Vissa särskilda frågor beträffande integritetsskyddet på ADB-området : delbetänkande

Ur KB:s samlingar

Digitaliserad år 2014

Statens offentliga utredningar

1991:62

üsâw

Justitiedepartementet

Vissa särskilda

frågor

beträffande

integritets-

ADB-området

skyddet på

Delbetänkande av

datalagsutredningen

Malmö 1991

J50

Statens

offentliga utredningar

1991 :62

Eáäây

Justitiedepartementet

Vissa särskilda

frågor

beträffande

integritets-

ADB-området

skyddet på

Delbetänkande av

datalagsutredningen

Malmö 1991

SOU och Ds kan köpas från Allmänna Förlaget, som också på uppdrag av regeringskansliets förvalmingskontor ombesörjer remissutsändningar av dessa publikationer.

Adress: Allmänna Förlaget

Kundtjänst

106 47 Stockholm

Tel 08/7 39 96 30

Telefax: 08/7 39 95 48

Publikationema kan också köpas i lnformationsbokhandeln, Malmtorgsgatan 5, Stockholm.

Q/~38~ /0339»-O

ISBN

__ ISSN 0375-25OX

Graphic Systems AB, Malmo 1991

Till statsrådet och chefen för

justitiedepartementet

Utredningen (Ju 1989:02) om en översyn av datalagen tillsattes

i maj 1989 med att en av

uppdrag göra översyn datalagen (1973:289) från såväl saklig som lagteknisk synpunkt.

Till särskild utredare förordnades Ulf Arrfelt.

lagmannen

Utredningen, som påbörjade sitt arbete i november 1989, har

antagit namnet datalagsutredningen.

Sekreterare åt utredningen har varit hovrättsrådet Krister Thelin och hovrättsassessorn Bertil Persson. I en första etapp i utredningsarbetet har

utredningen övervägt

vissa principiella utgångspunkter för en framtida Utred-

datalag.

ningens överväganden och förslag i denna del redovisades i betänkandet (SOU - i en

1990:61) Skärpt tillsyn huvuddrag

reformerad datalag som överlämnades i 1990.

september

Betänkandet har remissbehandlats. I en andra etapp har utredningen behandlat vissa frågor som rör integritetsskyddet i samband med och

personregistrering

automatisk inom områdena för och

databehandling forskning

statistik samt för massmediernas och arbetslivets del. Övervägandena i denna del redovisades i april 1991 i betänkandet

(SOU 1991:21) Personregistrering inom arbetslivs-,

forsknings-

och massmedieområdena. av detta be-

Remissbehandlingen

tänkande har nyligen avslutats. I en tredje etapp behandlar utredningen i det betänkande som nu överlämnas vissa särskilda frågor på integritetsområdet. Det

gäller framför allt begreppen personregister och register-

ansvarig, liksom frågor om straff och skadestånd samt

fullföljd

mot datainspektionens beslut. Avsikten är att - liksom

förslagen

arbetet i tidigare - skall kunna en för det

etapper utgöra grund

fortsatta arbetet. Som experter i arbetet med betänkande har med-

föreliggande

verkat departementsrådet i

justitiedepartementet Börje Alpsten,

universitetslektornvid juridiska institutionen vid Lunds universi-

tet Jan Evers, i civildepartementet Håkan

departementsrádet

Färm, chefsrádmannen i Malmö tingsrätt Sigurd Heuman, direktören Gert Persson, postverket, hovrättsassessorn Björn Rosén, utbildningsdepartementet, hovrättsassessorn Carina

justitiedepartementet, samt verksjuristen vid data- Stävberg, inspektionen Sten Wahlqvist.

Håkan Färm och Sten Wahlqvist har avgett

Experterna

särskilda Yttrandena har tagits in i särskilda bilagor

yttranden.

till betänkandet.

Utredningen fortsätter sitt arbete med att i en avslutande etapp utarbeta och redovisa ett förslag till en ny datalag. Detta arbete kommer att ske under parlamentarisk medverkan.

Malmö i september 1991

Ulf Arrfelt

/Krister Thelin

Bertil Persson

Innehåll

Sammanfattning

l. Utredningsuppdraget och direktiven . . . . . . . . .

2. Datateknikens fortsatta utveckling m.m. 2.1 Inledning . . . . . . . . . . . . . . . . . . . . . . . . . . 2.2 Tidigare särbehandling av viss teknik . . . . . . . . . 2.3 Datorprogram . . . . . . . . . . . . . . . . . . . . . . . 2.3.1 Allmänt . . . . . . . . . . . . . . . . . . . . . . 2.3.2 Ordbehandlingsprogram m.m. . . . . . . . . 2.4 Kontorsinformationssystem (Kl) . . . . . . . . . . . . 2.5 Datakommunikation . . . . . . . . . . . . . . . . . . . . 2.5.1 Lokala datanät m.m. . . . . . . . . . . . . . . 2.5.2 Elektronisk post . . . . . . . . . . . . . . . . . 2.5.3 Vissa andra meddelandesystem . . . . . . . . 2.5.4 Statliga telekommunikationer

myndigheters

(STAII‘EL) . . . . . . . . . . . . . . . . . . . 25 2.5.5 Den fortsatta utvecklingen av databastekniken . . . . . . . . . . . . . . . . . . . . . . 26 2.6 . . . . . . . . . . . . . . . . . . 27

Optiska lagringsmedia

2.7 Multimedia . . . . . . . . . . . . . . . . . . . . . . . . . . 33 2.8 Avslutning . . . . . . . . . . . . . . . . . . . . . . . . . 34

3. Begreppen personregister och registeransvarig . . . 37

3.1 Personregister (persondatamängd) . . . . . . . . . . . 37 3.1.1 Gällande rätt . . . . . . . . . . . . . . . . . . . 37

.2 Utredningens tidigare överväganden . . . . . 39

.3 . . . . . . . . . . . . . . . . 40

Remissyttrandena.

.4 Europarádskonventionen . . . . . . . . . . . . 45 .5 Förslaget till EG-direktiv . . . . . . . . . . . 45

.6 överväganden för en bestämning av

UJUJU-)UJb~) —-r—->—->—->—-

begreppet personregister 47

(persondatamängd)

Allmänna utgångspunkter . . . . . . . . . . . 47

En avgränsning med hänsyn till syftet att

utnyttja de tekniska möjligheterna . . . . . . 52 En bestämning med hänsyn till enbart

teknisk möjlighet

Avgränsning mot manuell bearbetning . . . 58

Konsekvenser för ett framtida tillsynssystem 61 Sambearbetning . . . . . . . . . . . . . . . . . 64 Persondatamängd och rätten till underrättelse och rättelse, m.m . . . . . . . . . . . . . . . . . 65

3.2¶Registeransvarig (persondataansvarig) . . . . . . . . . 68

3.2.1 Gällande rätt . . . . . . . . . . . . . . . . . . . 68 3.2.2 Europarådskonventionen . . . . . . . . . . . . 70 3.2.3 Förslaget till EG-direktiv . . . . . . . . . . . 70 3.2.4 Utredningens tidigare betänkande och remissutfall . . . . . . . . . . . . . . . . . . . . . . . . 71

3.2.5 rörande registeransvarighets-

överväganden

begreppet . . . . . . . . . . . . . . . . . . . . . 71

4. Utlandsöverföringar . . . . . . . . . . . . . . . . . . . . 79

5. Straff och skadestånd . . . . . . . . . . . . . . . . . . . 83 5.1 Inledning . . . . . . . . . . . . . . . . . . . . . . . . . . 83 5.2 Straff . . . . . . . . . . . . . . . . . . . . . . . . . . . 83 5.2.1 Gällande rätt. . . . . . . . . . . . . . . . . . . 83 5.2.2 Praxis . . . . . . . . . . . . . . . . . . . . . . . 87 5.2.3 Tidigare och . . 91

pågående utredningsarbete

5.3 Skadestånd . . . . . . . . . . . . . . . . . . . . . . . . . 93 5.3.1 Gällande rätt . . . . . . . . . . . . . . . . . . . 93 5.3.2 Praxis . . . . . . . . . . . . . . . . . . . . . . . 96 5.3.3 Tidigare utredningsarbete . . . . . . . . . . . 103 5.4 Internationella överenskommelser. . . . . . . . . . . . 106

5.5¶Utredningens tidigare överväganden . . . . . . . . . . 106

5.6 . . . . . . . . . . . . . . . . . . . . . 107

Remissyttrandena

5.7 överväganden . . . . . . . . . . . . . . . . . . . . . . . 108 5.7.1 Straff . . . . . . . . . . . . . . . . . . . . . . . . 108 5.7.2 Skadestånd . . . . . . . . . . . . . . . . . . . . 110

6. Fullföljd mot datainspektionens beslut . . . . . . . . 113 6.1 Allmänt . . . . . . . . . . . . . . . . . . . . . . . . . . . 113 6.2 Bör en domstolsprövning ersätta till

fullföljd

regeringen? . . . . . . . . . . . . . . . . . . . . . . . . . 113 6.3 Vilken domstolsinstans bör pröva

datainspektionens

beslut? . . . . . . . . . . . . . . . . . . . . . . . . . . . 117

Bilagor

Summary . . . . . . . . . . . . . . . . . . . . . . . . . . . 121 Särskilt yttrande av experten Hakan Färm . . . . . . . . . 127 Särskilt yttrande av experten Sten Wahlqvist . . . . . . . . 131

Sammanfattning

Datalagsutredningen, som har till uppgift att göra en av översyn datalagen (19732289, omtryckt 1982:446) har i ett första

betänkande - i en

(SOU 1990:61) Skärpt tillsyn huvuddrag

reformerad datalag redovisat vissa

principiella utgångspunkter

för en framtida datalag. Utredningen föreslår bl.a. att det nuvarande tillstándsförfarandet slopas och att datainspektionen ges möjlighet att meddela bransch- eller sektorsföreskrifter som

komplettering till de grundläggande bestämmelserna i datalagen.

En viss anmälningsplikt skall dock finnas.

I en andra etapp i arbetet, som redovisas i betänkandet

(SOU

1991:21) Personregistrering inom arbetslivs-, forsknings- och

massmedieområdena, har utredningen behandlat frågor som rör

personregistrering inom forskning och statistik, massmedier och

arbetslivet. Utredningen redovisar de rekommendationer från Europarådet som finns på området och föreslår, när det

gäller forskning och statistik, att informerat samtycke skall utgöra

grunden för att registrering skall få ske. För arbetslivets del anser utredningen bl.a. att det är med särskilda

nödvändigt

bestämmelser i lag som tillvaratar den anställdes intresse när det gäller inrättande av personregister, utlämnande av och

uppgifter

den enskildes insyn. I fråga om massmedieomrâdet konstaterar utredningen att datalagen bör förtydligas för att ange att de

grundlagsskyddade bestämmelserna inom yttrandefrihets-

områdena skall tillämpas framför vid en

datalagstiftningen

dem emellan. I det andra betänkandet redogörs vidare

konflikt

för de förslag till EG-direktiv som

föreligger på dataskydds-

omrâdet. Dessa förslag får betydelse vid en eventuell anslutning av Sverige till EG. behandlas ibetänkandet behovet av

Slutligen samordning inom integritetsskyddsomradet, liksom vissa

gallringsfrágor.

I en tredje etapp av arbetet, som redovisas i

föreliggande

betänkande, behandlar utredningen vissa särskilda

integritets-

skyddsfrágor. Det gäller närmast definition av

begreppen

personregister och registeransvarig, frågor om utlandsöver-

föring, straff och skadestånd samt fullföljd.

Persondatamängd och persondataansvarig

Utredningen diskuterar (avsnitt 3) ingående begreppen personregister och registeransvarig som är grundläggande för den nuvarande regleringen. Utredningens överväganden görs mot

bakgrund av såväl Europarådskonventionens bestämmelser på dataskyddsområdet som förslaget till EG-direktiv, liksom de

synpunkter som remissinstanserna har lämnat över utredningens första betänkande.

När det gäller begreppet personregister har utredningen funnit

att den nuvarande bestämninge-n inte motsvarar de krav som den tekniska utvecklingen ställer. Utredningen förslår att person-

register ersätts av begreppet persondatamängd, ett begrepp som

bör bestämmas enbart med hänsyn till de tekniska möjligheter som ADB erbjuder utan till en användares avsikter.

hänsyn

Utredningen föreslår följande definition.

En persondatamängd är en samling personuppgifter som hänförs

till ett visst ändamål och som kan bli tillgängliga genom systema-

tiska uttag, sökningar eller sammanställningar vid en automatisk

databehandling.

Undantag bör dock föreskrivas för personuppgifter som ingår i sådana uppgiftssaml ingar som lagrade uppslagsverk, ordböcker

eller liknande referensmaterial.

På motsvarande sätt bör den registeransvarige ersättas med

persondataansvarig. Denne bör i anslutning till de förslag till

EG-direktiv som föreligger bestämmas som den fysiska eller

juridiska person som beslutar om användningsändamål, vilka slag av personuppgifter som skall lagras och vilka operationer

som skall utföras med dem. Förslaget innebär en skärpning i kravet på förfogande i med nuvarande ordning.

jämförelse

l samband med diskussionen om begreppet persondatamängd

behandlar utredningen också frågan om avgränsning mot

manuell bearbetning, liksom konsekvenserna för ett framtida tillsynssystem, sådant det skisserats i tidigare betänkanden. Särskilt redovisas de följder som begreppet får för sambe-

arbetningsfallen (samkörning) och rätten till och under-

i insyn

rättelse m.m.

Förslagen bedöms få gynnsamma konsekvenser for datainspektionens arbete och innebär påtagliga lättnader i förhållande till de förslag som utredningen redovisat i det första betänkandet. Utredningen föreslår bl.a att den

anmälningsplikt

som framgent bör föreligga till att avse endast

begränsas

känsliga personuppgifter. Det kan övervägas att ytterligare begränsa anmälningsskyldigheten till känsliga uppgifter inom de områden som inte kartlagts och detaljnormerats av datainspektionen. Utredningen har tidigare föreslagit en mera långtgående anmälningsplikt som ersättning för att tillståndskravet och förprövningen slopas.

Utlandsöverföring

I ett särskilt avsnitt (4) behandlas frågan om utlandsöverföring. Utredningen konstaterar att gränsöverskridande informationshantering lämpligen bör lösas inom ramen för det internationella harmoniseringsarbetet. I avbidan på att detta ger resultat bör emellertid dataöverföring som rör persondatamängd ske först efter medgivande från datainspektionen, dvs. i enlighet med nuvarande ordning. Endast om överföringen sker till en stat som antingen har anslutit sig till den europeiska dataskyddskonventionen eller annars av regeringen bedöms ha en tillfredsställande nivå på sin bör överföring fritt få

integritetsskyddslagstiftning

tillåtas.

Straff och skadestånd

I avsnitt 5 redogör utredningen för de nuvarande bestämmelserna och praxis rörande straff och skadestånd. Mot bakgrund av de undersökningar som utredningen har gjort kan konstateras att fallen av lagföring för brott mot datalagen är få. De ersättningsbelopp som kommer i fråga och som i de flesta fall utgått efter beslut av justitiekanslern är över lag låga. Utredningen

mycket

föreslår att straffen skärps och att ersättningsbeloppen för de integritetsinträng som kan komma i fråga höjs avsevärt.

Fullföljd mot datainspektionens beslut

Utredningen redovisar i ett avslutande avsnitt om

(6) frågan fullföljd mot datainspektionens beslut. Utredningens överväganden mynnar i denna del ut i att de beslut som rör statliga

förvaltningsmyndigheter alltjämt bör kunna överklagas till

regeringen. Beslut som rör övriga, dvs. enskilda, kommunala myndigheter, andra offentliga organ och domstolar, bör däremot kunna överklagas till domstol. Enligt utredningen talar övervägande skäl för att dessa frågor bör prövas av kammarrätten med möjlighet att på sedvanligt sätt efter prövningstillstånd få saken prövad av regeringsrätten.

Det fortsatta arbetet

Utredningen kommer i en avslutande etapp, som skall genom-

föras under parlamentarisk medverkan, att behandla frågan om

utformningen av en ny datalag. Arbetet beräknas vara avslutat under nästa år.

1 och

Utredningsuppdraget

direktiven

Utredningens direktiv (Dir. 1989:26) innebär ett uppdrag att

göra en såväl saklig som lagteknisk översyn av datalagen

(19732289, omtryckt 1982:446).

Arbetet, som inleddes i november 1989, har utredningen valt att utföra i etapper.

I den inledande etappen, som i september 1990 redovisades i delbetänkandet - i en

(SOU 1990:61) Skärpt tillsyn huvuddrag

reformerad datalag, diskuterade utredningen vissa principer för en ny datalag. Tyngdpunkten i det arbetet låg på en undersökning av om det nuvarande systemet med tillståndsprövning och licens kunde ersättas med en ordning med ökad för

tillsyn

att på det sättet effektivisera Vissa av

integritetsskyddet.

datalagens grundbegrepp togs också upp till övervägande i det sammanhanget, nämligen otillbörligt intrång i personlig integritet, automatisk databehandling och personregister.

I en andra etapp, som redovisats i betänkandet (SOU 1991:21) Personregistrering inom arbetslivs-, och massmedie-

forsknings-

områdena, behandlade utredningen skilda frågor som rör ADB-

registrering av personuppgifter inom vissa områden. Det gäller personregistrering inom området för forskning och statistik, inom massmedieområdet och personregistrering i anställnings-

förhållande. Vidare diskuterade utredningen frågan om samord-

ning med annan integritetsskyddslagstiftningoch gallringsfrågor.

Utredningen redovisade också EG-kommissionens förslag till direktiv för enskilda vid behandling

angående skydd av person-

uppgifter.

Utredningens direktiv i nu beskrivna delar redovisas i anslutning till de olika frågorna. Direktiven i deras helhet finns

intagna i SOU 1990:61. Utredningen har i tilläggsdirektiv (Dir.

1991:18) ålagts att utnyttja det underlag som presenterats i de båda betänkandena samt beakta de som avgetts.

remissyttranden

b

Utredningen hade ursprungligen avsett att i en tredje etapp

avsluta arbetet och redovisa förslag till en ny datalag. Arbetet i de tidigare etapperna och remissutfallet vad avser det första betänkandet har emellertid lett till att utredningen i den tredje etappen i stället valt att redovisa vissa särskilda frågor på

integritetsskyddsområdet. Det gäller framför allt begreppen personregister och registeransvarig. Vidare behandlas i denna

del frågor om straff och skadestånd, liksom fullföljdsfrågor.

Utredningen har i fråga om straff och skadestånd genomfört

en enkätundersökning för att bestämma omfattningen av de fall

som föranlett lagföring eller skadestândstalan. Dessutom har en

genomgång gjorts av justitiekanslerns praxis vad avser ersätt-

ning för skada på dataskyddsområdet. Resultatet av undersökningarna redovisas i avsnitt 5.2.2 resp. 5.3.2.

Arbetet kommer att fortsätta i en avslutande etapp, under

parlamentarisk medverkan, med utformning av en ny datalag.

2¶Datateknikens fortsatta

m.m.

utveckling

2.1¶Inledning

Datatekniken och dess utveckling under de senaste aren har behandlats av utredningen dels i avsnitt 6 i SOU 1990:61, dels i avsnitt 6.3 i SOU 1991:21.

Ett genomgående intryck av den fortsatta utvecklingen på

dataomrâdet är att datorerna blivit mindre, billigare och mer effektiva. Pâ arbetsplatserna har de enkla terminalerna och persondatorerna alltmer ersatts av kraftfulla arbetsstationer. Antalet personer som använder datorer har också fortsatt att öka

kraftigt.

I detta avsnitt behandlas främst den fortsatta utvecklingen av de områden av datatekniken som kan komma att ha särskild

betydelse för bedömningen av datalagens personregisterbegrepp.

Detta gäller främst den ökande användningen av datorstödd ordbehandling och elektronisk post, men också utvecklingen av andra av meddelandeöverföring, t.ex. telefax, Electronic

slag

Data Interchange (EDI) och även vissa mobila system. Den

lagringsteknikens alltmer ökande behandlas

optiska betydelse

också.

Inledningsvis skall dock nämnas de ändringar beträffande tillstándskravet för personregister som skedde som en följd av

datalagstiftningskommitténs (DALK) översyn av datalagen och

som trädde i kraft den 1 juli 1979.

2.2 av viss teknik

Tidigare särbehandling

Personregister som fördes med användning av viss bestämd teknisk utrustning undantogs bestämmelser från

enligt tidigare

kravet pá tillstånd. En förutsättning skulle vara att det med hänsyn till utrustningens art och utförandet av den automatiska

databehandlingen samt registrets utformning i övrigt framstod som uppenbart att otillbörligt intrång i registrerads personliga

integritet inte skulle uppkomma. Som sådan

exempel på

utrustning som borde komma i fråga nämndes skrivautomater och andra system för framställning av text och dokument

(s.k. Ordbehandling), datorutrustning för grafisk produktion, s.k.

kontorsdatorer samt vissa datoriserade s.k.

konferenssystem, telekonferenssystem. En förutsättning för att undantagsregeln

skulle vara tillämplig av detta dock

på utrustning slag angavs vara att databehandlingen skedde med hjälp av standardprogram

eller andra program, som endast innebar bearbet-

begränsade

ningsmöjligheter. Om utrustningen i det enskilda fallet försetts med andra program eller kopplats till annan som

utrustning möjliggjorde mera omfattande bearbetning, skulle undantags-

regeln inte vara tillämplig 1978/79: 109 s

(prop. 31). Undantags-

regeln i datalagen togs bort den 1 1982. Skälet till detta var

juli att det ansågs olyckligt från principiell och att praktisk synpunkt

den tekniska utrustningen ställdes i centrum. vikt

Avgörande

skulle i stället vid ett och

läggas personregisters omfattning

utnyttjande (prop. 1981/82:189 s. 38 ff). Se vidare SOU 1990:61 avsnitt 4.2 - 4.3.

2.3¶Datorprogram

2.3.1 Allmänt

En närmare teknisk beskrivning av hur ett är

datorsystem

uppbyggt och fungerar har getts i del-

upphovsrättsutredningens

betänkande (SOU och datateknik s. 29 ff.

1985:51) Upphovsrätt

I detta sammanhang skall därför endast nämnas

följande.

De delar av ett som består av elektroniska

datorsystem

komponenter, ledningar, plåt m.m. gár ofta under den gemen-

samma benämningen maskinvara (hardware,

hårdvara).

Maskinvaran i en dator är och kan fås att bl.a. utföra

generell

bearbetning, datalagring och kommunikation av olika slag. Vad

den kommer att göra bestäms av instruktioner, som liksom data lagras i datorns inre och yttre minnen. En samling av sådana instruktioner kallas för ett datorprogram.

Begreppet programvara (software, mjukvara) kan sägas omfatta såväl själva programmet (programinstruktionerna) som

tillhörande dokumentation för användare och för som

personal

skall handha och sköta driften av programmet. Ibland innefattas i begreppet också t.ex. service och utbildning.

Anpassning och specialisering görs i programvaran, som är

lättare att ändra eller byta ut än maskinvaran. De unika

egenskaperna i ett datorsystem bestäms därför i hög grad av den

programvara som datortillverkaren utvecklat eller som kunden

kan köpa från fristående programtillverkare eller själv ut-

vecklar.

Det finns i princip två huvudkategorier av datorprogram,

systemprogram och

applikationsprogram.

Systemprogram är oberoende av den tillämpning som datorsystemet skall utnyttjas för. En viktig kategori av systemprogram är operativsystemen som bl.a. förenklar ett antal ofta förekommande funktioner som t.ex. mellan olika

flyttningar

enheter i datorsystemet eller igångsättande och

av program kontroll av att dessa program kan arbeta till synes parallellt, trots att datorn endast kan utföra en instruktion Antalet

i taget.

generella operativsystem på marknaden är starkt begränsat.

Bland de mest använda för mindre datorer

operativsystemen

märks MS-DOS, PC-DOS, OS/2, Macintosh OS och UNIX.

Ett applikationsprogram är ett program som utför en bestämd uppgift. Programmen kan delas in efter sin funktion i olika områden. Det finns program som medför att användaren kan använda sin dator för 0rd- och dvs. man

textbehandling,

skriver in och redigerar sin text en bildskärm i stället för

på på

papper. Först när man är nöjd med texten skriver man ut den på skrivare. Fördelen jämfört med en vanlig skrivmaskin är att man enkelt kan ändra och justera texter utan att behöva skriva om allt. Man fär dessutom tillgång till många funktioner som sökning av text, flyttning av större textblock, automatisk

stavningskontroll och automatisk avstavning. Andra

program används för kalkylering, administration (t.ex. order- och

lagerhantering, fakturering och bokföring), datakommuni-

kation, grafik och s.k. Computer Aided Design, CAD. Det finns även applikationsprogram som möjliggör s.k. Desktop

Publishing (DTP), dvs. gör det möjligt för användaren att sammanställa en trycksak med utgångspunkt från material som behandlats i datorn - texter

från ordbehandlingsprogram,

ritningar från grañk- och CAD-program och bilder ritade med

eller inlästa med bildläsare, s.k. scanner. Vissa

ritprogram

är som gör det

applikationsprogram registerhanteringsprogram

för användaren att registrera, söka bland, sortera och

möjligt

skriva ut sorterade data. applikationsprogram är direkta

Några

som olika sätt förenklar användningen av

hjälpprogram på datorn. Det finns också integrerade applikationsprogram som

innehåller flera som löser separata uppgifter, men

programdelar

som ändå har förmågan att samverka med varandra. Exempelvis kan en av programmet samverka med en ordbehand-

kalkyldel

och en så att ett brev kan innehålla siffer-

lingsdel grafikdel,

material presenterat som diagram av olika slag.

2.3.2¶Ordbehandlingsprogram m.m.

De flesta av de ordbehandlingsprogram som i dag finns på

marknaden ger möjlighet till fri textsökning, dvs. även möjlighet att i en text återsöka vissa namn eller liknande. Flera av har bl.a. en funktion som möjliggör framställning programmen av utformade massbrev. Så är fallet med bl.a. de

personligt

marknadsledande WordPerfect och Microsoft programmen Word. har sådana egenskaper att användaren Många av programmen

förutom ordbehandling även får tillgång till kalkylering,

grafik, kommunikation och elektronisk post.

registerhantering,

Så är t.ex. fallet med ett annat stort program på marknaden, Framework. De flesta ordbehandlingsprogram ger även att föra över data till och från andra registerhante-

möjlighet rings- och kalkylprogram. På marknaden finns i dag ordbehandlings- och registerhante-

som kostar från ca 300 kr och uppåt. Det finns

ringsprogram

även som tillhör det s.k. Public Domaindylika program området, dvs. som kan kopieras fritt och användas program gratis eller för en obetydlig summa. En s.k. skrivautomat är en slags dator som normalt endast kan utföra ord- och textbehandling. En persondator ger däremot som ovan möjlighet att förutom 0rd- och textbehandling

framgått

även utföra en andra programrutiner som t.ex. bok-

mängd

reskontra och löner. Man har med en persondator också

föring, integrationsmöjligheter mellan olika applikationsprogram.

2.4 (KI)

Kontorsinformationssystem

Utmärkande for (KI) är att dessa i

kontorsinformationssystem

regel innehåller olika typer av funktioner som Ordbehandling, elektronisk post (ibland i kombination med ett konferens-

system), s.k. skrivbordsfunktioner (almanacka, dagbok o.d.),

kalkyleringsmöjlighet, arkivhantering, kompletterande register-

program, databashanterare och s.k. fria textsökningssystem m.m. I de flesta finns också

kontorsinformationssystem möjlig-

heter till gemensamma arkiv. Dessa består av ett fritextsökningssystem som kan kopplas samman med diarie- och

ärendehanteringssystem och arkiveringssystem.

De olika funktionerna är integrerade i kontorsinformationssystemet, dvs. de fungerar tillsammans under en gemensam meny med en rad undermenyer. Detta innebär att man från vilken del av systemet som helst kan hämta information och återanvända eller bearbeta den. Så kan man t.ex. via ord-

behandlingsfunktionen ta sig till och där

kalkyleringsfunktionen

göra vissa bearbetningar, som man sedan kan lägga in i det dokument som man arbetar med i ordbehandlingsfunktionen.

2.5¶Datakommunikation

2.5.1 Lokala datanät m.m.

I Sverige levererades år 1989 uppgift 95 000 arbets-

enligt

stationer med lokala datanät Area Networks, dvs.

(Local LAN),

lokalt uppkopplade nät för överföring av information mellan datorer. Motsvarande siffra för år 1992 beräknas till 175 OOO. Trenden är att dessa lokala nät kommer att integreras till enorma persondatanät med tusentals användare i olika städer.

De lokala näten har hittills huvudsakligen bestått av kopparkablar trots att fiberbaserade lokala nätverk har visat sig överlägsna i ett flertal hänseenden. Fiberkablar är immuna mot störande elektriska impulser och det är enklare att upprätthålla fullgod sekretess med sådana kablar än kopparkablar. Med optisk överföring går det dessutom att bygga nätverk som sträcker sig över större geografiska områden. Fiberkablar tar också mindre plats än Priset på fiberkablar har

kopparledningar.

emellertid tidigare varit så högt att det avskräckt från satsningar på fiberkablar. Det har inte heller funnits en klart definierad

standard för fibernätet. Det finns emellertid nu en standard för fibertekniken, den s.k. FDDI-standarden (Fiber Distributed Data Interface). Detta har medfört att utbudet av fiberprodukter har börjat öka. En kraftig sänkning av priset beräknas också ske

inom den närmaste tiden, möjligen en halvering av priset på

mindre än två år.

Televerket har redan idag ett omfattande ñberoptiskt nät i drift. Dessutom har banverket tillsammans med teleföretaget Tele2 beslutat att bygga ett kabelnät av optoñber som avses bli nästan rikstäckande. Nätet skall år 1992 gå parallellt med stambanorna Stockholm - - Malmö och kanske så

Göteborg

småningom byggas ut till Norrlands kustland och inland. Vidare

har elva europeiska järnvägsbolag, däribland SJ, planer på att

bygga upp ett internt nätverk i Europa för dataöverföring.

Avsikten är att dra fiberoptiska kablar längs järnvägsspåren och

därigenom förbinda viktiga storstäder i hela Europa. En

förutsättning är dock att den europeiska telemarknaden öppnas

för konkurrens, vilket beräknas ske tidigast år 1992.

I detta sammanhang bör också nämnas att införandet av ISDN (se vidare SOU 1990:61 s. 81) medför att man i framtiden kommer att kunna överföra tal, text och bild över samma förbindelse i telefonnätet. Det kommer även att bli möjligt att koppla in persondatorer på ISDN-nätet och använda nätet som ett lokalt nät oberoende av avståndet. ISDN-nätet beräknas att vara fullt operativt i Sverige år 1992. Televerket räknar med att hälften av landets större företag redan då kommer att använda ISDN.

2.5.2¶Elektronisk post

De elektroniska postsystemen har som framgår av avsnitt 6.2.1 i SOU 1990:61 utvecklats kraftigt under den senare delen av 1980-talet och många använder sig i dag av intern

företag

elektronisk post. Den internationella standardiseringen har fortsatt och möjligheten att låta post

olika system för elektronisk kommunicera med varandra har ökat markant. Det beräknas att antalet elektroniska brevlådor i Europa kommer att öka med ca 45 procent per år fram till år 1993. Tekniken tillåter i dag överföring av texter, brev och framöver även bilder mellan olika datorer. En del system kan endast användas inom ett lokalt datanät, andra kopplar samman stordatorer med varandra och omfattar hela världen.

Elektronisk post innebär att text som kan skapas med hjälp av ord- och textbehandling skickas till önskade mottagare via ett datanät där meddelandet motsvarar ett brev. Meddelandena

kan utväxlas externt eller internt. De brukare som använder intern elektronisk post befintliga terminaler och

utnyttjar

persondatorer och kan därigenom kommunicera med varandra via en gemensam dator. Varje användare har sin

personliga

elektroniska brevlåda i den gemensamma datorn. Det finns också möjlighet att utvidga systemet så att användarna kan delta i datakonferenser genom brev-

att systemet får en gemensam låda för flera användare. Detta ger användarna möjligheter att kommunicera med varandra oberoende av tid och rum. Elektronisk post kan också inga som en funktion i ett kontorsinformationssystem (se avsnitt 2.4 ovan). I videotex (se avsnitt 6.2.2 i SOU 1990:61) finns också tillgång till elektronisk post.

Med de flesta varianter av elektronisk post kan användaren samtidigt skicka samma text till flera mottagare, kontrollera om mottagaren har tagit del av den översända texten, i datorn arkivera de texter man vill spara, ha en egen brevlåda den

på

centrala datorns skivminne där inkomna texter lagras, om man inte omedelbart kan läsa det inkommande meddelandet, samt ha

en egen behörighetskod som hindrar obehöriga att få tillgång till

brevlådan. En del elektroniska postsystem har som nämnts särskilda funktioner for att också stödja gruppkommunikation. I dessa s.k. kan avsändaren adressera ett

datakonferenssystem

skrivet meddelande som ett inlägg till ett elektroniskt möte eller konferens, i vilket ett flertal personer kan vara deltagare. Det finns även s.k. Bulletin Board BBS, mot vilka man

Systems,

kan koppla upp sig för att ställa frågor, delta i

erfarenhetsutbyte

eller hämta programñler.

2.5.3¶Vissa andra

meddelandesystem

Den intensiva utvecklingen för överföring av

av nya tekniker textmeddelanden har fortsatt. Här skall endast behandlas den

fortsatta utvecklingen av telefax, EDI och olika personsökar-

system. Slutligen redogörs i detta avsnitt kortfattat för Teleguide-projektet Malmö Direkt, som under senare delen av år 1991 inleds i Malmö. Se i övrigt avsnitt 6.2.1 i SOU 1990:61.

Telefax

Telefax konkurrerar både i Sverige och internationellt med telefon, vanlig post och olika former av elektronisk post. Telefaxspridningen har fortsatt så att i praktiken alla företag och förvaltningar i dag kan nås med telefaxmeddelanden.

Hittills har det vanligaste sättet att telefaxtekniken

utnyttja

varit att sända ett pappersdokument i en speciell utrustning

ansluten till telefonnätet, omvandla det till elektronisk information och, i en annan utrustning, få ut en kopia av dokumentet på ett papper. För att i datorsammanhang ytterligare öka effektiviteten och minska kostnaderna har s.k. telefaxkort till datorer börjat komma ut på marknaden. Fördelarna med dessa är att man direkt från exempelvis en persondator med ett ordbehandlingsprogram, utan att behöva skriva ut en papperskopia, kan skicka ett dokument till en eller flera användare. Även mottagning av dokument kan ske direkt i datorn. Man kan sedan läsa dokumentet på bildskärmen. Det finns datorprogram som kan omvandla mottagen telefaxinformation till textformat.

Telefaxtekniken behandlas i en teknisk rapport utgiven av datainspektionen i augusti 1991. I rapporten, ADB-säkerhet för

personuppgifter vid telefaxöverföring, redovisas inspektionens syn på säkerheten vid telefaxanvändning.

EDI

Electronic Data Interchange (EDI) är en metod för att överföra dokument, främst affársdokument mellan datorer. Tillämpningen av EDI utmärks av att data som utbyts är formaliserade

och strukturerade enligt någon EDI-standard, att datautbytet

mellan datasystemen sker automatiskt och utan mellanliggande

manuell hantering samt att datautbytet sker mellan datasystem

i olika organisationer och i olika datamiljöer. EDI avviker från elektronisk post genom att meddelandet innehåller formaliserad och strukturerad information. Dessutom innebär EDI en kommunikation mellan datasystem till skillnad från elektronisk post som är en kommunikation mellan enskilda användare. Den information som överförs med EDI är direkt bearbetningsbar i

datasystemen.

Metoden har använts i USA i över 20 år, men fick sitt internationella genombrott först år 1986 då Västeuropa och USA slog samman sina två standarder till en internationell sådan kallad EDIFACT (Electronic Data Interchange For Administration, Commerce and Transport). Sedan FN sanktionerat denna standard har den nu det officiella namnet UN/EDIFACT. Denna standard har förutom i USA och Västeuropa nu även vunnit stöd i Australien och Japan.

Inom nationella och internationella organ, liksom inom olika branschföreningar, pågår sedan några år tillbaka ett intensivt arbete med EDI-standardisering av olika slags handelsinformation. Bland annat driver EG och EFTA ett gemensamt projekt, TEDIS (Trade Electronic Data Interchange med

Systems),

uppgift att koordinera och främja spridningen av EDI. I Sverige

har bilindustrin kommit längst med sitt kallat

EDI-projekt

ODETTE (Organisation for Data Exchange by Tele Transmission in Europe), som skapat standarder for informations-

överföring avseende leveransplanering, streckkodsmärkning,

fakturering etc. ODETFE är anpassat till EDIFACT-standarden. Utveckling pågår av fler än 60 EDIFACT-meddelanden och ca 30 av dessa kommer troligen att kunna börja användas under år 1991. Allt fler branscher kommer därför att kunna administrera sina affarsförbindelser genom sina undervarianter av EDIFACT.

Enligt vissa uppskattningar kommer EDI att användas för en väsentlig del av Sveriges varuflöde år 1995. I vissa branscher kan det komma att gälla for mer än hälften av varuflödet, t.ex. i bilindustrin, medan det tar längre tid innan andra branscher når så långt. Vissa statliga t.ex. tullen, och ett

myndigheter,

antal stora branscher, t.ex. bilindustrin, byggindustrin, trans-

portbranschen och bankerna räknar med en snabb spridning för EDI. I slutet av 1990-talet beräknas EDI ha nått en mycket bred

användning. Huvuddelen av penningflödet i Sverige beräknas

t.ex. då ske med EDI. Vidare räknar tullen med att 80 procent av alla tullärenden sker med hjälp av EDI år 1995. Se vidare en i maj 1990 utgiven rapport, EDI for miljoner (T ELDOK

Rapport nr 56, 1990).

