagen eller i författning som har utfärdats av datainspek— tionen blir tillämpliga. Från ett sådant avidentifierat register skall skiljas register, där personuppgifterna dolts genom kryp- tering. Till denna fråga återkommer utredningen (se avsnitt 4.5.10 nedan).

• Sida 64
•  Original

64 SOU 1991:21 4.5.5 Undantag från kravet på informerat samtycke

Som nämnts bör en utgångspunkt vara att forskningsregister inte får inrättas utan att den registrerades samtycke först har inhämtats. Reglerna för hur information bör ges bör kunna utformas i överensstämmelse med vad som nu finns intaget i inspektionens föreskrifter (se avsnitt 4.2, jfr EG-direktiven på denna punkt, art. 12).

Det är angeläget att det av reglerna också framgår i vilken utsträckning samtycke kan lämnas av ställföreträdare eller annan än den berörde personligen. I Europarådets rekommendation understryks vikten av att särskild uppmärksamhet ägnas fall där den berörde själv - på grund av t.ex. ålder eller sjukdom - har svårigheter att ta tillvara sina intressen.

Forskningsetiska utredningen har diskuterat om samtycke skall kunna lämnas också genom en företrädare för en organisation som den berörda personen är ansluten till, dvs. närmast en facklig organisation. Denna form av samtycke genom ombud är emellertid svår att förena med rekommendationens krav, för såvitt inte ombudets behörighet framgår av lag eller avtal. Några sådana lagbestämmelser finns för närvarande inte, förutom de allmänna familjerättsliga bestämmelserna om ställföreträdare (förmyndare, god man och förvaltare).

Enligt datalagsutredningens mening är det däremot inte lämpligt att generellt lagfästa en rätt för en organisation att i fråga om personligt integritetsskydd företräda den enskilde. Det är dock denne obetaget att genom avtal, exempelvis i en särskild klausul i ett annat anställningsavtal än kollektivavtal, överlåta rätten till samtycke till annan.

Möjligheten att helt ge avkall på informerat samtycke bör enligt Europarådsrekommendationen, som nämnts, finnas i de fall uppgifter som inhämtas för ett forskningsändamål avses användas för ett annat vetenskapligt syfte än det ursprungliga under närmare angivna förhållanden.

Dessa förhållanden bör enligt utredningen preciseras närmare. Datainspektionen upprätthåller i sin nuvarande praxis i till- ståndsärenden så gott som undantagslöst kravet på att informerat samtycke skall föreligga när det inte gäller registerforskning (se nedan). Även i de fall den enskilde själv lämnar uppgifterna bör - vid användning av personuppgifterna för ett nytt forsknings- ändamål - samtycke enligt utredningens mening kunna avvaras i viss, mycket begränsad omfattning. Utredningen avser följande två fall och under villkor som i viss mån knyter an till in- spektionens praxis, när undantag har gjorts från huvudregeln om informerat samtycke.

• Sida 65
•  Original

Om det skulle vara kostsamt eller tidsödande att inhämta förnyat samtycke för ett nytt forskningsändamål från dem som lämnat samtycke för en viss registrering, bör samtycke kunna undvaras, under förutsättning att det nya syftet är sådant att man kan anta att de registrerade, om de tillfrågades, inte hade någon invändning mot inrättandet av det nya forskningsregistret.

Det andra fallet där informerat samtycke kan undvaras bör vara, där den registrerades hälsotillstånd eller forskningssyftet är sådant att förnyad information skulle kunna riskera att skada den som informerades. Ett undantag i detta hänseende bör dock gälla endast, om inte samtycke kan inhämtas från någon som kan anses företräda denne i saken, exempelvis en förvaltare eller god man.

Det åligger den som önskar utnyttja uppgifterna för ett nytt forskningsändamål att se till att villkoren för samtycke är uppfyllda, om denne varit ansvarig för inhämtandet av de ursprungliga uppgifterna. (De fall där uppgifter för forsknings- ändamål hämtas ur befintliga register i övrigt behandlas nedan i avsnittet registerforskning). Genom den anmälningsskyldighet som utredningen har föreslagit skall finnas för uppgifter av mera känsligt slag (se avsnitt 4.5.2) kommer datainspektionen att kunna uppmärksammas på förhållandena och ges tillfälle att ingripa.

För att undvika att undantagsfallen aktualiseras bör givetvis de som avses bli registrerade redan vid första tillfället tillfrågas om sin inställning till de forskningssyften som kan förutses komma i fråga.

4.5 .6 Registerforskning

Vid såväl forskning som insamling av uppgifter för enbart statistiska ändamål förekommer det att information om den enskilde hämtas ut redan befintliga register eller uppgifts- sammanställningar. I vårt land och i de övriga nordiska länderna är sådan s.k. registerforskning vanlig. En förklaring till detta är den jämförelsevis goda tillgången på sådan infor- mation hos myndigheter och andra i dessa länder. I Sverige underlättas forskningen också av bestämmelserna om handlings— offentlighet för uppgifter hos myndigheter. Vidare bidrar den utbredda användningen av personnummer till att göra person- uppgifter mera lätt tillgängliga här. Registerforskningen som metod har lett till goda resultat, bl.a. inom cancerforskningen, och har även rönt internationell uppmärksamhet.

Som redan har nämnts bör utgångspunkten vid en reglering av personregistrering på forsknings- och statistikområdet vara att

• Sida 66
•  Original

forskningens och statistikframställningens behov tillgodoses, men att detta bör ske inom ramen för den rekommendation på området som Europarådet antagit och Sverige ställt sig bakom.

Bestämmelserna bör dock inte utformas så, att registerforsk- ningen onödigtvis försvåras. Skulle kravet på informerat samtycke, som diskuterats i föregående avsnitt, undantagslöst upprätthållas, fick de nuvarande rutinerna i stor utsträckning ändras, eftersom det mera sällan förekommer att den som lämnat uppgifter till någon myndighet, ur vars register inform- ation för forsknings- eller statistikändamål sedermera hämtas, har lämnat sitt samtycke till uppgiftens vidare användning för angivet ändamål.

I datainspektionens praxis finns vissa normer utvecklade som kan sägas särskilt ta sikte på registerforskning.I den informa- tion, som enligt datainspektionens nuvarande föreskrifter på området (se avsnitt 4.2) skall föregå ett beslut av den enskilde att lämna personuppgifter för forsknings— och statistikregistre- ring, skall regelmässigt lämnas upplysning om vilka uppgifter som skall inhämtas från andra källor än den registrerade och vilka dessa källor år. Även om inspektionen intar den principi- ella ståndpunkten att information alltid skall ges till dem som registreras och att praktiska olägenheter och kostnader normalt inte bör föranleda att informationskravet efterges ens när uppgifter inhämtas på annat sätt än genom enkät eller intervjuer, anser inspektionen dock att vissa avsteg härifrån ijust de fallen kan behöva göras.

Inspektionen medger mot denna bakgrund att samtycke kan undvaras vid registerforskning i följande fall, nämligen när

' hälsotillståndet hos den som skall registreras gör det svårt att informera på vanligt sätt,

I det kan anses oetiskt att ta kontakt med den som skall registreras eller

! när informationen skulle förrycka undersökningens resultat.

I fråga om stora populationer och om det är klart att de som avses bli registrerade kan förväntas vara positiva, anser inspektionen vidare att individuellt samtycke kan ersättas med anslag eller annonser.

I de fall informationskravet har eftergetts beslutar inspek- tionen, som nämnts, dock regelmässigt om en begränsning till tiden för registrets förande och att avidentifiering eller för- störelse därefter skall ske.

• Sida 67
•  Original

Även med beaktande av de i vårt land relativt goda möjlig- heterna att ur allmänna handlingar hämta uppgifter för forsk— nings— eller statistikändamål sätter sekretesslagens (1980:100) bestämmelser också gränser till skydd för den enskildes integritet.Dessa gränser är dock inte absoluta när det gäller möjligheterna att för forskningsändamål få tillgång till hemliga uppgifter. I förarbetena till sekretesslagen sägs i denna del bl.a. följande (prop. 1979/80:2 s. 347):

"Ar den efterfrågade upp iften hemlig enligt en sekretessbe- stämmelse som upptar ett s aderekvisit,t0rde mycket ofta utläm- nande kunna komma till stånd utan beaktansvärd risk för skada. Ar mottagaren offentlig institution eller tjänsteman, följer sekretessen uppgiften enligt 13 kap. 3 5 i lagen. Enskild forskare kan åläggas tystnadsplikt med stöd av 14 kap. 9 &. Saknas skaderekvisiti sekretessregeln, kan forskningens behov tillgodoses genom särskilda författningsföreskrifter. Forskningen kan i vissa fall tänkas få tillgång till uppgifter också med tillämpning av regeln i 14 kap. 3 5 om utlämnande av sekretessbelagda uppgifter myndigheter emellan. "

Härtill kommer den allmänna möjlighet till dispens som föreskrivs i 14 kap. 8 & sekretesslagen:

Regeringen får, förutom när det särskilt anges i bestämmelse om sekretess, för särskilt fall förordna om undantag från sekretess när det är påkallat av synnerliga skäl.

Det kan i detta sammanhang erinras om att ett förslag lades fram av data-och offentlighetskommittén (se SOU 1986124) om att sekretess enligt 7 kap. 1 & sekretesslagen (sekretess inom hälso- och sjukvården för uppgift om enskilds hälsotillstånd eller andra personliga förhållanden) inte skulle hindra att uppgift lämnades till socialstyrelsen,landstingskommun eller en kommun som inte ingick i landstingskommun,om uppgiften behövdes i en sådan verksamhet hos myndigheten som avsåg forskning eller framställning av statistik inom hälso- och sjukvårdens område. Frågan är för närvarande föremål för förnyat övervägande i samband med en översyn av reglerna om överföring av sekre— tess inom vårdområdet m.m. En promemoria (Ds 1990:11) Sekretess inom och mellan myndigheter på vårdområdet har remissbehandlats och föranlett en proposition i saken. I propo— sitionen (1990/91:111) om sekretess inom och mellan myndig- heter på vårdområdet m.m. förslås i denna del att utlämnande av sekretessbelagt material mellan kommunala myndigheter på hälso- och sjukvårdens område får ske för forskning eller framställning av statistik eller för administration på verksam- hetsområdet, om det inte kan antas att den enskilde eller någon

• Sida 68
•  Original

honom närstående lider men om uppgiften röjs, dvs. med tillämpning av ett s.k. rakt skaderekvisit.

Europarådsrekommendationen (se avsnitt 4.3) innehåller en del bestämmelser som har viss anknytning till de särskilda frågor som registerforskningen ger upphov till, utöver de allmänna villkor i rekommendationen som tidigare har redo- visats.

För det första föreskrivs till förmån för forskning ett undantag från den grundläggande principen om förbud mot utlämnande till tredje man av personuppgifier. Personuppgifter får lämnas ut av allmänna eller privata organ för forskningsändamål antingen med den enskildes samtycke eller i enlighet med skyddsbestämmelser som närmare har bestämts i inhemsk lag. Om utlämnade sker, gäller dock det allmänna kravet att person- uppgifterna inte får publiceras i identifierbar form, såvida inte de berörda har lämnat sitt samtycke härtill och det skett i enlighet med andra i lag angivna skyddsbestämmelser. Som anvisningar till när utlämnande kan ske utan samtycke av personliga uppgifter nämns i förarbetena till rekommendationen graden av säkerhet i handläggningen, forskningsprojektets be- tydelse, behovet av identifierbara uppgifter och risken för den berörde, om uppgifterna används för forskningsändamål.

För det andra finns i rekommendationen en föreskrift om att forskares tillgång till allmänna befolkningsregister skall under- lättas, så att de kan få underlag för urvalsundersökningar. Om annat inte beslutas av inhemska myndigheter i enskilda fall, bör enligt föreskriften sådana uppgifter få innehålla uppgift om namn, adress, födelsedag, kön och yrke. I förarbetena till denna föreskrift anförs bl.a., att forskningen i ökad utsträckning är beroende av uppgifter som redan finns hos olika statliga institutioner och att föreskriften tillkommit för att inte forsk- ningen ensidigt skall vara beroende av dessa institutioners skönsmässiga bedömning i fråga om utlämnande av uppgifter. I anslutning härtill görs också hänvisning till den lagstiftning om tillgång till allmänna handlingar ("laws on freedom of inform— ation") som finns i många länder. Det understryks att de personuppgifter som nämns i föreskriften är den minimi— information som under alla förhållanden måste göras tillgänglig och att det undantag som kan vara föreskrivet i inhemsk lag kan ta sikte på sådana grupper av uppgifter som t.ex. adress— och yrkesuppgifter, om det är av särskild vikt för den enskilde att dessa uppgifter inte lämnas ut.

I det föregående har utredningen ansett att kravet på in- formerat samtycke bör upprätthållas när det gäller inrättande av personregister för forsknings- eller statistikändamål och att

• Sida 69
•  Original

undantag från detta krav bör förekomma endast i de fall det gäller byte av ändamål, dvs. när forskningssyftet är ett annat än det ursprungligen angivna och till vilket samtycket har lämnats. Undantagsfallen bör preciseras i enlighet med Europaråds- rekommendationens anvisningar och tas in i föreskrifter.

De uppgifter som hämtas från myndigheter och andra inom ramen för en registerforskning skulle således i de allra flesta fall inte komma att omfattas av denna reglering, eftersom samtycke torde saknas. Endast möjligheten att inrätta registret genom beslut av regeringen eller riksdagen, dvs. som ett statsmakts- register,skulle då stå till buds. En sådan ordning skulle, å andra sidan, mot bakgrund av vad som redan anförts om registerforsk— ningens betydelse innebära en klart otillfredsställande förändring i förhållande till nuläget.

Frågan är då för registerforskningens del om och i så fall i vilken omfattning rekommendationens bestämmelser medger undantag från kravet på informerat samtycke och därigenom en lösning inom ramen för en allmän reglering av forsknings- register i ett framtida tillsynssystem.

Även om en av rekommendationens utgångspunkter, vid sidan av att betona värdet av forskning, är att personregistrering för forsknings- och statistikändamål enligt huvudregeln förutsätter informerat samtycke, framgår det att kravet på sådant samtycke är avsett endast för de fall då den enskilde själv lämnar in- formationen. De situationer då uppgifterna såsom vid register— forskning hämtas från annat håll är inte direkt reglerade i rekommendationens bestämmelserDen möjlighet till undantag som rekommendationen uttryckligen medger vid utlämnande av personuppgifter för forskningssyfte utsäger i och för sig ingenting om inrättande av personregister för samma ändamål. En rimlig tolkning av rekommendationens bestämmelser i denna del synes dock vara att även den efterföljande användningen i form av exempelvis ett inrättande av personregister omfattas. En sådan tolkning förefaller ha stöd i förarbetena till den aktuella bestämmelsen men även i den ovan nämnda föreskriften i rekommendationen om en tillåten användning utan föregående samtycke av personuppgifter ur befolkningsregister för urvals- undersökningar.

Tolkningen ligger också väl i linje med rekommendationens syfte att också beakta forskningens behov.

I den mån samtycke inte föreligger till utlämnande av person— uppgifter för forskningssyfte krävs, som nämnts, enligt ut- talanden i förarbetena till rekommendationen i denna del dock att det i inhemsk lag finns intagna bestämmelser, där hänsyn till datasäkerhet och risken för integritetsintrång finns beaktade

• Sida 70
•  Original

jämte hänsyn till vikten av forskningsprojektet och behovet av identifierbara data. Den praxis som inspektionen för närvarande tillämpar vid registerforskning, där information inte lämnas i förväg och samtycke således saknas, bör — bl.a. med hänsyn till de strängare kraven på tidsbegränsning och förstörelse som i de fallen föreskrivs - kunna tjäna som underlag för utarbetande av sådana bestämmelser. Det innebär att samtycke kan undvaras där hälsotillståndet hos dem som skall registreras gör det svårt att informera på vanligt sätt eller det kan anses oetiskt att ta kontakt med dessa. Vidare bör information kunna underlåtas om det skulle förrycka undersökningens resultat, i samband med att den enskilde utnyttjade sin strykningsrätt. Slutligen bör man kunna avvara samtycke, om samtycke redan har lämnats och registreringen gäller ett nytt forskningsändamål, allt under förutsättning att det skulle vara kostsamt eller tidsödande att inhämta ett nytt samtycke och man kan anta att de registrerade, om de tillfrågades, inte hade någon invändning mot det nya forskningsregistret.

Med "lag" torde, som redan framgått, också förstås av regeringen meddelade förordningar och de föreskrifter som datainspektionen efter delegation har rätt att meddela. Rekom- mendationens krav på lagform torde nämligen vara uppfyllt, om det är fråga om i förväg meddelade normer av generell karak— tär, till skillnad från myndighetsbeslut i enskilda fall. Den inhemska rättsordningens val av normnivå torde således inte vara avgörande.

Det avsteg från kravet på informerat samtycke som ett bibehållande av registerforskningen i huvudsak i nuvarande omfattning innebär bör därför kunna rymmas inom ramen för en allmän reglering genom förskrifter av forskningsfrågorna i ett framtida tillsynssystem utan att komma i konflikt med Europarådsrekommendationen på området. Föreskrifterna bör dock innehålla de konkreta materiella skyddsbestämmelser som är nödvändiga. Anmälningsskyldighet bör, liksom för forsk— ningsregister i allmänhet, föreskrivas endast för de register som innehåller känsligare uppgifter och för dem som faller utanför inspektionens normering ("övriga register"). Frågan om ett forskningsprojekts vikt - vilket vid en registerforskning som görs utan samtycke bör tillmätas särskild betydelse enligt rekommendationens förarbeten - får bedömas mot bakgrund av det allmänna kravet på att syftet med registreringen skall vara personregistrering för forskningsändamål (dvs. att registret är ett forskningsregister), oavsett om det gäller registerforskning eller en verksamhet där uppgifterna inhämtas direkt från den som skall registreras. Vilka krav som bör uppställas i det

• Sida 71
•  Original

sammanhanget har utredningen diskuterat ovan (se avsnittet "bestämningen av begreppet forskningsregister").

Som utredningen behandlar nedan i ett särskilt avsnitt (4.5.1 1) är en allmän huvudfråga vilka bestämmelser som skall tas in direkt i datalagen och vad som efter delegation kan normeras genom datainspektionens föreskrifter. De särskilda frågor som rör registerforskning torde emellertid i huvudsak inte vara av sådant slag att de behöver tas in i datalagen, utan en reglering genom datainspektionens framtida föreskrifter på forskningens område torde vara tillräcklig. I den mån det vid registerforsk- ning är fråga om att överföra uppgifter mellan flera person— register blir också reglerna om sambearbetning (se nedan) till— lämpliga.

4.5 .7 Sambearbetning

Frågan om sambearbetning, dvs. bearbetning av uppgifter i ett personregister tillsammans med uppgifter i ett annat person- register hos den registeransvarige eller hos en annan register- ansvarig eller annan (även manuell) direkt överföring av uppgifter från ett register till ett annat, bör enligt vad utred- ningen tidigare angett (se avsnitt 8.6.5 i SOU 1990:61) i princip regleras på samma sätt som personregistrering i allmänhet i det framtida tillsynssystemet.

Det innebär att vissa sambearbetningsfrågor uttryckligen bör normeras av datainspektionen och att anmälningsplikt i huvud- sak begränsas till vad utredningen kallat "övriga" register (se avsnitt 8.6.2 i betänkandet).

Den omfattning i vilken sambearbetning av forskningsregister bör tillåtas blir närmast avhängig av de regler om informerat samtycke och undantag härifrån som utredningen behandlat i det föregående.

I den mån informerat samtycke saknas eller något av undan- tagsfallen inte är för handen, bör sambearbetning således inte tillåtas. Den enda utväg som då skulle stå till buds är att riksdag eller regering beslutar att inrätta det nya registret som ett statsmaktsregister. Detta gäller dock enbart under förutsättning att registret genom sambearbetningen ändrats i en sådan väsentlig mån att ett nytt register får anses ha uppkommit. Den överföring av uppgifter mellan flera register som exempelvis sker för att uppdatera lagrat material, utan att en väsentlig ändring av registret därigenom sker, skulle således inte kräva någon särskild åtgärd.

• Sida 72
•  Original

I det skisserade tillsynssystemet är avsikten att anmälan skall ske i två fall: dels fall där ett personregister inom det normera— de området innehåller känsliga uppgifter (bl.a. om brott, tvångsingripande, sjukdom, hälsotillstånd, sexualliv, ras, politisk uppfattning, religiös övertygelse eller avser omdöme om den registrerade) eller, vilket torde vara det vanliga, uppgifter om personer utan anknytning till den registeransvarige, dels alla fall där registret faller utanför det normerade området ("övriga" register).

Flertalet forskningsregister torde innehålla sådana person— uppgifter som nu har nämnts. Även om forskningsregister framgent normeras genom datainspektionens försorg, bör anmälningsskyldigheten därför bli relativt omfattande.

Anmälningsskyldigheten bör åvila den registeransvarige, dvs. exempelvis de statliga högskoleenheter, statliga forsknings- institut och myndigheter inom hälso- och sjukvården som närmast kommer i fråga att inrätta register för vetenskapliga ändamål (jfr forskningsetiska utredningens förslag till ändrad lydelse av 2 a & datalagen, avsnitt 3.4 ovan). Se vidare avsnittet "bestämningen av begreppet forskningsregister" ovan.

Vem det inom den registeransvariga myndigheten eller institutet närmast åvilar att fullgöra anmälningsuppgiften får regleras på internt administrativ väg. Ytterst är givetvis den enskilde forskarens och dennes institutions medverkan nöd- vändig. Ansvaret gentemot datainspektionen bör dock alltid vila på en behörig ställföreträdare för den registeransvarige.

En arkivmyndighet är som sådan naturligtvis inte anmälnings- skyldig för de register den tar emot för förvaring, oberoende av deras senare användning för forskningsändamål (jfr avsnitt 7 om gallringsfrågor).

4.5.9. Tillsynens utövande

En huvuduppgift för datainspektionen i ett framtida tillsyns- system är att genom inspektioner kontrollera efterlevandet av de bestämmelser eller villkor som kan gälla för olika register.

De anmälningar som görs till inspektionen om särskilt känsliga register eller register som faller utanför det normerade området bör kunna utgöra en grund för denna tillsynsverksam- het. I övrigt får inspektionen genom stickprov kontrollera hur bestämmelserna följs.

• Sida 73
•  Original

Skyldighet skall även framgent finnas för de registeransvariga att i särskilda förteckningar ange samtliga de register som förs (jfr 7 a & datalagen).

För forskningsinstitutionernas vidkommande innebär systemet att man överlag bör kunna räkna med att någon gång inför inspektionen få redovisa omfattningen av sina forskningsregister och hur de förs.

I den administrativa tillsyn som inom exempelvis en högskola och andra forskningsorgan kan utövas internt av institutions- styrelser, rektorsämbete och andra enheter bör det regelmässigt ingå att också bevaka att de integritetsskyddande bestämmelser- na - i likhet med andra föreskrifter som styr verksamheten - iakttas.

Vid inspektionerna bör datainspektionens företrädare samverka med dem inom högskolan eller forskningsinstitutionen i fråga som har ansvar för en sådan allmän tillsyn, liksom med dem som av den registeransvarige utsetts att särskilt bistå de registrerade vid misstanke om oriktig eller missvisande person- uppgift (jfr 8 5 datalagen).

För det fall det vid en kontroll visar sig att ett forsknings- register förs i en omfattning eller på ett sätt som inte stämmer med de bestämmelser som gäller för registret, aktualiseras frågan om rättelse och vidare åtgärder. I de fall överträdelserna beror på missförstånd eller liknande, bör saken givetvis kunna avhjälpas genom att påpekande görs under hand.

Andra fall kan kräva en mera omfattande utredning. Det kan inte uteslutas att det i vissa fall också blir nödvändigt att med omedelbar verkan förbjuda att ett register fortsättningsvis förs, om det inte kan anses tillräckligt att föreskriva ytterligare villkor för verksamheten. I denna handläggning bör värdefulla synpunkter kunna lämnas av forskningsorganen. Inte minst de forskningsetiska frågorna kan behöva belysas. Om det vid ett forskningsinstitut inrättats en forskningsetisk kommitté eller ett forskningsetiskt råd, bör dess mening inhämtas innan ärendet avgörs. Ytterst är det dock datainspektionen som avgör vad som bör ske med registret.

4.5.10. Kryptering

I datainspektionens föreskrifter för forsknings- och statistik- register anges att den registeransvariges förteckning skall innehålla uppgift om vad som skall ske med registret när undersökningen avslutats, varvid också avidentifiering kan aktualiseras (se ovan avsnitt 4.5.2). En bestämmelse om avidentifiering finns i statistikregelutredningens lagförslag för

• Sida 74
•  Original

uppgifter som erhållits för den statliga statistikframställningen och som finns på upptagning för ADB. Från sådana uppgifter skall enligt förslaget utan dröjsmål efter det att statistiken har framställts namn och varje annan beteckning som kan identifiera den enskilde (även juridisk person) avlägsnas eller döljas (anonymisering, varmed förstås såväl avidentifiering som kryptering), om ej annat är föreskrivet (12 å).

Som nämnts förstås med avidentifiering att återidentifiering i praktiken inte är möjlig, dvs. återidentifiering eller s.k. bak- vägsidentifiering är möjlig endast efter orimligt tidskrävande och kostsamma åtgärder. Har avidentifiering skett, föreligger inte något personregister.

En särskild fråga som kräver överväganden gäller s.k. krypte- ring och konsekvenserna härav när det gäller underrättelse— skyldighet enligt 10 å datalagen. Med kryptering förstås att en avidentifiering inte är avsedd att vara oåterkallelig, utan personanknytningen skall kunna återskapas av den eller dem som förfogar över registret. Kryptering har som metod kommit att utvecklas av framför allt SCB och därmed att förknippas med statistikregister men har tillämpning också på forsknings- register i allmänhet.

Vanligen sker kryptering genom att ett igenkänningstecken som exempelvis personnummer ersätts med ett tal vars innebörd endast kan klargöras med hjälp av en annan sifferkombination, en s.k. krypteringsnyckel. Synonymt med kryptering används också begreppet chiffrering. Utan tillgång till krypterings— nyckeln kan det krypterade identitetsnumret inte återskapas.

SCB har utvecklat olika tekniska förfaringssätt för kryptering. Syftet är att säkra uppgiftsskyddet och att begränsa tillgången till krypteringsnyckeln men göra det möjligt att för legitima ändamål återskapa identitetssambandet.

Kryptering innebär inte som vid avidentifiering att ett registers karaktär av personregister går förlorad. Även om kretsen av personer som kan identifiera de i registret intagna uppgifterna påtagligt begränsas, finns den nödvändiga koppling kvar mellan en uppgift och en identifierbar individ, som bl.a. är en förut- sättning för att ett personregister enligt datalagsutredningens mening skall föreligga.

Underrättelseskyldighet

Forskningsetiska utredningen har föreslagit att underrättelse- skyldigheten enligt 10 & datalagen skulle kunna begränsas för krypterade register (se avsnitt 4.4). Syftet med denna begräns— ning skulle enligt utredningen vara att förstärka integritets-

• Sida 75
•  Original

skyddet. Detta skulle ske genom att inte låta den enskilde få del av upplysningar om de register som innehåller upplysningar om honom eller henne, eftersom sådana upplysningar skulle kräva att krypteringsnyckeln kom till användning och att de chiffrera- de uppgifterna togs fram i klartext, varigenom de personer som sysslade med registret fick del av uppgifterna med åtföljande risk för att uppgifterna också kom obehöriga till del.

Visserligen medför användning av kryptering att möjligheten rent allmänt till identifiering minskar. Personuppgifterna finns emellertid lagrade och kan efter dechiffrering tas fram. Dekryp- tering kan på olika sätt försvåras genom att kretsen av personer med tillgång till krypteringsnyckeln begränsas. Nyckeln kan också fysiskt göras svårtillgänglig genom att exempelvis deponeras hos annan än den registeransvarige. Det är således möjligt att föreskriva att en krypteringsnyckel skall förvaras hos datainspektionen, eller, om den registeransvarige är annan än SCB, hos SCB.

Även efter sådana långtgående säkerhetsåtgärder och villkor måste möjligheten finnas kvar hos någon eller några att återställa sambandet mellan uppgifterna och de enskilda individerna, för att kryptering skall anses föreligga. I annat fall föreligger avidentifiering. Till skillnad från avidentifiering innebär kryptering således att det också är möjligt för den registrerade att få upplysning om innehållet i det eller de register, där de krypterade uppgifterna finns.

Underrättelseskyldigheten enligt 10 Q är av central betydelse för den enskildes rätt till insyn. Den är också ett komplement till reglerna om handlingsoffentlighet.

Rätten till insyn finns också föreskriven i Europarådskon- ventionen (art. 8). Undantag får dock enligt konventionen (art. 9) göras i lag för forsknings— och statistikregister, om det upp— enbart inte föreligger någon risk för integritetsintrång.

Enligt rekommendationen får undantag i detta hänseende göras, om uppgifterna insamlas enbart för statistiskt eller annat forskningsändamål och resultatet inte medför att individen blir lätt identifierbar, allt under förutsättning att skyddsåtgärder vidtas och den enskilde inte kan åberopa något särskilt intresse till stöd för insynsrätten (exempelvis biografisk forskning).

I utkastet till EG-direktiv anges att begränsningar i den enskil— des rätt till tillgång till uppgifterna får göras när det gäller uppgifter som tillfälligt sammanställs i syfte att få fram statistisk information (art. 15.3).

Enligt 10 5 fjärde stycket datalagen ges inspektionen rätt att medge undantag från underrättelseskyldigheten, om det i fråga om visst slag av personregister är uppenbart att underrättelse

• Sida 76
•  Original

kan underlåtas på grund av att det inte föreligger någon risk för intrång i registrerads personliga integritet. Enligt förarbetena (prop. 1978/79:109 s. 25, 34 f) är undantagsbestämmelsen avsedd att tillämpas på mycket kortvariga register som förs antingen i samband med tester för inrättande av personregister eller för vetenskaplig forskning eller statistikproduktion. Den bör vidare kunna tillämpas i fråga om vissa delar av person— register, t.ex. "loggar" (registrering över vilka uttag och förändringar som gjorts i ett register) och "back-up-register" (säkerhetskopior).

Underrättelseskyldigheten skall fullgöras "så snart det kan ske" (10 5 första stycket datalagen), vilket i en verkställig- hetsföreskrift (DIFS 198212) förtydligats till inom en månad från begäran.

Ett alternativ för en registeransvarig att undgå underrättelse- skyldigheten är att överlämna registret till förvaring hos arkivmyndighet (10 & tredje stycket datalagen).

Den rätt till insyn som följer av 10 & datalagen är så betydelsefull att den enligt datalagsutredningens mening inte bör begränsas av det skälet att den är besvärlig att uppfylla. Den omständigheten att en dekryptering innebär risk att flera får del av de chiffrerade uppgifterna är inte heller ett tillräckligt skäl för att den enskilde skall behöva avstå från sin rätt till under- rättelse. Om den registeransvarige anser att de administrativa eller ekonomiska hindren blir för höga vid ett fullgörande av underrättelseskyldigheten, finns alltid möjligheten att i stället avidentifiera registret, varvid personregistret upphör att existera i datalagens mening. Det bör dock påpekas att en avidentifiering kan innebära ett avbräck i forskningen.

Helt bör dock inte bortses från att en kryptering innebär en beaktansvärd förstärkning av integritetsskyddet och att ett fullgörande av underrättelseskyldigheten i en del fall kan medföra avsevärda kostnader för de registeransvariga. En viss anpassning för de krypterade registrens del kan därför över- vägas, exempelvis så att underrättelseskyldigheten inte behöver fullgöras mer än några gånger per år, då underrättelser avse- ende flera registrerade kan lämnas samtidigt, för att på så sätt rationalisera och förbilliga handläggningen. Detta kräver ändring av det nuvarande villkoret att besked som regel skall lämnas inom en månad. En sådan ändring berör emellertid inte tolvmånadersregeln, dvs. att en ny underrättelse inte behöver lämnas till samma enskilda förrän tolv månader efter den förra underrättelsen (se 10 5 första stycket tredje meningen). Andra lösningar på frågan om underrättelse vid krypterade register kan också tänkas. Utredningen återkommer till frågan om under—

• Sida 77
•  Original

rättelseskyldighetens fullgörande vid krypterade register i den tredje etappen av sitt arbete då ett förslag till en ny datalag kommer att läggas fram.

4.5.11. Vissa lagtekniska frågor

Den närmare utformningen av de regler som bör gälla för forskningsregister och som diskuterats ovan bör kunna göras genom en särskild föreskrift, som utarbetas av datainspektionen, om utredningens tidigare framlagda förslag till ändring av normgivningsmakten på detta område genomförs. Som nämnts bör bestämmelserna, i den mån de inte har berörts ovan, kunna knyta an till de föreskrifter om ett förenklat ansökningsför- farande som i dag gäller. Det bör dock framhållas att före— skrifterna inte bör begränsas enbart till forskningsregister där syftet är framställning av statistik. Även övriga forsknings- register bör om möjligt täckas in. Undantagsvis föreligger nämligen behov av personregistrering vid vissa fallstudier, utan att det är fråga om statistisk bearbetning. Dessa fall kan förekomma inom bl.a. medicinska och psykologiska forsknings- områden.

Vad som kan diskuteras är om vissa av principerna för forsk- ningsregisters inrättande är av sådan betydelse att de bör tas in direkt i datalagen. Som nämnts saknas i dag sådana bestämmel- ser. Vad som därvid bör kunna komma i fråga är de grund- läggande reglerna om informerat samtycke och de fall då sådant samtycke kan undvaras, inkl. de fall som rör registerforskning. Mycket talar för att sådana regler bör tas in i datalagen. Utredningen avser emellertid att återkomma till denna fråga i den avslutande etappen av sitt arbete, då ett fullständigt förslag till datalag skall utarbetas.

• Sida 78
•  Original

• Sida 79
•  Original

5. Tryckfrihetsförordningen m.m. och datalagstiftningen

5.1. Direktiven

I direktiven framhålls att massmedieområdet är ett område som har kommit i blickpunkten på senare tid. Direktiven hänvisar till 6 & datalagen som reglerar förhållandet mellan datalagen och 2 kap. tryckfrihetsförordningen (TF) med dess regler om offent- lighetsprincipen. Vidare anförs i direktiven:

Numera utnyttjas datorteknik som ett led i framställningen av tidningar och andra tryckta skrifter. Därvid uppkommer frågan om hur datalagen förhåller sig till de föreskrifter i tryckfrihets- förordningen som avser sådana skrifter, t.ex. förbudet mot censur och andra hindrande åtgärder som föregår tryckta skrifters ut— givning (1 kap. 2 5 tryckfrihetsförordningen). Ett liknande problem har uppmärksammats när det gäller förhållandet mellan brottet dataintrång (21 å) och den s.k. anskaffarfriheten enligt 1 kap. 1 & fjärde stycket tryckfrihetsförordningen (se 1988/89:LU30 s. 36). En angränsande fråga som kan ställas på detta område är i vilken utsträckning massmediers arkiv på datormedium skall falla under datalagens regler. Det kan finnas andra sektorer där motsvarande problem kan uppkomma.

5.2. Gällande rätt m.m.

5.2.1. Tryckfrihetsförordningen m.m.

Tryckfriheten, som utgör en central del av yttrandefriheten, har i Sverige fått en utförlig grundlagsreglering genom TF. Bakgrunden till detta är tryckfrihetens grundläggande betydelse för ett fritt samhällsskick. Tryckta skrifter anses ha en domine- rande betydelse för upplysning och åsiktsbildning i samhälls— frågor.

• Sida 80
•  Original

En viktig princip i TF är den rättighet som följer av 1 kap. 1 & TF att utge skrifter utan några av myndighet eller annat allmänt organ i förväg lagda hinder. Detta förbud mot censur och andra hindrande åtgärder preciseras närmare i 1 kap. 2 & TF, som har följande lydelse.

Någon trycknin en föregående granskning av skrift eller något förbud mot tryc ing därav må ej förekomma.

Ej heller vare tillåtet för myndighet eller annat allmänt organ att på Jgrund av skrifts innehåll, genom åtgärd som icke äger stöd i denna förordning, hindra tryckning eller utgivning av skriften eller dess spridning bland allmänheten.

Paragrafen riktar sig alltså till myndigheter eller andra allmänna organ. Härmed förstås även riksdagen och regeringen.

Censur innebär att ett yttrande granskas av en myndighet innan det når en tilltänkt mottagare. Syftet med censur är att förhindra att vad som går fram till mottagaren har ett innehåll eller en utformning som från granskarens synpunkt inte kan godtas.

Förhandsgranskning är inte det enda sättet att hindra med- borgare från att yttra sig offentligt. Spärrar kan upprättas på flera olika punkter längs kommunikationsvägarna. Ett sätt att spärra är att inskränka rätten att använda ett visst uttrycksmedel. Inskränkningen kan också avse bara ett led 1 ett framställnings- förfarande. Hindret behöver inte vara absolut. Även åtgärder, som verkar väsentligt försvårande eller ekonomiskt förlust- bringande, är otillåtna (se t.ex. tryckfrihetssakkunniga /SOU 1947:60/ s. 210 f. och Petrén, Ragnemalm, Sveriges grund- lagar, s. 380).

Det är däremot tillåtet att av ordningsskäl reglera spridningen av tryckta skrifter. Det väsentliga är att sådana regler inte tar hänsyn till skrifternas innehåll.

Om flera personer har medverkat till ett brott, kan enligt allmänna straffrättsliga regler ansvar drabba inte bara den som främst utfört den brottsliga gärningen utan också de övriga såsom anstiftare eller medverkande. TFs principer om ansvar är emellertid annorlunda.

Ansvarssystemeti IF bygger på två grundläggande principer. Den ena är att det alltid skall finnas någon som, även om han inte själv varit upphovsman, kan göras ansvarig för innehållet i en tryckt skrift. I regel är detta författaren eller, när det gäller periodiska skrifter, den ansvarige utgivaren. Den andra princip- en är att detta formaliserade ansvar skall utesluta ansvar för alla som på annat sätt medverkat vid skriftens tillkomst.

• Sida 81
•  Original

Tanken i TF är således att endast & person skall kunna göras ansvarig för tryckfrihetsbrott samt att dennes ansvar är exklusivt och utesluter ansvar för andras eventuella medverkan. Det sagda innebär att det i TF inte förekommer något medverkansansvar i brottsbalkens mening. Tvärtom skyddar TF genom olika bestämmelser sådana personer som har medverkat vid till- komsten av en tryckt skrift men som inte har det speciella tryckfrihetsrättsliga ansvaret. Till denna kategori bestämmelser hör de som gäller meddelarfrihet och anonymitet.

Den grundläggande bestämmelsen om meddelarfriheten finns i 1 kap. 1 & tredje stycket TF. Där stadgas att det skall stå envar fritt att, i alla de fall då inte annat är föreskrivet i TF, meddela uppgifter och underrättelser i vad ämne som helst för offentliggörande i tryckt skrift till författare eller annan som är att anse som upphovsman till framställning i skriften, till skriftens utgivare eller, om det för skriften finns en särskild redaktion, till denna eller till företag för yrkesmässig förmedling av nyheter eller andra meddelanden till periodiska skrifter.

I 1 kap. 1 & fjärde stycket TF finns en regel som tar sikte på ett tidigare led i den kedja som löper från en meddelare via t.ex. en tidningsredaktion till publicering i tryckt skrift. Enligt den regeln skall var och en äga rätt att, om inte annat följer av TF, anskaffa uppgifter och underrättelser i vilket ämne som helst för att offentliggöra dem i tryckt skrift eller för att lämna ett meddelande av den typ som angivits i paragrafens tredje stycke. TF skyddar emellertid inte anskaffare från straff för det sätt varpå han skaffar uppgifterna (se TF 1 kap. 9 5). Det är således inte tillåtet för en journalist att skaffa uppgifter till en artikel genom inbrott, olovlig avlyssning eller mutbrott.

I syfte att skydda dem som medverkar vid tillkomsten av tryckta skrifter finns i 3 kap. TF regler om rätt till anonymitet. Den grundläggande bestämmelsen om rätt till anonymitet finns i 3 kap. 1 & TF. Där stadgas att författare till tryckt skrift inte är skyldig att låta sätta ut sitt namn eller sin pseudonym eller signatur på skriften. Vidare anges att motsvarande gäller beträffande den som lämnat meddelande enligt 1 kap. l & tredje stycket TF och beträffande utgivare av tryckt skrift som inte är periodisk. En meddelare eller författare kan alltså själv välja om han vill framträda eller om han vill vara anonym. Detsamma gäller utgivare av skrifter som inte är periodiska.

Enligt 3 kap. 4 & TF får myndighet eller annat allmänt organ inte efterforska författaren till en framställning som införts eller varit avsedd att införas i tryckt skrift. Efterforskning får inte heller ske av den som utgivit eller avsett att ge ut framställning i tryckt skrift eller av den som uppträtt som meddelare. Efter-

• Sida 82
•  Original

forskningsförbudet gäller inte utan undantag. I de fall då ingrip- ande mot t.ex. en meddelare är tillåtet enligt TF får myndig- , heter och andra allmänna organ vidta åtgärder för att utröna vem meddelaren är.

I 3 kap. 3 & TF finns föreskrifter om tystnadsplikt för bl.a. personal vid en tidning eller en nyhetsbyrå beträffande för— fattares, meddelares och utgivares identitet. Paragrafen, som fick sin nuvarande lydelse den 1 januari 1978, föreskriver tystnadsplikt för den som har tagit befattning med tillkomsten eller utgivningen av en tryckt skrift eller med en framställning som var avsedd att införas i en tryckt skrift och den som har varit verksam inom ett företag för utgivning av tryckta skrifter eller inom ett företag för yrkesmässig förmedling av nyheter eller andra meddelanden till periodiska skrifter. Tystnadsplikten innebär att han inte får röja vad han därvid erfarit om vem som är författare eller har lämnat meddelande enligt 1 kap. 1 & tredje stycket eller är utgivare av skrift som inte är periodisk. Från denna tystnadsplikt görs fem undantag, nämligen 1. om den som har anonymitetsrätten samtycker till att hans eller hennes identitet röjs,

2. i vissa fall i tryckfrihetsmål,

3. om fråga är om brott som anges i 7 kap. 3 & första stycket 1 TF,

4. om fråga är om brott enligt 7 kap. 2 5 eller 7 kap. 3 € första stycket 2 eller 3 TF och rätten finner det erforderligt att vid förhandling uppgift lämnas, huruvida den som är tilltalad eller skäligen misstänkt för brottet har lämnat meddelandet eller medverkat till framställningen samt

5. om rätten av hänsyn till allmänt eller enskilt intresse finner det vara av synnerlig vikt att uppgift i saken lämnas vid vittnesförhör eller förhör med part under sanningsförsäkran.

Som senare kommer att framgå kan effektiviteten av det anonymitetsskydd som följer av 3 kap. 3 och 4 åå TF ifråga— sättas när det allmänna i andra än de i paragrafen redovisade fallen tillgodoser olika legala intressen.

Det finns också regler som skyddar yttrandefriheten i radio- och TV-program. Dessa regler bygger på TFs bestämmelser och hänvisar i viss utsträckning till dessa. De radiorättsliga reglerna finns i radioansvarighetslagen (1966:756), lagen (1982z460) om ansvarighet för närradio, lagen (19821521) om ansvarighet för radio— och kassettidningar och lagen (1985: 1057) om ansvarig- het för lokala kabelsändningar.

Av 8 & radiolagen (l966:755) följer bl.a. att myndigheter och andra allmänna organ inte i förväg får granska eller föreskriva

• Sida 83
•  Original

förhandsgranskning av radiosändningars innehåll och inte heller får förbjuda en radiosändning på grund av dess innehåll.

Enligt radioansvarighetslagen får ansvar eller skadestånds- skyldighet för ett yttrandefrihetsbrott i ett radio- eller TV- program eller för medverkan till ett sådant brott bara ådömas den som enligt lagen är ansvarig för programmet (5 och 6 åå). Också radioansvarighetslagen bygger härigenom på principen om ensamansvar.

Liksom TF innehåller radioansvarighetslagen bestämmelser till skydd för den som meddelar eller anskaffar uppgifter i syfte att uppgifterna skall offentliggöras genom ett program. Om uppgiftslämnandet eller anskaffandet under motsvarande förhållanden skulle ha kunnat föranleda ansvar enligt TF får dock meddelaren eller anskaffaren ådömas straff eller skade- ståndsskyldighet (5 & st. 2).

Det finns i radioansvarighetslagen bestämmelser om anonymi— tetsskydd som i stor utsträckning stämmer överens med motsvarande bestämmelser i TF.

Regeringen har i en nyligen avlämnad proposition (1990/91:64) om yttrandefrihetsgrundlag m.m. föreslagit en ny särskild grundlag till skydd för yttrandefriheten i radio, television, filmer, videogram och ljudupptagningar m.m. Den nya grundlagen bygger på samma grundsatser som tryckfrihets- förordningen. Detta innebär bl.a. att principerna om censur- förbud och andra hindrande åtgärder blir gällande för de medier som omfattas av grundlagen. Det skall dock finnas möjlighet att genom lag föreskriva om förhandsgranskning av filmer och videogram som skall visas offentligt (1 kap. 3 G). I den nya grundlagen finns regler som skyddar meddelare och anskaffare och som motsvarar tryckfrihetsförordningens regler i ämnet (1 kap. 2 5). Även bestämmelser om rätt till anonymitet som i sak svarar mot de regler som finns i TF har tagits upp i den nya grundlagen (2 kap.). I propositionen föreslås att den nya lagstiftningen skall träda i kraft den 1 januari 1992.

Den grundläggande bestämmelsen om skyddet för den enskildes personliga integritet finns i 1 kap. 2 & tredje stycket regeringsformen (RF). I denna sägs bl.a. att det allmänna skall värna den enskildes privatliv och familjeliv. Bestämmelsen har inte karaktären av en rättsligt bindande föreskrift utan anger ett mål för den samhälleliga verksamheten. Av förarbetena till be- stämmelsen framgår att integritetsskyddet vid dataregistrering var i blickpunkten vid bestämmelsens tillkomst (SOU 1975 :75 s. 168 f., 459 ff.).

• Sida 84
•  Original

Den av regeringen i maj 1984 tillsatta data- och offentlighets- kommittén (DOK) föreslog i sitt tredje delbetänkande (Ds Ju 1987z8) Integritetsskyddet i informationssamhället 3 bl.a. en grundlagsändring. Förslaget innebar att det i den s.k. fri- och rättighetskatalogen i 2 kap. RF skulle skrivas in ett skydd för den enskildes personliga integritet i datasammanhang.

Förslaget ledde till lagstiftning, som trädde i kraft den 1 januari 1989 (prop. 1987/88:57, KU 19, rskr.117, 1988/89: KUZ, rskr. 11, SFS 1988:1439). Den nya föreskriften, som finns i 2 kap. 3 5 andra stycket RF, innebär att varje med- borgare i den utsträckning som närmare anges i lag skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av ADB. Regeln slår alltså fast att det skall finnas en datalagstiftning till skydd för den personliga integriteten men att den närmare omfattningen av skyddet får regleras i vanlig lag. Lagstiftaren åläggs genom bestämmelsen att vara aktiv genom att stifta och vidmakthålla en datalag— stiftning. Av förarbetena följer att bestämmelsen givetvis bör uppfattas så att lagstiftningen skall utgöra en verklig och allvarligt menad skyddslagstiftning (prop. 1987/88:57, s. 11).

5.2.2. Datalagstiftningen

I detta avsnitt redovisar utredningen helt kort vissa regler i den nuvarande datalagen som är av intresse i detta sammanhang. Vidare erinras om de principiella utgångspunkter för en framtida datalag som utredningen har tagit upp i sitt första betänkande, SOU 1990:61.

Nuvarande datalag

Den nuvarande datalagen innebär att den som är ansvarig för ett personregister som förs med hjälp av ADB skall ha en licens. Licens utfärdas efter anmälan av datainspektionen.

För vissa register, som bedöms innebära särskilda risker för otillbörligt intrång i enskilds personliga integritet, krävs utöver licens särskilt tillstånd av inspektionen. Detta gäller bl.a. register som skall innehålla känsliga uppgifter, t.ex. uppgifter om sjukdomar, brott och straff, sexualitet, ras, politisk eller religiös uppfattning eller register som skall innehålla omdömen och värderingar.

Tillståndsplikt gäller även för register som skall omfatta uppgifter om personer som saknar naturlig anknytning till den registeransvarige (dvs. sådan anknytning som följer av medlem—

• Sida 85
•  Original

skap, anställning, kundförhållande eller något därmed jämför- bart förhållande).

Licens och tillstånd behövs inte för personregister som enskild person använder uteslutande för personligt bruk, dvs. registret används inte i någon yrkesmässig verksamhet. Med vissa undantag gäller dock övriga bestämmelser i lagen om den registeransvariges skyldigheter m.m. även dessa s.k. privata register. Personregister som beslutats av riksdagen eller regeringen behöver inte tillstånd (men licens). Därutöver finns särskilda undantag från tillståndsplikten.

Tillstånd att inrätta och föra personregister skall meddelas om det saknas anledning anta att otillbörligt intrång i registrerads personliga integritet skall uppkomma. Tillstånd att inrätta och föra personregister som skall omfatta uppgifter om personer som saknar naturlig anknytning till den registeransvarige får emellertid ges endast om den registeransvarige har särskilda skäl. Exempel på sådana skäl är att registret skall användas för statistik— och/eller forskningsändamål eller endast användas under kortare tid (såsom t.ex. för marknadsföring).

För personregister som skall innehålla särskilt känsliga upp- gifter, får tillstånd ges till annan än behörig myndighet endast om särskilda eller synnerliga skäl föreligger. Exempel på sådana skäl är att registret skall användas för statistik- och/eller forskningsändamål .

Vid prövningen skall hänsyn tas till de villkor som kan med- delas i olika avseenden i syfte att motverka otillbörligt integ- ritetsintrång.

När datainspektionen meddelar tillstånd för ett register skall inspektionen alltid besluta om ändamålet med registret.

Om det behövs för att förebygga risk för otillbörligt intrång i personlig integritet skall inspektionen också meddela villkor om - inhämtande av uppgifter - vilka personuppgifter som får ingå - utförandet av den automatiska databehandlingen - den tekniska utrustningen - de bearbetningar som får göras - underrättelse till berörda personer - de personuppgifter som får göras tillgängliga - utlämnande och annan användning - bevarande och gallring - kontroll och säkerhet - rättelse och andra åtgärder ifråga om oriktiga och missvisande uppgifter.

• Sida 86
•  Original

Alla personregister skall inrättas och föras på sådant sätt att inte otillbörligt intrång i registrerads personliga integritet upp- kommer. Detta innebär bl.a. att registret skall ha ett bestämt ändamål. Vidare får inga andra uppgifter ingå i registret än de som behövs för registrets ändamål. Registrerade uppgifter skall i princip förstöras när de inte längre behövs. Personuppgifter får inhämtas, lämnas ut och användas endast i överensstämmelse med registrets ändamål eller vad som gäller enligt lag eller annan författning, eller i enlighet med den registrerades medgivande.

Den registeransvarige är skyldig att på skriftlig begäran av enskild underrätta denne huruvida uppgifter om honom eller henne finns registrerade i ett personregister eller inte. Den som är registrerad har även rätt att få utdrag ur personregistret vad gäller de uppgifter som rör honom eller henne. Den register- ansvarige är skyldig att lämna underrättelse så snart det kan ske. Enligt datainspektionens föreskrifter bör underrättelsen ske senast inom en månad efter framställd begäran.

Datainspektionen skall utöva tillsyn över dem som för person— register med hjälp av ADB. I denna tillsyn innefattas en rätt för inspektionen att få tillträde till de lokaler som har samband med ADB-verksamheten, att få tillgång till den dokumentation som rör databehandlingen och att föranstalta om egna körningar av personregister. Det åligger vidare den registeransvarige att lämna datainspektionen de uppgifter som inspektionen begär för sin tillsyn. Datainspektionen kan vitesförelägga den register- ansvarige om denne inte fullgör sina skyldigheter i samband med tillsynen.

Principer i en framtida datalag

Utredningen har i sitt första betänkande föreslagit att ett renodlat tillsynssystem skall ersätta det nuvarande tillstånds- systemet. Tanken är att det nu många gånger stereotypa tillstånds- och licensförfarandet skall ersättas med ett flexibelt anmälningssystem och en utökad tillsynsverksamhet.

I den nya datalagen kommer föreskrifter om de grundläggande förutsättningarna för personregistrering att finnas. Lagen kommer - såvitt nu kan bedömas - att innehålla bl.a. allmänna regler om inrättande och förande av personregister och regler om skyldighet för de registeransvariga att hålla sina person— register förtecknade. Vidare kommer det att finnas bestämmel- ser om rättelse av felaktiga personuppgifter, om enskilds rätt till insyn i personregister, om förbud mot utlämnande av person- uppgifter i vissa fall och om gallring. Som en komplettering till

• Sida 87
•  Original

dessa bestämmelser är det meningen att datainspektionen skall meddela bransch- eller sektorsföreskrifter.

En anmälningsplikt föreslås för dels de mer integritetskänsliga register som skall omfattas av datainspektionens bransch- eller sektorsföreskrifter och dels de register som inte är reglerade i förväg genom inspektionens föreskrifter.

Datainspektionens tillsynsverksamhet föreslås intensifieras. Inspektionen skall genom inspektioner och kontroller se till att aktuella bestämmelser efterlevs och att integritetsskyddet upprätthålls.

Den nya datalagen kommer liksom den nuvarande att innebära att datainspektionen får, om skydd mot otillbörligt intrång i personlig integritet inte kan åstadkommas på annat sätt, förbjuda fortsatt förande av personregister. Sådana beslut skall också kunna meddelas utan hinder av att beslutet överklagas. Om integritetsskyddet kan tillgodoses på annat sätt, kommer givetvis datainspektionen i stället kunna besluta om särskilda villkor för förandet.

Den nya datalagen kommer också att innehålla straff- och skadeståndsbestämmelser. En viss skärpning kan därvidlag bli aktuell i jämförelse med vad som gäller i dag.

5.2.3. Pressetiska regler

Av stor betydelse för den höga etiska standard som den svenska pressen har är pressens självsanering. Pressens egna organisa- tioner - Publicistklubben, Svenska Journalistförbundet och Svenska tidningsutgivareföreningen - har genom sitt samarbets- organ, Pressens Samarbetsnämnd, antagit gemensamma etiska regler för press, radio och TV, till vilka Sveriges Radio har anslutit sig. De etiska reglerna omfattar publicitetsregler, yrkesregler och regler om redaktionell reklam. Dessutom har Pressens Samarbetsnämnd utfärdat riktlinjer angående åsikts- annonsering.

De tre pressorganisationerna har gemensamt inrättat Pressens opinionsnämnd, som är en hedersdomstol i ärenden som gäller tillämpningen av god publicistisk sed inom den periodiska pressen. Enligt stadgarna består nämnden av en ordförande och fem ledamöter.

Som ett slags åklagare inför opinionsnämnden har inrättats en allmänhetens pressombudsman. Denne är anställd hos en stiftelse, som för ändamålet grundats av de tre pressorganisa- tionerna.

Allmänhetens pressombudsman har till uppgift att på eget initiativ eller efter anmälan påtala avvikelser från god publicis-

• Sida 88
•  Original

tisk sed i periodisk skrift. Han har möjlighet att genom direkt hänvändelse till vederbörande tidning söka åstadkomma beriktigande eller plats för genmäle. Han kan också, om han finner skäl till det, hänskjuta ett ärende till opinionsnämnden. Om han lämnar en anmälan utan åtgärd, kan anmälaren hän- skjuta ärendet till nämnden under förutsättning att saken rör honom själv. Nämnden har emellertid fria händer att avvisa ett dit hänskjutet ärende.

Om nämnden finner att en tidning brutit mot god publicistisk sed, konstaterar den detta i ett s.k. opinionsuttalande. Detta är offentligt, och enligt opinionsnämndens stadgar bör en klandrad tidning utan dröjsmål i oavkortat skick och på väl synlig plats publicera nämndens hela uttalande.

Pressens opinionsnämnd är obunden av skrivna regler om vad som är god publicistisk sed och kan alltså utbilda en egen praxis på området. Ofta åberopar den dock pressorganisationernas regler. De fall, som kommer under nämndens prövning, är till en del sådana att straff skulle ha kunnat ådömas för tryck- frihetsbrott. Rent generellt kan nog sägas att nämndens bedöm— ning är strängare än den som man kan räkna med i en tryck- frihetsprocess. Nämnden har också utbildat vissa regler, som helt saknar motsvarighet i TF.

Bland de etiska reglerna finns det några som mer direkt tar sikte på respekten för den personliga integriteten. Det är följande regler.

I Avstå från publicitet, som kan kränka privatlivets helgd, om inte ett __oavvisligt allmänintresse kräver offentli belysning. Overväg särskilt noga publicerin av fami 'etv1ster och vårdnadsärenden med hänsyn til den ska a som kan förorsakas de berörda.

' Iaktta stor försiktighet vid publicering av självmord och självmordsförsök särskilt av hänsyn till anhöriga och vad ovan sagts om privatlivets helgd.

I Visa alltid offren för brott och olyckor största möjliga hänsyn.

' Framhäv inte i rubriker, på löpsedlar eller å annat sätt berörda personers ras, börd, nationalitet e ler kön, om detta är ovidkommande eller kan uppfattas som miss- krediterande. Samma princip gäller om yrkesbeteck- ningar, politisk tillhörighet e ler religiös åskådning.

• Sida 89
•  Original

5 .3 Internationella förhållanden

Dataskyddslagstiftningen i några med Sverige jämförbara europeiska stater uppvisar inte någon enhetlighet i sättet att behandla den personregistrering som sker inom massmedie- området.

Några staters dataskyddslagar gör, liksom den svenska data- lagen, inget undantag för sådan personregistrering. Andra länder har intagit en motsatt ståndpunkt och låter massmedierna inte omfattas av dataskyddslagstiftningen. På andra håll har man visserligen i princip undantagit massmedierna från tillämpningen av dataskyddslagarna, men likväl gjort vissa regler i dessa lagar tillämpliga på dem.

Bland de länder som i sina dataskyddslagar inte gör något undantag för massmedia kan nämnas Irland, Island, Luxem- burg och Storbritannien (Beträffande Storbritannien se avsnitt 7.4.3 1 SOU 1990:61).

Personregisterlagen i Finland däremot stadgar uttryckligen att lagen inte medför någon ändring i rätten att utge tryckta skrifter (se avsnitt 7.3.2 i SOU 1990:61). Av lagens förarbeten framgår dock att förandet av register som utgör bakgrundsmaterial för en tidskrift skall omfattas av personregisterlagens regler.

Den i Norge gällande personregisterlagen omfattar även personregistrering inom massmedieområdet (se avsnitt 7.3.4 i SOU 1990:61). Lagens bestämmelser om bl.a. insynsrätt och rättelseskyldighet omfattar alltså även sådan registrering. J ustitiedepartementethar dock från den gällande tillståndsplikten undantagit bl.a. dags- och veckopressens personregister, i den mån de används i journalistisk verksamhet, samt förlagsarkiv och förlagsregister som används vid utgivning av vissa slags lexika. En förutsättning för dessa undantag är att den register— ansvarige följer de villkor och krav som uppställts i justitie- departementets föreskrifter. Tillstånd behövs dock alltid om någon utomstående skall ha on-line tillgång till ett massmedie- register.

Nederländerna (se avsnitt 7.4.2 i SOU 1990:61) tillhör de länder vars dataskyddslagar helt undantar massmedierna. Den nederländska dataskyddslagen omfattar således inte de person— register som enbart är avsedda för att användas av press, radio och television i den publicistiska verksamheten.

• Sida 90
•  Original

I Belgien föreligger en proposition till en lag om skydd mot otillbörligt intrång vid registrering av personuppgifter vilken på motsvarande sätt som i Nederländerna helt undantar massmedi- ernas ADB-registrering.

Den registerlag som gäller i Danmark (se avsnitt 7.3.1 1 SOU 1990:61) för den privata sektorn är enligt sin lydelse inte tillämplig på registrering som sker för användning i biografier eller för publicering i allmänna uppslagsverk. Lagens regler gäller inte register som förs med elektronisk databehandling (EDB) och som enbart innehåller upplysningar som har publicerats i en periodisk skrift ("pressens informationsregi- stre"). Sådana register måste dock anmälas till dataskydds— myndigheten, registertilsynet, som kan fastställa föreskrifter för dem. Utlämnande av personuppgifter från ett dylikt register får endast ske om den registrerade samtyckt, det följer av lag eller uppgifterna lämnas ut för att publiceras i en periodisk skrift. Den registrerade har även rätt till insyn i ett sådant register.

I Frankrike (se avsnitt 7.4.1 i SOU 1990:61) undantar data— skyddslagen, La loi relative å l'informatique, aux fichiers et aux libertés (IFL), i viss utsträckning pressorgan, tryckta skrifter samt radio och television inom ramen för de lagar som gäller för dem och i de fall då en tillämpning av lFL:s bestämmelser skulle leda till inskränkning av yttrandefriheten. Undantaget gäller bl.a. lagens stadgande om förbud mot registrering av vissa känsliga uppgifter och kravet på medgivande vad gäller dataflöde över gränserna.

Sådana personuppgifter som bearbetas för uteslutande egna publicistiska ändamål av pressföretag, radioföretag och filmföre- tag omfattas i Tyskland endast av den tyska federala data- skyddslagens bestämmelser om datasäkerhet. Lagens övriga regler tillämpas dock på sådana uppgifter, om dessa används för andra syften, t.ex. om de utlämnas till någon utanför det egna företaget.

Även i Österrike är i princip massmedieområdet undantaget från dataskyddslagens tillämpning. Vissa av dess bestämmelser, främst stadgandena om datasäkerhet, gäller dock även för massmediernas register.

• Sida 91
•  Original

5 .4 Personregister hos tidningar m.m.

Enligt vad utredningen har inhämtat utnyttjas ADB-tekniken i dag i stor utsträckning hos i vart fall de större tidningarna. När det gäller framställningen av tidningar torde de flesta tidningar använda ADB som ett hjälpmedel. Det normala synes vara att varje journalist har tillgång till en persondator, med hjälp av vilken journalisten kan skriva och lagra sina artiklar. Det är i princip endast journalisten själv som har tillgång till denna information. När artiklarna är färdiga överförs de till tidningens stordator, där de normalt blir allmänt tillgängliga för redigering och sättning. Hos vissa tidningar överförs artikeltexten till ett särskilt datoriserat arkivregister. En tid efter sättningen rensas artikeln från stordatorn.

Det är något oklart i vilken utsträckning som personregister förekommer i den nu beskrivna verksamheten hos tidningarna. Det kan dock antas att en del journalister utnyttjar tekniken till att upprätta enklare register över t.ex. personer som kan tänkas bidra med information till tidningen.

Datortekniken utnyttjas även i övrigt för framställning av tidningar. Det förekommer således att det på familjeredak- tionerna förs s.k. jubilarregister från vilka uppgifter hämtas om olika bemärkelsedagar. Vidare förekommer det att telegram, som har kommit in under det senaste dygnet, samlas i en särskild registerfil. Telegrammen registreras under särskilda nyckelord vilka kan utgöras av personnamn. Telegrammen kan också innehålla personnamn. På ledarredaktionerna kan finnas register över personer som har deltagit med debattartiklar. Register kan också i princip bestå av bara namn, t.ex. vilka personer som har deltagit i en viss tävling eller som har den högsta årsinkomsten.

Register finns också som förs för mer administrativa ändamål och som således inte används som ett direkt led i framställ— ningen av tidningar. Exempel på sådana register är register över anställda, leverantörer, abonnenter och andra kunder. Enligt vad utredningen har erfarit förekommer det att uppgifter om utbetalningar till meddelare återfinns i löneregister över anställda. En annan typ av register som förs med hjälp av ADB är direktreklamregister och register som används för annan marknadsföring.

• Sida 92
•  Original

Till en del register av ovan redovisat slag har datainspektionen givit sitt tillstånd. 1 två fall (Pressens Bild Aktiebolag och Vestmanlands Läns Tidnings Aktiebolag) gällde frågan tillstånd att inrätta och föra personregister vars ändamål skulle vara att i publicistisk verksamhet för vissa tidningar ge upplysning om innehållet i tidigare publicerat material. I båda fallen över- klagades datainspektionens beslut till regeringen.

Registren innehåller artiklar i fulltext och sökning kan i princip göras på alla ord i artiklarna, exempelvis på person- namn, titel, bostadsort, organisations- och företagsnamn, liksom på särskilda ämnes- och nyckelord.

Pressens Bild Aktiebolag

Datainspektionens tillstånd var förenat med ett antal föreskrifter för att förebygga risk för otillbörligt intrång i personlig integritet. Fyra av dessa föreskrifter blev aktuella hos regering- en. Den föreskrift som närmast nu är av intresse är nr 5, som hade följande lydelse.

Personuppgifter som avses i 4 & första stycket datalagen får sedan fem år förflutit från publiceringen av uppgifterna inte vara sökbara på annat sätt än genom datum för publiceringen.

Pressens Bild Aktiebolag överklagade datainspektionens beslut och yrkade att föreskrift nr 5 skulle undanröjas eftersom den innebar en begränsning av tidningarnas möjligheter att tillgodose allmänhetens behov av bred och korrekt information.

Regeringen biföll överklagandet såvitt det avsåg föreskriften nr 5 och undanröjde föreskriften.

Som skäl för sitt beslut anförde regeringen bl.a. följande.

Fulltextdatabasen DN/X textdatabas kommer att innehålla uppgifter som avser enskilda personer och som kan hänföras till dessa, och den skall föras med hjälp av ADB. Uppgifterna skall kunna bearbetas och göras sökbara. Regeringen anser i likhet med DI och JK att databasen utgör ett personregister i datalagens mening.

Registret skall utgöra ett arkiv över artiklar som varit publicera- de i vissa tidningar och kommer inte att användas som ett direkt tekniskt hjälpmedel i själva framställningen av tidningarna. Registret är således något annat än vad som skulle kunna beteck- nas som ett produktionsregister, som tidningarna använder före eller vid tryckningen. Någon konflikt aktualiseras därför inte mellan TF och datalagen i fråga om register av denna karaktär. En annan sak är att det finns anledning till särskild varsamhet med restriktioner från det allmännas sida i fråga om personregister som har betydelse för utövandet av de grundläggande fri- och rättig- heterna, t.ex. tryckfriheten.

• Sida 93
•  Original

DI har beaktat detta då den vid en bedömning enligt 4 & datalagen ansett synnerliga skäl finnas att ge bolaget tillstånd att inrätta registret.

Med tiden kommer registret att innehålla en stor mängd person- uppgifter, varav inte så få av känslig natur. Här avses såväl uppgifter som avses i 4 & och 6 & andra stycket datalagen, som andra uppgifter som de registrerade på grund av antal och tidsaspekt ofta kan uppfatta som integritetskänsliga. Uppgifterna kommer att kunna återsökas, bearbetas och sammanställas med en lätthet och snabbhet som inte går att uppnå med ett motsvarande manuellt arkiv, och de skall inte gallras. Regeringen anser i likhet med DI och JK att den långa bevarandetiden av ett personregister av den omfattning och det innehåll som det nu är frågan om medför risk för otillbörligt intrång i den personliga integriteten.

Regeringen delar i och för sig bolagets uppfattning att bestäm— melser i TF och de pressetiska reglerna bl.a. syftar till att skydda den personliga integriteten. Dessa bestämmelser tar i första hand sikte på själva publiceringen av uppgifterna. Datalagen reglerar användningen av viss teknik och syftar till att förebygga att otillbörligt intrång i personlig integritet uppstår vid registrenng av uppgifter med hjälp av ADB. Det integritetsskydd som lagstiftaren har avsett ge den enskilde genom datalagen motsvaras bara i begränsad mån av det som TF och de pressetiska reglerna kan anses innebära. En förutsättning för att registret skall få föras är därför som DI funnit att erforderliga föreskrifter enligt datalagen meddelas till skydd för den personliga integriteten.

Föreskrift nr 5

DN/X textdatabas kommer att innehålla upp ifter om att någon misstänks eller dömts för brott eller varit öremål för tvångs- ingripande enligt vissa lagar (4 5 första stycket datalagen). Från integritetssynpunkt är det enligt DI nödvändigt att begränsa tidningarnas åtkomst till sådana uppgifter med hjälp av ADB.

Den föreskrift DI meddelat innebär bl.a. att det fem år efter publiceringen av en artikel, i vilken det finns en personuppgift om t.ex. misstanke om brott inte blir möjligt att söka på artikelförfat— tare eller på sådana ord som otvetydigt avser en sådan uppgift utan att vara personuppgifter, t.e.x namn på företag som för- knippas med misstanke om brott av någon person, dvs. inte på något annat sökbegrepp än publiceringsdatum. Härigenom begränsas registrets användbarhet i den publicistiska verksamheten avsevärt. Föreskriften får också till följ d att det inte blir tillåtet att söka på politiska förgrundsgestalter och "historiska" personer som nämns 1 samband med brott eller misstanke därom. Den be- gränsade sökmöjligheten kommer i stor utsträckning att röra uppgifter om s.k. offentliga personer beträffande vilka datalagens skyddsregler i detta sammanhang får anses göra sig mindre starkt gällande än i fråga om andra personer.

Det är givetvis av väsentligt intresse att tidningarna i sin publicistiska verksamhet får tillgång till material som redan publicerats. En lösning skulle kunna tänkas vara att låta åtkomsten 1 fråga om de mest känsliga uppgifterna avse endast "offentlig a personer". En sådan begränsning skulle dock sannolikt föra med Sig så stora praktiska problem att den inte kan användas. Mot- svarande svårigheter är förenade med andra liknande avgräns- ningar.

Att begränsa tidningarnas åtkomst till nu aktuella uppgifter på det sätt DI gjort innebär att arkivet i viktiga avseende inte kan användas i enlighet med syftet med det. Föreskriften får också

• Sida 94
•  Original

vissa effekter som inte framstår som motiverade av integritetsskäl. Den bör därför undanröjas. Vid denna bedömning beaktar regeringen att tillgången till uppgifterna i detta ärende (Jfr dnr 89- 1492) endast avser tidningarnas interna verksamhet och att tidningarna enligt de pressetiska reglerna skall avstå från publici- tet, som kan kränka privatlivets helgd, om inte ett oavvisligt allmänintresse kräver offentlig belysning.

Vestmanlands Läns Tidnings Aktiebolag

Även i detta ärende hade datainspektionen meddelat en före- skrift som innebar att personuppgifter som avses i 4 5 första stycket datalagen inte fick sedan fem år förflutit från publice- ringen av uppgifterna vara sökbara för berörda tidningar på annat sätt än genom datum för publiceringen. Efter över— klagande undanröjde regeringen föreskriften. Regeringens motivering var identisk med den i beslutet om Pressens Bild Aktiebolag.

När det gällde frågan huruvida allmänheten skulle ha åtkomst till registret medgav regeringen att sådan tillgång skulle få finnas under en period av fem år efter publiceringen. l beslutet i denna del anfördes bl.a. följande.

Det får anses vara ett starkt samhälleligt intresse att arkiverat material som varit publicerat i en tidning får vara tillgängligt hos tidningen. (E)mellertid (medför) arkiveringen med hjälp av ADB särskilda risker för otillbörligt intrång i den personliga integriteten och att register av förevarande slag kommer att innehålla integritetskänsliga uppgifter Här bryts mot varandra två viktiga intressen. Den intresseavvägning som måste göras är av den generella natur att den bör ske 1 sammanhang med datalagsutredningens arbete. Resultatet av detta arbete bör nu inte föregripas genom ett sådant ställningstagande i detta enskilda förvaltningsärende som skulle få principiell betydelse.

ADB—tekniken utnyttjas också i stor utsträckning inom Sveriges Radio-koncernen (Sveriges Radio AB, Sveriges Television AB, Sveriges Riksradio AB, Sveriges Lokalradio AB, Sveriges Utbildningsradio AB och Radiotjänst i Kiruna AB). Data- inspektionen har meddelat tillstånd till bl.a olika löne— och personalregister, abonnent— och kundregister samt leverantörs— register. Av andra register som förs inom koncernen är vissa särskilt intressanta i detta sammanhang. Här kan nämnas Sveriges Riksradios ABs register " Internt Sändningsarkiv, Ekoredaktionen & utlandsprogram" och "Riksradions program— databas" samt Sveriges Televisions ABs register "Nyhetsdatori- sering".

• Sida 95
•  Original

Internt Sändningsarkiv, Ekoredaktionen & utlandsprogram

Datainspektionen lämnade genom ett beslut den 1 december 1986 tillstånd för Sveriges Riksradio AB att inrätta och föra rubricerade personregister. Ändamålet med registret är enligt beslutet att det skall användas för att få fram uppgifter om inslag i bolagets egna nyhetssändningar. I beslutet föreskrivs bl.a. att uppgifter som är äldre än två år skall gallras vid årliga genomgångar av registret.

Av ansökningen i tillståndsärendet framgick att sådana utom— stående skulle registreras som intervjuas eller medverkar i sändningar. De uppgifter som skulle registreras var namn samt i förekommande fall arbetsgivare, yrke eller organisationstill— hörighet eller i vilken annan egenskap personen intervjuades eller medverkade. Ca 60.000 personuppgifter skulle registreras per år. Vidare skulle namnet på den hos bolaget anställde reporter som svarade för inslaget registreras samt dennes arbetsort. I fråga om denna kategori skulle registret omfatta ca 100 personuppgifter per år. Materialet skulle bearbetas och sorteras för att få fram urval av inslag av visst slag.

Datainspektionen konstaterade i skälen till sitt beslut att registret delvis skulle komma att omfatta personer, som saknade sådan anknytning till bolaget som avses i 3 a & datalagen, nämligen andra än medlemmar, anställda eller kunder hos den registeransvarige eller personer som hade annan därmed jämställd anknytning till denne. Datainspektionen konstaterade vidare att registret kunde komma att innehålla sådana uppgifter som anges i 4 & datalagen, dvs. uppgifter om politisk eller religiös uppfattning, brottslig verksamhet m.m, vilka får registreras endast om särskilda eller synnerliga skäl föreligger.

Datainspektionen fann dock med hänsyn till att registret närmast skulle vara att jämföra med ett litteratur- eller biblio— teksregister att sådana skäl förelåg att tillstånd kunde meddelas för registret. Datainspektionen hade då beaktat att uppgifterna i registret även omfattades av annan skyddslagstiftning.

Justitiekanslern överklagade datainspektionens beslut och yrkade att tillståndet skulle förenas med på lämpligt sätt utformade villkor om underrättelse till den om vilken en sådan uppgift som anges i 4 & datalagen skulle registreras samt om möjlighet för den som så önskade att få personuppgifter av detta slag förstörda.

Regeringen överlämnade i beslut den 21 maj 1987 till data— inspektionen att meddela ett villkor om skyldighet för den registeransvarige att underrätta personer som registreras i

• Sida 96
•  Original

personregistret. I skälen till beslutet anförde regeringen bl.a. att regeringen utgick från att registret skulle föras med beaktande av det tryckfrihets— och radiorättsliga anonymitetsskyddet.

Datainspektionen förskrev i beslut den 30 november 1987 att den registeransvarige minst en gång årligen i anslutning till den sändning från Ekoredaktionen som under det valda dygnet beräknades ha flest lyssnare skulle redogöra för registrets innehåll och ändamål. Datainspektionen fann att den gallrings- föreskrift som inspektionen redan meddelat i förening med de ändrade rättelsereglerna i datalagen tillgodosåg det behov som regeringen avsett i sitt beslut.

Sveriges Riksradio AB överklagade sistnämnda beslut och yrkade bl.a. att beslutet skulle upphävas i den del det avsåg skyldighet att informera om registret.

Regeringen konstaterade i beslut den 1 juni 1988 att registret utgjorde ett personregister i datalagens mening. I beslutet anförde regeringen vidare bl.a. följande.

Av utredningen i ärendet framgår att sådana särskilt känsliga personuppgifter som anges i 4 & datalagen i viss utsträckning kommer att finnas i registret. Till ståndet att föra registret bör därför, som regeringen redan uttalat i sitt beslut den 21 maj 1987, kompletteras med en föreskrift om informationsskyldighet.

Föreskriften kan för att fylla sitt syfte ges en sådan mer generell utformning som datainspektionen har angett i sitt yttrande i det nu aktuella ärendet. Av informationen om registret bör framgå att sådana känsliga uppgifter som sägs i 4 & datalagen kan komma att

registreras. Regeringen beslutar därför att föreskriften skall ha följande lydelse.

"Den registeransvarige skall minst en gång årligen i rikstäckande massmedium redogöra för registrets innehåll och ändamål. Av denna information skall framgå att sådana känsliga uppgifter som anges i 4 & datalagen kan ingå i registret".

Riksradions programdatabas

Datainspektionen beviljade genom ett beslut den 30 augusti 1990 tillstånd för Sveriges Radio AB att inrätta och föra rubricerade personregister. Registret används för att söka fram inspelade och lagrade radioprogram och innehåller bl.a. namn på upphovsmän, namn på personer som omtalats i program och namn på personer som medverkar i program. Datainspektionen konstaterade i skälen till sitt beslut att registret skulle komma att innehålla uppgifter om politisk eller religiös uppfattning och även uppgifter om brottslig verksamhet m.m., dvs. uppgifter som enligt 4 1; datalagen får registreras endast om särskilda respektive synnerliga skäl föreligger. Med

• Sida 97
•  Original

hänsyn till att registret är ett sökregister för framtagning av inspelade radioprogram som sänts i riksradion fann datainspek- tionen sådana särskilda och synnerliga skäl föreligga. Data— inspektionen fäste även stor vikt vid att rundradioverksamheten regleras av skyddslagstiftning och av etiska normer för radio och TV.