Det nya svenska s.k. (T DS) medger att

tulldatasystemet

export- och importhandlingar tas emot och behandlas med hjälp av EDI. TDS avses hantera klarering av import-, export-, och

transitärenden samt debitering. I tullagen (1987: 1065) infördes

den 1 juli 1990 en särskild bestämmelse om de närmare kriterierna for elektroniska meddelanden, där definierade som elektroniska dokument (12 a §). Med ett sådant dokument avses enligt bestämmelsen en upptagning vars innehåll och utställare kan verifieras genom ett visst tekniskt förfarande. Kommunikationen sker i form av meddelanden enligt EDI- FACT-standard. Näringsidkaren skall när han upprättar ett elektroniskt meddelande avsett för tullen förse detta med ett unikt identifieringsnummer (tullid) ur en alfanumerisk serie som han tilldelats av tullen. När meddelandet överförs till TDS skapas ett kvittensmeddelande som sänds tillbaka till avsändaren medan överföringen (filen) vidarebefordras till tullverkets centraldator i Luleå. Där sker en automatisk teknisk och innehållsmässig granskning av de meddelanden som ingår i filen. Därefter skickas för vart och ett av dessa meddelanden ett standardiserat svarsmeddelande tillbaka till avsändaren med uppgift att meddelandet antingen är korrekt eller innehåller något fel som bör rättas till. När en näringsidkare vill en

göra

rättelse avseende en uppgift som han tidigare lämnat i ett ärende

kan han inte göra ändringen i det tidigare lämnade meddelandet. I stället måste han sända ett nytt kompletterande meddelande som kommer att lagras i samma fil som det ursprungliga meddelandet tillsammans med alla andra meddelanden som rör samma ärende. Uppgifterna kan därför sökas med samma tullid. Till centraldatorn i Luleå 16 lokalt placerade

knyts

datorer på olika tullorter inom landet. I dessa datorer lagras och bearbetas de lokalt handlagda tullärendena. I sin tur kommer lokaldatorerna att anslutas till totalt ca l 000 bildskärmsterminaler och ca 400 skrivare. I tullagen har införts en bestämmelse om att ett elektroniskt dokument skall anses vara inkommet till en tullmyndighet när det blivit tillgängligt för myndigheten för överföring till sådan form att det kan läsas (12 b §). Se prop. l989/90:40, SkU 19, rskr. 188, SFS 1990:138. En närmare redogörelse för tulldatasystemets uppbyggnad och användning fmns i en av i

generaltullstyrelsen

september 1990 utgiven skrift, TDS - En

sammanfattning.

För att studera förutsättningarna för och användbarheten av

EDI i offentlig samt möjligheterna till samverkan på

förvaltning

detta område bildades år 1990 ett samarbetsprojekt för EDI

mellan Statskontoret, televerket, landstingsförbundet och

kommunförbundet. Som ett resultat av denna samverkan har Statskontoret nyligen publicerat en rapport (l99l:3), EDI i

offentlig förvaltning. I rapporten pekas bl.a. på möjligheterna

att använda EDI för att administrera arbetsgivarens rapport-

eringsskyldigheti ett framtida sjuklönessystem. Sjukanmälnings-

blanketter skulle enligt rapporten t.ex. kunna ersättas av EDIdokument.

Mobila System för meddelandeöverföring

Mobitex, som är ett system för mobil data- och textöverföring, har funnits i sedan år 1986. Mobitexnätet, som sköts av

Sverige

Televerket Radio, består av ett antal basradiostationer som kommunicerar med mobila terminaler. Textmeddelanden kan sändas mellan användare som har textfunktion på sina terminaler. Meddelanden kan vara på högst 512 tecken, varför längre texter måste skickas uppdelade som många korta. ger

Systemet

uppgift huruvida meddelanden har kommit fram eller inte. Inom ramen för systemet finns även möjlighet för viss kompletterande talöverföring. Om man för tillfället inte kan ta emot meddelanden, kan dessa lagras i en brevlåda. Mobitex används i dag bl.a. för kommunikation mellan polisbilar och befintliga datorsystem, sjukhus och ambulanser, vid budservice och i

övrigt inom transportsektorn.

SOU 1991262 23

Möjligheten att lagra personuppgifter i de olika personsökar-

system som finns på den svenska marknaden är än så länge begränsad och de uppgifter som förekommer är oftast av mindre känslig art, huvudsakligen namn och telefonnummer. Trots detta förtjänar dock några av systemen att nämnas.

Ett rikstäckande personsökningssystem, MBS, har varit i drift i drygt tio år. MBS-mottagaren är en liten avancerad FMmottagare som automatiskt ställer in sig på rätt FM-sändare. Den har bl.a. minnesfunktion för lagring av flera sökningar. Då någon ringer upp en MBS går sökningen från telefonen till en MBS-växel, som sänder sökningen vidare till FM-näten.

Signalen når MBS-mottagaren, som avger en ljudsignal och i

sitt teckenfönster visar den uppringandes telefonnummer. Det är inte bara den sökandes telefonnummer som kan sändas till en MBS-mottagare utan även kodnummer. Det är möjligt att nå flera mottagare samtidigt genom ett enda söknummer. MBS är Sveriges enda rikstäckande system för personsökning. Televerket Radio har byggt upp MBS-systemet och svarar för dess funktion och underhåll.

År 1985 startade ett system med tonsignalering för mera regionala behov, Minicall. Systemet är landsomfattande och täcker Sveriges tätorter och industricentra. I april 1988 kompletterades Minicall med möjlighet att sända textmeddelanden.

Minicall Ton är en personsökare som avger upp till fyra olika

tonsignaler, när någon ringer till den från en vanlig telefon.

Varje tonsignal aktiveras genom ett eget telefonnummer och har en egen, i förväg överenskommen En av signalerna

betydelse.

kan kopplas till den textbrevlåda som finns i Minicallsystemet. En annan signal kan kopplas till röstbrevlådan i

mobiltelefonsystemet NMT.

Minicall Text är en personsökare som tar emot textmeddelanden på upp till 400 tecken. Meddelandet tas fram i ett teckenfönster. Utsändning av meddelanden kan ske t.ex. från en persondator med modem, från en terminal ansluten till en företagsdator eller från en videotexterminal. Minicall Text kan också användas för tonsökning och kan då sammankopplas med Mobilsvar. Varje gång ett meddelande lämnas i Mobilsvar avger

personsökaren en signal. Mottagaren kan lagra flera med-

delanden samtidigt.

De som har en Minicall personsökare, för ton eller text, kan även abonnera på en egen brevlåda för lagring av textmeddelanden. I sådant fall lagras alla utsända meddelanden i systemet under 72 timmar och förses med ett löpnummer. Ett meddelande kan sedan hämtas ur brevlådan, som är en textbrevlåda, och återutsändas. För att kunna hämta med-

delanden krävs tillgång till en terminal eller persondator e.d. Vid hämtning av meddelande anges lösenord, som bestäms av den som har mottagaren, mottagarens nummer samt meddelandets nummer. Det går också att hämta bara det sist inkomna= meddelandet. Meddelandet visas sedan i helhet på bildskärmen tillsammans med tidpunkt för utsändning. Brevlådan kan även användas för lagring av textmeddelanden även om man bara har en tonmottagare. En tonsökning sker när ett textmeddelande har matats in i och lagrats i

Minicall-systemet

brevlådan. Innehavaren av mottagaren kan sedan hämta meddelandet ur brevlådan. Inmatning och hämtning av textmeddelanden som är adresserade till en tonmottagare sker

på samma sätt som vid vanliga textsökningar.

Teleguide-projektet Malmö Direkt

Under hösten 1991 inleddes i Malmö en verksamhet som har till mål att sprida s.k. TeleGuide-terminaler till hushållen i staden. Projektet, kallat Malmö Direkt, bedrivs av televerket i samarbete med IBM, Esselte och Malmö stad. Avsikten är att alla hushåll i Malmö som har ett telefonabonnemang skall få möjlighet att hyra en TeleGuide-terminal. Med hjälp av denna terminal, som kommer att vara ansluten till videotexnätet (se SOU 1990:61 s 84 f), skall användaren till en början dels kunna få viss lokal information (exempelvis om kommunala

upplysning

öppettider, trafñktider, lokala evenemang, viss mil jöinformation etc.), kunna utföra vissa banktjänster, beställningar av göra

vissa varor (b1.a. matbeställningar inom den kommunala hemtjänstens ram), samt även erhålla viss

sjukvårdsupplysning

för egenvård, dels kunna få del av den information som finns tillgänglig i det allmänna videotexnätet. Avsikten är att successivt bygga till att omfatta flera användningsom-

ut systemet råden, t.ex. bostadsinformation med taxeinforma-

byggplaner,

tion, biblioteksservice, platsarmonser, konsumentrådgivning

samt kommunala beslut och handlingar. De olika elektroniska

tjänster som det finns tillgång till i videotex, t.ex. telex, telefax

och elektronisk post kommer också att vara tillgängliga för dem som hyr en TeleGuide-terminal inom ram. Den

projektets

månatliga hyreskostnaden för en terminal är 75 kr. Därutöver

tillkommer, förutom avgiften för telenätsanvändningen, en

särskild användaravgift om 1 kr 15 öre per minut. Vissa användare, bl.a. sådana personer som använder sig av kommunens hemvårdstjänster, kommer dock att vara befriade från dessa avgifter. Den som en terminal kommer att, förutom

hyr

själva terminalen, även erhålla ett s.k. Smart Card (se SOU

1990:61 s 87). Detta kort som är personligt och försett med en särskild identiñkationskod måste användas då man loggar in i systemet. För att kunna utnyttja en TeleGuide-terminal krävs att man har loggat in med hjälp av sitt personliga kort. En av idéerna bakom projektet är att minska Malmö stads administrativa kostnader. Sá är det t.ex. avsikten att användarna av systemet i framtiden både skall kunna erhålla och betala räkningar avseende kommunala tjänster på elektronisk väg. Målsättningen är att inom en sexårsperiod hälften av alla hushåll i Malmö skall ha en egen TeleGuide-terminal.

2.5.4¶Statliga myndigheters telekommunikationer

(STATTEL)

Regeringen uppdrog i juli 1988 åt Statskontoret att utreda de statliga myndigheternas datakommunikation i framtiden. Statskontoret skulle därvid göra en fördjupad studie av statsförvaltningens nuvarande och förväntade behov av datakom-

munikationstjänster samt en bedömning av vilka kommunika-

tionslösningar som mest kostnadseffektivt tillgodoser behoven.

Statskontoret redovisade uppdraget till regeringen i en rapport STATNÄT Datakommunikation för statsförvaltningen (1990: 17). Statskontoret lämnade däri förslag till en telekommu-

nikationsstrategi och handlingsplan samt begärde ett uppdrag att

fullfölja upphandlingsarbetet av kommunikationstjänster på det

sätt som föreslagits i rapporten.

Regeringen beslutade den 25 april 1991 att en särskild delegation för att effektivisera myndigheternas telekommunikationer

(STATFEL-delegationen) skulle inrättas. Delegationen skall enligt direktiven (Dir. 1991:29)

- utforma krav på de gemensamma teletjänster som bör användas av myndigheterna under 90-talet, - standarder som bör användas i

ange vilka statsförvaltningens

telekommunikation efter samråd med Statskontoret, - anskaffa och teckna avtal om olika teletjänster efter samråd

med Statskontoret,

- verka för en bred användning av teletjänsterna och - redovisa de olika teletjänsternas effekter, ekonomiska och andra, för statsförvaltningen som helhet och för enskilda

myndigheter.

Arbetet skall omfatta telefoni mellan statliga myndigheter, statliga myndigheters telefonservice åt allmänheten, telefax-

kommunikation, datakommunikationstjänster, t.ex. överföring

av transaktioner, filer och dokument, överföring av med-

delanden mellan datorer (Electronic Data Interchange), elektro-

nisk post, informationshämtning från databaser, och videokommunikation.

Delegationen skall ha slutfört sitt arbete före utgången av år 1994.

2.5.5¶Den fortsatta av databastekniken

utvecklingen

I utredningens första delbetänkande SOU 1990:61 behandlades databaser främst i avsnitt 6.2.2.

Under det gångna året har de publika databaserna fortsatt att öka i antal samtidigt som användarna av dessa blivit allt fler. Kostnaden för databassökning har därför kommit att en

utgöra

alltmer betydande kostnad för alltfler datoranvändare. Utbredningen av CD-ROM-tekniken (se avsnitt 2.6) kan dock komma att innebära en minskning av on-line.

databassökning

De områden som täcks av olika slags databaser har också blivit alltmer omfattande. Hittills har det dock

huvudsakligen

varit fråga om databaser med olika slags textinformation. Sedan en tid tillbaka pågår emellertid uppbyggnaden av en omfattande bilddatabas i Sverige.

Bildarkivet i Kiruna AB (Bildarkivet) har i samarbete med posten och med stöd från Utvecklingsfonden i Norrbotten påbörjat ett arbete med att lagra bilder från ett antal i landet verksamma fotografer och Bilderna läses in och

bildbyråer.

lagras digitalt tillsammans med uppgifter om motiv, fotograf,

bildbyrå samt andra sökbegrepp. I slutet av år 1991 beräknas ca 400 000 bilder ha blivit inlästa och lagrade i denna bilddatabas. Bolaget räknar med att år 1994 ha mellan och fem

fyra miljoner

bilder lagrade i sin bilddatabas.

Bildarkivets bilddatabas, som riktar till

huvudsakligen sig bildbyråer, reklambyråer och tidningar, beräknas vara i full

drift vid årsskiftet 1991/92. Redan i dag finns dock ett antal bild- och anslutna För att kunna nå

reklambyråer till systemet. databasen krävs i princip endast att man har till

tillgång

antingen en Macintoshdator eller en persondator samt ett modem. Därutöver kan datorn behöva kompletteras med särskild programvara, färgskärm med tillhörande

grafikkort

samt ett speciellt kort som bildinformationen.

dekomprimerar

Den som vill söka i bilddatabasen medelst datorns

ringer

modem upp bilddatabasen och etablerar kontakt. Med hjälp av en särskild meny kan användaren specificera vilken

typ av bild som han eller hon önskar. Det finns som nämnts ovan olika

sökbegrepp inlagrade med varje bild. Ett sökbegrepp kan t.ex.

vara en specifik bildbyrå eller fotograf. Ett annat kan vara begrepp som djur, natur, människa, ålder osv. Vid tillfälle

varje

får användaren uppgift om hur många bilder det finns som uppfyller villkoren. Han eller hon får samtidigt upp 12 s.k. påsiktsbilder på sin datorskärm. Dessa bilder är av tillräcklig god kvalitet för att användaren skall kunna avgöra om bilden är intressant. Det tar mindre än en sekund att överföra en sådan bild från databasen till skärmen. Det är möjligt att bläddra igenom bilderna, förstora intressanta bilder, låta intressanta bilder bli kvar på skärmen eller lagra dem lokalt i sin dator. När användaren har bestämt sig för de bilder som önskas skickar han eller hon en beställning till Bildarkivet via menyn. Från Bildarkivet kan bilden sändas direkt till användarens dator medelst telenätet eller också beställningen vidarebefordras till fotografen eller bildbyrån som i sin tur kan skicka en kopia av bilden med post eller på annat sätt.

Priset för att ansluta sig till Bildarkivet i Kiruna ABs bilddatabas beräknas komma att ligga kring 2 000 kr per månad. Till detta kommer en särskild sökavgift. Det planeras också ett antal allmänna sökterminaler från vilka enstaka kunder skall kunna beställa bilder. Tanken är att dessa ska finnas vid en butikskedja inom kontorsmaterielbranschen.

2.6¶Optiska lagringsmedia

Den optiska lagringstekniken, och då speciellt CD-ROM-

tekniken, har fortsatt att breda ut med en alltmer ökande

sig

hastighet. CD-ROM (Compact Disc Read Only har,

Memory)

sedan den introducerades på marknaden år 1985, utvecklats till en accepterad metod for lagring av information och är nu standardiserad i nästan hela världen. Den är numera också svensk standard. CD-ROM-tekniken kommer inom de närmaste åren med all sannolikhet att revolutionera all informations-

spridning. Optiska lagringsmedia, och däribland CD-ROM-

tekniken, har utredningen tidigare behandlat i avsnitt 6.3 i SOU 1990:61.

En CD-ROM-skiva kan användas för att lagra text, bild och ljud, vilka alla tre möjligheter kan användas samtidigt. På en enda CD-ROM-skiva kan t.ex. upp till 550

rymmas megabytes,

motsvarande ca 270 000 fullskrivna A4-sidor. Det snabbt att

går

söka och läsa på en CD-ROM-skiva, men man kan inte skriva information på skivan. Tiden att få fram information (åtkomsttiden) varierar mellan 0,4 och 1 sekund. För att läsa av informationen på en CD-ROM-skiva krävs det en särskild CD-

ROM-spelare med laser, som kan anslutas till en persondator.

Sökningen av informationen sker med hjälp av ett sökprogram som temporärt lagras i datorn så länge en viss skiva används. Till varje CD-ROM-skiva hör ett sådant sökprogram och detta kan antingen finnas lagrat på skivan själv eller på en diskett, som följer med skivan. Sökprogrammen kan vara olika för olika CD-ROM-skivor. Sökningen sker oftast med hjälp av sökmenyer och kan vara fritextsökning eller strukturerad sökning. Åtkomsten till lagrad data sker alltså normalt via viss inkluderad programvara. Vid sidan av detta sökprogram finns inga generella tekniska hinder för att med hjälp av andra system eller program söka och läsa bland lagrad data. Möjligheterna att genomföra detta beror helt och hållet på hur lagrad data är

skyddade. Det är fullt praktiskt genomförbart att ha krypterade

CD-ROM-skivor och i dag förekommer både okrypterade och krypterade skivor. Den praktiska nyttan av att genomföra fritextsökningar vid sidan av ordinarie sökprogram får anses

vara begränsad. Den stora lagringskapaciteten medför nämligen

att det åtgår lång tid för genomsökning av en CD-ROM-skiva. Det tar ca 80 minuter för att söka genom en full CD-ROMskiva.

Möjligheterna att överföra data från CD-ROM-skivor till andra lagringsmedia är även dessa beroende av hur uppgifterna är skyddade och om eventuellt en sådan överföring understöds från rutiner i medföljande programvara. I sin enklaste form sker Överföring genom kopiering av filer från CD-ROM-skivan till annat lagringsmedia. Dessa filer kan ibland vara direkt låsbara i s.k. ASCII-kod, men detta är snarare undantag än regel.

CD-ROM har visat sig vara ett idealiskt medium för termbanker, ordböcker och andra typer av faktaverk. Användarens fördelar ligger främst i att det går snabbare och enklare att söka på en CD-ROM-skiva, att en sådan skiva kan rymma en oerhörd mängd data och att det är ett behändigt format till ett relativt lågt pris. Säkerheten vid läsning från en CD-ROM-skiva är också hög. Det är också mer ekonomiskt fördelaktigt

mycket

att använda sig av informationen på en CD-ROM-skiva än att söka i en databas som endast nås via telenätet och som det är

att söka i on-line. CD-ROM-skivor har även

dyrt betydligt

längre hållbarhet än disketter och hårddiskar och är avsevärt slitstarkare.

Det har visat sig vara billigare och enklare att sprida

mycket

stora informationsmängder lagrade CD—ROM—skiva än på

pa

annat sätt. För det första är det enkelt och billigt att skriva in informationen pa skivan. Skillnaden mot inskrivning på magnetskiva eller band är ofta betydande. Med hjälp av en slags bildinläsare, s.k. scanner, är det i dag möjligt att på ett snabbt

och förhållandevis enkelt sätt läsa in stora textmassor på bl.a.

optiska lagringsmedia. Detta gör att man lätt och billigt kan

komma ut med skivor ofta, t.ex. en gång i veckan. Tillverkningskostnaden för en CD-ROM-skiva uppgår för närvarande till mellan 10 och 15 kr. För det andra är skivan liten och lätt och därför billig att distribuera. För det tredje krävs inga stora och dyrbara datorer för att läsa en CD-ROM-skiva. Den kan, som tidigare har nämnts, läsas via en särskild CD-ROM-spelare som kan anslutas till en persondator.

CD-ROM-tekniken har alltså givit persondatoranvändare en

snabb och billig tillgång till mycket stora informationsmängder

av alla slag. Medlet lämpar sig särskilt för stora informations-

av statisk karaktär som dessutom skall distribueras till

mängder

mottagare. Produktion av CD-ROM-skivor sker med

många

av särskild teknik som kräver kunskap och utrustning. I

hjälp

Sverige finns det för närvarande två företag som tillverkar CD- ROM-skivor.

Utbudet av CD-ROM-skivor och CD-ROM-spelare har också

ökat samtidigt som priserna på dessa har börjat sjunka på ett

markant sätt.

Det fanns år 1985 endast tusen CD-ROM-spelare i

några

världen. År 1987 hade siffran stigit till omkring 100 000,

huvudsakligen i USA. Enligt en beräkning var antalet sådana

apparater i världen tre år senare ca en halv miljon. Antalet CD-

ROM-spelare i Sverige uppskattas år 1987 ha uppgått till ca

800. Enligt en bedömning kommer antalet sådana spelare i landet år 1992 att vara drygt 26 000. Priset på CD-ROMspelare har i stort sätt halverats på något år och det finns för närvarande CD-ROM-spelare på marknaden som kostar från 4 000 kr. Priset beräknas sjunka under innevarande

ytterligare

år. Det finns numera också såväl stationära som portabla CD- ROM-spelare på marknaden. Det är vidare möjligt att ansluta en CD-ROM-spelare till ett lokalt nätverk och därigenom göra den tillgänglig för flera användare.

CD-ROM-tekniken innebär att massdistribution av mycket stora datamängder kan ske. På CD-ROM-skivor finns i dag

bl.a. manualer, instruktionsböcker, reservdelskataloger,

företagsinformationsdatabaser, telefonkataloger, geografiska informationsdatabaser, uppslagsverk, juridisk och medicinsk

information, biblioteksinformation samt ordböcker och lexika. Utgivningen av CD-ROM-titlar har fördubblats varje år sedan år 1987. l boken The CD-ROM Directory, som är en förteckning över de CD-ROM-skivor som finns på världsmarknaden, fanns år 1989 ca 400 titlar förtecknade, år 1990 drygt 800 och i 1991 års upplaga finns drygt 1 500 titlar med.

Samtidigt som utgivningen av CD-ROM-skivor för allmänt bruk ökar blir det också allt vanligare att tar fram

företag egna

skivor för internt bruk. Man bedömer allmänt att den stora marknaden för CD-ROM inom området

just ligger specialfram-

tagna skivor för användning inom och

företag, organisationer

myndigheter. Det kan t.ex. vara fråga om olika slags dokumentation, material för och

internutbildning instruktionsprogram.

CD-ROM kan i framtiden även visa sig bli en

mycket vanlig

distributionsform för datorprogram. Redan i dag har vissa av de

företag som saluför datorprogram börjat att distribuera samtliga

sina program med dokumentation på CD-ROM-skiva. En enda sådan skiva kan rymma tusentals olika program. Oftast distribueras skivorna gratis. Programmen CD-ROM-skivan är

på

dock låsta med ett särskilt Om vill använda

kodsystem. någon

sig av något av datorprogrammen på skivan måste denne kontakta programvaruföretaget och av det få en särskild nyckel som gör det möjligt att använda det önskade programmet. Ett nytt område inom vilket man synes ha börjat med lagring av information på CD-ROM-skivor är datorstödd Det

typografi.

finns CD-ROM-skivor med bl.a. stilförråd och bildmaterial. Hur tekniken hittills kommit att användas i Sverige kan belysas av nedanstående exempel (Se även SOU 1990:61 s

89).

SAABs har tagit fram en CD-ROM-skiva som

Flygdivision

innehåller hela reservdelskatalogen för sitt SAAB

civilflygplan

340. Avsikten är att samtliga manualer (40 000

flygplanets

papperssidor av vilka 75 procent byts ut årligen) skall distribueras på en CD-ROM, som kommer att

uppdateras fyra gånger

om året.

Rikspolisstyrelsen har inlett ett projektarbete för att en skapa

datoriserad kunskapsbank benämnd Svenskt Polislexikon (SPL). Styrelsen har låtit framställa en CD-ROM-skiva som innehåller sådan information som anses utgöra stöd för beslutsfattande inom polisväsendet. På CD-ROM-skivan finns bl.a. vissa

lagar

och förordningar som har för

betydelse polisens arbete,

rikspolisstyrelsens råd och anvisningar, riksåklagarens cirkulär

och vissa av J Os och JKs beslut. Även visst som

katalogmaterial

t.ex. postnummerkatalogen finns med. Avsikten är att skivan skall uppdateras en gång per kvartal. har inletts med

Projektet

att CD-ROM-läsare har hos ett antal och

placerats polisdistrikt

hos rikspolisstyrelsen. Utanför polisväsendet har CD-ROMläsare även placerats hos JO, JK och

riksåklagaren.

Bibliotekstjänst AB har sedan juli 1990 använt av CD-

sig

ROM-teknik för att sprida information ur sina centrala databaser till folkbiblioteken. databas

Bibliotekstjänsts bibliografiska

omfattar 1,2 miljoner titlar på böcker, tidningar, tidskrifter,

skivor, kassettband och videoband. Varje år tillkommer ca 70 000 nya titlar. Hittills har ca l 500 datorer och CD-ROM-

spelare placerats ut på omkring 80 kommunala bibliotek i

Sverige. Bibliotekstjänsthar delat in landet i tre regioner, Södra regionen, Östra regionen och Väst/Norra regionen. För varje

region produceras en CD-ROM-skiva, benämnd CD-KAT, som

upptar alla titlar som finns på de anslutna biblioteken inom resp.

region. Sökprogrammet i CD-ROM-utrustningarna är utformat

så att en användare antingen kan återfinna samtliga boktitlar som finns på de anslutna biblioteken i den aktuella regionen eller endast dem som finns i bibliotekssystemet för den kommun i vilket det aktuella biblioteket är beläget. Det är även möjligt att därutöver till att endast omfatta den

begränsa sökmöjligheten

biblioteksfilial där man just befinner sig. CD-KAT-skivan förnyas fem gånger per år och tillställs då de bibliotekslokaler

som har CD-ROM-utrustning. Namn och adressuppgifter för de

anslutna bibliotekens låntagare (närmare två miljoner personer) registreras av Bibliotekstjänst på en särskild CD-ROM-skiva,

CDL, med samma uppdateringsfrekvens som CD-KAT. Skivan innehåller uppgifter om låntagarnas namn, personnummer, adresser och låntagarnummer. På skivan finns även vissa biblioteksstatistiska uppgifter, vilka dock inte är anknutna till identifierbara låntagare. Uppgifter om lånade böcker finns enligt uppgift inte på skivan. Med början hösten 1991 ämnar Bibliotekstjänst starta utgivningen av en CD-ROM-skiva som innehåller bibliografiska referenser till tidnings- och tidskriftsartiklar. Vidare finns planer på att senare ge ut en CD-ROMskiva med korta recensioner på nyutkommen litteratur.

Upplysningscentralen (UC) har framställt en CD-ROM-skiva med information om hundratusentals företag. För vart och ett av dessa företag finns ett sjuttiotal olika uppgifter som daterar sig tre år tillbaka i tiden. Till den information som finns hör

exempelvis och Sökning kan ske på

omsättning nyckeltal.

företagsnamn eller organisationsnamn. Det går också att söka på

telefonnummer. Med hjälp av program som sänds med är det bl.a. möjligt att skriva ut etiketter. Det finns 27 kriterier för

sökning.

Två företag, Scandinavian PC Systems AB och PCD-Consult AB, har på var sin CD-ROM-skiva gett ut det allmänna företagsregistret (BASUN), dvs. SCBs register över ca 390 000

svenska företag, organisationer och myndigheter i Sverige.

Namn och adresser kan sökas på dessa skivor efter olika urvalskriterier och skrivas ut på bl.a. etiketter, listor och kort.

Båda versionerna uppdateras regelbundet. Det som skiljer dem

åt är sökprogrammet. Dessa CD-ROM-skivor kostar från ca 5 000 kr.

Det svenska televerket uppger sig ha långt framskridna planer

på att ge ut den kompletta svenska telefonkatalogen på en CD-

ROM-skiva.

På den internationella marknaden finns ett relativt stort antal CD-ROM-skivor som var och en i vissa fall kan innehålla

uppgifter om miljontals personer och företag. Vad angår ett annat optiskt lagringsmedium, WORM-skivan

(se avsnitt 6.3 i SOU 1990:61), kan nämnas att skatteförvaltningen i Stockholms län har för avsikt att på försök börja lagra deklarationsblanketter på sådana WORM-skivor. Avsikten är att med hjälp av s.k. scanner läsa in deklarationsblanketterna som elektroniska bilder på dessa skivor. Taxeringstjänstemännen skall sedan via en terminal kunna söka och granska valfritt ärende, sortera, bunta och markera ärenden för senare behandling. Utan att behöva använda sig av papper eller kopie-

ringsmaskin skall en deklarationsgranskare kunna sköta skriftväxling med den skattskyldige, göra kommentarer och anteckningar under granskningen, lägga undan handlingar för

senare bearbetning och skriva ut ärenden på skrivare eller telefax.

Arbete pågår med att ta fram en ny generation CD-skivor, kallad CD-I (Compact Disc Interactive). CD-I är en teknik för att lagra digital video på en CD-skiva. CD-I kan, liksom CD- ROM, hantera både text, bild och ljud men dessutom rörliga bilder och film. CD-I-spelaren behöver dock inte anslutas till en dator utan kommer även att kunna kopplas upp mot en vanlig TV eller förstärkare. Redan på det stadium som CD-I-tekniken befinner sig på i dag kan på en CD-I-skiva lagras 6 300 hög-

klassiga bilder, 130 000 bilder i enklare utförande, ljud i upp

till 19 timmar och 72 minuters visning av rörliga bilder med samtidigt ljud i enklare återgivning. CD-I är tänkt att lanseras för hemmabruk med titlar inom musikvideos, spel, sport, turistinformation m.m. Den kommer även att kunna användas inom utbildning, t.ex. inom industrin och skolan. På sikt kan CD-I-skivan därför kanske komma att bli en konkurrent till videokassetter. Utvecklingsarbete pågår också beträffande den s.k. CD-ROM/XA-skivan.(XA står här för Extended Architecture.) Denna skiva är en utveckling av CD-ROM-skivan och utgör en brygga mellan CD-ROM och CD-I. CD-ROM/XA gör det möjligt att spela 17 timmar ljud mot 72 minuter som är det normala för en vanlig CD-ROM-skiva. På en CD-ROM/XAskiva är det också möjligt att kombinera och

data, ljud, grafik

rörliga bilder. Den fortsatta utvecklingen av detta medium

kommer därför att få stor betydelse för den s.k. multimediatekniken (se avsnitt 2.7).

Vidare har nyligen lanserats en ny variant av optiskt lagringsmedium, nämligen s.k. optiska kort, Optical Cards. Detta är kort som inte är större än ett normalt kreditkort men som har ett minnesutrymme om två megabytes, motsvarande ett tusental A4-sidor med text. Kortet är främst avsett att användas som IDkort, för manualer och inom utbildning. Optiska kort kommer inom kort att användas på försök inom Västerbottens och Uppsala läns landsting där ett antal patienter kommer att få sina

sjukjournaler inlagda på sådana kort.

2.7¶Multimedia

Ett begrepp som på senare tid allt oftare kommit att användas

i datasammanhang är multimedia. Uttrycket började att

användas redan på 1960-talet som beteckning for att man i

reklamkampanjer använde sig av olika slags media (tidningar,

radio och TV) för att föra ut sitt budskap. I dag har multimedia blivit ett samlingsnamn for ett antal olika tillämpningar som har det gemensamt att information av olika av media, t.ex.

typer

ljud, bild, film, text, grafik och data, hanteras av samma

datorsystem och presenteras samlat. De system som i dag huvudsakligen används inom multimediaområdet är s.k.

interaktiva videosystem, vilka bygger pa en blandning av

videoteknik och datateknik.

Multimedia berör många olika ämnen och områden och kan användas för både konsumentbruk och företagsbruk. Exempel

på användningsområden är datorstödd presentation och utbildning. I främst USA men också i viss omfattning i Sverige (t.ex.

ICAs styckmästarutbildning samt för utbildning av postbehand-

lingspersonal inom postverket) används multimediatekniken av företag för att förmedla yrkeskunskaper till de anställda. Motiven är att en sådan utbildning är mera effektiv och flexibel

än traditionell lärarledd utbildning. Utbildningskostnaderna blir

också Med interaktiv video ersätts läraren av en dator och

lägre. en videobandspelare. En sådan utbildning kan vara mycket

pedagogiskt upplagd och ske utan annan medverkan än den anställdes. En instruktionsröst vägleder eleven, medan olika bild- och textfunktioner blandas.

Andra användningsområden för multimedia är musik, under-

hållning, uppslagsverk, forlagsverksamhet, kataloger och olika

slags tjänster. Exempel på sammanhang där multimedia redan

kommit till användning är olika slags informationsanordningar

på flygplatser, järnvägsstationer etc. I framtiden kan kunder med hjälp av multimedia genom sådana

anordningar ges all

information de önskar om en viss vara eller tjänst.

Resebyråer

kan komma att använda sig av multimedia och låta kunden se olika bilder och annan information om resmål.

presumtiva

Mäklare kan på sitt kontor visa detaljerade exteriör- och interiörbilder på olika husobjekt. Köpare av möbler kan t.ex. redan i affären möblera sitt hem med av multimedia.

hjälp

Offentliga myndigheter kan också använda sig av multimedia för att på ett billigt och lättförståeligt sätt lämna information till

medborgarna. Så sker redan i dag i viss utsträckning i USA,

t.ex. i delstaten Hawaii.

En särskild av multimediatekniken är den som

tillämpning går

under beteckningen hypermedia. Hypermedia används för att

beteckna ett sätt att hantera stora mängder ostrukturerad information. Användaren får genom hypermedia ett

godtyckligt

antal vägar att välja på för att ta sig fram mellan text,

bilder, ljud och video. Typiska användningsområden för hypermedia-

system är datoriserade uppslagsverk, instruktionsböcker och tekniska handböcker etc.

2. 8

Avslutning

Av den lämnade av datateknikens

redovisningen utveckling

framgår att det sker en allt ökande integration av funktioner och system. En följd av detta är att det inte längre är lätt att

avgöra

olika datorprograms möjligheter, t.ex. kan man i dag med ett datorprogram för ord- och textbehandling även utföra bl.a.

kalkyleringar, administrationsfunktioner, datakommunikation

och registerhantering. Ett annat exempel hur funktionerna

på

alltmer integreras är de s.k. Den

kontorsinformationssystemen.

information som lagras blir alltmer olikartad och kan bestå av både ord, text, bild och ljud. Jfr den ovan nämnda multimediatekniken. Det blir vidare allt svårare att skilja själva datorn och datorprogrammens olika funktioner från varandra.

Även gränsdragningen mellan vad som och

är programvara vilken information som är lagrad på datamedier blir allt svårare att göra. Det pågår inte bara en integration av de olika funktionerna i ett datasystem utan även av de olika Som

datasystemen.

exempel kan nämnas att det inom såväl tillverkningsindustrin som tjänsteproduktionen sker en utveckling mot integrerade

datoriserade I sådana integrerade kan

produktionssystem. system

ingå administrativa personaladministrativa system, registrering av in- och utpassering, behörighetskontroll, administrativa

redovisningssystem, planeringssystem samt styrsystem för pro-

duktion, materialhantering och transporter.

3¶Begreppen personregister

och

registeransvarig

3.1¶Personregister (persondatamängd)

3. l .l Gällande rätt

Med begreppet personregister förstås enligt 1 § datalagen förteckning eller andra anteckningar som förs med register,

av automatisk databehandling (ADB) och som innehåller

hjälp

som kan hänföras till den som avses med

personuppgzfi‘

uppgiften.

I till l § anförde departementschefen om

specialmotiveringen

bl.a. följande (prop. 1973:33 s. 118 f):

registerbegreppet

Vad beträffar register bör därunder falla förutom

begreppet register även förteckningar och andra anteckningar. Uppenbarligen avses i första hand förteckningar som omfattar ett flertal faktiska

av likartat slag. I undantagsfall bör det emellertid kunna

uppgifter

vara fråga om endast en enda uppgift. För att ett register skall anses föreligga måste det emellertid direkt eller indirekt vara fråga om behandling från inforrnationssynpunkt av faktiska uppgifter. Ett ADB-register kan sålunda inte anses upprättat bara genom att löpande text lagras i ett datamedium, exempelvis för att sättning skall kunna ske med av ADB-teknik. faller

hjälp Uppenbarligen

på grund härav åtskillig databehandling av olika slags litteratur, främst skönlitteratur, utanför datalagens tillståndssystem. Först i den mån databehandlingen tar sikte på faktiska uppgifter i den litterära framställningen - såsom för upprättande av innehålls-

register eller liknande föreligger ett register i datalagens mening. Vidare bör ett register anses föreligga, om de lagrade uppgifterna skall användas för att framställa exempelvis en telefonkatalog, ett adressregister eller en taxeringskalender. Den närmare gränsdragningen när det gäller att bestämma registerbegreppets innebörd får göras i praxis.

Aven frågan huruvida ett eller flera register skall anses föreligga får avgöras närmare i praxis. Jag ansluter mig till SCB:s

uppfattning att det ofta torde vara lämpligt att betrakta hela systern av datafiler och till dessa hörande hårledningsoch bearbetningsprogram som ett enda personregister. En förutsättning bör dock vara att systemet tekniskt och administrativt fungerar så, att det är naturligt att uppfatta det som en enhet. Med hänsyn till vad nu har anfört anser jag att med person-

jag

register i datalagens mening bör avses register, förteckning eller andra anteckningar som förs med hjälp av ADB och som innehåller personuppgifter som kan hänföras till den som avses med uppgiften.

Avgörande för frågan om datalagen över huvud är

taget tillämplig på ett register är vidare huruvida registret förs med hjälp av ADB eller inte. Register som fors med av annan

hjälp

teknik än ADB faller i dag utanför

datalagens tillämpnings-

område. Med avses som avser

begreppet personuppgzft upplysning

enskild person. Sådana personuppgifter kan vara av olika

många

slag. Upplysningar som avser en persons namn, personnummer,

födelsedatum, nationalitet, utbildning och familje- och anställningsförhållanden är självklart att anse som sådana personuppgifter. Även upplysningar som är av mindre personlig natur

kan emellertid anses Hit bör

utgöra personuppgift. enligt lagmotiven höra exempelvis upplysningar om en persons

bostadsförhållanden, banktillgodohavanden, fastighets- eller

bilinnehav samt som i rör

upplysningar övrigt en persons

ekonomiska ställning.

En personuppgift kan hänföras till en viss

person antingen

direkt genom eller med av särskild

själva personuppgiften hjälp

identitetsuppgift som också ingår i En registret. identitetsuppgift

behöver dock inte var och unik eller sådan att den är

entydig

mera allmänt bekant. som inte innehåller andra

Även register

identitetsuppgifter än sådana som gör det möjligt enbart för den invigde att förstå vilken person som en avser

upplysning

omfattas av datalagens bestämmelser.