Datainspektionen anförde vidare i skälen att information till dem som kommer att vara registrerade allmänt sett är av stor betydelse för att förebygga otillbörligt intrång i personlig integritet. En föreskrift om information bedöms därför ofta vara behövlig för tillstånd att registrera personer som inte har anledning räkna med registreringen i fråga. För Sveriges Riks- radio AB såsom registeransvarig bör gälla att bolaget inom sändningsområdet minst en gång årligen skall informera om registret och redogöra för registrets ändamål och innehåll.

I tillståndsbeslutet meddelade datainspektionen följande villkor.

Minst en gång årligen skall på lämpligt sätt information spridas om registrets innehåll och ändamål. Av redogörelsen skall framgå att sådana känsliga uppgifter som anges i 4 & datalagen kan ingå i registret.

Informationsskyldigheten har hittills fullgjorts en gång genom annonsering i Dagens Nyheter, se bilaga 1 till detta betänkande.

Nyhetsdatorisering

Datainspektionen beviljade genom ett beslut den 21 februari 1991 tillstånd för Sveriges Television AB att inrätta och föra personregistret "Nyhetsdatorisering". Registret skall användas för att lagra dels externt inkommande nyhetsmaterial och dels eget nyhetsmaterial, som har sänts. De lagrade uppgifterna skall användas för egen vidaresändning antingen i form av nyhets- program eller andra program.

Av datainspektionens beslut framgår att uppgifterna i registret kommer att inhämtas från bl.a. externa källor till bolaget såsom TT, AP, Reuters, CNN och andra nyhetsbyråer. Vidare kommer registret att stå i direktkontakt med andra databaser av typ Affärsdata.

De registrerade uppgifterna kommer att bestå av dels den text som kommer från de ovan angivna texterna och källorna, dels den text som har lästs upp av nyhetsuppläsaren och dels den ursprungliga manustexten.

• Sida 98
•  Original

Bl.a. följande uppgifter kommer således att finnas i registret.

I Företags, myndigheters och organisationers kontaktpersoner samt telefonnummer och adresser till dessa.

I De personer som omnämns eller intervjuas i inslaget såsom exempelvis idrottsmän, verkställande direktörer i företag, politiker eller personer som misstänks för brott, åtalats eller dömts för brott.

I Annan känslig information som kan röra religiös upp- fattning, sjukdom och omdömen.

Bearbetning av de registrerade uppgifterna kommer att ske genom s.k. fritextsökning. Sökning och presentation av resultat kommer att ske via terminal.

I tillståndsbeslutet meddelade datainspektionen bl.a. följande villkor.

Den registeransvarige skall minst en gång årligen, å ett fram— trädande sätt, i rikstäckande massmedium redogöra ör registrets innehåll och ändamål. Av denna information skall framgå att sådana känsliga uppgifter som anges i 4 & datalagen och omdömen eller annan värderande upplysning enligt 6 5 datalagen kan ingå i registret.

Av intresse i detta sammanhang är också ett beslut enligt vilket Sveriges Riksradio AB fick tillstånd att föra ett person— register benämnt "Externt telefonregister".

Datainspektionen meddelade sitt tillstånd den 1 december 1986. Registret skulle användas i nyhetsverksamheten för att ta fram uppgifter om vem som lämpligast kunde sökas för en intervju eller bakgrundsinformation i ett visst ämne. I beslutet föreskrevs att bolaget skulle förstöra personuppgifter rörande en registrerad som begärde det.

Justitiekanslern överklagade datainspektionens beslut och yrkade att tillståndet skulle förenas med en föreskrift om att den som skulle registeras skulle underrättas om själva registreringen och om möjligheten att begära att personuppgifter i registret skulle förstöras. Ändamålet med registret var att kunna ringa upp personer som bedöms lämpliga för intervjuer eller bak- grundsinformation i olika ämnen. Det var enligt justitiekanslerns mening uppenbart att de aktuella personerna kunde ha ett berättigat intresse av att inte vilja bli störda på detta sätt.

• Sida 99
•  Original

Regeringen biföll överklagandet. I skälen till beslutet anförde regeringen bl.a. följande.

Till detta kommer att —————— det tryckfrihets- och radiorättsliga anonymitetsskyddet bör beaktas i sammanhanget. Det finns visserligen anledning utgå från att personer, som har velat vara anonyma när de har medverkat vid tillkomsten av program, inte kommer att röjas på grund av registerföringen. För eventuella framtida medverkande kan emellertid registreringen vara känslig av hänsyn till anonymitetsskyddet. Det är därför angeläget att de ges en reell möjlighet att själva bestämma om de vill vara registrerade eller inte. En sådan möjlighet skapas, om en före- skrift om underrättelseskyldighet meddelas.

En föreskrift om skyldighet för bolaget att underrätta dem som registeras i personregistret Externt telefonregister bör därför meddelas.

Vidare bör det i underrättelsema erinras om föreskriften i tillståndsbeslutet att den registeransvarige skall förstöra person— uppgifter rörande en registrerad som begär det.

Det bör i först hand ankomma på datains ektionen att närmare överväga hur den föreskrift bör vara ut omiad som nu skall meddelas.

Genom beslut den 21 december 1988 meddelade datainspek- tionen följande villkor om underrättelseskyldighet.

Den registeransvarige skall underrätta de registrerade om regist- rets ändamål och innehåll genom att en gång per år sända utdrag ur registret samt även underrätta om de registrerades rätt att på egen begäran bli strukna ur registret.

Sveriges Radio AB har avstått från att inrätta registret "Externt telefonregister" med hänvisning till de praktiska olägenheter som den meddelade föreskriften skulle komma att medföra.

5 .5 Särskilda frågor

I direktiven omnämns frågan om förhållandet mellan brottet dataintrång i 21 & datalagen och anskaffarfriheten enligt 1 kap. 1 & fjärde stycket TF.

En anskaffare är i princip fri från ansvar. TF skyddar emellertid inte själva tillvägagångssättet vid anskaffandet (prop. 1975/76:204 s. 129). Undantaget i fråga om metoden att inhämta uppgifter framgår av 1 kap. 9 &, i vilken paragraf det talas om det sätt på vilket en uppgift anskaffas. Vanliga regler gäller således för anskaffande som innebär brott mot posthem-

• Sida 100
•  Original

lighet eller telehemlighet, intrång i förvar, olovlig avlyssning, inbrott etc. (a.a. s. 131).

Med anledning av att JO hade berört ett fall av olovlig fotografering (förbud enligt skyddslagen) har föredragande statsrådet i prop. 1986/87:151 om ändringar i TF, s. 162, uttalat att olovlig fotografering synes vara ett sådant fall som avses i 1 kap. 9 5 och att paragrafen är tillämplig även då straffet inte enbart avser sättet för anskaffandet utan även när anskaffandet gäller en viss typ av uppgifter.

Lagrådet uttalade med anledning av lagrådsremissen rörande företagshemligheter att dataintrång är ett brott enligt 1 kap. 9 & TF. Det brottet tar enligt lagrådet liksom ovannämnda brott (brott mot posthemlighet etc.) endast sikte på metoden för inhämtande av uppgifter (1988/89zLU 30 s. 34).

Lagutskottet var i och för sig benäget att instämma i vad som uttalats i prop. 1986/87: 151 att straffbestämmelser som tar sikte inte enbart på det satt på vilket en uppgift anskaffas utan också på att anskaffandet avser viss typ av information inte är oförenliga med TF. I fråga om dataintrång anförde dock lag- utskottet följande.

Vad särskilt gäller lagrådets uttalande om brottet dataintrång vill utskottet framhålla att straffbestämmelsen i datalagen (19731289) avser att helt allmänt skydda datalagrat material mot obehöriga åtgärder (se prop. 1973:33 s. 105). Till det straffbara området hör bl.a. förfaranden som innebär att någon olovligen bereder sig tillgång till information som är f1xerad på någon form av data- medium oavsett om någon besittningsrubbning sker. Eftersom det synes vara själva anskaffandet av datalagrad information som straffbeläggs och inte tillvägagångssättet som sådant får det enligt utskottets mening anses osäkert om ansvar för dataintrång kan utdömas när någon skaffat sig sådan information i avsikt att den skall publiceras (1988/89zLU30).

Den nu redovisade frågan kommer enligt vad utredningen inhämtat att behandlas av datastraffrättsutredningen (Ju 1989:04). Problemet kommer därför inte att analyseras av datalagsutredningen.

• Sida 101
•  Original

5 .6 Överväganden

5.6.1. Finns det en konflikt mellan yttrandefriheten och datalagstiftningen?

Som har redovisats ovan (avsnitt 5.2.1) är det förbud mot censur som TF ställer upp av grundläggande betydelse för den som vill yttra sig i en tryckt skrift. Lika viktigt för yttrande— friheten är förbudet i TF mot andra åtgärder, som utgör hinder mot tryckning eller utgivning av en skrift eller dess spridning bland allmänheten (] kap. 2 & TF).

Förbudet mot hindrande åtgärder avser endast sådana åtgärder som motiveras av skriftens innehåll. Hindrande åtgärder som dikteras uteslutande av hänsyn till allmän ordning är således tillåtna. Hindret behöver inte vara absolut. Även åtgärder som verkar väsentligen försvårande eller ekonomiskt förlustbring— ande är, som ovan sagts, otillåtna.

En särskild rättighet för bl.a. författare och andra upphovs— män till framställningar i tryckta skrifter samt för meddelare är, som också har pekats på tidigare, rätten till anonymitet enligt 3 kap. TF. Den som författar t.ex. en tidningsartikel eller den som lämnar uppgifter för publicering i artikeln har rätt att slippa få sitt namn utsatt. I en rättegång mot tidningens ansvarige utgivare som gäller innehållet i artikeln får man inte ta upp frågan om vem som har skrivit eller lämnat uppgifter till artikeln. Den som har tagit befattning med artikeln på tidningen får inte avslöja vem författaren eller meddelaren är annat än i undantagsfall, t.ex. om denne samtycker till det eller en domstol löser honom från tystnadsplikten. Myndigheter och andra allmänna organ får inte forska efter vem författaren eller meddelaren är annat än om TF tillåter ett ingripande mot honom. Sammanfattningsvis kan man säga att anonymitets— skyddet åstadkommes på tre sätt, nämligen genom föreskrifter om förbud att sätta ut namn på skrift (1 5), om frågeförbud i rättegång och om efterforskningsförbud (2 och 4 55) samt om tystnadsplikt (3 å).

I den föreslagna 1 kap. 3 & yttrandefrihetsgrundlagen (YGL) kommer, som nämnts, att finnas regler om förbud mot censur och andra hindrande åtgärder vars innebörd i huvudsak svarar mot 1 kap. 2 & TF. Regler om rätt till anonymitet kommer att finnas i 2 kap. YGL, som i sak överensstämmer med mot- svarande regler i TF. Man kan alltså säga att de tryckfrihets-

• Sida 102
•  Original

rättsliga grundprinciperna om förbud mot censur m.m. och om anonymitetsskydd för den som medverkar till tillkomsten av en tryckt skrift skall gälla också för de medier som omfattas av den nya grundlagen, dvs. bl.a. ljudradio och television. Vid sidan om TF finns i dag i den radiorättsliga lagstiftningen förbud mot censur m.m. och anonymitetsskydd enligt samma principer som i TF. Sistnämnda regler torde emellertid till stora delar komma att upphöra då YGL träder i kraft.

Den nuvarande datalagen bygger, som ovan (avsnitt 5 .2.2) har redovisats, på ett tillståndsförfarande för register som bedöms som känsliga från integritetssynpukt. Dessutom utövar data- inspektionen tillsyn. I denna tillsyn innefattas bl.a. en rätt att få tillträde till de lokaler som har samband med ADB—verksamhet- en, att få tillgång till den dokumentation som rör databehand- lingen och att föranstalta om egna körningar av personregister (16 5). Det åligger vidare den registeransvarige att lämna datainspektionen de uppgifter som inspektionen begär för sin tillsyn (17 5). Har förande av ett personregister medfört eller kan förandet antas medföra otillbörligt intrång i personlig integritet, kan datainspektionen meddela villkor eller, om rättelse inte på annat sätt kan åstadkommas, förbjuda fortsatt förande av personregistret eller återkalla tillståndet (18 9).

Den nya ordning som utredningen föreslår innebär att tillståndsförfarandet slopas. Datainspektionen kommer att meddela föreskrifter om hur personregister skall föras som en komplettering till de grundläggade bestämmelserna i datalagen. En anmälningsplikt kommer att införas för de mer integritets- känsliga registren. Datainspektionens tillsynsverksamhet skall intensifieras. Inspektionen skall kunna förbjuda förande av vissa register.

Den fråga som utredningen har att ta ställning till är huruvida de föreskrifter som datainspektionen har att tillämpa i sin verksamhet och som har tillkommit för att skydda enskilds personliga integritet, dvs. främst föreskrifterna i datalagen men även andra författningar av samma, t.ex. särskilda registerlagar, eller lägre konstitutionell valör, kan komma i strid med vissa föreskrifter i TF. Praktiskt gäller frågan — för att ta ett exempel - huruvida villkor som datainspektionen meddelar för förandet av ett visst personregister eller inspektionens rätt att få insyn i personregister kan komma i konflikt med TFs och den blivande YGLs regler om förbud mot censur och andra hindrande åtgärder eller med rätten till anonymitetsskydd. Problemet torde ha störst betydelse hos tidningarna men kan också aktualiseras hos bl.a. radio- och TV-företagen och hos bokförlagen.

• Sida 103
•  Original

Såvitt utredningen har funnit är det främst bestämmelserna om förbud mot censur och andra hindrande åtgärder och om anonymitetsskyddet i TF och den blivande YGL som är av intresse för den fråga som här ställs. Utredningen begränsar därför den fortsatta framställningen till dessa bestämmelser.

Vad först gäller tidningarna framgår av redovisningen ovan (avsnitt 5.4) att personregister av ganska skilda slag förs med hjälp av ADB hos tidningarna. En typ av register är sådana som används som ett direkt tekniskt hjälpmedel i själva framställ- ningen av tidningarna. Exempel på detta är artiklar som utgör ett slags register över kända personers deklarerade inkomster, över framstående avlidna personer under ett år och över medlemmar i en förening. Även familjesidorna kan sägas vara exempel på sådana register. Sådana register som tidningarna använder före eller vid tryckningen kan betecknas som pro— duktionsregister. Andra register utnyttjas snarast som källor vid framställningen av en tidning. Ur dessa register, som här kallas för källregister, kan uppgifter hämtas för tillkomsten av en tidning. Ett exempel på källregister är register över personer som har lämnat uppgifter till en tidning och som därmed kan vara intressanta att kontakta i framtiden. Ytterligare exempel är klipparkiven, som berörs i det följande, och register över nyligen inkomna telegram. Det är alltså fråga om register som har direkt betydelse för publiceringsverksamheten. Andra register har närmast karaktären av administrativa register. Hit hör t.ex. löneregister över anställda, abonnent- och kundregis— ter, leverantörsregister, register över tidningsutbärare. Det är vidare inte ovanligt att tidningar inrättar tillfälliga direktreklam- register och andra liknande marknadsföringsregister.

Det finns kanske andra slags personregister hos tidningarna än de nu nämnda och ett register kan användas för olika ändamål. Särskilt intresse tilldrar sig de ovan närmare beskrivna klipp- arkivregistren, som utgör arkiv över artiklar som varit publi- cerade i vissa tidningar. Till den del klipparkiven används på tidningsredaktionerna av journalisterna har klipparkiven närmast karaktären av källregister. I den utsträckning som allmänheten kan utnyttja dem är arkiven dock något annat än källregister.

Vid en närmare granskning av de kollisioner som kan uppstå mellan TF, å ena sidan, och datalagstiftningen, å andra sidan, torde inledningsvis kunna hävdas att reglerna i den nuvarande datalagen om tillstånd och villkor för tillstånd ofta kan leda till konflikter med bestämmelserna i 1 kap. 2 & TF. Utredningen har emellertid föreslagit att tillståndsförfarandet skall utmönst- ras, varför just denna konflikt inte berörs vidare. Kvar står emellertid, såväl enligt den nu gällande som den kommande

• Sida 104
•  Original

datalagen, att datainspektionen kan uppställa olika mer eller mindre ingripande villkor för ett personregister och i undantags— fall förbjuda att registret förs.

Vad först gäller produktionsregistren kan det inte råda någon tvekan om att exempelvis sådana villkor för ett registers förande av datainspektionen som tar sikte på registrets innehåll ofta kan verka väsentligt försvårande för tryckningen och utgivningen av en tidning. Visserligen tar inspektionens villkor formellt sikte på registret som sådant, men eftersom registret i princip skall utgöra en del av tidningen rör villkoren i praktiken tidningens innehåll. Sådana villkor kan alltså stå i strid med 1 kap. 2 5 TF. Det får emellertid antas att vissa villkor av mindre ingripande slag beträffande ett produktionsregister inte behöver komma i konflikt med TF. Det är dock svårt att närmare ange var denna gräns går. En generös tolkning av TF leder emellertid till att det i tveksamma fall får anses uppstå en kränkning av 1 kap. 2 & TF.

De bestämmelser i datalagen som mer allmänt rör den registeransvariges skyldigheter - alltså de som avser att registret skall föras för ett bestämt ändamål, skyldigheten att föra en för- teckning över förekommande personregister, skyldigheten att rätta oriktiga uppgifter, skyldigheten att lämna registerutdrag etc. - torde normalt när det gäller produktionsregistren inte komma i strid med 1 kap. 2 & TF.

Vad därefter gäller sådana källregister som inte avser med- delare torde den tillsyn som datainspektionen utövar genom bl.a. beslut om olika villkor kunna verka väsentligt försvårande för framställningen av en tidning och därmed komma i konflikt med 1 kap. 2 åTF . Vid en ren bokstavstolkning av 1 kap. 2 & TF kan naturligtvis hävdas att villkor rörande ett källregister, som ju på ett annat sätt än produktionsregistren har betydelse för en tidnings innehåll, inte kan ge upphov till någon konflikt av nu nämnt slag. Ett sådant synsätt är emellertid enligt utredningen alltför formalistiskt. En lojal tolkning av paragrafen innebär att villkor rörande ett källregister bör ses som preven- tiva ingripanden i förhållande till tryckningen som kan komma i konflikt med grunderna för 1 kap. 2 & TF. En förutsättning för detta är dock att det är fråga om källregister som är direkt avsedda som ett stöd för den journalistiska verksamheten. Sådan karaktär har bl.a. klipparkivregistren och register över nyligen inkomna telegram. Vad som nu har sagts gäller däremot inte register som närmast kan betecknas som litteratur— eller biblioteksregister. Inte heller hör hit material som en journalist samlar in som underlag för en planerad artikel. Liksom ovan har sagts om produktionsregistren torde dock beträffande käll-

• Sida 105
•  Original

registren vissa villkor av mindre ingripande karaktär och före- skrifterna som rör den registeransvariges allmänna skyldigheter kunna vara sådana att någon konflikt av nu aktuellt slag inte uppstår.

En speciell typ av register som ovan har hänförts till käll- register är klipparkivregistren. Dessa register kan som har sagts ha olika ändamål. Ett sådant, det viktigaste får man anta, är att arkiven används i tidningarnas publicistiska verksamhet. Journalisterna utnyttjar alltså i det sammanhanget klipparkiv- registren för att skriva nya artiklar. Registren blir därmed ett hjälpmedel och många gånger en nödvändig förutsättning för framställningen av en tidning.

I den utsträckning som klipparkiven används för tidningarnas publicistiska verksamhet utgör de ett slags källregister i den meningen som utredningen tidigare har använt detta begrepp. Sådana villkor av datainspektionen som rör förandet av klipp— arkivregistren kan - med den tolkningen av 1 kap. 2 & TF som utredningen förordat — bli väsentligt försvårande för fram- ställningen av en tidning och därmed komma att stå i strid med TF.

Utredningen återkommer senare till frågan huruvida villkor som rör annan användning av klipparkivregistren än den publicistiska verksamheten också kan komma i konflikt med TF .

Till källregistren har utredningen även hänfört register över personer som har lämnat meddelanden till en tidning. Sådana personer åtnjuter, som har sagts ovan, anonymitetsskydd enligt TF . Föreskrifterna i datalagen, som medger att datainspektionen i sin tillsynsverksamhet tar del av alla personregister som förs med hjälp av ADB, synes sålunda - som utredningen nedan närmare skall belysa - kunna leda till att av TF skyddade uppgifter röjs för utomstående.

När det gäller andra register som förs hos tidningar, alltså främst olika administrativa register och marknadsförings- register, torde datalagens regelsystem normalt inte behöva leda till några konflikter med TF. Det är alltså här fråga om register som är av en mer allmän karaktär och som inte är direkt typiska för en tidning. Problem av ovan diskuterat slag kan dock inte helt uteslutas när det gäller nu nämnda register. Sålunda kan ett löneadministrativt register avseende anställd personal vid en tidning också innehålla uppgifter om utbetalningar till med— delare. Teoretiskt kan vidare villkor eller bestämmelser av datainspektionen rörande ett abonnent- och kundregister försvåra utgivningen av en tidning på sådant sätt att villkoren eller bestämmelserna kommer i konflikt med TF, om villkoren eller

• Sida 106
•  Original

bestämmelserna har tillkommit med hänsyn till tidningens innehåll (exempelvis p.g.a. kränkande och oanständiga artiklar).

Av den hittills gjorda genomgången framgår att konflikter kan uppstå vid tillämpningen av TF och datalagen på personregister hos tidningarna. Dessa konflikter tar sig uttryck på så sätt att datalagens regelsystem kan verka väsentligt försvårande för tryckningen eller utgivningen av en tidning. Vad det i praktiken handlar om är närmast mer ingripande villkor för förandet som meddelas av datainspektionen rörande främst tidningarnas pro- duktionsregister och källregister. Konflikten visar sig också på så sätt, att tidningarna kan ha personregister som innehåller uppgifter som är skyddade av tystnadsplikt men som datainspek— tionen likväl kan komma att få del av.

Utredningen har hittills uppehållit sig vid de kollisioner mellan TF och datalagen som kan uppstå hos tidningarna. Även om problemen torde vara något vanligare hos tidningarna, kan de uppstå även hos andra medier som skyddas av TF och som föreslås bli skyddade av YGL.

Av redovisningen ovan rörande förekomsten av personregister som förs med ADB-stöd inom Sveriges Radio—koncernen framgår att datainspektionen har uppställt olika mer eller mindre ingripande villkor för dessa register.

Det register som Sveriges Television AB för, "Nyhetsdatori— sering", har delvis karaktären av ett produktionsregister genom att det består av den text som nyhetsuppläsaren läser upp. Men detta register, liksom de register som beskrivits tidigare och som förs av Sveriges Riksradio AB, används också för till- komsten av program. De kan således betraktas som vad utredningen har valt att kalla för sådana källregister som är direkt avsedda som ett stöd för programverksamheten.

Det resonemang som utredningen ovan har fört beträffande de konflikter som kan uppstå vid tillämpningen av TF och data— lagen på personregister hos tidningarna gäller också enligt utredningen då YGL och datalagen tillämpas på personregister hos Sveriges Radio-koncernen.

I detta sammanhang kan särskilt framhållas att Sveriges Radio AB har avstått från att inrätta registret "Externt telefonnummer" p.g.a de olägenheter som datainspektionens villkor om under— rättelseskyldighet beträffande registrets ändamål och innehåll innebar. Enligt utredningens mening kan det ifrågasättas om villkoret hade kunnat meddelas, om YGL varit i kraft.

Konflikter av det slag som nu har beskrivits kan vidare - bara för att ta något exempel - uppstå inom förläggarbranschen. Där förekommer således produktionsregister, t.ex. vid tryckningen av matriklar samt kataloger och förteckningar av olika slag som

• Sida 107
•  Original

innehåller personuppgifter. Andra exempel på produktions- register är register som används för att framställa olika slags spärrlistor (se om dessa nedan). Villkor som rör dessa register kan alltså stå i strid med 1 kap. 2 & TF. Material som en författare har samlat in och lagrat i en dator kan emellertid inte anses utgöra register som skyddas av TF. Detsamma gäller material som en forskare har registrerat med anledning av ett vetenskapligt projekt.

De konflikter mellan 1 kap. 2 & TF och motsvarande bestäm- melser i YGL samt datalagstiftningen som har beskrivits nu beror på att olika normer är oförenliga i vissa situationer. Frågan är då vilken norm som skall vinna företräde. Vad som är speciellt för de nu aktuella fallen är att det rör sig om normer av olika konstitutionell dignitet. Å ena sidan är det TF, som är en grundlag, som är tillämplig. Regler om förbud mot censur finns visserligen i dag när det gäller radio och TV i vanlig lag, alltså inte i grundlag. Avsikten är emellertid att en reglering som motsvarar den som finns i TF skall flyta in i den nya YGL. Å andra sidan gäller det tillämpningen av främst datalagen och föreskrifter som har meddelats med stöd av den lagen, alltså föreskrifter i vanlig lag och myndighetsföreskrifter.

Det normala sättet för en myndighet att lösa normkonflikter mellan dels grundlagar och dels övriga av riksdagen beslutade lagar, regeringsförordningar samt föreskrifter utfärdade av förvaltningsmyndigheter är att använda vanliga lagtolknings- metoder. Om den vägen inte är framkomlig, gäller den princip— en att en författning av högre rang äger företräde framför en av lägre konstitutionell dignitet. I de av utredningen beskrivna kon— fliktsituationerna skall således i princip TF och YGL, som grundlagar, ta över datalagstiftningen. Denna princip brukar kallas för lex superiorprincipen.

En slutsats att normkonflikten mellan å ena sidan TF och YGL och å andra sidan datalagen skall lösas så att de två förstnämnda lagarna skall äga företräde kan möjligen sättas i fråga med hänsyn till bestämmelsen i 2 kap. 3 5 andra stycket RF. I denna bestämmelse föreskrivs nämligen att varje med— borgare skall, i den utsträckning som anges i lag, skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av ADB.

Bakgrunden till föreskriften i RF, som trädde i kraft den 1 januari 1989, var som redan framgått att ge integritetsskyddet på dataområdet en fastare förankring i RF än det hade genom målsättningsstadgandet i 1 kap. 2 & RF, vari bl.a. sägs att det allmänna skall värna den enskildes privatliv och familjeliv. Genom den nya regeln i RF åläggs lagstiftaren att vara aktiv

• Sida 108
•  Original

genom att stifta och vidmakthålla en datalagstiftning. Den nya grundlagsbestämmelsens rättsliga betydelse är, enligt för— arbetena, att datalagstiftningen skall utgöra en verklig och allvarligt menad skyddslagstiftning. Däremot ligger det i sakens natur att bestämmelsen inte kommer att kunna tillämpas direkt av myndigheterna (prop. 1987/88:57 s. 11).

En principiell skillnad föreligger således enligt utredningen mellan föreskrifterna om förbudet mot censur och andra hindrande åtgärder i TF och YGL samt den nya bestämmelsen i 2 kap. 3 & RF. De förstnämnda föreskrifterna riktar sig till myndigheter eller andra allmänna organ. Med det sistnämnda uttrycket avses även regeringen och riksdagen. TF och YGL förbjuder således datainspektionen att vidta någon som helst åtgärd som kan verka hindrande på sätt anges i TF och YGL. Det nya stadgandet i 2 kap. 3 (j RF har emellertid lagstiftaren — alltså riksdagen - som adressat. Enligt utredningen måste man mot bakgrund av det sagda utgå från att datainspektionen, i såväl ett enskilt fall som vid normgivning, måste böja sig för TF och YGL, trots föreskriften i 2 kap. 3 & RF.

Utredningen utgår således från att TF och YGL vad gäller censurförbud och andra hindrande åtgärder tar över datalag— stiftningen vid en eventuell normkollision.

Vad beträffar föreskrifterna i TF och YGL om anonymitets- skydd gäller visserligen att även de tar över andra föreskrifter av lägre konstitutionell valör. Någon direkt konflikt mellan TF och YGL, å ena sidan, och datalagens regler, å andra sidan, föreligger emellertid inte i detta fall. Datainspektionens till- synsverksamhet går inte ut på att efterforska författares, utgivares eller meddelares identitet utan har helt andra syften. Likväl kan inspektionens verksamhet ledatill problem i fråga om anonymitetsskyddet. Detta sammanhänger med att det enligt utredningen föreligger en betydande risk för att skyddade uppgifter oavsiktligt kan komma att röjas då datainspektionen utövar sin tillsyn. Detta problem har uppmärksammats i några liknande situationer, nämligen då tvångsmedel används mot en tidning och vid taxeringsrevision av en tidning. I det följande redovisas något hur man i olika sammanhang har sett på problemet i sistnämnda situationer. Enligt utredningens mening är motsvarande synpunkter som nu kommer att redovisas i allt väsentligt tillämpliga även när det gäller datainspektionens verksamhet för tillsyn av register hos tidningar m.m.

Frågan om hur man skall se på de konflikter som kan uppstå vid tillämpningen av reglerna om anonymitetsskyddet i TF och reglerna om straffprocessuella tvångsmedel togs upp av före—

• Sida 109
•  Original

dragande statsrådet i regeringens proposition om vissa tvångs— medelsfrågor (prop. 1988/89:124, s. 33 ff).

När det gäller direkt efterforskning genom beslag, husrann- sakan eller kroppsvisitation som ett led i utredning av brott som avses i 3 kap. 3 & punkt 4 TF eller i syfte att få fram bevisning i andra brottmål som avses i punkt 5 av samma paragraf uttalade sig föredragande statsrådet för en tolkning som innebär att, eftersom frågor inte får ställas till den tystnadspliktige utan domstolsförhandling, inte heller tvångsmedel får tillgripas mot honom till utrönande av det som han inte får röja. Föredragande statsrådet anförde vidare.

Detta anser jag följa redan av lagstiftningens utformning och ordalydelse och de uttalanden som gjorts i förarbetena till ändringarna i TF (prop. 1975/76:204). I 3 kap. 4 & TF har ju föreskrivits att, om efterforskning får förekomma, därvid skall beaktas den i 3 & angivna tystnadsplikten. I motiven anges (s. 113) att tystnadsplikten härigenom får sin motsvarighet i ett principiellt frågeförbud för polis och andra myndigheter. Detta innebär också att polis och åklagare inte kan använda tvångsmedel för att komma åt uppgifter hos dem för vilka tystnadsplikt gäller enligt 3 kap., 3 & 4 och 5 TF. Innehåller t.ex. en skriftlig handling en anonymitetsskyddad uppgift som är av direkt be- tydelse för utredningen av brottet, får åklagaren i stället för att ta handlingen i beslag försöka få rättens tillstånd till att få fram uppgiften vid förhör inför domstol med den person som kan tänkas sitta inne med informationen i fråga. Att tystnadsplikt inte gäller i vissa fall i fråga om brott mot rikets säkerhet följer av 3 kap. 3 5 3 TF.

Med denna tolkning av bestämmelserna anser jag att det skydd den enskilde har i dag mot direkt efterforskning av anonymitets— skyddade uppgifter vid tvångsmedelsanvändning har fått en rimlig avgränsning. Jag finner därför inte anledning att föreslå någon ytterligare lagstiftning i ärendet.

Konflikt med anonymitetsskyddet kan emellertid uppkomma vid tvångsmedelsanvändning i andra situationer än då sådana uppgifter direkt efterforskas. I denna del uttalade föredragande statsrådet bl.a. följande.

Enligt mitt förmenande är det viktigaste skyddet mot att integri- tetskänsli ga uppgifter röjs som en bieffekt av tvångsmedelsanvänd- ningen regler som förhindrar att ett tvångsmedel avsiktligt används för andra ändamål än det formellt beslutats för. Som jag nämnt i det föregående — - - ger vår tvångsmedelslagstiftning på straff- processens område klart besked om att ett avsiktligt användande av ett tvångsmedel utöver det ändamål för vilket det har beslutats inte får ske.

Härtill kommer att proportionalitetsprincipen, som av sedvänja anses gälla vid all utövning av tvångsmedelsbefogenheter, givetvis också har betydelse i bieffektsfallen. När jag nu föreslår att den principen lagfästs för de straffprocessuella tvångsmedlen, ger detta enligt min uppfattning ett förhöjt och tillräckligt skydd mot

• Sida 110
•  Original

obehörigt röjande av uppgifter, som inte är direkt efterforskade vid tvångsmedelsanvändningen.

Med hänvisning till det sagda föreslogs ingen ändring av gällande rätt i propositionen.

Frågan om anonymitetsskyddets förhållande till annan lagstift— ning har också aktualiserats på skatteområdet. Liksom i det nyss nämnda fallet är det på skatteområdet fråga om att sekretess— skyddade uppgifter oavsiktligt kan komma att röjas när vissa åtgärder vidtas.

Beträffande taxeringsrevision gäller enligt 3 kap. 13 å taxeringslagen (19901324) att revisorer har rätt att ta del av handlingar som är av betydelse för revisionen även om den som revideras skall iaktta tystnad om deras innehåll. När det finns synnerliga skäl får länsrätten dock på framställning av den som revideras besluta att sådana handlingar skall tas undan från revisionen (jfr prop. 1989/90:74, Ny taxeringslag m.m. s. 399).

Även i bevissäkringslagen (1975:1027) för skatte— och av— giftsprocessen finns bestämmelser om särskilt hänsynstagande till bevismedel som innehåller skyddade uppgifter. Enligt 18 5 skall sålunda en skriftlig framställning göras till länsrätten om undantagande, om den hos vilken verkställighet sker anser att bevismedel som är eller har varit under beslag helt eller till viss del skall undantas från granskningen därför att han har att iaktta tystnad om dess innehåll. Länsrätten får bifalla framställningen, om synnerliga skäl föreligger härför (20 5).

Frågan om det finns ett effektivt skydd för anonymiteten vid taxeringsrevision togs upp av tvångsmedelskommittén i be- tänkandet (SOU 1984:54) Tvångsmedel - Anonymitet - Integri— tet. I betänkandet redovisade kommittén en skrivelse till finansdepartemenet i vilken föreslogs att regler om en slags konsumtionsskatt för dem som mottog tipsarvoden från tid— ningarna skulle införas. Syftet var att införa ett effektivare skydd än det som följer av taxeringslagen för meddelares anonymitet. Skrivelsen har inte lett till någon lagstiftning (betänkandet s. 315 1). Liknande tankar (en definitiv källskatt) hade framförts av yttrandefrihetsutredningen i betänkandet (SOU 1983:70) Värna yttrandefriheten (s. 128 f).

I bevissäkringslagen för skatte- och avgiftsprocessen har tagits in en ny paragraf (6 a 5), som trädde i kraft den 1 januari 1988, vilken innehåller en proportionalitetsregel. Paragrafen innebär att vikten av att uppnå syftet med en tvångsåtgärd enligt lagen skall ställas i relation till de olägenheter som åtgärden för— orsakar den som utsätts för den. I förarbetena till bestämmelsen uttalar fördragande statsrådet att, vid bedömningen av det intrång eller annat men som en tvångsåtgärd innebär, de

• Sida 111
•  Original

negativa konsekvenser ingripandet kan få för tredje mans rättsligt skyddade intressen, t.ex. för en meddelare eller för en advokats klient, bör beaktas (prop. 1987/88:65, s. 79). Utredningen har med redovisningen ovan velat peka på de brister som finns i anonymitetsskyddet på några andra områden än datalagsområdet. Risken för att uppgifter som är skyddade av TF skall röjas för obehöriga vid t.ex. användningen av tvångsmedel är som framgår inte försumbar. Enligt utredningen är denna risk minst lika stor, när datainspektionen utövar tillsyn över bl.a. tidningarna. Detta sammanhänger främst med att 3 kap. 4 & TF inte förhindrar datainspektionen från att utöva tillsyn över tidningarnas register även om uppgifter som omfattas av tystnadsplikt därvid råkar röjas. Sammanfattningsvis har utredningen hittills konstaterat att konflikter kan uppstå vid tillämpningen av TF och i framtiden även av YGL och datalagen, dels genom att datalagens regel- system i viss utsträckning kan verka försvårande för framställ— ningen av olika yttranden och dels genom grundlagarnas regler om anonymitetsskydd. Enligt utredningen får man utgå från att 1 kap. 2 & TF och motsvarande bestämmelser i YGL skall tillämpas framför datalagstiftningen vid en eventuell konflikt.

5.6.2. Utredningens förslag

Grundlagarnas förbud mot hindrande åtgärder och datalagens regelsystem

Utredningen har alltså kommit fram till att bestämmelserna i 1 kap. 2 5 TF och motsvarande bestämmelser i YGL kan komma i konflikt med datalagens regelsystem och att grundlagarnas regler vid normkonflikt har företräde framför andra regler. Innebörden av det sist sagda är att datalagen helt eller delvis sätts ur spel beträffande vissa personregister.

Den fråga utredningen då har att ta ställning till är huruvida denna avvägning, mellan å ena sida intresset av yttrandefrihet och å andra sidan behovet av att skydda den enskilde mot sådant otillbörligt intrång i den personliga integriteten som kan bli följden av registrering av personuppgifter, är rimlig.

Till en början kan konstateras att vissa av de nu aktuella registren kan vara ganska integritetskänsliga till sin natur. Som exempel härpå kan nämnas produktionsregister som innehåller särskilt ömtåliga uppgifter om enskilda. Om man ser det enbart från integritetssynpunkt, är det givetvis otillfredsställande om sådana register inte är föremål för datainspektionens tillsyn.

• Sida 112
•  Original

De intentioner som ligger bakom det nyligen gjorda tillägget till 2 kap. 3 & RF om skydd för den enskildes personliga integritet vid dataregistrering talar också för att integritets- skyddet inte får försummas när det gäller nu aktuella register.

Den nya bestämmelsen i 2 kap. 3 & RF skall ses mot den bakgrunden att integritetsfrågorna har en särskild vikt på ADB- området. Förmågan att skydda den personliga integriteten är nämligen av avgörande betydelse för utvecklingen på ADB— området. En grundförutsättning för att ADB-tekniken skall kunna utnyttjas är att människorna inte känner främlingskap och upplever tekniken som ett hot mot den personliga integriteten. Genom bestämmelsen i 2 kap. 3 & RF fick integritetsskyddet på dataområdet en fastare förankring än genom målsättnings- stadgandet i 1 kap. 2 5 RF, som föreskriver att det allmänna skall värna den enskildes privatliv och familjeliv (prop. 1987/88:57, s. 6 och 9).

Vad som nu har sagts gör att det kan sättas i fråga om det är rimligt att datalagen skall vika för TF och YGL. Det finns emellertid omständigheter som talar för att den nuvarande ordningen innebär en lämplig avvägning mellan de olika intressen som här står mot varandra.