Om en person kan identifieras

genom anställningsnummer,

medlemsnummer, kundnummer eller liknande är att

registret

anse som ett personregister. Detsamma statistiska

gäller

uppgifter där beteckningar och som också återfinns

dylikt på

dokument gör det att till en viss

möjligt återknyta uppgifterna

person. Ur praxis kan hämtas fall.

följande

Ett fall som år 1975 prövades av gällde ett register

regeringen

som avsåg att kontrollera ett

telefondebiteringen på företag

genom att uppgift om samtal som fördes vissa

på telefonanknyt-

ningar registrerades. Eftersom uppgifterna inte med säkerhet

kunna knytas till en viss anställd då

person, varje telefonanknyt-

ning disponerades av flera personer, ansågs dock inte ett personregister föreligga (Se om fallet även avsnitt 6.2.4 i SOU

1991:21). Ett spaningsregister som generaltullstyrelsen förde skulle enbart innehålla olika uppgifter om transportmedel (bilar, fartyg

etc.) såsom transportmedelskod, fartygshamn, registrerings-

namn, fabrikat, färg, årsmodell och särskilda kännetecken.

Registret ansågs likväl vara personregister, eftersom ändamålet

med registreringen var att söka upplysning om enskild person och det dessutom till exempelvis varje motorfordon fanns en

ägare anknuten (dnr 3325-82).

Av betydelse för personregisterbegreppet är också ändamålet

med ett register. I ett tillståndsärende skall datainspektionen enligt 5 § datalagen meddela villkor om ändamålet med registret. Enligt de allmänna bestämmelserna i 7 § datalagen skall vidare ett personregister föras for ett bestämt ändamål (se också 7 a § om innehållet i den förteckning som en register-

ansvarig skall ha över sina personregister).

3.1.2¶Utredningens tidigare överväganden

Utredningen har tidigare ansett (se avsnitt 8.3 i SOU 1990:61)

att det är olämpligt att ha kvar en koppling mellan begreppet

personregister och de ADB-tekniska registerbegreppen. Det begrepp som bör bilda utgångspunkt för i

integritetsskyddet

datalagen bör enligt utredningens mening så långt möjligt frikopplas från de tekniska registerbestämningarna. Begreppet personregister bör enligt utredningen - med hänsyn

till risken för en sammanblandning med de tekniska registerbegreppen - bestämmas på ett annat sätt än f.n. Av for

betydelse integritetsskyddet är begreppet personuppgift, dvs. upplysning

eller som avser enskild person. Utredningen anförde

uppgift

vidare (s. 143 ff) bl.a.:

I datalagen bör som grundläggande bestämning därför tas in en regel som tar sikte på ändamålet med inforrnationsbehandlingen, utan att beståmningen som nu direkt kopplas till förekomsten av register, förteckning eller andra anteckningar.

Om ändamålet med insamling eller lagring av personuppgifter, som kan tas fram eller bearbetas på elektronisk eller på annan automatisk väg, är att få uppgifter tillgängliga som kan identifiera en enskild person, skall datalagens integritetsskyddsbestämmelser vara tillämpliga och ett personregister anses föreligga, oavsett om uppgifterna finns lagrade i traditionella dataregister (filer) eller i databaser eller med någon annan teknik. Det innebär att exempelvis personuppgifter i såväl datoriserade klipparkiv som i ordbehandlingsprogram, vilka har sökfunktioner, kan anses som personregister, om tekniken används för att ta fram uppgifter om

enskilda. Det avgörande bör således vara i vilket syfte och på vilket sätt tekniken utnyttjas, inte de tekniska möjligheterna i sig.

Det närmare ändamålet med hanteringen av personuppgifterna och deras innehåll, dvs. personregister i datalagens nu föreslagna mening, blir sedan styrande för de krav som uppställs i fråga om anmälan till datainspektionen eller tillämpning av de olika föreskrifter som inspektionen kan ha meddelat (se avsnitt 8.6.1 och 8.6.2). En sådan mera rättslig definition av begreppet personregister leder också till att ett nytt register får anses föreligga om ändamålet med registret ändras eller utvidgas på ett sådant sätt att situationen

är att jämställa med att ett nytt register inrättas (jfr. KU 1985/86:25 s. 24 t).

En viktig fråga är naturligtvis hur ändamålet skall kunna ges en tillfredsställande utfomming i integritetsskyddshänseende. Det får, á ena sidan, inte bli så vitt att det kan rymma allehanda verksamheter. Det får exempelvis anses uteslutet att ett uppgivet ändamål från en registeransvarig anges enbart som samhällsplanering eller för att kravet på ett tydligt angivet ändamål skall

forskning

vara uppfyllt. A andra sidan får det inte utformas så snävt att varje förändring i informationsbehandlingen skulle behöva föranleda en ny anmälan e.d. Det är önskvärt att, i linje med vad som gäller redan enligt vissa av datains ektionens föreskrifter (DIFS 1989:2 och 1990:1) och som har erörts i konstitutionsutskottets nyss angivna betänkande, endast väsentliga förändringar av ett register behöver utlösa en sådan aktivitet hos den registeransvarige. Enligt utredningens mening förefaller en ändamålsbestämning lämplig som tar sin ut ångspunkt i den registeransvariges verksamhet sådan den ramgår exempelvis av en myndighets instruktion eller beskrivningen i en bolagsordning. Denna begränsning skulle utgöra den yttersta ramen inom vilken den registeransvarige skulle ha att närmare konkretisera ändamålet med en åsyftad automatisk insamling eller lagring av personuppgifter.

Med en utgångspunkt i en rättslig och ändamâlsrelaterad definition av personregisterbegrep

et bör man enligt utredningens mening också i viss mån bättre omma till rätta med avgränsningen gentemot manuell bearbetning. Om det avseende ett register som inrättas eller förs för ett visst ändamål och där bearbetningen i något led sker på elektronisk eller på arman automatisk väg förekommer manuella inslag (exempelvis manuell insamling av uppgifter som skall ingå i registret eller också att registret tillförs uppgifter på manuell väg), bör detta i princip inte ändra karaktären av personregister i datalagens Enligt

mening.

gällande rätt förstås med inrättande av personregister även insamling av uppgifter som skall ingå i registret. När det gäller övriga manuella inslag bör manuellt förda uppgifter, exempelvis bestämda sökord, som är en för den automatiska

förutsättning

bearbetningen, enligt utredningens mening framgent också omfattas av registerbegreppet. Vidare kan övervägas att låta manuella personuppgifter som tekniskt bearbetad data hänvisar till in å i begreppet, om det finns ett klart samband mellan de olika informationsdelarna. Slutligen bör, liksom f.n. givetvis dokumentationen av bearbetningen omfattas av registerbegreppet.

Remissyttrandena

När det gäller utredningens rörande överväganden person-

registerbegreppet yttrade sig följande remissinstanser: riks-

dagens ombudsmän, datainspektionen, riksförsäkringsverket,

riksskatteverket, juridiska fakultetsnämnden

bankinspektionen,

vid Stockholms universitet, Statskontoret, Svenska kommun-

förbundet, Landstingsförbundet och Swedish Direct Marketing

Association och Kommundata AB.

Riksförsäkringsverket, riksskatteverket, Svenska kommun-

och Kommundata AB synes i

förbundet, Landstingsförbundet allt väsentligt dela utredningens preliminära ståndpunkter.

De remissinstanserna var, som framgår av det följande,

övriga

mer eller mindre kritiska till redovisning i denna

utredningens

del.

ansåg det vara en riktig inriktning att söka

Datainspektionen

ett närmare till syftet med den

knyta personregisterbegrepp

automatiska behandlingen av och att det var en

personuppgifter

att försöka komma ifran risken för en

riktig målsättning förväxling av tekniska registerbegrepp med ett personregister-

i menade emellertid att det också

begrepp lagen. Inspektionen

var att de begreppen i lagen så nära

angeläget grundläggande

som anslöt till Inspektionen anförde

möjligt vanligt språkbruk.

därvid bl.a.:

Det är t.ex. främmande för vanligt språkbruk att använda registerbegreppet på textmassor som har lagrats på ADB-medium

personuppgifter. Tekniken har

i syfte att kunna t.ex. söka fram gått dithän att behandling av personuppgifter måste kunna regleras från oberoende av om de finns lagrade i integritetssynpunkt register eller e’. Aven om diet finns fördelar med att använda ett lagtekniska som ett samlingsbegrepp för personuppgifter som registerbegrepp hanteras för ett visst ändamål, anser DI mot bakgrund av det anförda, att utredningen bör undersöka möjligheterna att definiera på ett annorlunda sätt i syfte att registerbegreppet helt samlingen skall kunna utmönstras i en kommande datalag. hittills har redovisat om I fråga om det som utredningen (betänkandet sid. 142 ff) vill DI anföra

personregisterbegreppet

följande. DI är alltså tveksam till om just ett personregisterbegrepp bör användas för att ange en grundläggande bestämning av lagens tillämplighet. DI är dock enig med utredningen om det väsentligaste, nämligen att en sådan bestämning bör ges ett annorlunda innehåll än vad dagens personregisterbegrepp har enligt lagtexten. inriktning synes här vara riktig. Det bör vara syftet

Utredningens

eller avsikten med som avgör om

personuppgiftshanteringen_

datalagens skyddsregler skall vara tillämpliga. Ar syftet att samla in och lagra samt ta fram eller bearbeta personuppgifter med hjälp av automatik bör datalagen vara tillämplig, medan t.ex. användande av automatik endast för att underlätta tryckning av en textmassa inte bör omfattas även om den innehåller personuppgifter. Det är en grannlaga men viktig uppgift att dra denna gräns och att närmare beskriva den i lagförslag och motiv. Det synes vidare kunna vara ett riktigt betraktelsesätt att låta det närmare ändamålet med en informationsbehandling styra vad som skall anses vara den enhet eller det förfarande till vilket knyts föreskrifter och villkor, t.ex. en anmälningsplikt.

DI vill i detta sammanhang peka på en oklarhet i utredmngsförslaget. Utredningen föreslår (sid. 143 nederst) att datalagens integritetsskyddsbestämmelser skall vara tillämpliga om ändamålet med insamling eller lagring av personuppgifter, som kan tas fram eller bearbetas på elektronisk eller på annan automatisk

väg, är att få uppgifter tillgängliga som kan identifiera en enskild person. Konsekvensen av ett sådant synsätt blir att vissa av dagens personregister inom t.ex. områdena forskning oç_h statistik kommer att undantas från integritetsskyddsreglema. Andamålet med dessa register är nämligen sällan något annat än att registret skall utgöra underlag för att ta fram avidentifierade statistiska sammanställningar. DI finner det osannolikt att det har varit utredningens avsikt att datalagens tillämpningsområde bör avgränsas på ett sådant sätt...

En särskild fråga är i vad mån manuell hantering av personuppgifter i vissa fall skall anses omfattade av reglerna i en datalag, anses ingå i personregistret , även om lagen liksom för närvarande i princip begränsas till ADB-hantering. Här bör man hålla isär två skilda frågeställningar.

Den ena är om de endast manuellt lagrade personup gifterna skall anses ingå i ADB-hanteringen och därför om attas av reglerna i lagen, t.ex. Dls möjlighet att meddela generella föreskrifter eller villkor i det enskilda fallet. I den delen bör utredningen enligt DIs mening närmare överväga och klargöra i vad mån hantering av indata och utdata på papper samt manuellt förda handlingar av olika slag, t.ex. nyckelkoder, skall omfattas av datalagens regler. För att manuellt förda uppgifter skall träffas av regleringen bör det enligt Dls mening föreligga en mycket stark koppling till själva ADB-registret.

Den andra frågeställningen är huruvida det vid bedömandet av ett registers integritetskänslighet bör tas hänsyn också till personuppgifter som inte ingår i registret, därför att de förs manuellt, exempelvis därför att de innehåller mycket känsliga uppgifter som lättare blir tillgängliga genom ADB-registret.

Utredningen bör enligt DIs mening närmare utreda de gränsdragningsproblem som dessa frågeställningar ger upphov till.

Bankinspektionen anförde för sin del följande:

Bankinspektionen anser utredningens förslag vara en lösning i rätt riktning. Det synes emellertid enligt bankinspektionens uppfattning som nödvändigt att nännare analysera de konsekvenser det nya kan få om tillståndsförfarandet för

registerbegreppet

personregister samtidigt avskaffas. Bankinspektionen är tveksam till att personregisterbegreppet skulle få en sådan vidsträckt omfattning att även manuella personuppgifter som tekniskt bearbetad data hänvisar till, skulle ingå i begreppet (betänkandet s. 145). Bankinspektionen bedömer vidare att det kan uppstå svårigheter att avgöra om sambearbetningar av personregister i lagens mening sker med den föreslagna definitionen. Sammanfattningsvis förordas att en mer ingående analys görs av personregisterbegreppet och förslagets tänkbara praktiska konsekvenser.

Juridiska fakultetsnämnden vid Stockholms universitet ansåg att en grundligare erfordrades och menade att utred-

analys

ningen misstagit sig på vissa punkter:

När utredningen talar om de tekniska registerbegreppen och diskuterar riskerna för sammanblandning mellan tekniska och juridiska begrepp lägger man överdriven vikt vid den fysiska datalagringen (traditionella filer, databaser m.m.) och bortser från den brygga mellan teknik och juridik som den logiska dataorganisationen utgör. Man överbetonar sannolikt - framför allt från rättsteknisk synpunkt till skillnad från utbildningssynpunkt -de svårigheter lokutionen register, förteckning eller andra anteckningar ger upphov till. Utredningens (inte helt klart redovisade) förslag att inte direkt koppla ändamål till förekomsten av register, förteckning eller andra anteckningar (sid. 143) förefaller därför vara svagare underbyggt och utrett än man är medveten om. Konsekvenserna av att ge upp registerbegreppet (om nu detta är avsikten?) måste alltså betydligt mer å

analyseras

djupet. Skall datalagen också i fortsättningen vara en lag för databehandling måste man på något sätt markera att det är fråga om datasamlingar som låter sig systematiskt utnyttjas och bearbetas för att återfinna eller på andra sätt generera personanknuten information. Förhållanden till annan lagstiftning där registerbegreppet är aktuellt måste också ägnas tillräcklig uppmärksamhet med hänsyn till behovet av standardiserad rättslig terminologi inom datarätten (jfr. t.ex. TF 2 kapitlet, 7 § andra stycket, punkt 1).

Utredningen betonar, helt i enlighet med gällande rätt och gängse synsätt, ändamålets betydelse för avgränsningen av personregister och, överhuvudtaget skyddet av den personliga integriteten. Samtidigt är det svårt att förstå vad utredningen avser med sin föreslagna ändring av personregisterbegreppet, vilken skulle innebära starkare anknytning till ändamålet med registret (sid. 160, jfr. 142-145). Redan enligt gällande rätt definieras ju ett register av det därtill knutna ändamålet - inte (ensidigt) av den tekniska uppbyggnaden, struktureringen etc, av en viss datasamling. Ursprungligen, dvs. vid datalagens tillkomst var det med hänsyn till dåvarande databehandlingsmetoder naturligt att uppfatta tekniska åtgärder som avgörande för avgränsningen av ett register. Men inte ens då var detta synsätt avgörande: i lagförarbetena framhåller departementschefen att det kunde vara lämpligt att betrakta hela system av datafiler... som ett enda personregister (prop. 1973:33, sid. 119). Detta synsätt har sedan fullfölts och utvecklats i Det blir således inte klart vad utr ningen

praxis.

menar med sin föreslagna ändring av personregisterbegreppet.

Det exempel som ges är knappast hjälpsamt. Utredningen konstaterar nämligen att av vad som är ett register

bedömningen

för personligt bruk kommer att bli inte graden av användning eller anknytning till förvärvsverksamhet utan endast ändamålet med registret: Om således personuppgifter som används för personligt bruk även till en begränsad del skulle användas exempelvis för ett ändamål som faller inom ramen för ett anställningsförhâllande eller arman förvärvsverksamhet, innebär det senare syftet att reglerna för icke privata register blir tillämpliga. Men detta gäller ju även nu - redan i lagtexten i 2 § tredje stycket anges att undantaget förutsätter att det är fråga om personregister som enskild erson inrättar eller för uteslutande för personligt bruk. Oklarlieten blir inte mindre när utredningen längre fram konstaterar att registerförteckningar enligt 7 a § datalagen inte behöver omfatta de register som förs huvudsakligen för personligt bruk (sid. 192), kursiv tillagd).

Statskontoret uppgav att det hade samma uppfattning som

utredningen angáende de tillämpningssvårigheter nuvarande

personregisterbegrepp innebär och anförde:

Att i stället, som föreslås, utgå ifrån ändamålet med informationsbehandlingen, syftet och på vilket sätt tekniken används, kan vara en möjlig väg att komma ifrån nuvarande tillämpningssvårigheter. En nackdel med en sådan lösning är att ändamålet och kopplingen till den registeransvariges verksamhet - som den framgår i en instruktion eller bolagsordning - i sig själv innebär tolkningsproblem och svåröverskådlighet, då dessa begrepp inte är entydiga eller möjliga att förutbeståmma. Detta gäller även om begränsningen utgör den yttersta ramen inom vilken den registeransvarige har att närmare konkretisera ändamålet med en åsyftad bearbetning, insamling eller lagring av personuppgifter. Vi föreslår att man söker en annan lösning än den som utredningen angivet.

Riksdagens ombudsmän (JO Hans Ragnemalm) avstyrkte

förslaget till ny ändamálsinriktad definition av datalagens

personregisterbegrepp och uppgav:

Jag finner utredningens förslag i detta stycke behäftat med allvarliga brister, bl.a. risker från integritetsskyddssynpunkt.

För det första synes avgränsningen av olika registertyper enligt den ändamålsinriktade begreppsbestämnin gen kunna ge upphov till praktiska tillämpningsproblem, vilka kan befaras bli väl så svårhanterli ga som de i betänkandet angivna tillämpningssvårighetema avseende den nu gällande definitionen. För det andra - och det är den för mig centrala invändningen - torde risken öka betydligt för att register växer fram helt utanför datainspektionens kontroll, vilkas blotta existens innebär en potentiell fara för integritetsiritrâng. Den som lägger upp ett ADB-register med integritetskänsliga personuppgifter utan angivet ändamål att få tillgång till uppgifter, som kan identifiera enskild person, skulle enligt förslaget inte ens vara pliktig att anmäla förhållandet till datainspektionen, då det enligt definitionen inte vore fråga om ett personregister, detta även om de tekniska möjligheterna i sig” skulle medge framtagning av individrelaterade uppgifter. En sådan ordning ser jag mig föranlâten att bestämt avstyrka. Datalagens till ADB-begreppet kopplade definition av begreppet personregister har inte tillkommit utan tungt vägande skäl. Det sammanhänger med det förhållandet, att det är ianspråktagandet av ADB-

just

tekniken i samband med insamling och lagring av integritetskänsliga personuppgifter, som - på grund av de särskilda möjligheter som denna teknik erbjuder vad gäller lagring, bearbetning,

och distribution sammanställning av stor infonnationsmängder innebär dramatiskt ökade risker för integritetskränkningar. Jag anser, att de argument som lett till att datalagens personregisterbegrep kopplas till ett tekniskt ADB-begrepp har fortsatt bärkra t. Det kan i vart fall inte accepteras, att register inrymmande känsliga personuppgifter och med tekniska möjligheter att få fram sådana uppgifter på individnivå får etableras vid sidan av kontrollsystemet enligt datalagen, enbart på den grunden att registrets uppgivna syfte inte är att få sådana uppgifter tillgängliga.

Swedish Direct Marketing Association slutligen anförde för sin

del följande:

Organisationerna vill inte i och för sig motsätta sig en förslagen definition av registerbegreppet i vad gäller privata register och därmed tillämpligheten av datalagen, eftersom detta förhållandei sig är inte ägnat att förändra tillämpligheten av datalagen på personregister i någon större utsträckning.

Vad som däremot möjligen kan inge farhågor med ett ändamålsstyrt personregisterbegrepp är hur hanteringen av det närmare ändamålet med insamlingen, det vill säga orsaken till varför uppgifterna insamlats, kan komma att ske. Det är ju med utgångspunkt i detta ändamâlsbegrepp som lagen och eventuella föreskrifter kommer att göra skyddsregler mot otillbörligt integritetsintrång gällande. Organisationerna vill framhålla att det är viktigt att inte ett allt för snävt synsätt kommer att tillämpas av lagstiftaren och tillsynsmyndigheten. Det skulle vara ett slöseri med näringslivets resurser och effektivitet om inte en tämligen vid ändamålsbeståmning blev tillåten vid föranden av register så att inte varje liten förändring utlöser ett arbete med anmälningar och förhandlingar med tillsynsmyndigheten under påstående att ett nytt register skapats. Grundprincipen måste i detta fall vara att om ett företag i näringslivet har till ändamål att marknadsföra och sälja vissa produkter, detta ändamål kan anses nog preciserat. Sådana personregister som förs av företag - inom ramen för såväl datalagen som eventuella föreskrifter och branschnormer - skall kunna omfatta såväl nuvarande kunder som sådana rupper av människor som kan tänkas bli kunder i framtiden el er tillföras nya uppgifter från offentliga register till stöd för marknadsföring av befintliga eller nya produkter.

3. 1.4 Europarådskonventionen

I Europarádskonventionen (se avsnitt 7.1 i SOU 1990:61)

definieras (art. 2) personuppgift, automatiskt dataregister och automatisk behandling på följande sätt:

Personuppgift (personal data): varje information som är

hänförlig till en identifierad eller identifierbar individ (data-

subjekt/datasubject). Automatiskt dataregister (automated data file): varje mängd

(set) uppgifter (data) som är föremål för automatisk behandling. Automatisk behandling omfattar följande operationer, om de

helt eller delvis utförs på automatisk väg (by automated means): lagring av data, utförandet av logiska och/eller aritmetiska operationer med dessa data samt ändring, strykning, åter-

hämtning eller spridning av dem (alteration, erasure, retrieval

or dissemination).

3.1.5 Förslaget till EG-direktiv

I utkastet till EG-direktiv (se avsnitt 3 i SOU 1991:21) används

följande definition (art. 2) av personregister (personal data

file): varje mängd (set) av personuppgifter, oavsett om de är

centraliserade eller geografiskt utspridda, som är föremål för automatisk behandling eller som, även om de inte är föremål för automatisk behandling, är strukturerade och tillgängliga i en

organiserad samling i enlighet med vissa särskilda kriterier, på

sådant sätt att användningen eller kombinationen av dem underlättas (...structured and accessible in an organized collection according to specific criteria in such a way as to

facilitate their use or combination).

Med personuppgift (personal data) avses information varje

som är hänförlig till en identifierad eller identifierbar individ (datasubjekt/datasubject); en identifierbar individ är särskilt en individ som kan identifieras med hänvisning till ett identifika-

tionsnummer eller liknande identifieringsfaktor (identifiiing

particular). Med behandling (processing) förstås följande operationer,

oavsett om de utförs automatiskt eller inte:

anteckning, lagring

eller kombination av uppgifter, liksom i eller an-

ändring

vändning av eller kommunikation med dem, inklusive över-

föring (transmission), spridning (dissemination), återhämtning (retrieval), innehållande (blocking) eller (erasure).

strykning

I kommentaren till dessa definitioner sägs bl.a.: Begreppen har hämtats från Europarådskonventionen men har ändrats och förtydligats för att ge en tillräcklig skyddsnivå inom Gemen-

skapen... Personuppgift. Liksom i (Europarådskonventionen)

har en vid definition använts för att täcka all information som kan kopplas till en enskild. Beroende användningen kan

på varje

enskild uppgift som är till en enskild, även om den

hänförlig

verkar oskadlig, vara enbart en postadress). känslig (exempelvis

I syfte att undvika att fall där indirekt det

identifiering gör

möjligt att kringgå definitionen, anges att en identifierbar individ är en individ som kan identifieras med till ett

hänvisning nummer eller en liknande identifieringsfaktor (identifying

particular)... Personregister. Bestämningen utgår från tillgänglighetskriteriet, antingen genom manuell hantering i de

fall registret består av en strukturerade eller

samling uppgifter,

genom automatisk behandling som tillåter av

sammanställning spridda uppgifter (grouping together of disseminated data) eller utdrag (extraction) av uppgifter från en text med

fullständig

användning av en metod som motsvarar den som finns i ett register. Begreppet täcker därför strukturerade automatiska och manuella register. Individuella register, och särskilt administrativa register, som inte innehåller en strukturerad samling personuppgifter omfattas inte på grund av de särskilda och skilda lagarna som dem i medlemsstaterna... Behand-

reglerar

ling. Genom att räkna upp de huvudsakliga

behandlingsopera-

tionerna har det begrepp som finns i

Europarådskonventionen

anpassats för att passa den vidare omfattningen av register-

begreppet. Operationer som kombinerar uppgifter omfattas,

eftersom de gör det möjligt att framställa

nya uppgifter (exempelvis elektroniska profiler (electronic pr0jiles). Hänvisningen

till innehållande (blocking) avser som är med

uppgifter spärrade

användning av säkerhetsmetoder som är än vad som

strängare

normalt används men som inte innebär

3.1.6 för en av

överväganden bestämning begreppet

personregister (persondatamängd)

Allmänna utgångspunkter

Register, ADB, ändamål och personuppgift

Det nuvarande personregisterbegreppet innefattar tre rekvisit

som var för sig är nödvändiga för en avgränsning av begreppet, nämligen register, automatisk databehandling och personupp-

gift. Härtill kommer att varje register skall föras för ett bestämt ändamål.

Begreppet register innefattar ett krav på att de uppgifter som

avses är ordnade i en eller annat sätt strukturera-

förteckning på

de. Vissa av de s.k. applikationsprogram som förekommer vid

datoranvändning avser just registerhantering, dvs. gör det

möjligt för användaren att registrera, söka, sortera och skriva ut framtagen information (se avsnitt 2.3.1).

I fråga om begreppet automatisk (ADB) har

databehandling

utredningen i ett tidigare betänkande funnit att det med

hänsyn

till den tekniska utvecklingen är svårt att finna en klar och entydig definition av begreppet. Å andra sidan har

utredningen

funnit att de tekniska begreppsförhållandena inte i behöver

sig

leda till tillämpningssvårigheter, under att person-

förutsättning

registerbegreppet som sådant kan ges en tillfredsställande

utformning (se avsnitt 8.2 i SOU 1990:61).

Möjligheterna att pá automatisk väg lagra data (uppgifter),

liksom att utföra logiska och/eller aritmetiska med

operationer

dessa data samt ändra, stryka, återfinna eller sprida dem, ökar

ständigt genom den informationsteknologiska utveckling som

pågår. I föreliggande betänkande avsnitt den

kompletteras (se 2)

beskrivning av den datatekniska utveckling som lämnats i ett

tidigare betänkande (avsnitt 6 i SOU 1990:61). Av särskild betydelse för personregisterbegreppet och

begreppet ADB är den snabba utbyggnaden av olika kommuni-

kationsmöjligheter. Här bör särskilt nämnas de elektroniska postsystemen. Tekniken tillåter i dag överföring av texter, brev och så småningom bilder mellan olika datorer. En del system kan endast användas inom lokala datanät, medan andra kopplar samman stordatorer och ger systemet en global täckning.

Andra meddelandesystem som är stadda i snabb utveckling är telefaxutrustningar anslutna till datorer, EDI (Electronic Data Interchange, dvs. elektroniskt utbyte av data mellan olika

datasystem) och olika mobila system för meddelandeöverföring (Mobitex, mobila personsökare och minicall).

Slutligen bör framhållas de möjligheter som den optiska lagringstekniken, då speciellt CD-ROM (Compact Disc Read Only Memory), ger när det gäller att lagra stora mängder

information. Tekniken möjliggör en massdistribution av data. För närvarande finns på CD-ROM manualer, instruktions-

böcker, reservdelskatalo ger, företagsinformationsdatabaser,telefonkataloger, uppslagsverk, juridisk och medicinsk information,

biblioteksinformation samt ordböcker och lexika. Utgivningen av titlar har fördubblats varje år sedan år 1987. Det kan förutses att tekniken kommer att användas också för att distri-

buera datorprogram. Program för datorer kan lagras på CD-

ROM och därmed spridas effektivare än f.n.

Ett genomgående drag i den tekniska utvecklingen på informa-

tionsområdet är integration. Internationella digitala telenät kan till synes obegränsat kombinera kommunikation av data, text, ljud och bild. Kommunikation sker vidare mellan olika databaser samt med databaser och uppgifter som hämtas från andra

än elektroniska system, exempelvis optiska lagringsmedia. Även

relativt enkla system blir alltmer integrerade, också på ett internationellt plan, och ger tillgång till mycket stora informationsmängder för användaren. Via vanliga kontorsinformations-

system och persondatorer är det möjligt att rutinmässigt

kombinera 0rd- och textbehandling med elektronisk post samt

urvalssökning och sammanställning i databaser och optiska lagringsmedia. Genom integrationen förekommer automatisk

databehandling i olika grad, beroende på vilka delkomponenter

som ingår i systemen.

Varje försök att avgränsa ett rättsligt begrepp som person-

register med hänsyn till förekomsten av tekniska rekvisit är

dömt att misslyckas redan med hänsyn till den utvecklingstakt som informationsteknologin nu uppvisar. Ähdamálet är centralt för personregisterbegreppet. Ändamålet

med ett register, som gäller upplysning eller uppgift som avser

enskild person (personuppgift), anger på olika sätt dess tillåtna

användningsområde enligt nuvarande bestämmelser (se bl.a. 3, 5, 7 och 7a §§ datalagen).

I sin av personregisterbegreppet (se avsnitt

tidigare behandling 3.1.2) har utredningen framför allt berört två aspekter: dels att begreppet bör göras oberoende av förefmtliga tekniska registerbegrepp, dels att ändamålet med informationshanteringen bör vara av avgörande betydelse.

Utredningens hittillsvarande överväganden har kritiserats av flera remissinstanser. Kritiken har huvudsakligen avsett att

varit otydligt eller motsägelsefullt och utredningens resonemang att inte varit nog grundlig. Särskilt juridiska fakultets-

analysen

nämnden vid Stockholms universitet har i sitt uppehållit

yttrande

sig vid personregisterbegreppet.

Enighet förefaller att råda i frågan om att det rent ADBtekniska (att ett register, file, består av en

registerbegreppet mängd lagrade sammanhängande poster som behandlas som en enhet i inte ensamt bör vara Som påpekas i

datorn) styrande.

bl.a. från juridiska fakultetsnämnden vid Stockholms

yttrandet universitet kan dock inte bortses från den betydelse som uppgiftssamlingars och struktur i en logisk dataorgani-

uppbyggnad

sation har. Datasamlingar som inte låter sig systematiskt utnyttjas och bearbetas for att återfinna eller på andra sätt ta fram personanknuten information bör således helt falla utanför begreppet personregister.

På motsvarande sätt bör inte informationshantering omfattas som inte till någon del är föremål för automatisk, dvs. icke manuell, databehandling. Frågan i vilken utsträckning manuell behandling skall omfattas av behandlar

integritetsskyddet

utredningen i ett särskilt avsnitt nedan.

Den automatiska databehandlingen innebär att en viss data-

kan struktureras och sammanställas så att register eller mängd förteckning i egentlig mening uppstår. ADB-begreppet med sitt krav att lagrade uppgifter på automatisk väg kan göras till

på föremål för vissa logiska och/eller aritmetiska operationer innefattar således i sig ett slags bestämning av begreppet register.

Vad som skiljer hanteringen av en viss informationsmängd med ADB från en manuell sammanställning och strukturering av i eller andra förteckningar är givetvis de

uppgifter register

till lagring, bearbetning, sammanutvidgade möjligheterna ställning och spridning av en datamängd som tekniken medger. Som JO är ADB-tekniken som sådan som

påpekat det genom riskerna för dramatiskt ökar. Riskerna

integritetskränkningar

med en ADB-hantering av personuppgifter finns således,

oberoende av huruvida ett register i traditionell

betydelse

föreligger. Den tekniska utvecklingen och ADB-begreppet, sådant det vanligen förstås, kan således sägas ha register gjort begreppet

föråldrat. En fortsatt användning av begreppet när det gäller integritetsskydd på ADB-området kan snarare bidra till att oklarhet uppstår, bl.a. därigenom att det, som nämnts, kan förväxlas med ett rent ADB-tekniskt registerbegrepp (se ovan).

Mot denna bakgrund föreslår utredningen att begreppet

personregister helt utmönstras och ersätts med persondata-

mängd. Termen persondatamängd, dvs. en samling

personuppgifter, förutsätter inte att uppgifterna är ordnade som i ett register eller fofteckning. Det kan t.ex. vara fråga om person-

uppgifter i en löpande text. till en viss logisk

Återkopplingen

uppbyggnad av och struktur på uppgifterna finns, som redan framgått, i kravet på att databehandlingen skall vara automatisk,

dvs. ske med ADB-teknik. Resonemanget förutsätter givetvis att datalagen även för framtiden bara skall avse användning av sådan teknik. Den slutsats som i denna del redovisas i det första betänkandet (SOU 1990:61 avsnitt 8.2) har utredningen inte funnit skäl att revidera.

Skyddsforemålet kan emellertid inte avse en obestämd mängd information som innefattar Den

personuppgifter. nödvändiga

avgränsningen bör göras med hänsyn till det ändamål som

uppgifterna hänför sig till. Begreppet ändamål är grundläggande for

integritetsskyddet

enligt nuvarande ordning. I utredningens direktiv anges också att det kan behövas eller för att

förtydliganden kompletteringar

ge detta centrala begrepp en mera konkret betydelse.

Det bör därför anges att de uppgifter som skyddas enligt datalagen är en datamängd bestående av en

samling personuppgifter som hänförs till ett visst ändamål. Det innebär att om ett ändamål ändras kan en ny i datalagens mening

persondatamängd

föreligga, även om informationen är densamma. Ändamålsangivning bör ske med tillräcklig precision. Det är inte till-

räckligt att, som utredningen tidigare framhållit, enbart hänvisa

till exempelvis eller för att ett

samhällsplanering forskning

tydligt angivet ändamål skall anses föreligga.

I förslaget till EG-direktiv likaså betydelsen av en

understryks

konkret ändamålsangivning. Inom såväl den som

offentliga

privata sektorn bör uppgifter få lagras endast om det är för

specificerade, uttryckliga och lagliga ändamål. I kommentaren

till direktiven på denna punkt framhålls att ändamålet måste definieras och anges så snävt som möjligt. En allmän eller vag

beskrivning (exempelvis att uppgifterna behövs för affärs-

ändamål) är inte tillräcklig. Ändamålet skall anges innan upp-

gifterna lagras och vara uttryckligt. Därmed avses att det inte

får föreligga dolda användningsändamål. Ett ändamål är dolt,

om uppgifterna används för annat än det uppgivna ändamålet.

Ändringar i persondatamängdens innehåll och användning är

godtagbara endast om de ligger inom ramen för ändamålet.

I fråga om begreppet personuppgzfl, som nu anges som upp-

lysning som avser enskild person, bör slutligen den ändringen göras, att bestämningen bättre knyter an till den definition som

ges i Europarådets dataskyddskonvention (jfr även utkastet till

EG-direktiv på denna punkt):

personuppgift är upplysning som ensam eller tillsammans

varje

med andra upplysningar år hänförlig till en identifierad eller

identiñerbar enskild person.

Härigenom anges uttryckligen att det skall vara frågan om en

till en viss bestämd person. Liksom f.n. bör inte

anknytning

juridiska personer omfattas.

Vad som har sagts i det föregående innebär att, förutom

begreppet personuppgift, begreppen ADB och ändamål är

väsentliga för att avgränsa personregisterbegreppet, dvs. begreppet persondatamängd med den föreslagna terminologin.

Emellertid är det inte tillräckligt att bestämma dessa rekvisit. Den informationstekniska utvecklingen leder till att ställning också måste tas till om redan en teknisk möjlighet att strukturera en viss datamängd skall vara nog för att en i

persondatamängd

nu angiven mening skall anses föreligga, eller om begreppet

skall kvalificeras genom att användarens syfie med en viss

informationshantering också beaktas. Frågan om betydelsen av

och de tekniska behandlas i de två

syftet möjligheterna följande

avsnitten.

Det är svårt att finna någon annan naturlig kvalificeringsfaktor

än syftet med informationshanteringen. Något alternativ till att

antingen ha en definition som ytterst styrs av teknisk möjlighet eller låta begreppet begränsas med ledning av avsikten har utredningen inte kunnat finna. Det bör, som framgått, inte komma i fråga att låta enbart slaget av

informationssystem,

datorutrustning eller program vara styrande i detta hänseende. Det vore ett steg tillbaka som snabbt skulle låsa tillämpningen vid en föråldrad teknik. Det är informationen och användningen av den som bör stå i förgrunden.

En avgränsning med hänsyn till syftet att utnyttja de tekniska möjligheterna

Av grundläggande betydelse för en avgränsning av begreppet personregister, eller med utredningens föreslagna terminologi persondatamängd, är som nämnts huruvida begreppet skall omfatta alla de möjligheter till framtagning av personuppgifter som ett visst tekniskt system erbjuder eller om begränsningar skall föreskrivas i denna del. JO förefaller i sitt yttrande närmast förorda att redan möjligheten att ta fram individrelaterade uppgifter i sig skulle konstituera ett personregister (persondatamängd).

Utredningen har i sina tidigare överväganden hittills närmast utgått frän att enbart den teoretiska och tekniska möjligheten inte bör vara tillräcklig för att ett personregister (persondatamängd) skall anses föreligga, utan att i linje med nuvarande praxis syftet med en informationshantering som kopplas till ADB-teknik och därmed användningen av visst system bör kvalificera begreppet.

När utredningen i det tidigare betänkandet (SOU 1990:61) betonat betydelsen av ändamålet med informationshanteringen har avsetts att de tekniska

just syftet utnyttja möjligheterna, nämligen att ur en datasamling systematiskt söka, ta ut eller sammanställa personuppgifter, dvs. uppgifter som kan hänföras till en enskild person, oberoende av på vilket tekniskt sätt dessa data är lagrade. De nuvarande termerna register, förteckningar och andra anteckningar i lagtexten har därvid som tidigare har berörts tolkats som begränsade till en viss användning av ADBteknik.

Det särskilda ändamål som persondatamängden kan ha i en viss verksamhet, dvs. vilken närmare användning den registeransvarige ásyftar med personuppgifterna, får sedan som angetts i föregående avsnitt betydelse för avgränsningen i fråga om olika personregister, t.ex. om en ändring av ändamålet i ett hänseende är sådan att exempelvis ett nytt register skall anses ha uppkommit. Denna bedömning är således möjligt först sedan den grundläggande prövningen gjorts av huruvida en elektronisk eller annan automatisk behandling av information skall anses vara sådan, att persondatamängd över huvud taget kan anses föreligga.

Med denna utgångspunkt skulle, som framgått, personuppgifter som kunde tas fram genom sökning i ett fritextsystem i de vanliga ordbehandlingsprogrammen i exempelvis persondatorer omfattas av persondatamängden, förutsatt att den

registeransvarige avsdg att använda söksystemet för just detta

ändamål. Vid bedömningen av huruvida ett sådant syfte föreligger måste flera faktorer beaktas, såsom vem som är registeransvarig, verksamhetens karaktär 0.d. Blotta förekomsten av även av känsligt slag, i ett automatiskt

personuppgifter,

system bör således inte anses tillräckligt för att begreppet

persondatamängd, skall anses föreligga.