Även om vissa register som är av intresse kan vara integri- tetskänsliga gäller detta långt ifrån alla. De flesta produktions- register liksom exempelvis sådana källregister som avser nyligen inkomna telegram, vilka är relaterade till personer, torde ofta vara helt harmlösa. Datainspektionens hittillsvarande erfarenheter tyder inte heller på att några allvarligare integritets- risker är förknippade med nu aktuella register.

Av avgörande betydelse för principfrågan är emellertid enligt utredningen att den grundlagsskyddade friheten att yttra sig i skrifter och andra medier inte bör begränsas, om det inte är nödvändigt med hänsyn till motstående intresse. Något så uttalat intresse att en begränsning bör ske finns enligt utredningens mening inte. Man kan inte heller bortse från att de möjligheter som det här är fråga om för en myndighet att ingripa mot t.ex. tidningarna i förlängningen kan innebära ett hot mot den fria åsiktsbildningen. Det är mot denna bakgrund som utredningen menar att den nuvarande ordningen att TF vid normkonflikt tar över datalagen är den mest lämpliga. Som framgår av redo- görelsen nedan har emellertid tryckfrihetsförordningen i vissa delar fått stå tillbaka för kreditupplysningslagens integritets- skyddsbestämmelser när det gäller offentliggörande av kredit- upplysning, bl.a. i form av s.k. spärrlistor.

• Sida 113
•  Original

Utredningen har således stannat för att nuvarande ordning enligt vilken 1 kap. 2 & TF och motsvarande bestämmelser i YGL i princip tar över datalagen vid konflikter är i huvudsak rimlig. Det är emellertid till undvikande av missförstånd angeläget att det i den blivande datalagen tas in en regel som anger i vilka fall lagen inte är tillämplig.

I det följande kommer utredningen att något närmare ange när den blivande datalagen inte bör vara'tillämplig till följd av att TF och YGL tar över. Det är alltså i huvudsak inte fråga om att åstadkomma några sakliga ändringar av gällande ordning utan ett förtydligande av datalagstiftningen.

För det första bör enligt utredningen produktionsregistren, alltså personregister som används som ett direkt tekniskt hjälpmedel före eller vid framställningen av ett grundlags- skyddat yttrande, uttryckligen undantas från datalagens till- lämpningsområde. Som har sagts i avsnitt 5.5.1 torde data- inspektionens tillsynsverksamhet med stöd av datalagen kunna leda till konflikter med 1 kap. 2 & TF och de parallella bestäm- melserna i YGL. Som emellertid också har framhållits i nämnda avsnitt är det inte givet att all tillsynsverksamhet skall behöva få denna konsekvens. Vidare torde den registeransvariges allmänna skyldigheter enligt datalagen inte komma i strid med 1 kap. 2 & TF och motsvarande bestämmelser i YGL.

En fråga som här inställer sig är huruvida det är rimligt att datalagen helt sätts ur spel när det gäller produktionsregistren, om det finns ett utrymme att tillämpa lagen på produktions- register utan att någon konflikt uppstår med grundlagarna.

Det är enligt utredningens mening knappast praktiskt när det gäller tillsynsverksamheten att låta datalagen få ett så begränsat tillämpningsutrymme som det här skulle vara fråga om. Vad det i praktiken handlar om är att datainspektionen skulle kunna besluta om villkor av mindre ingripande slag. Bortsett från den jämförelsevis ringa betydelse sådana villkor har för integritets- skyddet kan datainspektionen inte - om dessa mindre ingripande villkor inte efterlevs - skärpa villkoren utan att 1 kap. 2 & TF eller motsvarande bestämmelser i YGL överträds. Mot bak- grund härav och även med hänsyn till de gränsdragnings- problem som här annars skulle uppstå anser utredningen att produktionsregistren helt bör undantas från datalagens regler om tillsynsverksamhet.

Vad därefter gäller datalagens föreskrifter om den register- ansvariges allmänna skyldigheter kan det naturligtvis inte bestridas att det från integritetssynpunkt skulle ha ett visst värde om dessa föreskrifter gällde för produktionsregistren. Som har sagts ovan torde detta i och för sig vara möjligt utan att någon

• Sida 114
•  Original

konflikt uppstår med 1 kap. 2 & TF eller motsvarande bestäm— melser i YGL.

Vad som ändå talar mot en lösning som innebär att reglerna om den registeransvariges allmänna skyldigheter blir tillämpliga på produktionsregistren är att datainspektionen knappast skulle ha några möjligheter att ingripa, om reglerna inte efterlevs. Ingripanden från datainspektionens sida - som i sista hand kan innebära ett förbud att föra registret - skulle nämligen med all sannolikhet komma i konflikt med 1 kap. 2 & TF och mot— svarande bestämmelser i YGL. Mot denna bakgrund förordar utredningen att datalagen inte heller i denna del skall kunna tillämpas på produktionsregistren. Utredningens förslag så här långt innebär alltså att produktionsregistren - alltså register som används som tekniskt hjälpmedel vid framställningen av skrifter och andra yttranden som skyddas av TF och YGL - i sin helhet undantas från datalagen. Som framgår av det förda resone- manget innebär detta i allt väsentligt ingen ändring av vad som redan i dag gäller, eftersom TF och YGL i egenskap av grundlagar tar över datalagen.

Den omständigheten att datalagen inte är tillämplig på pro- duktionsregistren torde från integritetssynpunkt inte innebära några allvarligare betänkligheter. De register som det här är fråga om torde i allmänhet inte vara speciellt integritetskänsliga, detta särskilt med tanke på att de många gånger är ganska kortlivade, även om ett eller annat kan vara av integritets— känsligt slag. Även uppgifternas karaktär är mestadels ganska harmlösa, t. ex. om det är fråga om register som inrättas för tidningarna familjesidor. Härtill kommer att produktions- registren, vars innehåll normalt flyter in i en tidning, blir föremål för pressens självsanering. Enligt utredningens mening kan man utgå från att pressens egen bevakning när det gäller tillämpningen av god publicistisk sed utgör en tillräcklig garanti för att integritetsintressena så vitt nu är i fråga inte kommer att trädas för när.

En typ av produktionsregister är, som tidigare har nämnts, register som används för att framställa olika slags spärrlistor. Inom vissa branscher har det blivit vanligt att sprida information om kunder i form av spärrlistor. En spärrlista är en förteckning över personer som anses ha misskött sig i sitt mellanhavande med en uthyrare eller en kreditgivare.

Spärrlistor ges i allmänhet ut av en branschorganisation eller ett särskilt företag. Prenumeranter på spärrlistor är vanligtvis företag som bidrar till innehållet genom att lämna uppgifter till utgivaren från sina kundregister. Syftet med spärrlistorna är att

• Sida 115
•  Original

varna företagen för att träffa avtal med dem som finns om- nämnda i listan.

Uppgifter som lämnas till ledning för bedömningen av en annan persons kreditvärdighet eller vederhäftighet i övrigt i ekonomiskt hänseende innebär kreditupplysning.

Kreditupplysningsverksamhet är reglerad i kreditupplysnings- lagen (1973:1173). Sådan verksamhet får i princip bedrivas endast efter tillstånd av datainspektionen. Lagen innehåller straffsanktionerade förbud mot vissa slag av uppgifter, bl.a. om politisk eller religiös uppfattning, ras eller hudfärg och om straff och andra brottspåföljder (6 5). Personupplysning får inte heller innehålla uppgifter om betalningsförsummelser som inte har lett till rättsliga åtgärder samt om förhållanden som ligger mer än tre år tillbaka i tiden (7 och 8 55). Lagen stadgar vidare ersättningsskyldighet för skada, som till följd av kreditupplys- ningsverksamhet tillfogas någon genom otillbörligt intrång i hans personliga integritet eller genom att oriktig uppgift lämnas om honom, samt skyldighet för den som bedriver verksamheten att rätta oriktiga eller missvisande uppgifter (21 och 12 55). Jfr avsnitt 3.2.5.

En spärrlista kan framställas på olika sätt. Det vanligaste lär dock vara att den ges ut som en tryckt skrift. Frågan om förhållandet mellan TF och kreditupplysning i tryckt skrift togs med anledning av den förestående lagstiftningen om kredit- upplysningsverksamhet upp redan i regeringens proposition 1973:123 med förslag till ändring i tryckfrihetsförordningen. Propositionen ledde till vissa ändringar av TF genom att det i TF infördes bl.a. det nu gällande stadgandet som innebär att bestämmelser utan hinder av TF får meddelas i lag dels om förbud mot offentliggörande i yrkesmässig kreditupplysnings- verksamhet av kreditupplysning, som innebär otillbörligt intrång i enskilds personliga integritet eller som innehåller oriktig eller missvisande uppgift, dels om ersättningsskyldighet för sådant offentliggörande och dels om rättelse av oriktig eller miss- visande uppgift (1 kap 9 & TF).

Frågan togs därefter upp igen i regeringens proposition om förslag till kreditupplysningslag (prop. 1973: 155). Förslaget till kreditupplysningslag anpassades i vissa avseenden till TF. Bl.a. framhöll föredragande statsrådet att det inte bör öppnas någon möjlighet att i en lag som meddelas vid sidan av TF införa bestämmelser om förhandsgranskning och tillståndstvång beträffande kreditupplysningsverksamhet som bedrivs genom offentliggörande av kreditupplysning i tryckt skrift. I den nya lagen borde därför enligt föredragande statsrådet föras in en bestämmelse om att det föreskrivna tillståndstvånget inte

• Sida 116
•  Original

omfattar sådan verksamhet (prop. 1973:155 s 130 ff). En bestämmelse med sådant innehåll finns numera i 3 5 kredit- upplysningslagen.

Som utredningen ovan anfört är ett spärregister, som är avsett att användas som ett direkt tekniskt hjälpmedel före eller vid framställningen av en skrift, att anse som ett produktions- register. Med utredningens förslag till förtydligande av vad gällande rätt innebär skulle således datalagen inte vara tillämplig på spärregistren.

Kreditupplysningslagen torde enligt utredningens mening ge tillräckliga möjligheter för datainspektionen att ingripa mot olika integritetskränkningar som kan följa med användningen av spärregister och spärrlistor. Ingripanden mot spärrlistorna kommer nämligen att återverka på spärregistren, som ju direkt används för tryckningen av listorna. Vad som nu har sagts gäller också annat tryckt material än spärrlistor som kan komma till användning i kreditupplysningssammanhang.

För det andra bör enligt utredningen källregistren, alltså de register som är direkt avsedda som ett stöd för den journa— listiska verksamheten, för programverksamheten etc., uttryck— ligen undantas från datalagens tillämpningsområde. Som exempel på sådana register har utredningen ovan nämnt register över personer som har lämnat uppgifter till tidningar, alltså i praktiken register över meddelare. Andra nämnda exempel är register, som är personrelaterade, över nyligen inkomna telegram. I den mån klipparkivregistren används för tidningar— nas publicistiska verksamhet, eller annorlunda uttryckt journa- listerna använder registren i sin journalistiska verksamhet, får klipparkiven som utredningen sagt ovan anses utgöra käll— register. Flera av de register som enligt vad ovan har sagts förs hos Sveriges Radio-koncernen är också källregister i den ovan angivna meningen. De register som utredningen här kallar för källregister kan kanske någon gång också anses utgöra pro- duktionsregister.

Vad gäller källregistren torde - varvid utredningen tills vidare bortser från personregister över meddelare - samma resonemang kunna föras som utredningen har gjort beträffande produktions— registren. Det innebär alltså att datainspektionens tillsynsverk— samhet med stöd av datalagen ofta torde kunna leda till kon- flikter med 1 kap. 2 & TF och motsvarande bestämmelser i YGL. Det är emellertid inte givet att konflikter alltid behöver uppstå och den registeransvariges allmänna skyldigheter enligt datalagen torde inte heller behöva leda till några konflikter av nu aktuellt slag. Som ett exempel på ett mindre ingripande villkor kan nämnas det villkor om informationsskyldighet som

• Sida 117
•  Original

meddelats beträffande registret "Riksradions programdatabas", se bilaga I till detta betänkande.

De argument som ovan har framförts beträffande produktions- registren till stöd för att helt undanta dem från datalagen kan enligt utredningen i allt väsentligt åberopas även beträffande källregistren. Utredningen har därför kommit till samma slutsats när det gäller källregistren som beträffande produktions- registren.

Innebörden av utredningens ståndpunkt beträffande käll- registren blir att klipparkivregistren bör undantas från data— lagens tillämpningsområde, eftersom exempelvis villkor be- träffande dessa register väsentligen kan försvåra framställningen av artiklar. En särskild fråga är emellertid om klipparkiv- registren bör undantas från datalagen även i den del som de har andra ändamål än att tjäna tidningarnas publicistiska verksamhet. Denna fråga har visserligen inte aktualiserats för motsvarande register som förs inom Sveriges Radio-koncernen. Vad utredningen i fortsättningen anför beträffande klipparkiv— registren är emellertid i allt väsentligt också tillämpligt på registren hos radioföretagen.

Klipparkiven kommer utan tvekan att bli känsliga från in- tegritetssynpunkt. De kommer med tiden att innehålla en stor mängd personuppgifter, varav inte så få av känslig natur. Uppgifterna kommer att kunna återsökas, bearbetas och sammanställas med stor lätthet. Uppgifterna kommer vidare att bevaras under lång tid. Som ett exempel på en integritetskänslig bearbetning kan nämnas att alla artiklar som rör en persons brottsliga förehavanden inhämtas. En sådan sammanställning kan i praktiken jämställas med ett kriminalregisterutdrag. Sammanställningen är emellertid betydligt känsligare bl.a. därför att ett kriminalregisterutdrag gallras.

Det nu sagda talar med viss styrka för att klipparkivregistren inte bör undantas från datalagen då de används för andra ändamål än att tjäna tidningarnas publicistiska verksamhet, t.ex. att ge allmänheten tillgång till registren. Om datalagen är tillämplig, kan nämligen datainspektionen meddela nödvändiga villkor för allmänhetens tillgång.

En fråga som då inställer sig är vilka begränsningar som skulle kunna göras i allmänhetens tillgång till registren. Ett sätt att åstadkomma en begränsning är att låta allmänheten få tillgång endast till artiklar som är publicerade under de senaste åren. Ett sådant villkor avser alltså en tidsbegränsning. Ett annat sätt är att begränsa allmänhetens möjligheter att söka i registren. En sådan begränsning skulle kunna gå ut på att allmänheten bara fick "bläddra" i registren och på så sätt fick del av alla

• Sida 118
•  Original

artiklar som var införda i tidningen under en viss dag. En begränsning i sökmöjligheterna kan också åstadkommas genom att endast vissa ord är sökbara för allmänheten. Ytterligare ett sätt att begränsa allmänhetens tillgång till klipparkiven är att göra endast sådana uppgifter tillgängliga som rör offentliga personer. Tanken bakom en sådan begränsning skulle vara att offentliga personer får i större utsträckning än icke offentliga personer finna sig i att bli granskade av allmänheten. Andra möjliga begränsningar kan vara att allmänheten får tillgång till registren endast om ett medgivande finns från den enskilde, om avsikten med utlämnandet är att uppgifterna skall publiceras i eller om uppgifterna behövs för forskning. | Flera invändningar kan emellertid riktas mot att allmänhetens tillgång begränsas på något sätt som nu angivits. Mot en begränsning i allmänhetens tillgång till registren talar framför allt att registren endast innehåller ett återgivande av tryckta skrifter. En begränsning påverkar allmänhetens frihet att aktivt inhämta samhällsinformation, som har funnits tryckt. När det gäller integritetsriskerna skall också framhållas att de pressetiska reglerna innebär att tidningarna skall avstå från publicitet som kan kränka privatlivets helgd, om inte ett oavvisligt allmän- & 1

118 SOU 1991:21 1 !

intresse kräver offentlig belysning.

Ytterligare en invändning mot att begränsa allmänhetens tillgång är de gränsdragningsproblem som kan uppstå, om datalagen görs tillämplig såvitt gäller allmänhetens tillgång till registren men inte vad gäller den publicistiska verksamheten. Vilka konsekvenser får det för den publicistiska verksamheten, om datainspektionen beslutar om villkor för allmänhetens tillgång som rör vilka personuppgifter som får ingå i registret, den tekniska utrustningen, bevarande och gallring, rättelser etc.? Enligt utredningen kan det knappast uteslutas att sådana villkor får återverkningar även beträffande registrens använd- ning i den publicistiska verksamheten.

Man kan också peka på de praktiska problem som kan uppstå. Det är således förenat med betydande kostnader om allmän- hetens sökmöjligheter begränsas i förhållande till tidningarnas _ egna möjligheter. Det förutsätter stora ingripanden i ADB— ' systemen. Vidare är det naturligtvis mycket svårt att dra gränsen mellan offentliga och icke offentliga personer. Det är också svårt för tidningarna att bedöma riktigheten av ett påstående om att begärda uppgifter skall publiceras eller användas för forskning. Hur skall vidare gränsen dras mellan forskning och annan utredningsverksamhet? Ett villkor om tidsbegränsning torde däremot kunna hanteras praktiskt av tidningarna.

• Sida 119
•  Original

Vid en samlad bedömning finner utredningen att den lämplig- aste lösningen är att klipparkivregistren helt undantas från datalagens tillämpningsområde. Den nu angivna lösningen innebär att det blir tidningarna själva som får avgöra i vilken utsträckning som allmänheten får tillgång till klipparkiven. Det saknas enligt utredningen anledning att anta att tidningarna inte skulle kunna sköta denna uppgift med tillbörlig hänsyn till integritetsintressena.

Anonymitetsskyddet och datalagen

Utredningen har ovan något redovisat de problem som kan uppstå när det gäller att skydda meddelare då tvångsmedel används mot exempelvis en tidning. Uppgifter om en med- delares identitet är visserligen skyddade vid direkt efterforsk- ning genom reglerna i 3 kap. 3 och 4 åå TF och motsvarande regler i YGL. Däremot finns det, som framgår av den tidigare redovisningen, en viss risk för att sådana uppgifter kan komma fram i andra situationer än då uppgifterna direkt efterforskas.

För att i någon mån försöka komma till rätta med den risk som det finns för att skyddade uppgifter röjs, har proportionali- tetsprincipen lagfästs när det gäller användningen av straff— processuella tvångsmedel och tvångsmedel enligt bevissäkrings- lagen för skatte- och avgiftsprocessen. Vidare innebär taxerings- lagen att länsrätten, om synnerliga skäl föranleder därtill, kan besluta att en handling som innehåller sekretesskyddade uppgifter skall undantas från revision. Förslag om effektivare skydd för anonymiteten har i olika sammanhang väckts men har inte lett till någon lagstiftning.

Enligt utredningens mening saknas det anledning att anta något annat än att riskerna för ett oavsiktligt röjande av anonymitetsskyddade uppgifter är lika stora när datainspektionen utövar tillsyn över en tidning eller ett radioföretag som när andra myndigheter använder sig av straffprocessuella tvångs- medel och tvångsmedel på skatteområdet. Problemet synes visserligen i praktiken för närvarande inte vara så stort, eftersom datainspektionen inte tycks utöva någon nämnvärd tillsyn hos dessa företag. Men med den nya datalagstiftning som utredningen förordar, som förutsätter en intensifierad till— synsverksamhet, kan en annan ordning bli aktuell.

Något tillspetsat kan man alltså säga att gällande rätt innebär att intressena av att beivra brott, driva in skatter och skydda den personliga integriteten i viss utsträckning får ta över intresset av ett effektivt anonymitetsskydd. Det kan enligt utredningens mening ifrågasättas om detta är en riktig avvägning. Självfallet

• Sida 120
•  Original

väger de förstnämnda intressena mycket tungt. Samtidigt måste

man dock hålla i minnet att rätten till anonymitet utgör en

hörnpelare i den svenska yttrandefrihetsrätten. Ingen skall

behöva avstå från att berika informationen till allmänheten p.g.a. rädsla för att hans namn skall uppenbaras för obehöriga.

Med hänsyn till de risker för oavsiktliga kränkningar av anonymitetsskyddet som i dag föreligger talar starka skäl för att datalagen inte bör vara tillämplig på personregister som

] innehåller uppgifter som är omfattade av anonymitetsskyddet i ' TF och YGL. Mot ett sådant undantag kan dock anföras att

något motsvarande undantag av hänsyn till anonymitetsskyddet inte har gjorts i tvångsmedelslagstiftningen. I detta sammanhang bör också tilläggas att det får förutsättas att datainspektionen skulle utöva tillsyn av tidningarna och radioföretagen med all tänkbar respekt för anonymitetsskyddet.

När det gäller den nu beskrivna konflikten mellan anonymi- tetsskyddet och datalagen vill utredningen dock särskilt fram- hålla följande.

Utredningen har inte närmare lyckats klargöra hur vanligt förekommande register över personer som har lämnat med- delanden till en tidning är. Detta beror på att dylika register, i den mån de finns, ofta förs av journalisterna själva. För närvarande torde man kunna räkna med att de av journalisterna förda registren i ganska stor utsträckning förs manuellt. Det får dock antas att utvecklingen går mot att registreringen sker alltmer med hjälp av ADB med tanke på den ökande använd- ningen av datorer hos tidningarna. När det gäller radioföretagen har utredningen inte fått den uppfattningen att det där finns några register över meddelare.

Utredningen har vid sina kontakter med olika företrädare för tidningar fått det intrycket att register av nu aktuellt slag knappast är speciellt integritetskänsliga. Det rör sig inte om några omfattande register och uppgifterna om de enskilda är normalt harmlösa. Det finns således enligt utredningen inget stöd för att anta att de register som det här är frågan om medför någon nämnvärd risk för otillbörligt intrång i den personliga integriteten, i varje fall inte om man gör en mer allmän integritetsbedömning.

Från en synpunkt är dock de nu aktuella registren särskilt känsliga, nämligen vad gäller just identiteten på den som har lämnat meddelanden till en tidning. Det är just vikten av att den enskilde meddelarens namn inte röjs som gör det så viktigt att anonymitetsskyddet är effektivt. Saken kan också uttryckas så att anonymitetens betydelse ligger just däri att den stannar exklusivt mellan medieföretaget och meddelaren. Enligt

• Sida 121
•  Original

utredningens mening kan det mot denna bakgrund hävdas att ett fullgott anonymitetsskydd är det i princip kanske viktigare sättet genom vilket integriteten skyddas.

Slutsatsen av det nu förda resonemanget bör enligt utred— ningen bli att datalagen inte bör vara tillämplig på person— register som innehåller uppgifter som är omfattade av anonymi— tetsskyddet i TF och YGL. Till stöd för denna ståndpunkt vill utredningen också erinra om bestämmelserna i 1 kap. 2 & TF.

Utredningen har ovan konstaterat att källregistren, alltså register som framställare av yttranden direkt använder som stöd för framställningen av ett yttrande, bör undantas från datalagens tillämpningsområde. Bakgrunden härtill är att datainspektionens tillsynsverksamhet avseende källregistren ofta torde kunna leda till konflikter med 1 kap. 2 & TF och motsvarande bestämmelser i YGL, genom att villkor som meddelas av inspektionen kan verka väsentligt försvårande för tryckningen och utgivningen av en tidning m.m.

Enligt utredningens mening är detta resonemang tillämpligt också beträffande ett register över meddelare, som ju är ett slags källregister. Innebörden härav är att datainspektionen i stor utsträckning är förhindrad från att exempelvis meddela villkor rörande ett meddelarregister. Det resonemang som utredningen ovan har fört om andra källregister är enligt utred— ningen även i övrigt i allt väsentligt tillämpligt även på sådana källregister som är personregister över meddelare.

Vissa följdfrågor

I det följande tar utredningen upp några följdfrågor som kan komma att aktualiseras med anledning av utredningens förslag.

En sådan fråga rör tidningarnas register som förs för admini- strativa ändamål. Det är alltså fråga om register över anställda, leverantörer, abonnenter och andra kunder. Det kan, som utredningen har antytt, inte helt uteslutas att t.ex. föreskrifter som datainspektionen meddelar för sådana register kommer i konflikt med TF. Som ett teoretiskt exempel kan nämnas att datainspektionen p.g.a. ett registers innehåll meddelar före— skrifter beträffande prenumerantregister som väsentligen försvårar utgivningen av en tidning. Sådana föreskrifter torde komma i konflikt med 1 kap. 2 & TF och är således inte möjliga att meddela.

De nu antydda situationerna torde emellertid inte ha någon praktisk betydelse. Enligt utredningens mening är det därför inte nödvändigt att uttryckligen erinra om att datalagen i fall som dessa inte är tillämplig.

• Sida 122
•  Original

Ett annat problem som sammanhänger med de administrativa registren uppstår om, vilket tycks förkomma, ett löneadmini- strativt register innehåller uppgifter om såväl dem på tidningen som får lön eller arvode med anledning av utfört arbete som dem som har fått ersättning med anledning av tips. De sist- nämnda uppgifterna omfattas av tystnadspliktsföreskriften i 3 kap. 3 & TF men inte de förstnämnda. Den frågan inställer sig då, om datainspektionen är förhindrad att ta del av registret i sin helhet eftersom det delvis innehåller sekretesskyddade uppgifter.

Det problem som här har tagits upp har vissa berörings- punkter med vad som brukar kallas för god offentlighetsstruk— tur. Med detta menar man att myndigheterna självmant skall beakta den grundlagsfästa principen om allmänna handlingars offentlighet vid all hantering av information. Den alltmer omfattande användningen av ADB hos myndigheterna har emellertid i vissa avseenden lett till ökade problem vid till- ämpningen av reglerna om handlingsoffentlighet i 2 kap. TF. Under år 1982 infördes därför särskilda bestämmelser om ADB— upptagningar i 15 kap. sekretesslagen (1980:100) för att förstärka offentlighetsprincipen i dessa sammanhang. I 15 kap. 9 & sekretesslagen finns numera en uttrycklig erinran om att myndigheter som i sin verksamhet använder ADB skall ordna denna med beaktande av offentlighetsintressena (prop. 1981/82:37, KU 21, rskr. 163). Avsikten med bestämmelsen är bl.a. att myndigheterna i det konkreta fallet skall beakta TFs regler, t.ex. vid systemutformning.

Regeringen har i en nyligen avlämnad proposition om offentlighet, integritet och ADB (prop. 1990/91:60) föreslagit vissa preciseringar av begreppet god offentlighetsstruktur. Dessa innebär bl.a. att 15 kap. 9 & sekretesslagen kompletteras genom att föreskrifter tas in om att myndigheterna särskilt skall beakta att allmänna handlingar bör hållas åtskilda från andra handlingar samt att skyddet av sekretessbelagda uppgifter i ADB—upp- tagningar som är allmänna handlingar bör vara sådant att insynen enligt TF inte försvåras.

En tanke bakom den redovisade lagstiftningen är således att hemliga uppgifter bör skiljas från icke hemliga uppgifter. Enligt utredningens mening bör denna princip gälla även tidningarnas löneadministrativa register. Reglerna i 15 kap. 9 & sekretess- lagen är emellertid inte tillämpliga hos tidningarna. Frågan är då om det finns något behov av lagstiftning på området.

Problemet med hemliga och icke hemliga uppgifter i ett och samma register hos tidningarna synes inte vara praktiskt stort. Vidare förhåller det sig givetvis så att tidningarna inte kan

• Sida 123
•  Original

undanhålla datainspektionen de icke hemliga uppgifterna. I ett konkret fall måste alltså tidningarna påta sig det praktiska arbetet med att skilja uppgifterna åt. Utredningen finner mot bakgrund härav övervägande skäl tala för att någon lagstiftning på området inte är erforderlig.

Ett praktiskt problem som möjligen kan bli något vanligare i framtiden till följd av utredningens förslag är att register— ansvariga kan tänkas göra okynnesinvändningar om att datalagen inte är tillämplig, då inspektionen avser att utföra tillsyn. Frågan är hur dessa situationer skall hanteras av datainspek- tionen.

Enligt utredningens mening torde problemet normalt få lösas på det sättet att den som uppger att hans register är undantaget från datalagens tillämpningsområde måste göra sitt påstående härom antagligt. Ett sådant påstående kan givetvis endast göras antagligt om den registeransvarige gör gällande att han för ett produktionsregister eller ett källregister i den mening som utredningen har använt begreppen och omständigheterna i övrigt är sådana att man kan anta att ett sådant register förs. Så länge han inte kan göra detta är det rimligt att datainspektionen får vidta de åtgärder som behövs för tillsynens utförande.

Utredningens förslag torde förutsätta en deklaration enligt art. 3 punkt 2 a) i Europarådets dataskyddskonvention om att konventionen inte tillämpas på vissa kategorier av person— register.

Alternativa läsningar

Om man nu ändå anser att datalagen skall vara tillämplig på de register som enligt utredningen bör undantas från datalagen, har utredningen övervägt hur en sådan ordning skulle kunna genomföras. En del av dessa alternativ förutsätter att TF och YGL ändras. Utredningen antyder här nedan helt kort vad dessa alternativ går ut på.

Ett alternativ är att man åstadkommer en ordning som innebär att allmänhetens pressombudsman (PO) deltar i datainspektion- ens verksamhet då det t.ex. är fråga om tillsyn av en tidning. Fördelen härmed skulle vara att de massmediala intressena kunde tillgodoses vid eventuella konflikter med TF. Olägen— heten med en lösning av nu nämnt slag är bl.a. att PO:s roll blir kluven. PO är formellt knuten till tidningarna och har deras uppdrag att på eget initiativ eller efter anmälan påtala avvikelser från god publicistisk sed i periodisk skrift. Denna roll är knappast förenlig med att biträda datainspektionen i dess uppgift att utöva tillsyn över tidningarna. Därtill kommer att det är

• Sida 124
•  Original

svårt att finna en lämplig lösning om meningsmotsättningar skulle uppstå mellan P0 och datainspektionen.

Ett annat alternativ som har övervägts av utredningen är att datainspektionens uppgifter, eller, i varje fall vissa av dem, skulle ankomma på en särskild nämnd. Denna nämnd, som alltså skulle vara en myndighet, skulle bestå av företrädare för bl.a. datainspektionen och tidningarna. Fördelen med denna ordning skulle vara att eventuella konfliktsituationer skulle kunna hanteras smidigare än annars på grund av nämndens kvalificerade sammansättning. Den avgörande invändningen mot en nämnd av nu beskrivet slag är emellertid enligt utredningen att nämndens verksamhet, likväl som datainspektionens, kan leda till icke acceptabla begränsningar i de rättigheter som TF ger. Detta gäller för övrigt också den tidigare antydda ord- ningen där PO deltar i datainspektionens tillsyn.

Utredningen har också övervägt ett alternativ som innebär att datainspektionen kan ingripa mot register av nu aktuellt slag men endast i vissa fall. En sådan begränsning skulle kunna gå ut på att inspektionen fick rätt att ingripa endast om särskilda skäl talade härför. Sådana skäl skulle t.ex. kunna anses före— ligga om inspektionen hade fått motta många eller allvarliga klagomål beträffande ett visst register. Eventuellt skulle skäl för ingripande också kunna föreligga om Pressens opinionsnämnd fann att en tidning allvarligt hade brutit mot god publicistisk sed. En lösning av nu skisserat slag skulle troligen leda till att datainspektionen skulle ingripa i endast sällsynta fall. Utred- ningen har ändå inte velat förorda denna lösning av samma skäl som anförts mot att överlåta datainspektionens uppgifter till en särskild nämnd.

• Sida 125
•  Original

6. Personregistrering ianställnings- förhållande

6.1. Direktiven

Enligt utredningsdirektiven (s. 4 ff) bör övervägas om det behövs särskilda regler för de personregister som arbetsgivare för och som innehåller uppgifter om arbetstagare. Härvid bör enligt direktiven beaktas vad som redovisas i rapporten (Ds 1989:24) Datatekniken och den personliga integriteten i arbetet - en kartläggning. Rapportens innehåll redovisas i avsnitt 6.5.2.

6.2. Gällande rätt

6.2.1. Datalagen

Personregistrering i anställningsförhållande är inte särreglerad i datalagen (19732289). Merparten av de personregister som arbetsgivare för närvarande för med hjälp av ADB och som innehåller uppgifter om de anställda torde vara sådana som enligt 2 & datalagen får föras utan tillstånd. I vissa fall kan dock registren innehålla sådana uppgifter av känsligt slag, t.ex. värderande omdömen eller uppgifter om en anställds hälsa eller sjukdom, som medför att, förutom licens, även tillstånd av datainspektionen krävs. Tillstånd kan också behövas om personuppgifter skall inhämtas från något annat personregister, s.k. sambearbetning.

Beviljas tillstånd meddelar datainspektionen enligt 5 5 datalagen beslut om ändamålet med registret. I den mån det behövs för att förebygga risk för otillbörligt intrång i personlig integritet kan även meddelas ett eller flera villkor enligt 6 &

• Sida 126
•  Original

datalagen. Föreligger särskilda skäl får tillståndet begränsas till viss tid.

Vid bedömningen av om villkor behövs för att förebygga risk för otillbörligt integritetsintrång skall datainspektionen enligt 6 5 andra stycket datalagen särskilt beakta om registret inne— håller uppgift som utgör omdöme eller annan värderande upplysning om den registrerade.

För att underlätta hanteringen av tillståndsärenden har data— inspektionen före den 1 juli 1982 tillämpat ett förenklat ansök— nings- och tillståndsförfarande i fråga om mindre integritets— känsliga register (se SOU 1990:61 s. 60 ff och avsnitt 6.2.3 nedan). Motsvarande register får därefter inrättas utan tillstånd.

Enligt 7 a & datalagen är den registeransvarige, i detta fall arbetsgivaren, skyldig att föra en förteckning över de person— register som han är ansvarig för. Förteckningen skall innehålla uppgift om registrets benämning, registrets ändamål, lokalen där den automatiska databehandlingen huvudsakligen utförs, numret på licensen hos datainspektionen och i vad mån personuppgifter lämnas ut för automatisk databehandling i utlandet. Förteck— ningen skall vara aktuell och hållas tillgänglig för datainspek- tionen.

Datalagen innehåller inte någon bestämmelse - utöver 10 5 om rätten till insyn - som direkt tar sikte på information till den registrerade. Datainspektionen kan dock med stöd av 6 & datalagen besluta om en sådan skyldighet för en arbetsgivare i egenskap av registeransvarig.

6.2.2. Vissa arbetsrättsliga bestämmelser

Vissa bestämmelser i arbetsmiljölagen(1977:1160) och lagen (1976:580) om medbestämmande i arbetslivet har också betydelse för arbetstagarnas möjligheter till inflytande över införande och användning av datasystem på arbetsplatserna.

Enligt 2 kap. 1 % arbetsmiljölagen skall arbetsmiljön vara tillfredsställande med hänsyn till arbetets natur och den sociala och tekniska utvecklingen i samhället. Vidare sägs att arbets— förhållandena skall anpassas till människans förutsättningar i fysiskt och psykiskt avseende samt att det skall eftersträvas att arbetet anordnas så, att arbetstagare själva kan påverka sin arbetssituation.

I förarbetena till arbetsmiljölagen (prop. 1976/77:149 s. 227 ff) pekade departementschefen särskilt på de nackdelar som införandet av och användningen i arbetslivet av styrsystem baserade på ADB kunde innebära och framhöll vikten av att

• Sida 127
•  Original

representanter för arbetstagarna var med redan från början vid förberedelse av sådana system.

Enligt 6 kap. 4 & arbetsmiljölagen skall skyddsombud delta bl.a. vid planering av nya eller ändrade lokaler, anordningar, arbetsprocesser och arbetsmetoder. Arbetsgivare har även skyldighet att underrätta skyddsombud om förändringar av betydelse för skyddsförhållandena inom ombudets område. Sådana frågor skall enligt 6 kap. 9 & arbetsmiljölagen behandlas i en skyddskommitté, när sådan har inrättats. Skyddskommitténs inflytande inbegriper frågor om införande av ny teknik, förändringar av styr— och kontrollsystem eller andra förändring- ar av arbetsorganisationen.

Arbetarskyddsstyrelsen har meddelat vissa föreskrifter och allmänna råd som rör frågor om införande av ny teknik i arbetet, vilka publicerats i arbetarskyddsstyrelsens författnings- samling (AFS). Sålunda finns allmänna råd om psykiska och sociala aspekter på arbetsmiljön (AFS 1980:14) och om datorstöd i arbetet (AFS 1986:27), föreskrifter och allmänna råd om arbete i utgångskassa (AFS 1986:1) samt föreskrifter om arbete vid bildskärm (AFS 1985: 12).

I en nyligen beslutad lagrådsremiss föreslås ändringar i bl.a. arbetsmiljölagen i syfte att förstärka skyddet för arbetstagarna och ge arbetsgivarna ett större ansvar på området.

Enligt 11 & medbestämmandelagen skall arbetsgivare på eget initiativ förhandla med arbetstagarorganisation i förhållande till vilken han är bunden av kollektivavtal, innan han beslutar om viktigare förändring av sin verksamhet. Detsamma skall iakttas innan arbetsgivare beslutar om viktigare förändring av arbets- och anställningsförhållandena för arbetstagare som tillhör organisationen. Om synnerliga skäl föranleder det får arbets- givaren fatta och verkställa beslut innan han fullgjort sin förhandlingsskyldighet.

Finns lokal arbetstagarorganisation skall förhandlingsskyldig- heten enligt 14 & medbestämmandelagen fullgöras i första hand genom förhandling med denna. Uppnås inte enighet vid förhandlingen skall arbetsgivaren på begäran förhandla även med central arbetstagarorganisation.

Enligt 19 & medbestämmandelagen skall arbetsgivare fort— löpande hålla arbetstagarorganisation i förhållande till vilken han är bunden av kollektivavtal underrättad om hur hans verksamhet utvecklas produktionsmässigt och ekonomiskt liksom om riktlinjerna för personalpolitiken. Arbetsgivaren skall dessutom bereda arbetstagarorganisationen tillfälle att granska böcker, räkenskaper och andra handlingar, som rör arbets— givarens verksamhet, i den omfattning som organisationen

• Sida 128
•  Original

behöver för att tillvarata medlemmarnas gemensamma intressen i förhållande till arbetsgivaren. Informationsskyldigheten gäller enligt 20 & medbestämmandelagen i första hand lokal arbets- tagarorganisation samt i förekommande fall även central arbets- tagarorganisation.

Mellan parter som träffar kollektivavtal om löner och allmän- na anställningsvillkor bör enligt 32 & medbestämmandelagen, om arbetstagarparten begär det, även träffas kollektivavtal om medbestämmanderätt för arbetstagarna i frågor som avser ingående och upphörande av anställningsavtal, ledningen och fördelningen av arbetet och verksamhetens bedrivande i övrigt.

I anslutning till medbestämmandelagen har träffats olika medbestämmande- och utvecklingsavtal som kan få betydelse i samband med införandet av ny teknik. Endast ett fåtal avtal synes emellertid ha slutits som direkt omfattar den datoriserade hanteringen av personuppgifter på arbetsplatsen. Jfr avsnitt 6.5.2.

6.2.3. Datainspektionens föreskrifter m.m.

Datainspektionen införde år 1979 ett förenklat förfarande för vissa slag av löne— och personalregister,(föreskrifterför vissa löne- och personalregister, DIFS 197912).

Föreskrifterna, som trädde i kraft den 1 februari 1980, angav vad datainspektionen generellt sett ansåg kunna godtas från in— tegritetssynpunkt beträffande dessa personregister. I och med att den generella tillståndsplikten upphörde den 1 juli 1982 för löne- och personalregister som inte innehåller känsliga uppgifter (se avsnitt 4.3 i SOU 1990:61) har föreskrifterna efter detta datum tillämpats som riktlinjer i datainspektionens verksamhet och som allmänna råd. De gäller dock fortfarande som före- skrifter för de register som inrättades före den 1 juli 1982.

Som registerändamål anges i föreskrifterna att ett löne- och personalregister endast får användas för administration av löner m.m., personaladministration, framställning av vissa med- delanden som den registeransvarige är skyldig att lämna enligt författning, kollektivavtal eller andra avtal med de registrerade samt för budgetering o.dyl. I föreskrifterna anges närmare vad som inbegrips i dessa registerändamål.

Enligt föreskrifterna får inte individuella prestationsmätningar företas av andra skäl än för löneuträkning. I föreskrifterna anges i detalj vilka slag av personuppgifter registret får inne- hålla. Registret får inte innehålla personuppgift som utgör omdöme eller annan värderande upplysning.

• Sida 129
•  Original

Protokoll från förhandling med berörda fackliga organisa- tioner enligt lagen (1976:580) om medbestämmande i arbetslivet ansågs i förekommande fall enligt föreskrifterna böra bifogas ansökan om tillstånd som gjordes före den 1 juli 1982.

Datainspektionen har i ett projekt, det s.k. företagshälsovårds- projektet, särskilt undersökt personregistreringen inom före- tagshälsovården. Som ett resultat av detta arbete utgavs år 1989 en informationsskrift om personregister inom företagshälso- vården.

Datainspektionens syn på löne- och personalregister har även kommit till uttryck i de allmänna råd om ADB-säkerhet för personregister som inspektionen gav ut år 1989. För vanliga löne- och personalregister anser inspektionen skyddsåtgärder på grundnivån, den lägsta av tre nivåer, vara tillfredsställande. För det fall ett personalregister innehåller t.ex. omdömen eller annan värderande upplysning bör skyddsåtgärderna ligga på en högre nivå. I råden framhålls vidare att alla som har tillgång till registret bör få tillräcklig utbildning om ADB—säkerhet och om datalagens innebörd. Det skall även finnas en dokumentation av systemen, och genom en behandlingshistorik (logg) bör det kunna visas vem som utfört eller beordrat en bearbetning eller vem som utnyttjat viss utrustning.

6.2.4. Datainspektionens praxis

Datainspektionen har handlagt ett antal ärenden under de senaste åren som gällt tillstånd för ADB-register över anställda. Dessa ärenden har avsett olika slag av registrering, inom såväl offentlig som privat verksamhet. En del har avsett registrering av uppgifter inför en anställning, omplacering eller rekrytering samt personregistrering i tids- och debiteringssystem. Vissa arbetsgivare har för intern rekrytering velat registrera uppgifter om anställdas utbildning, kompetens och arbetsförmåga. Vissa fall har avsett registrering av uppgifter om de anställdas hälsotillstånd, bl.a. uppgifter om sjukfrånvaro. Flera av ärende— na har avsett tillstånd till sambearbetning och utlämnande av registeruppgifter. Endast ett fåtal klagomål hos datainspektionen har rört löne- och personalregister.

En utgångspunkt vid inspektionens bedömning har varit att inga andra uppgifter skall finnas i register om anställda än sådana som är relevanta i det sammanhanget. Som tidigare nämnts har datainspektionen som riktlinjer vid sin bedömning använt sina föreskrifter för vissa löne- och personalregister samt sedan år 1989 även de principer som anges i Europarådets rekommendation om skydd för personuppgifter som används för

• Sida 130
•  Original

anställningsändamål (se avsnitt 6.4 nedan). I det följande ges några exempel på datainspektionens avgöranden på området, hämtade ur inspektionens årsböcker, till vilka hänvisning lämnas.

Rekryteringsregister

Tillstånd har beviljats för att registrera och under viss begränsad tid bevara uppgifter om arbetssökande som inte erhållit sökt tjänst under förutsättning att de arbetssökande informerats om den fortsatta registreringen och lämnat sitt uttryckliga med- givande därtill (1987/88 - 63'). I ett fall avslogs en ansökan om sådant tillstånd eftersom datainspektionen ansåg att de uppgifter om de arbetssökande som man avsåg att registrera var av sådan karaktär, att hänsynen till den registrerades integritet vägde tyngre än de rationaliseringsvinster som sökanden hade åberopat som särskilt skäl för registret (1986/87 - 43).

I ett annat avgörande har tjänsteförslagsnämnden för domstols- väsendet vägrats tillstånd att inrätta ett register som skulle innehålla omdömen och andra värderande uppgifter om sökande till domartjänster, detta med motiveringen att registret skulle bli i hög grad integritetskänsligt (1987/88 - 64).

Kompetens- och utbildningsregister

Inspektionen har i ett flertal fall meddelat tillstånd för kompe— tens— och utbildningsregister med villkor att såväl de personer som avsågs bli registrerade som de vilka skulle lämna uppgifter skulle informeras om registret och att all medverkan skulle vara frivillig. Förutom sådana villkor har även föreskrifter om bl.a. utlämnande och om gallring av uppgifter i sådana register meddelats (1986/87 - 42).

Register med uppgift om utfört arbete

Frågan om registrering av uppgifter om utfört arbete, dvs. ett slags mätning av prestation, har prövats bl.a. i det fall som redovisas i det följande.

Datainspektionen meddelade år 1974 televerket tillstånd att föra ett personregister med ändamål att utgöra hjälpmedel för över— vakning av funktionsdugligheten hos vissa anläggningar samt att tjäna som underlag för beräkning av lön. Vid en av datainspek- tionen senare utförd inspektion konstaterades att registreringen

• Sida 131
•  Original

omfattade bl.a. uppföljning av arbetstid samt arbetsinsatsernas omfattning och kvalitet för verkets reparatörer. Denna registre- ring motiverades enligt televerket av att den utgjorde underlag för lämplig personaldisposition, erforderlig utbildning för reparatörer m.m. Datainspektionen beslutade att televerket skulle ge in en fullständig ansökan om tillstånd att föra registret. Enligt den ansökan som därefter kom in till inspektionen skulle uppgifter om produktivitet, effektivitet, service och kostnader för hela verksamheten lämnas på månatliga rapporter. Person- koder för televerkets personal, s.k. reparatörsnummer, skulle visserligen finnas i systemet men inte på listor och rapporter. Personkoderna skulle användas vid utskrift av anmärkningsvärda resultat och en berörd reparatör kunde med stöd av koderna tillfrågas om grunduppgifterna eventuellt förts in felaktigt. Personkoderna skulle vidare vid specialuppföljningar kunna visa att vissa reparatörer varit sysselsatta med ett begränsat antal feltyper. Datainspektionen beslutade i mars 1977 att bevilja televerket tillstånd att längst till och med den 30 juni 1977 föra personregistret och föreskrev att uppgiften om reparatörsnum— mer skulle tas bort senast vid tillståndstidens utgång. Data- inspektionen fann att televerket mot fackklubbens bestridande inte borde få föra reparatörsnumren i registret, men att rätten att föra registret borde kvarstå under den kortare tid som kunde behövas för att lägga upp nya rutiner m.m. Televerket över- klagade beslutet och yrkade att ansökningen skulle bifallas. Det hävdade att en kontroll av arbetad tid och en redovisning på vilket sätt arbetstiden använts inte kunde betraktas som intrång i den personliga integriteten.

Justitiekanslern tillstyrkte bifall till överklagandet. Det var enligt hans mening naturligt att arbetsgivare - med hänsyn till det sätt på vilket verksamheten bedrevs - gjorde olika slag av rimlighetskontroller samt kontrollerade att berörda arbetstagare fullgjorde sin arbetstid och redovisade hur arbetstiden fördelats på olika arbetsuppgifter. Efter att televerket i en skrivelse till personalorganisationerna hade redovisat sin uppfattning om behovet av en fortsatt registrering av reparatörsnummer, förklarade Statsanställdas Förbund vid en förhandling att man inte längre hade något att erinra mot att verket företog sådan registrering.

Regeringen biföll år 1979 överklagandet och meddelade televerket tillstånd att föra det begärda registret. Regeringen fann att värdet av registret avsevärt skulle minska om anknyt- ningen till reparatörsnummer togs bort. Genom den inställning till registret som hade framkommit hos de anställda vid verket och med hänsyn till vad som i övrigt kommit fram i ärendet

• Sida 132
•  Original

fann regeringen vidare att det saknades anledning anta att otillbörligt intrång i de registrerades personliga integritet skulle uppkomma (1986/87, regeringsbeslut 79-9)

Registrering av bl.a. sjukdomsuppgifter

Tillstånd har beviljats för en arbetsgivare att inrätta och under tre år föra ett register över sjukhusanställda, innehållande uppgifter om orsaken till en ev. omplacering, bl.a. uppgifter som kan röra hälsotillstånd och sjukdomar.

Registret skall användas som ett administrativt hjälpmedel vid omplaceringar inom sjukhuset. Med hänsyn till huvudsakligen det ansvar som en arbetsgivare har att bereda en anställd andra arbetsuppgifter, då detta bedöms nödvändigt på grund av den anställdes hälsotillstånd eller av någon annan orsak och det sekretesskydd som uppgifterna åtnjuter, ansåg datainspektionen att tillstånd kunde beviljas.

Inspektionen, som vid sin bedömning bl.a. åberopade Europarådets rekommendation om skydd för personuppgifter i anställningsförhållanden, ansåg att ett villkor om information och frivillighet skulle meddelas. Med hänsyn till anställnings- förhållandet ansåg inspektionen vidare att det från integritets- synpunkt var tillräckligt att villkoret utformades så, att den registrerade skulle underrättas om registreringen och att denne särskilt kunde undanbe sig denna om han så önskade, dvs. passivt samtycke (1989/90 - 22).

Telefonsamtalsregistrering

Datainspektionen har år 1974 nekat ett företag att föra ett register över företagets interna telefonanknytningar från vilka hade utgått riks- och utlandssamtal.

Datainspektionen anförde i sitt beslut bl.a. att datalagen måste anses vara tillämplig på registret även om telefonanknytning inte utgjorde ett lika entydigt identitetsbegrepp som namn, person- nummer eller anställningsnummer. Detta gällde enligt inspek— tionen särskilt med hänsyn till att inte varje befattningshavare ensam disponerade en telefon. I vart fall för dem som hade egen telefon utgjorde registret enligt datainspektionen ett person- register.

Inspektionen anförde vidare att personalorganisationerna hade avstyrkt att registret inrättades bl.a. av det skälet att registret blev ett kontrollinstrument som kunde användas bl.a. för att kartlägga de anställdas kontakter. Inspektionen delade upp— fattningen att registret kunde - även vid en mycket strikt

• Sida 133
•  Original

användning — medföra otillbörligt intrång i enskilds personliga integritet.

Företaget överklagade beslutet och yrkade i första hand att registret inte skulle anses utgöra personregister i datalagens mening och i andra hand bifall till sin ansökan om tillstånd att inrätta och föra registret.

Justitiekanslern tillstyrkte bifall till överklagandet och anförde att det planerade registret enligt hans mening inte utgjorde något personregister.

Regeringen, som fann att det tilltänkta registret inte kunde anses som ett personregister i datalagens mening, undanröjde datainspektionens beslut och avvisade företagets tillstånds- ansökan (1986/87, regeringsbeslut 75-7).

Sambearbetning och utlämnande

Stockholms kommun ansökte år 1982 om tillstånd enligt datalagen att inrätta och föra ett personregister i vilket skulle ingå bl.a. uppgifter om den registrerades bostadsadress, c/o- adress och löneutbetalningsadress. Uppgifterna skulle inhämtas från kommunens eget löneregister, landstingets löneregister, Stockholms Lokaltrafiks löneregister samt det statliga löneuträk- ningssystemet SLÖR. Registret skulle användas för kontroll av folkbokföringen beträffande personer som var anställda hos vissa offentliga arbetsgivare inom kommunen. Adressetiketter skulle skrivas ut för personer med skilda mantalsskrivnings- och löneutbetalningsadresser och användas för utskick av informa— tion om skyldighet att anmäla flyttning.

Datainspektionen avslog ansökningen. I sitt beslut anförde inspektionen bl.a. att det genom sambearbetningen framställda personregistret skulle användas på ett sätt som ytterst innebar kontroll av enskilda medborgare, vilket kunde innebära obehag- liga konsekvenser för dessa. Inte heller fann datainspektionen det primärt vara kommunens skyldighet att framställa underlag för en dylik folkbokföringskontroll.

Kommunen överklagade beslutet. Regeringen avslog besvären med hänsyn till att det inte förelåg sådana särskilda skäl som krävdes enligt 3 a & datalagen för tillstånd att inrätta och föra registret. I skälen till beslutet uttalade regeringen bl.a. att folkbokföringen förutsatte viss kontroll av enskilda, men att den kontrollen inte fick utformas så att den kunde medföra otillbörligt intrång i den personliga integriteten. Enligt beslutet kunde det inte bortses från att det i vissa fall kunde uppfattas som ett sådant intrång att använda arbetsgivares register över anställda för folkbokföringskontroll.

• Sida 134
•  Original

Mot förfarandet kunde också invändas att kontrollen avsåg endast anställda hos vissa offentliga arbetsgivare och att den enskilde inte i förväg informerats om registreringen (1986/87, regeringsbeslut 83—10).

Datainspektionen har vidare år 1987 avslagit en kommuns ansökan om att få inhämta uppgifter från sitt personal— och löneregister till ett särskilt fört "gäldenärsregister". Motive— ringen för avslaget var att ifrågavarande sambearbetning varken var förenlig med ändamålet med personal- och löneregistret eller gäldenärsregistret (1987/88 — 9).

Datainspektionen har även ansett att utlämnande av anställdas namn och adress på ADB-medium till majoritetsägaren till arbetsgivarens moderbolag, i och för adressering och utsänd- ande av personinformation kunnat ske om varje registrerad informerades om utlämnandet och fick rätt att förbjuda att uppgifterna om honom användes (1987/88 - 72).

Ett fackförbund begärde år 1988 tillstånd enligt datalagen att inrätta och föra ett personregister som enligt ansökningen skulle utgöra underlag för statistisk bearbetning av löneutvecklingen i olika företag och branscher samt inom olika avtalsområden. Registret skulle innehålla uppgifter om bl.a. personnummer, tidlön, ackord och övertidstillägg beträffande arbetstagare som var anställda hos arbetsgivare vilka inte var medlemmar i arbetsgivarorganisation men som var kollektivavtalsbundna genom s.k. hängavtal. Såväl medlemmar i förbundet som icke medlemmar skulle registreras. Från personregistret skulle tas fram statistik där enskilda personer inte avslöjades samt listor för kontroll och rättning av personuppgifter i samband med statistikproduktion. Personuppgifterna skulle gallras ur registret vart femte år.

Datainspektionen avslog förbundets ansökan. Förbundet överklagade inspektionens beslut och yrkade att ansökningen skulle bifallas. Hängavtalet innebar enligt för- bundet att arbetsgivaren förband sig att dels tillämpa det berörda gällande kollektivavtalet, dels att lämna statistikuppgifter om samtliga anställda, oavsett organisationstillhörighet, till arbetar— parten. Vilka uppgifter det gällde reglerades närmare i avtalet.

Datainspektionen förklarade i ett yttrande att den var beredd att godta registret under förutsättning att det endast användes för statistiska framställningar och att de anställda informerades om registret. Justitiekanslern ansåg sig inte ha anledning att motsätta sig bifall till överklagandet.

• Sida 135
•  Original

Regeringen upphävde datainspektionens beslut och meddelade förbundet tillstånd enligt datalagen att inrätta och föra person- registret. Ärendet överlämnades till datainspektionen som hade att meddela beslut om ändamålet med registret och de ytterliga— re villkor som kunde behövas för att förebygga risk för otillbörligt intrång i personlig integritet. I beslutet beaktade regeringen den omständigheten att de arbetsgivare som för- bundet ville inhämta uppgifter från genom s.k. hängavtal förbundit sig att följa kollektivavtalet och därmed också att lämna ut vissa uppgifter om arbetstagarna till förbundet (1988/89, regeringsbeslut 89 - 5).

I ett annat fall begärde ett försäkringsbolag tillstånd att i ett register för administration av s.k. gruppsakförsäkringar få registrera personuppgifter som hade lämnats av en avtals- slutande part, t.ex. en arbetsgivare, rörande de personer som omfattades av avtalet. Med gruppsakförsäkringar avsågs sak- försäkringar som försäkringsbolaget slöt avtal om med exempel- vis en arbetsgivare eller facklig organisation (avtalsslutande part) och som omfattade den avtalsslutande partens anställda resp. medlemmar. Av utredningen framgick att framställningen var föranledd av att bolaget hade ingått avtal med Svenska elektrikerförbundet om en kollektiv hemförsäkring omfattande förbundets samtliga medlemmar.

Datainspektionen beslutade år 1983 att medge framställningen under förutsättning att försäkringsbolaget - i de fall individuellt försäkringsavtal saknades - inhämtade den enskildes medgivande till registreringen. Med beaktande av de skäl bolaget uppgett och de risker för integritetsintrång som kunde följa av att i försäkringsregister registrera grupper av personer, oavsett om dessa avser att använda sig av bolagets tjänster eller inte, ansåg inspektionen att bolaget borde inhämta medgivande från den som skulle registreras.

Försäkringsbolaget överklagade datainspektionens beslut. Hos regeringen yrkade bolaget i första hand helt bifall till sin hos inspektionen gjorda framställning, således tillstånd att utan den enskildes medgivande registrera personuppgifter som hade lämnats av den avtalsslutande parten. I andra hand yrkade bolaget att medgivandet fick inhämtas på det sättet, att den enskilde bereddes tillfälle att förklara att han inte medgav att Svenska elektrikerförbundets personuppgifter om honom registrerades i bolagets sakförsäkringsregister och att medlem som inte hörde av sig förutsattes ha gått med på att uppgifter om honom lämnades till försäkringsbolaget.

Justitiekanslern tillstyrkte bifall till besvären.

• Sida 136
•  Original

Regeringen ändrade på det sättet datainspektionens beslut att regeringen föreskrev att den som avsågs bli registrerad såsom försäkringstagare till en kollektiv försäkring utan individuell anslutning skulle beredas möjlighet att förklara att han inte medgav registrering. Den som hade avgivit en sådan förklaring fick inte registreras. Om registrering hade skett, skulle den upphöra om den enskilde förklarade att han inte medgav fortsatt registrering (1986/87, regeringsbeslut 83 - 7).

Datainspektionen har i ett annat fall avslagit ansökningar från arbetsgivare om tillstånd dels att få framställa utdrag ur sitt personregister att användas för utskick av erbjudande om försäkring till en utvald del av personalen (fackförenings— anslutna), dels att till ett försäkringsbolag, som arbetsgivaren träffat försäkringsavtal med, få överföra uppgifter om person— nummer och försäkringsnummer beträffande dem som anslutits till försäkringarna.

Inspektionen konstaterade i det fallet att enligt dess före— skrifter om vissa löne- och personalregister (DIFS 1979c2) fick en uppgift om fackföreningstillhörighet endast användas för att administrera betalning av fackföreningsavgift och fann inte skäl att frångå denna ståndpunkt. Inspektionen konstaterade vidare att även uppgifter beträffande dem som inte svarat på erbjudan- det skulle lämnas ut till försäkringsbolaget och att jämväl denna kategori skulle anses ansluten till försäkringarna. Datainspek- tionen ansåg att det fanns anledning anta att otillbörligt in- tegritetsintrång kunde uppkomma om uppgift om anställd lämnades ut till försäkringsbolaget som ett led i genomförandet av ett grupplivförsäkringsavtal mellan arbetsgivaren och försäkringsbolaget, utan att den anställde hade givit sitt uttryck— liga samtycke därtill (1988/89 - 38).

Datainspektionen har slutligen nekat ett fackförbund tillstånd att sambearbeta sitt medlemsregister med en arbetsgivarorganisa- tions register över samtliga anställda inom en viss bransch, för att ta fram uppgifter om alla anställda som inte var medlemmar i förbundet. Avsikten var att bland vissa av dem som inte var medlemmar i förbundet företa en telefonenkät (1988/89 - 14).

Övrigt

Datainspektionen har beviljat en kommunstyrelse tillstånd att inrätta ett register med uppgifter om partitillhörighet för samtliga förtroendevalda i kommunens nämnder och styrelser. Ändamålet med registret skulle vara att framställa förteckningar

• Sida 137
•  Original

för olika ändamål. Inspektionen ansåg att särskilda skäl förelåg då de registrerades politiska uppfattning (partitillhörighet) i detta fall var en offentlig uppgift och dessutom fick anses vara allmänt känd. Hänsyn togs även till den registeransvariges verksamhet och ändamålet med registret (1987/88 - 37).

Datainspektionen har beviljat advokat tillstånd att föra register med uppgifter om arbetstagare hos de konkursgäldenärer vars

konkurser advokaten såsom konkursförvaltare hade att hantera (1987/88 - 23).

6.3. Den tekniska utvecklingen m.m.

Datatekniken har under de senaste åren utvecklats kraftigt samtidigt som datoranvändningen i samhället ökat markant (se bl.a. avsnitt 6 i SOU 1990:61). Denna utveckling har bl.a. lett till att allt mer avancerade datoriserade system kommit att utvecklas för användning inom bl.a. näringsliv och förvaltning. Förutom administrativa redovisningssystem, planeringssystem och styrsystem för produktion, materialhantering och transporter har även, främst i USA och Japan, tagits fram tekniskt högt- stående personaladministrativa system och lönesystem. På marknaden finns också ett antal system för in- och utpasserings- kontroll och kassaterminalsystem som innefattar registrerings- möjligheter i sig.

I gruppen personaladministrativa system ingår sedvanliga löne- och personalregister för löne- och personalredovisning, ofta med ett särskilt tidredovisningssystem. Dessa personregister innehåller allmänna anställningsuppgifter, närvaro- och från- varoregistrering, löneberäkning, redovisning för skattemyndig- heter m.m.

De löne— och personaladministrativa registren kan bestå av ett sammanhängande register eller flera delregister som tillsammans bildar löne- eller personalregistret. Till detta enda register eller delregistren kan finnas, fristående eller knutna, system som ger möjlighet till registrering i fråga om in- och utpassering, färdskrivare, tidskontroll, rekrytering, kompetens och utbild- ning, hälsotester, behörighetskontroll och kassaarbete.

Flextid och i övrigt mer varierande arbetstider samt utökade möjligheter till ledighet ställer ofta krav på en mer ingående tidredovisning och därmed också ökad användning av datorise—

• Sida 138
•  Original

rade system. Vissa arbetsgivare har därför infört ett gemensamt löne- och personaladministrativt ADB-system. Många har dessutom in- och utpasseringssystem med direkt koppling till flextidssystem.

Registrering av in- och utpassering kan användas för kontroll av att den anställde är behörig att komma in på arbetsplatsen. Många av dessa system kan dock vara sammankopplade med andra system, t.ex. med system för tidredovisning och personal- planering. En viktig roll i sammanhanget spelar aktiva kort (se avsnitt 6.2.3 i SOU 1990:61). Nästan alla passersystem på marknaden är kopplade till ett passerkort eller en kodnyckel som registrerar (loggar) vissa eller alla händelser. Med dessa är det möjligt att registrera de anställdas förflyttningar inom samt passage in och ut från arbetsplatsen. Vissa moderna system tillåter också centralstyrning och sambearbetning av tidredo— visnings- och säkerhetssystem. De flesta system på den svenska marknaden är av utländskt ursprung. Ett område som för närvarande är under snabb utveckling är identifierings- och verifieringstekniker. Som alternativ till det magnetiserade kortet finns numera system för identitetskontroll som baseras på röst, ögonbotten, fingeravtryck, handgeometri (fingeravstånd) eller namnteckning.

I ökande utsträckning använder företag och myndigheter system för behörighetskontroll i syfte att avgränsa den anställdes eller grupper av anställdas möjligheter att få tillgång till datasystemet och till informationen i det. Dessa kontrollfunk— tioner kan kombineras med loggfunktioner för att de ansvariga skall kunna följa hur systemet används. Varje datatransaktion (fråga, svar, inmatning, beräkning) som utförs av en anställd registreras i en logg med den anställdes identitet, transaktions- kod och tidangivelse. Denna kontroll av de anställda syftar inte normalt till att kontrollera den anställdes arbetsprestation utan är till för att skydda datautrustning, program och data från t.ex. obehörigt utnyttjande. Identiteten på de anställda som utnyttjar systemet kan dock på detta sätt registreras och den loggade in- formationen kan användas för att i efterhand belysa hur den enskilde utnyttjat systemet, hur lång tid det tagit, vilken typ av information som har sökts fram, etc. Behörighetskontroll utgör emellertid också, rätt använd, ett skydd för de anställda mot misstankar om obehörig användning av datorsystem och information.

Inom såväl tillverkningsindustrin som tj änsteproduktionen sker en utveckling mot integrerade datoriserade produktionssystem. I sådana integrerade system kan ingå administrativa redo— visningssystem, planeringssystem och styrsystem för produktion,

• Sida 139
•  Original

materialhantering och transporter. Ett exempel är de mobila system för överföring av data, t.ex. mobitexsystemet (se avsnitt 6.2.1 i SOU 1990:61), som i ökad omfattning har kommit att användas inom transportsektorn. En lastbilschaufför som levererar varor styrs av de körorder, positionsanvisningar, textmeddelanden etc. som visas på en mobil terminal i lastbilen och följesedlar och fakturor produceras i takt med att leveranser sker i det totalintegrerade systemet. Denna typ av system återfinns dock framför allt i tillverkningsindustrin. De alltmer integrerade och flexibla systemen skapar möjligheter att frångå det mycket styrda arbetet, t.ex. vid löpande band, och gå över till ett mer grupporganiserat arbete. Denna utveckling kan emellertid innebära att, när den direkta styrningen av den enskilde arbetstagarens arbete minskar, krav ställs på en mer omfattande registrering för planering och uppföljning. Skillna- den mellan integrerade system och tidigare system är att före- tagsledningarna med de nya systemen får snabbare information om produktionsförloppen, samt att informationen ger möjlighet till nedbrytning till minsta produktionsenhet, dvs. den enskilde arbetstagaren. Det finns idag tekniska förutsättningar som gör det möjligt att registrera stora mängder information om de olika delarna av arbetsprocessen och därmed också uppgifter om de enskilda arbetstagarna.

Datoriserade system kan totalintegreras mellan administration, planering, produktionsstyrning, materialhantering, transporter, in— och utpassering m.m. De olika delsystemen kan via data- kommunikation nå motsvarande system hos t.ex. ett dotterföre- tag både inom Sverige och utomlands. Dessa tekniska förut- sättningar ger stora möjligheter till registrering av uppgifter för individuell uppföljning och kontroll av de enskilda arbets- tagarna. En beskrivning av konsekvenserna av införandet av denna teknik på svenska arbetsplatser finns bl.a. i dataeffekt— utredningens delbetänkande (SOU 1981 : 17) Industrins datorise- ring - effekter på sysselsättning och arbetsmiljö.

Under senare år har datoriserade system införts i dagligvaru- handeln där användningen av EAN-koder (European Article Humbering) gett förutsättningar för en maskinell registrering av priser i snabbköpskassorna.(En närmare redogörelse för EAN- koderna återfinns i konkurrenskommitténs delbetänkande, SOU 1990:106, Prisinformation till konsumenter s. 60 ff). Med hjälp av dessa system sker registrering av köp och insamling av in- formation rörande bl.a. försäljning och lager. I ett butiks— datasystem kan registreras uppgifter om försäljningen per dag och totalt under vald tidsperiod samt per kassör och datatermi- nal. De integritetsproblem som kan förekomma i dessa system

• Sida 140
•  Original

är att prestationsmätning - av företrädesvis kassapersonal - är möjlig trots att detta inte varit huvudmålsättningen vid införan- det. Information kan erhållas om antalet gjorda rättelser, tid för varuregistrering, tid för betalning och väntetid.

Datortekniken kan också användas i ordermottagningen och försäljningen i företag, t.ex. vid telefonförsäljning där för- säljaren per telefon tar emot och registrerar kundernas order. Tekniken medger att inkommande telefonsamtal kan dirigeras till lediga försäljare via en specialutrustad datorstyrd telefon- växel. I växeln kan registreras hur många telefonsamtal som tagits emot, vilken försäljare som tog emot det, hur länge samtalet pågått, hur länge ordermottagaren varit påkopplad, samt hur många samtal som stått och väntat. Vidare registreras antalet order, typ av order, krediteringar, byten osv. Det finns även möjligheter att avlyssna pågående telefonsamtal, t.ex. för att kunna bedöma hur en försäljning genomförts.

Nya kommunikationstekniker ger större möjligheter att övervaka såväl när och till vem man ringer som innehållet i telefonsamtal. Moderna telefonväxlar ger möjlighet till registre- ring av de anställdas telefonsamtal med notering om den uppringande. Införandet av ISDN-tekniken (se SOU 1990:61 s 81) har bl.a. medfört ökade möjligheter att registrera uppgifter om utgående och ingående samtal. Det finns även möjlighet att koppla samman en telefonväxel med program för produktions- planering, passagekontroll etc. Såväl utrustning som program— vara för telefonsamtalsmätning (tidsmätning, destination, sam- talskostnad) är ett snabbt växande område inom telekommunika- tionsindustrin.

Elektronisk övervakning och kontroll av anställda har nått stor omfattning i vissa länder, främst i USA och Japan.

Ett stort antal amerikanska arbetstagare är i dag föremål för elektronisk övervakning. Metoderna är telefonregistrering och avlyssning, videoövervakning och olika slag av prestations- mätningar. Särskilt telefonregistrering och avlyssning av samtal är föremål för en allt intensivare debatt i USA, där flera fackliga organisationer och andra intressegrupper enligt uppgift för närvarande arbetar för att på federal och delstatsnivå få lagstiftning om t.ex. övervakningen och arbetsmiljön vid terminaler.

På uppdrag av den amerikanska kongressen har Office of Technology Assessment utarbetat rapporten "The Electronic Supervisor — New Technology, New Tensions".

Av rapporten framgår att man i USA är 1987 beräknade att ungefär 6 milj. arbetstagare utsattes för någon form av elektro- nisk övervakning och att antalet förutsades öka. Enligt rapporten

• Sida 141
•  Original

ansåg en del arbetsgivare att datorbaserad övervakning kunde hjälpa dem att öka produktiviteten, behålla produktionsstan- dards, upptäcka flaskhalsar i produktionen samt att planera personal- och materialbehov. Rapporten tar upp de nya informa- tionstekniska redskapens möjligheter att ge företagare makt genom övervakning och kontroll på arbetsplatsen. Enligt rapporten skulle detta kunna missbrukas genom att de endast används för kontrollens skull och långt utöver vad som är att betrakta som nödvändigt för att organisera arbetsprocessen. Rapporten presenterar vissa resultat från genomförda studier. Dessa visar bl.a. att datortekniken ger möjligheter till fortlöpan— de insamling och analys av arbetsprestationer och använd utrustning, vilken information är användbar för arbetsledningen för att styra resurser, planera arbetsbelastning och reducera kostnader. Den fortlöpande datorbaserade övervakningen och användningen av insamlad information om den enskilde anställde reser enligt rapporten vissa frågor kring integritet, rättvisa och kvalitet i arbetet.

En redovisning av den nya datorteknikens användning i det amerikanska näringslivet återfinns även i en rapport utgiven i juni 1990, Framgångsrik användning av informationsteknologi inom distribution av varor & tjänster (T ELDOK Rapport nr 57).

Vad angår förhållandena i Japan ges en orientering härom i en annan är 1990 utgiven rapport, Japanska arbetsplatser (T EL- DOK Rapport nr 54). Utvecklingen är likartad den som redovisats för USAs del.

6.4. Europarådets rekommendation m.m.

Europarådet har år 1989 antagit en rekommendation, Recom- mendation No. R (89) 2, om skydd för personuppgifter som används för anställningsändamål. Sverige har utan reservation ställt sig bakom rekommendationen.

De i rekommendationen angivna principerna är tillämpliga på insamling och användning av personuppgifter för anställnings- ändamål både inom den allmänna och enskilda sektorn samt avser uppgifter som förs med hjälp av ADB. De länder som önskar får enligt rekommendationen tillämpa den även på manuellt förda register.

• Sida 142
•  Original

Rekommendationen omfattar inte konfidentiell information som insamlas eller används av arbetsgivare för anställnings- ändamål i fråga om personal med arbetsuppgifter som har nära anknytning till allmän säkerhet och statens säkerhet samt brottsbekämpning, i den utsträckning detta är nödvändigt för att tillgodose de angivna intressena.

Begreppet anställningsändamål i rekommendationen avser förhållanden mellan arbetsgivare och arbetstagare som är hänförliga till rekryteringen av arbetstagare, fullföljandet av anställningskontraktet, ledningen av verksamheten, omfattande också fullgörandet av skyldigheter enligt lag eller kollektivavtal, samt planeringen och organisationen av arbetet.

Om inte annat följer av inhemsk lag, gäller rekommendationen i tillämpliga delar även arbetsförmedlingar.

Enligt rekommendationen skall respekten för den personliga integriteten och den mänskliga värdigheten skyddas vid in- samlingen och användningen av personuppgifter för anställ- ningsändamål.

Innan en arbetsgivare installerar eller förändrar automatiska system för att samla in och använda personuppgifter om anställda skall han till fullo informera eller konsultera de anställda eller deras företrädare. Om konsultationsförfarandet leder till slutsatsen att den personliga integriteten och mänskliga värdigheten kan påverkas, skall arbetsgivaren eftersträva - och om möjligt vinna - de anställdas samtycke, om inte inhemsk lag eller praxis ger annat lämpligt skydd. Detsamma gäller om arbetsgivaren introducerar eller förändrar tekniska metoder för att övervaka anställdas förehavanden eller prestationer.

I princip bör personuppgifterna inhämtas från den enskilde själv. Den enskilde skall informeras när det kan vara lämpligt att konsultera uppgiftskällor utanför anställningsförhållandet. Som exempel på när ett sådant uppgiftsinhämtande kan anses lämpligt nämns i kommentaren att arbetsgivaren behöver kontrollera riktigheten av uppgifter som en anställd lämnat i ett befordringsärende eller om han lämnat över ett vilseledande krav på täckning av utgifter. Uppgifter som samlas in för anställningsändamål skall vara relevanta och får inte vara överdrivet omfattande. Anställningens art måste beaktas liksom också att det ibland kan vara nödvändigt för arbetsgivaren att erhålla fler uppgifter än normalt. Vid anställningsförfaranden får endast inhämtas sådana uppgifter som är nödvändiga för att bedöma den arbetssökandes lämplighet och karriärmöjligheter. Härvid får endast uppgifter inhämtas från den enskilde själv. Om inte annat sägs i lag, får andra källor endast användas med hans samtycke eller om han i förväg blivit informerad om denna

• Sida 143
•  Original

möjlighet. Att använda tester, analyser och liknande förfarande i syfte att bedöma en enskilds karaktär eller personlighet får bara ske med hans medgivande eller om det i lag föreskrivs annat godtagbart skydd. Om den enskilde önskar det skall han informeras om resultaten av testerna.

Uppgifter om den anställde får endast lagras om de har samlats in enligt principerna i rekommendationen och är avsedda att användas för anställningsändamål. Lagrade uppgifter skall vara riktiga och, där det är nödvändigt, hållas aktuella. De skall på ett korrekt sätt spegla den anställdes situation. De skall inte lagras eller vara kodade på ett sådant sätt att den anställdes rättigheter kränks genom att han utan att känna till det karaktär— iseras eller profileras. Lagras omdömen om anställdas presta— tioner och potentiella möjligheter på arbetsplatsen skall upp- gifterna grundas på en rättvis och hederlig bedömning och får inte vara formulerade på ett förolämpande sätt.

Personuppgifter som samlats in för anställningsändamål får endast användas av arbetsgivaren för sådana ändamål. Då uppgifter skall användas för anställningsändamål av annat slag än det för vilket de ursprungligen samlades in och då sambe— arbetning av personregister sker, skall tillfredsställande åtgärder vidtas för att undvika feltolkning av uppgifterna i det annor- lunda sammanhanget och för att säkerställa att de inte används på ett sätt som är oförenligt med det ursprungliga ändamålet. När viktiga beslut som rör den anställde skall fattas på grundval av sådana uppgifter, skall han informeras om detta.

I enlighet med inhemsk lagstiftning och praxis eller villkoren i kollektivavtal får personuppgifter lämnas ut till de anställdas företrädare, i den mån sådana uppgifter är nödvändiga för att dessa skall kunna ta tillvara de anställdas intressen.

Personuppgifter får utlämnas till myndigheter för att de skall kunna fullgöra sin myndighetsutövning endast inom ramen för arbetsgivares skyldigheter enligt lag. I annat fall får uppgifter endast utlämnas om det är nödvändigt för anställningsändamål som inte är oförenliga med de ändamål för vilka uppgifterna ursprungligen samlats in och de anställda eller deras företrädare informerats om det eller, när det inte är fråga om ett utläm- nande för anställningsändamål, om det föreligger ett uttryckligt och informerat samtycke från den anställde eller om det finns stöd i lag.

Uppgifter om någons ras, politiska uppfattning, religiösa tro eller övertygelse i övrigt, sexualliv eller brott får endast samlas in och lagras i särskilda fall inom ramen för den inhemska lagstiftningen och i enlighet med ett tillfredsställande skydd som lagstiftningen föreskriver. Saknas sådant skydd får sådana

• Sida 144
•  Original

uppgifter endast samlas in och lagras med uttryckligt och informerat samtycke från den anställde.

En anställd eller arbetssökande får endast tillfrågas om sitt hälsotillstånd och läkarundersökas för att man skall kunna bestämma vederbörandes lämplighet för hans nuvarande eller framtida arbete, fullgöra kraven på en preventiv hälsovård eller bevilja sociala förmåner.

Medicinska uppgifter får inte samlas in från andra källor än från den anställde själv utan hans uttryckliga och informerade samtycke eller med stöd av lag. Medicinska uppgifter som är föremål för sekretess får endast lagras av personal som är bunden av sekretessen. Informationen får kommuniceras med andra medlemmar av den administrativa personalen endast om det är absolut nödvändigt för beslutsfattande och om det sker i enlighet med lag. Medicinska uppgifter som är föremål för sekretess skall förvaras åtskilda från andra kategorier av personuppgifter och säkerhetsåtgärder skall vidtas för att förhindra att utomstående får del av uppgifterna. - De nu nämnda bestämmelserna avser fall där ett företag eller en organisation har egen medicinsk personal.