Nackdelen med att föra in syftet med en viss informationshantering for att kvalificera begreppet är, förutom den samman-

som kan ske med ändamålsbegreppet, framför allt att

blandning

begränsningen blir beroende av en bedömning av användarens avsikter. Detta leder till att och bevisfrågor kan

gränsdragnings-

få alltför stor betydelse och försvåra den praktiska tillämp-

Det är inte tillräckligt att konstatera att ett visst

ningen. informationssystem som används medger strukturering av personuppgifter, utan den ansvariges uppgivna och faktiska

användning måste närmare undersökas. Syftet har i praxis fått bl.a. den att de som lagras vid

betydelsen personuppgifter

exempelvis framställning av tryckt text inte anses vara personregister, så länge avsikten är att de inte skall kunna återsökas, oberoende av om ätersökning är möjlig eller inte. (Frågan om

i samband med framställning av skrift

personregistrering tryckt

har utredningen utförligt behandlat i avsnitt 5 i SOU 1991:21).

Behovet att informationsinnehället i ett ADB-system

avgränsa

vid av har vissa

bestämningen begreppet persondatamängd, beröringspunkter med de bedömningar som gjorts vid beav handlingsbegreppet i när

handling tryckfrihetsförordningen

det gäller ADB-information. Det gäller närmast den enskildes rätt att få del av potentiella handlingar hos myndigheter, dvs. alla de konstellationer av sammanhängande uppgifter som är

möjliga att göra med vissa ADB-program. I en nyligen som

vilande i har vissa

antagen ändring tryckfrihetsförordningen

preciseringar gjorts i denna del (se prop. 1990/91:60, KUll,

rskr. 160). Rätten att ta del av begränsas till

ADB-upptagningar

att avse de handlingar som kan framställa med

myndigheten

datorutrustning som själv Det skall

myndigheten utnyttjar.

således inte vara för den enskilde att ställa datorkapaci-

möjligt

tet eller till en förfogande och begära

datorprogram myndighets bearbetningar med hjälp härav under åberopande av offentlig-

Vidare skall alltjämt for en myndig-

hetsprincipen. skyldigheten

het att lämna ut ett urval eller en sammanställning av uppgifter begränsas till vad som faller inom ramen för rutinbetonade

åtgärder, även om urvalet eller sammanställningarna är nya.

Härmed avses att det endast skall behövas en enkel arbetsinsats i form av t.ex. programarbete hos myndigheten för att göra

urvalet eller sammanställningen och att detta extraarbete kan ske utan nämnvärda kostnader eller andra komplikationer. De tekniska möjligheterna att ta fram och samman-

göra ställningar över personuppgifter är i det nuvarande utvecklingsperspektivet närmast obegränsade.

Ett exempel kan illustrera detta. Ett företag har ett vanligt som i ett

kontorsinformationssystem

lokalt nätverk innehåller olika av funktioner såsom

slag ordbehandling, elektronisk post, registerprogram och

system med s.k. fri textsökning. Det lokala nätverket är i sin tur uppkopplingsbart till andra systern inom den koncern som företaget tillhör, såväl inom som utom landets finns

gränser. Tillgång

också till ett antal inhemska och utländska databaser. För en användare av systemet är det möjligt att ta fram och

skapa sammanställningar av olika personuppgifter. Kombinationsmöjligheterna är därvid nära nog oändliga.

Med hänsyn till den - och därmed de

informationsmängd

integritetsrisker - som föreligger kan användarens eller an-

vändarnas lämnade att informationen inte skall

avsiktsförklaring

användas för att ta fram en viss te som ett

persondatamängd sig bräckligt skydd mot Motsvarande integritetsintrång. synpunkter

gör sig gällande i fråga om de tekniskt avancerade men lätthanterliga elektroniska som det

anteckningsböcker gör

möjligt för envar att lagra och sammanställa stora

mängder personuppgifter.

Utvecklingen inom området for elektronisk har också post uppmärksammats i samband med dess inom

användning

förvaltningen. En svårighet är att hålla i sär olika

handlingar

med olika status, dvs. hur man skall emellan minnes-

skilja

anteckningar m.m. och allmänna samt mellan

handlingar

offentliga och En annan är

sekretessbelagda handlingar. fråga

när ett elektroniskt meddelande skall anses ha kommit in till en myndighet. I har införts en särskild bestämmelse om de

tullagen

närmare kriterierna för elektroniska dokument

(prop.

1989/90:40, SkU19, rskr. 188, SFS 1990:138). Konstitutionsutskottet har framhållit att bör få en

regleringen generell lösning

(l989/90:KU2). Med hänvisning härtill har regeringen med

instärnmande av utskottet ansett att bör tas av

frågan upp

datalagsutredningen inom ramen för den nu

pågående översynen

av 1990/91:60 s. 39 och KUll s.

datalagen (prop. 9).

En med till enbart teknisk

bestämning hänsyn möjlighet

Ett alternativ till av

bestämning personregisterbegreppet

(persondatamängd) på det sätt som angetts i föregående avsnitt

skulle vara att inte begränsa begreppet till fall, där personupp-

gifter genom ADB-teknik görs tillgängliga genom systematiska

uttag, sökningar eller sammanställningar eller avses bli tillgängliga på det sättet, utan låta enbart förekomsten av de nu nämnda tekniska möjligheterna vara tillräcklig. Fördelen med en sådan ordning skulle vara att behovet att undersöka användningen eller syftet med användningen av vissa informa-

inte uppstår. Det skulle räcka att konstatera att ett

tionssystem

informationstekniskt system fanns som i sig gjorde strukturering av personuppgifter möjlig, oberoende av om detta var

åsyftat

eller inte.

Vad som enligt utredningens mening med betydande styrka

talar för att låta den tekniska möjligheten enbart vara utgångs-

punkt för en begreppsbestämning är den tekniska utvecklingen i sig och antagandet att användning och teknisk möjlighet i

många fall sammanfaller. Om det är möjligt att genom auto-

matisk behandling göra personuppgifter tillgängliga i vissa

informationssystem finns det, med hänsyn till de nuvarande och framtida informationssystemens utbredning, en beaktansvärd

risk att systematiska uttag, sökningar eller sammanställningar av

personuppgifter också verkligen sker, även om systemen är

tänkta för andra ändamål. I exemplet med kontorsinformationssystemet i föregående avsnitt kan det antas att det - i vart fall

tiden över förekommer att sammanställningar av personuppgifter görs, utan att det från början varit avsett.

Det förefaller närmast som om också utkastet till EG-direktiv

på denna punkt, med betoningen i kommentaren av tillgänglig-

hetskriteriet, anger att den tekniska möjligheten bör vara

avgörande för personregisterbegreppets avgränsning. Orda-

i utkastet till artikeln i är dock inte (se

lydelsen fråga entydig

avsnitt 3.1.5). Om möjligheten att göra personuppgifter till föremål för

automatisk databehandling skall anses tillräcklig för att ett

personregister (persondatamängd) skall föreligga, begränsas

visserligen tillämpningsproblemen när det gäller att bestämma

olika användares avsikter med informationshantering. Å andra sidan måste en yttersta gräns också anges för den tekniska möjligheten som sådan. Det måste föreligga en reell möjlighet att ta fram personuppgifter på automatisk väg, varvid ett givet informationssystem betraktas som en helhet.

Även i ett som används

kontorsinformationssystem exempelvis

för personaladministrativa ändamål finns som regel funktioner

som vida överstiger den vanliga användningen. I många fall

finns dock kanske inte kunskap hos dem som rutinmässigt använder systemet om var gränserna för datorprogrammen och

systemets funktioner går. (Jfr vad som angetts i föregående avsnitt om en myndighets skyldighet att lämna ut urval eller

sammanställning av uppgifter med hänvisning till handlings-

offentligheten endast inom ramen för rutinbetonade åtgärder).

När de tekniska möjligheterna i nu angiven mening bedöms

bör utgångspunkten emellertid vara vad man i ett visst system enligt tillgängliga manualer eller annan information kan utföra utan att for den skull utnyttja någon extraordinär expertis. Det innebär således en mera objektiv måttstock som inte enbart utgår från de resurser som kan finnas för tillfället hos en användare. Som regel bör det således vara så, att okunnighet i sig inte behöver av vad som skall anses

påverka bedömningen

omfatta den tekniska möjligheten och därmed avgränsningen av

begreppet persondatamängd. Frågan om en användares kunskap och förutsättningar i ett

visst fall får däremot en särskild vid en straffrättslig

betydelse

bedömning av uppsåt och vårdslöshet (se avsnitt 5). Det innebär att okunnighet om de tekniska möjligheterna hos användaren kan medföra att straffrättsligt ansvar inte bör komma ifråga.

Mot bakgrund av vad som nu sagts om hur teknisk möjlighet bör bedömas följer vidare att om ett datoriserat informations-

system, exempelvis ett enkelt ordbehandlingsprogram, saknar

sökfunktion men kan tillföras sådan, föreligger den tekniska möjligheten att ta fram personuppgifter först sedan förut-

sättningarna att söka på personuppgift i praktiken

föreligger.

Huruvida det skulle vara tekniskt och ekonomiskt enkelt att tillföra funktionen bör i inte tillmätas

princip betydelse.

Motsvarande bör gälla möjligheten att ta fram information, t.ex. genom kommunikation med databaser eller bearbetning av optiskt lagrade media. Först sedan kommunikation eller

bearbetning verkligen går att bör teknisk genomföra möjlighet

i nu angivet hänseende anses Förhållandena bör

föreligga.

således vara möjliga att och objektivt konstatera för

fysiskt exempelvis tillsynsmyndigheten. Omfattningen av bearbetnings-

möjligheterna är emellertid utan En viss

betydelse. persondata-

mängd består av alla de som är tekniskt

bearbetningar möjliga

att genomföra vid en given och som faller inom ramen

tidpunkt

för ett visst givet ändamål.

Den omständigheten att begreppet ges en relativt vidsträckt

avgränsning hindrar givetvis inte att begränsningar

ytterligare

i enskilda fall skulle kunna föreskrivas i villkor från

datainspek-

tion vad avser tillåtna o.d.

sökbegrepp

Kravet på att information kan till föremål för en auto-

göras

matisk personuppgifter blir till-

databehandling, varigenom

gängliga genom systematiska uttag, sökningar eller samman-

ställningar, reser speciella frågor rörande delkomponenter som

optiska lagringsmedia, dvs. främst CD-ROM, som kan ingå i ett

integrerat system. CD-ROM gör det möjligt att lagra stora mängder information,

inklusive personuppgifter. Sökning av information sker med

av sökprogram som temporärt lagras i en dator så länge

hjälp

en viss skiva används. Innehållet på skivan kan naturligtvis också överföras till och lagras direkt i en dator. Informationen på skivan är dock inte möjlig att ändra. En ändring av innehållet kan emellertid ske efter bearbetning i en dator, om det lagras på ett annat minne. Likheten mellan CD-ROM och en databas är stor. CD-ROM har dock fördelar genom sin kapacitet och den snabbhet med vilken informationen kan avläsas. Det är också mer ekonomiskt fördelaktigt att använda sig av informationen på CD-ROM än sökning i en databas som endast kan nås via telenätet och som det är att ha on-line. CD-ROM har

dyrt

även betydligt längre hållbarhet än disketter och hårddiskar.

Redan CD-ROM som sådan jämte det sökprogram som hör till skulle omfattas av en definition som enligt vad som redovisats ovan tog sikte på teknisk möjlighet, under förutsättning att

personuppgifter förekom lagrade på skivan.

För närvarande används CD-ROM för att lagra bl.a. biblioteksinformation samt ordböcker och lexika. I detta material kan

naturligtvis personuppgifter ingå. Motsvarande gäller databaser

med samma innehåll. Enligt utredningens mening skulle det emellertid föra för långt att låta det nya personregisterbegreppet (persondatamängd) omfatta personuppgifter som enbart förekommer som biblioteksinformation eller i form av lexikaliska

uppgifter. Det får förutsättas att tillgång till personuppgifter av

detta slag, även med användning av avancerad sökteknik, inte innebär någon ur integritetsskyddssynvinkel beaktansvärd risk. (Jfr den s.k. biblioteksregeln i 2 kap. ll § TF, prop.

l990/9l:60, KUll, rskr 160.)

Om användningen av ett system tillåter att användaren får del av uppgifter av en sådan referenskaraktär, oavsett om de förekommer lagrade på CD-ROM eller i en databas, men systemet inte möjliggör sambearbetning med andra personuppgifter, bör de undantas från bestämningen av det nya person-

registerbegreppet (persondatamängd).

I den mån användningen av CD-ROM eller databas med det innehåll som nu har nämnts integreras i ett system som gör det

möjligt att göra sökningar och sammanställningar med andra

personuppgifter, bör undantaget således inte gälla. Det innebär

exempelvis att, om informationen som hämtas från CD-ROM eller en databas med innehåll som nu har nämnts överförs och

lagras på en dator, vilken i sin tur kan kopplas till

andra systern

som innehåller personuppgifter, undantaget upphör att gälla.

Härmed markeras att det inte är den tekniska bäraren av viss information (exempelvis CD-ROM) som är undantagen, utan den tekniska möjligheten till strukrurering av viss information som är föremål för reglering.

En sådan vid bestämning som enbart möjligheten till strukturering utgör utan krav på avsikt att är ytter-

skapa register 0.d, ligare ett stöd för att utmönstra personregisterbegreppet och använda termen persondatamängd som utredningen föreslagit

ovan.

Det bör inte komma i fråga att låta kontroll och

tillsyn

omfatta alla personuppgifter med samma noggrannhet. En

rimlig avvägning måste som framgått göras, så att hänsyn även

kan tas till den skillnad i systemutnyttjande som finns mellan olika ADB-användare. Utredningens till en

förslag skärpt tillsyn

(se SOU 1990:61) bygger också på att kontrollen och

tillsynen

koncentreras till vissa känsliga datamängder. De konsekvenser

som det föreslagna personregisterbegreppet får på utredningens

förslag i övrigt, effekterna när det gäller att lämna

skyldigheten

underrättelse till den registrerade och att redovisa omfattningen

av olika persondatamängder samt sambearbetning behandlas

nedan.

Sammantaget föreslår utredningen att föremålet för reglering

av ADB-information och begreppet persondatamängd i en framtida datalag ges följande definition:

“En persondatamängd är en samling personuppgifter som hänförs till ett visst ändamål och som kan bli tillgängliga genom systematiska uttag, sökningar eller sammanställningar vid en automatisk

databehandling.

Som persondatamängd anses inte personuppgifter som ingår i sådana uppgiftssamlingar som lagrade uppslagsverk, ordböcker eller liknande referensmaterial.

Avgränsning mot manuell bearbetning

Enligt gällande rätt förstås med inrättande av personregister även insamling av uppgifter som skall ingå i registret (2 § sista

stycket datalagen).

Utredningen har i det första betänkandet ansett att även framgent manuellt insamlade personuppgifter som skall tillföras

- personregistret skall avses ingå i det. Vidare ansåg utredningen

. att manuellt förda uppgifter, exempelvis bestämda sökord, som .är en förutsättning för den automatiska bearbetningen bör v.

omfattas av registerbegreppet. Utredningen pekade också på att

.«.\.,‘., det kunde att låta manuella som

övervägas personuppgifter

‘3luV:—-.79r~:A—.»«.,

tekniskt bearbetad data hänvisade till ingå, om det fanns ett klart samband mellan de olika informationsdelarna. Slutligen borde, liksom f.n. dokumentationen av bearbetningen omfattas

av registerbegreppet. I sitt remissyttrande har datainspektionen, som framgått,

menat att frågan om manuell hantering reser två skilda fråge-

ställningar. Den ena frågan är om manuellt lagrade personuppgifter skall omfattas av datalagens regler. Inspektionen förordar här att så

sker, endast om det föreligger en mycket stark koppling till

själva ADB-registret.

Den andra frågan är huruvida det vid en bedömning av ett

registers känslighet skall tas hänsyn också till uppgifter som inte

ingår i registret, men som blir lättare tillgängliga genom ADB-

registret.

Frågan om inrättande av personregister får en annan

betydelse om bestämningen av personregister skall ske redan

genom att den tekniska möjligheten att på ADB-väg söka och sammanställa uppgifterna finns. Inrättandet blir därmed inte lika klart fixerat som enligt nuvarande ordning.

I vilken omfattning integritetsskyddsreglerna bör innefatta

också manuella uppgifter bör, som inspektionen framhållit, ses

i ljuset av dels hur nära knutna de är till ADB-hanteringen, dels

vilket slag av uppgifter det är fråga om. Utredningen har som

framgått av det tidigare betänkandet avvisat tanken på att generellt låta integritetsskyddet omfatta manuella uppgifter. (Utkastet till EG-direktiv går här i en annan riktning, se avsnitt

2 i SOU 1991:21).

En grundförutsättning för frågan i vilken utsträckning som manuella uppgifter bör ingå i begreppet persondatamängd bör

vara att den registeransvarige har möjlighet att använda och kontrollera såväl de manuella uppgifterna som ADB-materialet.

Vid bedömning av i vilken utsträckning manuella uppgifter

bör omfattas av begreppet persondatamängd kan särskilda

fyra

fall urskiljas:

I Manuellt insamlade som skall till föremål

uppgifter göras

för ADB

I dvs. närmast för ADB i läsbar

Dokumentation, upptagning

form

I Manuellt förda sökord eller index till ett

ADB-lagrat

material

I Manuella till vilka ADB-förda sökord eller index

uppgifter

finns.

De två första fallen bör liksom f.n. omfattas. Tillämpningen av dessa fall reser som regel inte heller några svårigheter.

De manuella uppgifterna i det tredje fallet, dvs. att orientering

i och framtagning av ett ADB-lagrat material sker genom ett manuellt fört index, anses i praxis omfattas av det nuvarande

personregisterbegreppet. Tyngdpunkten ligger i det fallet i

_ADB-materialet och sambandet med de manuella uppgifterna är så påtagligt, att uppgifterna också bör bedömas som en helhet. Till denna kategori hör naturligtvis bl.a. fall där personupp-

gifterna blir tillgängliga först genom användning av en manuellt

förd kod eller krypteringsnyckel (se avsnitt 4.5.10 i SOU

1991:21). Det fjärde fallet slutligen innebär vissa gränsdragnings-

svårigheter. Huvuddelen av informationen är i det fallet manuellt förd och ADB-uppgiften är närmast av index- eller sökordskaraktär. Sambandet mellan informationsdelarna är inte

lika påtagligt och entydigt som i det föregående fallet, där den

manuella informationen endast har till att göra ADB-

syfte

materialet tillgängligt med de vidare bearbetningsmöjligheter på

automatisk väg som detta i sin tur innebär.

En samling manuella uppgifter, till vilka är kopplat ett ADBfort index eller ADB-förda sökord, innebär att bearbetningsmöjligheterna är färre och att den automatiska databehandlingen

är begränsad. Som framgått är det huvudsakligen ADB-

mycket

teknikens möjligheter som motiverar integritetsskyddet på området.

Visserligen kan de manuella uppgifterna vara sådana, att det

ur strikt integritetssynvinkel finns skäl som talar för att de bör omfattas av persondatamängden. Det är emellertid då närmast fråga om samma skäl som talar för att även manuellt material skall omfattas av regleringen i datalagen. Med hänsyn till den svaga bör alltså uppgifterna anses falla

ADB-anknytningen

utanför begreppet persondatamängd.

Avslutningsvis bör framhållas att frågan om gränsdragning mellan ADB-material och manuella uppgifter försvinner, om förslaget till EG-direktiv antas och Sverige skulle behöva anpassa sina bestämmelser till dessa direktiv. Som nämnts skulle

alla manuella personregister ingå i en sådan reglering (se avsnitt

2.2 i SOU 1991:21).

Konsekvenser för ett framtida tillsynssystem

En huvuduppgift för inspektionen i ett renodlat tillsynssystem, sådant det angetts av utredningen i ett tidigare betänkande (SOU 1990:61), blir att genom inspektioner och kontroll se till att bestämmelserna efterlevs och integritetsskyddet upprätthålls. En annan viktig del är den normering av vissa branscher och sektorer som inspektionen förutsätts göra i en sådan ordning.

Underlaget för tillsynen skulle i huvudsak utgöras av de anmälningar om register som föreligger hos inspektionen.

Det är vidare naturligt att datainspektionens tillsyn i forsta hand inriktas på de typer av register som skall anmälas till inspektionen. Enligt utredningen skulle inom de områden som normerats endast personregister med känsliga uppgifter 0.d. behöva anmälas. Inom det område som inte i förväg reglerats av inspektionen skulle dock i princip alla personregister anmälas.

Anmälningsplikt skulle, oavsett om detaljnormering föreligger eller inte, således gälla för följande tre kategorier av personuppgifter.

l. Känsliga uppgifter i egentlig mening, dvs. uppgift om brott, tvångsingripande, hälsa, sexualliv, ras, politisk uppfattning, religiös tro etc.

2. Personuppgift som avser omdöme eller annan värderande

upplysning om någon.

3. Uppgifter om personer som saknar sådan anknytning till den registeransvarige som följer av medlemskap, anställning, kundförhållande 0.d.

Med det vidsträckta personregisterbegrepp (persondatamängd) som utredningen i föregående avsnitt diskuterat måste emellertid

en viss anpassning ske av det tidigare föreslagna tillsyns-

systemet.

Utredningen har tidigare uppskattat att en så stor del som tre fjärdedelar av alla register skulle kunna regleras i förväg av datainspektionen. Med till huvudsakligen informations-

hänsyn

teknologins utveckling, vilken som framgått styrt valet av avgränsning av personregisterbegreppet, torde det område som inspektionen har möjlighet att detaljnormera komma att bli mindre än vad som tidigare förutsätts. En begränsning i denna del ligger också i linje med de Önskemål som datainspektionen framfört i sitt yttrande över ett tidigare betänkande (SOU 1990:61).

Utgångspunkten för ett framtida bör mot denna

tillsynssystem

bakgrund i stället vara, att de grundläggande bestämmelserna

om datakvalitet, insynsrätt, rättelsemöjligheter m.m. i en

framtida datalag i princip bör vara

tillämpliga på alla person-

register i den omfattande mening som nu har redovisats. (Det skulle således gälla även en persondatamängd som används uteslutande för personligt bruk, vilket motsvarar vad som

gäller

i återkommer till denna

dag. Utredningen fråga nedan.) Slaget

av personuppgifter och till den bör

anknytningen ansvarige

däremot vara avgörande för den närmare av

tillämpningen

tillsyns- och kontrollbestämmelserna. En sådan uppdelning faller väl in under att resurserna bör koncentreras till

huvudprincipen

de mera områdena.

integritetskänsliga

Anmälningsplikr rörande de tre kategorier av uppgifter som nämnts ovan bör vidare finnas för samtliga persondatamängder, oavsett användningsområde och bransch- eller

sektorsnormering.

Det innebär exempelvis att en som endast använder

ansvarig

personuppgifter som har en naturlig till honom inte

anknytning

behöver göra någon anmälan. Inte heller finns det att

anledning

i detalj normera en sådan eftersom den bör

persondatamängd,

täckas av de grundläggande bestämmelserna i Skulle

datalagen.

i ett fall med naturlig i vara

anknytning uppgifterna sig känsliga, trots bör dock givetvis

anknytningen, anmälnings-

skyldighet föreligga. Som berörs nedan kan det dock övervägas

att till områden som inte

ytterligare begränsa anmälningsplikten normerats av datainspektionen.

Som utredningen angett i närmast föregående betänkande

(SOU 1991:21) bör vidare forsknings- och arbetslivsområdena,

där känsliga uppgifter resp. uppgifter som avser omdöme kan förekomma, direkt regleras i en framtida

datalag.

Som nämnts kan en utgångspunkt vara att vissa

grundläggande

skyldigheter bör vara tillämpliga på alla personuppgifter, inkl.

dem som används uteslutande för bruk. Detta

personligt

motsvarar i princip också nuvarande ordning. För personregister som en enskild person inrättar eller for uteslutande för personligt bruk krävs emellertid f.n. inte licens eller tillstånd. Inte heller krävs i motsvarande fall att s.k. 7 a §förteckning förs. I föreligger dock för register som förs

princip

för personligt bruk bl.a. att lämna underrättelse

skyldighet

enligt 10 § till den som begär det och att vidta rättelse m.m. Det torde emellertid tillhöra ovanligheterna att en

privatperson

får en begäran om att lämna underrättelse ur eventuella personregister. Såvitt utredningen har kunnat finna utövar

datainspek-

tionen inte heller detta område.

någon tillsyn på

Mot denna bakgrund kan det sättas i om det finns

fråga

anledning att bibehålla vissa för register som förs

skyldigheter

uteslutande för personligt bruk. Det är knappast troligt att i ett

framtida tillsynssystem datainspektionen skulle ha möjlighet att

intensifiera sin tillsyn på detta område. Det är inte heller önskvärt att så sker, eftersom utgångspunkten för tillsynen bör vara att bevaka områden där integritetsriskerna typiskt sett är större. Användningen uteslutande för personligt bruk hör inte till dessa områden. Bestämmelser som inte kan kontrolleras bör i princip inte införas. I förslaget till EG-direktiv har också angetts att enskilda register för privat och personligt bruk inte omfattas av bestämmelserna.

Med hänsyn till vad som nu anförts anser utredningen att persondatamängder som används uteslutande för personligt bruk inte bara bör undantas från en framtida

anmälningsskyldighet

utan helt falla utanför Det bör

datalagens tillämpningsområde.

framhållas att det naturligtvis finns anledning även framgent att kontrollera och pröva om en viss användning är sådan att den anses falla inom området personligt bruk.

Med anmälningsskyldighet bör också följa en skyldighet att

betala en avgift till inspektionen, så länge en persondatamängd

förekommer i verksamheten. Någon anledning att ta ut en

avgift

av alla ansvariga som tidigare (se avsnitt 8. ll i SOU

föreslagits

1990:61) föreligger inte längre med det vidsträckta

personregisterbegrepp som nu diskuterats.

När det gäller ett för att i ett

bemyndigande datainspektionen

framtida normera skilda områden bör

tillsynssystem detalj-

regleringen, som tidigare har antytts, kunna inskränkas till de

områden där registrering av känsliga uppgifter förekommer.

Omfattningen härav är bl.a. beroende av utvecklingen i fråga om registerlagar och statsmaktsregister i

övrigt.

För datainspektionens del bör de föreslagna ändringarna

innebära påtagliga lättnader i förhållande till det nuvarande tillståndssystemet, eftersom handläggningen av tillståndsärenden kan upphöra. Vad som nu föreslås i fråga om

persondatamängd

och är en i

anmälningsplikt ytterligare avbyråkratisering

jämförelse med vad som skisserats i ett tidigare betänkande (se avsnitt 8.6.2 i SOU 1990:61).

Koncentrationen av till enbart

anmälningsplikten känsliga

personuppgifter medför att antalet anmälningar bör uppgå

högst

till det antal som enligt nuvarande ordning är

tillståndspliktigt

(f.n. uppgår antalet till knappt 2 OOO årligen, exklusive de ärenden som faller inom det förenklade förfarandet; se avsnitt

5.1 och 5.2 i SOU 1990:61). Förändringen av begreppet persondatamängd torde i sig inte medföra någon ökning i detta

hänseende.

Om en anmälningsplikt, som begränsas det sätt som nu på

föreslagits, likväl skulle anses innebära hinder för ett effektivt

resursutnyttjande för datainspektionens del kan det övervägas att låta anmälningsplikt gälla endast för känsliga personuppgifter som förekommer inom områden som inte har normerats av inspektionen. För detta talar att en normering av inspektionen av en viss bransch eller område bör föregås av en relativt noggrann kartläggning som ger den nödvändiga överblick som anmälningarna syftar till. Det bör slutligen också påpekas att anmälningarna av datainspektionen bör kunna handläggas på ett sådant flexibelt sätt, att onödig byråkrati och resursslöseri kan undvikas. Man torde kunna räkna med att det i en del fall inte behövs något särskilt beslut från datainspektionen i form av villkor för persondatamängden eller förbud att använda den. I dessa fall kan anmälningarna efter granskningen bara läggas till handlingarna. Den nu berörda frågan har naturligtvis ett nära samband med hur de materiella reglerna på integritetsskyddsområdet utformas. Utredningen återkommer till den frågan i den sista etappen av sitt arbete.

Sambearbetning

I ett tidigare betänkande (avsnitt 8.6.5 i SOU 1990:61) har utredningen angett att frågor om sambearbetning i ett framtida tillsynssystem i princip bör regleras med samma grad av flexibilitet som har förutsätts för register i allmänhet.

Den omständigheten att sambearbetning sker av personuppgifter i flera persondatamängder kan visserligen ibland sägas leda till ett mera omedelbart och okontrollerat integritetsintrång än om insamling och lagring sker avseende en persondata-

diskuterade därför i det tidigare betänkanmängd. Utredningen det om tillstånd skulle behållas för vissa fall, närmast de fall där datainspektionen inte i förväg normerat användningen, men fann att någon särlösning inte borde införas. En ordning med tillståndsprövning för dessa fall skulle enligt utredningen innebära ett orimligt stort ianspråktagande av datainspektionens resurser utan motsvarande vinster för integritetsskyddet. Även för sambearbetningsfallen borde ett flexibelt och

obyråkratiskt

system upprätthållas.

Utredningens överväganden i denna del har inte motsagts av remissinstanserna.

Utredningens övervägande i föregående avsnitt rörande ett nytt begrepp, persondatamängd, bör inte innebära någon avgörande ändring i fråga om synen på Sambearbetning.

Sambearbetning innebär närmast att personuppgifter som ingår i en persondatamängd bearbetas med uppgifter som ingår i en annan mängd.

Det föreslagna begreppet persondatamängd som sådant

förutsätter att en viss sambearbetning är möjlig inom ramen för ett visst ändamål, utan att för den skull en ny persondatamängd

uppstår. Endast om ändamålet efter sambearbetning ändras, kan en ny persondatamängd sägas föreligga. Genom sambearbet-

ningen kan också i övrigt ha ändrats i en sådan

uppgifterna

väsentlig grad att en ny persondatamängd föreligger.

Om bearbetningen således inte är av ett mera väsentligt slag eller innebär att ändamålet ändras, sker ingen förändring av persondatamängden. Skulle ett nytt ändamål efter sambe-

arbetning av en viss persondatamängd komma till användning,

föreligger däremot definitionsmässigt en ny persondatamängd.

I den mån det förekommer sambearbetningar som inte berör

känsliga uppgifter, dvs. sådana personuppgifter för vilka enligt

vad som utvecklats i föregående avsnitt anmälningsplikt skulle följa, bör dessa bearbetningar fritt få utföras, oavsett om en ny

persondatamängd föreligger eller inte. De grundläggande

bestämmelserna om datakvalitet m.m. i en framtida datalag bör

dock givetvis vara tillämpliga på de berörda persondatamängd-

erna. Frågan om missvisande uppgifter 0.d. bör särskilt

uppmärksammas i det sammanhanget. En sambearbetning kan

nämligen någon gång leda till att uppgifter som var och en for

sig är av icke-känsligt slag sammantaget kan vara integritets-

kränkande eller missvisande. Se vidare nedan om rättelsemöjlighet.

Sammanfattningsvis bör anmälan således i sambearbetnings-

fallen göras endast om sambearbetningen medför att en känslig uppgift innefattas i persondatamängden.

Persondatamängd och rätten till underrättelse och rättelse, m.m.

Rätten till i är för in-

insyn personregister grundläggande

Härigenom får den enskilde en möjlighet att

tegritetsskyddet.

kontrollera huruvida registrering av honom sker och i vad mån

som finns om honom eller henne är riktiga.

uppgifter

Bestämmelserna härom (10 § datalagen) skall ses tillsammans med rätten att få oriktiga eller missvisande personuppgifter

rättade eller ofullständiga uppgifter kompletterade samt skyldig-

heten för den registeransvarige nuvarande regler att hålla

enligt

sina förtecknade m.m. (8 - 9 resp. 7 a §§ data-

personregister

lagen).

I det skall redovisas hur det föreslagna persondata-

följande

inverkar de bestämmelser som nu har

mängdsbegreppet på

nämnts.

7 a § -förteckning

Enligt nuvarande bestämmelser skall det hos den

registeransva-

rige finnas en aktuell över de som

förteckning personregister

han är ansvarig för. skall innehålla om

Förteckningen uppgift

registrets benämning, registrets ändamål, lokalen där ADB

huvudsakligen utförs och i vad mån uppgifter lämnas ut för automatisk i utlandet. Vidare skall en

databehandling enligt

lagändring som träder i kraft den 1 januari 1992 i vad anges mån personnummer registreras och för i före-

myndigheter

kommande fall huruvida rätt att före-

sälja personuppgifter kommer. (SFS 1991:187, 1990/91:60, rskr. prop. KU11, 160)

Slutligen skall numret på den licens finnas

registeransvariges

antecknad. Vid en övergång till en ordning där ersätts

registerbegreppet

med kvarstår likväl behovet att för

datamängd tillsynsändamål

kunna identifiera av de som

omfattningen personuppgifter

förekommer i en viss verksamhet. att hålla aktuell

Skyldigheten

information härom bör därför kvarstå. Det nuvarande

tillgänglig

kravet på och bör därför

registerbenämning registerändamål

ersättas med en att förteckna den

skyldighet benämningen på

persondatamängd som görs for ett visst

tillgänglig angivet

ändamål. I den mån det således i en verksamhet förekommer att ADB-anknutna personuppgifter används för

personaladmini-

stration skall detta t.ex. som för

anges persondatamängd

personaladministrativa ändamål . Som framhållits tidigare måste

ändamålen anges specificerat och konkret. En kan förändras olika automatiska

persondatamängd genom

bearbetningar. Så länge de ryms inom det ändamålet

angivna

förändras inte i att

begreppet rättslig mening. Någon anledning

i en de olika och

förteckning ange bearbetningsmöjligheter

tekniska systern som kan finnas för ett ändamål finns

givet

därför inte, så länge ändamålet är med en

angivet tillräcklig grad av precision.

F.n. är 7 a § - till licensinnehav. Som

förteckningen kopplad

utredningen tidigare föreslagit (se avsnitt 8.11 i SOU 1990:61)

bör licenssystemet avskaffas. av

Någon försämring inspek-

tionens bör detta dock inte medföra. Det kan

kontrollmöjlighet

- med till den datatekniska -

hänsyn utvecklingen på goda

grunder antas att praktiskt taget alla i sin verksamhet kommer att använda ADB som hjälpmedel och därmed ha att

skyldighet

ha en över den som används. Som

förteckning persondatamängd

framgått bör inte användning uteslutande för bruk

personligt

omfattas.

10 § - utdrag och rärtelsemöjlighet

Den enskilde har rätt att på begäran från den som ansvarar för registret så snart det kan ske få underrättelse antingen om

innehållet i personuppgift som ingår i personregistret och

innefattar upplysningar om honom eller om att sådan

uppgift

inte förekommer i registret. Rätten till är en grundpelare i och en

insyn integritetsskyddet

nödvändig förutsättning för att möjligheten till rättelse skall

kunna föreligga.

Det förhållandet att registerbegreppet ersätts med

begreppet datamängd bör inte medföra någon skillnad härvidlag.

En förfrågan från den enskilde om personuppgift om honom

föreligger kan avse antingen en persondatamängd för ett visst

ändamål eller huruvida över huvud taget personuppgift om honom eller henne finns och kan tas fram med av ADB.

hjälp

I båda fallen får det ankomma på den ansvarige att de

göra

sökningar och sammanställningar som frågan föranleder med

utnyttjande av de tekniska förutsättningar som står till buds. Det kan innebära att i en del fall kan bli

underrättelseskyldigheten

mera omfattande än för närvarande genom den bearbetningskontroll som måste göras. Inte heller rätten att få felaktiga rättade eller

uppgifter ofullständiga uppgifter kompletterade bör påverkas av att

personregisterbegreppet ersätts av begreppet persondatamängd.

I båda fallen är det närmast som är föremål för

personuppgiften rättelse 0.d. Med tanke på att bearbetningsmöjligheterna

innefattas i det nya på ett annat sätt

begreppet persondatamängd

än registerbegreppet bör emellertid om missvisande

frågan

uppgifter särskilt observeras. I nuvarande ordning tillkom missvisande upp-

begreppet

gifter år 1988. Begreppet tar främst sikte på det intryck som en

personupp gift skapar i sitt sammanhang. Bedömningen får göras

mot bakgrund av bl.a. registrets ändamål. Ett exempel på en

missvisande uppgift som brukar nämnas är en inkomstuppgift som förts över till ett register för användning på ett område där

man tillämpar ett annat inkomstbegrepp än på det område

varifrån uppgiften hämtats. Någon klar gräns är inte möjlig att dra mellan oriktiga och missvisande En gemensam

uppgifter. beteckning brukar vara felaktiga uppgifter.

Visserligen omfattar begreppet de möjliga

persondatamängd

bearbetningar som ADB-tekniken i ett visst

givet ögonblick

erbjuder, men avgränsningen sker ytterst av ändamålet. Det innebär att en kontroll av uppgifter i ljuset av de uppgivna ändamålet avslöjar om är missvisande. Möjligheten

uppgifterna

att få rättelse av missvisande uppgifter bör således inte heller

påverkas av att personregisterbegreppet ersätts av begreppet

persondatamängd. Sammanfattningsvis bör enligt utredningens mening inte

införandet av ett nytt begrepp i stället för personregister leda till

någon mera genomgripande förändring när det gäller skyldig-

heten för den ansvarige att hålla information om personuppgifter aktuell, underrätta den enskilde om innehållet eller företa rättelse 0.d. Möjligen kan bli något

underrättelseskyldigheten

mera omfattande och därmed också de fall då rättelse 0.d. måste vidtas. Detta ligger emellertid väl i linje med en önskvärd

utbyggnad av integritetsskyddet.

3.2¶Registeransvarig (persondataansvarig)

3.2.1 Gällande rätt

Även begreppet registeransvarig definieras i 1 § datalagen:

den för vars verksamhet personregister förs, om han förfogar

över registret.

Såväl fysiska som juridiska personer och myndigheter kan vara registeransvariga. Med att förfoga över ett register avses närmast en befogenhet att överföra registrets innehåll till läsbar form. En registeransvarig måste också kunna påverka innehållet i registret genom att tillföra uppgifter eller ändra de uppgifter som ingår i registret för att förfoga över det.

Departementschefen anförde i specialmotiveringen till 1 § i

denna del bl.a. följande (prop. 1973:33 s. 19 t):

Definitionen av uttrycket registeransvarig bör utformas så, att man utesluter dels servicebyråer och andra som helt osjälvständigt handhar bearbetningen av ett register, dels sådana som använder sig av registret utan att kunna bestämma om dess innehåll. Med hänsyn hârtill anser jag att med registeransvarig bör avses den för vars verksamhet personregister förs, om han förfogar över registret. Begreppet förfogande bör därvid ges samma innebörd som i de föreslagna bestämmelserna i 2 kap. 2 § tredje stycket och 9 § första stycket TF. Den nu berörda regeln bör tillämpas på sådant sätt att alltid någon kan konstateras vara registeransvarig. Givetvis bör såväl fysiska som juridiska personer kunna vara registeransvariga. Aven myndigheter bör kunna falla under begreppet registeransvarig, fastän de inte år att anse som självständiga juridiska personer.

Som har påpekats under remissbehandlingen förekommer det inte sällan att ett visst datasystem inrättas och förs för flera myndigheters eller organisationers räkning. I sådant fall blir varje

myndighet eller organisation att anse som registeransvarig, under förutsättning att myndigheten eller organisationen kan bestämma över registerinnehâllet eller någon del av detta. I en sådan situation åligger det var och en av myndigheterna eller organisationerna att ansöka om tillstånd beträffande registret.

Uppen-

barligen föreligger emellertid inte något hinder att ge in en gemensam ansökan eller att låta ett särskilt organ ansöka om tillstånd för de registeranvarigas räkning.

De omnämnda förslagen till 2 kap. 2 § tredje stycket och 9 § första TF avsåg närmast ändringar varigenom TF i vissa

stycket delar gjordes tillämplig också på ADB-upptagningar. I denna

del anfördes i lagstiftningsärendet bl.a. (prop. 1973:33 s. 77):

Emellertid kan man, när det gäller upptagningar, inte helt och hållet nöja sig med den nu berörda huvudregeln, dvs. att en upptagning är allmän när den förvaras hos myndi het. Som har pâpekat(s) förekommer det att databehandling ut örs för myndigheters räkning vid privata företag eller andra organisationer som inte är att anse som myndigheter i TF:s mening. En upptagning som har kommit in till eller upprättats hos ett sådant företag e.d. och som används i en myndighets verksamhet bör givetvis inte vara undandragen offentligheten. Huvudregeln om när upptagningar skall anses allmänna bör därför kompletteras med en regel om att upptagning skall anses förvarad hos myndighet och därmed betraktas som allmän även i fall då den har kommit in till eller upprättats hos annan än myndighet, under förutsättning att myndighet förfogar över upptagningen. Den nu ñrordade regeln bör föras in i 2 kap. 2 § TF.

Frågan i vad män en myndighet förfogar över upptagning som finns hos ett privat företag e.d. får avgöras med ledning av bl.a. de avtal som har träffats mellan myndigheten och företaget. För att en myndighet skall anses förfoga över en ADB-uppta ng bör det normalt förutsättas att myndigheten ha rätt att fgc)Ta1 över upptagningen till visuellt läsbar form. En sådan överföring kan ske genom att myndigheten har en terminal e.d. som är kopplad till den privata dataanläggningen. På samma sätt bör man, när det gäller upptagningar som kräver tekniskt hjälpmedel för att kunna avlyssnas, förutsätta att myndigheten kan föra över upptagningen till avläsningsbar form.

spelar en central roll för bedömning av

Myndighetsbegreppet

begreppet registeransvarig inom den offentliga sektorn. Regeringsformen skiljer mellan tva slag av offentliga organ,

dels beslutande församlingar såsom riksdagen, kyrkomötet,

kommunfullmäktige, landsting och kyrkofullmäktige, dels myndigheter. De senare utgörs av regeringen, domstolarna och

förvaltningsmyndigheterna. Regeringsformens myndighets-

begrepp används även vid tillämpning av tryckfrihetsförord-

ningen och sekretesslagen. Även vid tolkning av datalagen anses

samma avgränsning av begreppet kunna göras (En

myndighet

utförlig redovisning av myndighetsbegreppet finns i Hellners-

Malmqvist, Nya förvaltningslagen med kommentarer, 1989,

s. 38 ff). I praxis har vissa svårigheter när det att be-

uppstått gällt

stämma huruvida en kommunal eller enhet

statlig organisatorisk

utgör en egen myndighet eller ingår i en annan

myndighet.

Staten och kommunen är och som sådana

juridiska personer

bärare av civilrättsliga rättigheter och medan de

skyldigheter,

statliga eller kommunala som inte anses

myndigheterna regel

vara juridiska personer. I praxis har det inte förekommit att staten som sådan ansetts registeransvarig. För kommunernas del har det förekommit att inspektionen ansett en kommun eller en vara

landstingskommun

registeransvarig. I två fall har dock ansett att

regeringen

ansvaret åvilat en berörd nämnd i stället 325-83 och 360-

(dnr

83). Numera föreskrivs i de av fastställda

datainspektionen

verkställighetsföreskrifterna på området att de kommunala

nämnderna är ansvariga (se DIFS

1990:2).

I fråga om statens s.k. SLÖR-

löneuträkningssystem (det

registret) har en del myndigheter hävdat att de inte

förfogar

över det i

datalagens mening. Enligt regeringens uppfattning

anses dock myndigheterna över och vara

förfoga registret

registeransvariga, då de själva eller genom annan kan in i

gå

registret och förse det med och därmed

uppgifter påverka

innehållet i det till del.

någon

Liknande problem som finns när det

gäller avgränsningen

inom den sektorn finns även inom den

offentliga privata. Inom

koncern- och andra kan det ibland vara svårt

bolagsbildningar

att fixera registeransvaret.

Europarådskonventionen

Enligt Europarådskonventionen (art. 2d) är en registeransvarig

(controller of the file) den eller fysiska juridiska person,

offentlig myndighet eller företrädare eller annat

något organ

som i enlighet med inhemsk är att besluta vad

lag behörig

ändamålet med det automatiska skall vilka

dataregistret vara,

slags uppgifter som skall lagras i det och vilka som

operationer

skall utföras med dem.

3.2.3 till EG-direktiv

Förslaget

I utkastet till EG-direktiv (art. 2)

anges den registeransvarige på

samma sätt som i Europarådskonventionen men med dels

tillägg

avseende EG-rätt som till inhemsk dels att

komplettering rätt,

behörigheten att besluta om registret också kan avse vilka

tredje

män som får tillgång till registren. (Controller of the file

means the natural or legal person, public authority, agency or other body competent under Community law or the national law

a Member state to decide what will be the purpose of the file,

of

which categories of personal data will be stored, which operations will be applied to them and which third parties may have access to them).

I kommentaren anges det senare tillägget vara en anpassning i förhållande till konventionen på så sätt, att det särskilt anges att den person som är behörig att tillstyrka att registret rådfrågas, särskilt i händelse av en direkt begäran härom, är att

anse som den registeransvarige.

3.2.4¶Utredningens tidigare betänkande och remissutfall

I det första betänkandet har utredningen, förutom en redogörelse för gällande rätt, inte vidare behandlat begreppet register-

ansvarig.

Landstingsförbundet synes vara den enda remissinstans som

har tagit upp frågan enligt följande.

För närvarande åvilar registeransvaret på det kommunala omrâdet den närmast berörda centrala eller lokala politiska nämnden. Ansvaret kan inte delegeras till exempelvis en tjänsteman. I takt med att verksamheten decentraliseras är det angeläget att införa en ordning där förvaltnings- och enhetschefer kan göras till registeransvariga. I många fall handlar det om register vars inrättande och förande inte är frågor av den art och betydelse att de bör tas upp i nämnden. I vissa fall, t.ex. i fråga om datoriserade patientjournalsystem, är nämnden enligt sekretess- och patientjoumallagarna inte alltid behörig att ta del av registrens innehåll.

3.2.5 överväganden rörande registeransvarighets-

begreppet

Begreppet registeransvarig är av grundläggande betydelse,

eftersom de rättigheter och skyldigheter som anges i integritets-

skyddshänseende knyts till, förutom den registrerade enskilde,

den registeransvarige. Utredningen har i föregående avsnitt föreslagit att begreppet personregister ersätts med persondata-

mängd. I konsekvens härmed bör registeransvarig fortsätt-

ningsvis kallas persondataansvarig.

Det förefaller som om den nuvarande avgränsningen, med

krav på förfogande (se avsnitt 3.2.1), närmast vållar tillämp-

ningssvårigheter inom den offentliga sektorn. På den privata

sidan är det naturligare att koppla ansvaret till den juridiska

eller fysiska person som på ett eller annat sätt har beslutanderätten och den operativa kontrollen över persondatamängden. Men även där finns avgränsningsproblem inom

exempelvis

koncernbildningar. På den offentliga sidan, där staten och kommunerna som juridiska personer har ett

övergripande

civilrättsligt ansvar men verksamheten bedrivs av mer eller mindre myndigheter, är bilden dock mera

självständiga kompli-

cerad. Myndighetsbegreppets tolkning vad avser rätten till

offentliga

handlingar har i praxis till synes kommit att styra avgränsningen. Ett krav att innehållet i

på möjlighet påverka (förfoga)

det finns emellertid som framgått. Det är närmast om att

fråga

i över innehållet. Ett faktiskt

rättslig mening förfoga förfogande

är således som regel inte Det innebär att

tillräckligt. exempelvis

servicebyråer och andra som osjälvständigt handhar

bearbetning

av ett register inte är att anse som Genom att

registeransvariga. persondataansvarighets- och numera har myndighetsbegreppen

likställts i praxis har vissa fördelar Det innebär att den

uppnåtts.

persondatamängd som förekommer och används inom en myndighets område också är ansvar som sådan,

myndighetens

oberoende av hur den kontrollen i är

operativa myndigheten

ordnad. Det innebär en utveckling i en annan än den

riktning

som exempelvis förordar i sitt

Landstingsförbundet yttrande.

En annan möjlighet, om inte nuvarande definition

bibehålls,

är att knyta persondataansvaret hårdare till den som har den yttersta bestämmanderätten över och kontroll av ett informationssystem. I direktiven att utse en som

pekas på möjligheten

ensam ansvarig för ett trots att andra

informationssystem,

användare har tillgång till systemet och över detta helt

förfogar

eller delvis. Valet skulle således närmast stå mellan av tre

något följande

alternativ:

I nuvarande ordning, dvs. med ett visst krav på

förfogande

över en och till delat ansvar

persondatamängd möjlighet

I ett

exklusivt persondataansvar för en huvudanvändare i

fleranvändarsystem

I en av kravet uttunning på förfogande, så att redan användningen konstituerade ansvar, vilket också skulle innebära flera ansvariga för olika delar av ett och samma system.

Vilket av alternativen som väljs bör ses i ljuset av de konsekvenser det medför för såväl den vars det gäller

personuppgifter

som den persondataansvarige.

Särskilt tre omständigheter kommer därvid i förgrunden. Det gäller dels rätten att få insyn i och underrättelse om förekomst-

en av personuppgifter (jfr 10 § nuvarande datalag), dels den

därmed sammanhängande rätten till rättelse av oriktiga och missvisande (se avsnitt 3.1.6). Till dessa två för den

uppgifter

enskilde väsentliga faktorer kommer den persondataansvariges

skyldighet att ersätta den skada som den enskilde kan ha

tillfogats att en persondatamängd innehåller oriktig eller

genom missvisande uppgift.

Nuvarande ordning tillmötesgår i så måtto den persondata-

ansvarige, att dennes ansvar för felaktiga eller missvisande

uppgifter kan sägas svara mot kravet på förfogande, samtidigt

som den enskilde i de flesta fall inte behöver missta sig i fråga om mot vem anspråk på underrättelse om innehållet i en

persondatamängd skall riktas.

I de fall exempelvis en myndighet, med vilken den enskilde har kontakt, i sin verksamhet använder en persondatamängd,

utan att kan sägas förfoga över uppgifterna däri, myndigheten

föreligger dock inte någon rätt till insyn, underrättelse eller

rättelse enligt datalagen. (Rätt till insyn kan dock givetvis

föreligga enligt reglerna om handlingsoffentlighet i tryckfrihets-

förordningen och Den enskilde är hänvisad att

sekretesslagen.)

vända sig till den som kan utpekas som ansvarig. Det kan

naturligtvis inträffa att felaktig hänvisning görs eller att oklarhet

råder mellan flera myndigheter om vem som är persondataansvarig till förfång för den enskilde.

Om ansvaret i stället lades på den i vars verksam-

myndighet

het användes, oberoende av var kontrollen eller

uppgifterna

förfogandet i övrigt låg, skulle den enskildes rättigheter i detta

hänseende bli bättre tillgodosedda.

Den enskilde skulle kunna vända sig till med

myndigheten

begäran om underrättelse om innehållet i persondatamängden för egen del och därigenom få möjlighet att påtala eventuella

felaktigheter. Om myndigheten i fråga inte förfogar över uppgifterna, fick

för myndigheten i författning föreskrivas en skyldighet att medverka till att rättelse sker. I de fall försummelse förelåg, skulle skadeståndsansvar föreligga för den persondataansvariga

Skadeståndskravet skulle således tunnas ut från

myndigheten.

nuvarande ordning med s.k. strikt ansvar, dvs. ett ansvar oberoende av till ett ansvar för vårdslöshet

försurnlighet,

(culpa). En sådan ordning för skadeståndsansvaret vore att

föredra framför att föreskriva ett strikt ansvar i de fall den

persondataansvarige inte kan förfoga över och uppgifterna

således påverka dess innehåll. Ingenting hindrar om

emellertid,

skyddet för den enskilde ytterligare skulle behöva att

förstärkas,

den ansvarige även i de fallen hade ett strikt ansvar men gavs möjlighet att i ett eller annars få

fleranvändarsystem regressvis

ersättning av den som orsakat en eller missvisande

felaktig

personuppgift i en datamängd.

Utredningen återkommer till frågor om skadestånd i ett särskilt avsnitt. Förutom att skadeståndsaspekten bör beaktas i en där

ordning,

persondataansvaret läggs på den i vars verksamhet en persondatamängd förekommer, bör ansvaret inskränkas till att omfatta endast den del av ett som i verksam-

informationssystem ingår

hetsområdet. Det ändamål som av en viss

styr användningen

datamängd bör härvid kunna användas för att ansvars-

avgränsa

området i ett avsnitt

fleranvändarsystem. (Jfr 3.1.6).

En utveckling mot ett alternativ där inte

förfogandebegreppet

tillmäts samma för ansvaret kan i huvudsak

betydelse sägas

gynna den enskilde och ge flera dataanvändare ett ansvar som de idag saknar.

Det återstående alternativet, nämligen att lmyta ansvarighets-

begreppet hårdare till det företag eller som har den

myndighet

operativa kontrollen över ett dvs. en

fleranvändarsystem,

centralistisk modell, har en nackdel, eftersom den enskilde måste veta vem som har det rättsliga ansvaret för

uppgifterna.

Det räcker inte att vända till den eller där

sig myndighet företag uppgiften använts. Ytterligare information kan behövas. Som

nämnts kan därvid svårigheter när det att klara ut

uppstå gäller

vem som har ansvaret för att rättelser genomförs. En sådan har dock fördelar. Dels

ordning uppenbara läggs

ansvaret för den som har

personuppgifternas riktighet på

möjlighet att faktiskt påverka innehållet, dels kan skadeståndsansvaret härigenom också strikt den skadegöras gentemot lidande enskilde. I samband med inrättandet av en ordning för summarisk process, dvs. mål om och

betalningsföreläggande handräckning,

hos kronofogdemyndigheterna med av ADB-teknik har den

hjälp

enskildes rättigheter i detta hänseende lett till en där

lösning,

såväl riksskatteverket (RSV) som den berörda

kronofogde-

myndigheten tillagts ett fullständigt registeransvar, trots att riks-

skatteverkets befattning med målen varit SFS

begränsad (se 1991:876, prop. 1990/9l:l26, LU34, rskr. 332). Med hänsyn

till den över som RSVs

förfoganderätt register befattning

innebär var det enligt departementschefen att nödvändigt ålägga

RSV ett registeransvar i datalagens mening för kronofogde-

myndigheternas register (se prop. 1990/91: 126 s. 67 f). Utvecklingen mot alltmer integrerade

informationssystem gör

att antalet olika användare ökar. Det är exempelvis vanligt att vissa offentliga register utnyttjas efter avtal med bl.a. banker och näringsidkare. Den information som finns i exempelvis

register över företagsinteckningar och fastigheter kan genom

datakommunikation direkt användas för bl.a. beslut om kredit-

givning. På motsvarande sätt kan uppgifter i folkbokföringsregister, det centrala bilregistret eller i värdepapperscentralens

register komma till användning i skilda sammanhang genom

sammankoppling mellan olika delanvändare. I inget fall behöver användaren ha möjlighet att påverka innehållet i persondatamängden. I konsekvens med vad utredningen ansett i fråga om personregisterbegreppet skulle dock för användarens del en

persondatamängd föreligga redan genom den möjlighet som

finns att ta fram personuppgifter för ett visst ändamål

genom

ADB. Om redan användning av en sådan persondatamängd skulle grunda persondataansvar skulle en avsevärd utvidgning

ske i förhållande till nuvarande regler.

Förslaget till EG-direktiven anger att den som har rätt att

lämna tredje man tillgång till registret är registeransvarig.

Samtidigt förutsätts på denna punkt att den registeransvarige beslutar om användningsändamål, vilka slag av personuppgifter

som skall lagras och vilka operationer som skall utföras med dem. Ordalydelsen ger närmast vid handen att rekvisitet om utlämnande skall förenas med övriga rekvisit.

Ett vidsträckt persondataansvarsbegrepp kan naturligtvis leda

till att flera myndigheter eller andra användare kan anses ansvariga för samma persondatamängd, beroende på de tekniska hjälpmedel som användarna samt de ändamål och

utnyttjar

datamängder det är om. Ur den enskildes är

fråga synvinkel

detta, som redan tidigare har berörts, ingen nackdel

visserligen

när det exempelvis gäller rätten att få uppgifter strukna eller rättade. Häremot skall emellertid ställas de svårigheter som kan uppstå för en ansvarig, inom såväl den som enskilda

offentliga

sektorn, som inte har möjlighet att påverka innehållet i persondatamängden utan enbart använder uppgifterna för särskilda lagliga ändamål. För att rättelse skulle kunna ske av

felaktiga

uppgifter fick dessutom en konstrueras eller en

förfoganderätt

anmälningsskyldighet till den som har förfoganderätt införas.

Utredningen anser att en rimlig avvägning mellan de olika motstående intressena är att upprätthålla ett krav ett för-

på

fogande som, i likhet med EG-direktiven, förutsätter att den

ansvarige beslutar om användningsändamål, vilka slag av

personuppgifter som skall lagras och vilka operationer som skall utföras med dem. Denna lösning ligger således nära den centralistiska modellen. Härigenom skulle ansvar inte följa för dem som endast använder ett system eller endast förfogar över

det i mera begränsad mening (exempelvis de myndigheter som

använder SLÖR).

En särskild fråga är vidare hur de fall bör bedömas där en myndighet använder en persondatamängd, för vilken annan

ursprungligen är ansvarig, som ett led i en gransknings- eller

tillsynsverksamhet. Det gäller exempelvis vid fall av revision

eller annan granskning eller handläggning

polismyndighets

under förundersökning. Ett persondataansvar bör därvid följa

för den granskande eller undersökande myndigheten redan genom att ändamålet är annat än hos den vars verksamhet är föremål för granskning eller tillsyn. Genom det nya ändamålet

uppstår definitionsmässigt en ny persondatamängd (se avsnitt

3.1.6) för vilken persondataansvar bör föreligga.

I den mån decentralisering sker av beslutsfattande 0.d., som berör användning av datasystem, från en central nivå till

regionala eller lokala nivåer inom exempelvis den statliga förvaltningen, bör det uppmärksammas att också persondata-

ansvaret kopplas till beslutsbefogenheterna. En delegation till

lägre nivåer av dataansvaret utesluter dock inte att också den centrala myndigheten kan ha ett ansvar i det hänseende i likhet med vad som nu föreligger för riksskatteverkets del när det gäller den summariska processen (se ovan). Frågor av detta slag aktualiseras t.ex. när det gäller lokala skattemyndighetens handläggning av den numera datoriserade folkbokföringen (se prop. 1990/91:53, SkU9, rskr. 109, SFS 1990:1536 och prop.

1990/91:153, SkU28, rskr. 320, SFS 1991:481). Vid utform-

ning av bestämmelserna om persondataansvar bör också beaktas reglerna för arkivbildning resp. utlämnande av allmänna

handlingar. I görligaste mån bör persondataansvaret för

myndigheters del sammanfalla med begreppet arkivmyndighet

och registreringskyldighet enligt sekretesslagen (jfr 3 § arkiv-

lagen, 1990:782, och 15 kap 13 § sekretesslagen, 1980:100).

Det rekvisit med rätt till utlämnande som EG-direktiven innehåller bör inte ges en självständig betydelse. I Sverige reser

tillämpningen av ett sådant rekvisit nämligen de speciella frågor

som är knutna till den

grundlagsskyddade handlingsoffentlig-

heten, vilken torde sakna motsvarighet utomlands. Som utredningen tidigare har konstaterat är den svenska hand-

lingsoffentligheten enligt tryckfrihetsförordningen och sekretesslagen samt personregistreringen hos svenska på

myndigheter

vissa punkter svår att förena med EG-direktivens krav vad avser

avsnitt 2.3 i SOU 1991:21) inom den

(se personregistrering

offentliga sektorn.

För att den enskildes krav på att utan dröjsmål få

tillgodose

veta vem som är persondataansvarig bör det även hos användare, som inte är finnas utsedda

persondataansvariga,

kontaktpersoner som kan ge nödvändig vägledning (jfr 8 § datalagen). En väsentlig för en sådan kontaktperson bör

uppgift

vara att ange vem hos en persondataansvarig som har skyldighet att bistå den vars är berörda med 10 §-utdrag

personuppgifter

eller vid misstanke om oriktig eller missvisande uppgift.

Slutligen bör understrykas att frågan om vem som är straffrättsligt ansvarig for exempelvis brott mot datalagen inte är

enbart att persondataansvaret fixerats. Straff-

avgjord genom

rättsligt ansvar kan, som bekant, enbart åvila fysiska personer. Vid bedömning härav kan bl.a. frågor om delegation inom en myndighet ha betydelse. Se vidare avsnitt 5.2.1.

SOU l99l:62 79

4¶Utlandsöverföringar

Den nuvarande datalagen (11 §) innehåller en regel om särskilt medgivande fran datainspektionen för att lämna ut personuppgifter i enskild verksamhet för ADB i utlandet. Bestämmelsen

är tillämplig på personuppgifter vare sig uppgifterna ingår i

personregister i eller inte. För det allmännas

datalagens mening

verksamhet finns motsvarande bestämmelser i 7 kap 16 §

sekretesslagen. Undantag frän kravet på medgivande gäller om

uppgifter skall lämnas ut för ADB enbart i en stat som anslutit sig till Europarådets konvention om skydd för enskilda vid ADB. Konventionen bygger, liksom förslaget till EG-direktiv på området, på att gränskontroll av dataflöde inte behövs för länder som har en gemensam niva pa integritetsskyddet. Det önskvärda i att underlätta gränsöverskridande informationsflöde

ligger

också bakom EG-direktivens krav ett

på fullgott integritets-

skydd. (I utkastet till EG-direktiv åläggs medlemsländerna att kontrollera att de länder utanför EG till vilka information överförs har en tillfredsställande skyddsnivå. I annat fall får

överföring inte ske). Enligt OECDs riktlinjer pa området skall

medlemsländerna vidta alla rimliga och åtgärder för att

lämpliga

se till att personuppgifter kan passera säkert och utan

gränserna

avbrott. Vidare skall medlemsländerna avhålla fran att

sig göra inskränkningar i fråga om flödet av personuppgifter frán det

egna landet till andra medlemsländer. Sådana inskränkningar är dock tillåtna i förhållande till ett annat om detta inte

land,

iakttar riktlinjerna eller om personuppgifter bara skall

passera genom det andra landet till ett tredje land och avsändarlandets

integritetslagstiftning därigenom kringgås. Ett medlemsland får

också göra inskränkningar i fråga om personuppgifter för vilka

den inhemska innehåller särskilda

integritetslagstiftningen

skyddsregler, om sådana uppgifter inte har ett likvärdigt skydd

i mottagarlandet (se avsnitt 7.2 i SOU

1990:61).

I praktiken synes det inte vara sä att

vanligt medgivande enligt

datalagen inhämtas. Det kan på goda grunder antas att över-

föring av uppgifter f.n. sker i strid med bestämmelserna även till länder som inte är konventionsanslutna. Liknande erfarenheter finns utomlands (se exempelvis om Storbritannien i avsnitt 7.4.3 i SOU 1990:61).

Frågan om utlandsöverföring bör i första hand ses mot bak-

grund av den pågående lagharmoniseringen på dataskydds-

området som i sig skulle onödiggöra särskilda skyddsbestämmelser vid gränsöverskridande kommunikation. Det får förutsättas att ett likartat skydd inom en inte alltför avlägsen framtid antagits, inte bara för Europas del, utan for hela OECD-

området, dvs. även för Australien, Japan, Kanada, Nya Zeeland

och USA.

Syftet med gränskontroll av personuppgifter är naturligtvis att

uppgifterna inte används utanför Sverige på ett sätt som innebär integritetskränkning eller i länder där är

integritetsskyddet

svagare.

I avvaktan på att den nödvändiga internationella harmoniseringen genomförts bör därför en viss kontroll behållas. När det gäller personuppgifter som faller inom de områden där utredningen föreslagit att någon anmälan inte behövs, dvs. personuppgifter som inte är känsliga eller innehåller omdöme eller enbart avser personer med en naturlig till den

anknytning

ansvarige, kan det dock att låta informationsöverför-

övervägas

ingen ske helt fritt. Motsvarande skulle kunna gälla de uppgifter som skulle omfattas av ett undantag från bestämningen av

begreppet persondatamängd (referensmaterial o.d.).

Uppgifter som i Sverige skulle föranleda anmälan skulle

datainspektionen däremot först pröva, innan det medgavs att de

fördes utomlands. Det gäller således personuppgifter av känsligt slag, uppgifter som avser omdöme och uppgifter om personer som saknar till den En nackdel med en

anknytning ansvarige.

sådan uppdelning i privilegierade och icke-privilegierade

uppgifter är att sambearbetningsmöjligheter utomlands inte kan

beaktas. Uppgifter som i endast är av mindre känsligt

Sverige

slag skulle likväl efter kunna vara och

bearbetning känsliga

integritetskränkande. (Jfr vad som sagts i föregående avsnitt om

missvisande uppgifter.) Motsvarande gäller enstaka

uppgifters

karaktär. Uppgifter som endast tagna för sig i Sverige hänförs till kategorin icke-känsliga kan i ett annat land anses vara

känsliga, exempelvis uppgift om facklig tillhörighet (se förslaget

till EG-direktiv art. 17).

Mot denna bakgrund har utredningen stannat för att låta all informationsöverföring som sker till länder som inte omfattas av konventionen på området omfattas av kontrollen och kräva medgivande av datainspektionen. En sådan lösning synes också

ligga i linje med EG-direktivens krav när det gäller överföring till tredje land. Om länder, som inte är konventionsanslutna, likväl bedöms ha en tillfredsställande på sin lagstift-

skyddsnivå

bör mera allmänt kunna tillåtas också till dessa

ning, Överföring

länder. Regeringen bör i en förordning kunna ange vilka länder som kan komma i fråga.

Inspektionens prövning i de återstående fallen bör ske efter de kriterier som skall för en tillåten i

gälla persondatamängd

Sverige.

5¶Straff och skadestånd

5 .l

Inledning

Datalagen innehåller ett flertal sanktionsregler. Datainspektionen

kan under vissa förutsättningar meddela villkor, andra tidigare

meddelade villkor, förbjuda förande av personregister,

fortsatt

återkalla meddelat tillstånd och förelägga vite. Behörigheten att förbjuda förande av register omfattar dock inte statsmaktsregister, dvs. register om vars inrättande riksdagen eller regeringen har beslutat. Ett personregister kan, om det inrättats eller förts utan nödvändig licens eller tillstånd, även förklaras

förverkat. Strafl är föreskrivet för det fall ett personregister

inrättas eller förs utan licens eller tillstånd, liksom för underlátenhet att följa vissa andra i datalagen angivna bestämmelser. Skadestånd kan också utgå i dessa fall. Vidare finns föreskrifter

om skadestândsskyldighet för en om en registeransvarig,

registrerad tillfogats skada genom att personregister innehåller oriktig eller missvisande uppgift. Slutligen finns bestämmelser om straff och skadestånd för den som olovligen bereder sig tillgång till ADB-upptagning eller ändrar i eller utplånar personregister m.m. I förevarande avsnitt

(dataintráng).

behandlas sanktionerna straff och skadestånd.

5.2¶Straff

5.2. 1 Gällande rätt

I 20 § finns regler om straff för överträdelser av

datalagen

vissa bestämmelser i datalagen. Enligt första döms till

stycket

böter eller fängelse i högst ett år den som uppsåtligen eller av oaktsamhet 1. inrättar eller för personregister utan licens eller

tillstånd enligt datalagen, när detta erfordras, 2. bryter mot villkor eller förbud som datainspektionen

har meddelat enligt 5, 6 eller 18 §, 3. lämnar en personuppgift i strid mot utlämnandeför-

budet i 11 §, dvs. lämnar ut personuppgifter ur

när det finns risk för att uppgifterna

personregister

skall användas i strid mot datalagen eller lämnar ut

sådana utan erforderligt tillstånd av

uppgifter,

datainspektionen, när det kan antas att uppgifterna

skall användas för automatisk databehandling i en

stat som inte anslutit sig till Europarådets data-

skyddskonvention. 4. bryter mot gallringsregelni 12 §,

5. lämnar en osann uppgift vid fullgörande av skyldig-

heten att lämna underrättelse enligt 10 §, 6. lämnar en osann uppgift i sådana fall som avses i

17 §, dvs. då datainspektionen begär upplysningar

för sin tillsynsverksamhet.

andra döms till böter den som uppsåtligen eller

Enligt stycket

av oaktsamhet mot 7 a § första eller tredje stycket, dvs.

bryter

inte för registerförteckning eller inte har angivit avsändaren på försändelse som innehåller personuppgift till den registrerade.

En straffbestämmelse finns också i 21 § datalagen. Där föreskrivs att den som olovligen bereder sig tillgång till en

för automatisk databehandling eller olovligen ändrar

upptagning

eller eller i ett för in en sådan upptagning skall

utplånar register

dömas för dataintrång till böter eller i högst två år, om

fängelse

inte är med straff i brottsbalken. Med

gärningen belagd

avses här även uppgifter som är under befordran via

upptagning

elektroniskt eller annat liknande hjälpmedel för att användas vid automatisk databehandling. Brottet är straffbart även på försöks-

och förberedelsestadiet, om det inte är ringa. Ett personregister kan enligt 22 § datalagen förklaras

förverkat om det inrättats eller förts utan nödvändig licens eller tillstånd eller förts i strid med ett av datainspektionen meddelat förbud.

Här bör också nämnas att bestämmelsen i 13 § datalagen om

sanktioneras av bestämmelsen i 20 kap. 3 §

tystnadsplikt

brottsbalken om brott mot tystnadsplikt.

Datalagens straffbestämmelser är inte formellt utformade så att ansvaret riktas mot någon särskilt utpekad person. Av för-

arbetena till dock att man utgått från att

datalagen framgår

straffbestämmelserna endast i ringa utsträckning skulle vara annan än den registeransvarige (se prop. 1973:33

tillämpliga på s. 104).

Som nämnts avsnitt 3.3.1) kan såväl som

tidigare (se fysiska

och vara I de

juridiska personer myndigheter registeransvariga.

fall då den av en eller en

registeransvarige utgörs myndighet

t.ex. ett aktiebolag, uppstår frågan vilken fysisk juridisk person,

som skall bära det straffrättsliga ansvaret för brott som person förövas inom ramen för en sådan registeransvarigs verksamhet.

har man att tillämpa allmänna straffrättsliga princip- Härvidlag

er.

När det gäller placeringen av ansvaret för lagöverträdelser

som i privata företags verksamhet har vissa regler om

begås

s.k. utvecklats i rättspraxis. I princip åvilar det

företagaransvar ansvaret I ett aktiebolag utgörs

straffrättsliga företagsledningen.

denna av eller den verkställande direktören. Ansvaret

styrelsen

inom fördelas så att ansvaret i första hand

företagsledningen

åvilar den ledamot inom vars verksamhetsområde en lagöverträdelse Verkställande direktören kommer därvid

begåtts.

i första hand i eftersom han ansvarar för den löpande

fråga

Endast finns anledning att ålägga en

förvaltningen. undantagsvis

medlem av en juridisk persons högsta beslutande organ (t.ex. eller ansvar. Aktieägare anses bli

bolags- föreningsstämma)

ansvariga endast vid kvalificerad medverkan eller mycket grova brott. Såväl enskilda näringsidkare som ledare av juridiska personers verksamhet kan rådande rättspraxis under vissa förut-

enligt

det straffrättsliga ansvaret på en ställföre-

sättningar överflytta

trädare, som anförtrotts att med tämligen stor självständighet leda företagets verksamhet i dess helhet eller en gren därav. Som för att ansvaret skall kunna överflyttas krävs

förutsättning

att det med till föreliggande omständigheter är svårt för

hänsyn

företagaren att förhindra vissa lagöverträdelser. Exempel på

sådana är att företaget är så omfattande att

omständigheter

inte kan behärska alla detaljer i verksamheten, att

företagaren

företagaren är bosatt på arman ort än den där verksamheten bedrivs eller att företagaren på grund av ålder eller sjukdom, eller omfattande i andra företag eller allmänna lyte engagemang inte helt kan övervaka arbetets anordnande och

angelägenheter

bedrivande. Se Hans Thornstedts promemoria (DsJu

professorn 1975:23) om vissa specialstraffrättsliga problem.

Företagsledningen ansvarar emellertid alltid för att företaget på sådant sätt att lagöverträdelser kan förutsättas

organiseras

inte ske i dess verksamhet. Ledningen har alltså att sörja för att

företaget har en personalorganisation och att

ändamålsenlig

underordnad personal är och instruerad

kompetent tillräckligt

för sina uppgifter. Även om av straffansvar skett

överflyttning

är ledningen att gripa in om det visas brister

skyldig föreligga

eller annars särskild Vid oaktsamhetsbrott

anledning föreligger.

kan ansvar utkrävas av den i företagsledningen som oaktsamt brustit i vad som enligt det nyss honom.

sagda ålegat

Då uppsåt erfordras för straffbarhet, blir även om

företagaren,

han anförtrott åt en för

förvaltningen ställföreträdare, ansvarig

lagöverträdelser som inträffar med hans och

vetskap vilja.

Naturligtvis blir också om han

företagaren straffansvarig givit

order om en lagöverträdelse. Detsamma om han inte

gäller,

respekterar den bestämda mellan och

arbetsfördelningen sig

ställföreträdaren och trots denna faktiskt utövar och

ledning

kontroll i detalj av viss verksamhet. Ansvaret åvilar då företagaren och inte ställföreträdaren för förseelser, som står i samband med denna verksamhet. Dessa principer för det

företagaransvar på privata närings-

livets område torde även kunna tillämpas då

straffrättsligt

ansvar skall utkrävas för brott i en verksamhet. Det

myndighets

innebär att även styrelseledamöter och chefer i kan

myndigheter

bli straffrättsligt ansvariga. Vid brott mot kommer

datalagen

straffansvaret att åvila den eller som är de personer ansvariga för verksamheten. Detta torde i princip gälla både och

statliga

kommunala I om kommunala nämnder torde

myndigheter. fråga

ansvaret åvila nämndens ordförande och dess ledamöter. Högsta domstolen (HD) har i ett rättsfall (NJA 1987 s. 426) prövat frågan om ordföranden i en kommunal nämnd kunde göras ansvarig för brott mot bestående datalagen i att personregister förts utan tillstånd av Ordföranden

datainspektionen.

gjorde bl.a. gällande att ansvaret för den

datalagsfrågor genom

ansvarsfördelning som gällde inom kommunen till

delegerats

nämndens kanslichef. I domen, vari åtalet uttalar HD

ogillades,

bl.a. att de principer för som utbildats i

företagaransvar

rättspraxis för det privata kan som en ut-

näringslivet tjäna

gångspunkt också på den kommunala sektorn. HD nämner vidare att möjligheten att ansvar är

delegera möjligen något

mindre omfattande på den kommunala sektorn och att om-

ständigheterna i det särskilda fallet måste tillmätas

betydande

vikt när det att ta till om det

gäller ställning delegation av

straffrättsliga ansvaret för förtroendevalda kunnat ske.

5.2.2¶Praxis

Datalagens straffbestämmelser har endast tillämpats i ett fåtal fall.

Av en av datalagstiftningskommittén i februari 1981 upprättad

PM framgår att kommittén då endast hade funnit tre avdömda fall vad gäller brott mot datalagens bestämmelser. Dessa var

följande.

Norrtälje tingsrätt dömde år 1978 en person till dagsböter enligt 20 § 1 p datalagen för att ha inrättat personregister utan tillstånd. Ett aktiebolag hade använt ett annat närstående aktiebolags personregister för marknadsföring utan att söka erforderligt tillstånd.

Borås tingsrätt dömde år 1978 en person till dagsböter för dataintrâng och brott mot tystnadsplikt. Dataintrånget bestod i att en polisman berett sig tillgång till rikspolisstyrelsens polisregister i en angelägenhet som inte rörde tjänsten. Genom att polismannen dessutom visat registerutdrag för kollegor som inte haft berättigat intresse av att få del av uppgifter dömdes han även för brott mot tystnadsplikten. Borås tingsrätt dömde år 1980 en person för bl.a. brott mot 20 § 2 p datalagen till dagsböter. I domen âberopades även 6 § 7 p datalagen. Brottet bestod i att ett bolag som hade tillstånd enligt förenklat förfarande att föra kund-, leverantörs-, abonnent- och faktureringsregister även använde register med annat bolags kunder för marknadsföring. Enligt datainspektionens föreskrifter fick endast egna kunder ingå i registret.

Utredningen har tidigare under avsnitt 5.2.1. berört en dom av högsta domstolen. Domstolen ogillade i ett avgörande från år 1987 ett åtal för brott mot datalagen avseende en valnämndsordförande för att Valnämnden inrättat och fort ett personregister. Underinstanserna hade även ogillat ett åtal för brott mot datalagen avseende en sektionschef vid Stockholms kommuns dataenhet för att kommunens befolkningsregister i strid mot ett beslut av sambearbetats med det av

datainspektionen

Valnämnden inrättade registret. I målet aktualiserades frågan om vem som bar det straffrättsliga ansvaret. Rättsfallet är refererat i NJA 1987 s. 426.