Den enskildes rätt att få tillgång till sina egna hälsouppgifter får inte inskränkas såvida det inte skulle kunna leda till allvarlig skada för den enskilde. I det senare fallet kan uppgifterna lämnas ut genom en av den anställde utsedd läkare.

Information om de personuppgifter som innehas av en arbets- givare skall vara tillgänglig antingen för den enskilde direkt eller genom förmedling av hans företrädare eller på annat lämpligt sätt. Informationen skall specificera huvudändamålen för att lagra uppgifterna, vilka slags uppgifter som lagras och till vilka kategorier av personer eller myndigheter som upp- gifterna regelmässigt lämnas ut samt ändamålen och det lagliga stödet för ett sådant utlämnande. Informationen skall också hänvisa till de rättigheter som en anställd har i fråga om de uppgifter som rör honom och de olika möjligheter som finns att utöva rättigheterna.

Varje anställd skall på begäran få tillgång till alla person- uppgifter som arbetsgivaren innehar om honom och få uppgifter rättade eller utplånade om de innehas i strid med innehållet i rekommendationen. När det gäller uppgifter som innehåller omdömen har varje anställd rätt att i enlighet med inhemsk lag bestrida dessa. Utom i fall när inhemsk lagstiftning innehåller bestämmelser om motsatsen skall en anställd ha rätt att utse en person för att biträda honom att utöva rätten att få tillgång till uppgifterna eller att utöva denna rätt på hans vägnar. Om den anställdes tillgång till uppgifter vägras eller om en begäran att

• Sida 145
•  Original

få rättelse eller få uppgifter strukna nekas, skall den inhemska lagstiftningen tillhandahålla en möjlighet att få rättelse.

Arbetsgivare eller av denne anlitade servicebyråer skall vidta tillräckliga tekniska och organisatoriska åtgärder för att säker- ställa skyddet och sekretessen av personuppgifter lagrade för anställningsändamål mot obehörig åtkomst, användning, utlämnande eller ändring. Den administrativa personalen liksom andra som har med uppgifterna att göra skall hållas informerade om sådana åtgärder och om behovet att respektera dem.

Personuppgifterna skall inte bevaras längre av arbetsgivaren än som behövs för ändamålet med registret eller som krävs för att tillvarata den anställdes intressen. Personuppgifter som lämnas i samband med en anställningsansökan skall normalt förstöras så snart det står klart att ett erbjudande om arbete inte kommer att lämnas. Uppgifter som lagrats för att användas vid en eventuell ny ansökan skall förstöras om den arbets'sökanden begär det.

Inom Europarådet pågår för närvarande arbete med att ta fram en rekommendation om skydd för personuppgifter inom tele- kommunikationsområdet. En sådan rekommendation skulle bl.a. komma att få betydelse för arbetsgivares registrering av anställdas telefonsamtal.

Likartade frågor rörande telekommunikation och dataskydd behandlas även i det förslag till direktiv (Proposal for a Council Directive, SYN 288) som antogs av EG-kommissionen i september 1990 angående skydd av bl.a. personuppgifter i det offentliga digitala telenätet. Förslaget tar i huvudsak sikte på införandet av det europeiska ISDN—nätet (se SOU 1990:61 s 81) som möjliggör identifiering och registrering av olika slags trafikdata, bl.a. uppgifter om telefonnummer.

6.5. Tidigare och pågående utredningsarbete

6.5.1. Bakgrund

De riktlinjer för den framtida datapolitiken som har godkänts av riksdagen (prop. 1984/85:220, FiU 1985/86z4, rskr. 89) innebär bl.a. att datateknikens användning skall utformas med full respekt för den enskildes personliga integritet och att använd- ningen av datateknik på arbetsplatserna inte skall tillåtas bli ett hot mot den personliga integriteten.

• Sida 146
•  Original

I den nämnda propositionen framhölls att kontrollen av de anställda och deras prestationer med datateknikens hjälp kunde utgöra ett hot mot den personliga integriteten. Föredraganden anförde i denna del bl.a. följande (5. 26 ff).

"Sådan kontroll kan exempelvis utföras med hjälp av stämpel- klockor. Om arbetet är uppdelat i klart avgränsade moment, kan kontroll ske med hjälp av olika tidmätningsmetoder. Det är viktigt att det görs en rimlig avvägning mellan verksamhetens berättigade krav på planerings- och stymingsunderlag och den enskilde arbetstagarens berättigade krav på skydd för sin integritet. För att planera produktion och leveranstider bygger industrin upp datoriserade planeringssystem till vilka den anställde tvingas rapportera varje störning som får denne att göra ett kort uppehåll i arbetet. Den som arbetar vid en maskin får inte ut nästa arbete förrän han har rapporterat av det han eller hon just avslutat. Utrymmet för den anställdes möjligheter att själv lägga upp sitt arbete blir mindre - friheten för arbetaren minskar. På arbetsplatser förekommer det också att man kopplar ihop de anställdas möjligheter att med ett datakort som nyckel passera låsta dörrar med en identitetskontroll. Därigenom får ledningen möjligheter att i detalj kartlägga de anställdas rörelser på arbets- platsen. Den här typen av planering och rapporteringssystem sprider sig nu också utanför den tunga industrin. Till och med yrkesgrupper som förflyttar sig i arbetet, som servicemän, montörer, transport- arbetare, får bärbara terminaler som registrerar deras uppehålls- Qrt, arbetsuppdrag, tidsåtgång, avbrott, avbrottsorsak etc. Aven om denna användning av tekniken kan medföra ökad effektivitet, är det viktigt att inte blunda för de hot och problem denna användning kan innebära när det gäller den enskildes integritet."

För att kunna göra de avvägningar som var lämpliga förordades ett forsknings— och utvecklingsarbete om hur den personliga integriteten hotades och kunde skyddas vid användning av datateknik på arbetsplatser.

Regeringens statsrådsgrupp för datafrågor inrättades år 1986 (C 1986:D). Denna förordade att regeringen bl.a. skulle få ett bättre underlag för sina ställningstaganden genom att en kartläggning gjordes av dataanvändningen på arbetsmarknaden.

Frågan om de anställdas personliga integritet togs också upp i en proposition om datapolitik för statsförvaltningen (prop. 1987/88:95, FiU 25, rskr. 293). Departementschefen påtalade där (5. 14) att en ökad dataanvändning kunde leda till ökade möjligheter att kontrollera och övervaka de anställda och att kunskaperna om detta förhållande därför borde förbättras.

Med anledning av ett av Landsorganisationen (LO) i mars 1988 anordnat seminarium om de anställdas personliga integritet i arbetet, inkom organisationen senare samma månad med en skrivelse till bl.a. arbetsmarknadsdepartementet. I skrivelsen framfördes bl.a. att det förelåg ett behov av ett s.k. basskydd enligt följande:

• Sida 147
•  Original

1. Tillgång till dokumentation å arbetsplatsen om dataanvändning av uppgifter som är knutna til enskilda anställda. Av dokumenta- tionen skall framgå vilka uppgifter som samlas in och i vilka situationer som uppgifterna används.

2. Lokal förhandling skall genomföras och protokollföras innan uppgifter fär samlas in eller ändringar ske i hur uppgifterna skall användas.

3. Förbud mot att använda individuella prestationsmätm'ngar för annat än beräkning av lön.

Skrivelsen låg till grund för den kartläggning som senare följde och som redovisas i nästa avsnitt.

6.5.2. Rapporten (Ds 1989:24) Datatekniken och den personliga integriteten i arbetet - en kartläggning, m.m.

Chefen för arbetsmarknadsdepartementet tillsatte i oktober 1988 en arbetsgrupp inom arbetsmarknadsdepartementet, med uppgift att göra en översiktlig kartläggning av arbetsgivarnas använd- ning av datatekniken för ledning, övervakning och kontroll av arbetet och de enskilda arbetstagarna, för att framför allt ge underlag för att bedöma behovet av en mer ingående översyn av lagstiftning m.m. inom ramen för en särskild utredning. Arbets- gruppen överlämnade i maj 1989 rapporten (Ds 1989:24) Datatekniken och den personliga integriteten i arbetet - en kartläggning.

Av rapporten framgår att arbetsgruppens kartläggning skedde genom studier av rapporter, utredningar och annat skriftligt material, skriftlig förfrågan till arbetsmarknadens parter och studiebesök samt erfarenhetsutbyte med forskare och experter. Tyngdpunkten i kartläggningen låg på studiebesök, och arbets- gruppen besökte ett detaljhandelsföretag, ett postorderföretag, tre verkstadsföretag, en enhet inom vardera posten och tele- verket, en kommun samt ett landsting. Vidare knöt arbets— gruppen till sig en referensgrupp bestående av företrädare för de centrala arbetsgivar- och arbetstagarorganisationerna genom vilken samråd skedde med arbetsmarknadens parter.

I sin rapport konstaterade arbetsgruppen att kartläggningen hade visat att det i regel endast var i de sedvanliga personal- administrativa datasystemen som en registrering av uppgifter om de enskilda arbetstagarna skedde. Arbetsgruppen hade inte kunnat finna annat än att registreringen i de fall som hade studerats i princip var sådan som följde av anställningsför- hållandet, dvs. anställningsavtalet och lagstadgade skyldigheter

• Sida 148
•  Original

för arbetsgivaren. Vidare hade kartläggningen visat att person- registrering sällan tycktes vara aktuell i planerings— och produktionsstyrningssystemen. Man konstaterade dock att upphandling av utrustning och program för t.ex. planering och produktionsstyrning många gånger skedde utan att man hade klart för sig att tekniken även kunde användas för kontroll av den enskilde arbetstagaren. Arbetsgruppens erfarenheter var att arbetsgivaren trots allt inte utnyttjade dessa möjligheter till integritetskränkande kontroll. Arbetsgruppen konstaterade att datasystemen i sig nödvändiggjorde viss form av kontroll av den som använde utrustningen (behörighetskontroll), men att denna kontroll (genom s.k. loggning) inte normalt syftade till att kontrollera den anställdes arbetsprestation utan var till för att skydda datautrustning, program och data från t.ex. obehörigt utnyttjande. Arbetsgruppen, som inte hade erfarit att logg- informationen använts för otillbörlig granskning av ett systems användare, ville dock varna för de möjligheter som fanns att relativt enkelt utföra en sådan granskning.

I arbetsgruppens kartläggning hade formerna för och utövan- det av arbetstagarnas inflytande i frågor om data och integritet studerats. Enligt rapporten var arbetsgruppens genomgående intryck att den tradition och de krav på samverkan mellan arbetsgivarna och arbetstagarna som gäller på svenska arbets- platser hade varit avgörande för situationen i Sverige. Man konstaterade också att det fanns en medvetenhet hos många arbetsgivare om att en effektiv användning av datatekniken förutsatte att den omfattades med förtroende av dem som berördes. Vidare påtalades att det synbarligen fanns en stor medvetenhet hos arbetsgivare och arbetstagare när det gällde integritetsriskerna i samband med personregistrering, medan däremot insikten om hur datatekniken kan påverka den enskilde arbetstagarens inflytande över arbetet, dvs. integritetsfrågorna i en vidare bemärkelse, varierade.

Enligt arbetsgruppens mening innebar reglerna för det arbets- rättsliga inflytandet en ändamålsenlig ordning när det gällde att bevaka de registrerades intresse av integritetsskydd i arbetslivet. Gruppen ansåg dock att det kunde vara fördelaktigt att frågan om projektorganisation och former för deltagandet i planerings— arbetet för nya datasystem uppmärksammades av arbetsmark- nadens parter centralt även om lokal anpassning kunde medföra fördelar. Man pekade i rapporten bl.a. på möjligheten att ta fram etiska riktlinjer för personrelaterade datasystem. Arbets- gruppen ansåg också att det borde övervägas om det vore möjligt att ta fram generella riktlinjer för personregistrering som var särskilt anpassade till olika arbetsområden, verksamheter

• Sida 149
•  Original

och branscher. Sådana riktlinjer ansåg man lämpligen kunna utarbetas av datainspektionen i samråd med arbetsmarknadens parter. Man föreslog vidare att det i datalagen infördes en rätt för den anställde till insyn i vilka datasystem och personregister som arbetsgivaren har.

Arbetsgruppens överväganden och slutsatser ledde fram till bedömningen att någon särskild utredning inom området data och integritet i arbetslivet inte för närvarande behövdes.

Under remissbehandlingen av arbetsgruppens rapport fram- kom att flertalet arbetsgivarorganisationer satnt SACO/SR, datainspektionen, arbetarskyddsstyrelsen och Arbetsmiljöinsti- tutet i stort delade de synpunkter som arbetsgruppen hade lagt fram. SACO/SR ansåg dock att arbetsgruppen intagit en alltför passiv hållning till frågorna om de anställdas inflytande och lyfte särskilt fram tandläkarnas situation som ett exempel där arbetstagarnas inflytande och deltagande vid utbyggandet av datatekniken inte var tillräcklig och därför kommit att bli ett hot mot integriteten. LO var inte odelat positiv till rapporten utan ansåg att en grundlig översyn av hela frågan om integriteten i arbetslivet borde ske. En sådan översyn borde enligt LO syfta till att stärka den enskildes rättigheter enligt datalagen och ge de fackliga organisationerna arbetsrättsligt grundat inflytande på utformning och användande av olika integritetskänsliga system. LO ansåg att de största riskerna för kränkt integritet fanns vid datoriserade tidsuppföljningssystem där resultatuppföljning sammankopplades med lönesystemet.

TCO ansåg att arbetsgruppens kartläggning var för begränsad för att dra de generella slutsatser som arbetsgruppen gjort. Organisationen ansåg att de anställda skulle ha rätt att när som helst få omedelbar tillgång till samtliga uppgifter om sig själva utan kostnad.

I sitt yttrande tog datainspektionen upp frågan om att ge- nomföra en översyn av personregistreringen inom arbetslivet inom ramen för inspektionens tillsynsverksamhet.

Datainspektionen har också inlett ett särskilt projekt för en översyn av personregistrering inom arbetslivsområdet benämnt "Projekt Arbetslivet

Datainspektionens syfte med projektet är främst att i form av allmänna råd ta fram generella riktlinjer för integritetsskyddet på området. Dessa inspektionens allmänna råd beräknas föreligga tidigast hösten 1991.

Inom ramen för detta arbetslivsprojekt, som sker i nära samarbete med företrädare för arbetsmarknadens parter, har ägt rum ett flertal studiebesök hos företag, organisationer och myndigheter som tillverkar, saluför eller använder olika slag av

• Sida 150
•  Original

ADB-system som möjliggör registrering av anställda. Ut- redningen har på nära håll följt projektet.

6.6. Överväganden

6.6.1. Allmänna utgångspunkter

Utvecklingen av datatekniken har, som framgått av avsnitt 6.3, gjort det möjligt för arbetsgivare att på ett allt mer sofistikerat sätt samla in, lagra och bearbeta uppgifter om de anställda och deras agerande på arbetsplatsen. Användningen av sådana avancerade datorsystem har ökat kraftigt i Sverige under de senaste åren och har därigenom kommit att medföra ökade risker för otillbörligt intrång i de anställdas integritet. Utveck- lingen utomlands, framför allt i USA och Japan, tyder på att dessa risker framgent kommer att bli än mer påtagliga. Behovet att uppmärksamma och överväga skydd och olika säkerhets- åtgärder mot integritetsintrång i anställningsförhållanden måste därför anses vara stort.

Samtidigt står det klart att den nya teknologin innebär stora fördelar för verksamheten inom ett företag eller, på den offentliga sektorn, en myndighet, t.ex. i form av en bättre arbetsorganisation eller en möjlighet att bli av med monotona och trista arbetsuppgifter. Den avgörande frågan blir därför, som också betonas i kommentaren till Europarådsrekommenda- tionen, hur man skall få till stånd en rimlig avvägning mellan fördelarna med ADB-tekniken och den anställdes befogade anspråk på att inte utsättas för otillbörliga intrång i sin person- liga integritet.

Vid bedömningen av hur en sådan avvägning skall göras måste särskilt beaktas det nära samband som finns mellan datalagens regler om skydd mot otillbörligt intrång i personlig integritet vid personregistrering och medbestämmande— och arbetarskyddslagstiftningen. Parterna på arbetsmarknaden kan dessutom, inom ramen för gällande arbetsrättsliga bestämmel- ser, genom kollektivavtal få till stånd en ordning som till- godoser både arbetsgivarens och de anställdas intressen i samband med att ny teknik införs på arbetsplatserna. I kommen- taren till Europarådsrekommendationen anges i olika samman- hang att kollektivavtal kan vara ett lämpligt sätt att reglera de

• Sida 151
•  Original

olika frågor som kan bli aktuella när ADB används på arbets— platserna.

En annan utgångspunkt är att de särskilda materiella regler som kan behövas för personregistrering i anställningsför- hållanden bör kunna anpassas till en förändring av systemet för kontroll av integritetsskyddet, där huvudvikten lagts vid tillsyn (se SOU 1990:61).

Det av utredningen föreslagna tillsynssystemet bygger på att huvuddelen av personregisteranvändningen kan regleras genom de föreskrifter som datainspektionen kan komma att meddela för skilda branscher och sektorer. Endast de register inom detta normerade område som innehåller uppgifter av mera känsligt slag skall anmälas till inspektionen. Alla register som faller utanför det normerade området och som inte kan hänföras till kategorin register för personligt bruk ("övriga register") skall också anmälas till datainspektionen.

En reglering av arbetsgivares registrering av uppgifter om arbetstagare skall således kunna anpassas till detta tillsyns- system. Datainspektionen bör därvid, vilket också förordas i den tidigare nämnda rapporten Ds 1989:24 (se avsnitt 6.5.2), ges en möjlighet att besluta om generella föreskrifter för arbetsgivares personregistrering av anställda, vilka sedan följs upp genom en kontroll och annan tillsynsverksamhet. Det är angeläget att arbetsmarknadsparterna kan beredas tillfälle att medverka vid utformningen av föreskrifterna. Eftersom personregistrering på området i vissa fall kan vara särskilt integritetskänslig bör även övervägas om inte vissa grundläggande regler rörande sådan registrering skall tas in direkt i en framtida datalag (se vidare avsnitt 6.6.6).

Till grund för utformningen av de materiella bestämmelserna bör främst ligga Europarådets rekommendation på området. Sverige har ju ställt sig bakom rekommendationen och dess principer har beaktats när datainspektionen har utformat sin praxis på området. Datainspektionens föreskrifter från år 1979 angående vissa löne- och personalregister (DIFS 1979:2) torde också i viss omfattning kunna tjäna som en utgångspunkt vid bestämmandet av innehållet i de materiella reglerna.

Mot bakgrund av de allmänna överväganden som utredningen nu har redovisat behandlas i följande avsnitt frågor om inrät- tande av register (6.6.2), insamling och lagring av uppgifter (6.6.3), utlämnande av uppgifter (6.6.4), insynsrätt (6.6.5) och slutligen vissa lagtekniska frågor (6.6.6).

Utredningen vill framhålla att den inte kunnat avvakta resultatet av det särskilda projekt för en översyn av person- registrering inom arbetslivsområdet (Projekt Arbetslivet) som

• Sida 152
•  Original

inletts av datainspektionen och som beräknas vara avslutat under hösten 1991 (se avsnitt 6.5.2). Inte heller har utredningen kunnat beakta de två lagrådsremisser som nyligen har beslutats på arbetsmiljöområdet resp. socialförsäkringsområdet och som bl.a. kan aktualisera olika integritetsfrågor inom arbetslivs- området.

6.6.2. Inrättande av register

Då det gäller personregistrering i ett anställningsförhållande måste man till en början beakta de möjligheter som arbets- tagarna och deras organisationer har att inom ramen för lagstiftningen om medbestämmande och arbetarskydd få information om och påverka en datorisering av arbetsplatsen och arbetsgivarnas utnyttjande av olika ADB-system, dvs. också påverka frågan om inrättande av personregister.

En stor del av den datorutrustning och de program som numera köps in av företag och förvaltningar har i många fall större kapacitet och ett större användningsområde än det omedelbara behov man vill täcka. Det innebär att tekniken ofta har inbyggda möjligheter till individuell uppföljning som inte alltid utnyttjas. Register som har inrättats för visst godtagbart ändamål kan också komma att utvecklas och användas så, att otillbörligt intrång i personlig integritet uppkommer. Datorise- rad in- och utpasseringskontroll kan t.ex. användas för registre- ring och uppföljning av hur de anställda rör sig inom arbets- platsen i helt annat syfte än vad som ursprungligen avsetts.

Vid bedömningen av ett planerat datasystems effekter är det därför väsentligt att såväl företagsledning som berörd personal och dess företrädare får verkliga möjligheter att förstå och värdera de effekter ur integritetsskyddsvinkel som kan för- väntas.

Europarådets rekommendation (se avsnitt 6.4) anger också ett särskilt informations- och konsultationsförfarande när ADB- system skall introduceras eller förändras på en arbetsplats. De anställda bör känna till följderna av att införa ny teknik. De bör vara helt medvetna om tänkbara hot mot deras personliga integritet eller mänskliga värdighet ("their privacy or human dignity"). Om konsultationsförfarandet leder till slutsatsen att den personliga integriteten och mänskliga värdigheten kan påverkas, skall arbetsgivaren eftersträva - och om möjligt vinna - de anställdas samtycke till åtgärderna. I kommentaren framhålls att kollektivavtal kan vara ett lämpligt sätt att ge uttryck för principen om information och konsultation.

• Sida 153
•  Original

Enligt 11 & medbestämmandelagen skall arbetsgivare på eget initiativ förhandla med arbetstagarorganisation i förhållande till vilken han är bunden av kollektivavtal, innan han beslutar om viktigare förändring av sin verksamhet. I 6 kap. 4 & arbets- miljölagen stadgas att skyddsombud skall delta bl.a. vid planering av nya eller ändrade lokaler, anordningar, arbets— processer och arbetsmetoder. Arbetsmarknadens parter har också möjlighet att träffa olika medbestämmande- och ut— vecklingsavtal som kan få betydelse i samband med införandet av ny datorteknik på arbetsplatserna. Som nämnts anses ju i Europarådsrekommendationen kollektivavtal vara ett lämpligt sätt att reglera hithörande frågor på.

Bestämmelser som ger de anställda goda möjligheter till inflytande över införande och användning av datasystem på arbetsplatserna finns alltså redan i den nuvarande svenska ordningen, som därigenom uppfyller de krav som uppställs i Europarådets rekommendation.

Någon anledning att, från de utgångspunkter som gäller för utredningens arbete, överväga att i den svenska arbetsrättsliga lagstiftningen införa ytterligare bestämmelser som rör in- rättandet av datorstyrda system som sådana finns därför inte enligt utredningens mening.

Utredningen övergår därefter till att överväga frågan om behovet av särskilda materiella bestämmelser vid personregistre- ring på arbetslivsområdet.

De flesta arbetsgivare för i dag något slags personaladminist- rativt register med vissa uppgifter om sina anställda. Ett stort antal av dessa register, om inte flertalet, förs med hjälp av ADB.

Merparten av dessa personaladministrativa register innehåller inte sådana uppgifter om de anställda att registren enligt nuvarande ordning blir tillståndspliktiga, dvs. de är av mindre integritetskänsligt slag och bygger bl.a. på en naturlig anknyt— ning mellan den registeransvarige och den registrerade. Det torde vara naturligt att datainspektionen normerar inrättande av sådana mindre integritetskänsliga register. Så skedde ju redan i viss mån år 1979 genom införandet av ett förenklat förfarande för vissa löne- och personalregister (se avsnitt 6.2.3). Sådana register skulle i det av utredningen föreslagna tillsynssystemet således kunna omfattas av datainspektionens normering. Någon anmälningsskyldighet bör inte bli aktuell eftersom dessa register inte innehåller några känsliga uppgifter.

I vissa fall kan dock register som arbetsgivare inrättar innehålla sådana uppgifter av känsligt slag, t.ex. omdömen eller uppgifter om en anställds hälsa eller sjukdom, som medför att

• Sida 154
•  Original

i dag även tillstånd av datainspektionen krävs. Flertalet av dessa register torde gå att hänföra till en gemensam grupp eller i vart fall kunna samlas i några enstaka grupper, t.ex. rekryterings- register, kompetens- och utbildningsregister, passeringskontroll- register, behörighetskontrollregister, hälsoregister, och torde därför även de vara av så ensartat slag att de kan regleras genom datainspektionens föreskrifter. Dessa grupper av mer integritetskänsliga register skulle dock i ett framtida tillsyns- system även bli föremål för anmälningsskyldighet. Data- inspektionen skulle alltså genom att anmälningsskyldigheten fullgörs särskilt uppmärksammas på förekomsten av ett sådant register och därför, om det befinns nödvändigt, kunna förbjuda registret eller utfärda särskilda villkor för det. Inspektionen skulle också kunna använda informationen om sådana register som ett underlag för sin tillsynsverksamhet.

Arbetsgivares registrering av arbetstagare som inte regleras i förväg genom inspektionens föreskrifter bör följa vad som gäller andra personregister som inte normerats särskilt, dvs. överlag bli föremål för anmälningsskyldighet vid inrättandet. Något undantag för användning av personregister för personligt bruk blir av naturliga skäl inte aktuellt.

De känsliga uppgifter som oftast förekommer i register över anställda avser uppgifter om anställdas hälsotillstånd och omdömen om anställda, de sistnämnda även i form av s.k. prestationsmätningar.

I Europarådsrekommendationen finns ett flertal principer som särskilt behandlar uppgifter om hälsotillstånd. Sådana uppgifter får bl.a. inte samlas in från andra källor än från den anställde själv utan hans uttryckliga och informerade samtycke eller med stöd av lag. Enligt utredningens mening bör man överväga att införa uttryckliga bestämmelser om registreringen av sådana ytterst känsliga uppgifter direkt i datalagen, i första hand då en bestämmelse om uttryckligt och informerat samtycke.

Utredningen avser att återkomma till denna fråga i den avslutande etappen av sitt arbete, då ett fullständigt förslag till datalag skall utarbetas. (Se även avsnitt 6.6.6).

Uppgifter om hälsotillstånd skall emellertid som nämnts kunna samlas in från annan än den anställde också i andra fall med stöd av lag. I den avslutande etappen av sitt arbete kommer utredningen att diskutera den avvägning mellan olika intressen som är nödvändig för att avgöra vilka känsliga uppgifter som kan tillåtas att registreras, utan att det sker ett otillbörligt intrång i den enskilde arbetstagarens integritet. I fråga om uppgifter om hälsotillstånd gör sig ett allmänt, mera över-

• Sida 155
•  Original

gripande intresse gällande, nämligen kravet på en bättre arbets— miljö och mindre arbetsskador.

Ett exempel på hur man i ett annat sammanhang vid avväg- ningen mellan nytta och integritetsaspekter låtit det mera allmänna intresset väga över är det förslag arbetsmiljökommis— sionen nyligen lagt fram i sitt betänkande (SOU 1990:49) Arbete och hälsa. Kommissionen har sett folkhälsan som ett överordnat intresse och funnit att information från register och databaser är ett effektivt hjälpmedel i kampen mot ohälsa och dålig arbetsmiljö. Man har därför bl.a. ansett det väsentligt att möjlighet finns att fortlöpande koppla yrkesuppgifter och annan information från folk- och bostadsräkningarna till olika medicin— ska register och register över arbetsskador (betänkandet s. 144 ff). I betänkandet förordas därför en långtgående registre— ringsmöjlighet, oberoende av den anställdes inställning.

Datainspektionen har i sitt remissyttrande över betänkandet särskilt pekat på integritetsriskerna med kommissionens förslag och ansett att det inte är möjligt att ta ställning till förslagen förrän en noggrann bedömning gjorts från integritetssynpunkt.

Arbetsmiljökommissionens betänkande har lett till att rege- ringen föreslagit vissa ändringar i arbetsmiljölagen. Regeringens förslag har helt nyligen lett till den tidigare nämnda lagråds- remissen. Utredningen återkommer som nämnts i den avslutande etappen av sitt arbete till de särskilda frågor som bl.a. tas upp i det lagstiftningsärendet.

Vad därefter gäller registrering av omdömen om anställda, prestationsmätningar m.m. finns i rekommendationen ett uttalande om att uppgifter om anställdas prestationer och potentiella möjligheter skall grundas på en rättvis och hederlig bedömning och får inte formuleras på ett förolämpande sätt. Här som på andra områden ställs olika intressen mot varandra, bl. a. arbetsgivarens krav på en effektiv verksamhet, å den ena sidan, och det angelägna' 1 att skydda den enskildes integritet, å den andra sidan. Även denna avvägning kommer utredningen att ta upp i den sista etappen av sitt arbete.

6.6.3. Insamling och lagring av uppgifter

Vid bedömningen av vilka uppgifter som får samlas in och lagras i ett register över anställda har man att utgå från det grundläggande ändamålet med registret, dvs. att det skall avse olika delar av ett anställningsförhållande. Insamlingen och lagringen får därför enbart avse sådana uppgifter som faller inom ramen för det ändamål för vilket registret inrättats.

• Sida 156
•  Original

Huvudregeln bör vara att personuppgifterna endast får inhämtas direkt från den enskilde arbetstagaren. Skall uppgifter inhämtas på annat sätt, bör arbetstagaren ha samtyckt till detta eller åtminstone informerats i förväg. Ett uppgiftsinhämtande från tredje man får vidare endast ske om det framstår som lämpligt eller nödvändigt. I fråga om s.k. rekryteringsregister, dvs. register med uppgifter om en arbetssökande, bör insam- lingen av information endast omfatta uppgifter som kan anses nödvändig för bedömningen av den sökandes lämplighet för arbetet.

De utgångspunkter som nu har nämnts överensstämmer med de principer som Europarådsrekommendationen innehåller.

Utredningen har vid sina överväganden angående forsknings- register funnit att det inte är lämpligt att generellt lagstifta om en rätt för en organisation att i fråga om personligt integritets- skydd företräda den enskilde (avsnitt 4.5.5). Samma synpunkter gör sig gällande beträffande nu aktuella register. Det är dock som utredningen tidigare påpekat möjligt för den anställde att genom avtal, exempelvis i en särskild klausul i ett annat anställningsavtal än kollektivavtal, överlåta rätten till samtycke till annan.

Den datatekniska utvecklingen mot integrerade datorsystem har medfört att även uppgifter som tagna var för sig inte kan anses vara särskilt integritetskränkande kan komma att bli det, om de sammanställs med varandra.

Frågan om sambearbetning, dvs. bearbetning av uppgifter i ett personregister tillsammans med uppgifter i ett annat person- register hos den registeransvarige eller hos en annan register- ansvarig eller annan direkt överföring av uppgifter från ett register till ett annat, bör enligt vad utredningen tidigare angett (se avsnitt 8.6.5 i SOU 1990:61) i princip regleras på samma sätt som personregistrering i allmänhet i det framtida till- synssystemet. Det innebär att sådana bearbetningar regleras i de allmänna bestämmelser som datainspektionen beslutar om för olika branscher. Faller registret inte inom ramen för inspektion- ens normering skall det alltid anmälas till inspektionen innan det får inrättas och föras.

Om de som berörs av sambearbetningen inte har samtyckt till den eller åtminstone informerats i förväg om den, bör utgångs- punkten också här vara att sambearbetning inte tillåts. Ytterliga- re en förutsättning bör vara att sambearbetningen framstår som lämplig eller nödvändig i det enskilda fallet. Vad som har sagts nu gäller dock endast under förutsättning att registret genom sambearbetningen ändras i en sådan väsentlig mån att ett nytt register får anses ha uppkommit. Uppdatering av lagrat materi-

• Sida 157
•  Original

al, t.ex. adressändringar o.dyl, bör alltså vara möjlig utan någon ytterligare åtgärd från arbetsgivarens sida.

6.6.4. Utlämnande av uppgifter

Ett utlämnande av uppgifter från ett av en arbetsgivare fört register till någon som står utanför företaget eller myndigheten etc. aktualiserar särskilt integritetsaspekten. Möjligheterna till utlämnande till tredje man bör därför begränsas så långt som möjligt.

Enligt Europarådsrekommendationen får personuppgifter lämnas ut till myndigheter för att de skall kunna fullgöra sin myndighetsutövning endast inom ramen för arbetsgivares skyldigheter enligt lag. Vissa myndigheter, t.ex. skattemyndig- heter och försäkringskassor, måste för att kunna fullgöra sina åligganden erhålla uppgifter om arbetstagarna, även om det skulle innebära ett integritetsintrång. Det bör emellertid krävas författningsstöd för att arbetsgivaren skall få lämna ut dessa uppgifter till myndigheten utan den anställdes samtycke.

Även i övrigt kan enligt Europarådsrekommendationen ett utlämnande ske om det finns stöd i lag.

I detta sammanhang bör beaktas att reglerna i 2 kap. tryck- frihetsförordningen om allmänna handlingars offentlighet även är tillämpliga på ADB-upptagningar. Detta medför att myndig- heters personregister är tillgängliga för allmänheten i samma utsträckning som handlingar av traditionell typ och att uppgifter om den anställdes personliga förhållanden som myndigheten förfogar över inte rutinmässigt kan hemlighållas.

Enligt 7 kap. 11 & tredje stycket sekretesslagen (1980:100) gäller dock sekretess för uppgifter i myndighets personal- administrativa verksamhet för uppgift om enskilds hälsotillstånd och för sådan uppgift om enskilds personliga förhållanden som hänför sig till ärende om omplacering eller pensionering av anställd, om det kan antas att den enskilde eller någon honom närstående lider men om uppgiften röjs. Andra uppgifter om offentliga funktionärers personliga förhållanden, t.ex. adresser och telefonnummer till deras bostäder som myndigheterna har tillgång till i den personaladministrativa verksamheten kan i vissa fall skyddas av sekretess. Om det kan antas att den enskil- de eller hans närstående riskerar att utsättas för våld eller annat allvarligt men om en sådan uppgift röjs, skall denna enligt 7 kap. 11 & fjärde stycket sekretesslagen hållas hemlig.

En särskild fråga är om en fackförening bör ges möjlighet att få del av vissa uppgifter om sina medlemmar.

• Sida 158
•  Original

Enligt datainspektionens nuvarande föreskrifter om vissa löne- och personalregister (DIFS 1979:2) får uppgifter lämnas ut enligt skyldighet på grund av kollektivavtal t.ex. till semester- kassa, mätningskontor, försäkrings-, arbetsgivar— eller arbets- tagarorganisation.

Europarådsrekommendationen ger även visst utrymme för de anställdas företrädare att inom ramen för villkoren i ett kollek- tivavtal få vissa uppgifter om de anställda utlämnade till sig. Enligt utredningens mening bör det mot denna bakgrund vara möjligt att i kollektivavtalsform reglera utlämnandet av vissa sådana uppgifter. Det bör emellertid endast vara fråga om sådana uppgifter som är nödvändiga för att den fackliga organisationen skall kunna ta tillvara de anställdas intressen ("in so far as such data are necessary to allow them to represent the interests of the employees"). I kommentaren framhålls att utlämnandet av uppgifter om andra anställda än sådana som är medlemmar i den fackliga organisationen endast får ske om de lämnat sitt samtycke till detta.

I andra fall än de nu nämnda och ytterligare ett fall som avser utlämnande för anställningsändamål (jfr art. 8.2a i Europaråds- rekommendationen) bör krävas att ett utlämnande inte får ske om inte det föreligger ett uttryckligt och informerat samtycke från den enskilde anställde. Med informerat samtycke avses att den anställde får information om det tilltänkta utlämnandet och därefter lämnar sitt samtycke till åtgärden, något som också skall ske uttryckligen. Huvudregeln vid utlämnande blir alltså, liksom vid insamling av uppgifter, att det i princip är den enskilde som disponerar över de personuppgifter som rör honom. Det kan finnas anledning att ta in denna princip i datalagen.

6.6.5. Insynsrätt

När en arbetsplats datoriseras är det viktigt att den anställde får insyn i de personregister som arbetsgivaren för med hjälp av ADB och som innehåller uppgifter om honom eller henne. När det gäller möjligheten att påverka inrättandet av olika register- system har det behandlats ovan (avsnitt 6.6.2).

En central bestämmelse i datalagen är stadgandet om rätten till insyn i personregister. Enligt 10 & datalagen skall den register- ansvarige på skriftlig begäran av den enskilde underrätta denne om innehållet i registret, såvitt det gäller honom eller henne. Ett sådant utdrag, s.k. 10 å—utdrag, har den enskilde rätt att kostnadsfritt få en gång per år.

• Sida 159
•  Original

Rätten till denna insyn förutsätter emellertid, för att den skall kunna utnyttjas på rätt sätt, att det är möjligt för den anställde att skaffa sig kunskap om vilka personregister och datasystem som arbetsgivaren har. För att förbättra den anställdes möjlig- heter härtill bör därför i datalagen eller i datainspektionens föreskrifter tas in en bestämmelse som ger arbetstagaren rätt att erhålla upplysning om vilka datasystem och personregister som arbetsgivaren har. En sådan insynsrätt för den anställde har också föreslagits i rapporten Ds 1989:24 och står väl i över— ensstämmelse med Europarådets rekommendation om skydd för personuppgifter som används för anställningsändamål.

6.6.6. Vissa lagtekniska frågor

Datainspektionen bör, som framgått, i ett framtida tillsyns- system ges möjlighet att utfärda generella bestämmelser för olika slag av arbetsgivares personregistrering av anställda. Före- skrifterna bör tas fram efter hörande av arbetsmarknadens parter. Det nu pågående arbetet inom datainspektionen med det s.k. arbetslivsprojektet bör kunna ge goda förutsättningar för att vidare överväga utformningen av en sådan generell reglering.

En särskild lagteknisk fråga är om vissa stadganden om personregistrering inom arbetslivet bör tas in direkt i datalagen. Som framgått av tidigare avsnitt har utredningen funnit att det kan finnas skäl för en sådan reglering, bl.a. när det gäller insyn, vissa känsliga personuppgifter och de allmänna förut- sättningarna för insamlande, lagring och utlämnande av uppgifter.

En av fördelarna med att låta datainspektionen reglera hela området är att man på så sätt uppnår en möjlighet till större detaljreglering av de olika slag av register som i dag förs i anställningsförhållanden. Det skulle vara ohanterligt att i datalagen införa detaljerade regler för vitt skilda slag av register på området. Den snabba tekniska utvecklingen kommer också att innebära att en ständig omprövning av utfärdade bestämmel- ser måste ske, vilket talar för en reglering genom inspektionens försorg.

Vad som dock bör kunna regleras direkt i datalagen är, som nämnts, vissa grundläggande regler för personregistreringen i anställningsförhållanden. En regel om att uppgifterna i registren i princip skall samlas in direkt från», den anställde och att de i princip inte får lämnas ut utan hans medgivande skulle kunna tas in, liksom principiella bestämmelser om registreringen av uppgifter av medicinsk karaktär eller sådana som gäller omdömen såsom prestationsmätning o.d. Utredningen avser att

• Sida 160
•  Original

återkomma till dessa frågor i den avslutande etappen av sitt arbete, då lagförslag kommer att redovisas.