Rikspolisstyrelsen gjorde i november 1988 en rundfrâga till landets om frekvensen av databrott och

polismyndigheter

datorrelaterad brottslighet. Resultatet av undersökningen har redovisats i RPS Rapport 1991:1 Datorrelaterad brottslighet. En

undersökning hos polismyndigheterna. Redovisningen omfattar

brottsutredningar som var aktuella under tiden 1 januari 1987 - 31 augusti 1989. I rapporten redovisas 47 ärenden, varav det i 18 fall var fråga om brott eller misstanke om brott mot 21 §

datalagen (dataintráng). I övrigt gällde de redovisade ärendena

olika slags brottsbalksbrott med (18 ärenden),

datoranknytning

brott mot lagen om upphovsrätt (7 ärenden) samt fall av illojal konkurrens (4 ärenden).

För att få en bild av hur sanktionsbestämmelserna i datalagen har tillämpats av domstolarna under de senaste åren har

utredningen tillskrivit landets samtliga 97 tingsrätter. Dessa har

tillfrågats om de under åren 1985 - 1991 har handlagt mål där talan förts med åberopande av bestämmelserna i 20 - 24 §§

datalagen. Utredningen har fått svar från 89 tingsrätter. Av

svaren framgår att 14 av dessa tingsrätter har handlagt mål av det efterfrågade slaget. Det totala antalet sådana mål under den

aktuella perioden uppgick till 17. Nästan samtliga mål avsåg

frågan om straffansvar. Endast två av målen gällde skadestånds-

skyldighet enligt 23 § datalagen (Dessa skadeståndsmål redogörs

närmare för i avsnitt 5.3.2). Av brottmålen gällde nio mål ansvar for De

dataintrång.

övriga sex brottmålsdomarna var följande.

Göteborgs tingsrätt ogillade i april 1985 ett åtal för brott mot datalagen avseende en läkare vid Göteborgs sjukhusförvaltning. Sjukhusförvaltningen hade år 1975 beviljats tillstånd att inrätta och föra ett personregister för att genomföra en undersökning om bamolycksfall i kommunen. Läkaren, som var s.k. kontaktman, hade fortlöpande varit i kontakt med datainspektionen samt begärt förlängning m.m. angående registret samt ensam utnyttjat detta för forskning. I november 1980 erhöll sj ukvårdsförvaltningen tillstånd att tillfälligt till registret inhämta uppgifter från socialförvaltningens personregister. Datainspektionen föreskrev i samband därmed att de från inhämtade

socialförvaltningen uppgifterna

skulle förstöras av

senast den 31 april 1981. Vid en inspektion datainspektionen i oktober 1982 framkom att så inte hade skett. Aklagaren lade läkaren till last att han av oaktsamhet inte tillsett att uppgifterna förstörts. Tingsrätten fann att den omständigheten att läkaren hade up trätt som kontaktman mellan datainspektionen och sj ukvårdsförva tningen inte kunde medföra att det ansvar, som åvilat den registeransvarige att tillse före-

att datainspektionens skrifter följts, överflyttats på läkaren.

Falköpings dömde år 1986 kanslichefen i en kommun för brott mot data agen enligt 20 § l tingsrätt jämförd med 2 § andra stycket

3 och fjärde stycket datalagen till trettio dagsböter. Tingsrätten fann utrett att fritidsintendenten i kommunen utan tillstånd av datainspektionen insamlandet av personuppgifter avsedda

påbörjat

att ingå i ett dataregister. Kanslichefen, som i administrativt hänseende var överordnad fritidsintendenten och som haft befogenhet att beordra intendenten att inställa arbetet, hade samtyckt till insamlandet av Domen överklagades till

uppgifterna.

Göta hovrätt som fastställde dom i ansvarsdelen.

tingsrättens Högsta domstolen meddelade inte

prövningstillstånd.

Norrköpings tingsrätt ogillade i januari 1990 ett åtal fir brott mot datalagen avseende en person som under av straff på

avtjänande

kriminalvårdsanstalt med hjälp av ADB utan tillstånd upprättat och fört ett personregister över bl.a. landets samtliga riksdags-

ledamöter och personer som förekommit i den honom rörande förundersökningen. Den tilltalade uppgav att han hade använt och avsåg att använda registren enbart för att skapa debatt och bilda opinion samt för att kunna tillvarata sin rått vid kommande dornstolsprövning. Tingsrätten fann att denna uppgift inte motbevisats utan fick tas för god. Registren ansågs därför ha inrättats och förts uteslutande för personligt bruk för vilket tillstånd inte hade erfordrats. Efter överklagande av åklagaren fastställde Göta hovrätt i mars 1990 tingsrättens dom.

Göteborgs tingsrätt dömde i februari 1990 en man för brott mot datalagen till sextio dagsböter. Den dömde hade varit verkställande direktör och firmatecknare i ett aktiebolag som utan licens och tillstånd inrättat och i drygt ett års tid fört ett personregister innehållande olika personers namn, arbetsgivare, inkomst och förmögenhetsförhållanden. Då bolaget försattes i konkurs överlåts bl.a. detta personregister till ett annat av mannen ägt aktiebolag. Vid konkurstillfillet innehöll registret uppgifter om ca 12 700 personer varav åtminstone 4 700 personer inte hade något kundförhållande till konkursbolaget.

Malmö tingsrätt dömde i september 1990 en man för brott mot 20 § 1 stycket l punkten datalagen till sextio dagsböter. Den dömde hade utan licens och tillstånd inrättat och fört ett ADBregister. Registret innehöll rubriknamnen på olika tidningsartiklar och för varje rubrik en sidohänvisning till ett antal pärmar med diverse tidningsurklipp. Personnamn var sökbara i den mån namnet ingick i en rubriknamnet. Urklippen innehöll uppgifter om personer vilka dömts för brott och om den politiska debatten. Mannen använde registret i sin verksamhet som journalist, författare för att snabbt kunna plocka fram

och föredragshållare fakta från pärmama. Rätten ansåg registret vara att anse som ett personregister i datalagens mening, vilket inte använts uteslutande för personligt bruk. Den omständigheten att personuppgifterna i registret i vissa fall måste översättas till en viss person på manuell väg genom sidohänvisningama i registret och mannens samling av urklipp ansågs inte utgöra grund för en annan bedömning. Detta även om det endast var möjligt för mannen att förstå vilken person som avsågs. Tingsrättens dom vann laga kraft.

Västerås tingsrätt dömde i april 1991 en man för brott mot 20 § 1 stycket 1 punkten datalagen till tjugo dagsböter. Den dömde var verkställande direktör och huvudredaktör för en tidning vars datoriserade klipparkiv, innehållande bl.a. personuppgifter, hade förts utan licens och tillstånd under ca sex månader. Under denna tid hade bibliotek och skolor via terminaler haft direktåtkomst till registret. Tingsrätten farm omständigheterna förmildrande och utdömde därför endast ett lågt bötesstraff. Domen har överklagats. Se även SOU 1991:21 s. 94.

I detta sammanhang kan även nämnas tre fall i vilka

följande

datainspektionen gjort anmälan om misstänkta datalagsbrott.

Datainspektionen ingav år 1989 till justitiekanslem en anmälan mot statens invandrarverk för misstanke om brott mot 20 § 2 datalagen. Datainspektionen menade att statens invandrarverk i vissa hänseenden inte efterkommit av inspektionen meddelade villkor om bl.a. kontroll och säkerhet i verkets s.k. SU-system

(systemet för utlänningsårenden; ett personregister omfattande ca 470 000 personer med uppgifter om bl.a. utlärmingars namn, födelsetid, medborgarskap, resedokument, vissa tvångsâtgärder, ansökan om politisk asyl, utvisning p.g.a. brott m.m.) samt om utlämnande av personuppgifter från registret. Datainspektionen påtalade att villkor inte följts rörande behörighetskontroll och behandlingshistorik samt rörande utlämnande av personuppgifter till arbetsmarknadsdepartementet och rikspolisstyrelsen. Justitiekanslern farm i beslut den 2 oktober 1989 att de av datainspektionen meddelade villkoren hade blivit åsidosatta i viktiga hänseenden och att dessa brister var allvarliga med tanke på att SUsystemet var mycket integritetskänsligt. Justitiekanslern fann dock att något straffrättsligt förfarande inte borde inledas med anledning av vad som förekommit. Skälen härför angavs framför allt vara att det förekom omständigheter som kunde tyda på att datainspektionen blivit informerad om åtminstone vissa av bristerna men inte påtalat dessa samt att bristerna i Övrigt, dvs. utlämnandet av personuppgifter till arbetsmarknadsdepartementet och rikspolisstyrelsen, inte kunde antas ha varit ägnade att leda till integritetskränkning för någon enskild.

Datainspektionen ingav i maj 1990 till åklagarmyndigheten i Solna en anmälan mot Karolinska Institutet om ifrågasatt brott mot datalagen. I anmälan anförde datainspektionen att det ålåg Karolinska Institutet i e enskap av registeransvarig för de personregister som fördes ör institutets att

forskningsverksamhet

enligt 2 § andra stycket datalagen ansöka om tillstånd för inrättande och förande av personregister. Vidare anförde datainspektionen att det också ålâg institutet att enligt 7 a § första stycket datalagen föra en aktuell förteckning över de personregister som fördes för institutets verksamhet

samt att enligt 12 § andra stycket i förekommande fall göra anmälan till datainspektionen när institutet upphörde att föra ett personregister för vilket inspektionen meddelat tillstånd. I anmälan att

påtalade datainspektionen Karolinska Institutet föreföll ha brutit mot de angivna lagrummen. Aklagarrnyndigheten i Solna inledde förundersökning men beslöt i december 1990 att lägga ned denna. Datainspektionen begärde överprövnin g av nedläggningsbeslutet. Regionåklagarmyndigheten i Stockholm beslöt i maj 1991 att förundersökningen skulle återupptas för att utreda varför inte tillstånd hade sökts och avanmälan skett beträffande vissa av de påtalade personregistren.

I augusti 1991 ingav datainspektionen till åklagannyndi heten i Stockholm en anmälan mot en social distriktsnämnd om i rågasatt brott mot 20 § första stycket datalagen. Nämnden ansökte i december 1990 om tillstånd att få inrätta och föra ett personregister benämnt Arbetskortsregister. Vid en inspektion hos distriktsnämnden den 31 maj 1991 fann datainspektionen att det ifrågavarande personregistret redan hade inrättats och användes i verksamheten. I sin åtalsanmälan anförde inspektionen att den sociala distriktsnämnden underlåtit att ansöka om tillstånd innan registret, som innehåller mycket integritetskänsliga uppgifter (bl .a. uppgifter om brott och brottsmisstanke), inrättades trots att den varit medveten om att denna skyldighet förelegat samt att säkerhetsåtgärdema till skydd för personregistret varit bristfälliga.

5.2.3¶Tidigare och utredningsarbete

pågående

Offentlighets- och (OSK)

sekretesslagstiftningskommittén

föreslog i sitt betänkande (SOU 1972:47) Data och integritet att vissa straffbestämmelser infördes i datalagen. Dessa gällde över-

trädelser med anknytning till själva datalagen. Vidare föreslogs

även ett tillägg till brottsbalken rörande ett nytt brott, dataintráng. Detta brott bestod i att man olovligen beredde

sig

tillgång till upptagning för automatisk eller

databehandling

olovligen ändrade eller utplånade sådan upptagning.

Förslaget till straffbestämmelser som gällde överträdelse av

olika stadganden i datalagen kom med vissa smärre justeringar

att in i den datalag som följde OSKs betänkande. I

flyta på

propositionen (1973:33) anförde departementschefen att

datalagens särskilda straffbestämmelser endast i ringa ut-

sträckning skulle vara tillämpliga på annan än registerföraren

(s. 104). Han ansåg vidare att det även behövdes straffbestämmelser som helt allmänt datalagrat material mot

skyddade

obehöriga åtgärder oavsett om åtgärderna medförde otillbörligt

integritetsintrång eller ej. Till det straffbara området borde enligt departementschefen höra dels förfarande som innebar att

någon olovligen beredde sig till upptagning för ADB,

tillgång

med eller utan besittningsrubbning, dels fall då

någon olovligen

ändrade eller utplånade sådan upptagning eller då

upptagning olovligen fördes in i ett register. Enligt departementschefen

fanns det ett behov av en kompletterande straffbestämmelse. I motsats till OSK farm han att en sådan bestämmelse inte ett

på

naturligt sätt kunde fogas in i något av brottsbalkens

kapitel.

Den borde därför enligt hans mening tas in i

datalagen.

Departementschefen ansåg även att försök och förberedelse till dataintrång i princip borde vara kriminaliserat 105 I

(s. f).

specialmotiveringen till 21 § datalagen anfördes följande (s. 145

f):

Till de bestämmelser i brottsbalken som sålunda kan bli tilllämpliga hör i första hand reglema om tillgrepps- och förfalskningsbrotti 8 resp. 14 kap. brottsbalken. Det kan även bli aktuellt att döma till ansvar för exempelvis skadegörelse enligt

12 kap. 1 § brottsbalken eller trolöshet mot huvudman enligt 10 kap. 5 § brottsbalken.

Det bör påpekas att straff för förfalskningsbrott kan ådömas endast om föremålet för åtgärden är att betrakta som urkund. Som urkund anses enligt 14 kap. 1 § andra stycket brottsbalken dels protokoll, kontrakt, skuldebrev, intyg och annan handling som upprättats till bevis eller annars är av betydelse som bevis, dels legitimationskort, biljett eller dylikt bevisrnärke. Urkundsbegreppet i det nämnda lagrummet är enligt uttalande som har gjorts i den auktoritativa kommentaren till brottsbalken att fatta så

vidsträckt att det omfattar även anteckningar som åstadkommits på helt maskinell väg, t.ex. diktafonband eller grafiska framställningar. Denna tolkning av lagrummet, till vilkenjag ansluter mig, innebär att även upptagningar för ADB i stor utsträckning faller under begreppet urkund. Manipulerande med en maskin som framställer urkunder kan däremot enligt kommentaren inte anses utgöra förfalskningsbrott.

Straffbestämmelsen avseende dataintrång kom att föras in i

i stället för i brottsbalken som OSK föreslagit. Vidare

datalagen

kriminaliserades även försök och förberedelse. Olovligt införande av i register kom också att omfattas av

upptagning

straffbestämmelsen.

I 20 § datalagen infördes också straffregler som gällde brott mot datalagens bestämmelser om tystnadsplikt. Då nya regler infördes i brottsbalken om bl.a. brott mot tystnadsplikt den 1 januari 1976 försvann denna straffbestämmelse ur datalagen

(prop. 1975:78, JuU 22, rskr. 212, SFS 1975:740).

Datalagstiftningskommittén (DALK) berörde straffbestämmelsen om dataintrång i delbetänkandet (SOU 1978:54) Person-

- Detta foranleddes bl.a. av att

register - Datorer Integritet.

datainspektionen ifrågasatt om inte bestämmelsen borde ändras. Som skäl angav inspektionen att regeln var subsidiär till

i brottsbalken, vilket kunde innebära att en gärning av

reglerna

det aktuella enligt brottsbalken bedömdes som ett

slaget lindrigare brott, nämligen egenmäktigt förfarande. DALK fann

dock att det inte fanns tillräckliga skäl att ändra straffregeln

(s. 281).

I samband med 1979 års ändringar av 2 § datalagen som innebar att som fördes med viss bestämd teknisk

personregister

utrustning undantogs från det då gällande tillståndskravet, erhöll

20 § punkten 2 sin nuvarande lyde1se.(prop. 1978/792109, KU

37, rskr. 360, SFS 1979:334). I propositionen fann departe-

mentschefen (s. 29 f) beträffande straftbestämmelsen om dataintrång att den även i fortsättningen borde vara subsidiär till

brottsbalkens regler. Enligt hans mening fanns ingen anledning

till att brott som föll under de allmänna straffbestämmelserna i brottsbalken skulle särbehandlas enbart därför att ADB hade använts som vid brott eller utgjort en förutsättning

hjälpmedel

för detta. Han ansåg dock att straffbestämmelsen borde ses över och att detta skulle ske i samband med utredningen av en

generell lagstiftning om personregister.

Bestämmelsen i 20 § punkten 1 och förverkandebestämmelsen i 22 § fick sin nuvarande lydelse i samband med att licenssystemet infördes år 1982 (prop. 1981/822189, KU 33, rskr.

349, SFS 1982:446). Samtidigt tillkom som en följdändring

även andra stycket i 20 §.

På av b1.a. förmögenhetsbrottsutredningens be-

grundval

tänkande (SOU 1983:50) Översyn av lagstiftningen om förutvidgades år 1986 bestämmelsen om

mögenhetsbrotten

i 9 1 § brottsbalken genom en regel med direkt

bedrägeri kap.

på olovlig påverkan av resultatet av automatisk

tillämpning

informationsbehandling eller andra liknande processer (prop. l985/86:65, JuU 17, rskr. 121, SFS 1986:123). Bestämmelsen i 10 5 § brottsbalken om trolöshet mot huvudman kom att

kap.

gälla också i fråga om den som anförtrotts att självständigt handha eller övervaka skötseln av en kvalificerad teknisk Vidare gjordes föreskriften i 10 kap. 7 § brottsbalken

uppgift. om olovligtbrukande tillämplig oavsettbesittningsförhållandena,

b1.a. för att möta vissa situationer där någon olovligen utnytt-

annans datoranläggning. För att undanröja eventuella jade någon

oklarheter rörande omfattningen av straffbestämmelsen om i 21 § datalagen gjordes denna bestämmelse

dataintrång

tillämplig på information som är under befordran

uttryckligen

via elektroniskt eller annat liknande hjälpmedel för att användas för automatisk databehandling (s.k. wiretapping), även om inte är att anse som upptagning för ADB (SFS

uppgifterna 1986:122).

Datastrajfrdttsutredningen

Datastraffrättsutredningen (J u 1989:04) skall enligt sina direktiv

1989:54) b1.a. se över om bestämmelsen om dataintrång

(Dir

bör finnas kvar i sin nuvarande utformning eller om det är att inarbeta bestämmelsen i brottsbalken. Enligt vad som

möjligt

inhämtats kommer utredningen att föreslå att bestämmelsen om dataintrång över till brottsbalken. Datastraffrättsutred-

flyttas

ningens arbete kommer att redovisas i ett betänkande som beräknas kunna överlämnas i juni 1992.

5.3¶Skadestånd

5.3.1 Gällande rätt

Om en registrerad tillfogas skada genom att ett personregister innehåller oriktig eller missvisande uppgift om honom, skall den

enligt 23 § första stycket datalagen ersätta

registeransvarige

skadan.

Regeln korresponderar med regeln om rättelse av oriktiga och missvisande uppgifter i 8 § datalagen. Den omständigheten att

den sin den

registeransvarige uppfyllt rättelseskyldighet enligt

paragrafen behöver inte innebära att han befrias från sin

skadeståndsskyldighet.

Skadeståndsregeln i 23 § första innebär att skade-

stycket

ståndsskyldighet föreligger även om den skadeståndsansvarige

inte har orsakat skadan avsiktligt eller vårdslöshet, dvs. genom s.k. strikt skadeståndsansvar. Detta innebär bl.a. att även för det fallet att en viss felaktighet i ett inte har sin

personregister grund i ett agerande från den registeransvariges sida utan

härstammar från ett annat håll, t.ex. från ett annat personregister, den registeransvarige bär ansvaret den gentemot registrerade. Den registeransvarige kan dock i vissa fall enligt

allmänna skadeståndsrättsliga regler ha rätt att regressvis

återkräva det skadeståndsbelopp han betalat ut. En regel om skadestånd vid brott finns i 23 § andra

intagen stycket datalagen. Där stadgas att om någon tillfogas skada

genom brott som avses i 20 § första stycket datalagen (brott mot

datainspektionens villkor och vissa allmänna registerbestämmelser) eller 21 § datalagen skall den som gjort sig

(dataintrång),

skyldig till brottet ersätta skadan. Vid bedömande om och i vad mån skada har skall

uppstått man enligt 23 § tredje stycket datalagen ta även till hänsyn

lidande och andra omständigheter av annan än rent ekonomisk betydelse, dvs. ersättning kan utgå även för s.k. ideell skada. Av allmänna bl.a. att skade-

skadeståndsrättsliga regler följer

stånd enligt 23 § första och andra stycket kan för

datalagen utgå

personskada, sakskada och ren förmögenhetsskada. Enligt 23 §

tredje stycket kan alltså även skadestånd utgå för ideell skada utan samband med sakskada. Att skadestånd i ett visst fall skall

utgå enligt paragrafens

andra stycke behöver inte utesluta att skadestånd kan även

utgå

enligt första stycket för samma förfarande. Som exempel nämns i förarbetena (prop. 1986/872116 s. 22) att en registeransvarig

registrerar en personuppgift, som dels är oriktig eller miss-

visande och dels inte får registreras vad

enligt datainspektionen

bestämt för registret. Att uppgiften är oriktig eller missvisande kan grunda enligt 23 § första

skadeståndsskyldighet stycket

datalagen. Brottet mot villkor faller under

datainspektionens

straftbestämmelsen i 20 § första datalagen och kan

stycket grunda skadeståndsskyldighet enligt 23 § andra stycket. I bägge

fallen kan ersättning utgå även för ideell skada

enligt tredje stycket.

När skada uppstår till följd av i

oriktighet myndighets register

kan det vara fråga om sådan skada vid som

myndighetsutövning

avses i 3 kap. 2 § Även om skadestånds-

skadeståndslagen.

regeln i datalagen innebär att skadeståndsskyldigheten regleras

särskilt på förevarande område bör enligt förarbetena till

datalagen (prop. 1973:33 s. 149) vissa regler i skadeståndslagen

kunna vara tillämpliga, t.ex. bestämmelsen i 6 kap. 1 § om jämkning av skadestånd på grund av vållande på den skade-

lidandes sida. Den utvidgning av det straffrättsliga tjänsteansva-

ret för offentligt anställda som trädde i kraft den 1 oktober 1989 innebar inga ändringar av bestämmelserna om det allmännas

ansvar enligt skadeståndslagen (prop. 1988/89:113, JuU24,

rskr. 312, SFS 1989:608). Däremot upphörde genom en

lagändring vissa bestämmelser i skadeståndslagen (3 kap 3-5 §§)

om särskilda begränsningar i det allmännas skadeståndsansvar

att gälla den ljanuari 1990 (prop. 1989/90:42, LUIO, rskr. 50,

SFS 1989:926). Enligt 9 § lagen om inskrivningsregister (1973:98) har staten

strikt ansvar för skador som orsakats av tekniska fel. Regeln stadgar att bestämmelsen i 19 kap 19 § jordabalken om ersättning för förlust till följd av fel eller försummelse äger motsvarande på förlust som orsakats av tekniska fel i

tillämpning

registret eller i anordning som anslutits till detta hos vissa

statliga och kommunala myndigheter. I 19 kap 5 § fastighetsbildningslagen (1970:988) finns en liknande skadeståndsregel

för skador som orsakats av tekniska fel i och

fastighetsregistret

i vissa till registret anslutna terminaler.

Liknande skadeståndsregler finns dels i 370 § sjölagen

(189l:35) för skada som orsakats av tekniska fel i skepps- eller

skeppsbyggnadsregistret vid användning av ADB eller i anordning som hos registermyndigheten eller annan statlig

myndighet är ansluten till registret, dels i 5 kap 1 § företagshypotekslagen (1984:649) för skada som någon lider till följd av tekniskt fel i eller i någon

företagsinteckningsregistret anordning som hos inskrivningsmyndigheten eller annan statlig

myndighet är ansluten till registret.

Även i aktiekontolagen (1989:827) finns i 7 kap 2 § en

bestämmelse om rent strikt skadeståndsansvar som direkt riktar sig mot ADB-baserad verksamhet. Regeln innebär att om någon tillfogas skada till följd av oriktig eller missvisande uppgift i ett avstämningsregister eller i annat fall genom fel i samband med uppläggning eller förande av ett sådant register, denne har rätt

till ersättning av värdepapperscentralen (VPC). VPC har dock viss möjlighet att exculpera sig.

En annan lag som bör nämnas i detta sammanhang är inkasso-

lagen (1974:182). Enligt 18 § inkassolagen skall den som

bedriver inkassoverksamhet och förorsakar skada genom

otillbörlig påtryckning eller annan otillbörlig inkassoåtgärd

ersätta denna. Om ett inkassoregister förs med hjälp av ADB är

skadeståndsregeln i datalagen tillämplig. En skadeståndsregel finns också intagen i 21 § kreditupplys-

ningslagen (1973:1173). Enligt denna skall den som bedriver kreditupplysningsverksamhet ersätta skada som till följd av verksamheten tillfogas någon genom intrång i hans personliga

integritet. Vidare uppkommer skadeståndsskyldighet om oriktig

uppgift lämnas, om inte den som bedriver verksamheten kan

visa att tillbörlig omsorg och varsamhet iakttagits. Vad som

skall ersättas är både ideell och ren förmögenhetsskada. I de fall

ett kreditupplysningsregister förs med hjälp av ADB blir dock även skadeståndsregeln i datalagen tillämplig (jfr prop.

1973:155 s. 122). i. ä l 5.3.2 Praxis L* 3;» å

i De praktiska erfarenheterna av datalagens skadeståndsregel är

$ EC mycket begränsade beroende på att antalet skadeståndsärenden ;f

varit litet. Det alldeles övervägande antalet av dessa har gällt

anspråk mot staten. De har slutligt reglerats av justitiekanslern

(JK) som i de fall skadestånd över huvud taget medgetts har

bestämt dessa till förhållandevis låga belopp.

Vid remissbehandlingen av DALKs delbetänkande (SOU

- Datorer - hänvisade JK i sitt

1978:54) Personregister Integritet

till att han reglerat ett trettiotal skadeståndsärenden i

yttrande

vilka han hade tillämpat 23 § datalagen. Åtskilliga av anspråken hade avsett ringa belopp, i några fall endast ersättning för

portokostnader (se prop. 1978/79:lO9 s. 199).

För att få en bild av hur omfattande skaderegleringen var hos

JK samt av ärendetypen vad gällde registeransvariga, typen av

fel, ersättningsbelopp m.m. granskade DALK härefter beslut

hos JK som rörde för åren 1978 -

skadestånd enligt datalagen

1980. Resultatet av undersökningen redovisades i en år 1981

upprättad PM. Av denna att JK under år 1978 be-

framgår

slutade om ersättning i 11 fall, under år 1979 i 18 fall och

under år 1980 i sex fall. Nästan alla ärenden gällde fel i

bilregistret eller parkeringsanmärkningsregistret och medförde

för trañksäkerhetsverket eller berörd

skadeståndsskyldighet

Ett fall gällde fel i en skatteregister

länsstyrelse. länsstyrelses

och ett annat fall fel i register hos en försäkringskassa. Lägsta

ersättningsbelopp som beslutats var 2 kr 10 öre och högsta

belopp 2 200 kr. Av ärendena rörde 24 belopp som understeg

100 kr, och 13 av fallen gällde 20 kr eller mindre. Näst högsta

belopp var 361 kr. De flesta fallen rörde fel i parkerings-

anmärkningsregistret beroende t.ex. på att undanröjda beslut

if

ä

inte registrerades, av bilar hade skett eller att för

förväxling hög

parkeringsavgift registrerats. Vad som ersatts var telefon- och portokostnader för att få rättelse. Vidare hade ersättning för besvär och tidsspillan utgetts samt för ränteförlust

ersättning genom att återbetalning av parkeringsavgifter felaktiga fördröjts.

Även när det gällde fel i bilregistret hade skadestånd utbetalats för rättelsekostnad och som for I

ersättning tidsspillan. några

fall hade det gällt ersättning för som

onödig besiktning, något

varit en följd av uppgifter. I ett fall hade en bil åsatts

felaktiga

fel årsmodell. Köparen ansågs på grund härav ha gett ett för högt pris för bilen när han köpte den och tillerkändes

begagnad ersättning med 2 100 kr för att kompensera detta, förutom

ersättning för resor och telefonsamtal med 100 kr. De felregistreringar som medfört hade ofta varit

skadeståndsskyldighet

mer inriktade på objekt - t.ex. bilen - än och ibland

personer

gällt detaljuppgifter om objekten som t.ex. felaktiga chassi-

nummer och dylikt. I en del fall hade ersättning yrkats för ideell skada i form av lidande. De fall som ersatts hade dock

psykiskt

uteslutande gällt ekonomisk skada. I DOKs delbetänkande (SOU Rättelse och skade-

1986:24)

stånd Patientuppgifter i personregister refereras

ytterligare några

exempel på skadeståndsärenden hos justitiekanslern under åren 1984 och 1985 (s. 42 f). De var följande.

En oriktig adressuppgift i folkbokföringsregistret hade spritt sig

till bl.a. riksförsäkringsverkets och medfört

sj ukförsäkringsregister försenad utbetalning av Felet

bidragsförskott. hade uppkommit

genom att två personer med samma namn hade förväxlats sedan pastorsämbetet aviserat om adressändring för den ene. Den drabbade mannen begärde ersättning av staten med 12 000 kr, varav huvuddelen för eget arbete och för lidande.

Utredningen visade endast att mannens post i vissa fall hade blivit försenad. Han ansågs varken berättigad till ersättning för psykiskt lidande eller för eget arbete. Däremot utbetalades 25 kr, för ränteförlust, portokostnader, brevpapper m.m.

Sedan länsstyrelsen fått underrättelse om att en utomlands bosatt man hade ändrat namn sände trafiksäkerhetsverket

ut ett nytt körkortsunderlag på vilket en bokstav i mannens namn var fel. På den avi som hade sänts ut farms anvisningar om vad körkortshavaren skall göra om uppgifterna inte är riktiga. I stället för att iaktta denna rutin försökte mannen nå trafiksäkerhetsverket

per telefon

och lade enligt egen up gift ut 1 100 kr på de resultatlösa försöken att få kontakt med tra rksäkerhetsverket. Han ansågs inte berättigad till skadestånd.

Två makar begärde ersättning med 2 500 kr vardera, för lidande, obehag och kostnader i samband med att en

kronofogdemyndighet

vid tvâ olika tillfällen anmanat dem att betala kvarstående skatt trots att anstånd hade Utredningen visade att det första

beviljats.

kravet som riktats till båda makama hade skrivits ut två dagar innan Skattemyndigheten hade beslutat om anstånd. Det andra kravet, som enbart riktats mot mannen, hade däremot orsakats av

,du

ett fel hos kronofogdemyndigheten. Ersättning utbetalades till mannen med 500 kr för visst obehag och en del extra arbete.

En man begärde ersättning med 50 000 kr för psykiskt lidande som han angav hade förorsakats av att han fått kontrolluppgift avseende annan persons inkomster från en taxeringsmyndighet. Utredningen visade att Tekniska Högskolan i Stockholm var arbetsgivare till en gästforskare som saknade personnummer. För denne hade högskolan tillskapat en identitetsbeteckning som var densamma som klagandens personnummer och som angavs på kontrolluppgiften. Sedan klaganden besökt lokala skattemyndigheten rättades felet efter ett fåtal dagar. Ersättningen bestämdes av justitiekanslern till 500 kr för psykiskt lidande.

Mannen i det sist refererade ärendet väckte sedermera talan vid Stockholms tingsrätt och att staten skulle förpliktas att

yrkade

till honom utge 49 500 kr jämte ränta. I dom i maj

ytterligare

1987 tillerkändes mannen 9 500 kr jämte ränta. Staten överklagade domen till Svea hovrätt som i januari 1990 fastställde tingsrättens domslut. En av hovrättens ledamöter var skiljaktig och ville utdöma hela det beloppet.

yrkade

Utredningen har gått igenom och granskat beslut hos JK som

rör skadestånd enligt datalagen för åren 1985 - 1991. Härvid

kan konstateras att någon större förändring av skaderegleringen

mot vad som redovisades av DALK och DOK inte skett. Antalet sådana ärenden är i stort oförändrat i förhållande till tidigare år och uppgår till ca 10 per år. Registeransvariga och typen av fel är i stort sett de samma som under tidigare år. En stort antal av ärendena har gällt fel i bil-, körk0rts-, eller parkeringsanmärkningsregistret och medfört skadeståndsskyldighet for trafiksäkerhetsverket eller länsstyrelse. De ersättningsbelopp som tillerkänns för ideell skada varierar från några hundratals kronor till 10 000 kr som utgick i ett ärende (se nedan). En utveckling mot en något höjd skadeståndsnivå kan dock skönjas under de allra senaste åren.

Som exempel på några avgöranden av JK under kan

perioden

nämnas:

Två makar framställde anspråk på ersättning med 2 500 kr vardera för det lidande och obehag i övrigt samt de kostnader som uppkommit för dem till följd av att de vid två tillfällen fått

anmaningar från kronofogdemyndigheten att betala kvarstående

skatt trots att anstånd beviljats. Utredningen visade att den andra anmaningen, som endast var riktad mot mannen, var orsakad av att kronofogdemyndigheten försummat att registrera att anstånd beviljats. Mannen tillerkändes ersättning med 500 kr (Beslut 1985- 06-1 l).

En man registrerades i både kriminal- och rikspolisregistret som skyldig till två rattfylleribrott när det rätteligen bara var ett. JK tillerkände mannen ersättning för lidande med 2 000 kr (Beslut 1986-01-23).

innehöll under två månader

En länsstyrelses folkbokñringsregister

uppgift om att en man hade avlidit ett visst datum en oriktig istället för, som var fallet, att han hade erhållit åktenskapsskillnad detta datum. Den oriktiga uppgiften ledde till att mannen erhöll ett brev adresserat till sitt eget dödsbo. Mannen tillerkändes ersättning för lidande med 500 kr (Beslut 1986-03-07).

En kvinna ersättning för kostnader och lidande som begärde åsamkats henne på grund av att riksskatteverket hade ändrat ett som hon av misstag tidigare hade tilldelats. personnummer hade bl.a. föranlett henne att ta Andringen av personnumret kontakt med ett tiotal olika myndigheter, banker m.m. för att underrätta dessa om Vidare hade

personnummerändringen.

vid två tillfällen fördröjts. Kvinnan tilllöneutbetalningama erkändes ersättning med totalt 500 kr (Beslut 1986-03-11).

Genom att två personnummer hade sammanblandats kom det centrala skatteregistret att innehålla en oriktig inkomstupp ift. Den medförde att en man under tvâ år lCk föroriktiga uppgiften från taxeringsnämnden om en inkomst som han inte frågningar hade haft. Ersättning tillerkändes med l 000 kr (Beslut 1986-03-

13).

En man erhöll en oriktig betalningsanmaning från kronofogdemyndigheten på grund av en felaktig registrering om restförd skatt. Mannen tillerkändes ersättning med l 000 kr (Beslut 1986-

03-21).

En felaktig uppgift i aktiebolagsregistret om att en man var styrelseledamot ledde till att denne upprepade gånger söktes för och även kallades till JK

delgivning kronofogdemyndigheten.

tillerkände mannen ersättning för lidande med 2 500 kr (Beslut 1987-09-03).

Två makar fick en lägre inkomst vid föräldraledighet än de skulle ha haft, detta som en följd av orikti a uppgifter i ett sjukför- Ena maken tillerkän es ersättning fir utebliven

säkringsregister.

och lidande. Ersättningen för lidande bestämdes till arbetsförtjänst 500 kr (Beslut 1987-09-16).

Som en följd av falsk tillvitelse kom person- och belastningsoriktiga beträffande en kvinna om registret att innehålla uppgifter misstanke om stöld och bedrägeri. I vart fall uppgiften

rattfylleri,

om misstanke om rattf lleri hade funnits registrerad i mer än två år. Vidare kom ett öreläggande av ordningsbot att felaktigt betydelse i körkortssammanregistreras i registret över brott av han . Den hade funnits i registret i minst tre år. uppgiften Un errättelse om ordningsboten hade lämnats till körkortsregistret. inte hade betalts hade anteckning även skett i Då ordningsboten för lidande bestämdes till 5 000 kr. utsökningsregistret. Ersättning (Beslut 1987-10-27).

En man begärde ersättning för att han nödgats fullgöra en krigsförbandsövning under tolv dagar trots att han inte varit skyldig till Ersättning begärdes med 1 781 kr för

detta enligt vämpliktslagen.

förlorad arbetsförtjänst och med 12 000 kr för frihetsberövande fált. visade att inkallelsen var

dygnetrunttj änstgöringi Utredningen

Eftersom det som underlaget för

oriktig. register utgjorde

inkallelsen var ett personregister prövades begäran om ersättning enligt datalagen. JK uttalade i sitt beslut i februari 1988 att 23 § fick anses täcka även det fall där det saknades en datalagen

personuppgift, vilken borde ha tillförts registret med hänsyn till ändamålet med detta. Mannen ansågs därför berättigad till ersättning för den skada som orsakats honom genom att registret varit ofullständigt då en av fem genomförda

krigsförbandsövningar

inte blivit registrerad. Mannen erhöll begärd ersättning för förlorad arbetsförtjänst. Ersättningen för lidande bestämdes till 3 000 kr (Beslut 1988-02-23).

En kvinna begärde skadestånd med bl.a. 50 000 kr för lidande

på grund av att socialstyrelsens register över sluten psykiatrisk vård innehâllit en oriktig uppgift om att hon lidit av schizofreni. Utredningen visade att uppgiften i registret varit felaktig och att kvinnan därför var berättigad till ersättning. JK bestämde i ett beslut i september 1988 ersättningen för lidande till 7 500 kr. I sitt beslut anförde JK att den omständigheten att personuppgifterna varit mycket integritetskänsliga och funnits i registret under förhållandevis lång tid samt att obehaget kunde sägas ha förstärkts av att de oriktiga uppgifterna hade kvarstâtt viss tid i registret även sedan deras felaktighet åtalats, var omständigheter som orde att ersättningen för lidan e borde bestämmas till ett

jämärelsevis

högt belopp. A andra sidan menade JK att det i sammanhanget också måste vägas in att inget framkommit som tytt på att personuppgifterna obehörigen röjts eller spritts till andra register (Beslut 1988-09-02).

I ett senare ärende som också gällde en felaktig uppgift i socialstyrelsens register över sluten psykiatrisk vård, begärde en man skadestånd med 50 000 kr för psykiskt lidande. Ersättningen för lidande bestämdes av JK till 5000 kr (Beslut 1989-09-25).

Ett av riksförsäkringsverket fört personregister innehöll

en oriktig uppgift om det skatteavdrag som skulle vid utbetalning av ersättning från försäkringskassan. Uppgi göras ten medförde att avdrag för preliminär skatt skedde med för litet belopp, vilket ledde till att den registrerade senare pâfördes kvarstående skatt och kvarskatteavgift. Ersättning tillerkändes för den merkostnad som kvarskatteavgiften medförde samt för lidande och obehag med 2 O00 kr (Beslut 1989-01-04).

Pâ grund av en ñrväxling av en gäldenärs förnamn och efternamn kom en man att felaktigt registreras som gäldenär i utsökningsregistret. Den felaktiga ledde till att han från

registreringen

kronofogdemyndigheten erhöll underrättelse om utsökningsmål och

utmätningsförrättning. Ersättningen för lidande bestämdes till

3 000 kr (Beslut 1989-02-08).

En man som på grund av kom att

namnförväxling felaktigt

registreras som styrelseledamot i aktiebolagsregistret tillerkändes förutom viss ersättning för kostnader även 500 kr för lidande (Beslut 1989-04-21).

I samband med sin makes hade en kvinna

dödsfallregistrering

blivit registrerad i det regionala som

folkbokföringsregistret

avliden

i stället för som änka. JK fann att felaktigheten hade avsett ett i högsta grad integritetskänsligt område och hade - trots att åtgärder för rättelse snabbt hade - lett till ett avsevärt

vidtagits

lidande. Ersättning för lidande bestämdes till 10 000 kr (Beslut 1990-02-13).

På grund av en förväxling av personnummer kom oriktiga uppgifter om en man att registreras i ett försäkringskasseregister. Detta medförde att ett intyg om sjukförsäkringstillhörighet i Sverige kom att innehålla personuppgifter om mannen samt om en främmande kvinna och hennes barn såsom familjemedlemmar. Detta medförde diskussion mellan mannen och hans hustru. Mannen begärde bl.a. ersättning med 500 kr för lidande. JK tillerkände honom det yrkade beloppet (Beslut 1990-06-05).

På grund av oriktiga uppgifter i bilregistret tvingades en bilägare i onödan inställa sitt fordon till en

registreringsbesiktning.

Bilägaren tillerkändes ersättning för de merkostnader som därigenom uppstått. Bilägarens yrkande om ersättning för ideell skada lämnades utan bifall (Beslut 1991-05-08).

På grund av en personförväxling korn en kvinna som var bosatt i Gustavsberg att felaktigt kyrkobokföras i Sveg. Detta medförde att en felaktig uppgift registrerades i det regionala folkbokföringsregistret. Folkbokföringsregistret används för uppdatering av andra myndighetsregister, t.ex. skatteförvaltningens centrala och regionala skatteregister, kommunala register och register hos försäkringskassan. Aven dessa register kom därför att innehålla oriktiga adressuppgifter. Kvinnan begärde skadestånd med 10 000 kr avseende ersättning för att hennes personnummer använts felaktigt och för det extraarbete hon haft för att tillrättalägga och utreda felet hos olika myndigheter, telefonkostnader samt personligt lidande. Ersättningen för besvär, kostnader och lidande bestämdes av JK till totalt 5 000 kr (Beslut 1991-06-14).

På grund av personalbrist hos en länsstyrelse kom ett beslut om återkallelse av körkort att registreras i det centrala körkortsregistret först efter utgången av beslutets gilti hetstid. Detta medförde att körkortsinnehavaren inte i rätt tid ick tillbaka sitt körkort och därigenom gick miste om arbetsförtjänst. Körkortsinnehavaren tillerkändes yrkad ersättning för den förlorade arbetsförtjänsten. Något yrkande om ideellt skadestånd framställdes inte (Beslut 1991-08-06).

En vämpliktig tillerkändes ersättning för den inkomstförlust han hade åsamkats på grund att han blev inkallad tre månader för

tidigt. Den felaktiga inkallelsen berodde på en felaktig uppgift om

honom i ett dataregister (Beslut 1991-08-28).

Av de tingsrätter som svarat på om de

utredningens förfrågan

under åren 1985 - 1991 handlagt datalagsmål (se avsnitt 5.2.2)

har endast en tingsrätt, Stockholms tingsrätt, att den

uppgett

handlagt mål som gällde skadeståndsskyldighet enligt 23 §

datalagen. Stockholms tingsrätt uppgav att den handlagt två

sådana mål. I det ena av dessa mål fastställde tingsrätten i en mellandom år 1989 att vissa av Upplysningscentralen UC (UC)

Aktiebolag registrerade betalningsanmärkningar inte var skadestånds-

grundande. Kärandena, som vitsordade att innehållet i de

registrerade uppgifterna varit korrekt, gjorde bl.a. gällande

uppgifterna varit oriktiga på det sätt som i 23 § data-

l avsågs

lagen i dess fore den 1 april 1988.

lydelse (Skadeståndsskyldig-

LL

heten omfattade då inte skada som vallats

enligt datalagen

att ett innehöll missvisande personupp-

genom personregister

fann att uttrycket oriktig borde förstås så att

gift.) Tingsrätten

inte är korrekt och ansåg att lydelsen av 23 §

uppgiften

fore den 1 april 1988 och det faktum att en ändring

datalagen

inte gav utrymme for att ålägga UC skade-

ansågs påkallad

ståndsansvar for uppgift som inte är oriktig. I det andra målet väckte en man år 1989 talan vid tingsrätten och att Stockholms läns landsting skulle förpliktas att till

yrkade

honom skadestånd med 25 700 kr jämte ränta. Av det utge 25 000 kr ersättning för lidande

yrkade beloppet avsåg psykiskt

och 700 kr kostnaden for självrisk för byte av en lägenhetsdörr. Bakgrunden var att någon - for parterna okänd person - sedan hösten 1984 vid flera tillfällen hade använt en patientbricka med kärandens namn, personnummer och adress. Denne okände hade bl.a. använt sig av denna patientbricka då han hade person behandlats for en infektionssjukdom. Då denne person inte återkom till infektionskliniken efter en permission begärde av för att hämta honom i bostaden.

sjukhuset hjälp polisen

Polisen också in i kärandens bostad. De detta

tog sig gjorde

att bl.a. Vid tidpunkten för

genom bryta upp lägenhetsdörren.

begäran om biträde från polisen fanns personupp-

sjukhusets

i ett och i en manuellt förd Käranden

gifter dataregister journal.

att hans integritet bl.a. hade kränkts

gjorde gällande personliga

det i hans bostad och genom

genom felaktiga polisingripandet

att han utpekats som en allvarligt sjuk person. Landstinget, som

bestred käromålet, gjorde gällande att några felaktiga uppgifter

inte hade in i registret eftersom uppgifterna var korrekta

tagits

såvitt den okände man som hade varit intagen på in-

avsåg

fektionskliniken. Tingsrätten fann att det förekommit sådana i ett for vilken ersättnings-

oriktiga uppgifter personregister

enligt 23 § datalagen förelåg. Då enligt tingsrättens

skyldighet

mot kärandens bostad skulle ha skett

mening polisingripandet

även om om käranden endast funnits i den manuellt

uppgifter

förda journalen ansågs denne inte vara berättigad till ersättning

för skada som han kunde ha lidit till följd av polisingripandet. fann dock att käranden lidit ideell skada

Tingsrätten klarlagt

dels genom den integritetskränkning som det hade inneburit att uppgifterna i registret hade utpekat honom som en sjuk person, dels genom den risk som funnits for att han skulle ha kunnat

utsättas för felbehandling om han hade tagits in på sjukhus.

Käranden tillerkändes ersättning med 10 000 kr jämte ränta. Domen meddelades i 1990.

juni

5.3.3¶Tidigare utredningsarbete

Offentlighets- och sekretesslagstiftningskommitten (OSK) ansåg

i sitt betänkande 1972:47) Data och integritet att den (SOU dåvarande skadeståndslagens bestämmelser inte var tillräckliga för att den rätt till skadestånd vid fel i

reglera registrerades

som förs med hjälp av ADB. OSK föreslog

personregister

därför att särskilda skulle när hade

regler gälla registrerad

utsatts att felaktiga hade lämnats för en skada genom uppgifter ut. OSK diskuterade även en obligatorisk försäkringsskyldighet för de men tanken på en sådan skyldighet

registeransvariga

tillbakavisades (s. 92 t). Vid av OSKs förslag (se prop. 1973:33

remissbehandlingen

s. 146 en särskild om ideellt skadestånd vid

ft) föreslogs regel vissa straffbelagda handlingar, främst utlämnande av uppgift.

Från flera håll ansågs emellertid att den föreslagna skadevar alltför Ett annat alternativ

ståndsskyldigheten långtgående.

som fördes fram var att rätten till skadestånd till de

begränsa

fall där medfört kränkning av den registrerades

oriktigheten

ett väsentligt sätt. Några remissinstanser

personliga integritet på

att endast sådana som var hänförliga till den

ansåg oriktigheter

handläggning skulle vara relevanta.

registeransvariges egen

ville ha en reglering av det inbördes ansvaret

Någon uttrycklig

mellan den och den från vilken felaktig uppgift

registeransvarige

har lämnats ut.

I den 1973:33) som följde på OSKs be-

proposition (prop.

tänkande att behovet av skadestånds-

ansåg departementschefen

datateknikens område i stor utsträckning täcktes

regler på

bestämmelserna i Han menade dock

genom skadeståndslagen.

liksom OSK att det för vissa fall fanns skäl att införa regler om skadestånd som gick längre än skadeståndslagens bestämmelser för de fall då skada uppstått till följd av att personregister innehållit Som motiv för att införa ett strikt

oriktig uppgift.

skadeståndsansvar för dessa fall anfördes bl.a. att skadeverkav en kan bli betydande genom

ningarna oriktig registeruppgift

den stora av en uppgift som datatekniken möjliggör

spridning

och den särskilda tilltro som i många fall åtnjuter.

datauppgifter

Som ett motiv anfördes att faktiska fel kan upp-

ytterligare

komma i ett dataregister genom missöden som inte kan läggas till last som vållande. Departementschefen tyckte att vissa

någon

skäl talade för att utsträcka rätten till ersättning för ideell skada även till fall då handling har begåtts med avseende på

brottslig

material utan att någon personuppgift har fått ett

datalagrat

innehåll. Som exempel nämndes fall där någon stulit

oriktigt

som i och för sig är riktig eller upprättat personregister

uppgift

utan tillstånd. Någon särskild bestämmelse för sådana- fall

föreslogs emellertid inte i propositionen. Föredragande departe-

mentschefen ansåg att skadeståndsansvaret den gentemot enskilde borde åvila den som sist haft hand om dvs.

uppgiften,

den registeransvarige som lämnat ut den eller

oriktiga uppgiften

på annat sätt orsakat skadan. En sådan kunde

registeransvarig

enligt föredraganden i vissa fall ha rätt att regressvis återkräva

utgiven ersättning av annan (prop. s 148 f).

Sålunda intogs en skadeståndsregel i datalagen som i stort överensstämde med den OSK föreslagit. Denna innebar strikt ansvar för den för skada som

registeransvarige tillfogats

registrerad genom att personregister innehåller oriktig uppgift

om honom. Även ideellt skadestånd kunde Skadestånds-

utgå.

skyldighet förelåg även om den inte var

oriktiga uppgiften hänförlig till den

registeransvariges egen verksamhet.

I sitt betänkande - Datorer -

(SOU 1978:54) Personregister

Integritet berörde DALK att kritik hade riktats mot skadestånds-

regeln i datalagen. Enligt hade om

datainspektionen ifrågasätts

det var lämpligt att införa en så vittgående som

skadeståndsregel

samtidigt enligt kritiken var inkonsekvent då den inte täckte alla situationer där kunde tänkas

otillbörligt intrång uppkomma.

DALK fann att ännu inte hade och

skadeståndsregeln tillämpats

att praktisk erfarenhet av saknades. DALKs

regeln Enligt

mening fanns inte skäl att förorda av

tillräckliga någon ändring

den gällande

skadeståndsregeln (s. 281).

I propositionen l978/79:109 med till i

forslag ändring

datalagen fann departementschefen att borde

skadeståndsreglerna

ses över. En mera borde

inträngande undersökning enligt

departementschefen göras i samband med av en

utredningen

generell lagstiftning om personregister.

Data- och i sitt första

offentlighetskommittén (DOK) föreslog

delbetänkande (SOU Rättelse och skadestånd Patient-

1986:24)

uppgifter i personregister b1.a. att den som hade brott

begått

enligt datalagen skulle bli skyldig att betala skadestånd även för s.k. ideell skada (23 §). Kommitten att med

ansåg det, hänsyn

till de till ideellt skadestånd i samband med brott

möjligheter

mot den som numera

personliga integriteten tagits upp i skade-

ståndslagen, vore inkonsekvent om man inte vid behov kunde utkräva skadestånd för lidande som hade orsakats av brott mot datalagens bestämmelser. Med hänsyn till

departementschefens

uttalande i förarbeten och den allmänna restriktivi-

datalagens

teten i svensk rätt när det att för ideell

gäller medge ersättning

skada fann kommitten det mindre att förlita till ut-

lämpligt sig

vecklingen av praxis och ett i l

föreslog tillägg kap 3 §

skadeståndslagen som klart angav att ideellt skadestånd kan

utgå

~,—..;:e==.s.«;.-

.

i samband med brott mot datalagen (s. 46) DOK föreslog även

vissa ändringar i datalagen innebärande utökad skyldighet för

den registeransvarige att rätta felaktiga uppgifter i ett person-

register och för denne att utse en eller flera kontakt-

skyldighet

personer.

DOKs förslag ledde till vissa ändringar i datalagen som trädde

i kraft den 1 april 1988 (prop. 1986/87:116, KU 1987/88:5,

rskr. 10, SFS 1987:990). Ändringarna innebar att den register-

ansvarige i ökad utsträckning blev skyldig att rätta felaktiga

uppgifter i ett personregister. Rättelseskyldigheten utsträcktes

till att i vissa fall även omfatta uppgift som är missvisande utan

att vara oriktig. Den registeransvarige blev också skyldig att

utse en eller flera kontaktpersoner som skall bistå de registrerade vid misstanke om att en personuppgift är felaktig. Vad angår

skadeständsskyldigheten den till att enligt datalagen utvidgades

avse skada som vallats genom att ett personregister innehåller missvisande personuppgift. I 23 § infördes nuvarande andra stycke som inte var avsett att innebära någon ändring i sak

utöver vad som redan gällde enligt skadeståndslagen (jfr prop.

1986/871116 s. 21 f). Vidare infördes i datalagen en särskild föreskrift om att även ersättning för ideell skada kan utdömas. Som skäl för att en sådan regel fördes in i datalagen och inte, som DOK föreslagit, i skadeståndslagen angavs att skadeståndslagen i första hand borde reserveras för regler av mera allmän räckvidd och att regler som endast berör ett speciellt område bör tas in i den särskilda lagstiftning som gäller för det området

(prop. s. 19 t). I propositionen uttalade departementschefen

även att de motiv som åberopades vid datalagens tillkomst till

stöd för 23 § datalagen enligt hans mening alltjämt hade

bärkraft (s. 17). Han yttrade vidare:

Med hänsyn till de intressen som datalagen är avsedd att skydda torde det i första hand vara de registrerade som kan bli berättigade till ersättning för ideell skada vid brott som avses i nämnda lagrum. För att skadestånd skall utgå i ett konkret fall bör givetvis krävas att målsäganden har blivit utsatt för en integritetskränkning

som inte är obetydlig. En sådan integritetskränkning kan t.ex.

bestå i att en integritetskänslig uppgift om målsäganden kommit till obehörigas kännedom genom det brottsliga förfarandet. Aven en påtaglig risk för detta bör kunna beaktas. Ett integritetsintrång av detta slag torde kunna uppkomma t.ex. i vissa fall när ett register förs utan tillstånd (jfr 20 § första stycket 1 datalagen) eller när en personuppgift registreras, lämnas ut eller bevaras i strid med en bestämmelse i datalagen eller en föreskrift som meddelats av datainspektionen (jfr 20 § första stycket 2 - 4). Motsvarande torde kunna bli fallet om någon olovligen bereder sig tillgång en (jfr 21 §).

till_ personuppgift

Ersättning för ideell skada bör också kunna utgå när den registrerade genom det brottsliga förfarandet blir utsatt för en påtaglig risk för att bli föremål för felaktiga ingripanden från myndigheter eller för att inte kunna tillvarata sina lagliga rättig-

heteri ett visst avseende. Ett sådant integritetsintrån torde kunna

uppkomma t.ex. i vissa fall då någon olovligen än rar, utplånar

eller för in en personuppgift i ett register (jfr 21 § datalagen).

Skadestånd bör också kunna utgå om en registrerad blir ur stånd

att tillvarata sin rätt i en angelägenhet på grund av att en register-

ansvarig har lämnat osann uppgift vid fullgörande av sin skyldig-

het att lämna en underrättelse enligt 10 § (jfr 20 § första stycket

5). Aven i vissa andra fall torde ett brott mot datalagen kunna ge

upphov till ett integritetsintrång som berättigar till ersättning för

ideell skada. Särskilt gäller detta vid s.k. wire-tapping som avses

med den år 1986 utvidgade gämingsbeskrivningen i fråga om

dataintrâng och som ligger brytande av telehemlighet nära (prop.

1985/86:65 s. 30 ff).

Det får ankomma på råttstillämpningen att bedöma upp-

kommande skadestândsfall mot bakgrund av allmänna skadestånds-

rättsliga principer och de intressen som datalagen skall skydda.

5.4¶Internationella överenskommelser

Enligt artikel 10 i Europarádets dataskyddskonvention (se

avsnitt 7.1 i SOU 1990:61) skall den nationella lagen innehålla

sanktioner och rättsmedel. I kommentaren till artikeln

lämpliga

att det ankommer pá varje enskild stat att bestämma

sägs

karaktären av dessa sanktioner och rättsmedel, dvs. huruvida dessa skall vara av civilrättslig, administrativ eller straffrättslig karaktär.

Medlemsländerna skall enligt punkt 19 i OECDS riktlinjer i

fråga om integritetsskyddet och persondataflödet över gränserna

(se avsnitt 7.2 i SOU 1991:21) b1.a. särskilt sträva efter att införa lämpliga sanktioner och rättsmedel.

Förslaget till EG-direktiv (se avsnitt 2 i SOU 1991:21) innehåller också bestämmelser om den registrerades rätt till skadestånd (art. 21) och en föreskrift om att medlemsstaterna också måste ha verkningsfulla sanktionsbestämmelser för att förhindra överträdelser. Vid utformningen av dessa skall särskilt beaktas att överträdelse av dataskyddsprinciperna utgör en

kränkning av en grundläggande rättighet (art. 23).

5.5¶Utredningens tidigare överväganden

I utredningens första delbetänkande behandlas sanktionsfrágorna endast kortfattat i avsnitt 8.8 varvid sägs att en skärpning av dessa bör Som en allmän princip bör enligt utred-

övervägas.

ningen gälla att straff- och skadestándsbestämmelserna inte är

till fall där kommer att

begränsade anmälningsskyldighet

Vidare nämns att i det föreslagna tillsynssystemet en föreligga.

försummad i de fall skall

anmälan, anmälningsskyldighet

bör medföra liksom fall där ett register med ett

föreligga, straff,

visst ändamål förs för ett annat ändamål. Likaså bör straff föreskrivas för avvikelse från vissa av de bestämmelser som kan ha meddelat inom det normerade området,

datainspektionen

liksom från de villkor kan ha meddelat i ett särskilt

inspektionen

fall. Straff bör också försummelse att inhämta med-

följa på

till utlandsöverforing där det har föreskrivits. Vidare

givande

att det bör vara straffbart att bryta mot ett meddelat anges förbud.

5.6¶Remissyttrandena

Av de remissinstanser som sig över utredningens första yttrat delbetänkande har endast ett fåtal nämnt sanktionsfrågorna. vikten av straff- och

Datainspektionen understryker tydliga

skadeståndsbestämmelser i den framtida datalagen och betonar att i sitt fortsatta arbete bör uppmärksamma de

utredningen

förhållanden som hittills rått när det gäller sanktionssystemets och söka utforma ett sanktionssystem som är

tillämpning bl.a. att det i tillämpningen kan avgöras effektivt, därigenom

vem som är straffansvarig.

Svenska vill särskilt påtala att register-

kommunförbundet

ansvar inte kan delegeras till en enskild

kommunalrättsligt

eller en enskild ledamot eller i en nämnd

tjänsteman suppleant

och att vem som är straffrättsligt ansvarig i kommunala

frågan sammanhang bör behandlas i det fortsatta utredningsarbetet.

Swedish Direct Marketing Association vill av försiktighetsskäl förorda återhållsamhet såvitt avser eventuella skärpningar av straffbestämmelser inom området. Föreningen anser att en av vad som är bäst ett gott skydd mot

noggrann analys främjar

- straff eller - först bör

otillbörligt integritetsintrång upplysning

goras.

5 .7

Överväganden

I det av utredningen avsnitt 8.6

föreslagna tillsynssystemet (se

i SOU 1990:61 och avsnitt 3.1.6 i förevarande

betänkande)

kommer datalagen att innehålla de bestämmelser-

grundläggande

na för integritetsskyddet, medan den konkreta till

anpassningen

vissa sektorer och områden kommer att en ske genom regelutfyllnad från datainspektionen. Vidare i detta framtida

föreligger

systern anmälningsskyldighet endast för de mera integritets-

känsliga persondatamängderna. Datainspektionens tillsyn och

kontroll skall i första hand inriktas de sistnämnda

på persondatamängderna.

För att det föreslagna skall få önskad effekt

tillsynssystemet

krävs det, som utredningen redan 8.8.2 i SOU

påpekat (avsnitt

1990:61), att en skärpning av sanktionsbestämmelserna sker. Straff- och skadeståndsbestämmelserna bör även

naturligtvis

gälla de fall som inte omfattas av lagens

anmälningsskyldighet.

5.7.1¶Straff

I dag gäller att den som eller av oaktsamhet inrättar

uppsåtligen

eller för personregister utan licens eller tillstånd

erforderlig

enligt datalagen ådöms straffansvar. Detsamma bör den

gälla

som i ett framtida underlåter att sin

tillsynssystem fullgöra anmälningsskyldighet.

Enligt den nuvarande datalagen är det vidare straffbart att bryta mot vissa generella föreskrifter i förbudet

lagen, nämligen

att lämna ut personuppgifter utomlands m.m., bestämmelserna om gallring och om vad som skall iakttas när ett

personregister

upphör att föras samt reglerna om att ha en för-

skyldighet

teckning över personregister och ange avsändare i till

handlingar

den registrerade. Motsvarande straffbestämmelser bör återfinnas

i en ny datalag.

En framtida datalag kommer därutöver

enligt utredningens

förslag att innehålla vissa materiella för den

förhållningsregler

som enligt lagen är ansvarig för i form av personuppgifter

grundläggande principer för Arbetslivs- och forsk-

dataskydd.

ningsområdena, där känsliga uppgifter kan förekomma, avses

vidare bli särskilt reglerade i en framtida

i datalag. Datainspek-

tionen kommer att svara för i form av

detaljregleringen

generella föreskrifter för vissa områden och branscher. Förutom för överskridande av de i

datalagen intagna grund-

läggande principerna för bör även straff föreskrivas

dataskydd,

för avvikelse från vissa av de bestämmelser som

datainspek-

sou 1991:62 109

tionen kan ha meddelat. Motsvarande bör gälla i fråga om de villkor och förbud som inspektionen kan ha meddelat i ett särskilt fall.

Vad angår utformningen av den bestämmelse i datalagen som

avser att straffbelägga avvikelse från datainspektionens generella

föreskrifter måste särskilt beaktas bestämmelserna i 8 kap. 3, 5, 7 och ll §§ regeringsformen. Som utredningen redovisat i ett tidigare betänkande (SOU 1990:61) föreslås att 8 kap. 7 §

regeringsformen ändras så, att till uppräkningen i första stycket i paragrafen fogas ämnet skydd mot kränkning av personlig integritet vid personregistrering med hjälp av automatisk

databehandling. Härigenom blir det möjligt att delegera

normgivning också vad avser den kommunala sektorn och den privata verksamhet som inte kan räknas till näringsverksamhet.

Enligt 8 kap 7 § sista stycket kan riksdagen i lag, som in-

nehåller bemyndigande med stöd av första stycket samma paragraf, föreskriva även annan rättsverkan än böter för överträdelse av föreskrift som regeringen meddelar med stöd av

bemyndigandet. Det innebär att, om fängelse skall följa på en

överträdelse av en av datainspektionen meddelad föreskrift, en sådan straftbestämmelse måste tas in i datalagen.

Slutligen bör en ny datalag innehålla motsvarigheter till de

nuvarande bestämmelserna om straff för den som lämnar osann

uppgift vid fullgörande av att lämna s.k. 10 §-utdrag

skyldighet

eller som lämnar osann uppgift rörande den automatiska

databehandlingen när datainspektionen begär uppgifter för sin

tillsyn.

Det bör liksom i dag vara tillräckligt med oaktsamhet för att straffansvar skall anses föreligga.

Vid bedömningen av det straffvärde som föreligger vid brott mot datalagens regler måste särskilt beaktas att datalagen har till

uppgift att skydda den enskildes personliga integritet mot

otillbörligt intrång.

Med undantag av vissa mindre förseelser mot datalagens regler, såsom att inte föra förteckning över persondatamängd eller inte ange avsändaren på försändelse som innehåller

personuppgift till den vars personuppgifter det gäller, måste

brott mot lagens bestämmelser, med hänsyn till lagens särskilda Skyddsområde, rimligen ges ett förhållandevis högt straffvärde. Med ett sådant högt straffvärde måste också strängare straff än i dag kunna utdömas. Fall som det finns anledning att se

allvarligt på är t.ex. sådana där myndigheter eller företag i strid mot datalagens bestämmelser registrerar särskilt känsliga

uppgifter om sina anställda, t.ex uppgifter om deras politiska

åsikter.

Vid bedömningen av vilken straffskala som bör väljas kan man jämföra med de straffskalor som gäller för de bestämmelser i brottsbalken som tar sikte på att skydda den personliga integriteten i annat hänseende än när det gäller att skydda mot

en rent kroppslig kränkning. Dessa är närmast reglerna om

hemfridsbrott (4 kap. 6 §), brytande av post- eller telehemlighet

8 §), intrång i förvar (4 kap. 9 §), och olovlig av-

(4 kap.

(4 kap. 9 a §) samt i vidare mening även bestämmel-

lyssning

serna om ärekränkning i 5 kap (se avsnitt 3 i SOU 1991:21). En sådan jämförelse ger vid handen att straffskalan bör bestämmas till böter eller fängelse i högst tvâ år. Utredningen föreslår därför att straffskalan i datalagen anpassas till denna nivå.

Vad de rena ordningsförseelserna, dvs. i en framtida lag

angår

bestämmelser motsvarande de två ovan nämnda fallen om

registerförteckning och skyldighet att ange avsändare, bör de

även i fortsättningen endast kunna leda till böter.

I fråga om brott mot kan det möjligen

anmälningsskyldigheten

hävdas att även detta är att bedöma som en ordningsförseelse och därför endast bör kunna straffas med böter. Den omständigheten att man underlåter att inge en erforderlig anmälan kan dock ske med avsikt att undanhålla datainspektionen kunskap

om att en känslig persondatamängd förs och därigenom minska

risken för upptäckt. Det bör därför även vara möjligt att ådöma annan än enbart böter. Så är för övrigt fallet beträffande

påföljd

den som i dag underlåter att skaffa erforderlig licens.

Enligt rådande rättspraxis har det ansetts möjligt att under vissa förutsättningar i viss mån delegera straffansvar. Såvitt avser brott mot datalagens bestämmelser har HD också i ett

rättsfall (NJA 1987 s 426) prövat frågan om sådan delegation.

De regler för delegation av straffansvar som sålunda utvecklats i och som redovisats i avsnitt 5.2.1 bör

rättspraxis också fortsättningsvis gälla även i fråga om brott mot datalagens

Anledning att i en ny datalag särskilt reglera frågan om regler.

av det straffrättsliga ansvaret föreligger därför

överflyttning

inte. Nuvarande som framgått, att ledningen för

regler innebär,

en eller offentlig verksamhet under vissa förutsättningar

privat

kan det straffrättsliga ansvaret på en ställföreträdare,

överflytta

som anförtrotts att med tämligen stor självständighet leda verksamheten i vissa delar.

5.7.2 Skadestånd

De skadeståndsregler som finns i den nuvarande datalagen bör kunna föras in även i en framtida datalag. Ersättning bör alltså också framledes utgå om någon tillfogas skada genom att en

innehåller eller missvisande om

persondatamängd oriktig uppgift

honom eller henne. Med till den som utredningen förordar be-

hänsyn lösning

träffande vem som skall bära ansvaret för personuppgifter som förs med ADB avsnitt bör skadeståndsansvaret även

(se 3.2.5)

i framtiden vara strikt till sin natur, dvs. oberoende av

gälla

vårdslöshet. En bestämmelse om skadestånd vid brott mot datalagens bör också ingå i en framtida datalag.

regler

Liksom i bör även kunna utgå för s.k. ideell

dag ersättning

skada. Med till den på straffnivån som

hänsyn skärpta syn

redovisat i avsnitt bör en höjning av

utredningen föregående

i dessa fall också ske. Enligt utredningens

skadeståndsbeloppen

bör skadeståndets storlek vid det slag av integritets-

mening

som kommer i vid brott mot datalagen i vissa

kränkning fråga

fall kunna med de som utdöms för annan

jämställas belopp

av integritet, i fall av fysiskt

kränkning personlig exempelvis

övervåld. tänker t.ex. det ärende i avsnitt 5.3.2

Utredningen på

som i register över sluten

avsåg felaktig uppgift socialstyrelsens

vård. Det innebär att i jämförel-

psykiatrisk ersättningsbeloppen

se med nuvarande i dessa fall bör höjas

justitiekanslerns praxis

väsentligt.

6 mot

Fullföljd datainspektionens

beslut

6.1¶Allmänt

Datainspektionens beslut kan f.n. överklagas enbart hos regeringen. För överklagandet gäller forvaltningslagens

(1986:223) bestämmelser. Det innebär bl.a. att klagotiden är tre veckor från det klaganden fick del av beslutet och att enbart den som beslutet angår, om det har gått denne emot, har rätt att

överklaga. Enligt en uttrycklig bestämmelse i datalagen har också justitie-

kanslern rätt att överklaga för att ta tillvara allmänna intressen.

Utredningen har i ett tidigare betänkande (SOU 1990:61,

avsnitt 8.9) förutskickat att frågan om fullföljd skall behandlas i ett senare skede av utredningsarbetet.

Frågan redovisas av utredningen i föreliggande avsnitt. Vid

övervägande av överklagandemöjlighet rörande inspektionens

beslut är det framför allt två frågor som måste beaktas. Den

första frågan gäller om en möjlighet till domstolsprövning bör

införas. Denna fråga behandlas i avsnitt 6.2. Den andra frågan gäller i vilken domstolsinstans ett eventuellt överklagande bör

prövas (avsnitt 6.3).

6.2¶Bör en ersätta fullföljd

domstolsprövning till regeringen?

I direktiven har pekats på de krav på tillgång till domstolsprövning som den konventionen om skydd för de

europeiska

mänskliga rättigheterna och de friheterna

grundläggande

(Europakonventionen) uppställer. Konventionens rättigheter

gäller såväl fysiska som juridiska personer.

Enligt art. 6 i konventionen föreskrivs att envar skall, när det

gäller att pröva hans civila rättigheter och skyldigheten..., vara berättigad till opartisk och offentlig rättegång inom skälig tid

och inför en oavhängig och opartisk domstol som upprättats enligt lag. Den europeiska domstolen i Strasbourg har givit

begreppet civila rättigheter och skyldigheter en tämligen vid

tolkning, enligt vilken begreppet anses omfatta inte bara vad som traditionellt brukar hänföras till civilrätten. Även viktigare

offentligrättslig reglering av individens näringsfrihet och frihet

i ekonomiskt hänseende räknas hit (en kortfattad redovisning av

art. 6 och praxis finns i Ds Ju 1986:3). Utvecklingen på detta

område har lett till att möjligheten till domstolsprövning rent

generellt vidgats i Sverige genom att institutet rättsprövning

införts.

Enligt lagen (1988:205) om rättsprövning av vissa förvaltningsbeslut, som är tidsbegränsad till utgången av år 1991, skall

regeringsrätten på ansökan av enskild part i ett sådant för-

valtningsärende hos regeringen eller en förvaltningsmyndighet

som rör något förhållande som avses i 8 kap. 2 eller 3 §

regeringsformen pröva om avgörandet i ärendet strider mot

någon rättsregel. (I prop. l990/91:l76 föreslås lagen förlängas till utgången av år 1994.) Rättsprövning kan gälla endast sådana

beslut som innebär myndighetsutövning mot den enskilde. Dessutom krävs att beslutet annars kan prövas av domstol endast efter ansökan om resning och inte skulle ha kunnat överprövas i annan ordning. Beslut av vissa nämnder är dock undantagna från rättsprövning, liksom beslut i vissa typer av ärenden.

Av förarbetena till lagen (prop. 1987/88:69) framgår att

regeringsrättens prövning skall omfatta inte bara lagtolkning utan också faktabedömning och Även kraven i

bevisvärdering.

1 kap. 9 § regeringsformen om allas likhet inför lagen samt om saklighet och opartiskhet bör kunna prövas. Det är däremot inte

avsett att rättsprövning skall kunna ske av politiska lämplig-

hetsfrågor i egentlig mening.

De beslut av datainspektionen som kan komma i fråga i ett framtida är i huvudsak frågor huruvida

tillsynssystem person-

uppgifter av visst slag får förekomma i en viss datamängd eller om användningen av uppgifter skall begränsas till visst ändamål eller förbjudas. Vidare hör hit frågor om medgivande till

utlandsöverföring, liksom förelägganden av olika slag riktade

till den persondataansvarige för att tillgodose krav på rättelse eller komplettering av felaktiga eller ofullständiga uppgifter.

Däremot faller frågan om straff och skadestånd utanför, eftersom dessa frågor avgörs av allmän domstol. Såväl den

enskilde som den persondataansvarige kan ha anledning att vilja

få ett beslut av datainspektionen överprövat. Normbeslut, dvs. datainspektionens beslut att efter delegation

normera vissa sektorer eller branscher, bör emellertid inte

omfattas av fullfoljdsreglerna (se avsnitt 8.9 i SOU 1990:61). Om integritetsskyddet enligt datalagen skulle vara hänforligt

till en sådan rättighet som avses i art. 6 Europakonventionen skulle således en domstolsprövning vara det enda möjliga alternativet till nuvarande ordning vid fullföljd från datainspektionen. De rättigheter och som enskilda har enligt

skyldigheter

saknar direkt motsvarighet i Det

datalagen Europakonventionen. som datalagen och regeringsformens 2 kap. integritetsskydd

för ligger emellertid nära den rätt till skydd för

3 § ger uttryck

privat- och familjeliv, hem och korrespondens som konven-

tionen innehåller l kap. 2 § regeringsformen och

(art. 8, jfr

avsnitt 3 i tidigare betänkande SOU 1991:21). I

utredningens

den praxis som har utvecklats vid vid dess

Europakommissionen

tillämpning av konventionen har också frågan om dataskydd ansetts falla inom ramen för rätten till skydd för privatlivet. Enligt art. 13 i Europakonventionen skall den vars konventions-

kränkts ha rätt till ett effektivt rättsmedel

skyddade rättigheter

inför inhemsk Därmed anses dock inte ett krav på

myndighet.

domstolsprövning föreligga, utan även administrativa rättsmedel kan vara tillräckliga för att konventionens krav i denna

uppfylla

del (jfr Danelius, Mänskliga rättigheter, 4 uppl., s. 134 ff).

Eftersom inte heller direkt torde omfattas av

integritetsskyddet

bestämmelserna i art. 6, förefaller således inte en övergång till domstolsprövning kunna motiveras med hänvisning enbart till

Europakonventionen.

Den svenska ordningen med en hos regeringen

överprövning

av beslut av har en lång tradition och

förvaltningsmyndighet

saknar motsvarighet utomlands. Det vanliga i andra länder är att

beslut, i den mån de kan överklagas,

förvaltningsmyndigheters

av allmän domstol eller förvaltningsdomstol. Å andra

prövas sidan har den svenska förvaltningstraditionen en mera själv-

än den som utomlands utövas från

ständig prägel styrning

ministerierna över de underlydande myndigheterna.

Fördelen med att behålla regeringen som överinstans är att

lämplighetsfrågor som rymmer behov av en mera övergripande

bedömning kan bli bättre tillgodosedda.

l den mån det är fråga om en mera uttalad rättslig prövning minskar dock behovet av en sådan diskretionär bedömning. De

116 SOU 1991262

materiella bestämmelserna i en framtida datalag bör vara så

utformade att de möjliggör en rättslig prövning.

Vad som nu har sagts talar för att regeringens befattning med

överklagande inom datalagens område upphör. Härigenom kan

regeringen också i linje med en utveckling som pågår avlastas

ytterligare en ärendegrupp. Sedan flera år sker inom regeringskansliet en systematisk översyn av reglerna om rätt att överklaga till regeringen. Riktlinjerna för detta arbete fastställdes av

riksdagen år 1984 (prop. 1983/84:120. En redovisning av utvecklingen finns i bil.2 till budgetpropositionen 1991 s. 55 f).

I översynsarbetet ingår även att undersöka om det är ändamåls-

enligt att låta domstolsprövning ersätta överklagande i administrativ ordning på områden där Europakonventionens krav om

.\...—y...fl.._..;.‘ tillgång till domstolsprövning gör KU1990/91:7

sig gällande (se s. 12).

\‘.7v\V’

.m Olika skäl talar således för att fullföljd av inspektionens beslut framgent i stället skall göras till domstol. Bl.a. skulle en anpassning till en europeisk modell åstadkommas och risken for att nuvarande ordning trots allt står i strid med Europakonventionen undanröjas.

Utredningen föreslår med hänvisning till vad som nu har anförts att överklagande av enskilda framgent görs hos domstol och inte hos regeringen. Detta stämmer också överens med vad som föreslås i utkastet till EG-direktiv (art. 14.8).

När det gäller möjlighet att föra

förvaltningsmyndigheters

talan mot inspektionens beslut måste emellertid vissa andra frågor beaktas.

Att lösa tvist mellan statliga innebär

förvaltningsmyndigheter

att andra än rent rättsliga aspekter kommer i förgrunden. Om

datainspektionen skulle fatta beslut på integritetsområdet som gäller en annan förvaltningsmyndighets handläggning kan detta

sägas röra en tvist mellan två vilka båda är under-

myndigheter,

ställda regeringen. Frågor om i ADB-sammanhang inom den

integritetsskydd

statliga förvaltningen torde i många fall komma att bli aktuella som en följd av att en myndighet beslutat att av administrativa skäl eller effektivitetsskäl införa eller utvidga ett ADB-stöd. Den prioritering som därvid kan behöva göras mellan in-

tegritetsskydd, å ena sidan, och den statliga förvaltningens effektivitet, å den andra, bör lämpligen lösas genom att frågan

slutligt avgörs av regeringen som har den nödvändiga över-

blicken. En statlig bör därför även

förvaltningsmyndighet

framgent kunna överklaga till regeringen.