• Sida 161
•  Original

7. Gallringsfrågor

7.1. Direktiven

I direktiven berörs frågan vid vilken tidpunkt uppgifter i person- register skall gallras. Härvid anförs följande.

"Integ ritetsskäl talar oftast för att uppgifter gallras när de inte längre behövs för sitt ursprungliga syfte. De intressen som bär

poffentlighetsprincipen gör å andra sidan att uppgifter i allmänna handlina r bör bevaras under relativt lång tid. Arkive- ringshäns n medför också ett intresse av att uppgifter bevaras, t.ex. för orskning. Den intresseavvägning som bör göras mellan skälen för bevarande och motivet att personuppgifter gallras när det ändamål för vilket de insamlats är uppfyllt, får ökad aktualitet i och med att allt större mängder information lagras på ADB- medium."

Vidare nämns i direktiven den beredning av gallringsfrågorna som skedde i regeringskansliet med anledning av de förslag som lagts fram i betänkandena (SOU 1987z8) Arkiv för individ och miljö och (SOU 1988:11) Öppenhet och minne, Arkivens roll i samhället och som sedermera lett fram till landets första arkivlag (SFS 1990:782). Det framhålls att utredaren bör hålla sig underrättad om detta arbete och anpassa sina förslag till resultatet av detta arbete.

7 .2 Gällande rätt

För närvarande finns inte några allmänna lagregler om arkiv för den statliga eller kommunala sektorn. Arkiwården inom den offentliga sektorn regleras genom åtskilliga författningar, bl.a. allmänna arkivstadgan (19611590). I fråga om handlingar hos statliga myndigheter fattas beslut om utgallring i de flesta fall

• Sida 162
•  Original

av riksarkivet enligt bemyndigande i allmänna arkivstadgan. I ett antal författningar som reglerar olika aktsystem och register finns dock särskilda bestämmelser om bevarande och gallring. Bestämmelser som rör kommunernas arkiwård finns i kommu- nallagen (1977:179) och i vissa speciallagar. I kommuner och landsting fattas gallringsbesluten av resp. styrelse eller nämnd.

Den 1 juli 1991 träder emellertid arkivlagen i kraft (prop. 1989/90:72, KrU 29, rskr. 307, SFS 1990:782). I denna ges grundläggande regler om arkiv hos såväl statliga som kommun— ala myndigheter samt bestämmelser om bl.a. vad som ingår i en myndighets arkiv, vården av arkivet och gallring av arkiv. De bestämmelser som gäller för statliga arkiv gäller också för arkiv hos kyrkokommunala myndigheter, vissa organ som jämställs med myndigheter och allmänna försäkringskassor. Enskildas arkiv regleras dock inte av lagen.

I 3 & arkivlagen slås fast att myndigheternas arkiv är en del av det nationella kulturarvet och att de skall ordnas så att rätten att ta del av allmänna handlingar tillgodoses. Dessutom skall behovet av information för rättskipningen och förvaltningen samt forskningens behov tillgodoses.

Ett myndighetsarkiv i lagens mening bildas enbart ,av de allmänna handlingarna från myndighetens verksamhet samt av sådana handlingar som avses i 2 kap. 9 & tryckfrihetsordningen (vissa minnesanteckningar och utkast eller koncept) och som myndigheten beslutar skall tas om hand för arkivering. Upp— tagningar för ADB som är tillgängliga för flera myndigheter bildar dock endast arkiv hos en av de myndigheter hos vilka de utgör allmän handling och då i första hand hos den myndighet som svarar för huvuddelen av upptagningen (3 5 1 st).

Arkivmyndigheterna och deras tillsynsuppgifter beträffande myndigheternas arkivvård regleras också genom arkivlagen. I fråga om ansvaret för arkiven anges att varje myndighet skall ha ansvar för sitt arkiv samt att särskilda arkivmyndigheter skall ha tillsyn över myndigheternas arkivverksamhet (4 och 7 55). Statliga arkivmyndigheter är riksarkivet, krigsarkivet och landsarkiven, som sorterar under riksarkivet. Om inte andra arkivmyndigheter utsetts, skall kommunstyrelsen och för— valtningsutskottet sköta den sysslan i kommuner och landsting (8 5).

Enligt 10 & arkivlagen får allmänna handlingar gallras. Gallring skall dock alltid ske med beaktande av att arkiven utgör en del av kulturarvet och på sådant sätt att det återstående arkivmaterialet fyller de i 3 & angivna ändamålen med arkiven, nämligen att tillgodose rätten att ta del av allmänna handlingar, rättskipningens och förvaltningens behov av information samt

• Sida 163
•  Original

forskningens behov. Undantag från huvudregeln om gallring görs dock för de fall att det i annan lag eller i förordning finns avvikande regler om gallring. Dessa avvikande bestämmelser tar då över arkivlagens bestämmelser om gallring. Arkivlagens bestämmelser gäller dock enligt 10 & framför bestämmelserna i 12 ådatalagen.

Enligt 12 å datalagen skall personuppgifter som inte längre behövs med hänsyn till registerändamålet utgå ur personregistret om de inte skall bevaras på grund av bestämmelser i författning eller myndighets beslut som meddelats med stöd av författning. Detsamma gäller då den registeransvarige upphör att föra personregistret. Bestämmelserna gäller för alla personregister.

Datainspektionen kan meddela beslut om bevarande och gallring av personuppgifter i ett visst register med stöd av 6, 6a eller 18 & datalagen. Beträffande tillståndsregister bestämmer datainspektionen i de villkor som meddelas för personregistret, i den mån det behövs för att förebygga risk för otillbörligt intrång i den personliga integriteten, vad som skall gälla om bevarande och gallring av uppgifterna i registret (6 5). Skulle författningsföreskrifter i detta hänseende saknas beträffande ett sådant statsmaktsregister som avses i 2a & första stycket andra meningen datalagen ankommer det på datainspektionen att besluta därom (6a å). Datainspektionen kan också i mån av behov meddela beslut om gallring beträffande licensregister om förandet av registret lett till otillbörligt intrång i personlig integritet eller om det finns anledning anta att sådant intrång skall uppkomma (18 5).

Enligt 12 & dataförordningen skall datainspektionen innan den avgör frågor om bevarande och gallring av personuppgifter i myndigheters personregister samråda med riksarkivet.

Principen att uppgifter skall gallras ur registren finns också i författningar som reglerar olika integritetskänsliga register. Det är här fråga om akter och register med personuppgifter. Reglerna ges i flertalet fall i lag. Bestämmelserna varierar något, men som den gemensamma principen framträder att materialet skall förstöras efter en viss tid, om det inte finns direkta föreskrifter om bevarande. Sådana särbestämmelser som nu har berörts finns bl.a. i lagen (1968:430) om mervärdeskatt, fastighetstaxeringslagen (1979:1152), skatteregisterlagen (1980z343), socialtjänstlagen (1980:620), utsökningsregister- lagen (1986z617) och tullregisterlagen (1990:137). I lagen (1963:197) om allmänt kriminalregister och polisregister- kungörelsen (1969:38) stadgas det att uppgifter skall utgå ur registret när vissa förutsättningar har inträffat. I patientjournal-

• Sida 164
•  Original

lagen (1985:562) finns föreskrifter om att journalhandlingar skall bevaras en minsta tid.

De särskilda registerlagarna har i samband med proposi— tionen om arkiv m.m. setts över och gjorts mer enhetliga, se lagen (1990:325) om självdeklaration och kontrolluppgifter, lagen (1990:330) om ändring i lagen om mervärdesskatt, lagen (1990:379) om ändring i fastighetstaxeringslagen, lagen (1990:785) om ändring i patientjournallagen, lagen (1990:786) om ändring i utsökningsregisterlagen och lagen (1990:789) om ändring i socialtjänstlagen. Riksdagen har därefter antagit lagen (1990: 1536) om folkbokföringsregister, som stadgar att gallring av uppgifter i ett lokalt folkbokföringsregister och i det centrala referensregistret skall ske i enlighet med arkivlagens bestäm— melser.

För de enskilda arkivbildarna, dvs. för företag, organisationer etc., finns inte några allmänna författningsbestämmelser om arkivvård. Datalagen gäller dock även för de enskilda arkiv— bildarna. I vissa andra författningar, som främst gäller ekono— miska förhållanden, finns det bestämmelser om att vissa handlingar skall bevaras under en bestämd tid. Hit hör bl.a. lagen om mervärdeskatt, bokföringslagen (1976:125), fastig- hetstaxeringslagen och lagen om självdeklaration och kontroll— uppgifter.

I detta sammanhang kan även nämnas lagen (1978:487) om pliktexemplar av skrifter och ljud- och bildupptagningar. Denna lag innehåller bestämmelser om skyldighet att leverera skrifter och s.k. kombinerat material till vissa bibliotek samt av ljud- och bildupptagningar till arkivet för ljud och bild, men saknar motsvarande bestämmelser om information lagrad på ADB- medium. Närmare föreskrifter om bl.a. bevarande av det material som omfattas av lagen meddelas i en särskild för- ordning (1978:779) om pliktexemplar av skrifter och ljud- och bildupptagningar.

7.3. Tidigare utredningsarbete

Sedan mitten på 1970—talet har arkivfrågor varit föremål för ett flertal utredningar och översyner, initierade dels av regeringen, dels på myndighetsnivå. Översynerna har omfattat bl.a. frågor om kommunala arkiv (Ds U 198416, Kommunala arkiv), medicinska arkiv (Ds S 1982z5, Bevarande av journaler m.m.), företagsarkiv (Ds U 1984112, Att bevara företagsarkiv) och

• Sida 165
•  Original

arkivinstitutionernas myndighetsservice (Ds U 1981:21, Sam- hällets arkivproblem).

År 1980 tillsattes socialdatautredningen som år 1986 överläm- nade betänkandet (Ds S 198625) Gallra och bevara - social- tjänstens personregister. Utredningen föreslog att socialtjänstens akter i princip skulle bevaras hos resp. socialnämnd till dess fem år förflutit från det den sista uppgiften påförts. Akter för personer födda den 5:e, 15:e och 25:e varje månad skulle därvid överlämnas till landsarkiv medan övriga akter gallrades. Undantagna från gallringen skulle också vara originalhandlingar i faderskapsärenden samt handlingar avseende svenskt hittebarn. Därutöver skulle Jönköpings kommun utgöra ett s.k. typarkiv där samtliga socialtjänsthandlingar skulle sparas. Riksarkivet skulle också få bemyndigande att för tidsbegränsade perioder kunna medge bevarande av material som behövdes för särskilda forskningsprojekt. Socialdatautredningen konstaterade vidare att det från forskningens sida fanns ett stort intresse av att bevara även de upprättade ADB-registren och föreslog att dessa register bevarades hos riksarkivet för forskningsändamål. Utredningen åberopade som skäl härför forskningsekonomiska och admini- strativa fördelar men framhöll också fördelar från integritets- synpunkt genom att en avsevärd del av forskningens databehov kunde tillgodoses av registren utan att man, som annars, behövde gå in i de mer känsliga personakterna hos social- nämnderna.

Ar 1986 tillsattes utredningen angående intensivdataområden och individbaserade urvalsserier inom arkivväsendet med uppdrag att göra en studie över förutsättningarna att tillämpa principen om s.k. intensivdataområden inom arkivväsendet, dvs. geografiska områden där visst material, t.ex. socialtjänstakter, bevaras i sin helhet till skillnad från andra geografiska områden där materialet får förstöras. Utredningen har avlämnat be- tänkandet (SOU 1987:38) Arkiv för individ och miljö. Utred- ningens förslag innebar i huvudsak att Östergötlands, Gotlands, Hallands och Västernorrlands län utpekades som s.k. intensiv- dataområden. Utredningen ansåg att tillämpningen av modellen borde bygga på överenskommelser och samverkan mellan de offentliga arkivens olika huvudmän. Vad angår s.k. datumurval, dvs. att personakter för personer födda vissa bestämda datum bevaras till skillnad från personakter för personer födda andra datum som får förstöras, ansåg utredningen att sådant urval borde begränsas till tolv slumpvis valda dagar under ett år. Utredningen föreslog även ett tillägg till sekretesslagen inne— bärande ett förstärkt sekretesskydd för de sålunda bevarade uppgifterna.

• Sida 166
•  Original

I juli 1985 tillsattes arkivutredningen för att se över vissa arkivfrågor inom den statliga och kommunala sektorn. Utred- ningen redovisade resultatet av sitt arbete i det i direktiven nämnda betänkandet (SOU 1988:11) Öppenhet och minne. Arkivens roll i samhället. Vad beträffar gallrings- och urvals- frågor betonades att någon nämnvärd utvidgning av gallringens omfattning inte kunde ske, men att gallringsarbetet måste bedrivas kontinuerligt. Utredningen tillstyrkte under vissa förutsättningar en kombination av intensivdataområdesmodellen och ett individurval när det gällde stora serier.

Data- och ofentlighetskommittén har även haft i uppdrag att överväga frågan om huruvida principerna för arkivering och gallring bör ges förankring i de grundläggande bestämmelserna om allmänna handlingars offentlighet i 2 kap. tryckfrihetsför- ordningen. Kommittén har redovisat resultatet av sitt arbete i delbetänkandet (Ds Ju 1987:8) Integritetsskyddeti informations— samhället 3. Grundlagsfrågor. Kommittén föreslog att gallring av allmänna handlingar skulle ges ett stöd i grundlag och att sådan gallring endast skulle få ske om handlingarna var av ringa betydelse ur offentlighetssynpunkt.

De utredningar som nämnts i förevarande avsnitt har samtliga legat till grund för det lagstiftningsarbete som har lett fram till en ny arkivlag (prop. 1989/90:72, KrU 29).

7.4. Överväganden

Gallringen är en viktig uppgift och utgör en nödvändig del av arkivverksamheten. Som påtalas i propositionen till arkivlagen (prop. 1989/90:72 s. 39 ff) skulle utan gallring arkivmaterialet växa i en omfattning som vore ohanterlig, utan att det skulle medföra några fördelar från insyns- eller informationssynpunkt. Gallringen syftar till att arkiven inte skall tyngas av handlingar som saknar påtagligt informationsvärde och som bara utgör en dubblering av information som bättre kan sökas i ett annat arkiv eller som har ett informationsvärde som är markant begränsat i tiden. En riktigt utförd gallring bör, enligt vad som vidare sägs i propositionen, leda till att arkiven blir mer överskådliga och mer effektiva som informationskällor samtidigt som det innebär en kostnadsbesparing.

Sedan länge utgallras också en stor del av de allmänna hand- lingarna hos myndigheterna. Arkivutredningen har beräknat att gallringen av statsförvaltningens handlingar svarar mot i genom-

• Sida 167
•  Original

snitt ungefär 80 % av de ursprungligen tillförda handlingarna. Detta avser pappersbaserat material. Gallringen av person- register torde ske i något mindre omfattning och förestavas i huvudsak av integritetsskäl, men även hanteringsskäl och ekonomiska skäl har betydelse. Hårdast är gallringen hos lokala och regionala myndigheter eftersom informationen ofta finns bevarad även hos en central myndighet, då ofta i ackumulerad eller komprimerad form.

Vid sidan om den gallring som är betingad av hanterlighets- skäl och ekonomiska skäl kan gallring också vara påkallad av hänsyn till den enskildes integritet. Det gäller särskilt sådana register som förs med hjälp av ADB, men i några fall också personakter, oavsett om de förs på papper eller med elektronis- ka hjälpmedel. I allmänhet går gallringsprincipen i dessa fall ut på att uppgifterna efter en viss tid skall förstöras, om det inte finns särskilda föreskrifter om bevarande. Datainspektionens beslut när det gäller gallring är närmast föranledda av de särskilda risker för integritetsintrång som ADB-tekniken kan medföra.

Integritetsskälen betonas i den proposition (1979/8011) som låg till grund för socialtjänstlagen. Syftet med gallringsbestäm- melserna angavs där vara att det från allmänna integritetssyn- punkter i princip framstod som olämpligt att ömtåliga personliga uppgifter om enskilda människor skulle sparas för längre tid än de behövdes för det ändamål för vilket de hade samlats in. Vidare nämndes att det vid sidan av dessa integritetsskäl också måste beaktas att det av ekonomiska skäl förr eller senare måste bli nödvändigt att i någon form gallra socialnämndernas på papper förda personregister.

I propositionen till arkivlagen (1989/90:72) behandlade departementschefen också de olika intressen som har betydelse för hur länge uppgifter skall bevaras samt anförde bl.a. följande (5. 31 ff):

"När det gäller att ställa upp målen för det offentliga arkiv- väsendet finns det- vid sidan om kulturarvsaspekten, som jag nyss berört - mycket konkreta rättssäkerhets- och rationaliserings- aspekter att beakta. Främst är här att beakta den grundlagsfästa handlin gsoffentligheten. Enlig tdenna har var och en rätt att ta del av allmänna handlingar, om de inte i särskild lag har belagts med sekretess. Denna insyn i den offentliga förvaltningen hör till de grundläggande elementen 1 vårt samhällsskick. Rätten till insyn är inte tidsbegränsad. I praktiken kan väl sägas att insynsintresset avklingar med tiden, men rent faktiskt ar det ytterst med stöd av handlingsoffentligheten som även äldre allmänna handling ar kan beg äras utlämnade. Det kan här räcka med att som exempel anföra att handlingsoffentligheten gör det möjligt att nu, sedan sekretesstiden har löp t ut, få fram vilka åtgärder som vidtogs av svenska myndigheter under andra världskriget. Efter en viss tid

• Sida 168
•  Original

har dock i allmänhet kravet på insyn, i den mening man främst förknippar med handlingsoffentlighetens syfte, kommit att efter- trädas av något som mer kan betecknas som ett forskningsintresse. Gränsen torde dock sällan vara klar. Ett forskningsintresse kan sålunda till dels förestavas av en önskan att till sist få korten på bordet och klarlägga hur något som varit uppmärksammat verkligen förhöll sig.

Rätten till insyn enligt bestämmelserna om handlingsoffentlighet kan givetvis inte till odoses utan ett välordnat arkiv. Redan dessa bestämmelser ger "rför grunderna för en arkivreglering. De medför krav på att allmänna handlin ar i princip bevaras, att de ordnas så att det går att hitta bland em och att de vårdas så att de inte skingras eller förstörs.

Behov av att handlingar bevaras, hålls ordnade och vårdas finns också med hänsyn till rättskipningens och förvaltningens egen verksamhet. Människor har rätt att kräva att både domstolar och förvaltningsmyndigheter visar konsekvens i sin tillämpning av författningar och håller reda på de uppgifter som en gång har lämnats. För detta fordras välordnade arkiv.

Arkiven är också en viktig bas för forskning av olika slag. Sålunda är arkiven nyttiga för den professionella forskning som ger oss sådana insikter i samband och orsaker som är av omedel- bar praktisk nytta för framtiden. Jag tänker härvid t.ex. på den medrcinska forskningen, men även modern ekonomisk forskning kan vara beroende av arkivmaterial, t.ex. från skattemyndig- heterna. Att bevara, ordna och vårda arkiven så att de kan tjäna också forskningens olika behov ser jag som ytterligare en huvuduppgift i arkivverksamheten. Här framstår kulturarvs- aspekten tydligast, det för en kultumation självklara att bevara minnet av sin utveckling och använda detta minne för att dels belysa den historiska utvecklingen, dels nyttiggöra de erfarenheter som dras ur materialet.

Jag vill påpeka att när det gäller bevarande av arkivmaterial måste man föra in också integritetsaspekten. Jag skall utveckla den frågan senare, men den är så viktig att den bör nämnas i omedel- bart samband med mitt förslag att ett av arkivens huvudsyften skall vara att tillgodose forskningens behov. Integritetshänsyn kan sålunda leda till att material inte bevaras i den utsträckning som hade varit önskvärd från andra synpunkter eller att tillgången till bevarat material begränsas. Sådana av integritetshänsyn påkallade avvikelser från huvudregeln om bevarande bör tas in i de särskilda lagar som reglerar integritetskänsli aakter och register. Reglerna kan därmed äst anpassas efter va det speciella materialet kräv- er."

Vid utformningen av gallringsbestämmelser för personregister som förs med hjälp av ADB-teknik måste naturligtvis hänsyn tas till de av departementschefen berörda aspekterna. Enligt datalagsutredningen bör härvid inte minst offentlighetsintressena beaktas så att rätten att ta del av allmänna handlingar inte in- skränks på ett otillbörligt sätt. Samtidigt måste emellertid beträffande dessa personregister bevarandefrågan, med hänsyn till ADB-teknikens effekter på skyddet för den personliga in- tegriteten, också bedömas mot bakgrund av människors befogade krav på skydd mot otillbörliga integritetsintrång.

• Sida 169
•  Original

Vid riksdagsbehandlingen av förslaget till ny arkivlag framhölls att det är nödvändigt att göra en avvägning mellan olika intressen i fråga om gallring och att därvid integritets- aspekten är särskilt viktig att beakta (jfr KrU 1989/90:29 s. 12).

Det förtjänar att framhållas att gallring av personuppgifter är endast en av flera möjliga integritetsskyddande åtgärder och att i vissa fall den personliga integriteten kan anses bli tillräckligt skyddad utan att någon gallring sker. Under vissa förutsätt- ningar kan t.ex. sekretesslagstiftningen ge tillräckliga garantier för att något otillbörligt integritetsintrång inte sker. Vidare kan redan ett överlämnande av materialet till arkivmyndighet inne- bära ett förbättrat skydd mot bl.a. tillgrepp och obehörig åt- komst och därmed också innefatta en förstärkning av skyddet mot otillbörligt intrång. En annan följd av överlämnande till arkivmyndighet är att myndighetens egen tillgång till materialet blir begränsad av sekretesslagens regler (jfr prop. 1989/90:72 s. 102). I vissa fall kan det dock vara nödvändigt av integritets- skäl att gallra.

Den omständigheten att gallring sker av uppgifter som finns på ADB-medium behöver emellertid inte innebära att insyns- möjligheterna helt försvinner. Motsvarande information kan nämligen föreligga på annat slags medium, då huvudsakligen papper. Insynsmöjligheterna torde i de flesta fallen dock bli sämre på grund av en minskad överblick och svårigheter för exempelvis forskare att bearbeta vissa uppgifter. Ett fall av överföring av information från datamedium till papper före- ligger när en myndighet använder sig av en upptagning för automatisk databehandling för handläggning av ett visst mål eller ärende. Enligt 14 & datalagen skall då upptagningen tillföras handlingarna i målet eller ärendet i läsbar form, om inte särskilda skäl föranleder annat. Med hänsyn till den fortsatta utvecklingen på teknikområdet får man dock räkna med att en allt mindre mängd information kommer att återfinnas på papper. En positiv följd av detta är att lagringen av pappers- material i framtiden inte kommer att utgöra det stora problem som det är i dag. Den gallring som enbart är betingad av hanterlighetsskäl kommer följaktligen också att minska i betydelse.

En ökad användning av ADB-teknik i handläggningen kan emellertid på den andra sidan innebära en utveckling där hänsynen till integritetsintresset kan komma att få en allt större betydelse vid bedömningen av gallringsfrågor. Önskemålet att ta till vara viktig och t.ex. för forskningen betydelsefull information kan då i allt större utsträckning omma i konflikt med önskemål att begränsa tillgängligheten t1 1 uppgifter som

• Sida 170
•  Original

rör enskilda människor. Utredningen avser att i en senare etapp i utredningsarbetet återkomma till den övergripande frågan om hur en avvägning mellan olika intressen lämpligen bör ske och närmare behandla de riktlinjer som därvid bör gälla (Jfr avsnitt 8.4 i SOU 1990:61).

Gallringsnormerna i form av verkställighetsföreskrifter har, såvitt gäller statsförvaltningen (prop. 1989/90:72 s. 42ff), förut- skickats bli fattade företrädesvis av riksarkivet i samarbete med berörda arkivbildande myndigheter. Gallringsföreskrifter för kommunala myndigheter avses i allt väsentligt bli meddelade av kommunerna själva. Inom statsförvaltningen avses myndig- heterna normalt få gallra endast enligt de föreskrifter som den centrala arkivmyndigheten har utfärdat.

Som tidigare nämnts kan emellertid även datainspektionen med stöd av bestämmelser i datalagen (6, 6a eller 18 &) meddela beslut om bevarande och gallring av personuppgifter. Sådana beslut har meddelats dels i enskilda ärenden, dels i av data- inspektionen meddelade föreskrifter om förenklat ansöknings- och tillståndsförfarande (se avsnitt 5.2 i betänkandet SOU 1990:61). Datainspektionens beslut om gallring är betingade av de särskilda risker för integritetsintrång som ADB-tekniken medför.

Departementschefenbehandladeförhållandetmellan arkivlagen och datalagen på följande sätt (5. 48 ff).

"Bestämmelserna i den föreslagna arkivlagen om bevarande och gallring samt föreskrifter som meddelas med stöd av arkivlagen, t.ex. om bevarande för forskningsändamål, blir regler som enligt datalagens gällande lydelse tar över datalagens regel i 12 5 om förstörande. Licensregister hos myndigheter som utgör allmän handling - och som inte är författningsreglerade i särskild ordning - kommer därmed att gallras enligt arkivlagens normsystem. Detta bör normalt sett inte innebära några problem (jfr vad som sagts ovan om 18 & datalagen) och jag anser därför att det bör vara en rimlig ordning.

När datainspektionen meddelar föreskrifter om bevarande och gallring för tillståndsregister (6 & datalagen) skall ins ektionen förutom integritetsaspekten även beakta de skäl som ta ar för ett bevarande. Frågor om bevarande och gallring av personregister avgörs enligt 12 & dataförordningen (19821480) efter samråd med riksarkivet. Det är min uppfattning att datainspektionens före- skrifter om bevarande och gallring i praktiken tillkommer under vederbörlig hänsyn till gängse gallringsprinciper. Jag anser inte att arkivlagen bör medföra någon ändring när det gäller datainspek- tionens uppgifter med tillståndsregistren. Bestämmelsen i 6 & datalagen bör därför gälla före arkivlagens regler. När det införs en generell arkivlagstiftning som anger mål för arkivverksamheten och knyter gallringsreglema till dessa mål har inspektionen givet- vis att beakta den lagstiftningen och väga intressena för bevarande mot integritetsintresset. I sak torde det emellertid inte vara något nytt för inspektionen. Jag ser därför inte nu anledning att i datalagen närmare reglera denna avvägningsfråga.

• Sida 171
•  Original

Sammanfattningsvis innebär den nu föreslagna ordningen att när det gäller tillståndsregistren är det datainspektionen som med stöd av datalagen meddelar föreskrifter om gallring och bevarande, medan det är riksarkivet alternativt den kommunala arkivmyndig- heten som meddelar sådan föreskrifter i övrigt, alltså även om det rör sig om licensregister.

Enligt dataförordningen skall datainspektionen samråda med riksarkivet när inspektionen utfärdar föreskrifter om bevarande och gallring. I verkställighetsföreskrifterna till arkivlagen bör föreskrivas att riksarkivet skall samråda med datainspektionen innan arkivet utfärdar föreskrifter som täcker också licensregistren på det statliga området. Jag avser att återkomma till regeringen med förslag i det avseendet. Givetvis bör också kommuner som avser att meddela föreskrifter om gallring av licensregister samråda med inspektionen.

Aven med den ordningen att arkivlagen tar över den allmänna regeln i 12 & datalagen om gallring återstår emellertid frågan om förhållandet mellan arkivlagen och datalagens bestämmelse i 18 5 om rätt för inspektionen att meddela särskilda gallringsföreskri fter också beträffande licensregistren. Bestämmelsen motiveras av integritetshänsyn. Den har enligt uppgift kommit till användning endast i några enstaka fall. Enligt min mening bör dock data— inspektionen ha kvar möjligheten att på förekommen anledning ingripa till skydd för integriteten även om andra organ i princip svarar för allringsföreskriftema på området. Sådan 18 & data- lagen är av attad anser jag det vara klart att inspektionen har kvar denna befogenhet även efter införandet av den nu föreslagna arkivlagstiftningen. Givetvis förutsätter jag att datainspektionen samrådet med riksarkivet eller resp. kommun innan den går ut med särskilda bestämmelser enligt 18 & datalagen."

Det av departementschefen redovisade förhållandet mellan arkivlagen och datalagen, som godtagits av riksdagen (KrU 1989/90:29, rskr. 307), innebär således att datainspektionen även framledes skall ha möjlighet att i det särskilda fallet meddela beslut om gallring för personregistren. (Jfr även prop. 1990/91:53 om lag om folkbokföringsregister m.m., s. 33. Departementschefen frångick i denna proposition ett i lagråds- remissen framlagt förslag om att låta gallringsfrågorna avgöras av riksarkivet efter samråd med datainspektionen. Vid sin behandling av propositionen beslöt riksdagen att i lagen om folkbokföringsregister ta in en bestämmelse, 13 &, om att gallring av uppgifter i ett lokalt folkbokföringsregister och i det centrala referensregistret skall ske i enlighet med arkivlagens bestämmelser, se SkU 1990/91:9, rskr. 109). Gallringsbeslut för statligt och kommunalt förda personregister som kräver särskilt tillstånd enligt datalagen ("tillståndsregister") skall meddelas av datainspektionen i den mån det behövs för att före- bygga risk för otillbörligt intrång i den personliga integriteten (6 5 datalagen) och i annat fall av resp. arkivmyndighet. Vad angår personregister som enbart kräver licens enligt datalagen ("licensregister") skall gallringsbeslut meddelas av riksarkivet eller resp. kommun. Om det emellertid skulle behövas med

• Sida 172
•  Original

anledning av vad som framkommit om registret skall dock datainspektionen i det enskilda fallet kunna meddela beslut om gallring även för sådana register (18 & datalagen).

Den nya arkivlagen innebär alltså i sak inte någon förändring av den nu gällande kompetensfördelningen på gallringsområdet mellan datainspektionen och arkivmyndigheterna.

Det av datalagsutredningen föreslagna tillsynssystemet bygger på att huvuddelen av personregisteranvändningen kan regleras genom de föreskrifter som datainspektionen kan komma att meddela för skilda branscher och sektorer. Endast de register inom detta normerade område som innehåller uppgifter av mera känsligt slag skall anmälas till inspektionen. Alla register som faller utanför det normerade området och som inte kan hänföras till kategorin register för personligt bruk ("övriga register”) skall anmälas till datainspektionen. Systemet torde i fråga om gallring innebära att gallringsbeslut kommer att behöva utfärdas för personregister, dels i form av föreskrifter inom det normera- de området, dels i särskilda beslut för "övriga register".

Allt mer material lagras på ADB-medium och i en framtid kommer troligen huvuddelen av myndigheternas uppgifter att återfinnas på sådant medium. (Se t.ex. den genomgång av elektronisk informationsförmedling som har getts i biblioteks- exemplarsutredningens betänkande, SOU 1989:89, Översyn av lagen om pliktexemplar s. 54 ff). Detta är en omständighet som talar för att den centrala arkivmyndigheten, riksarkivet, även erhåller det övergripande ansvaret för gallringsfrågor rörande personregister på sådant medium. Riksarkivet skulle då, förutom att beakta de i arkivlagen särskilt angivna arkivända- målen, även ha att ta vederbörliga integritetsskyddshänsyn.

De risker för den enskildes integritet som personregistrering på ADB— medium innebär, medför emellertid att just integritets- intresset i dessa fall väger tungt. Även om riksarkivet har erfarenhet av att bedöma vissa integritetsfrågor får datainspek- tionen anses vara den myndighet som har störst kompetens och erfarenhet i landet av att bedöma frågor om risk för integritets— intrång. Inspektionen har den bästa överblicken över person- registreringen på ADB-området i landet.

Denna inspektionens särskilda kompetens och erfarenhet på integritetsskyddsområdet talar för att datainspektionen svarar för gallringsbesluten i fråga om personregister där integritetsintres- sena väger särskilt tungt. För övriga register, dvs. sådana som inte innehåller någon från integritetssynpunkt särskilt känslig information, kan däremot gallringsfrågan med fördel regleras av riksarkivet eller kommunerna. Som tidigare har nämnts är detta den ordning som statsmakterna har beslutat i fråga om för-

• Sida 173
•  Original

hållandet mellan arkivlagen och datalagen. Denna kompetens- fördelning är väl avvägd och bör gälla också när den nuvarande datalagen ersätts av en ny lag på området.

Integritetskänsliga register torde huvudsakligen komma att återfinnas i den grupp av register som enligt en framtida datalag skulle bli föremål för anmälningsskyldighet, dvs. de mer integritetskänsliga register som skall omfattas av datainspek- tionens normering och de register som inte är reglerade i förväg genom inspektionens föreskrifter ("övriga register "). Gallrings- beslut för dessa register bör därför meddelas av datainspek- tionen. Det blir dels fråga om föreskrifter, dels beslut om gallring för det enskilda registret. För det fall inspektionen inte skulle finna något villkor om gallring motiverat från integritets— skyddssynpunkt för det enskilda registret och därför underlåter att meddela något sådant villkor får det anses ankomma på vederbörande arkivmyndighet att bestämma regler för gallring av registret.

De föreskrifter som datainspektionen kommer att utfärda på gallringsområdet avser således fall där bevarandefrågan måste bedömas med särskild hänsyn till integritetsaspekten. Det blir alltså fråga om särbestämmelser som skall ta över grundreglerna om gallring i 10 5 första och andra styckena arkivlagen. Sådana avvikande regler är möjliga att utfärda enligt tredje stycket i den nyss nämnda paragrafen, dock bara i lag eller förordning. Riksdagen har vid antagandet av arkivlagen understrukit att avvikelser som regel skall ske i lag och bara undantagsvis i förordningsform. (KrU 1989/90:29 s. 13).

Kravet på lagform kan tillgodoses genom att den normering genom datainspektionens försorg som utredningen har tänkt sig ersätts av en reglering genom särskilda registerlagar. Kravet på lagform kan också tillgodoses genom att riksdagen i lag beslutar om särskilda gallringsregler som då skulle komplettera de författningar som datainspektionen utfärdar. Utredningen har i sitt första delbetänkande (jfr avsnitt 8.6 i SOU 1990:61) utgått från att så många som möjligt av myndigheternas register inom skilda sektorer skall regleras genom föreskrifter av datainspek- tionen. För närvarande finns bara ett fåtal registerlagar och av- sikten är att en ytterligare specialreglering av myndighets- register skall ske endast på vissa begränsade ämnesområden (jfr prop. 1990/91:60 s. 56 ff). Inte heller är det realistiskt att tänka sig att riksdagen genom lagstiftning skulle komplettera för- fattningar som utfärdas av datainspektionen med en rad gall- ringsregler.

• Sida 174
•  Original

En annan möjlighet att möta kravet på lagform skulle vara att i datalagen ta in en bestämmelse som klargör under vilka förutsättningar som datainspektionen får meddela föreskrifter om gallring. Bemyndigandet skulle alltså ha en sådan precision att avvikelserna från de vanliga gallringsreglema i arkivlagen ändock kunde anses ha skett i lag. Med hänsyn till de skilda områden och ämnen som datainspektionens normering skall avse är det emellertid knappast möjligt att förutse de olika aspekter på bevarande och gallring som kan bli aktuella och ge be- myndigandet den fasthet och precision som krävs.

Vill man inte bemyndiga datainspektionen att meddela gallringsföreskrifter återstår inte annat än att inspektionen för varje enskilt register meddelar beslut i gallringsfrågan. Detta skulle emellertid leda till en omfattande byråkrati, en byråkrati som utredningen velat undvika genom sina förslag om norme- ring i förening med en anmälningsskyldighet och en skärpt tillsyn.

Arkivlagen torde alltså behöva ändras, så att det också blir möjligt för datainspektionen att meddela föreskrifter på gall- ringsområdet för de känsliga registren. Kulturutskottet har vid sin behandling av förslaget till arkivlag framhållit att det är särskilt viktigt att beakta integritetsaspekten vid avgörande av gallringsfrågor. En ändring av arkivlagen som ger datainspek- tionen rätt att i detta syfte meddela föreskrifter på gallrings- området överensstämmer därför väl med de skäl som enligt utskottsbetänkandet låg bakom riksdagens önskemål att begränsa avvikelser från arkivlagen till i princip bara lagnivån (se KrU 1989/90:29 s. 12 ff).

Gallringsbeslut för de register av mindre känsligt slag som i det framtida tillsynssystemet skall ingå i något av de områden som i förväg reglerats genom inspektionens föreskrifter och som inte omfattas av någon anmälningsplikt torde lämpligen kunna meddelas av riksarkivet eller kommunerna. Datainspektionen bör dock beträffande sådana register förbehållas en möjlighet motsvarande nuvarande 18 å datalagen att i undantagsfall meddela villkor om gallring för det enskilda registret, om den finner detta nödvändigt med hänsynen till risken för otillbörligt integritetsintrång.

Även om datainspektionen vid sin bedömning av gallrings- frågor främst har att beakta risken för otillbörliga integritets- intrång, måste den även ta hänsyn till andra intressen, bl.a. vikten av att offentlighetsprincipen och forskningens intressen blir tillgodosedda. Det ligger i sakens natur att inspektionen har att företa en helhetsbedömning. Detta bör också klargöras i en framtida reglering genom en föreskrift om att datainspektionen

• Sida 175
•  Original

även har att beakta de i arkivlagen angivna ändamålen för bevarande av information. Arkivmyndigheterna måste naturligt- vis också ta vederbörliga integritetshänsyn vid sina gallrings— avgöranden, vilket möjligen bör framgå av ett stadgande härom i arkivlagen. Som redan nämnts avser utredningen även att i en kommande etapp i utredningsarbetet försöka närmare ange innehållet i de övergripande begreppen personlig integritet och otillbörligt intrång, bl.a. till ledning för bedömningen vid gallringsbeslut (Jfr avsnitt 8.4 i SOU 1990:61).

Datainspektionen och riksarkivet skall innan de avgör frågor om bevarande och gallring också framgent samråda med varandra. Även om de avvägningsproblem mellan olika intressen som kan uppkomma i erforderlig grad torde kunna beaktas vid ett sådant samråd, kan i vissa fall uppfattningarna gå isär. Frågan är hur man bör förfara i sådana fall. Vid oenighet mellan de båda myndigheterna om ett gallringsbeslut enligt datalagen äger datainspektionens mening företräde.

För det fall beslutet avser ett inspektionens beslut om före— skrifter, dvs. normerande beslut för en viss sektor eller bransch, torde frågan redan idag kunna underställas regeringen utan att några regler om formell anmälan eller hänskjutande föreligger (se vidare avsnitt 8.9 i betänkandet SOU 1990:61).