När det gäller kommunala myndigheter, som inte lyder under

regeringen, gör sig behovet av en regeringsprövning inte

gällande på samma sätt. Visserligen sker en utveckling med

ADB-stöd i rationaliseringssyfte inom den kommunala sektorn i inte så få fall mot bakgrund av statliga beslut om ålägganden och bidrag m.m. Den kommunala verksamheten omfattas emellertid inte till alla delar av en statlig reglering. Det innebär

att regeringen inte som för den statliga förvaltningen kan göra

de övergripande bedömningar för den kommunala sektorn som

motiverar regeringens ställning som för den

besvärsmyndighet

statliga förvaltningen. I de kommunala fallen bör således en

domstolsprövning lämpligen göras, liksom när det gäller

enskilda.

Särbehandlingen för statliga myndigheters del har en motsvarighet när det gäller i sekretesslagen

fullföljdsreglerna

(1980:100). Se 15 kap. 7-8 §§ (prop. 1979/80:2 Del A s. 362

fn.

Den lösning som nu föreslås ligger också i linje med den

särskilda behandling av s.k. statsmaktsregister som

utredningen

i ett tidigare betänkande har forordat skall behållas (se avsnitt

8.7 i SOU 1990:61).

6.3 Vilken domstolsinstans bör data-

pröva inspektionens beslut?

När det gäller frågan om valet av domstolsinstans som bör

överpröva datainspektionens beslut förefaller det enligt utredningens mening vara mest närliggande att låta denna

prövning företas av de allmänna förvaltningsdomstolarna. I

dessa domstolar finns en erfarenhet av administrativa förvaltningsbeslut som saknas i de allmänna domstolarna. Som framgår av avsnitt 5 är omfattningen av skadestånds- resp. ansvarstalan enligt datalagen i allmänna domstolar inte heller sådan att dessa domstolar av det skälet har en med

förtrogenhet

det speciella område som datalagen utgör.

Antalet framtida överklagandeärenden är givetvis svårt att uppskatta. Det får dock bedömas vara av en mycket begränsad

omfattning. Antalet klagoärenden som nu prövas av regeringen

inskränker sig ca tio fall årligen. Detta förhållande och målens speciella karaktär talar mot att låta länsrätten vara första instans. Överklaganden bör därför göras till kammarrätten. Av forumreglerna följer att målen kan koncentreras till kammarrätten i Stockholm (se 1 § förordningen, 1977:937, om kammarrätternas domkretsar m.m.).

övervägande skäl talar således för att datainspektionens beslut framgent överklagas till kammarrätten i Stockholm. En möjlig-

het till fullföljd på sedvanligt sätt efter prövningstillstånd till

regeringsrätten bör givetvis finnas. När det slutligen gäller beslut av datainspektionen som rör en

domstol bör domstolen också kunna överklaga dessa. Domstolarna är emellertid inte statliga och

förvaltningsmyndigheter

lyder inte under regeringen, varför det synsätt som i

föregående

avsnitt redovisats för inte bör

förvaltningsmyndigheterna

tillämpas. Även för dessa fall bör således en

domstolsprövning

föreskrivas.

När det gäller de beslut av datainspektionen som kan komma i fråga rör de domstolens administration och inte någon sökande eller part vid domstolen. Den ordning inom en domstolsinstans som gäller för besvärsmål eller annan ordinär fullföljd är därför

inget naturligt val för överklagande. Ett lämpligare alternativ är

att låta även en domstol överklaga till kammarrätten. Vad som nu har sagts bör gälla inte bara för allmänna domstolar i första och andra instans och för de allmänna

förvaltningsdomstolarna

i första instans utan också för de specialdomstolar och domstolsliknande nämnder som finns. Det innebär att de av in-

spektionens beslut som rör exempelvis bostadsdomstolen,

arbetsdomstolen,marknadsdomstolen,försäkringsöverdomstolen

och bör till kammarrätten.

hyresnämnderna fullföljas

Om kammarrätten ges exklusiv bör dock högsta

behörighet

domstolen och undantas. De båda

regeringsrätten högsta

instanserna får anses kunna de beslut av

själva slutligt pröva

datainspektionen som nu är i fråga. Om datainspektionens beslut

rör en kammarrätt bör talan mot beslutet, utan krav på pröv-

ningstillstånd, kunna fullföljas till

regeringsrätten.

De privaträttsliga organ, som nämns i 1 8 §

slutligen, kap

sekretesslagen, dvs. sådana organ som är jämställda med myndigheter när det gäller att ta del av allmänna

handlingar

(bl.a. notarius publicus och AB Svensk bör i

Bilprovning),

förevarande sammanhang följa den som för dem

ordning gäller

som inte är statliga Det innebär

förvaltningsmyndigheter.

således att fullföljd bör ske till kammarrätten och inte till regeringen. Motsvarande bör gälla för under

myndigheterna riksdagen.

Vad i om bör inte

utredningen föreslagit fråga överklagande

ändra justitiekanslerns att för att ta till vara

möjlighet överklaga

allmänna intressen. Huruvida talan av denne skall föras hos regeringen eller i domstol är av vem

avhängigt datainspek-

tionens beslut riktar sig emot eller annars angår, dvs. en statlig förvaltningsmyndighet resp. en enskild person, en

myndighet

under riksdagen, en kommunal myndighetsliknande

myndighet, organ eller en domstol (domstolsliknande nämnd).

Summary

The Swedish Commission on Data Protection was appointed

by

the Government (Ministry of Justice) in 1989 and directed to revise the Data Protection Act of 1973 (revised in 1982).

In a first report (September 1990) the Commission presented certain basic principles for a future Data Protection Act. The main features of the suggestions made in the report were the

following.

I The of for and

present system applying permission

notification of personal data files should be abolished.

I The Data Protection should be the

Agency given authority to Supplement the basic and important provisions of the Act through regulations for different

fields or sectors.

I The functions of the should be

supervisory Agency

strengthened and directed mainly towards sensitive files.

I An should be introduced to the

obligation notify Agency

about sensitive files.

In a second report 1991) the Commission addressed

(April

special issues related to certain areas of personal data files, i.e. personal data used for scientific research and statistics, registration in the employment sector, personal data files in relation to the media and rules governing freedom of information and of the press. Questions regarding personal data files and archive storage were also dealt with in the report, as was the question whether there is a need for an overall integration and coordination of the legislation aimed at the protection of

privacy,

in relation to automated personal data files.

especially

Further, the second report dealt with the Council directives of the Commission of the European Communities (SYN 287) of September 1990, on the protection of individuals in relation to the processing of personal data. The Commission on Data Protection discussed some implications of the directives for the Swedish legislation, were Sweden to harmonize its rules with those of the European Communities.

Regarding personal data files used for scientific research and

statistics the report emphasized that informed consent should be the basis for the use of personal data in this field.

In the relation between the data protection rules and the present and proposed constitutional rules on the freedom of the press and the audiovisual media the Commission concluded that the Data Protection Act should not be applied to the files used

for production.

Finally, according to the report the use of automated personal data files in the employment sector should be regulated on the basis of the relevant recommendations of the Committee of Ministers of the Council of Europe. The provisions in the Data Protection Act would thus be strengthened for the protection of

the personal integrity of the employees.

In the present report, which was planned to be the

originally

final report, the Commission considers several additional special issues of importance for a reformed Data Protection Act, i.e the definitions of personal data file and controller the file,

of

transfer of data to other countries, sanctions and liabilities, and

the right to judicial remedy.

Definitions of personal data file and the controller of the file

In Ch. 3 the Commission discusses the need for a change of the present definitions of personal data file and the controller of the file. The takes into account the relevant provisions of

analysis

the Council of Europe Data Protection Convention of 1980, the proposal for a Council Directive of the Commission of the European Communities (SYN 287) and the comments received from authorities and other interested parties on the first report of the Commission.

The Commission suggests that the term personal data file is replaced by the term personal data set defined in the following way:

Personal data set is a set of personal data, which is related to a specific purpose and can be accessible by systematic extraction, retrieval or grouping together of disseminated data through automatic data processing.

The emphasis is placed on a structured

accessibility by

automated processing with the purpose as a limitation on the theoretical and technical possibilities of a given system. As in the previous report the Commission finds that pure manual processing should be excluded from the scope of the Data Protection Act.

The controller of the personal data set is consequently substituted for the controller of the file. The former term is defined as the natural or legal person competent to decide what will be the purpose of use of the personal data set, which categories of personal data will be stored and which operations will be applied to them. The definition follows closely that of the EC—directives.

The suggestions regarding these basic concepts influence the proposals made in the two previous reports the Commission.

by

The Commission therefore discusses the consequences regarding the border between manual and automated processing, matching of files and the right to be informed of the data and to correct them. The obligation to notify the Data Protection Agency,

proposed to be introduced in a pure

previously supervisory

system, should under the new definitions be restricted to cases where certain sensitive personal data are involved in order to make the supervisory body more efficient.

Transfer of data to other countries

The question of transfer of data to other countries is discussed in Ch. 4.

The Commission notes that this particular area is best dealt with within the framework of international harmonization. In the absence of a universal solution the Commission considers it necessary to maintain the present system, the Data

whereby

Protection Agency has to give its explicit permission to all

transfer of data to countries not party to the Council of Europe Convention of 1980. However, the Commission suggests that transfer to countries deemed to have an equivalent and sufficient level of data protection in their national laws could be made without such a provided that these countries are

permission,

decreed by the Government.

Liabilites and sanctions

Issues concerning liabilites and sanctions are considered in Ch. 5.

A survey done by the Commission shows very few cases of criminal action under the present Data Protection Act of 1973 during the time the Act has been in force. The same applies to cases where damages for personal are concerned. How-

injury

ever, the Chancellor of Justice (iustitiekanslern) has given compensation to individuals in some cases where

a state agency has been involved. The amounts have

generally been very small and in no case exceeded 10 000 SEK. (The cases have involved individuals who for instance have been registered as

incorrectly

subject to involuntary mental treatment as well as persons noted

as deceased.)

The Commission proposes that as a main rule the violation of the material provisions of the future Data Protection Act should

be punishable by fine or imprisonment for a period not

exceeding two years (as compared to a maximum of one year

imprisonment in the present Act). The level of compensation for

should be raised according to the Commis-

injury considerably

sion to meet the amounts paid for certain of

types physical

assault.

The right to judicial remedy

The right to judicial is dealt with in Ch. 6. In the

remedy

present system the decisions by the Data Protection are

Agency

subject to review by the Government, which is in accordance with the Swedish law on the to appeal against decisions of

right

the state agencies and other bodies. The

public non-municipal

Commission notes the present practice the decisions of

whereby

public authorities are to a large extent reviewable the

by

administrative courts. This development has been promoted

by

the application of the European Convention on the Human Rights and Basic Freedoms (cf. art 6 of the Convention).

The Commission proposes that the decisions the Data

by

Protection Agency which concern another state should

agency also in the future be reviewed by the Government. However, the Agency’s decisions regarding individuals and public authorities other than state agencies should be tried the

by

administrative court of second instance (kammarrätten).

The future work of the Commission

In its final stage of work, the Commission will draft a new Data Protection Act. This part of the assignment will be carried out with the participation of Members of Parliament. The final report with the draft of the Act is scheduled to be presented some time late in 1992.

SÄRSKILT YTTRANDE

av experten Håkan Färm

Den tekniska utvecklingen samt kraven på effektivitet och rationaliseringar inom skilda verksamhetsområden får användare och konstruktörer av datorbaserade informationssystem att söka nya vägar för samutnyttjande av information. Redan i dag är situationen sådan att organisationer har kontorsinformationssystern som i lokala nätverk innehåller olika slag av funktioner

såsom ordbehandling, elektronisk post, databashantering m.m. I samtliga fall är personuppgifter tekniskt möjliga att söka från

de datoriserade arbetsplatser som ingår i systemet. De lokala nätverken kan i sin tur vara uppkopplade

till andra system inom en koncern såväl inom som utom landets gränser. Tillgång kan finnas till ett antal externa inhemska och utländska databaser.

Kombinationsmöjligheterna är nära nog oändliga.

Från integrationssynpunkt är det mot denna bakgrund utom-

ordentligt viktigt att noggrant, på fältet, uppmärksamma hur

användningen av informationssystem utvecklas och tidigt kunna

korrigera oacceptabel användning av personuppgifter.

Jag delar därför till fullo utredningens tidigare slutsats att en aktivare tillsyn bör komma till stånd på bekostnad av tillstånds-

givningen. En rejält minskad hos datainspektionen

byråkrati

(DI) är nödvändig för att frigöra resurser för en ökad tillsyn på fältet. Jag utgår då från att det samhällsekonomiska läget inte kommer att tillåta någon av DIs resurser. För

betydande ökning

att hålla nere krävs bl.a. stor restriktivitet när det

byråkratin

gäller att belasta DI med blankettadministration, ärendebehand-

ling etc. Utredningens förslag i tidigare betänkande att slopa

tillståndsprocessen till förmån för ett anmälningsförfarande var

ett steg i rätt riktning.

Utredningen har föreslagit att personregister bör

begreppet

ersättas med persondatamängd. Utredningen har

begreppet

föreslagit att denna skall definieras enbart utifrån att det föreligger en teknisk möjlighet att strukturera en viss datamängd utan hänsyn till en användares avsikter. Det är, såvitt jag kan

bedöma, i praktiken en utvidgning av dagens registerbegrepp

vars konsekvenser jag anser inte vara tillräckligt utredda.

Förslaget innebär att löpande texter (promemorier, brev,

meddelanden i elektronisk post) som lagras i bl.a. persondatorer med automatik inkluderas i regelverket vilket högst sannolikt kommer att leda till ett stort antal anmälningar.

Förslaget kan förefalla integritetsstärkande, vilket är bra, men

när anmälningarna till DI ökar föreligger en uppenbar risk att

förslaget motverkar syftet genom att inskränka på resurserna för

tillsyn.

Jag anser därför att utredningen nu när de flesta faktorer i en

kommande lagstiftning behandlats, istället borde ha prövat möjligheter att ytterligare minska antalet anmälningar till DI,

t.ex. genom att föreslå undantag eller helt eliminera ansökningsförfarandet.

Såvitt jag kan bedöma föreligger två syften med anmälnings-

förfarandet. Det ena är att informera DI om vilka integritetskänsliga register som kommer att finnas. Det andra är att utgöra en grund för avgiftsdebitering, dvs. att tillföra DI intäkter.

Enligt min mening har DI sådana kunskaper om olika samhällssektorer att det skulle kunna utgöra en tillräcklig grund

för angelägen tillsyn. Dessutom skulle förteckningarna enligt

nuvarande § 7 a i datalagen istället kunna ges en mer framträdande roll i sammanhanget.

Beträffande avgifterna kan det tyckas något ologiskt att

behöva betala för att få göra en anmälan. Det ter sig då naturligare att betala för att få en licens, som ändå uppfattas som en form av motprestation. Förfarandet är dock inte längre aktuellt enligt utredningens förslag. En strävan bör dock vara tycker jag att även fortsättningsvis ha ett system där avgiften

liksom tidigare kopplas till en prestation, men nu förslagsvis

tillsyn. Detta skulle bl.a. stimulera tillsynsarbetet.

I dagens databehandling är registerbegreppet svårfångat. Det

är inte längre lika lätt från användningssynpunkt att definiera register. En användare upplever snarare att hon för tillfället har tillgång till olika uppgifter från olika håll. Dessa uppgifter sammanförs (vanligtvis från många olika register) i en aktuell arbetssituation. Det är dessa uppgifter och användning av dem

som utgör integritetshotet och inte registren i sig själva. Detta

förstärks av den databehandlingssituation som skisserats

inledningsvis.

Jag anser därför att man bör pröva konsekvenserna av att i framtida lagstiftning utmönstra nuvarande och

registerkoppling

i stället bygga den på att en organisation behöver personuppgifter som maskinellt får hanteras resp. inte hanteras på vissa sätt.

Konkret innebär detta bl.a. att personregister som centralt begrepp försvinner samt att nuvarande förslag till definition av

persondatamängd förändras, om det bibehålls. Kopplingen till

ändamålet försvinner, vilket för övrigt överensstämmer med det förslag till reglering som bereds inom EG. Begreppet person-

datamängd kan då innebära antingen de samlade personupp-

gifterna i en organisation eller alla i en organi-

personuppgifter

sation om en viss person.

Om sedan också - detta

§ 7 a förteckningen bygger på synsätt

kommer en organisation naturligare att kunna avkrävas att redovisa vilka som används i organisationen,

personuppgifter

vilket är väsentligt än att bara redovisa vilka

mycket tydligare

register som finns. Detta förbättrar väsentligt insynen jämfört med i dag enligt min mening. Beträffande frågan om överklagande m.m. i en ny datalag tycker jag det finns anledning att ifrågasätta vissa domstolars ställning i sammanhanget. Enligt utredningens forslag skall DIs

beslut som riktar sig till enskilda registeransvariga kunna

överklagas till allmän förvaltningsdomstol, med hänvisning bl.a.

till Europakonventionen om mänskliga rättigheter. Domstols-

prövning i dessa fall förefaller enligt min mening vara en

lämplig ordning. Vad det här är fråga om är ju myndighets-

utövning gentemot enskilda.

DIs beslut som riktar sig mot en kommun föreslås också

kunna överklagas till allmän förvaltningsdomstol. Några

eller praktiska hinder mot förslaget i denna del

principiella föreligger enligt min mening inte.

När det gäller statliga förvaltningsmyndigheters (under

regeringen) möjligheter att överklaga DIs beslut föreslår

utredningen en annan ordning. Utredningen anför här att frågor om i ADB-sammanhang inom den statliga

integritetsskydd

förvaltningen i många fall torde bli aktuella som en följd av att en av administrativa skäl eller effektivitetsskäl

myndighet

beslutat införa eller utvidga ett ADB-stöd. Enligt utredningens

uppfattning bör dessa frågor slutligen prövas av regeringen,

som har den nödvändiga överblicken. Mot denna ordning har jag ingen invändning. Här är det ju inte fråga om en situation då en enskild är direkt motpart till en statlig En

myndighet.

domstolsprövning är därför inte påkallad av hänsyn till Europa-

konventionen.

har valt en annan lösning när det gäller DIs

Utredningen

beslut som rör en domstol. Enligt utredningens forslag skall ett beslut kunna överklagas till kammarrätten om beslutet rör - allmänna domstolar i första och andra instans, - allmänna förvaltningsdomstolar i första instans, - och

specialdomstolar (t.ex. arbetsdomstolen)

- domstolsliknande nämnder.

Beträffande högsta domstolen och regeringsrätten anser utredningen att de bör undantas, om kammarrätten ges exklusiv

behörighet. Enligt utredningen får de båda högsta instanserna

anses själva kunna slutligt pröva de beslut av DI som är i fråga. Detta förefaller mig vara ett egendomligt resonemang. Om jag förstår det hela rätt, skulle det innebära att de båda högsta domstolsinstanserna skulle kunna överpröva ett beslut av DI som riktar sig mot dem själva. Det strider mot de flesta principer. Om man inte vill att någon annan än de högsta instanserna själva skall dessa får de undantas från

pröva frågor,

DIs tillsyn och beslutssfär. Det finns anledning att ifrågasätta en

sådan ordning.

Domstolarna är visserligen inte statliga

förvaltningsmyndig-

heter under regeringen. Beslut av en domstol i administrativa ärenden kan dock i allmänhet överklagas genom förvaltningsbesvär, i vissa fall till regeringen. En domstols beslut att införa eller utvidga ett ADB-stöd får antas grunda sig på administrativa skäl eller effektivitetsskäl. Regeringen har även beträffande domstolarna ett ansvar för att verksamheten bedrivs effektivt. Av samma skäl som anförts i fråga om de statliga förvaltningsmyndigheterna bör DIs beslut som rör domstolarna

(i alla instanser) kunna överklagas till regeringen.

Avslutningsvis tycker jag att utredningen nu på ett förtjänst-

fullt sätt lyft fram de flesta av de faktorer som bör utgöra stommen i en ny datalag. På de flesta enskilda punkterna har lösningar föreslagits. Enligt min mening måste det dock finnas en öppenhet i det fortsatta arbetet för att förändra lösningarna och pröva olika kombinationer av från bl.a.

åtgärder integritets-

synpunkt och från ekonomisk Några ekonomiska

synpunkt.

analyser och slutsatser finns till exempel ännu inte redovisade. Regelverket måste prövas som en helhet och inte i delar. En viktig utgångspunkt förutom de redan redovisade måste dessutom vara att lagen skall vars så att den kan förstås och

tydlig

tillämpas av alla dem som kommer att beröras.

SÄRSKILT YTTRANDE

av experten Sten

Wahlqvist

I direktiven till utredningen att inte

sägs utredningens forslag

bör leda till ökade kostnader och att bör

datainspektionen (DI)

ha den storlek den har nu. Mot härav

bakgrund ifrågasätter jag

om det med den nuvarande mycket

höga utvecklingstakten på

ADB›området är möjligt att vid ett av nuvarande

slopande

tillståndskrav i stället införa ett omfattande

anmälnings-

förfarande och att dessutom en framtida till-

utvidga datalags

lämpningsområde i förehållande till nuvarande lags genom att

göra personregisterbegreppet, eller med den föreslagna termino-

login begreppet persondatamängd, vidare än vad det är i dag.

Enligt min mening är det även tveksamt om den

föreslagna

utvidgningen av har personregisterbegreppet något egentligt

värde från

integritetssynpunkt.

I sin för 1992/93 och 1993/94

verksamhetsplan budgetåren

samt i anslagsframställningen för 1992/93 konstaterar

budgetåret

DI att den omfattande och ökade använd-

mycket utvecklingen

ningen av ADB-teknik snart alla samhällsområden på sagt fortsätter. Under det senaste budgetåret ökade t.ex. antalet tillståndsansökningar med mer än hundra procent i förhållande till året innan. Den tekniska kraven och

utvecklingen, på effektiviseringar

rationaliseringar inom skilda samhällsområden förutsätter ständigt ökande eller förändrad inom

personregistrering privat

och verksamhet. Kraven en effektivare

offentlig på offentlig

sektor, liksom nya organisationsformer inom skilda samhällsområden kommer att förutsätta ökad av olika

samordning

databaserade informationssystem. Förväntade bransch och

strukturrationaliseringar på den privata sektorn kommer att

ytterligare förstärka denna utveckling. Denna att

utveckling gör

kraven på DI fortlöpande kommer att öka.

Den ursprungliga generella for

tillståndsplikten personregister

som infördes med datalagen år 1973 inskränktes genom lagändringar år 1982. Syftet var redan då att

forskjuta tyngd-

punkten i DIs verksamhet mot sådana som särskilt

frågor ansågs betydelsefulla från integritetssynpunkt. Resurser skulle således

föras över från den arbetskrävande tillståndsverksamheten till den eftersatta Den förväntade effekten

tillsynsverksamheten.

uteblev dock i allt eftersom bortfallet av tillstånds-

väsentligt,

ärenden avsåg ärenden som redan före hade

lagändringen

handlagts summariskt och kom att vägas upp av ett ökande antal andra tillståndsärenden med allt större svårighetsgrad. Till-

strörrmingen av nya tillståndsansökningar är nu tre gånger så

stor som år 1983. Härtill kommer ansökningar om ändringar i redan meddelade tillstånd.

Mot bakgrund härav och med hänsyn till att en förändring enligt direktiven måste ske inom ramen för oförändrade resurser

är det enligt min mening rätt väg att, som utredningen föreslagit

i sitt första betänkande, slopa det nuvarande tillståndsför-

farandet. Endast härigenom ges ordentliga möjligheter att inom

ramen för nuvarande resurser intensifiera DIs tillsynsverksamhet.

För att inte motverka de möjligheter att bedriva en ökad

som ett slopat tillståndskrav öppnar är det emellertid

tillsyn

viktigt att inte i stället för tillståndsförfarandet införa en omfattande anmälningsplikt som ställer krav på DIs resurser. En strävan måste vara att regleringen av ADB-hanteringen av

i lag, förordning och DIs föreskrifter blir så

personuppgifter

och utförlig som möjlig så att anmälningarna kan

tydlig

minimeras i största möjliga utsträckning eller helst undvaras helt och hållet. I detta sammanhang är också viktigt att påpeka att

DI även utan ett anmälningsförfarande har möjlighet att ha

överblick och kontroll över personregistren i landet genom att

vid behov fordra in de förteckningar som registeransvariga är

att ha över sina personregister (7 a § datalagen).

skyldiga

Det bör noteras att den av utredningen föreslagna anmälnings-

plikten bl.a. gjorts beroende av om DI detaljnormerat aktuell

eller inte. Enligt min mening bör det i

typ av personregister

första hand ankomma på riksdagen att i lag så långt det är

möjligt, och utförligare än i dag, reglera personregistreringen

samt därefter på regeringen att i förordning ge ytterligare

närmare föreskrifter. I detta sammanhang är det också viktigt att notera att även DIs tar resurser från

regelgivningsarbete

Redan i nuläget åtgår rent faktiskt

tillsynsverksamheten. betydande resurser hos inspektionen för regelgivningsarbete

(bl.a. föreskrifter om förenklade ansökningsförfaranden inom olika områden). Mot denna bakgrund är det viktigt att man i ett nytt system inte ålägger DI ett så omfattande regelgivningsarbete att det motverkar med reformen, nämligen att

syftet frigöra resurser till DIs tillsynsverksamhet.

Även om utredningen nu föreslår en viss begränsning av

anmälningsplikten i förhållande till vad utredningen tidigare föreslagit innebär föreslaget ändå att en anmälningsplikt införs

för i princip alla de register som i dag är tillståndspliktiga.

Visserligen kräver inte anmälningar beslut på sätt tillstånds-

ansökningar alltid gör men ett anmälningsförfarande kräver

arbete från DIs sida och därmed resurser. Mot bakgrund av tidigare erfarenheter ligger det därför enligt min mening i farans riktning att den ökande ADB-utvecklingen för med sig att man om några år kan befinna sig i samma situation som man gjorde

några år efter 1982 års lagändringar, nämligen att hanteringen

av anmälningarna och en omfattande egen regelgivning begränsar möjligheterna att bedriva en effektiv tillsyn.

Mina farhågor blir än större när utredningen dessutom

föreslår att begreppet personregister eller persondatamängd skall

bestämmas enbart med hänsyn till den tekniska möjlighet som ADB erbjuder utan till en användares avsikter. Detta

hänsyn

innebär en inte oväsentlig utvidgning i förhållande till vad som

gäller i dag.

Enligt nu gängse praxis anses inte ett personregister föreligga

om man använder sin persondator eller ordbehandlare enbart som en gamla tiders skrivmaskin. Nuvarande datalag anses tillämplig först om man lagrar det skrivna materialet i avsikt att senare - vilket är tekniskt med och

möjligt persondatorer

nutidens ordbehandlare - söka dvs att bearbeta

på person, materialet på olika sätt för att få fram eller komplettera upp-

gifter om individer. Enligt utredningens förslag kommer nu all

löpande text, t.ex. promemorior och brev, som innehåller personnamn att i persondatamängd om

inrymmas begreppet

texten skrivs med nya tiders skrivmaskin dvs. persondatorer eller ordbehandlare. Den föreslagna utvidgningen kommer enligt min mening att leda till ett stort antal anmälningar till

mycket

DI. Många gånger saknar namngivna personer i löpande text en naturlig anknytning till den registeransvarige eller med den

föreslagna terminologin den persondataansvarige. Enligt utredningens förslag föreligger då en anmälningspliktig person-

datamängd.

I stort sett alla som inte använder sina persondatorer eller ordbehandlare uteslutande för personligt bruk torde således förr eller senare bli tvungna att göra anmälningar till DI på grund av

den föreslagna utvidgningen. Man kan då fråga sig vad ett

anmälningsförfarande har för värde från integritetssynpunkt i

förhållande till de kostnader det kommer att medföra för DI och för dem som måste göra anmälningar. Dessutom bör noteras att

datalagens regler i övrigt blir tillämpliga på löpande text som

innehåller personnamn t.ex. reglerna om

förteckningsskyldighet,

och rätt till DIs

rättelseskyldighet insyn. tillsynsområde utvidgas

också inte oväsentligt.

Förutom att jag således sammanfattningsvis ifrågasätter om utredningens förslag kan rymmas inom ramen för DIs

nuvarande resurser vilket förutsätts i direktiv

utredningens

ställer jag mig mycket tveksam till behovet från

integritetssynpunkt att utvidga det gamla

personregisterbegreppet.

Emgmmmmmgüdmmwnmmmamwmmünmmmmmn

eller ordbehandlare som skrivmaskin som

integritetsriskerna

uppkommer. Riskerna uppkommer först när man med av

hjälp

sin persondator eller ordbehandlare sorterar och

bearbetar,

sammanställer lagrade uppgifter för att få information om enskilda människor. Enligt min bör en framtida

mening

reglering givetvis utgå från de integritetsrisker som kan finnas.

;få _,

nr

Statens 1991

offentliga utredningar

Kronologisk förteckning

Flykting- och immigrationspolitiken. A. 33. Branden på Sally Albatross. Den 9- 12 januari 1990. Finansiell tillsyn. Fi. Fö. Statens roll vid främjande av export. UD. 34. HIV-smittade - ersättning för ideell skada. Ju. Miljölagstiftningen i framtiden. M. 35. Några frågor i ansluming till en arbetsgivarperiod Miljölagstiftningen i framtiden. Bilagedel. inom sjukpenningförsäkringen. S.

5-.*.W.N.—

Sekretariatets kartläggning och analys. M. 36. Ny kunskap och förnyelse. C. 6. Utvärdering av SBU. Statens Beredning för Ut- 37.Räkna med miljön! Förslag till natur- och

värdering av medicinsk metodik. S. miljöråkenskaper. Fi. 7. Sponslig och ekonomisk utveckling inom trav- 38.Råkna med miljön! Förslag till natur- och

och galoppsponen. Fi. miljöräkenskaper. Bilagedel. Fi. 8. Beskattning av kraftföretag. Fi 39. Säkrare förare. K. 9. Lokala sjukförsäkringsregister. S. 40. Marknadsanpassade service- och stabsfunktioner - ny 10. Affarstidema. C. organisation av stödet till myndigheter och regel l.Aflärstiderna. Bilagedel. C. ringskansli. C. l2.Ungdom och makt. C. 41. Marknadsanpassade service- och stabsfunktioner - ny 13. Spelreglema på arbetsmarknaden. A. organisation av stödet till myndigheter och rege- 14. Den regionala bil- och körkortsadministrationen. K. ringskansli. Bilagedel. C. 15. Informationens roll som handlingsunderlag - 42. Aborterade foster, m.m. S.

styrning och ekonomi. S. 43. Den framtida länsbostadsnärrtnden. Bo. l6.Gemensamma regler - lagstiftning, klassifikationer 44. Examination som kvalitetskontroll i högskolan. U.

och informationsteknologi. S. 45. Påföljdsfrågor. Frigivning från anstalt, m.m. Ju. l7.Forskning och utveckling - epidemiologi, kvalitets- 46. Handikapp, Välfärd, Rättvisa. S.

säkring och Spris utvecklingsprojekt. S. 47. På väg - exempel på förändringsarbeten inom 18. Informationsstnrktur för hälso- och sjukvården - en verksamheter för psykiskt störda. S.

utvecklingsprocess. S. 48. Bistånd genom internationella organisationer. UD. 19. Storstadens trafrksystem. Överenskommelser om 49. Bistånd genom internationella organisationer.

trafik och miljö i Stockholms- Göteborgs- och Annex l. Det multilaterala biståndets organisationer.

Malmöregionema. K. UD. 20. Kapitalkosmader inom försvaret. Nya former för 50. Bistånd genom internationella organisationer.

finansiell styrning. Fö. Annex 2. Sverige och u-ländema i FN - en återblick. 2l.Personregistrering inom arbets1ivs-, forsknings- och UD.

massmedieområdena, m.m. Ju. 51. Bistånd genom internationella organisationer. 22.Översyn av lagstiftningen om träfiberråvara. I. Annex 3. Särstudier. UD. 23.Ett nytt BFR - Byggforskningen på 90-talet. Bo. 52. Alkoholbeskattningen. Fi. 24.Visst går det an! Del 1,2 och 3. C. 53. Forskning och teknik för flyget. F6. 25. Frikommunförsöket. Erfarenheter av försöken med 54. Skola - skolbarnsomsorg - en helhet. U.

en friare nämndorganisation. C. 55. Sveriges nationalrapport till FNs konferens om miljö 26. Kommunala entreprenader. Vad är möjligt? En och utveckling - UNCED 1992. M.

analys av rättsläget och det statliga regelverkets 56. Kompetensutveckling - en utmaning. A. roll. C.

57. Arbetslöshetsförsålaingen - finansierings-

27. Kapitalavkastningen i bytesbalansen. Tre systemet. A.

expertrapporter. Fi. 58. Ett nytt turistråd. I. 28.Konkurrensen i Sverige - en kartläggning av konkur- 59. Konkurrens för ökad välfärd. Del l.

rensförhållandena i 61 branscher. Del 1 och 2. C. Konkurrens för ökad välfärd. Del 2. 29.Periodiska hålsoundersökningar i vissa statliga, Konkurrens för ökad välfärd. Bilagor. C.

kommunala och landstingskommunala anställningar. 60. Olika men ändå lika. Om invandrarungdomar i det C. mångkulturella Sverige. C.

30. Särskolan -en primärkommunal skola. U. 6l. Statens bostadskreditnämnd - organisation och 31.Statens arkivdepåer. En utvecklingsplan till år 2000. dimensionering. Bo.

U. 62. Vissa särskilda frågor beträffande integritets- 32. Naturvårdsverkets uppgifter och organisation. M. skyddet på ADB-området. Ju.

Statens 1991

offentliga utredningar

Kronologisk förteckning

63. Tillsynen över hálso- och sjukvården. S. 64. Au förvalta kulturmiljöer. U. 65. Eu samordnat vuxenstudiestöd. U.

Statens 1991

offentliga utredningar

Systematisk förteckning

Justitiedepartementet Kommunikationsdepartementet

Personregistrering inom arbetslivs-, forsknings- och Den regionala bil- och körkortsadministrationen. [14] massmedieområdena, m.m. [21] Storstadens trañksystem. Överenskommelse: om ?HV-smittade - ersättning för ideell skada. [34] trafik och miljö i Stockholms- Göteborgs- och Malmö- Påföljdsfrågor. Frigivning från anstalt. m.m. [45] regionema. [19] Vissa särskilda frågor beuäffande integritetsskyddet Säkrare förare [39] på ADB-områdeL [62]

Finansdepartementet

Utrikesdepartementet Finansiell tillsyn. [2] Sportslig och ekonomisk utveckling inom trav- och Statens roll vid främjande av export. [3] galoppsporten. [7] Bistånd genom internationella organisationer. [48] Beskattning av kraftföretag. [8] Bistånd genom internationella organisationer. Annex l. Kapitalavkastningen i bytesbalansen. Det multilaterala biståndets organisationer. [49] Tre expertrapporter. [27] Bistånd genom internationella organisationer. Annex 2. Räkna med miljön! Förslag till natur- och miljö- Sverige och u-ländema i FN - en återblick. [50] räkenskaper. [37] Bistånd genom internationella organisationer. Annex 3. Räkna med miljön! Förslag till natur- och miljö- Särstudier. [51] räkenskaper. Bilagedel. [38] Alkoholbeskatmingen. [52]

Försvarsdepartementet

Kapitalkosmader inom försvaret. Nya fonner för Utbildningsdepartementet finansiell styrning. [20] Särskolan -en primärkommunal skola. [30] Branden på Sally Albatross. Den 9-12 januari 1990. [33] Statens arkivdepåer. En utvecklingsplan till år 2000.

Forskning och teknik för flyget [53] [31] Examination som kvalitetskontroll i högskolan. [44] Skola - skolbarnsomsorg - en helhet. [54] Socialdepartementet Att förvalta kulturmiljöer. [64] Utvärdering av SBU. Statens Beredning för Ut-vårde- Ett samordnat vuxenstudiestöd. [65] ring av medicinsk metodik. [6] Lokala sjukförsäkringsregister [9] Arbetsmarknadsdepartementet Informationens roll som handlingsunderlag - styrning Flykting- och immigrationspolitiken. [l] och ekonomi. [15]. Spelreglema på arbetsmarknaden. [13] Gemensamma regler - lagstiftning, klassiñkationer och Kompetensutveckling - en utmaning. [56] informationsteknologi. [l6]. Arbetslöshetsförsäkringen - finansierings- Forskning och utveckling - epidemiologi, kvalitetssäsystemet. [57] kring och Spris utvecklingsprojekt. [l7]. lnformationsstmktur för hälso- och sjukvården - en utvecklingsprocess. [l8].

Bostadsdepartemntet

Några frågor i anslutning till en arbetsgivarperiod inom Ett nytt BFR - Byggforskningen på 90-talet. [23] sjukpenningförsäkringen. [35] Abonerade foster, m.m. [42] Den framtida lånsbostadsnamnden. [43] Handikapp, Välfärd, Rättvisa. [46] Statens bostadskreditnämnd - organisation och På väg - exempel på förändringsarbeten inom dimensionering. [61] verksamheter för psykiskt störda [47] Tillsynen över hälso- och sjukvården. [63]

Industridepartementet

Översyn av lagstifmingen om träñberråvara. [22] Eu nytt turistråd. [58]

Statens 1991

offentliga utredningar

Systematisk förteckning

Civildepartementet

Affärstidema. [10] Affärstidcma. Bilagcdel. [11] Ungdom och makt.[12] Visst gär det an! Del l, 2 och 3. [24] FrikommunfÖrsökeL Erfarenheter av försöken med en friare nämndorganisation. [25] Kommunala entreprenader. Vad är möjligt? En analys av rättsläget och det statliga regelverkets roll. [26] Konkurrensen i Sverige - en kartläggning av konkurrensförhällandena i 61 branscher. Del 1 och 2. [28] Periodiska hälsoundersökningar i vissa statliga, kommunala och landstingskommunala anställningar. [29] Ny kunskap och förnyelse. [36] Marknadsanpassade service- och stabsfunktioner - ny organisation av stödet till myndigheter och regeringskansli. [40] Marknadsanpassade service- och stabsfunktioner - ny organisation av stödet till myndigheter och regeringskansli. Bilagedel. [41] Konkurrens för ökad välfärd. Del l. Konkurrens för ökad välfärd. Del 2. Konkurrens för ökad välfärd. Bilagor. [59] Olika men ändå lika. Om invandrarungdomar i det mångkulturella Sverige. [60]

Miljödepartementet

Miljölagstiftningen i framtiden. [4] _ Miljölagstiftningen i framtiden. Bilagedel. Sekrctariatets kartläggning och analys. [5] Naturvårdsverkets uppgifter och organisation. [32] Sveriges nationnlrapport till FNs konferens om miljö och utveckling - UNCED 1992. [55]