En tänkbar lösning, om meningarna i enskilda ärenden ofta går isär mellan myndigheterna, är att den myndighet, dvs. närmast riksarkivet, som är missnöjd med ett visst av inspek— tionen meddelat gallringsbeslut får möjlighet att föra frågan vidare till högre instans. Det torde dock vara mindre lämpligt att ge den missnöjda myndigheten en formell möjlighet att överklaga beslutet. Inte heller synes det vara en tillfredsställan- de ordning att överlåta åt exempelvis justitiekanslern i ett sådant fall att överklaga beslutet eller vara "skiljeman". Alternativet att tillskapa en särskild nämnd med uppgift att besluta i tvistiga frågor framstår inte heller som särskilt lämpligt.

Enligt datalagsutredningens bedömning har det nuvarande samrådsförfarandet mellan datainspektionen och riksarkivet hittills inte uppvisat sådana meningsskiljaktigheter, att det finns anledning att nu göra några ändringar i det gällande systemet. Dock skulle möjligen samrådsförfarandet och även annan kontakt mellan datainspektionen och riksarkivet kunna vinna på att det inrättades ett informellt samrådsforum med företrädare för de två myndigheterna. Med en sådan ordning skulle man smidigt kunna lösa eventuella konflikter och den skulle också kunna underlätta möjligheterna för datainspektionen och riksarkivet att utbyta erfarenheter från sina olika verksamhets— områden. En kompetensutveckling av myndigheternas hand—

• Sida 176
•  Original

läggare skulle också kunna ske inom ramen för ett sådant samrådsforum.

Sammanfattningsvis föreslår utredningen att i ett framtida tillsynssystem följande bör gälla för gallringen av de olika slagen av personregister.

' Enskilda register

Datainspektionen svarar för föreskrifter och beslut om gallring avseende alla enskilda personregister.

I Statliga och kommunala register, dock ej stats- maktsregister

O Register för vilka datainspektionen har meddelat bransch- eller sektorsnormer.

Arkivmyndigheten meddelar gallringsbeslut för de register av mindre känsligt slag som skall ingå i något av de områden som i förväg reglerats genom datainspektionens föreskrifter och som inte omfattas av någon anmälningsplikt i ett framtida till- synssystem. Datainspektionen förbehålls dock en möjlighet att meddela villkor om gallring även för ett sådant register, om den finner detta nödvändigt med hänsynen till risken för otillbörligt integritetsintrång.

Datainspektionen utfärdar föreskrifter om gallring avseende de mer integritetskänsliga register som skall omfattas av dess normering, dvs. den grupp av dessa register som skulle bli föremål för anmälningsskyldighet.

Q Register för vilka datainspektionen inte har meddelat bransch- eller sektorsnormer.

Datainspektionen meddelar gallringsbeslut i det enskilda fallet för de register som inte är reglerade i förväg genom inspektion- ens föreskrifter ("övriga register"). Det ankommer på arkiv- myndighet att bestämma regler för gallring av registret för det fall datainspektionen underlåter att meddela något sådant villkor.

• Sida 177
•  Original

' Statsmaktsregister

För det fall att gallringsbestämmelser finns i den aktuella författningen gäller dessa. Om sådana bestämmelser saknas, ankommer det på datainspektionen att avgöra gallringsfrågorna. Om det inrättade statsmaktsregistret ingår i något av de om- råden som i förväg reglerats genom datainspektionens före- skrifter och inte innehåller sådana uppgifter att det skulle omfattas av någon anmälningsplikt är det dock arkivmyndig- heten och inte datainspektionen som i första hand har att besluta om gallring.

• Sida 178
•  Original

• Sida 179
•  Original

Summary

The Swedish Commission on Data Protection was appointed by the Government (Ministry of Justice) in 1989 and directed to revise the Data Protection Act of 1973 (revised in 1982).

In a first report (September 1990) the Commission presented certain basic principles for a future Data Protection Act. The main features of the suggestions made in the report were the following.

! The present system of applying for permission and notifi- cation of personal data files should be abolished.

' The Data Protection Agency should be given the authority to supplement the basic and important provisions of the Act through regulations for different fields or sectors.

I The supervisory functions of the Agency should be streng- thened and directed mainly towards sensitive files.

! An obligation should be introduced to notify the Agency about sensitive files and files.

In the present report the Commission addresses special issues related to certain areas of personal data files, i.e. personal data used for scientific research and statistics, registration in the employment sector, personal data files in relation to the media and rules governing freedom of information and of the press. Questions regarding personal data files and archive storage are also dealt with in the report, as is the question whether there is a need for an overall integration and coordination of the legislation aimed at the protection of privacy, especially in relation to automated personal data files.

Finally, the report presents the Council directives of the Commission of the European Communities (SYN 287) of September 1990, on the protection of individuals in relation to the processing of personal data. The Commission on Data Protection discusses some implications of the directives for the Swedish legislation, were Sweden to harmonize its rules with those of the European Communities.

• Sida 180
•  Original

The Directives of the EC and Swedish Law

Regarding the EC-directives the Commission notes that several changes will have to be made in Swedish Law, taking into account also the suggestions made by the Commission in its previous work. Some of the points (chapter 2) that need to be taken into consideration according to the Commission are the following.

! The Directives propose that also manual files should be included in the regulation. This is not the case in Sweden at the moment.

' The Swedish system which allows great freedom of information and the present data processing in the public sector could be difficult to reconcile with several of the articles of the Directives.

' Many of the articles (e.g. those on informed consent, the obligation to notify, the right to erasure, special categories of data) are more stringent and restrictive in favour of the data subject, than are the present Swedish provisions.

Personal data files used for scientific research and statistics

According to the Commission the basic rules on the protection of personal data used for scientific research and statistics should follow the recommendation on the subject adopted by the Committee of Ministers of the Council of Europe (No. R, 83, 10 of 1983), a recommendation recognized without reservation by Sweden.

In short, the basis for the use of personal data in this field (discussed in chapter 4 of the report) should be the informed consent of the person concerned. Exceptions to this main rule should be allowed only in a few cases and in accordance with safeguards laid down either in the Data Protection Act or in an Agency Regulation. The rules should cover the cases both where data are collected directly from the person in question and where information is obtained from other files (e.g. registers kept by public authorities and where the Swedish Freedom of Information Act allows fairly liberal access to the data). Research using information obtained from public files is common in Sweden and is facilitated, not only by the legislation

• Sida 181
•  Original

on freedom of information, but also by the frequent use of the civil registration number, assigned to all Swedish citizens.

The Data Protection Act and the Freedom of the Press

The relation between the data protection rules and the present and future constitutional rules on the freedom of the press and of the audiovisual media is discussed in chapter 5.

Some personal data files, which are used in the production of printed information and of radio and television programmes, are, according to the analysis of the Commission, granted constitutional immunity, following the principle of lex superior. The Data Protection Act, although based on a constitutional provision, is inferior to the constitutional provisions as regards the press and the proposed legislation for the audiovisual media. (A bill is at present under debate in Parliament, proposing a constitutional amendment aimed at giving the audiovisiual media virtually the same protection already given to the press).

The conflict between the data protection rules and the constitutional provisions in the area of freedom of the press and other media turns on the prohibition in the Constitution concerning censorship and other preventive measures and the right to anonymity on the part of informers and others contribu- ting to the production of the press and other media.

In order not to violate the sanctity of the media, the Commis— sion proposes that a clear border is drawn between those files used for production in a strict sense and those used for other purposes. The latter would not be excluded from the application of the Data Protection Act.

The Commission also suggests that computerized presscuttings (archives) would fall outside the scope of the Data Protection Act, even if they are not used for the production of the media itself, and that the public access to the computerized archives should be guided solely by the media itself. The reason for the exclusion is mainly the interest of public access to the in- formation but also the problem in fixing a border between privileged and non-privileged use.

Registration in the employment sector Regarding the use of automated personal data files in the employment sector (chapter 6), the Commission notes the increased presence of computerized systems in various working

• Sida 182
•  Original

places and underlines the neccessity to observe and strengthen safeguards for the protection of the personal integrity of the employees.

The basis for such safeguards should, in the Commissions's view, be the recommendation in the field (Recommendation No R, 89, 2) adopted by the Committee of Ministers of the Council of Europe and recognized by Sweden.

This recommendation, which for instance stresses the import- ance of the consent of the employee in collecting information and has special provisons regarding sensitive data (e.g. in- formation on health), should be integrated into the future supervisory system, proposed by the Commission in the previous report.

The particular provisions in this field would then be a part of the regulations adopted by the Data Protection Agency. Some of the major and in principal important provisions would also be included in a future Data Protection Act, which the Commis- sion will draft in the last stage of its work.

Regarding the more general question of introducing computer- ized systems at the working place and thus changing the overall routines, the Commission holds that these issues have to be dealt with in accordance with the present Labour legislation. From this it would follow e.g. that the introduction of new routines and automated methods of registration could be part of a collective agreement between the employer and the association of the employees. Such an agreement could also more in detail regulate some aspects of the personal data protection of the employees, e.g. the right of the association to have access to information concerning the members employed.

However, the Commission does not see the need for any amendments in the Labour legislation. The present provisions regarding the obligation that the employer has to inform and consult the employees seem to be sufficient.

Coordination of the legislation regarding the protection of privacy

In chapter 3 the Commission discusses the need for coordinating the legislation dealing with the protection of privacy, especially in relation to automated personal files.

The Commission describes the various pieces of legislation in this field, e.g., Provisions in the Constitution, in the Penal Code and in the Code of Judicial Procedure as well as in the

• Sida 183
•  Original

Secrecy Act and in the Acts on Credit Information and Debts Collection and others.

Even if the overall picture is fairly heterogenous, i.e. the protection of privacy and, particularly, the question of personal data protection is regulated in a number of Acts of different constitutional value, their application does not seem to pose any problems. The Commission has not had any reports on am- biguities or problems of interpretation from the various fields of responsibility. The Commission also notes that the Data Protection Agency in its work has the possibility to uniform and coordinate the application of regulations in several fields, where automated personal data file are concerned.

Thus, the Commission's conclusion is that no further co- ordination or integration of the legislation in question is needed.

The future work of the Commission

The Commission will in a third and last stage of its work draft a new Data Protection Act, where the suggestions presented in this and the previous report will be considered. At this stage the Commission will also be enlarged to include members of Parliament. The final report is scheduled to be ready in 1992.

• Sida 184
•  Original

• Sida 185
•  Original

SÄRSKILT YTTRANDE av experten Håkan Färm

Tryckfrihetsförordningen m.m. och datalagstiftningen

Jag delar inte utredningens uppfattning att redan innan ny datalag har utformats, exkludera betydande delar av massmedie- områdets personregister helt från en kommande datalags tillämpning.

Mina motiv för detta framgår av det följande. Yttrandefriheten är av grundläggande betydelse för ett fritt samhälle. Den grundlagsreglering, som tryckfrihetsförordningen (T F) utgör, är en hörnpelare i samhället.

Samtidigt är det för samhällets funktion och utveckling viktigt att skapa förtroende hos medborgarna för användningen av nya tekniker, som ger möjligheter bl.a. till ökad kunskap, bättre service och ökad effektivitet. Datatekniken är en sådan teknik. Centrala frågor för förtroendet är integritet och säkerhet.

Betecknande för datatekniken är att dess användning utvecklas snabbt. Nya sofistikerade användningsmöjligheter växer kontinuerligt fram. Användare söker ständigt effektivisera sitt arbete genom nya sätt att samla in, lagra och bearbeta bl.a. en växande mängd personuppgifter.

Detta är något av bakgrunden till att riksdagen 1988 beslutade om en ny föreskrift i regeringsformen (RF) som slår fast att det skall finnas en datalagstiftning till skydd för den personliga integriteten. Den närmare omfattningen av skyddet får regleras i vanlig lag. Av förarbetena följer att bestämmelserna bör uppfattas så att lagstiftningen skall utgöra en verklig och allvarligt menad skyddslagstiftning.

Utredningen har påpekat att vissa av de nu aktuella registren på massmedieområdet är integritetskänsliga. Om man ser det enbart från integritetssynpunkt är det, enligt utredningen, otillfredsställande om sådana register inte granskas av data- inspektionen (DI). Sett till helheten kommer utredningen emellertid fram till att vissa bestämmelser i TF kan komma i konflikt med datalagens regelsystem och att grundlagarnas regler vid normkonflikt har företräde framför andra regler.

I princip delar jag utredningens uppfattning i denna del. Jag delar dock inte utredningens uppfattning att redan på detta stadium i utredningsarbetet, när utarbetandet av förslag till ny datalag ännu återstår, så kategoriskt exkludera betydande delar av massmedieområdets personregister helt från den kommande datalagens tillämpning.

• Sida 186
•  Original

Flera skäl anser jag tala för detta. Jag menar att riksdagens beslut om den nya föreskriften i RF ger ökad vikt åt integritetsskyddet, vilket bör återspeglas i såväl riksdagens och regeringens som utredningens arbete. För- hållandet kan därför inte avfärdas som en normkonflikt mellan olika nivåer. Det medför att en mycket omsorgsfull prövning bör göras snarare av hp! än om den nya datalagen skall tillämpas också på massmedieområdets integritetskänsliga personregister. Denna prövning, anser jag, bör inte göras förrän det föreligger ett utkast till ny datalag.

Nuvarande datalag består av olika delar, t.ex. allmänna bestämmelser om registeransvarigas skyldigheter samt data— säkerhetsbestämmelser. Det kommer den nya lagen sannolikt också att göra.

Även om den nya datalagen inte i sin helhet bör tillämpas på massmedieområdet, vilket mycket talar för, bör, mot bakgrund av det förstärkta integritetsskyddet i RF, noggrannare än nu prövas om åtminstone inte delar av den kommande datalagen bör kunna tillämpas utan att förorsaka inskränkningar i yttrande— friheten.

Den internationella utblicken i betänkandet visar att detta är en ordning som inte alls är ovanlig i Europa. Europaråds— konventionen har t.ex. datasäkerhetsbestämmelser, vilka enskilda länder har förbundit sig att följa. De tillämpas också på massmedieområdet i flera länder även om området i övrigt är undantaget från föreskriften. Vissa länder har t.o.m. gått längre.

Jag menar att detta är ett exempel på tillämpning av före- skrifter som skapar tilltro till ADB-användning utan att äventyra de grundläggande värdena i samhället. En orsak till detta är att det inte är registerinnehåll som berörs utan tekniken och administrationen runt omkring registren.

Jag anser det ännu inte tillfredsställande klarlagt att det inte finns ytterligare möjligheter, t.ex. sådana som sammanhänger med nuvarande datalags allmänna bestämmelser, vilka förstärker integritetsskyddet utan att inskränka i yttrandefriheten eller på annat sätt väsentligt försvåra massmedias arbete.

Ytterligare ett stöd för min uppfattning är, menar jag, att massmedieområdet redan idag meddelas föreskrifter av data- inspektionen (DI). Besluten har i några fall överklagats till regeringen som endast delvis ändrat DIs beslut.

Redan idag föreligger enligt utredningen svårigheter att definiera de s.k. källregistren. Jag instämmer i detta. Vissa register bör ingå, andra inte. Någon tillfredsställande samman- ställning av vilka personregister som finns eller planeras har inte kunnat presenteras. Därmed kvarstår en betydande osäker-

• Sida 187
•  Original

het kring vilka konsekvenser utredningens ställningstaganden får för integritetsskyddet.

Mot bakgrund av den snabbt ökande och mer sofistikerade användningen av ADB—tekniken blir det i framtiden allmänt sett än svårare att dra gränser, och riskerna för integritetskränk- ningar ökar. Det blir då viktigt att skapa en ordning som kontinuerligt ger tillfälle att pröva integritetsintressen mot t.ex. yttrandefriheten i syfte att fortlöpande ha en väl avvägd ADB- användning. Det låter sig inte naturligt göra om betydande delar av massmedieområdet undantas från datalagens tillämpning. Detta förhållande anser jag kräva ytterligare överväganden innan ett slutligt ställningstagande görs.

Avslutningsvis vill jag ta upp den typ av källregister som kallas klipparkivregister. Dessa bedömer utredningen bli känsliga från integritetssynpunkt, bl.a. därför att de inte gallras. De möjliggör att per individ på ett enkelt sätt t.ex. sammanställa uttalanden, brott m.m. över en obegränsad tidsperiod bakåt i tiden.

Innebörden i utredningens ståndpunkt beträffande källregistren blir att även klipparkivregistren bör undantas från datalagens tillämpningsområde. Detta gäller även i den del som registren har andra ändamål än att tjäna publicistisk verksamhet.

Mot bakgrund av framförallt integritetsskyddsföreskrifteni RF anser jag att utredningen även i denna del alltför lättvindigt avfärdat möjligheterna att förstärka enskilda individers integri- tetsskydd.

Min uppfattning till skillnad från utredningens är att det både är meningsfullt från integritetssynpunkt och relativt lätt att begränsa t.ex. allmänhetens tillgång till registren. De olägen- heter som detta kan vålla torde uppvägas av ett bättre integri- tetsskydd för enskilda.

• Sida 188
•  Original

• Sida 189
•  Original

SÄRSKILT YTTRANDE av experten Sten Wahlqvist

Tryckfrihetsförordningen m.m. och datalagstiftningen

Bland de grundlagsskyddade fri- och rättigheterna i 2 kap. regeringsformen (RF) intar yttrandefriheten en central ställning. Tryckfriheten är en del av yttrandefriheten. Tryckfrihetens betydelse för en fri samhällsdebatt och ett fritt samhällsskick kan inte nog understrykas. Tryckfriheten skyddas därför mot ingrepp från det allmänna genom detaljerade bestämmelser i tryckfrihetsförordningen (TF). Beträffande tryckfriheten hänvisar 2 kap. 1 & RF därför till TF. Genom att TF är en grundlag ger den utförliga regleringen där ett gott skydd för det tryckta ordet.

Samtidigt står det klart att den enskildes personliga integritet måste skyddas i ett demokratiskt samhälle. RF slår därför vakt om integriteten. Den grundläggande bestämmelsen finns i 1 kap. 2 & tredje stycket RF. Där sägs att det allmänna skall värna den enskildes privatliv och familjeliv. Av förarbetena framgår att integritetsskyddet vid dataregistrering stod i blickpunkten vid bestämmelsens tillkomst. En motsvarande bestämmelse finns i artikel 8 i europakonventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. Iden praxis som utvecklat sig vid tillämpningen av konventionen har slagits fast att det skydd för privatlivet som denna artikel ger omfattar även dataskydd.

Den 1 januari 1989 infördes i RFs fri- och rättighetskatalog en grundregel om skydd för den enskildes personliga integritet vid dataregistrering (2 kap. 3 5). Regeln innebär att varje med- borgare i den utsträckning som närmare anges i lag skall skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatisk databehandling (ADB). Genom grundregeln åläggs lagstiftaren att vara aktiv genom att stifta och vidmakthålla en datalagstift- ning. Regeln kräver alltså att det skall finnas en datalag som skyddar varje medborgare mot integritetskränkningar.

Av det anförda framgår att både tryckfriheten och den enskildes personliga integritet har stora skyddsvärden och därför är omgärdade med starkt rättsligt skydd. Föreligger motstående intressen mellan tryckfriheten och integriteten, ankommer det på lagstiftaren att ta ställning till hur konflikten bör lösas.

Massmedierna samlar in uppgifter om människor och sprider information om människor. Uppgifter sparas också för framtida

• Sida 190
•  Original

behov. Det ligger i sakens natur att sådana uppgifter inte alltid är korrekta. Många gånger kan det också vara fråga om känsliga uppgifter t.ex. omdömen om människor samt uppgifter om brott och sjukdomar. Sådana uppgifter har i den nuvarande datalagen bedömts vara av så integritetskänsligt slag att sär- skilda skäl och i vissa fall synnerliga skäl måste föreligga för att tillstånd skall få meddelas att registrera dem. Uppgifterna kan också många gånger vara sekretesskyddade enligt sekretess- lagen. Till bilden hör också att den omfattande användningen av personnummer i vårt samhälle i förening med TFs offentlig— hetsprincip i hög grad underlättar insamlingen av uppgifter om enskilda.

Av det nu anförda framgår att personregister som förs inom massmediaområdet kan vara mycket integritetskänsliga. Det bör även framhållas att datalagen utgår från att det redan är registreringen av uppgifter som medför risk för otillbörligt integritetsintrång. Det skydd som utredningen anser att de pressetiska reglerna ger mot spridning genom publicering av ömtåliga uppgifter motsvarar således bara en del av skyddet för den enskildes personliga integritet. Till detta kommer att vikten av att värna den enskildes personliga integritet ökar i ett allt mer informationsintensivt samhälle där massmedierna redan nu spelar en framträdande roll.

Mot denna bakgrund anser jag att det är ett samhällsintresse av största vikt att det görs en rimlig avvägning mellan tryck- friheten och människors rätt till en fredad sektor. Det är också ett vitalt intresse att den enskilde medborgaren kan förlita sig på att samhället har förmåga att upprätthålla skyddet för hans personliga integritet på alla samhällsområden.

Om - såsom utredningen föreslår - massmedierna i princip helt undantas från integritetsskyddslagstiftningen medför detta att den enskilde berövas sin rätt till insyn i personregister. Denna insynsrätt är en av hörnpelarna i integritetsskyddet. Utredningens förslag innebär också att den enskilde fråntas sina möjligheter och sin rätt att få rättelse av oriktiga eller miss- visande uppgifter samt skadestånd när sådana uppgifter har medfört skada för honom. Inte heller kommer reglerna om gallring av känsliga uppgifter - som utgör en viktig del av integritetsskyddet — att gälla. Förslaget medför också att krav inte kommer att kunna ställas på ADB-säkerhet i syfte att hindra obehörig åtkomst eller spridning av uppgifter i massmediernas personregister. Enligt min mening måste det kunna anföras tungt vägande skäl för en sådan ordning som utredningen föreslår. Genomförs utredningens förslag, anser jag att det kan

• Sida 191
•  Original

bli svårt att hävda behovet av integritetsskyddsregler på andra områden i samhället.

I detta sammanhang bör framhållas att utredningens analys av innebörden av gällande rätt inte stämmer överens med praxis såsom den har utvecklats sedan datalagens tillkomst år 1973. Av avsnitt 5.4 framgår att regeringen, justitiekanslern och data- inspektionen ansett att datalagen är tillämplig på massmediernas register och att frågan om hur datalagen förhåller sig till föreskrifterna i TF hittills lösts av praxis.

Jag delar inte utredningens formella syn på hur konflikten mellan tryckfriheten och den enskildes berättigade krav på skydd för sin personliga integritet på massmediaområdet bör lösas. Det är enligt min mening nödvändigt att man söker finna lösningar på de konflikter som kan uppkomma mellan tryck- friheten och integritetsskyddet och så långt som möjligt reglerar dessa i lag.

En förutsättning för en sådan lagreglering är att man har kommit längre i utredningsarbetet. Enligt min mening är det först i samband med framtagandet av de olika reglerna i den nya datalagen möjligt att göra en avvägning mellan tryck- frihetens och integritetsskyddets intressen. I detta sammanhang kan t.ex. hänvisas till de avvägningar som gjorts i dataskydds— lagstiftningen i Norge och Danmark (se avsnitt 5.3).

Det är viktigt att utredningen i sitt fortsatta arbete söker finna lösningar som innebär ett bibehållet integritetsskydd för den enskilde. Enligt min mening är det inte en framkomlig väg att - såsom utredningen föreslår — undanta källregistren från en framtida datalag. Förutom att det är svårt att definiera dessa register så har de inte med den direkta produktionen av en skrift att göra. Det är för övrigt svårt att förstå logiken bakom utredningens förslag att undanta den särskilda typ av källregister som utgör klipparkiv från en framtida datalag även i den del som har andra ändamål än att tjäna tidningarnas publicistiska verksamhet. Ett särskilt problem med utredningens förslag gäller frågan om hur man skall kunna skilja seriös tidnings- produktion från oseriös sådan. Hur kan man t.ex. vara säker på att inte utgivandet av en enkel skrift används som täckmantel för att kringgå den framtida datalagen? Enligt min mening har inte utredningen belyst denna fråga tillräckligt.

Avslutningsvis vill jag ta upp frågan om datainspektionens tillsynsrätt. Med hänvisning till anonymitetsbestämmelserna i TF har utredningen stannat för att undanta produktionsregistren och källregistren helt och hållet från datainspektionens tillsyn. Jag anser att utredningen varit alltför kategorisk i detta hän— seende och inte uttömmande prövat alternativa lösningar. I

• Sida 192
•  Original

utredningens direktiv pekas för övrigt på behovet av att sanktionssystemet i den nya datalagen blir effektivt. Detta torde bl.a. innebära att allmänna skyldigheter för registeransvariga med direktverkande sanktioner tas in i den nya datalagen. Även om inte datainspektionen skulle få någon föreskriftsrätt vad gäller produktionsregister och källregister i en ny datalag skulle inspektionen i samband med tillsyn kunna notera överträdelser av de allmänna skyldigheterna i datalagen och göra anmälan till åklagare.

Enligt min mening är det inte motiverat att helt ta bort data— inspektionens tillsynsrätt på grund av allmänt resonemang om anonymitetsskydd. I första hand bör det ankomma på mass— medierna att själva värna om anonymitetsskyddet och undvika att registrera sådant i ADB-register som kan träda skyddet förnär. En annan lösning kan vara att möjliggöra för mass- mediaföretag, som är föremål för tillsyn från datainspektionens sida, att begära hos domstol att ett visst register eller en viss del av ett register på grund av anonymitetsbestämmelserna i TF undantas från tillsynen. En motsvarighet finns i den reglering som gäller förfarandet vid taxeringsrevision. Enligt denna kan en reviderad hos domstol begära att visst material undantas från revisionen.

Sammanfattningsvis anser jag att utredningen på nytt bör ta upp frågan om hur avvägningen mellan tryckfriheten och den enskildes berättigade krav på skydd för sin personliga integritet på massmediaområdet bör lösas. Förslag till sådana lösningar bör läggas fram i samband med förslaget till en ny datalag.

• Sida 193
•  Original

SÄRSKILT YTTRANDE av experten Björn Rosén

Gallringsfrågor

Integritetsaspekterna på ADB-baserade personregister aktuali- serar många viktiga ställningstaganden som rör forsknings- och kulturpolitiken. De offentliga arkiven rymmer mängder av information på papper som det har uppfattats vara odelat positivt att de bevaras för framtiden. Det kan gälla uppgifter av värde för t.ex. medicinsk forskning eller uppgifter som utgör viktig dokumentation om förhållandena i samhället. När motsvarande uppgifter numera och i allt större omfattning lagras på ADB—media bryts bevarandeintressena mot intresset att skydda enskilda människors integritet, bl.a. genom förstörelse av uppgifterna.

Det måste vara en självklar utgångspunkt för en reformerad datalagstiftning att den garanterar en noggrann och väl avvägd balans mellan intressena att bevara resp. gallra ADB-baserade personuppgifter.

För att uppgiften att presentera en sådan lagstiftning skall kunna lösas krävs enligt min mening ett metodiskt arbete där en avgränsning görs mellan register, för vilka frågor om gallring skall prövas enligt arkivlagens bestämmelser, och register för vilka frågor om gallring bör prövas enligt bestämmelserna i en reformerad datalag.

Den förra kategorin bör omfatta register som inte är känsliga från integritetssynpunkt.

Beträffande den senare kategorin gäller att de rekvisit bör formuleras som skall styra besluten om när bevarandeintresset resp. intresset av att gallra skall väga över i fråga om det enskilda registret. En reformerad datalag bör sålunda enligt min mening innehålla rekvisiten för hur avvägningen mellan bevarandeintressen och intresset att gallra skall vägas i för— hållande till varandra.

Efter det att förslag i dessa grundläggande frågor har ut- arbetats finns förutsättningar för att gå vidare till andra frågor av vikt i sammanhanget, såsom frågor om kompetensfördelning mellan olika myndigheter etc.

Datalagsutredningen behandlar i detta delbetänkande bl.a. vissa gallringsfrågor. Det sker dock med andra utgångspunkter och med en annan systematik än den jag nu förordat. Utred— ningen har sålunda begränsat sig till kompetensfrågan, dvs. vilken myndighet som skall meddela gallringsföreskrifter.

• Sida 194
•  Original

Utredningen har därvid funnit att den kompetensfördelning som är fastslagen i arkivpropositionen (prop. 1989/90:72 s. 48 ff), dvs. att datainspektionen meddelar föreskrifter beträffande de mer integritetskänsliga registren och arkivmyndigheterna beträffande övriga, bör gälla även när den nuvarande datalagen ersätts av en ny lag. Utredningen har dock därefter inte följt två av de grundläggande principerna i arkivpropositionen.

För det första får datainspektionen enligt förslaget rätt att meddela föreskrifter även beträffande några register som inte är integritetskänsliga. Enligt utredningens förslag skall nämligen datainspektionen meddela gallringsföreskrifter beträffande samtliga de register som skall bli föremål för anmälnings- skyldighet, dvs. de mer integritetskänsliga register som skall omfattas av datainspektionens normering och de register som inte är reglerade i förväg genom datainspektionens föreskrifter (övriga register). Inom den senare gruppen kommer att finnas såväl integritetskänsliga som mindre känsliga register, jfr utredningens första betänkande s. 163. Det finns enligt min mening ingen anledning att datainspektionen skall ha rätt att meddela gallringsföreskrifter beträffande de mindre känsliga registren. Dessutom tillkommer att gruppen övriga register kan komma att bli relativt omfattande till antalet, särskilt som datainspektionen i sitt remissvar över utredningens första delbetänkande uttryckt allvarliga tvivel på sin kapacitet att utfärda normer i den utsträckning som föreslagits.

För det andra innebär utredningens förslag att datainspek- tionens gallringsföreskrifter skall ta över grundregeln om gallring i arkivlagen. Sådana särbestämmelser skall enligt arkivlagen vara möjliga att meddela, dock bara i lag eller förordning. Riksdagen har vid sin behandling av arkivpro- positionen och av propositionen 1990/91:53 om lag om folk— bokföringsregister, m.m. understrukit att särbestämmelser som skall ta över grundregeln i arkivlagen bör ha lagform (se 1989/90:KrU29 s. 13 resp. 1990/91:SkU9 s. 18). Idet nyligen framlagda betänkandet (SOU 1991:9) Lokala sjukförsäkrings- register har även medtagits en gallringsbestämmelse i den föreslagna lagen om sjukförsäkringsregister hos de allmänna försäkringskassorna. Datalagsutredningen har dock valt att inte ta in en bestämmelse i datalagen som klargör under vilka förutsättningar som gallring skall ske enligt datalagens norm— system i stället för arkivlagens. Utredningen föreslår i stället att arkivlagen ändras så att datainspektionen genom sina myndig— hetsföreskrifter får göra undantag från arkivlagen.

Jag anser att utredningen borde valt den lösningen att i datalagen ange de kriterier som leder till att arkivlagens

• Sida 195
•  Original

gallringsnorm skall ersättas av datalagens, dvs. under vilka omständigheter som registren skall anses så integritetskänsliga att en annan huvudnorm för gallring än arkivlagens bör tillämpas. Den närmare utformningen av bestämmelsen bör diskuteras i nästa utredningsetapp, då en ny datalag skall skrivas. Enligt min bedömning torde en sådan bestämmelse inte vara alltför svår att utforma. En utgångspunkt kan därvid vara att sådana fall som avses i 2 & andra stycket 1 - 3 datalagen bör prövas av datainspektionen.

Inspektionen skulle således meddela gallringsföreskrifter om ett personregister innehåller 1. uppgifter om brott, sjukdomar, politisk eller religiös upp- fattning m.m.,

2. uppgifter som innehåller värdeomdömen (s.k. mjukdata) eller 3. uppgifter om personer som saknar sådan anknytning till den registeransvarige som följer av medlemskap, anställning etc. Återstående register skulle arkivmyndigheterna reglera. I sammanhanget kan nämnas att utredningen i sitt första del- betänkande (s. 162) har använt sig av denna uppräkning för vad som kan anses som integritetskänsliga register.

Avslutningsvis vill jag åter understryka att gallringsfrågorna kommer att få allt större betydelse, då allt mer material lagras på ADB-medium i stället för på papper. Det är därför viktigt att dessa frågor behandlas med stor uppmärksamhet.

Tryckfrihetsförordningen m.m. och datalagstiftningen

I avsnittet om tryckfrihetsförordningen m.m. och datalagstift- ningen föreslår utredningen bl.a. att tidningarnas produktions- register och källregister bör undantas från datalagens till- ämpningsområde. Jag delar denna uppfattning.

Jag anser dock att utredningen avgränsar begreppet käll- register väl snävt. Bland annat omfattas inte material som en journalist samlar in som underlag för en planerad artikel. Det innebär bl.a. att datainspektionen kan begära att få tillgång till en journalists arbetsmaterial och att journalister kan behöva lämna registerutdrag från underlagsmaterial. Sådana åtgärder torde av många uppfattas som påtagliga inskränkningar av tryckfriheten, inte minst meddelarfriheten, och i praktiken i betydande omfattning omöjliggöra användandet av exempelvis persondatorer vid journalistiskt arbete.

Enligt min mening kan den registeransvariges allmänna skyldigheter enligt datalagen, särskilt skyldigheten att lämna registerutdrag och skyldigheten att rätta oriktiga uppgifter,

• Sida 196
•  Original

innebära större problem från tryckfrihetssynpunkt än vad utredningen ger uttryck för.

• Sida 197
•  Original

BILAGA 1

Tmi—”=.. den ia jan-mi 1991

?

335333?!—

ilj "lli

:ng

i u- IHEU &!!!åll lillii

. xx - '.Wr. (= ...-__

W ... =. 1. a...”...” ; ...—...man- Ein-===?” .rmmmmw mmm...”... nAHMWII- "'"” ärm! " ' "NirvanA-(MNW , ' &WWW _ |...a.........,........_......... .m wnwxlmwwmmdh in?—===? .xnmvdwmw- ___—___i _om_—_l..- . *Maswnlmmm-u—a mom e..-...nu...»— — mm...—nm.».qmmw—mu. w

lilli

?

'Ximil i?! 397

D.. . a... . en ...— ,. "massvis—susanna von mms-vm. mun .a"... ...a .w. . ..” mmm-u- mm um—auuwn ...,..J. " |.[r'iåf.-,.m..,nu.u.""m

Ihmm—mmuwna

:li'fiiillll' ' ”ill?! mm:-i mer fiiiilii

mum inn!”

i

ti

dissiålgål!!nliiääiåli ?

lil

blä

Iwmummwhnn* , m.m , M num- mm..., '='-"_ van—Muiummnmum Emm—www”

, " . . WEKBID IOMEYILOIHJN" 1.4. me m m...-' ,— ' . ån- ' : ...—fm... man" nu . ' __.— .. : Rågm—Wr (utrum mage-h

. u: _ _— - ___—__ km.; mutant-|-

P(? F !

få. gl,

IF

mumnlmwonim

.,"

wow-mm.....- lewum luna-mma: ww . .muwm—w . .eu-amn .o— ——-— unimjmmmumnmlm. a.. ,mu—umwum W him-ww vlmn—obuh-rt—vh- &_” m'a-”*" "' "”'"” ""'"" '"" - | IWMmMm-l lam-h- meir-IDDI )Mh Mumin-bbl! 7.1"me ”nm.-luv j;, ”WMI-uma!”

, mann-nuna.

mma—mamman" ut! |_-

MWMM. :'—

o- #- ' än. &..-”'#”. .."—7.1"; (Sää-”"'”"

_- .

W m...”-':," m:...

" en MIn-un W

små?? ' = .m mmm—MM”

ibm-mimmi inn—n * " ”swe? ' mm 1 m mum .nu—. m nemi" hmmm unvmhwmo- '

lim 72.75 I)" ,man ll." ".nu ,men Ål." IX,”! AWWWDNM—lwun

• Sida 198
•  Original

Kronologisk förteckning

Flykting- och immigrationspolitiken. A. Finansiell tillsyn. Fi. Statens roll vid främjande av export. UD. Miljölagstiftningen i framtiden. M. Miljölagstiftningen i framtiden. Bilagedel. Sekretariatets kartläggning och analys. M. Utvärdering av SBU. Statens Beredning för Ut- värdering av medicinsk metodik. S.

7. Sportslig och ekonomisk utveckling inom trav- och galoppsporten. Fi.

8. Beskattning av kraftföretag. Fi

9. Lokala sjukförsäkringsregister. S. 10. Aflärstidema. C. 11.Affärstiderna. Bilagedel. C. 12. Ungdomarna och makten. C. 13.Spelreglema på arbetsmarknaden. A. 14. Den regionala bil- och körkonsadminisuan'onen. K.

15.1nformationens roll som handlingsunderlag - styrning och ekonomi. S. 16. Gemensamma regler - lagstiftning, klassifikationer och informationsteknologi. S. 17.Forskning och utveckling - epidemiologi, kvalitets- säkring och Spris utvecklingsprojekt. S. 18.1nformationsstruktur för hålso- och sjukvården - en utvecklingsprocess. S.

l9.Storstadens trafiksystem. Överenskommelser om trafik och miljö i Stockholms- Göteborgs- och Malmöregionema. K. 20. Kapitalkostnader inom försvareL Nya former för finansiell styrning. Fö. 21 . Personregistrering inom arbetslivs-, forsknings- och

massmedieområdena. m.m. Ju.

P'PPKNT'

KUNGL. BIBL. 1991-04—1 9 STOCKHOLM

• Sida 199
•  Original

Systematisk förteckning

J ustitiedepartementet

Personregistrering inom arbetslivs-, forsknings- och massmedieområdena. m.m. [21]

Utrikesdepartementet Statens roll vid främjande av export. [3]

Försvarsdepartementet Kapitalkostnader inom försvaret Nya former för finansiell styrning. [20]

Socialdepartementet

Utvärdering av SBU. Statens Beredning för Ut-värde- ring av medicinsk metodik. [6] Lokala sjukförsälu'ingsrcgistcr [9] Informationens roll som handlingsunderlag - styrning och ekonomi. [15]. Gemensamma regler - lagstiftning, klassifikationer och infonnationsteknologi. [16]. Forskning och utveckling - epidemiologi, kvalitetssä- kring och Spris utvecklingsprojekt. [17]. Informationsstruktur för hälso- och sjukvården - en utvecklingsproccss. [18].

Kommunikationsdepartementet

Den regionala bil- och körkortsadministrationen. [14] Storstadens trafiksystem. Överenskommelser om trafik och miljö i Stockholms— Göteborgs- och Malmö- regionema. [19]

Finansdepartementet Finansiell tillsyn. [2] Sponslig och ekonomisk utveckling inom uav- och

galoppsporten. [7] Beskattning av kraftföretag. [8]

Arbetsmarknadsdepartementet

Flykting- och immigrationspolitiken. [1] Spelreglerna på arbetsmarknaden. [13]

Civildepartementet

Affärstidema [10] Affärstjdema. Bilagedel. [11] Ungdomarna och makten.[12]

Mil jödepartementet Miljölagstiftningen i framtiden. [4] Miljölagstjftningen i framtiden. Bilagedel. Sekretariatets kartläggning och analys. [5]

• Sida 200
•  Original